Segurança

UiPath® goes to great lengths to ensure that data related to your RPA projects remains safe and secure, without exception. When using UiPath® Task Mining, your data benefits from multiple layers of security and governance technologies, operational practices, and compliance policies that UiPath® enforces.

UiPath® Task Mining is comprised of four main components: the recording application, Data Preprocessor, Analyzer, and Admin Portal. Together these components run studies on the tasks performed by users in your environment. From these studies, UiPath® Task Mining will identify a list of tasks that are good candidates for automation and produce a detailed process map for the tasks. These studies are controlled by your system administrator and the data collected during the studies is encrypted to ensure your users’ privacy is not violated.

Princípios do design de serviço

O Portal do Administrador e Analisador são entregues via um modelo de software como serviço (SaaS) construído e hospedado no Microsoft Azure. Eles todos usam serviços essenciais do Azure, incluindo poder de processamento, armazenamento, redes, banco de dados SQL, configuração do app, armazenamento secreto no Cofre de Chaves, e gerenciamento de identidade e acesso.

This allows us to focus on the unique aspects of running UiPath® services while taking advantage of, and building upon, Azure’s state-of-the-art capabilities in security, privacy, and compliance. We also utilize the industry certifications available through Azure.

At UiPath®, we share the responsibility of protecting your data with Azure and strictly adhere to the guidance they publish.

Criptografia de dados

Criptografamos todos os dados de clientes armazenados em todos os repositórios de dados que fazem parte do nosso serviço. Por exemplo, usamos criptografia de dados transparente nos bancos de dados SQL.

Todos os dados são transmitidos por canais protegidos, não importa se estão sendo transportados pela internet ou dentro de nossos componentes de serviço internos.

Isolamento de dados do tenant

Os dados de cada tenant são logicamente separados de outros em nosso serviço para que possamos impor controles de acesso e autorização para todos os tenants conforme acessam dados dentro de nosso serviço.

Privacidade

UiPath® collects two categories of data from users to operate and improve Task Mining Services:

Customer data: Includes user-identifiable transactional and interactional data that we need to operate the service and to manage your contract with UiPath®
Logs gerados pelo sistema: inclui dados de uso do serviço que podem ser agregados e contém alguns dados do cliente

From a GDPR standpoint, UiPath® is considered a data processor. As such, we honor all obligations of a data processor by providing customers with full control over their data, in accordance with the product architecture and implementation.

Garantimos que podemos exportar todos os seus dados para você sob solicitação. Se você fechar sua conta no UiPath Task Mining ou se decidir solicitar a exclusão dos dados, excluiremos esses dados dos nossos sistemas após o período de exclusão de 30 dias.

Residência de dados e soberania

Sabemos que nossos clientes se preocupam bastante com a localização dos dados. Serviremos todos os conteúdos e armazenaremos todos os dados para o usuário na região que corresponde ao local de pagamento do usuário e requisitos de soberania. Para exibir o conjunto atual de regiões aceitas, acesse Residência de dados. Podemos continuar adicionando regiões à medida que vermos nossa base de clientes crescer.

Observação:

A residência de dados é exigida, pois agora estamos usando o Serviço Cocognitivo da Microsoft para mascaramento de PII, e isso funciona em relação à região do tenant.

Práticas de segurança e conformidade

UiPath® addresses the following aspects of security and compliance in order to help prevent breaches and uphold the highest standards for data security, privacy, and availability:

Proteção de sistemas

Task Mining uses Azure's Platform-as-a-Service (PaaS) offering for much of its infrastructure. PaaS automatically provides regular updates for known security vulnerabilities.

Ciclo de vida de desenvolvimento seguro

UiPath® security and development teams work hand in hand to address security threats throughout the development process of Task Mining.

As equipes fazem modelagens de ameaças durante o projeto do serviço. Elas seguem as práticas recomendadas de projeto e programação e verificam a segurança no produto final usando uma abordagem multifacetada que tira proveito de ferramentas desenvolvidas internamente, ferramentas comerciais de análise estática e dinâmica, testes de penetração internos e programas de recompensa para a localização de bugs.

