Prácticas de seguridad

Nuestro equipo

Sabemos que la mayoría de las empresas diría lo mismo, pero estamos realmente orgullosos de nuestro equipo de seguridad. Estamos convencidos de haber creado y desarrollado un equipo que reúne a algunos de los nombres más brillantes del sector. Al frente del equipo de seguridad está el responsable central de seguridad informática, con sede en San Francisco, y reúne en total a más de 100 personas en las oficinas de Sídney, Ámsterdam, Bengaluru, Austin, Mountain View, San Francisco y Nueva York (además de otros miembros del equipo remotos). El equipo no para de crecer, reflejando así la prioridad que da Atlassian a la seguridad. Además, incluye varios equipos secundarios:

• Seguridad de productos: este equipo se encarga de la seguridad de los productos y las plataformas.
• Seguridad de ecosistemas: este equipo es responsable de la seguridad de nuestro Marketplace y los complementos.
• Detección y respuesta: se encarga de detectar y responder ante incidentes de seguridad.
• Equipo rojo: este equipo se ocupa de la emulación de adversarios y de ejercitar la detección y la respuesta.
• Arquitectura de seguridad: es responsable de definir los requisitos de seguridad de nuestros productos y plataformas.
• Seguridad corporativa: desde este equipo se trabaja en nuestra seguridad interna con respecto a las aplicaciones y la red corporativas.
• Confianza: este es el equipo responsable de rastrear las expectativas de los clientes y responder a ellas, y de proporcionar transparencia para procesos y prácticas.
• Desarrollo y SRE: se ocupa de crear y ejecutar herramientas para el equipo de seguridad.
• Formación y concienciación: es el equipo encargado de garantizar que nuestros empleados y partners sepan trabajar de forma segura.

Nuestro equipo de seguridad siempre está creciendo, pero todas las personas que formamos parte de Atlassian compartimos la misión de mejorar la seguridad y todos los empleados tienen clara esta estrategia. Así, queremos guiar a nuestros colegas en la seguridad en la nube, cumplir con todos los requisitos de los clientes en cuanto a seguridad en la nube, superar los requisitos del sector en materia de normas y certificaciones de seguridad y estar orgullosos de compartir nuestros métodos para proteger los datos de los clientes. Todos nuestros empleados tienen claro nuestro concepto de seguridad y los objetivos en esta área a lo largo de toda su carrera en Atlassian.

Otros programas para proteger la seguridad

Es esencial poner en práctica los aspectos básicos de la seguridad, pero además contamos con varios programas para garantizar que nuestra estrategia de seguridad siga siendo amplia y proactiva. Por ejemplo:

Mejoras continuas del programa de seguridad

Queremos asegurarnos de que nuestro programa de seguridad siga a la vanguardia y sirva de guía para otros colegas del sector. Y sabemos que, para conseguirlo, debemos evaluar continuamente nuestro concepto actual de seguridad (también con respecto a otros colegas del sector) y determinar los puntos donde podemos mejorar.

Con este fin, hemos realizado (y continuaremos realizando) numerosas evaluaciones de madurez de nuestro programa de seguridad a través de reputadas empresas independientes de consultoría de seguridad. En 2020, también realizamos una evaluación entre pares de nuestro programa global de Confianza y seguridad. Los resultados de estos procesos (incluidas las recomendaciones clave) nos sirvieron para subsanar las lagunas y para aprovechar las oportunidades de mejora.

También hemos definido una serie de programas en los diversos ámbitos de la seguridad en los que nos centramos, como la seguridad del producto y la detección y la respuesta, con el fin de guiar nuestros procesos internos de mejora. Hemos establecido métricas para cada uno de estos programas y las revisamos a través de nuestro equipo de Gestión de seguridad. Estas métricas nos permiten identificar y abordar áreas de mejora en cada uno de los ámbitos principales relacionados con la seguridad en los que nos centramos.

Más información

Proteger el acceso a nuestras redes a través del enfoque de confianza cero

Atlassian protege el acceso a nuestra red corporativa, a las aplicaciones internas y a los entornos en la nube a través de un modelo de confianza cero.

