La confiabilidad y el cuidado de la seguridad de la información siempre han sido partes importantes de nuestra misión, donde siempre hemos adoptado un enfoque basado en los pilares de Confianza, Seguridad, Cumplimiento y Transparencia.
Nuestro producto iSend lleva más de 10 años en el mercado y estamos muy orgullosos de que a lo largo de todos estos años, con los cientos de clientes que tenemos, nunca en nuestra historia ha habido un solo incidente de seguridad importante. Esto demuestra que nuestras políticas de seguridad y privacidad, así como la transparencia, han demostrado ser eficientes.
Entendemos que el cumplimiento de las normas de protección de datos (LGPD/GDPR) y otros estándares existentes es una responsabilidad compartida y, por lo tanto, estamos comprometidos con este cumplimiento en todos nuestros servicios y productos iSend.
También nos comprometemos a compartir nuestra experiencia en torno al cumplimiento normativo para ayudarle a diseñar el mejor camino para que su empresa tenga éxito en el cumplimiento de los requisitos de privacidad de estas normativas junto con nuestros servicios y productos.
Como parte de nuestro compromiso de asociarnos con usted durante nuestro viaje en torno a la búsqueda de la seguridad, la confiabilidad, el cumplimiento y la transparencia, hemos desarrollado una lista creciente de acciones, políticas y procesos que adoptamos. Estas acciones ofrecen una visión general de nuestro desempeño frente a estas diversas iniciativas, describen lo que estamos haciendo, cómo prepararnos y esbozan una guía para trabajar en este viaje hacia la excelencia en seguridad. Con cada nuevo avance, con cada nuevo hito alcanzado, esta documentación y todo el conjunto de procesos se actualizarán y estarán a tu disposición.
Esperamos compartir actualizaciones adicionales sobre cómo podemos ayudarlo a cumplir y, en el proceso, mejorar las protecciones de datos personales entre nuestras empresas. Hagamos juntos que el entorno de la tecnología de la información sea cada vez más seguro.
Procesamos la información con las más modernas técnicas de seguridad, a través de nuestro producto iSend (www.iSend.com.br) que tienen en cuenta SSL, Contraseñas de Cifrado, Enlaces Cifrados, entre otros.
Todos los servidores involucrados en los productos iSend tienen habilitado el cifrado, que sigue métodos criptográficos sólidos:
– Algoritmo de clave: clave simétrica de 256 bits Para obtener más información, visite este contenido
– Algoritmo de clave: clave asimétrica RSA de 2048 bits Para obtener más información, visite este contenido
– Algoritmos de hash criptográfico de 2048 bits
– Usamos TLS 1.3 con soporte heredado para TLS 1.1.
Todos los módulos del producto tienen mecanismos que restringen el origen y el destino del tráfico de datos protegiendo las capas internas de la aplicación del acceso indebido, donde nuestros entornos están segregados a través de VPC y sus subredes. En cada subred hay grupos de seguridad (Microsoft Azure Firewall) con reglas que permiten solo ciertos orígenes.
Todos los usuarios de la solución tienen una identidad única que no se comparte con otros usuarios. El formato de composición y validez de las contraseñas es parametrizable por los usuarios y cumple con los criterios descritos anteriormente. Las contraseñas se almacenan en forma de hash criptográfico que está protegido contra el acceso no autorizado.
Todas las interfaces de comunicación de la aplicación se autentican a través de un método y protocolo seguro en el que usamos HTTPS y control de acceso y permisos administrados en el backend de la aplicación.
Los perfiles de acceso tienen mecanismos que permiten la creación y asignación de diferentes perfiles de acceso para cada entidad.
Disponemos de mecanismos que permiten la creación de reglas de autorización de identidad y perfiles de acceso basados en los siguientes atributos:
– Quién (identidad o perfil de acceso)
– Qué (acciones que realizarás)
– Cuándo (en qué período de tiempo se permiten las acciones)
– De dónde (orígenes que son autorizados)
– Cuál (a qué destinos u objetos se aplicará la regla)
– Acción (permitir o denegar el acceso)
Todos los productos son accedidos por usuarios registrados que tienen parametrización de perfiles definidos por el usuario administrador del cliente. No hay acceso externo desde otras aplicaciones, excepto las API documentadas en el producto y a las que se hace referencia en este documento.
Contamos con trazabilidad de las acciones realizadas por los usuarios donde se almacenan adecuadamente las principales solicitudes y acciones de la interfaz.
