Alibaba Cloud reconoce la importancia de la evaluación de riesgos para los clientes al adoptar soluciones en la nube para alojar sus sistemas empresariales y sus datos. Un proceso de evaluación de riesgos bien definido garantiza que los posibles riesgos de seguridad se identifiquen y se controlen dentro de un umbral aceptable. Esta sección proporciona orientación para ayudar a los clientes a realizar evaluaciones de riesgos de manera eficaz mediante el marco de seguridad de Alibaba Cloud.

Alibaba Cloud sigue el modelo de responsabilidad compartida, en el que las responsabilidades de seguridad entre Alibaba Cloud y los clientes varían según el tipo de servicio en la nube seleccionado:

Infraestructura como servicio (IaaS)

● Responsabilidades de Alibaba Cloud: garantizar la seguridad de los centros de datos físicos y de la infraestructura de red, la seguridad de la plataforma en la nube y el cumplimiento de las normativas globales.
● Responsabilidades del cliente: proteger las aplicaciones autodesarrolladas, las cargas de trabajo y los datos empresariales y del usuario alojados en la nube. Realizar operaciones de seguridad continuas.

Plataforma como servicio (PaaS)

● Responsabilidades de Alibaba Cloud: además de las responsabilidades de IaaS, garantizar la seguridad de las máquinas virtuales, compartir la responsabilidad de la seguridad de las aplicaciones e integrar soluciones de seguridad de terceros.
● Responsabilidades del cliente: proteger el código de las aplicaciones, los datos, la gestión de cuentas en la nube y las configuraciones de control de acceso. Implementar las mejores prácticas de seguridad en el desarrollo de aplicaciones en la nube.

Software como servicio (SaaS)

● Responsabilidades de Alibaba Cloud: garantizar la seguridad de las aplicaciones, la seguridad de los servicios alojados en la nube y las políticas de acceso a la red.
● Responsabilidades del cliente: proteger las credenciales de la cuenta, las políticas de acceso de los usuarios y las configuraciones de seguridad de los datos.

Para gestionar los riesgos de seguridad de manera eficaz, los clientes deben:

1. Comprender la división de las responsabilidades de seguridad al seleccionar IaaS, PaaS o SaaS.

2. Aprovechar las capacidades de seguridad de Alibaba Cloud para fortalecer las estrategias de mitigación de riesgos.

3. Diseñar una arquitectura en la nube que priorice la seguridad y garantizar la alineación con las mejores prácticas y los requisitos de cumplimiento.

Alibaba Cloud ofrece un conjunto integral de herramientas y servicios de seguridad para ayudar a los clientes a implementar entornos seguros en la nube. Los clientes deben configurar y utilizar de manera proactiva estas funciones de seguridad para fortalecer su postura de seguridad en la nube.

Alibaba Cloud mantiene un programa de cumplimiento continuo para garantizar la conformidad con los estándares de seguridad internacionales, regionales y del sector. Nuestras certificaciones de seguridad y cumplimiento incluyen:

● ISO 27001 (gestión de seguridad de la información)
● Informes SOC 1/SOC 2/SOC 3
● Otras certificaciones de seguridad globales y específicas de la industria

Acceso a los informes de cumplimiento

● Los clientes pueden descargar informes de cumplimiento de seguridad del Centro de confianza de Alibaba Cloud tras firmar un NDA.
● Estos informes, emitidos por auditores externos independientes, evalúan la eficacia de la seguridad y los mecanismos de control de Alibaba Cloud.
● Al revisar estos informes de auditoría, los clientes pueden validar los compromisos de seguridad de Alibaba Cloud y garantizar la alineación con sus marcos internos de evaluación de riesgos.

Alibaba Cloud opera un marco integral de gestión de riesgos diseñado para garantizar la operación segura y el desarrollo sostenible de nuestro negocio. Al integrar procesos estratégicos de identificación, evaluación y mitigación de riesgos, fortalecemos nuestra capacidad para gestionar de forma proactiva las amenazas potenciales y mantener el cumplimiento de las normas regulatorias. Nuestro marco de gobernanza de riesgos se alinea con las mejores prácticas internacionales, lo que garantiza la continuidad del negocio, el cumplimiento regulatorio y la excelencia operativa.

El marco de gestión de riesgos de Alibaba Cloud adopta un enfoque integral y estructurado para identificar, evaluar, mitigar y monitorear los riesgos en toda nuestra organización. Enfatizamos una gobernanza de riesgos proactiva para garantizar que todas las unidades de negocio operen en un entorno de riesgos seguro y resiliente.

Los aspectos clave de nuestro enfoque de gestión de riesgos incluyen:
● Mejora de los procesos y metodologías de gestión de riesgos
● Modelos eficaces de identificación, evaluación y gobernanza de riesgos
● Mecanismos maduros de respuesta ante emergencias

● Integralidad y consistencia: para garantizar un enfoque bien estructurado y abarcador de la gestión de riesgos, nuestro marco se aplica a todos los empleados de Alibaba Cloud y utiliza un lenguaje unificado de gestión de riesgos. Esto garantiza que todas las unidades de negocio gestionen los riesgos de manera sistemática y fomenten una sólida cultura de conciencia de riesgos en las operaciones diarias.

● Gestión por categorías y niveles: los riesgos se categorizan y se clasifican por niveles de forma dinámica, con una responsabilidad claramente asignada al personal responsable.

● Gobernanza diversificada: con base en los requisitos de gestión de riesgos y las realidades del negocio, formulamos estrategias y medidas específicas que permiten la predicción proactiva de riesgos, la toma de decisiones científica y una gestión eficaz.

