Unidad 3.5: Seguridad y Cumplimiento Normativo

Introducción

Imagínese que está ejecutando una cámara acorazada de un banco segura. El banco proporciona el edificio, la puerta de la cámara acorazada, los guardias de seguridad y los sistemas de alarma. Pero usted es responsable de lo que almacena dentro, de quién recibe la llave y de cómo organiza sus objetos de valor. La seguridad en la nube funciona de la misma manera: el proveedor asegura la infraestructura, mientras que usted asegura sus cargas de trabajo y datos.

En esta unidad, usted aprenderá cómo IONOS Cloud comparte las responsabilidades de seguridad con usted, qué certificaciones y normas de cumplimiento mantiene IONOS, y cómo la plataforma protege sus datos a través del cifrado y los registros de auditoría. Comprender estos conceptos fundamentales de seguridad le ayuda a crear aplicaciones seguras y conformes, mientras cumple con los requisitos regulatorios como GDPR, ISO 27001, y normas específicas de la industria.

1. Shared Responsibility Model

La seguridad en la nube opera en un Shared Responsibility Model donde tanto el proveedor de la nube como el cliente tienen deberes de seguridad distintos. Entender dónde terminan las responsabilidades de IONOS y dónde comienzan las suyas es fundamental para mantener un entorno seguro.

1.1 Responsabilidades de IONOS (Seguridad DE la nube)

IONOS es responsable de mantener la infraestructura subyacente de la nube, que incluye:

• Infraestructura física y centros de datos
• Infraestructura de cómputo y almacenamiento
• Servicios de plataforma

IONOS mantiene estas capas continuamente, asegurando que la base de su entorno de nube permanezca segura sin requerir intervención del cliente.

1.2 Responsabilidades del cliente (Seguridad EN la nube)

Como cliente de IONOS Cloud, usted es responsable de asegurar todo lo que despliega y configura dentro del entorno de nube:

1.3 Controles compartidos

Algunos controles de seguridad involucran tanto a IONOS como al cliente:

Cortafuegos de red

• IONOS proporciona Network Security Groups (NSGs) como capacidad de plataforma
• Usted configura las reglas específicas de Firewall que se aplican a sus recursos

Cifrado

• IONOS proporciona capacidades de cifrado y infraestructura
• Usted decide qué datos cifrar y gestiona las claves de cifrado de nivel de aplicación cuando corresponda

Monitorización y registro

• IONOS proporciona Activity Logs, Flow Logs y Servicios de monitorización
• Usted configura qué monitorizar, establece alertas y responde a los hallazgos

Entender esta división de responsabilidad le ayuda a identificar brechas de seguridad y asegurar una cobertura completa en todas las capas de su entorno de nube.

2. Certificaciones y Cumplimiento de Seguridad de IONOS

IONOS Cloud mantiene múltiples certificaciones de seguridad reconocidas internacionalmente y se adhiere a importantes marcos de cumplimiento, lo que proporciona la garantía de que la plataforma cumple con rigurosos estándares de seguridad y privacidad.

2.1 Certificación ISO 27001

Qué es ISO 27001 es el estándar internacional para Sistemas de Gestión de Seguridad de la Información (ISMS). Establece un enfoque sistemático para gestionar datos sensibles a través de la evaluación de riesgos, controles de seguridad y procesos de mejora continua.

Cumplimiento de IONOS Los centros de datos de IONOS Cloud están certificados ISO 27001 en todas las ubicaciones, lo que demuestra que IONOS sigue las mejores prácticas reconocidas internacionalmente para la gestión de la seguridad de la información. El alcance de la certificación se verifica a través de auditorías independientes regulares en cada centro de datos.

Qué significa esto para usted Cuando ejecuta cargas de trabajo en IONOS Cloud, se beneficia de una plataforma construida sobre principios ISO 27001, lo que proporciona una base segura para sus propios esfuerzos de cumplimiento. Muchas organizaciones requieren que los proveedores de nube tengan certificación ISO 27001 antes de que puedan alojar cargas de trabajo sensibles.

