O Alibaba Cloud reconhece a importância da avaliação de riscos para os clientes ao adotar soluções em nuvem para hospedar seus sistemas de negócios e dados. Um processo bem definido de avaliação de riscos garante que os riscos potenciais de segurança sejam identificados e controlados dentro de um limite aceitável. Esta seção fornece orientações para ajudar os clientes a conduzir eficazmente avaliações de riscos por meio do framework de segurança do Alibaba Cloud.

O Alibaba Cloud segue o modelo de responsabilidade compartilhada, no qual as responsabilidades de segurança entre o Alibaba Cloud e os clientes variam conforme o tipo de serviço em nuvem selecionado:.

Infraestrutura como Serviço (IaaS)

● Responsabilidades do Alibaba Cloud: Garantir a segurança dos data centers físicos, da infraestrutura de rede, a segurança da plataforma em nuvem e a conformidade com regulamentações globais.
● Responsabilidades do cliente: Proteger aplicações desenvolvidas internamente, cargas de trabalho, dados de negócios e de usuários hospedados na nuvem. Realizar operações contínuas de segurança.

Plataforma como Serviço (PaaS)

● Responsabilidades do Alibaba Cloud: Além das responsabilidades de IaaS, garantir a segurança de máquinas virtuais, responsabilidade compartilhada pela segurança de aplicativos e integração de soluções de segurança de terceiros.
● Responsabilidades do cliente: Proteger o código do aplicativo, dados, gerenciamento de contas em nuvem e configurações de controle de acesso. Implementar melhores práticas de segurança no desenvolvimento de aplicativos em nuvem.

Software como Serviço (SaaS)

● Responsabilidades do Alibaba Cloud: Garantir a segurança do aplicativo, a segurança do serviço hospedado em nuvem e as políticas de acesso à rede.
● Responsabilidades do cliente: Proteger credenciais de conta, políticas de acesso de usuários e configurações de segurança de dados.

Para gerenciar eficazmente os riscos de segurança, os clientes devem:

1. Compreender a divisão de responsabilidades de segurança ao escolher IaaS, PaaS ou SaaS.

2. Aproveitar as capacidades de segurança do Alibaba Cloud para aprimorar as estratégias de mitigação de riscos.

3. Projetar uma arquitetura em nuvem com foco em segurança, garantindo alinhamento com as melhores práticas e requisitos de conformidade.

O Alibaba Cloud oferece um conjunto abrangente de ferramentas e serviços de segurança para ajudar os clientes a implementar ambientes seguros em nuvem. Os clientes devem configurar e utilizar proativamente esses recursos de segurança para fortalecer sua postura de segurança na nuvem.

O Alibaba Cloud mantém um programa contínuo de conformidade para garantir a adesão a padrões internacionais, regionais e setoriais de segurança. Nossas certificações de segurança e conformidade incluem:.

● ISO 27001 (Gerenciamento de Segurança da Informação)
● Relatórios SOC 1/SOC 2/SOC 3
● Outras certificações de segurança globais e específicas do setor.

Acesso aos relatórios de conformidade.

● Os clientes podem baixar relatórios de conformidade de segurança do Trust Center do Alibaba Cloud após assinar um NDA.
● Esses relatórios, emitidos por auditores externos independentes, avaliam a eficácia da segurança e os mecanismos de controle do Alibaba Cloud.
● Ao revisar esses relatórios de auditoria, os clientes podem validar os compromissos de segurança do Alibaba Cloud e garantir o alinhamento com seus frameworks internos de avaliação de riscos.

O Alibaba Cloud opera um framework abrangente de gerenciamento de riscos projetado para garantir a operação segura e o desenvolvimento sustentável dos nossos negócios. Ao integrar processos estratégicos de identificação, avaliação e mitigação de riscos, aprimoramos nossa capacidade de gerenciar proativamente possíveis ameaças, mantendo a conformidade com padrões regulatórios. Nosso framework de governança de riscos está alinhado com as melhores práticas internacionais, garantindo continuidade dos negócios, conformidade regulatória e excelência operacional.

O framework de gerenciamento de riscos do Alibaba Cloud adota uma abordagem holística e estruturada para identificar, avaliar, mitigar e monitorar riscos em toda a organização. Enfatizamos a governança proativa de riscos para garantir que todas as unidades de negócios operem em um ambiente de risco seguro e resiliente.

Os principais aspectos da nossa abordagem de gerenciamento de riscos incluem:
● Aprimoramento dos processos e metodologias de gerenciamento de riscos
● Modelos eficazes de identificação, avaliação e governança de riscos
● Mecanismos maduros de resposta a emergências.

● Abrangência e consistência: Para garantir uma abordagem de gerenciamento de riscos bem estruturada e abrangente, nosso framework se aplica a todos os funcionários do Alibaba Cloud, utilizando uma linguagem unificada de gerenciamento de riscos. Isso garante que todas as unidades de negócios gerenciem riscos sistematicamente, promovendo uma forte cultura de conscientização sobre riscos nas operações diárias.

● Gerenciamento categorizado e escalonado: Os riscos são dinamicamente categorizados e escalonados, com responsabilidade clara atribuída ao pessoal responsável.

● Governança diversificada: Com base nos requisitos de gerenciamento de riscos e nas realidades de negócios, formulamos estratégias e medidas direcionadas para permitir previsão proativa de riscos, tomada de decisão científica e gerenciamento eficaz.

O Alibaba Cloud segue um modelo organizado e estruturado de avaliação de riscos para garantir a identificação, avaliação e mitigação oportunas de possíveis ameaças. Nossa metodologia inclui:.

