Este sitio utiliza cookies para garantizar que obtenga la mejor experiencia en nuestro sitio web.
Seguridad y Confianza
Cómo protegemos CloudScript, OpsScript y los entornos que operamos para nuestros clientes, y cómo reportar una vulnerabilidad.
Responsable ejecutivo
El programa de seguridad tiene un responsable formal que responde por él ante clientes, socios y autoridades.
Gustavo Henrique Esser
Chief Information Security Officer (CISO)
Responsable del programa de seguridad de la información, respuesta a incidentes y cumplimiento de la LGPD de CloudScript y OpsScript.
Framework de referencia: NIST CSF 2.0
Organizamos el programa según las seis funciones del NIST Cybersecurity Framework 2.0. Es nuestra referencia de gobierno, no una certificación.
Gobernar
Responsable ejecutivo formal, políticas versionadas y decisiones de riesgo registradas. Todo cambio en producción pasa por revisión humana.
Identificar
Inventario de activos por cliente y entorno, con hallazgos clasificados por severidad y separados entre producción y no producción.
Proteger
Mínimo privilegio, accesos de lectura con alcance por entorno, secretos en un gestor dedicado y nunca en código, imágenes versionadas y cambios vía GitOps.
Detectar
Alertas de cloud, borde, clústeres y pipelines centralizadas en OpsScript, con monitoreo 24/7 por el NOC.
Responder
Triaje e investigación de incidentes con trazabilidad completa en el ticket. Correcciones aplicadas por ingenieros mediante Pull Request, con plan de rollback.
Recuperar
Backups definidos para bases de datos, procedimientos de restauración y registro de aprendizajes tras cada incidente.
Política de divulgación responsable
Si encontraste una vulnerabilidad en un sistema de CloudScript u OpsScript, queremos saberlo. Te pedimos que sigas las reglas a continuación.
Alcance
- cloudscript.com.br y sus subdominios
- opsscript.io, la aplicación web y la API de OpsScript
- Las aplicaciones móviles de OpsScript
- Repositorios públicos de CloudScript
Lo que te pedimos no hacer
- Acceder, modificar o conservar datos de terceros más allá del mínimo necesario para demostrar el problema
- Pruebas de denegación de servicio o que degraden la disponibilidad
- Ingeniería social, phishing o acceso físico
- Probar entornos de clientes de CloudScript, que están fuera de este alcance
- Divulgar públicamente antes de que tengamos un tiempo razonable para corregir
Nuestro compromiso
- Confirmar la recepción del reporte
- Mantenerte informado sobre el análisis y la corrección
- Tratar tu reporte con confidencialidad
- Darte crédito público por el hallazgo, si lo deseas
Consideramos autorizada la investigación de buena fe dentro de esta política y no tomaremos acciones legales contra quien la siga. No mantenemos un programa de recompensas (bug bounty).
Reportar una vulnerabilidad
Envía la descripción, los pasos para reproducir y el impacto observado. Este canal lo lee el equipo de seguridad.
