Documento técnico sobre seguridad

Seguridad en TuxCare, Inc.

Tuxcare

Libro Blanco

En vigor a partir del 1 de marzo de 2026.

Contenido

Introducción

Seguridad organizativa

Protección de los datos de los clientes

Descripción general de la arquitectura

Conclusión

Introducción

Para mantener la máxima seguridad y el cumplimiento normativo, las empresas deben corregir rápidamente las vulnerabilidades, mantener actualizados los sistemas Linux de producción con las últimas correcciones y contar con un socio tecnológico de confianza para el soporte y el mantenimiento.
TuxCare ayuda a las organizaciones proporcionando soporte, mantenimiento y seguridad para los sistemas Linux empresariales.

• Con los servicios de parcheo en vivo de TuxCare, los kernels de Linux, las bibliotecas, las bases de datos, las virtualizaciones y los dispositivos IoT reciben parches de seguridad automatizados que se aplican sin tiempo de inactividad.
• Con los servicios de soporte técnico TuxCare Endless Lifecycle Support, las organizaciones pueden migrar a la última versión de Linux a su propio ritmo, al tiempo que mantienen la protección frente a los riesgos habituales que conlleva ejecutar una distribución que ha llegado al final de su vida útil.
• Los servicios de asistencia técnica para Linux de TuxCare ofrecen una gama completa de asistencia técnica para Linux de nivel empresarial con las ventajas de una asociación tecnológica independiente del proveedor: servicios flexibles y a precios razonables para mantener sus sistemas Linux actuales continuamente actualizados y seguros.

Más de 1500 empresas, proveedores de servicios sanitarios, organismos gubernamentales y universidades confían en TuxCare para gestionar sus casi un millón de sistemas.

En este documento, nuestro objetivo es explicar nuestra arquitectura de sistema de alto nivel y nuestro enfoque de la seguridad.

Seguridad organizativa

Políticas y formación en materia de seguridad

Las prácticas de seguridad para empleados de Tuxcare se aplican a los empleados a tiempo completo y parcial, así como a los contratistas que tienen acceso a los sistemas internos de Tuxcare. Antes de obtener acceso a los sistemas internos, todos los empleados deben superar una verificación de antecedentes, aprobar y firmar un curso de formación sobre concienciación en materia de seguridad de la información y firmar un contrato con un acuerdo de confidencialidad. Todos los empleados deben completar anualmente una formación sobre privacidad y seguridad. La formación abarca una amplia gama de temas relacionados con la privacidad y la seguridad, entre los que se incluyen el uso aceptable de los datos, el phishing y la ingeniería social, el uso de dispositivos personales y propiedad de la empresa, las mejores prácticas para prevenir el malware, los requisitos en materia de seguridad física y la notificación de incidentes. Al finalizar su relación laboral con Tuxcare, el departamento de TI elimina inmediatamente el acceso del antiguo empleado a los sistemas de Tuxcare mediante un procedimiento estandarizado, que incluye la desactivación de todas las cuentas.

El programa y el equipo de seguridad de Tuxcare

Tuxcare cuenta con un equipo de profesionales de la seguridad, compuesto por empleados internos, que supervisan y gestionan el programa de seguridad de Tuxcare. Este equipo respalda los tres pilares de nuestro programa de seguridad a través de diversas iniciativas y mejores prácticas:

• Seguridad del producto

○ Formar a los desarrolladores en prácticas seguras de desarrollo de aplicaciones y otras prácticas recomendadas en materia de seguridad.

○ Realizar revisiones del diseño y el código para detectar posibles fallos de seguridad.

• Seguridad de las infraestructuras y las operaciones

○ Gestionar cortafuegos, certificados de sitios web y otros elementos de la infraestructura de seguridad.

○ Recopilar registros relevantes para la seguridad y mantener herramientas para el análisis de registros.

○ Proporcionar una plataforma para la implementación, supervisión y aplicación de parches seguros de los servicios de producción de Tuxcare.

○ Gestionar herramientas y servicios de protección de dispositivos finales.

○ Coordinar pruebas de penetración externas.

○ Realizar evaluaciones continuas de vulnerabilidad.

