Visão Geral Sobre a Segurança de Dados

Centro de Dados

A infraestrutura física do Heroku é hospedada e gerenciada nos Centro de Dados seguros da Amazon e utiliza a tecnologia Amazon Web Services (AWS). A Amazon gerencia continuamente o risco e passa por avaliações recorrentes para garantir a conformidade com os padrões do setor. As operações do centro de dados da Amazon são credenciadas com:

• ISO 27001
• SOC 1 and SOC 2/SSAE 16/ISAE 3402 (anteriormente SAS 70 Tipo II)
• PCI Nível 1
• FISMA Moderate
• Sarbanes-Oxley (SOX)
• PCI

Segurança Física

A Heroku utiliza data centers com certificação ISO 27001 e FISMA gerenciados pela Amazon. Os centros de dados da AWS estão alojados em instalações não descritivas e as instalações têm extensos acostamentos de controle de perímetro ao nível militar, bem como outra proteção natural de limites. O acesso físico é estritamente controlado, tanto no perímetro quanto nos pontos de entrada do edifício por profissionais de segurança, utilizando vigilância por vídeo, sistemas de detecção de intrusão de última geração e outros meios eletrônicos. A equipe autorizada deve passar pela autenticação de dois fatores pelo menos três vezes para acessar os andares do centro de dados. Todos os visitantes e contratados são obrigados a apresentar identificação e a assinar documentos, além de serem constantemente escoltados por colaboradores autorizados.

Para mais informações, veja: Segurança na Nuvem AWS.

Testes de Segurança - Avaliações de Vulnerabilidade

Os testes de segurança de terceiros do aplicativo Heroku são realizados por empresas de consultoria de segurança independentes e respeitáveis. Os resultados de cada avaliação são revisados com os avaliadores, classificados em risco e atribuídos à equipe responsável.

Apoio à Proteção ao Meio Ambiente

• Detecção e supressão de incêndios

  O equipamento automático de detecção e supressão de incêndio foi instalado para reduzir o risco. O sistema de detecção de incêndio utiliza sensores de detecção de fumaça em todos os ambientes de data center, espaços de infraestrutura mecânica e elétrica, salas de resfriamento e salas de equipamentos de geradores. Essas áreas são protegidas por sistemas de tubulação úmida, pré-ação com duplo bloqueio ou aspersão gasosa.

• Poder

  Os sistemas de energia elétrica do Centro de Dados são projetados para serem totalmente redundantes e de fácil manutenção sem impacto nas operações, 24 horas por dia e sete dias por semana. As unidades de fonte de alimentação ininterrupta (UPS) fornecem energia de backup em caso de falha elétrica para cargas críticas e essenciais na instalação.

• Controle do clima e da temperatura

  O controle climático é necessário para manter uma temperatura operacional constante para servidores e outros hardwares, o que evita o superaquecimento e reduz a possibilidade de interrupções de serviço. Os centros de dados são condicionados para manter as condições atmosféricas em níveis ideais. Os sistemas de monitoramento e o pessoal do data center garantem que a temperatura e a umidade estejam nos níveis apropriados.

• Gestão

  A equipe do centro de dados monitora sistemas e equipamentos de suporte elétrico, mecânico e de vida para que os problemas sejam imediatamente identificados. A manutenção preventiva é realizada para manter a operabilidade contínua do equipamento.

• Para mais informações, ver: Segurança na Nuvem AWS.

Segurança de Rede

• Firewalls

  Firewalls são utilizados para restringir o acesso a sistemas de redes externas e entre sistemas internamente. Por padrão, todo o acesso é negado e somente portas e protocolos explicitamente permitidos são permitidos com base na necessidade comercial. Do ponto de vista da rede, os grupos de segurança restringem o acesso apenas às portas e protocolos necessários para a função específica de um sistema para mitigar o risco.
  
