Cumplimiento normativo de F5

Todas las nuevas incorporaciones, incluidos empleados y contratistas, deben realizar la formación sobre concienciación en materia de seguridad al incorporarse y, posteriormente, cada año. Los usuarios también deben completar otras formaciones periódicas (trimestrales, anuales, etc.) en función de sus funciones y responsabilidades. Algunos ejemplos de estas formaciones adicionales son: formación sobre el ciclo de vida del desarrollo seguro, privacidad global de los datos, clasificación de datos, gestión de vulnerabilidades, gestión de amenazas empresariales, criptografía y seguridad de las credenciales, etc.


APLICABLE A: Toda la empresa

Los productos de la marca F5 siguen prácticas de desarrollo seguro de software que se ajustan a estándares del sector, como NIST 800-53 y NIST 800-218. Nuestro ciclo de vida de desarrollo seguro de software incluye varios componentes clave, entre otros: modelado de amenazas, revisiones de diseño, revisiones de código, análisis de vulnerabilidades, pruebas de seguridad y pruebas periódicas de penetración de componentes críticos.


SE APLICA A: Enterprise

Sí. Todo el personal de F5 está sujeto a un proceso de selección previo a la contratación y a una verificación de antecedentes, de conformidad con las leyes, normativas y acuerdos contractuales pertinentes. El proceso de selección incluye criterios acordes con los requisitos empresariales, el grado de sensibilidad de las funciones y responsabilidades del puesto y los posibles riesgos asociados a antecedentes desfavorables que puedan indicar un riesgo de robo, fraude o uso indebido de las instalaciones. Si el puesto conlleva un mayor riesgo o visibilidad, como el de director financiero, se requieren comprobaciones adicionales para garantizar que la persona sea idónea para el puesto (por ejemplo, comprobaciones de solvencia). En cuanto a los contratistas, F5 confía en que las agencias de contratación de personal (con las que F5 mantiene contratos vigentes) realicen las verificaciones de antecedentes.


APLICABLE A: Empresas

F5 ha implementado una solución y un programa de prevención de pérdida de datos (DLP). El rendimiento de la solución DLP se supervisa de forma continua y existen procesos para actuar en caso de sospecha de pérdida de datos. La configuración de DLP incluye reglas que prohíben la transferencia no autorizada de información confidencial o personal a sitios externos, como servicios de correo web, blogs, sitios de almacenamiento personal, etc. Las reglas de DLP se revisan periódicamente. La solución DLP también analiza todos los correos electrónicos de la organización.


APLICABLE A: Empresas

Todas las políticas de seguridad de la información se revisan anualmente. Asimismo, todas ellas cuentan con normas, procedimientos y prácticas operativas de apoyo que también se revisan cada año. Tenga en cuenta que existen muchas otras políticas adicionales que respaldan las prácticas empresariales de F5; las que se indican a continuación son las más solicitadas.

• Política de dispositivos móviles
• Plan de respuesta ante incidentes de ciberseguridad
• Política de uso aceptable de la empresa
• Política corporativa de seguridad en la nube
• Política corporativa de controles criptográficos
• Política corporativa de ubicación geográfica
• Política corporativa de gestión de identidades y accesos
• Política corporativa de seguridad de la información
• Política corporativa de acceso no rutinario a los datos
• Política corporativa de aplicación de parches y gestión de vulnerabilidades
• Política corporativa de seguridad para la eliminación de trabajos
• Política corporativa de sanciones
• Política corporativa de desarrollo seguro de software
• Política corporativa de conservación de datos
• Política corporativa de clasificación de la información
• Política de redes empresariales
• Política del programa de recuperación ante desastres de F5

SE APLICA A: Empresas

F5 cuenta con un programa de gestión de incidentes respaldado por un Plan de Respuesta ante Incidentes que se somete a pruebas anualmente. Para conocer las responsabilidades compartidas en relación con las necesidades de gestión de incidentes, consulte el acuerdo contractual vigente con F5.

