Centro de confianza
Estado de los controles en Vanta
Insight Assurance auditó a Hacktron para SOC 2, y los informes Type 1 y Type 2 están disponibles bajo petición. Cada análisis de tu código se ejecuta en su propio sandbox aislado, que se destruye al terminar el análisis.
Controles
Seguridad de la infraestructura
- Desconocido: Autenticación única obligatoria en bases de datos de producciónLa empresa exige que el acceso a los almacenes de datos de producción use mecanismos de autenticación seguros y autorizados, como claves SSH únicas.
- Desconocido: Acceso a claves de cifrado restringidoLa empresa restringe el acceso privilegiado a las claves de cifrado a usuarios autorizados con una necesidad de negocio.
- Desconocido: Autenticación de cuenta única obligatoriaLa empresa exige que el acceso a sistemas y aplicaciones use un nombre de usuario y una contraseña únicos o claves SSH (Secure Socket Shell) autorizadas.
- Desconocido: Acceso a aplicaciones de producción restringidoEl acceso al sistema está restringido a accesos autorizados.
- Desconocido: Procedimientos de control de acceso establecidosLa política de control de acceso de la empresa documenta los requisitos de las siguientes funciones: alta de nuevos usuarios, modificación de usuarios y/o retirada del acceso de un usuario existente.
- Desconocido: Acceso a bases de datos de producción restringidoLa empresa restringe el acceso privilegiado a las bases de datos a usuarios autorizados con una necesidad de negocio.
- Desconocido: Acceso al sistema operativo de producción restringidoLa empresa restringe el acceso privilegiado al sistema operativo a usuarios autorizados con una necesidad de negocio.
- Desconocido: Acceso a la red de producción restringidoLa empresa restringe el acceso privilegiado a la red de producción a usuarios autorizados con una necesidad de negocio.
- Desconocido: Autenticación única obligatoria en sistemas de redLa empresa exige que el acceso a la red de producción use nombres de usuario y contraseñas únicos o claves SSH (Secure Socket Shell) autorizadas.
- Desconocido: MFA obligatoria para el acceso remotoSolo los empleados autorizados con un método válido de autenticación multifactor (MFA) pueden acceder en remoto a los sistemas de producción de la empresa.
- Desconocido: Cifrado obligatorio para el acceso remotoSolo los empleados autorizados pueden acceder en remoto a los sistemas de producción de la empresa, y únicamente mediante una conexión cifrada aprobada.
Seguridad organizativa
- Desconocido: Tecnología antimalware en usoLa empresa despliega tecnología antimalware en los entornos expuestos a ataques maliciosos y la configura para que se actualice periódicamente, registre su actividad y esté instalada en todos los sistemas relevantes.
- Desconocido: Verificación de antecedentes de empleadosLa empresa verifica los antecedentes de los nuevos empleados.
- Desconocido: Acuerdo de confidencialidad firmado por los empleadosLa empresa exige que los empleados firmen un acuerdo de confidencialidad durante su incorporación.
- Desconocido: Procedimientos para visitantes aplicadosLa empresa exige que los visitantes se registren, lleven una acreditación de visitante y vayan acompañados por un empleado autorizado al acceder al centro de datos o a las zonas seguras.
Seguridad del producto
- Desconocido: Cifrado de datos en usoLos almacenes de datos de la empresa que contienen datos sensibles de clientes están cifrados en reposo.
- Desconocido: Autoevaluaciones de controles realizadasLa empresa realiza autoevaluaciones de sus controles al menos una vez al año para asegurarse de que existen y funcionan con eficacia. Se toman medidas correctivas según los hallazgos relevantes. Si la empresa se ha comprometido a un SLA para un hallazgo, la medida correctiva se completa dentro de ese SLA.
- Desconocido: Pruebas de penetración realizadasLa empresa realiza pruebas de penetración al menos una vez al año. Se elabora un plan de corrección y se aplican cambios para corregir las vulnerabilidades conforme a los SLA.
- Desconocido: Procedimientos de gestión de vulnerabilidades y monitorización establecidosLas políticas formales de la empresa definen los requisitos de las siguientes funciones de TI e ingeniería: gestión de vulnerabilidades y monitorización de sistemas.
Procedimientos internos de seguridad
- Desconocido: Planes de continuidad y recuperación ante desastres establecidosLa empresa cuenta con planes de continuidad del negocio y recuperación ante desastres que incluyen planes de comunicación para mantener la continuidad de la seguridad de la información si el personal clave no está disponible.
- Desconocido: Planes de continuidad y recuperación ante desastres probadosLa empresa cuenta con un plan documentado de continuidad del negocio y recuperación ante desastres (BC/DR) y lo prueba al menos una vez al año.
- Desconocido: Seguro de ciberseguridad vigenteLa empresa mantiene un seguro de ciberseguridad para mitigar el impacto financiero de las interrupciones del negocio.
- Desconocido: Sistema de gestión de configuración establecidoLa empresa cuenta con un procedimiento de gestión de configuración que garantiza que las configuraciones de los sistemas se despliegan de forma coherente en todo el entorno.
- Desconocido: Ciclo de vida de desarrollo establecidoLa empresa cuenta con una metodología formal de ciclo de vida de desarrollo de sistemas (SDLC) que rige el desarrollo, la adquisición, la implementación, los cambios (incluidos los de emergencia) y el mantenimiento de los sistemas de información y los requisitos tecnológicos relacionados.
