Gobernanza
• Contamos con la certificación ISO27001 de BSI Group.
• SOC2 Tipo 1 (SOC2 Tipo 2 previsto para el cuarto trimestre)
• Estamos registrados en la ICO: Contamos con un Delegado de Protección de Datos ante la AEPD.
• Contamos con la certificación Cyber Essentials Plus (IASME-CEP-001478).
• Todo el personal recibe formación a medida sobre GDPR y ciberseguridad, que se actualiza anualmente.
• Se realizan comprobaciones del DBS y comprobaciones financieras adversas.
Protección continua
• Pruebas anuales de red y aplicaciones de penetración realizadas por un servicio externo independiente aprobado por CREST.
• Detección automática de amenazas en nuestra red (Guard Duty).
• Firewall de aplicaciones web y protección DDoS disponibles.
• Plan de recuperación en caso de catástrofe para nuestros servicios principales probado regularmente.
Buenas practicas de seguridad
• Todas las contraseñas de usuario se cifran con salt + hash mediante la función de derivación de clave de script.
• Todos los datos bancarios sensibles (por ejemplo, la cuenta bancaria) se cifran además mediante AES-256.
• 2FA está activo y SSO se utiliza para el acceso a través de múltiples servicios siempre que sea posible.
Transferencia de datos
-
Utilizando cifrado de nivel bancario, todos los datos se cifran en tránsito y se nos transfieren protegidos por HTTPS (TLS >= 1.2) o SFTP con pares de claves RSA 4096 bits.
Seguridad de plataformas y redes
Llevamos a cabo rigurosas pruebas de seguridad incluyendo, pero no limitado a:
• Pruebas de penetración de aplicaciones y redes de terceros, realizadas por http://Cobalt.io contra todo nuestro conjunto de productos con evaluadores certificados GIAC, OSCP, CEH y CISSP.
• Escaneos nocturnos de vulnerabilidades contra nuestra aplicación y red realizados por Qualys.
• Contamos con detección automática de amenazas (AWS Guard Duty), cortafuegos de aplicaciones web (AWS WaF) y protección DDoS (AWS Shield).
• Utilizamos Amazon Systems Manager para actualizar y parchear automáticamente nuestra infraestructura.
TI Corporativa
• Dispositivos gestionados por Microsoft Intune.
• Seguridad de puntos finales, antivirus de última generación y protección contra malware a través de Crowdstrike Complete en todos los dispositivos.
• Múltiples estrategias DLP a través de Crowdstrike y Google Vault.
Supervisión activa de la salida de datos a través de periféricos USB.
• Cualquier acceso a los datos de los clientes por razones de soporte está limitado a lo que es necesario saber, sólo a través de VPN, el acceso es totalmente auditable.
• Wagestream utiliza una de las 10 mejores herramientas de gestión de la movilidad empresarial (EMM) para garantizar la automatización de la aplicación de parches a nuestros sistemas operativos y software de terceros.
• La ejecución automática está desactivada en los dispositivos Windows.
• Disponemos de un registro de activos actualizado.
• Actualizaciones automáticas de sistemas operativos y de terceros activadas.
