Árvore de páginas

Versões comparadas

Chave

  • Esta linha foi adicionada.
  • Esta linha foi removida.
  • A formatação mudou.

Índice
maxLevel4
outlinetrue
exclude.*ndice
stylenone


Nota
titleAviso

Acesse aqui e veja nossas recomendações sobre as Boas práticas de segurança para o seu ambiente no TOTVS Fluig Plataforma.

Objetivo

...

Esse guia tem o objetivo de declarar os controles de segurança realizados dentro do TOTVS Fluig Plataforma e sua execução em ambiente internos (on-premise) ou cloud.

...

Tráfego de dados

Toda a comunicação da plataforma TOTVS Fluig e os clientes é feito por HTTPS/TLS, o protocolo mais utilizado e confiável no mercado. Saiba mais sobre configuração HTTPS

É de responsabilidade do cliente fornecer um certificado válido para utilização do servidor Fluig, exemplo: fluig.empresa.com.br.

Caso o cliente não tenha um certificado, sugerimos a utilização do seguinte endereço: Certificado HTTPS por 2 meses

Informações

Também é recomendável a configuração de uma rede DMZ para a plataforma.

SenhasOs dados sensíveis de usuário são gravados de forma que não podem ser descobertos o conteúdo original.
É utilizado o algoritmo PBKDF2WithHmacSHA1, para gravação das senhas dos usuários no TOTVS Identity.
AutenticaçãoO processo de Single Sign On (SSO) é feito através do protocolo SAML, com um certificado gerado internamente, onde não é feita a troca de informações de senha.

...

Ambiente NIMBVS

Certificações

  • ISAE 3402 Tipo II
  • ISO 9001:2008
  • Datacenter TIER III
  • Gestão de vulnerabilidades executada por consultoria especializada
  • Monitoramento e bloqueio contra ataques DDOS 24x7
  • SIEM
  • Firewall Next Generation
  • Política de backup conforme proposta comercial
  • Política de entrega de dados em caso de interrupção irrecuperável no datacenter TOTVS conforme proposta comercial
  • Garantia de integridade dos dados conforme contrato

Localidade

Data centers estão localizados em São Paulo, Brasil

Ambiente Amazon

Para serviços Fluig Viewer e para cliente clientes alocados na nuvem Amazon, os as seguintes certificações estão incluídas:

  • ISO 27001
  • SOC 1 e SOC 2/SSAE 16/ISAE 3402 (antes SAS 70 Type II)
  • PCI Level 1
  • FISMA Moderate
  • Sarbanes-Oxley (SOX)

Mais detalhes sobre as certificações em ambiente Amazon

Localidade

Data centers alocados são da Zona São Paulo, Brasil

...

Sistemas legados

Com a plataforma TOTVS Fluig uma das características que é muito utilizada nos projetos criados é a integração com sistemas que a empresa já tem, seja para consulta seja para efetivação.

Tipos de integração suportados:

  • SOAP (HTTP e HTTPS)
  • REST (HTTP e HTTPS)
  • JDBC (criptografia depende do fornecedor do Banco de Dados)

Autenticações suportadas em REST:

  • Basic
  • OAuth 1
  • OAuth 2
  • Custom (escrito em JavaScript)
  • Nenhuma
Serviços para desenvolvimentoA plataforma disponibiliza diversos serviços que possibilitam o desenvolvimento de personalizações e integrações. Por isso recomendamos revisar a segurança de acesso às APIs, Datasets e Webservices. Acesse o guia de usuário para mais informações.

Componentes obrigatórios

On-Premise - License Server

Para verificar o contrato do cliente, será necessário instalar o License Server. Ele se conecta a nuvem para verificar o contrato do cliente ao qual ele tem acesso. Leia mais sobre o license server.

On-Premise - Banco de Dados

Conforme matriz de portabilidade, a plataforma requer a utilização de um banco de dados. Para obter mais detalhes sobre características de segurança desse componente verifique a documentação do seu fornecedor.

Componentes opcionais

Microsoft Active Directory

Para autenticação de usuários é possível utilizar o Microsoft Active Directory. Tanto a plataforma como o Identity possuem conexões, sendo que para o Identity possuímos o Identity | SmartSync que é utilizado para aumentar a segurança nessa comunicação.

SMTP - Envio de e-mail

Para realizar o envio de e-mail de notificações, utilizamos o protocolo SMTP tanto com SSL como TLS. Leia mais sobre a configuração de e-mail.

Notificações PUSH

Para notificar os usuários de aplicativos móvel é utilizado tanto a infra-estrutura do Google® como da Apple®, em que pequenas mensagens sem dados críticos de negócio são repassadas usando o parceiro de tecnologia UrbanAirship que centraliza todas as mensagens enviadas para clientes TOTVS Fluig.

...

Trafego de dados

A comunicação entre o Fluig Mobile e o servidor do Fluig é feita através de conexão de rede, onde todo o tráfego de informações ocorre via HTTP.

Para acesso via rede de dados celular (3G/4G) é necessário que o endereço do Fluig esteja publicado na internet. Para uma maior segurança, é possível habilitar HTTPS, respeitando os certificados válidos para dispositivos móveis.

Caso não esteja publicado na internet, é necessário que o dispositivo móvel onde o Fluig Mobile está instalado esteja conectado à uma rede onde seja possível acessar o servidor do Fluig.

Ex.: Wi-Fi interna da empresa, conexão VPN, etc.

AutenticaçãoÉ realizada utilizando oAuth, um protocolo seguro de autorização que não armazena o usuário e senha no momento do login, apenas a chave de autenticação (token).

...

Recomendação seguidaPara boa parte das ações de segurança, são levadas em consideração as recomendações da OWASP
Teste de vulnerabilidades

Empresas terceiras realizam Pentests de forma regular e de forma independente.

Descobertas de vulnerabilidades são avaliadas conforme impacto e probabilidade da falha, nisso são criadas tarefas de correção para o time responsável.Último pentest realizado: janeiro/2019.

Para garantir o processo, clientes são orientados a abrir um ticket relatando a situação mapeada no Pentest, juntamente com o impacto. 

Cada ticket aberto será avaliado pelo time de segurança TOTVS, caso a vulnerabilidade seja confirmada, o ticket entrará em processo de manutenção padrão.

Cada situação deve ter um ticket e deve ser evitado criar um ticket com todas as situações.

É importante que os testes sejam realizados em um ambiente atualizado com a versão mais recente do Fluig, disponível para download no Portal de Clientes. 

Incidentes de segurança

No evento de um vazamento de informações ou de uma descoberta de uma vulnerabilidade, nossos profissionais técnicos são alocados.

Para garantir o processo, clientes são orientados a abrir um ticket relatando a situação.