Seguridad en el centro de datos

Los datos de los clientes de BISIONA están alojados en Oracle Cloud Infrastructure (OCI), que cuenta con la certificación SOC 2 Tipo 2. OCI mantiene una impresionante lista de informes, certificaciones y evaluaciones de terceros para garantizar un centro de datos de última generación completo y continuo. seguridad.

La infraestructura de OCI está alojada en centros de datos controlados por Oracle en todo el mundo, y los propios centros de datos están protegidos con una variedad de controles físicos para evitar el acceso no autorizado. Puede encontrar más información sobre los centros de datos de OCI y sus controles de seguridad aquí.

Seguridad de aplicaciones

Todas las comunicaciones entre la aplicación web de BISIONA y el servidor están encriptadas sobre TLS 1.2, que no puede ser vista por un tercero. Este nivel de encriptación es utilizado por bancos e instituciones financieras. Los datos de BISIONA se cifran en reposo mediante el cifrado AES-256.

BISIONA mantiene el cumplimiento continuo de PCI, respetando los estrictos estándares de la industria para almacenar, procesar y transmitir información de tarjetas de crédito en línea.

BISIONA supervisa activamente la seguridad, el rendimiento y la disponibilidad en curso 24/7/365. Realizamos pruebas de seguridad automatizadas de forma continua. También contratamos a un tercero para las pruebas de penetración.

En cuanto a la privacidad, somos miembros del marco Privacy Shield, y puede ver nuestra política de privacidad completa aquí: https://www.bisiona.com/blog/legal-notice-and-privacy-policy/

Seguridad de infraestructura

La infraestructura de BISIONA está alojada en un entorno seguro y totalmente redundante, con acceso restringido únicamente al personal de apoyo a las operaciones. Esto nos permite aprovechar datos completos y segregación de acceso, protección de firewall y otras características de seguridad.

Política de seguridad

BISIONA emplea estrictos estándares y medidas de seguridad en toda la organización. Cada miembro del equipo está capacitado y actualizado sobre los últimos protocolos de seguridad. Regularmente nos sometemos a pruebas, capacitación y auditoría de nuestras prácticas y políticas.

1. Propósito, alcance y organización

¿Qué es este documento, por qué existe, qué cubre y quién lo supervisa?

Esta política define los controles de comportamiento, procesos, técnicos y de gobierno relacionados con la seguridad en BISIONA que todo el personal debe implementar para garantizar la confidencialidad, integridad y disponibilidad del servicio y los datos de BISIONA («Política»). Todo el personal debe revisar y estar familiarizado con las reglas y acciones establecidas a continuación.

Esta Política define los requisitos de seguridad para:

• Todos los empleados de BISIONA, contratistas, consultores y cualquier otro tercero que preste servicios a BISIONA («personal»)

• Gestión de sistemas, tanto de hardware como de software e independientemente de la ubicación, utilizados para crear, mantener, almacenar, acceder, procesar o transmitir información en nombre de BISIONA, incluidos todos los sistemas propiedad de BISIONA, conectados a cualquier red controlada por BISIONA, o utilizados en servicio de los negocios de BISIONA, incluyendo sistemas propiedad de proveedores de servicios de terceros, y

• Circunstancias en las que BISIONA tiene un deber legal, contractual o fiduciario de proteger los datos o recursos bajo su custodia.

En caso de conflicto, se aplican las medidas más restrictivas.

1.1. Gobernanza y evolución

Esta Política fue elaborada en estrecha colaboración y aprobada por los ejecutivos de BISIONA. Al menos una vez al año, se revisa y modifica según sea necesario para garantizar la claridad, la suficiencia del alcance, la preocupación por los intereses del cliente y del personal, y la capacidad de respuesta general al panorama de seguridad en evolución y las mejores prácticas de la industria.

1.2. Equipo de seguridad

El equipo de seguridad de BISIONA supervisa la implementación de esta Política, incluyendo:

• Adquisición, aprovisionamiento, mantenimiento, retiro y recuperación de recursos informáticos corporativos,

• Todos los aspectos del desarrollo y operación del servicio relacionados con la seguridad, la privacidad, el acceso, la confiabilidad y la capacidad de supervivencia,

• Evaluación continua de riesgos, gestión de vulnerabilidades, respuesta a incidentes y

• Controles de recursos humanos relacionados con la seguridad y capacitación del personal.

