Segurança, Privacidade e Confiança

Feito para os momentos em que todo o resto precisa aguentar.

A Control-C existe para proteger os dados dos quais seu negócio depende.
Segurança, privacidade e resiliência operacional não são recursos: são a base de tudo.

Cada backup, cada snapshot, cada fluxo de restauração e cada interação de advisory segue um princípio:

Se você confia seus dados a nós, protegemos como se geríssemos o seu negócio.

Framework SMB1001 Cyber Security

Controles alinhados ao Silver: avançando rumo à certificação.

A Control-C alinha seu programa de segurança às práticas de maturidade Silver do SMB1001 Cyber Security Framework. A Control-C ainda não solicitou nem recebeu a certificação SMB1001.

O SMB1001 foi criado para organizações pequenas e médias que precisam de controles de segurança práticos. Ele se alinha diretamente a:

• ACSC Essential Eight
• UK Cyber Essentials
• CMMC
• ISO 27001
• Right Fit for Risk

O que significa Silver

O conjunto de controles Silver reflete a execução consistente de políticas e controles centrais em engenharia, infraestrutura e operações do negócio.

Níveis SMB1001 (para contexto)

• Bronze: Proteções básicas (firewalls, backups, patches, antivírus, treinamento)
• Silver: Políticas formalizadas com aplicação consistente em todo o negócio (nível ao qual a Control-C está alinhada)
• Gold: Monitoramento reforçado, resposta proativa e controles de acesso mais fortes
• Platinum: Validação por auditoria independente
• Diamond: Maior nível de garantia, resiliência avançada a ameaças

Nosso objetivo é simples:
construir resiliência que cresça junto com as organizações que protegemos.

Defesa em camadas

Várias camadas de proteção: pessoas, processos e tecnologia.

Segurança na Control-C nunca é um único controle, ferramenta ou equipe. Construímos camadas sobrepostas que trabalham juntas.

Governança e supervisão

• Conselho de segurança liderado pela diretoria
• Avaliações de risco anuais
• Revisões regulares de políticas alinhadas ao SMB1001
• Responsabilidades claras da engenharia à liderança

Treinamento e segurança humana

• Conscientização de segurança em toda a empresa
• Treinamento de engenharia segura por função
• Simulações e testes recorrentes de phishing
• Práticas secure-by-default incorporadas ao onboarding

Gestão de acessos

• SSO em todos os lugares
• MFA obrigatório
• Conformidade de dispositivos
• Revisões trimestrais de acesso em sistemas produtivos e internos
• Acesso de mínimo privilégio por padrão

Ciclo de desenvolvimento seguro

Segurança incorporada a cada etapa da engenharia.

Design

• Modelagem de ameaças para novos recursos
• Avaliações de impacto em privacidade
• Marcos de revisão arquitetural

Construção

• Varredura automatizada de dependências
• Análise estática e dinâmica de código
• Validação de infraestrutura como código

Release

• Revisão obrigatória por pares
• Segregação de funções
• Deploys graduais com rollback automático
• Integração contínua com guardrails de segurança

Resultado:
Só lançamos funcionalidades quando atendem aos nossos padrões de segurança, privacidade e resiliência.

Infraestrutura e operações

Seguro por padrão. Resiliente sob pressão.

Hospedagem e segurança de rede

• Infraestrutura principal da plataforma hospedada em Wellington, Nova Zelândia
• Infraestrutura secundária de failover hospedada em Auckland, Nova Zelândia
• Design de rede carrier-neutral e arquitetura de mínima exposição
• Segmentação de rede e exposição controlada de serviços
• WAF (firewall de aplicações web)
• Mitigação DDoS e rate limiting

Observabilidade e monitoramento

• Logs em tempo real e detecção de anomalias
• Alertas automáticos para nossa função de Security Operations
• Monitoramento proativo de atividades arriscadas ou incomuns

Integridade dos backups

• Dados criptografados em trânsito e em repouso
• Replicação de dupla região entre Wellington e Auckland para durabilidade
• Exportações de backup para download e acesso offline In-Control como caminhos independentes de recuperação
• Testes trimestrais de restauração para validar integridade e recuperabilidade

Gestão de vulnerabilidades

Encontrar cedo. Corrigir rápido.

• Varreduras semanais de contêineres, hosts e dependências
• Pipelines automatizados de patches
• Metas de correção:
  • Crítico: 7 dias
  • Alto: 14 dias
  • Médio: 30 dias
• Pentests anuais de terceiros
• Testes adicionais ad hoc para mudanças relevantes de produto

Nosso compromisso:
Riscos são identificados rapidamente, priorizados com responsabilidade e resolvidos dentro de SLAs rigorosos.

Resposta a incidentes

Playbooks claros. Respondedores dedicados. Comunicação honesta.

A Control-C mantém um programa estruturado de resposta a incidentes que cobre:

• Eventos de segurança
• Incidentes de privacidade
• Eventos de continuidade
• Indisponibilidades de fornecedores
• Cenários de recuperação de desastres

Durante um incidente ativo

• Respondedores dedicados disponíveis 24/7
• Comunicação via nosso Trust Center e status page
• Clientes informados cedo e mantidos atualizados
• Contenção, investigação e recuperação segundo playbooks formais

Depois de um incidente

• Revisões pós-incidente
• Lições documentadas
• Melhorias em controles, automação e prevenção

Tratamos cada incidente como uma chance de fortalecer toda a plataforma.

Relato e contato

Se tiver alguma preocupação, fale direto conosco.

Problemas de segurança:
[email protected]
(Chave PGP disponível no Trust Center)

Dúvidas de privacidade:
[email protected]

Escalações urgentes:
Trust Hotline: +1 (800) 555-9824

Última atualização: 20 de março de 2025

Control-C: Backup que lembra de tudo.