Independent Contractors Security Requirements

REQUISITOS GERAIS DE SEGURANÇA DE DADOS
1. Programa de segurança de informações por escrito. O Contratado deve estabelecer e manter um programa de segurança de informações abrangente por escrito (um “WISP”) que inclua proteções técnicas e organizacionais de segurança desenvolvidas para proteger os Dados da Seagate (conforme definido no Contrato de Contratado Independente) contra uso acidental, não autorizado ou ilegal, destruição, perda, alteração, divulgação ou acesso, e o Contratado deverá fornecer à Seagate uma cópia de seu WISP, inclusive quaisquer atualizações durante o período de seu envolvimento.
2. Conteúdo do WISP. O WISP do Contratado deve tratar razoavelmente da confidencialidade, integridade e disponibilidade de todos os Dados da Seagate, incluindo o acesso físico, acesso a sistema, acesso a dados, transmissão, supervisão e aplicação de segurança. O WISP deve cumprir com quaisquer requisitos especificados em outros acordos com a Seagate, inclusive o Contrato de Privacidade de Dados da Seagate, se aplicável, e deverá incluir o seguinte:
  1. Avaliações periódicas de risco;
  2. Identificação e documentação de requisitos de segurança de usuários autorizados;
  3. Controles para o acesso de usuários, incluindo a natureza e autorização desse acesso;
  4. Prevenção do acesso não autorizado por meio do uso de controles de acesso físicos e lógicos eficazes, inclusive, entre outros, as medidas de segurança física especificadas neste Anexo;
  5. Procedimentos para adicionar novos usuários, modificar níveis de acesso de usuários existentes e a remoção de usuários que não precisarem mais de acesso;
  6. Atribuição de responsabilidade e prestação de contas pela segurança, alterações de sistema e manutenção;
  7. Implementação de upgrades e patches de software de sistema, incluindo um intervalo de patch inferior a 90 dias para correções que afetam a segurança e menos de 15 dias para correções críticas;
  8. Procedimentos para testar, analisar e autorizar componentes de sistema antes da implementação, inclusive, entre outros, avaliações de impacto da proteção de dados;
  9. Procedimentos para solucionar queixas e solicitações relativas a problemas de segurança;
  10. Procedimentos para tratar de erros e omissões, Violações de segurança e outros incidentes;
  11. Procedimentos para detectar ataques, tentativas de ataque ou invasões nos sistemas, e para testar procedimentos de segurança proativamente, inclusive, entre outros, testes de penetração;
  12. Recursos dedicados para apoiar suas políticas e procedimentos de segurança de informações, inclusive, entre outros, programas de treinamento para o pessoal do Contratado;
  13. Procedimentos para o tratamento de exceções e situações não especificamente previstas em seus processos de segurança;
  14. Estruturas de trabalho de segurança padrão do setor mapeadas para as políticas e procedimentos de segurança do Contratado;
  15. Procedimentos para usuários, gerência e terceiros com acesso aos Dados da Seagate para confirmar (inicial e anualmente) que eles entendem e seguirão as políticas de privacidade e procedimentos relacionados à segurança dos Dados da Seagate;
  16. Procedimentos para a destruição e o descarte apropriados de Dados da Seagate;
  17. Procedimentos e processos de controle para o gerenciamento de alterações de quaisquer recursos de segurança de informações aplicáveis relativos ao acesso, uso, processamento e armazenamento de Dados da Seagate; e
  18. Procedimentos para teste, rastreamento e gravação dos processos de gerenciamento de alterações antes da implementação.
