Políticas y estrategias de seguridad TI de las soluciones en la nube de ManageEngine

En el lugar de trabajo

Controlamos el acceso a nuestros recursos (edificios, infraestructura e instalaciones), donde el acceso incluye el consumo, la entrada y la utilización, con la ayuda de tarjetas de acceso. Proporcionamos a los empleados, contratistas, vendedores y visitantes diferentes tarjetas de acceso que sólo permiten el acceso estrictamente específico al propósito de su entrada en las instalaciones. El equipo de Recursos Humanos (RR. HH.) establece y mantiene los propósitos específicos de las funciones. Mantenemos logs de acceso para detectar y tratar las anomalías.

En los centros de datos

En nuestros Centros de Datos, un proveedor de co-ubicación se encarga del edificio, la refrigeración, la energía y la seguridad física, mientras que nosotros proporcionamos los servidores y el almacenamiento. El acceso a los Centros de Datos está restringido a un pequeño grupo de personal autorizado. Cualquier otro acceso se considera como un ticket y sólo se permite después de la aprobación de los respectivos gerentes. Se requiere una autenticación adicional de dos factores y una autenticación biométrica para entrar en las instalaciones. Los logs de acceso, los registros de actividad y las grabaciones de las cámaras están disponibles en caso de que ocurra un incidente.

Monitoreo

Monitoreamos todos los movimientos de entrada y salida de nuestras instalaciones en todos nuestros centros de negocios y centros de datos a través de cámaras de CCTV implementadas de acuerdo con las regulaciones locales. Se dispone de material de respaldo hasta un cierto período, dependiendo de los requisitos de esa ubicación.

Seguro por diseño

Cada cambio y nueva función se rige por una política de gestión de cambios para garantizar que todos los cambios de aplicación se autoricen antes de su implementación en la producción. Nuestro Ciclo de Vida de Desarrollo de Software (SDLC) ordena el cumplimiento de las directrices de codificación segura, así como la revisión de los cambios de código en busca de posibles problemas de seguridad con nuestras herramientas de análisis de código, escáneres de vulnerabilidad y procesos de revisión manual.

Nuestro robusto marco de seguridad basado en las normas OWASP, implementado en la capa de aplicación, proporciona funcionalidades para mitigar amenazas como la inyección SQL, Cross site scripting y ataques DOS en la capa de aplicación.

Aislamiento de datos

Nuestro framework distribuye y mantiene el espacio en la nube para nuestros clientes. Los datos de servicio de cada cliente se separan lógicamente de los datos de otros clientes utilizando un conjunto de protocolos seguros en el framework. Esto garantiza que ningún dato del servicio del cliente sea accesible a otro cliente.

Los datos del servicio se almacenan en nuestros servidores cuando usted utiliza nuestros servicios. Sus datos son propiedad suya, no de Zoho. No compartimos estos datos con ningún tercero sin su consentimiento.

Cifrado

En tránsito: Todos los datos de los clientes que se transmiten a nuestros servidores a través de las redes públicas están protegidos por fuertes protocolos de cifrado. Obligamos que todas las conexiones a nuestros servidores utilicen la codificación de Seguridad de Capa de Transporte (TLS 1.2/1.3) con fuertes cifrados para todas las conexiones, incluyendo el acceso a la web, el acceso a la API, nuestras aplicaciones móviles y el acceso a los clientes de correo electrónico IMAP/POP/SMTP. Esto garantiza una conexión segura al permitir la autenticación de ambas partes involucradas en la conexión y al cifrar los datos que se transfieren. Además, en el caso del correo electrónico, nuestros servicios aprovechan las oportunidades que ofrece el TLS por defecto. TLS cifra y entrega el correo electrónico de forma segura, mitigando las interceptaciones entre los servidores de correo donde los servicios de pares admiten este protocolo.

