Seguridad de datos

Nos tomamos muy en serio la seguridad de los datos de nuestros clientes y tenemos una amplia experiencia al servicio de clientes empresariales con requisitos de seguridad complejos en todo el mundo. Esta declaración abarca los elementos clave de nuestra política de seguridad de datos.

‍

Usamos centros de datos de nivel empresarial de primera clase

Brazos Safety Systems, LLC («Brazos») aprovecha la infraestructura física y virtual alojada y administrada por Microsoft Corporation («Microsoft»), que incluye centros de datos seguros y tecnología avanzada de protección de datos.

Microsoft administra continuamente los riesgos y se somete a evaluaciones periódicas para garantizar el cumplimiento de los estándares del sector. Las operaciones del centro de datos de Microsoft están acreditadas según:

• ISO 27001 e ISO 27017/8
• SOC 1, SOC 2 y SOC 3/SSAE 16/ISAE 3402 (anteriormente SAS 70 tipo II)
• PCI DSS nivel 1

Microsoft también ha prestado especial atención en EE. UU. y la UE al cumplimiento de cualquier normativa nueva o cambiante, como:

• Sarbanes-Oxley (SOX)
• HIPAA
• Puerto seguro/Escudo de privacidad
• Directiva de protección de datos de la UE (GDPR)

Hay disponible una lista completa de las certificaciones de Microsoft aquí.

‍

Las contraseñas se almacenan de forma segura

Todas las contraseñas de los usuarios están codificadas. El cifrado de contraseñas significa que no tenemos acceso a las contraseñas originales, ni tampoco las tiene nadie más. Por lo tanto, aunque nuestra base de datos se viera comprometida, las contraseñas de todos permanecerían seguras.

‍

Los datos se cifran en tránsito

Toda la comunicación entre el navegador del cliente y los servidores Portside se realiza a través de un acceso HTTP seguro (HTTPS), utilizando el estándar de la industria Transport Layer Security (TLS). Portside solo acepta el nivel de TLS más relevante y seguro. Utilizamos los certificados TLS 1.2 y 1.3 con los sistemas de cifrado recomendados por el Instituto Nacional de Estándares y Tecnología del Departamento de Comercio de EE. UU. (Encontrará más información al respecto) aquí).

‍

Los datos se cifran en reposo

Todos los datos de la cuenta que no se mueven por la red se cifran mientras están «en reposo» en la base de datos. Ciframos todos los datos mediante el cifrado AES de 256 bits. Esto garantiza que, incluso si el acceso a nuestras bases de datos se ve comprometido, el intruso no podrá acceder a los datos de los clientes.

‍

Seguridad operativa y del sistema

Protegemos la infraestructura de nuestro sistema mediante el uso de servicios de VPN y firewall dedicados para bloquear el acceso no autorizado al sistema. Los firewalls de todos los servidores están configurados de forma predeterminada. Las conexiones a bases de datos solo se aceptan desde otros servidores Portside de la red privada virtual interna.

Toda la comunicación con los servidores (fuera del acceso HTTPS público) se realiza a través de un shell seguro cifrado (SSH) y la autenticación con contraseña está deshabilitada. La autenticación SSH solo está disponible mediante la autenticación de clave pública/privada.

Nos esforzamos por mantener todo el software del servidor en la versión más reciente; sin embargo, cuando eso no es posible, nos aseguramos de que los parches de seguridad más recientes estén instalados y actualizados.

‍

El acceso está registrado

Registramos toda la actividad de los usuarios en la aplicación, así como cualquier acceso a los sistemas por parte de nuestros empleados, mediante los servicios de Microsoft Azure. Se mantiene un registro de auditoría que se revisa periódicamente.

‍

Restricciones de acceso para empleados

Todos los empleados deben firmar un acuerdo de confidencialidad. Se aplica una estricta seguridad de acceso al sistema y ningún empleado de Brazos puede acceder a los datos de los clientes a menos que se le exija específicamente hacerlo por motivos justificados. Entonces, solo los empleados técnicos superiores especialmente designados tienen los permisos de acceso necesarios. Cualquier acceso al sistema se registra y se rastrea con fines de auditoría. Aplicamos la autenticación de dos factores tanto para el acceso a la infraestructura como para el repositorio de código.

‍

Separación de datos de clientes

Brazos ha sido cuidadosamente diseñado para separar los datos de los clientes y evitar la divulgación inadvertida de datos de un usuario a otro. Los permisos y funciones de las cuentas de usuario se aplican a nivel de servidor y base de datos para evitar que los usuarios malintencionados aumenten sus privilegios. Diseñamos cuidadosamente todas las funciones nuevas para evitar posibles ataques, como la inyección de SQL y la creación de scripts entre sitios.

‍

Política de copias de seguridad

Todos los datos se almacenan físicamente en servidores en los Estados Unidos. Microsoft realiza automáticamente las copias de seguridad y la base de datos se puede restaurar en cualquier momento de los últimos 30 días.

‍

Análisis antivirus

Brazos escanea automáticamente todos los archivos cargados en busca de virus. Esto ayuda a evitar que se suban archivos malintencionados y se compartan con otros usuarios de la cuenta. Si Brazos detecta un virus en un archivo, rechazamos la subida y se lo notificamos al usuario.

‍

No almacenamos los detalles de pago

Brazos no almacena ni procesa pagos. Todos los pagos se realizan a través de un socio de procesamiento de pagos empresarial de nivel institucional, que implementa el cumplimiento de las normas PCI DSS con los estándares más estrictos.

‍

Pruebas de penetración y vulnerabilidad

Brazos realiza pruebas de penetración anuales por parte de terceros en sus sistemas para validar y confirmar que no hay vulnerabilidades técnicas que puedan haberse pasado por alto.