También contamos con control de acceso granular por parte de los usuarios. Todas las reglas de acceso a las aplicaciones siguen el principio de mínimo privilegio, se deniegan por defecto a menos que se permitan, registren y validen explícitamente, es decir, cuando un usuario se registra (Automáticamente o por Operador) comienza con privilegios mínimos para las características del producto en cuestión, con la excepción de los usuarios administradores de los clientes en la herramienta. Los usuarios con más privilegios deben tener sus privilegios configurados de forma granular.
Nuestras aplicaciones manejan adecuadamente todos los errores y excepciones de forma segura sin causar que los datos confidenciales se filtren al usuario. Todos los mensajes de error están estandarizados, no revelan datos ni fragmentos de código fuente, solo mensajes de error y códigos.
Los productos tienen en sus códigos una capa de saneamiento de datos confidenciales restringidos por permiso incluso antes de enviarlos a una fuente externa o front-end.
El acceso seguro a la base de datos se realiza mediante el uso de consultas parametrizables, los servidores de aplicaciones tienen acceso a la base de datos a través de una subred privada. Solo se permiten otros accesos a la IP de la empresa mediante un canal encriptado.
Nuestros productos cuentan con mecanismos seguros para el correcto mantenimiento del ciclo de vida de la información: producción, recepción, uso, reproducción, transporte, transmisión, distribución, destino, archivo y eliminación.
– Manejo: La información solo es manejada por usuarios autorizados registrados en los productos
– Almacenamiento: Toda la información traficada/manejada en la plataforma se almacena de forma segura. El acceso a la base de datos y a los servidores se produce de forma controlada, sin exposición directa a Internet. Además, con la segregación de datos que se produce a nivel de aplicación, así como la segregación de entornos a nivel de red (con VPC y sus subredes), contamos con una infraestructura segura para almacenar información
– Transporte: El flujo de información en la plataforma se produce de forma encriptada, donde adoptamos TLS v1.2 o superior (con un certificado válido) por defecto en las comunicaciones (emisor y receptor de la información). Los socios que se integran con nosotros también necesitan usar este cifrado, para que tengamos un entorno completamente seguro
– Descartar: Todas las acciones realizadas en la plataforma, así como otros archivos estáticos, se almacenan durante un máximo de 1.095 días.
Los datos producidos por un usuario en el software integrado con iSend, son visibles solo en esa integración y contexto.
Nuestros servicios web / API están construidos bajo el estándar SOAP y cuentan con:
– Límites de acceso por intervalo de tiempo (límite de velocidad)
– La información confidencial, como contraseñas, tokens y claves de API, no aparece en la composición del URI
– Esta información se transmite a través de encabezados o a través del cuerpo de la solicitud HTTP
– Todos los encabezados HTTP de seguridad se incluyen en las respuestas de solicitud de API y siguen las recomendaciones de SOAP
– Se registran todos los registros de auditoría antes y después de los eventos de seguridad (por ejemplo, fallas de autenticación, errores de validación de tokens, etc.), así como todas las llamadas realizadas a través de la API.
– Los servicios web/API del sistema operativo responden a los errores indicando la causa de los errores y con mensajes que no revelan los detalles del error (por ejemplo, seguimiento de pila, rutas y variables de aplicación, etc.)
– Solo exponemos nuestros servicios web / API externamente para necesidades comerciales, no mantenemos páginas de acceso público a estos servicios.
– Para la validación de los parámetros de respuesta, nuestras aplicaciones tienen en sus códigos una capa de saneamiento de datos confidenciales restringida por permiso incluso antes de enviarlos a una fuente externa o front-end
– Una solicitud o respuesta de API contiene el encabezado Content-type declarado explícitamente.
– Los servicios contienen mecanismos que permiten validar adecuadamente toda la información recibida de fuentes externas (usuarios u otras aplicaciones), es decir, todos los parámetros y objetos enviados pasan por un mecanismo de verificación de contenido y esquema.
– Todas las llamadas de los servicios se autentican mediante tokens de sesión.
– Todos los tokens de sesión se obtienen a través de autenticación (¿quién?) y autorización (¿qué, cómo, dónde y cuándo?), se generan a través de credenciales de usuario y tienen un TTL (validez finita) de 24h.
Para obtener más información sobre el protocolo SOAP, acceda a esta información
Las Aplicaciones y los Datos de los productos iSend se almacenan en servidores de Microsoft Azure Brasil Southeast y servidores de envío de mensajes distribuidos entre Microsoft Azure Brasil Southeast y Amazon Web Services (AWS), ubicados en la región sa-east-1 (São Paulo – Brasil).
