Seguridad y cumplimiento normativo de nivel empresarial de Celoxis Project Management

Cumplimiento normativo

Seguridad física

Los servidores de Celoxis están alojados en la infraestructura en la nube de Amazon Web Services (AWS) en Estados Unidos e Irlanda (UE). AWS ofrece un conjunto avanzado de funciones de acceso, cifrado y registro. AWS cuenta con la confianza de las principales marcas del mundo y tiene más de un millón de clientes. Dispone de múltiples capas de seguridad operativa y física para garantizar la integridad y la seguridad de sus datos.

Nuestra infraestructura en la nube de AWS consta de múltiples centros de datos independientes, cada uno con alimentación, redes y conectividad redundantes, ubicados en instalaciones separadas. Esto nos permite ejecutar aplicaciones y bases de datos de producción con mayor disponibilidad, tolerancia a fallos y escalabilidad que las que se podrían obtener con un único centro de datos.

El acceso físico a los centros de datos está controlado por personal de seguridad profesional que utiliza sistemas de vigilancia, detección y otros medios electrónicos. El personal autorizado de AWS utiliza mecanismos de autenticación multifactor para acceder a los centros de datos. Los puntos de acceso físico a las salas de servidores están registrados mediante cámaras de circuito cerrado de televisión (CCTV). AWS proporciona acceso físico a los centros de datos únicamente a los empleados autorizados, y estas solicitudes se otorgan según el principio de mínimo privilegio, donde se debe especificar a qué capa del centro de datos necesita acceder el usuario, y tienen una duración limitada.

Seguridad de redes y sistemas

A medida que aumenta la capacidad de procesamiento, es fundamental garantizar que nuestra aplicación no se vea comprometida por hackers con capacidades de procesamiento sofisticadas. El acceso a la aplicación Celoxis se realiza únicamente mediante certificados SSL de grado industrial de 2048 bits, utilizando el protocolo TLS 1.2 (Transport Layer Security), para proteger sus datos, contraseñas, cookies y demás información confidencial contra interceptaciones.

Nuestras aplicaciones se ejecutan en Ubuntu Linux, lo que las hace inherentemente menos vulnerables a virus o malware.

Además de las auditorías de seguridad intrínsecas de AWS, también realizamos periódicamente auditorías internas de seguridad de la red, escaneos y pruebas de penetración. Esto nos permite identificar rápidamente sistemas y servicios obsoletos. Cuando se informa públicamente de una vulnerabilidad, tomamos medidas inmediatas para mitigar cualquier riesgo potencial para nuestros clientes: aplicamos parches y correcciones urgentes en cuanto están disponibles.

El acceso a nuestros servidores solo es posible mediante VPN y claves SSH, y está restringido únicamente a los cofundadores de la empresa. Esto nos permite prevenir, detectar y mitigar rápidamente los efectos del tráfico malicioso y los ataques a la red.

Registro de solicitudes

Cada solicitud a la aplicación Celoxis queda registrada con una marca de tiempo, la identidad del usuario y la dirección IP de origen.

Sistema de detección de intrusiones

Nuestro sistema de detección de intrusiones protege proactivamente nuestros servidores contra ataques conocidos y ataques de fuerza bruta. Realizamos auditorías periódicas y monitorizamos los archivos de registro para verificar cualquier vulnerabilidad que pudiera haber surgido debido a una configuración incorrecta o errores manuales. Nuestro hardware, sistemas operativos y aplicaciones se actualizan periódicamente con importantes parches de seguridad.

Mecanismos de alerta 24x7x365

Nuestra aplicación se monitoriza constantemente para informar de forma proactiva sobre cualquier actividad anómala. Mediante sondas internas y externas, garantizamos que cualquier incidente de este tipo se comunique de inmediato.

Servidor web

Nuestros servidores web están protegidos por un cortafuegos y un software de protección contra ataques de denegación de servicio distribuido (DDoS) que salvaguarda nuestras aplicaciones web.

