Seguridad
Lansweeper gestiona los datos de más de 20.000 empresas de todo el mundo y, con esta responsabilidad, nos comprometemos a proporcionar a nuestros clientes los más altos niveles de seguridad.
Somos conscientes de nuestra responsabilidad cuando vosotros, nuestros clientes, nos confiáis una cantidad importante de datos. Para mantener la confianza del cliente en nuestra postura de seguridad y en los elementos de seguridad que proporcionamos, trabajamos con diligencia para mejorar continuamente los procesos y controles de seguridad y proporcionar a nuestros clientes la máxima transparencia que necesitan.
Debajo de esta página puedes solicitar acceso a:
- Nuestro informe SOC 2 Tipo II
- Autoevaluación CSA STAR
- Informe de seguridad sobre nuestra plataforma en la nube
Enfoque de seguridad de Lansweeper
El programa de seguridad de la información de Lansweeper está planificado, construido, dirigido y supervisado por nuestro Responsable de Seguridad de la Información. Cuenta con el apoyo de varios representantes de los equipos de Operaciones, Desarrollo e Informática.
Organizamos todos nuestros procesos y medidas de seguridad en un Marco de Seguridad interno de Lansweeper, que hace que sea fácil y transparente definir, implantar, supervisar y mejorar nuestros procesos y controles de seguridad. Los procesos se apoyan en un amplio marco de políticas de seguridad. El marco se organiza basándose en las normas del sector (por ejemplo, NIST CSF, ISO 2700x) y se aplica utilizando un enfoque basado en el riesgo.
Introdujimos varias estructuras organizativas a distintos niveles para asegurarnos de que nuestro programa de seguridad está alineado con los objetivos de Lansweeper:
- Equipo de gobernanza de la seguridad con partes interesadas de nivel C
- Equipo de seguridad operativa con representantes de los equipos de Operaciones, Desarrollo e Informática
- Equipo de campeones de seguridad con representantes de los equipos de Desarrollo
Gestión de vulnerabilidades
Lansweeper se esfuerza constantemente por reducir la gravedad y frecuencia de las vulnerabilidades de nuestro software e infraestructura. Con este fin, tenemos un enfoque polifacético y en continua evolución de la gestión de vulnerabilidades que utiliza procesos automatizados y manuales tanto en nuestro software como en nuestra infraestructura para detectar vulnerabilidades en la producción:
- Exploraciones trimestrales de vulnerabilidades en nuestro software e infraestructura
- Programa de recompensas por fallos
- Política de divulgación responsable
- Pruebas de penetración en el equipo de control de calidad
Centralizamos y rastreamos las vulnerabilidades que identificamos utilizando nuestros sistemas internos de tickets en Jira para tener un “único panel de vidrio”.
Tenemos un proceso de respuesta a las vulnerabilidades con un SLA interno para mitigar las vulnerabilidades dentro de un plazo específico. Este plazo se basa en la puntuación CVSS.
Seguridad de las aplicaciones
En todo Lansweeper se define e implanta un procedimiento SDLC seguro para garantizar que la seguridad se incorpora desde el inicio de un nuevo proyecto y continúa durante toda la vida del sistema. El personal responsable revisa el procedimiento anualmente y obtiene la aprobación adecuada de la dirección para las versiones revisadas creadas durante el proceso de revisión.
Nuestro procedimiento SDLC contiene, entre otras cosas, seguridad en la fase de diseño, SAST, revisiones por pares, SCA, pruebas de extremo a extremo, etc.
La plataforma en la nube de Lansweeper utiliza un proveedor de identidad de confianza (Auth0) que garantiza una autenticación segura y de vanguardia de los datos de tus activos. Las solicitudes de autenticación están protegidas por una contraseña segura.
Tenemos una responsabilidad compartida con nuestros clientes respecto a la seguridad de nuestro software local. Sin embargo, apoyamos a nuestros clientes en la medida de lo posible en sus responsabilidades de seguridad. Puedes encontrar más información sobre cómo configurar correctamente el software local de forma segura aquí.
Seguridad de las infraestructuras
Nuestra plataforma está alojada tanto en AWS como en Azure. Siguiendo el “modelo de responsabilidad compartida”, son responsables de proteger la infraestructura que ejecuta todos los servicios ofrecidos en la nube. Nuestra infraestructura está protegida mediante múltiples mecanismos de seguridad:
- Los datos de activos del cliente están lógicamente separados de los datos de activos de otros clientes en un entorno multiusuario;
- Registro y supervisión exhaustivos las 24 horas del día, los 7 días de la semana, de los problemas e incidentes operativos y relacionados con la seguridad;
- Cortafuegos para filtrar el tráfico de red y aplicar la segmentación de red;
- Un cortafuegos de aplicaciones web (WAF) para el bloqueo de ataques dinámicos basados en el contenido;
- Existen copias de seguridad y servicios de alta disponibilidad y resiliencia para garantizar que no se pierden datos
- Existe un plan de recuperación en caso de catástrofe que el personal competente revisa anualmente. El plan de recuperación en caso de catástrofe se prueba al menos una vez al año.
Todos los proveedores de servicios que apoyan nuestra plataforma en la nube están sujetos a una revisión de los informes de auditoría y certificación disponibles para evaluar y confirmar las prácticas de seguridad implementadas.
Cifrado
Lansweeper encripta todos los datos tanto en tránsito como en reposo:
- Los datos en tránsito se encriptan mediante TLS;
- Los datos en reposo se encriptan en toda nuestra infraestructura utilizando protocolos de encriptación fuertes (AES-256);
- Las credenciales se codifican utilizando un cifrado fuerte antes de añadirlas a tu base de datos de Lansweeper.
Gestión de accesos
El acceso a nuestra plataforma en la nube por parte del personal o contratistas de Lansweeper se basa en el principio del menor privilegio y la necesidad de conocer. Realizamos revisiones periódicas del acceso de los usuarios para asegurarnos de que disponen de los permisos adecuados. El acceso se concede y revoca siguiendo procesos formales de gestión de acceso.
Concienciación y formación en seguridad
Todo el personal está sujeto y obligado a seguir sesiones recurrentes de concienciación sobre la seguridad durante la incorporación y el empleo a través de un programa automatizado de concienciación sobre la seguridad. La concienciación sobre seguridad se centra en comprender el marco de seguridad de Lansweeper y las amenazas y riesgos actuales que todo el personal debe conocer.
"*" señala los campos obligatorios