Prácticas de seguridad

Nuestro equipo

Sabemos que la mayoría de las empresas diría lo mismo, pero estamos realmente orgullosos de nuestro equipo de seguridad. Estamos convencidos de haber creado y desarrollado un equipo que reúne a algunos de los nombres más brillantes del sector. Al frente del equipo de seguridad está el responsable central de seguridad informática, con sede en San Francisco, y reúne en total a más de 100 personas en las oficinas de Sídney, Ámsterdam, Bengaluru, Austin, Mountain View, San Francisco y Nueva York (además de otros miembros del equipo remotos). El equipo no para de crecer, reflejando así la prioridad que da Atlassian a la seguridad. Además, incluye varios equipos secundarios:

• Seguridad de productos: este equipo se encarga de la seguridad de los productos y las plataformas.
• Seguridad de ecosistemas: este equipo es responsable de la seguridad de nuestro Marketplace y los complementos.
• Detection and Response – responsible for detecting and responding to security incidents
• Red team - responsible for adversary emulation and exercising Detection and Response
• Arquitectura de seguridad: es responsable de definir los requisitos de seguridad de nuestros productos y plataformas.
• Seguridad corporativa: desde este equipo se trabaja en nuestra seguridad interna con respecto a las aplicaciones y la red corporativas.
• Confianza: este es el equipo responsable de rastrear las expectativas de los clientes y responder a ellas, y de proporcionar transparencia para procesos y prácticas.
• Desarrollo y SRE: se ocupa de crear y ejecutar herramientas para el equipo de seguridad.
• Formación y concienciación: es el equipo encargado de garantizar que nuestros empleados y partners sepan trabajar de forma segura.

Nuestro equipo de seguridad siempre está creciendo, pero todas las personas que formamos parte de Atlassian compartimos la misión de mejorar la seguridad y todos los empleados tienen clara esta estrategia. Así, queremos guiar a nuestros colegas en la seguridad en la nube, cumplir con todos los requisitos de los clientes en cuanto a seguridad en la nube, superar los requisitos del sector en materia de normas y certificaciones de seguridad y estar orgullosos de compartir nuestros métodos para proteger los datos de los clientes. Todos nuestros empleados tienen claro nuestro concepto de seguridad y los objetivos en esta área a lo largo de toda su carrera en Atlassian.

Otros programas para proteger la seguridad

Es esencial poner en práctica los aspectos básicos de la seguridad, pero además contamos con varios programas para garantizar que nuestra estrategia de seguridad siga siendo amplia y proactiva. Por ejemplo:

Mejoras continuas del programa de seguridad

Queremos asegurarnos de que nuestro programa de seguridad siga a la vanguardia y sirva de guía para otros colegas del sector. Y sabemos que, para conseguirlo, debemos evaluar continuamente nuestro concepto actual de seguridad (también con respecto a otros colegas del sector) y determinar los puntos donde podemos mejorar.

Con este fin, hemos realizado (y continuaremos realizando) numerosas evaluaciones de madurez de nuestro programa de seguridad a través de reputadas empresas independientes de consultoría de seguridad. En 2020, también realizamos una evaluación entre pares de nuestro programa global de Confianza y seguridad. Los resultados de estos procesos (incluidas las recomendaciones clave) nos sirvieron para subsanar las lagunas y para aprovechar las oportunidades de mejora.

We have also defined a series of programs across our various security – such as Product Security and Detection and Response – to guide our internal improvement. We have defined metrics to support each of these programs which we review through our Security Management Team. We use these metrics to identify and target areas for improvement across each of our core capabilities.

