En los siguientes subapartados se relaciona la selección de medidas tecnológicas de seguridad que se resuelven mediante el diseño de la arquitectura de la Plataforma Onesait con un enfoque de seguridad por defecto. También se incluyen las medidas relativas a la implantación y explotación de la plataforma.
Se compone de las medidas que deben tomarse para proteger el funcionamiento del sistema como un conjunto integral de componentes para un propósito.
Durante la implementación de la plataforma, se realizará un análisis de riesgos utilizando un lenguaje específico, con un catálogo básico de amenazas y una semántica definida. Es decir, una presentación tabular describiendo los siguientes aspectos:
Para ello se utilizará como base el catálogo de amenazas basado en la metodología Magerit y proporcionado por la ENS.
La siguiente tabla representa un análisis de riesgos con las amenazas más comunes en este tipo de sistemas.
AMENAZA | Salvaguardas | Riesgo residual |
Errores y riesgos no intencionados | ||
| [E.1] Errores de usuario | Principio de mínimo privilegio. Toda la información será rastreada. | Bajo |
[E.2] Errores del administrador | La organización llevará a cabo una formación específica para los administradores. | Bajo |
[E.4] Errores de configuración | Toda la configuración se prueba en entornos de prueba y preproducción antes de pasar a producción. | Bajo |
| [E.20] Vulnerabilidades del software | El lanzamiento a producción de una nueva versión se somete a pruebas funcionales y de seguridad en entornos de prueba y preproducción. Las versiones de software instaladas son versiones estables con los parches de seguridad recomendados por los fabricantes. | Bajo |
[E.21] Errores de actualización / mantenimiento de software | El lanzamiento de producción de una nueva versión se somete a pruebas funcionales y de seguridad en entornos de prueba y preproducción. | Bajo |
[E.24] Tiempo de inactividad del sistema debido al agotamiento de los recursos | La Infraestructura TIC cuenta con un sistema de monitorización y alerta que alerta al administrador del sistema cuando los recursos alcanzan los límites establecidos. La infraestructura tiene capacidad elástica. | Bajo |
[E.25] Pérdida de equipo | Bajo | |
[A] Ataques intencionados | ||
[A.3] Manipulación de registros de actividad (log) | Los archivos de registro están protegidos por los usuarios del sistema. Solo los usuarios administradores pueden acceder a estos archivos con permisos de escritura. Las aplicaciones que generan estos registros tienen permiso de escritura donde el usuario inicia sesión mediante un certificado de clave privada. | Bajo |
[A.4] Manipulación de la configuración | Los archivos de configuración se encuentran en ubicaciones protegidas por los usuarios del sistema. Solo los usuarios administradores pueden acceder a estos archivos con permisos de escritura. Las aplicaciones que generan estos registros tienen permiso de escritura con el usuario conectado mediante un certificado de clave privada. | Bajo |
[A.5] Suplantación del usuario | El acceso debe ser mediante autenticación, configurable con doble factor o mediante certificados como el DNI. La organización deberá seguir en todo momento las normas de manejo de contraseñas establecidas. | Bajo |
[A.6] Abuso de privilegios de acceso | La organización debe seguir el principio de las reglas de privilegios mínimos. Se siguen las políticas de formación y sensibilización de la empresa. | Bajo |
[A.12] Análisis de tráfico | Todas las comunicaciones deben cifrarse mediante certificados de clave privada y estar firmadas por una autoridad de certificación. Toda comunicación debe hacerse después de la identificación en el sistema. Firewall de protección contra ataques. | Bajo |
[A.14] Interceptación de información (escuchas) | Todas las comunicaciones deben estar encriptadas mediante certificados de clave privada firmados por una entidad certificadora. Toda comunicación debe hacerse después de la identificación en el sistema. | Bajo |
[A.15] Modificación deliberada de la información | El personal recibe periódicamente cursos de formación y sensibilización en esta materia. La organización deberá seguir en todo momento las normas establecidas para el manejo de contraseñas. | Bajo |
[A.18] Destrucción de información | El personal recibe periódicamente cursos de formación y sensibilización en esta materia. La información está protegida en los sistemas bajo privilegios de espacio. La organización deberá seguir en todo momento las normas de manejo de contraseñas establecidas. | Bajo |
[A.19] Revelación de información | El personal debe recibir la formación necesaria para no difundir sus contraseñas. La organización deberá seguir en todo momento las normas de manejo de contraseñas establecidas. | Bajo |
[op.acc.1] Identificación
Cada usuario tiene un identificador único a través de una cuenta. Si un usuario va a tener diferentes roles, ese usuario recibirá diferentes identificadores para que los privilegios y los registros de actividad estén siempre delimitados.