Alibaba Cloud sigue un modelo organizado y estructurado de evaluación de riesgos para garantizar la identificación, la evaluación y la mitigación oportunas de las amenazas potenciales. Nuestra metodología incluye:

● Identificación de riesgos: aprovechamos sistemas automatizados, auditorías internas y fuentes de información externas para monitorear y detectar riesgos potenciales.
● Evaluación de riesgos: los riesgos se evalúan con base en su impacto potencial en las operaciones empresariales, el cumplimiento regulatorio, la seguridad, la estabilidad financiera y la confianza de los clientes.
● Gobernanza de riesgos: los riesgos se priorizan con base en su probabilidad y gravedad, lo que permite aplicar estrategias de mitigación específicas.

● Respuesta a incidentes: en caso de un incidente de seguridad inesperado, Alibaba Cloud sigue un enfoque de clasificación y respuesta escalonada. Dependiendo de la naturaleza, el nivel de amenaza y el impacto potencial del incidente, convocamos de inmediato equipos de respuesta ante emergencias dirigidos por expertos, ya sea dentro de un solo equipo o entre varios equipos. Nuestro enfoque incluye alerta y respuesta tempranas, evaluación y mitigación en tiempo real, y revisión y gobernanza posteriores al incidente, todo ello orientado a minimizar el impacto en la plataforma de Alibaba Cloud y en las operaciones empresariales de nuestros clientes.

● Simulacros de emergencia: Durante las operaciones habituales, Alibaba Cloud realiza simulacros de emergencia adaptados a los requisitos de cumplimiento de los diferentes países y regiones. Estos simulacros evalúan el conocimiento de las funciones, la velocidad de respuesta y la eficiencia de coordinación de los equipos responsables pertinentes, para garantizar el cumplimiento, mejorar las capacidades de respuesta y acumular experiencia en el manejo de incidentes.

Alibaba Cloud aplica una gestión de registros estricta en todas las operaciones diarias y cubre múltiples dimensiones, incluidos los hosts, las redes, las aplicaciones y los productos en la nube, lo que garantiza que las actividades no autorizadas y los comportamientos anómalos se monitoreen y se detecten en detalle. Esta sección describe el enfoque integral de Alibaba Cloud para implementar el registro de auditoría y mejorar continuamente nuestra postura de seguridad.

Alibaba Cloud implementa una estrategia de gestión centralizada de registros para asegurar una visión integral de nuestro entorno en la nube, lo que mejora tanto la seguridad como la eficiencia operativa mediante diversos tipos de registros de distintas fuentes, como servidores, aplicaciones, dispositivos de red y sistemas de seguridad. Los ingenieros de operación y mantenimiento (O&M) de Alibaba Cloud solo pueden realizar las operaciones de mantenimiento pertinentes en el sistema de producción a través de servidores bastión. Todo el proceso de operación queda registrado. Una vez recopilados, los registros se transmiten de forma segura a nuestra plataforma central de gestión de registros, que funciona como punto único de almacenamiento y gestión de todos los datos de registro.

El análisis de registros es el núcleo de la estrategia de gestión centralizada de registros de Alibaba Cloud. Las reglas de auditoría y monitoreo se definen en la plataforma central de gestión de registros para monitorear actividades confidenciales y detectar comportamientos sospechosos. Este proceso implica el uso de analíticas avanzadas, incluidos algoritmos de aprendizaje automático, para identificar patrones, anomalías y posibles amenazas a la seguridad. Se establecen mecanismos de monitoreo y alertas en tiempo real para activar alertas en la plataforma de monitoreo de seguridad y abrir un ticket que el equipo de seguridad revise y dé seguimiento, lo que garantiza que los riesgos identificados se limiten y se mantengan bajo control.

La estrategia interna de gestión centralizada de registros de Alibaba Cloud desempeña un papel crucial para garantizar que los datos de los registros permanezcan protegidos en términos de integridad, confidencialidad y disponibilidad. Esto se logra mediante una combinación de medidas de seguridad sólidas y mejores prácticas, entre las que se incluyen:

● Restricciones de acceso: la plataforma central de gestión de registros de Alibaba Cloud solo proporciona interfaces de recopilación y visualización de registros, mientras que las interfaces de modificación y eliminación están deshabilitadas. El acceso a los registros está restringido al personal autorizado, previa aprobación con base en el tipo de acceso, lo que garantiza que los datos de registro del repositorio central queden protegidos contra accesos, modificaciones y eliminaciones no autorizados.

● Almacenamiento seguro: Alibaba Cloud garantiza que los datos de registro se almacenen en un entorno protegido y controlado, y aplica estrictas medidas de seguridad para prevenir accesos no autorizados, alteraciones o pérdidas. Cuenta con mecanismos de almacenamiento robustos para mantener la integridad y la disponibilidad de los datos de registro y garantizar que estos permanezcan seguros y accesibles cuando se necesiten. El monitoreo continuo y las prácticas de salvaguarda refuerzan aún más la seguridad de los registros almacenados, en alineación con los requisitos operativos y de cumplimiento.

● Retención de registros: Alibaba Cloud determina los períodos de retención de registros con base en requisitos regulatorios, obligaciones legales y necesidades del negocio. Normalmente, la mayoría de los registros de auditoría se conservan durante al menos seis meses para garantizar la alineación con los objetivos de seguridad, operativos y de cumplimiento.

● Respaldo de registros: Alibaba Cloud implementa procesos de respaldo automatizados para reducir el riesgo de errores humanos y garantizar que los registros se respalden de manera consistente y segura.

Alibaba Cloud implementa un marco robusto de gestión de accesos para salvaguardar los sistemas y los datos, lo que garantiza que solo el personal autorizado acceda a recursos específicos y restringidos. Nuestro enfoque incluye identificar los niveles de acceso necesarios, aplicar el principio de privilegio mínimo, monitorear de forma continua y realizar revisiones y auditorías periódicas de los derechos de acceso. Esta sección detalla las prácticas integrales de gestión de accesos de Alibaba Cloud y subraya nuestro compromiso de mantener estrictos estándares de seguridad y proteger la confianza de nuestros clientes.

