Segurança na Cal.com
Certificada em ISO 27001, SOC 2 Type II, HIPAA, GDPR e CCPA, com os documentos para comprovar.
Conformidade
Acesse documentos de conformidade, certificações e acordos de proteção de dados
Como mantemos tudo assim
Como uma empresa que conquistou as certificações ISO 27001, SOC 2 Type II, CCPA, GDPR e HIPAA, entendemos a importância crítica da segurança da informação no cenário digital atual. A frequência e a sofisticação cada vez maiores dos ataques cibernéticos destacam a necessidade de as empresas priorizarem a segurança para proteger seus dados e garantir a confiança de seus clientes. Ao implementar medidas de segurança e boas práticas padrão do setor, demonstramos nosso compromisso inabalável com a proteção de informações sensíveis e com a preservação da integridade das nossas operações. Temos orgulho dos protocolos de segurança rigorosos que mantemos e nos dedicamos a preservar os mais altos padrões de excelência em segurança.
Como isso foi feito?
Como organização, entendemos a importância de manter a conformidade com práticas e padrões de segurança. Por isso, usamos plataformas de automação de segurança e conformidade para garantir que continuemos sempre em conformidade e seguindo os protocolos de segurança relevantes.
Temos uma plataforma centralizada que automatiza a avaliação e o monitoramento de diversos controles e procedimentos de segurança. Ao se integrar aos nossos sistemas e ferramentas existentes, nossas plataformas nos dão uma visão completa da nossa postura de segurança, identificando possíveis problemas e garantindo que estejamos sempre atualizados com os protocolos de segurança e padrões do setor mais recentes. Isso nos dá a confiança de que estamos seguindo as melhores práticas do setor e oferecendo um ambiente seguro para nossos clientes e stakeholders.
O que acontece se algo sair de conformidade?
Se algo sair de conformidade, nossa plataforma de automação de conformidade detectará o problema e nos alertará imediatamente. Isso nos permite agir rapidamente para resolver o problema e voltar à conformidade sem demora. Ao usar uma plataforma de automação de conformidade como essa, conseguimos acompanhar nossas obrigações de conformidade e tomar medidas proativas para garantir que continuemos em conformidade com as práticas e padrões de segurança relevantes. Isso nos dá a confiança de que estamos oferecendo um ambiente seguro para nossos clientes e stakeholders, e nos ajuda a manter nossa reputação como uma organização confiável.
Procedimentos e controles
Políticas e procedimentos seguros
Políticas e procedimentos escritos de segurança da informação garantem que a empresa tenha controles documentados e testados para proteger os dados dos clientes e responder a incidentes de segurança de forma eficaz.
Testes de vulnerabilidade e penetração
Testes regulares de vulnerabilidade e penetração ajudam a identificar e corrigir possíveis fragilidades de segurança antes que possam ser exploradas por atacantes. Cal.com passa anualmente por um teste externo de penetração da nossa aplicação web, realizado por terceiros, para identificar possíveis vulnerabilidades de segurança; isso nos permite levantar essas questões internamente e corrigi-las imediatamente. Um relatório oficial é emitido para Cal.com informando que os problemas encontrados foram corrigidos. Também realizamos testes internos de penetração regularmente. Além disso, usamos varredura automatizada de vulnerabilidades no nosso código e em suas dependências.
Criptografia de dados
A criptografia de dados sensíveis ajuda a garantir que os dados não possam ser acessados ou lidos por partes não autorizadas. Ter nosso banco de dados criptografado permite que os clientes se sintam seguros ao usar nosso produto, pois protege os dados em trânsito ou em repouso.
Autenticação multifator
A autenticação multifator ajuda a impedir o acesso não autorizado aos sistemas da empresa, o que ajuda a proteger os dados dos clientes contra roubo ou adulteração.
Ciclo de vida de desenvolvimento seguro
A autenticação multifator ajuda a impedir o acesso não autorizado aos sistemas da empresa, o que ajuda a proteger os dados dos clientes contra roubo ou adulteração. Todas as alterações na nossa base de código são protegidas por proteção de branch, o que significa que, para enviar uma nova alteração de código para produção, ela precisa ter sido aprovada por outro engenheiro e também passar por uma série de testes automatizados que verificam problemas de segurança introduzidos pelo código ou por suas dependências, além de testes de ponta a ponta e muito mais. Assim, nenhum agente mal-intencionado, interno ou externo à Cal.com, consegue enviar código malicioso graças ao nosso processo seguro de revisão.
Monitoramento
O monitoramento contínuo dos logs de acesso ao sistema e do tráfego de rede ajuda a detectar e responder a possíveis incidentes de segurança, reduzindo a probabilidade de comprometimento dos dados dos clientes.