Contamos con total compatibilidad para Perfect Forward Secrecy (PFS) con nuestras conexiones cifradas, lo que garantiza que incluso si nos viéramos comprometidos de alguna manera en el futuro, ninguna comunicación anterior podría decodificarse. Hemos habilitado el encabezado Seguridad estricta de transporte de HTTP (HSTS) a todas nuestras conexiones web. Esto les dice a todos los navegadores modernos que sólo se conecten a nosotros a través de una conexión cifrada, incluso si usted escribe una URL de una página insegura en nuestro sitio. Además, en la web marcamos todas nuestras cookies de autenticación como seguras.

En reposo: Los datos en reposo sensibles de los clientes se cifran usando el estándar avanzado de codificación (AES) de 256 bits. Los datos que se cifran en reposo varían según los servicios que se opten. Somos dueños y mantenemos las claves usando nuestro propio servicio de gestión de claves (KMS). Proporcionamos capas adicionales de seguridad al cifrar las claves de codificación de los datos utilizando las claves maestras. Las claves maestras y las claves de codificación de datos están físicamente separadas y almacenadas en diferentes servidores con acceso limitado.

Por favor, haga clic aquí para obtener información detallada sobre el cifrado en Zoho y consulte la siguiente tabla para entender qué datos codificamos en nuestros servicios.

Retención y eliminación de datos

Mantenemos los datos en su cuenta mientras usted elija usar los servicios de la nube de ManageEngine. Una vez que cancele su cuenta de usuario Zoho, se eliminarán sus datos de la base de datos activa durante la siguiente limpieza que se realiza una vez cada 6 meses. Se eliminarán los datos borrados de la base de datos activa de las copias de seguridad después de 3 meses. En caso de que su cuenta sin pagar esté inactiva durante un período continuo de 120 días, la daremos por terminada después de darle un aviso previo y la opción de hacer una copia de seguridad de sus datos.

Un proveedor verificado y autorizado se encarga de la eliminación de los dispositivos no utilizables. Hasta entonces, los clasificamos y almacenamos en un lugar seguro. Toda la información contenida en el interior de los dispositivos se formatea antes de su eliminación. Desmagnetizamos los discos duros que fallan y los destruimos físicamente con una trituradora. Realizamos crypto-erase y destruimos las unidades de estado sólido (SSD) que fallan.

Registro y monitoreo

Monitoreamos y analizamos la información obtenida de los servicios, el tráfico interno de nuestra red, el uso de dispositivos y terminales. Registramos esta información en forma de logs de eventos, de auditoría, de fallas, de administrador y de operador. Estos logs se monitorean y analizan automáticamente en una medida razonable que nos ayuda a identificar anomalías como la actividad inusual en las cuentas de los empleados o los intentos de acceder a los datos de los clientes. Almacenamos estos logs en un servidor seguro aislado del acceso total al sistema, para gestionar el control de acceso de forma centralizada y garantizar la disponibilidad.

En cada servicio de la nube de ManageEngine, los clientes disponen de un registro de auditoría detallado que cubre todas las operaciones de actualización y eliminación realizadas por el usuario.

Gestión de la vulnerabilidad

Disponemos de un proceso de gestión de la vulnerabilidad que analiza activamente en busca de amenazas a la seguridad utilizando una combinación de herramientas de análisis certificadas de terceros y herramientas internas, y con esfuerzos de pruebas de penetración automatizadas y manuales. Además, nuestro equipo de seguridad revisa activamente los informes de seguridad entrantes y monitorea las listas de correo públicas, las entradas de los blogs y los wikis para detectar incidentes de seguridad que puedan afectar a la infraestructura de la empresa.

Una vez que identificamos una vulnerabilidad que requiere solución, se registra, se prioriza según la gravedad y se asigna a un propietario. Además, identificamos los riesgos asociados y supervisamos la vulnerabilidad hasta que se cierra, ya sea parcheando los sistemas vulnerables o aplicando los controles pertinentes.