El riguroso marco de gestión de accesos de Alibaba Cloud constituye la base de nuestra arquitectura de confianza cero y se apega a los principios de privilegio mínimo y de necesidad de conocimiento. Aplicamos estrictos controles de acceso sobre los datos de los clientes, lo que garantiza que los empleados solo puedan acceder a esta información con la autorización explícita del cliente. Los clientes conservan el control, la gestión y la propiedad totales de sus datos. Alibaba Cloud nunca utiliza ni deriva información de los datos de los clientes con fines de marketing, publicidad o cualquier otro propósito no autorizado. Las principales prácticas de gestión de accesos incluyen:

● Aislamiento lógico: Alibaba Cloud ha implementado una arquitectura robusta de aislamiento de inquilinos que, de forma predeterminada, ubica a los usuarios en entornos segregados y evita el acceso no autorizado a los datos de otros usuarios o la interferencia con ellos.

● Control de acceso basado en roles (RBAC): Empleamos el RBAC para asignar un conjunto limitado de permisos predeterminados con base en el puesto y la función del empleado dentro de la organización, con lo que se garantiza que los empleados sólo tengan acceso a los recursos necesarios para las responsabilidades de su puesto.

● Gestión automatizada de cuentas: Un sistema centralizado de gestión de permisos administra las solicitudes de acceso, las aprobaciones y el aprovisionamiento o la eliminación automáticos del acceso. Este sistema se sincroniza con el sistema de Recursos Humanos para ajustar los permisos de acceso cuando los empleados dejan la organización o cambian de puesto.

● Segregación de funciones: Dentro del proceso de aprobación de accesos, Alibaba Cloud aplica la segregación de funciones al asignar roles distintos para solicitantes, aprobadores y administradores del sistema de gestión. De este modo, sólo se otorgan los permisos adecuados tras aprobaciones objetivas.

● Autenticación de múltiples factores (MFA): Para agregar una capa adicional de seguridad, la MFA es obligatoria para acceder a los sistemas y los recursos de producción. Incluso si una contraseña queda comprometida, se impide el acceso no autorizado.

● Revisión y monitoreo de accesos: Las reglas de auditoría y monitoreo definidas en el sistema de monitoreo de accesos analizan el uso de las cuentas y los permisos de acceso, detectan posibles usos indebidos y generan alertas automatizadas para notificar al equipo de seguridad cualquier desviación o excepción. El equipo de seguridad es responsable de investigar las alertas y tomar las acciones adecuadas.

● Capacitación y concientización en seguridad: Todos los empleados reciben capacitación periódica sobre mejores prácticas de seguridad, que incluye la gestión segura de accesos y el reconocimiento de intentos de phishing u otros ataques de ingeniería social. Esta formación continua fomenta una sólida cultura de seguridad dentro de la empresa.

Alibaba Cloud implementa medidas integrales de control de acceso para garantizar que todo acceso a sus sistemas de producción sea seguro, auditable y cumpla con las mejores prácticas de ciberseguridad. De forma predeterminada, los empleados responsables de operar estos sistemas no tienen acceso al contenido del cliente. Los clientes mantienen el control total para conceder acceso externo y temporal a sus recursos de Alibaba Cloud a través del servicio de tickets de la consola de gestión, donde el acceso se rige estrictamente por la configuración de autorización establecida por el cliente.

Con base en los riesgos potenciales asociados a los distintos niveles de acceso, Alibaba Cloud clasifica los permisos de acceso en tres tipos: usuarios normales, administradores de aplicaciones y administradores de sistemas. Los empleados que necesitan acceso a servidores físicos, dispositivos de red o máquinas virtuales deben enviar una solicitud con un período definido y recibir la aprobación del personal autorizado. Una vez que expira el período de acceso o se completa la tarea, los permisos se revocan de inmediato para evitar derechos de acceso residuales.

El acceso a los sistemas de producción se controla y se monitorea de manera estricta. Los empleados solo pueden ingresar a través de servidores bastión, los cuales requieren autenticación de dos factores (2FA). Todas las actividades que se realizan en los sistemas de producción por medio de los servidores bastión se registran en tiempo real y se transfieren a una plataforma central de gestión de registros para su análisis y auditoría.

Alibaba Cloud reconoce plenamente la importancia crítica del cifrado de datos para cumplir con los estrictos requisitos de protección de datos. Nuestras soluciones de cifrado garantizan la confidencialidad, la autenticidad y la integridad de los datos confidenciales mediante técnicas criptográficas de vanguardia. Esta sección describe nuestros mecanismos integrales de cifrado de extremo a extremo, diseñados para proteger el contenido del cliente durante todo su ciclo de vida. Estos mecanismos incluyen el cifrado en tránsito, el cifrado en reposo y los servicios de cómputo cifrado basados en hardware. Estamos comprometidos con la mejora continua de nuestras tecnologías para alinearlas con las mejores prácticas de seguridad de los datos y de privacidad.

El cifrado en tránsito protege los datos mientras viajan a través de las redes, lo que garantiza que la información sensible permanezca confidencial, íntegra y auténtica del remitente al destinatario. Alibaba Cloud proporciona múltiples mecanismos para proteger los datos en tránsito, entre los que se incluyen:

● Transmisión segura de datos mediante la consola de gestión: la Consola de gestión de Alibaba Cloud emplea cifrado HTTPS en las transmisiones de datos cuando los clientes realizan operaciones a través de la consola, lo que garantiza que las interacciones sean seguras y confidenciales.

● Puntos de acceso de API seguros: los productos de Alibaba Cloud proporcionan a los clientes puntos de acceso de API que admiten HTTPS con cifrado de longitud de clave de hasta 256 bits, lo que satisface los requisitos de los clientes para la transmisión segura de información confidencial.

