O que a gente coloca em contrato, e os selos que a gente não tem.
Esta página responde ao questionário antes de você mandar. São dois sistemas com respostas diferentes: o site público está rodando, a plataforma de produto não. Onde um campo é decisão de outra pessoa, ou medição que ninguém aqui fez, ele fica vazio e nomeado em vez de preenchido com palpite.
Esta página não está pronta. Cada colchete abaixo marca um campo que é decisão de outra pessoa, ou medição que ninguém aqui fez ainda. Ela fica fora do índice de busca até o último ser fechado, porque palpite que parece dado é pior que buraco declarado.
O código do seu cliente sai da nossa infraestrutura?
É a primeira pergunta de um questionário de segurança, e é a que decide o negócio. A resposta honesta hoje é que ninguém aqui mediu isso de ponta a ponta, então ela não está respondida nesta página.
Sem resposta. Não é "não" — é sem resposta.
Dois sistemas, duas respostas diferentes
O site público está rodando. A plataforma de produto não. Misturar os dois é como uma página de confiança deixa de ser verdadeira.
O site público
Roda em Vercel com o banco em Supabase. Armazena o e-mail de quem assina o boletim e os próprios artigos do boletim. Região de hospedagem: [CONFIRMAR: região de hospedagem do site e do banco]
A plataforma de produto
Não está no ar. A infraestrutura está sendo reconstruída, então não existe ambiente de cliente hoje nem dado de cliente dentro dele. O que ela vai armazenar: [CONFIRMAR: o que a plataforma armazena do ambiente do cliente — código-fonte, achados, credenciais, artefatos]
Criptografia
HTTPS em todo o site, sem endpoint em texto claro. Em repouso: [CONFIRMAR: provedor, algoritmo e quem detém a chave]
Retenção
[CONFIRMAR: prazo de retenção por tipo de dado, e o que acontece com ele no fim do contrato]
Acesso
[CONFIRMAR: quem alcança dado de cliente, sob qual controle, e se o acesso é registrado]
Quem mais encosta no dado
Esta é a lista do site público. A lista da plataforma de produto não está completa, e lista incompleta é pior que lista nenhuma.
| Fornecedor | O que ele processa | Região |
|---|---|---|
| Vercel | Hospedagem e entrega do site público, mais registro de requisição | [CONFIRMAR] |
| Supabase | Banco do site: artigos do boletim e e-mail de assinante | [CONFIRMAR] |
| Anthropic | Redige os rascunhos do boletim a partir de fonte pública. Não recebe dado de cliente | [CONFIRMAR] |
| Resend | Envio de e-mail transacional e do boletim; e-mail de assinante | [CONFIRMAR] |
[CONFIRMAR: lista completa de subprocessadores da plataforma de produto]
O selo que não temos, trocado por cláusula que você executa
Certificado é um jeito de comprar garantia. Obrigação contratual com número e multa atrás é outro, e é o que está disponível hoje.
Direito de auditoria
Você, ou um auditor que você contrate, audita o nosso ambiente e os nossos controles. [CONFIRMAR: escopo, frequência e prazo de aviso da auditoria]
Notificação de incidente em prazo comprometido
O número vai no contrato com multa atrás. [CONFIRMAR: prazo de notificação de incidente, e a multa]
Saída sem multa
Rescisão por conveniência, sem taxa de saída e sem cobrança pelo prazo restante. [CONFIRMAR: prazo de aviso prévio]
Portabilidade do dado
Achados, relatórios e histórico em formato aberto, durante o contrato e não só no fim dele. [CONFIRMAR: formato e prazo de entrega]
Dito de uma vez, porque você ia perguntar de qualquer jeito
Duas frases que você não vai achar nesta página: "em processo de certificação" e "alinhado ao ISO 27001". A primeira é falsa sem processo aberto. A segunda é o que todo CISO lê como "não temos".
Sem ISO/IEC 27001 em nome próprio
E sem processo de certificação aberto. Se houvesse um, existiria um Stage 1 e a gente diria a data dele.
Sem SOC 2, nem Tipo I nem Tipo II
Não existe relatório de auditor independente para anexar ao seu questionário.
Sem SLA e sem número de disponibilidade
A plataforma não está no ar. Um número de uptime seria número sobre coisa nenhuma.
Sem afirmação de residência de dado no Brasil
Ninguém aqui mediu a região. O campo acima está vazio por isso.
Mande o seu questionário de segurança e eu respondo, inclusive os brancos.
As respostas que ainda não estão nesta página são respondidas como não medidas, não como conformes.