A Seagate e a Empresa celebraram um acordo para a compra de bens e/ou serviços na forma de um acordo mestre, ordem de compra ou outro documento de contrato que incorpore estes Requisitos de segurança por referência (coletivamente, o “Contrato”). Todos os termos definidos no Contrato manterão seu significado original, a menos que definido de outra forma nestes Requisitos de segurança. Todas as referências no Contrato a “Seagate”, “Cliente” ou referências semelhantes se referirão à empresa da Seagate identificada no Contrato. Todas as referências no Contrato a “Provedor”, “Prestador de serviços”, “Empresa” ou referências semelhantes se referirão à Empresa identificada no Contrato.
A EMPRESA CONCORDA COM OS SEGUINTES REQUISITOS DE SEGURANÇA:
- DEFINIÇÕES
- “Solução externa” significa qualquer serviço, aplicativo, software ou serviço gerenciado e hospedado por um provedor terceirizado fora da infraestrutura interna da Seagate. A Solução externa é responsável por toda a manutenção, atualizações e segurança. A Seagate acessa a Solução externa pela Internet e depende da Solução externa para o desempenho, a disponibilidade e o suporte do sistema.
- “Dados da Seagate” significa quaisquer dados, inclusive Informações pessoais da Seagate (definidas abaixo), propriedade intelectual, segredos comerciais ou outros dados, que são criados, pertencentes ou fornecidos pela Seagate ou para a Seagate, aos quais a Empresa tem acesso, obtém, usa, mantém ou processa em conexão com quaisquer contratos entre as partes e/ou suas Afiliadas.
- “Informações pessoais da Seagate” significa quaisquer informações relacionadas a uma pessoa física identificada ou identificável, que são criadas, pertencentes ou fornecidas pela Seagate ou para a Seagate, às quais a Empresa tem acesso, e obtém, utiliza, mantém ou processa em conexão com quaisquer acordos entre as partes e/ou suas Afiliadas.
- “Acordo de privacidade de dados da Seagate” significa os termos localizados em: https://www.Seagate.com/legal-privacy/electronic-and-physical-security-and-data-protection/. Entretanto, se as partes concordaram com os termos de privacidade de dados diferentes do Acordo de privacidade de dados da Seagate conforme definido neste documento, as referências ao Acordo de privacidade de dados da Seagate se referirão aos termos de privacidade de dados mutualmente acordados no Acordo.
- “Violação de segurança” significa (a) a falha da Empresa em manusear, gerenciar, destruir ou de alguma forma controlar adequadamente, ou o acesso ou divulgação não autorizado pela Empresa de: (i) Dados da Seagate em qualquer formato; (ii) informações corporativas de terceiros em qualquer formato especificamente identificadas como confidenciais e protegidas conforme um acordo de confidencialidade ou contrato semelhante; ou (iii) do diretório de senhas de Serviços; (b) uma violação não intencional da política de privacidade da Empresa ou apropriação indevida que resulte na violação de quaisquer leis ou regulamentos de privacidade de dados aplicáveis; (c) qualquer outro ato, erro ou omissão da Empresa em sua capacidade que seja razoavelmente provável de resultar na divulgação não autorizada de Dados da Seagate.
- “Sistemas Seagate” significa qualquer equipamento de rede ou computação, aplicativos ou programas de software que a Seagate forneça ou coloque à disposição da Empresa (ou de seus subcontratados ou agentes) com relação à execução do Contrato ou de quaisquer outros acordos com a Seagate, inclusive, entre outros, equipamentos de engenharia e fabricação, equipamento de teste, equipamento de rede, sistemas de computador, software e os parâmetros de configuração especificados ou implementados pela Seagate para o funcionamento adequado dos Sistemas Seagate ou o fornecimento dos Serviços.
- “Sistema enclave” significa equipamento gerenciado pela Seagate implantado dentro de locais designados pela Empresa (por exemplo, locais de fabricação, áreas de configuração). Um enclave da Seagate amplia com segurança a rede interna da Seagate até o local da empresa por meio de firewalls gerenciados pela Seagate e switches NAC (Network Access Control). Esses switches impõem políticas rígidas de conexão, limitando a conectividade exclusivamente aos ativos registrados, como dispositivos e sistemas autorizados da Seagate. Esse ambiente controlado pela Seagate dentro das instalações da Empresa permite que os ativos e dispositivos da Seagate se comuniquem de forma segura diretamente com a rede corporativa da Seagate.
