¿Cómo garantiza la infraestructura de MailUp el cumplimiento del RGPD?

Análisis de Impacto sobre la Protección de Datos

Tal como exigen los reglamentos, nuestra infraestructura y políticas de seguridad han sido sometidas a una evaluación para valorar la adecuación y el impacto preliminar sobre la protección de datos. Estas evaluaciones continuarán realizándose regularmente para mantener los más altos estándares de cumplimiento en materia de protección de datos.

Centro de datos ubicado en Europa

Para salvaguardar la confidencialidad, la integridad y la disponibilidad de los datos, la plataforma MailUp utiliza soluciones en la nube con Azure (Microsoft) y en AWS (Amazon Web Services) ubicadas en la Unión Europea

Prevención de pérdida de datos (DLP)

MailUp considera que las funciones de prevención de pérdida de datos son de importancia crítica, ya que impiden que la información sensible se comparta sin autorización. Los datos de una organización son fundamentales para su éxito; deben estar disponibles de inmediato para permitir la toma de decisiones, pero al mismo tiempo deben estar protegidos para evitar que se compartan con destinatarios no autorizados. Por ello, hemos implementado una serie de medidas organizativas y técnicas que nos permiten garantizar a nuestros clientes no solo la prevención de accesos no autorizados, sino también una seguridad adecuada – en relación con la clasificación del dato tratado – para todos los accesos autorizados.

Disponibilidad del servicio

TeamSystem se compromete a poner a disposición la Plataforma MailUp® con una tasa de disponibilidad up-time del 99% sobre base anual, entendiéndose por 24 horas diarias y 365 días al año por cada anualidad de duración del Contrato.

La infraestructura de seguridad para la protección de la aplicación web utiliza un sistema de firewall de nivel empresarial que no se limita a las funciones tradicionales de filtrado del tráfico de red, sino que también integra capacidades avanzadas de Sistema de Prevención de Intrusiones (IPS). Este componente representa un elemento crítico de la arquitectura multinivel de TeamSystem. El sistema analiza en tiempo real el tráfico entrante y saliente, verificando los paquetes de datos para identificar patrones de ataque conocidos y comportamientos anómalos potencialmente peligrosos. El componente IPS del firewall está diseñado para neutralizar diversas categorías de amenazas informáticas, entre las que se incluyen intentos de inyección, ataques de cross-site scripting y otros. El sistema también es eficaz para contrarrestar ataques volumétricos como los de Denegación de Servicio Distribuido (DDoS), limitando el tráfico excesivo y bloqueando las solicitudes procedentes de direcciones IP identificadas como maliciosas. A través de feeds de inteligencia periódicos, el sistema IPS recibe regularmente nuevas firmas de ataque e indicadores de compromiso, garantizando una protección proactiva y continua en el tiempo.

El firewall también actúa como protección contra la exfiltración de datos, monitorizando y bloqueando los intentos no autorizados de extraer información sensible del entorno protegido hacia destinos externos potencialmente maliciosos.

Técnicas de mitigación

La infraestructura está diseñada para ser resiliente ante ataques de tipo DDoS (Denegación de Servicio Distribuido) mediante sistemas de mitigación DDoS capaces de detectar y filtrar automáticamente el tráfico excesivo, incorporando escalabilidad para gestionar volúmenes imprevistos de tráfico mediante balanceadores de carga específicos.

Cifrado

• A nivel físico protegemos nuestros datos mediante una metodología que, en caso de robo de soportes de almacenamiento físicos, no permite la extracción de datos sensibles. La tecnología utilizada para el almacenamiento de datos en soportes físicos tiene como objetivo aumentar el rendimiento, hacer el sistema resiliente ante la pérdida de uno o más discos y poder sustituir los soportes sin interrumpir el servicio.
  A nivel aplicativo, protegemos  los datos contenidos en las bases de datos de clientes con cifrado de datos en reposo.

