Vtiger - Medidas técnicas y organizativas (TOM)

• Edificio cerrado y oficina
• Acceso biométrico
• Sistema de bloqueo manual
• Puertas con sistema de cierre automático.
• Personal de seguridad
• Video Vigilancia de Entrada
• No hay servidores de producción en el sitio

• Lista de verificación de regulaciones clave
• Recepción con personal de guardia de seguridad.
• Libro de visitantes
• Insignia de empleado/visitante
• Visitante acompañado por empleado
• Política de seguridad de la información
• Instrucciones de Trabajo Control de Acceso

• Inicie sesión con un nombre de usuario y contraseña segura
• Firewall
• sistema de deteccion de intrusos
• Utilice VPN para acceso remoto
• Cifrado de discos, dispositivos/portátiles/tabletas
• Autenticación de dos factores
• Bloqueo automático de escritorio/portátil
• Software antivirus instalado en dispositivos y servidores.
• El acceso es monitoreado y registrado
• Bloqueo automático de cuenta cuando inicios de sesión/autenticaciones fallidos
• Toda la actividad de uso y los cambios de datos se registran

• Gestión de permisos de usuario, incluida la autorización basada en roles
• Crear perfiles específicos de usuario
• Política de seguridad de la información
• Política de contraseñas
• Política de dispositivos móviles
• Instrucciones de trabajo: SOP de seguridad informática y control de acceso de empleados
• Verificación de empleados
• Capacitación y Concienciación
• Principio de minimis

• Eliminación física de soportes/dispositivos de datos
• Acceso cifrado SSH
• Cifrado SSL certificado
• Triturar archivos y papeles que ya no se utilizan
• Eliminación automática de copias de seguridad del archivo después del período de retención o cuando el cliente lo solicite
• Registro de accesos a aplicaciones, específicamente al ingresar, cambiar y eliminar datos.

• Política de seguridad de la información
• Minimizar los roles de administradores
• Gestión de derechos de usuario por parte de administradores.
• Instrucciones de trabajo sobre el manejo de la información y los bienes.

• Separación física (sistemas/bases de datos/soportes de datos)
• Multiinquilino de aplicaciones relevantes
• La aplicación del cliente y los datos están lógicamente separados
• Puesta en escena del entorno de desarrollo, prueba y producción.

• Política de seguridad de la información
• Política de protección de datos
• Control mediante concepto de autorización
• Instrucción laboral para: Seguridad operativa y, Seguridad en el desarrollo y pruebas de software.

Cifrado de datos en tránsito (en movimiento)

• Se implementaron los protocolos Transport Layer Security (TLS 1.2 y superior) y Secure Sockets Layer (SSL) para todas las transmisiones de datos.
• Estos protocolos cifran los datos a medida que viajan entre sistemas, haciéndolos ilegibles para cualquiera que los intercepte.

Cifrado de datos en reposo (almacenado)

• Discos de almacenamiento: cifrados con cifrado a nivel de disco
• Datos confidenciales: cifrados con AES-256 (estándar de cifrado avanzado de 256 bits)
• Gestión de claves: Servicio de gestión de claves de AWS (KMS)
• Copias de seguridad: cifradas con AES-256 en AWS S3
• Enmascaramiento de datos: los detalles específicos del cliente están ofuscados.

• Rotación de claves: rotación regular de las claves de cifrado utilizadas para datos y copias de seguridad para minimizar el riesgo asociado con una clave comprometida.
• Control de acceso: restrinja el acceso a las claves de cifrado a un número limitado de personal autorizado según la estricta necesidad de saberlo.
• Auditoría: mantenga registros detallados de uso de claves para monitorear el acceso e identificar posibles anomalías.

• Uso de VPN
• Registro de accesos y recuperaciones.
• Aprovisionamiento a través de conexiones cifradas como SFTP, HTTPS y almacenes seguros en la nube

• Estudio de los procesos regulares de recuperación y transmisión.
• Cuidada selección del personal y de los vehículos de transporte.
• Entrega personal con protocolo.
• Política de seguridad de la información
• Política de protección de datos

• Registro técnico de entrada, modificación y eliminación de datos.
• Control manual o automatizado de los logs (según estrictas especificaciones internas)

• Encuesta sobre qué programas se pueden utilizar para ingresar, cambiar o eliminar qué datos
• Trazabilidad de la entrada, modificación y eliminación de datos a través de nombres de usuarios individuales
• Cesión de derechos para ingresar, cambiar y eliminar datos en base a un concepto de autorización
• Responsabilidades claras por las eliminaciones
• Política de seguridad de la información