- “Sistema não-enclave” significa cenários nos quais usuários designados pela Empresa acessam aplicativos remotamente sem equipamento físico gerenciado/próprio da Seagate em seus locais. Isso inclui dois cenários distintos:
- Não-enclave com túnel VPN: Determinados locais designados pela Empresa mantêm túneis VPN diretos somente de saída para casos de uso especializados, como o envio de trabalhos de impressão dos sistemas internos da Seagate diretamente para impressoras de propriedade da Empresa localizadas nos locais da Empresa, que não são gerenciados ou controlados como ativos de rede da Seagate. Esses túneis VPN aceitam somente tráfego de saída.
- Não-enclave sem conexão direta à rede: Redes designadas pela empresa que permanecem completamente isoladas da rede da Seagate, com acesso limitado a plataformas voltadas para a Internet hospedadas pela Seagate, como Citrix Workspace ou outros portais baseados na Web seguros. Neste cenário, o acesso é provisionado para a Empresa por meio do sistema de Serviços de Conta de Parceiros Comerciais (“BPAS”) e não existe uma conexão de camada de rede direta entre a Seagate e a infraestrutura da Empresa.
- REQUISITOS GERAIS DE SEGURANÇA DE DADOS
- A Empresa deverá estabelecer e manter um Programa de Segurança de Informações por Escrito (“WISP”) abrangente que inclua proteções de segurança técnicas e organizacionais desenvolvidas para proteger os Dados da Seagate (conforme definido no Anexo de Segurança) contra uso acidental, não autorizado ou ilegal, destruição, perda, alteração, divulgação, acesso ou outro processamento não autorizado. O WISP deve cumprir com quaisquer requisitos especificados nos acordos com a Seagate, incluindo o Acordo de privacidade de dados da Seagate. Mediante solicitação, a Empresa deverá fornecer à Seagate uma cópia de seu WISP, incluindo quaisquer atualizações durante o período de adesão. O WISP, juntamente com serviços, controles e processos relevantes, deve cumprir os padrões do setor e estruturas de trabalho de segurança reconhecidas, como SOC 2, ISO 27001 ou NIST, para garantir uma gestão de risco abrangente, proteção de dados e conformidade com normas.
- RELATÓRIOS E CERTIFICAÇÕES NECESSÁRIOS
- Relatório SOC 1 Tipo 2. Se a Empresa fornecer Serviços envolvendo Dados da Seagate relacionados a relatórios financeiros, a Empresa deverá fornecer à Seagate um relatório SOC 1 Tipo 2 para tais Serviços. Esse relatório deve abordar os padrões e controles da Empresa específicos aos serviços oferecidos. A Empresa deve entregar uma cópia do relatório SOC 1 Tipo 2 à Seagate (a) antes do início dos serviços e (b) anualmente, no máximo no dia 15 de junho de cada ano. O relatório deve abranger pelo menos 9 meses do ano fiscal da Seagate e ser entregue à Seagate até 90 dias após o período coberto pelo relatório.
- Relatório SOC 2 Tipo 2. Se a Empresa fornecer Serviços envolvendo Soluções externas, a Empresa deverá fornecer à Seagate um relatório SOC 2 Tipo 2 para tais Serviços. Esse relatório deve abordar os padrões e controles da Empresa específicos aos serviços oferecidos. A Empresa deverá entregar uma cópia do relatório SOC 2 Tipo 2 à Seagate (a) antes do início dos serviços e (b) anualmente, mediante solicitação.
- Cartas-Ponte SOC. Mediante solicitação, fornecer cartas-ponte SOC para confirmar a continuidade dos controles de segurança entre períodos de auditoria SOC.
- ISO 27001. Se a Empresa fornecer Serviços envolvendo Soluções externas, a Empresa deverá fornecer certificações ISO 27001 mediante solicitação para Serviços envolvendo Soluções externas.
