Conformidade da F5

Todos os novos contratados, incluindo funcionários e prestadores de serviços, devem realizar o treinamento de conscientização em segurança no momento da contratação e, posteriormente, todos os anos. Treinamentos periódicos adicionais (trimestrais, anuais etc.) também devem ser concluídos pelos usuários, de acordo com suas funções e responsabilidades. Alguns exemplos de treinamentos adicionais são: treinamento sobre o ciclo de vida de desenvolvimento seguro, treinamento global sobre privacidade de dados, classificação de dados, gerenciamento de vulnerabilidades, gerenciamento de ameaças corporativas, criptografia e segurança de credenciais etc.


APLICÁVEL A: Toda a empresa

Os produtos da marca F5 seguem práticas de desenvolvimento seguro de software alinhadas aos padrões do setor, como NIST 800-53 e NIST 800-218. Nosso ciclo de vida de desenvolvimento seguro de software inclui vários componentes essenciais, como (entre outros): modelagem de ameaças, revisões de design, revisões de código, varredura de vulnerabilidades, testes de segurança e testes periódicos de invasão em componentes críticos.


APLICA-SE A: Enterprise

Sim. Todos os profissionais da F5 estão sujeitos a uma triagem pré-admissional e a uma verificação de antecedentes, em conformidade com as leis, os regulamentos e os acordos contratuais pertinentes. A triagem inclui critérios alinhados aos requisitos do negócio, ao grau de sensibilidade das funções e responsabilidades do cargo e aos possíveis riscos associados a antecedentes desabonadores que possam indicar risco de furto, fraude ou uso indevido das instalações. Caso o cargo envolva maior risco ou visibilidade, como o de Diretor Financeiro, são necessárias verificações adicionais para garantir que a pessoa seja adequada à função (por exemplo, verificações de crédito). Quanto aos prestadores de serviços, a F5 conta com as agências de recrutamento e seleção (com as quais mantém contratos) para realizar as verificações de antecedentes.


APLICA-SE A: Empresas

A F5 implementou uma solução e um programa de Prevenção contra Perda de Dados (DLP). O desempenho da solução de DLP é monitorado continuamente, e há processos estabelecidos para lidar com suspeitas de perda de dados. A configuração de DLP inclui regras que proíbem transferências não autorizadas de informações confidenciais ou pessoais para sites externos, como webmail, blogs, sites de armazenamento pessoal etc. As regras de DLP são revisadas regularmente. Todos os e-mails da organização também são verificados pela solução de DLP.


APLICA-SE A: Empresa

Todas as políticas de Segurança da Informação são revisadas anualmente. Todas elas contam com normas, procedimentos e práticas operacionais de apoio, que também são revisados todos os anos. Observe que há muitas outras políticas que dão suporte às práticas comerciais da F5; as apresentadas abaixo são as mais solicitadas.

• Política de Dispositivos Móveis
• Plano de Resposta a Incidentes Cibernéticos
• Política Corporativa de Uso Aceitável
• Política Corporativa de Segurança na Nuvem
• Política Corporativa de Controles Criptográficos
• Política Corporativa de Localização Geográfica
• Política Corporativa de Gerenciamento de Identidades e Acessos
• Política Corporativa de Segurança da Informação
• Política Corporativa de Acesso Não Rotineiro a Dados
• Política Corporativa de Aplicação de Correções e Gerenciamento de Vulnerabilidades
• Política Corporativa de Segurança para Trabalho Remoto
• Política Corporativa de Sanções
• Política Corporativa de Desenvolvimento Seguro de Software
• Política Corporativa de Retenção de Dados
• Política Corporativa de Classificação da Informação
• Política de Rede Corporativa
• Política do Programa de Recuperação de Desastres da F5

APLICA-SE A: Empresas

A F5 possui um programa de Gerenciamento de Incidentes respaldado por um Plano de Resposta a Incidentes, que é testado anualmente. Para consultar as responsabilidades compartilhadas relacionadas às necessidades de gerenciamento de incidentes, consulte o contrato vigente com a F5.

