Segurança Sprout Social
O aplicativo Sprout Social é uma plataforma de gerenciamento de redes sociais para empresas. Ele oferece às marcas e agências a capacidade de gerenciar publicações, interação, analítica, advocacia e atendimento ao cliente em várias redes e perfis. Mais informações, incluindo um tour pelo produto, podem ser encontradas no nosso site aqui.
Os controles e medidas de segurança documentados abaixo são específicos para o aplicativo Sprout. Além disso, valem todas as medidas listadas na página "Segurança".
Controle de acesso
Autenticação
Como padrão, os usuários fazem login no aplicativo Sprout com um nome de usuário e senha alocados. A confirmação em duas etapas por e-mail é obrigatória. Os clientes podem configurar várias definições de senha na conta, incluindo configurações de complexidade, histórico e limite de tentativas. As funções salt e hash são usadas em senhas de contas usando as abordagens e os algoritmos fortes mais recentes que são rotineiramente auditados. Nenhuma pessoa, mesmo que seja da nossa equipe, pode vê-las. Se você perder a senha, ela não poderá ser recuperada e precisará ser trocada.
O logon único (SSO) via SAML 2.0 permite que os clientes forneçam aos seus usuários um conjunto de credenciais de login para acessar vários aplicativos. O provisionamento Just-in-time (JIT) e a definição de funções padrão para novos usuários também estão disponíveis. Veja aqui as instruções para configurar o SSO.
Além disso, os clientes podem trocar a confirmação em duas etapas por e-mail pela autenticação multifatorial. Para isso, usa-se um algoritmo de senha avulsa temporária (TOTP) ou um algoritmo de senha avulsa baseada em HMAC (HOTP) para gerar códigos de acesso via aplicativos como o Google Authenticator. Veja aqui as instruções para configurar a confirmação em duas etapas via TOTP ou HOTP.
Autorização
O Sprout oferece um modelo de permissões flexível e abrangente, no qual os proprietários e administradores da conta podem restringir o acesso a perfis, recursos, ações (incluindo leitura e gravação) e outros dados, aplicando controles granulares aos usuários na conta. Os grupos podem ser configurados para organizar os perfis sociais dentro de uma conta Sprout. Os clientes podem então dar aos membros da equipe acesso a grupos específicos com base em como a empresa opera. Saiba aqui como criar grupos.
Além dos grupos, os clientes podem dar permissões específicas para cada usuário. As Permissões da Empresa incluem quaisquer permissões administrativas para um usuário, enquanto as Permissões de Recursos se concentram no acesso a abas/recursos específicos no Sprout. Saiba aqui como criar as permissões de usuário.
Proprietários e administradores de conta podem restringir determinadas atividades por trás de fluxos de trabalho de aprovação. Esses fluxos de trabalho permitem que as tarefas sejam divididas entre uma equipe, com a tranquilidade de que os tomadores de decisão centrais podem avaliar e controlar as ações voltadas para o público.
Segurança de aplicativo
Restrições de IP
O Sprout Social pode ser configurado para restringir a aplicação e o acesso à API de intervalos específicos de IP.
Pausa geral de publicação
Em tempos de crise, sua equipe tem acesso a um botão que desativa temporariamente o envio pelo Sprout Social de quaisquer mensagens automatizadas agendadas e em fila. Isso é acessível a partir de nossos aplicativos para dispositivos móveis e web.
Melhores práticas de segurança
O Sprout Social quer proteger você das ameaças on-line. Publicamos recursos, incluindo os artigos Recomendações de segurança e Protegendo informações sensíveis, para guiar os clientes no cumprimento das responsabilidades compartilhadas de segurança.
Assinatura de e-mail
O Sprout Social implementa Sender Policy Framework (SPF ) e
DomainKeys Identified Mail (DKIM) para assegurar que os e-mails que enviamos sejam autenticados como provenientes do Sprout Social, ajudando a evitar fraudes e garantir a autenticidade.
