Introducción

Este capítulo aborda una cuestión fundamental en la seguridad de las aplicaciones empresariales instaladas tanto en las instalaciones como en la nube. Básicamente, independientemente de la ubicación, el objetivo aquí es elaborar un conjunto de requisitos que sirvan para alcanzar un grado de madurez necesario antes de que cualquier aplicación pueda ponerse en producción. La cuestión que nos ocupa es un elemento esencial de la seguridad del sistema de información que, conviene recordar, está constituido por aplicaciones, las mismas que generan los datos. Sin embargo, no existen normas, certificaciones, etiquetados ni homologaciones de seguridad en este ámbito. Es una lástima.

Contexto

1. Objeto

Este capítulo presenta una propuesta de norma para una etiqueta de aplicación. Esta norma se aplica a cualquier empresa que aloje aplicaciones en sus centros de datos (ya sea un cliente final o un proveedor de alojamiento). Se utilizará como base para comprobar que las aplicaciones son seguras y, por tanto, será obligatoria para los editores de software.

Se refiere a la empresa ficticia "MaxiHost" cuya actividad es el alojamiento de sistemas de información sanitaria. MaxiHost cuenta con la certificación HDS de nivel 1 a 6 (véase el capítulo Ecosistema sanitario).

Expresa la estrategia global decidida por la dirección de MaxiHost con respecto a las aplicaciones que pueden tratar datos sensibles (datos personales, datos médicos, etc.).

Describe los requisitos de seguridad aplicables a la aplicación alojada y a su editor SuperSoft con el fin de mantener un alto nivel de seguridad en todo el servicio ofrecido al cliente final.

Las entidades implicadas en la solicitud

2. Documentos de referencia

En aras de la coherencia y la exhaustividad, esta política de seguridad se ha elaborado teniendo en cuenta los siguientes documentos:

Leyes y reglamentos aplicables a MaxiHost.
Las obligaciones contractuales de seguridad de MaxiHost para con sus clientes, definidas en sus contratos de servicios.
Estrategia de gestión de riesgos de MaxiHost.
Documentos de referencia reconocidos...

Organización de la seguridad de la información

1. Funciones y responsabilidades en materia de seguridad de la información

ISO	Se ha identificado formalmente un contacto de seguridad en la editorial. Este contacto actúa como mediador entre MaxiHost y el editor SuperSoft en caso de incidente de seguridad que afecte a la aplicación.
Consultoría MaxiHost	En caso de fallo de seguridad de una aplicación, MaxiHost se pone en contacto con el relé de seguridad (corresponsal de seguridad) del editor. Este corresponsal de seguridad centraliza todos los intercambios entre MaxiHost y el editor y se encarga de la comunicación relativa al tratamiento de la vulnerabilidad.
Elementos del editor SuperSoft

2. Relaciones con los grupos de trabajo especializados

ISO	El editor debe organizar una vigilancia de la seguridad de los elementos clave de su aplicación.
Consultoría MaxiHost	El encargado de seguridad del editor recopila las vulnerabilidades relacionadas con la aplicación suministrada (supervisión externa y recopilación de información enviada directamente al editor).
Elementos del editor SuperSoft

3. Seguridad de la información en la gestión de proyectos

ISO	Las especificaciones de seguridad funcional se incluyen en el pliego de condiciones.
Consultoría MaxiHost	El objetivo de este documento es especificar los requisitos de seguridad que deben cubrir...

Gestión de datos

1. Identificación de datos sensibles

RGPD	Los datos sensibles tratados por la aplicación deben identificarse como tales.
Consultoría MaxiHost	Los datos personales se identifican en la solicitud. También se identifican los datos médicos personales. En el caso de campos de entrada libre que puedan contener datos sensibles, el contenido global del campo se identifica como de máxima sensibilidad.
Elementos del editor SuperSoft

a. Propiedad de los activos

RGPD	Los datos sensibles tienen propiedades específicas.
Consultoría MaxiHost	El acceso a los datos sensibles está sujeto a una trazabilidad por nombre. Ningún rastro debe contener datos sensibles. Cada tipo de datos se identifica con un periodo máximo de conservación.
Elementos del editor SuperSoft

b. Depuración de datos

RGPD	Los datos que hayan alcanzado su periodo de conservación reglamentario deben suprimirse.
Consultoría MaxiHost	Todos los datos identificados como sensibles deben tener una fecha máxima de conservación. Una vez alcanzado este periodo de conservación, la aplicación debe eliminar automáticamente los datos o depositarlos en un contenedor protegido de la confidencialidad para su posterior purga manual.
Elementos del editor SuperSoft

c. Portabilidad de los datos

RGPD	La aplicación debe poder proporcionar un extracto de los datos...

