Seguridad de la información
Commbox entiende la necesidad crítica de contar con prácticas de seguridad sólidas para proteger los datos de los clientes y cumplir los requisitos legales y reglamentarios en el competitivo mercado global actual.
Hemos adoptado normas y directrices internacionales como base de nuestro Sistema de Gestión de la Seguridad de la Información, garantizando una seguridad integral en toda nuestra tecnología, programas y procesos. Nuestro marco de seguridad incluye la gestión del acceso, la protección de puntos finales y antivirus, la gestión de parches, la respuesta a incidentes, el desarrollo y las pruebas seguras, las revisiones de cumplimiento de la seguridad, la gestión de activos, la continuidad de la actividad, la retención y eliminación, la gestión de redes, la gestión de medios, la seguridad de las operaciones, el registro y la supervisión, la gestión de malware y vulnerabilidades, la organización interna y la evaluación de riesgos, los equipos, la seguridad del personal, la seguridad física y la gestión de proveedores externos.
Programa de seguridad de la información
En un mercado global cada vez más competitivo en el que los servicios en la nube para la gestión de la información se adoptan con rapidez, es crucial mantener unas prácticas de seguridad sólidas. Proteger los datos de empresas, clientes y empleados frente a las amenazas de ciberseguridad en constante evolución y demostrar el cumplimiento de los requisitos legales y reglamentarios es esencial para todas las empresas.
Nuestras medidas de seguridad están integradas en todas nuestras tecnologías, programas y procesos. Commbox ha adoptado la familia de normas 27000 de la Organización Internacional de Normalización (ISO), concretamente la ISO/2001, como base de nuestro Sistema de Gestión de la Seguridad de la Información. Hemos establecido, documentado e implantado políticas, normas y controles que se ajustan a los requisitos de la norma ISO 27001.
Nuestro marco de seguridad se basa en las principales normas de seguridad de la información y es mantenido por un equipo interno de expertos en seguridad de la nube, las aplicaciones y la información. Descubra las medidas descritas en nuestro Programa de Seguridad de la Información que utilizamos para identificar y protegernos frente a las amenazas emergentes. Las políticas completas de cada tema están disponibles previa solicitud.
Alojamiento y almacenamiento de datos
La plataforma y los datos de CommBox están alojados en las instalaciones de Amazon Web Services (AWS) en Irlanda.
Gestión de accesos
Commbox ha establecido un proceso bien definido para conceder acceso a todos los activos de información. Los privilegios y derechos de acceso se asignan a los empleados en función de nuestro control de acceso basado en funciones aprobado por la dirección, que se basa en los principios de "necesidad de conocer" y "mínimo privilegio" para proteger los activos de información frente al acceso y la divulgación no autorizados. Nuestra política de contraseñas se aplica de manera uniforme en todos los activos de información, garantizando el cumplimiento de los requisitos de longitud mínima, complejidad, caducidad de la contraseña, historial y bloqueo de la cuenta en caso de intentos fallidos.
Protección de puntos finales y antivirus
De acuerdo con nuestras políticas, todos los sistemas operativos que Commbox posee y soporta, deben estar configurados con nuestra solución antivirus. También ciframos los ordenadores para que sus datos no sean accesibles incluso en caso de pérdida o robo.
Gestión de parches
Recopilamos y analizamos información sobre amenazas a la seguridad procedente de nuestras herramientas internas de gestión de vulnerabilidades, proveedores y otras organizaciones de seguridad de terceros. Nuestra norma de gestión de parches describe las prácticas de aplicación de parches adecuadas para nuestros equipos tecnológicos. Además, podemos implantar controles de seguridad adicionales para mitigar amenazas conocidas cuando sea necesario.
Respuesta a incidentes
Se establece un proceso de respuesta a incidentes para tratarlos a medida que surgen. Gestionado por un equipo especializado, este proceso sigue un procedimiento documentado de mitigación y comunicación. El plan se adhiere a diversas normas reconocidas y a las mejores prácticas del sector, y realizamos un ejercicio anual de un escenario de respuesta a incidentes.