2.2 Certificación SOC 2 Tipo II

Qué es SOC 2 (Control de Organización de Servicio 2) Tipo II es un marco de cumplimiento que evalúa controles relacionados con la seguridad, la disponibilidad, la integridad del procesamiento, la confidencialidad y la privacidad. La certificación Tipo II demuestra específicamente que estos controles están operando de manera efectiva con el tiempo, no solo están diseñados correctamente.

Cumplimiento de IONOS IONOS Cloud tiene certificación SOC 2 Tipo II en ubicaciones de centros de datos seleccionadas, lo que requiere que auditores independientes verifiquen que los procesos y controles de seguridad de IONOS cumplan con criterios operativos estrictos de manera consistente. La certificación se renueva regularmente a través de auditorías continuas. Consulte el Catálogo de Servicios de IONOS Cloud para obtener la cobertura actual de SOC 2 por ubicación.

Qué significa esto para usted La certificación SOC 2 Tipo II proporciona la garantía de que las operaciones de IONOS Cloud están monitoreadas, controladas y auditadas según criterios estándar de la industria. Esto es particularmente importante para organizaciones en industrias reguladas (atención médica, finanzas, gobierno) que deben verificar que sus proveedores cumplan con requisitos de seguridad específicos.

2.3 Cumplimiento GDPR

Qué es El Reglamento General de Protección de Datos (GDPR) es la ley de protección de datos integral de la Unión Europea que regula el procesamiento de datos personales de ciudadanos de la UE por parte de organizaciones.

Cumplimiento de IONOS IONOS Cloud es completamente compatible con GDPR, con centros de datos ubicados en la Unión Europea (Alemania, España y Francia). Todo el manejo de datos, el cifrado en REST y en tránsito, y los controles de residencia de datos están diseñados para cumplir con los requisitos de GDPR. IONOS proporciona herramientas y características que permiten a los clientes crear aplicaciones compatibles con GDPR.

Qué significa esto para usted Si procesa datos personales de ciudadanos de la UE, puede aprovechar la infraestructura compatible con GDPR de IONOS y los centros de datos basados en la UE para cumplir con los requisitos de residencia y soberanía de datos. El marco de cumplimiento de IONOS le ayuda a cumplir con sus propias obligaciones de GDPR.

2.4 Cumplimiento PCI DSS

Qué es El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un conjunto de requisitos de seguridad diseñados para proteger los datos de las tarjetas de pago durante el procesamiento, el almacenamiento y la transmisión. Las organizaciones que manejan información de tarjetas de crédito deben cumplir con PCI DSS.

Cumplimiento de IONOS IONOS Cloud ofrece cumplimiento PCI DSS en ubicaciones de centros de datos seleccionadas para clientes que necesitan procesar datos de tarjetas de pago. Esto proporciona una base de infraestructura compatible para el comercio electrónico, el procesamiento de pagos y otras aplicaciones que manejan información de tarjetas de crédito. Verifique la disponibilidad de PCI DSS en su centro de datos elegido a través del Catálogo de Servicios de IONOS Cloud.

Qué significa esto para usted Si ejecuta aplicaciones que procesan pagos con tarjeta de crédito, puede aprovechar la infraestructura compatible con PCI DSS de IONOS para simplificar sus propios esfuerzos de cumplimiento. Sin embargo, PCI DSS es una responsabilidad compartida: IONOS asegura la infraestructura, mientras que usted debe asegurarse de que sus aplicaciones y prácticas de manejo de datos también cumplan con los requisitos de PCI DSS.

2.5 BSI C5 y IT-Grundschutz (Estándares de Seguridad Federales Alemanes)

Qué son:

Alemania mantiene dos marcos de seguridad clave a través de la Oficina Federal de Seguridad de la Información (BSI). BSI IT-Grundschutz es una metodología de seguridad de la información integral que proporciona medidas de seguridad de base detalladas, que van más allá de ISO 27001 al especificar controles concretos y realizables. BSI C5 (Catálogo de Criterios de Cumplimiento de la Computación en la Nube) define criterios para la seguridad de la computación en la nube en 17 áreas, desde la seguridad física hasta la verificación de identidad y la interacción con las fuerzas del orden.

