Este artículo ha sido traducido automáticamente. Véase la versión de referencia en inglés.
Alcatel-Lucent Rainbow™ es un enfoque de nube híbrida de comunicaciones unificadas como servicio basado en la nube y de nivel empresarial. Rainbow ofrece una solución global para la colaboración y las comunicaciones al tiempo que aborda las necesidades específicas de los clientes finales de ALE. Tanto si se trata de una pequeña empresa que requiere una movilidad rentable como de una organización multinacional que desea un único estándar para las comunicaciones unificadas en su complejo entorno de TI, amplia geografía y procesos empresariales, Rainbow puede satisfacer sus necesidades de CU. Rainbow cuenta con una plataforma UCaaS y CPaaS de computación en nube escalable diseñada teniendo en cuenta la alta disponibilidad y la capacidad de recuperación. La protección de la confidencialidad, integridad y disponibilidad de los datos de los usuarios de ALE, al tiempo que se mantiene su confianza, es también una de las principales prioridades.
Modelo de responsabilidad
La infraestructura de Rainbow se ha diseñado pensando en la seguridad. Proporciona una plataforma escalable y fiable que permite a los clientes interactuar con aplicaciones personalizadas, pero también desplegarlas, de forma rápida y segura. La infraestructura de ALE se construye y gestiona de acuerdo con los controles y políticas de seguridad de los estándares de la industria Cloud, como OWASP. Hacemos uso de controles redundantes y por capas, así como de validación y pruebas continuas. Además, todo está automatizado para garantizar que la infraestructura subyacente esté supervisada y sea fiable y segura 24 horas al día, 7 días a la semana, 365 días al año.
ALE opera bajo un modelo de responsabilidad de seguridad compartida, en el que ALE es responsable de la seguridad de la infraestructura y los servicios subyacentes de Rainbow, mientras que deja que nuestros clientes gestionen su respectiva seguridad en la capa de aplicación, incluida la conectividad a la Cloud, así como las normas de privacidad, las identidades y la gestión del control de acceso de su empresa y sus usuarios dentro del ámbito de Rainbow, tal y como se presenta en la figura 1.
Figura 1: Modelo Rainbow de responsabilidad compartida en materia de seguridad
Seguridad física y medioambiental
La confidencialidad de los datos en la infraestructura, la integridad del contenido del servicio y la disponibilidad de los datos almacenados son las principales preocupaciones de ALE. ALE es responsable de proteger la infraestructura global que ejecuta todos los servicios ofrecidos por Rainbow, incluidos el hardware, el software, los equipos de red y las instalaciones que operan los servicios de Rainbow. Los centros de datos de Rainbow cuentan con modernas tecnologías certificadas ISO-27001 y SOC, están aislados con vallas de alambre de espino y el acceso físico está estrictamente vigilado 24 horas al día, 7 días a la semana, tanto en el perímetro como en los puntos de entrada al edificio, por personal de seguridad profesional que utiliza videovigilancia. El personal autorizado recibe un distintivo nominativo controlado por RFID con revisiones recurrentes de las acreditaciones personales.
Cada sala del centro de datos está equipada con un sistema de detección y extinción de incendios, así como con puertas cortafuegos para evitar riesgos. El sistema de detección de incendios utiliza sensores de detección de humo en todos los entornos del centro de datos, espacios de infraestructura mecánica y eléctrica, salas de enfriadoras y salas de equipos generadores, cumpliendo la norma APSAD R4 y la certificación de conformidad N4.
Cada sistema de alimentación eléctrica de los centros de datos está diseñado para ser totalmente redundante y mantenerse sin impacto en las operaciones, 24 horas al día, siete días a la semana, soportando 48 horas de autonomía inicial para contrarrestar cualquier fallo de la red de suministro eléctrico. Un sistema de alimentación ininterrumpida (SAI) también proporciona energía de reserva en caso de fallo eléctrico.