El proceso de respuesta a incidentes de Commbox exige que los incidentes se notifiquen, investiguen y supervisen con prontitud para garantizar que se toman las medidas correctivas oportunas para controlar y remediar los incidentes de seguridad.
Desarrollo y pruebas seguros
En Commbox, damos prioridad a la seguridad en todos los aspectos de nuestros procesos de desarrollo y pruebas. Nuestro compromiso con el desarrollo seguro comienza con un enfoque integral que prioriza la seguridad, garantizando que todo el software se construya con sólidos mecanismos de protección desde el principio. Nuestro equipo de desarrollo se adhiere a las mejores prácticas del sector, como las normas de codificación segura y las revisiones periódicas del código, para identificar y mitigar posibles vulnerabilidades en las primeras fases del ciclo de desarrollo. Además, contamos con procedimientos de control de cambios en el sistema, restricciones a los cambios en los paquetes de software, pruebas de seguridad y aceptación del sistema y otras medidas para reducir el riesgo.
Revisiones del cumplimiento de la seguridad
Nuestras revisiones del cumplimiento de la seguridad son parte integrante de nuestro marco operativo y garantizan que todos nuestros procesos, sistemas y aplicaciones cumplen o superan la normativa y las mejores prácticas del sector. Realizamos auditorías y evaluaciones periódicas para verificar nuestro cumplimiento de normas internacionales como GDPR, ISO 27001, SOC2, PCI y otras certificaciones y normativas pertinentes. Nuestro dedicado equipo de cumplimiento trabaja diligentemente para mantenerse al día con los últimos requisitos de seguridad y cambios normativos, implementando los ajustes necesarios en nuestras políticas y procedimientos. A través de una documentación exhaustiva, una supervisión continua y una aplicación estricta de las medidas de cumplimiento, Commbox garantiza un entorno seguro y conforme a la normativa, ofreciendo soluciones fiables y dignas de confianza a nuestros clientes.
Gestión de activos
Mantenemos un inventario detallado de todo nuestro hardware, software y activos digitales para garantizar su correcto seguimiento, mantenimiento y seguridad. Nuestros procesos de gestión de activos incluyen auditorías periódicas, gestión del ciclo de vida y estrictos controles de acceso para protegerlos de usos no autorizados y posibles vulnerabilidades.
Plan de continuidad de las actividades
CommBox tiene un plan de Continuidad de Negocio bien planificado. Toda la información se encuentra en un documento formal que podemos facilitar previa solicitud. El plan se actualiza y prueba anualmente. Todos los datos se almacenan en dos servidores separados (producción + copias de seguridad) en la granja de servidores de AWS. Se realizan copias de seguridad de toda la información en el servidor de copias de seguridad hasta dos semanas atrás. En caso de que el servidor de producción no esté disponible, el servidor de copia de seguridad está disponible con todos los datos.
Conservación y eliminación
Hemos establecido políticas exhaustivas de conservación y eliminación para gestionar los datos y activos de forma segura y responsable. Nuestras políticas de conservación garantizan que los datos se almacenen sólo el tiempo necesario para cumplir los requisitos normativos, las necesidades empresariales y los acuerdos con los clientes. Clasificamos y revisamos periódicamente nuestros datos para garantizar el cumplimiento de las directrices legales y organizativas. Cuando los datos o activos ya no son necesarios, nuestros procesos de eliminación garantizan una eliminación segura. Esto incluye el uso de métodos certificados de destrucción de datos y la eliminación adecuada de activos físicos para evitar accesos no autorizados o filtraciones de datos.
Gestión de redes
Nuestra estrategia de gestión de la red abarca un amplio conjunto de prácticas para garantizar el rendimiento, la seguridad y la escalabilidad óptimos de nuestra infraestructura de red. Empleamos herramientas y técnicas de supervisión avanzadas para supervisar la actividad de la red, detectar anomalías y prevenir posibles amenazas en tiempo real. Nuestra red está diseñada con mecanismos de redundancia y conmutación por error para mantener un funcionamiento continuo y minimizar el tiempo de inactividad. Aplicamos estrictos controles de acceso y protocolos de cifrado para salvaguardar los datos en tránsito y evitar accesos no autorizados. Las auditorías y actualizaciones periódicas de las configuraciones de nuestra red garantizan que nos mantengamos por delante de las amenazas emergentes y que cumplamos las normas del sector.