Cumplimiento de IONOS:

IONOS Cloud tiene ambas certificaciones BSI para servicios de nube básicos. El certificado ISO 27001 basado en IT-Grundschutz cubre Compute Engine, Object Storage y Copia de Seguridad, y Managed Kubernetes en centros de datos alemanes. La acreditación BSI C5 Tipo 1 cubre Compute Engine, Cloud Cubes y Object Storage. Como proveedor alemán, IONOS es el primero en tener ambas la acreditación C5 y la certificación BSI IT-Grundschutz, lo que refleja un compromiso para cumplir con las expectativas de seguridad más altas de Alemania.

Qué significa esto para usted:

Si trabaja para el sector público alemán o en el área de infraestructura crítica (KRITIS), las certificaciones BSI a menudo son un requisito previo para utilizar servicios de nube. Estas certificaciones proporcionan transparencia detallada en los controles de seguridad de IONOS, lo que simplifica su propio análisis de riesgos y auditorías de cumplimiento. La acreditación BSI C5 es particularmente relevante para industrias reguladas como la atención médica, donde demostrar el cumplimiento del proveedor de nube con los estándares BSI apoya sus propias obligaciones regulatorias.

2.6 Resumen de la Tabla de Cumplimiento

La siguiente tabla resume las certificaciones y estándares de cumplimiento clave de IONOS Cloud:

Importante: La cobertura de la certificación varía según la ubicación del centro de datos y el servicio. Para obtener la lista actual de certificaciones en cada ubicación, consulte el Catálogo de Servicios de IONOS Cloud.

2.7 Soberanía Digital: GDPR vs. Ley CLOUD de EE. UU.

Aunque IONOS Cloud cumple con todos los requisitos técnicos de seguridad, el marco legal europeo ofrece una ventaja decisiva sobre los proveedores no europeos:

• Inmunidad a la Ley CLOUD de EE. UU.: Como empresa alemana sin una entidad matriz en EE. UU., IONOS no está sujeta a la Ley de Uso Legítimo de Datos en el Extranjero (CLOUD). A diferencia de los proveedores de EE. UU., que pueden ser legalmente obligados a conceder acceso a los datos a las autoridades independientemente de su ubicación física, IONOS opera exclusivamente bajo la jurisdicción europea.
• Soberanía Digital: Los clientes mantienen el control legal exclusivo sobre sus cargas de trabajo y datos. El acceso por parte de las agencias gubernamentales solo es posible a través de procesos legales y órdenes judiciales europeas, lo que elimina efectivamente el riesgo de interferencia legal extranjera o mandatos de divulgación de datos secretos.

3. Protección y cifrado de datos

IONOS Cloud protege sus datos a través de estrategias de cifrado comprehensivas que cubren tanto los datos en REST (datos almacenados) como los datos en tránsito (datos que se mueven a través de redes).

3.1 Cifrado en REST

El cifrado en REST protege los datos almacenados contra accesos no autorizados, asegurando que incluso si los dispositivos de almacenamiento físico son comprometidos, los datos permanecen ilegibles sin las claves de cifrado adecuadas.

Cifrado de Block Storage

• Todos los volúmenes lógicos de Block Storage creados en IONOS Cloud están cifrados automáticamente utilizando cifrado AES-XTS 256-bit
• Cada Volume recibe una clave de cifrado única que es invisible para el servidor de almacenamiento
• Incluso los usuarios root no pueden acceder a las claves de cifrado raw
• El cifrado de disco a nivel de unidad en SSD Premium y Standard agrega una segunda capa de cifrado AES-XTS 256-bit utilizando discos de cifrado autónomos (SED)
• La eliminación física de un disco del centro de datos hace que los datos sean ilegibles

Cifrado de Backup Service

• El cifrado del lado del servidor utiliza AES-256 para proteger los datos de copia de seguridad en dispositivos de almacenamiento
• El cifrado del lado del cliente permite cifrar las copias de seguridad utilizando una clave derivada de una contraseña (AES-256)
• Al utilizar el cifrado del lado del cliente, IONOS y el proveedor de copias de seguridad (Acronis) nunca almacenan su clave de cifrado
• Esto garantiza que solo usted pueda descifrar y restaurar sus datos de copia de seguridad

