La aplicación de software de Sensorfact está basada en la nube. Toda nuestra infraestructura informática está alojada en AWS, utilizando la región eu-west-1 (Irlanda) para los despliegues, que está sujeta a la normativa de la UE. Nuestras soluciones de software se desarrollan dentro de nuestro equipo de ingeniería, y no empleamos soluciones de terceros aparte de los servicios nativos ofrecidos por AWS y los sistemas de almacenamiento distribuido para nuestra plataforma de mediciones de tiempo y streaming.
Autenticación y autorización
Podemos distinguir entre acceso de clientes:
- Los clientes pueden acceder al portal web de Sensorfact con sus credenciales de usuario y contraseña.
- El equipo de Onboarding de Sensorfact crea cuentas con un mínimo de información personal (nombre, dirección de correo electrónico y, potencialmente, número de teléfono para alertas).
- Las contraseñas no se renuevan automáticamente.
- La autenticación MFA estará disponible a partir del tercer trimestre de 2024.
Además, los empleados de Sensorfact tienen acceso a los datos de los clientes siguiendo los siguientes principios:
- El acceso a los datos de los clientes por parte de departamentos distintos del de Ingeniería está restringido al personal que interactúa con el cliente.
- Los ingenieros que participan en las rotaciones de asistencia tienen acceso a todos los datos del cliente, incluidos los de producción, para depurar y solucionar posibles problemas.
- Utilizamos PoLP como principio fundamental, y todo el acceso a la infraestructura y a las herramientas de codificación se realiza mediante MFA y detrás de una VPN.
- Se utiliza la autenticación basada en roles.
Gestión de datos
Algunos de los aspectos clave a tener en cuenta en relación con la gestión de datos:
- Todas las interfaces públicas están cifradas (TLS 1.3)
- Los datos no se cifran en reposo.
- Los datos de los clientes están lógicamente separados de otros datos de clientes.
- Los datos de los sensores y de los usuarios/clientes (metadatos) se almacenan físicamente por separado.
- Copias de seguridad: copias de seguridad diarias con un tiempo de retención ilimitado.
- Los datos personales del cliente se eliminarán a la finalización del contrato siguiendo las directrices del GDPR.
Sensorfact dispone de un plan de recuperación en caso de catástrofe que cubre todos los servicios críticos y se comprueba periódicamente (al menos dos veces al año).
Plan de respuesta a incidentes
El plan de respuesta ante violaciones de datos e incidentes de seguridad forma parte del plan de respuesta global ante problemas de producción e incluye la comunicación a los clientes afectados con una descripción clara del impacto y cómo se ha resuelto.
Se establecen rotaciones de soporte de ingeniería de plataformas e IoT para poder responder con rapidez a cualquier problema de producción que pudiera producirse durante el horario laboral.
Medida proactiva
Con una frecuencia anual, realizamos pruebas de penetración y auditorías de seguridad de la infraestructura, seguidas de un plan de acción para resolver los hallazgos en función de la gravedad. Los hallazgos críticos se abordan de inmediato, y los de menor impacto se incluyen en la hoja de ruta del producto para abordarlos a lo largo del año.