Medidas de seguridad
En MTech nos tomamos muy en serio la seguridad de la información. Proteger tus datos es una de nuestras responsabilidades más importantes. Creemos firmemente en la transparencia de nuestro trabajo, y esto también se aplica a nuestras prácticas de seguridad, para que tú, como cliente, comprendas nuestro enfoque y nuestro compromiso.
1. Gobernanza y organización
Nuestro programa de seguridad de la información está dirigido por nuestro director de sistemas de información, quien es responsable de la estrategia de seguridad, la gestión de riesgos, el cumplimiento de la legislación aplicable en materia de seguridad de la información y protección de datos, y la supervisión de la seguridad operativa (incluida la revisión de alertas, registros y métricas). El director de sistemas de información también desempeña las funciones de nuestro delegado de protección de datos interno.
2. Marcos y certificaciones
El programa de seguridad de la información de MTech incorpora las mejores prácticas de marcos de referencia estándar del sector, como la norma ISO 27001 y el Marco de Ciberseguridad (CSF) del NIST. MTech cuenta con la certificación SOC 2 Tipo 2, otorgada por un auditor externo independiente.
Puede obtener más información sobre nuestras certificaciones en https://mtechsystems.io/trust-center.
Nuestro informe SOC 2 Tipo 2 está disponible previa solicitud, sujeto a un acuerdo de confidencialidad habitual.
3. Categorías de datos tratados
La plataforma y los servicios de MTech procesan principalmente datos relacionados con las operaciones de producción ganadera y la gestión de la cadena de suministro. La mayor parte de los datos incluyen métricas como el recuento de animales, el consumo de pienso, los rendimientos de producción, las condiciones ambientales y el seguimiento de costos, y proceden de los sistemas y dispositivos que los suscriptores deciden conectar.
Los datos personales no constituyen el principal tipo de datos que maneja MTech. Nos centramos en datos operativos, de producción y de la cadena de suministro para apoyar la gestión ganadera y la toma de decisiones empresariales.
4. Derechos de los interesados y solicitudes relacionadas con la privacidad
MTech respeta los derechos de los interesados conforme a la legislación vigente en materia de privacidad. Puede obtener más información sobre cómo gestionamos las solicitudes de acceso, rectificación, supresión o limitación del tratamiento de datos personales en nuestra Política de privacidad, disponible en https://mtechsystems.io/legal/privacy-policy/.
5. Principios fundamentales de seguridad
El objetivo fundamental de nuestro programa de seguridad de la información es impedir el acceso no autorizado a los datos de los suscriptores.
- Gestión de la información. Todos los activos de información se clasifican mediante una matriz de clasificación formal, con funciones y responsabilidades asignadas en toda la organización para garantizar la rendición de cuentas y una gestión adecuada.
- Datos en tránsito. Todos los datos que se transfieren entre los sistemas de los suscriptores y los servicios de MTech están protegidos mediante protocolos de cifrado robustos, concretamente el protocolo Transport Layer Security (TLS 1.2 o superior).
- Datos en reposo. Todos los datos almacenados en la plataforma de MTech se cifran en reposo mediante el Estándar de Cifrado Avanzado (AES-256).
- Segmentación de datos. La plataforma de MTech opera en un entorno de nube seguro, y los datos de cada suscriptor están separados lógicamente para garantizar la privacidad y el aislamiento.
- Claves de cifrado. Las claves de cifrado se gestionan de forma segura en Microsoft Azure, con rotaciones periódicas y controles de acceso de acuerdo con las mejores prácticas del sector.
6. Marco de confianza cero
MTech aplica una estrategia de confianza cero en todos los entornos, ya sean internos o de los clientes. El marco de confianza cero se basa en tres principios fundamentales.
- Verificar explícitamente. Cada solicitud de acceso se autentica y autoriza basándose en todos los datos disponibles.
- Utilice el principio del mínimo privilegio. Limita el acceso de los usuarios solo a lo estrictamente necesario.
- Suponer una violación de seguridad. Diseña los sistemas partiendo de la premisa de que se producirán brechas de seguridad.
7. Alojamiento
La plataforma y los servicios de MTech se alojan en Microsoft Azure. Los suscriptores pueden elegir la ubicación de alojamiento que prefieran para cumplir con los requisitos comerciales, normativos o de residencia de datos.
8. Seguridad operativa y supervisión
Nuestra plataforma y nuestros servicios se supervisan constantemente para detectar desviaciones, anomalías y patrones sospechosos. Supervisamos las cuentas de los suscriptores y las actividades de los usuarios, incluidas las cuentas con privilegios. Se analizan diferentes tipos de tráfico y comportamientos para identificar desviaciones y permitir una respuesta rápida mediante alertas automatizadas. La disponibilidad y el rendimiento de los productos se supervisan continuamente mediante servicios de monitoreo especializados. Los controles de monitoreo y alertas se revisan y actualizan periódicamente para adaptarse a la evolución de las amenazas y a los requisitos operativos.
