Seguridad en Blue Canvas
En Blue Canvas nos importan la seguridad y la estabilidad de nuestra plataforma, y estamos profundamente comprometidos con proteger tu información.
Seguridad y confiabilidad con certificación SOC 2
Protegemos tus metadatos y ayudamos a tu equipo a cumplir las normas. La seguridad es parte de nuestro diseño. Blue Canvas aprobó una auditoría completa de SOC 2 y cumple con altos estándares de producto, infraestructura y políticas.
Contáctanos para obtener el informe.La seguridad es una prioridad en Blue Canvas. Creemos que debe estar profundamente integrada en el proceso: es mucho más que firewalls y rotación de contraseñas. La seguridad también tiene que ver con la cultura y las políticas. Desde el primer día, nos propusimos construir una cultura informada y consciente de la seguridad. Esto abarca desde nuestra forma de abordar la contratación y la capacitación hasta los proveedores que seleccionamos y cómo implementamos nuestros sistemas. Todos los integrantes del equipo reciben capacitación en buenas prácticas de seguridad, incluida la autenticación de dos factores, la gestión adecuada de contraseñas y el cifrado.
Muchas empresas jóvenes dejan la seguridad para después. Entendemos la presión que lleva a muchas a hacerlo, pero creemos que invertir de forma consciente y estratégica en buenas prácticas de seguridad desde una etapa temprana es crucial para nosotros y nuestros clientes.
Seguridad de la infraestructura
Una infraestructura segura es la base de una aplicación confiable. Utilizamos Amazon Web Services (AWS) por su enfoque en la seguridad y sus buenas prácticas líderes en la industria. Las instalaciones físicas, las redes, el hardware y el software operativo de AWS se diseñan y gestionan de acuerdo con buenas prácticas de seguridad y diversos estándares de cumplimiento, incluidos: ISO 27001, PCI DSS de nivel 1, HIPAA y SOC 1, 2 y 3.
Seguridad física de AWS
AWS ofrece acceso físico estrictamente controlado, supervisado por personal de seguridad profesional mediante sistemas de videovigilancia y detección de intrusiones. El personal autorizado debe pasar por autenticación de dos factores un mínimo de dos veces para acceder a las áreas del centro de datos.
La seguridad física también incluye sistemas automáticos de detección y extinción de incendios, así como sistemas de alimentación eléctrica totalmente redundantes. Cuando el hardware llega al final de su vida útil, AWS aplica un estricto proceso de retiro diseñado para proteger los datos de los clientes. Utiliza las prácticas descritas en DoD 5220.22-M o NIST 800-88 para destruir los datos al retirar el hardware.
Seguridad de red de AWS
AWS proporciona una arquitectura de red segura que utiliza firewalls y otros dispositivos perimetrales para supervisar las comunicaciones en los límites externos de la red y en los límites internos clave. Los dispositivos perimetrales emplean listas de control de acceso (ACL). La infraestructura de AWS está diseñada específicamente para proteger contra amenazas tradicionales de seguridad de red, como DDoS, ataques de intermediario, suplantación de IP y escaneo de puertos. Otros clientes de AWS no pueden capturar paquetes de red, e incluso dos instancias virtuales del mismo cliente ubicadas en el mismo host físico no pueden interceptar el tráfico de la otra.
Seguridad de las API de Salesforce
Aprovechamos los mecanismos de seguridad proporcionados por Salesforce para proteger el acceso a las API privilegiadas y a los tokens de autenticación. Procesamos toda la autenticación y delegación a través de Auth0, una plataforma de autenticación certificada y diseñada específicamente para este fin. Auth0 actúa como proveedor de identidad (IdP) y punto de conexión de delegación para la autenticación de nuestros usuarios, así como para las conexiones establecidas entre Blue Canvas y las API de Salesforce. Auth0 cumple con SOC 2 Tipo II y HIPAA BAA y cuenta con las certificaciones correspondientes.
Intercambio de credenciales OAuth 2.0
La autenticación con Salesforce se basa en un flujo OAuth 2.0. Esto garantiza que las credenciales de nombre de usuario y contraseña (y la autenticación de 2 factores, si está habilitada) sean gestionadas únicamente por Salesforce.com y nunca se nos expongan directamente. Después de iniciar sesión, el usuario autoriza nuestra aplicación conectada.
