Anexo de seguridad de la información

Introducción

Este Anexo de seguridad de la información (“ISA”) se incorpora por referencia al contrato de servicios entre el Cliente y Snyk (“Contrato”). Este ISA describe los estándares mínimos de seguridad de la información que Snyk mantiene para proteger los Datos del Cliente. Los requisitos de este ISA se suman a los requisitos establecidos en el Contrato. Los términos en mayúscula que se usan, pero no se definen en este ISA, tienen el significado que se les atribuye en el Contrato.

1. Programa de seguridad de Snyk

1.1 Alcance y contenido. 

El programa de seguridad de Snyk: (A) incluye medidas de protección administrativas, técnicas y físicas razonablemente diseñadas para proteger la confidencialidad, integridad y disponibilidad de los Datos del Cliente; y (B) es adecuado para la naturaleza, el tamaño y la complejidad de las operaciones comerciales de Snyk. 

Snyk cumple con los requisitos AICPA ISAE3402 SOC2 Type II, ISO27001:2022 e ISO27017:2015, y revisa sus controles anualmente con auditores externos independientes, calificados e imparciales. Snyk también realiza auditorías internas alineadas con los controles del programa de seguridad de la información de Snyk y estos marcos de cumplimiento. La auditoría interna de Snyk valida que los controles funcionen de manera eficaz. Todo problema identificado se documenta, se rastrea y se corrige. Para mayor comodidad, los clientes pueden acceder a los informes de auditoría de terceros y la documentación de seguridad relacionada en el portal de confianza de Snyk. 

Toda referencia en este ISA a ISO27001:2022 o ISO27017:2015 se aplica a los Servicios, excepto Snyk API & Web.

1.2 Cambios al programa de seguridad. 

El director de seguridad de la información de Snyk u otro líder designado por Snyk, junto con el equipo de seguridad, desarrolla, mantiene, revisa y aprueba las políticas de seguridad de Snyk. Todo el personal de Snyk puede acceder a las políticas y los procedimientos operativos de Snyk relacionados con la seguridad, la confidencialidad, la integridad y la disponibilidad a través de la intranet corporativa. Las políticas de seguridad se revisan, actualizan (según sea necesario) y aprueban al menos una vez al año. El personal de Snyk debe revisar y reconocer las políticas de seguridad durante el proceso de incorporación.

1.3 Capacitación y concientización en seguridad. 

Todo el personal de Snyk debe completar una capacitación sobre concientización en seguridad y privacidad al menos una vez al año. Snyk imparte periódicamente capacitaciones de concientización en seguridad para orientar al personal sobre cómo crear y mantener un entorno de trabajo seguro.

2. Seguridad de recursos humanos

Durante la contratación, Snyk implementa los siguientes controles:

• Verifica el historial laboral de los últimos siete años y realiza verificaciones de antecedentes penales y de la Oficina de Control de Activos Extranjeros (OFAC) para todo el personal de Snyk, en la medida permitida por las leyes y regulaciones locales; 

• Snyk puede exigir verificaciones de antecedentes adicionales si corresponden al puesto, según su criterio. Estas pueden incluir el historial de vehículos motorizados, una verificación del historial financiero o crediticio, una consulta al registro local o nacional de delincuentes sexuales y una verificación de redes sociales o reputación, para confirmar que la persona no represente un riesgo que pueda afectar negativamente a Snyk o a su comunidad.

• Celebra contratos laborales que exigen proteger los datos personales y la información confidencial tanto durante como después del periodo de empleo.

Snyk mantiene un proceso disciplinario para tomar medidas contra el personal que no cumpla las políticas de la empresa, incluidas las políticas de seguridad de Snyk.

El acceso a los sistemas y las redes de Snyk se deshabilita rápidamente tras recibir la notificación de la desvinculación de un miembro del personal.

3. Configuración y seguridad de los activos

Snyk usa tecnología de detección y respuesta en endpoints (EDR) en todos sus endpoints para monitorear la presencia de virus y malware. Los dispositivos endpoint se analizan en tiempo real y el monitoreo del agente antivirus garantiza que se realicen análisis periódicos. La tecnología EDR envía automáticamente definiciones de virus actualizadas a todos los endpoints. Todos los endpoints tienen cifrado de disco completo y se monitorean con herramientas reconocidas en el sector, que generan alertas ante cualquier discrepancia entre las políticas de seguridad de Snyk y la configuración del endpoint de un usuario. Snyk mantiene un inventario de sus activos de hardware corporativo, software e infraestructura en la nube, y lo concilia sistemáticamente cada año. Además, Snyk clasifica la información de acuerdo con sus pautas de clasificación de datos.