- Desconocido: SOC 2 – Descripción del sistemaCompletar una descripción del sistema para la sección III del informe de auditoría
- Desconocido: Política de denuncias establecidaLa empresa tiene una política formal de denuncias y un canal de comunicación anónimo para que los usuarios informen de posibles problemas o sospechas de fraude.
- Desconocido: Informes de supervisión al consejo realizadosLa alta dirección informa al consejo de administración o a un subcomité competente, al menos una vez al año, sobre el estado de los riesgos de ciberseguridad y privacidad de la empresa. El consejo da su opinión y orientación a la dirección cuando es necesario.
- Desconocido: Estatuto del consejo documentadoEl consejo de administración de la empresa tiene un estatuto documentado que define sus responsabilidades de supervisión del control interno.
- Desconocido: Experiencia del consejo desarrolladaLos miembros del consejo tienen experiencia suficiente para supervisar la capacidad de la dirección de diseñar, implementar y operar controles de seguridad de la información. El consejo recurre a expertos y consultores externos en seguridad de la información cuando es necesario.
- Desconocido: Reuniones del consejo celebradasEl consejo de administración se reúne al menos una vez al año y levanta actas formales. El consejo incluye consejeros independientes de la empresa.
- Desconocido: Procesos de copia de seguridad establecidosLa política de copias de seguridad de la empresa documenta los requisitos de copia y recuperación de los datos de clientes.
- Desconocido: Cambios del sistema comunicados externamenteLa empresa notifica a los clientes los cambios críticos del sistema que puedan afectar a su procesamiento.
- Desconocido: Roles y responsabilidades de la dirección definidosLa dirección de la empresa ha definido roles y responsabilidades para supervisar el diseño y la implementación de los controles de seguridad de la información.
- Desconocido: Funciones y responsabilidades definidasLas funciones y responsabilidades de diseño, desarrollo, implementación, operación, mantenimiento y monitorización de los controles de seguridad de la información están asignadas formalmente en las descripciones de puestos o en la política de funciones y responsabilidades.
- Desconocido: Políticas de seguridad establecidas y revisadasLas políticas y los procedimientos de seguridad de la información de la empresa están documentados y se revisan al menos una vez al año.
- Desconocido: Sistema de soporte disponibleLa empresa dispone de un sistema de soporte externo que permite a los usuarios comunicar al personal adecuado fallos, incidentes, inquietudes y otras quejas.
- Desconocido: Cambios del sistema comunicadosLa empresa comunica los cambios del sistema a los usuarios internos autorizados.
- Desconocido: Solicitudes de acceso obligatoriasLa empresa garantiza que el acceso de los usuarios a los componentes del sistema incluidos en el alcance se basa en su puesto y función, o requiere un formulario de solicitud documentado y la aprobación del responsable antes de concederse.
- Desconocido: Políticas de respuesta a incidentes establecidasLa empresa cuenta con políticas y procedimientos documentados de respuesta a incidentes de seguridad y privacidad, comunicados a los usuarios autorizados.
- Desconocido: Procedimientos de gestión de incidentes aplicadosLa dirección registra, hace seguimiento, resuelve y comunica a las partes afectadas o pertinentes los incidentes de seguridad y privacidad de la empresa, conforme a su política y sus procedimientos de respuesta a incidentes.
- Desconocido: Procesos de acceso físico establecidosLa empresa cuenta con procesos para conceder, modificar y revocar el acceso físico a sus centros de datos, previa autorización de los responsables de los controles.
- Desconocido: Acceso al centro de datos revisadoLa empresa revisa el acceso a los centros de datos al menos una vez al año.
- Desconocido: Compromisos de la empresa comunicados externamenteLos compromisos de seguridad de la empresa se comunican a los clientes en los acuerdos marco de servicios (MSA) o en los términos del servicio (TOS).
- Desconocido: Recursos de soporte externo disponiblesLa empresa ofrece a sus clientes guías y recursos de soporte técnico sobre la operación del sistema.
- Desconocido: Descripción del servicio comunicadaLa empresa ofrece a usuarios internos y externos una descripción de sus productos y servicios.
- Desconocido: Objetivos de la evaluación de riesgos definidosLa empresa define sus objetivos para poder identificar y evaluar los riesgos relacionados con ellos.
- Desconocido: Evaluaciones de riesgos realizadasLa empresa realiza evaluaciones de riesgos al menos una vez al año. En este proceso se identifican las amenazas y los cambios (ambientales, regulatorios y tecnológicos) que afectan a los compromisos de servicio, y los riesgos se evalúan formalmente. La evaluación incluye la posibilidad de fraude y cómo podría afectar al logro de los objetivos.
- Desconocido: Programa de gestión de riesgos establecidoLa empresa cuenta con un programa documentado de gestión de riesgos que orienta sobre la identificación de amenazas potenciales, la valoración de la importancia de los riesgos asociados y las estrategias para mitigarlos.
Datos y privacidad
- Desconocido: Procedimientos de retención de datos establecidosLa empresa cuenta con procedimientos formales de retención y eliminación que guían la conservación y la eliminación seguras de los datos de la empresa y de los clientes.
- Desconocido: Datos de clientes eliminados al darse de bajaCuando un cliente deja el servicio, la empresa elimina del entorno de la aplicación los datos de clientes con información confidencial, conforme a las buenas prácticas.
- Desconocido: Política de clasificación de datos establecidaLa empresa cuenta con una política de clasificación de datos que ayuda a garantizar que los datos confidenciales estén debidamente protegidos y restringidos al personal autorizado.
Informes
Subencargados
Datos
Hacktron recopila información de identificación personal de clientes e información de tarjetas de crédito. No recopila información de salud personal.