Segurança organizacional
O programa de segurança da GoFundMe é coerente com as funções do framework de segurança cibernética do NIST (NIST Cybersecurity Framework Functions) e com uma série de controles definidos pelas normas NIST 800-53, CIS CSC Top 20 e pelo padrão de segurança de dados da indústria de cartões de pagamento (PCI Data Security Standard).
Auditorias e avaliações por terceiros para fins de conformidade
Auditorias: a GoFundMe contrata avaliadores externos anualmente para realizar auditoria e garantir a conformidade com as exigências do setor de cartões de pagamento (PCI).
Testes contínuos: a GoFundMe terceiriza a empresas e técnicos especializados a realização de testes de penetração e varreduras de vulnerabilidades em toda a rede e todas as aplicações.
Ciclo de vida do desenvolvimento de software
O ciclo de vida de desenvolvimento de software da GoFundMe é totalmente integrado na estratégia e organização de segurança da empresa. A avaliação de riscos de projetos de software é baseada na lista Top 10 do projeto OWASP. É dada ênfase aos princípios de codificação segura, e os desenvolvedores passam por treinamento recorrente em segurança de codificação. Análise estática de código, análise dinâmica de código e análise de composição de software (SCA) são efetuadas em diversas fases do ciclo de vida do desenvolvimento de software. Todo código é sujeito a controle de versão, bem como a avaliações por pares e a testes funcionais, testes de integração e de controle de qualidade.
Como protegemos os dados dos clientes
A GoFundMe adota uma série de medidas para proteger os dados dos clientes. Este é um esforço colaborativo que visa a identificar e mitigar riscos e a implantar as melhores práticas.
Criptografia de dados em trânsito
Os dados enviados ao site GoFundMe e transmitidos por meio de redes públicas/abertas são criptografados. São usados protocolos TLS versão 1.2+ e um algoritmo criptográfico AES de 256 bits. A equipe de segurança monitora constantemente os padrões de criptografia, faz recomendações e implementa mudanças conforme necessário.
Criptografia em repouso
Usamos o algoritmo criptográfico aprovado pelos padrões FIPS – AES de 256 bits na criptografia de conjuntos de dados em repouso.
Serviço de hosting para segurança da infraestrutura
A infraestrutura da plataforma GoFundMe é hospedada pelo Amazon Web Services. As centrais de dados dos serviços AWS contam com várias certificações, incluindo conformidade com ISO 27001 e certificação PCI DSS. Para obter mais informações sobre as certificações e conformidade dos serviços AWS, acesse o AWS Security Site.
Recuperação em casos de desastre
A GoFundMe utiliza serviços fornecidos pela AWS, entre os quais AWS Cloudfront CDN, AWS Application Load Balancing, AWS Availability Zones, para distribuir seu ambiente de produção entre diversas localidades físicas. Essa diversidade de localidades físicas protege os serviços da GoFundMe contra a perda de conectividade, queda de energia e outras falhas relacionadas a localidades específicas. A alta disponibilidade é integrada na própria infraestrutura da plataforma GoFundMe. Além disso, a infraestrutura é configurada por sistemas de gerenciamento de configuração e de código. Isso possibilita a recuperação rápida em casos de falhas na infraestrutura. São mantidos backups completos e incrementais da infraestrutura e dos dados críticos.
Conformidade e certificações
A GoFundMe não armazena dados de titulares de cartões conforme definidos pelo padrão de segurança de dados do setor de cartões de pagamento (PCI), contudo, a empresa alcançou o mais alto nível de conformidade PCI como provedora de serviços compatíveis com o padrão PCI DSS Nível 1. A GoFundMe é auditada anualmente de forma independente por um avaliador de segurança PCI qualificado, e apresenta conformidade com todos os requisitos do padrão de segurança de dados PCI. A GoFundMe consta no site do Registro Global de Provedores de Serviços Visa. O atestado de conformidade PCI da GoFundMe está disponível mediante solicitação.
Programa de divulgação de vulnerabilidades e Bug Bounty
A GoFundMe conta com um programa de divulgação de vulnerabilidades/Bug Bounty. Se julgar ter descoberto uma possível vulnerabilidade na segurança da plataforma GoFundMe, pedimos que nos comunique sua descoberta assim que possível. Com a assistência do BugCrowd, a GoFundMe mantém um programa privado de recompensas por bugs (Bug Bounty). Pesquisadores podem se qualificar para receber pagamento se uma descoberta anteriormente desconhecida for aceita. Mesmo quem não faz parte do programa pode comunicar bugs e vulnerabilidades de segurança à GoFundMe por meio do BugCrowd, preenchendo o formulário encontrado no final desta página.
Todos os bugs e vulnerabilidades de segurança comunicados estão sujeitos aos termos e condições da GoFundMe. Ao fazer sua comunicação, você concorda em não divulgar publicamente a descoberta nem o conteúdo dela a terceiros, sem aprovação prévia e escrita do GoFundMe.
Vulnerabilidades que não se qualificam
- DoS/DDoS
- Denúncias de spam
- Engenharia social
- Relatos não confirmados de varreduras de vulnerabilidades automatizadas
- Divulgação de números de versão de servidor ou software
- Aquisições hipotéticas de subdomínios sem comprovação que as fundamente
- Invalidação de sessão ou outra segurança melhorada relacionada ao gerenciamento de contas, em casos em que a credencial já é conhecida (ex.: o link de redefinição de senha não expira imediatamente, adicionar MFA não faz com que outras sessões expirem etc.)
- Percepção de pontos fracos na segurança sem comprovação concreta de que estes comprometam a segurança do usuário (ex.: falta de limites de taxa, cabeçalhos ausentes etc.)
- Relatórios que exploram o comportamento ou vulnerabilidades de navegadores desatualizados
- Enumeração de usuários/comerciantes
- Relatórios de melhores práticas sem uma exploração válida (ex.: uso de cifras TLS “fracas”)
- Divulgação de arquivos ou diretórios públicos conhecidos (ex.: robots.txt)
- Sugestões de configuração DNSSEC (Domain Name System Security Extensions)
- Divulgação relacionada a banners em serviços comuns/públicos
- Falta de sinalizadores Secure/HTTPOnly em cookies não confidenciais
- Presença de funcionalidade tipo “preenchimento automático” ou “salvar senha” de uma aplicação ou navegador web
- Sugestões de configuração de SPF (Sender Policy Framework)
- CSRF
- Formulário para contato
- Sistema de mensagens
Escopo
Dentro do escopo
- gofundme.com
- api.gofundme.com
- funds.gofundme.com
- gateway.gofundme.com
- imagwww.gofundme.com/es-es
- support.gofundme.com
Fora do escopo
- happiness.gofundme.com
- Charity.gofundme.com
- Charitysupport.gofundme.com
- Charitysandbox.gofundme.com
- fastly.gofundme.com