Política de seguridad

Nuestros centros de datos cumplen con altos estándares de cumplimiento, y los protocolos organizativos garantizan la eliminación de activos y el cumplimiento de los empleados. Las evaluaciones periódicas y los planes de recuperación ante desastres protegen aún más los datos.

La seguridad de los datos es de suma importancia para nosotros. Combinamos múltiples funciones de seguridad para garantizar que los datos de clientes, empleados y negocios estén siempre protegidos para que nuestros clientes puedan estar tranquilos sabiendo que sus datos están seguros, su comunicación es confidencial y sus negocios están protegidos.

Seguridad de infraestructura

La seguridad de la infraestructura implica proteger el hardware, software y componentes de red subyacentes que respaldan las operaciones de tecnología de la información (TI) de una organización. Esto abarca desde centros de datos y servidores hasta conexiones de red y dispositivos terminales. Una seguridad de infraestructura efectiva busca prevenir el acceso no autorizado, el uso indebido y las interrupciones, asegurando la integridad, confidencialidad y disponibilidad de los sistemas de TI.

Componentes clave de la seguridad de la infraestructura

• Acceso a claves de cifrado restringido
  Política: El acceso a las claves de cifrado se limita a usuarios autorizados con una necesidad empresarial.
  Implementación: Esto garantiza que solo personas con la debida autorización puedan descifrar información sensible, minimizando el riesgo de filtraciones de datos.

• Autenticación de cuenta única obligatoria
  Política: Los sistemas y aplicaciones requieren nombres de usuario y contraseñas únicos o claves SSH autorizadas.
  Implementación: Esto reduce el riesgo de acceso no autorizado al asegurar que cada usuario tenga una identidad distinta para autenticación.

• Acceso a aplicaciones de producción restringido
  Política: El acceso a aplicaciones de producción está limitado únicamente al personal autorizado.
  Implementación: Esta medida previene que usuarios no autorizados manipulen aplicaciones críticas para el negocio.

• Procedimientos de control de acceso establecidos
  Política: Requisitos documentados para agregar, modificar y eliminar accesos de usuario.
  Implementación: Procedimientos claros aseguran que los derechos de acceso se gestionen de manera sistemática y segura.

• Acceso a bases de datos de producción restringido
  Política: El acceso privilegiado a bases de datos se limita a usuarios autorizados con una necesidad empresarial.
  Implementación: Esto protege los datos sensibles almacenados en las bases de datos de accesos o alteraciones no autorizadas.

• Acceso al firewall restringido
  Política: El acceso privilegiado al firewall se limita a usuarios autorizados con una necesidad empresarial.
  Implementación: Los firewalls son críticos para la seguridad de la red, y el acceso restringido garantiza que su configuración no pueda ser comprometida.

• Acceso al sistema operativo de producción restringido
  Política: El acceso privilegiado al sistema operativo se limita a usuarios autorizados con una necesidad empresarial.
  Implementación: Esto protege la capa del sistema operativo frente a cambios no autorizados que puedan afectar la estabilidad y seguridad del sistema.

• Acceso a la red de producción restringido
  Política: El acceso privilegiado a la red de producción se limita a usuarios autorizados con una necesidad empresarial.
  Implementación: Garantiza que solo el personal autorizado pueda acceder a la red, reduciendo el riesgo de amenazas internas.

• Revocación de acceso tras terminación
  Política: El acceso se revoca a los empleados que han sido dados de baja dentro de los Acuerdos de Nivel de Servicio (SLA).
  Implementación: Esto previene que exempleados accedan a los sistemas de la empresa después de su salida.

• Autenticación única en sistemas de red obligatoria
  Política: Requiere nombres de usuario y contraseñas únicos o claves SSH autorizadas para el acceso a la red.
  Implementación: Refuerza la seguridad al asegurar que el acceso a la red sea rastreable a usuarios individuales.

• Acceso remoto cifrado obligatorio
  Política: El acceso remoto a sistemas de producción solo se permite mediante conexiones cifradas aprobadas.
  Implementación: Protege los datos transmitidos por conexiones remotas para que no sean interceptados.

• Sistema de detección de intrusiones utilizado
  Política: Monitorización continua de la red para la detección temprana de brechas de seguridad.
  Implementación: Un IDS proporciona alertas en tiempo real, permitiendo una respuesta rápida ante posibles amenazas.

• Monitorización del rendimiento de la infraestructura
  Política: Uso de herramientas de monitorización para rastrear el rendimiento del sistema y generar alertas cuando se superan umbrales.
  Implementación: Garantiza que la infraestructura se mantenga robusta y que cualquier problema sea abordado con prontitud.