Base de datos

Nuestra base de datos se basa en múltiples niveles de seguridad. Estos incluyen aislamiento de red, cifrado de datos en reposo mediante claves de 256 bits y cifrado de datos en tránsito mediante SSL. Los datos en el almacenamiento subyacente están cifrados, al igual que las copias de seguridad, instantáneas y réplicas automatizadas.

Transferencia de datos y copias de seguridad

Los datos en reposo y en tránsito entre hosts y volúmenes están protegidos con cifrado de clave de 256 bits. Todas las copias de seguridad también están cifradas.

Seguridad de las aplicaciones

Implementamos estrictos requisitos y políticas de seguridad internas durante todo el ciclo de vida del desarrollo de nuestras aplicaciones. Solo utilizamos bibliotecas de fuentes reconocidas y confiables como Google y Apache. Realizamos una revisión exhaustiva de la seguridad de la arquitectura. Además, llevamos a cabo evaluaciones manuales periódicas y escaneos dinámicos de nuestros entornos de preproducción.

Autorización de usuarios y roles

Cada usuario tiene un nombre de usuario y una contraseña únicos que debe introducir al inicio de cada sesión de Celoxis. Todas las contraseñas de usuario se almacenan como un hash con sal unidireccional y nadie puede acceder a ellas. Además, aplicamos políticas estrictas de contraseñas para mejorar la seguridad de los datos. Celoxis también admite varios métodos de autenticación federada, incluido SAML V2, para acceder a la cuenta de Celoxis de forma cómoda y segura mediante credenciales corporativas. Contamos con mecanismos de seguridad en la aplicación basados ​​en roles que garantizan que el acceso a los datos y las acciones del usuario se puedan limitar según el rol de cada usuario en cada proyecto. Estos derechos de usuario individuales son controlados y gestionados por un administrador de cuenta de Celoxis. Los gestores de proyectos también pueden asignar roles en sus proyectos a usuarios específicos y otorgarles los permisos necesarios. Encontrará información detallada sobre los roles de seguridad en la aplicación y los controles de privilegios en Celoxis en nuestro Centro de ayuda. Si para solucionar un problema o verificar un problema reportado por un usuario nuestros equipos de soporte necesitan acceder a su cuenta, se requiere su autorización previa a través de nuestro sistema de tickets.

Monitoreo de las actividades de los usuarios

La aplicación Celoxis proporciona una auditoría basada en objetos para ciertos objetos que le permite supervisar la información actualizada de la actividad de la cuenta por parte del usuario.

Seguridad organizacional

Nuestro equipo y nuestros procesos contribuyen a que sus datos sean más seguros. Todos nuestros empleados están capacitados para priorizar la seguridad. Contamos con políticas y procesos exhaustivos en materia de gestión de incidencias, intercambio de conocimientos, notificación de vulnerabilidades, gestión de riesgos y otras operaciones diarias. Proteger sus datos es tan importante para nosotros como para usted. Nuestra cultura centrada en la seguridad nos ha permitido desarrollar las mejores prácticas para la gestión de riesgos de seguridad y protección de datos durante más de 17 años.

Todos los portátiles y estaciones de trabajo de los empleados se gestionan de forma centralizada. Cada equipo está configurado con cifrado de disco completo, antivirus y cortafuegos. Las actualizaciones se aplican periódicamente a todos los equipos de los empleados.

Gestión de acceso

El acceso a nuestros centros de datos y a la información almacenada en nuestras bases de datos está restringido únicamente a los cofundadores de la empresa. Contamos con estrictas políticas de seguridad para el acceso de los empleados, y todos los accesos se registran y supervisan. Todos nuestros empleados están sujetos a un acuerdo de confidencialidad y el acceso a los datos de los clientes se realiza únicamente cuando es estrictamente necesario.