3. Ambiente e equipamentos seguros. O Contratado irá coletar, hospedar, transmitir e armazenar os Dados da Seagate com segurança. O Contratado prestará os Serviços usando as medidas de segurança ambientais e físicas padrão do setor para impedir o acesso não autorizado, o roubo ou a divulgação ilegal dos Dados da Seagate. O Contratado deve empregar tecnologias que sejam consistentes com os padrões do setor e com práticas recomendadas geralmente aceitos para firewalls e outras tecnologias de segurança. O Contratado notificará a Seagate sobre cada localização de armazenamento ou processamento de Dados da Seagate. O Contratado não permitirá que os Dados da Seagate se misturem com dados de outras empresas. O Contratado garantirá que as áreas de trabalho físicas e quaisquer sistemas ou equipamentos usados para acessar os Dados da Seagate ou para prestar os Serviços são seguros contra acesso não autorizado. O pessoal do Contratado só trabalhará em locais seguros e autorizados conforme determinado nos processos e procedimentos do Contratado. Se o Contratado usar equipamentos, servidores ou sistemas que não são da Seagate (“Equipamento do Contratado”) para fornecer os Serviços, deverá garantir que qualquer Equipamento do Contratado tenha controles de segurança de informações padrão do setor, inclusive, entre outros, software antivírus, proteção de firewall, criptografia de disco completa, patches de segurança atuais e proteção contra malware. O Contratado somente usará Equipamento do Contratado em conexão com os Serviços mediante o consentimento prévio por escrito da Seagate. O Contratado também deverá divulgar se o Equipamento do Contratado for um dispositivo pessoal ou “BYOD” ou um dispositivo pertencente ao Contratado.
REQUISITOS ESPECÍFICOS
1. Criptografia. O Contratado deve manter e usar criptografia baseada em protocolos de segurança e algoritmos testados pelo setor e geralmente aceitos para proteger os Dados da Seagate durante a transmissão e em repouso, inclusive, entre outros, criptografia por senha. O Contratado garantirá que os certificados e protocolos confiáveis utilizem versões, configurações e métodos de criptografia seguros. O Contratado deverá manter e utilizar um Processo de Gerenciamento de Chaves seguro com os Serviços e todos os sistemas e aplicativos relacionados aos Serviços. Todas as chaves deverão ser pelo menos uma chave simétrica de 128 bits ou uma chave assimétrica de 2.048.
2. Mensagens seguras. Se o Contratado estiver usando um mecanismo de mensagens gerenciado pelo Contratado com os Serviços, o Contratado deverá usar e manter linguagem de chamadas e mensagens seguras baseado em padrões aceitos pelo setor.
3. Formato e portabilidade de dados. O Contratado manterá os Dados da Seagate em um formato de arquivo aceitável pela Seagate. O Contratado manterá todos os Dados da Seagate em um formato que possa ser exportado para a Seagate em um formato interoperável e legível por máquina, mediante solicitação da Seagate.
4. Integridade de dados e proteções de dados. O Contratado deverá manter a confidencialidade, integridade e disponibilidade dos Dados da Seagate e não deverá usar, divulgar, alterar, recusar ou permitir o acesso aos Dados da Seagate, exceto conforme necessário para fornecer os Serviços de acordo com este Contrato (inclusive quaisquer Declarações de Trabalho aplicáveis). O Contratado deverá garantir que os Dados da Seagate permaneçam intactos, completos e atuais durante seu processamento, transmissão e armazenamento. O Contratado deverá impedir que quaisquer pessoas alterem os Dados da Seagate, a menos que autorizado pela Seagate. O Contratado testará e validará regularmente a integridade dos Dados da Seagate. O Contratado manterá os Dados da Seagate separados dos dados de outros clientes durante seu processamento, incluindo separação lógica de dados entre seus clientes em instâncias de nuvem e aplicativos de clientes. O Contratado estabelecerá e manterá medidas de segurança para impedir que clientes acessem instâncias de serviço de nuvem e aplicativos ou dados de outros clientes.
5. Possibilidade de recuperação. O Contratado atenderá às solicitações da Seagate de apresentar os Dados da Seagate como resposta a auditorias da Seagate ou de terceiros, incidentes ou solicitações de investigação da Seagate ou conforme exigido por lei. O Contratado deverá cooperar com a Seagate para testar a capacidade de recuperação dos Dados da Seagate dos sistemas e backups do Contratado.