De esta manera, contamos con el cumplimiento de una gran cantidad de estándares legales y regulatorios que cumplen con diversos requisitos y controles de seguridad descritos en ISO27001, ISO27017, ISO27018, ISO27701, ISO20000-1, PCI Nivel 1, HIPAA, SOC 1, SOC 2, SOC 3, TIER 3, CSA STAR – Cloud Security Alliance, entre muchos otros.
Para obtener más información sobre los cumplimientos que tenemos, visite esta documentación adicional:
– Vea en este enlace cómo funciona el cumplimiento de Microsoft Azure
– Vea cómo funciona la conformidad de AWS en este enlace
Tenemos segregación entre las diferentes capas de la arquitectura de la aplicación (por ejemplo, web, aplicación, banco, copia de seguridad, monitoreo, etc.), y el tráfico entre las capas está controlado por un filtro de tráfico.
Todos los elementos de las aplicaciones admiten la ejecución de escaneos de vulnerabilidades para identificar agujeros de seguridad que aún no se han mitigado. Nuestra infraestructura se puede escanear de forma remota (instancias de Microsoft Azure y Amazon AWS) o localmente (códigos, contenedores, etc.). Realizamos Análisis Estáticos del código de nuestra aplicación en Bitbucked.
También usamos Bitbucked como plataforma de control de versiones que se conecta al entorno de contenedores y realiza un escaneo completo de nuestra infraestructura.
Además, hemos adoptado las mejores prácticas del mercado, tanto en tecnología como en procesos internos, no teniendo en más de 20 años de empresa, un solo incidente de fuga de cualquier tipo de información o violación de los activos de los clientes.
Todos nuestros servidores están en nuestra propia red privada virtual (VPC) con controles de acceso que evitan que las solicitudes no autorizadas lleguen a esta red interna.
Utilizamos buenas prácticas para la comunicación con nuestros servidores de producción.
Utilizamos jumpservers para la administración del entorno con acceso remoto que se realiza a través de SSH (port knocking) y clave privada/pública. No usamos nombre de usuario ni contraseña y el usuario root no tiene permiso para iniciar sesión.
Todos nuestros productos cuentan con un plan de contingencia, tanto por cuestiones técnicas como operativas.
La infraestructura principal de los productos está alojada en servidores de MS Azure Southeast con replicación en MS Azure South.
Para obtener más información sobre la continencia y la replicación, visite esta documentación
También utilizamos, para las funcionalidades de mensajería (E-mail, SMS, VOICE) escalabilidad a través de servidores que alojamos en Amazon (AWS) y Microsoft Azure para no depender de un único proveedor.
Disponemos de redundancia en el suministro de SMS y VOZ con más de un proveedor por tipo de canal de mensajes y para el canal de E-mail a través de nuestra propia solución.
Contamos con copias de seguridad automatizadas de todos los productos, aplicaciones, bases de datos, contenidos, etc., realizadas diariamente y replicadas entre los Data-Centers con versionado y cifrado de extremo a extremo.
Realizamos un seguimiento constante de nuestra infraestructura (Física, Red, Entregabilidad…) de forma activa para la detección de anomalías a través de nuestro equipo especializado (Owned) apoyándonos en sistemas y herramientas como Zabbix, donde mantenemos bajo control varios KPIs de la zona.
Contamos con mecanismos para identificar y defendernos contra ataques de denegación de servicio de capa 3 (protocolos de red) y detección de anomalías de tráfico.
Tenemos control en nuestra VPC (con grupos de seguridad) y en la capa 7 (aplicación), con limitación de solicitudes y detección de anomalías (alarmas vía Zabbix).
También disponemos de todos los protocolos estándar de Azure para DDOS que se pueden consultar en el enlace
Solo los empleados con las credenciales y responsabilidades adecuadas definidas por nosotros (Gerentes de Unidad) tienen acceso a la Infraestructura.
Estos empleados acceden a la infraestructura mediante la autenticación de dos factores (2FA) en sus cuentas de acceso.
Cada empleado tiene acceso solo a lo necesario para la ejecución de sus tareas.
Accesos a la plataforma iSend: Proporcionamos al menos tres tipos de autenticación multifactor en nuestras plataformas (correo electrónico, SMS y Microsoft Authenticator), y todos los accesos realizados por los usuarios se autentican utilizando uno de estos métodos. No permitimos el acceso sin autenticación multifactor.
Procesamos la información con las más modernas técnicas de seguridad, a través de nuestro producto iSend (www.iSend.com.br) que tienen en cuenta SSL, Contraseñas de Cifrado, Enlaces Cifrados, etc.
