Muchos clientes, desde emprendedores hasta empresas manufactureras, han empezado a adoptar la plataforma de 3DEXPERIENCE para que las partes interesadas, se conecten de forma segura a revisar su información con un ecosistema que contenga un ciclo de vida de sus productos. Incluso compañías con departamentos de TI están buscando alternativas para el alto costo de mantener un sistema en el cual están almacenando su información, el cual necesita actualizaciones, mantenimiento y una buena administración de su hardware y software.
Ahora con la nube publica de 3DEXPERIENCE, tenemos una solución todo en uno de gestión de información que combina infraestructura, plataforma y software con servicio de renta.
Al momento de guardar nuestra información en la nube de 3DEXPERIENCE, podemos pensar que puede correr algún riesgo, por falta de seguridad o algún hackeo a esta plataforma, pues en este blog les estaré platicando porque no debemos de tener esa inseguridad de utilizar la nube de 3DEXPERIENCE por todos los estándares de seguridad que utiliza Dassault Systèmes.

Salvaguardando tus datos en la nube de 3DEXPERIENCE
Dassault Systèmes entiende que la seguridad es una de las principales necesidades de las personas que migran a una solución de gestión de datos en la nube. Para satisfacer esta necesidad, DS ha colocado la seguridad en el centro del desarrollo de aplicaciones y almacenamiento de datos basados en la nube, implementando un enfoque de Seguridad en profundidad para proteger la IP de los clientes.
Los procesos de seguridad de la plataforma de 3DEXPERIENCE se han desarrollado con un énfasis en cumplir con los siguientes estándares industriales y sus mejores prácticas:
• ISO/IEC 2700x standards (Implementation Guide ISO/IEC 27002)
• NIST 800 series.
• OWASP testing methodologies.
• COBIT framework.
Las mejores practicas incluidas son la autenticación, controlar accesos, encriptación, detección y prevención de inyecciones, pruebas de penetración, refuerzo de servidores y muchas más.
Adicional a esto, la información de los clientes esta salvaguardada asegurando al mismo tiempo disponibilidad, integrad y confidencialidad. Dassault Systèmes asegura los siguientes compromisos de desempeño con los clientes en la nube publica de 3DEXPERIENCE:
• Disponibilidad mensual con un tiempo de actividad del 99.5%
• Copias de seguridad de los datos de los clientes cada 24 horas y se conservan durante un mínimo de 7 días.
• Tiempo máximo de inactividad por actualización de 4 horas.
Operativamente, la nube de 3DEXPERIENCE es administrada y mantenida por 3DS OUTSCALE, que es propiedad exclusiva de Dassault Systèmes.

Security in Depth
El enfoque Security in Depth de Dassault Systèmes para la seguridad en la nube es un sistema de capas de control independientes para cada nivel de la plataforma 3DEXPERIENCE y sus procesos.
• Nivel de Internet: maneja a los usuarios que ingresan a la plataforma y el tenant específico del cliente en la plataforma.
• Nivel en la nube: controla lo que sucede dentro de la infraestructura con los datos y los usuarios.
• Nivel de aplicación: maneja lo que sucede con las aplicaciones que los usuarios están implementando actualmente.
• Nivel de sistema virtual: controla la seguridad del sistema virtualizado en el que se alojan los datos y las aplicaciones.
• Nivel físico: controla cómo se protegen las ubicaciones físicas, el hardware y la infraestructura.

Seguridad de Internet
El punto inicial de entrada a la nube pública de 3DEXPERIENCE es Internet. Existen varias capas de seguridad para garantizar que la plataforma solo procese y conceda acceso al tráfico y las actividades previstas. Todo el tráfico entrante de Internet se filtra mediante mecanismos independientes que garantizan la confiabilidad y la ausencia de vulnerabilidades en cascada.
Los clientes acceden a su tenant privado ingresando las credenciales de seguridad otorgadas por Dassault Systèmes. Es posible que concedan acceso a otras personas, pero ellas también necesitarán credenciales seguras. Y la autenticación de dos factores (2FA) es una opción disponible que incluye aplicaciones compatibles con TOTP para dispositivos móviles personales.
El entorno de alojamiento implementa contramedidas activas para evitar ataques distribuidos de denegación de servicio (DDoS), y la plataforma utiliza un protocolo de cifrado y canales seguros entre el entorno de alojamiento y las instalaciones del cliente para garantizar la confidencialidad e integridad de los datos transferidos.
Las metodologías adicionales para la seguridad en Internet son continuas y confidenciales.

Seguridad en la nube
Los clientes de la plataforma 3DEXPERIENCE reciben un tenant privado al que solo ellos pueden acceder y otorgar acceso, pero hay varios tenants privados dentro de la nube pública.
Mientras opera dentro de la nube pública de 3DEXPERIENCE, la seguridad del tenant del cliente en relación con otros tenants del cliente se logra a través de capas independientes de soluciones.
La primera capa de seguridad en la nube son los firewalls. Los firewalls restringen el tráfico de usuarios únicamente al tenant o tenants a los que están autorizados a ingresar.
Además, Dassault Systèmes ha implementado procesos para cumplir con los estándares ISO/IEC 17799 para asegurar el acceso a cualquier dato solo a los usuarios que están autorizados a verlo o modificarlo.
Además, la estructura del entorno de nube pública garantiza que cada cliente trabaje en instancias de aplicaciones que están codificadas para su tenant, lo que evita el acceso y la transmisión de datos entre clientes. Esta estructura mitiga los riesgos de reconocimiento de red y ataques como “sniffing” y suplantación de IP, ya que no existe un área común en la nube pública donde los clientes ingresan o interactúan antes de acceder a su entorno de tenant privado.