- ISO 20243. Se a Empresa estiver: a) fornecendo um produto comercializado para a Seagate para uso no desenvolvimento, teste, fabricação ou suporte de produtos da Seagate; ou b) realizar serviços em produtos comercializados da Seagate, a Empresa obterá uma certificação de conformidade com ISO 20243, também conhecida como Certificação O-TTPS (Open Trusted Technology Provider Standard), para mitigar produtos maliciosamente corrompidos e falsificados. Será uma certificação autoavaliada ou baseada na avaliação de um auditor independente de boa reputação (cuja suficiência é avaliada segundo os critérios da Seagate). Como alternativa, se a Empresa solicitar por escrito e a Seagate aprovar por escrito, a Empresa obterá uma certificação de conformidade com um padrão do setor substancialmente equivalente que trata de práticas de cadeia de suprimento e desenvolvimento seguro.
- Conformidade com PCI. Se a Empresa fornecer Serviços envolvendo o processamento de cartão de pagamento, a Empresa deverá fornecer comprovação atestando conformidade com os Padrões de Segurança de Dados PCI mediante solicitação.
- DADOS DA SEAGATE
- Políticas e procedimentos de segurança. Mantenha políticas que garantam que os Dados da Seagate sejam coletados, hospedados, transmitidos e armazenados com segurança para impedir o acesso, roubo ou divulgação não autorizados.
- Integridade de dados. Garanta que os Dados da Seagate permaneçam intactos, completos e atuais durante o processamento, a transmissão e o armazenamento, sem alterações não autorizadas.
- Separação lógica de dados. Em ambientes de vários locatários, garanta que os Dados da Seagate sejam segregados com segurança usando técnicas padrão do setor, como particionamento, conteinerização e microssegmentação, certificando-se de que cada locatário possa acessar apenas os seus próprios dados.
- Controle de acesso. O acesso aos Dados da Seagate será restrito por um Controle de acesso baseado em função (RBAC), concedendo aos usuários, fornecedores terceirizados e locatários somente o acesso necessário para suas funções específicas. Revisões trimestrais serão conduzidas para garantir que as permissões estejam alinhadas com as responsabilidades atuais, e a segregação de tarefas será imposta para manter o menor privilégio.
- Segregação do ambiente de dados. Os Dados da Seagate não devem ser usados em ambientes de teste ou desenvolvimento.
- Monitoramento e registro. O monitoramento, registro e auditoria contínuos do acesso aos Dados da Seagate deverão ser impostos para detectar e reagir a atividades não autorizadas em tempo real.
- Segurança e confidencialidade de dados de IA. O sistema de IA deve seguir práticas de segurança padrão do setor para proteger a confidencialidade, a integridade e a disponibilidade de todos os dados, incluindo os Dados da Seagate. Os Dados da Seagate serão armazenados com segurança, criptografados durante a transmissão e em repouso, e tratados de acordo com os regulamentos de privacidade relevantes. Os Dados da Seagate não devem ser usados para treinar ou aprimorar modelos de IA sem consentimento explícito.
- Dados em trânsito. Certifique-se de que os Dados da Seagate transmitidos por redes sejam criptografados usando TLS 1.3.
- Dados em repouso. Criptografe Dados da Seagate em repouso usando algoritmos seguros (por exemplo, AES-256), usando chaves de criptografia exclusivas para cada cliente ou conjunto de dados.
- Exportação de dados. Forneça Dados da Seagate em um formato acessível mediante solicitação por até 90 dias após o cancelamento do contrato.
- Exclusão de dados. Destrua os Dados da Seagate com segurança até 90 dias após confirmar a migração ou uma decisão de não migrar. Forneça à Seagate um certificado de destruição assinado mediante solicitação.
- Obrigações de retenção. Notifique a Seagate, se for legalmente obrigado a reter os dados, e os destrua ou devolva, assim que a obrigação terminar.
- Solicitações de dados. Atenda às solicitações de dados da Seagate para auditorias, investigações ou conforme exigido por lei.
- Notificação de localização. Mediante solicitação, informe à Seagate os locais onde os Dados da Seagate são armazenados e processados.