  Os firewalls baseados em host restringem os aplicativos do cliente de estabelecer conexões localhost na interface de rede de loopback para isolar ainda mais os aplicativos do cliente. Os firewalls baseados em host também oferecem a capacidade de limitar ainda mais as conexões de entrada e saída, conforme necessário.

Sistema de Segurança de Heroku

• Configuração do Sistema

  A configuração e a consistência do sistema são mantidas por meio de imagens padronizadas e atualizadas. O software de gestão é voltado para a configuração e substituição de sistemas por implantações atualizadas. Os sistemas são implantados usando imagens que são atualizadas com alterações de configuração e atualizações de segurança antes da implantação. Uma vez implantados, os sistemas existentes são desativados e substituídos por sistemas atualizados.

Isolamento de Aplicação do Cliente Heroku

Os aplicativos na plataforma Heroku são executados em seu próprio ambiente isolado e não podem interagir com outros aplicativos ou áreas do sistema, para evitar problemas de segurança e estabilidade. Esses ambientes independentes isolam processos, memória e o sistema de arquivos, enquanto os firewalls baseados em host restringem os aplicativos de estabelecer conexões de rede locais. Para informações técnicas adicionais, ver: https://devcenter.heroku.com/articles/dyno-isolation.

Heroku System Authentication

O acesso ao sistema operacional é limitado à equipe do Heroku e requer autenticação de nome de usuário e chave. Os sistemas operacionais não permitem autenticação de senha para impedir ataques de força bruta de senha, roubo e compartilhamento.

Heroku Vulnerability Management

O processo de gerenciamento de vulnerabilidades é projetado para remediar riscos sem interação ou impacto do cliente. O Heroku é notificado sobre vulnerabilidades por meio de avaliações internas e externas, monitoramento de patches do sistema e listas de discussão e serviços de terceiros. Cada vulnerabilidade é revisada para determinar se é aplicável ao ambiente do Heroku, classificada com base no risco e atribuída à equipe apropriada para resolução.

Novos sistemas são implantados com as atualizações mais recentes, correções de segurança e as configurações do Heroku e os sistemas existentes são desativados à medida que os clientes são migrados para as novas instâncias. Esse processo permite que o Heroku mantenha o ambiente atualizado. Como os aplicativos do cliente são executados em ambientes isolados, eles não são afetados por essas atualizações principais do sistema.

Heroku Application Security

O Heroku passa por testes de penetração, avaliações de vulnerabilidade e revisões de código-fonte para avaliar a segurança de nossa aplicação, arquitetura e implementação. As avaliações de segurança de terceiros abrangem todas as áreas de nossa plataforma, incluindo testes para vulnerabilidades de aplicativos da web OWASP Top 10 e isolamento de aplicativos do cliente. O Heroku trabalha em estreita colaboração com avaliadores de segurança externos para revisar a segurança da plataforma e dos aplicativos do Heroku e aplicar as melhores práticas.

Os problemas encontrados nos aplicativos Heroku são classificados por risco, priorizados e atribuídos à equipe responsável pela correção, e a equipe de segurança do Heroku analisa cada plano de correção para garantir a resolução adequada.

Heroku Backups

• Cliente Aplicações

  Os aplicativos implantados na plataforma Heroku são automaticamente copiados como parte do processo de implantação em armazenamento seguro, controlado por acesso e redundante. A Heroku usa esses backups para implantar nossos aplicativos Prosci em nossa plataforma e para colocar os aplicativos online novamente automaticamente em caso de interrupção.

• Customer Postgres Bases de Dados

  Os dados são armazenados e gerenciados no Heroku Postgres. A Proteção Contínua mantém os dados seguros no Heroku Postgres. Todas as alterações em seus dados são gravadas em logs de gravação antecipada, que são enviados para armazenamento de alta durabilidade em vários data centers. No caso improvável de falha de hardware irrecuperável, esses logs podem ser automaticamente 'repetidos' para recuperar o banco de dados dentro de segundos de seu último estado conhecido. Para informações técnicas adicionais, consulte: https://devcenter.heroku.com/articles/pgbackups.