Más información

Este documento proporciona una visión general de nuestro concepto de seguridad, pero encontrarás más detalles sobre nuestro programa de seguridad en el Atlassian Trust Center. También tienes a tu disposición páginas web y documentos técnicos que tratan específicamente diferentes áreas de nuestro programa de seguridad:

• Cómo gestiona Atlassian los datos de los clientes
• Nuestro enfoque sobre las pruebas de seguridad externas
• Nuestro enfoque sobre la gestión de incidentes de seguridad
• Nuestro enfoque para la gestión de vulnerabilidades
• Responsabilidades compartidas para la seguridad en la nube
• Nuestro Atlassian Trust Management System
• Nuestras políticas de seguridad y tecnología en Atlassian

Proteger el acceso a nuestras redes a través del enfoque de confianza cero

Atlassian protege el acceso a nuestra red corporativa, a las aplicaciones internas y a los entornos en la nube a través de un concepto denominado "confianza cero". En pocas palabras, el principio central del enfoque de confianza cero es este: “no te fíes nunca, compruébalo siempre”.

El enfoque de confianza cero se aparta de los conceptos tradicionales de seguridad de redes que confían únicamente en la autenticación del usuario para determinar si puede acceder a los recursos de la red. En este tipo de enfoque existe el peligro de que un dispositivo que no sea seguro ni de confianza ponga en riesgo la seguridad. En consecuencia, muchas organizaciones han comenzado a adoptar un modelo en el que solo los dispositivos de confianza pueden acceder a su red; para ello, utilizan métodos como las tecnologías de gestión de dispositivos móviles o la restricción del acceso a nivel de red a una lista de dispositivos conocidos.

Aunque estas estrategias son útiles, no son lo suficientemente detalladas. El concepto de Atlassian de Zero Trust garantiza de manera efectiva que el acceso a los recursos y servicios de nuestras redes no solo se base en las credenciales de los usuarios, sino que implique una decisión de política dinámica que considere una serie de factores para denegar o permitir el acceso a cada recurso a partir de la postura de seguridad del dispositivo del usuario (independientemente de su ubicación).

En resumen, lo que hemos hecho es crear en nuestra red tres niveles de recursos (a partir de su importancia y confidencialidad relativas), que sirven de base para el trabajo del enfoque de confianza cero:

• Nivel abierto: todo usuario corporativo que se autentique correctamente en nuestra red puede acceder a estos servicios.
• Nivel bajo: los usuarios corporativos que se hayan autenticado solo podrán acceder a estos recursos si acceden a nuestra red desde un dispositivo corporativo de confianza (dispositivos que Atlassian posee y administra) o un BYOD gestionado (un dispositivo personal inscrito en el programa MDM de Atlassian).
• Nivel alto : estos recursos solo están a disposición de usuarios corporativos autenticados que acceden desde un dispositivo corporativo asignado por Atlassian. A nuestros servicios de producción solo se puede acceder desde nuestra red corporativa a través de dispositivos de nivel alto y con autenticación SAML.

Gestionar el acceso a sistemas y servicios de forma segura

Atlassian cuenta con un proceso bien definido para aprovisionar (asignar o revocar) el acceso de usuario para todos los sistemas y servicios. Disponemos de un flujo de trabajo establecido (sincronización de 8 horas) que vincula nuestro sistema de gestión de RR. HH. y nuestro sistema de aprovisionamiento de acceso. Utilizamos un control de acceso basado en roles que utiliza perfiles de usuario predefinidos para garantizar que el personal solo tenga un acceso adecuado a su puesto de trabajo. La administración debe aprobar todas las cuentas de usuario para que puedan acceder a los datos, las aplicaciones, la infraestructura o los componentes de la red.

En respaldo de la arquitectura de confianza cero, controlamos el acceso a nuestras aplicaciones corporativas a través de una plataforma de inicio de sesión único (SSO). Para acceder a nuestras aplicaciones, el personal debe autenticarse a través de esta plataforma, lo que incluye el uso de un segundo factor de autenticación. Los usuarios deben autenticarse a través de claves U2F o a través de un autenticador de aplicación móvil proporcionado a los empleados de Atlassian. Además, hemos dejado de utilizar métodos de autenticación menos seguros, como SMS y OTP por teléfono. Atlassian ha adoptado este enfoque para garantizar que nuestro proceso de autenticación sea muy seguro frente a ataques de phishing y de intermediario. Cualquier sistema que envíe códigos en un mensaje de texto puede estar bajo la amenaza de atacantes expertos.