- VIOLAÇÃO DE SEGURANÇA
- Notificação de violação. Notifique a Seagate assim que possível ([email protected]), mas, em caso algum, mais do que 72 horas após a detecção de qualquer Violação de segurança. A notificação deve incluir a natureza da violação, os sistemas afetados, os dados comprometidos e as etapas de mitigação.
- Gerenciador de segurança. Atribua pessoal designado com funções claras para gerenciar as obrigações de segurança.
- Acesso ao pessoal de segurança. Forneça à Seagate acesso ao pessoal de segurança apropriado para revisar e resolver problemas relacionados a segurança.
- SUBCONTRATADOS E SUBPROCESSADORES
- Requisitos de diligência devida e auditoria do Subcontratado. Certifique-se de que os subcontratados concordem, por escrito, em cumprir as obrigações de segurança de informações da Empresa.
- Responsabilidade. A Empresa permanece totalmente responsável pelas ações de seus subcontratados e subprocessadores, garantindo seu desempenho e assegurando que eles cumpram todas as obrigações de segurança, privacidade e contratuais relacionadas ao processamento de Dados da Seagate.
- Divulgação de aplicativos de terceiros e subprocessadores. Mediante solicitação, forneça à Seagate uma lista detalhada e atual de todos os aplicativos, plataformas ou serviços de terceiros, incluindo subprocessadores, envolvidos no processamento ou na interação com Dados da Seagate ou no fornecimento de serviços relacionados a operações da Seagate.
- Avaliações de risco. A Empresa irá avaliar, analisar e documentar regularmente a postura de segurança de todos os subcontratados e subprocessadores que lidam com Dados da Seagate, garantindo que quaisquer riscos identificados sejam prontamente mitigados. Os relatórios de tais avaliações serão disponibilizados para a Seagate mediante solicitação.
- GERENCIAMENTO DE IDENTIDADE
- Federated Authentication (Autenticação Federada) e SAML SSO. Exija autenticação federada IdP (Azure) da Seagate usando o padrão SAML v2.0 para todos os serviços compatíveis.
- Login único (SSO). Integre-se com o SSO da Seagate usando SAML v2.0, onde aplicável.
- Gerenciamento de tokens e sessões. Valide tokens de autenticação e gerencie sessões com segurança, garantindo que os tokens de sessão sejam protegidos e invalidados adequadamente após o logout.
- Autenticação não centralizada. Se os serviços da Empresa não oferecerem suporte ao padrão da Federação SAML v2.0, as seguintes medidas alternativas deverão ser cumpridas:
- Autenticação e autorização. Autentique e autorize usuários com segurança antes de conceder acesso.
- Senhas fortes. Proteja senhas usando bancos de dados criptografados e algoritmos de hash fortes, como bcrypt ou PBKDF2. A senha deve conter pelo menos 12 caracteres e incluir uma combinação de letras maiúsculas e minúsculas, números e caracteres especiais
- Requisito de alteração de senha. Exija que os usuários alterem as senhas padrão e as senhas fornecidas como parte do processo de redefinição de senha durante o login inicial.
- MFA. Forneça autenticação multifator (MFA) como parte da autenticação de usuário da Seagate.
- Comunicação segura. Use protocolos de comunicação segura para todas as comunicações relacionadas a autenticação, como as que estão transmitindo credenciais, tokens de autenticação ou identificadores de sessão, e garanta que sejam criptografadas usando TLS 1.3 ou superior.
- Controle de acesso. Implemente controle de acesso baseado em função para autenticação centralizada e não centralizada.
- Conformidade e monitoramento. Registre e monitore todos os eventos de autenticação envolvendo usuários da Seagate.
- AMBIENTE E EQUIPAMENTO
- Segurança física. Restrinja o acesso físico a instalações que abrigam Dados da Seagate ou Sistemas da Seagate, inclusive data centers e infraestrutura crucial, somente a pessoas autorizadas. Implemente registros de visitantes, monitoramento de acesso, controles de acesso seguro (por exemplo, acesso biométrico ou com crachá), controle de temperatura, segurança contra incêndio e Sistemas de vigilância 24/7.
