Desmantelamiento y eliminación de datos

Todos los datos de los clientes se guardan en los servicios de Azure Cloud, que se adhieren a una estricta política de desmantelamiento, como se detalla en su documentación de fundamentos de seguridad:

“Microsoft utiliza procedimientos de mejores prácticas y una solución de borrado que cumple con NIST 800-88”.

Cuando se dan de baja los servicios de un cliente, el entorno del cliente y los datos se eliminan con efecto inmediato. Los datos de trabajo de cada usuario se almacenan como parte del seguimiento de contactos desde el inicio y el final de los servicios. Si el cliente solicita purgar los datos, podemos configurar la purga automática en intervalos regulares.

Fiabilidad

Tiempo de actividad

Reconocemos el valor de la confiabilidad y nos esforzamos por lograr un tiempo de actividad del 99,9 %. Se realizan pruebas constantes de rendimiento y carga. Hay monitoreo de servicios las 24 horas del día, los 7 días de la semana con alertas configuradas en el raro caso de tiempo de inactividad.

Gestión de vulnerabilidades

Hay controles de seguridad en cada etapa de la canalización de la aplicación. Todo el código se analiza en busca de lagunas de seguridad antes de implementar las compilaciones. Utilizamos herramientas de análisis de composición de software (SCA) para garantizar que ninguna de nuestras bibliotecas de terceros tenga una vulnerabilidad. También empleamos un firewall de aplicaciones web (WAF) para prevenir las 10 vulnerabilidades principales de OWASP.

Desarrollo de aplicaciones

La tubería de desarrollo está sujeta a numerosos protocolos de seguridad. Se adhiere a la metodología Secure Software Development LifeCycle (SDLC), que garantiza una sólida postura de seguridad. En la etapa de diseño, se lleva a cabo el modelado de amenazas para garantizar que no haya vulnerabilidades arquitectónicas fundamentales/condiciones de carrera presentes en el diseño. Todo el código se revisa y debe superar la validación de seguridad antes de implementarse.

Seguridad interna

Tenemos una política de control de acceso basado en roles (RBAC) minuciosamente examinada para garantizar que se aplique el principio de privilegio mínimo. La autenticación de dos factores y las contraseñas seguras se aplican como parte de Azure Identity Policy. El acceso a los datos del cliente está limitado al personal que es necesario para la atención al cliente. Las auditorías de privilegios se llevan a cabo regularmente con la ayuda de los registros de acceso que se mantienen como parte de Azure Active Directory.

Autenticación

La autenticación se realiza a través de conexiones cifradas. Cualquier proveedor de identidad que admita OIDC o SAML puede integrarse en este incluido (Google SSO, Microsoft). Existe una política de contraseñas seguras para garantizar que no se utilicen contraseñas fáciles de adivinar o de fuerza bruta.

Cifrado

Todos los datos (en reposo y en tránsito) están encriptados. La versión mínima de TLS empleada es 1.2, lo que garantiza medidas preventivas contra ataques de intermediarios. En reposo, todos nuestros datos están encriptados con AES 256 para garantizar la máxima protección de los datos de los clientes.

Información de pagos

No guardamos la información de su tarjeta de crédito/débito en nuestros servidores cuando se registra en un plan pago a través de tarjeta de crédito/débito. Actualmente usamos Stripe, que es Cumple con PCI y se dedica a almacenar de forma segura datos de pago confidenciales. Se puede ver una copia de sus prácticas de seguridad aquí.

No conservamos ningún dato que esté sujeto a las obligaciones reglamentarias de PCI.

Datos recolectados

Nuestra política de privacidad contiene un resumen detallado de la información que recopilamos.

Sincronización de calendario

Después de conectar una cuenta de calendario externa a HybridHero, nuestro servicio en la nube comenzará a sincronizar los datos con los calendarios de las salas elegidas. Como resultado, un subconjunto de sus eventos de calendario y sus datos se conservarán en HybridHero.

HybridHero luego sincronizará esta información con su sistema de calendario. Los eventos de HybridHero también sincronizarán los datos con su proveedor de calendario, lo que garantiza que HybridHero y los calendarios asociados permanezcan constantes. La información del evento sincronizado incluye:

• Título
• Descripción
• Horarios de inicio y fin
• Ubicación (por ejemplo, “Sala de conferencias – 001”)
• Organizador
• Asistente(s)

Se pueden aplicar restricciones adicionales modificando los permisos de la cuenta de servicio correspondiente que HybridHero utiliza para acceder a su sistema de calendario. Vea un ejemplo usando Office 365 y Outlook para títulos de reuniones privadas.

Los archivos adjuntos de eventos no se guardan. En nuestro centro de soporte, puede descubrir más sobre nuestros procedimientos de conexión únicos por servicio (por ejemplo, Outlook).

Recuperación de desastres

Todos nuestros activos tienen redundancia de zona con conmutación por error automática configurada en caso de una interrupción. El objetivo de tiempo de recuperación (RTO) de los datos del cliente dentro de nuestra solución es de solo 4 a 5 minutos. Todos nuestros activos tienen redundancia de zona con conmutación por error automática configurada en caso de una interrupción.

Respuesta al incidente

Existe un amplio procedimiento de administración de parches que garantiza que los parches críticos se apliquen dentro de las 48 horas posteriores a su lanzamiento. Cualquier interrupción de los servicios se informará de inmediato. La primera prioridad en caso de incidente es la identificación del acceso comprometido. Luego, el equipo trabajará para aislar o contener el daño. Luego, se erradicará el componente ofensivo y se implementarán medidas para garantizar que el incidente no se repita.

Privacidad

Nos tomamos muy en serio la seguridad de su información personal y la consideramos un indicador de éxito interno. Nuestra política de privacidad tiene una descripción general detallada.

Políticas de seguridad

Todo el personal está sujeto a estrictos protocolos de seguridad que abordan el uso permitido, los datos del cliente y los requisitos de encriptación. Comuníquese con su gerente de cuenta si desea una copia de nuestra declaración de seguridad del cliente.

Como contactanos

Entendemos que estos temas también son importantes para usted. Si tiene más consultas que no hayan sido abordadas aquí o por el Centro de ayuda, por favor envíe un correo electrónico aquí y le responderemos lo antes posible.

También nos gustaría saber de usted si cree que descubrió una falla de seguridad mientras usaba HybridHero. Valoramos mucho la resolución de problemas de forma rápida y ética.