Proteger nuestros dispositivos terminales

En Atlassian combinamos la gestión de terminales para implementar actualizaciones y parches en los sistemas operativos y las aplicaciones clave de todos los dispositivos terminales. También hemos implementado varias soluciones de protección de terminales contra amenazas como el malware.

Dentro del enfoque de confianza cero, el personal de Atlassian que desee acceder a la mayoría de nuestros servicios a través de sus dispositivos móviles personales debe inscribirse en el Programa de Gestión de Dispositivos Móviles (MDM, por sus siglas en inglés). De esta forma, podemos garantizar que todos los dispositivos móviles que se conectan a nuestra red cumplen con nuestros requisitos mínimos de seguridad, que abarcan aspectos como el cifrado, el bloqueo de dispositivos, el software antimalware y las versiones del sistema operativo.

Todo el personal que cumpla los requisitos, se inscriba y mantenga la conformidad con nuestro programa MDM recibirá una asignación mensual de Atlassian por su participación.

Si se determina que un dispositivo no cumple los requisitos, el empleado recibirá un correo electrónico para notificarle el incumplimiento. El empleado tendrá un plazo de 24 horas para resolver el incumplimiento antes de que se revoque el acceso desde ese dispositivo.

Gestión de configuraciones en nuestros sistemas

Los ingenieros y arquitectos que pueden instalar software en nuestro entorno de producción son un grupo reducido. En la mayoría de los casos, no se puede instalar software. En nuestros entornos se utilizan herramientas de gestión de configuración para administrar configuraciones y cambios en los servidores. Los cambios directos realizados en los sistemas se sobrescriben mediante la configuración aprobada introducida a través de esas herramientas de gestión de configuración para garantizar la homogeneidad. Confiamos en Imágenes de máquina de Amazon (AMI) estándar, todos los cambios en nuestras AMI o nuestros sistemas operativos deben realizarse a través de nuestro proceso de gestión de cambios estándar, realizamos un seguimiento e informamos de las configuraciones de las excepciones, y hemos implementado el aislamiento de recursos para que los problemas con los servicios no afecten a otros servicios. Además, confiamos en nuestro proceso “Revisión por compañeros, compilación correcta” (PRGB) para garantizar que varios revisores aprueben los cambios de configuración introducidos a través de herramientas de gestión de configuración. Todas las compilaciones se firman criptográficamente y en nuestro entorno de producción solo se permite la ejecución de compilaciones firmadas.

Uso de registros

Utilizamos una plataforma SIEM para agregar registros de distintas fuentes, aplicar reglas de supervisión a los registros agregados y, a continuación, marcar toda actividad sospechosa. Nuestros procesos internos definen cómo se evalúan, se investigan y se escalan adecuadamente estas alertas. Los registros clave del sistema se reenvían desde los sistemas en los que los registros son de solo lectura. El equipo de Seguridad de Atlassian crea alertas en nuestra plataforma de análisis de seguridad y supervisa los indicadores de compromiso. Nuestros equipos de SRE utilizan esta plataforma para supervisar problemas de disponibilidad o rendimiento. Los registros se conservan durante 30 días en copia de seguridad en caliente y 365 días en copia de seguridad en frío.

Los registros clave del sistema se combinan tanto en un sistema de análisis de registros interno como en un sistema de detección de intrusiones.

Los registros son un componente clave de nuestra estrategia global de detección de incidentes y respuesta. Esta estrategia se trata en detalle en la sección “Cómo identificamos las amenazas de seguridad y cómo nos protegemos y respondemos ante ellas”.

Continuidad empresarial y gestión de recuperación ante desastres

Para nosotros es esencial la resiliencia de nuestros productos, sobre todo porque en Atlassian también dependemos de ellos. Sabemos que pueden suceder interrupciones. Por ello, estamos decididos a incorporar procesos para planificar las interrupciones y manejarlas con un impacto mínimo para nuestros clientes. Nuestros programas de continuidad empresarial y recuperación ante desastres (BC y DR, respectivamente, por sus siglas en inglés) reúnen las diversas actividades realizadas para alcanzar esos objetivos.

