Alojamiento e infraestructura
¿Dónde está alojado MyDesk?
MyDesk se entrega como una solución SaaS basada en la nube en Microsoft Azure. Los datos se procesan y almacenan dentro de la UE/EEE, y la documentación describe a Microsoft Ireland Operations como un subprocesador aprobado para alojar aplicaciones y bases de datos.
¿MyDesk es una solución SaaS?
Sí. MyDesk se entrega como una solución SaaS totalmente basada en la nube sin componentes locales como requisito previo para la entrega normal.
¿Cómo se separan la producción y las pruebas?
La producción y las pruebas se llevan a cabo en entornos separados. Si los datos de producción se utilizan excepcionalmente en las pruebas, se describe que el entorno de prueba debe estar sujeto a las correspondientes obligaciones de protección de datos.
¿Cuáles son sus objetivos de recuperación?
En el material de SLA revisado, se indica que RPO y RTO son de hasta 24 horas. Los objetivos finales siguen el acuerdo específico con el cliente y la configuración del servicio.
¿Tiene un procedimiento de rotura de cristales?
Sí. MyDesk describe un procedimiento documentado de rotura de cristales en caso de una violación de identidad o acceso, de modo que el acceso crítico pueda restaurarse de manera controlada en situaciones de emergencia.
Gestión de identidad y acceso.
¿MyDesk es compatible con Microsoft Entra ID?
Sí. MyDesk admite Microsoft Entra ID como gestión central de identidad y acceso y puede utilizar el inicio de sesión único a través de Entra ID.
¿MyDesk admite SSO y MFA?
Sí. El inicio de sesión único se admite a través de Microsoft Entra ID y la MFA se puede aplicar a través de políticas de identidad del cliente. MyDesk también admite escenarios sin contraseña cuando se configura en Entra ID.
¿Qué protocolos de autenticación utiliza MyDesk?
MyDesk describe el uso de OpenID Connect y OAuth 2.0 como mecanismos de autenticación central. En los requisitos individuales de los clientes, también se acepta SAML 2.0 como alternativa, cuando sea relevante.
¿Utilizas cuentas compartidas?
No. MyDesk describe que no se utilizan cuentas de usuario compartidas y que el acceso se basa en identidades únicas para que se puedan rastrear las acciones administrativas.
¿Cómo se gestionan los derechos de acceso?
MyDesk admite la gestión de acceso basada en roles y el principio de privilegios mínimos. Los cambios administrativos y los derechos de acceso se revisan periódicamente y se incluyen en la pista de auditoría.
¿Puede MyDesk imponer el acceso condicional?
MyDesk admite las políticas de acceso condicional del cliente a través de la integración con Microsoft Entra ID, incluidas políticas de ubicación, cumplimiento del dispositivo, riesgo y MFA.
Protección de datos y cifrado
¿Los datos están cifrados?
Sí. MyDesk describe el cifrado de datos en tránsito y en reposo como parte del diseño de seguridad, con TLS en tránsito y estándares de Azure para el cifrado en reposo.
¿Qué datos personales suele tratar MyDesk?
Depende de los módulos activados, pero el material normalmente describe información general del usuario, como el nombre y la dirección de correo electrónico, así como datos relacionados con la reserva, el registro de invitados y la gestión de reuniones.
¿Indgår MyDesk databehandleraftale?
Sí. MyDesk celebra un acuerdo de procesamiento de datos con clientes y cumple con los requisitos relacionados con GDPR, incluidos los artículos 28, 32 y 33.
Cumplimiento y documentación
¿Pueden los clientes obtener documentación para su trabajo de seguridad?
Sí. Si lo solicita, MyDesk puede proporcionar documentación relevante, por ejemplo DPA, declaración NIS2, declaración ISAE 3402 y declaraciones relevantes para respuesta a incidentes y gestión de vulnerabilidades.
¿MyDesk tiene una declaración ISAE 3402?
Sí. MyDesk hace referencia a una declaración ISAE 3402 Tipo 2 actualizada con revisión anual.
¿MyDesk tiene la certificación ISO 27001?
El material revisado describe el cumplimiento de los principios y recomendaciones de la norma ISO 27001. Si se desea un estado de certificación específico, se debe indicar por separado en la página o previa solicitud.