● Identificação de riscos: Utilizamos sistemas automatizados, auditorias internas e fontes externas de informação para monitorar e detectar riscos potenciais.
● Avaliação de riscos: Os riscos são avaliados com base no seu impacto potencial nas operações comerciais, conformidade regulatória, segurança, estabilidade financeira e confiança dos clientes.
● Governança de riscos: Os riscos são priorizados com base na probabilidade e gravidade, permitindo estratégias direcionadas de mitigação.

● Resposta a incidentes: Em caso de incidente de segurança inesperado, o Alibaba Cloud adota uma abordagem de resposta classificada e escalonada. Dependendo da natureza, nível de ameaça e impacto potencial do incidente, mobilizamos imediatamente equipes de resposta de emergência lideradas por especialistas, dentro de uma única equipe ou entre várias equipes. Nossa abordagem inclui alerta antecipado e resposta, avaliação e mitigação em tempo real, além de revisão e governança pós-incidente, tudo visando minimizar o impacto na plataforma do Alibaba Cloud e nas operações comerciais de nossos clientes.

● Simulados de emergência: Durante as operações regulares, o Alibaba Cloud realiza simulados de emergência adaptados aos requisitos de conformidade de diferentes países e regiões. Esses simulados avaliam a familiaridade com as funções, a velocidade de resposta e a eficiência de coordenação das equipes responsáveis, para garantir conformidade, aprimorar as capacidades de resposta e acumular experiência no tratamento de incidentes.

O Alibaba Cloud implementa um gerenciamento rigoroso de logs em todas as operações diárias, cobrindo múltiplas dimensões, incluindo hosts, rede, aplicações e produtos em nuvem, garantindo que atividades não autorizadas e comportamentos anormais sejam monitorados e detectados em detalhes. Esta seção descreve a abordagem abrangente do Alibaba Cloud para implantar logs de auditoria visando aprimorar continuamente nossa postura de segurança.

O Alibaba Cloud implanta uma estratégia centralizada de gerenciamento de logs para garantir uma visão holística do nosso ambiente de nuvem, aprimorando tanto a segurança quanto a eficiência operacional por meio de diversos tipos de logs de várias fontes, como servidores, aplicativos, dispositivos de rede e sistemas de segurança. Os engenheiros de O&M do Alibaba Cloud só podem realizar operações de manutenção relevantes no sistema de produção por meio de bastion hosts. Todo o processo operacional é registrado em logs. Uma vez coletados, esses logs são transmitidos com segurança à nossa Plataforma Central de Logs, que serve como ponto único para armazenamento e gerenciamento de todos os dados de log.

A análise de logs é o núcleo da estratégia centralizada de gerenciamento de logs do Alibaba Cloud. Regras de auditoria e monitoramento são definidas na Plataforma Centralizada de Logs para monitorar atividades sensíveis e detectar comportamentos suspeitos. Esse processo envolve o uso de análises avançadas, incluindo algoritmos de machine learning, para identificar padrões, anomalias e possíveis ameaças à segurança. Mecanismos de monitoramento e alerta em tempo real são configurados para acionar alertas na plataforma de monitoramento de segurança e abrir um chamado para que a equipe de segurança revise e acompanhe, garantindo que os riscos identificados sejam limitados e mantidos sob controle.

A estratégia interna centralizada de gerenciamento de logs do Alibaba Cloud desempenha um papel fundamental para garantir que os dados de logs permaneçam protegidos em termos de integridade, confidencialidade e disponibilidade. Isso é alcançado por meio de uma combinação de medidas de segurança robustas e melhores práticas, incluindo:.

● Restrições de acesso: A Plataforma Central de Gerenciamento de Logs do Alibaba Cloud oferece apenas interfaces de coleta e visualização de logs, enquanto as interfaces de modificação e exclusão são desativadas. O acesso aos logs é restrito a pessoal autorizado com aprovação baseada no tipo de acesso, garantindo que os dados de log no repositório central estejam protegidos contra acesso, modificação e exclusão não autorizados.

● Armazenamento seguro: O Alibaba Cloud garante que os dados de log sejam armazenados em um ambiente protegido e controlado, implementando medidas rigorosas de segurança para evitar acesso não autorizado, adulteração ou perda. Mecanismos robustos de armazenamento estão implementados para manter a integridade e a disponibilidade dos dados de log, garantindo que permaneçam seguros e acessíveis quando necessário. O monitoramento contínuo e as práticas de proteção aprimoram ainda mais a segurança dos logs armazenados, alinhando-se aos requisitos operacionais e de conformidade.

● Retenção de logs: O Alibaba Cloud define os períodos de retenção de logs com base em requisitos regulatórios, obrigações legais e necessidades de negócios. Normalmente, a maioria dos logs de auditoria é retida por pelo menos seis meses para garantir o alinhamento com os objetivos de segurança, operacionais e de conformidade.

● Backup de logs: O Alibaba Cloud implementa processos automatizados de backup para reduzir o risco de erro humano e garantir que os logs sejam consistentemente e seguramente armazenados em backup.

O Alibaba Cloud implementa um framework robusto de gerenciamento de acesso para proteger sistemas e dados, garantindo que apenas pessoal autorizado tenha acesso a recursos específicos e restritos. Nossa abordagem inclui a identificação dos níveis de acesso necessários, a aplicação do princípio de menor privilégio, monitoramento contínuo e a realização de revisões e auditorias regulares dos direitos de acesso. Esta seção detalha as práticas abrangentes de gerenciamento de acesso do Alibaba Cloud, reforçando nosso compromisso em manter padrões rigorosos de segurança e proteger a confiança de nossos clientes.