Treinamento e conscientização de funcionários
Programas regulares de treinamento e conscientização para funcionários ajudam a garantir que eles estejam preparados para lidar com dados de clientes com segurança, reduzindo a probabilidade de erro humano ou violações de dados intencionais. Priorizamos que esses treinamentos sejam concluídos imediatamente por todos os novos funcionários e anualmente por todos os funcionários existentes.
Controles de acesso e verificações de antecedentes
Controles de acesso e verificações de antecedentes para funcionários, fornecedores terceirizados e prestadores de serviço ajudam a garantir que sejam confiáveis e possam lidar com dados de clientes com segurança. Verificações de antecedentes são realizadas em todas as novas contratações que a empresa possa fazer, como uma forma de Cal.com estabelecer confiança no funcionário que escolhemos contratar. Além disso, conceder acesso apenas às aplicações necessárias é importante para manter a conformidade. A cada trimestre, revisamos o acesso a aplicações e os níveis de acesso de todos os funcionários para garantir que eles tenham acesso apenas às aplicações necessárias para desempenhar sua função.
Auditorias e avaliações de terceiros
Auditorias e avaliações regulares de terceiros fornecem uma validação independente da eficácia dos controles e procedimentos de segurança da informação da empresa, dando aos clientes confiança de que seus dados estão sendo tratados com segurança.
Detecção de intrusão
Cal.com utiliza sistemas de detecção de intrusão para monitorar continuamente nossos sistemas em busca de possíveis ameaças que possam surgir a qualquer momento. Saber logo nos estágios iniciais que uma ameaça pode ser crítica nos permite agir de forma rápida e eficiente para impedir que ameaças causem problemas de curto ou longo prazo.
Divulgação de vulnerabilidades
Na Cal.com, consideramos a segurança dos nossos sistemas uma prioridade máxima. Mas, por mais esforço que coloquemos na segurança dos sistemas, ainda pode haver vulnerabilidades.
Se você descobrir uma vulnerabilidade, gostaríamos de saber para que possamos tomar medidas para corrigi-la o mais rápido possível. Pedimos sua ajuda para proteger melhor nossos clientes e nossos sistemas.
Vulnerabilidades fora do escopo:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Ataques que exigem MITM ou acesso físico ao dispositivo de um usuário.
- Qualquer atividade que possa levar à interrupção do nosso serviço (DoS).
- Problemas de falsificação de conteúdo e injeção de texto sem mostrar um vetor de ataque/sem conseguir modificar HTML/CSS.
- Spoofing de e-mail SPF
- Cabeçalhos DNSSEC, CAA, CSP ausentes
- Falta da flag Secure ou HTTP only em cookies não sensíveis
- Links quebrados
- Qualquer coisa relacionada à segurança de DNS ou e-mail
- Limitação de taxa
- XSS (Cross-Site Scripting)
Observação: Cal.com se reserva o direito de designar qualquer vulnerabilidade reportada como fora do escopo.
O que fazer e o que não fazer
- Não execute scanners automatizados na nossa infraestrutura ou no nosso painel. Se você quiser fazer isso, entre em contato conosco e configuraremos um sandbox para você.
- Não se aproveite da vulnerabilidade ou do problema que você descobriu, por exemplo, baixando mais dados do que o necessário para demonstrar a vulnerabilidade ou excluindo ou modificando dados de outras pessoas,
- Não revele o problema a outras pessoas até que ele tenha sido resolvido,
- Não use ataques à segurança física, engenharia social, negação de serviço distribuída, spam ou aplicações de terceiros, e
Como reportar uma vulnerabilidade
Você pode reportar vulnerabilidades aqui: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
No escopo: Cal.com Ambiente de QA
Apenas os alvos listados abaixo estão autorizados para testes de segurança: (editado)
| Alvo | URL | Tipo |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Teste de site |
| Cal.com QA API | https://api.cal.qa/ | Teste de API |
Você pode criar e usar várias contas de teste dentro do ambiente de QA quando necessário, desde que use apenas contas e dados de teste que você controla.
Depois que recebermos seu envio, pode haver um atraso na resposta enquanto nossa equipe faz a triagem do problema.
Forneça informações suficientes para reproduzir o problema, para que possamos resolvê-lo o mais rápido possível. Normalmente, o endereço IP ou a URL do sistema afetado e uma descrição da vulnerabilidade serão suficientes, mas vulnerabilidades complexas podem exigir uma explicação adicional.
- Se você tiver seguido as instruções acima, não tomaremos nenhuma medida legal contra você em relação ao relato
- Trataremos seu relato com estrita confidencialidade e não repassaremos seus dados pessoais a terceiros sem sua permissão
- Manteremos você informado sobre o progresso na resolução do problema
- Nas informações públicas sobre o problema relatado, citaremos seu nome como a pessoa que descobriu o problema (a menos que você prefira o contrário)
- Nos esforçamos para resolver todos os problemas o mais rápido possível e gostaríamos de ter um papel ativo na publicação final sobre o problema depois que ele for resolvido.