Seguridad en Cal.com
Certificados en ISO 27001, SOC 2 Type II, HIPAA, GDPR y CCPA, con documentos que lo demuestran.
Cumplimiento
Accede a documentos de cumplimiento, certificaciones y acuerdos de protección de datos
Cómo lo mantenemos así
Como empresa que ha logrado las certificaciones ISO 27001, SOC 2 Type II, CCPA, GDPR y HIPAA, entendemos la importancia crítica de la seguridad de la información en el panorama digital actual. La frecuencia y sofisticación crecientes de los ciberataques ponen de relieve la necesidad de que las empresas prioricen la seguridad para proteger sus datos y garantizar la confianza de sus clientes. Al implementar medidas de seguridad y buenas prácticas estándar del sector, demostramos nuestro compromiso firme con la protección de la información sensible y la preservación de la integridad de nuestras operaciones. Nos enorgullecemos de los rigurosos protocolos de seguridad que tenemos implantados y nos dedicamos a mantener los más altos estándares de excelencia en seguridad.
¿Cómo se ha conseguido?
Como organización, entendemos la importancia de mantener el cumplimiento de las prácticas y estándares de seguridad. Por eso utilizamos plataformas de automatización de seguridad y cumplimiento para asegurarnos de seguir cumpliendo de forma continua y de adherirnos a los protocolos de seguridad pertinentes.
Contamos con una plataforma centralizada que automatiza la evaluación y monitorización de diversos controles y procedimientos de seguridad. Al integrarse con nuestros sistemas y herramientas existentes, nuestras plataformas nos ofrecen una visión completa de nuestra postura de seguridad, identifican cualquier posible problema y garantizan que estemos siempre al día con los últimos protocolos de seguridad y estándares del sector. Esto nos da la confianza de que seguimos las buenas prácticas del sector y de que proporcionamos un entorno seguro para nuestros clientes y partes interesadas.
¿Qué pasa si algo deja de cumplir la normativa?
Si algo dejara de cumplir la normativa, nuestra plataforma de automatización de cumplimiento detectaría el problema y nos avisaría de inmediato. Esto nos permitiría actuar rápidamente para resolverlo y volver a cumplir la normativa cuanto antes. Al usar una plataforma de automatización de cumplimiento como esta, podemos estar al día de nuestras obligaciones de cumplimiento y tomar medidas proactivas para asegurarnos de seguir cumpliendo las prácticas y estándares de seguridad pertinentes. Esto nos da la confianza de que proporcionamos un entorno seguro para nuestros clientes y partes interesadas, y nos ayuda a mantener nuestra reputación como organización fiable y de confianza.
Procedimientos y controles
Políticas y procedimientos seguros
Las políticas y procedimientos de seguridad de la información por escrito garantizan que la empresa tenga controles documentados y probados para proteger los datos de los clientes y responder eficazmente a incidentes de seguridad.
Pruebas de vulnerabilidad y penetración
Las pruebas periódicas de vulnerabilidad y penetración ayudan a identificar y corregir posibles debilidades de seguridad antes de que puedan ser explotadas por atacantes. Cal.com se somete anualmente a una prueba de penetración externa de nuestra aplicación web realizada por un tercero para identificar cualquier vulnerabilidad de seguridad que podamos tener; esto nos permite escalar esos problemas internamente y remediarlos de inmediato. Se crea un informe oficial para Cal.com que indica que los problemas encontrados ya están corregidos. También realizamos pruebas de penetración internas periódicas. Además, empleamos análisis automatizados de vulnerabilidades en nuestro código y sus dependencias.
Cifrado de datos
El cifrado de datos sensibles ayuda a garantizar que los datos no puedan ser accedidos ni leídos por partes no autorizadas. Tener nuestra base de datos cifrada permite que los clientes se sientan seguros al usar nuestro producto, ya que protege los datos tanto en tránsito como en reposo.
Autenticación multifactor
La autenticación multifactor ayuda a prevenir el acceso no autorizado a los sistemas de la empresa, lo que puede ayudar a proteger los datos de los clientes frente al robo o la manipulación.
Ciclo de vida de desarrollo seguro
La autenticación multifactor ayuda a prevenir el acceso no autorizado a los sistemas de la empresa, lo que puede ayudar a proteger los datos de los clientes frente al robo o la manipulación. Todos los cambios en nuestra base de código están protegidos con protección de ramas, lo que significa que, para poder enviar un nuevo cambio de código a producción, dicho cambio debe haber sido aprobado por otro ingeniero y superar varias pruebas automatizadas que comprueban problemas de seguridad introducidos por el código o sus dependencias, además de pruebas de extremo a extremo y más. De este modo, ningún actor malicioso, interno o externo a Cal.com, puede introducir código malicioso gracias a nuestro proceso seguro de revisiones.
Monitorización
La monitorización continua de los registros de acceso al sistema y del tráfico de red ayuda a detectar y responder a posibles incidentes de seguridad, reduciendo la probabilidad de que los datos de los clientes se vean comprometidos.