SE APLICA A: Enterprise

F5 mantiene un programa de gestión de vulnerabilidades y parches respaldado por documentos de políticas y procedimientos. El equipo de ciberseguridad, independiente del grupo de desarrollo, realiza evaluaciones de seguridad de forma rutinaria en los nuevos desarrollos o cuando se produce un cambio significativo en el producto. Al menos una vez al trimestre, se llevan a cabo evaluaciones de vulnerabilidades de la red de producción, la infraestructura que sustenta la producción y los servicios, con el fin de identificar posibles vulnerabilidades de seguridad. F5 utiliza diversas herramientas y servicios para analizar periódicamente nuestras redes (tanto internas como externas), el código fuente o los repositorios, las aplicaciones y otras dependencias, a fin de detectar posibles vulnerabilidades. A continuación, los responsables correspondientes clasifican y corrigen estas vulnerabilidades de acuerdo con el SLA establecido. El SLA se define en nuestra política y en los documentos complementarios, y se basa en diversos factores, entre los que se incluyen las directrices y buenas prácticas del sector, la criticidad o gravedad y los factores propios de nuestro entorno, entre otros. También se utilizan otras fuentes disponibles en el sector y las publicaciones de los proveedores para identificar nuevas vulnerabilidades que puedan afectarnos, y se adoptan las medidas oportunas para clasificarlas y corregirlas.

SE APLICA A: Enterprise

F5 mantiene varios métodos para impedir conexiones no autorizadas (incluido el acceso remoto) a los sistemas y recursos internos. Para acceder de forma remota al entorno y a los sistemas de producción, los empleados deben autenticarse primero mediante nuestra solución corporativa de IAM, que exige autenticación multifactor mediante una contraseña elegida por el usuario y un token de software rotatorio. A continuación, los usuarios deben conectarse mediante nuestra solución corporativa de VPN, que también exige autenticación multifactor mediante una contraseña de usuario y un token de software rotatorio. Tras la autenticación, los usuarios disponen de permisos de acceso basados en roles y de certificados de dispositivo instalados que permiten distintos niveles de acceso a los sistemas y recursos. No se permite el túnel dividido. F5 aplica controles de acceso mediante RBAC, el principio de mínimo privilegio, la necesidad de conocer y la gestión del ciclo de vida de los usuarios.

SE APLICA A: Empresas

Se ha implementado una arquitectura de red multicapa con separación física y lógica de los entornos de producción, DMZ y no producción. Tenga en cuenta que no podemos compartir externamente los diagramas de la red corporativa ni la política de seguridad de red completa, ya que se consideran información confidencial.

SE APLICA A: Enterprise

El Plan de Continuidad del Negocio de F5 se basa en un Análisis de Impacto en el Negocio (BIA) realizado en toda la empresa. El BIA identifica las áreas y los procesos críticos del negocio cuya interrupción podría tener un impacto significativo en las operaciones generales, la reputación o la rentabilidad de la empresa en las 48 horas siguientes al inicio de dicha interrupción. El BIA y el Plan de Continuidad del Negocio tienen en cuenta los recursos críticos necesarios para mantener las operaciones, así como las estrategias para compensar la pérdida o falta de disponibilidad de instalaciones y ubicaciones, personal clave, aplicaciones informáticas y proveedores de servicios externos.

SE APLICA A: Enterprise

Los datos hacen referencia a flujos de transacciones, archivos, almacenes de datos, tablas y resultados utilizados o procesados por la Empresa. Los datos de los clientes se gestionan, procesan y almacenan de conformidad con la normativa aplicable en materia de protección de datos y otras normativas, así como con los requisitos específicos establecidos formalmente en los acuerdos suscritos entre F5 y los clientes o proveedores.

La Empresa ha implementado métodos y protocolos seguros para transmitir información confidencial o sensible a través de redes públicas. El cifrado está habilitado en los almacenes de datos que contienen datos sensibles de los clientes.

Todos los datos de los clientes almacenados o procesados por los servicios de F5 se consideran confidenciales. Los requisitos de F5 para la clasificación y el tratamiento de datos se definen de la siguiente manera:

• Crítico (Confidencial)
• Restringido
• Interno
• Público

SE APLICA A: Enterprise

La supervisión es fundamental para comprender la eficacia de los controles, determinar si funcionan según lo previsto o si deben rediseñarse para adaptarse mejor a los procesos o mejorar su eficacia. El personal directivo y de supervisión es responsable de supervisar la calidad y la eficacia del control interno como parte de sus actividades habituales. Los miembros de los equipos de producto de F5 participan periódicamente en grupos de seguridad y riesgos para evaluar el impacto de las tecnologías emergentes.

SE APLICA A: Enterprise

El Centro de Operaciones de Seguridad (SOC) ofrece asistencia especializada las 24 horas del día, los 7 días de la semana. El Centro de Operaciones de Seguridad supervisa de forma proactiva los servicios empresariales y gestiona activamente las instancias para responder a los ataques en el momento en que se producen.