1.3. Marco de gestión de riesgos

El equipo de seguridad mantiene un marco de gestión de riesgos derivado de NIST SP 800-39 – «Gestión de riesgos de seguridad de la información: organización, misión y visión del sistema» y NIST SP 800-30 – «Guía para realizar evaluaciones de riesgos».

https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-39.pdf

Los ejercicios de evaluación de riesgos informan la priorización de mejoras continuas en la postura de seguridad de BISIONA, que pueden incluir cambios en esta Política.

Nuestro Marco de Gestión de Riesgos incorpora lo siguiente:

• Identificación de amenazas potenciales relevantes.

• Un esquema para evaluar la fuerza de los controles implementados.

• Un esquema para evaluar los riesgos actuales y evaluar su severidad.

• Un esquema de respuesta a los riesgos.

2. Personal y entorno de la oficina

¿Cuáles son las expectativas de BISIONA de su personal y del lugar de trabajo en cuanto a sistemas y datos?

BISIONA se compromete a proteger a sus clientes, personal, socios y la empresa de acciones ilegales o dañinas por parte de individuos, ya sea a sabiendas o sin saberlo, en el contexto de su cultura laboral establecida de apertura, confianza, madurez e integridad.

Esta sección describe los comportamientos esperados del personal que afectan la seguridad y el uso aceptable de los sistemas informáticos en BISIONA. Estas reglas están vigentes para proteger a nuestro personal y a la propia BISIONA, ya que el uso inapropiado puede exponer a los clientes y socios a riesgos que incluyen malware, virus, compromiso de los sistemas y servicios en red y problemas legales.

2.1. Comportamientos laborales

La primera línea de defensa en la seguridad de los datos es el comportamiento informado del personal, que desempeña un papel importante para garantizar la seguridad de todos los datos, independientemente del formato. Dichos comportamientos incluyen los enumerados en esta sección, así como cualquier requisito adicional especificado en el manual del empleado, procesos de seguridad específicos y otros códigos de conducta aplicables.

Capacitación

Todos los empleados y contratistas deben completar los programas de capacitación en manejo de datos y concientización sobre seguridad de BISIONA al menos una vez al año.

Personas no reconocidas y visitantes

Es responsabilidad de todo el personal tomar medidas positivas para mantener la seguridad física. Desafíe a cualquier persona no reconocida presente en una ubicación de oficina restringida. Cualquier persona desafiada que no responda apropiadamente debe ser reportada inmediatamente al personal de supervisión y al equipo de seguridad. Todo visitante a las oficinas de BISIONA debe estar registrado como tal o acompañado por un empleado de BISIONA.

Escritorio limpio

El personal debe mantener los espacios de trabajo libres de material sensible o confidencial y tener cuidado de limpiar los espacios de trabajo de dicho material al final de cada jornada laboral.

Dispositivos desatendidos

Los dispositivos desatendidos deben estar bloqueados. Todos los dispositivos tendrán una función de bloqueo de pantalla automática configurada para activarse automáticamente con no más de quince minutos de inactividad.

Uso de activos corporativos

Los sistemas se utilizarán con fines comerciales al servicio de los intereses de la empresa y de nuestros clientes y socios en el curso de las operaciones comerciales normales. El personal es responsable de ejercer buen juicio con respecto a la razonabilidad del uso personal de los sistemas. Solo se permite conectar o instalar hardware y software administrado por BISIONA en equipos o redes corporativas y usarse para acceder a los datos de BISIONA. El hardware y software administrado por BISIONA incluye aquellos que son propiedad de BISIONA o propiedad del personal de BISIONA pero inscritos en un sistema de administración de dispositivos de BISIONA. En los equipos corporativos sólo se podrá instalar software que haya sido aprobado para uso corporativo por BISIONA. Todo el personal debe leer y comprender la lista de actividades prohibidas descritas en esta Política. No se permiten modificaciones o cambios de configuración sin el consentimiento explícito por escrito del equipo de seguridad de BISIONA.

Almacenamiento extraíble, sin copias de seguridad, uso de almacenamiento en la nube

Está prohibido el uso de medios extraíbles no cifrados, como unidades USB. El personal no podrá configurar los dispositivos de trabajo para realizar copias de seguridad o copias de datos fuera de las políticas corporativas. En cambio, se espera que el personal opere principalmente «en la nube» y trate el almacenamiento local en dispositivos informáticos como algo efímero. Los datos de BISIONA deben guardarse en un almacenamiento seguro en la nube aprobado por la empresa (por ejemplo, Share Point) para garantizar que, incluso en caso de pérdida, robo o daño de un dispositivo corporativo, dichos artefactos se puedan recuperar de inmediato en un dispositivo de reemplazo.

