ANEXO DE SEGURIDAD

    1. CONTROL DE ACCESO LÓGICO
      1. Acceso
        1. Riskonnect deniega por defecto todo acceso a los sistemas y recursos de información. El acceso se concede previa solicitud para fines comerciales específicos, y de acuerdo con los principios de mínimo privilegio y separación de funciones. Riskonnect controla el uso de privilegios administrativos mediante el seguimiento, la prevención y la corrección del uso, la asignación y la configuración de los privilegios administrativos en ordenadores, redes y aplicaciones a través de un proceso formal de recertificación de accesos.
        2. Riskonnect mantiene restricciones de uso adecuadas y requisitos de configuración/conexión para el acceso a los sistemas de información (incluidos los inalámbricos), lo que requiere una autorización previa para el acceso a los sistemas antes de permitir dichas conexiones. Todo acceso a los sistemas y recursos de información de Riskonnect requiere la aprobación de la dirección.
        3. Riskonnect mantiene restricciones de uso adecuadas, requisitos de configuración/conexión y directrices de implementación para los dispositivos móviles controlados por la organización, y autoriza (como se ha descrito anteriormente) la conexión de dispositivos móviles a los sistemas de información de la organización.
      2. Gestión de cuentas. Riskonnect configura sus sistemas y recursos de información para hacer cumplir las políticas y estándares de control de acceso y requiere u obliga a los usuarios a cerrar la sesión tras un periodo de inactividad predeterminado.
    2. CONCIENCIACIÓN Y FORMACIÓN
      1. Formación en concienciación sobre seguridad
        1. Riskonnect mantiene, revisa regularmente, documenta y administra formación en concienciación sobre seguridad para todo el personal de Riskonnect.
        2. La formación se administra como parte del proceso de incorporación de nuevas contrataciones y anualmente a partir de entonces.
    3. AUDITORÍA Y RENDICIÓN DE CUENTAS
      1. Registros de auditoría. Los sistemas de información de Riskonnect generarán registros de auditoría que contendrán el tipo de evento, la fecha y hora del evento, la ubicación del evento, el origen del evento, el resultado y la respuesta al evento, y la(s) persona(s) asociada(s) al evento, y proporcionarán razonablemente dicha información que sea relevante para la aplicación específica del Cliente previa solicitud.
      2. Registro y revisión del sistema
        1. Los sistemas de información de Riskonnect protegen la información de auditoría, incluidos los registros de auditoría, los ajustes de auditoría, los informes de auditoría y las herramientas de auditoría, contra el acceso, la modificación y la eliminación no autorizados. La información de auditoría debe estar respaldada en un sistema o componente de sistema físicamente diferente del sistema o componente que se está auditando. Los sistemas de información de Riskonnect implementan protección criptográfica para garantizar la integridad de la información de auditoría y hacen cumplir los principios de separación de funciones y mínimo privilegio en la revisión, el análisis y la notificación de los registros de auditoría.
        2. Riskonnect conserva los registros de auditoría para proporcionar apoyo a las investigaciones a posteriori de incidentes de seguridad y para cumplir con los requisitos reglamentarios y de retención de información de la organización.
        3. Dependiendo del entorno de alojamiento pertinente en el que resida la Aplicación de Riskonnect y se procesen los Datos del Cliente, y según se detalla en el Programa de Productos aplicable, dicho entorno de alojamiento (a) estará sujeto a una auditoría anual SOC2 Tipo 2 (excepto para las aplicaciones Active Risk y Ventiv) y (b) habrá obtenido la certificación ISO 27001. Además, como parte del proceso anual de auditoría SOC2 Tipo 2 o de certificación ISO 27001, Riskonnect contrata a un tercero cualificado para llevar a cabo una auditoría y realizar pruebas de penetración en el entorno de alojamiento en cuestión. En lugar de autorizar al Cliente a llevar a cabo su propia auditoría o prueba de penetración del entorno de alojamiento en cuestión (pero sujeto a un requisito bajo la ley aplicable para que el Cliente haga que se lleve a cabo dicha auditoría), Riskonnect pone a disposición de sus clientes, bajo demanda: (1) según corresponda, una copia de su último informe SOC 2 Tipo 2 y/o una copia de su último certificado ISO 27001; y (2) un resumen de los resultados de las pruebas de penetración anuales relacionadas. Por último, Riskonnect responderá a cuestionarios adicionales de seguridad de la información del Cliente siempre que dichos cuestionarios sean (i) enviados a Riskonnect no más de una vez por cada periodo de doce (12) meses y (ii) limitados al uso del formato SIG Lite o CAIQ.