Los enfoques de seguridad de confianza cero trascienden los métodos tradicionales de seguridad de red, que se basan principalmente en la autenticación del usuario para determinar el acceso a los recursos de la red. Estos métodos conllevan riesgos al permitir que los dispositivos que no son de confianza ni seguros comprometan la seguridad. En consecuencia, muchas organizaciones, incluida Atlassian, han adoptado un modelo en el que solo los dispositivos de confianza que cumplen con requisitos de seguridad específicos pueden acceder a la red.

Atlassian gestiona el acceso a nuestros entornos y servicios de producción al integrar la identidad de los usuarios y los puntos de conexión con un conjunto completo de señales de dispositivos. Estas señales se recopilan de forma continua desde nuestro software de gestión de dispositivos móviles (MDM), la solución de detección y respuesta de puntos de conexión (EDR) y el registro de activos.

Gestionar el acceso a sistemas y servicios de forma segura

Atlassian cuenta con un proceso bien definido para aprovisionar (asignar o revocar) el acceso de usuarios para todos los sistemas y servicios. Disponemos de un flujo de trabajo establecido que vincula nuestro sistema de gestión de RR. HH. y nuestro sistema de aprovisionamiento de acceso. Utilizamos un control de acceso basado en roles que utiliza perfiles de usuario predefinidos para garantizar que el personal solo tenga un acceso adecuado a su puesto de trabajo. La administración debe aprobar todas las cuentas de usuario para que puedan acceder a los datos, las aplicaciones, la infraestructura o los componentes de la red.

En respaldo de la arquitectura de confianza cero, controlamos el acceso a nuestras aplicaciones corporativas a través de una plataforma de inicio de sesión único (SSO). Para acceder a nuestras aplicaciones, el personal debe autenticarse a través de esta plataforma, lo que incluye el uso de un segundo factor de autenticación. Según la aplicación, el personal debe autenticarse a través de claves FIDO2 o mediante un autenticador de aplicación móvil suministrado a la plantilla de Atlassian; no se admiten métodos de autenticación menos seguros, como SMS y OTP por teléfono. Atlassian ha adoptado este enfoque para garantizar que nuestro proceso de autenticación sea muy seguro frente a ataques de phishing y de intermediario. Cualquier sistema que envíe códigos en un mensaje de texto puede estar bajo la amenaza de atacantes expertos.

Proteger nuestros dispositivos terminales

Portátiles corporativos

Los dispositivos que componen la flota corporativa de Atlassian están configurados para proteger nuestros datos y reducir el riesgo de que los terminales se vean comprometidos. Con nuestro programa de confianza cero, se impide automáticamente que los dispositivos que no se ajusten a nuestro estándar aprobado accedan a los sistemas de Atlassian.

Los controles implementados en los dispositivos corporativos de Atlassian incluyen los siguientes:

• Gestión central de dispositivos: nuestra solución de gestión de dispositivos móviles (MDM, Mobile Device Management) se encarga de aplicar las configuraciones de seguridad, incluidas las referencias del Center for Internet Security (CIS), y de implementar el software y las actualizaciones en todos los dispositivos propiedad de Atlassian.
• Control de aplicaciones: el control de aplicaciones impide la ejecución de tipos específicos de software legítimo (como las soluciones de acceso remoto) que podrían poner en riesgo la seguridad de nuestros dispositivos.
• Cortafuegos en los terminales: impiden que los servicios locales queden expuestos a la red.
• Antivirus/detección y respuesta en terminales (EDR): detecta y bloquea el malware, recopila datos de registro y permite a nuestro centro de operaciones de seguridad responder rápidamente a los incidentes de seguridad.
• Entorno de navegación seguro: todos los navegadores que utiliza el personal están configurados para impedir la instalación o el uso de extensiones malintencionadas, y para bloquear los sitios de suplantación de identidad conocidos o los sitios que distribuyen malware.
• Cifrado de disco/bloqueos de pantalla : todos los dispositivos están totalmente cifrados y configurados para bloquearse tras un periodo de inactividad.