○ Responder a incidentes de seguridad.

• Cumplimiento normativo y gestión de riesgos

○ Coordinar auditorías y mantener las certificaciones de seguridad.

○ Desarrollar y mantener el sistema de gestión de seguridad de la información de Tuxcare.

○ Responder a las consultas de los clientes.

○ Revisar y calificar la postura de seguridad de los proveedores.

○ Coordinar las actividades de BCP/DRP.

○ Gestionar el programa de privacidad

Pruebas de penetración

Los clientes que deseen realizar sus propias pruebas de penetración de las aplicaciones de Tuxcare pueden solicitarlo y deben ponerse en contacto con su representante de cuenta de Tuxcare. Cada trimestre se contrata a un tercero para que realice una prueba de penetración de la red externa. Los resultados de las evaluaciones de seguridad realizadas por terceros son revisados por el equipo de seguridad, clasificados según su gravedad y objeto de seguimiento hasta su resolución.

Evaluación de vulnerabilidades

El equipo de seguridad de Tuxcare realiza evaluaciones de vulnerabilidad de los servicios de Tuxcare de la siguiente manera:

• Los servicios previos al despliegue en producción se verifican con un servicio de análisis de composición de software (SCA).
• La infraestructura se analiza continuamente utilizando las siguientes herramientas de seguridad, como Nessus.
• Los servicios web orientados al público son escaneados continuamente por escáneres de aplicaciones web.
• Las evaluaciones de vulnerabilidad posteriores al lanzamiento se realizan mediante diversas soluciones de gestión de vulnerabilidades.

Gestión de parches

Tuxcare aplica regularmente parches de seguridad a la infraestructura del servicio. El equipo de TI está suscrito a canales y fuentes de información dedicados a notificar actualizaciones críticas para los tipos de activos utilizados en Tuxcare. Los parches críticos se aplican tan pronto como es razonablemente posible, de acuerdo con la Política de gestión de parches de Tuxcare.

Supervisión de seguridad

Tuxcare utiliza un conjunto de instrumentos y procesos para la detección de acciones maliciosas, sospechosas o ilegítimas dentro de su propia infraestructura, servicios y aplicaciones. La empresa registra y conserva el acceso administrativo, el uso de cuentas privilegiadas y las llamadas al sistema en servidores críticos para el servicio en entornos Tuxcare. El análisis de estos registros se automatiza cuando es posible para detectar posibles problemas y alertar al personal responsable. El acceso a los registros de auditoría está restringido a un número limitado de personas que lo necesitan para desempeñar sus funciones.

Gestión de incidentes

Tuxcare ejecuta procedimientos para la gestión de incidentes que minimizan el tiempo de inactividad, la degradación del servicio y los riesgos de seguridad para los clientes y los usuarios internos. Los incidentes de seguridad se identifican y se comunican al equipo de seguridad de Tuxcare a través de los canales establecidos. A continuación, el equipo de seguridad define el tipo de incidente, establece su gravedad y responde a él de acuerdo con los acuerdos de nivel de servicio (SLA) aprobados, basados en las mejores prácticas del sector. Los incidentes de seguridad que pueden afectar a la privacidad están sujetos a un análisis y una respuesta adicionales por parte del equipo de cumplimiento normativo de Tuxcare.

Desarrollo seguro de software

Los equipos de ingeniería de Tuxcare utilizan servicios gestionados líderes en el sector para las políticas de funciones y acceso, la gestión de cuentas, la gestión de certificados, el cifrado y la gestión de claves, la gestión de secretos, la recopilación y supervisión de registros de seguridad, los cortafuegos y las listas de acceso a la red. Todo el código se comprueba en un sistema de control de versiones. Los cambios en el código se someten a revisión por pares y a pruebas de integración automáticas. Las aplicaciones, bibliotecas y otros artefactos de desarrollo de Tuxcare se analizan automáticamente en busca de vulnerabilidades conocidas, y las correcciones se aplican con prontitud. Cada equipo de desarrollo tiene una cadencia regular de controles de seguridad con el equipo de seguridad y el equipo de infraestructura, que se encarga de proporcionar un conjunto de herramientas de infraestructura óptimo para ayudar a los ingenieros a centrarse en el desarrollo de productos. Los servicios de Tuxcare se diseñan, desarrollan, implementan y prueban contra vulnerabilidades de seguridad conocidas, incluidas las enumeradas por el Open Web Application Security Project (OWASP). Se mantienen y comunican a todos los ingenieros las directrices para el desarrollo y las pruebas seguras.

