A Optidata opera
- A infraestrutura de data center e o hardware
- A plataforma cloud: compute, storage e rede
- O monitoramento da plataforma pelo SOC e pelo NOC
- Na Cloud Privada, os serviços gerenciados do seu contrato
Trust center
Segurança e conformidade na Optidata
A Optidata tem um Relatório SOC 2 Tipo II que cobre Segurança, Disponibilidade e Confidencialidade, e detém a ISO/IEC 27001 em nome próprio. A plataforma de autoatendimento roda em Miami (US1); dados que precisam ficar no Brasil rodam na Cloud Privada.
Em resumo
As respostas que uma revisão de segurança pede primeiro.
Cada linha é detalhada mais abaixo ou numa página própria, com o que cobre e o que não cobre.
- Relatório SOC 2 Tipo II
- Segurança, Disponibilidade e Confidencialidade. 88 controles, janela de observação de 90 dias, compartilhado sob NDA.
- ISO/IEC 27001
- Detida pela Optidata em nome próprio.
- SOC e NOC, 24/7/365
- Gente de plantão todos os dias do ano, não só alerta na fila.
- Autoatendimento em Miami (US1)
- O console tem uma região, na Flórida, Estados Unidos.
- Cloud Privada no Brasil e nos EUA
- Três regiões no Brasil e duas nos Estados Unidos.
- Reporte de vulnerabilidades
- [email protected], também publicado no security.txt.
Quem detém o quê
Duas credenciais em nosso nome. As demais são dos data centers.
Uma revisão de segurança precisa saber quem foi auditado. A Optidata detém o Relatório SOC 2 Tipo II e a ISO/IEC 27001. Os data centers onde a infraestrutura roda têm credenciais próprias, que descrevem esses prédios e seus operadores, não os controles da Optidata.
| Credencial | Titular | O que cobre |
|---|---|---|
| Relatório SOC 2 Tipo II | Optidata | Exame independente dos controles da Optidata de Segurança, Disponibilidade e Confidencialidade ao longo de uma janela de observação. |
| ISO/IEC 27001 | Optidata | O sistema de gestão de segurança da informação: avaliação de risco, controles no escopo, responsáveis e ciclo de revisão. |
| SOC 2 Tipo II e ISO/IEC 27001 | Data centers | Os data centers também têm essas duas, em nome próprio e com auditorias próprias. |
| SOC 1 Tipo II | Data centers | Controles relevantes para os relatórios financeiros dos clientes deles. |
| ISO/IEC 27701 | Data centers | Gestão de informações de privacidade, extensão da ISO/IEC 27001. |
| ISO 22301 | Data centers | Gestão de continuidade de negócios. |
| ISO 9001 | Data centers | Gestão da qualidade. |
| Conformidade PCI DSS | Data centers | O padrão de segurança de dados de cartão de pagamento, aplicado ao ambiente do data center. |
| Tier III Design e Tier III Facility | Data centers | Classificações do Uptime Institute para o projeto e para o prédio construído. |
A Optidata não detém PCI DSS, SOC 1, ISO 9001, ISO 22301, ISO/IEC 27701 nem classificação Tier em nome próprio.
Operação de segurança
Como a segurança é operada, no dia a dia.
O que vale para todo cliente e o que a Cloud Privada acrescenta.
SOC e NOC, 24/7/365
Security Operations Center e Network Operations Center com time dedicado: análise de ameaças, triagem e resposta a incidentes, com humanos em turno. Primeira resposta média abaixo de 8 minutos.
Pentests com calendário (Cloud Privada)
Pentest interno a cada trimestre, externo a cada seis meses. Relatórios disponíveis sob NDA para o seu time de segurança.
Revisões de vulnerabilidade (Cloud Privada)
Scan contínuo mais revisão formal a cada 90 dias, com achados, datas de remediação e aprovação.
Proteção DDoS
Ligada por padrão em todas as regiões da Cloud Privada. Na plataforma de autoatendimento, o Anti-DDoS é uma opção que você ativa por instância.