Los Centros de Operaciones de Seguridad funcionan con un modelo de seguimiento del sol y cuentan con personal suficiente durante el horario laboral habitual de cada región. El Centro de Operaciones de Seguridad opera a escala mundial desde las siguientes ubicaciones: Seattle (EE. UU.), Hyderabad (India), Varsovia (Polonia) y Guadalajara (México).

La información sobre las ubicaciones del SOC puede consultarse en: https://docs.cloud.f5.com/docs-v2/platform/reference/data-residency-locations

SE APLICA A: F5 Distributed Cloud Managed Services

F5 cuenta con un sólido programa de ciberseguridad respaldado por la Política de Seguridad de la Información Empresarial (EISP) y por un amplio conjunto de otras políticas y normas de ciberseguridad. Uno de los objetivos de estas políticas es garantizar que F5 disponga de controles de seguridad adecuados para proteger los datos de nuestros clientes frente al acceso no autorizado, la pérdida y la corrupción. Esta política forma parte integral del Sistema de Gestión de la Seguridad de la Información (SGSI) de F5. Además, está en consonancia con las normas y los marcos del sector, así como con la legislación y la normativa aplicables, incluida la norma NIST 800-53. F5 se somete a una auditoría externa anual en la que se evalúan el diseño de los controles de seguridad, su implementación y su eficacia operativa.

SE APLICA A: Empresa

F5 cuenta con un programa consolidado de gestión de proveedores. Como parte de este proceso, se evalúa a los proveedores de servicios externos en función del riesgo que representan para la empresa y sus datos. El equipo de Ciberseguridad de F5 lleva a cabo una evaluación de riesgos de todos los proveedores que tienen acceso a los datos o sistemas de F5 durante su incorporación y, posteriormente, con carácter anual. También se realiza una Evaluación de Seguridad de Terceros (TPSA) como ejercicio de diligencia debida para evaluar la postura de seguridad de los terceros, ya sean proveedores, socios, clientes, contratistas, consultores o intermediarios. El objetivo es garantizar que sus prácticas de seguridad cumplan los estándares mínimos de seguridad de nuestra organización. Todos los proveedores deben comprometerse a proteger adecuadamente los datos de F5 y de sus clientes. Los acuerdos con proveedores externos incluyen disposiciones destinadas a cumplir los requisitos empresariales y de confidencialidad de F5. El equipo de Cumplimiento revisa los informes y las certificaciones de cumplimiento en materia de seguridad de los proveedores para garantizar que sus controles se ajusten a las políticas y los estándares de F5 durante su incorporación y, posteriormente, con carácter anual.

SE APLICA A: Empresas

Tenga en cuenta que los RTO y RPO establecidos solo se aplican a nuestros servicios SaaS (Distrubuted Cloud, AI Guardrails, AI Red Team, NGINX One, Bot Defense).

• Objetivos de tiempo de recuperación (RTO): Veinticuatro horas
• Objetivos de punto de recuperación (RPO): Seis horas

SE APLICA A: F5 Distributed Cloud Managed Services

F5 cuenta con un equipo de gobernanza de modelos de IA/ML que revisa todos los usos de cualquier modelo empleado en la empresa o incorporado al producto. Se realizan evaluaciones del impacto de los modelos para todos ellos. F5 mantiene una Política Corporativa de Inteligencia Artificial (IA) que está en consonancia con la norma ISO/IEC 42001:2023 sobre tecnología de la información (sistema de gestión de la inteligencia artificial) y que se revisa y actualiza al menos una vez al año.

SE APLICA A: Empresa

Consulte la Declaración de privacidad específica del producto correspondiente: https://www.f5.com/company/policies/privacy-notice

SE APLICA A: Enterprise

Desde documentos para garantizar el cumplimiento normativo hasta guías de servicio, disponemos de diversos documentos de referencia para empleados, proveedores y socios. Consulte los documentos que rigen nuestros productos, servicios de soporte, privacidad y contratos. Puede consultar las políticas y la documentación de F5 en https://www.f5.com/company/policies.

SE APLICA A: Enterprise

Sí, el director de Privacidad supervisa la implementación de nuestro programa de cumplimiento en materia de privacidad y depende del asesor jurídico general. El delegado de Protección de Datos es un abogado externo especializado en protección de datos, contratado por la empresa para defender los intereses de los interesados, que informa al Consejo de Administración y trabaja en coordinación con el director de Privacidad.

SE APLICA A: Enterprise