Cifrado de IONOS Cloud Object Storage

• Cifrado del lado del servidor con claves administradas por IONOS (SSE-S3) utilizando AES-256
• La opción de claves administradas por el cliente (SSE-C) también utiliza cifrado AES-256
• Todos los datos almacenados en cubos de Object Storage están cifrados automáticamente

Cifrado de Private Container Registry

• Las imágenes de contenedores almacenadas en el Private Container Registry están cifradas en REST utilizando AES-256
• Las claves de cifrado son administradas por la plataforma IONOS
• Los clientes no pueden suministrar sus propias claves de cifrado para el almacenamiento del registro de contenedores

3.2 Cifrado en tránsito

El cifrado en tránsito protege los datos mientras se mueven entre sus aplicaciones, servicios de IONOS y sistemas externos, evitando escuchas y ataques de intermediario.

Cifrado de TLS/HTTPS

• Todos los puntos finales de API de IONOS Cloud utilizan cifrado TLS 1.2 o TLS 1.3
• IONOS Cloud Object Storage admite TLS 1.2/1.3 para todas las transferencias de datos hacia y desde puntos finales compatibles con S3
• Backup Service cifra todo el tráfico de copia de seguridad en tiempo real utilizando HTTPS/TLS con suites de cifrado fuertes (intercambio de claves Diffie-Hellman y RSA)
• Las interfaces de administración (Data Center Designer, acceso a API) están protegidas por HTTPS/TLS

Cifrado de servicio de red

• Las conexiones VPN Gateway cifran el tráfico entre sus redes locales y IONOS Cloud
• Certificate Manager proporciona y administra certificados SSL/TLS para Balanceadores de carga de aplicaciones, garantizando conexiones de cliente cifradas

3.3 Administración de claves

Claves administradas por la plataforma Para la mayoría de los servicios de IONOS, las claves de cifrado son administradas automáticamente por la plataforma IONOS:

• Las claves se almacenan de forma segura dentro de la infraestructura de IONOS y nunca se exponen a los clientes o administradores
• El acceso a las claves de cifrado requiere solicitudes autenticadas, autorizadas y cifradas
• Las claves están vinculadas a la infraestructura, lo que significa que los discos físicos eliminados de los centros de datos permanecen cifrados e ilegibles

Claves administradas por el cliente (disponibilidad limitada) Algunos servicios ofrecen opciones de cifrado administradas por el cliente:

• Backup Service admite claves de cifrado derivadas de contraseñas que IONOS nunca almacena
• Object Storage admite claves administradas por el cliente (SSE-C) para el cifrado de cubos
• La mayoría de los demás servicios utilizan claves administradas por la plataforma de forma exclusiva

3.4 Eliminación segura de datos

Cuando elimina datos de IONOS Cloud, los procesos de eliminación segura garantizan que los datos no puedan ser recuperados:

Eliminación de Volume y copia de seguridad

• La eliminación de un Block Storage Volume o copia de seguridad anula los metadatos, destruyendo la clave de cifrado
• Sin la clave de cifrado, los datos cifrados se vuelven permanentemente ilegibles
• Los discos físicos se borran según las pautas de NIST SP 800-88 Rev 1
• Cuando no es posible borrar, los discos se destruyen físicamente

Eliminación de Object Storage

• La eliminación de objetos de IONOS Cloud Object Storage elimina los metadatos y hace que los datos sean irrecuperables
• La eliminación segura sigue las mismas pautas de NIST SP 800-88 que Block Storage

Este enfoque de cifrado comprehensivo (AES-256 para datos en REST, TLS 1.2/1.3 para datos en tránsito, administración de claves segura y eliminación conforme a NIST) garantiza que sus datos permanecen confidenciales durante todo su ciclo de vida en IONOS Cloud.

