Pega Trust Center

Recursos

Políticas de Segurança Digital

Declaração da Veracode

Resumos do Teste de Penetração

Resumo do Plano de Continuidade de Negócios

Resultados do Teste de Recuperação de Desastres

Última atualização

02/12/2023

N/A

03/08/2023

31/03/2023

29/12/2023

Escopo da Avaliação

Pega Cloud AWS, GCP

Pega Cloud AWS, GCP

Pega Cloud AWS, GCP

Pega Cloud AWS, GCP

Pega Cloud AWS

APRA

A Austrália, como outros países, implementou regulamentações e segurança cibernética significativas para enfrentar os desafios crescentes de hackers, fraudes e ataques patrocinados por Estados. Como qualquer outro conjunto de regras, as organizações qualificadas devem avaliar esses regulamentos para que possam entender a lei e como ela é aplicada em situações reais. O Programa de Avaliadores Registrados em Segurança da Informação é um programa de conformidade exclusivo que atesta a capacidade das organizações públicas e privadas de atender aos requisitos de segurança cibernética.

CSA STAR

O Security, Trust, Assurance, and Risk (STAR) Registry é um registro de acesso público que documenta os controles de segurança e privacidade fornecidos por ofertas populares de computação em nuvem.

O STAR engloba os princípios fundamentais de transparência, auditoria rigorosa e harmonização de padrões descritos na Matriz de Controles de Nuvem (CCM). A publicação no registro permite que as organizações mostrem aos clientes atuais e potenciais sua postura de segurança e conformidade, incluindo os regulamentos, padrões e estruturas aos quais aderem. Em última análise, isso reduz a complexidade e ajuda a aliviar a necessidade de preencher vários questionários de clientes.

Cyber Essentials

O Cyber Essentials é um esquema de certificação apoiado pelo governo britânico e pelo setor, introduzido no Reino Unido para ajudar as organizações a demonstrar segurança operacional contra ataques cibernéticos comuns.

Cyber Essentials Plus

O Cyber Essentials Plus é um programa de certificação apoiado pelo governo britânico e pelo setor, introduzido no Reino Unido para auxiliar organizações a comprovar segurança operacional contra ataques cibernéticos comuns. Baseia-se na certificação Cyber Essentials, incluindo a verificação independente dos controles técnicos.

Cybervadis

Cybervadis is a platform for cybersecurity ratings designed to assess the cyber risk associated with a company’s third-party suppliers. At Pegasystems, a global technology company, Cybervadis is employed to evaluate the cybersecurity posture of our suppliers and partners. Through the assessment of cyber risk associated with our suppliers, Pegasystems can make well-informed decisions concerning the security and resilience of our supply chain.

Cybervadis offers a comprehensive risk assessment based on various factors, including data security, infrastructure security, and regulatory compliance. Pegasystems utilizes these ratings to identify potential vulnerabilities within the supply chain and to take effective measures to mitigate associated risks.

Ultimately, by leveraging Cybervadis, Pegasystems is positioned to enhance our security posture, strengthen risk management processes, and ensure the security and integrity of our operations.

ENS

O ENS (Esquema Nacional de Seguridad) é a Estrutura de Segurança Nacional da Espanha. Trata-se de um conjunto de requisitos e diretrizes de segurança que são obrigatórios para todas as organizações que lidam com informações confidenciais em nome do governo espanhol. O ENS é baseado nos princípios de confidencialidade, integridade, disponibilidade e responsabilidade. Ele foi projetado para proteger informações confidenciais contra acesso, modificação ou divulgação não autorizados e para garantir que elas possam ser usadas somente para fins autorizados.

Recursos

Certificado ENS Pegasystems Limited

Última atualização

24/11/2023

Escopo da Avaliação

Pega Cloud AWS & GCP

Produtos

Pega Platform
Pega Customer Service Case Management Edition*
Pega Customer Service Enterprise Edition*
Pega Customer Decision Hub
Pega Sales Automation
Pega Cloud SFTP Service
Predictive Diagnostic Cloud

*Status da avaliação aplicável se VoiceAI, mensagens digitais/mensagens na Web e Co-Browse não forem usados

FedRAMP

O Programa Federal de Gerenciamento de Riscos e Autorizações (FedRAMP) fornece uma abordagem padronizada para autorizações de segurança para ofertas de serviços em nuvem

HDS Francês

A certificação Hébergeurs de Données de Santé (HDS) é exigida para entidades como provedores de serviços em nuvem que hospedam os dados pessoais de saúde regidos pelas leis francesas e coletados para fornecer serviços preventivos, de diagnóstico e outros serviços de saúde. A regulamentação do HDS foi emitida pela ASIP SANTÉ, que, sob o Ministério da Saúde da França, é responsável por promover soluções de saúde eletrônicas na França.