4. Controles de acceso y autenticación

Los empleados de Snyk se identifican y autentican mediante inicio de sesión único (SSO) y autenticación multifactor (MFA) para acceder a la red y las herramientas corporativas. Snyk exige un nivel mínimo de complejidad de contraseña para todo acceso a la red corporativa. Los controles de acceso de Snyk se basan en roles y se ajustan al principio de privilegio mínimo. Antes de otorgar acceso a las herramientas de seguridad de Snyk, las solicitudes deben ser aprobadas por los aprobadores designados del equipo de seguridad o de tecnología de la información.

Además, Snyk utiliza cuentas administrativas independientes, cuyo uso se limita al personal autorizado para realizar funciones privilegiadas. Snyk revisa: (A) el acceso de administradores a los sistemas confidenciales y restringidos cada seis meses; y (B) los permisos de acceso al entorno de producción y a los sistemas corporativos confidenciales cada tres meses. Todo acceso que no corresponda a las funciones del rol se elimina rápidamente, y se notifica el cambio a la persona afectada y a su gerente directo. 

La red de producción de Snyk está protegida mediante un perímetro definido por software (SDP). Además, para acceder a los Servicios de Snyk, incluida la red de producción, los empleados de Snyk deben usar MFA. La combinación de SDP y MFA permite a Snyk controlar de manera granular los permisos, la conectividad y la auditabilidad.

5. Cifrado y administración de claves

Snyk usa técnicas de cifrado estándar del sector para cifrar los Datos del Cliente en reposo y en tránsito, con TLS1.2, AES-256-CBC o estándares de cifrado superiores. Snyk monitorea las prácticas recomendadas de cifrado y actualiza sus estándares de cifrado según corresponda para alinearlos con los estándares del sector. Todas las conexiones se autentican y cifran mediante tecnología de cifrado estándar del sector. Snyk utiliza claves generadas con métodos coherentes con las prácticas aceptadas en el sector, y las revisa y reemplaza al menos una vez al año. Snyk monitorea la integridad de los Datos del Cliente, incluida su precisión, integridad y coherencia, durante la transmisión para detectar manipulaciones o daños en los datos.

6. Seguridad física

Las oficinas de Snyk son espacios de colaboración para sus empleados; ninguno de los Servicios se aloja en sus oficinas. Snyk otorga acceso a las oficinas según la ubicación geográfica y las responsabilidades laborales de los empleados. El acceso se revoca en un plazo de 24 horas o, si no es razonablemente posible, tan pronto como sea posible, como parte de una desvinculación o transferencia interna de puesto cuando ya no se requiera. El acceso a las oficinas de Snyk se administra mediante un sistema de credenciales que registra los accesos, incluidos los intentos no autorizados, que se deniegan. Snyk mantiene registros de visitantes y exige que el personal de Snyk acompañe a quienes visitan sus oficinas. 

Snyk utiliza los centros de datos de Amazon Web Services (AWS) y Google Cloud Platform (GCP) para todos sus requisitos de alojamiento. AWS y GCP son responsables de las políticas de seguridad física y ambiental de sus entornos de alojamiento. Estos controles se validan anualmente para garantizar que cumplan con ISO27001:2022 y los estándares de seguridad física SOC2.

7. Registro y monitoreo

Snyk monitorea continuamente las aplicaciones, la infraestructura, la red, el espacio de almacenamiento de datos y el rendimiento de los sistemas. Snyk utiliza un sistema de gestión de eventos e información de seguridad (SIEM) para recopilar en tiempo real información de los registros de seguridad de servidores, firewalls, routers y dispositivos de sistemas de detección de intrusiones (IDS). El SIEM se monitorea de forma continua. Los registros incluyen detalles sobre la fecha, la hora, el origen y el tipo de eventos. Snyk revisa esta información y, según corresponda, corrige los posibles riesgos de seguridad.

8. Seguridad de la red

Snyk utiliza soluciones de defensa perimetral de red de GCP y AWS, así como firewalls y sistemas IDS internos, para monitorear, detectar y prevenir actividades maliciosas en la red. El equipo de seguridad toma las medidas adecuadas para responder a las actividades anómalas. Los cambios en las reglas del firewall siguen el proceso de gestión de cambios de Snyk y requieren la aprobación de los aprobadores designados. Las redes corporativas y en la nube de Snyk están segmentadas lógicamente mediante redes de área local virtuales (VLAN), y los firewalls monitorean el tráfico para restringir el acceso a usuarios, sistemas y servicios autorizados.

