Legal
Establecer las reglas para que el ambiente de todas las empresas proveedoras, prestadoras de servicios, intermediarias y/o socios, relacionadas a seguridad de la información contratada (“CONTRATADA” o “CONTRATADAS”) por Sinch Latam (“CONTRATANTE”), tengan el mínimo de requisitos de Seguridad de la Información, con el fin de mitigar los riesgos que pudieran ocasionarsea la CONTRATANTE.
De esta forma, donde exista la palabra “debe” el requisito es obligatorio, debiendo ser implementado por el proveedor, y cuando fuera usada la palabra “recomendamos” el requisito es opcional, apenas una buena práctica.
Esta guía se aplica a todas las empresas CONTRATADAS, Proveedores y/o Socios, que presten el servicio a Sinch Latam, cuyas actividades abordan acceso a datos de colaboradores, operacionales, clientes o financieros de la CONTRATANTE.
4.1.1. Atender todas las pautas descritas en este documento, almacenarlo en un lugar de común acceso para todos los colaboradores involucrados en los productos o servicios proveídos para Sinch Latam.
4.1.2. Dar evidencia del cumplimiento de todas las pautas descritas en este documento, aplicables a su negocio.
Recomendamos que la CONTRATADA tenga una Política de Seguridad de la Información o un documento equivalente, resaltando la importancia de la Seguridad de la Información para la empresa. El documento necesita abordar los siguientes temas:
La CONTRATADA tiene el papel y la responsabilidad de cada área con la seguridad de la información. Este documento debe incluir la participación de la alta directoria y tener claro su involucramiento y compromiso con las actividades relacionadas a Seguridad de la Información.
La CONTRATADA debe documentar explicando como la información de la CONTRATANTE debe ser clasificada, cuales tipos de clasificación de la información y cuando usar cada clasificación, siendo que, la información compartida entre Sinch Latam y sus socios, necesitan tener una clasificación como mínimo confidencial.
La CONTRATADA debe documentar como es tratada la información dentro de la empresa con la información de la CONTRATANTE.
Ese documento necesita abordar el manejo de la información física y lógica, contener explicaciones equivalentes a:
Siguen algunos puntos que lo ítems citados arriba, deben seguir, siempre que sea posible:
La CONTRATADA debe implementar una Política de Privacidad de Datos, abordando los principales aspectos de la LGPD (Ley General de Protección de Datos), incluyendo los mecanismos de protección de datos y la Ley de Privacidad del país (GDPR, PDPA, etc..) en caso almacene los datos fuera de Brasil.
La CONTRATADA debe documentar el perímetro de seguridad física existente, considerando la clasificación de las áreas y/o sectores, informando:
La CONTRATADA debe hacer uso de criptografía en los siguientes escenarios:
Para situaciones donde no sea posible realizar el uso de criptografía, favor de considerar el uso de HASH.
Para comunicación entre las aplicaciones, considerar siempre el uso de TLS 1.2 o superior.
Realizar el monitoreo de la red de datos a través de dispositivos como:
Garantizar que esos equipos estén generando logs y emitiendo alertas cuando sea necesario. Debe ser realizadala revisión periódica de los logs. Recomendamos que se registre y comunique los incidentes que sean alertados por esos dispositivos, así como, las medidas tomadas para evitar su reincidencia.
La CONTRATADA debe tener documentado como la criptografía debe ser usada sobre los datos de la CONTRATANTE y, ejemplificar su uso en determinados dispositivos, como Notebooks y aplicaciones. Así como, también debe ser utilizada en discos de almacenamiento.
El documento debe contener recomendaciones sobre cuáles son los tipos de algoritmos criptográficos que deben usarse y qué hacer en los casos donde no se aplica la criptografía o su uso se vuelva inviable.
La CONTRATADA debe realizar la gestión de los activos de la empresa a través de una planilla o un sistema automatizado, siempre que contengan la siguiente información:
Importante que exista también, el registro de los cambios efectuados cuando el activo contenga información de la CONTRATANTE. Tener un documento informando cuál es el proceso para solicitar un activo dentro de la CONTRATADA.
La CONTRATADA debe realizar la gestión de los accesos lógicos y físicos, haciendo uso de los principios de Need to Know y Least Privilege para evitar que personas no autoriza as tengan accesos a información confidencial.
Es necesario garantizar que las cuentas de acceso tengan un tiempo máximo de 90 días para inactivarse en caso de no usarlas. También es necesario tener identificado y segmentado las cuentas que son usadas solamente para servicios, evitando que estas sean utilizadas para realizar login. Es importante que todos los accesos sean registrados y que los usuarios cuenten con IDs únicos, con el objetivo de facilitar su identificación.
La revisión de los accesos debe ser realizada como mínimo anualmente, para así garantizar que ningún colaborador que fue desvinculado o que cambió de función continúe con accesos indebidos a algún sistema y/o funciones. Cuando un colaborador sea desvinculado, se le debe retirar sus accesos inmediatamente o en un periodo corto de tiempo.
El acceso remoto a los recursos de la CONTRATADAdebe ser preferentemente a través de VPN o de la forma que la CONTRATADA considere sea mejor, desde que ese caso sea aprobado por un gestor y tenga los accesos monitoreados.
La CONTRATADA debe documentar el procedimiento informando como son realizados los registros y tratamientos de los incidentes relacionados a seguridad de la información, que involucren o no a la CONTRATANTE.
La CONTRATADA debe realizar un análisis periódico de los incidentes informados, para que se tenga conocimiento de si las medidas de prevención están siendo eficaces.