Medios de comunicación
Gestión del cambio - Operaciones
Commbox garantiza que todos los cambios en el entorno operativo de los sistemas de información, incluidas las modificaciones en servidores, equipos de red y software, se someten a un proceso formal de gestión de cambios.
Además, Commbox mantiene copias de seguridad de la información y el software para facilitar la recuperación de datos en caso de incidentes como caídas del sistema o borrado accidental de datos.
Registro y supervisión
A través de nuestro Centro de Operaciones de Seguridad (SOC) se lleva a cabo de forma continua un registro de seguridad centralizado, automatizado y sistemático, así como una supervisión del entorno operativo. Esto garantiza el conocimiento en tiempo real, la correlación de eventos y una respuesta rápida a los incidentes. Utilizamos un sistema SIEM para centralizar y supervisar todas las alertas y datos pertinentes de los distintos registros. Todos los registros están protegidos contra cambios o manipulaciones y se conservan al menos durante 24 meses. Supervisamos los sistemas, servicios y operaciones para garantizar la salud de nuestros entornos operativos. Se emplean herramientas de gestión para supervisar y mantener un entorno bien escalado y de alta disponibilidad.
Gestión de malware y vulnerabilidades
Nuestro completo programa de gestión de malware y vulnerabilidades incluye medidas proactivas para detectar, prevenir y responder a las amenazas. Utilizamos herramientas antimalware avanzadas y sistemas de supervisión continua para identificar y neutralizar posibles amenazas en tiempo real. Se llevan a cabo evaluaciones trimestrales de vulnerabilidad y una prueba anual de penetración para descubrir y abordar los puntos débiles de seguridad en nuestra infraestructura y aplicaciones. Nuestro equipo de seguridad se mantiene informado sobre las últimas amenazas y aplica a tiempo parches y actualizaciones para mitigar los riesgos. Mediante rigurosos programas de formación y concienciación, nos aseguramos de que nuestro personal esté preparado para reconocer y responder a posibles amenazas. Al mantener un sólido marco de gestión de malware y vulnerabilidades, Commbox garantiza la seguridad y resistencia continuas de nuestros servicios, protegiendo los datos de nuestros clientes y manteniendo su confianza.
Organización interna y gestión de riesgos
Todos los años realizamos una evaluación externa de riesgos, cuyos resultados se muestran a la dirección y se debaten en el marco de una revisión formal anual de riesgos. Una vez concluidas las actividades de evaluación de riesgos, nuestro equipo de Seguridad colabora con los equipos de producto y tecnología para formular planes de corrección y hojas de ruta destinados a subsanar las deficiencias de cumplimiento y los riesgos identificados.
También realizamos auditorías internas y externas para evaluar el cumplimiento de las políticas, normas y requisitos reglamentarios. Los resultados de estas auditorías se registran para su revisión y posterior corrección dentro de la organización.
Seguridad del personal
Todo nuestro personal se adhiere a nuestro código de conducta y PUA, que refleja los valores y la misión de nuestra empresa. Están informados de sus responsabilidades, nuestras políticas y normas, y reciben regularmente orientación y apoyo de nuestro equipo de Seguridad de la Información sobre las mejores prácticas para la seguridad de los datos.
Para cumplir las leyes y normativas pertinentes, realizamos comprobaciones exhaustivas de los antecedentes cuando contratamos personal fijo. Esto garantiza la autenticidad de las personas y minimiza el riesgo para los activos de información críticos.
Impartimos formación continua obligatoria sobre seguridad de la información y ofrecemos formación adicional a grupos e individuos específicos según sea necesario. Nuestro personal está sujeto a obligaciones de confidencialidad y es consciente de las consecuencias del incumplimiento de nuestras políticas y de sus responsabilidades.
En Commbox, seguimos un proceso estructurado de salida de empleados que incluye la revocación oportuna de los permisos/derechos de acceso al sistema y la devolución de los activos de la empresa.