Nuestros puntos finales y API de aplicaciones tienen mecanismos que garantizan la transmisión segura de datos basados en túneles criptográficos (TLS 1.3) y políticas de seguridad TLS/SSL recomendadas por MS Azure. Para obtener más información, acceda a este contenido
La Matriz de Riesgos de Intelly es una herramienta esencial para identificar, evaluar, priorizar y mitigar los riesgos asociados con nuestras operaciones, tecnologías y actividades comerciales. Su principal objetivo es garantizar la SEGURIDAD, EL CUMPLIMIENTO NORMATIVO y la CONTINUIDAD de las OPERACIONES, ayudando a prevenir incidentes y proteger activos valiosos.
Además, apoya la toma de decisiones informadas, asegura el cumplimiento de los requisitos legales y fomenta una cultura de mejora continua, adaptándose a las nuevas amenazas y desafíos.
Nuestra matriz de riesgos es fundamental para proteger los datos de nuestra empresa y de nuestros clientes de posibles amenazas y garantizar su resiliencia y sostenibilidad.
Nuestra matriz de riesgos es fundamental para proteger los datos de nuestra empresa y de nuestros clientes de posibles amenazas y garantizar su resiliencia y sostenibilidad.
Trabajamos con los siguientes temas en nuestras acciones:
1. IDENTIFICACIÓN DE RIESGOS
2. ANÁLISIS DE RIESGOS
3. TRATAMIENTO DE RIESGOS
4. SEGUIMIENTO Y REVISIÓN
5. POLÍTICA DE GESTIÓN DE RIESGOS
Nuestra matriz cuenta con acciones mitigadoras teniendo en cuenta el impacto y la probabilidad para cada tipo de riesgo identificado por nosotros. Si desea saber más, comuníquese con dpo@intelly.com.br o a través de nuestro Call Center.
En Intelly y nuestro producto iSend, la seguridad de los datos es nuestra principal prioridad y estamos comprometidos con el pleno cumplimiento de la Ley General de Protección de Datos (LGPD/GPDR). En caso de un incidente de seguridad, tomamos las siguientes medidas:
– COMUNICACIÓN Y TRANSPARENCIA: Tal y como exige la legislación vigente, notificamos a nuestro cliente en tiempo y forma y en los casos solicitados a la Autoridad Nacional de Protección de Datos. A continuación, notificamos al interesado afectado, informándole de las medidas adoptadas y las acciones necesarias para restablecer conjuntamente la seguridad de sus datos.
– COLABORACIÓN DEL USUARIO: La seguridad es una responsabilidad compartida. Si identifica o sospecha un incidente de seguridad que involucra a nuestra empresa y la familia de productos iSend, infórmenos de inmediato enviando un correo electrónico a: dpo@intelly.com.br o a través de nuestro Centro de Servicio.
– MEDIDAS DE SEGURIDAD INTERNA: Todos los empleados de Intelly están capacitados y orientados en prácticas de seguridad de la información, asegurando que estén preparados para actuar de manera efectiva en caso de incidentes.
– PLAN DE RESPUESTA A INCIDENTES: En caso de incidentes de seguridad de la información, contamos con procesos y planes de respuesta preparados para atender estas importantes demandas. Tan pronto como se comprueba un incidente, nuestros equipos comienzan a aplicar los protocolos y procesos cuidadosamente preparados para la mitigación lo antes posible.
Mantenemos un inventario, revisado cada seis meses, con software autorizado para su uso por parte de los empleados de Intelly.
Verificamos que el software esté siendo actualizado y mantenido por el fabricante, a través de la herramienta OCS Inventory, para mantener nuestras computadoras seguras en todo momento.
Todas las bibliotecas, dependencias y marcos se descargan de fuentes seguras, se inventarian y se actualizan para que no tengan vulnerabilidades conocidas públicamente.
Comprobamos que el software está siendo actualizado y mantenido por el fabricante para mantener nuestros ordenadores seguros en todo momento.
Todo el alcance de nuestros proyectos se basa en la metodología de gestión del PMI – Project Management Institute. Esta metodología se adopta internacionalmente como un estándar ANSI para la Gestión de Proyectos, asegurando así la calidad de los servicios prestados y la certeza de que el producto final será adecuado a los requisitos del proyecto y totalmente adherente a las necesidades requeridas. Para obtener más información, acceda a este contenido
Login iSend University
Se você é cliente iSend utilize usuário e senha do iSend.
Esqueceu sua senha?
Não é cliente isend?
Para acessar nosso conteúdo gratuito basta criar uma conta.
Criar uma conta