Tener un documento con los procedimientos adecuados para la realización del backup de los datos, este debe contener:
La CONTRADADA también debe informar, cuales de los tipos de datos deben ser parte delas copias y sus respectivos dueños. Este también debe tener, un documento conlos procedimientos adecuados para la realización de la restauración de los datos, este debe contener:
Documentar todas las pruebas realizadas y hacer el registro de incidentes siempre que hubiera un resultado fuera de los esperado. Para realización de las pruebas, los backups deben ser escogidos de manera aleatoria.
Es importante que la CONTRATANTE haga la gestión de actualizaciones pertinentes a los sistemas que utiliza, donde debe tener una máxima atención a las actualizaciones que sean consideradas críticas y para los parches de seguridad. Los registros deben mantenerse, acompañándolos a travésde listas de correo, foroso boletines del fabricante.
Se debe tener un procedimiento documentado de cómo aplicar esas actualizaciones/parches, de manera que no vengan a impactar en el negocio.
La CONTRATADA debe definir un procedimiento documentado, donde existan las acciones necesarias para la realización de la gestión de vulnerabilidades y pentest, esta debe contener:
El documento todavía debe informar cómo son clasificados los riesgos, los impactos y llevar en cuenta la probabilidad de exploraciónde una falla encontrada. Importante contener la forma en como los puntos encontrados son transmitidos a los equipos responsables.
La CONTRATANTE se da el derecho de realizar Pentest y scaneos de vulnerabilidad en la infraestructura de la CONTRATADA, así como, en su producto y servicios prestados a la CONTRATANTE. El proceso será previamente alineado y la CONTRATADA recibirá uninforme final que contendrá status de análisis, así como, plazos para la corrección de posibles vulnerabilidades identificadas.
La CONTRATADA debe realizar campañas periódicas de concientización de colaboradores, abordando temas del sistema de gestión de la seguridad de la información, tales como:
Abordando los principales vectores de ataques que son usados hoy, que son mensajes por SMS/WhatsApp, e-mails falsos, llamadas haciéndose pasar por otra persona, pendrives o dispositivos de medios removibles que puedes se “encontrados”, etc.
La importancia de usar un gestorde contraseñas, implementar un segundo factor de autenticación o intentar usar como mínimo 8 caracteres para componer la contraseña y uso de espacios, números, caracteres especiales y letras mayúsculas y minúsculas.
En el caso de los aplicativos que hacen la gestión automática de contraseña, tenemos algunos conocidos como:
Como segundo factor de autenticación, recomendamos que sea utilizado un aplicativo y no el envío de mensajes para celular. Existen algunos aplicativos como:
Algunos ejemplos de contraseñas seguras que pueden ser creadas sin ajuda de un aplicativo, son las contraseñas creadas a partir de frases, letras de música o cosas relacionadas a las actividades comunes, como por ejemplo:
No dejar documentos importantes sobre la mesa, principalmente prestando atención a los que son clasificados como confidencial y no sobrecargar el área de trabajo con documentos o íconos que puedan facilitar la acción de un ataque de ingeniería social.
La CONTRATADA debe aplicar entrenamientos por lo menos una vez por año y con un foco en la seguridad de la información como un todo, informando principalmente los objetivos y la importancia de tener un ambiente seguro.
Es importante tener el registro de las campañas y de sus eficacias.
La CONTRATADA debe hace la gestión de los logs y datos de auditoríade los sistemas considerados críticos y almacenarlos en un lugar adecuado, que pueda garantir su integridad, confidencialidad y disponibilidad.
Todos los logs que sean generados por los sistemas/activos que sean considerados críticos para la CONTRATANTE, deben contener el máximo de detalles para facilitar su rastreabilidad.
La CONTRATADA debe realizar la segregación de los ambientes como la intención de mantener los datos de prueba, homologación y producción, separados. La CONTRATADA debe garantizar que la información oficial de la CONTRATANTE contenida en el ambiente de producción no será replicada en el ambiente de homologación, evitando que personas no autorizadas tengan acceso a datos confidenciales.
También es importante, que todas las alteraciones sean realizadas en los ambientes de homologación y pruebas, antes que vayan para el ambiente de producción, con el objetivo de minimizar los impactos que puedan ser generados por tales alteraciones.
Mismo estando enambientes separados, todo tipo de alteración que sea realizada, debe ser documentada.
La CONTRATADA debe documentar las mejores prácticas a seguir para un desarrollo seguro, este debe contener:
La CONTRATADA se debe comprometer a realizar y/o indicar entrenamientos o workshops para los equipos de desarrollo, mostrando la importancia de mantener un código seguro, mostrando las exposiciones recurrentes de datos que ocurren por falla en el proceso de desarrollo.
La CONTRATADA debe documentar todos los proveedores que están directamente relacionados a los productos o servicios proveídos a la CONTRATANTE, y garantizar que los requisitos de seguridad de la información sean un requisito acordado con estos proveedores, para minimizar los riesgos de confidencialidad, disponibilidad e integridad de la información de la CONTRATANTE.
La CONTRATADA debe documentar un plan de contingencia, con el objetivo de garantizar la disponibilidad de los productos o servicios proveídos a la CONTRATANTE, describiendo los procedimientos a ser seguidos en caso de desastres, evitando o minimizando el impacto de estos incidentes. El documento debe contener:
Además de eso, la CONTRATADA debe poner a disposición en lugaresde fácil acceso y visibilidad, una lista con teléfonos de autoridades y personas que deben ser accionadas en caso de que ocurra un incidente.
La CONTRATADA debe identificar y garantizar la conformidad con los requisitos legales relacionados a los productosy servicios proveídos a la CONTRATANTE.
Sila CONTRATADA tiene conocimiento o sospecha de cualquier evento que viole las reglas de la Política o coloque en riesgo la seguridad de la información de la compañía, esta deberá comunicar inmediatamente lo ocurrido para security-latam@sinch.com o security@sinch.com.
Última modificación: 28 de marzo de 2022