Seguridad

UiPath® goes to great lengths to ensure that data related to your RPA projects remains safe and secure, without exception. When using UiPath® Task Mining, your data benefits from multiple layers of security and governance technologies, operational practices, and compliance policies that UiPath® enforces.

UiPath® Task Mining is comprised of four main components: the recording application, Data Preprocessor, Analyzer, and Admin Portal. Together these components run studies on the tasks performed by users in your environment. From these studies, UiPath® Task Mining will identify a list of tasks that are good candidates for automation and produce a detailed process map for the tasks. These studies are controlled by your system administrator and the data collected during the studies is encrypted to ensure your users’ privacy is not violated.

Principios de diseño del servicio

El portal de administración y el analizador se ofrecen a través de un modelo de software como servicio (SaaS) construido y alojado en Microsoft Azure. Todos ellos utilizan los servicios principales de Azure, como la informática, el almacenamiento, la red, la base de datos SQL, la configuración de aplicaciones, el almacenamiento secreto en Key Vault y la gestión de identidades y accesos.

This allows us to focus on the unique aspects of running UiPath® services while taking advantage of, and building upon, Azure’s state-of-the-art capabilities in security, privacy, and compliance. We also utilize the industry certifications available through Azure.

At UiPath®, we share the responsibility of protecting your data with Azure and strictly adhere to the guidance they publish.

Cifrado de datos

Ciframos todos los datos de los clientes en reposo en cualquier almacén de datos que forme parte de nuestro servicio. Por ejemplo, utilizamos un cifrado de datos transparente en las bases de datos SQL.

Todos los datos se transmiten a través de canales protegidos, tanto si viajan por Internet como dentro de nuestros componentes de servicio internos.

Aislamiento de datos del tenant

Los datos de cada tenant están lógicamente separados de los demás en nuestro servicio, de modo que podemos aplicar controles de acceso y autorización para todos los tenants cuando acceden a los datos dentro de nuestro servicio.

Privacidad

UiPath® collects two categories of data from users to operate and improve Task Mining Services:

1. Customer data: Includes user-identifiable transactional and interactional data that we need to operate the service and to manage your contract with UiPath®
2. Registros generados por el sistema: incluye datos de uso del servicio que pueden ser agregados y contener piezas de datos del cliente

From a GDPR standpoint, UiPath® is considered a data processor. As such, we honor all obligations of a data processor by providing customers with full control over their data, in accordance with the product architecture and implementation.

Nos hemos asegurado de poder exportar todos tus datos si lo solicitas. Si cierras tu cuenta con UiPath Task Mining o solicitas la eliminación de los datos, los eliminaremos de nuestros sistemas una vez transcurrido el periodo de eliminación suave requerido de 30 días.

Residencia y control de datos

Sabemos que a nuestros clientes les importa mucho la ubicación de los datos. Serviremos todo el contenido y almacenaremos todos los datos para el usuario en la región que coincida con los requisitos de ubicación y soberanía del usuario de pago. Para ver el conjunto actual de regiones compatibles, visita Residencia de datos. Es posible que sigamos añadiendo regiones adicionales a medida que veamos crecer nuestra base de clientes.

Nota:

La residencia de datos se aplica ya que ahora estamos usando el servicio cognitivo de Microsoft para el enmascaramiento de PII y esto funciona en relación con la región del tenant.

Prácticas de seguridad y cumplimiento

UiPath® addresses the following aspects of security and compliance in order to help prevent breaches and uphold the highest standards for data security, privacy, and availability:

Endurecimiento de los sistemas

Task Mining uses Azure's Platform-as-a-Service (PaaS) offering for much of its infrastructure. PaaS automatically provides regular updates for known security vulnerabilities.

Ciclo de vida del desarrollo seguro

UiPath® security and development teams work hand in hand to address security threats throughout the development process of Task Mining.

Los equipos modelan amenazas durante el diseño del servicio. Se adhieren a las mejores prácticas de diseño y código y verifican la seguridad en el producto final utilizando un enfoque múltiple que aprovecha las herramientas construidas internamente, las herramientas comerciales de análisis estático y dinámico, las pruebas de penetración internas y los programas externos de recompensa por errores.

