Política de seguridad de la información

Introducción

La seguridad de sus datos es una prioridad absoluta.

Empuls se compromete a garantizar la Integridad, Confidencialidad, Disponibilidad y Seguridad de sus Activos Físicos y de Información y a mantener la privacidad para atender las necesidades de los clientes y de la organización, cumpliendo al mismo tiempo los requisitos legales, estatutarios y reglamentarios pertinentes.

Para proporcionar una protección adecuada a los activos de información, Empuls ha construido el Sistema de Gestión de Seguridad de la Información (SGSI) que incluye las respectivas políticas que deben seguirse de manera diligente, coherente e imparcial. Empuls aplicará procedimientos y controles a todos los niveles para proteger la confidencialidad e integridad de la información almacenada y procesada en sus sistemas y garantizar que la información sólo esté disponible para las personas autorizadas en la forma y el momento en que sea necesario.

La promesa Empuls

Empuls se compromete a cumplir todas las normativas y leyes nacionales aplicables en todos los lugares y países relacionados con sus operaciones y el tratamiento de la información.

Empuls se toma muy en serio la integridad y la seguridad de los datos. Más de 2 millones de clientes de todo el mundo nos confían la seguridad de sus datos. Debido a la naturaleza del producto y del servicio que ofrecemos, es importante que reconozcamos nuestras responsabilidades como responsables del tratamiento de datos.

La seguridad de los datos de los clientes es una parte esencial de nuestros productos, procesos y cultura de equipo. Nuestras instalaciones, procesos y sistemas son fiables, robustos y han sido probados por reputadas organizaciones de control de calidad y seguridad de datos. Buscamos continuamente oportunidades para introducir mejoras en el dinámico panorama tecnológico y ofrecerle un sistema altamente seguro y escalable que le proporcione una gran experiencia. Empuls le permite ofrecer una experiencia de suscripción segura a diferentes niveles mediante.

• Proteja sus datos cumpliendo el GDPR.
• Garantizar la seguridad interna de sus datos que descansan en Empuls con la adhesión a la norma ISO 27001, los requisitos de cumplimiento SOC 2.
• Seguridad de la red en Empuls: políticas de seguridad de la red, de las aplicaciones y a nivel operativo que seguimos.
• El equipo de gobernanza, riesgo y cumplimiento garantiza las mejores prácticas y normas en todos los empleados y equipos.

Certificación ISO 27001

ISO/IEC 27001:2013 bis una especificación para un sistema de gestión de la seguridad de la información (SGSI). Un SGSI es un marco de políticas y procedimientos que incluye todos los controles legales, físicos y técnicos que intervienen en los procesos de gestión de riesgos de la información de una organización con el objetivo de mantener segura la información. Con la implantación de un sólido sistema de gestión de la seguridad de la información (SGSI) ISO, obtendrá la garantía adicional de que en toda la organización se aplica un amplio espectro de buenas prácticas de seguridad. ‍ Empuls cuenta con la certificación ISO 27001:2013 y estamos comprometidos con la identificación de riesgos, la evaluación de implicaciones y la implantación de controles sistematizados que inspiren confianza en todo lo que hacemos, desde nuestra base de código hasta la infraestructura física y las prácticas de las personas.

El objetivo básico de la norma ISO 27001 es proteger tres aspectos de la información:

• Confidencialidad: sólo las personas autorizadas tienen derecho a acceder a la información.
• Integridad: sólo las personas autorizadas pueden modificar la información.
• Disponibilidad: la información debe ser accesible a las personas autorizadas siempre que la necesiten.

Escudo de privacidad UE-EE.UU.

Empuls cumple el Escudo de Privacidad UE-EE.UU. adhiriéndose a los principios y protegiendo los derechos de cualquier persona de la UE cuyos datos personales se transfieran a Estados Unidos, además de aportar claridad jurídica a las empresas que confían en las transferencias transatlánticas de datos.

Reglamento general de protección de datos (RGPD)

Reglamento General de Protección de Datos es uno de los cambios más importantes introducidos en la normativa sobre privacidad de datos en las últimas dos décadas. Establece un nuevo marco para tratar y proteger los datos personales de los residentes en la UE y está en vigor desde el 25 de mayo de 2018. Proporciona a los ciudadanos de la UE un mayor control sobre sus datos personales y les garantiza que su información está protegida.

En Empuls, ayudamos a nuestros usuarios a comprender y, en su caso, cumplir el Reglamento General de Protección de Datos (RGPD). El GDPR se introdujo para vincular a cada Estado miembro de la UE con una ley de protección de datos única y armoniosa. Ha sido la ley europea de privacidad de datos más completa en décadas.

EmpulsCompromiso con el RGPD

Empuls se compromete plenamente a respetar los derechos que la legislación aplicable en materia de protección de datos reconoce a los interesados y a cuidar con esmero sus datos personales. Más de 2 millones de clientes de todo el mundo nos confían la seguridad de sus datos. Debido a la naturaleza del producto y del servicio que ofrecemos, es importante que reconozcamos nuestras responsabilidades como responsables del tratamiento de datos.