¿Pueden los clientes auditar MyDesk?
Sí. El material describe la posibilidad de documentación, declaraciones de auditoría y, en determinados casos, auditorías o inspecciones adicionales según la base del acuerdo.
Incidentes de seguridad y seguimiento
¿Cómo maneja MyDesk los incidentes de seguridad?
MyDesk tiene un proceso documentado de respuesta a incidentes con monitoreo, clasificación, escalamiento, remediación, comunicación con el cliente y evaluación final. Hay roles definidos para la coordinación, ingeniería, soporte y gestión.
¿Cuándo se informa a los clientes de un incidente de seguridad?
En la declaración de NIS2, MyDesk describe un modelo de alerta temprana con notificación a más tardar 24 horas después del conocimiento de un incidente, actualización de estado dentro de las 48 horas y informe final generalmente dentro de un mes. Los plazos específicos del acuerdo pueden ser más estrictos.
¿Cómo funciona MyDesk con las vulnerabilidades?
MyDesk describe la monitorización continua de vulnerabilidades a través, entre otras cosas, de los boletines de seguridad de Microsoft, análisis automáticos en Azure y notificaciones de proveedores. Las vulnerabilidades críticas se abordan con carácter prioritario.
¿Mantiene registros de acciones administrativas?
Sí. Las acciones administrativas, los cambios de derechos y los cambios de configuración se registran en auditorías y se pueden utilizar para trazabilidad y seguimiento.
¿Cuánto tiempo se guardan los registros?
MyDesk afirma que los datos de registro se almacenan durante un mínimo de 30 días en el entorno MyDesk.
¿Se pueden exportar los registros al SIEM del cliente?
Sí. MyDesk describe la posibilidad de exportar registros operativos y de seguridad al SIEM del cliente, incluido Microsoft Sentinel, en entregas relevantes.
Copia de seguridad y recuperación
¿Cómo maneja MyDesk la copia de seguridad?
MyDesk describe una copia de seguridad diaria mínima y una retención de un mínimo de 30 días. En material más reciente, también se hace referencia a Azure Backup y a la restauración puntual de Azure SQL con una retención mínima de 35 días.
Integraciones y seguridad de aplicaciones.
¿MyDesk es compatible con Microsoft Graph?
Sí. MyDesk se integra con Microsoft 365 y Exchange Online a través de las API documentadas de Microsoft Graph y permisos delegados con privilegios mínimos.
¿La integración requiere derechos de administrador global?
MyDesk describe que la solución no debería requerir derechos de administrador global como modelo operativo permanente. Sin embargo, en ciertos escenarios de incorporación, es posible que se requiera una aprobación inicial del inquilino del cliente.
¿Se puede utilizar MyDesk junto con Outlook?
Sí. El material describe el acceso a través de Outlook para web y escritorio, así como la integración de Microsoft 365. En entregas relevantes, también se admite el acceso móvil y la sincronización casi en tiempo real.
¿Cómo se garantiza la separación de clientes?
MyDesk describe el aislamiento lógico entre clientes para que los datos, la configuración y los derechos de acceso no se compartan.
Subencargados y responsabilidad del cliente
¿Quién es su subprocesador central de datos?
En el material revisado, Microsoft Ireland Operations aparece como un subprocesador de datos aprobado para alojar aplicaciones y bases de datos.
¿Cómo se notifican los cambios en los subencargados?
Los contratos de encargado del tratamiento de datos describen un aviso de al menos un mes para los cambios previstos, de modo que el cliente pueda oponerse antes de que el cambio entre en vigor.
¿Cuál es la responsabilidad del cliente?
Entre otras cosas, el cliente es responsable de la correcta administración de usuarios, las políticas de identidad propias, los datos maestros correctos, los procesos locales y la parte de la infraestructura o del ecosistema de terceros que queda fuera de la responsabilidad operativa directa de MyDesk.
¿Qué canales se utilizan para consultas o incidencias de seguridad?
MyDesk utiliza support@mydesk.io y el teléfono +45 5191 4488 como canales de seguridad e incidentes durante el horario laboral normal (entre semana, de 08:00 a 17:00, hora danesa). Se puede organizar soporte P1 extendido dependiendo de la configuración del servicio del cliente.