Centro de confianza

Mantenemos un inventario preciso y actualizado de todos los activos relacionados con el servicio. La información se clasifica formalmente en función de los requisitos legales, el valor, la importancia y la sensibilidad ante la divulgación o modificación no autorizadas. Al utilizar Azure como servicio multitenant, aplicamos una separación lógica para garantizar el aislamiento completo de los datos entre los clientes.

Se establecen requisitos de seguridad de la información para los proveedores que pueden acceder, procesar, almacenar, comunicar o proporcionar componentes de infraestructura de TI. Realizamos evaluaciones periódicas de los riesgos de ciberseguridad y seguridad de los datos de los proveedores que tienen acceso a nuestra red o a datos confidenciales, y se realiza un seguimiento formal y se aplican las medidas de seguimiento definidas.

Un Centro de Operaciones de Seguridad (SOC) disponible las 24 horas del día, los 7 días de la semana, proporciona supervisión y protección continuas de los sistemas y los datos. Hemos implementado medidas sólidas para garantizar un enfoque coherente y eficaz en la gestión de incidentes de seguridad de la información. Nuestro proceso de gestión de incidentes de seguridad incluye el mantenimiento de procedimientos escritos, el uso de todos los esfuerzos razonables para mitigar las consecuencias y la notificación al cliente.

Nos aseguramos de que las instalaciones de procesamiento de la información se implementen con la redundancia suficiente para cumplir los requisitos de disponibilidad. El rendimiento del servicio, la disponibilidad y la experiencia real del usuario se supervisan continuamente (consulte el informe de tiempo de actividad de nuestra plataforma, donde se supervisan constantemente el rendimiento del servicio, la disponibilidad y la experiencia real del usuario). Las copias de seguridad se realizan y prueban periódicamente de acuerdo con la política de copias de seguridad definida.

De conformidad con los mandatos legales y reglamentarios, durante el proceso de selección se realizan comprobaciones sistemáticas de referencias de todos los candidatos. Además, se lleva a cabo una verificación de antecedentes penales de todos los nuevos empleados cuando está legalmente autorizado, como en el caso del personal con sede en los Estados Unidos.

Los clientes mantienen el control sobre su entorno de usuario. El administrador de la plataforma del cliente está facultado para gestionar las cuentas de usuario, incluyendo su creación y desactivación. El acceso a la plataforma se protege principalmente mediante la autenticación con nombre de usuario y contraseña, y se ofrece la función de inicio de sesión único (SSO) a las empresas que lo soliciten (póngase en contacto con su representante comercial habitual para obtener más información).

Todos los datos están protegidos tanto en reposo como en tránsito mediante algoritmos y métodos de cifrado aprobados por la industria. Los secretos se almacenan y gestionan de forma segura de acuerdo con las mejores prácticas establecidas en la industria.

Gestión del cambio y consolidación

Los cambios que afectan a la organización, los procesos empresariales, las instalaciones de procesamiento de información y los sistemas se controlan de manera formal. Seguimos rigurosas directrices de refuerzo de la seguridad, incluidas las pruebas comparativas del Centro para la Seguridad en Internet (CIS) para sistemas operativos y las guías de refuerzo de Microsoft Azure para servicios en la nube.

Se implementan tecnologías de supervisión y detección para identificar, prevenir y gestionar el malware, las vulnerabilidades y otros eventos relevantes para la seguridad en toda nuestra infraestructura.

El acceso a la red para servicios y servidores internos está restringido y protegido. Utilizamos un firewall de aplicaciones web (WAF; consulte los detalles aquí ) y aprovechamos Azure Front Door, una red de entrega de contenido (CDN) en la nube, para garantizar un alto rendimiento, escalabilidad y una experiencia de usuario segura.

La seguridad está integrada en nuestro SDLC mediante el cumplimiento de los estándares del sector. Los nuevos desarrollos están sujetos a procesos obligatorios de prueba y validación antes de su implementación. Los entornos de desarrollo, prueba y operación están separados.

Damos prioridad a la resolución de los hallazgos de seguridad en función de su gravedad. Nuestros objetivos de corrección estructurados garantizan que los riesgos críticos se aborden con urgencia:

• Crítico – 7 días
• Alto – 1 mes
• Medio – 3 meses
• Bajo: no se ha determinado una fecha límite específica.

Aunque nos esforzamos por cumplir estos plazos, los calendarios definitivos de remediación pueden ajustarse en función de la complejidad de la solución y el contexto específico del riesgo.

Además, nuestro compromiso con la seguridad está validado por auditores independientes y plataformas de calificación estándar del sector:

• ISO 27001: Utilizamos esta norma como nuestra principal referencia para la gestión de la seguridad de la información.
• Evaluaciones estandarizadas: Mantenemos perfiles actualizados en las principales plataformas de riesgos de seguridad, como Cybervadis, CyberGRX y Whistic. Los resultados se pueden compartir bajo demanda.
• Certificaciones CSP: Las certificaciones de Microsoft Azure están disponibles en el Portal de confianza del servicio.