VTEX tiene un Plan de respuesta a incidentes de seguridad estructurado que ha sido diseñado para minimizar riesgos, mitigar impactos y garantizar una rápida recuperación en caso de un incidente de seguridad. El plan se divide en las siguientes fases: preparación; contención, eliminación y recuperación e identificación; comunicación y actividades posteriores al incidente.
1. Preparación
VTEX toma las siguientes medidas para prevenir incidentes de seguridad:
- Evaluación de riesgos en entornos.
- Implementación de líneas base de seguridad y aplicación regular de parches.
- Controles de acceso con privilegio mínimo.
- Protección de la seguridad perimetral.
- Prevención de infección por malware.
- Campañas de concienciación de seguridad.
2. Contención, eliminación y recuperación
Antes de tomar cualquier acción correctiva, VTEX recopila, preserva, protege y documenta todas las pruebas.
Todos los activos implicados en el incidente deben conservarse, y ninguna prueba puede eliminarse o modificarse sin la debida autorización. Si las pruebas contienen información confidencial es obligatorio encriptarlas.
Después de resolver un incidente, VTEX evalúa si otros entornos están expuestos o ya han sufrido el mismo tipo de ataque para abordar la causa raíz del problema. El equipo responsable debe restaurar las medidas de seguridad que no se hayan visto comprometidas.
3. Identificación de incidentes
Un evento anómalo se clasifica como un incidente de seguridad si afecta la disponibilidad, integridad o confidencialidad de la información, sistemas o servicios, o si se deriva de un acceso indebido o un ataque.
VTEX también inicia el proceso de gestión de incidentes de manera proactiva para evitar el escalamiento de eventos anómalos y mitigar su posible impacto.
4. Comunicación
Este procedimiento incluye un plan de comunicación integrado que se aplica durante todas las fases de la respuesta. VTEX notificará a los clientes que puedan haberse visto afectados por el incidente dentro de las 24 horas posteriores a su confirmación.
5. Actividades posteriores al incidente
VTEX recopila lecciones aprendidas y mejoras derivadas del proceso de respuesta a incidentes para optimizar los controles de seguridad y reforzar la gestión de incidentes en el futuro.
El objetivo es analizar:
- Qué pasó y cómo.
- Qué acciones se tomaron.
- Si la respuesta fue efectiva.