● Algoritmos y protocolos de cifrado seguros: Alibaba Cloud ofrece algoritmos de cifrado de alta seguridad, como AES-256, y protocolos criptográficos como IPsec y TLS, combinados con mecanismos estrictos de autenticación y autorización para evitar que los datos cifrados se vean comprometidos.

● Cifrado seguro de extremo a extremo: los productos de puertas de enlace de red de Alibaba Cloud ofrecen cifrado de extremo a extremo durante la transmisión de datos. Por ejemplo, los clientes pueden usar nuestros productos VPN Gateway para establecer conexiones IPsec-VPN y SSL-VPN según sea necesario, lo que garantiza que todos los datos transmitidos por estos canales cifrados se mantengan confidenciales, auténticos y a prueba de alteraciones.

Alibaba Cloud ofrece soluciones integrales de cifrado para los datos en reposo en todos sus servicios, lo que permite a los clientes cifrar los datos almacenados con técnicas criptográficas avanzadas.

● Mecanismo de cifrado sobreimposto (envelope): este mecanismo se basa en una jerarquía de claves que consta de al menos dos capas:

 ○Clave principal del cliente (CMK): se utiliza para cifrar o descifrar las claves de cifrado de datos (DEK).
 ○Clave de cifrado de datos (DEK): se utiliza para cifrar o descifrar los datos empresariales.

● Bring Your Own Key (BYOK): Alibaba Cloud ofrece múltiples productos que admiten claves de cifrado gestionadas por el usuario, incluida la opción de que los clientes suban sus propias CMK como parte de la funcionalidad BYOK o generen sus propias CMK en Key Management Service (KMS).

● Medidas de protección de claves: Alibaba Cloud implementa medidas de protección de claves estándar de la industria mediante su infraestructura de KMS, que cumple con las recomendaciones de NIST 800-57 y emplea algoritmos criptográficos certificados y módulos de seguridad de hardware (HSM).

 ○Los HSM utilizados fuera de China continental están certificados según FIPS 140-2 Level 3.
 ○KMS incluye una funcionalidad de rotación automática de claves que permite a los clientes configurar la rotación automática de las CMK.

● Cifrado por diseño: las capacidades de cifrado de datos están integradas en diversos productos de Alibaba Cloud, incluidos Elastic Block Storage (EBS), Object Storage Service (OSS), Relational Database Service (RDS), MaxCompute y File Storage NAS. Por ejemplo, OSS admite el cifrado del lado del servidor y del lado del cliente:

 ○Cifrado del lado del servidor: OSS usa claves administradas por el servicio o CMK de BYOK para cifrar los datos.
 ○Cifrado del lado del cliente: OSS permite a los clientes usar claves autogestionadas o CMK generadas en Alibaba Cloud KMS para cifrar los datos antes de subirlos.

La robusta estrategia de seguridad de red de Alibaba Cloud constituye la base para generar confianza y garantizar la confiabilidad del servicio. Para mitigar de manera eficaz los riesgos de seguridad de la red, nos enfocamos en fortalecer la arquitectura de red, aplicar estrictos controles de acceso a la red y aprovechar mecanismos avanzados de detección y prevención contra las amenazas a la red. Esta sección describe nuestras estrategias multicapa de seguridad de red, diseñadas para optimizar continuamente la postura de seguridad de nuestros entornos de red.

Alibaba Cloud diseña estratégicamente la seguridad de red desde la fase inicial de la arquitectura para garantizar que sea robusta, escalable y segura. Implementamos un enfoque de protección de red multicapa que salvaguarda las diferentes capas, desde la defensa perimetral hasta la segmentación interna. Este enfoque por capas aísla los recursos críticos y reduce el riesgo de movimiento lateral de los atacantes, lo que mejora la seguridad general de la red.

● Segmentación de red: Alibaba Cloud implementa medidas de aislamiento de red para mejorar la seguridad y el control al dividir la red en entornos de producción y de no producción. Esta división evita que los actores maliciosos se muevan libremente dentro de la red. Además, segmentamos aún más la red de producción para separar las redes de servicios en la nube que brindan servicios externos de las redes físicas que sustentan las funcionalidades subyacentes de los servicios en la nube.

● Estrictos controles de acceso a la red: el acceso desde la red de servicios en la nube a la red física se deshabilita de forma predeterminada mediante las ACL de red configuradas. Alibaba Cloud también aplica medidas estrictas de control de red para evitar que dispositivos no autorizados se conecten a la red interna y que los servidores físicos inicien conexiones con dispositivos externos. Además, implementamos servidores bastión en los límites de la red de producción para su gestión y control centralizados, lo que garantiza que todas las actividades de acceso en las redes de producción se auditen y se registren.

Además del aislamiento de red y de los rigurosos controles de acceso a la red, Alibaba Cloud implementa mecanismos de detección y prevención de intrusiones en la red para protegerse frente a las actividades maliciosas en la red.

● Detección y prevención en la red en tiempo real: Alibaba Cloud emplea sofisticados sistemas de detección de intrusiones en la red (IDS) en los límites de la red y en los segmentos internos para monitorear de forma automática el tráfico en busca de señales de actividades sospechosas o no autorizadas, y alerta a nuestro equipo de seguridad sobre cualquier comportamiento malicioso en la red. Además, aplicamos reglas del sistema de prevención de intrusiones (IPS) para bloquear el tráfico malicioso y garantizar una protección proactiva contra las amenazas.

● Respuesta e investigación rápidas: Alibaba Cloud integra sus mecanismos de detección y prevención de intrusiones con una plataforma de monitoreo de incidentes de seguridad, lo que permite analizar con rapidez la actividad sospechosa en la red y responder de inmediato ante las intrusiones. Esta integración reduce al mínimo la ventana de oportunidad de los atacantes.