Recuperación ante desastres

Tuxcare utiliza los servicios implementados por sus proveedores de alojamiento en la nube para distribuir las operaciones de producción entre múltiples zonas de disponibilidad ubicadas en todo el mundo (Chicago y Miami en Estados Unidos, Alemania y Polonia en la Unión Europea). Tuxcare cuenta con un plan de recuperación ante desastres (DRP) para guiar a los equipos en la recuperación tras interrupciones causadas por eventos inesperados en la capacidad informática, las aplicaciones, la infraestructura o los datos. El DRP es mantenido por equipos dedicados de Tuxcare y se revisa y prueba anualmente.

Proveedores externos

Tuxcare confía en una serie de proveedores externos para servicios y funciones específicos, como el alojamiento de nuestros servidores, la comunicación por correo electrónico, los servicios de atención al cliente y los análisis. Antes de utilizar un proveedor externo, Tuxcare lleva a cabo un programa de diligencia debida y evalúa la postura de seguridad del proveedor. Tuxcare comprueba que la información personal se elimina de los sistemas de terceros cuando ya no existe ninguna base legal para su almacenamiento. Los terceros seleccionados están sujetos a una supervisión continua por parte de un servicio de gestión de riesgos de proveedores.

Modelo de negocio

Tuxcare no vende ni alquila los datos personales de los usuarios, ni comparte datos personales con terceros para que estos puedan enviar anuncios publicitarios. Tuxcare solo obtiene ingresos ofreciendo un producto de pago a consumidores y empresas.

Protección de los datos de los clientes 

Autorizar el acceso de los empleados

El acceso a todos los sistemas internos de Tuxcare requiere que los empleados se autentiquen a través de un sistema de inicio de sesión único con autenticación multifactorial obligatoria. Tuxcare se adhiere al principio del mínimo privilegio. Las solicitudes de acceso a los sistemas internos son documentadas, revisadas y aprobadas por los respectivos gerentes y propietarios de los servicios. La dirección de Tuxcare revisa sistemáticamente el acceso de los empleados a los sistemas que almacenan o procesan datos de clientes y revoca el acceso si ya no es necesario para realizar tareas específicas.

Protección de puntos finales

Todas las estaciones de trabajo de Tuxcare deben ejecutar un software de gestión de terminales que aplique configuraciones seguras, reglas de contraseñas y cifrado. También facilita una función de bloqueo cuando el dispositivo está inactivo y permite el control remoto si un dispositivo se ve comprometido o se pierde. Las estaciones de trabajo de los empleados ejecutan agentes de supervisión de BitDefender, un proveedor líder en el sector, para detectar posibles programas maliciosos y comportamientos sospechosos. El equipo de seguridad de Tuxcare recopila los registros de los dispositivos y supervisa las alertas de las estaciones de trabajo.

Cumplimiento legal

Tuxcare cumple con el Reglamento General de Protección de Datos (RGPD) de la UE en lo que respecta a la recopilación, el uso y la conservación de datos personales. Para obtener más información, consulte la Política de privacidad de Tuxcare disponible en nuestros sitios web. Tuxcare cuenta con un responsable de cumplimiento dedicado con amplia experiencia en privacidad y seguridad de datos. Este profesional revisa los productos y procesos de Tuxcare para garantizar el cumplimiento de los requisitos legales y normativos aplicables.