- MFA. A Empresa deverá impor MFA usando chaves TOTP ou U2F para acesso remoto a sistemas que hospedam Dados da Seagate.
- Segurança de sistema e gerenciamento de correções. Certifique-se de que todos os equipamentos, servidores e sistemas tenham antivírus atualizado, patches de segurança oportunos e sistema blindado. Os patches importantes devem ser aplicados em até 7 dias, com todos os outros patches aplicados em até 30 dias.
- Monitoramento e auditoria. Implemente monitoramento contínuo de sistemas e conduza auditorias regulares para garantir conformidade com políticas de segurança e identificar vulnerabilidades.
- Gerenciamento de incidentes. Mantenha um processo de gerenciamento de incidentes de segurança, incluindo fases e linhas do tempo formais de resposta a incidentes.
- Gestão de alterações. Mantenha um processo de gestão de alterações que inclua a segregação de funções na gestão de alterações, documentação, testes, revisão e aprovação de alterações em sistemas ou infraestrutura.
- Conscientização e treinamento em segurança. Ofereça treinamento regular de conscientização sobre segurança para todo o pessoal que lida com Dados da Seagate, abordando tópicos como melhores práticas de manuseio de dados, segurança baseada em função, conscientização sobre phishing e resposta a incidentes.
- SEGURANÇA DA REDE
- Segurança da rede. Implemente segurança de rede garantindo que o princípio do menor privilégio seja aplicado.
- Firewalls e ACLs. Configure firewalls e listas de controle de acesso (ACLs), permitindo somente acesso e protocolos essenciais para a prestação de serviços.
- IDS/IPS. Implante Sistemas de detecção de intrusão (IDS) e Sistemas de prevenção de intrusão (IPS) para detectar e reagir a atividades suspeitas.
- Registro em log. Mantenha registros detalhados das atividades de rede para auditoria e investigação de incidentes.
- Sistema de gerenciamento de chaves (KMS). Gerencie as chaves de criptografia com segurança usando um KMS (Sistema de gerenciamento de chaves ) para garantir a geração, o armazenamento, a rotação e o controle de acesso adequados.
- AVALIAÇÕES DE VULNERABILIDADE E RISCO
- Avaliações de vulnerabilidade e testes de penetração (VA/TP). Conduza avaliações de vulnerabilidade e testes de penetração regulares em aplicativos e sistemas, internamente ou por meio de provedores terceirizados, conforme necessário.
- Avaliações de risco. Avalie regularmente os riscos em potencial para os sistemas internos e os Dados da Seagate, priorizando as vulnerabilidades com base na gravidade.
- Mitigação imediata. Trate imediatamente de quaisquer vulnerabilidades críticas de segurança identificadas.
- AUDITORIA E TESTE
- A Seagate reserva-se o direito de realizar auditoria e testar os processos, controles, medidas de privacidade e segurança da Empresa para garantir a integridade, disponibilidade e confidencialidade dos Serviços.
- As auditorias podem incluir verificações de rede não intrusivas sem aviso prévio e testes técnicos (por exemplo, penetração, carga, negação de serviço) com consentimento prévio. A Seagate não acessará dados pertencentes a outros clientes e poderá usar auditores terceirizados para cumprir obrigações de confidencialidade. A Empresa deve tratar imediatamente de quaisquer deficiências identificadas.
- REQUISITOS DO ENCLAVE DA SEAGATE: Além das Seções 1-11 acima, os requisitos listados nesta Seção 12 se aplicam aos Sistemas Enclave da Seagate.
- Controles de acesso físico: A Empresa fornecerá à Seagate uma sala separada ou uma estrutura segura com controles de acesso para segregar fisicamente Sistemas da Seagate e Dados da Seagate dos sistemas e dados que não forem da Seagate.
- Segurança da rede.
- A Empresa deve garantir que os Sistemas da Seagate sejam segregados de quaisquer sistemas, ativos e tecnologias da Empresa (inclusive firewall, comutadores, testadores e outros dispositivos) no local da Empresa.
