Arquitectura de seguridad

Muchas de las organizaciones financieras más grandes del mundo confían en la plataforma de fuerza de trabajo digital segura de Automation 360 para automatizar sus operaciones confidenciales.

La arquitectura de seguridad de la plataforma se basa en el principio de privilegio mínimo y en un modelo estricto de separación de tareas con 41 controles técnicos implementados en siete familias de control NIST 800-53r4. Los controles se aplican en tres componentes: Control Room, Bot Creators (sistemas de desarrollo) y Bot Runners (tiempos de ejecución de bot) a través del ciclo de vida útil de los bot, desde la creación hasta el desmantelamiento. Esta arquitectura de seguridad y los controles subyacentes se ajustan a las prácticas recomendadas del sector definidas por el NIST, y se pueden ajustar sin dificultad a otros marcos, por ejemplo, CoBIT (SOX) e ISO 27002.

Controles de acceso

Automation 360 limita y controla el acceso humano y el acceso de bot a los recursos lógicos en los componentes.

  • Dos planos de control independientes aplican el principio del menor privilegio. Solo los desarrolladores están habilitados para leer o escribir, solo los usuarios autorizados de Control Room pueden ejecutar automatizaciones, (Control Room autoriza y ejecuta) sujetos a un control de acceso basado en roles (RBAC) exhaustivo hasta automatizaciones individuales (bot), Bot Runners y los dominios.
  • Se aplica la separación de tareas en el nivel del bot. Cada bot se ofusca y ejecuta con sus instancias de Bot Runners autorizadas correspondientes.
  • La ejecución del Bot se controla a través del RBAC. Los privilegios de dominio se definen en los grupos de bot y Bot Runners.
  • Seguridad en reposo y en tránsito: Todas las credenciales de acceso están aseguradas en reposo a través de una Credential Vault central con soporte para almacenes de credenciales de terceros. Todas las comunicaciones están protegidas en tránsito por medio de SSL y TLS.

Administración de la configuración

La administración de la configuración se controla tanto en los niveles de bots como de Bot Runner.

  • Control Room autoriza, aplica y registra los cambios en todos los Bot Creators y Bot Runners.
  • Los Bots se controlan a través de un sistema de control de versiones robusto, para la restauración a versiones anteriores y el registro completo de eventos.
  • El control de cambio de un Bot en ejecución se aplica a través del cifrado y la autenticación.

Identificación y autenticación

La identificación y la autenticación se controlan a través de los servicios de autenticación de Microsoft Windows.

  • Bot Creators utiliza Active Directory para la autenticación
  • Bot Runners tienen dos niveles de autenticación: uno para la autenticación de inicio de sesión automático del runner y otro para la ejecución de bots.
  • Las credenciales se protegen en reposo y en tránsito a través de la Credential Vault o de la integración con productos de terceros.

Evaluación de riesgos

La evaluación de riesgos se lleva a cabo en pruebas de vulnerabilidad estáticas, dinámicas y basadas en redes. La auditoría y la responsabilidad se lleva a cabo mediante la captura de eventos, el registro y la auditoría de los tres componentes con captura de eventos granular en el nivel del bot y del no repudio. El análisis integrado de Bot Insight proporciona una respuesta ante incidentes casi en tiempo real y una integración en los sistemas de gestión de información y eventos de seguridad.