Hospedagem de dados e segurança

Confiabilidade e disponibilidade

O Sprout Social se esforça para minimizar os impactos no serviço e o tempo de inatividade. Projetamos nossos sistemas para tolerância a falhas e nossas equipes para a recuperação rápida em caso de incidentes. Faz parte da nossa ética evitar a todo custo períodos de inatividade, planejados ou não planejados. Nunca instituímos tempo de inatividade por manutenção caso seja evitável—porque, geralmente, é. Elementos de continuidade de negócios e recuperação de incidentes são parte constituinte de nossas práticas e sistemas. Eles não são uma reflexão póstuma ou uma tarefa relegada a uma única equipe.

Um histórico comprovado

99,99% de tempo de atividade é um KPI para o nosso grupo de engenharia. No momento, tivemos um tempo de atividade superior a 99,99% em relação aos 6 e 12 meses anteriores.

Transparência para os clientes

A confiança começa com uma comunicação aberta. Compartilhamos, publicamente, o status do sistema em tempo real e métricas em nossos sites de status, https://status.sproutsocial.com para o Sprout Social e https://status.getbambu.com para o Bambu. Lá, comunicamos incidentes e manutenção planejada, incluindo qualquer impacto no cliente, e exibimos métricas de saúde do sistema provenientes de provedores independentes de terceiros. Os clientes podem se inscrever para receberem SMS instantâneos ou e-mail de notificações de incidentes futuros.

Feeds de redes sociais

Nossa camada de ingestão de dados combina múltiplas conexões para APIs de rede social. Como parceiros certificados, redes sociais como Facebook, Twitter, Instagram e Linkedin nos fornecem níveis mais altos de redundância e acesso a suas equipes de apoio.

Backups

Backups são feitos com frequência, criptografados em trânsito e em repouso, e são testados regularmente. Os backups são mantidos remotamente no Amazon S3 que armazena arquivos em vários dispositivos físicos em múltiplas instalações oferecendo durabilidade de 99,999999999% e disponibilidade de 99,99%.

Transparência para nossas equipes

Internamente, nós praticamos análises póstumas multidisciplinares e sem culpa e procuramos ampliar nosso pessoal, processos e sistemas depois de falhas. O medo é o inimigo do progresso.

Isolamento

Nossa plataforma backend altamente distribuída emprega padrões de design de isolamento para mitigar os riscos por meio de componentes. Falhas em um componente raramente afetam outros componentes.

Objetivos de ponto de recuperação (RPOs)

Estratégias de recuperação são projetadas para fornecer RPOs atualizados com baixos objetivos de tempo de recuperação (RTOs), com dados mais antigos recuperados em vez de RTOs mais longos. Isto é consistente com as expectativas do cliente nas redes sociais, permitindo que os clientes atendam às necessidades imediatas dos clientes deles.

Melhores páticas de DevOps

Nossa equipe de engenharia pratica a infraestrutura como código, proporcionando exatidão, consistência, testabilidade e velocidade de recuperação. Qualquer integrante da equipe do plantão 24 horas tem condições de reconstruir sistemas e topologias com total consistência. Em caso de perda do sistema, nossa equipe de engenharia recria rapidamente sistemas executando o código de infraestrutura.

Monitoramento e suporte de plantão

Fazemos um monitoramento constante de todo o mundo, exibindo, alertando e informando sobre todos os nossos ambientes técnicos em tempo real. O suporte aos clientes é uma colaboração entre nossa equipe de suporte ao cliente e nossa equipe de engenharia. Engenheiros especializados estão de plantão 24 horas por dia, todos os dias.

Quando ocorrem problemas, as nossas equipas são prontamente notificadas, automaticamente informadas do contexto e equipadas com ferramentas para ajudar a colaborar de maneira eficiente com os seus colegas. Empregamos um sistema de pager de triagem para assegurar que alertas cheguem aos engenheiros rapidamente e de maneira confiável.

Data centers

Produtos do Sprout Social são hospedados no Amazon Web Services (AWS). O AWS fornece instalações de hospedagem de excelência que são seguras, altamente disponíveis e redundantes, em conformidade com o Cloud Security Alliance Star nível 2, ISO 9001, 27001, 27017, 27018, PCI DSS nível 1 e SOC 1, 2, e 3. Para mais informações sobre certificações e programas de conformidade do AWS, visite https://aws.amazon.com/compliance/programs.