● Mejoras continuas de seguridad: con la inteligencia de amenazas obtenida en cada incidente de seguridad, el equipo de seguridad de Alibaba Cloud actualiza de manera constante las reglas de detección y prevención para fortalecer la seguridad de la red y anticiparse a las amenazas emergentes.

Alibaba Cloud implementa un programa integral de gestión de proveedores para regular las interacciones con los proveedores y los empleados de terceros, y garantizar la seguridad durante todo el ciclo de vida de la gestión de proveedores. Esta sección describe nuestros controles robustos antes, durante y después de la contratación de proveedores, lo que refleja nuestro compromiso a largo plazo con la optimización de la seguridad de los datos y el cumplimiento en la gestión de proveedores.

Durante la fase de incorporación de proveedores, Alibaba Cloud implementa una serie de medidas estrictas de evaluación y control de seguridad centradas en la seguridad de la información y la protección de datos, para garantizar que cada proveedor cumpla con nuestros altos estándares de seguridad:

● Debida diligencia de proveedores: para los proveedores que procesan datos personales, el equipo de seguridad y cumplimiento de Alibaba Cloud realiza una debida diligencia exhaustiva. Esta evaluación examina las capacidades del proveedor en materia de seguridad de los datos y de cumplimiento, e incluye sus marcos de gestión de seguridad de la información, las políticas de cifrado de datos, los mecanismos de control de acceso, los planes de respuesta a incidentes y otras prácticas relevantes. El objetivo es garantizar que los proveedores protejan de manera eficaz los datos personales de acuerdo con nuestros estándares definidos.

● Requisitos contractuales de seguridad: antes de comenzar el trabajo, todos los proveedores deben firmar un contrato que establezca sus derechos y obligaciones, el alcance de los servicios, las cláusulas de confidencialidad, los requisitos de seguridad y cumplimiento, y los niveles de servicio. Este contrato rige la relación entre Alibaba Cloud y sus proveedores, y garantiza expectativas y responsabilidades claras.

Para garantizar que los proveedores cumplan de forma continua con políticas estrictas de seguridad de la información y protección de datos durante la asociación, Alibaba Cloud ha establecido un mecanismo de monitoreo proactivo:

● Gestión del personal de terceros: a los empleados de los proveedores de Alibaba Cloud no se les concede acceso a la red interna hasta que completan con éxito la capacitación obligatoria de incorporación para la concientización sobre seguridad de la información y aprueban una prueba de seguridad de los datos. Los comportamientos de acceso de los empleados de los proveedores se gestionan y se controlan en nuestro sistema de gestión de accesos, lo que evita el acceso no autorizado a los datos.

● Monitoreo continuo de cumplimiento: Alibaba Cloud realiza un monitoreo periódico de los proveedores para garantizar el cumplimiento de nuestros estándares de seguridad de la información y protección de datos durante toda la asociación. Por ejemplo, los proveedores de servicios de centros de datos deben enviar informes mensuales para su revisión, los cuales abarcan diversos aspectos como los registros de acceso, los incidentes graves, los resúmenes de las actividades de mantenimiento y los datos clave de los sistemas de monitoreo, a fin de garantizar la operación segura y estable de los centros de datos.

● Lista de subencargados: Alibaba Cloud limita el número de proveedores autorizados para actuar como subencargados del tratamiento del contenido del miembro en nombre de los clientes. Estos subencargados se dividen en dos categorías:

  ○ Entidades afiliadas de Alibaba Cloud que proporcionan la infraestructura que sustenta los productos y servicios de Alibaba Cloud.

  ○ Proveedores de terceros contratados por Alibaba Cloud para realizar actividades de tratamiento específicas para determinados servicios. Los clientes pueden acceder a la lista de subencargados de Alibaba Cloud al iniciar sesión en su cuenta de Alibaba Cloud.

Alibaba Cloud opera una cartera global de centros de datos para proporcionar a clientes y socios potencia de red y de cómputo altamente confiable, eficiente y segura. Estos centros de datos constituyen la base de los más de 200 productos y servicios de Alibaba Cloud. Para garantizar la protección de la infraestructura y de los datos de los clientes, Alibaba Cloud ha establecido un robusto programa de seguridad física y ambiental, que actúa como primera línea de defensa frente a amenazas que van desde desastres naturales hasta intrusiones físicas maliciosas. Este artículo describe el enfoque multicapa de Alibaba Cloud para proteger sus centros de datos y nuestro compromiso continuo con la mejora de las medidas de seguridad.

Selección de sitios

Antes de establecer un centro de datos, Alibaba Cloud realiza evaluaciones rigurosas de selección de sitios para identificar y mitigar riesgos potenciales. Las ubicaciones se eligen estratégicamente para minimizar la exposición a desastres naturales como terremotos, inundaciones y fenómenos meteorológicos extremos. Nuestras zonas de disponibilidad están diseñadas para ser independientes y estar separadas geográficamente, y así reforzar la resiliencia.

Redundancia de energía

Para garantizar un servicio ininterrumpido 24/7, los centros de datos de Alibaba Cloud cuentan con dos suministros principales y sistemas de energía redundantes. Los suministros de energía primario y secundario ofrecen la misma capacidad. En caso de un corte de energía, se activan bancos de baterías redundantes y generadores diésel para mantener las operaciones del centro de datos durante un período prolongado y asegurar la disponibilidad continua del servicio.

Áreas seguras y compartimentalización

Alibaba Cloud implementa estrictos controles de seguridad física al segmentar las instalaciones de los centros de datos en áreas designadas, incluidas salas de servidores, espacios de oficinas y zonas de entrega. Cada área se compartimenta con base en los niveles de sensibilidad, y las medidas de seguridad aumentan en consecuencia

Control de acceso de empleados

Únicamente los empleados autorizados pueden acceder a los centros de datos de Alibaba Cloud. Los permisos de acceso deben solicitarse con una justificación empresarial válida y se otorgan con base en el principio de privilegio mínimo. Todos los derechos de acceso tienen una vigencia limitada y requieren la aprobación del personal autorizado. Los empleados sólo pueden ingresar a las áreas designadas, y los permisos de acceso se revocan una vez expirados.

