Privacidad y seguridad de los datos

Zenoti se compromete a proteger su información y la de sus clientes. Esto es fundamental para el éxito de nuestro negocio. Clientes de todo el mundo nos confían la seguridad de sus datos. En esta página se ofrece información sobre nuestras medidas de seguridad.

Nuestra estrategia de seguridad de la información incluye los siguientes componentes:

• Gobernanza de la seguridad de la información
• Seguridad en recursos humanos
• Seguridad en la nube
• Seguridad informática
• Gestión de incidentes
• Gestión de vulnerabilidades
• Seguridad del producto
• Seguridad física
• Continuidad del negocio y recuperación ante desastres

Gobernanza de la seguridad de la información

• Un programa de seguridad de la información bien consolidado.
• Políticas y procedimientos de seguridad bien establecidos.
• Funciones y responsabilidades de seguridad bien definidas.
• Participación activa del equipo directivo de Zenoti.
• Un equipo especializado de profesionales en seguridad y privacidad.
• Auditorías de seguridad realizadas para supervisar el cumplimiento de los requisitos de seguridad.
• Boletines de seguridad que se envían periódicamente.

Seguridad en recursos humanos

• Se lleva a cabo una verificación de antecedentes (BGV).
• Al incorporarse a Zenoti, los empleados deben firmar el acuerdo de confidencialidad y otros documentos que incluyen cláusulas de seguridad obligatorias.
• Todos los empleados reciben formación obligatoria sobre los requisitos de seguridad y privacidad.

Seguridad en la nube

Arquitectura

• La plataforma Zenoti está alojada en AWS y diseñada con una arquitectura multitenant.

Seguridad

• Los datos en reposo están cifrados.
• Los datos en tránsito están cifrados.
• La protección contra ataques DDoS está activada.
• La limitación de la API está activada.
• Todos los sistemas en la nube están protegidos por un antivirus.
• La detección de amenazas está activada.
• Todas nuestras instancias se ejecutan en AWS VPC (Virtual Private Cloud).
• Se ha implementado el inicio de sesión único (SSO).
• Los servidores se han reforzado siguiendo los estándares de referencia del CIS.
• Herramientas estándar del sector utilizadas para realizar evaluaciones de seguridad periódicas.
• La función de enmascaramiento de datos se aplica a los datos confidenciales.

Disponibilidad

• Los sistemas se ejecutan desde varias zonas de disponibilidad de AWS.
• Compatibilidad con la escalabilidad bajo demanda de granjas de servidores sin estado.
• Los sitios de Zenoti están alojados de tal forma que pueden hacer frente tanto a fallos de hardware como a fallos en las zonas de disponibilidad.

Copias de seguridad y recuperación

• Se realizan instantáneas de todos los servidores críticos a intervalos regulares.
• Base de datos: Zenoti utiliza diversas técnicas, como la configuración de disponibilidad continua, copias de seguridad completas, copias de seguridad incrementales e instantáneas de imagen, para recuperarse de cualquier fallo.
• Las copias de seguridad de la base de datos se cifran mediante cifrado nativo.
• Todas las copias de seguridad se guardan en un almacenamiento cifrado.
• Se realizan revisiones periódicas de restauración.

Registro y supervisión

• Herramientas estándar del sector utilizadas para el registro, la supervisión, el análisis y la gestión de incidentes.
• Se supervisa constantemente el tiempo de actividad del sitio web.
• Se han habilitado diferentes tipos de registros, como los registros de eventos, los registros de aplicaciones, los registros de infraestructura y los registros de auditoría.
• El equipo de ingeniería de fiabilidad del sitio supervisa las operaciones las 24 horas del día, los 7 días de la semana, los 365 días del año.

Seguridad informática

Seguridad de los dispositivos finales

• Por defecto, no se concede acceso administrativo y las cuentas de invitado están desactivadas.
• Por defecto, el puerto USB está bloqueado en todos los terminales.
• Todos los dispositivos tienen instalado un antivirus y están configurados con los últimos parches.
• Todos los puntos finales están cifrados.
• La detección y respuesta en endpoints (EDR) está activada.