La participación del personal directivo en las actividades de planificación de BC y DR garantiza la supervisión necesaria para que todos los equipos asuman responsabilidad en materia de resiliencia. La finalidad de nuestras actividades de planificación de BC y DR es lograr el equilibrio adecuado entre costes, beneficios y riesgo a través de un análisis de los “objetivos de tiempo de recuperación” (RTO) y los “objetivos de punto de recuperación” (RPO) de los servicios. Este análisis nos ha llevado a establecer un sistema sencillo de 4 niveles para agrupar servicios según sus requisitos de recuperación. Puedes consultar los detalles de este enfoque en nuestra página sobre Cómo gestiona Atlassian los datos de los clientes.

Nuestros programas de BC y DR incluyen las siguientes actividades:

1. Desarrollar medidas de redundancia para cumplir con los requisitos de resiliencia.

2. Probar y verificar esas medidas de redundancia.

3. Aprender de las pruebas para la mejora continua de las medidas de BC y DR.

Nuestros productos están diseñados para optimizar el uso de las capacidades de redundancia (como las regiones y las zonas de disponibilidad) que ofrecen nuestros proveedores de servicios en la nube.

Monitorizamos de forma continua diversas métricas, a fin de detectar posibles problemas de forma temprana. A partir de esas métricas, se configuran alertas para notificar a los ingenieros de fiabilidad del sitio (SRE) o a los equipos de ingeniería de productos relevantes cuando se superan los umbrales. De este modo, se pueden adoptar medidas rápidas a través de nuestro proceso de respuesta ante incidentes. Los SRE también desempeñan un papel clave para identificar lagunas en el programa de recuperación ante desastres y colaboran con el equipo de Riesgo y cumplimiento para resolverlas. Además, todos nuestros equipos cuentan con un campeón de recuperación ante desastres que se ocupa de supervisar y ayudar a administrar los aspectos de recuperación ante desastres relacionados con su equipo.

Nuestras pruebas de recuperación ante desastres cubren aspectos de procesos y tecnología, incluida la documentación de procesos pertinente. La frecuencia de las pruebas de recuperación ante desastres se corresponde con el nivel de importancia de cada servicio; por ejemplo, las pruebas son trimestrales en los procesos de copia de seguridad y recuperación para sistemas clave orientados al cliente. Realizamos pruebas de conmutación por error manuales y ad-hoc en nuestros sistemas. Estas pruebas incluyen desde ejercicios de simulación teórica menos complejos hasta pruebas de conmutación por error por regiones o zonas de disponibilidad más complejas. Con independencia de la complejidad de la prueba, actuamos con diligencia a la hora de capturar y documentar los resultados, analizar e identificar posibles mejoras o lagunas, y darles solución con tickets de Jira. El objetivo de todo esto es la mejora continua del proceso general.

Cada año, realizamos Evaluaciones de impacto empresarial (BIA, por sus siglas en inglés) para evaluar los riesgos asociados con servicios críticos. Los resultados de estas BIA impulsan la estrategia de DR y BC. En consecuencia, los servicios críticos pueden desarrollar planes efectivos de DR y BC.

Disponibilidad del servicio

Además de las medidas anteriores, también publicamos el estado de disponibilidad del servicio en tiempo real para nuestros clientes mediante nuestro producto Statuspage. De esta forma, si surgen problemas con alguno de nuestros productos, los clientes están al tanto al mismo tiempo que nosotros.

Copias de seguridad

En Atlassian, utilizamos un programa integral de copia de seguridad. Este programa incluye nuestros sistemas internos, donde las medidas de copia de seguridad se determinan de acuerdo con los requisitos de recuperación del sistema. También contamos con amplias medidas de copia de seguridad para los servicios de Atlassian Cloud, y específicamente con respecto a los datos de clientes y aplicaciones. Atlassian emplea la función de instantánea de Amazon RDS (Relational Database Service) para crear copias de seguridad diarias y automatizadas de cada instancia de RDS.

