Microaplicaciones

Información técnica general sobre la seguridad

Este artículo es aplicable a los servicios de microaplicaciones de Citrix Workspace alojados en Citrix Cloud.

Antes de iniciar la implementación de los servicios de microaplicaciones de Citrix Workspace, revise la Guía de implementación segura para la plataforma Citrix Cloud.

Información general sobre la seguridad

La plataforma de microaplicaciones está integrada en Workspace y utiliza la administración de identidades existente. OAuth es el principal mecanismo de autenticación para escribir en aplicaciones SaaS. Para cada usuario, se almacena un token de acceso específico proporcionado por SaaS en Credential Wallet a fin de posibilitar una experiencia de usuario eficiente para las acciones de usuario.

Estos componentes se conectan con el servicio de nube por medio de un agente llamado Citrix Cloud Connector. En el siguiente diagrama, se muestra el servicio y sus límites de seguridad.

El diagrama muestra detalles del flujo de datos y cómo las aplicaciones están conectadas al servicio de microaplicaciones. Además, muestra cómo se representan las notificaciones y las páginas en sus canales

Gestión de credenciales

Este servicio gestiona los siguientes tipos de credenciales para integraciones de aplicaciones:

  • Credenciales de usuario básicas
  • OAuth
  • OAuth2

Información general sobre la seguridad

Las integraciones y aplicaciones de plantillas de las microaplicaciones se proporcionan “tal cual”. Todos los datos, campos y entidades descritos en las guías de conectores se extraen en su totalidad de los sistemas SOR de origen y se transfieren a la caché de las microaplicaciones. Las plantillas no se pueden configurar en este momento.

Las microaplicaciones almacenan una caché de datos del sistema integrado de registro. Para las integraciones HTTP, el cliente puede definir todos los ámbitos durante la configuración, y se pueden cambiar en cualquier momento.

Con una cuenta del sistema, se recuperan los datos de la caché mediante el sistema de destino de la API de registro. Por lo general, se requiere que la cuenta del sistema tenga acceso de solo lectura a todos los datos necesarios para las microaplicaciones en todos los usuarios que las utilicen.

Las credenciales de la cuenta de servicio, además de los tokens de OAuth para cuentas de usuario individuales se utilizan para las acciones de escritura que las microaplicaciones almacenan de forma segura mediante un servicio respaldado por Azure Key Vault.

Las microaplicaciones también almacenan todas las tarjetas de notificaciones generadas para los usuarios. El administrador puede configurar los eventos que desencadenan estas notificaciones, además del contenido de estas tarjetas.

Las interacciones del usuario con el sistema se registran. Los datos de registro no contienen ningún sistema de datos de registros ni secretos.

El contenido se almacena en la región seleccionada al configurar su cuenta de Citrix Cloud. Las regiones actualmente disponibles son EE. UU., UE y AP/S (Asia Pacífico Sur).

El contenido y los registros del cliente se almacenan completamente dentro de la plataforma Citrix y no están disponibles para terceros.

Para poder recuperarse, las copias de seguridad de datos de las microaplicaciones se almacenan durante dos semanas.

Los datos de las microaplicaciones se conservan durante 30 días después de la terminación de un derecho. Tras este período de gracia, se eliminan todos los recursos.

Datos

Los datos no se ven explícitamente; solo las propiedades de la entidad y las tablas de integración.

Estos datos se muestran en dos lugares:

  1. En la página del administrador/generador de microaplicaciones (y, por lo tanto, en Workspace)

  2. Los datos relacionados con el registro se pueden mostrar en las tarjetas de feeds (como variables definidas). Estas definiciones están en el generador de microaplicaciones. Potencialmente, las microaplicaciones pueden definirse para exportación de todos los datos, en función de la definición del administrador.

Ejemplo: Si alguien sincroniza o agrega información personal (potencialmente, información de identificación personal) y establece que se muestren todos los registros y campos. Las plantillas predefinidas se construyen de acuerdo con las prácticas de seguridad recomendadas y se proporcionan de una manera que no muestra los datos confidenciales.

Nota:

La creación de integraciones requiere privilegios de administrador (o equivalentes) en la organización del cliente. Las microaplicaciones proporcionan las herramientas, y depende del cliente/administradores utilizar estas herramientas de la manera más segura posible en función de los requisitos del cliente.

Información de identificación personal (PII)

La información de identificación personal (PII) se designa caso por caso, en función de las consideraciones geográficas, empresariales, de seguridad y de conformidad. Corresponde al administrador o cliente decidir qué datos se considerarán PII, ya que cada empresa o cliente individual pueden tener diferentes definiciones de lo que es “confidencial” dentro de su propia organización.

La información de identificación personal cambia en función de las distintas jurisdicciones geográficas, pero puede incluir nombres, números de la seguridad social, registros biométricos, números de identificación, factores específicos de identidad física, fisiológica, mental, económica, cultural o social, o información que combinada con otros datos permite identificar a un individuo.

En términos de prácticas recomendadas en general, tenga en cuenta lo siguiente para identificar y al manejar datos.