9. Inteligencia sobre amenazas y análisis de riesgos
El análisis de amenazas de ciberataques mediante Microsoft Defender, Microsoft Sentinel y Blue Voyant ayuda al equipo de seguridad de MTech a identificar riesgos derivados de hackers externos, sabotajes internos y amenazas geopolíticas. El objetivo principal es detectar y prevenir el ransomware, los ataques motivados por el activismo y los ataques contra datos confidenciales, como nuestro código fuente y los datos de los suscriptores.
- Microsoft Defender. MTech utiliza Microsoft Defender para Endpoint, Identity, Office 365 y Cloud Apps. Defender para Endpoint ofrece bloqueo en tiempo real y protección contra amenazas. Defender para Identity protege Active Directory contra el movimiento lateral y el robo de credenciales. Defender para Office 365 mejora la higiene del correo electrónico y la protección contra el phishing. Defender para Cloud Apps supervisa la TI en la sombra y las anomalías en las aplicaciones.
- Microsoft Sentinel. Sentinel actúa como la plataforma SIEM de MTech, agregando registros de Defender y otras fuentes. Ofrece funciones de análisis, alertas y automatización, y está integrada con el SOC de BlueVoyant para proporcionar detección y respuesta gestionadas las 24 horas del día, los 7 días de la semana, los 365 días del año. BlueVoyant se encarga de clasificar los incidentes de seguridad y, cuando procede, los remite al personal interno de MTech.
- BlueVoyant. BlueVoyant ofrece cobertura del Centro de Operaciones de Seguridad (SOC) las 24 horas del día, los 7 días de la semana, los 365 días del año, inteligencia sobre amenazas e informes mensuales a través del portal Wavelength. Permite la cuarentena de terminales, la eliminación de archivos y la inclusión en listas blancas según protocolos previamente aprobados. La integración de inicio de sesión único (SSO) con Entra ID garantiza un acceso seguro al portal.
10. Controles de gestión del acceso
MTech aplica controles rigurosos de gestión de accesos para garantizar que solo las personas autorizadas puedan acceder a nuestros sistemas y datos. Los derechos de acceso se otorgan según los principios de «necesidad de conocer» y «privilegio mínimo», lo que garantiza que los usuarios solo dispongan de los permisos necesarios para desempeñar sus funciones y responsabilidades.
- Autenticación. Protegemos las cuentas con medidas de autenticación robustas, entre las que se incluyen la autenticación multifactorial (MFA), los tokens de hardware y el inicio de sesión único (SSO).
- Acceso privilegiado. El acceso privilegiado está estrictamente limitado al personal autorizado. Todas las actividades realizadas con derechos elevados se supervisan de cerca y se registran para garantizar la rendición de cuentas y la supervisión.
- Acceder a las reseñas. Las revisiones de acceso se llevan a cabo periódicamente siguiendo un proceso establecido para garantizar que los permisos sigan siendo adecuados.
- Opciones de autenticación de suscriptores. MTech ofrece opciones de autenticación flexibles para los suscriptores, incluyendo integraciones con proveedores de identidad como Okta, Google, CyberArk y Entra ID.
11. Prácticas de desarrollo seguro
La seguridad está integrada en todo el ciclo de vida del desarrollo de software.
- Implementación del código. Todos los cambios en el código fuente se someten a una revisión por pares y se validan antes de implementarse en el entorno de producción.
- Supervisión automatizada. Las herramientas automatizadas realizan análisis continuos en busca de posibles vulnerabilidades, lo que garantiza que los problemas se identifiquen y se solucionen con prontitud para mantener la seguridad y la integridad de nuestra plataforma y nuestros servicios.
12. Pruebas de penetración
MTech contrata a terceros independientes para que realicen pruebas de penetración periódicas de nuestra plataforma y nuestros servicios.
13. Gestión de incidentes
14. Recuperación ante desastres y continuidad del negocio
Los suscriptores tienen la opción de implementar servicios de forma redundante en varias zonas de disponibilidad de Azure, lo que garantiza la resiliencia frente a riesgos ambientales.
Los servicios aprovechan centros de datos distribuidos geográficamente e infraestructura en la nube para garantizar una alta disponibilidad, la continuidad operativa y la recuperación ante desastres, según el nivel de servicio seleccionado por el suscriptor.
Los datos de los suscriptores se guardan en copias de seguridad mediante un almacenamiento georedundante en una región alternativa. En caso de que se produzca una interrupción del servicio en la región principal, los datos se pueden restaurar y el entorno se puede volver a configurar de acuerdo con nuestros procedimientos de recuperación ante desastres.
