Funcionalidades para el cumplimiento de estándares externos

Certificaciones y Cumplimiento con Regulaciones

MongoDB Atlas ofrece diversas funcionalidades y configuraciones para ayudarte a abordar los requisitos de seguridad, cumplimiento y privacidad.

La plataforma de datos MongoDB Atlas se somete a rigurosas auditorías independientes de terceros para verificar sus controles de seguridad, privacidad y organizacionales. Atlas respeta los marcos de cumplimiento incluyendo ISO/ IEC 27001, SOC2 Tipo II, PCI DSS y otros enumerados en nuestro Centro de Confianza de Atlas. Puedes ver y descargar atestaciones, informes de cumplimiento y otra documentación de cumplimiento en nuestro Portal de Confianza del Cliente.

MongoDB Atlas para el gobierno

MongoDB Atlas para Gobierno es una plataforma de datos para desarrolladores multi-nube totalmente gestionado, autorizada en FedRAMP® Moderate, que:

• Utiliza un entorno seguro, totalmente gestionado y dedicado autorizado por FedRAMP®.

• Apoya los requisitos y misiones únicos del Gobierno de los EE. UU.

• Ofrece un conjunto de funcionalidades y la escalabilidad necesaria para modernizar aplicaciones heredadas.

Políticas de recursos de Atlas

Para satisfacer sus requisitos de cumplimiento, las Políticas de recursos de Atlas ofrecen controles a nivel de organización para configurar y gestionar los recursos de Atlas, en conformidad con sus mejores prácticas de seguridad, cumplimiento y operacionales. Los propietarios de organizaciones pueden definir reglas que regulen las acciones de los usuarios al crear o modificar recursos como clústeres, configuraciones de red y los ajustes del proyecto. Recomendamos establecer una política de recursos de acuerdo con los estándares de la empresa al momento de la creación de la Organización.

Las políticas de recursos de Atlas apoyan tus objetivos de cumplimiento al permitirte:

• Aplicar la versión mínima de TLS: Obligatorio usar TLS modernos en todas las implementaciones de Atlas, aumentando la seguridad y mitigando los riesgos asociados con versiones antiguas y menos seguras. Esto garantiza la adhesión a los estándares contemporáneos de cifrado para todos los datos en tránsito.

• Personaliza los cifrados TLS por defecto: selecciona un conjunto específico de cifrados TLS permitidos para optimizar la seguridad según las necesidades operativas, evitando al mismo tiempo las vulnerabilidades asociadas a métodos de cifrado heredados. Esto permite ajustar los protocolos de cifrado para satisfacer requerimientos específicos de cumplimiento.

• Restringir modificaciones de emparejamiento de VPC: Habilita la comunicación segura entre redes a través de conexiones establecidas de emparejamiento de VPC y evita cambios en la configuración. El emparejamiento actual a nivel de proyecto se mantiene activo con sus tablas de enrutamiento existentes y protocolos de seguridad, lo que permite a los clientes visualizar, pero no alterar, estas relaciones uno a uno de VPC y sus mecanismos de control de red asociados.

• Restringir modificaciones de nodos privados: Mantén la conectividad segura del servicio a través de las configuraciones existentes de nodos privados con acceso de solo lectura. Las conexiones a nivel de proyecto siguen funcionando con el esquema actual de direcciones IP privadas, mientras los clientes pueden ver, pero no modificar, estos puntos de conexión de servicio dedicados dentro de su VPC.

• Control de las listas de acceso IP: Evita modificaciones no autorizadas en las listas de acceso IP, garantizando un acceso a la red coherente y controlado a tus bases de datos. Esto fortalece la seguridad de la base de datos al preservar límites de red cuidadosamente definidos y proteger contra cambios accidentales en la configuración.

• Establecer límites de nivel de clúster: Definir las restricciones de implementación estableciendo límites de tamaño máximo y mínimo del clúster a los que los desarrolladores deben adherirse en el provisionamineto de recursos. Este enfoque que establece límites garantiza que los equipos puedan implementar entornos del tamaño adecuado dentro de los parámetros aprobados por la organización, optimizando la utilización de la infraestructura y aplicando políticas de asignación de recursos coherentes en todas las cargas de trabajo del proyecto.

• Establezca el requisito de periodo de mantenimiento: Mejore la estabilidad de la plataforma exigiendo un periodo de mantenimiento para todos los proyectos. Este control de gobernanza permite a las organizaciones establecer un periodo para actualizar predecible (sin especificar un plazo específico) para apoyar el mantenimiento coherente del sistema de acuerdo con las necesidades operativas.

