Requisitos de Segurança de TI para Contratação de Aplicações em Nuvem. Os datacenters do provedor da nuvem, Digital Service Provider (DSP), utilizados para hospedagem da aplicação e armazenamento dos dados pela CONTRATADA devem possuir minimamente as seguintes certificações e acreditações: NBR ISO/IEC 27001; NBR ISO/IEC 27017; NBR ISO/IEC 27018; SOC2 tipo2. O DSP deve possuir ao menos um datacenter em território brasileiro, de modo a garantir a aplicabilidade da Lei Geral de Proteção de Dados brasileira (LGPD). A CONTRATADA deverá garantir a confidencialidade, integridade e disponibilidade dos dados trafegados e armazenados em seus datacenters, tanto os que forem fornecidos pela CONTRATANTE como aqueles inseridos ou gerados em função do uso da sua aplicação pelos colaboradores da CONTRATANTE, sob pena de responder por eventuais perdas e/ou danos causados ao CONTRATANTE e a terceiros. O DSP deverá possuir planos de continuidade, recuperação de desastres e contingência de negócio testados regularmente, com garantia de Recovery Time Objective (RTO) de 2 horas, no máximo, durante toda a vigência do contrato. Deverá possuir, ainda, procedimentos de backup/restore de dados e de respostas a incidentes, implementados. Em relação aos sistemas operacionais que compõem a infraestrutura do seu datacenter, o DSP deverá implementar controles de segregação e segurança, soluções de virtualização padrões de mercado e política permanente de atualização de versão e aplicação de patches de correção. O modelo de segurança das interfaces do DSP deve ser desenvolvido com base em padrões de mercado, conforme Guia de Codificação Segura da OWASP (OWASP Secure Coding Guidelines), incluindo mecanismos de autenticação forte de usuários e rígido controle de acesso. A CONTRATADA deverá disponibilizar mecanismos para auditoria da aplicação que será utilizada pela CONTRATANTE, como log unificado de atividades dos usuários (trilha de auditoria) que possibilite a sua rastreabilidade, e mecanismos de triagem de eventos de segurança que garantam um gerenciamento de incidentes completo e dentro do SLA contratado. Toda informação confidencial fornecida e/ou gerada em razão deste contrato, seja ela armazenada em meio físico ou digital, deverá ser devolvida mediante formalização entre as partes, ao término ou rompimento do contrato, ou por solicitação do CONTRATANTE. Em havendo necessidade de licenças de uso ou subscrições da aplicação, estas devem ser de responsabilidade do CONTRATADO, devendo ser compatíveis ao uso corporativo e estar cadastradas no fabricante em ...
