Política de software 💾#

Propósito y principios rectores#

Esta política regula la adquisición, instalación y uso de todo software en dispositivos propiedad de la empresa o gestionados por ella. Nuestro objetivo es proporcionar a los empleados las mejores herramientas para fomentar la innovación y la productividad, manteniendo a su vez un entorno tecnológico seguro y estable.

• Seguridad ante todo: La integridad de nuestros datos y sistemas es primordial.
• Cumplimiento legal: Solo utilizamos software con la licencia adecuada y aprobado.
• Productividad y colaboración: Estandarizamos las herramientas para garantizar una colaboración fluida en todo nuestro equipo global.

Paquete de software estándar 💻#

Todos los ordenadores proporcionados por la empresa vienen con un paquete estándar de software preinstalado y aprobado para cubrir las funciones empresariales básicas e incluir las últimas actualizaciones de seguridad.

Categorías de aplicaciones principales#

Aunque la lista específica de aplicaciones la mantiene el equipo de Seguridad, el paquete estándar incluye:

• Sistema operativo: La última versión de macOS.
• Paquete de productividad: Aplicaciones básicas para documentos, hojas de cálculo y presentaciones (por ejemplo, Google Workspace, Microsoft Office).
• Comunicación: Herramientas aprobadas por la empresa para correo electrónico, chat y videoconferencias (por ejemplo, Slack, Google Meet).
• Seguridad: Software obligatorio de antivirus, cortafuegos y gestión de dispositivos (Rippling).
• Navegadores web: Navegadores aprobados como Google Chrome con las extensiones de seguridad requeridas.
• Herramientas técnicas: Para roles técnicos y de desarrollo, esto incluye IDEs aprobados, editores de código y otras utilidades de desarrollo.

Aprobación de software y ciclo de vida del proveedor 📥#

Para mantener la seguridad y la compatibilidad, todo software que no esté incluido en el paquete estándar debe ser aprobado antes de su instalación.

Proceso de aprobación e instalación#

1. Aprobación del gerente: Antes de empezar, comprueba si el proveedor ya existe en nuestra Base de datos de proveedores aprobados. Una vez confirmado esto, envía una solicitud de software a tu gerente directo, incluyendo una justificación comercial clara y el coste, si lo hubiera.
2. Enviar solicitud de incorporación de proveedor: Tu gerente o cualquier miembro del equipo en nombre del gerente debe enviar la solicitud a través del Formulario de incorporación de proveedores. Este es un paso obligatorio para comprender los posibles riesgos de las herramientas que utilizamos.
3. Revisión multiequipo: La solicitud será revisada por los equipos de Legal y Seguridad para garantizar una evaluación exhaustiva antes de su aprobación.
4. Aprobación final: Una vez que los equipos de Legal y Seguridad den su visto bueno, tu gerente proporcionará la aprobación final. Puedes realizar un seguimiento del progreso y del estado de la aprobación final a través de esta Vista general de seguimiento.
5. Compra e instalación: Para software de pago, sigue los procedimientos de reembolso estándar.

Gestión continua de proveedores#

1. Realizar seguimiento de cambios de proveedores: Supervisa a tus proveedores aprobados para detectar cualquier modificación importante que pueda afectar a los requisitos de seguridad, financieros o de cumplimiento.
2. Enviar solicitud de cambio: Cuando se produzcan actualizaciones, envía los detalles a través del Formulario de cambio de proveedor. Esto garantiza que nuestro equipo de Legal y Seguridad pueda evaluar cualquier riesgo nuevo. Los cambios clave que deben notificarse incluyen incidentes de seguridad, cambios en las categorías de datos, eliminación de proveedores, cambios en la propiedad de las herramientas o cambios de precio superiores a 500 $/año.
3. Proceso de revisión: Los equipos de Seguridad, Legal y Finanzas evaluarán los cambios para determinar si se necesitan aprobaciones o acciones adicionales.

Proceso de solicitud de acceso a herramientas 🛠️#

Solicitud de acceso#

Los miembros del equipo pueden solicitar acceso a las herramientas a través de Vanta, ya sea mediante Slack o la plataforma Vanta.

Cómo enviar una solicitud#

A través de Slack

• Abre la aplicación Vanta, navega a la pestaña Home (Inicio) y selecciona Submit access request
• Consulta el artículo de ayuda de Vanta para obtener más detalles

A través de Vanta

• Inicia sesión en el portal Vanta de Ultralytics
• Navega a My access requests desde el menú de la izquierda
• Consulta el artículo de ayuda de Vanta para obtener más detalles

Qué incluir en tu solicitud#

Al enviar una solicitud de acceso:

1. Selecciona la herramienta que necesitas
2. Elige el rol de usuario apropiado (si corresponde)
3. Proporciona una justificación comercial clara
4. Si se requieren permisos elevados (por ejemplo, administrador, propietario), especifícalo y explica la necesidad
5. Envía la solicitud para su aprobación

Una vez que el System Approver (aprobador del sistema) apruebe tu solicitud, el System Admin (administrador del sistema) aprovisionará el acceso tan pronto como sea posible. Una vez completado el aprovisionamiento, recibirás una notificación de la aplicación Vanta en Slack, así como un correo electrónico de confirmación.