• Configura el proveedor de nube y las regiones: Configura tu proveedor de nube y distribuye los clústeres en varias regiones y proveedores para cumplir con tus requisitos de residencia de datos y garantizar una alta disponibilidad.

• Bloquea el uso de direcciones IP con comodín: Limita el acceso a tu clúster solo a las direcciones IP permitidas explícitamente al no incluir la dirección IP con comodín en tu lista de acceso IP o en las reglas de firewall. La dirección IP comodín es 0.0.0.0/0 y permite el acceso desde cualquier lugar.

Para obtener más información, consulta las Políticas de recursos de Atlas.

El siguiente ejemplo de política de recursos permite crear clústeres en AWS:

{
  "name": "Only Allow Clusters on AWS",
  "policies": [
    {
      "body": "forbid ( principal, action == cloud::Action::\"cluster.createEdit\", resource) unless { context.cluster.cloudProviders   == [cloud::cloudProvider::\"aws\"] };"
    }
  ]
}

El siguiente ejemplo crea un archivo de políticas de recursos de Terraform que puedes usar para aplicar políticas de recursos en tu aplicación. El archivo aplica las siguientes políticas:

• Restringe la modificación del clúster solo a un proveedor de nube especificado.

• Prohíbe el acceso al clúster desde una dirección IP comodín.

• Especifica un tamaño mínimo y máximo para el clúster.

• Evita la modificación de los nodos privados.

resource "mongodbatlas_resource_policy" "restrict_cloud_provider" {
  org_id = var.org_id
  name   = "restrict-cloud-provider"
  policies = [
    {
      body = <<EOF
        forbid (
            principal,
            action == ResourcePolicy::Action::"cluster.modify",
            resource
        )
        unless
          { context.cluster.cloudProviders == [ResourcePolicy::CloudProvider::"<cloud provider name>"] };
      EOF
    },
  ]
}
resource "mongodbatlas_resource_policy" "forbid_project_access_anywhere" {
  org_id = var.org_id
  name   = "forbid-project-access-anywhere"
  policies = [
    {
      body = <<EOF
        forbid (
            principal,
            action == ResourcePolicy::Action::"project.ipAccessList.modify",
            resource
        )
        when {context.project.ipAccessList.contains(ip("0.0.0.0/0"))};
    EOF
    },
  ]
}
resource "mongodbatlas_resource_policy" "restrict_cluster_size: {
    org_id = var.org_id
    name   = "restrict-cluster-size"
    policies = [
        {
            // restrict cluster size to a minimum of M30 and a maximum of M60
            body = <<EOF
               forbid (
                   principal,
                   action == ResourcePolicy::Action::"cluster.modify",
                   resource
               )
               when {
                   (context.cluster has minGeneralClassInstanceSizeValue && context.cluster.minGeneralClassInstanceSizeValue < 30)
                   || (context.cluster has maxGeneralClassInstanceSizeValue && context.cluster.maxGeneralClassInstanceSize > 60)
               };
            EOF
        },
    ]
}
resource "mongodbatlas_resource_policy" "prevent-modifications-private-endpoints" {
  org_id = var.org_id
  name   = "prevent-modifications-private-endpoints"
  policies = [
    {
      body = <<EOF
        forbid (
            principal,
            action == ResourcePolicy::Action::"privateEndpoint.modify",
            resource
        )
        when {context.project.privateEndpoints == [
                \"aws:<VPC_ENDPOINT_ID>",
                \"azure:<PRIVATE_ENDPOINT_RESOURCE_ID>:<PRIVATE_ENDPOINT_IP_ADDRESS>",
                \"gcp:<GCP_PROJECT_ID>:<VPC_NAME>"
            ]};
        EOF
    },
  ]
}

Encriptación

Se puede implementar cifrado para amplificar la seguridad de los datos en todas las etapas del manejo de datos. El cifrado es uno de los requisitos más comunes para garantizar el cumplimiento de las normas de seguridad de la industria, y Atlas ofrece un sólido conjunto de opciones de cifrado para cumplir con los requisitos.

• Por defecto, Atlas cifra los datos en tránsito. Atlas requiere TLS para cifrar las conexiones a tus bases de datos.

• Por defecto, Atlas encripta todos los datos en reposo usando cifrado de disco del proveedor de nube. Cuando se utilizan copias de seguridad en la nube de Atlas, Atlas utiliza AES-256 cifrado para todos los datos almacenados en los S3 buckets de tus clústeres Atlas. Además, Atlas permite usar AWS KMS, AKV y GCP para cifrar los motores de almacenamiento y las copias de seguridad del proveedor de nube. Para obtener más información, consulta Cifrado en reposo con tu gestión de claves.