6. Auditoria e teste. A Seagate poderá realizar auditoria ou encomendar a terceiros a auditoria dos processos, controles, privacidade e segurança de data centers, aplicativos e infraestruturas de rede que o Contratado usa para fornecer os Serviços. A Seagate pode conduzir auditorias de rede não intrusivas, inclusive, entre outras, verificações básicas de porta, sem notificação prévia. A Seagate não tentará acessar os dados de outros clientes do Contratado. A Seagate poderá realizar qualquer revisão de integridade de segurança técnica, teste de penetração, teste de carregamento, simulação de negação de serviço ou verificação de vulnerabilidade com o consentimento do Contratado.
7. Teste de vulnerabilidade e mitigação de vulnerabilidades. O Contratado conduzirá Avaliações de Vulnerabilidade e Testes de Penetração (AV/TP) anuais com respeito aos Dados da Seagate com relação a este WISP. As avaliações devem ser conduzidas internamente antes de todos os lançamentos de softwares e/ou aplicativos novos. As avaliações devem ser realizadas por uma firma de testes de segurança reconhecida e acreditada de uma maneira consistente com os padrões do setor geralmente aceitos de AV/TP (tais como as diretrizes promulgadas pelo Open Web Application Security Project e o SANS Institute). O Contratado mitigará agressivamente quaisquer vulnerabilidades críticas de segurança descobertas a qualquer momento.
8. Plano de continuidade dos negócios. O Contratado manterá um plano de continuidade dos negócios eficaz, inclusive, entre outros, procedimentos de gestão de crise e recuperação de desastres, para conceder à Seagate acesso contínuo e suporte aos Serviços e Dados da Seagate. O Contratado garantirá que processos de planejamento de backup e recuperação de desastres protegerão os Dados da Seagate contra uso, acesso, divulgação, alteração ou destruição não autorizados. Mediante solicitação da Seagate, o Contratado entregará à Seagate um resumo de seu plano de continuidade de negócios e permitirá que a Seagate participe de exercícios de recuperação de desastres. O Contratado irá incorporar quaisquer modificações exigidas pela Seagate em seu plano de continuidade de negócios, em um período mutuamente acordado entre a Seagate e o Contratado.
9. Backups e arquivamentos. Diariamente, o Contratado fará backup, arquivará e manterá duplicatas ou sistemas redundantes que possam recuperar completamente todos os Dados da Seagate. O Contratado estabelecerá e seguirá procedimentos e intervalos de frequência razoáveis para a transmissão de dados de backup e sistemas para o local de backup do Contratado. O Contratado manterá o armazenamento e sistemas de backup em um local físico seguro diferente do local de seus sistemas primários. O Contratado atualizará e testará os sistemas de armazenamento de backup pelo menos anualmente. Se os Dados da Seagate originais forem perdidos ou corrompidos, o Contratado reconstruirá os Dados da Seagate a partir dos dados de backup em até 2 horas. Se um objetivo de tempo de recuperação (RTO) ou objetivo de ponto de recuperação (RPO) mais frequente ou mais abrangente for necessário por quaisquer acordos de nível de serviço ou declarações de trabalho com respeito aos Serviços ou Dados da Seagate, os termos mais frequentes ou abrangentes regerão os requisitos de RTO e RPO.
10. Acesso controlado. O Contratado deve impedir que todo o pessoal tenha acesso físico a qualquer área que hospedar Dados da Seagate, exceto pelos funcionários do Contratado que precisarem de acesso à área física.
11. Segurança da rede. O Contratado manterá a segurança da rede usando técnicas padrão do setor e configurará toda a infraestrutura de rede para aplicar o “princípio do menor privilégio”, incluindo (a) filtros que permitem somente o mínimo de acesso/tráfego necessário, (b) filtros anti-spoofing, (c) filtros de entrada e saída da rede, e (d) listas de controle de acesso e protocolos de roteamento.
12. Documentação de elevação de segurança. O Contratado manterá processos e procedimentos de fortalecimento de sistema documentados aceitos pelo setor para proteger os servidores que hospedam aplicativos e Dados da Seagate.