Dispositivos móviles/BYOD

Atlassian gestiona un programa de dispositivos personales de los empleados ("Bring Your Own Device", o "BYOD") para el personal que desee acceder a los sistemas corporativos con sus dispositivos móviles. Todos los dispositivos móviles deben:

• Inscribirse en nuestra solución de gestión de dispositivos móviles (MDM)
• Tener habilitados el cifrado de disco completo y el bloqueo de pantalla
• Utilizar el sistema operativo Android/iOS más reciente

Los dispositivos móviles incluidos en el programa BYOD tienen acceso limitado a los sistemas de Atlassian y no pueden acceder a los datos de los clientes.

Gestión de configuraciones en nuestros sistemas

Los ingenieros y arquitectos que pueden instalar software en nuestro entorno de producción son un grupo reducido. En la mayoría de los casos, no se puede instalar software. En nuestros entornos se utilizan herramientas de gestión de configuración para administrar configuraciones y cambios en los servidores. Los cambios directos realizados en los sistemas se sobrescriben mediante la configuración aprobada introducida a través de esas herramientas de gestión de configuración para garantizar la homogeneidad. Confiamos en Imágenes de máquina de Amazon (AMI) estándar, todos los cambios en nuestras AMI o nuestros sistemas operativos deben realizarse a través de nuestro proceso de gestión de cambios estándar, realizamos un seguimiento e informamos de las configuraciones de las excepciones, y hemos implementado el aislamiento de recursos para que los problemas con los servicios no afecten a otros servicios. Además, confiamos en nuestro proceso “Revisión por compañeros, compilación correcta” (PRGB) para garantizar que varios revisores aprueben los cambios de configuración introducidos a través de herramientas de gestión de configuración. Todas las compilaciones se firman criptográficamente y en nuestro entorno de producción solo se permite la ejecución de compilaciones firmadas.

Uso de registros

Utilizamos una plataforma SIEM para agregar registros de distintas fuentes, aplicar reglas de supervisión a los registros agregados y, a continuación, marcar toda actividad sospechosa. Nuestros procesos internos definen cómo se evalúan, se investigan y se escalan adecuadamente estas alertas. Los registros clave del sistema se reenvían desde los sistemas en los que los registros son de solo lectura. El equipo de Seguridad de Atlassian crea alertas en nuestra plataforma de análisis de seguridad y supervisa los indicadores de compromiso. Nuestros equipos de SRE utilizan esta plataforma para supervisar problemas de disponibilidad o rendimiento. Los registros se conservan durante 30 días en copia de seguridad en caliente y 365 días en copia de seguridad en frío.

Los registros clave del sistema se combinan tanto en un sistema de análisis de registros interno como en un sistema de detección de intrusiones.

Los registros son un componente clave de nuestra estrategia global de detección de incidentes y respuesta. Esta estrategia se trata en detalle en la sección “Cómo identificamos las amenazas de seguridad y cómo nos protegemos y respondemos ante ellas”.

Continuidad empresarial y gestión de recuperación ante desastres

Para nosotros es esencial la resiliencia de nuestros productos, sobre todo porque en Atlassian también dependemos de ellos. Sabemos que pueden suceder interrupciones. Por ello, estamos decididos a incorporar procesos para planificar las interrupciones y manejarlas con un impacto mínimo para nuestros clientes. Nuestros programas de continuidad empresarial y recuperación ante desastres (BC y DR, respectivamente, por sus siglas en inglés) reúnen las diversas actividades realizadas para alcanzar esos objetivos.

