Plataforma

La seguridad de los datos en Yunbit BusinessCloud, medidas técnicas

La seguridad de los datos en Yunbit BusinessCloud, medidas técnicas

Consultamos a Mario Villar, Director de I+D+I en Yunbit

Ya estamos en la recta final para la aplicación del nuevo Reglamento General de Protección de Datos  que el próximo 25 de marzo entrará en vigor; un Reglamento que refuerza los derechos de las personas con respecto a la seguridad de sus datos y persigue unificar las leyes de protección de datos en toda Europa.

Aunque en Yunbit cumplimos con la actual LOPD, estamos adaptando nuestros procedimientos al nuevo Reglamento Europeo de Protección de Datos para ofrecer mejor servicio y mayor confianza a nuestros clientes .

Hoy, con la ayuda de Mario Villar, nuestro Director de Tecnología, queremos explicar algunos conceptos que ayudan a comprender mejor cómo garantizamos la seguridad de los datos alojados en nuestras aplicaciones en la nube.

En primer lugar, vamos a introducir que Yunbit BusinessCloud es una plataforma de soluciones en la nube que ayuda a la gestión de empresas de todo tipo y tamaño; plataforma en la que las organizaciones que han confiado en nosotros alojan todos los datos que necesitan para llevar su negocio: clientes, proveedores, prospectos, datos de empleados… datos personales de diversa índole que deberán estar protegidos conforme a los estándares marcados por el nuevo Reglamento. Yunbit por tanto es responsable del tratamiento de sus propios datos; es encargado del tratamiento de los datos por cuenta de otros responsables o clientes y, además será prestador de un servicio, en este caso la plataforma de gestión empresarial BusinessCloud de Yunbit que aloja los datos.

En cualquiera de los tres casos; responsable, encargado o proveedor de servicios, Yunbit deberá cumplir con las nuevas directrices y adaptarse a nuevas formas de trabajo siguiendo los tres conocidos principios de responsabilidad proactiva, transparencia y principio de protección de datos por defecto y desde el diseño. Es de este último del que vamos a hablar con nuestro experto en tecnología.

El principio de protección de datos por defecto y desde el diseño exige adoptar medidas organizativas y técnicas; hoy, con Mario Villar nos centraremos en algunas de las medidas técnicas que se adoptan en Yunbit.

Mario, ¿Podrías indicarnos qué tipos de medidas se están adoptando actualmente  para garantizar la disponibilidad, integridad y resistencia de los datos alojados por nuestros clientes en la plataforma? 

El diseño de nuestra arquitectura es redundante tanto a nivel de servidores de aplicaciones, como de bases de datos: si falla una de las máquinas el servicio se presta con la otra, de forma transparente para los clientes.

Además, adicionalmente, los ficheros y las bases de datos están almacenados en discos con mecanismos de redundancia que posibilitan, si uno de los discos falla de forma irrecuperable, reconstruir la información a partir de los otros.

Por supuesto, realizamos copias de seguridad diarias que nos permiten reconstruir el sistema en el improbable caso de pérdida o corrupción total de la información. También realizamos copias de seguridad especiales de todas las bases de datos, con frecuencia diaria y guardando un histórico del último mes; lo que facilita la recuperación parcial de datos en el caso de pérdida de información concreta por errores de usuario o de aplicación.

En Yunbit BusinessCloud, usamos el encriptado para proteger los datos. Oímos hablar de encriptado de los datos en tránsito y en reposo… ¿Nos podrías explicar qué significa esto y en qué puede beneficiar o afectar a la seguridad de los datos?

El encriptado de datos en tránsito se refiere a encriptar la información cuando se está transmitiendo de un dispositivo a otro. Por ejemplo desde la base de datos a los servidores de aplicación, o desde éstos al dispositivo de acceso del usuario.

El encriptado de datos en reposo se refiere a que los datos estén encriptados en su lugar de almacenamiento, normalmente la base de datos.

¿Yunbit aplica estas medidas de seguridad con los datos que aloja?

Para el encriptado de datos en tránsito utilizamos el protocolo SSL. Como ya hemos descrito en detalle en otras ocasiones, este protocolo hace que las transmisiones HTTP estén encriptadas de forma que es muy difícil leer el tráfico interceptado, tanto de entrada (credenciales de usuario) como de salida (datos de aplicación); y además garantiza que el usuario se está conectando al sitio correcto y no a un impostor. Hemos hecho un esfuerzo significativo por estar al tanto de las noticias sobre seguridad, y desactivar las variantes de SSL para las que se han descubierto vulnerabilidades.