    4. EVALUACIÓN Y AUTORIZACIÓN DE SEGURIDAD
      1. Autorización de seguridad. Riskonnect asigna a un ejecutivo o directivo de alto nivel como responsable de la autorización de los sistemas de información, garantiza que dicho responsable autorice los sistemas de información para el procesamiento antes de comenzar las operaciones y actualiza periódicamente la autorización de seguridad según sea necesario.
      2. Monitorización continua. Riskonnect mantiene una estrategia de Prevención de Pérdida de Datos (“DLP”) para evitar la exfiltración de datos, mitigar los efectos de los datos exfiltrados y garantizar la privacidad e integridad de la información sensible. Riskonnect mantiene un programa de monitorización continua que incluye el establecimiento de métricas a monitorizar, la frecuencia de la monitorización, las acciones de respuesta para abordar los resultados de dicho análisis y la notificación del estado de seguridad del sistema de información de Riskonnect al personal adecuado.
    5. GESTIÓN DE LA CONFIGURACIÓN
      1. Inventario de componentes del sistema de información. Riskonnect desarrolla, documenta y actualiza regularmente un inventario de los componentes del sistema de información. Riskonnect detecta, rastrea y restringe todos los dispositivos de hardware en sus redes no públicas para que solo se dé acceso a los dispositivos autorizados, y detecta, rastrea y restringe todo el software en dichas redes para que solo se instale software autorizado.
      2. Plan de gestión de la configuración. Riskonnect establece e implementa un plan de gestión de la configuración, empleando el principio de mínima funcionalidad. Riskonnect establece, implementa y realiza un seguimiento activo, corrige e informa sobre la configuración de seguridad de los dispositivos de infraestructura de red mediante un riguroso proceso de gestión de la configuración y control de cambios que están razonablemente diseñados para evitar que los atacantes exploten servicios y ajustes vulnerables. El plan de gestión de la configuración aborda las funciones y responsabilidades y la remediación de fallos, además de definir procesos y procedimientos detallados sobre cómo se utiliza la gestión de la configuración para dar soporte al ciclo de vida de desarrollo de sistemas de Riskonnect. El plan describe cómo trasladar los cambios a través del sistema, cómo actualizar las líneas base y los ajustes de configuración, cómo mantener los inventarios de componentes del sistema y cómo controlar los entornos de desarrollo, prueba y operativos.
      3. Configuración de línea base y endurecimiento (Hardening). Riskonnect desarrolla, documenta y mantiene los requisitos actuales de configuración de línea base y endurecimiento para los sistemas de información de Riskonnect. Las configuraciones de línea base y los requisitos de endurecimiento se revisan y actualizan regularmente y como parte de las instalaciones y actualizaciones de los componentes del sistema de información. Se realizan evaluaciones de cumplimiento de seguridad en los nuevos servidores y aplicaciones antes de la migración a producción y se repiten periódicamente en función del riesgo para garantizar el cumplimiento de los requisitos de endurecimiento del sistema de Riskonnect. Riskonnect conserva las versiones anteriores de las configuraciones de línea base de los sistemas de información para permitir la reversión y mantiene una configuración de línea base para los entornos de desarrollo y prueba de los sistemas de información que se gestionan por separado de la configuración de línea base operativa.
