Soluções e Serviços em Nuvem Cláusulas Exemplificativas

Soluções e Serviços em Nuvem. Para a Empresa Prestadora de Serviços que seja um provedor de serviços em nuvem ou que utilize os serviços deste para armazenamento de informação, deve-se garantir um ambiente de computação em nuvem seguro a Suzano, seguindo os requisitos do CSA (Cloud Security Alliance). Para a Empresa Prestadora de Serviços que seja fornecedora de solução SaaS, deve-se garantir, além dos requisitos mínimos supracitados neste documento, mas não se limitando a: • Deve haver segregação de funções nas atividades administrativas na console de gerenciamento da nuvem; • Toda atividade de autenticação de usuários na console de gerenciamento da nuvem deve ser registrada em Log; • Todos os acessos na console de gerenciamento da nuvem devem ser realizados através de métodos de autenticação forte, envolvendo pelo menos dois fatores de autenticação; • As chaves criptográficas utilizadas na infraestrutura em nuvem não devem ser armazenadas ou transmitidas de forma clara; • A solução em nuvem contratada pela Suzano deve possuir habilitado o gerenciamento de Logs centralizado, contendo os Logs de auditoria dos recursos em nuvem;

Soluções e Serviços em Nuvem. Para a Empresa Prestadora de Serviços que seja um provedor de serviços em nuvem ou que utilize os serviços deste para armazenamento de informação, deve-se garantir um ambiente de computação em nuvem seguro a Suzano, seguindo os requisitos do CSA (Cloud Security Alliance). Para a Empresa Prestadora de Serviços que seja fornecedora de solução SaaS, deve-se garantir, além dos requisitos mínimos supracitados neste documento, mas não se limitando a: • Deve haver segregação de funções nas atividades administrativas na console de gerenciamento da nuvem; • Toda atividade de autenticação de usuários na console de gerenciamento da nuvem deve ser registrada em Log; • Todos os acessos na console de gerenciamento da nuvem devem ser realizados através de métodos de autenticação forte, envolvendo pelo menos dois fatores de autenticação; • As chaves criptográficas utilizadas na infraestrutura em nuvem não devem ser armazenadas ou transmitidas de forma clara; • A solução em nuvem contratada pela Suzano deve possuir habilitado o gerenciamento de Logs centralizado, contendo os Logs de auditoria dos recursos em nuvem; • Os Logs de auditoria dos recursos em nuvem contratados pela Suzano devem sempre estar disponíveis para acesso, em caso de suspeita de incidente de segurança da informação identificado pela Suzano; • Deve estar habilitado o monitoramento na nuvem dos eventos para detecção de possíveis ataques cibernéticos e geração de alertas; • Quando identificados incidentes ou eventos de segurança da informação, a solução em nuvem deve garantir a notificação de alertas; • Os serviços Web expostos na Internet devem ser hospedados em redes protegidas por infraestruturas de monitorização/bloqueio de tráfego anómalo IPS (Intrusion Prevention System) e IDS (Intrusion Detection System); • O Ativo TIC deve utilizar mecanismos de proteção contra os ataques cibernéticos conhecidos como, por exemplo: DoS / DDoS (Ataques de negação de serviço ou ataques de negação de serviço distribuída), SYN Floods, Ataque Smurf, pacotes malformados, etc.; • A solução envolvendo o Ativo TIC deve possuir controles para o perímetro de rede e para os pontos de interconexão de tráfego, incluindo internos, como por exemplo: VPC (Private Network), Firewall, IPS, IDS, etc.; • O Ativo TIC e todos os Softwares que o suportam devem ser de propriedade da empresa ou a ela licenciados ou sublicenciados.