WAF e Zero Trust (Cloud Privada)
Web Application Firewall gerenciado, mais acesso por identidade e por aplicação com VPN e ZTNA.
Controles de rede definidos por você (autoatendimento)
Redes VPC, security groups e chaves SSH no console decidem quem chega a cada servidor.
Localização dos dados
Onde seus dados rodam, por produto.
O autoatendimento tem uma região. A Cloud Privada tem cinco. Residência de dados no Brasil existe só na Cloud Privada.
| Produto | Onde roda | Dados ficam no Brasil |
|---|---|---|
| Plataforma de autoatendimento: Cloud Compute, GPU, Containers gerenciados (K8s), Managed Databases, storage e rede | Miami (US1), Estados Unidos | Não |
| Cloud Privada, regiões no Brasil | OPD-BR1, OPD-BR2 e OPD-BR3-IA, Brasil | Sim |
| Cloud Privada, regiões nos EUA | OPD-US1 e OPD-US2, Estados Unidos | Não |
Divulgação responsável
Encontrou uma vulnerabilidade? Fale com a gente primeiro.
Escreva para [email protected] com o serviço ou a URL afetada, os passos para reproduzir e o impacto observado. Pode escrever em português, inglês ou espanhol.
Dê um prazo razoável para a correção antes de divulgar detalhes publicamente. Não acesse, altere nem apague dados que não são seus, e não rode testes que degradem o serviço de outros clientes, como negação de serviço.
Contato de segurança
Para ir além
Uma página por pergunta.
Relatório SOC 2 Tipo II
O que o relatório cobre, a janela de observação, o que ele não é e como solicitá-lo sob NDA.
Ler sobre o relatórioLGPD e residência de dados
O que fica no Brasil, o que roda em Miami, os papéis na LGPD e como solicitar um DPA.
Ler sobre LGPDRegiões
Miami (US1) no autoatendimento, cinco regiões de Cloud Privada no Brasil e nos EUA e o que roda em cada uma.
Ver as regiõesSOC gerenciado
Nosso SOC monitorando o seu ambiente como serviço: SIEM, XDR e threat intelligence.
Ver o SOC gerenciadoAviso de privacidade
Como a Optidata trata os dados pessoais que coleta de clientes e visitantes.
Ler o avisoFale com o time
Questionários de segurança, o relatório SOC 2 e detalhes da ISO/IEC 27001, sob pedido.
Falar com a gentePerguntas sobre segurança
Respostas curtas para a sua revisão de segurança.
A Optidata tem SOC 2?
A Optidata tem um Relatório SOC 2 Tipo II. Um auditor independente examinou seus controles de Segurança, Disponibilidade e Confidencialidade ao longo de uma janela de observação de 90 dias. SOC 2 é um relatório de atestação, não uma certificação, e o relatório é compartilhado sob NDA. Veja a página do SOC 2.
A Optidata tem ISO 27001?
Sim. A Optidata detém a ISO/IEC 27001 em nome próprio. Peça os detalhes do certificado pela página de contato.
A Optidata é certificada PCI DSS?
Não em nome próprio. A conformidade PCI DSS é dos data centers onde a infraestrutura roda, assim como SOC 1 Tipo II, ISO 9001, ISO 22301, ISO/IEC 27701 e as classificações Tier III.
Onde meus dados ficam armazenados?
Na plataforma de autoatendimento, em Miami (US1), Estados Unidos. Na Cloud Privada, nas regiões que a sua arquitetura usa: OPD-BR1, OPD-BR2 ou OPD-BR3-IA no Brasil, ou OPD-US1 ou OPD-US2 nos Estados Unidos. Veja todas as regiões.
Como reporto uma vulnerabilidade de segurança?
Escreva para [email protected] com o serviço afetado, os passos para reproduzir e o impacto. O mesmo contato está publicado em /.well-known/security.txt.
Um provedor auditado torna minha workload segura?
Não. As auditorias cobrem o que a Optidata roda e opera. Seu modelo de acesso, os sistemas operacionais dos servidores de autoatendimento, aplicações, chaves e backups continuam sob sua responsabilidade.