We also monitor vulnerabilities introduced in our codebase through third-party libraries and minimize our dependency on these libraries and corresponding exposure. Because the security landscape is continually changing, our teams stay current with the latest in best practices. We also enforce annual training requirements for all engineers and operations personnel working on UiPath® cloud services.

Serviço e disponibilidade de dados

Ensuring that UiPath® Task Mining services are available so you can access your organization’s assets is of the utmost importance to us. That is why we rely on Azure’s backup mechanism and practice data recovery.

We employ other fail-safes to help ensure availability. A malicious distributed denial-of-service (DDoS) attack, for example, could affect Task Mining service availability. Azure has a DDoS defense system that helps prevent attacks against our service. It uses standard detection and mitigation techniques such as SYN cookies, rate limiting, and connection limits.

O sistema foi projetado não apenas para resistir a ataques externos, mas também de dentro do Azure.

Testes em site ativo

Simulamos táticas adversas em nossos serviços e infraestrutura subjacente usando equipes vermelhas internas.

O objetivo é identificar vulnerabilidades reais, erros de configuração e outras falhas de segurança de maneira controlada para podermos testar a efetividade dos nossos recursos de prevenção, detecção e resposta.

Resposta a incidentes de segurança

Nós nos esforçamos para minimizar a superfície de ataque dos nossos serviços e não medimos esforços para reduzir a probabilidade da ocorrência de uma violação de dados. No entanto, incidentes de segurança ainda podem acontecer.

Caso ocorra uma violação, usamos planos de resposta de segurança para minimizar o vazamento, perda ou corrupção dos dados. Oferecemos transparência aos nossos clientes durante todo o incidente. Nossa equipe de SRE e segurança, disponível 24 horas por dia, está sempre a postos para identificar rapidamente o problema e empregar os recursos da equipe de desenvolvimento necessários para conter o impacto do incidente.

Após a equipe ter contido um problema, nosso processo de gerenciamento de incidentes de segurança continua para identificarmos a causa raiz, e acompanhamos as alterações necessárias para garantir que impeçamos problemas semelhantes no futuro.

Controle de acesso de produção

Mantemos um controle restrito sobre quem tem acesso ao nosso ambiente de produção e aos dados de clientes.

O acesso é concedido apenas no nível mínimo de privilégio necessário e apenas após justificações adequadas serem fornecidas e verificadas. Se um membro da equipe precisar de acesso para resolver um problema urgente ou implantar uma alteração de configuração, ele deve solicitar um acesso para “apenas aquele momento” ao serviço de produção.

O acesso é revogado assim que a situação é resolvida. As solicitações de acesso e aprovações são rastreadas. Se o nome de usuário e senha de um dos nossos desenvolvedores ou membros da equipe de operação forem roubados, os dados ainda estarão protegidos porque usamos a autenticação de dois fatores para todo o acesso ao sistema de produção.

Gerenciamento de segredos

Os segredos que usamos para gerenciar e manter o serviço, como chaves de criptografia, são gerenciados, armazenados, e transmitidos com segurança pelo Portal de Gerenciamento do Azure.

Todos os segredos são rotacionados regularmente e podem ser rotacionados sob demanda caso ocorra algum evento de segurança.

With a solid foundation for security and privacy, UiPath® is working towards obtaining industry certifications and accreditations over the next year, which include Veracode continuous for our Cloud Platform, ISO 27001:2013, and ISO 27017, CSA Star and SOC 1 Type 2.

Tanto o Portal do Administrador quanto o Analisador são entregues por meio de um modelo de software como serviço (SaaS) criado e hospedado no Microsoft Azure. Eles todos usam serviços essenciais do Azure, incluindo poder de processamento, armazenamento, redes, banco de dados SQL, configuração do app, armazenamento secreto no Cofre de Chaves, e gerenciamento de identidade e acesso. Compartilhamos a responsabilidade de proteger seus dados com o Azure e aderimos estritamente às orientações publicadas por ele.