Segurança e Confiança
Como protegemos a CloudScript, o OpsScript e os ambientes que operamos para nossos clientes, e como reportar uma vulnerabilidade.
Reportar uma vulnerabilidadeResponsável executivo
O programa de segurança tem um dono formal, que responde por ele perante clientes, parceiros e autoridades.
Framework de referência: NIST CSF 2.0
Organizamos o programa pelas seis funções do NIST Cybersecurity Framework 2.0. Ele é nossa referência de governança, não uma certificação.
- 01Governar
Responsável executivo formal, políticas versionadas e decisões de risco registradas. Toda mudança em produção passa por revisão humana.
- 02Identificar
Inventário de ativos por cliente e ambiente, achados classificados por severidade e separados entre produção e não produção.
- 03Proteger
Privilégio mínimo, acessos de leitura com escopo por ambiente, segredos em gestor dedicado e nunca em código, imagens versionadas e mudanças via GitOps.
- 04Detectar
Alertas de cloud, borda, clusters e pipelines centralizados no OpsScript, com monitoramento 24/7 pelo NOC.
- 05Responder
Triagem e investigação de incidentes com rastro completo no chamado. Correções aplicadas por engenheiros, via Pull Request, com plano de rollback.
- 06Recuperar
Backups definidos para bancos de dados, procedimentos de restauração e registro de aprendizados após cada incidente.
Política de divulgação responsável
Se você encontrou uma vulnerabilidade em um sistema da CloudScript ou do OpsScript, queremos saber. Pedimos que siga as regras abaixo.
Escopo
- cloudscript.com.br e seus subdomínios
- opsscript.io, a aplicação web e a API do OpsScript
- Os aplicativos móveis do OpsScript
- Repositórios públicos da CloudScript
O que pedimos que não faça
- Acessar, alterar ou reter dados de terceiros além do mínimo necessário para demonstrar o problema
- Testes de negação de serviço ou que degradem a disponibilidade
- Engenharia social, phishing ou acesso físico
- Testar ambientes de clientes da CloudScript, que estão fora deste escopo
- Divulgar publicamente antes de termos tempo razoável para corrigir
Nosso compromisso
- Confirmar o recebimento do relato
- Manter você informado sobre a análise e a correção
- Tratar seu relato com confidencialidade
- Dar crédito público pela descoberta, se você quiser
Consideramos autorizada a pesquisa feita de boa-fé e dentro desta política, e não tomaremos medidas legais contra quem a seguir. Não mantemos programa de recompensa (bug bounty).
Reportar uma vulnerabilidade
Envie a descrição, os passos para reproduzir e o impacto observado. O canal é lido pelo time de segurança.