• Puede usar Encriptación consultable para proteger las consultas sobre datos encriptados en un conjunto selecto de campos sensibles de un documento almacenado en MongoDB. Con Queryable Encryption, la información sensible permanece protegida incluso cuando los usuarios ejecutar consultas sobre los datos.

  Utiliza esquemas de cifrado no determinísticos bien investigados para mantener el equilibrio entre seguridad y funcionalidad.

  Con Queryable Encryption, puedes realizar las siguientes tareas:

  • Cifra los campos de datos confidenciales desde el lado del cliente.

  • Almacenar los campos de datos confidenciales como datos cifrados completamente aleatorios en el lado del clúster de base de datos, ejecutándose con Atlas.

  • Ejecuta las query expresivas sobre los datos cifrados.

  MongoDB completa estas tareas sin que el servidor tenga conocimiento de los datos que está procesando.

  Cuando se utiliza Queryable Encryption, los datos sensibles se cifran durante todo su ciclo de vida: en tránsito, en reposo, en uso, en registros y copias de seguridad. Los datos solo se descifran en el lado del cliente, ya que sólo tú tienes acceso a las claves de cifrado.

  Puedes configurar Queryable Encryption mediante los siguientes mecanismos:

  • Cifrado Automático le permite realizar operaciones de lectura y escritura cifradas sin tener que agregar llamadas explícitas para cifrar y descifrar campos. Recomendamos el cifrado automático en la mayoría de las situaciones, ya que facilita el proceso de escribir tu aplicación cliente. Con el cifrado automático, MongoDB cifra y descifra automáticamente los campos en las operaciones de lectura y escritura.

  • Encriptación explícita le permite realizar operaciones de lectura y escritura cifradas a través de la librería de cifrado de la librería cliente de MongoDB. Debes especificar la lógica para el cifrado con esta librería a lo largo de toda tu aplicación. El cifrado explícito proporciona un control detallado sobre la seguridad, a costa de una mayor complejidad al configurar colecciones y escribir código para las Librerías de clientes de MongoDB. Con el cifrado explícito se especifica cómo cifrar los campos en el documento para cada operación que se realice en la base de datos, y se incluye esta lógica en toda la aplicación.

    Para obtener más información, consulta Uso de cifrado explícito.

Regionalización de datos

Atlas es compatible con más de 110+ regiones en AWS, Azure y GCP. Esta distribución global de ubicaciones admitidas te permite aprovisionar clústeres y almacenar datos que cumplen con tus requisitos de localización de datos. También puedes implementar tus clústeres de Atlas en varias regiones. Cuando implementes un paradigma de implementación multirregional, puedes particionar tus datos para que residan en regiones diferenciadas, cada una situada en una región geográfica diferente. Por ejemplo, puedes almacenar los datos de clientes europeos en Europa y los datos de clientes estadounidenses en EE. UU. Esto le permite flexibilidad en su elección de ubicación de datos y reduce la latencia para los usuarios que acceden a datos desde sus respectivas regiones.

Distribución de Snapshots de copias de seguridad

Puedes distribuir copias instantáneas de seguridad y datos del registro de operaciones (oplog) en varias regiones. Por ejemplo, puedes cumplir con las copias de seguridad de la tienda en diferentes ubicaciones geográficas para permitir la recuperación ante desastres en caso de interrupciones del servicio regionales, o para mantener las copias de seguridad de manera coherente con tus elecciones de localización de datos. Para obtener más información, consulta Distribución de snapshot.

Política de cumplimiento de copias de seguridad

Puedes usar la política de cumplimiento de copia de seguridad en Atlas para proteger datos críticos para el negocio. Esta funcionalidad impide que todos los snapshots de copia de seguridad y los datos de oplog almacenados en Atlas sean modificados o borrados durante un periodo de retención predefinido por cualquier usuario, independientemente de su rol en Atlas.

Esto te ayuda a garantizar que tus copias de seguridad cumplen plenamente con WORM (escritura una vez, lectura muchas veces). Solo un usuario designado y autorizado puede desactivar esta protección después de completar un proceso de verificación con el soporte de MongoDB. Esto agrega un retraso manual obligatorio y un período de enfriamiento para que un atacante no pueda cambiar fácilmente la política de copia de seguridad y exportar los datos. Para obtener más información, consulta Configurar una Política de Cumplimiento de Copias de Seguridad.