13. Monitoramento de host. O Contratado manterá processos e procedimentos documentados para monitorar a integridade e disponibilidade dos servidores que hospedam aplicativos e Dados da Seagate.
14. Senhas. O Contratado armazenará todas as senhas em um servidor de banco de dados seguro, usando medidas de segurança padrão do setor por trás do firewall do Contratado. O Contratado usará Secure Hash Algorithm 2 (SHA-2) ou superior para cifrar ou gerar um hash da senha do banco de dados. O sistema do Contratado deverá exigir senhas durante a inicialização de aplicativos para se conectar ao banco de dados do Contratado.
15. Segurança da Web. O Contratado manterá processos e procedimentos documentados para segurança da Web em conexão com aplicativos da Seagate e o processamento de Dados da Seagate. Como parte de sua constante garantia de qualidade e segurança de informações, o Contratado conduzirá testes de penetração regularmente para identificar e resolver vulnerabilidades de segurança nos aplicativos e sistemas usados pela Seagate. Os testes de penetração devem ser realizados por uma firma de testes de penetração de segurança de informações certificada usando estruturas de trabalho padrão do setor pelo menos anualmente. O Contratado fornecerá cópias dos resultados de teste para a Seagate.
16. Provisionamento e desprovisionamento de identidade. O Contratado gerenciará de forma segura e oportuna a integração e a remoção de clientes de serviços em nuvem. O Contratado usará APIs padrão do setor geralmente aceitas, tais como Simple Cloud Identity Management, na integração (on-boarding) e no desligamento (off-boarding).
17. Federação. Se os Serviços do Contratado estiverem implementando um serviço que exija procedimentos de logon pelos usuários do Contratado, o Contratado usará e implementará mecanismos de logon único (SSO) da Seagate, que incluem o padrão de federação SAML v2.
18. Autenticação forte. O Contratado usará autenticação de dois fatores como parte de seus processos de segurança para autenticar quaisquer administradores remotos que gerenciam os Serviços usados para hospedar aplicativos e Dados da Seagate.
19. Gerenciamento de contas/Gerenciamento de sessões. Ao criar, oferecer suporte e implementar sistemas ou soluções em conexão com os Serviços, o Contratado seguirá as práticas e padrões do setor geralmente aceitos para autenticação de usuários, gerenciamento de sessões e controles de acesso.
20. Controles de autorização e acesso. O Contratado manterá uma política e controles de acesso baseados em função para registrar informações de acesso de usuário para fins de conformidade, auditoria e investigação de incidentes. O Contratado manterá a segregação de dever e do princípio do menor privilégio ao processar, transmitir ou armazenar Dados da Seagate, inclusive, entre outros, permissões do sistema operacional, acesso a arquivos, contas de usuário e comunicações entre aplicativos.
21. Exportação e entrega de Dados da Seagate. O Contratado exportará os Dados da Seagate para a Seagate em um formato legível por máquina e interoperável a qualquer momento que a Seagate solicitar, ou fornecerá à Seagate, ou a seu designado terceiro, a capacidade de exportar os Dados da Seagate em um formato legível por máquina e interoperável a qualquer momento. Essa obrigação continua por 90 dias após o cancelamento ou vencimento deste Contrato.
22. Exclusão de Dados da Seagate. Até 90 dias após a Seagate informar ao Contratado que os Dados da Seagate foram recebidos e migrados corretamente, ou informar o Contratado sobre sua decisão de não migrar os Dados da Seagate, o Contratado deverá destruir com segurança todos os Dados da Seagate, desvincular os identificadores de espaço de trabalho da Seagate e sobrescrever com novos dados ou de outra forma destruir os Dados da Seagate, usando algum método de sanitização aprovado. Se o Contratado descartar qualquer papel, registro eletrônico ou outro registro contendo Dados da Seagate, deverá fazê-lo realizando todas as etapas razoáveis (baseado na sensibilidade dos Dados da Seagate) para destruir os Dados da Seagate por: (a) fragmentação; (b) apagamento ou exclusão permanente; (c) desmagnetização; ou (d) modificação dos Dados da Seagate nesses registros para torná-las ilegíveis, irrecuperáveis e indecifráveis. Se o Contratado desativar ou retirar de uso um disco rígido que contém uma cópia de Dados da Seagate, o mesmo triturará ou destruirá o disco de forma segura, tornando os Dados da Seagate ilegíveis. O Contratado certificará, por escrito, que o disco foi triturado ou destruído e que os Dados da Seagate não podem ser lidos, recuperados ou reconstruídos. Se o Contratado tiver obrigação legal de reter os Dados da Seagate além do período permitido neste Contrato, o mesmo notificará a Seagate, por escrito, sobre essa obrigação e devolverá ou destruirá os Dados da Seagate o mais rápido possível após o término da obrigação legal.
