Documento técnico sobre segurança

Segurança na TuxCare, Inc.

Tuxcare

Documento técnico

Em vigor a partir de 1º de março de 2026

Conteúdo

Introdução

Segurança Organizacional

Proteção dos dados dos clientes

Visão geral da arquitetura

Conclusão

Introdução

Para manter o máximo nível de segurança e conformidade, as empresas precisam corrigir rapidamente as vulnerabilidades, manter os sistemas Linux de produção atualizados com as correções mais recentes e contar com um parceiro de tecnologia confiável para suporte e manutenção.
A TuxCare auxilia as organizações, oferecendo suporte, manutenção e segurança para sistemas Linux corporativos.

• Com os serviços de correção dinâmica da TuxCare, kernels do Linux, bibliotecas, bancos de dados, ambientes de virtualização e dispositivos de IoT recebem correções de segurança automatizadas, aplicadas sem nenhum tempo de inatividade.
• Com os serviços de Suporte de Ciclo de Vida Ilimitado da TuxCare, as organizações podem migrar para a versão mais recente do Linux no seu próprio ritmo, mantendo a proteção contra os riscos comuns associados ao uso de uma distribuição em fim de vida.
• Os serviços de suporte ao Linux da TuxCare oferecem uma gama completa de suporte ao Linux de nível empresarial, com as vantagens de uma parceria tecnológica independente de fornecedores: serviços flexíveis e a preços razoáveis para manter seus sistemas Linux na versão atual continuamente atualizados e seguros.

Mais de 1.500 empresas, prestadores de serviços de saúde, órgãos governamentais e universidades confiam à TuxCare seus quase 1 milhão de sistemas.

Neste documento, nosso objetivo é explicar nossa arquitetura de sistema em linhas gerais e nossa abordagem em relação à segurança.

Segurança organizacional

Políticas e treinamento em segurança

As práticas de segurança da Tuxcare para funcionários se aplicam a funcionários em tempo integral e meio período, bem como a prestadores de serviços que tenham acesso aos sistemas internos da empresa. Antes de obter acesso aos sistemas internos, todos os funcionários devem passar por verificações de antecedentes, concluir e assinar o treinamento de conscientização sobre segurança da informação para integração e assinar um contrato que inclua um acordo de confidencialidade. Todos os funcionários são obrigados a concluir anualmente um treinamento sobre privacidade e segurança. O treinamento abrange uma ampla gama de tópicos relacionados à privacidade e segurança, incluindo o uso aceitável de dados, phishing e engenharia social, uso de dispositivos da empresa e pessoais, melhores práticas para prevenir malware, requisitos de segurança física e notificação de incidentes. Após o término do vínculo empregatício na Tuxcare, o acesso do ex-funcionário aos sistemas da Tuxcare é revogado imediatamente pelo departamento de TI por meio de um procedimento padronizado, que inclui a desativação de todas as contas.

O programa e a equipe de segurança da Tuxcare

A Tuxcare conta com uma equipe de profissionais de segurança — composta por funcionários internos — que supervisiona e administra o programa de segurança da empresa. Essa equipe dá suporte aos três pilares do nosso programa de segurança por meio de diversas iniciativas e melhores práticas:

• Segurança do produto

○ Treinar desenvolvedores em práticas seguras de desenvolvimento de aplicativos e outras melhores práticas de segurança

○ Realizar revisões de projeto e de código para a detecção de possíveis falhas de segurança

• Segurança de infraestrutura e operações

○ Gerenciar firewalls, certificados de sites e outros componentes da infraestrutura de segurança

○ Coletar registros relevantes para a segurança e manter ferramentas para a análise desses registros

○ Oferecer uma plataforma para a implantação, o monitoramento e a aplicação de correções seguras dos serviços de produção da Tuxcare

