Esta auditoría se ha realizado como parte de la Iniciativa Global de Transparencia, anunciada por Kaspersky en 2017, para garantizar aún más a sus socios y clientes que los productos y servicios de la compañía no sólo son los mejores cuando se trata de protección contra las ciberamenazas, sino que también tratan los datos con el máximo respeto y cuidado.
Andrey Efremov, director de Tecnología de Kaspersky afirma: ‘La seguridad de nuestros productos es, sin duda, una de nuestras principales prioridades. Estamos orgullosos de haber completado esta evaluación independiente que proporciona a nuestros clientes la garantía de la seguridad de nuestros productos y la confianza en nuestros procesos y controles de I+D. Esta auditoría supone un paso más en nuestros esfuerzos por demostrar la transparencia de la compañía’.
En virtud de los términos del contrato, Kaspersky no puede revelar el nombre de la firma auditora, pero sí indicar que es una de las ‘Big Four’.
Service Organization Controls (SOC) Reporting Framework es un informe reconocido mundialmente para el control de la gestión de riesgos de ciberseguridad, desarrollado por el Instituto Americano de Contables Públicos Certificados (AICPA, por sus siglas en inglés) para informar a los clientes sobre el diseño e implementación efectivos de controles de seguridad. Como compañía responsable y transparente con sus clientes, Kaspersky ha elegido este estándar para demostrar la fiabilidad de sus productos y su compromiso con los Principios y Criterios de Servicio de Confianza de AICPA: Seguridad, Disponibilidad, Integridad de Procesos, Confidencialidad y Privacidad.
La evaluación, completada bajo el estándar SSAE 18 (Statement of Standards for Attestation Engagements), incluye controles internos sobre actualizaciones automáticas regulares de bases de datos antivirus, creadas y distribuidas por Kaspersky para sus productos que operan en servidores Windows y Unix. En su informe final, el auditor independiente confirmó la idoneidad de los controles mencionados y su adecuado funcionamiento en una fecha determinada.
La Iniciativa Global de Transparencia de Kaspersky, engloba, entre otras medidas, el compromiso de la compañía para trasladar a Suiza el almacenamiento y procesamiento de datos para sus clientes. A día de hoy, Kaspersky ha completado la segunda fase de esta reubicación que afecta a sus usuarios europeos y tiene previsto finalizar este cambio a finales de 2019.Además de la reubicación de datos, el objetivo de Kaspersky es contar con al menos tres centros de transparencia en 2020. La compañía continúa apoyando su programa Bug Bounty y está trabajando en varios proyectos destinados a aumentar la transparencia y la confianza.
Evolución de la Iniciativa Global de Transparencia
Kaspersky desarrolla continuamente su Programa Bug Bounty. Recientemente, la compañía ha pagado una recompensa de 23.000 dólares – la mayor en la historia del programa hasta la fecha – a investigadores del equipo de Imaginary por el descubrimiento de un problema de seguridad que potencialmente podría permitir a terceros ejecutar de forma remota código arbitrario en el PC de un usuario con privilegios de sistema. El ‘bug’ fue corregido rápidamente. Kaspersky agradece al equipo de Imaginary el informe y su ayuda en la mejora de los productos de la compañía.
Safe Harbor para los investigadores de vulnerabilidades: La compañía apoya el marco de Disclose.io que proporciona Safe Harbor para los investigadores preocupados por las consecuencias legales negativas de sus descubrimientos. Kaspersky entiende que los expertos externos proporcionan una valiosa ayuda a la hora de encontrar y reportar vulnerabilidades en sus productos y está dispuesto a proporcionar garantías adicionales para el tratamiento adecuado de los informes de vulnerabilidad.
Centros de Transparencia: Desde el pasado mes de junio, el Centro de Transparencia de Madrid ya está oficialmente abierto a los clientes y socios de Kaspersky, así como a las partes interesadas de gobiernos y reguladores. Al igual que en las instalaciones de Zurich, la empresa ofrece revisiones de código fuente y sesiones informativas de seguridad a medida sobre sus prácticas de procesamiento de datos y el funcionamiento de sus productos.