Privacidad de los datos de los clientes

Tuxcare respeta la privacidad de los datos de los usuarios, tal y como se especifica en la Política de privacidad de Tuxcare. Comprometida con los principios del RGPD, Tuxcare nunca recopila datos personales sin una base legal, limita la cantidad de datos recopilados y procesados, y elimina los datos cuando ya no son necesarios para los servicios descritos en la Política de privacidad de Tuxcare (por ejemplo, para proporcionar y mejorar nuestros servicios). Los usuarios pueden solicitar una lista de sus datos personales utilizados en nuestros servicios. Los usuarios de Tuxcare pueden eliminar sus datos personales de los sistemas de Tuxcare en cualquier momento iniciando sesión en su cuenta, accediendo a la página de configuración y, a continuación, eliminando su cuenta. Los clientes empresariales pueden ponerse en contacto con su representante de cuenta para solicitar la eliminación. Tuxcare cuenta con un conjunto de políticas y controles técnicos que impiden a los empleados acceder a los datos de los clientes almacenados o procesados por los sistemas de Tuxcare. El acceso a los sistemas de producción está restringido a los ingenieros dedicados que desarrollan estos sistemas y garantizan su fiabilidad y tiempo de actividad. Los sistemas de producción que trabajan con datos de usuarios se implementan en una infraestructura separada, aislada de todos los demás sistemas de Tuxcare. Cuando procede, Tuxcare utiliza claves privadas y restringe el acceso a la red a determinados empleados.

Datos procesados y almacenados

La información que los usuarios guardan en Tuxcare es almacenada por Tuxcare para que los usuarios puedan acceder a ella de nuevo cuando lo deseen. La información se almacena hasta que el usuario la elimina a través de Tuxcare. Los servicios de Tuxcare solo acceden al tipo de información que es necesaria para la prestación de los servicios prestados.

Conservación y eliminación de datos

Los datos de los clientes se eliminan inmediatamente de los servicios de producción tras la eliminación del usuario. Tuxcare elimina la información del usuario de las copias de seguridad en un plazo de 60 días tras su eliminación de los servidores. El proveedor de servicios de alojamiento de Tuxcare es responsable de garantizar que la eliminación de los datos de los discos se realice de forma responsable antes de que se reutilicen.

Eliminación de cuenta

Los clientes tienen la posibilidad de cancelar su suscripción a Tuxcare en cualquier momento. De acuerdo con la Política de privacidad, los datos personales del usuario se eliminan de los servicios internos y externos cuando el cliente elimina su cuenta. Tuxcare puede conservar los datos personales del usuario durante el tiempo que sea razonablemente necesario para intereses comerciales legítimos, incluidos fines fiscales y de auditoría, y para cumplir con obligaciones legales.

Descripción general de la arquitectura

En esta sección, explicaremos cómo la infraestructura de Tuxcare en la nube transfiere, almacena y procesa los datos de los usuarios de forma segura.

Infraestructura básica

Toda la infraestructura del lado del servidor de Tuxcare está alojada en centros de datos seguros líderes en el sector: Hivelocity, situado en Tampa, Florida, y Hetzner, situado en Alemania, en la Unión Europea. La infraestructura de investigación y desarrollo se encuentra en el centro de datos Atman, en Polonia, Unión Europea. Todos los componentes que procesan los datos de los usuarios operan en la red privada de Tuxcare dentro de nuestra plataforma segura en la nube.

Cifrado y aislamiento de datos

Los datos se cifran tanto en tránsito como en reposo:

• Las conexiones entre los clientes y la infraestructura back-end de Tuxcare están protegidas por protocolos de cifrado actualizados, incluido TLS 1.2.
• Los datos de los clientes de Tuxcare se cifran en reposo utilizando el cifrado LUKS aes-xts-plain64.
• Las contraseñas se almacenan en bases de datos cifradas con hash bcrypt aplicado.

Los datos de cada usuario de Tuxcare están separados de forma lógica de los datos de otros usuarios. El usuario debe iniciar sesión en su cuenta de Tuxcare, y cualquier solicitud del cliente debe ser autenticada y autorizada, para que el usuario pueda acceder a sus datos.

Conclusión

Sabemos que la seguridad es de suma importancia para usted, y mantener la seguridad de los datos es una responsabilidad que nos tomamos muy en serio. Si tiene alguna pregunta sobre la seguridad de Tuxcare, póngase en contacto con el servicio de asistencia de Tuxcare o con su ejecutivo de cuentas de Tuxcare.