○ Gerenciar ferramentas e serviços de proteção de dispositivos finais

○ Coordenar testes de penetração externos

○ Realizar avaliações contínuas de vulnerabilidade

○ Responder a incidentes de segurança

• Conformidade e gestão de riscos

○ Coordenar auditorias e manter as certificações de segurança

○ Desenvolver e manter o sistema de gestão de segurança da informação da Tuxcare

○ Responder às dúvidas dos clientes

○ Analisar e avaliar o nível de segurança dos fornecedores

○ Coordenar as atividades relacionadas ao Plano de Continuidade de Negócios (BCP) e ao Plano de Recuperação de Desastres (DRP)

○ Gerenciar o programa de privacidade

Testes de penetração

Os clientes que desejarem realizar seus próprios testes de penetração nas aplicações da Tuxcare podem solicitar essa realização e devem entrar em contato com o representante de conta da Tuxcare. Trimestralmente, uma empresa terceirizada é contratada para realizar um teste de penetração externo na rede. As conclusões das avaliações de segurança realizadas por terceiros são analisadas pela equipe de Segurança, categorizadas de acordo com sua gravidade e acompanhadas até a resolução.

Avaliação de vulnerabilidades

A equipe de segurança da Tuxcare realiza avaliações de vulnerabilidade dos serviços da Tuxcare da seguinte forma:

• Os serviços, antes da implantação em produção, são verificados por meio de um serviço de análise de composição de software (SCA).
• A infraestrutura é verificada continuamente por meio das seguintes ferramentas de segurança, como o Nessus.
• Os serviços da web acessíveis ao público são verificados continuamente por scanners de aplicativos da web.
• As avaliações de vulnerabilidades pós-lançamento são realizadas por diversas soluções de gerenciamento de vulnerabilidades.

Gerenciamento de patches

A Tuxcare aplica regularmente patches de segurança à infraestrutura de serviços. A equipe de TI assina feeds e canais regulares dedicados a notificações de atualizações críticas para os tipos de ativos utilizados na Tuxcare. Os patches críticos são aplicados assim que for razoavelmente possível, de acordo com a Política de Gerenciamento de Patches da Tuxcare.

Monitoramento de segurança

A Tuxcare utiliza um conjunto de ferramentas e processos para a detecção de ações maliciosas, suspeitas ou de outra forma ilegítimas dentro de sua própria infraestrutura, serviços e aplicativos. A empresa registra e mantém registros de acesso administrativo, uso de contas privilegiadas e chamadas de sistema em servidores essenciais aos serviços nos ambientes da Tuxcare. A análise desses registros é automatizada, sempre que possível, para detectar possíveis problemas e alertar o pessoal responsável. O acesso aos registros de auditoria é restrito a um número limitado de funcionários que precisam desse acesso para desempenhar suas funções.

Gerenciamento de incidentes

A Tuxcare executa procedimentos de gerenciamento de incidentes que minimizam o tempo de inatividade, a degradação do serviço e os riscos de segurança para clientes e usuários internos. Os eventos de segurança são identificados e comunicados à equipe de Segurança da Tuxcare por meio de canais estabelecidos. A equipe de Segurança, então, define o tipo de evento, determina sua gravidade e responde a ele de acordo com os acordos de nível de serviço (SLAs) aprovados, com base nas melhores práticas do setor. Eventos de segurança que possam afetar a privacidade estão sujeitos a análises e respostas adicionais por parte da equipe de Conformidade da Tuxcare.

Desenvolvimento seguro de software

As equipes de engenharia da Tuxcare utilizam serviços gerenciados líderes do setor para políticas de funções e acesso, gerenciamento de contas, gerenciamento de certificados, criptografia e gerenciamento de chaves, gerenciamento de segredos, coleta e monitoramento de logs de segurança, firewalls e listas de acesso à rede. Todo o código é registrado em um sistema de controle de versão. As alterações no código passam por revisão por pares e testes automáticos de integração. Os aplicativos, bibliotecas e outros artefatos de desenvolvimento da Tuxcare são automaticamente verificados quanto a vulnerabilidades conhecidas, e as correções são aplicadas prontamente. Cada equipe de desenvolvimento mantém um ritmo regular de reuniões de segurança com a equipe de Segurança e a equipe de Infraestrutura, que é responsável por fornecer um conjunto de ferramentas de infraestrutura ideal para ajudar os engenheiros a se concentrarem no desenvolvimento de produtos. Os serviços da Tuxcare são projetados, desenvolvidos, implantados e testados contra vulnerabilidades de segurança conhecidas, incluindo aquelas listadas pelo Open Web Application Security Project (OWASP). Diretrizes para desenvolvimento e testes seguros são mantidas e comunicadas a todos os engenheiros.