HITRUST

Desenvolvido em colaboração com profissionais de proteção de dados, o HITRUST CSF racionaliza os regulamentos e padrões relevantes em uma única estrutura abrangente de segurança e privacidade. A Avaliação Validada de dois anos (r2) Baseada em Riscos da HITRUST é reconhecida mundialmente como uma validação de alto nível que mostra que uma organização gerencia com sucesso o risco cibernético ao atender e exceder os requisitos de segurança da informação definidos e aceitos pelo setor. A Avaliação Validada + Certificação HITRUST r2 é considerada o padrão ouro para garantias de proteção de informações devido à abrangência dos requisitos de controle, à profundidade da análise de qualidade e à consistência da supervisão.

IL4

A Agência de Sistemas de Informação de Defesa (DISA) publicou o Guia de Requisitos de Segurança de Computação em Nuvem do Departamento de Defesa (DoD CC SRG), que descreve o modelo e os requisitos de segurança pelos quais o Departamento de Defesa aproveitará a computação em nuvem, juntamente com os controles e requisitos de segurança necessários para o uso de soluções baseadas em nuvem. As informações IL4 abrangem informações não classificadas controladas (CUI), informações não-CUI, informações de missão não críticas e sistemas de segurança não nacionais.

IRAP

O Infosec Registered Assessors Program (IRAP) garante que as entidades tenham acesso a serviços de avaliação de segurança de alta qualidade.

ISO 22301

Publicada pela Organização Internacional de Padronização, a ISO 22301 foi projetada para ajudar as organizações a prevenir, se preparar, responder e se recuperar de incidentes inesperados e perturbadores. Para isso, a norma oferece uma estrutura prática para a criação e o gerenciamento de um sistema eficaz de gestão da continuidade dos negócios. A ISO 22301 tem como objetivo proteger uma organização de uma ampla gama de possíveis ameaças e interrupções.

Essa norma pode ser adequada para a sua organização se você precisar demonstrar às partes interessadas que a sua organização pode superar rapidamente a interrupção operacional para fornecer um serviço contínuo e eficaz.

ISO 27001

A ISO/IEC 27001 é amplamente conhecida, fornecendo requisitos para um sistema de gerenciamento de segurança da informação (ISMS), embora haja mais de uma dúzia de padrões na família ISO/IEC 27000. Seu uso permite que organizações de qualquer tipo gerenciem a segurança de ativos, como informações financeiras, propriedade intelectual, detalhes de funcionários ou informações confiadas por terceiros.

ISO 27017

ISO 27017 is an international standard offering guidance on information security controls for cloud services. These controls supplement the guidance of ISO 27002 and are included in Pega Cloud’s ISO 27001 certification. It helps address cloud security challenges by advising on effective measures like provider responsibilities, information sharing, personnel security, and compliance.

ISO 27018

ISO 27018 is a standard that provides guidelines for protecting personally identifiable information (PII) in the cloud. These guidelines supplement the guidance of ISO 27002 and are included in Pega Cloud’s ISO 27001 certification.

PCI/DSS

O PCI DSS (Payment Card Industry Data Security Standard, padrão de segurança de dados do setor de cartões de pagamento) é um conjunto de padrões de segurança criado para garantir que TODAS as empresas que aceitam, processam, armazenam ou transmitem informações de cartão de crédito mantenham um ambiente seguro.

SOC 1

Os relatórios SOC (Service Organization Controls) do American Institute of Certified Public Accountants (AICPA) oferecem garantia sobre os ambientes de controle relacionados à recuperação, ao armazenamento, ao processamento e à transferência de dados. Os relatórios abrangem os controles gerais de TI e os controles de disponibilidade, confidencialidade e segurança dos dados dos clientes. Os relatórios SOC 1 têm como principal objetivo examinar os controles que são relevantes para os relatórios financeiros dos clientes

SOC 2, Tipo 2

Os relatórios SOC (Service Organization Controls) do American Institute of Certified Public Accountants (AICPA) oferecem garantia sobre os ambientes de controle relacionados à recuperação, ao armazenamento, ao processamento e à transferência de dados. Os relatórios abrangem os controles gerais de TI e os controles de disponibilidade, confidencialidade e segurança dos dados dos clientes. Os relatórios SOC 2 abrangem os controles de segurança, disponibilidade e confidencialidade dos dados dos clientes.

TISAX

O TISAX é um mecanismo de avaliação e intercâmbio para a segurança das informações das empresas e permite o reconhecimento dos resultados da avaliação entre os participantes.

Se você deseja processar informações confidenciais de seus clientes ou avaliar a segurança das informações de seus próprios fornecedores, o TISAX o apoia na redução de esforços.