Nuestros centros de datos cuentan con su propia red de fibra óptica en todo el mundo, que proporciona una capacidad total de ancho de banda de red de hasta 4,5 Tb/s en Europa y 8 Tb/s en Norteamérica. Se utilizan técnicas propias de mitigación de la denegación de servicio distribuida (DDoS) a nivel de red para proteger los servicios de ALE contra diversos ataques, detectados en un segundo, filtrando el tráfico ilegítimo y acaparándolo hasta 4 Tb/s, mientras se deja pasar los paquetes legítimos con un retraso de 1 ms.
Geografías
Rainbow está diseñado para soportar múltiples regiones geográficamente aisladas, para cumplir con las normativas legales y proporcionar a sus usuarios la mejor experiencia posible. ALE asegura la privacidad de los datos a nivel regional garantizando a los usuarios que sus datos sensibles nunca se replicarán a través de las fronteras. El servicio Rainbow se distribuye entonces por las regiones para minimizar la latencia del servicio hacia los usuarios, garantizando al mismo tiempo los límites de los datos.
En el momento de redactar este documento, tal y como se representa en la figura 2, los datos de los usuarios están vinculados a siete regiones clave: Norteamérica, Caribe y Latinoamérica, Europa, Oriente Medio y África (por defecto), Alemania, Asia-Pacífico, Australia - Nueva Zelanda y China continental, con cobertura ampliada en EE.UU. y Asia. Los centros de datos primarios de ALE se encuentran en Canadá, Brasil, Francia, Alemania, Singapur, Australia y China. Los centros de datos secundarios, que no alojan datos sino que actúan únicamente como relés de caché y medios, residen en Estados Unidos, Sudáfrica y Japón. Estas ubicaciones descargan la infraestructura de red proporcionando a los usuarios de Rainbow acceso local directo a recursos estáticos a través de un mecanismo IP AnyCast. ALE también ofrece un centro de datos dedicado para el host de datos sanitarios sensibles.
Figura 2: Regiones de disponibilidad de Rainbow
Continuidad del negocio
ALE ha diseñado Rainbow para tolerar fallos del sitio, del centro de datos, del sistema o del hardware con un impacto mínimo para el cliente. Todos los servicios de ALE se despliegan en una configuración redundante N+1 para garantizar que no haya ningún punto único de fallo (SPOF) y una capacidad de computación suficiente para permitir que el tráfico se equilibre en carga hacia los servidores restantes en caso de fallos de instancia. Todas las solicitudes de aplicaciones se distribuyen uniformemente entre los equilibradores de carga internos y externos. Todas las bases de datos y los datos generados por los usuarios se replican varias veces y se realizan copias de seguridad, por regiones, para garantizar que no haya ninguna pérdida posible. ALE añade mecanismos GeoDNS y soporte automático de conmutación por error para hacer frente a posibles problemas de enrutamiento en Internet y garantizar el acceso de los usuarios al punto de presencia más cercano. Toda la infraestructura de producción de Rainbow está automatizada para garantizar un despliegue 100% fiable y reproducible de los distintos componentes.
Los equipos de atención al cliente y de operaciones de Rainbow emplean procedimientos de diagnóstico estándar del sector para impulsar la resolución de incidencias que afecten a la empresa. Los operadores de plantilla proporcionan cobertura 24x7x365 para detectar incidencias y gestionar su impacto y resolución. Existen métodos de comunicación interna para garantizar que los empleados del equipo de Operaciones en la Nube de ALE comprenden sus funciones y responsabilidades individuales y cómo comunicar los eventos significativos de manera oportuna. ALE también ha implementado varios métodos de comunicación externa para apoyar a su base de clientes. Existen mecanismos que permiten notificar al equipo de atención al cliente los problemas operativos que afectan a la experiencia del cliente.
