Cómo se protegen los datos en Canal Ético de DenunciasCómo se protegen los datos en Canal Ético de Denuncias

.

Información sobre cómo se protegen los datos en Canal Ético de Denuncias y las medidas de seguridad adoptadas para preservar la identidad del denunciante

Tareas de protección de datos y seguridad

Los activos identificados y que protegemos especialmente son:

  • Recursos de información: bases de datos y archivos, la documentación de los sistemas, los manuales de usuario, el material utilizado durante la capacitación, los procedimientos operativos, los planes de continuidad y contingencia, etc.
  • Recursos de software: software de aplicaciones, sistemas operativos, herramienta utilizadas para llevar a cabo los desarrollos, etc.
  • Activos físicos: equipamiento informático, equipos de comunicación, mobiliario, etc.
  • Servicios: los servicios informáticos y de comunicaciones.

OFICINAS

La seguridad es uno de los valores principales de nuestros servicios por lo que establecemos la seguridad de nuestras oficinas a un nivel máximo, dentro de lo que es un entorno aceptable para el usuario, de tal manera que se pueda realizar el trabajo sin que las medidas de seguridad le perturben.

  • Todos los equipos informáticos de la plantilla tienen un usuario y clave de acceso únicos para cada responsable.
  • Los equipos informáticos presentes en las oficinas se desconectan automáticamente si no se están utilizando.
  • No está autorizada la impresión de ningún tipo de documento. En caso necesario deberá ser expresamente autorizada por escrito por el Responsable del Tratamiento de los Datos.
  • No está autorizado el uso de ningún tipo de hardware de almacenamiento de memoria.
  • No está permitida la carga y descarga de ningún tipo de archivo ni a través de medios físicos ni desde la WEB.
  • Solo se pueden tratar datos y documentos a través del canal interno de la compañía y en la comunicación a las personas previamente autorizadas y por los medios autorizados para cada cliente.
  • No está permitido el uso de ordenadores personales ni la utilización de los autorizados fuera de la oficina.
  • No está permitido el uso de teléfonos móviles personales ni la utilización de los autorizados fuera de la oficina.

CENTROS DE DATOS

Utilizamos los mejores Centros de Datos disponibles en Europa, que disponen de su propia red troncal nacional, con topología en anillo para garantizar la máxima disponibilidad en cada nodo. Todos nuestros servidores incorporan discos SSD, más rápidos y fiables que los discos SATA.

A nivel de Centro de Datos, contamos con las siguientes medidas de seguridad:

  • Detección de presencia.
  • Circuito cerrado de televisión.
  • Sensores Biométricos de acceso y control.
  • Detección de Fugas.
  • Sistemas eléctricos redundantes.
  • Sensores para el control de la temperatura y humedad ambiente.
  • Filtrado de aire para evitar la entrada de partículas.
  • Sistema automático balanceado y redundante de aire acondicionado.
  • Sistema de detección de incendios que dispara, en caso de necesidad, un dispositivo de expulsión de gas inerte que extingue el fuego en pocos segundos.
  • Sistema de Alimentación Ininterrumpida (SAI) para garantizar la estabilidad y continuidad de los equipos.
  • Grupo electrógeno autónomo que suministraría, en caso de corte prolongado, la energía necesaria para que no haya pérdida de alimentación, de modo que los servicios a clientes no sufran ninguna alteración.

A nivel de servidor, contamos con las siguientes características:

  • Hardware IBM o DELL.
  • Discos en RAID1 intercambiables en caliente.
  • RTM (Real Time Monitoring) cada 2 minutos 365/24/7
  • Linux Servers con Kernel’s compilados por nuestros administradores con medidas de seguridad extras.
  • Panel de control cPanel actualizado a la última release estable.
  • Puertos de acceso limitados a los servicios que ofrecemos.
  • Acceso personalizado a determinados servicios mediante IP fija.
  • Backup diario a otro Centros de Datos.
  • Backup diario, semanal y mensual recuperable por DPO de Staylant Compliance S.L. desde su panel de control.
  • Servidor de réplica actualizado cada 8 horas para que en el caso de fallo de hardware poder pasar al servidor de réplica en su última actualización.
  • Apache 2.4.x.
  • PHP 7.2, 7.1, 7.0. 5.6, 5.5, 5.4, 5.3 o 5.2 con SUPHP y mod_security.

CLOUDLINUX

Trabajamos con CloudLinux que nos permite aislar cada cuenta con los mismos principios de aislamiento que se utilizan en virtualización LVE:

http://www.cloudlinux.com/benefits/security.php

Tenemos medidas de seguridad restrictivas en PHP para evitar que desde PHP se ejecuten comandos que podrían poner en riesgo la seguridad del sistema.

COPIAS DE SEGURIDAD

Tenemos tres sistemas de copias de seguridad funcionando de forma simultánea para garantizar la seguridad de los contenidos que alojamos.

MEDIDAS DE SEGURIDAD ADICIONALES (HACKEOS Y DDOS)

Tenemos medidas especiales de seguridad haciendo seguimiento de los avisos de seguridad que recibimos a diario sobre vulnerabilidades detectadas y con la propia monitorización de nuestros servidores.

Utilizamos reglas de seguridad de aplicación WAF comerciales de dos empresas diferentes que se actualizan a diario.

Tenemos aplicaciones en tiempo real que analizan todos los ficheros que se leen o graban en disco para asegurarnos que no tienen malware ni código sospechoso.

Tenemos medidas preventivas para evitar ataques de fuerza denegando el acceso a la administración a IPS de países desde donde se realizan la mayoría de ataques de este tipo.

Bloqueamos IPS que intenten loguearse en la administración con usuarios y contraseñas incorrectas repetidas veces.

Utilizamos sistemas para evitar ataques de denegación de servicio (DDOS). No podemos detallar las medidas que usamos en este sentido ya que su publicación debilitaría su eficacia.

Monitorizamos 24/7/365 todos nuestros servicios y en el caso de detectarse alguna incidencia los sistemas automáticamente realizan acciones para solucionarla y los administradores de sistemas monitorizan el incidente en tiempo real. Si detectamos que se ha intentado subir un fichero malicioso cualquier tipo de hackeo avisamos inmediatamente al DPO, de esta forma coordinamos las medidas que se deban aplicar.

  • Iptables personalizados.
  • Detección y baneo de múltiples logins incorrectos.
  • Detección y baneo de ataques de fuerza bruta.
  • Detección y baneo de escaneado de puertos.
  • Detección y baneo de ataques Denegación de Servicio.
  • Chequeo de logs automatizado que nos informan de cualquier actividad no habitual.
  • Detección de Rootkits.
  • Envenenamiento de DNS.
  • Verificación MD5 archivos de sistema.
  • Detección automática de exploits, troyanos y backdoors en upload php, cgi o ftp.
  • Escaneo diario de exploits, troyanos, backdoors y todo tipo de malware o shells.

Consideramos que la custodia de accesos (usuarios / contraseñas) forman parte de este entorno de seguridad proactiva y pasiva, protegiendo los datos de acceso impidiendo que estén al alcance de personas no autorizadas.

Nuestros técnicos solo acceden a los datos de los clientes cuando así lo solicitan y previa autorización del responsable del tratamiento de los datos y siempre observando la Ley de Protección de Datos de Carácter Personal y otras normas.

Cómo se protegen los datos en Canal Ético de Denuncias – DPO de Canal Ético Confidencial