Actividades prohibidas

Las siguientes actividades están prohibidas. Bajo ciertas condiciones y con el consentimiento explícito por escrito del equipo de seguridad, el personal puede estar exento de algunas de estas restricciones durante sus responsabilidades laborales legítimas (por ejemplo, pruebas de penetración planificadas, el personal de administración de sistemas puede tener la necesidad de desactivar el acceso a la red de un host si ese host está interrumpiendo los servicios de producción).

La lista a continuación no es exhaustiva, pero intenta proporcionar un marco para las actividades que caen en la categoría de uso inaceptable.

• Bajo ninguna circunstancia el personal de BISIONA está autorizado a participar en cualquier actividad que sea ilegal bajo las leyes locales, estatales, federales o internacionales mientras utiliza recursos propiedad de BISIONA.
• Violaciones de los derechos de cualquier persona o empresa protegida por derechos de autor, secreto comercial, patente u otra propiedad intelectual, o lOCI o reglamentos similares, incluidas, entre otras, la instalación o distribución de productos de software «pirateados» u otros que no estén debidamente con licencia de uso por parte de BISIONA.
• Está estrictamente prohibido violar o intentar violar los términos de uso o el acuerdo de licencia de cualquier producto de software utilizado por BISIONA.
• La copia no autorizada de material con derechos de autor que incluye, entre otros, la digitalización y distribución de fotografías de revistas, libros u otras fuentes con derechos de autor, música con derechos de autor y la instalación de cualquier software con derechos de autor para el cual BISIONA o el usuario final no tiene una licencia activa es estrictamente prohibido.
• La exportación de software, información técnica, software o tecnología de encriptación puede resultar en una violación del control de exportación internacional o regional en OCI. Se debe consultar a la gerencia correspondiente antes de la exportación de cualquier material del que se trate.
• Revelar la contraseña de su cuenta a otros o permitir que otros usen su cuenta. Esto incluye a los colegas, así como a la familia y otros miembros del hogar cuando el trabajo se realiza en casa.
• Hacer ofertas fraudulentas de productos, artículos o servicios desde cualquier cuenta de BISIONA.
• Hacer declaraciones sobre la garantía, expresa o implícitamente, a menos que sea parte de las tareas normales del trabajo y solo en la medida en que las garantías sean consistentes con las garantías autorizadas de BISIONA.
• Introducción de programas maliciosos en la red o servidor (por ejemplo, virus, gusanos, caballos de Troya, bombas de correo electrónico, etc.).
• Efectuar violaciones de seguridad o interrupciones de la comunicación de la red. Las infracciones de seguridad incluyen, entre otras, el acceso a datos de los que el empleado no es un destinatario previsto o el inicio de sesión en un servidor o una cuenta a la que el empleado no está expresamente autorizado para acceder. A los fines de esta sección, «interrupción» incluye, entre otros, rastreo de red, inundación de ping, suplantación de identidad de paquetes, denegación de servicio e información de enrutamiento falsificada con fines maliciosos o ilegales.
• Excepto por o bajo la supervisión directa del equipo de seguridad, escaneo de puertos o escaneo de seguridad, u otro software diseñado para explotar o encontrar vulnerabilidades de la computadora, el software o la red.
• Ejecutar cualquier forma de monitoreo de red que intercepte datos no destinados al host del empleado, a menos que esta actividad sea parte del trabajo/deber normal del empleado.
• Eludir la autenticación de usuario o la seguridad de cualquier host, red o cuenta o intentar acceder a un recurso de información o eludir una función de seguridad. Esto incluye ejecutar programas de descifrado de contraseñas o programas rastreadores e intentar eludir los permisos de archivos u otros recursos.
• Instalación de software que instala o incluye cualquier forma de malware, spyware o adware según lo definido por el equipo de seguridad.
• Colapsar un sistema de información. Está estrictamente prohibido colapsar deliberadamente un sistema de información.
• Es posible que los usuarios no se den cuenta de que causaron un bloqueo del sistema, pero si se demuestra que el bloqueo ocurrió como resultado de la acción del usuario, la repetición de la acción por parte de ese usuario puede verse como un acto deliberado.
• Los intentos de subvertir las tecnologías utilizadas para afectar la configuración del sistema de los dispositivos administrados por la empresa (p. ej., MDM) o dispositivos personales utilizados voluntariamente para fines de la empresa (p. ej., perfiles de trabajo móviles).
• Intentar interferir o denegar el servicio a cualquier otro usuario. Proporcionar información o listados del personal de BISIONA a terceros ajenos a BISIONA.