23. APIs de aplicativo O Contratado documentará quaisquer APIs usadas com relação aos Serviços e Dados da Seagate e fornecerá uma lista de APIs para a Seagate durante e após a conclusão dos Serviços. A segurança de API do Contratado deve (a) seguir as práticas recomendadas e padrões do setor aceitos geralmente, e (b) seguir os padrões de vulnerabilidade de aplicativo e padrões seguros de desenvolvimento do setor.
24. Logs e arquivos de auditoria. Se o Contratado estiver criando ou implementando sistemas ou aplicativos em conexão com os Serviços, ele deverá manter e fornecer à Seagate arquivos de log de segurança para: (a) solicitações de informações e respostas do servidor, (b) acesso e tentativas de autenticação, (c) alterações de conta, (d) uso privilegiado, (e) falha de aplicativo, e (f) alterações significativas na configuração do aplicativo.
25. Violação e incidentes de segurança; supervisão da equipe de segurança de informações. O Contratado manterá um processo de gerenciamento e investigação de incidentes de segurança que empregue as práticas recomendadas em seu setor. O Contratado notificará a Seagate de quaisquer Violações à Segurança, incidentes de segurança ou investigações relacionadas a Violações à Segurança imediatamente e, em todo caso, até 24 horas após tomar ciência de tal Violação à Segurança ou incidente. O Contratado informará à Seagate o seu gerente de segurança principal designado, responsável por gerenciar e coordenar o desempenho das obrigações de segurança de informações do Contratado neste anexo. O Contratado fornecerá à Seagate acesso ao gerente de segurança e às pessoas responsáveis pelo programa de segurança de informações do Contratado para revisar e resolver quaisquer questões ou problemas.
26. Subcontratados e subprocessadores. O Contratado não deve usar subcontratados para acessar ou processar Dados da Seagate ou fornecer os Serviços sem o consentimento prévio por escrito da Seagate. Se a Seagate consentir o uso de um subcontratado pelo Contratado para o processamento de Dados da Seagate, o Contratado deverá garantir que o subcontratado concorde, por escrito, em cumprir com todas as obrigações de segurança de informações aplicáveis ao Contratado segundo os termos deste Contrato. O Contratado permanece responsável e garante o desempenho de qualquer subcontratado de todas as obrigações. O Contratado deverá fornecer à Seagate uma lista e descrição de quaisquer aplicativos ou serviços de terceiros usados pelo Contratado em conexão com os Serviços e aplicativos da Seagate.
CERTIFICAÇÕES E RELATÓRIOS NECESSÁRIOS
1. Relatórios ISO e SOC. O Contratado deverá obter e fornecer as seguintes certificações e relatórios específicos aos Serviços de uma firma de auditoria reconhecida e acreditada razoavelmente aceitável para a Seagate. As certificações e relatórios devem abordar os padrões e controles do Contratado específicos aos Serviços por ele fornecidos. O Contratado deve fornecer cópias das certificações e relatórios à Seagate (a) antes do início dos Serviços e (b) anualmente, no máximo no dia 15 de junho de cada ano. As certificações e relatórios devem abranger pelo menos 9 meses do ano fiscal da Seagate e devem ser entregues para a Seagate até 90 dias após o período coberto pela certificação ou relatório.