La participación del personal directivo en las actividades de planificación de BC y DR garantiza la supervisión necesaria para que todos los equipos asuman responsabilidad en materia de resiliencia. La finalidad de nuestras actividades de planificación de BC y DR es lograr el equilibrio adecuado entre costes, beneficios y riesgo a través de un análisis de los “objetivos de tiempo de recuperación” (RTO) y los “objetivos de punto de recuperación” (RPO) de los servicios. Este análisis nos ha llevado a establecer un sistema sencillo de 4 niveles para agrupar servicios según sus requisitos de recuperación. Puedes consultar los detalles de este enfoque en nuestra página sobre Cómo gestiona Atlassian los datos de los clientes.

Nuestros programas de BC y DR incluyen las siguientes actividades:

1. Desarrollar medidas de redundancia para cumplir con los requisitos de resiliencia.

2. Probar y verificar esas medidas de redundancia.

3. Aprender de las pruebas para la mejora continua de las medidas de BC y DR.

Nuestros productos están diseñados para optimizar el uso de las capacidades de redundancia (como las regiones y las zonas de disponibilidad) que ofrecen nuestros proveedores de servicios en la nube.

Monitorizamos de forma continua diversas métricas, a fin de detectar posibles problemas de forma temprana. A partir de esas métricas, se configuran alertas para notificar a los ingenieros de fiabilidad del sitio (SRE) o a los equipos de ingeniería de productos relevantes cuando se superan los umbrales. De este modo, se pueden adoptar medidas rápidas a través de nuestro proceso de respuesta ante incidentes. Los SRE también desempeñan un papel clave para identificar lagunas en el programa de recuperación ante desastres y colaboran con el equipo de Riesgo y cumplimiento para resolverlas. Además, todos nuestros equipos cuentan con un campeón de recuperación ante desastres que se ocupa de supervisar y ayudar a administrar los aspectos de recuperación ante desastres relacionados con su equipo.

Nuestras pruebas de recuperación ante desastres cubren aspectos de procesos y tecnología, incluida la documentación de procesos pertinente. La frecuencia de las pruebas de recuperación ante desastres se corresponde con el nivel de importancia de cada servicio; por ejemplo, las pruebas son trimestrales en los procesos de copia de seguridad y recuperación para sistemas clave orientados al cliente. Realizamos pruebas de conmutación por error manuales y ad-hoc en nuestros sistemas. Estas pruebas incluyen desde ejercicios de simulación teórica menos complejos hasta pruebas de conmutación por error por regiones o zonas de disponibilidad más complejas. Con independencia de la complejidad de la prueba, actuamos con diligencia a la hora de capturar y documentar los resultados, analizar e identificar posibles mejoras o lagunas, y darles solución con tickets de Jira. El objetivo de todo esto es la mejora continua del proceso general.

Cada año, realizamos Evaluaciones de impacto empresarial (BIA, por sus siglas en inglés) para evaluar los riesgos asociados con servicios críticos. Los resultados de estas BIA impulsan la estrategia de DR y BC. En consecuencia, los servicios críticos pueden desarrollar planes efectivos de DR y BC.

Disponibilidad del servicio

Además de las medidas anteriores, también publicamos el estado de disponibilidad del servicio en tiempo real para nuestros clientes mediante nuestro producto Statuspage. De esta forma, si surgen problemas con alguno de nuestros productos, los clientes están al tanto al mismo tiempo que nosotros.

Copias de seguridad

En Atlassian, utilizamos un programa integral de copia de seguridad. Este programa incluye nuestros sistemas internos, donde las medidas de copia de seguridad se determinan de acuerdo con los requisitos de recuperación del sistema. También contamos con amplias medidas de copia de seguridad para los servicios de Atlassian Cloud, y específicamente con respecto a los datos de clientes y aplicaciones. Atlassian emplea la función de instantánea de Amazon RDS (Relational Database Service) para crear copias de seguridad diarias y automatizadas de cada instancia de RDS.

Las instantáneas de Amazon RDS se conservan durante 30 días, admiten la recuperación de un momento dado y se cifran mediante cifrado AES-256. Los datos de copia de seguridad no se almacenan fuera de las instalaciones, sino que se replican en varios centros de datos de una región de AWS determinada. Además, realizamos pruebas trimestrales de nuestras copias de seguridad.