Recuperação de desastres

A Tuxcare utiliza serviços implantados por seus provedores de hospedagem em nuvem para distribuir as operações de produção por várias zonas de disponibilidade localizadas em todo o mundo (Chicago e Miami, nos Estados Unidos; Alemanha e Polônia, na União Europeia). A Tuxcare possui um Plano de Recuperação de Desastres (DRP) para orientar as equipes na recuperação após interrupções causadas por eventos inesperados relacionados à capacidade de computação, aplicativos, infraestrutura ou dados. O DRP é mantido por equipes dedicadas da Tuxcare e é revisado e testado anualmente.

Fornecedores terceirizados

A Tuxcare conta com diversos fornecedores terceirizados para serviços e funções específicas, como hospedagem de nossos servidores, comunicação por e-mail, serviços de suporte ao cliente e análises. Antes de utilizar um fornecedor terceirizado, a Tuxcare realiza um programa de due diligence e avalia o nível de segurança do fornecedor. A Tuxcare verifica se as informações pessoais são removidas dos sistemas de terceiros assim que não houver mais qualquer base legal para seu armazenamento. Os fornecedores terceirizados selecionados estão sujeitos a monitoramento contínuo por um serviço de gestão de riscos de fornecedores.

Modelo de negócios

A Tuxcare não vende nem aluga os dados pessoais dos usuários, nem os compartilha com terceiros para que estes possam veicular anúncios. A Tuxcare obtém receita exclusivamente por meio da oferta de um produto pago a consumidores e empresas.

Proteção dos dados dos clientes 

Autorização de acesso dos funcionários

O acesso a todos os sistemas internos da Tuxcare exige que os funcionários se autentiquem por meio de um sistema de login único (SSO) com autenticação multifatorial obrigatória. A Tuxcare segue o princípio do privilégio mínimo. As solicitações de acesso aos sistemas internos são documentadas, analisadas e aprovadas pelos respectivos gerentes e responsáveis pelos serviços. A direção da Tuxcare analisa sistematicamente o acesso dos funcionários aos sistemas que armazenam ou processam dados de clientes e revoga o acesso caso ele não seja mais necessário para a execução de tarefas específicas de trabalho.

Proteção de terminais

Todas as estações de trabalho da Tuxcare devem executar um software de gerenciamento de terminais que imponha configurações seguras, regras de senha e criptografia. Esse software também oferece uma função de bloqueio em caso de inatividade e permite o controle remoto caso um dispositivo seja comprometido ou perdido. As estações de trabalho dos funcionários executam agentes de monitoramento da BitDefender, fornecedora líder do setor, para detectar possíveis malwares e comportamentos suspeitos. A equipe de segurança da Tuxcare coleta os registros dos dispositivos e monitora os alertas das estações de trabalho.

Conformidade legal

A Tuxcare cumpre o Regulamento Geral de Proteção de Dados (RGPD) da União Europeia no que diz respeito à coleta, uso e retenção de informações pessoais. Para mais detalhes, consulte a Política de Privacidade da Tuxcare, disponível em nossos sites. A Tuxcare conta com um Diretor de Conformidade dedicado, com ampla experiência em privacidade e segurança de dados. Esse profissional analisa as ofertas de produtos e os processos da Tuxcare para garantir a conformidade com os requisitos legais e regulatórios aplicáveis.