  1. Organização Internacional de Normalização (ISO) 27001 ou 27002,
  2. Declaração sobre padrões de atestado (SSAE) do Instituto Americano de Contadores Públicos Certificados (AICPA) 18 Tipo II, o relatório de controles e padrão de serviços (SOC1 Tipo 1/Tipo 2 e/ou SOC2 Tipo 1/Tipo 2) ou outro relatório semelhante. Se o Contratado estiver fornecendo Serviços ou aplicativos relacionados envolvendo Dados da Seagate sobre relatórios financeiros da Seagate, o Contratado deverá fornecer o relatório SOC1 Tipo 2. Se os Serviços incluírem instâncias e/ou aplicativos de nuvem, o Contratado deverá fornecer um relatório SOC2 Tipo 2; e
  3. Avaliações de validação de conformidade com o PCI Data Security Standard (Padrão de Segurança de Dados da Indústria de Cartões de Pagamento), se os Serviços ou Dados da Seagate envolverem o processamento ou armazenamento de cartões de pagamento.
2. Revisão dos relatórios pela Seagate. A Seagate pode determinar se as certificações e relatórios do Contratado são adequados. O Contratado notificará a Seagate se houver quaisquer alterações materiais em seus relatórios ou certificações. Mediante solicitação por escrito da Seagate, o Contratado também enviará para a Seagate uma carta de representação da direção declarando que, segundo o conhecimento da direção do Contratado após investigação razoável, não houve mudanças no ambiente de controle entre a data da carta de representação da direção e a data da certificação ou relatório.
VERIFICAÇÕES DE ANTECEDENTES E ACESSO A LOCAIS/SISTEMAS
1. Verificações de antecedentes. Na medida permitida pela lei, o Contratado deverá realizar verificações de antecedentes de todos os seus funcionários, contratados independentes e funcionários temporários que terão acesso aos Dados da Seagate (coletivamente “Pessoal do Contratado”) como uma condição de contratação ou antes do início dos Serviços. A verificação de antecedentes deve incluir histórico criminal, consulta de registro criminal nacional e uma verificação de ficha criminal de condenações por contravenção ou crime de sete anos. O Contratado deverá permitir que a Seagate revise as práticas do Contratado e realize uma auditoria dos processos de seleção anterior ao emprego concluídos para garantir que esses padrões sejam atendidos. Se o Contratado não atender a esses requisitos, ou for reprovado em uma auditoria, a Seagate poderá conduzir uma verificação de antecedentes (sem custos para o Contratado) para determinar a elegibilidade do Pessoal do Contratado para acesso ao sistema e local. O Contratado deverá garantir que todo o Pessoal do Contratado que trabalha internamente no local da Seagate esteja em conformidade com as políticas, procedimentos e diretrizes da Seagate.
2. Confidencialidade. Cada parte deverá conformar-se com todas as leis cabíveis relacionadas a verificações de antecedentes que conduzir e deverá manter a confidencialidade de todos os relatórios de verificação de antecedentes.
3. Restrições de acesso. O Contratado não permitirá que pessoa alguma com condenação por roubo, violência ou fraude nos últimos 7 anos tenha acesso aos Dados da Seagate, aos sistemas ou redes usados para prestar os Serviços, ou tenha acesso a locais físicos usados para prestar os Serviços, a menos que isso seja proibido pela lei ou regulamentos cabíveis. A Seagate poderá conduzir quaisquer verificações de antecedentes do Pessoal do Contratado que precisar acessar sistemas, redes ou locais físicos da Seagate, por meio de uma agência de informações comerciais licenciada em conformidade com todas as leis e regulamentos cabíveis, incluindo a Fair Credit Reporting Act e regulamentos de proteção e privacidade de dados. A Seagate manterá a confidencialidade dos relatórios que revisar.

Produtos

Base de conhecimento

Downloads de suporte

Artigos

suggested searches

Leia o artigo

Leia o artigo

Leia o artigo

Independent Contractors Security Requirements