Seguridad y cumplimiento
donde la confianza es el producto
Unblu ofrece una infraestructura cloud segura y certificada, diseñada, gestionada y operada íntegramente por Unblu, en tres entornos de despliegue pensados para las exigencias de los servicios financieros regulados.
Tres entornos de despliegue certificados
Elige la infraestructura que mejor se adapte a tus requisitos, a tu entorno regulatorio y a tu modelo operativo. Las tres opciones están cubiertas por las certificaciones propias de Unblu y por sus operaciones 24/7.
Unblu Financial Cloud en GCP
Despliegue multirregión. Los clientes eligen su región de failover para cumplir con los requisitos normativos Cubierto por las certificaciones ISO 27001 y SOC 2 Type 2 de Unblu.
Unblu Swiss Sovereign Cloud
Alojada por T-Systems Schweiz AG en dos centros de datos suizos (Zollikofen y Berna). Pensada para entidades que exigen plena soberanía de datos suiza. También cubierta por ISO 27001 y SOC 2 Type 2.
IBM FS Cloud Validated
Unblu ha superado la rigurosa revisión de seguridad de IBM, con los máximos niveles de cifrado, controles preventivos y compensatorios y medidas de seguridad automatizadas y proactivas.
Diseñado para operar sin interrupciones
SLA comprometido del 99,75 %
Unblu Financial Cloud ofrece un SLA de disponibilidad del 99,75 % para los entornos de producción. Es un compromiso jurídicamente vinculante que te da una garantía contractual de fiabilidad. Internamente, trabajamos con un objetivo de disponibilidad más alto, del 99,95 %.
RPO y RTO en la región
Dentro de una región, Unblu Financial Cloud en GCP ofrece un RPO de 0 (sin pérdida de datos) y un RTO de 2 minutos, de modo que un incidente dentro de la región no provoca pérdida de datos y causa una interrupción mínima.
Región de failover
En los despliegues en GCP, si se produce un fallo regional completo (los tres centros de datos), la aplicación de Unblu puede restaurarse en otra región en un plazo de 3 días, con un RPO de 24 horas. Los clientes eligen su región de respaldo para cumplir los requisitos de ubicación geográfica de los datos. En OTC, la conmutación por error se realiza entre los dos centros de datos suizos de Zollikofen y Berna.
Disponibilidad multirregión
Unblu Financial Cloud está disponible en centros de datos de Europa, Norteamérica y APAC, con soporte operativo 24/7 del equipo de operaciones cloud de Unblu.
Auditadas y verificadas de forma independiente
Unblu cuenta con certificaciones en los marcos de seguridad de la información y de cumplimiento normativo en la nube más reconocidos de los servicios financieros.
ISO 27001:2022
Unblu cuenta con la certificación ISO 27001 para la operación y el suministro de servicios de software en la nube: la norma internacional de gestión de la seguridad de la información, que exige identificar, evaluar y tratar sistemáticamente los riesgos de seguridad de la información.
SOC 2 Type 2
Nuestro informe SOC 2 Type 2 aporta pruebas auditadas de forma independiente de los controles que aplicamos para proteger los datos de los clientes y mantener la transparencia operativa. Abarca nuestros despliegues en GCP y OTC y se basa en los Trust Services Criteria de AICPA de 2017.
IBM FS Cloud Validated
Unblu ha superado la rigurosa revisión de seguridad y cumplimiento normativo de IBM para cargas de trabajo de servicios financieros, que valida el cumplimiento de los estándares más exigentes del sector, incluidos los máximos niveles de cifrado y controles diseñados para entornos regulados.
Registrado en IRQAO
La certificación ISO 27001 de Unblu está registrada en IRQAO y se puede verificar de forma independiente, lo que ofrece a los clientes un registro transparente y accesible externamente de nuestro estado de certificación.
Certificaciones de la plataforma GCP
Los despliegues en GCP se benefician de la amplia cartera de certificaciones de cumplimiento de infraestructura de Google Cloud. Unblu también tiene un Financial Services Addendum con Google Cloud, que ayuda a los clientes regulados y a sus supervisores a auditar la infraestructura subyacente.
Conforme al RGPD
Unblu y sus filiales se comprometen a cumplir la normativa suiza y europea de protección de datos, así como los requisitos aplicables de otras jurisdicciones en las que opera Unblu, como EE. UU. y Canadá.
