Seguridad en la nube de AMCS

Este artículo está diseñado para ofrecer una visión general de la seguridad en la nube empleada por AMCS. Cubre dos áreas, a saber, las características de seguridad de las aplicaciones y los sistemas de seguridad operacional utilizados en la organización, para apoyar el desarrollo y la gestión de productos.

1. Características de seguridad de la aplicación

La seguridad en la nube de AMCS se entrega utilizando las mejores prácticas y tecnologías de la industria.  También empleamos varios sistemas y controles operativos para garantizar que monitoreamos continuamente nuevas amenazas o ataques, mientras mantenemos sus datos seguros y protegidos.

1.1 Cifrado de datos en tránsito

La transmisión de todos los datos a nuestro entorno de nube se ve obligada a cifrarse con protocolos estándar de la industria y conjuntos de cifrado.  Esto incluye:

• Credenciales de usuario
• Datos operativos y financieros
• Información de identificación personal (PII)

Se rechazan los sistemas de terceros que intentan enviar datos a nuestras API sin estos niveles de cifrado.

Aplicamos un mínimo de TLS 1.2 para garantizar que todos los datos que aceptamos estén cifrados, autenticados y no hayan sido manipulados mientras están en tránsito entre aplicaciones.

1.2 Cifrado de datos en reposo

Una vez que sus datos han sido aceptados en nuestro entorno de nube, se almacenan en servicios de almacenamiento seguro.  Estos servicios pueden variar según el tipo y la aplicación relacionada con los datos.  Los tres tipos principales son base de datos, almacenamiento de archivos y almacenamiento BLOB.

Estos tres servicios están configurados para cifrar sus datos en reposo, lo que significa que si un atacante obtiene acceso al disco físico o dispositivo, los datos se cifrarán.

1.3 Autenticación, autorización y auditoría de usuarios

Todas las credenciales de usuario se transmiten y almacenan de forma segura.  Las contraseñas se almacenan mediante un algoritmo hash unidireccional.

El sistema proporciona la funcionalidad para que los administradores de usuarios administren los niveles de acceso por grupos y derechos de acceso.

Toda la actividad del usuario se audita para que tenga una trazabilidad completa de la actividad en su sistema.

1.4 Inicio de sesión único (SSO) y autenticación multifactor (MFA)

Siempre que sea posible, AMCS proporciona una integración completa con su proveedor de identidades para implementar una experiencia de inicio de sesión único para sus usuarios.  Estas implementaciones admitirán cualquier control MFA que haya configurado mediante los siguientes proveedores de identificación:

• Okta
• Azure AD
• Google (en inglés)

1.5 Protección DDoS

Todos los puntos finales de red están protegidos contra ataques de red comunes, incluidos los ataques distribuidos de denegación de servicio.  Una mitigación se implementa automáticamente cuando se produce un ataque y, por lo tanto, garantiza que el servicio esté disponible para los usuarios válidos.

2. Sistemas de seguridad operacional

2.1 Política de copia de seguridad y retención de bases de datos

AMCS tiene una directiva de copia de seguridad y retención de datos que se implementa como estándar para todas las instancias de AMCS Platform. Esta política incluye la copia de seguridad puntual regular de las bases de datos de producción cada 5 minutos de forma continua. Estas instantáneas se almacenan fuera del sitio en una ubicación geográfica diferente para fines de recuperación ante desastres, pero dentro del mismo límite geopolítico para cumplir con los requisitos de soberanía de datos.  Las instantáneas se almacenan durante 35 días y se pueden utilizar para restaurar el sistema a un punto en el tiempo con una precisión de un segundo. Además de esto, la copia de seguridad y la retención a largo plazo se colocan como estándar. Se realizan copias de seguridad mensuales que se conservan durante 12 meses y copias de seguridad anuales se conservan durante 10 años.

2.2 Monitoreo y alerta continuos

Todos los sistemas de producción están integrados a nuestro sistema global de monitoreo 24/7.  Esto garantiza que todas las aplicaciones y sus dependencias críticas estén disponibles.  En caso de una interrupción, se activa una alerta que inicia el proceso de soporte.

2.3 Sistema de detección de amenazas y alerta de intrusión

El sistema de seguridad se adapta al comportamiento habitual de los usuarios y de cualquier sistema externo que interactúe directamente con el entorno.  Cuando se produce una actividad que no se ajusta al patrón habitual, se marca adecuadamente.  Por ejemplo, si una API pública que normalmente atiende el tráfico de una región europea, de repente recibe una llamada desde América del Norte, entonces esta anomalía se marca al equipo de seguridad cibernética de AMCS.

2.4 Evaluación de vulnerabilidades

Los agentes de evaluación de vulnerabilidades se utilizan para escanear continuamente todos los servidores y puntos finales en busca de las últimas vulnerabilidades conocidas, y estas se informan centralmente al equipo de seguridad cibernética de AMCS.  Las vulnerabilidades se califican utilizando el CVSS y se procesan según el SLA (consulte el Apéndice A).

2.5 Análisis dinámico de aplicaciones

Probamos continuamente nuestra última versión de software para detectar todas las vulnerabilidades conocidas de OWASP.  Estos escaneos se arrastran automáticamente a través de un entorno similar a la producción implementada y prueban los puntos finales para detectar debilidades o configuraciones incorrectas.  Las vulnerabilidades se califican utilizando el CVSS y se procesan según el SLA (consulte el Apéndice A). 

2.6 Pruebas de seguridad independientes de terceros

AMCS Cloud está sujeto a una prueba de seguridad periódica realizada por un proveedor independiente certificado por CREST.  Los resultados de las pruebas son revisados por el equipo de seguridad cibernética de AMCS y se toman medidas según SLA (consulte el Apéndice A).

2.7 Protección de endpoints

Todos los endpoints están protegidos con el mejor software de seguridad de su clase para proporcionar protección en tiempo real contra malware, spyware y otro software malicioso.

2.8 Gestión de actualizaciones

Las actualizaciones y parches del sistema operativo se implementan automáticamente en todos los servidores y esto sucede mensualmente.  Las vulnerabilidades significativas, como los ataques de día cero, se manejan caso por caso.