Sitwech cumple con el estándar OAuth para la autenticación de sus servicios. Como resultado de este proceso se obtiene un JWT (JSON Web Token) el cual es válido por un tiempo finito.
Para cada invocación a SDE o SDT, es necesario agregar un header de autorización, el cual debe especificarse como establece el estándar RFC-6749.
A continuación, se detalla el funcionamiento del proceso de autenticación. Previamente, se requiere la configuración de clientes de servicio en el portal de administración.
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| userName | String | 1..1 | Cliente de Servicio |
| password | String | 1..1 | Contraseña |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| token | String | 0..1 | JWT (JSON Web Token) obtenido ante una autenticación exitosa |
| message | String | 0..1 | Mensaje de error |
En esta sección se describen los métodos asociados al servicio de encriptación de información.
Operación encargada de cifrar de forma segura la información recibida. Como resultado se obtiene una cadena de texto segura, la cual cuenta con los controles necesarios para asegurar la integridad y confidencialidad de la información.
URI: https://{domain}/crypto/encrypt
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| payload | String | 1..1 | Información sensible a encriptar |
| transactionId | String | 0..1 | Identificador de la transacción (requerido al momento de actualizar información) |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| payload | String | 0..1 | Cadena cifrada obtenida desde Sitwech Data Encryption |
| transactionId | String | 1..1 | Identificador de la transacción realizada |
| message | String | 0..1 | Mensaje de error |
Operación encargada de disponibilizar la información sensible contenida en una cadena cifrada previamente. Se debe tener en cuenta que el resultado de esta operación expone la información sin ningún tipo de control de seguridad.
URI: https://{domain}/crypto/decrypt
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| payload | String | 1..1 | Carga útil a desencriptar |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| payload | String | 0..1 | Información sensible expuesta en texto plano |
| transactionId | String | 0..1 | Identificador de la transacción realizada |
| message | String | 0..1 | Mensaje de error |
Operación encargada de validar la cadena de entrada. Verifica que tanto la cadena como los datos asociados a la misma sean correctos, con el fin de que el cliente pueda verificar la validez de la misma sin exponer información sensible.
URI: https://{domain}/crypto/validate
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| payload | String | 1..1 | Carga útil a validar |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la cadena de entrada ha sido validada correctamente |
| message | String | 0..1 | Mensaje de error |
Operación de borrado de información. Una vez realizada esta operación, no se podrá recuperar la información asociada a los datos de entrada.
URI: https://{domain}/crypto/delete
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| payload | String | 1..1 | Información sensible a borrar |
| transactionId | String | 0..1 | Identificador de la transacción asociada a la información a borrar |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| message | String | 0..1 | Mensaje de error |
En esta sección se describen los métodos asociados al servicio de tokenización de información.
Operación encargada de persistir de forma segura la información recibida y devolver un token como identificador de la misma. La cadena resultante no tiene relación con la información de entrada, la cual se mantiene persistida de forma segura.
URI: https://{domain}/token/tokenize
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| payload | String | 1..1 | Información sensible a tokenizar |
| transactionId | String | 0..1 | Identificador de la transacción (requerido al momento de actualizar información) |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| payload | String | 0..1 | Token obtenido desde Sitwech Data Tokenization |
| transactionId | String | 1..1 | Identificador de la transacción realizada |
| message | String | 0..1 | Mensaje de error |
Operación encargada de obtener la información asociada al token recibido. Se debe tener en cuenta que el resultado de esta operación expone la información sin ningún tipo de control de seguridad.
URI: https://{domain}/token/detokenize
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| token | String | 1..1 | Token requerido para obtener la información sensible |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| payload | String | 0..1 | Información original enviada a Sitwech Data Tokenization |
| transactionId | String | 0..1 | Identificador de la transacción realizada |
| message | String | 0..1 | Mensaje de error |
Operación encargada de validar el token de entrada. Verifica que no se encuentren datos incorrectos en el proceso de recuperación de la información, con el fin de que el cliente pueda verificar la validez del token sin exponer información sensible.
URI: https://{domain}/token/validate
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| token | String | 1..1 | Token a validar |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si el token ha sido validado correctamente |
| message | String | 0..1 | Mensaje de error |
Operación de borrado de información. Una vez realizada esta operación, no se podrá recuperar la información asociada a los datos de entrada.
URI: https://{domain}/token/delete
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| token | String | 1..1 | Token a borrar |
| transactionId | String | 0..1 | Identificador de transacción asociada al token a borrar |
| Parámetro | Tipo | Ocurrencia | Descripción |
|---|---|---|---|
| success | Boolean | 1..1 | Notifica si la transacción ha finalizado correctamente |
| message | String | 0..1 | Mensaje de error |
Módulo encargado de detectar operaciones sospechosas con el fin de percibir comportamientos inusuales y actuar en consecuencia. A continuación, se describen los principales controles con los que cuenta.
Evento ocurrido al realizarse operaciones con un token de autenticación no válido. Las principales causas de este comportamiento se deben a la utilización de tokens de autenticación expirados, alterados o emitidos por entidades no autorizadas.
Sitwech permite asegurar que un cliente de servicio no pueda acceder a información sobre la cual no está autorizado. Además de evitar este tipo de comportamientos, se informa a los administradores de la plataforma para que puedan tomar los recaudos necesarios.
Las operaciones que alteran la información requieren el uso del identificador único de transacción que originó la cadena segura.
En el módulo SDE, Sitwech cuenta con los controles necesarios para validar que la cadena cifrada no haya sido alterada. Si se detecta alguna alteración, se informa en la respuesta de la operación y se genera una alerta en el módulo de anomalías.
La implementación depende de los sistemas del cliente y las necesidades que se deben resolver. Sitwech se esfuerza en seguir los estándares de la industria, lo que facilita la integración con los distintos sistemas que puedan tener nuestros clientes. Además, contamos con un equipo de integración que brinda su apoyo en el proceso, junto con un seguimiento post-lanzamiento para asegurar el correcto funcionamiento de los procesos.
Sitwech es el custodio de la información que los clientes le confían. La información involucrada es propiedad del cliente, el cual puede consultarla, modificarla o borrarla cuando lo crea necesario.
Sitwech se esfuerza en minimizar la latencia de las operaciones. Dependiendo del tipo de despliegue utilizado los tiempos de respuestas pueden variar dentro de niveles aceptables. En caso del modelo Cloud se obtienen respuestas dentro de los 300 milisegundos y en el modelo OnPremise menores a 100 milisegundos.
Implementar una capa de seguridad en los sistemas empresariales no es una tarea trivial. Resulta esencial mantener la información sensible de forma segura, con el fin de brindar confianza y confidencialidad a las personas. Para lograr un servicio que cumpla con los estándares de seguridad, principalmente se necesita dominar la implementación de algoritmos robustos de cifrado, la generación de claves, el control de identidades y el acceso a la información. Sitwech se esfuerza en obtener controles de seguridad robustos en sus servicios, sin perder de vista la facilidad de implementación y uso de los mismos. Además, reduce significativamente el costo y el alcance del cumplimiento.
Si sufre un ataque, Sitwech puede protegerlo de los costos asociados con la pérdida de datos valiosos y confidenciales. Sin embargo, hay que tener en cuenta que la solución debe complementarse con otras medidas para mejorar su seguridad y proteger su entorno. Con una adecuada infraestructura de seguridad y con la implementación de Sitwech, puede estar tranquilo que sus datos, sus clientes y su negocio están a salvo.