Lei de Privacidade do Consumidor da Califórnia / Lei de Direitos de Privacidade da Califórnia

A Lei de Privacidade do Consumidor da Califórnia (CCPA) foi promulgada em 28 de junho de 2018. A CCPA busca garantir que os consumidores da Califórnia tenham um certo nível de direitos de privacidade. O cumprimento das leis aplicáveis é uma responsabilidade compartilhada. A Pega fornece controles de segurança relevantes, orientação e recursos que permitem que nossos clientes cumpram as leis. A Pega foi projetada para permitir que os Clientes configurem sua própria estratégia de conformidade com as leis aplicáveis.

Em 3 de novembro de 2020, a Lei de Direitos de Privacidade da Califórnia ("CPRA") foi aprovada. A CPRA altera a CCPA e inclui proteção adicional à privacidade dos consumidores. A maioria das disposições dos CPRAs entrará em vigor em 1º de janeiro de 2023, com look-back em janeiro de 2022.

FDA

Food Drug Administration CFR Título 21. O cumprimento das leis aplicáveis é uma responsabilidade compartilhada. A Pega fornece controles de segurança relevantes, orientação e recursos que permitem que nossos clientes cumpram as leis. A Pega foi projetada para permitir que os Clientes configurem sua própria estratégia de conformidade com as leis aplicáveis.

GDPR

O Regulamento Geral de Proteção de Dados é um regulamento da legislação da UE sobre proteção de dados e privacidade na União Europeia e no Espaço Econômico Europeu. O GDPR é um componente importante da lei de privacidade da UE e da lei de direitos humanos, em especial o artigo 8 da Carta dos Direitos Fundamentais da União Europeia. O cumprimento das leis aplicáveis é uma responsabilidade compartilhada. A Pega fornece controles de segurança relevantes, orientação e recursos que permitem que nossos clientes cumpram as leis. A Pega foi projetada para permitir que os Clientes configurem sua própria estratégia de conformidade com as leis aplicáveis.

HIPAA

A HIPAA (Health Insurance Portability and Accountability Act) de 1996 é uma lei federal que exigiu a criação de padrões nacionais para proteger as informações confidenciais de saúde dos pacientes contra a divulgação sem o consentimento ou o conhecimento do paciente. O Departamento de Saúde e Serviços Humanos (HHS) dos EUA emitiu a Regra de Privacidade da HIPAA para implementar os requisitos da HIPAA. A Regra de Segurança da HIPAA protege um subconjunto de informações cobertas pela Regra de Privacidade. O cumprimento das leis aplicáveis é uma responsabilidade compartilhada. A Pega fornece controles de segurança relevantes, orientação e recursos que permitem que nossos clientes cumpram as leis. A Pega foi projetada para permitir que os Clientes configurem sua própria estratégia de conformidade com as leis aplicáveis.

Estrutura de Privacidade de Dados

A Estrutura de Privacidade de Dados UE-EUA (extensão do Reino Unido à DPF UE-EUA), e a Estrutura de Privacidade de Dados Suíça-EUA (DPF Suíça-EUA) foram desenvolvidas, respectivamente, para promover o comércio transatlântico pelo Departamento de Comércio dos EUA e pela Comissão Europeia, pelo Governo do Reino Unido, e pela Administração Federal Suíça para fornecer às organizações dos EUA mecanismos confiáveis para transferências de dados pessoais para os Estados Unidos da União Europeia/Espaço Econômico Europeu, do Reino Unido (e de Gibraltar) e da Suíça, garantindo uma proteção de dados que seja consistente com as leis da UE, do Reino Unido e da Suíça.

A data de vigência dos Princípios da DPF UE-EUA, incluindo os Princípios Complementares e o Anexo I dos Princípios, é 10 de julho de 2023, que é a data de entrada em vigor da decisão de adequação da Comissão Europeia para a DPF UE-EUA. A decisão de adequação permite a transferência de dados pessoais da UE para organizações participantes de acordo com a legislação da UE.

A partir de 17 de julho de 2023, as organizações qualificadas nos Estados Unidos que desejarem autocertificar sua conformidade de acordo com a Extensão do Reino Unido à DPF da UE-EUA poderão fazê-lo; no entanto, os dados pessoais não poderão ser recebidos do Reino Unido e de Gibraltar com base na Extensão do Reino Unido à DPF da UE-EUA antes da data em que os regulamentos de adequação que implementam a ponte de dados para a Extensão do Reino Unido à DPF da UE-EUA entrarem em vigor. A ponte de dados permitirá a transferência de dados pessoais do Reino Unido e de Gibraltar para as organizações participantes de acordo com a legislação do Reino Unido

Para saber mais sobre o programa da Estrutura de Privacidade de Dados e como cumprimos a Estrutura de Privacidade de Dados, visite nossa página de Privacidade & Segurança aqui. Para ver nosso aviso sobre a Estrutura de Privacidade de Dados e para ver nossa participação, visite https://www.dataprivacyframework.gov/s/