      4. Control de cambios de configuración. Riskonnect establece e implementa un proceso formal de control de cambios diseñado para evitar cambios no autorizados y documenta todos los cambios en la infraestructura de red. Riskonnect prueba, valida y documenta los cambios en los sistemas de información antes de implementarlos en los sistemas operativos, y requiere que un representante de seguridad de la información sea miembro del equipo de control de cambios de configuración.
    6. PLANIFICACIÓN DE CONTINGENCIAS
      1. Plan de contingencia. Riskonnect desarrolla un plan de contingencia para los sistemas de información, que identifica las misiones/funciones empresariales esenciales y los requisitos de contingencia asociados, proporciona objetivos de recuperación y respuestas de restauración, aborda las funciones y responsabilidades de contingencia, aborda el mantenimiento de las funciones empresariales esenciales en caso de interrupción o fallo del sistema, y aborda la restauración completa del sistema sin deterioro de las salvaguardas de seguridad establecidas. El plan de contingencia se revisa regularmente y se actualiza al menos anualmente, y según sea necesario para abordar los cambios en el entorno de amenazas.
      2. Copia de seguridad del sistema de información y sitio de almacenamiento alternativo. Riskonnect realiza copias de seguridad de la información a nivel de usuario, de la información a nivel de sistema y de la documentación del sistema, incluida la documentación relacionada con la seguridad. Riskonnect mantiene ubicaciones de almacenamiento alternativas que permiten el almacenamiento y la recuperación rápida de la información de copia de seguridad del sistema de información. El almacenamiento de las copias de seguridad del sistema de información está protegido con salvaguardas de seguridad de la información de una fuerza equivalente a la del sistema y el sitio de almacenamiento primarios.
      3. Recuperación y reconstitución del sistema de información. Riskonnect garantiza con prontitud la recuperación y reconstitución de los sistemas de información a un estado de funcionamiento normal tras una interrupción, compromiso o fallo. Este plan de recuperación incluye la recuperación basada en transacciones y protege el hardware, el software y el firmware de copia de seguridad y restauración.
    7. IDENTIFICACIÓN Y AUTENTICACIÓN
      1. Identificación única. Los sistemas de información de Riskonnect identifican y autentican de forma única tanto a los usuarios de la organización como a los ajenos a ella y/o a los procesos que actúan en nombre de los usuarios, de modo que toda la actividad de los usuarios pueda rastrearse hasta la(s) persona(s) que realizó la actividad. Los sistemas de Riskonnect emplean cifrado estándar del sector para todos los mecanismos de autenticación, proporcionan capacidades de identidad federada e implementan mecanismos de autenticación resistentes a la repetición. Los sistemas de información implementan la autenticación multifactor para el acceso local y de red tanto a las cuentas privilegiadas como a las no privilegiadas.
      2. No repudio. Los sistemas de información de Riskonnect imponen el no repudio de modo que no se pueda cuestionar la validez y autenticidad de una acción o tarea, incluyendo la creación y/o el cambio de información, el envío y la recepción de mensajes, la aprobación de información, la firma de contratos y la aprobación de solicitudes de adquisición.
      3. Identificación y autenticación de dispositivos. Los dispositivos que intentan acceder a la red de Riskonnect se identifican y autentican de forma única a través de un sistema de Control de Acceso a la Red (u otros medios comparables) antes de establecer una conexión de red.
      4. Gestión de la autenticación. Riskonnect gestiona las credenciales/autenticadores del sistema de información utilizando las mejores prácticas del sector. Riskonnect tiene en cuenta el tipo de autenticación (por ejemplo, basada en tokens de hardware, basada en PKI, basada en contraseñas, basada en biometría, etc.) y aplica controles de seguridad adicionales según corresponda.
