Resumen de seguridad en GGWP

Actualizaciones y parches de seguridad

• Plazos: Las vulnerabilidades críticas se atienden dentro de un SLA interno de 24 horas.
• Método: Uso de suscripciones activas a CVE y escaneo de imágenes de contenedores.

Auditoría y registro

• Monitoreo en tiempo real: AWS Security Hub, GuardDuty y las alertas en tiempo real garantizan la atención inmediata de actividades sospechosas.
• Firewall: Se cuenta con protección adicional para monitorear y gestionar el tráfico de red.
• Ciclo de revisión: Revisiones trimestrales de los informes de Security Hub para identificar elementos de alto riesgo.
• Control de acceso: Uso de OAuth y claves de API para realizar auditorías y registros de forma segura.

Pruebas de seguridad

• Internas: Revisiones anuales de los flujos de trabajo, procesos y configuraciones de seguridad.
• Externas: Auditorías anuales de terceros en todos los endpoints públicos.
• Estándares: Certificación SOC 2.

Colaboración del equipo y privacidad de los datos

• Control de acceso: Se exige estrictamente el uso de controles de acceso específicos por tiempo y rol, MFA y VPN.
• Direccionalidad: Se define la direccionalidad del acceso para limitar el flujo de información sensible.
• Capacitación del personal: Capacitación anual obligatoria en seguridad y privacidad para los miembros del equipo.
• Cifrado: Los datos se cifran tanto en tránsito (TLS 1.2) como en reposo (AES 256).
• Segmentación: Entornos multiinquilino con distintas claves de cifrado para mayor seguridad.
• Aislamiento lógico: Barreras estrictas para la separación de datos.
• Revisiones de acceso de usuarios: Revisiones periódicas del acceso de los usuarios para garantizar el principio de mínimo privilegio.

Cumplimiento legal

Cumplimos con la Política de privacidad de GGWP, que aborda los períodos de retención de datos y el cumplimiento de leyes de protección de datos como GDPR y CCPA.

Respaldo de datos

• Almacenamiento: Los datos se almacenan de forma segura en AWS S3 y solo pueden acceder a ellos quienes lo necesiten para sus funciones.
• Disponibilidad: Se garantiza una alta disponibilidad mediante instantáneas nocturnas, verificaciones de integridad de los datos, múltiples variantes y control de versiones.

Fases y acciones de respuesta a incidentes

• Detección: Monitoreo en tiempo real para detectar actividades no autorizadas o filtraciones de datos. Los tipos de incidentes incluyen:
  • La información fue utilizada por personal o terceros no autorizados;
  • La información se descargó o copió de manera indebida desde los entornos de AWS de GGWP Inc.;
  • Se perdieron o robaron equipos o dispositivos que contenían información;
  • Los equipos o dispositivos que contenían información fueron objeto de actividades no autorizadas (p. ej., hackeo, malware);
  • Los datos personales se divulgaron, consultaron o transfirieron de manera indebida.
• Análisis: Evaluación inmediata por parte de nuestro equipo de DevOps al detectar un incidente para determinar la causa raíz probable. El análisis se registrará y documentará.
• Contención: Acción rápida para mitigar la causa raíz y evitar daños adicionales. Puede implicar la aplicación de controles adicionales.
• Erradicación: Eliminación de vulnerabilidades y accesos comprometidos en nuestros sistemas, incluido el acceso del atacante al entorno.
• Recuperación: Esfuerzos coordinados para restablecer el funcionamiento completo de los sistemas afectados.
• Después del incidente:
  • Revisión por parte de la alta dirección.
  • Garantizar una comunicación adecuada tanto interna como externa.
  • Puede implicar asesoría legal o colaboración con las autoridades competentes.
  • Medidas preventivas: Se implementan a partir del análisis retrospectivo y la revisión posteriores al incidente.

Plan de recuperación ante desastres

• Control de versiones
  • Versión 2.0
  • Se revisa anualmente y se actualiza cuando se identifican deficiencias en los procesos
• Objetivos
  • RTO y RPO: 24 horas o menos para incidentes de severidad 1, según los contratos de SLA.
• Guías operativas
  • Baja severidad: Incluye interrupciones simples, que normalmente se resuelven revirtiendo el código a una versión anterior.
  • Alta severidad: Abarca la pérdida de datos, las filtraciones y las interrupciones prolongadas. Se cuenta con una guía operativa detallada.
• Personal
  • Baja severidad: A cargo de los ingenieros de guardia.
  • Alta severidad: Participan tanto los ingenieros de guardia como los ingenieros de DevOps.
• Procedimientos
  • Baja severidad: La solución habitual es revertir el código a una versión anterior.
  • Alta severidad: Incluye la reversión del código a versiones anteriores, la actualización del código a versiones posteriores, la restauración de bases de datos y procedimientos de seguridad.
• Seguimiento
  • Registro de eventos: Seguimiento detallado de los eventos y sus posibles soluciones.
• Pruebas
  • Revisión anual: La guía operativa de recuperación ante desastres se ejecuta y se prueba anualmente, con un análisis retrospectivo.

Comunicación con los clientes

En caso de incidentes graves que afecten la integridad o la privacidad de los datos, GGWP enviará notificaciones tan pronto como sea razonablemente posible a través de todos los canales de comunicación disponibles.