Recuperación ante desastres

Sabemos que el tiempo de inactividad no solo es molesto, sino también costoso. Nuestras soluciones de almacenamiento están diseñadas para ofrecer un almacenamiento seguro, escalable y duradero a las empresas que buscan eficiencia y escalabilidad en su entorno de copias de seguridad y recuperación. Hemos invertido considerablemente en un sistema integral de conmutación por error y recuperación ante desastres para proteger sus datos y garantizar la continuidad del negocio.

Servidores web

Supervisamos continuamente el estado de los servidores mediante sondeos internos y externos. Las instancias con problemas se terminan automáticamente y se activa un servidor de reemplazo. En caso de que un servidor web no pueda activarse automáticamente, podemos aprovisionar nuevos servidores web en un centro de datos alternativo en menos de una hora.

Base de datos

Mantenemos una réplica de reserva síncrona en un centro de datos diferente. La base de datos se replica de forma síncrona entre centros de datos a una réplica de reserva.

Cuenta con un sistema de almacenamiento tolerante a fallos y autorreparable que replica seis copias de los datos en tres centros de datos. Nuestro clúster de bases de datos está configurado para ofrecer alta disponibilidad, lo que significa que se recupera automáticamente de fallos en el almacenamiento físico, mientras que la conmutación por error de instancias suele tardar menos de 30 segundos.

El sistema de base de datos cuenta con la tecnología necesaria para recuperarse de cualquier error de los desarrolladores. Además, cada 30 minutos se toma una instantánea cifrada que se almacena en Amazon S3.

Volúmenes

El servicio proporciona detección continua y mitigaciones automáticas en tiempo real que minimizan el tiempo de inactividad y la latencia de las aplicaciones. Los volúmenes se replican automáticamente en su centro de datos para protegerlos contra fallos de componentes, lo que ofrece alta disponibilidad y durabilidad.

Además, cada 30 minutos se toma una instantánea cifrada que se almacena en Amazon S3.

Disponibilidad

Celoxis tiene un historial de disponibilidad mensual superior al 99,9 %. Mantenemos una configuración de alta disponibilidad para cada componente. Puede consultar las estadísticas en tiempo real aquí.

Servidores web

Los servidores web de Celoxis se mantienen en una configuración de alta disponibilidad. Se supervisa el estado de los servidores y las instancias que no funcionan correctamente se terminan, activándose automáticamente un servidor de reemplazo.

Base de datos

Mantenemos una réplica de reserva síncrona en un centro de datos diferente. La base de datos se replica de forma síncrona entre centros de datos a una réplica de reserva para proporcionar redundancia de datos, eliminar bloqueos de E/S y minimizar los picos de latencia durante las copias de seguridad del sistema.

Esto mejora la disponibilidad durante el mantenimiento planificado del sistema y ayuda a proteger sus datos contra fallos de la base de datos e interrupciones en el centro de datos.

Nuestro clúster de bases de datos está configurado con alta disponibilidad, lo que significa que se recupera de forma transparente ante fallos de almacenamiento físico, mientras que la conmutación por error de las instancias suele tardar menos de 30 segundos.

Volúmenes

Se mantiene un volumen de reserva activo de forma asíncrona en otro centro de datos para hacer frente a los fallos físicos o de red del centro de datos principal.

Privacidad de datos

Sabemos que a nuestros clientes les preocupa profundamente su privacidad y la seguridad de sus datos. Nuestros centros de datos alojados en AWS cuentan con las certificaciones CSA, PCI DSS Nivel 1, ISO 27001, ISO 27017, ISO 27018, FISMA Moderate, FedRAMP, FFIEC, FERPA, FIPS, HIPAA, SEC Rule 17a-4(f), SOC 1 (anteriormente conocido como SAS 70 y/o SSAE 16), SOC 2 y SOC 3.

Para nuestros clientes europeos, sujetos a las normativas de protección de datos de la UE, nuestros centros de datos cuentan con la certificación del Escudo de Privacidad UE-EE. UU. Puede consultar la certificación aquí.

¿Tienes alguna pregunta o inquietud?

Póngase en contacto con nuestro equipo de seguridad las 24 horas del día, los 7 días de la semana, en security@celoxis.com.