Cada cuenta de usuario tiene una función específica y permisos asociados, que se pueden asignar y recuperar. Además, todas las acciones realizadas por un usuario se registran en un registro de auditoría para que sea posible saber quién ha hecho algo y qué ha hecho alguien.
Las cuentas de usuario son administradas por usuarios con roles específicos, por lo que las cuentas se pueden deshabilitar. Las cuentas deshabilitadas y sus registros de actividad se conservan en el sistema durante un período de tiempo configurable para que se puedan cumplir los períodos de retención aplicables a cada implementación.
[op.acc.2] Requisitos de acceso
El acceso a todos los recursos del sistema está protegido por autenticación y su uso está restringido al usuario que los creó y a los usuarios y grupos a los que se les ha otorgado acceso específicamente mediante roles autorizados.
Existe la posibilidad de marcar los recursos para el acceso público. Esta opción nunca es la opción por defecto y debe ser realizada por un usuario con permisos especiales sobre ese recurso.
El acceso a los parámetros de configuración y módulos/componentes de la Plataforma Onesait está restringido únicamente a usuarios administradores y operadores del sistema.
[op.acc.3] Segregación de roles y tareas
El sistema de control de acceso está diseñado con roles específicos con diferentes funciones dentro del sistema.
A nivel de usuario de la plataforma, los roles que un usuario debe conocer son estos:
Internamente, la plataforma gestiona un conjunto de roles que permiten la operación y gestión de una instalación de plataforma:
Más allá de estos roles principales, existen dos roles más con características especiales:
[op.acc.4] Proceso de gestión de derechos de acceso
Como consecuencia de la segregación de funciones y tareas materializada en los roles expuestos en el paso anterior, [op.acc.4], Onesait Platform cumple con los siguientes principios en la gestión de derechos de acceso:
[op.acc.5] Mecanismos de autenticación
Onesait Platform se puede configurar con diferentes mecanismos de autenticación en función de los requisitos de seguridad:
[op.acc.6] Acceso local y [op.acc.7] Acceso remoto
Los intentos de acceso fallidos no revelan información confidencial al usuario. El número de intentos de acceso está limitado de forma configurable,, y el intento de acceso se bloquea temporalmente tras cada fallo para evitar ataques de fuerza bruta.
Al ser una plataforma en modo servicio, todo acceso es remoto. El proveedor de servicios de infraestructura seleccionado permite la creación de VPN en la nube para que sea posible proteger el acceso a los servicios deseados a través de redes privadas.
[op.exp.1] Inventario de activos
Se mantendrá un inventario actualizado de todos los elementos del sistema, detallando su naturaleza e identificando al responsable de los mismos, es decir, al responsable de las decisiones relativas a los mismos.
[op.exp.2] Configuración de seguridad
Los equipos deberán estar configurados antes de su entrada en funcionamiento, de forma que:
[op.exp.3] Gestión de la configuración
La configuración de los componentes del sistema se gestionará de forma continua de modo que:
[op.exp.4] Mantenimiento
Para el mantenimiento de los equipos físicos y lógicos que constituyen el sistema, se aplicará lo siguiente:
[op.exp.5] Gestión del cambio
Se mantendrá un control continuo de los cambios realizados en el sistema, de manera que:
[op.exp.8] Registro de la actividad del usuario
La actividad del usuario en el sistema se registrará, de modo que:
Onesait Platform implementa la siguiente funcionalidad:
[op.exp.9] Registro de gestión de incidentes
Se registrarán todas las actuaciones relacionadas con la gestión de incidencias, de forma que:
[op.exp.11] Protección de clave criptográfica
Las claves criptográficas estarán protegidas durante todo su ciclo de vida de acuerdo con los protocolos definidos durante la implementación de la plataforma:
[op.mon.1] Detección de intrusiones
La detección de intrusiones en los sistemas está asegurada por las capacidades del proveedor de infraestructura como servicio AWS, que a través de la monitorización activa de los sistemas contratados a través de Cloudwatch, monitorea cualquier elemento instalado que sea parte de la infraestructura de Amazon Web Services, recopilando datos en forma de logs, métricas y eventos, y ofreciendo una visión unificada y correlacionada de los mismos. Además, Cloudwatch incorpora un sistema de alarma que se puede utilizar para detectar automáticamente comportamientos anómalos en los datos y para la resolución automática de problemas para mantener los sistemas en funcionamiento.