2.2. Configuración, propiedad y privacidad de los sistemas de personal

Configuración del sistema centralizado

Los dispositivos del personal y su configuración de software son administrados de forma remota por miembros del equipo de seguridad a través de tecnología de cumplimiento de configuración, también conocida como software MDM. Dicha tecnología se puede utilizar para fines que incluyen auditar/instalar/eliminar aplicaciones de software o servicios del sistema, administrar la configuración de la red, hacer cumplir la política de contraseñas, cifrar discos, borrar y recuperar datos de forma remota, copiar archivos de datos a/desde los dispositivos de los empleados y cualquier otra interacción permitida para asegurarse de que los dispositivos de los empleados cumplan con esta Política.

Cifrado de datos y dispositivos

Todos los dispositivos deben utilizar un cifrado de disco completo moderno para proteger los datos en caso de pérdida del dispositivo. Un ejemplo de cifrado de disco completo válido es VeraCrypt que utiliza el cifrado XTS-AES-128 con una clave de 256 bits. Esto se aplica mediante el software MDM.

Latido del dispositivo y borrado remoto

Los dispositivos deben admitir la capacidad de informar su estado y borrarse de forma remota. Esto se aplica mediante el software MDM.

Evitar el almacenamiento extraíble

Los dispositivos deben evitar el uso de almacenamiento extraíble. Esto se aplica mediante el software MDM.

Protección de terminales/antivirus/antimalware

Los dispositivos deben instalar y configurar automáticamente el software antivirus proporcionado por BISIONA para la protección de puntos finales. El software configurado informará el estado y las posibles amenazas, lo que permitirá la administración remota y la generación de informes por parte del equipo de seguridad. Esto se aplica mediante el software MDM.

Retención de propiedad

Todos los programas de software, los datos y la documentación generados o proporcionados por el personal mientras presta servicios a BISIONA o en beneficio de BISIONA son propiedad de BISIONA a menos que se establezca lo contrario en un acuerdo contractual.

Privacidad del personal

Si bien la administración de la red de BISIONA desea brindar un nivel razonable de privacidad, los usuarios deben tener en cuenta que los datos que crean en los sistemas corporativos siguen siendo propiedad de BISIONA. Debido a la necesidad de proteger la red de BISIONA, la dirección no pretende garantizar la privacidad de la información personal del personal almacenada en cualquier dispositivo de red perteneciente a BISIONA. El personal es responsable de ejercer un buen juicio con respecto a la razonabilidad del uso personal, como la navegación web general o el correo electrónico personal. Si existe alguna duda, el personal debe consultar al equipo de seguridad o a su gerente.

El personal debe estructurar todas las comunicaciones electrónicas con el reconocimiento del hecho de que el contenido puede ser monitoreado y que cualquier comunicación electrónica puede ser reenviada, interceptada, impresa o almacenada por otros.

BISIONA se reserva el derecho, a su discreción, de revisar los archivos del personal o las comunicaciones electrónicas en la medida necesaria para garantizar que todos los medios y servicios electrónicos se utilicen de conformidad con todas las IOCI y reglamentos aplicables, así como con las políticas corporativas.

BISIONA se reserva el derecho de realizar auditorías periódicas de redes y sistemas para asegurar el cumplimiento de esta política. Para fines de seguridad y mantenimiento de la red, las personas autorizadas dentro de BISIONA pueden monitorear los equipos, sistemas y el tráfico de la red en cualquier momento.

2.3. Prácticas de recursos humanos

Verificaciones de antecedentes

Se realizan verificaciones de antecedentes del personal con acceso a la infraestructura de producción antes de su fecha de inicio. Las consecuencias de los resultados problemáticos de la verificación de antecedentes pueden variar desde una limitación de los privilegios de seguridad hasta la revocación de la oferta de empleo y el despido.

Capacitación

El equipo de seguridad mantiene un programa de concientización sobre seguridad en toda la empresa que se entrega a todo el personal al menos una vez al año. El programa cubre la concientización, las políticas, los procesos y la capacitación en materia de seguridad para garantizar que el personal esté lo suficientemente informado para cumplir con sus obligaciones. Los máximos responsables de mantener la seguridad en BISIONA, incluido el propio equipo de seguridad, así como el personal clave de ingeniería/operaciones, reciben una educación continua más técnica.

Separación

En el caso de terminación o renuncia del personal, el equipo de seguridad se coordina con recursos humanos para implementar un proceso de separación estandarizado para garantizar que todas las cuentas, credenciales y acceso de los empleados salientes se deshabiliten de manera confiable.