• Un mínimo de 99.9% de tiempo de actividad (excluyendo el mantenimiento programado las noches del fin de semana).
• Disponibilidad continua de datos
• Sistemas de detección de incendios y humo.
• Sala de servidores de extintores
• Monitoreo de temperatura y humedad de la sala de servidores
• Climatización de sala de servidores
• Sistema UPS y generadores diesel de emergencia.
• Regletas protectoras para enchufes en la sala de servidores
• Sistema RAID/duplicación del disco duro
• Sala de servidores de videovigilancia

• Concepto de copia de seguridad
• Existencia de un plan de emergencia
• Almacenamiento de copias de seguridad fuera del sitio
• Separación de particiones de datos y sistema operativo si es necesario

• Monitoreo e informes de respaldo
• Restaurabilidad desde herramientas de automatización
• Concepto de respaldo según criticidad y especificaciones del cliente.

• Plan de recuperación en un desastre
• Control del proceso de copia de seguridad
• Pruebas periódicas de recuperación de datos y registro de resultados.
• Almacene los medios de respaldo en un lugar seguro fuera de la sala del servidor
• Existencia de un plan de emergencia

• Documentación central de toda la normativa de protección de datos con acceso para empleados
• Certificación de seguridad según ISO 27001
• Se lleva a cabo una revisión de la eficacia de los TOM al menos una vez al año y los TOM se actualizan.

• Se nombra un Delegado de Protección de Datos (DPO).
• Todos los miembros del personal han sido capacitados y están obligados a mantener la confidencialidad y el secreto de los datos. Reciben formación periódica de sensibilización al menos una vez al año.
• Las Evaluaciones de Impacto de la Protección de Datos (DPIA) se llevan a cabo según sea necesario.
• Se han establecido procesos para cumplir con las obligaciones de información según los artículos 13 y 14 del RGPD.
• Existe un proceso formalizado para manejar las solicitudes de información de los interesados.
• Los aspectos de protección de datos están integrados en nuestra gestión de riesgos corporativos.
• Partes clave de la empresa, incluidas las operaciones del centro de datos, cuentan con la certificación ISO 27001 y se realizan auditorías de seguimiento anuales.

• Uso de firewall y actualización periódica.
• Uso de filtro de spam y actualización periódica.
• Uso de escáner de virus y actualización periódica.
• Sistema de detección de intrusiones (IDS) para sistemas de clientes bajo pedido
• Sistema de prevención de intrusiones (IPS) para sistemas de clientes bajo pedido

• Un proceso documentado para identificar y reportar incidentes de seguridad y violaciones de datos, incluidas las obligaciones de informar a las autoridades supervisoras.
• El procedimiento estándar para la gestión de incidentes de seguridad que involucran al Delegado de Protección de Datos (DPO)
• Documentar incidentes de seguridad y violaciones de datos utilizando el sistema interno de tickets.
• El proceso estándar para el seguimiento de incidentes de seguridad y violaciones de datos
• Política de notificación de infracciones

• Aprobación de aplicaciones de terceros: se requiere la aprobación de los líderes de equipo y los gerentes de operaciones de TI para todas las aplicaciones de terceros utilizadas en el desarrollo.
• Fuente de descarga segura: exija descargas de herramientas de desarrollo solo desde fuentes seguras, como servidores del fabricante.
• Inicio de sesión único (SSO): implemente SSO siempre que sea posible para que las aplicaciones de terceros administren el acceso de forma centralizada.
• Desactivación de aplicaciones menos seguras: deshabilite las aplicaciones de terceros menos seguras de forma predeterminada a través de las configuraciones del administrador.

• Diseño consciente de la privacidad: Fomente el desarrollo de productos que minimicen la cantidad de datos que los usuarios deben ingresar. Evite campos de datos innecesarios o hágalos opcionales.
• Configuración de privacidad predeterminada: preseleccione la configuración compatible con la privacidad de forma predeterminada para priorizar la protección de los datos del usuario.
• PbD: Política de Protección de Datos (incluye principios “privacidad por diseño / por defecto”)

• Monitoreo del acceso remoto por parte de partes externas, por ejemplo, en el contexto del soporte remoto
• Seguimiento de los subcontratistas en consecuencia.

• Procesar los datos según las instrucciones del cliente.
• Crear instrucciones de trabajo para la gestión de proveedores y evaluación de proveedores.
• Cumplir con las regulaciones sobre el uso de subcontratistas adicionales.
• Seleccione cuidadosamente los subprocesadores, centrándose principalmente en la protección y seguridad de los datos.
• Celebrar los acuerdos de procesamiento de datos necesarios, como el procesamiento por encargo o cláusulas contractuales estándar de la UE.
• Garantizar que los empleados del contratista mantengan el secreto de los datos y cumplan con la Política de seguridad de la información.
• Asegúrese de destruir los datos después de rescindir el contrato.