Latenode y el RGPD

Es comprensible que el RGPD sea un tema candente. A pesar de que la legislación entró en vigor hace un año, muchas empresas siguen teniendo dificultades para cumplir con el RGPD. No pasa un día sin que los periódicos mencionen empresas que no cumplen con los estándares del RGPD o que ponen a prueba los límites de su cumplimiento.

En Latenode, siempre hemos sido conscientes de la forma en que manejamos los datos, ya que son la base de nuestra plataforma. Hemos invertido mucho tiempo y esfuerzo para asegurarnos de que cumplimos con el RGPD e incluso hemos escrito una guía introductoria para otros.

Estándares de seguridad verificados por Google con evaluación CASA

Latenode cumple con los estándares de seguridad más altos e implementa protocolos líderes en la industria para garantizar que sus datos estén protegidos en cada paso. Nuestro compromiso con la seguridad le brinda la confianza para automatizar flujos de trabajo de manera segura y eficiente.

Protección y cifrado de datos de clientes

Cuentas de usuario, autenticación y autorización

Nube de nodo tardío

Cuando te registras para obtener una cuenta en la nube de Latenode, creas una cuenta directamente con Latenode. Cuando creas una cuenta en Latenode.cloud con un nombre de usuario y una contraseña, Latenode implementa las mejores prácticas para la administración de cuentas. Por ejemplo, Latenode agrega sal y hashea a tu contraseña, y luego almacena la contraseña hasheada en una base de datos que está cifrada en reposo.

Cuentas de terceros

Una parte clave de la funcionalidad de Latenode es la vinculación de servicios de terceros. Cuando vincula una cuenta desde una aplicación de terceros, es posible que deba autorizar el acceso de la aplicación OAuth de Latenode a su cuenta o proporcionar una clave API u otras credenciales.

Latenode recomienda utilizar OAuth para aplicaciones de terceros que lo admitan. El protocolo OAuth permite a Latenode solicitar acceso limitado a recursos específicos en su cuenta de terceros sin que usted tenga que proporcionar credenciales a largo plazo directamente. Latenode debe solicitar tokens de acceso a corto plazo a intervalos regulares y la mayoría de las aplicaciones ofrecen una forma de revocar el acceso de Latenode a su cuenta en cualquier momento.

Algunas aplicaciones de terceros no ofrecen una interfaz OAuth. Para acceder a estos servicios, debe proporcionar el mecanismo de autorización requerido (a menudo, una clave API). Como práctica recomendada, si su aplicación ofrece dicha funcionalidad, Latenode recomienda limitar el acceso a esa clave API únicamente a los recursos a los que necesita acceder dentro de Latenode.

Cuando utiliza credenciales en un flujo de trabajo, Latenode las carga en el entorno de ejecución de su instancia de Latenode. En el caso de Latenode Cloud, las instancias de los clientes están aisladas lógicamente entre sí. Latenode no registra ni exporta credenciales de forma predeterminada. Si registra sus valores, siempre puede eliminar los datos de esa ejecución. La plataforma elimina los datos de ejecución automáticamente según la configuración de retención de su cuenta.

Puede eliminar sus concesiones de OAuth o credenciales basadas en claves en cualquier momento. Eliminar las concesiones de OAuth en Latenode no revoca el acceso de Latenode a su cuenta. Debe revocar ese acceso dondequiera que administre las concesiones de OAuth en su aplicación de terceros.

Autenticacion de usuario

Se requiere un nombre de usuario y una contraseña para autenticarse en la aplicación.

Alojamiento y almacenamiento en la nube

La nube de Latenode utiliza Microsoft Azure para el alojamiento.

Latenode protege aún más el acceso a los recursos de Azure mediante una serie de controles, que incluyen:

• Uso de la autenticación multifactor para acceder a Azure
• Servicios de alojamiento dentro de una red privada a la que no se puede acceder a Internet público.