Las instantáneas de Amazon RDS se conservan durante 30 días, admiten la recuperación de un momento dado y se cifran mediante cifrado AES-256. Los datos de copia de seguridad no se almacenan fuera de las instalaciones, sino que se replican en varios centros de datos de una región de AWS determinada. Además, realizamos pruebas trimestrales de nuestras copias de seguridad.

En el caso de Bitbucket, los datos se replican en una región diferente de AWS y se realizan copias de seguridad independientes a diario en cada región.

No utilizamos estas copias de seguridad para revertir cambios destructivos iniciados por el cliente, como campos sobrescritos mediante scripts o incidencias, proyectos o sitios eliminados. Para evitar la pérdida de datos, recomendamos realizar copias de seguridad de forma habitual. En la documentación de tu producto, encontrarás más información sobre la creación de copias de seguridad.

Seguridad física

Los controles de seguridad física de nuestras oficinas se rigen por nuestra política de seguridad física y ambiental, que garantiza la implementación de una seguridad física sólida en nuestros entornos, ya sea en las instalaciones o en la nube. Esta política incluye, por ejemplo, la protección de las zonas de trabajo y de nuestros equipos de TI dondequiera que estén, la restricción del acceso a nuestros edificios y oficinas al personal apropiado, y la vigilancia de los puntos físicos de entrada y salida. Nuestras prácticas de seguridad física incluyen asistencia a la recepción en el horario de trabajo, requisitos de registro para visitantes o acceso con acreditación a áreas no públicas. Además, colaboramos con la gestión de nuestro edificio de oficinas para el acceso fuera de horario y la grabación de vídeo en los puntos de entrada y salida, tanto en los accesos principales como en las zonas de carga.

Los centros de datos de nuestros socios cumplen con SOC-2, como requisito mínimo. Estas certificaciones abordan diversos controles de seguridad, incluida la protección y la seguridad físicas y ambientales. El acceso a los centros de datos se restringe al personal autorizado y se controla mediante medidas de verificación biométrica de la identidad. Las medidas de seguridad físicas incluyen guardias de seguridad en las instalaciones, vigilancia mediante vídeo de circuito cerrado, sistemas de doble puerta de seguridad y medidas adicionales de protección frente a intrusiones.

Cifrado de datos

Todos los datos de los clientes almacenados en los productos de Atlassian Cloud se cifran durante el tránsito por las redes públicas mediante el protocolo TLS 1.2+ con confidencialidad directa total (PFS) para protegerlos contra la divulgación o modificación no autorizada. Nuestra implementación de TLS impone el uso de códigos y longitudes de clave eficaces cuando lo admite el navegador.

Las unidades de datos de los servidores que alojan los archivos adjuntos y los datos de los clientes de Jira Software Cloud, Jira Service Management Cloud, Jira, Bitbucket Cloud, Confluence Cloud, Statuspage, Opsgenie y Trello utilizan el cifrado de disco completo AES-256 estándar del sector para el cifrado de datos en reposo. Consulta la hoja de ruta de Atlassian Trust para conocer las novedades de la plataforma.

Gestión de claves

Atlassian utiliza el Servicio de gestión de claves de AWS (KMS) para gestionar las claves. AWS inspecciona y gestiona de forma periódica e interna el proceso de cifrado, descifrado y gestión de claves como parte de sus procesos de validación interna. A cada clave se le asigna un propietario que será responsable de asegurar el nivel adecuado de controles de seguridad.

Separación de inquilinos

Aunque nuestros clientes comparten una infraestructura de TI común basada en la nube cuando utilizan los productos de Atlassian, contamos con medidas para garantizar la separación lógica, de modo que las acciones de un cliente no puedan poner en riesgo los datos o el servicio de otros.

La estrategia de Atlassian para conseguirlo cambia según la aplicación. Para Jira y Confluence Cloud, empleamos el concepto “Contexto de inquilino” para el aislamiento lógico de los clientes. Se ha implementado en el código de cada aplicación y está gestionado por lo que denominamos “Servicio de contexto de inquilino” (TCS, por sus siglas en inglés). Dicho concepto garantiza lo siguiente:

• Los datos de los clientes se conservan separados de forma lógica de otros inquilinos cuando están en reposo.
• Toda solicitud procesada por Jira o Confluence cuenta con una vista de “inquilino específico” para que no afecte a otros inquilinos.