4. Registros de auditoría para el cumplimiento normativo

Los registros de auditoría proporcionan un registro cronológico y a prueba de manipulaciones de todas las acciones realizadas dentro de su entorno de IONOS Cloud. Estos registros son esenciales para las investigaciones de seguridad, la resolución de problemas operativos y el cumplimiento de los requisitos de cumplimiento normativo.

4.1 ¿Qué son los registros de auditoría?

Un registro de auditoría es un registro de solo lectura y ordenado en el tiempo de eventos significativos que captura:

• Quién realizó la acción (identidad del usuario y número de contrato)
• Cuándo se produjo la acción (marca de tiempo exacta)
• Dónde se originó la acción (dirección de origen IP y servicio)
• Qué se vio afectado (tipo de recurso, ID de recurso y acción específica tomada)

IONOS Cloud proporciona registros de auditoría a través del servicio de Registro de actividades, que registra cada solicitud API, cambio de configuración, inicio de sesión de usuario, creación, modificación y eliminación de recursos en todo su entorno de nube.

4.2 Registro de actividades para registros de auditoría

¿Qué capturan los Activity Logs Los Activity Logs registran todas las actividades de los usuarios y las modificaciones de los recursos, incluyendo:

• Eventos de autenticación de usuario (inicios de sesión, cierres de sesión, intentos de inicio de sesión fallidos)
• Provisionamiento y desprovisionamiento de recursos (creación de máquinas virtuales, volúmenes de almacenamiento, redes)
• Cambios de configuración (modificación de reglas Firewall, actualización de configuraciones Load Balancer)
• Eventos de acceso a datos (acceso a Object Storage, conexiones a bases de datos)
• Cambios en la gestión de identidad y acceso (creación de usuarios, modificación de roles, cambio de permisos)
• Eventos de seguridad (cambios en las reglas de grupos de seguridad de red, implementaciones de certificados)

Estructura de datos del Registro de actividades Cada entrada del Registro de actividades incluye:

• Identidad del principal (correo electrónico del usuario, número de contrato, origen IP, servicio de origen)
• Tipo de evento (por ejemplo, SolicitudAceptada, RecursoCreado, ConfiguraciónCambiad)
• Recursos del evento (tipo de recurso, ID de recurso, acción realizada)
• Metadatos (marca de tiempo, versión del registro de auditoría)

Inmutabilidad y retención Los Activity Logs son de solo lectura y no pueden ser modificados o eliminados por los usuarios, lo que garantiza registros de auditoría a prueba de manipulaciones. Los registros se retienen según las políticas y los requisitos de cumplimiento de IONOS, lo que proporciona un registro histórico para investigaciones y auditorías.

4.3 Uso de registros de auditoría para el cumplimiento normativo

Los registros de auditoría respaldan múltiples objetivos de cumplimiento y seguridad:

Cumplimiento normativo Muchas regulaciones requieren registros de auditoría de quién accedió o modificó datos:

• GDPR requiere el registro de actividades de acceso y procesamiento de datos personales
• HIPAA requiere registros de auditoría para el acceso a datos de salud
• SOX (Sarbanes-Oxley) requiere registros de auditoría para datos financieros
• PCI DSS requiere el registro de acceso a datos de titulares de tarjetas

Los Activity Logs proporcionan la evidencia necesaria para demostrar el cumplimiento de estos requisitos durante las auditorías.

Investigaciones de seguridad Cuando ocurren incidentes de seguridad, los registros de auditoría ayudan a:

• Identificar el origen de la actividad sospechosa (qué usuario, desde qué dirección IP)
• Rastrear la secuencia de eventos que condujeron a una violación de seguridad
• Determinar el alcance del acceso no autorizado o la exposición de datos
• Proporcionar evidencia para la respuesta a incidentes y el análisis forense

Revisión de accesos Las revisiones regulares de los registros de auditoría permiten:

• Identificar privilegios excesivos otorgados a usuarios o cuentas de servicio
• Detectar cuentas huérfanas que deberían haber sido desactivadas
• Monitorear los cambios de roles y permisos con el tiempo
• Revocar el acceso de inmediato cuando los usuarios cambian de roles o abandonan la organización

