Ciudades, agencias de transporte y empresas de movilidad confían a Remix sus datos relacionados con el transporte. Nos comprometemos a mantener la seguridad de los datos y podemos proporcionar detalles sobre nuestras medidas de seguridad a los clientes y socios actuales y potenciales que lo soliciten.
Esta página detalla cómo protegemos nuestra plataforma, los datos que almacena y las personas que dependen de ella.
PlataformaIncorporamos principios de seguridad en todos los aspectos de nuestra plataforma tecnológica.
PersonasTodo el personal de Remix ha recibido formación sobre nuestras prácticas de seguridad y está comprometido con la excelencia en seguridad.
ProcesoContamos con procesos que garantizan que la seguridad está integrada en nuestro software y en nuestra forma de trabajar.
SEGURIDAD DE APLICACIONES Y CENTROS DE DATOS
21 de mayo de 2020
Toda la infraestructura de aplicaciones de Remix está gestionada actualmente por Amazon Web Services (AWS) y Heroku, una filial de Salesforce. Todos los datos se almacenan en centros de datos gestionados por Amazon. Estos centros de datos han recibido las certificaciones ISO 27001 y SOC, la autorización moderada de la Ley Federal de Gestión de la Seguridad de la Información (FISMA) y la acreditación de la Administración de Servicios Generales de Estados Unidos.
Más información sobre el cumplimiento y la seguridad de Amazon Web Services
Más información sobre la política de seguridad de Heroku
AISLAMIENTO DE DATOS
Los datos confidenciales se ingieren, procesan y almacenan en un entorno aislado y seguro en AWS, denominado cuenta de datos de socio. La agregación se realiza dentro de la cuenta de datos de socio y solo los datos agregados salen de ella. La cuenta aislada requiere pasos adicionales para que los desarrolladores de Remix puedan acceder a ella, incluido un proceso de aprobación por escrito y formación especializada.
SUPERVISIÓN DE LA SEGURIDAD DE LA RED
Nuestros proveedores en la nube y el sistema centralizado de registro y alerta proporcionan capacidades de detección de intrusiones que nos alertan de comportamientos sospechosos y maliciosos. Las fuentes incluyen información de eventos de red, eventos internos del sistema y fuentes de información sobre vulnerabilidades y amenazas.
TRANSFERENCIA SEGURA DE DATOS
Todas nuestras API y interfaces web están configuradas para utilizar la última versión de TLS (una vez que los navegadores y nuestros proveedores de alojamiento en la nube la admitan de forma generalizada), buscar un certificado válido, firmado y específico del dominio y utilizar un sólido conjunto de protocolos criptográficos. Nuestra filosofía de cifrado por defecto también significa que no admitimos comunicaciones sin cifrar (por ejemplo, https -> http).
CLASIFICACIÓN DE DATOS
Clasificamos los datos según su tipo y sensibilidad y utilizamos esa clasificación para definir qué sistemas están autorizados a acceder a los distintos tipos de datos y a almacenarlos. La clasificación de la sensibilidad de los datos se utiliza en el proceso de evaluación de riesgos para determinar el nivel adecuado de controles de seguridad..
CONTROLES DE ACCESO A LA BASE DE DATOS
Remix tiene la política de limitar el acceso directo a las bases de datos y copias de seguridad a los ingenieros de Remix. El acceso a datos confidenciales se limita estrictamente a las personas que lo necesitan para realizar su trabajo. Revisamos el acceso periódicamente y damos de baja a las personas que ya no lo necesitan. Cada desarrollador tiene credenciales únicas y se aplica la autenticación de 2 factores.
SEGURIDAD DEL ALMACENAMIENTO
Remix utiliza AWS y Heroku para almacenar los datos y documentos de los clientes. Estas bases de datos están aisladas a nivel de red mediante nubes privadas virtuales (VPC) y el acceso se controla mediante listas de control de acceso (ACL). Nuestra política es denegar automáticamente cualquier tráfico que no esté explícitamente permitido hacia o desde una base de datos. Además del aislamiento de red, todos los datos se cifran en reposo y en tránsito.
