{"id":5481,"date":"2021-03-18T09:44:07","date_gmt":"2021-03-18T09:44:07","guid":{"rendered":"https:\/\/sofialocks.com\/seguridad-y-proteccin-de-datos\/"},"modified":"2024-07-22T06:26:55","modified_gmt":"2024-07-22T06:26:55","slug":"seguridad-y-proteccion-de-datos-psti","status":"publish","type":"page","link":"https:\/\/sofialocks.com\/es\/seguridad-y-proteccion-de-datos-psti\/","title":{"rendered":"Seguridad y Protecci\u00f3n de Datos (PSTI)"},"content":{"rendered":"\n
\n
\n
\n
\n

OPEN SOURCE EN APOYO DE LA SEGURIDAD<\/h2>\n\n\n\n

Consideramos estrat\u00e9gico confiar en componentes de software de c\u00f3digo abierto ampliamente mantenidos y establecidos, evitando en la medida de lo posible soluciones personalizadas que sean dif\u00edciles de mantener y no est\u00e9n ampliamente probadas. Los planteamientos\u00abno inventado aqu\u00ed<\/em>\u00bb y\u00abseguridad a trav\u00e9s de la oscuridad<\/em>\u00bb no forman parte de nuestra cultura, ni siquiera antes que nuestros sistemas.<\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

MEJORES PR\u00c1CTICAS DE INFRAESTRUCTURA Y APLICACI\u00d3N<\/h2>\n\n\n\n

La fiabilidad, la escalabilidad y la seguridad fueron las motivaciones que nos llevaron a elegir al proveedor de servicios en la nube l\u00edder del mercado como socio preferente para nuestros sistemas en la nube. La seguridad de las aplicaciones lanzadas en AWS est\u00e1 garantizada por la adopci\u00f3n de las mejores pr\u00e1cticas recomendadas por el propio proveedor de la nube, desde el cifrado de los datos (ante todo a nivel de base de datos, as\u00ed como en el almacenamiento de objetos y en cualquier otro soporte de datos\u00aben reposo<\/em>\u00ab) hasta la comunicaci\u00f3n entre servicios (siempre en VPC internas, y estrictamente en un canal SSL seguro), pasando por la autenticaci\u00f3n de usuarios (mediante el est\u00e1ndar OAuth 2.0 para los usuarios del sistema, y el inicio de sesi\u00f3n \u00fanico con autenticaci\u00f3n multifactor para el empleado que trabaja en la infraestructura).<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

INFRASTRUCTURE-AS-CODE Y RESILIENCIA<\/h2>\n\n\n\n

Toda la infraestructura se gestiona mediante un \u00abenfoque declarativo\u00bb en la definici\u00f3n de los recursos y su configuraci\u00f3n: esto permite s\u00f3lidos procedimientos autom\u00e1ticos de\u00abrecuperaci\u00f3n ante desastres<\/em>\u00bb que minimizan el Objetivo de Tiempo de Recuperaci\u00f3n (RTO) y el Objetivo de Punto de Recuperaci\u00f3n (RPO) en caso de fallo distribuido. Solemos comprobar peri\u00f3dicamente estos procedimientos para asegurarnos de que est\u00e1n actualizados y son correctos, encargando evaluaciones peri\u00f3dicas a consultores de ciberseguridad externos a la organizaci\u00f3n para validar las opciones tecnol\u00f3gicas y las medidas establecidas para defender el per\u00edmetro de la plataforma.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n
\n

PROTECCI\u00d3N DEL PER\u00cdMETRO DE LA EMPRESA<\/h2>\n\n\n\n

La seguridad de los ordenadores y dispositivos de la empresa se garantiza mediante la encriptaci\u00f3n del disco, la identificaci\u00f3n biom\u00e9trica de los empleados y la gesti\u00f3n remota integral del parque de dispositivos.\nLa autenticaci\u00f3n del personal para acceder a los servicios internos y externos de la empresa se realiza, cuando es t\u00e9cnicamente factible, mediante Single Sign-On (SSO) a trav\u00e9s de Google Suite Business: esto nos garantiza un \u00fanico punto de acceso a las comunicaciones y sistemas de la empresa, con pol\u00edticas estrictas de renovaci\u00f3n de contrase\u00f1as e identificaci\u00f3n multifactor.\nLas claves de acceso a los sistemas que no admiten la integraci\u00f3n con nuestro proveedor de SSO se comparten a trav\u00e9s de un servicio dedicado de gesti\u00f3n secreta, al que a su vez s\u00f3lo se puede acceder a trav\u00e9s del SSO corporativo. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n
\n

PARTICI\u00d3N DE DATOS Y GESTI\u00d3N DE SECRETOS<\/h2>\n\n\n\n

Los entornos de producci\u00f3n y desarrollo son f\u00edsica y l\u00f3gicamente independientes, lo que nos permite limitar estrictamente el acceso a los datos reales de los usuarios al personal estrictamente autorizado para las actividades de mantenimiento de las aplicaciones y la infraestructura.\nEl c\u00f3digo de la aplicaci\u00f3n y los secretos necesarios para acceder a los sistemas se gestionan siempre de forma independiente, utilizando procedimientos autom\u00e1ticos para conciliar las referencias a los secretos durante las fases de lanzamiento del software en los respectivos entornos.\nEl uso de un servicio de gesti\u00f3n de secretos fiable (basado en una arquitectura de\u00abconocimiento cero<\/em>\u00ab) y centralizado nos permite automatizar la gesti\u00f3n de las claves de acceso y su rotaci\u00f3n peri\u00f3dica. <\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n
\n
\n
\n

AUDITING & LOGGING DISTRIBUIDO<\/h2>\n\n\n\n

Cualquier actividad de los usuarios en el sistema se rastrea a trav\u00e9s de los registros de las aplicaciones y del sistema: por un lado, el seguimiento de la actividad puede ayudar en la fase de resoluci\u00f3n de problemas al proporcionar un historial preciso de las actividades realizadas y las respectivas responsabilidades de los desarrolladores, administradores del sistema y\/o usuarios finales; por otro lado, garantizar el cumplimiento de nuestra plataforma con las \u00faltimas regulaciones impuestas por el GDPR.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n

\n
\n
\n

OTRAS CONSIDERACIONES SOBRE EL GDPR<\/h2>\n\n\n\n

Todas las actividades descritas hasta ahora van encaminadas a garantizar los est\u00e1ndares de seguridad exigidos por el Reglamento General de Protecci\u00f3n de Datos (RGPD) en cualquier fase del desarrollo e implementaci\u00f3n del sistema.\nAdem\u00e1s de las opciones t\u00e9cnicas destinadas a minimizar el riesgo, se garantiza el tratamiento de los datos respetando los principios de licitud establecidos en el Reglamento, en particular: <\/p>\n\n\n\n