La seguridad de los datos de los clientes es una parte esencial de nuestros productos, procesos y cultura de equipo. Nuestras instalaciones, procesos y sistemas son fiables, robustos y han sido probados por reputadas organizaciones de control de calidad y seguridad de datos. Buscamos continuamente oportunidades para introducir mejoras en el dinámico panorama tecnológico y ofrecerle un sistema altamente seguro y escalable que le proporcione una gran experiencia.

Seguridad física y de las redes

Empuls está alojado en la plataforma e infraestructura AWS de Amazon. Los empleados de Empuls no tienen acceso físico a nuestro entorno de producción. Como cliente de Amazon - AWS, nos beneficiamos de un centro de datos y una arquitectura de red creados para satisfacer los requisitos de las organizaciones más sensibles a la seguridad.

Los centros de datos de AWS se alojan en instalaciones anodinas, con bermas de control perimetral de grado militar con personal de seguridad profesional que utiliza videovigilancia, sistemas de detección de intrusos de última generación y otros medios electrónicos.

Además de la seguridad física, la plataforma AWS también proporciona una protección significativa contra los problemas tradicionales de seguridad de la red, entre ellos

• Denegación de servicio distribuida (DDoS).
• AtaquesMan In the Middle (MITM).
• AtaquesEscaneo de puertos.
• Packet sniffing por otros inquilinos.

Operaciones administrativas

Empuls utiliza la autenticación de dos factores para conceder acceso a nuestras operaciones administrativas, tanto de infraestructura como de servicios. Garantizamos que los privilegios administrativos sólo se conceden a unos pocos empleados. Además, el acceso basado en funciones se utiliza para garantizar que determinados usuarios solo puedan realizar las operaciones necesarias permitidas para determinados usuarios según la política de control de acceso.

Nuestro equipo interno de seguridad registra y supervisa automáticamente todos los accesos administrativos. La información detallada sobre cuándo/por qué se realizan las operaciones se documenta y notifica al equipo de seguridad antes de realizar cualquier cambio en el entorno de producción.

Empuls ha desplegado una red de tecnología de la información para facilitar su negocio y hacerlo más eficiente para diversos riesgos. Y establecer la dirección de gestión, principios y requisitos estándar para garantizar que la protección adecuada de la información en sus redes mantenidas y sostenidas. Algunos de los controles que se aplican para lograr la protección de la información intercambiada de la interceptación, copia, modificación, desvío y destrucción son los siguientes:

Seguridad del host

Se requieren claves SSH para obtener acceso de consola a nuestros servidores y cada inicio de sesión está identificado por un usuario. Todas las operaciones críticas se registran en un servidor de registro central y solo se puede acceder a nuestros servidores desde IP restringidas y seguras.

Los hosts están segmentados y los accesos están restringidos en función de la funcionalidad. Es decir, las solicitudes de aplicaciones solo se permiten desde AWS ELB y solo se puede acceder a los servidores de bases de datos desde los servidores de aplicaciones.

Seguridad de las aplicaciones

Acceso seguro - ‍Empuls's application servers are all secure HTTPS. Utilizamos el cifrado estándar del sector para los datos que entran y salen de los servidores de aplicaciones.

Cross-site scripting (también conocido como XSS) - Todas las entradas de usuario están bien codificadas cuando se muestran para garantizar que se mitigan las vulnerabilidades XSS.

Falsificación de solicitud en sitios cruzados (CSRF): todas las solicitudes POST se comprueban para detectar el token CSRF antes de procesar la solicitud.

Inyección SQL - Utilizamos sentencias preparadas para el acceso a la base de datos con el fin de evitar ataques de inyección SQL.

Almacenamiento cifrado de datos - ‍Empuls no almacena ninguna información sensible del usuario. Las claves de varios servicios de terceros (como la pasarela de pago) - si se almacenan, están todas encriptadas en la base de datos.

Exploración de vulnerabilidades y aplicación de parches - ‍Comprobamosy aplicamos periódicamente parches para software/servicios de terceros. Cuando se descubren vulnerabilidades, aplicamos las correcciones. Realizamos evaluaciones periódicas de vulnerabilidades y pruebas de penetración utilizando los servicios de un proveedor autorizado.

Almacenamiento de datos y redundancia

Utilizamos RDS de Amazon para nuestra base de datos. La función de copia de seguridad automática está configurada para RDS. Hacemos copias de seguridad de los datos de hasta 30 días. Hemos configurado Amazon RDS en Multi-AZ, lo que proporciona una mayor disponibilidad y durabilidad. Cada AZ se ejecuta en su propia infraestructura físicamente distinta e independiente, y está diseñada para ser altamente fiable. Más información.

Supervisión

Empuls utiliza servicios de supervisión tanto internos como externos para garantizar la seguridad del entorno. Nuestro sistema de supervisión alertará a los equipos implicados mediante correos electrónicos y llamadas telefónicas si se produce algún error o anomalía en el patrón de solicitudes.

Divulgación

En Empuls, trabajamos continuamente para que nuestro sistema sea seguro. Si encuentra algún problema o tiene alguna duda sobre nuestra seguridad, escríbanos a support@empuls.io