Localização de dados

Dados de cliente são hospedados nos Estados Unidos, nas regiões us-east-1 e us-west-2 do AWS. O Sprout Social é certificado com o Escudo de Privacidade para transferir dados pessoais da União Europeia e Suíça e está em conformidade com o RGPD.

Instalações

As centrais de dados da AWS estão equipadas com recursos de hospedagem físicos de excelência. Os edifícios têm monitoramento e gestão de temperatura e umidade, detecção e remoção automática de água e detecção e supressão automática de fogo. Combinações de múltiplas alimentações de energia, sistemas de alimentação de energia ininterrupta (UPS) e geradores elétricos no local fornecem camadas de energia de reserva. Conexões de Internet e telecomunicações são redundantes. Não há dependências de produto nos escritórios corporativos do Sprout Social ou outras instalações que gerenciamos.

Segurança de TI

Segurança adicional é aplicada às salas e aos sistemas de tecnologia da informação, incluindo alarmes de arrombamento de porta, linhas e sistemas de detecção de intrusão eletrônica, autenticação multifator e destruição de meios de comunicação por
NIST 800-88.

Segurança física

Edifícios de centrais de dados possuem um acesso físico rigoroso. Todo acesso físico é monitorado 24 horas por dia por funcionários. Autenticação multifator é necessária para todos os visitantes. Monitoramento contínuo de acesso não autorizado é feito por meio de vigilância de vídeo, detecção de invasão e sistemas de monitoramento de acesso de logs.

Rede de infraestrutura e segurança

O Sprout Social utiliza uma equipe dedicada à segurança. Todos os sistemas são monitorados e alertados 24 horas por dia para eventos de segurança e operacionais. Deteção de intrusão baseada em host é implantada em todos os sistemas de produção.

Controles de rede

Nossa rede privada é segmentada em várias zonas de segurança. Elas oferecem maiores níveis de controle nas proximidades dos dados do cliente.

Resposta e gerenciamento de incidente

O planejamento e os procedimentos de resposta a incidentes do Sprout Social são baseados em padrões NIST. Todos os relatórios de incidentes são prontamente investigados, informados e remediados conforme necessário. O plano de resposta e os procedimentos definem todas as etapas para garantir um processo consistente.

Varredura

Sistemas e aplicações são verificados regularmente em busca de vulnerabilidades comuns.

Criptografia em repouso e em trânsito

Todas as comunicações em redes públicas com APIs e aplicativos do Sprout Social são conduzidas por TLS/HTTPS. Todos os dados são armazenados criptografados em repouso, incluindo aqueles para backups.

Administração do sistema

Melhores práticas são utilizadas, como menor privilégio, gerenciamento de configuração central e rigorosas políticas de firewall de host e rede. Os servidores são corrigidos automaticamente em uma programação regular, com patches de alta prioridade aplicados manualmente fora do ciclo.

Segurança de aplicativo

Os desenvolvedores do Sprout Social recebem treinamento anual sobre codificação segura. Todo código de aplicativo é escrito por funcionários do Sprout, e cada mudança é revisada por colegas. Vulnerabilidades de segurança são prontamente triadas e corrigidas.

Testes de penetração de terceiros

O Sprout tem contrato com diversos fornecedores de testes de penetração para realizar vários testes por ano. Relatórios são disponibilizados mediante pedido pelos clientes sob acordo de não divulgação.

Mitigação DDoS

A mitigação DDoS é fornecida por meio da nossa plataforma de hospedagem.

política de divulgação responsável

Pesquisadores de segurança podem relatar vulnerabilidades por meio do Bug Crowd. (link: https://bugcrowd.com/sproutsocial). Saiba mais sobre a nossa política em https://sproutsocial.com/responsible-disclosure-policy.

Funcionários e TI interna

Além de desenvolvedores receberem formação em codificação segura, todos os funcionários participam da formação anual de segurança geral e privacidade de dados. Simulações de phishing são rotineiramente executados e medidos em comparação aos referenciais da indústria.