2.4. Entorno físico de la oficina

El acceso a las oficinas de BISIONA está mediado por una recepción con personal y un control de acceso de puerta programable. Todas las puertas permanecerán cerradas o con personal en condiciones comerciales normales. El equipo de seguridad puede dar su aprobación para desbloquear las puertas por períodos cortos de tiempo para adaptarse a las necesidades atenuantes de acceso físico.
Las cámaras de seguridad basadas en Internet están posicionadas para grabar videos de ingreso/egreso con marca de tiempo, que se almacenan fuera del sitio.

2.5. Red de oficinas

El acceso a Internet se proporcionará a los dispositivos a través de ethernet con cable y wifi WPA2. Los conmutadores y enrutadores de red deben colocarse en un armario de red cerrado con llave al que solo tenga acceso el equipo de seguridad. Los ejecutivos de BISIONA y el equipo de seguridad podrán otorgar acceso al armario de networking a personas individuales según sea necesario y caso por caso. Se instalará un cortafuegos de red que bloquee todo el tráfico procedente de WAN. Los servicios de red accesibles por WAN no se alojarán en el entorno de la oficina.

3. Gestión de acceso e identidad del personal

¿Cómo define, controla y mantiene BISIONA la identidad de los usuarios y los permisos para el personal?

3.1. Cuentas de usuario y autenticación

Cada individuo que tiene acceso a cualquier sistema controlado por BISIONA lo hace a través de una cuenta de usuario de G Suite que indica su identidad del sistema. Dichas cuentas de usuario deben tener un nombre de usuario único, una contraseña segura única de al menos 8 caracteres y un mecanismo de autenticación de dos factores (2FA).

Inicio de sesión en sistemas BIsiona

Los inicios de sesión por parte del personal pueden originarse solo desde dispositivos administrados por BISIONA. La autenticación se realiza mediante un sistema de gestión de cuentas. Los repetidos intentos fallidos de autenticación pueden resultar en el bloqueo o la revocación de la cuenta del usuario infractor.

Inicio de sesión en sistemas de terceros

Siempre que estén disponibles, los sistemas de terceros deben configurarse para delegar la autenticación al sistema de autenticación de cuenta de G Suite de BISIONA (descrito anteriormente), consolidando así los controles de autenticación en un sistema de cuenta de usuario único que es administrado de forma centralizada por el equipo de seguridad.

Cuando la autenticación en G Suite no está disponible, se deben crear y almacenar contraseñas seguras únicas en el sistema de administración de contraseñas aprobado por BISIONA. Las contraseñas deben combinarse con la autenticación de dos factores/MFA.

Revocación y auditoría de cuentas de usuario

Las cuentas de usuario se revocan (es decir, se desactivan pero no se eliminan) inmediatamente después de la separación del personal. Como precaución adicional, todas las cuentas de usuario se auditan al menos trimestralmente y se revocan las cuentas de usuario inactivas.

3.2. Cuentas de usuario y autenticación

BISIONA se adhiere al principio de privilegio mínimo, y cada acción que intenta una cuenta de usuario está sujeta a verificaciones de control de acceso.

Control de acceso basado en roles

BISIONA emplea un modelo de control de acceso basado en roles (RBAC) que utiliza las instalaciones proporcionadas por Google, como unidades organizativas, cuentas de usuario, grupos de usuarios y controles de uso compartido.

Navegadores web y extensiones

BISIONA puede requerir el uso de un navegador web específico para el uso comercial normal y para acceder a datos corporativos como el correo electrónico. Para ciertos roles específicos, como el desarrollo de software y el diseño web, las actividades laborales más allá de las mencionadas anteriormente requieren el uso de una variedad de navegadores, y estos roles pueden hacerlo según sea necesario para esas actividades.

Cualquier navegador que tenga permiso para acceder a datos corporativos, como el correo electrónico, está sujeto a una restricción basada en una lista blanca sobre qué extensiones de navegador se pueden instalar.

Acceso administrativo

El acceso a las operaciones administrativas está estrictamente limitado a los miembros del equipo de seguridad y aún más restringido en función de la permanencia y el principio de privilegio mínimo.

Revisión periódica

Las políticas de control de acceso se revisan periódicamente con el objetivo de reducir o perfeccionar el acceso siempre que sea posible. Los cambios en la función del trabajo por parte del personal también desencadenan una revisión de acceso.

3.3. Terminación

Al momento de la terminación del personal, ya sea voluntario o involuntario, el equipo de seguridad seguirá el procedimiento de salida del personal de BISIONA, que incluye la revocación de la cuenta de usuario asociada y la recuperación de los dispositivos propiedad de la empresa, llaves de oficina o tarjetas de acceso, y todo otro equipo y propiedad corporativa antes hasta el último día de trabajo.

