Segurança
Postura de segurança
A Enverium tem três partes, e cada uma guarda só o que precisa. Esta página resume o que cada parte guarda, quem a opera e o que nunca sai dela. Os detalhes técnicos estão no pacote de revisão, entregue às equipes de segurança das instituições, a pedido.
Gestão de Carteira, no perímetro da instituição
A carteira é segredo da instituição. Por isso ela lê o que precisa, e nenhum dado sai dela.
- Instalada no ambiente da instituição, na nuvem ou no datacenter.
- Operada pela equipe da instituição, com os seus próprios acessos. A Enverium não tem acesso à instalação nem aos dados.
- Nenhum dado da carteira sai: exposições, contratos, valores e a própria existência de um relacionamento ficam no ambiente da instituição.
- Versões assinadas, com pacote de revisão para a área de segurança, correções de segurança e suporte de longo prazo.
- Atualizações de conteúdo regulatório (DRSAC, GRSAC, fatores PCAF) assinadas e conferidas antes de instalar.
- Para gestoras de recursos que preferirem, a Gestão de Carteira hospedada pela Enverium roda num ambiente separado da Taxonomia e dos Indicadores.
Os resultados publicados
A Enverium guarda o que as empresas publicam, assinado, e nada além disso.
- Cada publicação é assinada e versionada. Correções e retiradas ficam registradas, sem apagar o que veio antes.
- Qualquer pessoa pode conferir a assinatura de um resultado publicado.
- O que uma instituição consulta não revela por quais empresas ela se interessa.
- A resposta a um convite só pode ser lida por quem convidou. A Enverium não a lê nem sabe a quem foi enviada.
- A Enverium não guarda o vínculo entre quem convida e a empresa que responde.
Taxonomia e Indicadores, onde as empresas trabalham
A preparação é da empresa. Só sai o que ela sela e decide publicar.
- Escopos, respostas, evidências, números e rascunhos ficam com a empresa, visíveis só para a sua equipe.
- Documentos guardados na Enverium são cifrados, com chaves separadas por empresa. Ou ficam no armazenamento da própria empresa, com a prova de que não mudaram depois.
- Papéis por empresa (responsável, colaborador, revisor, aprovador e leitor) e uma trilha de auditoria de cada passo.
- Processos, bancos de dados e credenciais separados por sensibilidade.
- A equipe da Enverium entra no console administrativo com segundo fator obrigatório.
A proteção dos dados vem primeiro
Por isso, a Enverium:
- Não recebe a carteira nem qualquer dado das operações do banco.
- Não envia mensagens em nome do banco nem das suas contrapartes.
- Não recebe nem guarda informação sobre os relacionamentos do banco, nem sobre quem ele convida a responder.
- Não publica nada que a empresa não tenha selado criptograficamente e decidido publicar.