    8. RESPUESTA A INCIDENTES
      1. Programa de respuesta a incidentes. Riskonnect mantiene un programa de respuesta a incidentes por escrito que aborda la preparación, detección, análisis, contención, erradicación y recuperación de eventos de ciberseguridad. Este programa incluye procedimientos que describen: (i) funciones y responsabilidades del equipo de respuesta a incidentes; (ii) requisitos de comunicación con socios internos y externos; (iii) planes para detectar, responder y contener categorías de incidentes comunes; (iv) métodos para preservar las pruebas, mantener la cadena de custodia y realizar análisis forenses; (v) coordinación de los procesos de recuperación; (vi) procesos de seguimiento; y (vii) informes para garantizar que se realice un seguimiento de los detalles críticos de los incidentes y que las lecciones aprendidas se incorporen a los procedimientos de respuesta, formación y pruebas en curso. El programa de respuesta a incidentes incluye la coordinación de las actividades de gestión de incidentes que impliquen eventos en la cadena de suministro con otras organizaciones implicadas en la misma. El programa de respuesta a incidentes se revisa y actualiza al menos anualmente.
      2. Gestión de incidentes. Si Riskonnect descubre o es notificada de cualquier incidente de seguridad que afecte o pueda afectar a los Datos y/o sistemas del Cliente, Riskonnect procederá con prontitud a: (i) investigar el incidente de seguridad; (ii) remediar, mitigar, o mitigar y remediar, el riesgo para los Datos o sistemas del Cliente y otros efectos del incidente de seguridad; (iii) preservar todos los registros relacionados y otras pruebas; e (iv) implementar un plan para evitar que dicho incidente de seguridad vuelva a producirse.
      3. Notificación de incidentes. Si Riskonnect descubre o es notificada de cualquier incidente de seguridad, Riskonnect notificará inmediatamente al Cliente por escrito, pero a más tardar en un plazo de setenta y dos (72) horas desde el momento en que Riskonnect tenga conocimiento de un incidente de seguridad, incluyendo la revelación de (i) la fecha, la hora y la causa del incidente si se conocen; (ii) los Datos y/o sistemas del Cliente que se vieron expuestos o que se cree razonablemente que se vieron expuestos; y (iii) si se accedió a información de identificación personal no pública.
      4. Informes. Riskonnect proporcionará al Cliente un informe por escrito sobre el resultado de su investigación, incluyendo cualquier riesgo para los Datos y/o sistemas del Cliente y la acción correctiva que Riskonnect ha tomado para responder al incidente de seguridad.
    9. MANTENIMIENTO
      1. Mantenimiento no local. Riskonnect: (i) aprueba, documenta y monitoriza las actividades de mantenimiento y diagnóstico no locales; (ii) permite el uso de herramientas de mantenimiento y diagnóstico no locales solo de forma coherente con la política de la organización y según lo documentado en el plan de seguridad para el sistema de información; (iii) requiere autenticación multifactor para establecer sesiones de mantenimiento y diagnóstico no locales a través de conexiones de red externas; (iv) mantiene registros de las actividades de mantenimiento y diagnóstico no locales; y (v) finaliza la sesión y las conexiones de red cuando se completa el mantenimiento no local. Riskonnect protege las sesiones de mantenimiento no locales empleando autenticadores resistentes a la repetición y separando las sesiones de mantenimiento de otras sesiones de red mediante rutas de comunicación física o lógicamente separadas basadas en el cifrado.
      2. Mantenimiento oportuno. Riskonnect aprueba, obtiene y documenta el mantenimiento, soporte y reparación de los sistemas de información y de los componentes de los sistemas de información de manera oportuna tras el fallo de un sistema o componente. Riskonnect realiza un mantenimiento preventivo de los componentes críticos del sistema de información a intervalos regulares, o según sea necesario, para garantizar que se encuentran en condiciones de funcionamiento. Los controles de seguridad potencialmente afectados durante las actividades de mantenimiento o reparación se inspeccionan para comprobar su correcto funcionamiento tras la actividad. Riskonnect aplica con prontitud parches de software, actualizaciones y correcciones de código, cuando están disponibles.
    10. PROTECCIÓN DE MEDIOS
      1. Uso de medios. Riskonnect emplea salvaguardas tanto técnicas como no técnicas para restringir el uso de medios extraíbles y dispositivos de almacenamiento portátiles.
