Introducción

La clasificación de activos de información de Oracle determina los requisitos corporativos de seguridad de datos para los sistemas gestionados por Oracle. Las políticas de Oracle proporcionan orientación global para controles apropiados diseñados para proteger los datos corporativos, en la nube y de clientes, de acuerdo con la clasificación de los datos.

Los controles de seguridad corporativos de Oracle pueden agruparse en tres categorías: controles de seguridad administrativos, físicos y técnicos.

• Controles administrativos, incluyendo control de acceso lógico y procesos de recursos humanos
• Controles físicos diseñados para prevenir el acceso físico no autorizado a servidores y entornos de procesamiento de datos
• Controles técnicos, incluyendo configuraciones seguras y cifrado para datos en reposo y en tránsito.

Cifrado

El cifrado es el proceso de convertir los datos en ilegibles sin la clave específica para descifrarlos. La Política de Protección de la Información de Oracle define requisitos de alto nivel para proteger los datos mediante cifrado cuando estos están en reposo (en almacenamiento) en laptops, dispositivos y medios removibles.

Oracle tiene estándares corporativos que definen los algoritmos y protocolos criptográficos aprobados. Se requiere que los productos y servicios de Oracle utilicen únicamente versiones actualizadas de implementaciones relacionadas con la seguridad, según las buenas prácticas del sector. Oracle modifica estos estándares a medida que evolucionan la industria y la tecnología, para aplicar, por ejemplo, la eliminación oportuna de algoritmos de cifrado más débiles.

Cifrado de datos

Oracle implementa una variedad de controles de seguridad técnica diseñados para proteger los activos de información en reposo y en tránsito. Estos controles se guían por estándares del sector y se despliegan a través de la infraestructura corporativa:

• Sistemas corporativos como aplicaciones y herramientas de colaboración
• Medios de almacenamiento extraíbles
• Laptops y dispositivos móviles

Gestión de claves de cifrado

Las soluciones para gestionar claves de cifrado en Oracle deben estar aprobadas según el Corporate Security Solution Assurance Process (CSSAP). Oracle define requisitos para el cifrado, incluyendo fortalezas de cifrado, gestión de claves, generación, intercambio/transmisión, almacenamiento, uso y reemplazo. Los requisitos específicos en este estándar incluyen:

• Ubicaciones y tecnologías para almacenar claves de cifrado
• Controles para proporcionar confidencialidad, disponibilidad e integridad de las claves de cifrado transmitidas, como firmas digitales
• Cambio de claves de cifrado predeterminadas
• Calendario de reemplazo para varios tipos de claves de cifrado

Desmantelamiento de servidores y otros recursos informáticos

La Política de Saneamiento y Eliminación de Medios de Oracle define los requisitos para la eliminación de información de medios de almacenamiento electrónico (saneamiento) y la eliminación de información que ya no se necesita, para protegerla contra recuperación y reconstrucción no autorizadas de datos confidenciales. Los medios de almacenamiento electrónico incluyen laptops, discos duros, dispositivos de almacenamiento y medios extraíbles como cintas.