Formación y concienciación de empleados
Los programas periódicos de formación y concienciación para empleados ayudan a garantizar que estén preparados para gestionar los datos de los clientes de forma segura, reduciendo la probabilidad de errores humanos o brechas de datos intencionadas. Priorizamos que estos programas se completen de inmediato para todos los nuevos empleados y anualmente para todos los empleados existentes.
Controles de acceso y verificaciones de antecedentes
Los controles de acceso y las verificaciones de antecedentes de empleados, proveedores externos y prestadores de servicios ayudan a garantizar que sean de confianza y que se pueda confiar en ellos para gestionar los datos de los clientes de forma segura. Se realizan verificaciones de antecedentes a todas las nuevas contrataciones que pueda llevar a cabo la empresa, como forma de que Cal.com establezca confianza en el empleado que decidimos contratar. Además, conceder acceso solo a las aplicaciones concretas necesarias es importante para mantener el cumplimiento. Cada trimestre revisamos el acceso a las aplicaciones y los niveles de acceso de todos los empleados para asegurarnos de que solo tengan acceso a las aplicaciones necesarias para desempeñar su función.
Auditorías y evaluaciones de terceros
Las auditorías y evaluaciones periódicas de terceros proporcionan una validación independiente de la eficacia de los controles y procedimientos de seguridad de la información de la empresa, dando a los clientes la confianza de que sus datos se gestionan de forma segura.
Detección de intrusiones
Cal.com utiliza sistemas de detección de intrusiones para monitorizar continuamente nuestros sistemas ante posibles amenazas que puedan producirse en cualquier momento. Saber en una fase temprana que una amenaza podría ser crítica nos permite actuar con rapidez y eficiencia para evitar que cualquier amenaza cause problemas a corto o largo plazo.
Divulgación de vulnerabilidades
En Cal.com, consideramos que la seguridad de nuestros sistemas es una prioridad máxima. Pero por mucho esfuerzo que dediquemos a la seguridad de los sistemas, aún pueden existir vulnerabilidades.
Si descubres una vulnerabilidad, nos gustaría saberlo para poder tomar medidas y solucionarla lo antes posible. Queremos pedirte que nos ayudes a proteger mejor a nuestros clientes y nuestros sistemas.
Vulnerabilidades fuera de alcance:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Ataques que requieren MITM o acceso físico al dispositivo de un usuario.
- Cualquier actividad que pueda provocar la interrupción de nuestro servicio (DoS).
- Problemas de suplantación de contenido e inyección de texto sin mostrar un vector de ataque o sin poder modificar HTML/CSS.
- Suplantación de correo SPF
- Faltan cabeceras DNSSEC, CAA, CSP
- Falta de flag Secure o HTTP only en cookies no sensibles
- Enlaces rotos
- Cualquier cosa relacionada con DNS o la seguridad del correo electrónico
- Limitación de tasa
- XSS (Cross-Site Scripting)
Nota: Cal.com se reserva el derecho de designar cualquier vulnerabilidad reportada como fuera de alcance.
Qué hacer y qué no hacer
- No ejecutes escáneres automatizados en nuestra infraestructura ni en nuestro panel de control. Si quieres hacerlo, ponte en contacto con nosotros y configuraremos un entorno de pruebas para ti.
- No aproveches la vulnerabilidad o el problema que hayas descubierto, por ejemplo descargando más datos de los necesarios para demostrar la vulnerabilidad o eliminando o modificando datos de otras personas,
- No reveles el problema a otros hasta que se haya resuelto,
- No utilices ataques contra la seguridad física, ingeniería social, denegación de servicio distribuida, spam o aplicaciones de terceros, y
Cómo informar de una vulnerabilidad
Puedes informar de vulnerabilidades aquí: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
Dentro de alcance: Cal.com Entorno de QA
Solo los objetivos enumerados a continuación están autorizados para pruebas de seguridad: (editado)
| Objetivo | URL | Tipo |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Pruebas de sitio web |
| Cal.com QA API | https://api.cal.qa/ | Pruebas de API |
Puedes crear y usar varias cuentas de prueba dentro del entorno de QA cuando sea necesario, siempre que utilices solo cuentas y datos de prueba que controles.
Una vez recibida tu comunicación, puede que tardemos un poco en responder mientras nuestro equipo clasifica el problema.
Proporciona información suficiente para reproducir el problema, de modo que podamos resolverlo lo antes posible. Normalmente, la dirección IP o la URL del sistema afectado y una descripción de la vulnerabilidad serán suficientes, pero las vulnerabilidades complejas pueden requerir más explicación.
- Si has seguido las instrucciones anteriores, no emprenderemos ninguna acción legal contra ti en relación con el informe
- Trataremos tu informe con estricta confidencialidad y no comunicaremos tus datos personales a terceros sin tu permiso
- Te mantendremos al tanto del progreso para resolver el problema
- En la información pública sobre el problema notificado, indicaremos tu nombre como la persona que descubrió el problema (a menos que prefieras lo contrario)
- Nos esforzamos por resolver todos los problemas lo antes posible, y nos gustaría desempeñar un papel activo en la publicación final sobre el problema una vez resuelto.