- A Empresa deve garantir que os Sistemas da Seagate não serão conectados à Empresa ou às redes de outros clientes, a não ser por meio de uma conexão VPN aprovada e autorizada da Seagate com o Provedor de Serviços de Internet da Empresa (“ISP”).
- A Seagate pode selecionar um ISP diferente a seu critério mediante notificação por escrito para a Empresa.
- Segurança de sistemas.
- A Seagate emitirá para a Empresa o equipamento e a infraestrutura necessários para acessar os Sistemas da Seagate para a realização dos Serviços.
- O a) uso ou acesso aos Sistemas da Seagate pela Empresa, e b) uso de qualquer equipamento fornecido (ou aprovado pela Seagate), será unicamente para prestar os Serviços estabelecidos no Contrato e quaisquer SOWs aplicáveis e cumprirá com seus termos.
- A Empresa não irá modificar, trocar, alterar, remover ou mover qualquer Sistema da Seagate, inclusive configurações, configurações de rede física e/ou lógica ou portas de rede, tomadas elétricas e quaisquer conexões físicas, sem a aprovação prévia por escrito do Departamento de Segurança de Informações da Seagate em [email protected].
- A Empresa fornecerá todo o suporte de TI necessário para a Seagate instalar e gerenciar remotamente equipamentos da Seagate, como firewalls, comutadores, servidores, estações de trabalho etc.
- Descomissionamento do Enclave. No momento do encerramento ou conclusão dos Serviços, todos os Sistemas da Seagate deverão ser devolvidos à Seagate, a menos que orientado de outra forma pela Seagate. Quaisquer Dados da Seagate nos sistemas da Empresa ou no Sistema Seagate Enclave deverão ser destruídos de forma segura e permanente, com um certificado de destruição assinado fornecido mediante solicitação. Além disso, se o equipamento não for devolvido, a Seagate reserva-se o direito de cobrar uma taxa pelo valor do equipamento praticado naquele momento.
- REQUISITOS DE ACESSO DA SEAGATE NÃO ENCLAVE: Além das Seções 1-11 acima, os requisitos de segurança listados nesta seção 13 se aplicam aos sistemas não enclave da Seagate:
- Limites de acesso. O acesso aos Sistemas da Seagate pela Empresa só é permitido conforme necessário para a realização dos Serviços conforme o Acordo ou qualquer Formulário de Pedido ou SOW aplicável. Os Sistemas da Seagate e os Dados da Seagate não devem ser acessados nem tentativas de acesso devem ser feitas pela Empresa sem autorização por escrito do Departamento de Segurança de Informações da Seagate em [email protected]. O uso pessoal de quaisquer Sistemas da Seagate pela Empresa é proibido.
- VPN. Somente os métodos de VPN (Virtual Private Network) aprovados pelo Departamento de Segurança de Informações da Seagate em [email protected] devem ser usados pela Empresa para acessar Sistemas da Seagate de fora da rede da Seagate. Métodos alternativos de acesso a Sistemas da Seagate em redes públicas são proibidos.
- Licenças de Software. Todo software instalado e usado pela Empresa com a finalidade de cumprir as obrigações sob o Contrato ou para fornecer os Serviços deve ser apropriado e legalmente adquirido, licenciado e usado conforme o acordo de licença aplicável. A Empresa isentará a Seagate de responsabilidade, defenderá e indenizará por qualquer reivindicação ou ação decorrente do uso desse software de acordo com as obrigações de indenização do Contrato.
- Gestão de senhas. Se aplicável, as senhas usadas pela Empresa para o uso dos Sistemas da Seagate deverão cumprir os padrões de gestão de senhas da Seagate e a Empresa deverá impedir a divulgação de todas essas senhas a quaisquer pessoas não autorizadas.
- Uso de Sistemas que não são da Seagate. Quaisquer Sistemas que não sejam da Seagate usados pela Empresa, inclusive equipamento de videoconferência com recursos de transferência eletrônica de dados, não podem ser conectados ou usados para se comunicar com a Seagate ou quaisquer Sistemas da Seagate.
- Locais seguros. O pessoal da Empresa trabalhará somente em locais seguros e autorizados conforme determinado nos processos e procedimentos da Empresa.