En el caso de Bitbucket, los datos se replican en una región diferente de AWS y se realizan copias de seguridad independientes a diario en cada región.

No utilizamos estas copias de seguridad para revertir cambios destructivos iniciados por el cliente, como campos sobrescritos mediante scripts o incidencias, proyectos o sitios eliminados. Para evitar la pérdida de datos, recomendamos realizar copias de seguridad de forma habitual. En la documentación de tu producto, encontrarás más información sobre la creación de copias de seguridad.

Seguridad física

Los controles de seguridad física de nuestras oficinas se rigen por nuestra política de seguridad física y ambiental, que garantiza la implementación de una seguridad física sólida en nuestros entornos, ya sea en las instalaciones o en la nube. Esta política incluye, por ejemplo, la protección de las zonas de trabajo y de nuestros equipos de TI dondequiera que estén, la restricción del acceso a nuestros edificios y oficinas al personal apropiado, y la vigilancia de los puntos físicos de entrada y salida. Nuestras prácticas de seguridad física incluyen asistencia a la recepción en el horario de trabajo, requisitos de registro para visitantes o acceso con acreditación a áreas no públicas. Además, colaboramos con la gestión de nuestro edificio de oficinas para el acceso fuera de horario y la grabación de vídeo en los puntos de entrada y salida, tanto en los accesos principales como en las zonas de carga.

Los centros de datos de nuestros socios cumplen con SOC-2, como requisito mínimo. Estas certificaciones abordan diversos controles de seguridad, incluida la protección y la seguridad físicas y ambientales. El acceso a los centros de datos se restringe al personal autorizado y se controla mediante medidas de verificación biométrica de la identidad. Las medidas de seguridad físicas incluyen guardias de seguridad en las instalaciones, vigilancia mediante vídeo de circuito cerrado, sistemas de doble puerta de seguridad y medidas adicionales de protección frente a intrusiones.

Cifrado de datos

Todos los datos de los clientes almacenados en los productos de Atlassian Cloud se cifran durante el tránsito por las redes públicas mediante el protocolo TLS 1.2+ con confidencialidad directa total (PFS) para protegerlos contra la divulgación o modificación no autorizada. Nuestra implementación de TLS impone el uso de códigos y longitudes de clave eficaces cuando lo admite el navegador.

Las unidades de datos de los servidores que alojan los archivos adjuntos y los datos de los clientes de Jira Software Cloud, Jira Service Management Cloud, Jira, Bitbucket Cloud, Confluence Cloud, Statuspage, Opsgenie, Trello, Loom, Compass y Rovo utilizan el cifrado de disco completo estándar del sector AES-256 para el cifrado de datos en reposo. Consulta la hoja de ruta de Atlassian Trust para conocer las novedades de la plataforma.

Gestión de claves

Atlassian usa los servicios de gestión de claves (KMS) del proveedor de nube subyacente para la gestión de claves. A cada clave se le asigna un propietario que será responsable de asegurar el nivel adecuado de controles de seguridad.

Separación de inquilinos

Aunque nuestros clientes comparten una infraestructura de TI común basada en la nube cuando utilizan los productos de Atlassian, contamos con medidas para garantizar la separación lógica, de modo que las acciones de un cliente no puedan poner en riesgo los datos o el servicio de otros.

La estrategia de Atlassian para conseguirlo cambia según la aplicación. Para Jira y Confluence Cloud, empleamos el concepto “Contexto de inquilino” para el aislamiento lógico de los clientes. Se ha implementado en el código de cada aplicación y está gestionado por lo que denominamos “Servicio de contexto de inquilino” (TCS, por sus siglas en inglés). Dicho concepto garantiza lo siguiente:

• Los datos de los clientes se conservan separados de forma lógica de otros inquilinos cuando están en reposo.
• Toda solicitud procesada por Jira o Confluence cuenta con una vista de “inquilino específico” para que no afecte a otros inquilinos.