Latenode almacena todos los tokens de OAuth, las credenciales basadas en claves y el resto de la base de datos de su instancia de la nube en un disco que está cifrado en reposo mediante el cifrado del lado del servidor de Azure (al momento de escribir este artículo, se utiliza AES256 y una implementación compatible con FIPS-140-2). En el caso de la nube de Latenode, esta base de datos también reside en una red privada. Las copias de seguridad de esa base de datos también están cifradas.

Cifrado de datos

Nube de nodo tardío

Cuando utiliza la aplicación web Latenode, esta cifra el tráfico entre su cliente y los servicios de Latenode en tránsito. Lo mismo se aplica al tráfico relacionado con la API pública o los nodos de activación de webhook. Latenode utiliza Cloudflare para administrar y renovar los certificados SSL.

Proteccion de red

Un sistema de auditoría operativa monitorea constantemente la infraestructura de nube de Latenode y envía alertas al personal correspondiente cuando es necesario. Solo utilizamos configuraciones que implementan puertos y protocolos de red aprobados, incluidos firewalls. Por ejemplo, mantenemos un firewall de aplicaciones web para proteger la aplicación web de Latenode del tráfico malicioso y las amenazas externas, y un sistema de detección de intrusiones para detectar posibles intrusiones.

Registro de auditoría

Latenode recopila y almacena todos los registros de su servidor en una ubicación central. Los usuarios autorizados pueden consultar la información de los registros según sea necesario para rastrear las acciones de los usuarios individuales. Mantenemos el historial de registros de auditoría y los registros de actividad histórica durante al menos 3 meses, y al menos el último mes está inmediatamente disponible para su análisis.

Prácticas de desarrollo seguras

Sistema de control de versiones

Latenode utiliza un sistema de control de versiones para gestionar el código fuente, la documentación, el etiquetado de las versiones y otras tareas de gestión de cambios. Cualquier empleado debe obtener la aprobación de un administrador del sistema para poder realizar cambios en el código.

Proceso de revisión de código

Cuando el código de la aplicación de Latenode cambia, alguien distinto a la persona que realizó el cambio revisa y prueba el nuevo código.

Entornos de prueba y producción separados

Latenode utiliza entornos separados para pruebas y producción de nuestra aplicación.

Cambios en el código de producción restringido

Sólo el personal autorizado de Latenode puede enviar o realizar cambios al código de producción.

Pruebas de seguridad de aplicaciones estáticas (SAST)

Latenode utiliza pruebas de seguridad de aplicaciones estáticas (SAST) o una herramienta equivalente como parte del proceso de CI/CD para detectar vulnerabilidades en su base de código. Cuando se identifican vulnerabilidades, se implementan correcciones antes del lanzamiento según corresponda en función de la naturaleza de la vulnerabilidad.

Monitoreo de Sistemas

Latenode monitorea su código, infraestructura y aplicaciones principales en busca de vulnerabilidades conocidas y aborda las vulnerabilidades críticas rápidamente.

Controles de acceso

Acceso a los datos estrictamente "según necesidad"

Latenode otorga a los empleados acceso a sistemas que contienen datos confidenciales con el mínimo privilegio. Esto significa que los empleados solo tienen acceso a los datos que necesitan para realizar su trabajo. La empresa revisa el acceso al sistema trimestralmente, cuando se produce un cambio de función y en caso de despido.

Acceso restringido al código de producción

Latenode utiliza GitLab para almacenar y crear versiones de todo el código de producción. Los empleados utilizan la autenticación multifactor para acceder a la organización GitLab. Y solo el personal autorizado de Latenode puede implementar o realizar cambios en el código de producción.

Se requiere autenticación multifactor

Requerimos MFA donde sea que esté disponible.

Acceso web cifrado

Latenode utiliza cifrado para proteger la autenticación de usuarios y las sesiones de administración de la herramienta de administración interna transmitidas a través de Internet. Todas las conexiones se realizan a través de SSL/TLS con un certificado válido de una autoridad de certificación confiable.

