Introducción
Las políticas y prácticas de seguridad de The Latent buscan cumplir con todas las leyes y regulaciones aplicables y con nuestras obligaciones contractuales. También buscan garantizar la confidencialidad e integridad de nuestros datos, así como la disponibilidad de los servicios que prestamos.
Políticas
Las políticas de seguridad de The Latent se aplican a todos los empleados (a tiempo completo o parcial), becarios y contratistas. Todas las políticas las aprueba la dirección y se revisan anualmente. Contamos con políticas que cubren la gestión de cambios, los proveedores externos, el uso aceptable y la gestión de riesgos, entre otros temas.
Autenticación y autorización
Todas las cuentas de usuario requieren contraseñas complejas (mínimo 10 caracteres) y autenticación multifactor.
El acceso a los recursos sigue el principio de mínimo privilegio y se concede mediante un proceso de gestión de cambios. Los accesos que no se necesitan a largo plazo se revocan.
Formación
Todas las nuevas incorporaciones reciben una formación inicial en seguridad. Todos los empleados reciben microformaciones mensuales sobre temas rotativos. Se realizan simulaciones educativas de phishing cada mes. Otras formaciones se imparten de forma continua.
Entornos
Los entornos de pruebas y producción están separados lógicamente. Los usuarios corporativos no tienen acceso a pruebas ni a producción. Cada frontera está protegida por un cortafuegos que limita los puertos y servicios a los necesarios. El acceso a los distintos entornos depende de la necesidad de negocio.
Gestión de cambios
Todos los cambios en producción y las concesiones de acceso sensibles pasan por un proceso de gestión de cambios, con separación de funciones. Todas las solicitudes se revisan con independencia de su estado de aprobación. También existe un proceso de emergencia para cambios urgentes fuera de horario.
Seguridad del correo
Un cortafuegos de correo analiza los adjuntos en busca de malware y bloquea los mensajes sospechosos. Los servidores de correo intentan negociar cifrado si el servidor del remitente también lo admite. El correo dispone de un botón de “reportar phishing” para que los empleados alerten al equipo de seguridad de cualquier mensaje que haya superado el cortafuegos.
Análisis de vulnerabilidades
La infraestructura de producción se analiza mensualmente. Las vulnerabilidades detectadas se abordan según su nivel de criticidad.
Cifrado
Todos los datos de nivel confidencial o superior se cifran en reposo (AES-256) y en tránsito (TLS 1.2 o superior).
Gestión de proveedores
Los proveedores que almacenan, procesan o transmiten datos confidenciales o de nivel superior reciben una evaluación de riesgos del equipo de seguridad.
Se evalúan la postura de seguridad, las condiciones de servicio y las prácticas de privacidad de cada proveedor.
Contacto
Para preguntas de seguridad o reportes responsables de vulnerabilidades, escribe a security@thelatent.co.