Centro de confianza
Estado de los controles en Vanta
Insight Assurance auditó a Hacktron para SOC 2, y los informes Type 1 y Type 2 están disponibles bajo petición. Cada análisis de tu código se ejecuta en su propio sandbox aislado, que se destruye al terminar el análisis.
Controles
Seguridad de la infraestructura
- Desconocido: Autenticación única obligatoria en bases de datos de producciónLa empresa exige que el acceso a los almacenes de datos de producción use mecanismos de autenticación seguros y autorizados, como claves SSH únicas.
- Desconocido: Acceso a claves de cifrado restringidoLa empresa restringe el acceso privilegiado a las claves de cifrado a usuarios autorizados con una necesidad de negocio.
- Desconocido: Autenticación de cuenta única obligatoriaLa empresa exige que el acceso a sistemas y aplicaciones use un nombre de usuario y una contraseña únicos o claves SSH (Secure Socket Shell) autorizadas.
- Desconocido: Acceso a aplicaciones de producción restringidoEl acceso al sistema está restringido a accesos autorizados.
- Desconocido: Acceso a bases de datos de producción restringidoLa empresa restringe el acceso privilegiado a las bases de datos a usuarios autorizados con una necesidad de negocio.
- Desconocido: Acceso al sistema operativo de producción restringidoLa empresa restringe el acceso privilegiado al sistema operativo a usuarios autorizados con una necesidad de negocio.
- Desconocido: Acceso a la red de producción restringidoLa empresa restringe el acceso privilegiado a la red de producción a usuarios autorizados con una necesidad de negocio.
- Desconocido: Autenticación única obligatoria en sistemas de redLa empresa exige que el acceso a la red de producción use nombres de usuario y contraseñas únicos o claves SSH (Secure Socket Shell) autorizadas.
- Desconocido: MFA obligatoria para el acceso remotoSolo los empleados autorizados con un método válido de autenticación multifactor (MFA) pueden acceder en remoto a los sistemas de producción de la empresa.
- Desconocido: Cifrado obligatorio para el acceso remotoSolo los empleados autorizados pueden acceder en remoto a los sistemas de producción de la empresa, y únicamente mediante una conexión cifrada aprobada.
Seguridad organizativa
- Desconocido: Tecnología antimalware en usoLa empresa despliega tecnología antimalware en los entornos expuestos a ataques maliciosos y la configura para que se actualice periódicamente, registre su actividad y esté instalada en todos los sistemas relevantes.
- Desconocido: Verificación de antecedentes de empleadosLa empresa verifica los antecedentes de los nuevos empleados.
- Desconocido: Acuerdo de confidencialidad firmado por los empleadosLa empresa exige que los empleados firmen un acuerdo de confidencialidad durante su incorporación.
Seguridad del producto
- Desconocido: Cifrado de datos en usoLos almacenes de datos de la empresa que contienen datos sensibles de clientes están cifrados en reposo.
- Desconocido: Autoevaluaciones de controles realizadasLa empresa realiza autoevaluaciones de sus controles al menos una vez al año para asegurarse de que existen y funcionan con eficacia. Se toman medidas correctivas según los hallazgos relevantes. Si la empresa se ha comprometido a un SLA para un hallazgo, la medida correctiva se completa dentro de ese SLA.
- Desconocido: Pruebas de penetración realizadasLa empresa realiza pruebas de penetración al menos una vez al año. Se elabora un plan de corrección y se aplican cambios para corregir las vulnerabilidades conforme a los SLA.
- Desconocido: Procedimientos de gestión de vulnerabilidades y monitorización establecidosLas políticas formales de la empresa definen los requisitos de las siguientes funciones de TI e ingeniería: gestión de vulnerabilidades y monitorización de sistemas.
Procedimientos internos de seguridad
- Desconocido: Seguro de ciberseguridad vigenteLa empresa mantiene un seguro de ciberseguridad para mitigar el impacto financiero de las interrupciones del negocio.