Logs de trilha de auditoria
O aplicativo Sprout inclui logs de trilha de auditoria voltados para o cliente, que dão informações sobre a atividade do usuário em uma conta. Mais de 50 eventos e ações são registrados na trilha de auditoria, documentando a atividade e o usuário que a executou. Informações sobre os logs de trilha de auditoria podem ser encontradas aqui.
Proteções de força bruta
Além de desafiar a função hash pelo computador, nossos serviços de autenticação implementam proteções limitantes adicionais e ReCAPTCHA.
Hospedagem em nuvem
Data centers
O aplicativo Sprout Social e a infraestrutura associada são hospedados pelo Amazon Web Services (AWS). A AWS fornece instalações de hospedagem de nível internacional que são seguras, altamente disponíveis e redundantes, em conformidade com Cloud Security Alliance STAR Nível 2, ISO/IEC 9001, 27001, 27017, 27018, PCI DSS Nível 1 e SOC 1, 2 e 3. Para saber mais sobre as certificações e os programas de conformidade do AWS, acesse https://aws.amazon.com/compliance/programs.
Para redundância ideal, a Sprout Social também utiliza o Google Cloud Platform (GCP) como provedor de hospedagem para recuperação de desastres e backup. Para saber mais sobre as certificações e os programas de conformidade do GCP, acesse https://cloud.google.com/trust-center.
Localização dos dados
Compreendendo a importância da residência de dados, o Sprout Social se esforça para fornecer informações precisas e abrangentes sobre onde os dados dos clientes são processados e armazenados. Atualmente, todos os componentes do aplicativo Sprout Social — incluindo a infraestrutura, o software do aplicativo e os dados dos clientes — estão hospedados em várias Zonas de disponibilidade nos Estados Unidos.
Os locais específicos podem ser encontrados abaixo:
- Primário - AWS us-east-1 (norte de Virgínia)
- Secundário - AWS us-west-2 (Oregon)
- Recuperação de desastres/backup - GCP us-central1 (Iowa)
Segurança da infraestrutura
Criptografia
Todas as comunicações em redes públicas com o aplicativo Sprout e a API utilizam HTTPS com TLS 1.2 ou superior. Todos os dados, incluindo backups, são armazenados criptografados em repouso com AES-256 ou superior.
Todas as chaves do aplicativo são geridas nativamente em um sistema de gestão de segredos. As chaves são rotacionadas regularmente de acordo com a política e os padrões do setor.
Segurança na nuvem
O aplicativo Sprout é projetado nativamente para a AWS e usa com segurança dezenas de serviços da AWS. Guias prescritivos e benchmarks garantem que todos os serviços sejam configurados conforme as recomendações de segurança do fabricante e da indústria. A varredura regular confirma que essas recomendações fiquem em vigor o tempo todo.
Ao operar um ambiente de nuvem multilocatário, a Sprout Social garante que os dados de cada cliente sejam separados logicamente, para que cada cliente possa acessar apenas os próprios dados. Várias medidas de confirmação de front-end e back-end operam continuamente para garantir essa separação.
Segurança de rede
A infraestrutura do Sprout está configurada em uma Nuvem Privada Virtual (VPC), com segmentação em várias zonas de segurança. Essas zonas oferecem maiores níveis de controle nas proximidades dos dados do cliente.
Os servidores são logicamente segmentados com base em listas de controle de acesso à rede, grupos de segurança e regras de firewall. Cada servidor é dedicado e voltado para uma única função. Portas e serviços desnecessários são desativados.
O Cloudflare, em conjunto com o AWS Web Application Firewall (WAF), protege a infraestrutura de ataques automatizados e manuais. Temos sistemas de deteção de intrusão baseada em host (IDS) em todos os sistemas de produção.
Manutenção
A infraestrutura é construída e mantida seguindo a abordagem de arquitetura zero-trust. O pessoal recebe acesso aos sistemas estritamente com base no acesso necessário para as respectivas funções, seguindo o princípio do menor privilégio. As pessoas que fazem a manutenção do sistema devem se conectar à infraestrutura via VPN, e são aplicadas várias camadas de validação e autenticação.
As atividades de manutenção são realizadas sem impacto nem interrupção para os clientes.