Control de acceso

1. Requisitos para el control de acceso

a. Política de acceso de usuarios

ISO	Los usuarios de la aplicación acceden a ella utilizando los métodos de autenticación adecuados.
Consultoría MaxiHost	Todas las cuentas de administrador deben acceder a la solución utilizando autenticación fuerte. Cualquier usuario que pueda acceder a datos personales de salud debe autenticarse en la aplicación utilizando un mecanismo de autenticación fuerte que cumpla con las recomendaciones de la ANS (Agencia nacional de salud francesa) y el PGSSI-S (Política general de seguridad de los sistemas de información de salud francesa). Los usuarios que no tienen acceso a datos sanitarios personales pueden autenticarse en el sistema mediante mecanismos sencillos de autenticación.
Elementos del editor SuperSoft

b. Política de contraseñas

ISO	Una política de establecimiento de las contraseñas utilizadas en la aplicación debe seguir ciertas recomendaciones.
Consultoría MaxiHost	1. Gestión de contraseñas Las contraseñas se gestionan de acuerdo con las recomendaciones: Caso 1: sólo contraseña Si la autenticación se basa únicamente en un nombre de usuario y una contraseña, la Comisión considera que: la contraseña debe tener al menos 12 caracteres; la contraseña debe incluir letras mayúsculas y minúsculas, números y caracteres especiales. La solidez de esta autenticación depende exclusivamente de la calidad intrínseca de la contraseña del usuario. El CISO tiene el deber de alertar a los usuarios sobre este hecho y, siempre que sea posible, aconsejarles sobre cómo crear su contraseña. Caso 2: restricción de contraseñas y acceso a cuentas Si la autenticación prevé un acceso restringido a la cuenta, la Comisión considera que: La contraseña debe tener al menos 8 caracteres; la autenticación debe implicar una restricción de acceso a la cuenta, que debe adoptar una o varias de las siguientes formas: un tiempo de espera para acceder a la cuenta tras varios intentos fallidos, cuya duración aumenta exponencialmente con el tiempo. Se recomienda que este tiempo sea superior a 1 minuto tras 5 intentos fallidos, y que permita un máximo de 25 intentos...

Criptografía

1. Medidas criptográficas

a. Política de uso de medidas criptográficas

ISO	Las operaciones criptográficas deben describirse en la documentación de la aplicación e incluir mecanismos de última generación.
Consultoría MaxiHost	Deben identificarse las funciones que utilizan criptografía. Estos pueden ser: funciones de encriptación, funciones de firma, protocolos de comunicación, mecanismos de control de la integridad.
Elementos del editor SuperSoft

b. Gestión de claves

ISO	Las claves criptográficas deben guardarse de forma segura.
Consultoría MaxiHost	La documentación de la aplicación describe cómo se almacenan las claves criptográficas.
Elementos del editor SuperSoft

Seguridad operativa

1. Procedimientos operativos y responsabilidades

a. Procedimientos operativos documentados

ISO	La aplicación debe estar documentada (uso y funcionamiento general).
Consultoría MaxiHost	La aplicación debe documentarse para que el proveedor de alojamiento pueda ponerla a disposición del cliente en las mejores condiciones posibles y cumpliendo los requisitos de seguridad.
Elementos del editor SuperSoft

b. Gestión del cambio

ISO	Los cambios en la aplicación deben documentarse y comunicarse al proveedor de alojamiento.
Consultoría MaxiHost	Cualquier cambio que afecte a las funciones de seguridad o que repercuta en el alojamiento y el cumplimiento de los requisitos de seguridad debe comunicarse y documentarse al proveedor de alojamiento.
Elementos del editor SuperSoft

2. Copias de seguridad y archivo

Guardar información

ISO	La información sensible debe ser fácil de guardar y exportar de forma encriptada.
Consultoría MaxiHost	La aplicación debe ofrecer una función para guardar y exportar datos sensibles (empresariales, personales o médicos). Siempre que sea posible, debe ser posible hacer una copia de seguridad de los datos alojados específicamente sin tener que hacer una copia de seguridad global de la aplicación (imagen de copia de seguridad).
Elementos del editor SuperSoft

HDS específico	Debe elaborarse un plan general de copias de seguridad para la aplicación en función de los datos tratados.
Consultoría MaxiHost	El proveedor de la aplicación debe elaborar una política general de copias de seguridad como parte de la documentación de seguridad de la aplicación. En ella se debe proponer un ejemplo estándar de frecuencia de las copias de seguridad en función de los datos alojados. Este plan de copias de seguridad debe establecer los métodos de copia de seguridad recomendados (frecuencia, método, periodo de almacenamiento). Se recomienda la copia de seguridad por "lotes de datos" para que los datos de los que se ha realizado la copia de seguridad puedan ser procesados de forma tipológica por la persona responsable de las copias de seguridad, de acuerdo con los objetivos y principios del RGPD.
Elementos del editor SuperSoft

HDS específico	La funcionalidad de restauración de datos de las copias...