Seguridad de redes

• Se ha implementado un sistema de prevención de intrusiones en la red (NIPS).
• La función de filtrado de URL está activada.
• La prevención de pérdida de datos (DLP) está configurada para supervisar el intercambio de información crítica.
• Los mensajes de correo electrónico se analizan en la puerta de enlace para evitar infecciones por software y programas maliciosos.
• VPN (servicio de acceso remoto) con autenticación multifactorial (MFA) habilitada para el acceso remoto.

Copias de seguridad y recuperación

• Se realizan copias de seguridad periódicas de los servidores internos de TI.
• Se realizan revisiones periódicas de restauración.

Disponibilidad

• Proveedores de servicios de Internet (ISP) redundantes.
• Tanto la conmutación automática por error como la conmutación de reserva están habilitadas en los ISP.
• Se ha implementado un sistema de cortafuegos de alta disponibilidad (HA).
• Además del controlador de dominio (DC) principal, se mantienen controladores de dominio adicionales en la nube y en la otra región.

Registro y supervisión

• Se ha configurado un servidor de registros centralizado para los registros del servidor, los registros de dispositivos de red y seguridad, los registros antivirus y los registros de usuarios administradores.
• Los registros se supervisan continuamente para tomar las medidas oportunas.
• Se supervisa la disponibilidad de todas las conexiones a Internet.

Gestión de incidentes

• Se ha implantado un sistema de gestión de incidentes de seguridad.
• Los incidentes de seguridad se registran y se hace un seguimiento de ellos hasta su resolución.
• Los empleados, clientes y proveedores de Zenoti pueden informar de incidentes relacionados con la seguridad enviando un correo electrónico a una dirección específica [email protected].

Gestión de vulnerabilidades

• Programa de gestión de vulnerabilidades en vigor
• Periódicamente se llevan a cabo evaluaciones de vulnerabilidad en la infraestructura y, en caso de que se detecten incidencias, se realiza un seguimiento de las mismas hasta su resolución.
• Las pruebas de penetración se realizan periódicamente y, en caso de que se detecten incidencias, se realiza un seguimiento hasta su resolución.
• Comprobación estática del código: antes de registrar el código se llevan a cabo diversas comprobaciones estáticas, como el estilo del código, la seguridad (incluido el Top 10 de OWASP), los errores habituales, el rendimiento, la compatibilidad y el código no utilizado.
• Se han llevado a cabo pruebas de seguridad de aplicaciones. Las directrices seguidas incluyen el Top 10 de OWASP, el Top 25 de CWE/SANS, las directrices de pruebas de penetración de PCI DSS y otras buenas prácticas del sector, según corresponda.

Seguridad del producto

• Se ha implementado un sistema de control de versiones para el repositorio de código.
• El código de los desarrolladores se revisa antes de su incorporación.
• El equipo de control de calidad comprueba minuciosamente todos los cambios.
• Se lleva a cabo una prueba de código estático.
• Se llevan a cabo pruebas de seguridad de las aplicaciones.
• La plataforma Zenoti ofrece funciones y permisos que permiten configurar el acceso de los usuarios a la plataforma basándose únicamente en sus funciones.
• El producto Zenoti ofrece un sistema de registro exhaustivo para cumplir con los requisitos de cumplimiento normativo.

Seguridad física

• El acceso físico a las instalaciones y salas de servidores de Zenoti se controla en las puertas de entrada y salida mediante un sistema de control de acceso por proximidad.
• Las instalaciones y las salas de servidores de Zenoti se vigilan continuamente mediante cámaras de CCTV.
• Se han instalado dispositivos y se han adoptado medidas preventivas para proteger contra riesgos ambientales, entre los que se incluyen, entre otros, incendios, cortes de suministro eléctrico y fluctuaciones de tensión.

Continuidad del negocio y recuperación ante desastres

Los planes de continuidad del negocio se someten a pruebas periódicas como parte de la preparación para la recuperación ante desastres.

Los escenarios del Plan de Continuidad del Negocio (BCP) se identifican como parte del análisis de impacto en el negocio.