En HALO, la seguridad y la privacidad de los datos son nuestras principales prioridades. El desarrollo de software y la prestación de servicios se basan en sólidas políticas de seguridad y privacidad de los datos. Al ofrecer un servicio centrado en estos principios, podemos garantizar una alta disponibilidad, confidencialidad e integridad de sus datos.

‍

La política de HALO consiste en mantener la concienciación en toda nuestra organización y entre nuestros proveedores sobre la importancia de garantizar la seguridad de la información, independientemente del formato en que se presente. Lo conseguiremos, en parte, mediante programas periódicos de formación y sensibilización en materia de seguridad de la información (SI).

Mantenernos a la vanguardia de los avances relacionados con el sistema de información (SI). Para ello, permaneceremos atentos a los constantes cambios que se producen en el entorno del SI, fomentando una cultura de mejora continua (MC). Abordaremos de forma exhaustiva cualquier incumplimiento relacionado con el SI. Nos aseguraremos de que esto se logre mediante el mantenimiento de un sólido sistema de notificación de incumplimientos, que se revisará periódicamente.

‍

Proporcionaremos los recursos necesarios y proporcionados para cumplir con nuestras obligaciones en materia de seguridad de la información. Mantendremos los recursos adecuados mediante la evaluación y el seguimiento periódicos de nuestro Sistema de Gestión de la Seguridad de la Información (SGSI).

‍

Cifrar los datos y los dispositivos siempre que sea posible y mantener un sistema pragmático de clasificación de la información.

Adoptaremos un enfoque basado en el riesgo en materia de seguridad de la información. Para ello, mantendremos actualizados un plan de evaluación y gestión de riesgos, que se revisará al menos una vez al año.

‍

Establecer anualmente los objetivos S.M.A.R.T. del Sistema de Información (S.I.) y revisarlos periódicamente, así como en nuestras reuniones de revisión de la gestión del S.I. Estos objetivos se comunicarán a todos los empleados a través de nuestros programas de formación y sensibilización.

‍

Nuestro proveedor de alojamiento seguro

Todas las aplicaciones en la nube de HALO se implementan en Amazon Web Services (AWS), líder del sector en la prestación de una infraestructura en la nube altamente segura y escalable.

‍

Seguridad física

AWS es líder en la provisión de centros de datos de última generación. El acceso físico se restringe cuidadosamente únicamente al personal necesario en las instalaciones y se revoca cuando ya no es necesario. El personal de seguridad utiliza una combinación de cámaras de seguridad y tarjetas de identificación, junto con múltiples niveles de autenticación de dos factores. Cualquier acceso concedido se restringe en función del rol de la persona y se limita al área correspondiente del centro de datos. Los Centros de Operaciones de Seguridad de AWS supervisan continuamente las entradas no autorizadas mediante registros de acceso, videovigilancia y sistemas de detección de intrusiones.

AWS mantiene y sigue mejorando sus informes y certificaciones SOC, entre las que se incluyen SOC, PCI, ISO y muchas otras. Se puede consultar más información al respecto en la sección «Cumplimiento normativo» de su página web.

‍

Continuidad del negocio

Todos los centros de datos de AWS están cuidadosamente ubicados para mitigar los riesgos medioambientales, como las inundaciones, las condiciones meteorológicas extremas y la actividad sísmica. Los centros de datos están equipados con sistemas automáticos de detección y extinción de incendios e inundaciones. HALO utiliza seis regiones de AWS: Londres, Virginia del Norte, Fráncfort, Montreal, Ciudad del Cabo y Sídney. Cada región cuenta con múltiples zonas de disponibilidad, todas ellas separadas físicamente entre sí, lo que garantiza una alta disponibilidad.

El personal y los sistemas controlan con precisión la temperatura y las condiciones climáticas para garantizar un rendimiento óptimo de los servidores y el resto del hardware. Todos los sistemas y equipos se supervisan y se someten a un mantenimiento preventivo para garantizar su funcionamiento continuo.

‍

Seguridad medioambiental

La infraestructura de Amazon cuenta con un alto nivel de disponibilidad y ofrece a los clientes las herramientas necesarias para implementar una arquitectura de TI resistente. AWS ha diseñado sus sistemas para que soporten fallos del sistema o del hardware con un impacto mínimo para los clientes. La gestión de la continuidad del negocio de los centros de datos de AWS está bajo la dirección del Grupo de Infraestructura de Amazon.

Las aplicaciones principales se implementan en una configuración N+1, de modo que, en caso de que se produzca un fallo en un centro de datos, se disponga de capacidad suficiente para distribuir el tráfico entre los sitios restantes.

‍

Fabricación segura de productos

Responsabilidad sobre el producto

Todos los productos de HALO cuentan con un responsable encargado de la entrega y el desarrollo seguro de la aplicación. Dicho responsable revisará periódicamente la hoja de ruta del producto y establecerá las prioridades de las correcciones de seguridad en consecuencia.