Seguridad física
Todos los centros de datos estratégicos cumplen las normas y mejores prácticas del sector en materia de seguridad física, mantenimiento de edificios, extinción de incendios, aire acondicionado, SAI con generador de reserva y acceso a diversas infraestructuras de energía y comunicaciones.
Commbox revisa periódicamente los informes de garantía de proveedores externos y centros de datos como parte de nuestro programa de gestión de riesgos de proveedores.
El acceso a nuestras instalaciones, así como al proveedor de la nube, está estrictamente controlado mediante diversos métodos seguros, que garantizan que el acceso se concede estrictamente en función de las necesidades operativas. Dependiendo de la sensibilidad de la instalación, estos métodos pueden incluir personal de seguridad, tarjetas de identificación, control de acceso electrónico con lectores de tarjetas de proximidad, cerraduras físicas y números PIN.
Gestión de proveedores externos
Contamos con un proceso de aceptación de proveedores externos para garantizar que todos los socios externos cumplen nuestras normas de seguridad y cumplimiento. Realizamos una evaluación de riesgos antes de trabajar con un proveedor determinado y establecemos acuerdos contractuales claros que describen los requisitos de seguridad y privacidad, las obligaciones de cumplimiento y las expectativas de rendimiento. También llevamos a cabo revisiones y auditorías de los proveedores.
Seguridad de las infraestructuras
Canales seguros y cifrado potente. Sistemas de prevención de intrusiones (IPS), cortafuegos de aplicaciones y cortafuegos basados en red. Todo el tráfico de datos que pasa a través de CommBox se cifra en tránsito utilizando un cifrado de 256 bits. Nuestros puntos finales de API y aplicaciones son TLS/SSL y obtienen una calificación "A". Además, CommBox cifra los datos en reposo utilizando un algoritmo de cifrado AES-256 estándar de la industria para una máxima seguridad.
Empleamos controles por niveles, incluida la segmentación de la red, para garantizar niveles adecuados de protección de sistemas y datos. Además, se aplican controles de prevención de pérdida de datos para mejorar la seguridad.
Divulgación
Para informar de un problema de seguridad a Commbox, líder en soluciones de innovación de conducción, damos prioridad a la seguridad de nuestro entorno de TI y los datos del cliente. Fomentamos la divulgación responsable de cualquier vulnerabilidad descubierta en nuestros sitios o aplicaciones para mejorar continuamente nuestras prácticas de seguridad. Commbox valora la contribución de investigadores de seguridad externos y se compromete a colaborar con ellos para verificar y abordar posibles vulnerabilidades.
Si cree que ha identificado un problema de seguridad en uno de nuestros productos o servicios, colabore con nosotros y notifíquelo a través de nuestro Programa de divulgación responsable de vulnerabilidades HackerOne en [email protected]. Cuando envíe su informe, incluya los siguientes datos:
- Descripción del problema y su localización
- Pasos necesarios para reproducir el problema
Su colaboración nos ayuda a mantener un entorno seguro y a mejorar nuestra postura de seguridad.
SEGURIDAD DE LOS DATOS
Tenga en cuenta que las siguientes actividades están estrictamente prohibidas:
- Hackear, penetrar o intentar obtener acceso no autorizado a las aplicaciones, sistemas o datos de Commbox, lo que constituye una violación de las leyes aplicables.
- Participar en acciones que puedan afectar negativamente a Commbox o interrumpir el funcionamiento de nuestras aplicaciones o sistemas (por ejemplo, envío de correo basura, ataques de fuerza bruta, ataques de denegación de servicio).
- Descargar, copiar, divulgar o utilizar cualquier dato confidencial o de propiedad perteneciente a Commbox, incluidos los datos de los clientes.
- Llevar a cabo cualquier ataque físico o electrónico dirigido contra el personal, la propiedad o los centros de datos de Commbox.
Le recomendamos que revise nuestra Política de divulgación de vulnerabilidades antes de realizar cualquier prueba o informar sobre vulnerabilidades. Si informa responsablemente de una vulnerabilidad, Commbox hará todo lo posible por responder con prontitud. Gracias por ayudarnos a salvaguardar los datos de Commbox y de nuestros clientes.