En términos amplios, opera almacenando un “contexto” para cada uno de los inquilinos clientes. El contexto de cada inquilino está asociado con un ID único que el TCS almacena centralmente y que incluye diversos metadatos asociados con el inquilino (como las bases de datos en las que está incluido, qué licencias posee, a qué funciones puede acceder y otra información de configuración). Cuando un cliente accede a Jira o Confluence Cloud, el TCS emplea el ID de inquilino para cotejar esos metadatos y, a continuación, los vincula a cualesquiera operaciones que el inquilino realice en la aplicación durante la sesión.

El contexto que el TCS proporciona actúa en la práctica como una “lente” a través de la cual se produce cualquier interacción con los datos del cliente; esta lente siempre está confinada a un inquilino específico. Así se garantiza que un inquilino cliente no acceda a los datos de otro y que un inquilino no pueda afectar con sus acciones al servicio de otro.

Puedes consultar más información sobre nuestra arquitectura de nube en nuestros recursos de soporte de la nube.

Compartir la responsabilidad de la gestión de los datos de los clientes

Atlassian asume la responsabilidad de la seguridad, la disponibilidad y el rendimiento de las aplicaciones que proporcionamos, los sistemas en los que se ejecutan y los entornos en los que se alojan esos sistemas. Sin embargo, la seguridad es una responsabilidad conjunta entre Atlassian y nuestros clientes en cuatro áreas concretas:

Control del acceso a los datos de los clientes

Tratamos todos los datos de los clientes con la misma confidencialidad y hemos implementado estrictos controles que rigen su uso. Durante el proceso de incorporación, proporcionamos formación sobre concienciación a nuestros empleados internos y externos que abarca las prácticas recomendadas para gestionar los datos de los clientes y su importancia.

En Atlassian, solo los Atlassians autorizados tienen acceso a los datos de los clientes almacenados en nuestras aplicaciones. La autenticación se realiza a través de claves públicas protegidas por frases de contraseña y los servidores solo aceptan conexiones SSH entrantes de Atlassian y ubicaciones de centros de datos internas. El acceso está restringido a grupos con privilegios a menos que otros lo soliciten, en cuyo caso se debe revisar y aprobar. Además, se exige una autenticación adicional en dos fases (2FA).

Nuestro equipo de soporte global, el cual dispone de estrictos controles de autenticación y autorización, facilita los procesos de mantenimiento y soporte. Se puede acceder a las aplicaciones y datos alojados para supervisar su estado y realizar mantenimiento de los sistemas y aplicaciones, y cuando lo solicite el cliente a través de nuestro sistema de soporte.

Para ofrecer controles de seguridad adicionales a nuestros clientes, antes de que nuestros ingenieros de soporte puedan acceder a los datos de los clientes almacenados en nuestras aplicaciones, nuestros clientes deben dar su consentimiento explícito para permitir ese acceso a través de nuestro verificador de control de consentimiento.

El acceso no autorizado o inapropiado a los datos de los clientes se trata como un incidente de seguridad y se gestiona a través de nuestro proceso de gestión de incidentes. Este proceso incluye instrucciones para avisar a los clientes afectados si se observa una infracción de una política.

Conservación y eliminación de datos

Tenemos disposiciones en vigor para poder responder a las solicitudes de los usuarios para eliminar información personal y ayudamos a los usuarios finales con cuentas de Atlassian a eliminar su información personal. También contamos con herramientas de importación y exportación para que nuestros clientes puedan acceder a sus datos e importarlos o exportarlos con herramientas de Atlassian.

Los sitios de los clientes se desactivan 15 días después de que termine su periodo de suscripción actual. Atlassian retiene los datos de los sitios desactivados durante 15 días (para los sitios de evaluación) o 60 días (para los sitios de suscripción de pago) tras la finalización del periodo de suscripción actual del cliente. Ten en cuenta que los datos de Jira solo se eliminarán si anulas la suscripción a todos los productos de Jira a los que estuvieras suscrito.

Encontrarás más información en nuestra página de prácticas de seguridad o en nuestras preguntas frecuentes sobre almacenamiento de datos .