      2. Almacenamiento de medios. Riskonnect controla físicamente y almacena de forma segura tanto los medios digitales como los no digitales y protege los medios del sistema de información hasta que dichos medios sean destruidos o saneados utilizando técnicas seguras de destrucción de datos. Riskonnect restringe el acceso a las áreas de almacenamiento de medios y mantiene registros de acceso tanto para los intentos de acceso exitosos como para los fallidos.
      3. Transporte de medios. Riskonnect: (i) protege y controla los medios del sistema de información durante el transporte fuera de las áreas controladas utilizando salvaguardas físicas y técnicas; (ii) mantiene la rendición de cuentas de los medios del sistema de información durante el transporte fuera de las áreas controladas; (iii) documenta las actividades asociadas con el transporte de los medios del sistema de información; y (iv) restringe las actividades asociadas con los medios del sistema de información al personal autorizado. Los sistemas de información implementan mecanismos criptográficos para proteger la confidencialidad e integridad de la información almacenada en medios digitales durante el transporte fuera de las áreas controladas.
      4. Saneamiento de medios. Riskonnect sanea los medios del sistema de información antes de su eliminación, de que dejen de estar bajo el control de la organización o de que se liberen para su reutilización de acuerdo con las políticas de la organización, empleando mecanismos de saneamiento con la fuerza e integridad proporcionales a la categoría de seguridad o clasificación de la información. Riskonnect: (i) revisa y aprueba los medios que se van a sanear para garantizar la eficacia y el cumplimiento de las políticas de retención de registros y (ii) rastrea y documenta el proceso de saneamiento de los medios, incluido el personal que manipuló dichos medios, y verifica que el saneamiento de los medios fue eficaz antes de su eliminación. Los sistemas de información, los componentes del sistema y los dispositivos del sistema pueden ser purgados/borrados de forma remota para proteger los datos obtenidos por personas no autorizadas.
    11. PROTECCIÓN FÍSICA Y AMBIENTAL
      1. Control de acceso físico. Riskonnect: (i) hace cumplir las autorizaciones de acceso físico en los puntos de entrada/salida de las instalaciones verificando las autorizaciones de acceso individuales antes de conceder el acceso a las instalaciones; (ii) mantiene registros de auditoría de acceso físico para los puntos de entrada/salida; y (iii) utiliza salvaguardas de seguridad para controlar el acceso a dichas instalaciones, incluido el uso de guardias de seguridad (solo en las instalaciones de procesamiento de datos donde se almacenan los Datos del Cliente) y dispositivos de control de acceso físico (por ejemplo, alarmas, tarjetas magnéticas, teclados).
      2. Ubicación de los componentes del sistema de información. Riskonnect ubica los componentes del sistema de información dentro de las instalaciones para minimizar los daños potenciales derivados de riesgos ambientales (por ejemplo, inundaciones, incendios, tornados, terremotos, huracanes, vandalismo, actos de terrorismo, pulsos electromagnéticos, interferencias eléctricas, etc.), así como de riesgos físicos, incluida la oportunidad de acceso no autorizado.
    12. PLANIFICACIÓN
      1. Arquitectura de seguridad de la información. Riskonnect mantiene una arquitectura de seguridad de la información para los sistemas de información que incluye una descripción arquitectónica, la ubicación/asignación de la funcionalidad de seguridad (incluidos los controles de seguridad), información relacionada con la seguridad para las interfaces externas, la información que se intercambia a través de las interfaces y los mecanismos de protección asociados a cada interfaz. La arquitectura de seguridad de la información se revisa y actualiza regularmente para reflejar las actualizaciones en la arquitectura empresarial, los impactos externos y las prácticas del sector.
    13. SEGURIDAD DEL PERSONAL
      1. Investigación del personal. Riskonnect investiga a las personas antes de autorizar el acceso a los sistemas de información de Riskonnect. La investigación incluye (aunque no se limita a ello, dependiendo de la ubicación) la verificación de la identidad, la investigación de antecedentes penales y la verificación de la educación. El personal de Riskonnect está obligado a informar por sí mismo de cualquier condena por delito grave, robo o delitos de desconfianza durante su tiempo de empleo en un plazo de 30 días a partir de la condena.