Más información sobre Amazon VPC
Más información sobre Heroku Private Spaces
CONTROL DE ACCESO BASADO EN FUNCIONES
Remix emplea controles de acceso basados en funciones para gestionar el acceso a los servidores que contienen datos de aplicaciones. Estos controles están diseñados para exigir a los empleados autorizados que utilicen credenciales de cuenta y autenticación individuales para obtener acceso. Remix controla el acceso a servidores y almacenes de datos mediante autenticación gestionada con sesiones SSH basadas en claves. Trabajamos según el Principio del Mínimo Privilegio, diseñado para que el acceso a un sistema sólo se conceda si es absolutamente necesario para satisfacer una necesidad empresarial legítima. Nuestra política es que los empleados sólo tengan acceso a los datos y sistemas que necesiten para hacer su trabajo.
Remix imparte formación de concienciación sobre seguridad a todos los empleados. Remix se asegurará de que solo el personal autorizado inicie sesión y de que el acceso se elimine en el momento oportuno.
CÓDIGO ACCESO
El código base de Remix se almacena actualmente en GitHub y requiere autenticación multifactor y autorización basada en el equipo para verlo o editarlo. Todos los cambios en el código base se registran con el nombre de la persona que los realiza, la hora y las líneas de código modificadas. Todos los cambios en el código que se ejecuta en los servidores de producción se revisan por pares, prestando especial atención a la seguridad antes de su despliegue. Se mantiene un registro de auditoría de todos los cambios en el código que se ejecuta en producción.
ORDENADORES INDIVIDUALES
Todos los ordenadores de la empresa están protegidos con contraseña y discos duros encriptados.
AUTENTICACIÓN DE USUARIOS
Los usuarios de Remix deben autenticarse con una dirección de correo electrónico y una contraseña. Las contraseñas solo se almacenan como hash criptográfico unidireccional con sal, y nunca en texto plano.
SEGURIDAD DEL PERSONAL
Remix ha formalizado políticas y procedimientos de contratación, gestión del rendimiento y prácticas de despido. El acceso a los sistemas de la empresa se elimina lo antes posible cuando ya no es necesario. Remix lleva a cabo exhaustivas comprobaciones de antecedentes previas a la contratación en la medida permitida por la ley.
DESARROLLO DE APLICACIONES SEGURIDAD
Nuestros desarrolladores revisan las normas de codificación segura aplicables a los entornos, lenguajes y plataformas en los que trabajan. Estas normas pueden incluir el control de acceso a los datos, la limpieza de los valores de entrada/salida y el registro de infracciones que podrían indicar un ataque o una vulnerabilidad.
CONSERVACIÓN DE DATOS
Remix pretende ser un custodio responsable de los datos de los clientes, y eliminará todos los datos de los clientes previa solicitud o finalización de la relación de Remix con el cliente.
GESTIÓN DE CREDENCIALES
Actualmente utilizamos AWS Secrets Manager y AWS Parameter Store para almacenar y administrar todos los secretos de la cuenta de datos de socio. Los secretos se rotan automáticamente de forma periódica. Todos los secretos se cifran en reposo mediante claves de firma administradas a través de AWS Key Management Service y se cifran en tránsito mediante conexiones seguras TLS. El acceso a secretos específicos está restringido a los servicios que necesitan acceso y a los ingenieros de Remix que mantienen dichos servicios.
EVALUACIONES DE VULNERABILIDAD
Remix recurre periódicamente a un equipo externo para comprobar nuestra seguridad, incluidas auditorías de cumplimiento y pruebas de penetración. Las evaluaciones se basan en las tendencias de ataque actuales y en la verificación de las mejores prácticas (por ejemplo, OWASP Top 10). Nuestros equipos técnicos revisan y corrigen los resultados.
AUDITORÍA
Nuestra política es registrar todas las acciones realizadas por un usuario o un servicio (utilizando un rol) e informar de esos registros automáticamente a AWS CloudTrail.
USO DE LOS DATOS
Nuestra misión es ayudar a construir ciudades más habitables. Creamos herramientas de software que las ciudades utilizan para comprender los sistemas de transporte urbano multimodal y mejorar la seguridad, el acceso a la movilidad y la sostenibilidad de sus comunidades. Cuando esas herramientas incorporan datos de movilidad, nuestros contratos con ciudades y empresas de movilidad regulan nuestro acceso a los datos y limitan lo que podemos y no podemos hacer con ellos.
Obtenemos nuestros ingresos de la creación de grandes tecnologías y servicios. La publicidad no forma parte de nuestro modelo de negocio y no vendemos información personal.
INTERCAMBIO DE DATOS
Remix tiene obligaciones contractuales con los clientes de la ciudad que rigen nuestra capacidad para recopilar, utilizar, compartir, proteger y eliminar diversos datos que se nos facilitan.
