2CLIX sabe que su seguridad y privacidad son importantes y se preocupa mucho por ello.
Este documento tiene como finalidad describir las responsabilidades involucradas en la cadena de suministro del servicio del Portal de Calidad de 2CLIX TECNOLOGIA EIRELLI.
DEFINICIÓN
El Portal de la Calidad se clasifica como un servicio del tipo SaaS (Software as a Service), proporcionando una aplicación basada en la web en la que, para su uso, se requiere una cuenta con acceso válido y conexión a internet.
Para garantizar la continuidad y disponibilidad de los servicios prestados por 2clix, el Portal de la Calidad cuenta con una infraestructura basada en servicios de computación en la nube, contratando al proveedor QTS para utilizar sus servidores. Este servicio se ofrece bajo un modelo IaaS. En este caso, el centro de datos proporciona la infraestructura y los servidores contratados como parte del servicio entregado a la organización.
Esto crea la siguiente cadena de servicios:
CADENA DE RESPONSABILIDAD
Cliente
El Portal de la Calidad se basa principalmente en la funcionalidad de creación de formularios, su llenado y la visualización de informes. Para ello, la plataforma ofrece una amplia gama de personalizaciones. Por tratarse de un SaaS, es justamente en estas personalizaciones donde reside la responsabilidad del Cliente.
El sistema, por defecto, cuenta con su propio sistema de inicio de sesión, campos estándar de formulario que no solicitan datos personales y modelos de permisos basados en el tipo de usuario. A partir del modelo estándar, los usuarios del cliente pueden modificar el entorno según sus necesidades. Estas personalizaciones incluyen:
- Integración con AD externo, como Azure AD y Google Auth;
- Bloqueo de acceso externo a la plataforma mediante restricciones de IP;
- Configuración del nivel de fuerza de la contraseña al usar el inicio de sesión de la plataforma;
- Configuración del número de intentos de acceso antes del bloqueo;
- Configuración del tiempo de bloqueo por intentos fallidos;
- Creación de la contraseña inicial para el primer acceso de nuevos usuarios;
- Creación de campos adicionales en los formularios de registro (Usuarios y Hojas de Monitoreo);
- Integración con Zendesk para consulta de tickets durante una monitoría;
- Creación de tipos de usuarios personalizados;
- Modificación de permisos de acceso de todos los tipos de usuarios.
Estas personalizaciones permiten que el usuario adapte la aplicación según sus necesidades, pero también transfieren responsabilidad sobre el nivel de seguridad del entorno. Además, mediante la personalización de registros, los usuarios pueden crear campos que contengan información personal o información personal sensible. En estos casos, el sistema ofrece la opción de marcar dichos campos como «dato personal sensible», y el usuario debe seleccionar esta opción.
Se espera, por lo tanto, que el cliente sea responsable por el uso adecuado de la plataforma por parte de sus usuarios, así como por las configuraciones y personalizaciones realizadas en su entorno y por los tipos de datos que serán utilizados en el Portal de la Calidad.
Data Center
Al proveer un servicio del tipo IaaS, el Data Center se responsabiliza por garantizar la seguridad física de los servidores y de la red, así como la disponibilidad del servicio 24/7. Es responsable de la red física, el equipamiento, el personal autorizado y las medidas de redundancia para backup, conexión a internet y prevención de fallas ambientales, mecánicas o eléctricas.
2clix
2clix se responsabiliza por el mantenimiento del Sistema Operativo del servidor, control de accesos, programas instalados y monitoreo. También es responsable por la protección de los datos almacenados, la generación y prueba de copias de seguridad, mantenimiento de la base de datos, configuración del Firewall y VPNs, así como el uso de conexiones HTTPS para el uso del Portal de la Calidad, manteniendo actualizados los certificados.
La responsabilidad de la organización está en la parte de la arquitectura en la nube proporcionada por el Data Center, especialmente en el manejo de los datos que entran y salen de los servidores.
La organización se responsabiliza por los siguientes controles y procesos de seguridad:
- Control de accesos al servidor vía VPN o FTP;
- Actualización del Sistema Operativo y software del servidor;
- Aplicación de parches de seguridad;
- Creación, mantenimiento y modificación de reglas de Firewall;
- Monitoreo de logs de acceso y eventos del servidor;
- Creación de rutinas de backup, cifrado y verificación de las copias;
- Mantenimiento de DNS y certificados HTTPS;
- Restauración de los servicios y datos del Portal de la Calidad en un servidor auxiliar en caso de falla grave en el Data Center o en los equipos principales;
- Mantener el Inventario de Datos actualizado;
- Cifrado de datos marcados como sensibles;
- Control de accesos de colaboradores y proveedores;
- Monitoreo de red y servidores;
- Monitoreo de la Base de Datos;
- Tratamiento de vulnerabilidades y seguridad de la aplicación;
- Mantenimiento del Portal de la Calidad;
- Hardening de equipos.
