No site Microblink, levamos a segurança e a privacidade a sério.

Microblink tem uma Política de Segurança da Informação formal em vigor, baseada na norma internacional ISO 27001:2022 para segurança da informação e na extensão de privacidade da norma ISO 27701:2019 relacionada. Microblink é certificado de acordo com essas normas que garantem que a política de segurança da informação e os objetivos de segurança da informação sejam estabelecidos e sejam compatíveis com a direção estratégica da organização, e que os requisitos do sistema de gerenciamento de segurança da informação sejam integrados aos processos da organização.

Microblink possui um departamento de Segurança da Informação e Operações de TI, cujo gerente também é responsável pelo Sistema de Gerenciamento de Segurança da Informação de acordo com a norma ISO 27001:2022. As tarefas do chefe de segurança da informação e operações de TI incluem fornecer liderança e conhecimento especializado em segurança da informação, apoiar as equipes na implementação de controles de segurança e no monitoramento desses controles, além de cooperar regularmente com os membros da diretoria em tópicos relacionados à segurança da informação.

Microblink nomeou um diretor de proteção de dados e gerente de sistema de gerenciamento de informações de privacidade (PIMS) responsável por implementar, gerenciar e manter o PIMS em Microblink de acordo com a norma ISO 27701:2019 e deveres relacionados a regulamentos de privacidade, como o Regulamento Geral de Proteção de Dados (GDPR).

Microblink tem um ciclo de vida de desenvolvimento de software seguro bem estabelecido. Ele consiste na identificação e no gerenciamento de riscos no processo de desenvolvimento, na definição de requisitos de segurança, na análise de módulos de terceiros, no processo de revisão de código e no gerenciamento de vulnerabilidades por meio de pentests externos regulares e de um programa de recompensa por bugs. As descobertas críticas e de alto risco relevantes são resolvidas antes da implantação na produção, enquanto outras descobertas relevantes são discutidas com o gerente de engenharia e o chefe de segurança da informação responsáveis ou resolvidas durante o ciclo de vida de desenvolvimento regular.

A divulgação da vulnerabilidade geralmente é definida contratualmente com o cliente. Após a divulgação de uma possível vulnerabilidade para Microblink, o que pode ser feito por meio do Suporte ao Cliente, a correção dos riscos de gravidade crítica relevantes relacionados ao produto fornecido é atenuada o mais rápido possível, mas geralmente não mais do que trinta dias a partir da data da descoberta; as vulnerabilidades de alto risco relevantes são atenuadas dentro de sessenta dias a partir da data da descoberta, enquanto outras vulnerabilidades relevantes são resolvidas durante o ciclo de vida regular de desenvolvimento de software. Quando resolvidas, as novas versões implementadas para corrigir essas vulnerabilidades críticas e de alto risco podem ser divulgadas aos clientes por meio de notas de versão e notificações do Suporte ao Cliente.

Nosso código-fonte é gerenciado por meio do Git Source Code Management na nuvem Bitbucket, e as permissões para mesclagem nas ramificações principais são definidas de modo que somente os desenvolvedores sênior possam realizar a mesclagem depois de garantir que as alterações no código atendam aos padrões de qualidade exigidos e que os testes de CI sejam aprovados. Os testes de CI são sempre executados em “compilação de produção” (otimizações completas) e “compilações de desenvolvimento” (a maioria das otimizações, asserções ativadas, sanitizador de endereço e comportamento indefinido ativado) para detectar erros de memória e garantir que o código contribuído esteja livre de bugs. Além de atender aos padrões de qualidade, os desenvolvedores sênior também precisam verificar se a contribuição contém alguma verificação sensível de IP ou de segurança, como verificações de licença. Os desenvolvedores precisam validar que todas essas verificações são realizadas usando mecanismos de verificação internos projetados para serem robustos contra cracking e descompilação binária, ou seja, que ofuscam as decisões confidenciais no código e as informações confidenciais codificadas que poderiam ajudar na descompilação (por exemplo, mensagens de erro).

Microblink definiu um plano de continuidade de negócios e um plano de recuperação de desastres para sistemas críticos internos, que são testados regularmente pelo menos uma vez por ano. Os aspectos de segurança das informações do gerenciamento da continuidade dos negócios em Microblink estão em conformidade com os requisitos da norma ISO 27001:2022. Quando o Microblink desempenha a função de provedor de serviços no caso de um produto do tipo Cloud API, o serviço Cloud API é configurado em um modo de alta disponibilidade em uma infraestrutura de computação em nuvem de terceiros. No caso de outros tipos de produtos, como SDKs móveis ou de navegador, ou API auto-hospedada, o cliente é responsável pelas soluções de BCM e DR.

Microblink A Microsoft emite licenças para seus produtos de forma que cada licença esteja vinculada a um identificador exclusivo para garantir que, se alguém tiver em mãos sua chave de licença, não poderá usá-la. Como identificador exclusivo para SDKs móveis, estamos usando identificadores de aplicativos, para nomes de domínio de aplicativos no navegador e, para sistemas Linux, o DBUS UUID do sistema. Todos os nossos produtos enviam os dados da licença ao nosso servidor de licenciamento para validação antes da verificação e, dessa forma, protegem os clientes e o site Microblink contra o uso indevido da licença.

Microblink não realiza auditorias com base nos requisitos do PCI DSS e do SOC 2 porque não desenvolvemos soluções de pagamento e não estamos diretamente envolvidos no processamento, no armazenamento ou na transmissão de dados do titular do cartão em nome de outra empresa. No caso dos produtos SDK e Self-Hosted API, os resultados do processamento de dados e as informações de PII/titular do cartão nunca saem do dispositivo do usuário final (SDK) ou do servidor do cliente (Self-Hosted) e nunca são compartilhados com Microblink. Além disso, acreditamos que nossos certificados ISO, pelos quais somos auditados regularmente, garantem que nossas práticas de segurança e privacidade são bem fundamentadas e continuamente aprimoradas.