Seguridad de la infraestructura y la nube
Datos cifrados en reposo con AES-256
Claves de cifrado gestionadas con rotación automática
Unblu no tiene centros de datos propios: solo proveedores hiperescalares certificados
Tráfico entre el navegador del usuario y la plataforma cifrado con TLS 1.2 o superior
Despliegue en nube soberana suiza disponible
Web application firewall con protección frente a DDoS
Aislamiento de tenants mediante políticas de red y segregación de namespaces
Producción separada de los entornos de desarrollo y pruebas
Toda la configuración de la infraestructura se mantiene como código con control de versiones
Plataforma de contenedores reforzada y analizada de forma continua
Copias de seguridad cifradas cada noche, replicables en un proveedor independiente
Disponibilidad de la plataforma monitorizada de forma continua, con alertas automáticas al ingeniero de guardia
Restauraciones de copias de seguridad en la nube probadas al menos cada trimestre
Archivos subidos por los clientes analizados en busca de malware
Seguridad organizativa
Verificación de antecedentes de todos los empleados y de los contratistas con acceso privilegiado
Verificación reforzada del personal con acceso a datos de clientes
Formación en concienciación sobre seguridad durante todo el año
Las obligaciones de confidencialidad se mantienen tras la extinción del contrato
Comprobación de antecedentes penales en los niveles de riesgo medio y alto, con verificación de sanciones cuando la ley lo permite
El personal con acceso a datos que identifican a clientes debe ser empleado directo de Unblu
Verificación anual del personal de operaciones cloud
Acceso remoto privilegiado permitido solo desde Suiza y el EEE
Onboarding de seguridad adicional para el personal de operaciones cloud
NDA y Código de conducta aceptados por todos los empleados
Altas, cambios y bajas de usuarios automatizados desde el sistema de RR. HH.
Proceso disciplinario documentado para incumplimientos de las políticas
Responsabilidad ejecutiva asignada de forma nominal en seguridad de la información
Cifrado de disco completo obligatorio en todos los dispositivos corporativos
Política de escritorio y pantalla despejados
Seguridad física de los centros de datos a cargo de socios de alojamiento certificados
Seguridad del producto
Pruebas de penetración independientes cada año
Niveles de servicio definidos para la corrección de vulnerabilidades
Análisis automatizado de vulnerabilidades en el pipeline de compilación
Resumen ejecutivo de las pruebas de penetración disponible bajo solicitud
Se sigue un ciclo de vida de desarrollo seguro (SDLC)
Monitorización de CVE con un objetivo de triaje de 24 horas
Cada cambio en producción se revisa por pares y requiere aprobación
Despliegue en producción totalmente automatizado, con rollback
Acceso al código fuente restringido y sujeto a control de cambios
Requisitos de seguridad definidos en la fase de especificación
Los datos de producción de los clientes nunca se usan para pruebas
Audit trail detallado de todos los cambios de configuración
Canal de divulgación responsable: security@unblu.com
Single sign-on mediante OpenID Connect y JWT, con doble factor TOTP
Limitación de intentos de inicio de sesión y tiempos de espera de sesión obligatorios
Procedimientos internos de seguridad
Acceso a producción restringido a dispositivos reforzados y gestionados de forma centralizada, con autenticación de dos factores
El acceso a los datos de clientes es temporal y requiere aprobación
Sin acceso de escritura permanente a los sistemas de producción
Derechos de acceso a producción revisados cada trimestre
Arquitectura zero trust que restringe el acceso a los recursos de producción
Soportes extraíbles deshabilitados en los dispositivos de acceso a producción
Secretos almacenados en una bóveda gestionada, nunca en el código ni en la configuración
Desactivar o reducir el registro de seguridad requiere aprobación de la dirección
Proceso documentado de gestión de incidentes, con análisis de causa raíz de los incidentes graves
Incidentes graves en la nube notificados a los clientes afectados en un plazo de 8 horas desde que Unblu tiene conocimiento
Umbrales de incidente grave definidos de antemano
Cada política de seguridad se revisa al menos una vez al año
Las solicitudes de datos de las autoridades legales se tratan como incidentes de seguridad
Planes de continuidad de negocio con runbooks de recuperación ante desastres por escenario
Continuidad de negocio y recuperación ante desastres probadas al menos una vez al año