‍

Control de versiones

Se utiliza un repositorio central para gestionar el código, y el acceso al mismo se basa en los roles. Este está integrado con el entorno de desarrollo y los sistemas de control de versiones. Se mantiene un registro de cualquier cambio realizado en el código, que está a disposición del cliente en forma de notas de lanzamiento.

‍

Control de calidad

Cada lanzamiento se somete a un riguroso proceso de control de calidad, en el que se comprueban la funcionalidad, el rendimiento, la configuración, la experiencia del usuario y la estabilidad. La versión solo estará disponible para su uso una vez que haya superado estas pruebas.

‍

Arquitectura

Copia de seguridad de datos

Las pruebas mensuales de restauración de copias de seguridad garantizan que el proceso de restauración funcione según lo previsto y que las copias de seguridad se realicen en condiciones óptimas. Entre ellas se incluyen: copias de seguridad por hora de la base de datos transaccional, copias de seguridad completas diarias y copias de seguridad completas mensuales, que se conservan durante 3 días, 2 semanas y 3 meses, respectivamente. Las copias de seguridad se almacenan en diferentes centros de datos de Amazon.

‍

Escalado automático

Distribuye automáticamente el tráfico de las aplicaciones entre varias zonas de disponibilidad, lo que garantiza una alta disponibilidad, el escalado automático y una seguridad sólida.

‍

Gestión de incidentes

Procedimientos sólidos de gestión de incidencias que permiten notificarlas y realizar un seguimiento de las mismas hasta su resolución. Siguiendo el marco ITIL, se establecen prioridades para las incidencias y se realiza un seguimiento de los SLA.

‍

Certificación y cumplimiento normativo

Halo se compromete a ofrecer una solución que garantice la seguridad cibernética, así como a cumplir con los protocolos y normas adecuados a nivel interno.

Halo Service Solutions ha obtenido la certificación Cyber Essentials.

Halo Service Solutions Ltd cumple con la norma SOC 2 Tipo 2 y, si lo solicita, podemos facilitarle más información al respecto.

Halo Service Solutions Ltd cumple con la norma ISO 27001; se puede facilitar más información al respecto previa solicitud.

Para más información, envía un correo electrónico a security@imaginehalo.com.

También puedes acceder a través de nuestro portal de la fundación: https://trust.usehalo.com/

Declaración sobre la divulgación de vulnerabilidades

Objetivo

Halo Service Solutions se compromete a mantener la seguridad y la integridad de nuestra plataforma, nuestros productos y nuestros servicios. Agradecemos la notificación responsable de vulnerabilidades de seguridad y nos proponemos gestionar todas las notificaciones de forma transparente, oportuna y coordinada.

‍

Ámbito de aplicación

Esta política se aplica a todas las plataformas de Halo, entre las que se incluyen:

• Aplicaciones SaaS y API
• Componentes de terceros integrados
• Infraestructura alojada en la nube
• Implementaciones locales para clientes
• Sistemas internos que dan soporte a la plataforma

Cómo presentar una denuncia

Por favor, envíen las posibles vulnerabilidades por correo electrónico o a través de nuestro portal de asistencia.

Incluye una descripción del problema, los pasos para reproducirlo y cualquier prueba relevante. Si se trata de datos confidenciales, solicita nuestro procedimiento de envío seguro.

‍

Recepción y clasificación de pacientes

Respondemos a todas las notificaciones en un plazo de 3 días laborables.

Las incidencias se clasifican y se les asigna un nivel de gravedad de acuerdo con los marcos de riesgo estándar.

‍

Coordinación y medidas correctoras

• Los responsables de riesgos y los responsables de producto participan desde el principio
• Los parches y las medidas correctivas se priorizan en función de su gravedad:
  Crítico/Alto: se notifica a los clientes en un plazo de 48 horas tras confirmarse el impacto
  Medio/Bajo: se resuelve en el siguiente parche programado o en el siguiente comunicado de seguridad
• Los clientes con soluciones locales reciben medidas de mitigación temporales y orientación en caso de que no sea posible aplicar los parches de forma inmediata.

Coordinación con terceros

Cuando las vulnerabilidades afectan a componentes de terceros, coordinamos la divulgación con los proveedores, acordamos las fechas de divulgación pública y nos ponemos en contacto con las autoridades pertinentes.

‍

Divulgación pública

Los avisos públicos se publican una vez que se han implementado las soluciones coordinadas

Si actúas de buena fe y sigues esta política de divulgación, Halo no emprenderá acciones legales contra ti. No accedas a los datos de los clientes, no interrumpas los servicios ni aproveches las vulnerabilidades más allá de las pruebas de concepto.

‍

Contactos

Correo electrónico: security@imaginehalo.com

Responsable de Seguridad de la Información (CISO) / Director de Seguridad: autoridad máxima en materia de divulgaciones públicas y comunicación externa

‍

Revisión y actualizaciones

Esta política se revisa anualmente o tras incidentes significativos para garantizar que siga ajustándose a las mejores prácticas de seguridad.

‍