Los cambios rutinarios, de emergencia y de configuración de la infraestructura existente de Rainbow son autorizados, probados, aprobados, automatizados y desplegados únicamente por miembros designados del personal del equipo de Operaciones en la Nube de ALE. Las actualizaciones de la infraestructura de Rainbow se realizan para minimizar cualquier impacto sobre el cliente y su uso de los servicios. Los cambios se prueban antes de aplicarlos al entorno de producción para garantizar que se comportarán como se espera de ellos y que no afectarán negativamente al rendimiento. Todos los cambios deben ser autorizados por los miembros internos de la Junta Asesora de Cambios (CAB) para proporcionar la supervisión adecuada y la comprensión del impacto potencial en el negocio.
Los cambios clave se programan durante las ventanas de lanzamiento regulares (domingo CET). Los cambios de emergencia en los sistemas de producción que requieren desviaciones de los procedimientos estándar de gestión de cambios se asocian a un incidente y se registran y aprueban según corresponda.
Principios de diseño
Rainbow proporciona varias capacidades y servicios de seguridad para aumentar la privacidad y controlar los accesos a la red, incluidos cortafuegos, cifrado en tránsito con la máxima calificación de las especificaciones del protocolo TLS en todos los servicios y tecnologías de mitigación de DDoS.
La política de seguridad de Rainbow implementa reglas de bloqueo de tráfico para denegar todo el tráfico por defecto y abrir únicamente los puertos necesarios en los distintos equilibradores de carga existentes. Los sistemas ALE sólo aceptan conexiones entrantes HTTPS / WSS (443), redirigiéndose todos los accesos de texto plano a conexiones seguras TLS. En la medida en que los equilibradores de carga, los servidores de correo y los relés de medios WebRTC son altamente seguros, ningún componente está expuesto o es accesible a través de Internet (público). El funcionamiento de dichos servidores sólo es posible en puntos de acceso altamente controlados a través de una VPN restringida basada en autenticación de dos factores, siguiendo una política nopassword, lo que impide cualquier posible ataque de fuerza bruta.
ALE controla la calidad de la seguridad de las interfaces expuestas utilizando herramientas externas como Qualys SSL Labs, garantizando el mantenimiento de un nivel de servicio adecuado. Los certificados SSL/TLS comodín estándar de Comodo CA son utilizados y gozan de la confianza del 99,9% de los navegadores. Emplean una clave CE de 256 bits y están firmados con RSA SHA-256. La política de ALE es admitir únicamente los cifrados más potentes, aplicando conexiones TLSv1.2+ (y desactivando SSLv2, SSLv3, TLSv1.0 y TLSv1.1) y, en consecuencia, rechazando conexiones de navegadores y clientes débiles como IE 6-10, Safari 5-6, Android < 4.4, Java 6-7 y OpenSSL < 1.0.
Los equilibradores de carga Rainbow admiten Perfect Forward Secrecy (PFS), utilizando suites de cifrado Diffie-Hellmann (DH) y Elliptic Curve Diffie-Hellmann Ephemeral (ECDHE), Downgrade Attack Prevention, grapado OCSP y son conocidos por su seguridad frente a las últimas amenazas populares como los ataques DROWN, BEAST, POODLE, HeartBleed y Spectre (entre otros). La política de ALE consiste en manipular los números de versión del servidor de aplicaciones para evitar ataques basados en escaneos.
ALE utiliza Strict Transport Security (HSTS) y están preinstalados en las listas blancas HSTS públicas de los navegadores para reforzar las conexiones TLS. Todos los servidores Rainbow funcionan con la distribución GNU/Linux Debian, configurada para seguir siempre la rama de seguridad más reciente, lo que garantiza que los paquetes del sistema se actualicen en caso de infracciones de día cero. La red de producción de Rainbow es un sistema de información completamente autónomo, segregado de la red corporativa de ALE mediante un complejo conjunto de mecanismos de seguridad y autenticación de red.
Capa de aplicación
Para garantizar que sólo los usuarios y administradores autorizados de Rainbow acceden a sus cuentas y a los recursos asociados, Rainbow utiliza varios tipos de credenciales para la autenticación. La autenticación de usuarios se realiza mediante autenticación básica a través de TLS asociando el correo electrónico del usuario y su contraseña privada, y las llamadas posteriores a la API se basan en tokens web JSON (JWT) firmados. Las contraseñas de los usuarios finales se guardan con hash y sal en la base de datos interna de Rainbow. En consecuencia, y por motivos de seguridad, las credenciales olvidadas no pueden recuperarse, lo que proporciona al usuario una seguridad adicional en el desafortunado caso de que se produzca una violación de datos. El sistema Rainbow restablecerá entonces la contraseña del usuario.