We also monitor vulnerabilities introduced in our codebase through third-party libraries and minimize our dependency on these libraries and corresponding exposure. Because the security landscape is continually changing, our teams stay current with the latest in best practices. We also enforce annual training requirements for all engineers and operations personnel working on UiPath® cloud services.

Disponibilidad del servicio y de los datos

Ensuring that UiPath® Task Mining services are available so you can access your organization’s assets is of the utmost importance to us. That is why we rely on Azure’s backup mechanism and practice data recovery.

We employ other fail-safes to help ensure availability. A malicious distributed denial-of-service (DDoS) attack, for example, could affect Task Mining service availability. Azure has a DDoS defense system that helps prevent attacks against our service. It uses standard detection and mitigation techniques such as SYN cookies, rate limiting, and connection limits.

El sistema está diseñado no solo para resistir ataques desde el exterior, sino también desde dentro de Azure.

Pruebas en vivo en las instalaciones

Emulamos las tácticas de los adversarios en nuestros servicios y la infraestructura subyacente utilizando equipos rojos internos.

El objetivo es identificar las vulnerabilidades del mundo real, los errores de configuración y otras brechas de seguridad de forma controlada para poder probar la eficacia de nuestras capacidades de prevención, detección y respuesta.

Respuesta a incidencias de seguridad

Nos esforzamos por minimizar la superficie de ataque de nuestros servicios y hacemos todo lo posible para reducir la probabilidad de que se produzca una violación de datos. Sin embargo, los incidentes de seguridad pueden ocurrir.

En caso de que se produzca una violación, utilizamos planes de respuesta de seguridad para minimizar la fuga, pérdida o corrupción de datos. Ofrecemos transparencia a nuestros clientes durante todo el incidente. Nuestro equipo de seguridad y SRE 24x7 está siempre disponible para identificar rápidamente el problema y comprometer los recursos necesarios del equipo de desarrollo para contener el impacto del incidente.

Una vez que el equipo ha contenido el problema, nuestro proceso de gestión de incidentes de seguridad continúa, ya que identificamos la causa raíz y hacemos un seguimiento de los cambios necesarios para garantizar la prevención de problemas similares en el futuro.

Control de acceso a la producción

Mantenemos un control estricto sobre quién tiene acceso a nuestro entorno de producción y a los datos de los clientes.

El acceso solo se concede al nivel de menor privilegio requerido y solo después de que se proporcionen y verifiquen las justificaciones adecuadas. Si un miembro del equipo necesita acceso para resolver un problema urgente o desplegar un cambio de configuración, debe solicitar acceso Just-in-Time al servicio de producción.

El acceso es revocado tan pronto como se resuelve la situación. Se realiza un seguimiento de las solicitudes de acceso y de las aprobaciones. Si alguna vez nos robasen el nombre de usuario y la contraseña de uno de nuestros desarrolladores o personal de operaciones, los datos seguirían estando protegidos porque utilizamos la autenticación de dos factores para todos los accesos al sistema de producción.

Gestión de secretos

Los secretos que utilizamos para gestionar y mantener el servicio, como las claves de cifrado, se gestionan, almacenan y transmiten de forma segura a través del portal de gestión de Azure.

Todos los secretos se rotan con una cadencia regular y se pueden rotar bajo demanda en el caso de un evento de seguridad.

With a solid foundation for security and privacy, UiPath® is working towards obtaining industry certifications and accreditations over the next year, which include Veracode continuous for our Cloud Platform, ISO 27001:2013, and ISO 27017, CSA Star and SOC 1 Type 2.

Tanto el Portal de Administración como el Analizador se entregan a través de un modelo de Software como Servicio (SaaS) que está construido y alojado en Microsoft Azure. Todos ellos utilizan los servicios principales de Azure, como la informática, el almacenamiento, la red, la base de datos SQL, la configuración de aplicaciones, el almacenamiento secreto en Key Vault y la gestión de identidades y accesos. Compartimos la responsabilidad de proteger sus datos con Azure y nos adherimos estrictamente a las directrices que publican.

Garantías de seguridad

To find out Task Mining security assurances check out the UiPath® Security page.