Protección contra el malware y el spam

Escaneamos todos los archivos de usuario usando nuestro sistema de análisis automatizado que está diseñado para evitar que el malware se propague a través del ecosistema de Zoho. Nuestro motor anti malware personalizado recibe actualizaciones regulares de fuentes de inteligencia de amenazas externas y analiza los archivos en función de las firmas de la lista negra y los patrones maliciosos. Además, nuestro motor de detección patentado, junto con las técnicas de machine learning, garantiza que los datos de los clientes estén protegidos contra el malware.

Zoho Corporation es compatible con Autenticación de mensajes, informes y cumplimiento basados en el dominio (DMARC) como una forma de prevenir el spam. DMARC utiliza SPF y DKIM para verificar que los mensajes sean auténticos. También utilizamos nuestro motor de detección patentado para identificar el abuso de los servicios de la nube de ManageEngine como las actividades de phishing y spam. Además, tenemos un equipo anti spam dedicado a monitorear las señales del software y manejar las quejas de abuso. Para obtener más información, haga clic aquí

Copia de seguridad

Hacemos copias de seguridad incrementales diarias y semanales de nuestras bases de datos usando Zoho Admin Console (ZAC) para los DC de ManageEngine. Los datos de respaldo en el DC se almacenan en el mismo lugar y se codifican usando el algoritmo AES-265 bit. Los almacenamos en formato tar.gz. Todos los datos respaldados se conservan durante un período de tres meses. Si un cliente solicita la recuperación de datos dentro del período de retención, restauraremos sus datos y le proporcionaremos un acceso seguro a los mismos. El plazo para la restauración de los datos depende del tamaño de estos y de la complejidad involucrada.

Para garantizar la seguridad de los datos respaldados, utilizamos una matriz redundante de discos independientes (RAID) en los servidores de respaldo. Todas las copias de seguridad son programadas y supervisadas regularmente. En caso de fallas, se inicia una repetición y se corrige inmediatamente. Las comprobaciones de integridad y validación de las copias de seguridad completas se hacen automáticamente con la herramienta ZAC.

Desde su extremo, le recomendamos encarecidamente que programe copias de seguridad periódicas de sus datos exportándolos desde los respectivos servicios de Zoho y almacenándolos localmente en su infraestructura.

Recuperación en caso de desastre y continuidad de las actividades

Los datos de la aplicación se almacenan en un almacenamiento resistente que se replica en los centros de datos. Los datos del DC primario se replican en el secundario casi en tiempo real. En caso de fallo del DC primario, el DC secundario toma el relevo y las operaciones se llevan a cabo sin problemas con una pérdida de tiempo mínima o nula. Ambos centros están equipados con múltiples ISP.

Tenemos energía de reserva, sistemas de control de temperatura y sistemas de prevención de incendios como medidas físicas para garantizar la continuidad de las actividades. Estas medidas nos ayudan a lograr la resistencia. Además de la redundancia de datos, tenemos un plan de continuidad de actividades para nuestras principales operaciones, como el apoyo y la gestión de la infraestructura.

Se ha puesto en marcha un programa de información sobre la vulnerabilidad en "Bug Bounty" para llegar a la comunidad de investigadores, que reconoce y recompensa la labor de los investigadores en materia de seguridad. Nos comprometemos a trabajar con la comunidad para verificar, reproducir, responder, legitimar e implementar soluciones apropiadas para las vulnerabilidades notificadas.

Si por casualidad encuentra alguna, por favor envíela a https://bugbounty.zohocorp.com. Si quiere informarnos directamente de las vulnerabilidades, envíenos un correo electrónico a security@manageengine.com.

La seguridad de sus datos es su derecho y una misión interminable de Zoho. Seguiremos trabajando duro para mantener sus datos seguros, como siempre lo hemos hecho. Para cualquier consulta sobre este tema, revise nuestras preguntas frecuentes o escríbanos a security@manageengine.com.