APLICÁVEL A: Enterprise

A F5 mantém um programa de Gerenciamento de Vulnerabilidades e Patches respaldado por documentos de políticas e procedimentos. A equipe de segurança cibernética, que atua de forma independente do grupo de desenvolvimento, realiza rotineiramente avaliações de segurança em novos desenvolvimentos ou quando há uma alteração significativa no produto. As avaliações de vulnerabilidades da rede de produção, da infraestrutura de suporte à produção e dos serviços são realizadas pelo menos trimestralmente para identificar possíveis vulnerabilidades de segurança. A F5 utiliza diversas ferramentas e serviços para verificar regularmente nossas redes (interna e externamente), bases ou repositórios de código, aplicações e outras dependências, a fim de detectar vulnerabilidades. Essas vulnerabilidades são então classificadas e corrigidas pelos respectivos responsáveis, de acordo com o SLA definido. O SLA é estabelecido em nossa política e nos documentos de apoio e é determinado por diversos fatores, incluindo, entre outros, diretrizes e práticas recomendadas do setor, criticidade e gravidade, fatores do nosso ambiente etc. Outras fontes disponíveis no setor e atualizações de fornecedores também são utilizadas para identificar novas vulnerabilidades que possam nos afetar, e as medidas adequadas são tomadas para classificá-las e corrigi-las.

APLICÁVEL A: Enterprise

A F5 mantém diversos métodos para impedir conexões não autorizadas (incluindo acesso remoto) a sistemas e recursos internos. Para acessar remotamente o ambiente e os sistemas de produção, os funcionários devem primeiro se autenticar por meio da nossa solução corporativa de IAM, que exige autenticação multifator utilizando uma senha definida pelo usuário e um token de software rotativo. Em seguida, os usuários devem se conectar por meio da nossa solução corporativa de VPN, que também exige autenticação multifator utilizando uma senha de usuário e um token de software rotativo. Após a autenticação, os usuários recebem permissões de acesso baseadas em funções e têm certificados de dispositivo instalados, permitindo diferentes níveis de acesso a sistemas e recursos. O tunelamento dividido não é permitido. A F5 controla o acesso por meio de RBAC, do princípio do menor privilégio, da necessidade de conhecimento e do gerenciamento do ciclo de vida dos usuários.

APLICA-SE A: Enterprise

Uma arquitetura de rede multicamadas é implementada com separação física e lógica entre os ambientes de Produção, DMZ e não Produção. Observe que não podemos compartilhar externamente os diagramas da rede corporativa nem a política completa de segurança de rede, pois essas informações são consideradas confidenciais.

APLICÁVEL A: Enterprise

O Plano de Continuidade de Negócios da F5 baseia-se em uma Avaliação de Impacto nos Negócios (BIA) realizada em toda a empresa. A BIA identifica áreas e processos críticos de negócios que, se interrompidos, podem causar um grande impacto nas operações gerais da empresa, em sua reputação e/ou rentabilidade nas primeiras 48 horas após o início da interrupção. A BIA e o Plano de Continuidade de Negócios consideram os recursos críticos necessários para manter as operações e as estratégias para compensar a perda ou indisponibilidade de: instalações/locais, pessoal-chave, aplicações de TI e prestadores de serviços terceirizados.

APLICA-SE A: Enterprise

Dados referem-se a fluxos de transações, arquivos, repositórios de dados, tabelas e resultados utilizados ou processados pela Empresa. Os dados dos clientes são gerenciados, processados e armazenados em conformidade com as normas aplicáveis de proteção de dados e demais regulamentações, bem como com os requisitos específicos formalmente estabelecidos nos contratos celebrados entre a F5 e clientes ou fornecedores.

A Empresa implementou métodos e protocolos seguros para a transmissão de informações confidenciais ou sensíveis por redes públicas. A criptografia está habilitada nos repositórios que contêm dados sensíveis de clientes.

Todos os dados de clientes armazenados ou processados pelos serviços da F5 são considerados confidenciais. Os requisitos da F5 para classificação e tratamento de dados são definidos da seguinte forma:

• Crítico (Confidencial)
• Restrito
• Interno
• Público

APLICA-SE A: Enterprise

O monitoramento é fundamental para compreender a eficácia dos controles, verificar se estão funcionando conforme o esperado ou se devem ser reformulados para se adequar melhor aos processos ou aumentar sua eficácia. A gerência e os supervisores são responsáveis por monitorar a qualidade e a eficácia dos controles internos como parte de suas atividades regulares. Os integrantes das equipes de produtos da F5 participam regularmente de grupos voltados à segurança e à gestão de riscos para monitorar o impacto das tecnologias emergentes.

APLICÁVEL A: Enterprise

O Centro de Operações de Segurança (SOC) oferece suporte especializado 24 horas por dia, 7 dias por semana. O Centro de Operações de Segurança monitora proativamente os serviços empresariais e gerencia ativamente as instâncias para responder aos ataques à medida que ocorrem.

