Diretrizes de segurança para desenvolvimento de software

Criar e aplicar políticas e procedimentos de segurança é essencial para melhorar a segurança e mitigar riscos dentro de uma organização. Essas políticas servem como diretrizes para nossos colaboradores seguirem, garantindo que medidas de segurança adequadas estejam em vigor para proteger informações, sistemas e ativos sensíveis. Os funcionários da Flosum recebem treinamento rotineiro em conscientização sobre segurança. A Flosum é responsável por desenvolver, manter e participar de um Ciclo de Vida de Desenvolvimento de Sistemas (SDLC) para nossos projetos de desenvolvimento. Todos os funcionários envolvidos em atividades de desenvolvimento de sistemas ou software devem seguir o SDLC da Flosum. Relatórios de certificação e auditoria da Flosum estão disponíveis mediante solicitação. Todo software desenvolvido para sistemas de produção deve ser desenvolvido de acordo com os padrões do SDLC. No mínimo, nosso plano de desenvolvimento de software aborda as áreas de análise preliminar ou estudo de viabilidade, identificação e mitigação de riscos, análise de sistemas, projeto geral, projeto detalhado, desenvolvimento, garantia de qualidade e testes de aceitação, implementação e manutenção e revisão pós-implementação. Essa metodologia garante que o software seja adequadamente documentado e testado antes de ser usado em conjunto com informações críticas e/ou sensíveis. Todo trabalho de desenvolvimento deverá apresentar separação entre ambientes de produção, desenvolvimento e teste, e no mínimo ter pelo menos uma separação definida entre os ambientes de desenvolvimento/teste e produção, a menos que seja feita uma exceção. Essas distinções de separação permitem melhor gerenciamento e segurança para os sistemas de produção, ao mesmo tempo que permitem maior flexibilidade nos ambientes de pré-produção. Onde essas distinções de separação de ambientes foram estabelecidas, o pessoal de desenvolvimento e QA/teste não deverá ter acesso aos sistemas de produção, a menos que seja absolutamente necessário por suas respectivas funções/descrições de trabalho. Todos os caminhos de acesso a aplicações/programas utilizados no desenvolvimento ou teste, além dos caminhos formais de acesso do usuário, devem ser excluídos ou desativados antes que o software seja movido para produção. Todas as liberações devem ser testadas em um ambiente de preparo (staging) que espelhe a infraestrutura de produção antes de serem liberadas para o ambiente de produção ativo. Na fase de testes, são realizados vários tipos de testes, como testes de penetração, varredura de vulnerabilidades em aplicações, varredura de código de aplicação, revisão manual e testes funcionais de segurança. Esses testes ajudam a identificar quaisquer fraquezas de segurança na aplicação, que podem ser tratadas antes do seu desenvolvimento em produção. Analisadores estáticos de código (Fortify) também podem ser usados para verificar vulnerabilidades. A documentação deve ser mantida e atualizada durante todas as fases do desenvolvimento, desde a fase de iniciação até as fases de implementação e manutenção contínua. Além disso, as considerações de segurança devem ser anotadas e tratadas em todas as fases. Todo software e aplicações web que criem, gerenciem, usem ou transmitam informações devem ser desenvolvidos e mantidos exclusivamente por engenheiros de software da Flosum.

---

Clientes FedRAMP e GovCloud

Com a versão hospedada pelo cliente do Flosum Backup & Archive, clientes Gov Cloud podem instalar o Backup & Archive em sua própria nuvem privada (DoD/DHA AWS, Google Cloud, Azure) ou em seus próprios servidores físicos (servidores Linux virtuais). Portanto, não há necessidade de o Flosum Backup & Archive ser certificado pelo FedRAMP. Nossa solução foi construída para rodar no ambiente AWS do Governo e atualmente temos vários clientes governamentais usando o Flosum Backup & Archive em sua nuvem privada.