Marco de controles comunes de Atlassian
Al igual que muchas otras empresas, Atlassian cuenta con una serie de estándares internacionales de control que se aplican al desarrollo de nuestros productos y a nuestros entornos de operaciones. Decidimos evaluar el solapamiento entre muchos de estos estándares independientes y asegurarnos de contar con una perspectiva única para aplicarlos en nuestros entornos internos. El principal entorno en el que aplicamos estos estándares es nuestra plataforma de alojamiento en la nube, ya que entendemos que debemos demostrar que estamos dedicando los esfuerzos necesarios para proteger a nuestros clientes y sus datos. Sin embargo, no todos los estándares pueden aplicarse a todos los entornos. Por ejemplo, Sarbanes-Oxley (SOX) se centra en los sistemas que respaldan nuestros informes financieros, entre los cuales nuestros servicios en la nube desempeñan, en el mejor de los casos, un papel secundario. Echemos un vistazo a los estándares que evaluamos y por qué los evaluamos.
Estándares internacionales aplicables
A continuación se encuentra una lista de los estándares que se han incorporado a nuestro marco de controles comunes interno:
Standard | Patrocinador |
| ISO 27001 | Organización Internacional de Normalización |
| ISO 27002 | Organización Internacional de Normalización |
| ISO 27018 | Organización Internacional de Normalización |
| SOC2 | American Institute of Certified Public Accountants (AICPA) |
| NIST SP 800-53 Rev 4 | National Institute of Standards and Technology |
| FedRAMP | Gobierno federal de los Estados Unidos |
| CSA CCM | Cloud Security Alliance |
| HIPAA | Gobierno federal de los Estados Unidos |
| SOX 404 (IT) | Gobierno federal de los Estados Unidos |
| PCI DSS | PCI Security Standards Council |
Marco de controles comunes
Como puedes observar en la tabla anterior, hay una serie de requisitos muy diversos y dispares, muchos de los cuales se aplican a los mismos entornos, sistemas o equipos. Con el fin de que nuestros equipos puedan entender con mayor facilidad cómo se solapan y en qué se parecen muchos de estos estándares, evaluamos cada uno de los requisitos de control e identificamos dónde se solapaban (es decir, dónde estaban cada uno de estos estándares evaluando básicamente el mismo dominio). El resultado es que ahora tenemos un marco de controles comunes que se vincula fácilmente a cada uno de estos estándares.
Conclusión
Organizar el marco de controles comunes de Atlassian fue importante para que nuestros equipos pudieran aplicar la mentalidad de "evaluar muchas veces y actuar una sola". En lugar de preguntar a varios equipos distintos y en diversas ocasiones, aprovechamos la eficiencia de este marco para definir dónde organizar y aplicar los controles para que toda la empresa pudiera entender cuáles son los requisitos y cómo interviene cada parte de nuestra organización colectivamente con el fin de dar confianza a todos nuestros clientes.