• Bases de datos de infraestructura de  MailUp aplican el cifrado at rest, habilitado por defecto. Los protocolos para la conexión a la interfaz web, las carpetas FTP y las API están siempre cifrados (https con TLS 1.2 o superior, sFTP). Las conexiones a los servidores SMTP entrantes admiten el cifrado mediante STARTTLS, siendo responsabilidad del llamante (cliente) la elección de utilizar o no esta posibilidad.
• Utilizamos los protocolos criptográficos TLS / SSL que emplean el cifrado simétrico basado en una clave compartida para proporcionar seguridad en la comunicación, garantizando la integridad de los datos en la red.
• Para mayor seguridad, utilizamos dentro de TLS / SSL un algoritmo de cifrado por bloques denominado AES-256 (Advanced Encryption Standard) que sustituye a la tecnología de cifrado de clave pública DES (Data Encryption Standard) y RSA 2048.

Protección frente a amenazas

• Empleamos sistemas avanzados para la detección de virus en el correo electrónico (tanto entrante como saliente), de spoofing (uso de remitentes falsificados) y contamos con una clara política antispam.
• Herramientas de análisis anti-phishing y protección avanzada frente a amenazas avanzadas como el spear phishing.
• Identificación y bloqueo de archivos dañinos en nuestra red interna mediante el uso de sistemas antivirus y proxy.
• La defensa frente a amenazas se vale de soluciones anti-malware y anti-phishing que, mediante el empleo de tecnologías basadas en machine learning, son capaces de detectar y neutralizar las amenazas en tiempo real. En apoyo de esta estrategia, se implementan soluciones de mitigación DDoS que garantizan la continuidad operativa incluso durante ataques volumétricos.
• Verificamos de forma regular y automática que todos nuestros servidores estén actualizados y tengan instalados los últimos parches de seguridad.
• Hemos introducido herramientass de monitorización y gestión remota que permiten supervisar con mayor eficiencia todos los puestos de usuario, introduciendo además análisis antimalware automatizados e informes específicos.
• Hemos introducido un Centro de Operaciones de Seguridad (SOC) con el fin de mejorar la detección y la gestión de los ataques informáticos.

Autenticación multifactor y firewall

La infraestructura corporativa está protegida por firewalls para aplicaciones web y dispositivos IDS (Sistema de Detección de Intrusiones) que se utilizan para la monitorización de los recursos informáticos (patrones). Gracias a puntuales análisis del tráfico de datos realizados por nuestro personal altamente especializado, es posible detectar ataques a la red o a los equipos, donde los Sistemas de Detección de Intrusiones actúan como «antirrobo». Además, existen medidas de autenticación multifactor, es decir, un sistema de autenticación que requiere más de un método de verificación y con el que se añade al menos un segundo nivel de seguridad para los accesos y transacciones de los usuarios. Este método es utilizado por los administradores de sistema y en los servicios Cloud . La infraestructura firewall es de alta disponibilidad y constantemente actualizada.

Monitorización y control de accesos

• Visibilidad avanzada sobre las llamadas a la API.
• Opciones de agregación de registros para optimizar las investigaciones y los informes de conformidad.
• Definición, aplicación y gestión de políticas de acceso de usuarios en todos los servicios.
• La monitorización de los accesos sospechosos permite detectar posibles intrusiones mediante funciones de machine learning muy sólidas.
• Notificaciones de alerta programables en caso de superación de umbrales o verificación de eventos.
• Los derechos y niveles de acceso de los empleados se basan en las funciones y el rol laboral que desempeñan, aplicando los principios de «privilegio mínimo» y «need-to-know», en función de las responsabilidades definidas para el empleado.
• Las solicitudes de acceso adicional siguen un proceso formal que requiere la aprobación por parte del propietario de los datos o del sistema, o bien de responsables u otros directivos, según los criterios de seguridad establecidos.
• Implementación de Políticas de Grupo para Windows Active Directory que permiten mayores controles de seguridad automatizando una configuración estándar para el entorno de trabajo de usuarios y dispositivos.

Evaluación de vulnerabilidades

• Se realizan a través de proveedores externos con carácter anual pruebas de vulnerabilidad (WAPT – Web Application Penetration Testing) en todo el perímetro TeamSystem de las aplicaciones críticas.