Normas e políticas de segurança de informações

Sprout Social has a comprehensive set of policies and standards
covering all aspects of security and privacy. All Employees musts affirm their responsibilities in protecting customer data as part of their condition of employment.

Protocolos seguros de suporte

Nossa equipe de suporte de excelência segue protocolos de phishing e resistência a ameaças projetados por nossa equipe de segurança quando realiza ações sigilosas em contas de clientes.

Escritórios

Os escritórios do Sprout Social são protegidos por acesso com leitura de cartão. Redes de escritório são segmentadas, monitoradas por uma central e protegidas por firewalls e dispositivos de prevenção de intrusões. Nossos produtos não têm repartições em escritórios da nossa empresa ou outras instalações que gerenciamos.

Dispositivos

Todos os dispositivos do Sprout Social são inventariados com tags de patrimônio e gerenciados por uma solução central de MDM.

Endpoints

As estações de trabalho dos funcionários são protegidas com criptografia de disco rígido, antivírus e detecção de malware avançada com gerenciamento e controle centrais.

Verificação de antecedentes

Todos os novos contratados com acesso aos dados dos clientes passam por uma verificação de histórico e antecedentes criminais antes de serem empregados.

Continuidade de negócios

Como no caso da hospedagem dos nossos produtos, embora o Sprout Social mantenha escritórios físicos em todo o mundo, a continuidade do funcionamento dos nossos negócios não é dependente desses escritórios. Nossos produtos, atendimento ao cliente e operações gerais de negócios estão habilitados para continuar sem interrupções por incidentes físicos ou problemas em nossos escritórios. Nossa equipe é equipada com ferramentas baseadas em nuvem e acesso remoto e soluções de colaboração e utilizam tais ferramentas diariamente.

Recursos de segurança de produto

Verificação em duas etapas (2FA)

Os administradores e proprietários de conta podem exigir que seus usuários acrescentem essa camada de segurança adicional. O Sprout Social suporta aplicativos como Google Authenticator e outros que implementam o algoritmo de senha única baseada no tempo (TOTP) ou o algoritmo de senha única baseada em HMAC (HOTP) para a geração de códigos de acesso.

Armazenamento seguro de credenciais

As funções salt e hash são usadas em senhas de contas usando as abordagens e os algoritmos fortes mais recentes que são rotineiramente auditados. Nenhuma pessoa, mesmo que seja da nossa equipe, pode visualizá-las. Se você perder sua senha, ela não poderá ser recuperada e precisará ser redefinida.

Proteções de força bruta

Além de desafiar a função hash pelo computador, nossos serviços de autenticação implementam proteções limitantes adicionais e ReCAPTCHA.

Fluxos de trabalho de aprovação

Proprietários e administradores de conta podem restringir determinadas atividades por trás de fluxos de trabalho de aprovação. Isso permite que tarefas sejam divididas entre uma equipe, com tranquilidade para que os tomadores de decisão centrais possam rever e controlar ações voltados para o público.

Restrições de IP

O Sprout Social pode ser configurado para restringir a aplicação e o acesso à API de intervalos específicos de IP.

Single sign-on (SSO)

Sprout Social offers SAML 2.0 Single sign-on (SSO) for organizations that leverage this authentication service to give employees one set of login credentials to access multiple applications. Our engineering team works with customers to implement custom SSO integrations across both web and mobile.

Assinatura de e-mail

Sprout Social implements Sender Policy Framework (SPF) and
DomainKeys Identified Mail (DKIM) to ensure emails we send are authenticated as coming from Sprout Social, helping to prevent spoofing and ensure authenticity.

Permissões de acesso

Os proprietários e os administradores de conta podem restringir o acesso a perfis, recursos, ações (incluindo leitura e gravação) e outros dados aplicando controles granulares para usuários em sua conta.

Pausa geral de publicação

Em tempos de crise, sua equipe tem acesso a um botão que desativa temporariamente o envio pelo Sprout Social de quaisquer mensagens automatizadas agendadas e em fila. Isso é acessível a partir de nossos aplicativos para dispositivos móveis e web.