[op.mon.2] Sistema de métricas
Además de la monitorización del proveedor de la Nube, a nivel de monitorización se ofrecen herramientas que permiten consultar el estado de seguridad y monitorear todos los componentes de hardware y software. Además, la plataforma incluye la Consola CaaS, la Interfaz de Usuario de Monitorización y el Módulo de Auditoría de la plataforma.
Éstas están enfocadas a proteger activos específicos, de acuerdo a su naturaleza, con el nivel requerido en cada dimensión de seguridad.
[mp.com.1] Perímetro seguro
Se proporcionará un sistema de cortafuegos (firewall) para separar la red interna de la exterior. Todo el tráfico debe pasar por este cortafuegos, que sólo permitirá el paso de flujos previamente autorizados.
El firewall contempla, entre otras, las siguientes reglas:
Durante la implementación de la Plataforma, y en base a un análisis de riesgo, se determinará el conjunto de reglas a implementar en el firewall.
[mp.com.2] Protección de la confidencialidad
Se usarán redes privadas virtuales cuando la comunicación se realice a través de redes fuera del propio dominio de seguridad cuando sea posible. Se utilizarán algoritmos acreditados por el Centro Criptológico Nacional.
[mp.com.3] Protección de autenticidad e integridad
Todas las comunicaciones están protegidas por certificados SSL o certificados electrónicos como el DNI.
[mp.info.1] Datos personales
De acuerdo con el reglamento de la UE 2016/679 de protección de datos (RGPD, Reglamento General de Protección de Datos), la plataforma adopta los requisitos necesarios en el diseño y desarrollo de software para garantizar la privacidad y protección de datos personales del usuario en cualquier escenario posible. Los usuarios tendrán sus datos personales asegurados y protegidos. Podrán definir restricciones y cesiones de uso de la información, garantizando en todo momento los derechos establecidos en el RGPD.
Onesait Platform implementa los mecanismos mediante la adopción de las medidas necesarias para el tratamiento de datos personales, tal y como exige la norma, en cumplimiento de:
Desde el inicio de Onesait Platform, el diseño estuvo enfocado al pleno cumplimiento del estándar, adoptando las medidas necesarias en todos los procesos que implican el tratamiento de datos, como norma y desde el origen. La plataforma proporciona mecanismos de autenticación, autorización (por roles) y encriptación (información encriptada), tanto en la transferencia de información de los sistemas y dispositivos a la plataforma, como en el consumo de la información almacenada. Esto garantiza la confidencialidad e integridad de la información almacenada, cumpliendo en todo momento con:
Onesait Platform es completamente transparente, tanto a nivel de arquitectura como de gestión de datos. La plataforma es una solución de código abierto, con la versión Onesait Platform Community disponible en GitHub. Onesait Platform proporciona en todo momento:
Un usuario tendrá la posibilidad de gestionar tanto el perfil de ese usuario como toda la información de ese usuario, desde el Panel de Control, manteniendo un principio de total transparencia y privacidad para el usuario.
Para registrar una cuenta en el sistema, los usuarios deben aceptar los términos y condiciones de uso de la plataforma.
Se informa a los usuarios sobre el uso de datos y derechos según el RGPD y cómo ejercerlos (información de contacto). Después de eso, usando solo las credenciales (nombre de usuario / contraseña), los usuarios pueden acceder a su cuenta personal en la plataforma.
Una vez que el usuario ha eliminado su cuenta, toda la información del usuario también se elimina si el usuario la había marcado como "privada". Si la información (ontologías) fue verificada como "pública", esa información permanecerá.
El usuario puede definir la configuración de privacidad de acuerdo con el RGPD:
[mp.info.9] Copias de seguridad
El sistema aprovechará las ventajas y herramientas que brinda AWS Cloud, específicamente el concepto de instantánea (snapshot) que permite realizar copias de seguridad de los datos, permitiendo tomar instantáneas en un momento dado, de manera incremental, y ahorrando costos de almacenamiento. Estas instantáneas contienen la información necesaria para restaurar datos en un volumen final, produciendo una réplica exacta del volumen original. Los volúmenes replicados cargan los datos en segundo plano, lo que permite comenzar a usarlos de inmediato.
[mp.s.2] Protección de servicios web y aplicaciones
Onesait Platform implementa por defecto las siguientes medidas para proteger sus servicios y aplicaciones:
[mp.s.8] Protección contra denegación de servicio
Explicado en la medida de seguridad [mp.com.1]. Perímetro seguro.
El dimensionamiento del sistema planificado tiene capacidad suficiente para soportar aumentos en la demanda. Además, las capacidades de escalabilidad y robustez brindan la flexibilidad para soportar estos aumentos en la demanda.