Preparación forense con asesores externos preaprobados
Auditoría interna del ISMS a intervalos planificados, con revisión anual por la dirección
Se espera, como mínimo, que los proveedores con acceso a datos de clientes cuenten con la certificación ISO 27001 y/o un informe SOC 2
Cláusulas de derecho de auditoría incluidas de serie en los contratos con proveedores
Proveedores de tratamiento de datos en la nube reevaluados cada año
Procedimientos de gestión de incidentes y vulnerabilidades alineados con DORA, en apoyo de las obligaciones de resiliencia operativa de los clientes de la UE
Datos y privacidad
Unblu actúa estrictamente como encargado del tratamiento
Alineado con el RGPD y con la nFADP suiza
Delegado de protección de datos designado
Políticas de conservación de datos configurables
Datos de las conversaciones conservados durante un año por defecto, o según lo acordado en tu DPA
Datos de los clientes eliminados al terminar el contrato, según lo definido en tu DPA
Eliminación segura, incluido el borrado criptográfico cuando sea necesario
Sin transferencias transfronterizas sin tus instrucciones
Todos los subencargados operan con un acuerdo de tratamiento de datos
Política de clasificación y tratamiento de la información en vigor
Controles ISO 27018 para datos personales en nubes públicas implementados
El personal de Unblu no puede exportar datos de clientes
El personal de Unblu no puede ver datos de clientes sin tu solicitud
El audit trail recoge la IP de origen, el autor y el estado anterior y posterior
Entradas del audit trail conservadas 365 días por defecto
Gobernanza de la IA
Política de gobernanza y transparencia de la IA publicada
Responsabilidad ejecutiva asignada de forma nominal en IA
Unblu no usa datos de clientes para entrenar modelos de IA
Supervisión humana integrada en las decisiones apoyadas por IA
El contenido generado por IA se puede etiquetar en la interfaz de usuario
Los componentes de IA siguen el mismo ciclo de vida de desarrollo seguro que el resto de la plataforma
Unblu Spark no está diseñado ni previsto para usos de IA de alto riesgo según la Ley de IA de la UE
La IA no está pensada para automatizar decisiones relevantes sin revisión humana
Acceso a los modelos regido por aislamiento de API y registro
Sin exposición de los pesos de los modelos ni de los datos de entrenamiento
Una política interna de uso de IA regula el uso de herramientas de IA por parte del personal
Documentación a demanda
Acceso sencillo a los certificados, las políticas y los informes de auditoría que tu organización necesita para cumplir sus obligaciones normativas.
Política de RSC
El enfoque de Unblu en materia de responsabilidad social corporativa, basado en la norma ISO 26000:2010. Abarca nuestros compromisos con las personas, el medio ambiente y las comunidades en las que operamos.
Política de denuncias internas
Garantiza que todos los empleados de Unblu puedan comunicar sospechas de irregularidades o malas prácticas sin temor a represalias, discriminación ni despido.
Código de Conducta
El Código de conducta y ética empresarial de Unblu, que establece los estándares de comportamiento que se esperan en toda la organización.
Manual de seguridad de la información del ISMS
Documenta el sistema de gestión de seguridad de la información (ISMS) de Unblu, que permite evaluar y tratar de forma sistemática los riesgos de seguridad de la información conforme a las mejores prácticas globales.
Certificado ISO 27001
Nuestro certificado ISO 27001:2022 vigente, disponible para descarga directa.
Informe SOC 2 Type 2
Informe auditado externamente que abarca la infraestructura de los Conversation Platform Services de Unblu, basado en los Trust Services Criteria de AICPA de 2017.
Declaración de aplicabilidad del ISMS
La SoA que vincula la evaluación de riesgos con el tratamiento de riesgos en toda la implantación del ISMS de Unblu, un requisito esencial para el cumplimiento de ISO 27001.
Aviso de privacidad de la nube
Recoge el cumplimiento por parte de Unblu de las leyes suizas y europeas de protección de datos, así como de los requisitos aplicables de otras jurisdicciones, como EE. UU. y Canadá.
Política de cookies cloud
Detalla las cookies esenciales y técnicamente necesarias que usan los productos de Unblu.
Libro blanco
Unblu Financial Cloud
Solicita la última versión de nuestro libro blanco sobre la nube, que recoge con todo detalle las opciones de despliegue, la arquitectura de seguridad, las certificaciones y las capacidades operativas.