Os Centros de Operações de Segurança operam em um modelo de acompanhamento do fuso horário e contam com uma equipe adequada durante o horário comercial regular de cada região. O Centro de Operações de Segurança atua globalmente a partir dos seguintes locais: Seattle (EUA), Hyderabad (Índia), Varsóvia (Polônia) e Guadalajara (México).

As informações sobre as localidades do SOC podem ser consultadas em: https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

APLICA-SE A: F5 Distributed Cloud Managed Services

A F5 conta com um sólido programa de segurança cibernética, respaldado pela Política Corporativa de Segurança da Informação (EISP) e por um conjunto abrangente de outras políticas e normas de segurança cibernética. Um dos objetivos dessas políticas é garantir que a F5 disponha de controles de segurança adequados para proteger os dados de nossos clientes contra acesso não autorizado, perda e corrupção. A política é parte integrante do Sistema de Gestão de Segurança da Informação (ISMS) da F5. Além disso, está alinhada às normas e estruturas do setor, bem como às leis e regulamentações aplicáveis, incluindo a norma NIST 800-53. A F5 passa por uma auditoria externa anual, na qual são avaliados o projeto dos controles de segurança, sua implementação e sua eficácia operacional.

APLICA-SE A: Empresa

A F5 possui um programa consolidado de Gestão de Fornecedores. Como parte desse processo, os prestadores de serviços terceirizados são avaliados com base no risco que representam para a Empresa e seus dados. A equipe de Segurança Cibernética da F5 realiza uma avaliação de risco de todos os fornecedores que têm acesso aos dados ou sistemas da F5 durante a integração e, posteriormente, todos os anos. A Avaliação de Segurança de Terceiros (TPSA) também é realizada como parte do processo de devida diligência para avaliar a postura de segurança de terceiros, sejam eles fornecedores, parceiros, clientes, prestadores de serviços, consultores ou intermediários. O objetivo é garantir que suas práticas de segurança atendam aos padrões mínimos de segurança da nossa organização. Todos os fornecedores devem concordar em proteger adequadamente os dados da F5 e dos clientes. Os contratos com fornecedores terceirizados incluem disposições para garantir o alinhamento com os requisitos comerciais e de confidencialidade da F5. Os relatórios e as certificações de conformidade de segurança dos fornecedores são analisados pela equipe de Conformidade para garantir que os controles dos fornecedores estejam alinhados às políticas e aos padrões da F5 durante a integração e, posteriormente, todos os anos.

APLICÁVEL A: Enterprise

Observe que os RTO e RPO estabelecidos são aplicáveis apenas aos nossos serviços SaaS (Distrubuted Cloud, AI Guardrails, AI Red Team, NGINX One, Bot Defense).

• Objetivos de Tempo de Recuperação (RTO): Vinte e quatro horas
• Objetivos de Ponto de Recuperação (RPO): Seis horas

APLICA-SE A: F5 Distributed Cloud Managed Services

A F5 conta com uma Equipe de Governança de Modelos de IA/ML, que analisa todos os usos de qualquer modelo utilizado na empresa ou incorporado ao produto. São realizadas Avaliações de Impacto de Modelos para todos os modelos. A F5 mantém uma Política Corporativa de Inteligência Artificial (IA) alinhada à norma ISO/IEC 42001:2023 — Tecnologia da Informação (Sistema de Gestão de Inteligência Artificial) —, que é revisada e atualizada pelo menos uma vez por ano.

APLICA-SE A: Empresa

Consulte a Declaração de Privacidade específica aplicável ao produto: https://www.f5.com/company/policies/privacy-notice

APLICÁVEL A: Enterprise

Desde a garantia de conformidade até os guias de serviço, temos vários documentos de referência para funcionários, fornecedores e parceiros. Encontre documentos normativos sobre nossos produtos, serviços de suporte, privacidade e contratos. Consulte as políticas e a documentação da F5 em https://www.f5.com/company/policies.

APLICA-SE A: Enterprise

Sim, o Diretor de Privacidade supervisiona a implementação do nosso programa de conformidade com as normas de privacidade e se reporta ao Diretor Jurídico. O Encarregado de Proteção de Dados é um advogado externo especializado em proteção de dados, contratado pela empresa para defender os interesses dos titulares dos dados. Ele se reporta ao Conselho de Administração e atua em conjunto com o Diretor de Privacidade.

APLICÁVEL A: Enterprise