O rigoroso framework de gerenciamento de acesso do Alibaba Cloud forma a base da nossa arquitetura de confiança zero, aderindo aos princípios de menor privilégio e necessidade de conhecimento. Aplicamos controles rigorosos de acesso aos dados dos clientes, garantindo que os funcionários só possam acessar essas informações com autorização explícita do cliente. Os clientes mantêm controle total, gerenciamento e propriedade de seus dados. O Alibaba Cloud nunca utiliza ou deriva informações dos dados dos clientes para marketing, publicidade ou quaisquer fins não autorizados. As principais práticas de gerenciamento de acesso incluem:.

● Isolamento lógico: O Alibaba Cloud implementou uma arquitetura robusta de isolamento de tenants que define ambientes segregados como padrão para os usuários, prevenindo acesso não autorizado ou interferência nos dados uns dos outros.

● Controle de acesso baseado em funções (RBAC): Utilizamos RBAC para atribuir um conjunto limitado de permissões padrão com base na posição e função do colaborador dentro da organização, garantindo que os colaboradores tenham acesso apenas aos recursos necessários para suas responsabilidades profissionais.

● Gerenciamento automatizado de contas: Um sistema centralizado de gerenciamento de permissões gerencia solicitações de acesso, aprovações e provisionamento ou remoção automática de acesso. Esse sistema se sincroniza com o sistema de Recursos Humanos para ajustar as permissões de acesso quando colaboradores saem ou mudam de cargo.

● Segregação de funções: Dentro do processo de aprovação de acesso, o Alibaba Cloud aplica a segregação de funções atribuindo papéis distintos para solicitantes, aprovadores e administradores do sistema de gerenciamento. Isso garante que apenas as permissões apropriadas sejam concedidas após aprovações objetivas.

● Autenticação multifator (MFA): Para adicionar uma camada extra de segurança, a MFA é obrigatória para acessar sistemas e recursos de produção. Mesmo que uma senha seja comprometida, o acesso não autorizado continua sendo prevenido.

● Revisão e monitoramento de acesso: Regras definidas de auditoria e monitoramento no sistema de monitoramento de acesso analisam o uso de contas e permissões de acesso, detectam possíveis usos indevidos e geram alertas automatizados para notificar a equipe de segurança sobre quaisquer desvios ou exceções. A equipe de segurança é responsável por investigar os alertas e tomar as medidas apropriadas.

● Treinamento e conscientização em segurança: Treinamentos regulares sobre melhores práticas de segurança, incluindo gerenciamento seguro de acesso e reconhecimento de tentativas de phishing ou outros ataques de engenharia social, são oferecidos a todos os colaboradores. Essa educação contínua promove uma forte cultura de segurança dentro da empresa.

O Alibaba Cloud implanta medidas abrangentes de controle de acesso para garantir que todo acesso aos seus sistemas de produção seja seguro, auditável e esteja em conformidade com as melhores práticas de cibersegurança. Por padrão, os funcionários responsáveis pela operação desses sistemas não têm acesso ao conteúdo dos clientes. Os clientes mantêm controle total sobre a concessão de acesso externo e temporário aos seus recursos do Alibaba Cloud por meio do serviço de tickets do console de gerenciamento, onde o acesso é estritamente regido pelas configurações de autorização definidas pelo cliente.

Com base nos riscos potenciais associados a diferentes níveis de acesso, o Alibaba Cloud categoriza as permissões de acesso em três tipos: usuários normais, administradores de aplicativos e administradores de sistema. Os funcionários que precisam acessar servidores físicos, dispositivos de rede ou máquinas virtuais devem enviar uma solicitação com um período definido e receber aprovação de pessoal autorizado. Após a expiração do período de acesso ou conclusão da tarefa, as permissões são prontamente revogadas para evitar direitos de acesso remanescentes.

O acesso aos sistemas de produção é rigorosamente controlado e monitorado. Os funcionários só podem obter entrada por meio de bastion hosts, que exigem autenticação de dois fatores (2FA). Todas as atividades realizadas nos sistemas de produção via bastion hosts são registradas em tempo real e transferidas para uma plataforma central de gerenciamento de logs para análise e auditoria.

O Alibaba Cloud reconhece plenamente a importância crítica da criptografia de dados para atender aos rigorosos requisitos de proteção de dados. Nossas soluções de criptografia garantem a confidencialidade, autenticidade e integridade de dados sensíveis por meio de técnicas criptográficas de última geração. Esta seção descreve nossos mecanismos abrangentes de criptografia de ponta a ponta, projetados para proteger o conteúdo dos clientes durante todo o seu ciclo de vida. Esses mecanismos incluem criptografia em trânsito, criptografia em repouso e serviços de computação criptografada baseados em hardware. Estamos comprometidos em aprimorar continuamente nossas tecnologias para estar alinhados com as melhores práticas de segurança e privacidade de dados.

A criptografia em trânsito protege os dados à medida que trafegam pelas redes, garantindo que informações sensíveis permaneçam confidenciais, íntegras e autênticas do remetente ao destinatário. O Alibaba Cloud oferece múltiplos mecanismos para proteger dados em trânsito, incluindo:.

● Transmissão segura de dados pelo Console de Gerenciamento: O Console de Gerenciamento do Alibaba Cloud utiliza criptografia HTTPS para transmissões de dados quando os clientes realizam operações pelo console, garantindo que as interações permaneçam seguras e confidenciais.

● Pontos de acesso à API seguros: Os produtos do Alibaba Cloud fornecem aos clientes pontos de acesso à API que suportam HTTPS com criptografia de até 256 bits, atendendo aos requisitos de transmissão segura de informações confidenciais.