Acceso de terceros

Los contratistas y visitantes deben enviar solicitudes de acceso con anticipación y proporcionar justificaciones de negocio. Su acceso se limita a las áreas aprobadas y se concede con base en el principio de privilegio mínimo. Los visitantes deben estar acompañados en todo momento por personal autorizado de Alibaba Cloud. Los permisos de acceso se revocan automáticamente al vencer el período aprobado.

Monitoreo de seguridad

Los centros de datos de Alibaba Cloud cuentan con videovigilancia en todos los puntos de entrada clave, como las entradas, las áreas de entrega de equipos y las zonas de acceso crítico. Las grabaciones de vigilancia se conservan de acuerdo con los requisitos legales y de cumplimiento. Además, los registros de acceso se revisan periódicamente y se almacenan de forma segura para monitorear las actividades de entrada y detectar anomalías.

Gestión de activos

Alibaba Cloud ha establecido un sistema de gestión de seguridad para supervisar todo el ciclo de vida de los dispositivos de almacenamiento, desde la recepción y la implementación hasta el mantenimiento, el traslado, la reutilización o la baja. Cada dispositivo se registra en un sistema de gestión de activos y se le asigna un responsable. Controles de acceso estrictos y un monitoreo continuo garantizan la seguridad de todos los activos de hardware. Se realizan mantenimiento y auditorías de forma regular para verificar el cumplimiento.

Seguridad de los medios de almacenamiento

Cuando los medios de almacenamiento se retiran de servicio, Alibaba Cloud sigue el estándar NIST SP 800-88 para el saneamiento seguro de los datos. Los datos almacenados se borran varias veces para garantizar su eliminación permanente. Los medios de almacenamiento que ya no se necesitan se destruyen físicamente mediante trituración. Todo el proceso de saneamiento y desecho se documenta y se conserva con fines de auditoría.

Control climático

Los centros de datos de Alibaba Cloud están equipados con sistemas de climatización de precisión que mantienen niveles óptimos de temperatura y humedad. Estas condiciones se monitorean electrónicamente y cualquier desviación activa una alarma automática, lo que da lugar a una acción correctiva inmediata.

Extinción de incendios

Los centros de datos de Alibaba Cloud cuentan con sistemas avanzados de detección de incendios con sensores térmicos y de humo. Estos sensores están ubicados tanto en techos como en pisos y disparan alarmas audibles y visuales al activarse. Cada centro de datos está equipado con un sistema integrado de extinción de incendios mediante gas y con extintores. Se realizan capacitaciones y simulacros periódicos de seguridad contra incendios dirigidos al personal de los centros de datos, a fin de garantizar una rápida capacidad de respuesta.

Prevención de inundaciones

Los centros de datos de Alibaba Cloud están construidos con materiales impermeables y cumplen con las normas nacionales de resistencia al agua. Los edificios se someten a inspecciones periódicas de humedad y filtraciones, con corrección inmediata de cualquier problema detectado. Los pisos están diseñados con sistemas de drenaje y capas de aislamiento para evitar inundaciones. Los sensores de detección de agua se ubican estratégicamente cerca de las tuberías y activan alarmas al detectar filtraciones para facilitar una respuesta inmediata.

Simulacros e inspecciones

Los centros de datos de Alibaba Cloud realizan simulacros e inspecciones de seguridad regulares que simulan posibles incidentes de seguridad física y ambiental, como cortes de energía. Los resultados de estos ejercicios se documentan y las lecciones aprendidas se incorporan a las mejoras de seguridad.

Monitoreo y análisis en tiempo real

El personal en el sitio trabaja por turnos para monitorear continuamente las operaciones de los centros de datos de Alibaba Cloud. Los sistemas de monitoreo en tiempo real rastrean las condiciones ambientales, incluidas la temperatura y la humedad, así como el rendimiento de los servidores. Si algún parámetro se desvía del rango estándar, se activan alertas automáticas para que el personal en el sitio las resuelva de inmediato.

Auditorías y cumplimiento de terceros

Los centros de datos de Alibaba Cloud cumplen con estándares de seguridad líderes en la industria, incluidos ISO 27001 (gestión de seguridad de la información) e ISO 22301 (gestión de la continuidad del negocio). Auditores independientes de terceros evalúan de forma regular el cumplimiento de estos estándares. Para más detalles, visite el Centro de confianza de Alibaba Cloud y el repositorio de cumplimiento.

Alibaba Cloud opera un sistema de seguridad de la información de primer nivel que integra procesos rigurosos gestionados por un equipo altamente capacitado de monitoreo y respuesta a incidentes. El equipo de respuesta a incidentes de Alibaba Cloud es una unidad especializada dedicada a gestionar y mitigar incidentes de seguridad. Este equipo desempeña un papel crucial para mantener la seguridad y la integridad de los datos de los clientes, ya que responde con prontitud ante cualquier evento no planificado que pueda afectar la calidad del servicio o representar amenazas a la seguridad.

Según la naturaleza del incidente, el equipo de respuesta puede incluir expertos de los siguientes campos:

● Comandante de respuesta a incidentes

● Coordinadores de incidentes

● Especialistas en seguridad

● Especialistas en I+D e ingeniería

● Especialistas en asuntos legales y cumplimiento

● Especialistas en relaciones públicas y asuntos gubernamentales

● Especialistas en soporte al cliente

Alibaba Cloud emplea monitoreo continuo y sistemas avanzados de detección de amenazas para identificar y responder en tiempo real a los incidentes de seguridad. El marco de respuesta a incidentes está diseñado para garantizar un manejo rápido y eficaz de los incidentes y minimizar su impacto en la calidad del servicio y la experiencia del cliente. El objetivo principal de Alibaba Cloud en la respuesta a incidentes es gestionar y mitigar los incidentes de seguridad de manera eficiente para garantizar la continuidad, la disponibilidad y la seguridad del entorno en la nube.