Seguridad de las comunicaciones

1. Conexión de la aplicación a sistemas externos

ISO	Las transferencias de datos a través de la aplicación deben estar protegidas.
Consultoría MaxiHost	La aplicación debe poder conectarse a sistemas externos mediante protocolos seguros (cifrado de túneles). Debe existir una autenticación mutua sólida entre la aplicación y los sistemas externos.
Elementos del editor SuperSoft

2. Mensajería electrónica

ISO	La información enviada por correo electrónico debe estar debidamente protegida.
Consultoría MaxiHost	Los datos sensibles de la aplicación que puedan enviarse por correo electrónico deben estar cifrados/firmados por la aplicación. Una función específica de la aplicación debe poder exportar datos de forma segura para su transmisión por correo electrónico (función de archivo cifrado para la comunicación).
Elementos del editor SuperSoft

Adquisición, desarrollo y mantenimiento de sistemas de información

1. Seguridad de los procesos de desarrollo y asistencia técnica

a. Privacy by Design

ISO	Las aplicaciones deben desarrollarse de acuerdo con el principio de "Privacy by design".
Consultoría MaxiHost	La seguridad de los datos sensibles debe garantizarse desde el principio del desarrollo de la aplicación. Este documento puede servir de base para integrar especificaciones funcionales de seguridad. En términos generales, la aplicación debe identificar desde el principio los datos sensibles para poder tratarlos de forma segura (transferencias cifradas, trazabilidad nominativa de los accesos, exportación de datos, etc.).
Elementos del editor SuperSoft

b. Procedimientos de control de cambios del sistema

ISO	Los cambios en la solicitud deben comunicarse.
Consultoría MaxiHost	Cualquier cambio que pueda afectar a los datos alojados debe comunicarse al proveedor de alojamiento para garantizar que se mantiene el nivel general de seguridad del servicio ofrecido.
Elementos del editor SuperSoft

c. Prueba de seguridad del sistema

ISO	Las pruebas de funcionalidad de seguridad pueden ser realizadas por el proveedor de alojamiento de acuerdo con el editor.
Consultoría MaxiHost	El proveedor de alojamiento puede pedir que se realicen pruebas de seguridad de la aplicación antes de ponerla en producción en su infraestructura...

Gestión de incidentes de seguridad de la información

1. Responsabilidades y procedimientos

ISO	El editor debe ofrecer al proveedor de alojamiento un contacto privilegiado para gestionar las incidencias.
Consultoría MaxiHost	Para gestionar el soporte de la aplicación y la mediación en caso de incidente, el editor pone a disposición del proveedor de alojamiento un contacto dedicado.
Elementos del editor SuperSoft

2. Notificación de incidentes relacionados con la seguridad de la información

ISO	La aplicación debe disponer de una función de alerta en caso de sospecha de incidente.
Consultoría MaxiHost	Un usuario debe poder, mediante una función de la aplicación, emitir una alerta en caso de sospecha de incidente o mal funcionamiento. Esta alerta se transmite al administrador de la aplicación y, a continuación, se dirige a los contactos adecuados en función del contenido de la alerta y de los procedimientos acordados entre el host y el editor.
Elementos del editor SuperSoft

3. Supervisión de aplicaciones

ISO	El editor está obligado a vigilar la seguridad de su aplicación.
Consultoría MaxiHost	El editor debe notificar al proveedor de alojamiento cualquier fallo de seguridad que detecte y que pueda afectar a la seguridad de los datos alojados.
Elementos del editor SuperSoft

Aspectos de seguridad de la información en la gestión de la continuidad de las actividades

Continuidad de la seguridad de la información

Modo degradado

ISO	En función de las funciones que ofrezca la aplicación, habrá que proponer un modo de funcionamiento degradado.
Consultoría MaxiHost	Se puede ofrecer a los usuarios un modo de funcionamiento offline de la aplicación en caso de incidente que afecte a la plataforma de alojamiento. De este modo, la aplicación permite reanudar los datos en modo nominal una vez resuelto el incidente.
Elementos del editor SuperSoft

Conformidad

Cumplimiento de los requisitos de seguridad

Identificación de la legislación y los requisitos contractuales aplicables

ISO	Este documento puede ser utilizado por el proveedor de alojamiento como repositorio de auditoría de la aplicación.
Consultoría MaxiHost	Se pueden realizar auditorías editoriales de la aplicación para garantizar que ésta cumple las normas y requisitos de seguridad del proveedor de alojamiento.
Elementos del editor SuperSoft

Seguridad de las aplicaciones - Etiqueta aplicativa