Privacidade dos dados dos clientes

A Tuxcare respeita a privacidade dos dados dos usuários, conforme especificado na Política de Privacidade da Tuxcare. Comprometida com os princípios do GDPR, a Tuxcare nunca coleta dados pessoais sem uma base legal, limita a quantidade de dados coletados e processados e exclui os dados quando eles não são mais necessários para os serviços descritos na Política de Privacidade da Tuxcare (por exemplo, para fornecer e aprimorar nossos serviços). Os usuários podem solicitar uma lista de seus dados pessoais utilizados em nossos serviços. Os usuários da Tuxcare podem remover seus dados pessoais dos sistemas da Tuxcare a qualquer momento, fazendo login em sua conta, acessando a página de Configurações e, em seguida, excluindo sua conta. Clientes corporativos podem entrar em contato com seu representante de conta para solicitar a exclusão. A Tuxcare possui um conjunto de políticas e controles técnicos que impedem que os funcionários acessem os dados dos clientes armazenados ou processados pelos sistemas da Tuxcare. O acesso aos sistemas de produção é restrito a engenheiros dedicados que desenvolvem esses sistemas e garantem sua confiabilidade e disponibilidade. Os sistemas de produção que trabalham com dados de usuários são implantados em uma infraestrutura separada, isolada de todos os outros sistemas da Tuxcare. Quando apropriado, a Tuxcare utiliza chaves privadas e restringe o acesso à rede a determinados funcionários.

Dados processados e armazenados

As informações que os usuários salvam no Tuxcare são armazenadas pelo Tuxcare para que os usuários possam acessá-las novamente quando desejarem. As informações permanecem armazenadas até que sejam excluídas pelo usuário por meio do Tuxcare. Os serviços do Tuxcare acessam apenas o tipo de informação necessário para a prestação dos serviços oferecidos.

Retenção e descarte de dados

Os dados dos clientes são excluídos imediatamente dos serviços de produção assim que o usuário é excluído. A Tuxcare exclui as informações do usuário dos backups 60 dias após sua remoção dos servidores. O provedor de serviços de hospedagem da Tuxcare é responsável por garantir que a remoção dos dados dos discos seja realizada de maneira responsável antes que estes sejam reutilizados.

Exclusão de conta

Os clientes têm a possibilidade de cancelar sua assinatura do Tuxcare a qualquer momento. De acordo com a Política de Privacidade, os dados pessoais do usuário são excluídos dos serviços internos e externos quando o cliente exclui sua conta. O Tuxcare poderá manter os dados pessoais do usuário pelo tempo que for razoavelmente necessário para fins de interesses comerciais legítimos, incluindo fins fiscais e de auditoria, e para cumprir obrigações legais.

Visão geral da arquitetura

Nesta seção, explicaremos como os dados dos usuários são transferidos, armazenados e processados com segurança pela infraestrutura da Tuxcare na nuvem.

Infraestrutura básica

Toda a infraestrutura do lado do servidor da Tuxcare está hospedada em data centers seguros e líderes do setor: a Hivelocity, localizada em Tampa, Flórida, e a Hetzner, localizada na Alemanha, no território da União Europeia. A infraestrutura de pesquisa e desenvolvimento está localizada no data center da Atman, na Polônia, na União Europeia. Todos os componentes que processam dados de usuários operam na rede privada da Tuxcare, dentro de nossa plataforma de nuvem segura.

Criptografia e isolamento de dados

Os dados são criptografados em trânsito e em repouso:

• As conexões entre os clientes e a infraestrutura de back-end da Tuxcare são protegidas por protocolos de criptografia atualizados, incluindo o TLS 1.2.
• Os dados dos clientes da Tuxcare são criptografados em repouso por meio da criptografia LUKS aes-xts-plain64.
• As senhas são armazenadas em bancos de dados criptografados com o algoritmo de hash bcrypt aplicado.

Os dados de cada usuário do Tuxcare são separados logicamente dos dados dos demais usuários. Para que um usuário possa acessar seus dados, ele precisa estar conectado à sua conta do Tuxcare — e qualquer solicitação do cliente deve ser autenticada e autorizada.

Conclusão

Sabemos que a segurança é de extrema importância para você, e garantir a segurança dos dados é uma responsabilidade que levamos muito a sério. Entre em contato com o suporte da Tuxcare ou com seu executivo de contas da Tuxcare caso tenha alguma dúvida sobre a segurança da Tuxcare.