● Algoritmos e protocolos de criptografia seguros: O Alibaba Cloud oferece algoritmos de criptografia de alta segurança, como AES-256, e protocolos criptográficos como IPsec e TLS, combinados com mecanismos rigorosos de autenticação e autorização para evitar que dados criptografados sejam comprometidos.

● Criptografia de ponta a ponta segura: Os produtos de gateway de rede do Alibaba Cloud oferecem criptografia de ponta a ponta durante a transmissão de dados. Por exemplo, os clientes podem usar nossos produtos VPN Gateway para estabelecer conexões IPsec-VPN e SSL-VPN conforme necessário, garantindo que todos os dados transmitidos por esses canais criptografados permaneçam confidenciais, autênticos e à prova de adulteração.

O Alibaba Cloud oferece soluções abrangentes de criptografia para dados em repouso em todos os seus serviços, permitindo que os clientes criptografem dados armazenados usando técnicas criptográficas avançadas.

● Mecanismo de criptografia de envelope: Este mecanismo é baseado em uma hierarquia de chaves composta por pelo menos duas camadas:

 ○Customer Master Key (CMK): Usada para criptografar ou descriptografar Data Encryption Keys (DEKs).
 ○Data Encryption Key (DEK): Usada para criptografar ou descriptografar dados de negócios.

● Bring Your Own Key (BYOK): O Alibaba Cloud oferece múltiplos produtos que suportam chaves de criptografia gerenciadas pelo usuário, incluindo a opção de os clientes fazerem upload de suas próprias CMKs como parte do recurso BYOK ou gerarem suas próprias CMKs no Key Management Service (KMS).

● Medidas de proteção de chaves: O Alibaba Cloud implementa medidas de proteção de chaves padrão do setor usando sua infraestrutura KMS, que está em conformidade com as recomendações do NIST 800-57 e emprega algoritmos criptográficos certificados e Módulos de Segurança de Hardware (HSMs).

 ○ Os HSMs usados fora da China continental possuem certificação FIPS 140-2 Nível 3.
 ○ O KMS inclui um recurso de rotação automática de chaves, permitindo que os clientes configurem a rotação automática de CMKs.

● Criptografia por design: Os recursos de criptografia de dados são integrados em vários produtos do Alibaba Cloud, incluindo Elastic Block Storage (EBS), Object Storage Service (OSS), Relational Database Service (RDS), MaxCompute e File Storage NAS. Por exemplo: o OSS suporta criptografia do lado do servidor e do lado do cliente:

 ○Criptografia do lado do servidor: O OSS usa chaves gerenciadas pelo serviço ou CMKs BYOK para criptografar dados.
 ○Criptografia do lado do cliente: O OSS permite que os clientes usem chaves autogerenciadas ou CMKs geradas no Alibaba Cloud KMS para criptografar dados antes do upload.

A estratégia robusta de segurança de rede do Alibaba Cloud serve como base para construir confiança e garantir a confiabilidade dos serviços. Para mitigar eficazmente os riscos de segurança de rede, focamos no fortalecimento da arquitetura de rede, na aplicação de controles rigorosos de acesso à rede e no uso de mecanismos avançados de detecção e prevenção contra ameaças de rede. Esta seção descreve nossas estratégias de segurança de rede em múltiplas camadas, projetadas para otimizar continuamente a postura de segurança de nossos ambientes de rede.

O Alibaba Cloud projeta estrategicamente a segurança de rede desde a fase inicial de arquitetura para garantir que seja robusta, escalável e segura. Implementamos uma abordagem de proteção de rede multicamada, protegendo diferentes camadas, desde a defesa perimetral até a segmentação interna. Essa abordagem em camadas isola recursos críticos e reduz o risco de movimentação lateral por atacantes, aprimorando assim a segurança geral da rede.

● Segmentação de rede: O Alibaba Cloud implementa medidas de isolamento de rede para aprimorar a segurança e o controle dividindo a rede em ambientes de produção e não produção. Essa divisão impede que agentes maliciosos se movam livremente dentro da rede. Além disso, segmentamos ainda mais a rede de produção para separar as redes de serviços em nuvem que fornecem serviços externos das redes físicas que suportam as funcionalidades subjacentes dos serviços em nuvem.

● Controles rigorosos de acesso à rede: O acesso à rede física a partir da rede de serviços em nuvem é desativado por padrão por meio de ACLs de rede configuradas. O Alibaba Cloud também aplica medidas rigorosas de controle de rede para impedir que dispositivos não autorizados se conectem à rede interna e para impedir que servidores físicos iniciem conexões com dispositivos externos. Além disso, implantamos bastion hosts nos limites da rede de produção para gerenciamento e controle centralizados, garantindo que todas as atividades de acesso nas redes de produção sejam auditadas e registradas.

Além do isolamento de rede e de controles rigorosos de acesso à rede, o Alibaba Cloud implanta mecanismos de detecção e prevenção de intrusão de rede para proteger contra atividades maliciosas na rede.

● Detecção e prevenção de rede em tempo real: O Alibaba Cloud emprega sistemas sofisticados de detecção de intrusão (IDS) nos limites da rede e em segmentos internos para monitorar automaticamente o tráfego em busca de sinais de atividades suspeitas ou não autorizadas, alertando nossa equipe de segurança sobre qualquer comportamento malicioso na rede. Além disso, implementamos regras de sistema de prevenção de intrusão (IPS) para bloquear tráfego malicioso e garantir proteção proativa contra ameaças.

● Resposta rápida e investigação: O Alibaba Cloud integra seus mecanismos de detecção e prevenção de intrusão a uma plataforma de monitoramento de incidentes de segurança, permitindo análise rápida de atividades suspeitas na rede e respostas ágeis a intrusões. Essa integração minimiza a janela de oportunidade para atacantes.