Se requiere una contraseña para acceder a una cuenta Rainbow. Se especifica en el momento de crear la cuenta y puede cambiarse en cualquier momento. Es obligatorio un alto nivel de complejidad para las contraseñas de los usuarios, con un mínimo de ocho caracteres, que incluyan al menos una letra minúscula, una mayúscula, un número y un carácter especial. La autenticación multifactorial (MFA) de Rainbow es una capa adicional de seguridad cuando se trata del autorregistro de cuentas o del mecanismo de restablecimiento de contraseñas. Se envía a la dirección de correo electrónico del usuario un código PIN temporal de seis dígitos que debe validarse en Rainbow para garantizar la configuración de la contraseña.
Una vez autenticado, las ACL de Rainbow garantizan que a cada usuario se le ofrezca el conjunto limitado de capacidades que su perfil ofrece actualmente. A los administradores de la empresa se les concede la capacidad de asociar usuarios a su empresa, ascender usuarios a los distintos niveles del plan de servicios Rainbow y actualizar la visibilidad de la empresa dentro de Rainbow. Excepto en el caso de la empresa pública "Rainbow", las empresas privadas están aisladas por defecto; la visibilidad por defecto restringe el acceso a otras empresas que no sean la suya, como se muestra en la figura 3.
Figura 3: Visibilidad de las empresas Rainbow
Existen fronteras de datos forzadas, que impiden cualquier acceso lógico a los datos de usuarios y empresas salvo a los pares explícitamente autorizados.
Cumplimiento del marco de seguridad
La infraestructura Rainbow que ALE proporciona a sus clientes está diseñada y gestionada en consonancia con las normas de seguridad en la nube, los servicios en la nube de ALE cuentan con las certificaciones ISO/IEC 27001:2013, 27017:2015 y 27018:2014 y HDS 1.1, el proveedor de alojamiento de ALE cuenta con las certificaciones ISO/IEC 27001:2013, SOC 1 / SSAE 16 / ISAE 3402 (anteriormente SAS 70), SOC 2 y SOC 3, los miembros del personal de operaciones de ALE también cuentan con la certificación ISO 27001 "Lead Implementer".
La infraestructura y la solución de software de ALE están bajo constante escrutinio a través de escáneres de vulnerabilidad de red de terceros, escaneo de aplicaciones web y auditorías manuales de seguridad realizadas por agentes externos independientes. Siendo la seguridad una prioridad, se toman todas las medidas necesarias para mitigar o eliminar cualquier amenaza descubierta.
Cumplimiento de la protección de datos
Los servicios de Rainbow están diseñados para cumplir con las normas y reglamentos de protección de datos personales y, en particular, con el Reglamento General Europeo de Protección de Datos (GDPR) que hace cumplir la privacidad y la protección de datos de las personas. El GDPR se basa en tres principios fundamentales que han impulsado la filosofía de seguridad de los datos de Rainbow: privacidad desde el diseño, seguridad por defecto y responsabilidad. La protección de los datos de los clientes es primordial, por lo que ALE construyó mecanismos y procesos de seguridad para garantizar en profundidad el respeto de la privacidad de los interesados. Sus datos sólo le pertenecen a usted y nunca se procesan para ningún uso comercial ni se transfieren a terceros fuera de ningún lugar, a menos que sea necesario hacerlo. El nivel de protección de los datos personales se sitúa como mínimo en el nivel exigido por el GDPR cuando se transfieren sus datos y usted ha dado su consentimiento previo. Los datos de los usuarios también permanecen almacenados en las geografías a las que pertenecen, garantizando la conformidad legal allí donde se aplique.