      2. Cese del personal. Tras el cese, Riskonnect procederá con prontitud a: (i) desactivar el acceso del individuo al sistema de información; (ii) terminar/revocar cualquier autenticador/credencial asociado al individuo; (iii) realizar entrevistas de salida que incluyan temas de seguridad de la información; (iv) recuperar toda la propiedad relacionada con el sistema de información de la organización vinculada a la seguridad (por ejemplo, tokens de autenticación de hardware, manuales técnicos de administración del sistema, llaves, tarjetas de identificación, pases de edificios, etc.); y (v) conservar el acceso a la información de la organización y a los sistemas de información anteriormente controlados por el individuo cesado.
    14. EVALUACIÓN DE RIESGOS
      1. Evaluación de riesgos. Riskonnect: (i) lleva a cabo una evaluación de riesgos, incluyendo la probabilidad y magnitud del daño, derivado del acceso, uso, divulgación, interrupción, modificación o destrucción no autorizados de los sistemas de información y de la información que procesan, almacenan o transmiten; (ii) documenta y revisa los resultados de la evaluación de riesgos; y (iii) actualiza la evaluación de riesgos al menos anualmente, y siempre que se produzcan cambios significativos en el sistema de información o en el entorno de funcionamiento (por ejemplo, la identificación de nuevas amenazas y vulnerabilidades).
      2. Escaneo de vulnerabilidades. Riskonnect: (i) realiza escaneos en busca de vulnerabilidades en la aplicación alojada al menos anualmente y cuando se identifican nuevas vulnerabilidades que afecten potencialmente al sistema/aplicaciones; (ii) emplea herramientas y técnicas de escaneo de vulnerabilidades que facilitan la interoperabilidad entre herramientas y automatizan partes del proceso de gestión de vulnerabilidades mediante el uso de estándares para enumerar plataformas, fallos de software y configuraciones inadecuadas, listas de comprobación de formatos y procedimientos de prueba, y medición del impacto de las vulnerabilidades; (iii) analiza los informes de escaneo de vulnerabilidades y los resultados de las evaluaciones de los controles de seguridad; (iv) remedia las vulnerabilidades de acuerdo con la evaluación de riesgos de la organización; (v) comparte la información del escaneo de vulnerabilidades y de las evaluaciones de los controles de seguridad con el personal adecuado para ayudar a eliminar vulnerabilidades similares en otros sistemas de información; y (vi) emplea escaneos de vulnerabilidades externos periódicos y pruebas de penetración anuales para evaluar la fuerza general de las defensas de Riskonnect (tecnología, procesos y empleados). Previa solicitud por escrito del Cliente, Riskonnect entregará al Cliente un resumen de los resultados de las pruebas de penetración externas y de las evaluaciones de seguridad de las aplicaciones más recientes.
    15. CICLO DE VIDA DE DESARROLLO DE SISTEMAS
      1. Riskonnect gestiona los sistemas de información utilizando un Ciclo de Vida de Desarrollo de Sistemas (“SDLC”) estándar del sector que incorpora consideraciones de seguridad de la información, define y documenta las funciones y responsabilidades de seguridad de la información a lo largo del SDLC, identifica a las personas que tienen dichas funciones o responsabilidades e integra el proceso de gestión de riesgos de seguridad de la información de Riskonnect en las actividades del SDLC.
    16. GESTIÓN DE RIESGOS EN LA CADENA DE SUMINISTRO
      1. Riskonnect (i) protege contra las amenazas de la cadena de suministro a los sistemas de información, componentes o servicios mediante el empleo de salvaguardas de seguridad como parte de una estrategia integral de seguridad de la información, incluyendo el uso de estrategias de adquisición seguras, contratos, herramientas y métodos de adquisición para la compra de sistemas de información, componentes y servicios a los proveedores; (ii) realiza revisiones de los proveedores antes de entablar un acuerdo contractual para adquirir sistemas de información, componentes o servicios; (iii) mantiene salvaguardas de seguridad para limitar el daño de potenciales adversarios dirigidos a la cadena de suministro de la organización; y (iv) realiza evaluaciones de los sistemas de información, componentes o servicios antes de su selección, aceptación o actualización en el alcance del compromiso.