• Las pruebas incluyen pruebas de penetración de servidores de alto nivel, pruebas exhaustivas de vulnerabilidades dentro de la aplicación y ejercicios de ingeniería social.

• Por último, a petición, es posible autorizar una evaluación de vulnerabilidades por parte de terceros.

Gestión de incidentes

• Contamos con un riguroso proceso de gestión de incidentes (incident management) para eventos de seguridad que pueden afectar a la confidencialidad, integridad o disponibilidad de sistemas o datos.MailUp utiliza herramientas de exploración y monitorización (EDR, SIEM, SOC) que permiten detectar y notificar amenazas e intervenir. Cuando se produce un incidente, el equipo de seguridad lo registra y establece las prioridades en función de la gravedad. Los eventos que tienen un impacto directo en los clientes tienen la mayor prioridad.
• La monitorización y el control se implementan a través de sistemas centralizados de gestión de registros que registran en detalle cada actividad realizada en las plataformas y en las API, permitiendo así un análisis forense y auditorías periódicas. Estos sistemas están estrechamente integrados con mecanismos de alerta automáticos que, en caso de anomalías o comportamientos sospechosos, activan inmediatamente los procedimientos de respuesta a incidentes coordinados por el Centro de Operaciones de Seguridad (SOC).

Seguridad física de los centros de datos

Nuestros servicios están alojados en infraestructuras cloud proporcionadas por Microsoft Azure y Amazon Web Services (AWS), que garantizan estándares de seguridad física y ambiental de nivel empresarial. Las instalaciones están diseñadas para proteger los datos y los recursos de accesos no autorizados y de eventos físicos.

• Protección física y accesos controlados
  Los centros de datos de Azure y AWS están monitorizados 24/7 con sistemas de videovigilancia, controles biométricos y tarjetas de seguridad. Solo el personal autorizado de los proveedores puede acceder a las instalaciones, siguiendo rigurosos procedimientos de verificación.
• Sistemas ambientales y contra incendios
  Ambos proveedores utilizan sistemas avanzados de refrigeración y redundancia para mantener unas condiciones operativas óptimas. Existen dispositivos de detección y supresión de incendios, con alarmas y sistemas de respuesta automática para prevenir daños en los equipos.
• Certificaciones y conformidad
  Microsoft Azure y AWS cumplen con los estándares internacionales de seguridad y privacidad, incluidos ISO 27001, SOC 1/2/3 y otros marcos sectoriales. Se pueden consultar más detalles en la documentación oficial de Microsoft Azure y AWS.

Disponibilidad e integridad de los datos personales

Para garantizar la disponibilidad de los datos en caso de fallos de hardware, para los servidores más críticos se realizan copias de seguridad con una frecuencia mínima diaria y con conservación segura de las copias durante una semana en bóvedas de copias de seguridad que proporcionan garantías de protección incluso en caso de ransomware (p. ej., cryptolocker). Dichas copias de seguridad se verifican periódicamente, están organizadas de manera que garantizan la separación de los datos para cada cliente y están cifradas de forma segura para garantizar la máxima confidencialidad de los datos.

Gestión de activos

Todos los activos físicos y lógicos se monitorizan continuamente. La organización aplica políticas empresariales y procedimientos operativos rigurosos en materia de gestión de activos, con el fin de verificar su correcta utilización y funcionalidad a lo largo de todo el ciclo de vida del recurso. Dicho ciclo de vida comienza con su adquisición, continúa con la instalación y el control de las aplicaciones de software (rigurosamente actualizadas y aprobadas), hasta su retirada del servicio y eventual destrucción. Cabe señalar, además, que se utilizan  herramientas herramientas de monitorización y gestión remota que permiten supervisar con mayor eficiencia todos los puestos de usuario, introduciendo además análisis antimalware automatizados e informes específicos.