Alibaba Cloud sigue un enfoque de cinco pasos para responder eficazmente a los incidentes de seguridad:

1. Detección e identificación — Los posibles incidentes de seguridad se identifican mediante herramientas de monitoreo avanzadas, incluidos los sistemas de detección de intrusiones (IDS), la gestión de eventos e información de seguridad (SIEM) y los algoritmos de detección de anomalías. Las actividades sospechosas, como los intentos de acceso no autorizados y las transferencias de datos anómalas, se monitorean de manera continua. Se anima a los empleados y a los usuarios a reportar irregularidades.

2. Triaje y respuesta — El equipo de respuesta a incidentes evalúa la gravedad y el impacto del incidente. Los incidentes se clasifican con base en su urgencia, y se implementan medidas de contención inmediatas, como aislar los sistemas afectados y deshabilitar las cuentas comprometidas, para evitar daños mayores.

3. Investigación y análisis — Los especialistas en seguridad realizan un análisis de causa raíz (RCA) para determinar la causa y el alcance del incidente. El análisis forense de los registros, las imágenes del sistema y el tráfico de red permite comprender el impacto en la integridad de los datos y en las operaciones empresariales.

4. Mitigación y resolución — El incidente se mitiga aplicando parches de seguridad, eliminando el malware y restaurando los sistemas afectados desde respaldos verificados. Se elabora un informe detallado del incidente que documenta los hallazgos clave, las acciones adoptadas y las recomendaciones para futuras mejoras.

5. Mejora posterior al incidente — Alibaba Cloud fortalece las medidas de seguridad a partir de lo aprendido en incidentes anteriores. Las políticas de seguridad se actualizan, los empleados reciben capacitación en ciberseguridad y se realiza un monitoreo proactivo de amenazas para prevenir amenazas futuras.

1. Detección e identificación

La identificación oportuna y precisa de los incidentes de seguridad es crucial para una gestión de incidentes eficaz. Alibaba Cloud emplea monitoreo en tiempo real, alertas automatizadas y auditoría continua para detectar y reportar posibles amenazas a la seguridad.

● Herramientas de monitoreo: los sistemas de gestión de eventos e información de seguridad (SIEM), los sistemas de detección de intrusiones (IDS) y los sistemas de prevención de intrusiones (IPS) ayudan a identificar actividad sospechosa.

● Detección de anomalías: se activan alertas ante eventos como múltiples intentos de acceso fallidos, accesos no autorizados a datos y transferencias de datos inesperadas.

● Recopilación y análisis de registros: los registros de hosts en la nube, redes, aplicaciones y otros componentes de la infraestructura se recopilan y se analizan mediante algoritmos de monitoreo de seguridad.

● Reporte de incidentes: se anima a los empleados y a los usuarios a reportar actividades sospechosas, como intentos de phishing o comportamientos inusuales del sistema.

2. Triaje y respuesta

Una vez que se detecta un incidente, el equipo de respuesta a incidentes lo clasifica y lo prioriza con base en su impacto potencial.

● Clasificación de incidentes: se asignan niveles de gravedad (baja, media, alta) con base en factores como:

  ○ Causa de la vulneración y si esta sigue activa.

  ○ Número de personas afectadas.

  ○ Tipo de datos comprometidos.

  ○ Impacto en las operaciones empresariales.

  ○ Necesidad de asistencia externa (por ejemplo, respuesta legal o regulatoria).

●Medidas de contención: acciones inmediatas para evitar daños mayores, como aislar los sistemas afectados, revocar los permisos de acceso y deshabilitar las cuentas comprometidas.

●Preservación de evidencias: los registros del sistema, los snapshots y otros datos forenses se almacenan de forma segura para la investigación.

3. Investigación y análisis

Los especialistas en seguridad de Alibaba Cloud realizan una investigación exhaustiva para comprender la causa, el alcance y el impacto del incidente.

● Análisis de causa raíz (RCA): identifica vulnerabilidades, vectores de ataque y debilidades explotadas.

● Análisis forense: examina los registros, las imágenes del sistema y el tráfico de red para rastrear la actividad del atacante.

● Evaluación del impacto: evalúa los datos comprometidos, el impacto operativo, las posibles pérdidas financieras y las implicaciones regulatorias.

4. Mitigación y resolución

La fase de respuesta y recuperación se enfoca en mitigar el incidente y restaurar los sistemas afectados.

● Esfuerzos de remediación: aplicar parches de seguridad, actualizar las configuraciones y eliminar el malware.

● Restauración de datos y del sistema: verificar y restaurar respaldos limpios para garantizar la integridad de los datos.

● Documentación del incidente: crear un informe detallado que incluya:

  ○ Cronología de los eventos.

  ○ Acciones adoptadas.

  ○ Hallazgos de la investigación.

  ○ Medidas de remediación.

  ○ Recomendaciones para mejoras futuras.

● Comunicación con las partes interesadas: notificar a los usuarios afectados, a los organismos reguladores y a otras partes interesadas en cumplimiento de las obligaciones legales. Alibaba Cloud garantiza una comunicación transparente mediante correos electrónicos, comunicados oficiales y soporte al cliente.

5. Mejora posterior al incidente

Alibaba Cloud perfecciona de manera continua su estrategia de respuesta a incidentes a partir de lo aprendido en incidentes anteriores.

● Fortalecimiento del marco de seguridad: las políticas, los procedimientos y las salvaguardas técnicas se actualizan con base en las lecciones aprendidas.

