Introducción

Edusign aspira a ser lo más transparente posible cuando se trata de la gestión de sus datos. Para obtener más información, también puede consultar nuestra política de confidencialidad y nuestra página RGPD.

Hemos implementado medidas técnicas y organizativas para proteger sus datos personales. Estas medidas se actualizan periódicamente para ofrecer el mejor nivel de protección posible.

Transferencia de datos y cifrado

Toda la cadena de tratamiento de datos está protegida mediante cifrado. Edusign utiliza tecnologías de cifrado modernas y conformes a las normas establecidas por la ANSSI.

• Seguridad de las transacciones mediante cifrado TLS hacia y desde nuestros servicios.
• Cifrado en reposo de los documentos antes y después de la firma mediante cifrado AES-256 bits.
• Uso de claves superiores a 2048 bits y de protocolos seguros como RSA.

Certificaciones

Edusign dispone de certificados en materia de firma electrónica, sello electrónico y sellado de tiempo. Los detalles sobre estos certificados están disponibles previa solicitud en support@edusign.fr.

Para garantizar el mantenimiento de nuestra conformidad, realizamos auditorías de forma periódica.

Seguridad del desarrollo

Hemos establecido procesos internos de desarrollo para garantizar un desarrollo seguro de nuestra solución. Un responsable de seguridad se encarga de organizar, dirigir y controlar las medidas de seguridad para la gestión de la seguridad del sistema de información.

• Seguimiento de las buenas prácticas dictadas por el Open Web Application Security Project (OWASP).
• Enfoque de «security by design». Es decir, el desarrollo no se realiza sin un análisis previo de las implicaciones en materia de seguridad.
• Pruebas automáticas y manuales.
• Revisiones y modificaciones del código.
• Evaluación por pares.

Gestión del personal

Todos los colaboradores de Edusign están familiarizados con las herramientas informáticas. Están formados en las buenas prácticas en materia de seguridad informática recomendadas por la ANSSI. Además, se mantiene a los colaboradores informados de las últimas prácticas y de las evoluciones tecnológicas en materia de seguridad informática. Los colaboradores de Edusign actúan con conocimiento de causa y hacen todo lo posible para proteger sus datos personales.

Se han implantado las siguientes medidas:

• Formación en seguridad de la información y protección de datos personales para los nuevos colaboradores.
• Comunicaciones periódicas a todo el equipo para sensibilizarles.
• Política de gestión de accesos y roles.
• Política de gestión de contraseñas.
• Compromiso de confidencialidad.

Hemos implantado una política de gestión de roles y, en este sentido, limitamos los accesos según el rol de cada colaborador, respetando el principio de mínimo privilegio. Se realiza una revisión de la gestión de derechos de forma trimestral.

Acceso a las infraestructuras

Edusign se apoya en socios de alojamiento para garantizar una seguridad óptima de sus infraestructuras, habiendo implantado una política de seguridad de los sistemas de información que cumple las exigencias de varias normas y certificaciones (certificación PCI-DSS, certificación ISO/IEC 27001, atestaciones SOC 1 Tipo II y SOC 2 Tipo II, etc.).

Gestión de accesos físicos:

• Verificación de identidad.
• Gestión centralizada de puertas de acceso mediante sistema de credenciales.
• Sas unipersonal.
• Equipos de vigilancia.

Control de acceso lógico a los datos:

• Política de gestión de contraseñas.
• Cortafuegos y antivirus actualizados periódicamente.
• Registro de eventos (logging) y política de control de acceso documentada.

Detección de vulnerabilidades

Edusign realiza periódicamente análisis para detectar posibles vulnerabilidades. Edusign también recurre a terceros para afinar dichos análisis. A continuación, se implantan medidas para eliminar o limitar estas vulnerabilidades. Lista no exhaustiva de los protocolos implantados:

• Programa de «bug bounty».
• Escaneos periódicos de vulnerabilidades.
• Alertas y monitorización de vulnerabilidades.
• Revisiones de código.