● Melhorias contínuas de segurança: Com os insights de inteligência contra ameaças obtidos em cada incidente de segurança, a equipe de segurança do Alibaba Cloud atualiza continuamente as regras de detecção e prevenção para aprimorar a segurança da rede e se manter à frente das ameaças emergentes.

O Alibaba Cloud implementa um programa abrangente de Gerenciamento de Fornecedores para regular as interações com fornecedores e funcionários terceirizados, garantindo a segurança durante todo o ciclo de gerenciamento de fornecedores. Esta seção descreve nossos controles robustos antes, durante e após o engajamento com fornecedores, refletindo nosso compromisso de longo prazo com a otimização da segurança de dados e conformidade no gerenciamento de fornecedores.

Durante a fase de integração de fornecedores, o Alibaba Cloud implementa uma série de medidas rigorosas de avaliação e controle de segurança focadas em segurança da informação e proteção de dados para garantir que cada fornecedor atenda aos nossos altos padrões de segurança:.

● Due diligence de fornecedores: Para fornecedores que processam dados pessoais, a equipe de segurança e conformidade do Alibaba Cloud realiza uma due diligence completa. Essa avaliação analisa as capacidades do fornecedor em segurança de dados e conformidade, abrangendo seus frameworks de gerenciamento de segurança da informação, políticas de criptografia de dados, mecanismos de controle de acesso, planos de resposta a incidentes e outras práticas relevantes. O objetivo é garantir que os fornecedores protejam eficazmente os dados pessoais de acordo com nossos padrões definidos.

● Requisitos contratuais de segurança: Antes de iniciar o trabalho, todos os fornecedores devem assinar um contrato que estabelece seus direitos e obrigações, escopo de serviços, cláusulas de confidencialidade, requisitos de segurança e conformidade e níveis de serviço. Esse contrato rege a relação entre o Alibaba Cloud e seus fornecedores, garantindo expectativas e responsabilidades claras.

Para garantir que os fornecedores cumpram continuamente políticas rigorosas de segurança da informação e proteção de dados durante a parceria, o Alibaba Cloud estabeleceu um mecanismo de monitoramento proativo:.

● Gerenciamento de pessoal terceirizado: Os funcionários dos fornecedores do Alibaba Cloud não recebem acesso à rede interna até que concluam com êxito o treinamento obrigatório de conscientização em segurança da informação e sejam aprovados em um teste de segurança de dados. Os comportamentos de acesso dos funcionários dos fornecedores são gerenciados e controlados pelo nosso Sistema de Gerenciamento de Acesso, prevenindo acessos não autorizados a dados.

● Monitoramento contínuo de conformidade: O Alibaba Cloud realiza monitoramento regular dos fornecedores para garantir a conformidade com nossos padrões de segurança da informação e proteção de dados durante toda a parceria. Por exemplo, os provedores de serviços de data center devem enviar relatórios mensais para revisão, cobrindo diversos aspectos como logs de acesso, incidentes relevantes, resumos de atividades de manutenção e dados-chave dos sistemas de monitoramento para garantir a operação segura e estável dos data centers.

● Lista de subprocessadores: O Alibaba Cloud limita o número de fornecedores autorizados a atuar como subprocessadores no processamento de Conteúdo de Membros em nome dos clientes. Esses subprocessadores se enquadram em duas categorias:

  ○ Entidades afiliadas ao Alibaba Cloud que fornecem a infraestrutura que suporta os Produtos/Serviços do Alibaba Cloud.

  ○ Fornecedores terceirizados contratados pelo Alibaba Cloud para realizar atividades específicas de processamento para determinados serviços. Os clientes podem acessar a Lista de Subprocessadores do Alibaba Cloud fazendo login em sua conta do Alibaba Cloud.

O Alibaba Cloud opera um portfólio global de data centers para fornecer poder de computação e rede altamente confiável, eficiente e seguro para clientes e parceiros. Esses data centers servem como espinha dorsal dos mais de 200 produtos e serviços do Alibaba Cloud. Para garantir a proteção da infraestrutura e dos dados dos clientes, o Alibaba Cloud estabeleceu um programa robusto de segurança física e ambiental, atuando como primeira linha de defesa contra ameaças que vão desde desastres naturais até invasões físicas maliciosas. Este artigo descreve a abordagem em múltiplas camadas do Alibaba Cloud para proteger seus data centers e nosso compromisso contínuo em aprimorar as medidas de segurança.

Seleção de local

Antes de estabelecer um data center, o Alibaba Cloud realiza avaliações rigorosas de seleção de local para identificar e mitigar riscos potenciais. Os locais são estrategicamente escolhidos para minimizar a exposição a desastres naturais, como terremotos, inundações e eventos climáticos extremos. Nossas Zonas de Disponibilidade são projetadas para serem independentes e geograficamente separadas para aumentar a resiliência.

Redundância de energia

Para garantir serviço ininterrupto 24/7, os data centers do Alibaba Cloud são alimentados por duas fontes principais e sistemas de energia redundantes. As fontes de energia primária e secundária fornecem capacidade igual. Em caso de falha de energia, bancos de baterias redundantes e geradores a diesel são ativados para sustentar as operações do data center por um período prolongado, garantindo a disponibilidade contínua do serviço.

Áreas seguras e compartimentalização

O Alibaba Cloud implementa controles rígidos de segurança física segmentando as instalações dos data centers em áreas designadas, incluindo salas de servidores, espaços de escritório e zonas de entrega. Cada área é compartimentalizada com base nos níveis de sensibilidade, com medidas de segurança que aumentam proporcionalmente.