● Programas de capacitación y concientización: los empleados reciben capacitación continua sobre amenazas de ciberseguridad y mejores prácticas de respuesta a incidentes.

● Auditorías externas de seguridad: Alibaba Cloud colabora con expertos de terceros para realizar evaluaciones de seguridad e identificar áreas de mejora.

● Monitoreo proactivo de amenazas: se realizan evaluaciones de seguridad periódicas, pruebas de penetración y detección de anomalías para identificar y mitigar las amenazas potenciales antes de que escalen.

Alibaba Cloud opera un programa integral de gestión de vulnerabilidades diseñado para salvaguardar nuestra infraestructura y garantizar los más altos niveles de seguridad y confiabilidad del servicio. Como parte integral de nuestra estrategia global de ciberseguridad, este programa se enfoca en identificar, evaluar y mitigar las vulnerabilidades que podrían comprometer nuestros sistemas y servicios. Esta sección describe el enfoque multicapa de Alibaba Cloud para la gestión de vulnerabilidades y nuestro compromiso con la mejora continua de la seguridad.

El programa de gestión de amenazas y vulnerabilidades de Alibaba Cloud garantiza la seguridad de la infraestructura de Alibaba Cloud y de los entornos de los clientes mediante la detección de fallas del sistema y de acciones no autorizadas, así como la aplicación oportuna de medidas de corrección. Las vulnerabilidades se detectan y reportan a través de múltiples canales, entre ellos:

● Reportes y análisis internos: nuestros mecanismos de seguridad internos incluyen análisis automatizados de vulnerabilidades y auditorías de seguridad manuales. Estos procesos garantizan que los componentes de red, los servidores, las aplicaciones y las bases de datos se examinen a fondo en busca de posibles vulnerabilidades.

● Reportes externos: colaboramos con entidades de seguridad externas, como Alibaba Security Response Center (ASRC), Alibaba Cloud Crowdsourced Security Testing Platform y fuentes de inteligencia de amenazas de terceros. Estos canales nos ayudan a rastrear las vulnerabilidades y exposiciones comunes (CVE), en particular las que afectan a componentes de terceros de código abierto.

Consolidamos todas las vulnerabilidades identificadas en nuestra plataforma de seguridad para la gestión de vulnerabilidades, donde se analizan, se clasifican y se priorizan de manera rigurosa con base en algoritmos predefinidos de monitoreo de seguridad.

Una vez identificadas y verificadas las vulnerabilidades, se priorizan con base en su gravedad, su impacto potencial y su explotabilidad. Nuestro proceso de evaluación y remediación de riesgos incluye:

● Parcheo de criticidad alta: las vulnerabilidades de gravedad alta se atienden con parcheo inmediato y cambios de configuración mediante nuestro sólido sistema de gestión de parches.

● Estrategias de mitigación a largo plazo: para las vulnerabilidades complejas que requieren cambios de arquitectura o refactorización de código, implementamos planes de mitigación a largo plazo que garantizan una resolución integral.

● Gestión de configuración:

  ○ El equipo de seguridad mantiene estándares de configuración que definen los requisitos de línea base para el endurecimiento de los sistemas.

  ○ Estos estándares se someten a revisiones y actualizaciones anuales.

  ○ Las herramientas automatizadas de análisis de configuración monitorean el cumplimiento de manera continua y garantizan que las desviaciones se detecten y corrijan con rapidez.

Al abordar sistemáticamente las vulnerabilidades mediante una priorización con base en el riesgo, Alibaba Cloud minimiza las posibles amenazas a la seguridad al tiempo que mantiene la eficiencia operativa.

El programa de gestión de vulnerabilidades de Alibaba Cloud es un proceso continuo destinado a mantener y fortalecer nuestra postura de seguridad. Las iniciativas clave incluyen:

● Inteligencia proactiva de amenazas:

  ○ Aprovechamos plataformas globales de inteligencia de amenazas y bases de datos externas de vulnerabilidades para anticiparnos a las amenazas emergentes a la seguridad.

● Pruebas de penetración y simulacros de seguridad:

  ○ Los equipos rojos internos y los expertos en seguridad externos realizan pruebas de penetración periódicas para evaluar la postura de seguridad de nuestra infraestructura.

  ○ Los simulacros de ataque y defensa evalúan y mejoran de manera sistemática nuestras capacidades de detección y respuesta ante amenazas.

●Capacitación y concientización en seguridad:

  ○ Invertimos en programas de formación continua para los empleados, de modo que todo el personal pueda identificar, reportar y responder a las amenazas a la seguridad de forma eficaz.

  ○ Esta cultura que prioriza la seguridad fortalece la capacidad de Alibaba Cloud para detectar y mitigar vulnerabilidades de forma proactiva.

La transparencia y la colaboración son componentes esenciales de la estrategia de gestión de vulnerabilidades de Alibaba Cloud. Trabajamos activamente con los clientes y con la comunidad de ciberseguridad en general para impulsar un enfoque cooperativo de la seguridad:

● Reportes de vulnerabilidades y programas de bug bounty:

  ○ Alibaba Cloud opera programas de bug bounty que incentivan a investigadores de seguridad externos a reportar vulnerabilidades, lo que mejora nuestras capacidades de seguridad más allá de los equipos internos.

  ○ Puede encontrar más detalles en: Alibaba Security Response Center (ASRC).

● Reportes transparentes y comunicación con los clientes:

  ○ Informamos de manera proactiva a los clientes sobre las vulnerabilidades identificadas y los esfuerzos de remediación, lo que garantiza la transparencia en la gestión de seguridad.

  ○ Nuestro enfoque fomenta la confianza y la colaboración, lo que permite a los clientes fortalecer sus propias defensas de seguridad frente a las amenazas emergentes.