En cuanto a los datos en reposo, siguiendo las recomendaciones que acompañaron en su día a la Ley de Protección de Datos, aplicamos encriptación sólo a los datos más sensibles.

¿El encriptado se aplica a todos los datos? Y si no se aplica esta medida de seguridad, ¿qué otras se aplican y qué criterios se utilizan para darles el nivel de seguridad más apropiado?

Como hemos mencionado en el punto anterior sólo aplicamos encriptación en reposo a los datos más sensibles, aunque la encriptación en tránsito se aplica de forma global.

Además, el acceso a base de datos por parte de aplicaciones o administradores está protegido por contraseñas, distintas y separadas de las contraseñas de usuarios; establecidas a diferentes niveles para que una conexión de aplicación no tenga más privilegios de los que necesita.

La base de datos no es accesible directamente a través de Internet, sólo mediante conexión previa a la red interna de nuestra plataforma de alojamiento. Esto proporciona una capa extra de seguridad.

Si hablamos de seguridad ¿cómo describirías el acceso a nuestra plataforma? ¿El sistema de contraseñas es seguro?

En nuestra configuración por defecto, nuestro sistema ofrece algunas medidas de seguridad significativas. La ya comentada encriptación SSL hace casi imposible robar contraseñas aunque se examine el tráfico de red. Un usuario que intente acceder tres veces seguidas con una contraseña incorrecta se desactiva; esto no perturba demasiado a los usuarios reales, e imposibilita los ataques por fuerza bruta.

A petición de cada cliente se pueden activar medidas de seguridad más agresivas, como verificación de la fortaleza de las contraseñas (que tengan longitud mínima, determinadas combinaciones de caracteres para impedir el uso de contraseñas fáciles de adivinar, etc.) o el establecimiento de caducidad periódica forzosa, para que incluso el robo de una contraseña impida su uso prolongado a un posible atacante.

Permite la plataforma BusinessCloud de Yunbit aplicar diferentes derechos y niveles de acceso a sus usuarios?

Por supuesto. Disponemos de un sistema de privilegios en el que se puede asignar a cada usuario distintos niveles de acceso a cada solución o conjunto de aplicaciones dentro de una solución. Dependiendo de las necesidades del cliente, esto se puede personalizar tanto como sea necesario.

¿Esto significa que un responsable de tratamiento puede otorgar privilegios a un encargado de manera controlada y segura?

Exacto. De manera sencilla y rápida, el administrador puede seleccionar qué privilegios necesita cada uno de sus usuarios.

¿Qué medidas se toman en Yunbit para prevenir vulnerabilidades en el software? 

Uno de los problemas de seguridad más habituales en desarrollos poco cuidadosos son los ataques de inyección SQL. Nuestra biblioteca y marco de trabajo imponen el uso de consultas parametrizadas, que impiden por completo este tipo de ataques. Igualmente, nuestra metodología nos hace ser muy cuidadosos respecto a la posibilidad de ataques XSS (Cross-scripting).

Habitualmente nuestros clientes hacen auditorías de seguridad sobre nuestro sistema. Cuando encuentran problemas, siempre seguimos a rajatabla las recomendaciones de las consultorías de seguridad para mejorar aún más nuestros sistemas.

Nuestra metodología de trabajo estipula la verificación de todos los desarrollos en un entorno de pruebas antes de aplicarlos al entorno real. Además, estamos empezando a integrar en nuestros procesos el uso de pruebas automáticas, mediante herramientas como PHPUnit y Selenium, para garantizar la solidez de todos nuestros desarrollos.

Para finalizar y como conclusión, ¿podrías calificar de segura la plataforma  BusinessCloud de Yunbit? ¿Porqué?

Sin duda. Hemos puesto mucho cuidado en aplicar todas las medidas recomendadas por los expertos. Nunca hemos registrado incidentes de intrusiones o fugas de información.

Muchas gracias Mario, queda claro que garantizamos la seguridad de los datos de nuestros clientes valorando riesgos y adoptando las medidas técnicas apropiadas. 

Yunbit, desde 2004 aportando valor a los negocios

Valora el artículo:

1 Estrella2 Estrellas3 Estrellas4 Estrellas5 Estrellas (Sin valoraciones)
Cargando...
Avatar photo Publicaciones Yunbit Ver más artículos de Publicaciones

Otros artículos de la categoría Entrevistas