Los equipos de soporte técnico y de ingeniería están repartidos por todas las regiones para garantizar una respuesta rápida.
Los planes de continuidad del negocio, respuesta ante incidentes y recuperación ante desastres se prueban y actualizan periódicamente.
15. Gestión de riesgos
La gestión de riesgos es una actividad fundamental en MTech y resulta esencial para nuestra estabilidad a largo plazo y nuestra resiliencia operativa. Fomentamos una sólida cultura de concienciación sobre los riesgos y mantenemos procesos eficaces para identificar, evaluar, gestionar y comunicar los riesgos en toda nuestra organización.
MTech supervisa y evalúa continuamente los riesgos mediante un modelo estructurado que tiene en cuenta tanto la probabilidad como el impacto. Los riesgos se identifican, evalúan y priorizan, y se desarrollan estrategias de mitigación cuyo seguimiento se lleva a cabo hasta su resolución. La presentación periódica de informes garantiza que los responsables de los riesgos y los directivos se mantengan informados y participen en una gestión proactiva de los riesgos.
16. Seguridad de las personas
MTech aplica controles exhaustivos de seguridad del personal para garantizar que los empleados, contratistas y consultores comprendan sus responsabilidades, sean aptos para sus funciones y reciban formación continua.
- Verificación de antecedentes. Se lleva a cabo una verificación previa a la contratación para todos los nuevos empleados y contratistas. Se recurre a proveedores de servicios externos para realizar estas verificaciones de forma segura, siempre que lo permitan las leyes aplicables.
- Incorporación. Todo el personal sigue un proceso de incorporación estructurado que incluye la participación en cursos de sensibilización sobre seguridad y de capacitación específica para cada puesto, así como la asignación de credenciales de acceso.
- Proceso de salida. La salida de la empresa se rige por un proceso formal basado en una lista de verificación que incluye la revocación inmediata del acceso físico y al sistema, la devolución o destrucción de los materiales y la información de la empresa, y recordatorios de las obligaciones vigentes en virtud de los acuerdos de confidencialidad y los contratos de trabajo.
- Concienciación y formación en materia de seguridad. MTech lleva a cabo un programa continuo de concienciación sobre seguridad que incluye capacitación general en seguridad para todo el personal, módulos específicos que abordan los vectores de amenaza actuales (por ejemplo, el phishing y la ingeniería social), así como simulaciones de phishing y capacitación de seguimiento para subsanar las deficiencias identificadas.
- Proceso disciplinario. MTech cuenta con un proceso disciplinario para gestionar las infracciones de seguridad. Este proceso garantiza un tratamiento justo y coherente de los incidentes, con protocolos de escalamiento y medidas correctivas que varían en función de la gravedad y la intención.
17. Seguridad física
MTech se ha asociado con Microsoft Azure para alojar nuestra plataforma y nuestros servicios. Microsoft Azure cuenta con certificaciones de seguridad que cumplen con los estándares del sector, entre las que se incluyen ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3 y PCI DSS Nivel 1. Para obtener más información sobre la seguridad de los centros de datos de Microsoft Azure, visite https://learn.microsoft.com/en-us/azure/security/.
MTech ha implementado medidas para garantizar que solo las personas autorizadas puedan acceder a nuestras oficinas físicas. Esto incluye controles de acceso exhaustivos, como el uso de lectores de tarjetas de identificación, vigilancia por cámara y restricciones de acceso en horarios específicos.
18. Gestión de proveedores y subencargados del tratamiento
MTech se apoya en una serie de servicios de terceros para funcionar de manera eficiente y eficaz. Cuando estos proveedores están integrados con los servicios de MTech o pueden afectar nuestra seguridad y tolerancia al riesgo, llevamos a cabo evaluaciones de riesgo exhaustivas antes de incorporar a cualquier nuevo proveedor (incluidos los períodos de prueba) y, según sea necesario, para los proveedores existentes. Dichas evaluaciones de riesgo incluyen la verificación del cumplimiento de las normas SOC 2 e ISO 27001.
Todos los subencargados del tratamiento (proveedores que tratan datos personales) están sujetos a acuerdos por escrito que les obligan a cumplir con las normas de seguridad, privacidad y cumplimiento normativo de MTech. Mantenemos una lista pública de los subencargados del tratamiento actuales y notificamos cualquier cambio.
La lista de nuestros subencargados del tratamiento está disponible en https://mtechsystems.io/legal/sub-processor-list/.
19. Contáctenos
Si tiene alguna pregunta sobre nuestras prácticas de seguridad de la información o de protección de datos, puede ponerse en contacto con nosotros utilizando los datos que figuran a continuación.
Correo electrónico: support@mtech-systems.com
Correo postal: 115 Perimeter Center Place NE, Suite 845, Atlanta, GA 30346, EE. UU.