Seguridad en Cal.com
Certificados en ISO 27001, SOC 2 Type II, HIPAA, GDPR y CCPA, con la documentación que lo demuestra.
Cumplimiento
Accede a documentos de cumplimiento, certificaciones y acuerdos de protección de datos
Cómo lo mantenemos así
Como empresa que ha obtenido las certificaciones ISO 27001, SOC 2 Type II, CCPA, GDPR e HIPAA, entendemos la importancia crítica de la seguridad de la información en el entorno digital actual. La frecuencia y sofisticación cada vez mayores de los ciberataques subrayan la necesidad de que las empresas prioricen la seguridad para proteger sus datos y garantizar la confianza de sus clientes. Al aplicar medidas de seguridad y buenas prácticas estándar del sector, demostramos nuestro compromiso firme con la protección de la información sensible y la preservación de la integridad de nuestras operaciones. Nos enorgullecen los rigurosos protocolos de seguridad que tenemos implantados y estamos comprometidos con mantener los estándares más altos de excelencia en seguridad.
¿Cómo se ha conseguido?
Como organización, entendemos la importancia de mantener el cumplimiento de las prácticas y estándares de seguridad. Por eso utilizamos plataformas de automatización de seguridad y cumplimiento para asegurarnos de que seguimos cumpliendo de forma continua y nos ajustamos a los protocolos de seguridad relevantes.
Tenemos una plataforma centralizada que automatiza la evaluación y supervisión de diversos controles y procedimientos de seguridad. Al integrarse con nuestros sistemas y herramientas existentes, nuestras plataformas nos ofrecen una visión completa de nuestra postura de seguridad, identifican posibles problemas y garantizan que estemos siempre al día con los últimos protocolos de seguridad y estándares del sector. Esto nos da la confianza de que seguimos las buenas prácticas del sector y de que ofrecemos un entorno seguro para nuestros clientes y partes interesadas.
¿Qué pasa si algo deja de cumplir los requisitos?
Si algo dejara de cumplir los requisitos, nuestra plataforma de automatización de cumplimiento detectaría el problema y nos avisaría de inmediato. Esto nos permitiría actuar rápidamente para solucionar el problema y volver a cumplir cuanto antes. Al usar una plataforma de automatización de cumplimiento como esta, podemos mantenernos al día con nuestras obligaciones de cumplimiento y tomar medidas proactivas para asegurarnos de que seguimos cumpliendo las prácticas y estándares de seguridad relevantes. Esto nos da la confianza de que ofrecemos un entorno seguro para nuestros clientes y partes interesadas, y nos ayuda a mantener nuestra reputación como organización fiable y de confianza.
Procedimientos y controles
Políticas y procedimientos seguros
Las políticas y procedimientos de seguridad de la información por escrito garantizan que la empresa tenga controles documentados y probados para proteger los datos de los clientes y responder de forma eficaz a incidentes de seguridad.
Pruebas de vulnerabilidad y penetración
Las pruebas periódicas de vulnerabilidad y penetración ayudan a identificar y corregir posibles debilidades de seguridad antes de que puedan ser explotadas por atacantes. Cal.com se somete cada año a una prueba de penetración externa de nuestra aplicación web realizada por un tercero para identificar cualquier vulnerabilidad de seguridad que podamos tener; esto nos permite escalar esos problemas internamente y solucionarlos de inmediato. Se crea un informe oficial para Cal.com indicando que los problemas encontrados ya están corregidos. También realizamos pruebas internas de penetración de forma periódica. Además, usamos escaneos automatizados de vulnerabilidades en nuestro código y sus dependencias.
Cifrado de datos
El cifrado de datos sensibles ayuda a garantizar que los datos no puedan ser accedidos ni leídos por partes no autorizadas. Tener nuestra base de datos cifrada permite que los clientes se sientan seguros al usar nuestro producto, ya que protege los datos tanto en tránsito como en reposo.
Autenticación multifactor
La autenticación multifactor ayuda a evitar el acceso no autorizado a los sistemas de la empresa, lo que contribuye a proteger los datos de los clientes frente a robos o manipulaciones.
Ciclo de vida de desarrollo seguro
La autenticación multifactor ayuda a evitar el acceso no autorizado a los sistemas de la empresa, lo que contribuye a proteger los datos de los clientes frente a robos o manipulaciones. Todos los cambios en nuestra base de código están protegidos con protección de ramas, lo que significa que, para poder enviar un nuevo cambio de código a producción, ese cambio debe haber sido aprobado por otro ingeniero y, además, debe superar una serie de pruebas automatizadas que comprueban problemas de seguridad introducidos por el código o sus dependencias, así como pruebas end-to-end y más. De este modo, ningún actor malintencionado, interno o externo a Cal.com, puede introducir código malicioso gracias a nuestro proceso de revisiones seguras.
Supervisión
La supervisión continua de los registros de acceso al sistema y del tráfico de red ayuda a detectar y responder a posibles incidentes de seguridad, reduciendo la probabilidad de que los datos de los clientes se vean comprometidos.