- Desconocido: Sistema de gestión de configuración establecidoLa empresa cuenta con un procedimiento de gestión de configuración que garantiza que las configuraciones de los sistemas se despliegan de forma coherente en todo el entorno.
- Desconocido: SOC 2 – Descripción del sistemaCompletar una descripción del sistema para la sección III del informe de auditoría
- Desconocido: Política de denuncias establecidaLa empresa tiene una política formal de denuncias y un canal de comunicación anónimo para que los usuarios informen de posibles problemas o sospechas de fraude.
- Desconocido: Informes de supervisión al consejo realizadosLa alta dirección informa al consejo de administración o a un subcomité competente, al menos una vez al año, sobre el estado de los riesgos de ciberseguridad y privacidad de la empresa. El consejo da su opinión y orientación a la dirección cuando es necesario.
- Desconocido: Estatuto del consejo documentadoEl consejo de administración de la empresa tiene un estatuto documentado que define sus responsabilidades de supervisión del control interno.
- Desconocido: Experiencia del consejo desarrolladaLos miembros del consejo tienen experiencia suficiente para supervisar la capacidad de la dirección de diseñar, implementar y operar controles de seguridad de la información. El consejo recurre a expertos y consultores externos en seguridad de la información cuando es necesario.
- Desconocido: Reuniones del consejo celebradasEl consejo de administración se reúne al menos una vez al año y levanta actas formales. El consejo incluye consejeros independientes de la empresa.
- Desconocido: Cambios del sistema comunicados externamenteLa empresa notifica a los clientes los cambios críticos del sistema que puedan afectar a su procesamiento.
- Desconocido: Funciones y responsabilidades definidasLas funciones y responsabilidades de diseño, desarrollo, implementación, operación, mantenimiento y monitorización de los controles de seguridad de la información están asignadas formalmente en las descripciones de puestos o en la política de funciones y responsabilidades.
- Desconocido: Sistema de soporte disponibleLa empresa dispone de un sistema de soporte externo que permite a los usuarios comunicar al personal adecuado fallos, incidentes, inquietudes y otras quejas.
- Desconocido: Cambios del sistema comunicadosLa empresa comunica los cambios del sistema a los usuarios internos autorizados.
- Desconocido: Solicitudes de acceso obligatoriasLa empresa garantiza que el acceso de los usuarios a los componentes del sistema incluidos en el alcance se basa en su puesto y función, o requiere un formulario de solicitud documentado y la aprobación del responsable antes de concederse.
- Desconocido: Compromisos de la empresa comunicados externamenteLos compromisos de seguridad de la empresa se comunican a los clientes en los acuerdos marco de servicios (MSA) o en los términos del servicio (TOS).
- Desconocido: Recursos de soporte externo disponiblesLa empresa ofrece a sus clientes guías y recursos de soporte técnico sobre la operación del sistema.
- Desconocido: Descripción del servicio comunicadaLa empresa ofrece a usuarios internos y externos una descripción de sus productos y servicios.
- Desconocido: Objetivos de la evaluación de riesgos definidosLa empresa define sus objetivos para poder identificar y evaluar los riesgos relacionados con ellos.
- Desconocido: Evaluaciones de riesgos realizadasLa empresa realiza evaluaciones de riesgos al menos una vez al año. En este proceso se identifican las amenazas y los cambios (ambientales, regulatorios y tecnológicos) que afectan a los compromisos de servicio, y los riesgos se evalúan formalmente. La evaluación incluye la posibilidad de fraude y cómo podría afectar al logro de los objetivos.
Datos y privacidad
- Desconocido: Datos de clientes eliminados al darse de bajaCuando un cliente deja el servicio, la empresa elimina del entorno de la aplicación los datos de clientes con información confidencial, conforme a las buenas prácticas.
Informes
Subencargados
Datos
Hacktron recopila información de identificación personal de clientes e información de tarjetas de crédito. No recopila información de salud personal.