Flujo de trabajo de solicitud de acceso#

flowchart TD
A@{ label: "Log into Vanta and navigate to <a href='https://app.vanta.com/c/ultralytics/access/systems/request'>My access requests</a> dashboard, or look up Vanta app in Slack, and Submit access request" } --> B{"Did you find the tool you need?"}:::decide
    B -- Yes --> C["Select the tool you need and request access"]:::proc
    B -- No --> D["Follow <a href='https://handbook.ultralytics.com/tools/software/#3-software-approval-vendor-lifecycle'>New Software Approval Process</a>"]:::proc
    n3["Need access to a tool?"]:::start --> A
    C --> n4["Did the Approver approve your request?"]:::decide
    n4 -- Yes --> n1["Admin will provision you access or inform you how to gain access if the tool relies on shared credentials."]:::out
    n4 -- No --> n5["The Approver will provide you with the rejection reason."]:::error

    A@{ shape: rect}
    n3@{ shape: rect}
    n4@{ shape: diam}
    n5@{ shape: rect}

    A:::proc
    classDef start fill:#4CAF50,color:#fff
    classDef proc fill:#2196F3,color:#fff
    classDef decide fill:#FF9800,color:#fff
    classDef out fill:#9C27B0,color:#fff
    classDef error fill:#F44336,color:#fff

Buenas prácticas para los System Approvers#

Los System Approvers pueden revisar las solicitudes de acceso por correo electrónico, Slack o directamente dentro de Vanta. Consulta la guía de Vanta para obtener información adicional.

Directrices de aprobación

• Responde con prontitud: Revisa las solicitudes en el plazo de un día laborable
• Verifica la necesidad: Asegúrate de que el acceso solicitado se ajusta a las responsabilidades del miembro del equipo
• Aplica el menor privilegio: Aprueba solo el nivel de acceso mínimo necesario
• Confirma la justificación: Los roles elevados deben aprobarse solo con una necesidad comercial clara y documentada

Buenas prácticas para los System Admins#

Los System Admins son responsables de aprovisionar el acceso a las herramientas una vez aprobado. El aprovisionamiento no está automatizado y debe completarse manualmente dentro de cada herramienta.

Directrices de aprobación

• Responde con prontitud: Provisiona el acceso en el plazo de un día laborable tras la aprobación
• Verifica la aprobación: Confirma los detalles de la aprobación antes de conceder el acceso
• Concede el privilegio mínimo: Asigna el acceso mínimo necesario a menos que se apruebe explícitamente un nivel superior
• Documenta en Vanta: Marca la solicitud como ‘Provisioned’ (Aprovisionado) una vez que se conceda el acceso. Para obtener asistencia, ponte en contacto con el equipo de Seguridad y Cumplimiento en los canales de Slack #it-support o #compliance.

Política de uso aceptable 🛡️#

Uso empresarial frente a uso personal#

El software y los dispositivos proporcionados por la empresa están destinados principalmente a fines empresariales. No obstante, permitimos un uso personal limitado y razonable siempre que:

• No interfiera con tu rendimiento laboral o tus responsabilidades.
• No comprometa la seguridad o la integridad de los sistemas de la empresa.
• No infrinja ninguna otra política de la empresa.
• No suponga ningún coste adicional para la empresa.

Actividades prohibidas#

Las siguientes actividades están estrictamente prohibidas en los dispositivos de la empresa:

• Utilizar software para cualquier fin ilegal, incluida la infracción de derechos de autor.
• Instalar o distribuir software sin licencia, pirateado o no autorizado.
• Acceder, descargar o distribuir material ofensivo, discriminatorio o pornográfico.
• Eludir o desactivar medidas de seguridad, incluido el software antivirus y MDM.
• Compartir información o datos confidenciales de la empresa a través de plataformas no autorizadas.
• Participar en cualquier actividad que pueda dañar la reputación o los sistemas de la empresa.

Seguridad y cumplimiento 🔒#

Cada empleado comparte la responsabilidad de proteger nuestros activos digitales.

Software de sistema y seguridad#

• Protección antivirus y contra malware: Todos los dispositivos deben tener instalado y ejecutándose en todo momento el software de seguridad aprobado por la empresa. Manipular este software es una violación de la política.
• Actualizaciones del sistema: Mantén tu sistema operativo y todas las aplicaciones actualizados. Habilita las actualizaciones automáticas siempre que sea posible para parchear las vulnerabilidades con prontitud.
• Cortafuegos: El cortafuegos integrado del SO debe estar habilitado en todos los ordenadores.

Seguridad de los datos#

• Manejo de datos sensibles: Utiliza únicamente aplicaciones aprobadas por la empresa y canales seguros y cifrados para almacenar o transmitir información confidencial o sensible.
• Copias de seguridad: Eres responsable de garantizar que tus archivos de trabajo críticos se guarden en soluciones de almacenamiento en la nube aprobadas (por ejemplo, Google Drive) y no solo localmente en tu dispositivo.

Gestión de contraseñas#

• Gestor de contraseñas: Se requiere el uso de un gestor de contraseñas aprobado por la empresa. Esto ayuda a crear y almacenar contraseñas seguras y únicas para cada servicio.
• Autenticación multifactor (MFA): La MFA debe estar habilitada en todas las cuentas que la admitan, especialmente para sistemas críticos como Google Workspace, Slack y Rippling.

Soporte de TI 🤝#

Cómo obtener ayuda#

Si tienes algún problema relacionado con el software, por favor, ponte en contacto en el canal de Slack #it-support.

Acuerdos de Nivel de Servicio (SLA)#

Nuestro equipo prioriza las solicitudes para garantizar que los problemas críticos se gestionen rápidamente.

• Crítico (interrupción de todo el sistema, brecha de seguridad): respuesta en 1 hora
• Alto (persona incapaz de trabajar): respuesta en 4 horas
• Normal (problema menor, solicitud de software): respuesta en 24 horas