Formación y concienciación de empleados
Los programas periódicos de formación y concienciación para empleados ayudan a garantizar que estén preparados para gestionar los datos de los clientes de forma segura, reduciendo la probabilidad de errores humanos o brechas de datos intencionadas. Damos prioridad a que se completen de inmediato para todos los nuevos empleados y anualmente para todos los empleados existentes.
Controles de acceso y comprobaciones de antecedentes
Los controles de acceso y las comprobaciones de antecedentes de empleados, proveedores externos y prestadores de servicios ayudan a garantizar que sean de confianza y que se pueda contar con ellos para gestionar los datos de los clientes de forma segura. Se realizan comprobaciones de antecedentes a todas las nuevas contrataciones que la empresa pueda llevar a cabo como forma de que Cal.com gane confianza en el empleado que decidimos contratar. Además, conceder acceso a aplicaciones solo para aplicaciones concretas es importante para mantener el cumplimiento. Cada trimestre revisamos el acceso a aplicaciones y los niveles de acceso de todos los empleados para asegurarnos de que solo tienen acceso a las aplicaciones necesarias para desempeñar su puesto.
Auditorías y evaluaciones de terceros
Las auditorías y evaluaciones periódicas de terceros proporcionan una validación independiente de la eficacia de los controles y procedimientos de seguridad de la información de la empresa, dando a los clientes la confianza de que sus datos se gestionan de forma segura.
Detección de intrusiones
Cal.com utiliza sistemas de detección de intrusiones para supervisar continuamente nuestros sistemas ante posibles amenazas que puedan producirse en cualquier momento. Saber desde las primeras fases que una amenaza podría ser crítica nos permite actuar con rapidez y eficiencia para evitar que cause problemas a corto o largo plazo.
Divulgación de vulnerabilidades
En Cal.com, consideramos que la seguridad de nuestros sistemas es una prioridad máxima. Pero, por mucho esfuerzo que dediquemos a la seguridad de los sistemas, todavía puede haber vulnerabilidades.
Si descubres una vulnerabilidad, nos gustaría saberlo para poder tomar medidas y solucionarla lo antes posible. Te pedimos que nos ayudes a proteger mejor a nuestros clientes y nuestros sistemas.
Vulnerabilidades fuera de alcance:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Ataques que requieren MITM o acceso físico al dispositivo de un usuario.
- Cualquier actividad que pueda provocar la interrupción de nuestro servicio (DoS).
- Problemas de suplantación de contenido e inyección de texto sin mostrar un vector de ataque o sin poder modificar HTML/CSS.
- Suplantación de email SPF
- Falta de cabeceras DNSSEC, CAA o CSP
- Falta de marca Secure o HTTP only en cookies no sensibles
- Enlaces rotos
- Cualquier cosa relacionada con la seguridad de DNS o del email
- Limitación de tasa
- XSS (Cross-Site Scripting)
Nota: Cal.com se reserva el derecho a designar cualquier vulnerabilidad reportada como fuera de alcance.
Qué hacer y qué no hacer
- No ejecutes escáneres automatizados en nuestra infraestructura ni en nuestro panel. Si quieres hacerlo, contáctanos y configuraremos un sandbox para ti.
- No te aproveches de la vulnerabilidad o problema que hayas descubierto, por ejemplo descargando más datos de los necesarios para demostrar la vulnerabilidad o eliminando o modificando datos de otras personas,
- No reveles el problema a otras personas hasta que se haya resuelto,
- No utilices ataques contra la seguridad física, ingeniería social, denegación de servicio distribuida, spam o aplicaciones de terceros, y
Cómo reportar una vulnerabilidad
Puedes reportar vulnerabilidades aquí: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
Dentro del alcance: Cal.com Entorno de QA
Solo los objetivos enumerados a continuación están autorizados para pruebas de seguridad: (editado)
| Objetivo | URL | Tipo |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Pruebas de sitio web |
| Cal.com QA API | https://api.cal.qa/ | Pruebas de API |
Puedes crear y usar varias cuentas de prueba dentro del entorno de QA cuando sea necesario, siempre que utilices únicamente cuentas y datos de prueba que controles.
Una vez que hayamos recibido tu envío, puede haber un retraso en responderte mientras nuestro equipo evalúa el problema.
Proporciona información suficiente para reproducir el problema, de modo que podamos resolverlo lo antes posible. Normalmente, bastará con la dirección IP o la URL del sistema afectado y una descripción de la vulnerabilidad, pero las vulnerabilidades complejas pueden requerir una explicación adicional.
- Si has seguido las instrucciones anteriores, no emprenderemos ninguna acción legal contra ti en relación con el informe
- Trataremos tu informe con estricta confidencialidad y no transmitiremos tus datos personales a terceros sin tu permiso
- Te mantendremos informado del progreso hacia la resolución del problema
- En la información pública relativa al problema notificado, indicaremos tu nombre como la persona que descubrió el problema (a menos que prefieras lo contrario)
- Nos esforzamos por resolver todos los problemas lo antes posible y nos gustaría desempeñar un papel activo en la publicación final sobre el problema una vez resuelto.