Para acceder a la API de Salesforce con fines de sincronización, nuestros servidores de backend solicitan un token de acceso de corta duración a un punto de conexión de delegación restringido. Los tokens de acceso no se almacenan en reposo. Cada intento de delegación queda registrado para auditoría y puede ser revisado por nosotros en nuestro backend de Auth0 y por el cliente en su organización de Salesforce.
El punto de conexión de delegación reenvía una solicitud a Salesforce. La solicitud reenviada se autentica mediante aserciones de cliente basadas en certificados (RS256). Este intercambio seguro basado en certificados es preferible al intercambio más común de tokens de actualización de larga duración, ya que ofrece controles estrictos para proteger el acceso al certificado subyacente. Al no existir tokens de larga duración, se reduce la superficie de ataque.
Los usuarios pueden supervisar de forma independiente el acceso de Blue Canvas a sus organizaciones de Salesforce mediante la función Uso de OAuth de aplicaciones conectadas que proporciona Salesforce. Si es necesario, los usuarios también pueden utilizar esta función para revocar por completo el acceso a la API.
Registros de auditoría
Salesforce mantiene de forma independiente registros de todos los eventos de seguridad que ocurren en sus sistemas, para que puedas auditar por tu cuenta cada solicitud que realiza Blue Canvas.
Seguridad de las aplicaciones
Blue Canvas cuenta con controles para proteger la seguridad de los servicios de aplicaciones, los datos de los clientes y la configuración del sistema. El acceso a los servidores de producción se controla mediante aislamiento de red y firewalls. Los cambios en el software de las aplicaciones y la infraestructura del sistema se registran en repositorios de código con control de versiones.
Acceso autenticado
Solo se puede acceder a las API y aplicaciones de Blue Canvas a través de canales cifrados TLS/SSL, y cada solicitud requiere autenticación con un token de acceso de duración limitada, emitido por el subsistema de autenticación descrito anteriormente. Utilizamos claves RSA de 2048 bits con un conjunto moderno de algoritmos de cifrado para reforzar la encriptación. Los certificados de servidor se almacenan de forma segura mediante AWS Certificate Manager y no se puede acceder a ellos directamente.
Registro de actividad
Todas las solicitudes a las API de infraestructura, como el acceso administrativo, el acceso al almacenamiento o los cambios en la configuración de la infraestructura, se registran de forma permanente mediante AWS CloudTrail. Auth0 registra de manera independiente para nosotros la actividad de autenticación, como los inicios de sesión de los usuarios finales, los cambios de contraseña, el acceso administrativo y la delegación de tokens de API.
Límite de solicitudes
Las aplicaciones de Blue Canvas incorporan límites de solicitudes y bloquean las solicitudes excesivas para garantizar la calidad y disponibilidad del servicio. Los intentos excesivos de iniciar sesión en una cuenta de usuario mediante ataques de fuerza bruta se detectan y bloquean automáticamente.
Gestión de cambios
Los cambios en el software de las aplicaciones de Blue Canvas se realizan mediante procesos automatizados de verificación de compilaciones y despliegue. Las modificaciones del código son visibles en nuestro sistema de control de versiones. Asimismo, la infraestructura se administra y modifica mediante archivos de configuración declarativos que se almacenan con control de versiones en nuestro repositorio de código. Los cambios se implementan de forma que se minimice el impacto en nuestros clientes y en la disponibilidad del servicio.
Protección de red
De forma predeterminada, se bloquea todo el tráfico de redes externas y no se permite que ningún tráfico acceda directamente a los servidores y servicios de Blue Canvas. Los firewalls regulan el tráfico hacia nuestras redes IP privadas no enrutables. Las solicitudes a las API y aplicaciones son procesadas por servicios proxy y balanceadores de carga antes de enviarse a nuestros servidores internos.
¿Preguntas o problemas de seguridad?
Si encontraste una vulnerabilidad de seguridad en Blue Canvas, por favor ponte en contacto con nuestro equipo de seguridad.
Lee más sobre Divulgación responsable, Política de privacidad, y Términos de servicio.
Comienza hoy tu camino en DevOps
Más de 850 millones de líneas de código se respaldan de forma segura con Blue Canvas, lo que permite a las empresas implementar y revertir cambios continuamente en Salesforce con facilidad y mantener la paridad entre los entornos de sus organizaciones.