Políticas de seguridad

La información en cualquiera de sus variantes (texto, documentos, imágenes, videos) recolectadas por Jarboss está protegida por estrictas prácticas de seguridad y confidencialidad que se encuentran dentro de nuestra normativa. Para asegurar la integridad y confidencialidad de los datos de nuestros clientes, Jarboss se apoya en 6 principales fundamentos:

  1. Mantener nuestra infraestructura de red protegida y monitoreada.
  2. Asegurar el almacenamiento de los datos dentro de servidores fuertemente asegurados a nivel de hardware y software.
  3. Proteger los datos durante la transmisión y transacción con los mismos.
  4. Optimización y mantenimiento de nuestros servidores.
  5. Administración y mantenimiento de nuestras aplicaciones.
  6. Restringir el acceso a los datos físicos.
Información acerca de las políticas de seguridad.

  1. Mantenimiento y seguridad de la arquitectura de red para proteger la información.
    1. La comunicación con las bases de datos y contenidos de cualquier red están restringidas por una única pasarela que permite el acceso a ellas únicamente a los servidores locales y no al resto del tráfico de internet, aislando de esta manera los datos de trafico de internet no aprobado.
    2. La configuración del hardware de firewall incluye:
      1. Reglas de restricción a tráfico catalogado como peligroso en internet.
      2. Reglas de restricción a tráfico insistente a zonas restringidas de nuestros servidores.
      3. Reglas de restricción a tráfico atacante por fuerza bruta a la API.
      4. Gestión adecuada en todos los puertos de comunicación de nuestros servidores.

  2. Asegurar sistemas o servicios de terceros que almacenan datos sensibles
    1. Contraseñas de acceso brindadas por terceros nunca son utilizadas, se refuerzan por medio de algoritmos de encriptación y son cambiadas inmediatamente
    2. Servicios o aplicaciones de terceros son aseguradas cambiando los valores por defecto y filtrándolos haciendo uso de nuestras técnicas de seguridad
    3. Todos los accesos administrativos a nuestros servidores son encriptados.
      1. El acceso de administración vía web está asegurado por el protocolo SSL/TLS y la información viaja encriptada en toda zona de intercambio o uso de contraseñas.
      2. El acceso de administración vía consola está asegurado por el protocolo SSH donde se han determinado los correctos permisos de acceso y modificación a específicos administradores.

  3. Protección de los datos sensibles durante la transmisión a través de la API y durante su almacenamiento.
    1. Las contraseñas de los clientes están fuertemente protegidas por compromiso.
      1. Las contraseñas de los clientes nunca son transmitidas por medio de protocolos inseguros, las contraseñas viajan protegidas usando SSL/TLS.
      2. Las contraseñas de nuestros clientes son debidamente encriptadas antes de su almacenamiento en nuestros servidores.
      3. Los administradores jamás preguntan a los clientes por sus contraseñas.
      4. Para la recuperación de cualquier contraseña se requiere del envío de un token único vía mail que sólo puede ser usado una vez para cambiar la contraseña.
    2. Los contenidos de los usuarios siempre son transmitidos por medio de protocolos seguros.
      1. Las aplicaciones basadas en web recolectan los datos del cliente únicamente por medio del protocolo SSL/TLS y siendo transmitidas de manera encriptada.
      2. El Acceso a la API siempre se realiza por medio de HTTPS.
      3. Los respaldos del contenido son transmitidos siempre mediante el protocolo SFTP.

  4. Desarrollar y mantener aplicaciones seguras.
    1. Todas las aplicaciones de software son desarrolladas en base a las mejores prácticas de la industria e incorporan información segura durante el ciclo de desarrollo basado en prototipos escalables en espiral.
    2. Todos los cambios al sistema y al software son probados de manera constante hasta obtener el mismo resultado óptimo en su funcionamiento tras N número de experimentos.
    3. Los entornos de desarrollo, prueba y producción se mantienen separados lógica y físicamente.
      1. La información de producción nunca es usada para realizar pruebas, actualización o muestras magistrales.
      2. Toda la información de pruebas (cuentas, contenidos, documentos) son removidos antes de liberar cualquier nueva versión.
      3. Todas las cuentas temporales (usuarios y contraseñas) son removidos de la aplicación antes de ser liberada para su uso por el cliente.
    4. El código fuente es revisado y las aplicaciones son probadas periódicamente por seguridad, vulnerabilidad especialmente la relacionadas con:
      1. Entradas de datos que representen un riesgo para la integridad de la base de datos de cualquier red.
      2. Accesos rotos o vulnerables de cuentas de usuarios.
      3. Manipulación indebida de los ID de usuarios de manera maliciosa.
      4. Inyección de scripting malicioso a cliente. [Cross-site scripting (XSS) attacks]
      5. Inyección de datos por SQL injection. (Datos corruptos o maliciosos ingresados directamente a la base de datos)
    5. Todos los procesos con datos sensibles del cliente, se ejecutan en un nivel bajo donde son difíciles de capturar, esto evita la confusión o corrupción de datos hacia otros clientes.

  5. Métodos fuertes de control de acceso.
    1. El acceso a la información de nuestros clientes es limitado para el personal. Sólo personal autorizado puede acceder a esto.
    2. Todos los usuarios son identificados con un nombre único antes de permitirles el acceso a información de clientes.
    3. Todas las contraseñas son encriptados durante la transmisión y almacenamiento.
    4. Todos los intentos de inicio de sesión que represente el acceso a los contenidos de un cliente es debidamente registrada y monitoreada.
    5. Los procedimientos administrativos de usuario y contraseña son implementados en todos los sistemas, incluyendo:
      1. Control centralizado de adición, eliminación y modificación de usuarios o contenidos.
      2. Procedimientos de verificación antes de actualizar o realizar un cambio de contraseña.
      3. Accesos revocados inmediatamente después de realizar una baja de usuarios.
      4. Establecer y comunicar nuestra política de contraseñas, incluye:
        1. No utilizar cuenta compartidas o genéricas.
        2. Las contraseñas deberán ser cambiadas al menos cada 90 días.
        3. Las contraseñas deberán contener mínimo 8 caracteres.
        4. Las contraseñas no deberán ser palabras que aparecen en el diccionario, nombres o lugares.
        5. Las contraseñas deben de contener caracteres alfanuméricos.
        6. Las contraseñas nunca deben ser reveladas a ninguna persona, incluyendo administradores.

  6. Restringir el acceso físico al centro de datos.
    1. Se limita y monitorea el acceso físico a sistemas que almacenan, procesan o transmiten información de clientes.
    2. Se utilizan cámaras de seguridad para monitorear áreas sensibles, los videos son almacenado durante un tiempo mínimo de al menos 3 meses.
    3. Los respaldos son almacenados de manera segura fuera de los servidores principales.
    4. La información respaldada es propiamente administrada.

Jarboss utiliza un sistema de replicación de bases de datos distribuidas en tiempo real y tolerante a fallos, en caso de que un data center entre en fallo otro inmediatamente toma su lugar con la información íntegra, adicionalmente cada servidor hace “mirroring” hacia el servidor en producción permitiendo así siempre mantener las bases de datos distribuidas y actualizadas. Como método alterno de seguridad todas las noches, haciendo uso de la técnica chained mirroring basada en Round Robin se envía una copia encriptada a nuestros servidores locales en la ciudad de Monterrey donde se encuentran partidos en tar.gz y son completamente ilegibles en servidores locales.