Seguridad de aplicaciones
La importancia de proteger las aplicaciones que se ejecutan en la plataforma es tan crítica como proteger el acceso a Internet y la seguridad en la nube de la plataforma. Si hay agujeros en el código de las aplicaciones, habrá vulnerabilidades que pueden explotarse para acceder a sus datos. Si las aplicaciones están disponibles para cualquier persona del tenant de un cliente, un usuario no autorizado puede causar problemas no deseados con los datos del cliente.
El acceso a las aplicaciones se maneja de manera similar a obtener acceso al tenant del cliente. Cuando se asignan aplicaciones a un usuario, el permiso para usar la aplicación está vinculado a las credenciales de 3DPassport del usuario, y solo él puede usar una licencia particular de esa aplicación.
Para mitigar las vulnerabilidades en el código de las aplicaciones, Dassault Systèmes ha implementado protocolos de seguridad para capacitar a los ingenieros de aplicaciones y un estricto proceso de diseño y revisión del nuevo código que se crea.
Cada requisito de una nueva característica para una aplicación también tiene un requisito de seguridad. Si el código nuevo no pasa una auditoría de seguridad, la función no se lanza. El código es revisado dos veces por pares por contratistas internos y externos para alinearse con las mejores prácticas de la industria.
Las aplicaciones deben pasar pruebas de penetración antes de ser aprobadas para su lanzamiento. Se realizan pruebas de penetración en el ecosistema de aplicaciones para descubrir cualquier vulnerabilidad restante y complementar el proceso de desarrollo de codificación segura. Estos también se realizan internamente y por agencias de terceros.
Además, Dassault Systèmes y 3DS OUTSCALE siguen el estándar Open Web Application Security Project (OWASP) para estándares de seguridad y revisión de código seguro para aplicaciones 3DEXPERIENCE. Se presta especial atención a las pruebas con la lista de las diez principales amenazas de OWASP.
Dassault Systèmes garantiza que no hay vulnerabilidades conocidas a ninguna de estas amenazas presentes en ninguna nueva versión de la plataforma 3DEXPERIENCE.
Las diez principales amenazas actuales de aplicaciones web de OWASP son:
• A01:2021-Control de acceso roto
• A02:2021-Fallos criptográficos
• A03:2021-Inyección
• A04:2021-Diseño inseguro
• A05:2021-Mal configuración de seguridad
• A06:2021-Componentes vulnerables y obsoletos
• A07:2021-Fallos de identificación y autenticación
• A08:2021-Fallos de integridad de datos y software
• A09:2021-Fallos de monitoreo y registro de seguridad
• A10:2021-Falsificación de solicitudes del lado del servidor (SSRF)
Un equipo operativo interno realiza un proceso continuo de escaneos para monitorear varios módulos de las aplicaciones para garantizar que el rendimiento de las aplicaciones cumpla con los requisitos y que se mitiguen las amenazas recién descubiertas.

Seguridad del sistema virtual
Los sistemas virtualizados en los que se alojan los datos y las aplicaciones se examinan de cerca desde el punto de vista de la seguridad antes de lanzarlos a producción.
El ciclo de vida de la seguridad aplicado a
Los sistemas virtuales son muy estrictos y mantienen un alto nivel de seguridad después del lanzamiento de producción. Equipos dedicados realizan actividades de mantenimiento de la seguridad, como parches del sistema y revisión de servicios. Además, se realizan escenarios de ataques aleatorios para probar tanto la integridad de un sistema modelo como cómo reaccionan los equipos operativos ante un ataque para garantizar que existan políticas maduras para mitigar las amenazas a la seguridad.

Seguridad física
Nada de lo anterior sería posible sin una ubicación física para que el hardware aloje los sistemas y aplicaciones que componen la nube pública de 3DEXPERIENCE. Estas ubicaciones físicas son anodinas. No están adornados con la marca Dassault Systèmes o 3DS OUTSCALE que llame la atención.
El acceso está estrictamente limitado al personal autorizado. Todos los contratistas y visitantes siempre están escoltados por seguridad autorizada de Dassault Systèmes o 3DS OUTSCALE, y todo acceso físico a los centros de datos se registra y audita.
El almacenamiento físico está protegido mediante discos redundantes, recuperaciones ante desastres y procedimientos de copia de seguridad/restauración. Además, todos los proveedores de la nube cuentan con la certificación ISO/IEC 27001.
Al adoptar la solución 3DEXPERIENCE, puedes estar seguro de que Dassault Systèmes se toma en serio la protección de tus datos, tus aplicaciones, la plataforma y la infraestructura de la nube pública 3DEXPERIENCE. Reducirá o eliminará tu compromiso de TI mientras disfrutas de acceder y administrar rápidamente tus datos desde prácticamente cualquier lugar mientras te mantienes conectado con las partes interesadas de toda tu organización.