DefenceLevel
Cómo protegemos los datos de My Defence
My Defence describe tu infraestructura: fabricantes, productos y, si quieres, notas con modelos y versiones. Para quien trabaja en seguridad es información delicada, y la tratamos como tal. Aquí explicamos qué guardamos, dónde, quién puede verlo y qué no hacemos.
Qué guardamos
- los fabricantes y productos que eliges, zona por zona;
- el esquema: las zonas, sus conexiones, los nombres y descripciones que escribes, y las notas que añades a las zonas;
- tus elecciones sobre los correos: el informe cada día o solo sobre tus productos, alertas de todo o solo sobre tus productos.
My Defence es opcional: sin ella recibes igualmente el informe completo y las alertas.
Cifrados, con la clave fuera de la base de datos
En la base de datos, fabricantes, productos, esquema y notas están cifrados con AES-256-GCM. La clave no está en la base de datos: se guarda aparte, en la configuración protegida del servicio. Quien accediera solo a la base de datos, a una de sus copias de seguridad o a una exportación vería únicamente texto cifrado.
- El servicio descifra los datos solo en memoria, cuando hacen falta: para mostrártelos en el panel y para elegir qué entradas del informe y qué alertas te afectan.
- Cada texto cifrado está ligado a tu cuenta: copiado en otra cuenta, no se puede descifrar.
- Para reconocer una elección ya hecha usamos una huella que no permite deducir el nombre y que cambia de una cuenta a otra: dos empresas con el mismo producto no tienen la misma huella.
Dónde están los datos
- La base de datos está en la Unión Europea, en Irlanda; las funciones del servicio también funcionan en Irlanda, en Dublín.
- Todas las conexiones están cifradas. Los proveedores cifran también los discos y las copias de seguridad.
- La lista de proveedores, con su función y su sede, está en la política de privacidad.
Quién puede verlos
- Ningún otro suscriptor. Los nombres que nuestro catálogo no conoce los buscamos en la National Vulnerability Database del NIST sin ningún dato sobre ti: si existen, entran en el catálogo con su nombre oficial, igual para todos; si no, los demás no los ven.
- Nadie desde fuera del servicio. El acceso público a la base de datos está cerrado: sin las credenciales del servicio, ninguna tabla es accesible desde fuera.
- No el área de administración. Allí solo aparece cuántos productos y zonas tiene una cuenta, nunca cuáles.
- No la inteligencia artificial. Los controles con IA que escriben y verifican los textos del informe y de las alertas solo leen datos públicos de vulnerabilidades, con un usuario de la base de datos que no puede abrir los datos de los suscriptores.
- Los correos. Si eliges «Solo mis productos», los correos que recibes hablan de las vulnerabilidades que te afectan y, como cualquier correo, pasan por el proveedor que los envía.
No usamos estos datos para ningún otro fin, no los compartimos con nadie y no los vendemos.
Durante cuánto tiempo
Hasta que los quites de la página My Defence. Si eliminas tu cuenta, se eliminan de inmediato; en las copias de seguridad de la base de datos permanecen, cifrados, hasta que caducan, como máximo 7 días.
Verificaciones y avisos
Estamos organizando una prueba de seguridad independiente, realizada por una empresa especializada: cuando termine, publicaremos aquí el resultado. Si encuentras un problema de seguridad en nuestros sistemas, escríbenos como se explica en la página Notificar vulnerabilidades.
Para empresas
Si tu empresa necesita un acuerdo de tratamiento de datos (DPA), por ejemplo por las obligaciones de la NIS2 respecto a los proveedores, ya está listo: descarga el PDF (en inglés), completa los datos de tu empresa, fírmalo y envíalo a privacy@defencelevel.com. Te lo devolvemos firmado también por nosotros.