Resolución de problemas operativos Más allá del cumplimiento, los registros de auditoría ayudan con:

• Diagnóstico de problemas de configuración (¿qué cambió antes de que ocurriera el problema?)
• Comprensión de los patrones y tendencias de uso de recursos
• Verificación de que los scripts de automatización y las implementaciones de Infraestructura como Código se ejecutaron correctamente

4.4 Acceso a los Activity Logs

Los Activity Logs se pueden acceder a través de:

IONOS Cloud API utilizando solicitudes GET para recuperar entradas de registro de forma programática (el Registro de actividades es un API de solo lectura y no tiene una vista de navegación en el Data Center Designer) Data Center Designer (DCD) para otorgar el privilegio de grupo "Acceso al Registro de actividades", que autoriza a las cuentas de usuario a leer el registro a través del API (por defecto, solo las cuentas de Propietario del contrato y Administrador tienen acceso) Automatización e integración con sistemas SIEM (Administración de eventos y seguridad de la información) externos para análisis de registros centralizado

Al revisar regularmente los Activity Logs e integrarlos en sus procesos de monitoreo de seguridad, puede mantener el cumplimiento, detectar amenazas de seguridad temprano y responder rápidamente a incidentes.

Casos de uso comunes

Escenarios del mundo real donde se utilizan las características de seguridad y cumplimiento de IONOS Cloud:

1. Aplicación de atención médica con GDPR y requisitos de HIPAA: Un proveedor de atención médica crea un sistema de gestión de pacientes en IONOS Cloud. Aprovechan la infraestructura compatible con GDPR de IONOS y los centros de datos basados en la UE (Sección 2.3) para cumplir con los requisitos de residencia de datos. El cifrado Block Storage en REST (Sección 3.1) protege los registros de pacientes, mientras que el cifrado TLS en tránsito (Sección 3.2) garantiza la seguridad de las transferencias de datos. Los Activity Logs (Sección 4.2) proporcionan los registros de auditoría requeridos por las regulaciones de HIPAA, grabando todos los accesos a los datos de pacientes para la informe de cumplimiento.
2. Plataforma de comercio electrónico con cumplimiento de PCI DSS: Un minorista en línea procesa pagos con tarjeta de crédito y debe cumplir con PCI DSS. Despliega su aplicación de procesamiento de pagos en la infraestructura compatible con PCI DSS de IONOS Cloud (Sección 2.4). Los Network Security Groups (referenciados en la Sección 1.2) segmentan los sistemas de procesamiento de pagos de otras cargas de trabajo. Los Certificate Manager (cubiertos en la Unidad 2.6, referenciados aquí para la terminación de TLS) proporcionan certificados SSL/TLS para transacciones de pago seguras. Los Activity Logs rastrean todos los cambios de configuración en los sistemas de pago, apoyando los requisitos de auditoría de PCI DSS (Sección 4.3).
3. Aplicación de servicios financieros con requisitos de SOC 2: Una empresa de tecnología financiera necesita demostrar controles de seguridad robustos a los clientes empresariales que requieren el cumplimiento de SOC 2. Construyen su aplicación en la infraestructura certificada de tipo II de SOC 2 de IONOS Cloud (Sección 2.2). El Shared Responsibility Model (Sección 1) clarifica qué controles de seguridad gestiona IONOS y cuáles debe implementar la empresa. Implementan el cifrado administrado por el cliente para datos financieros sensibles utilizando claves derivadas de contraseñas de Backup Service (Sección 3.1), y realizan revisiones mensuales de los registros de actividad (Sección 4.3) para identificar cualquier acceso no autorizado o intentos de escalada de privilegios.

Resumen

La seguridad y el cumplimiento normativo en IONOS Cloud operan a través de un Shared Responsibility Model donde IONOS asegura la infraestructura en la nube (centros de datos físicos, red, hipervisor) mientras que los clientes aseguran sus cargas de trabajo, datos y configuraciones. IONOS Cloud mantiene múltiples certificaciones reconocidas internacionalmente, incluyendo ISO 27001 (en todas las ubicaciones), BSI IT-Grundschutz y BSI C5 (para servicios básicos en centros de datos alemanes), SOC 2 Tipo II, y cumplimiento con GDPR, con certificaciones específicas que varían según la ubicación del centro de datos y el servicio.