4. Procedencia de la tecnología

¿Cómo construye, adopta, configura y mantiene BISIONA la tecnología para cumplir con sus intenciones de seguridad?

4.1. Desarrollo de software

BISIONA almacena el código fuente y los archivos de configuración en repositorios TFS privados. Los equipos de seguridad y desarrollo realizan revisiones de código y ejecutan una herramienta de análisis de código estático en cada confirmación de código. Los revisores verificarán el cumplimiento de las convenciones y el estilo de BISIONA, los posibles errores, los posibles problemas de rendimiento y que la confirmación esté vinculada solo a su propósito previsto.

Se realizarán revisiones de seguridad en cada código asignado a módulos sensibles a la seguridad. Dichos módulos incluyen aquellos que pertenecen directamente a la autenticación, autorización, control de acceso, auditoría y encriptación.

Todas las piezas principales de las bibliotecas y herramientas de software de código abierto incorporadas se revisarán en cuanto a solidez, estabilidad, rendimiento, seguridad y capacidad de mantenimiento.

Los equipos de seguridad y desarrollo deberán establecer y adherirse a un proceso formal de lanzamiento de software.

Los datos confidenciales que no necesitan descifrarse (p. ej., contraseñas) se procesan con sal y hash utilizando funciones aprobadas como Bcrypt.

Los datos confidenciales que deben descifrarse (p. ej., tokens) deben utilizar un proveedor de cifrado aprobado para las funciones de HSM, como KMS.

4.2. Configuración y gestión de cambios

Los equipos de seguridad y desarrollo de BISIONA documentarán la configuración de todos los sistemas y servicios adoptados, ya sean alojados por BISIONA o alojados por terceros. Las mejores prácticas de la industria y la orientación específica del proveedor se identificarán e incorporarán en las configuraciones del sistema. Todas las configuraciones se revisarán al menos una vez al año. Cualquier cambio en las configuraciones debe ser aprobado por personas designadas y documentado de manera oportuna.

Las configuraciones del sistema deben abordar los siguientes controles de manera basada en el riesgo y de acuerdo con el resto de esta política:

• Cifrado de protección de datos en reposo

• Datos en tránsito protección de la confidencialidad, autenticidad e integridad de los datos entrantes y salientes

• Integridad de datos y archivos

• Detección y resolución de malware

• Capturar registros de eventos

• Autenticación de usuarios administrativos

• Aplicación de control de acceso

• Eliminación o desactivación de software y configuraciones innecesarias

• Asignación de suficientes recursos de hardware para admitir cargas que se esperan al menos doce meses en el futuro.

• Los datos de producción no se utilizan en los sistemas de desarrollo o prueba.

4.3. Servicios de terceros

Para cada servicio de terceros o subprocesador que adopte BISIONA, el equipo de cumplimiento deberá revisar el servicio y el proveedor, anualmente, para asegurarse de que su postura de seguridad sea consistente con la de BISIONA para el tipo y la confidencialidad de los datos que el servicio proporcionará. almacenar o acceder.

BISIONA confía en Oracle Cloud Infrastructure para satisfacer controles de seguridad específicos relacionados con los centros de datos OCI y los servicios OCI. Para obtener más información sobre la seguridad física y ambiental, así como los controles de seguridad y acceso lógico para los servicios de OCI, consulte el Libro blanco de seguridad de OCI.

5. Clasificación y procesamiento de datos

¿Cómo gestiona BISIONA la clasificación y el tratamiento de datos?

5.1. Clasificación de datos

BISIONA mantiene los siguientes Niveles de Confidencialidad de los Datos:

• Confidencial: información solo disponible para roles específicos dentro de la organización. Los datos deben cifrarse en reposo y en tránsito. El acceso a los datos requiere 2FA/MFA.

• Restringido: acceso restringido a roles específicos dentro de la organización y terceros autorizados. Los datos deben cifrarse en reposo y en tránsito. El acceso a los datos requiere 2FA/MFA.

• Interno: La información está disponible para todos los empleados y terceros autorizados. Los datos deben cifrarse en reposo y en tránsito.

• Público: la información está disponible para el público.

La confidencialidad de los datos está determinada por:

• Toda la información del cliente se tratará como Confidencial El valor de la información, en función de los impactos identificados durante el proceso de evaluación de riesgos.

• Sensibilidad y criticidad de la información, con base en el riesgo más alto calculado para cada elemento de datos durante la evaluación de riesgos.

• Obligaciones políticas, legales, reglamentarias y contractuales.