Desarrollo seguro

Todas las aplicaciones desarrolladas por MailUp siguen las directrices OWASP para el desarrollo de código seguro y de Protección de Datos desde el Diseño. El proceso de desarrollo de software adoptado en MailUp se caracteriza por una extensa fase de pruebas que debe completarse con éxito antes de poder proceder con el lanzamiento del software en el entorno de producción. Nuestros profesionales altamente especializados desarrollan las pruebas teniendo en cuenta no solo loss casos de uso identificadoss sino también los casos de abuso para verificar el correcto funcionamiento tanto en caso de interacciones lícitas como en caso de interacciones maliciosas. MailUp dispone de herramientas de vanguardia para garantizar la corrección y la seguridad de sus servicios; de hecho, cada modificación del código fuente es analizada mediante herramientas de análisis estático del código. Las modificaciones del código fuente también se someten a una fase de revisión del código útil para su aprobación. Todo nuestro personal involucrado en todas las fases de desarrollo y despliegue es continuamente formado y actualizado sobre las mejores prácticas derivadas de los principales estándares internacionales en la materia.

Formación

En MailUp creemos que la formación continua es la única manera de mantenerse al día con el estado del arte, mejorar e innovar. MailUp proporciona a todos sus empleados las herramientas necesarias para su crecimiento profesional. Cada año se planifican también planes de formación específica para cada departamento de la empresa.

Verificación de antecedentes

Todos nuestros profesionales han sido contratados tras una rigurosa selección en términos de competencias y capacidades. Se realiza una verificación de antecedentes de los candidatos antes de la contratación para comprobar los requisitos de seguridad, el historial profesional y la motivación. La organización ha establecido políticas y procedimientos empresariales para garantizar que todo el ciclo de vida del empleado esté regulado a fin de garantizar los derechos laborales y la seguridad de los recursos asignados.

Clasificación de datos

Todos los datos e informaciones tratados por la organización se clasifican en relación con su criticidad expresada en términos de confidencialidad, disponibilidad, trazabilidad e integridad.

Evaluación del riesgo

Existen políticas y procedimientos empresariales específicos para la evaluación del riesgo frente a las principales amenazas informáticas. La implementación de nuestras medidas de seguridad técnicas y organizativas es el resultado de una evaluación continua y constante en términos de probabilidad e impacto sobre la confidencialidad, disponibilidad e integridad de los datos e informaciones tratados por nosotros, propios y de nuestros clientes. La organización persigue el enfoque basado en el riesgo en todos los ámbitos de su actividad y para la implementación de sus modelos técnico-organizativos, tal como disponen las normativas que forman parte de los marcos de protección de datos y ciberseguridad.

Gestión de proveedores

Nuestros proveedores y terceros son continuamente supervisados. Se realiza una evaluación del riesgo del proveedor y una verificación de sus medidas técnicas y organizativas. Dicha verificación se lleva a cabo de conformidad con el art. 28 del RGPD en el caso de tratamientos de datos personales en un proveedor designado como Encargado del Tratamiento. Los acuerdos con todos nuestros proveedores son continuamente monitorizados y controlados con el fin de verificar los niveles de servicio (SLA).

Seguimiento y eliminación del hardware

Il control empieza desde la adquisición, continúa con la instalación, hasta la retirada y la eventual destrucción.

• Para la eliminación del hardware, llevamos a cabo la destrucción del disco y la eliminación de los datos según un procedimiento interno bien definido.

Proveedores

Cuando está previsto, recurrimos a proveedores de servicios solo después de verificar que puedan proporcionar un nivel adecuado de seguridad, privacidad y garantías precisas sobre la posibilidad de gestionar el tratamiento de datos íntegramente en Europa. Entre ellos:

• Amazon Inc. para la prestación de servicios de red de soporte y el almacenamiento de las imágenes cargadas por los clientes, incluidos los servicios CDN (Content Delivery Network) y de Web proxy;
• Microsoft Ireland Operations, Ltd. con domicilio social en South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlanda para la conservación y el alojamiento de datos personales en servidores cloud dentro de la región europea.

Para información sobre las políticas generales de tratamiento de datos y seguridad de los demás productos TeamSystem puede consultar esta página: https://www.teamsystem.com/dpa/