Esta página apresenta as evidências a solicitar durante a avaliação de um projeto com a SuperBluOrange. Ela não afirma que todo componente possui determinada certificação nem que um nível de serviço universal se aplica a todas as contratações.
Mapeie o acesso e a responsabilidade pelos dados
Liste os dados tratados por cada componente, quem pode acessá-los e como o acesso é aprovado e removido. Diferencie o acesso comum de atendimento ao cliente das permissões para alterar saldos, aprovar saques, exportar registros ou implantar uma versão.
Para uma ação sensível, solicite o processo de aprovação proposto e o registro disponível após sua execução. O registro deve identificar a conta, a ação e o contexto necessários à investigação. Um login administrativo compartilhado dificultaria consideravelmente essa investigação.
Verifique o que cada comprovação abrange
| Evidência | Perguntas que estabelecem sua relevância |
|---|---|
| Certificação ou avaliação | Qual entidade, componente, versão, escopo e período de validade ela abrange? |
| Teste de segurança | O que foi testado, quando, com quais exclusões e qual é o status das correções? |
| Plano de hospedagem e backup | Quais registros são protegidos, onde e quem pode restaurá-los? |
| Exercício de recuperação | O que foi restaurado, quanto tempo levou e os saldos foram conciliados? |
| Relatório de disponibilidade | Qual serviço, período de medição e exclusões produziram o índice? |
A comprovação de um fornecedor pode apoiar a análise desse fornecedor. Ela não deve se transformar, sem explicação, em uma alegação de certificação para todo o operador ou todas as integrações.
Acorde o processo de incidentes e recuperação
O plano operacional deve identificar níveis de gravidade, contatos, autoridade para decidir e expectativas de atualização. Uma meta de resposta descreve quando o trabalho ou a comunicação começa; ela é diferente de uma meta de restabelecimento do serviço.
Para a recuperação, defina a perda aceitável de dados recentes e o prazo pretendido para restabelecer o serviço necessário. Teste as consequências dessas escolhas para as transações e a conciliação. Restaurar apenas um banco de dados não comprova que os registros externos de pagamentos e jogos correspondam a ele.
Converse sobre os requisitos de segurança informando seu mercado, as restrições de hospedagem e o questionário de contratação. Leia a documentação técnica para evidências de integração ou os serviços de hospedagem para o escopo de infraestrutura.