• Segmentación de red implementada
  Política: Segmentación de la red para evitar el acceso no autorizado a datos de clientes.
  Implementación: Limita la propagación de brechas aislando distintas partes de la red.

• Revisión de firewalls de red
  Política: Revisión anual de las reglas de firewall con seguimiento de cambios.
  Implementación: Mantiene las configuraciones de firewall actualizadas y alineadas con los estándares de seguridad vigentes.

• Uso de firewalls de red
  Política: Firewalls configurados para prevenir acceso no autorizado.
  Implementación: Actúa como primera línea de defensa ante amenazas externas.

• Mantenimiento de estándares de endurecimiento de red y sistemas
  Política: Estándares documentados basados en las mejores prácticas de la industria, revisados anualmente.
  Implementación: Garantiza que los sistemas estén configurados de manera segura para resistir ataques.

Seguridad del centro de datos

Aseguramos la confidencialidad e integridad de tus datos siguiendo las mejores prácticas de la industria. Los servidores de FlowHunt se alojan en instalaciones con certificación Tier IV o III+, PCI DSS, SSAE-16 o ISO 27001. Nuestro equipo de seguridad implementa constantemente actualizaciones y responde activamente a alertas y eventos de seguridad.

Seguridad física

Seguridad de red

Nuestra red está protegida por firewalls redundantes, tecnología de routers de primera clase, transporte seguro HTTPS sobre redes públicas, y tecnologías de Detección y/o Prevención de Intrusiones de red (IDS/IPS) que monitorizan y/o bloquean tráfico malicioso y ataques de red.

Medidas adicionales

• Mitigación DDoS: Infraestructura líder en la industria para proteger y mitigar el impacto de ataques de denegación de servicio.
• Cifrado de comunicaciones: Las comunicaciones entre tú y los servidores de FlowHunt están cifradas mediante HTTPS y Transport Layer Security (TLS) siguiendo las mejores prácticas de la industria sobre redes públicas.

Seguridad organizativa

Procedimientos para la eliminación de activos

• Evaluación de inventario: Identificar y catalogar todos los dispositivos programados para su eliminación.
• Copia de seguridad de datos: Realizar copias de seguridad seguras de los datos necesarios antes de proceder a la eliminación.
• Purga de datos: Utilizar herramientas certificadas para borrar todos los datos de los dispositivos siguiendo los estándares de la industria.
• Destrucción física: Para los dispositivos que no pueden ser depurados, se emplean métodos de destrucción física como trituración o desmagnetización.
• Cumplimiento ambiental: Todos los métodos de eliminación cumplen con las regulaciones medioambientales.

Certificación y cumplimiento

• Documentación: Mantener registros detallados de todos los activos eliminados, incluidos números de serie, métodos de eliminación y fechas.
• Verificación por terceros: Contratar proveedores certificados externos para verificar y documentar el proceso de eliminación.

Cumplimiento de empleados y contratistas

• Verificación de antecedentes: Los nuevos empleados se someten a rigurosos controles de antecedentes antes de incorporarse.
• Código de conducta: Tanto empleados como contratistas deben reconocer y adherirse al código de conducta de la empresa, con políticas disciplinarias en caso de violaciones.
• Acuerdos de confidencialidad: Se exige la firma de acuerdos de confidencialidad a todos los empleados durante la incorporación y a los contratistas al momento de su vinculación.

Protocolos de visitantes y seguridad

• Procedimientos para visitantes: Los visitantes deben registrarse, portar una credencial de visitante y ser acompañados por un empleado autorizado al acceder a áreas seguras.
• Formación en concienciación de seguridad: Los empleados completan formación en concienciación de seguridad dentro de los treinta días de su contratación y anualmente para mantenerse informados sobre mejores prácticas y amenazas emergentes.

Seguridad del producto

Cifrado de datos

Todas las bases de datos y copias de seguridad de bases de datos de FlowHunt con datos sensibles de clientes están cifradas. El cifrado de datos de facturación y pagos es gestionado por nuestros procesadores de pago (Stripe).

• Cifrado a nivel de columna: Cifra columnas específicas dentro de una base de datos, proporcionando un enfoque más focalizado para la protección de datos. Este método es útil para asegurar campos sensibles como claves API.
• Protocolos de cifrado: Los protocolos Secure Sockets Layer (SSL) y Transport Layer Security (TLS) se utilizan para cifrar las transmisiones de datos sobre redes.

Pruebas de penetración

FlowHunt realiza pruebas de penetración periódicas y fomenta la colaboración con investigadores de seguridad externos a través de un programa de recompensas para identificar vulnerabilidades.

Actualizado: 30/05/2025