Además, los datos se pueden separar en clasificaciones de tipos de datos para hacer cumplir las reglas de procesamiento de los datos de los clientes. Para cada clase de datos, los equipos de seguridad y desarrollo de BISIONA pueden proporcionar y dedicar un espacio de red de información específico para almacenar y procesar datos de esa clase, y solo datos de esa clase, a menos que se indique explícitamente lo contrario.

5.2. Acceso de los empleados de BIsiona a los datos del cliente

Los empleados de BISIONA podrán acceder a los Datos del Cliente únicamente bajo las siguientes condiciones.

• Desde dispositivos gestionados.

• Con el fin de proporcionar atención al cliente o respuesta a incidentes.

• Por no más tiempo del necesario para cumplir con el propósito de acceso.

• De manera auditable.

• Los datos del cliente no se utilizan en sistemas de desarrollo o prueba.

• Los metadatos de uso del producto se pueden utilizar para análisis, supervisión del rendimiento y mejora de servicios/características.

5.3. Acceso de clientes

BISIONA proporciona interfaces de usuario web (UI), interfaces de programación de aplicaciones (API) y funciones de exportación de datos para proporcionar a los clientes acceso a sus datos.

5.4. Casos excepcionales

El equipo de seguridad en conjunto con la gerencia ejecutiva podrá aprobar excepciones de emergencia a cualquiera de las reglas anteriores, en respuesta a incidentes de seguridad, cortes de servicio o cambios significativos en el entorno operativo de BISIONA, cuando se considere que tales excepciones beneficiarán y protegerán la seguridad. y misión de BISIONA, nuestros clientes y visitantes de los sitios web de los clientes proporcionados por BISIONA como SaaS.

5.5. Cifrado de datos

BISIONA protege todos los datos en tránsito con TLS 1.2 y todos los datos en reposo con cifrado AES-256 de Oracle. Las claves criptográficas se asignan a roles específicos en función del acceso con privilegios mínimos y las claves se rotan automáticamente cada año. El uso de claves es monitoreado y registrado.

Los recursos deben mantener el cifrado de datos en reposo y en tránsito durante todo su ciclo de vida, incluidas las copias de seguridad, durante el desmantelamiento o cuando se retiran del servicio temporalmente.

5.6. Retención de datos

Al vencimiento de los servicios, BISIONA eliminará todos los datos de los clientes de los sistemas de BISIONA de acuerdo con la ley aplicable tan pronto como sea razonablemente posible, a menos que la ley o los reglamentos aplicables requieran lo contrario.

5.7. Sanitización de datos y eliminación segura

BISIONA utiliza Oracle Cloud Infrastructure para toda la infraestructura. OCI brinda la siguiente orientación con respecto a sus políticas de ciclo de vida de datos:

“Oracle utiliza procesos de destrucción física y borrado lógico de datos para que los datos no persistan en el hardware fuera de servicio.

Destrucción de medios de almacenamiento

Los requisitos de Oracle Asset Management prohíben explícitamente la eliminación de medios de almacenamiento que contengan datos de clientes del data hall en el que están almacenados. Cada sala de datos de un centro de datos contiene un contenedor de eliminación de medios seguro. Cuando un disco duro u otro medio de almacenamiento presenta fallas o se retira de producción para su eliminación, se coloca en este contenedor seguro para su almacenamiento hasta que se desmagnetiza y tritura.

Borrado de datos

Cuando un cliente lanza una instancia de VM, una llamada API inicia el flujo de trabajo para eliminar la instancia. Cuando se agrega una nueva instancia informática básica al servicio o la libera un cliente o servicio, el hardware pasa por el flujo de trabajo de aprovisionamiento antes de liberarse al inventario para su reasignación. Este flujo de trabajo automatizado descubre los medios físicos conectados al host. Luego, el flujo de trabajo inicia el borrado seguro ejecutando el comando de borrado aplicable para el tipo de medio.

Los hosts destinados al uso del cliente también tienen un disco conectado a la red que se utiliza para almacenar en caché el volumen de almacenamiento del cliente. Este disco se borra utilizando el comando de borrado de seguridad AT Attachment (ATA). Cuando se completa el proceso de borrado, el flujo de trabajo inicia un proceso para actualizar el BIOS, actualizar los controladores y devolver el hardware a un buen estado conocido. El flujo de trabajo también prueba el hardware en busca de fallas. Si el flujo de trabajo falla o detecta una falla, marca el host para una mayor investigación.

Cuando un cliente cancela un volumen de almacenamiento en bloque, la clave se elimina irrevocablemente, lo que hace que los datos sean permanentemente inaccesibles”.

6. Gestión de vulnerabilidades e incidentes

¿Cómo detecta y responde BISIONA las vulnerabilidades e incidentes de seguridad?