    17. PROTECCIÓN DE SISTEMAS Y COMUNICACIONES
      1. Protección de fronteras. Riskonnect (i) monitoriza y controla las comunicaciones en las fronteras externas y en las fronteras internas clave del sistema de la organización; (ii) implementa subredes para los componentes del sistema accesibles públicamente que están física o lógicamente separados de las redes internas; (iii) limita el número de conexiones de red externas; y (iv) emplea una política de denegación por defecto y permiso por excepción para el tráfico de comunicaciones de red, tanto para las comunicaciones entrantes como salientes. El Servicio de Riskonnect se conecta a redes externas o sistemas de información solo a través de interfaces gestionadas. Riskonnect gestiona el uso operativo continuo de puertos, protocolos y servicios en los dispositivos en red para minimizar las ventanas de vulnerabilidad disponibles para los atacantes.
      2. Confidencialidad e integridad de la transmisión. Los sistemas de información protegen la confidencialidad e integridad de la información transmitida a través de medios tanto físicos como lógicos, incluyendo el empleo de procedimientos de distribución protegidos y la limitación del acceso a periféricos (por ejemplo, servidores, ordenadores, impresoras, escáneres, máquinas de fax), y mediante el uso de cifrado.
    18. INTEGRIDAD DEL SISTEMA Y DEL SISTEMA DE INFORMACIÓN
      1. Remediación de fallos. Riskonnect: (i) identifica, informa y corrige los fallos del sistema de información; (ii) prueba la eficacia y los posibles efectos secundarios de las actualizaciones de software y firmware antes de su instalación; e (iii) instala las actualizaciones de software y firmware relevantes para la seguridad, incluyendo parches, service packs, hot fixes y firmas antivirus, una vez que están disponibles. Riskonnect gestiona de forma centralizada el proceso de remediación de fallos, que mide el tiempo transcurrido entre la identificación del fallo y su remediación y establece un proceso para tomar acciones correctivas.
      2. Protección contra código malicioso. Riskonnect: (i) emplea mecanismos de protección contra código malicioso en los puntos de salida y entrada del sistema de información (incluidos los navegadores web y el correo electrónico) para detectar y erradicar el código malicioso; (ii) actualiza los mecanismos de protección contra código malicioso siempre que hay nuevas versiones disponibles y mantiene la política y los procedimientos de gestión de la configuración de la organización para gestionar dichas actualizaciones; (iii) configura los mecanismos de protección contra código malicioso para realizar escaneos periódicos de los sistemas de información; (iv) bloquea, pone en cuarentena, o ambas cosas, el código malicioso y mantiene sistemas que envían alertas al administrador o administradores del sistema en respuesta a la detección de código malicioso; y (v) aborda la recepción de falsos positivos durante la detección y erradicación de código malicioso, así como todo el impacto potencial resultante en la disponibilidad de los sistemas de información.
      3. Monitorización del sistema de información. Riskonnect: (i) monitoriza los sistemas de información para detectar ataques e indicadores de ataques potenciales, y conexiones locales, de red y remotas no autorizadas e identifica el uso no autorizado del sistema de información; (ii) despliega dispositivos de monitorización estratégicamente dentro del sistema de información y en ubicaciones ad hoc dentro del sistema; (iii) protege la información obtenida de las herramientas de monitorización de intrusiones contra el acceso, la modificación y la eliminación no autorizados; (iv) intensifica la actividad de monitorización cuando se indica un mayor riesgo para las operaciones de la organización, los activos, los individuos, otras organizaciones o la nación; (v) obtiene una opinión legal con respecto a las actividades de monitorización del sistema de información de acuerdo con las leyes aplicables, Órdenes Ejecutivas, directivas, políticas o regulaciones; y (vi) proporciona información de monitorización del sistema de información al personal adecuado según sea necesario.