9. Desarrollo seguro

El proceso del ciclo de vida de desarrollo de software (SDLC) de Snyk rige la adquisición, el desarrollo, la implementación, la configuración, el mantenimiento, la modificación y la administración de los Servicios de Snyk, y garantiza, entre otras cosas, que se ajusten a las políticas de seguridad de Snyk. Snyk utiliza un sistema de control de versiones de código para mantener la integridad y la seguridad del código fuente de las aplicaciones. Antes de lanzar una versión nueva de los Servicios al entorno de producción, el código se prueba y certifica en entornos que no son de producción. Snyk sigue pautas de codificación segura que se revisan y actualizan periódicamente y están disponibles para los empleados en la intranet corporativa de Snyk. Los desarrolladores de Snyk reciben capacitación anual sobre codificación segura.

10. Soporte y mantenimiento

Snyk implementa cambios en los Servicios durante ventanas de mantenimiento programadas, cuyos detalles se publican en la página Estado de Snyk o en la página Estado de Snyk API & Web (según corresponda), antes del periodo programado. Snyk también publica avisos sobre interrupciones del servicio y proporciona actualizaciones de estado, información general sobre las actualizaciones, la disponibilidad de nuevas versiones y los requisitos mínimos de versión en las páginas Snyk Updates y Estado.

11. Seguridad de terceros

Para los proveedores externos actuales y nuevos, Snyk utiliza un modelo de puntuación basado en riesgos. Snyk exige que los terceros firmen contratos que incluyan obligaciones de seguridad, disponibilidad, integridad del procesamiento y confidencialidad, según corresponda a los servicios que prestan. Snyk evalúa anualmente los controles de seguridad física y los informes de aseguramiento de sus centros de datos. Snyk evalúa el impacto de los problemas identificados y da seguimiento a las medidas correctivas.

12. Respuesta a incidentes y notificaciones

Snyk cuenta con un plan de respuesta a incidentes que incluye un proceso para evaluar, escalar y responder a los incidentes de seguridad identificados que afecten a Snyk, a sus clientes o a datos de Snyk o de sus clientes. El plan de respuesta a incidentes se revisa y actualiza periódicamente.

13. Gestión de riesgos

La política y el proceso de evaluación de riesgos de seguridad de Snyk le permiten identificar y corregir posibles amenazas a su infraestructura. Snyk asigna niveles de riesgo a todos los riesgos identificados, y el personal de seguridad gestiona las medidas correctivas. La dirección ejecutiva se mantiene al tanto del perfil de riesgo de la organización.

El programa de seguridad de Snyk incluye un programa de gestión del riesgo de amenazas internas para monitorear, generar alertas e investigar amenazas planteadas por personas tanto malintencionadas como no malintencionadas dentro de la organización.

14. Gestión de amenazas y vulnerabilidades

El programa de gestión de amenazas y vulnerabilidades de Snyk monitorea continuamente la infraestructura de sus productos y sus endpoints para detectar vulnerabilidades. Snyk realiza análisis internos y externos de vulnerabilidades todos los meses mediante herramientas de análisis reconocidas en el sector. Las vulnerabilidades identificadas se evalúan, documentan y corrigen para abordar los riesgos asociados. Snyk gestiona un programa continuo de recompensas por errores y realiza pruebas de penetración externas anuales a cargo de un tercero independiente. Los hallazgos de estas pruebas se evalúan, documentan y corrigen.

15. Gestión de cambios

Snyk cuenta con políticas y procedimientos de gestión de cambios para solicitar, probar y aprobar cambios relacionados con aplicaciones, infraestructura y productos. La documentación y las aprobaciones de los cambios se mantienen en un sistema de gestión de tickets. Los cambios en el desarrollo de productos pasan por distintos niveles de revisión y pruebas según el tipo de cambio, incluidos revisiones de seguridad y código, pruebas de regresión y pruebas de aceptación del usuario antes de aprobarse para su implementación. Una vez que las pruebas se completan correctamente, el liderazgo revisa y aprueba los cambios antes de implementarlos en producción. Snyk utiliza entornos dedicados, separados de producción, para las actividades de desarrollo y pruebas. El acceso para trasladar código a producción es limitado y está restringido al personal autorizado.

16. Plan de continuidad del negocio

Snyk mantiene un Plan de continuidad del negocio y un Plan de recuperación ante desastres para gestionar interrupciones importantes en las operaciones y la infraestructura de Snyk. Estos planes se revisan, actualizan (según sea necesario) y aprueban anualmente. Snyk realiza ejercicios de continuidad del negocio al menos una vez al año para evaluar las herramientas, los procesos y la experiencia especializada de Snyk frente a incidentes específicos. Los resultados de estos ejercicios se documentan y todo problema identificado se registra para su corrección.