Controle de acesso de colaboradores

Os data centers do Alibaba Cloud são acessíveis apenas a colaboradores autorizados. As permissões de acesso devem ser solicitadas com uma justificativa comercial válida e são concedidas com base no princípio de menor privilégio. Todos os direitos de acesso têm duração limitada e requerem aprovação de pessoal autorizado. Os colaboradores só podem entrar em áreas designadas, e as permissões de acesso são revogadas após a expiração.

Acesso de terceiros

Terceirizados e visitantes devem enviar solicitações de acesso antecipadamente, fornecendo justificativas comerciais. Seu acesso é limitado às áreas aprovadas e concedido com base no princípio de menor privilégio. Os visitantes devem ser acompanhados por funcionários autorizados do Alibaba Cloud em todos os momentos. As permissões de acesso são automaticamente revogadas após o período aprovado.

Monitoramento de segurança

Os data centers do Alibaba Cloud são equipados com videovigilância em todos os pontos de entrada principais, incluindo entradas, áreas de entrega de equipamentos e zonas de acesso crítico. As gravações de vigilância são retidas conforme os requisitos legais e de conformidade. Além disso, os logs de acesso são revisados regularmente e armazenados com segurança para monitorar as atividades de entrada e detectar anomalias.

Gerenciamento de ativos

O Alibaba Cloud estabeleceu um sistema de gerenciamento de segurança para supervisionar todo o ciclo de vida dos dispositivos de armazenamento, desde o recebimento e implantação até a manutenção, transferência, reutilização ou desativação. Cada dispositivo é registrado em um sistema de gerenciamento de ativos e recebe um proprietário atribuído. Controles rigorosos de acesso e monitoramento contínuo garantem a segurança de todos os ativos de hardware. Manutenções e auditorias regulares são realizadas para verificar a conformidade.

Segurança de mídia de armazenamento

Quando as mídias de armazenamento são desativadas, o Alibaba Cloud segue o padrão NIST SP 800-88 para higienização segura de dados. Os dados armazenados são apagados múltiplas vezes para garantir a remoção permanente. As mídias de armazenamento desnecessárias são fisicamente destruídas por trituração. Todo o processo de higienização e descarte é documentado e retido para fins de auditoria.

Controle climático

Os data centers do Alibaba Cloud são equipados com sistemas de ar-condicionado de precisão que mantêm níveis ideais de temperatura e umidade. Essas condições são monitoradas eletronicamente, e qualquer desvio aciona um alarme automático, solicitando ação corretiva imediata.

Supressão de incêndio

Sistemas avançados de detecção de incêndio com sensores térmicos e de fumaça estão instalados nos data centers do Alibaba Cloud. Esses sensores estão posicionados tanto nos tetos quanto nos pisos e acionam alarmes sonoros e visuais quando ativados. Cada data center está equipado com um sistema integrado de supressão de incêndio à base de gás e extintores. Treinamentos e simulados regulares de segurança contra incêndio são realizados para a equipe dos data centers, garantindo capacidade de resposta rápida.

Prevenção contra inundações

Os data centers do Alibaba Cloud são construídos com materiais à prova d'água e estão em conformidade com normas nacionais de resistência à água. Os edifícios passam por inspeções regulares quanto a umidade e vazamentos, com correção imediata de quaisquer problemas detectados. Os pisos são projetados com sistemas de drenagem e camadas de isolamento para prevenir inundações. Sensores de detecção de água são estrategicamente posicionados próximos a tubulações, acionando alarmes ao detectar vazamentos para facilitar uma resposta imediata.

Simulações e inspeções

Os data centers do Alibaba Cloud realizam simulações e inspeções regulares de segurança, simulando possíveis incidentes de segurança física e ambiental, como quedas de energia. Os resultados desses exercícios são documentados, e as lições aprendidas são incorporadas às melhorias de segurança.

Monitoramento e análise em tempo real

A equipe local trabalha em turnos para monitorar continuamente as operações dos data centers do Alibaba Cloud. Sistemas de monitoramento em tempo real rastreiam condições ambientais, incluindo temperatura e umidade, bem como o desempenho dos servidores. Se qualquer parâmetro se desviar da faixa padrão, alertas automáticos são acionados, solicitando resolução imediata pela equipe local.

Auditorias de terceiros e conformidade

Os data centers do Alibaba Cloud aderem aos principais padrões de segurança do setor, incluindo ISO 27001 (Gerenciamento de Segurança da Informação) e ISO 22301 (Gerenciamento de Continuidade de Negócios). Auditores independentes de terceiros avaliam regularmente a conformidade com esses padrões. Para mais detalhes, visite o Trust Center e Repositório de Conformidade do Alibaba Cloud.

O Alibaba Cloud opera um sistema de segurança da informação de alto nível que integra processos rigorosos gerenciados por uma equipe altamente qualificada de monitoramento e resposta a incidentes. A Equipe de Resposta a Incidentes do Alibaba Cloud é uma unidade especializada dedicada ao gerenciamento e à mitigação de incidentes de segurança. Essa equipe desempenha um papel fundamental na manutenção da segurança e integridade dos dados dos clientes, respondendo prontamente a qualquer evento não planejado que possa comprometer a qualidade do serviço ou representar ameaças à segurança.

Dependendo da natureza do incidente, a equipe de resposta pode incluir especialistas das seguintes áreas:.

● Comandante de resposta a incidentes

● Coordenadores de incidentes

● Especialistas em segurança

● Especialistas em P&D e engenharia

● Especialistas jurídicos e de conformidade

● Especialistas em relações públicas e assuntos governamentais

● Especialistas em suporte ao cliente.