Seguridad corporativa

Proceso de contratación riguroso

Los candidatos a un puesto de trabajo deben pasar por varias etapas de verificación exhaustiva de antecedentes y entrevistas para garantizar que cumplen con las leyes, las normas y la ética pertinentes. Todos los empleados nuevos deben firmar nuestra política de protección de datos al momento de su contratación.

Proceso de desvinculación estricto

Cuando un empleado deja Latenode, utilizamos una lista de verificación de terminación para garantizar que el acceso al sistema del empleado, incluido el acceso físico, se elimine dentro de un día hábil y se devuelvan todos los activos de la organización (físicos o electrónicos).

Gestión de amenazas y vulnerabilidades

Escaneos de vulnerabilidad

Latenode realiza análisis de vulnerabilidades de terceros en su entorno de producción al menos una vez cada 90 días.

Pruebas de penetracion

Latenode realiza pruebas de penetración de terceros en su entorno de producción al menos una vez al año.

Detección de intrusiones

Latenode utiliza un sistema de detección de intrusiones (IDS) para detectar posibles intrusiones y alertar al personal cuando se detecta una posible intrusión. Incluye una solución antimalware que se actualiza continuamente y escanea continuamente para detectar, eliminar o bloquear todos los tipos de malware conocidos.

Simulaciones de phishing

Latenode realiza simulaciones periódicas de phishing como parte de las iniciativas de concientización sobre seguridad de la empresa.

Inteligencia de amenazas

Latenode ha implementado mecanismos para recopilar información sobre amenazas y producir inteligencia sobre amenazas (por ejemplo, herramientas comerciales de inteligencia sobre amenazas cibernéticas, fuentes de inteligencia de productos/proveedores de seguridad, fuentes de código abierto, etc.) de acuerdo con los objetivos de inteligencia sobre amenazas definidos.

Copia de seguridad, recuperación y continuidad empresarial

Latenode almacena los datos de los clientes en una cuenta de producción segura en Azure. Latenode realiza copias de seguridad automáticas de todos los datos de los clientes y del sistema a diario para protegerse contra pérdidas catastróficas debido a eventos imprevistos que afecten a todo el sistema. Este proceso realiza copias de seguridad o replica los datos en una región separada en el mismo país. Y las copias de seguridad se cifran de la misma manera que los datos de producción en vivo.

El servicio de respaldo de Latenode monitorea todo el proceso de respaldo y cualquier falla activa automáticamente una alerta al Equipo de Respuesta a Incidentes.

Latenode cuenta con un Plan de Continuidad de Negocio definido y probado periódicamente que describe los procedimientos para responder, recuperarse, reanudar y restaurar las operaciones después de un desastre natural importante o una falla catastrófica del sistema.

Plan de recuperación en un desastre

Latenode ha formulado un plan detallado de recuperación ante desastres que describe las funciones, responsabilidades y procedimientos detallados para recuperar sistemas en caso de falla.

Registros de seguridad

Latenode recopila y almacena registros del servidor en una ubicación central. Los usuarios autorizados pueden consultar el sistema de forma ad hoc.

política de seguridad de la información

Latenode cuenta con una Política de Seguridad de la Información para definir las obligaciones de seguridad de los empleados y contratistas, junto con su proceso disciplinario por violaciones a la política.

Divulgación de vulnerabilidades

Latenode tiene un proceso dedicado para que los empleados reporten fallas, incidentes e inquietudes relacionadas con la seguridad, confidencialidad, integridad y disponibilidad.

Además, Latenode mantiene documentación de soporte accesible para el cliente donde puede encontrar información de contacto de soporte. Nos comprometemos a garantizar que Latenode sea una herramienta segura para todos nuestros usuarios. Por lo tanto, si encuentra fallas operativas o de seguridad, incidentes, problemas del sistema, inquietudes u otros problemas/quejas, no dude en comunicarse con el personal de Latenode correspondiente.