En términos amplios, opera almacenando un “contexto” para cada uno de los inquilinos clientes. El contexto de cada inquilino está asociado con un ID único que el TCS almacena centralmente y que incluye diversos metadatos asociados con el inquilino (como las bases de datos en las que está incluido, qué licencias posee, a qué funciones puede acceder y otra información de configuración). Cuando un cliente accede a Jira o Confluence Cloud, el TCS emplea el ID de inquilino para cotejar esos metadatos y, a continuación, los vincula a cualesquiera operaciones que el inquilino realice en la aplicación durante la sesión.

El contexto que el TCS proporciona actúa en la práctica como una “lente” a través de la cual se produce cualquier interacción con los datos del cliente; esta lente siempre está confinada a un inquilino específico. Así se garantiza que un inquilino cliente no acceda a los datos de otro y que un inquilino no pueda afectar con sus acciones al servicio de otro.

Puedes consultar más información sobre nuestra arquitectura de nube en nuestros recursos de soporte de la nube.

Compartir la responsabilidad de la gestión de los datos de los clientes

Atlassian asume la responsabilidad de la seguridad, la disponibilidad y el rendimiento de las aplicaciones que proporcionamos, los sistemas en los que se ejecutan y los entornos en los que se alojan esos sistemas. Sin embargo, la seguridad es una responsabilidad conjunta entre Atlassian y nuestros clientes en cuatro áreas concretas:

Control del acceso a los datos de los clientes

Tratamos todos los datos de los clientes con la misma confidencialidad y hemos implementado estrictos controles que rigen su uso. Durante el proceso de incorporación, proporcionamos formación sobre concienciación a nuestros empleados internos y externos que abarca las prácticas recomendadas para gestionar los datos de los clientes y su importancia.

En Atlassian, solo los Atlassians autorizados tienen acceso a los datos de los clientes almacenados en nuestras aplicaciones. La autenticación se realiza a través de claves públicas protegidas por frases de contraseña y los servidores solo aceptan conexiones SSH entrantes de Atlassian y ubicaciones de centros de datos internas. El acceso está restringido a grupos con privilegios a menos que otros lo soliciten, en cuyo caso se debe revisar y aprobar. Además, se exige una autenticación adicional en dos fases (2FA).

Nuestro equipo de soporte global, el cual dispone de estrictos controles de autenticación y autorización, facilita los procesos de mantenimiento y soporte. Se puede acceder a las aplicaciones y datos alojados para supervisar su estado y realizar mantenimiento de los sistemas y aplicaciones, y cuando lo solicite el cliente a través de nuestro sistema de soporte. Nuestros clientes también reciben opciones con respecto al consentimiento explícito sobre qué ingenieros de soporte son apropiados para acceder a sus datos a través de nuestro verificador de control de consentimiento.

El acceso no autorizado o inapropiado a los datos de los clientes se trata como un incidente de seguridad y se gestiona a través de nuestro proceso de gestión de incidentes. Este proceso incluye instrucciones para avisar a los clientes afectados si se observa una infracción de una política.

Conservación y eliminación de datos

Tenemos disposiciones en vigor para poder responder a las solicitudes de los usuarios para eliminar información personal y ayudamos a los usuarios finales con cuentas de Atlassian a eliminar su información personal. También contamos con herramientas de importación y exportación para que nuestros clientes puedan acceder a sus datos e importarlos o exportarlos con herramientas de Atlassian.

Los sitios de los clientes se desactivan 15 días después de que termine su periodo de suscripción actual. Atlassian retiene los datos de los sitios desactivados durante 15 días (para los sitios de evaluación) o 60 días (para los sitios de suscripción de pago) tras la finalización del periodo de suscripción actual del cliente. Ten en cuenta que los datos de Jira solo se eliminarán si anulas la suscripción a todos los productos de Jira a los que estuvieras suscrito.

Encontrarás más información en nuestra página de prácticas de seguridad o en nuestras preguntas frecuentes sobre almacenamiento de datos .