O Alibaba Cloud emprega monitoramento contínuo e sistemas avançados de detecção de ameaças para identificar e responder a incidentes de segurança em tempo real. O framework de resposta a incidentes foi projetado para garantir o tratamento rápido e eficaz de incidentes, minimizando seu impacto na qualidade do serviço e na experiência do cliente. O objetivo principal do Alibaba Cloud na resposta a incidentes é gerenciar e mitigar incidentes de segurança de forma eficiente para garantir a continuidade, disponibilidade e segurança do ambiente em nuvem.

O Alibaba Cloud segue uma abordagem de cinco etapas para responder eficazmente a incidentes de segurança:.

1. Detecção e identificação – Possíveis incidentes de segurança são identificados usando ferramentas avançadas de monitoramento, incluindo Sistemas de Detecção de Intrusão (IDS), Gerenciamento de Informações e Eventos de Segurança (SIEM) e algoritmos de detecção de anomalias. Atividades suspeitas, como tentativas de acesso não autorizado e transferências anormais de dados, são monitoradas continuamente. Funcionários e usuários são incentivados a reportar irregularidades.

2. Triagem e resposta – A Equipe de Resposta a Incidentes avalia a gravidade e o impacto do incidente. Os incidentes são classificados com base na urgência, e medidas imediatas de contenção, como isolamento de sistemas afetados e desativação de contas comprometidas, são implementadas para evitar danos adicionais.

3. Investigação e análise – Especialistas em segurança conduzem a análise de causa raiz (RCA) para determinar a causa e a extensão do incidente. A análise forense é realizada em logs, imagens de sistema e tráfego de rede para compreender o impacto na integridade dos dados e nas operações de negócios.

4. Mitigação e resolução – O incidente é mitigado com a aplicação de patches de segurança, remoção de malware e restauração dos sistemas afetados a partir de backups verificados. Um relatório detalhado do incidente é elaborado, documentando as principais conclusões, as ações realizadas e as recomendações para melhorias futuras.

5. Melhoria pós-incidente – O Alibaba Cloud fortalece as medidas de segurança aprendendo com incidentes anteriores. As políticas de segurança são atualizadas, os colaboradores passam por treinamentos de cibersegurança e o monitoramento proativo de ameaças é realizado para prevenir futuras ameaças.

1. Detecção e identificação

A identificação oportuna e precisa de incidentes de segurança é fundamental para o gerenciamento eficaz de incidentes. O Alibaba Cloud emprega monitoramento em tempo real, alertas automatizados e auditoria contínua para detectar e reportar possíveis ameaças à segurança.

● Ferramentas de monitoramento: Sistemas de Gerenciamento de Informações e Eventos de Segurança (SIEM), Sistemas de Detecção de Intrusão (IDS) e Sistemas de Prevenção de Intrusão (IPS) ajudam a identificar atividades suspeitas.

● Detecção de anomalias: Alertas são acionados para eventos como múltiplas tentativas de login com falha, acesso não autorizado a dados e transferências inesperadas de dados.

● Coleta e análise de logs: Logs de hosts em nuvem, redes, aplicações e outros componentes de infraestrutura são coletados e analisados usando algoritmos de monitoramento de segurança.

● Reporte de incidentes: Funcionários e usuários são incentivados a reportar atividades suspeitas, como tentativas de phishing ou comportamento incomum do sistema.

2. Triagem e resposta

Após a detecção de um incidente, a Equipe de Resposta a Incidentes o categoriza e prioriza com base no impacto potencial.

● Classificação de incidentes: Níveis de gravidade (baixo, médio, alto) são atribuídos com base em fatores como:

  ○ Causa da violação e se ela está em andamento.

  ○ Número de indivíduos afetados.

  ○ Tipo de dados comprometidos.

  ○ Impacto nas operações comerciais.

  ○ Necessidade de assistência externa (por exemplo, resposta legal ou regulatória).

● Medidas de contenção: Ações imediatas para evitar danos adicionais, como isolar sistemas afetados, revogar permissões de acesso e desativar contas comprometidas.

● Preservação de evidências: Logs de sistema, snapshots e outros dados forenses são armazenados com segurança para investigação.

3. Investigação e análise

Os especialistas em segurança do Alibaba Cloud conduzem uma investigação minuciosa para compreender a causa, a extensão e o impacto do incidente.

● Análise de causa raiz (RCA): Identifica vulnerabilidades, vetores de ataque e fragilidades exploradas.

● Análise forense: Examina logs, imagens de sistema e tráfego de rede para rastrear a atividade do atacante.

● Avaliação de impacto: Avalia dados comprometidos, impacto operacional, possíveis perdas financeiras e implicações regulatórias.

4. Mitigação e resolução

A fase de resposta e recuperação concentra-se em mitigar o incidente e restaurar os sistemas afetados.

● Esforços de correção: Aplicar patches de segurança, atualizar configurações e remover malware.

● Restauração de dados e sistemas: Verificar e restaurar backups limpos para garantir a integridade dos dados.

● Documentação do incidente: Criar um relatório detalhado cobrindo:

  ○ Linha do tempo dos eventos.

  ○ Ações realizadas.

  ○ Conclusões da investigação.

  ○ Medidas de correção.

  ○ Recomendações para melhorias futuras.

● Comunicação com partes interessadas: Notificar usuários afetados, órgãos reguladores e outras partes interessadas em conformidade com as obrigações legais. O Alibaba Cloud garante comunicação transparente por meio de e-mails, comunicados oficiais e suporte ao cliente.

5. Melhoria pós-incidente

O Alibaba Cloud aprimora continuamente sua estratégia de resposta a incidentes aprendendo com incidentes anteriores.