  • Identifique la información de identificación personal que almacena la integración de aplicaciones
  • Encuentre todos los lugares donde se almacena la información de identificación personal
  • Clasifique la información de identificación personal en términos de confidencialidad

Identificar la información de identificación personal

La información de identificación personal puede incluir datos bancarios e información de inicio de sesión. Las agencias gubernamentales almacenan información de identificación personal, incluidos números de la seguridad social, direcciones, datos de pasaporte y números de licencia.

Ubicación de almacenamiento de la información de identificación personal

La información de identificación personal puede guardarse en diferentes lugares, como servidores de archivos, servicios en la nube, equipos portátiles de empleados, portales, etc., e incluye:

Datos en uso. Los datos que utilizan los empleados para hacer su trabajo.

Datos en reposo: Son los datos almacenados o archivados en ubicaciones como discos duros, bases de datos, portátiles, SharePoint y servidores web.

Datos en movimiento. Son los datos que se transfieren de una ubicación a otra. Un ejemplo sería el traslado de datos desde un dispositivo de almacenamiento local a un servidor en la nube, o la transferencia entre empleados y socios comerciales a través del correo electrónico.

Clasificación de la confidencialidad de la información de identificación personal

La identificación personal debe clasificarse en función de su confidencialidad. Esta es una parte vital de la protección de la información de identificación personal. Considere si los datos son:

Identificables. ¿Cómo es de única la información de identificación personal? Si un solo registro puede identificar a un individuo por sí mismo, es una señal de que los datos son muy confidenciales.

Datos combinados. Intente identificar dos o más datos que, cuando se combinan, permiten identificar a una persona individual.

De cumplimiento. Dependiendo del tipo de organización para la que trabaje, existen diferentes normativas y estándares para la información de identificación personal. Las normativas a las que puede estar sujeto incluyen el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS), el Reglamento General de Protección de Datos (RGPD) o la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA).

Para obtener más información sobre el RGPD y Citrix, consulte Preguntas frecuentes sobre el RGPD y Citrix.

Acceso de lectura

La plataforma de microaplicaciones lee contenido de la caché. La caché se cifra en reposo en el nivel de almacenamiento, según lo proporcionado por el proveedor de nube. El acceso de lectura no está disponible en el sistema de origen. Se audita en la plataforma de microaplicaciones.

Acceso de escritura

Se utilizan API de escritura. Si los servicios no permiten API de escritura, se vuelve a las cuentas de servicio. En todos los casos, el acceso de escritura es auditable y se atribuye al usuario en el sistema de origen.

Flujo de datos

Puesto que los componentes que aloja el servicio de nube no incluyen agentes VDA, los datos de las aplicaciones y las imágenes maestras del cliente que se requieran para el aprovisionamiento se alojan siempre en la instalación del cliente. El plano de control tiene acceso a los metadatos (como nombres de usuario, nombres de máquinas y accesos directos de aplicaciones), con lo que restringe el acceso a la propiedad intelectual del cliente desde el plano de control.

Los datos que transitan entre la nube y las instalaciones del cliente utilizan conexiones TLS (Transport Layer Security) seguras a través del puerto 443.

Requisitos de acceso de red del Citrix Cloud Connector

Los Citrix Cloud Connectors solo necesitan el puerto 443 para el tráfico saliente a Internet, y se pueden alojar detrás de un proxy HTTP.

La comunicación que se usa en Citrix Cloud para HTTPS es TLS 1.0, 1.1 o 1.2 (Consulte Versiones TLS retiradas para ver los cambios en curso.)

Recomendaciones referentes a la seguridad

Nota:

Es posible que la organización deba cumplir con estándares de seguridad específicos para satisfacer requisitos normativos. Este documento no abarca este tema, dado que tales estándares de seguridad cambian con el tiempo. Para obtener información actualizada acerca de los estándares de seguridad y los productos de Citrix, consulte Seguridad de Citrix.

Para comprobar que ha revisado todas las consideraciones de seguridad:

  • Solo conceda a los usuarios las capacidades que necesitan
  • Revise las directrices mínimas de seguridad de su organización
  • Utilice comunicación cifrada (HTTPS) con un mínimo de TLS (Transport Layer Security) 1.2
  • Compruebe sus límites de tráfico
  • Use una cuenta de sistema con permisos mínimos para obtener datos (lecturas en bloque)
  • Tenga en cuenta el tiempo que debe conservar los datos cuando la sincronización no se esté ejecutando
  • Utilice API públicas para la producción
  • OAuth2 es el protocolo de autenticación preferido para este servicio SaaS
  • Utilice siempre OAuth2 para reescritura
  • Mantenga actualizada la integración. Verifique que funcione y que las API externas no han cambiado

Qué hacer a continuación

Consulte los siguientes recursos para obtener más información sobre seguridad y guías de seguridad para un servicio Citrix Cloud similar:

Nota:

Este documento es una introducción y una descripción general de la funcionalidad de seguridad de Citrix Cloud. Asimismo, este documento tiene por finalidad definir la división de responsabilidades entre Citrix y los clientes cuando se trata de proteger la implementación de Citrix Cloud. No está pensado para ser una guía de configuración o administración de Citrix Cloud ni de ninguno de sus componentes o servicios.