La protección de datos se logra a través de estrategias de cifrado comprehensivas: cifrado AES-256 en REST para Block Storage, Backup Service, Object Storage, y Container Registry, combinado con cifrado TLS 1.2/1.3 en tránsito para todas las transferencias de datos. Las claves de cifrado son administradas por la plataforma IONOS para la mayoría de los servicios, con claves administradas por el cliente de forma opcional para Backup Service y Object Storage.

Los registros de auditoría proporcionados por Activity Logs crean registros inalterables de todas las actividades de los usuarios y los cambios de recursos, lo que apoya los requisitos de cumplimiento para GDPR, HIPAA, SOX, y PCI DSS. Estos registros capturan quién realizó acciones, cuándo ocurrieron, dónde se originaron, y qué recursos se vieron afectados, lo que proporciona pruebas críticas para investigaciones de seguridad, revisiones de acceso, y auditorías normativas.

Puntos clave:

• El Shared Responsibility Model divide las tareas de seguridad: IONOS asegura la infraestructura, los clientes aseguran sus cargas de trabajo, datos y configuraciones
• IONOS Cloud tiene certificaciones que incluyen ISO 27001, BSI IT-Grundschutz, BSI C5, SOC 2 Tipo II, y cumplimiento con GDPR, con certificaciones específicas que varían según la ubicación del centro de datos y el servicio
• Los datos están cifrados en REST utilizando AES-256 y en tránsito utilizando TLS 1.2/1.3 en todos los servicios de IONOS Cloud
• Activity Logs proporcionan registros de auditoría inmutables requeridos para el cumplimiento con las regulaciones GDPR, HIPAA, SOX, y PCI DSS
• Los centros de datos con sede en la UE en Alemania (Berlín, Fráncfort), España (Logroño), y Francia (París) apoyan los requisitos de residencia y soberanía de los datos
• Los registros de auditoría permiten investigaciones de seguridad, revisiones de acceso, y solución de problemas operativos más allá de los requisitos de cumplimiento

Terminología importante:

• Shared Responsibility Model: Un marco de seguridad en la nube que divide las responsabilidades entre el proveedor de la nube (seguridad de la infraestructura) y el cliente (seguridad de las cargas de trabajo y los datos)
• ISO 27001: Estándar internacional para Sistemas de Gestión de la Seguridad de la Información (ISMS) que demuestra controles de seguridad sistemáticos
• SOC 2 Tipo II: Marco de cumplimiento que verifica que los controles de seguridad operen de manera efectiva con el tiempo, no solo por diseño
• GDPR (Reglamento General de Protección de Datos): Ley de la UE que regula la protección de los datos personales, que requiere derechos de los sujetos de los datos, consentimiento, y controles de residencia
• Cifrado en REST: Protección de los datos almacenados utilizando cifrado (AES-256) para que permanezcan ilegibles sin claves de descifrado
• Cifrado en tránsito: Protección de los datos que se mueven a través de las redes utilizando TLS/HTTPS para prevenir el espionaje y los ataques de intermediario
• Registro de auditoría: Registro cronológico y de solo lectura de todas las acciones en el entorno en la nube, que captura quién, cuándo, dónde, y qué para investigaciones de cumplimiento y seguridad
• Registro de actividad: Servicio de registro de auditoría de IONOS Cloud que registra todas las solicitudes de API, los cambios de configuración, y las actividades de los usuarios

Próximos pasos

Continúe aprendiendo: Finalización del curso

Temas relacionados:

• Unidad 3.2: Autenticación y control de acceso - Comprensión de los roles de usuario, permisos y controles de acceso
• Unidad 3.4: Activity Logs y Monitorización - Análisis en profundidad de los servicios de registro, monitorización y observabilidad
• Unidad 2.6: Servicios de seguridad - Network Security Groups, DDoS Protect, y Certificate Manager