● Aprimoramento do framework de segurança: Políticas, procedimentos e salvaguardas técnicas são atualizados com base nas lições aprendidas.

● Programas de treinamento e conscientização: Os funcionários recebem treinamento contínuo sobre ameaças cibernéticas e melhores práticas de resposta a incidentes.

● Auditorias externas de segurança: O Alibaba Cloud colabora com especialistas terceirizados para realizar avaliações de segurança e identificar áreas de melhoria.

● Monitoramento proativo de ameaças: Avaliações regulares de segurança, testes de penetração e detecção de anomalias são realizados para identificar e mitigar possíveis ameaças antes que se intensifiquem.

O Alibaba Cloud opera um programa abrangente de gerenciamento de vulnerabilidades projetado para proteger nossa infraestrutura, garantindo os mais altos níveis de segurança e confiabilidade dos serviços. Como parte integrante da nossa estratégia global de cibersegurança, esse programa foca na identificação, avaliação e mitigação de vulnerabilidades que possam comprometer nossos sistemas e serviços. Esta seção descreve a abordagem multicamada do Alibaba Cloud para o gerenciamento de vulnerabilidades e nosso compromisso com o aprimoramento contínuo da segurança.

O programa de gerenciamento de ameaças e vulnerabilidades do Alibaba Cloud garante a segurança da infraestrutura do Alibaba Cloud e dos ambientes dos clientes, detectando falhas no sistema e ações não autorizadas e aplicando medidas de correção oportunas. As vulnerabilidades são detectadas e reportadas por meio de múltiplos canais, incluindo:.

● Relatórios e varreduras internas: Nossos mecanismos internos de segurança incluem varreduras automatizadas de vulnerabilidades e auditorias manuais de segurança. Esses processos garantem que componentes de rede, servidores, aplicativos e bancos de dados sejam minuciosamente examinados em busca de vulnerabilidades potenciais.

● Relatórios externos: Colaboramos com entidades externas de segurança, incluindo o Alibaba Security Response Center (ASRC), a Plataforma de Testes de Segurança Colaborativos do Alibaba Cloud e fontes de inteligência contra ameaças de terceiros. Esses canais nos ajudam a rastrear Vulnerabilidades e Exposições Comuns (CVEs), especialmente aquelas que afetam componentes de código aberto de terceiros.

Todas as vulnerabilidades identificadas são consolidadas em nossa plataforma de gerenciamento de vulnerabilidades de segurança, onde passam por análise rigorosa, classificação e priorização com base em algoritmos predefinidos de monitoramento de segurança.

Uma vez identificadas e verificadas, as vulnerabilidades são priorizadas com base na gravidade, impacto potencial e explorabilidade. Nosso processo de avaliação de riscos e correção inclui:.

● Correção crítica: Vulnerabilidades de alta gravidade são tratadas com correção imediata e alterações de configuração por meio do nosso robusto sistema de gerenciamento de patches.

● Estratégias de mitigação de longo prazo: Para vulnerabilidades complexas que exigem alterações arquiteturais ou refatoração de código, implementamos planos de mitigação de longo prazo para garantir uma resolução abrangente.

● Gerenciamento de configuração:

  ○ A equipe de segurança mantém padrões de configuração que definem os requisitos básicos de hardening de sistemas.

  ○ Esses padrões passam por revisões e atualizações anuais.

  ○ Ferramentas automatizadas de varredura de configuração monitoram continuamente a conformidade, garantindo que desvios sejam prontamente detectados e corrigidos.

Ao abordar sistematicamente as vulnerabilidades com base em uma priorização orientada por riscos, o Alibaba Cloud minimiza possíveis ameaças à segurança, mantendo a eficiência operacional.

O programa de gerenciamento de vulnerabilidades do Alibaba Cloud é um processo contínuo voltado a manter e fortalecer nossa postura de segurança. As principais iniciativas incluem:.

● Inteligência proativa contra ameaças:

  ○ Utilizamos plataformas globais de inteligência contra ameaças e bancos de dados externos de vulnerabilidades para nos anteciparmos às ameaças de segurança emergentes.

● Testes de penetração e simulados de segurança:

  ○ Equipes internas de red team e especialistas externos em segurança realizam testes de penetração regulares para avaliar a postura de segurança da nossa infraestrutura.

  ○ Simulados de ataque e defesa avaliam e aprimoram sistematicamente nossas capacidades de detecção e resposta a ameaças.

● Treinamento e conscientização em segurança:

  ○ Investimos em programas contínuos de educação para garantir que todos os colaboradores possam identificar, relatar e responder eficazmente a ameaças de segurança.

  ○ Essa cultura de segurança fortalece a capacidade do Alibaba Cloud de detectar e mitigar vulnerabilidades de forma proativa.

Transparência e colaboração são componentes essenciais da estratégia de gerenciamento de vulnerabilidades do Alibaba Cloud. Engajamos ativamente clientes e a comunidade mais ampla de cibersegurança para promover uma abordagem cooperativa em segurança:.

● Reporte de vulnerabilidades e programas de bug bounty:

  ○ O Alibaba Cloud opera programas de bug bounty que incentivam pesquisadores externos de segurança a reportar vulnerabilidades, aprimorando nossas capacidades de segurança além das equipes internas.

  ○ Mais detalhes podem ser encontrados em: Alibaba Security Response Center (ASRC).

● Relatórios transparentes e comunicação com clientes:

  ○ Informamos proativamente os clientes sobre vulnerabilidades identificadas e esforços de correção, garantindo transparência no gerenciamento de segurança.

  ○ Nossa abordagem promove confiança e colaboração, permitindo que os clientes fortaleçam suas próprias defesas de segurança diante de ameaças emergentes.