Hosting y seguridadCuraçao
Hosting y seguridadCuraçao
Un agente que lee sus documentos solo es tan seguro como la máquina en la que funciona. Lo habitual para poner una aplicación en línea es abrir un puerto y defenderlo. Nosotros no abrimos el puerto.
App, datos y agentes en un servidor sin puertos públicos.
Los intentos directos se detienen en el muro. El servidor no acepta nada entrante.
El servidor sale hacia afuera y abre el túnel, desde adentro.
Los visitantes llegan al borde y solo entran por el túnel.
Los ingenieros lo gestionan a través de una red mesh privada. Nadie más.
Cada noche, copiado fuera del sitio, y luego otra vez, cifrado, en una cuenta separada.
Los visitantes llegan al borde. El borde llega a su servidor solo por el túnel que abrió el servidor. Todo lo demás se detiene en el muro.
El tráfico público llega por un túnel saliente y la administración funciona sobre una red mesh privada cifrada. Los puertos de base de datos y de administración no son accesibles desde internet.
La salud, el espacio en disco, la memoria, los certificados y la disponibilidad se monitorean día y noche, y las alertas van directo a nuestros teléfonos. Una segunda máquina comprueba que el propio monitoreo sigue funcionando.
Cada noche cada base de datos se copia fuera del sitio, y luego se copia otra vez, cifrada, en una cuenta separada. Un solo acceso robado no puede borrar ambas.
Una vez al mes, una prueba automática restaura la última copia de cada base de datos en una máquina desechable y la verifica.
Cada semana revisamos el software de nuestros servidores en busca de fallos de seguridad conocidos. Cada día revisamos cada sitio WordPress que alojamos.
Un asistente de IA lee el monitoreo, las actualizaciones y los registros de copias de seguridad para nuestro ingeniero, y cada respuesta indica dónde buscó.
En lugar de entrar en cada panel, nuestro ingeniero pregunta. El operador revisa las máquinas, lee los registros y responde con lo que encontró y dónde lo encontró.
Puede proponer una solución, y una persona decide si se ejecuta.
Conversación ilustrativa. Se han eliminado nombres de servidores y cifras.
Escribimos nuestro propio estándar de seguridad y vinculamos cada regla con los marcos sobre los que preguntará un auditor o un equipo de compras. La tabla muestra dónde estamos hoy respecto a cada uno. Donde dice en curso, el trabajo sigue en marcha.
| Estándar | Lo que exige | Dónde estamos | Estado |
|---|---|---|---|
| CIS Controls v8Grupo de implementación 1 | Higiene básica de seguridad: conocer sus máquinas, actualizarlas, respaldarlas y configurarlas de forma segura. | Lo básico forma parte de cómo se opera cada servidor: un inventario, informes de parches, copias de seguridad probadas y redes cerradas. | Implementado |
| NIST CSF 2.0Autoevaluación | Una forma de medir la madurez en identificar, proteger, detectar, responder y recuperar. | Lo usamos como referencia entre auditorías formales. Cada función tiene controles en nuestro estándar. | En uso |
| OWASP ASVS 4.0.3Niveles 1 y 2 | Cómo manejan las aplicaciones el inicio de sesión, las sesiones, las entradas, el control de acceso y los secretos. | La mayor parte viene integrada en cada app que hacemos. Los puntos restantes se están cerrando app por app. | En curso |
| RGPDUE 2016/679 | La ley sobre datos personales: finalidad, minimización, conservación, derechos, notificación de brechas. | Los controles técnicos están implementados. Los documentos que los respaldan (mapas de datos, contratos de encargado del tratamiento, calendarios de conservación, un procedimiento ante brechas) se están redactando ahora. | En curso |
| ISO/IEC 27001:2022Certificación | Un sistema de gestión certificado para la seguridad de la información, auditado cada año. | La mayoría de los controles técnicos ya están cubiertos por nuestro estándar. El sistema de gestión que los rodea viene después, a partir de que un cliente necesite el certificado. | Planificado |
| BIO2Base del gobierno neerlandés | Prueba anual de que un proveedor de organismos públicos neerlandeses cumple la base de seguridad del gobierno. | ISO 27001 es la forma habitual de demostrarlo, y es la vía que planeamos seguir. | Planificado |
| SOC 2 Type IIAtestación de EE. UU. | Un informe de un auditor de EE. UU. que confirma que los controles funcionaron cada día durante un periodo de meses. | No lo buscamos salvo que un cliente de EE. UU. lo exija. Los clientes del Caribe y de Europa suelen pedir ISO 27001. | No planificado |
Nuestro estándar abarca once áreas, y cada regla está vinculada a la cláusula sobre la que preguntará un auditor. Cuando su equipo de compras envíe un cuestionario de seguridad, las respuestas ya existen.
La evaluación abarca dónde están sus datos.