6.1. Detección de vulnerabilidades y respuesta

Los equipos de seguridad y desarrollo de BISIONA utilizarán todas las siguientes medidas para detectar vulnerabilidades que puedan surgir en los sistemas de información de BISIONA.

• Cotejar las bases de datos de vulnerabilidades con todos los sistemas y paquetes de software que soportan los servicios críticos de BISIONA.

• Escáneres automáticos periódicos de código fuente.

• Revisiones periódicas de código en cada versión principal.

• Escaneo de vulnerabilidades en servicios BISIONA usando Oracle cloud Guard: https://www.oracle.com/security/cloud-security/cloud-guard/

El equipo de seguridad de BISIONA evaluará la severidad de cada vulnerabilidad detectada en términos de la probabilidad y el impacto potencial de un exploit y desarrollará estrategias y cronogramas de mitigación en consecuencia. Las mitigaciones adecuadas incluyen la remediación completa o la implementación de controles de compensación.

6.2. Detección y respuesta a incidentes

El equipo de seguridad de BISIONA mantiene una Política interna de Respuesta a Incidentes que contiene pasos para la preparación, identificación, contención, investigación, erradicación, recuperación y seguimiento/post mórtem.

El equipo de seguridad de BISIONA utilizará todas las siguientes medidas para detectar incidentes de seguridad.

• Supervisión continua del tráfico y las cargas de trabajo de la red de OCI en busca de actividades malintencionadas o no autorizadas.

• Monitoreo continuo de registros para detectar actividad potencialmente maliciosa o no autorizada.

• Realizar revisiones sobre las causas de cualquier interrupción del servicio.

• Responda a los avisos de posibles incidentes de empleados, contratistas o partes externas.

El equipo de seguridad de BISIONA decidirá si cada indicador es representativo de un incidente de seguridad real. Se evaluará la gravedad, el alcance y la causa principal de cada incidente, y cada incidente se resolverá de manera y en un plazo acorde con la gravedad y el alcance.

Si se detecta una filtración de datos que afecte a un cliente, BISIONA mantendrá comunicación con el cliente sobre la gravedad, el alcance, la causa raíz y la resolución de la filtración.

BISIONA ejecutará ejercicios de simulación anualmente para probar el conocimiento interno de la política y depurar la política.

7. Continuidad del negocio y recuperación ante desastres

¿Cómo BISIONA prevendrá y se recuperará de eventos que puedan interferir con las operaciones esperadas?

7.1.  Disponibilidad y resiliencia

Los servicios de BISIONA se configurarán de tal manera que soporten interrupciones a largo plazo en servidores individuales, zonas de disponibilidad y regiones geográficas. La infraestructura y los datos de BISIONA se replican en múltiples regiones geográficas para garantizar este nivel de disponibilidad. La disponibilidad de BISIONA y la información de estado se pueden encontrar en status.BISIONA.com.

7.2.  Recuperación de desastres

BISIONA apunta a un objetivo de punto de recuperación de datos (RPO) de casi cero durante al menos 7 días y hasta 24 horas después de 7 días.

Debido a la naturaleza distribuida de los servicios de BISIONA, los objetivos de tiempo de recuperación (RTO) son casi nulos para desastres geográficos. El RTO para desastres sistémicos que involucran la recuperación de datos tiene como objetivo 6 horas.

BISIONA prueba los procesos de respaldo y recuperación al menos una vez al mes.

7.3. Continuidad del negocio

Evaluación de riesgos comerciales y análisis de impacto comercial

El comité de evaluación de riesgos de BISIONA incluirá una evaluación de riesgos comerciales y un análisis de impacto comercial para cada Sistema Clave de Negocios que utilice la organización. El resultado de las evaluaciones de riesgo en curso actualizará o creará planes de recuperación para los sistemas comerciales clave y actualizará la priorización de los sistemas en comparación con otros sistemas clave.

Distribución, reubicación y trabajo remoto

BISIONA prioriza políticas, herramientas y equipos que permitan el trabajo remoto independiente y distribuido para todo el personal en caso de emergencias o desastres. Si el lugar de trabajo principal de la organización no está disponible, el personal puede trabajar desde casa o la gerencia debe designar un lugar de trabajo alternativo.

Notificación y comunicación

BISIONA ha establecido comunicaciones internas utilizando proveedores distribuidos y seguros utilizando protocolos de seguridad estándar de la industria. El personal y la gerencia serán notificados a través de los canales existentes durante cualquier evento de emergencia, o cuando se inicie o desactive cualquier plan de recuperación de datos.