La norma ISO/IEC 27017:2015 se ocupa de la implementación de los controles de seguridad específicos para la nube según se detallan en la norma ISO/IEC 27002.
La certificación se obtiene mediante una auditoría independiente anual y ServiceNow cuenta con la certificación ISO/IEC 27017:2015 desde el 2018.
La certificación ISO/IEC 27001:2022 especifica las prácticas recomendadas para la gestión y los controles de la seguridad, según la guía de prácticas recomendadas ISO/IEC 27002. Garantiza que nuestro sistema de gestión de seguridad de la información (ISMS) esté optimizado para mantener el ritmo de los cambios en las amenazas de seguridad, algo esencial en el mundo acelerado de la seguridad de IT.
Cada tres años, se renueva la certificación a través de una auditoría, así como una petición de auditoría de vigilancia anual para demostrar que ServiceNow:
- Diseñó e implementó un ISMS completo.
- Adoptó un proceso de gestión de riesgo continuo a fin de garantizar la puesta en marcha de los controles de seguridad de la información adecuados para abordar los riesgos y el panorama de amenazas en constante evolución.
- Evalúa sistemática y adecuadamente los riesgos de seguridad de la información, teniendo en cuenta varios factores, como el impacto de las vulnerabilidades y las amenazas de las empresas.
ServiceNow cuenta con la certificación ISO/IEC 27001 desde 2012, y el certificado está disponible aquí.
La norma ISO/IEC 27018:2019 es un código de prácticas basado en la norma ISO/IEC 27002 y se ocupa de la protección de la información de identificación personal (PII) en nubes públicas de acuerdo con los principios de privacidad de la norma ISO/IEC 29100.
La certificación se obtiene mediante una auditoría independiente anual y ServiceNow cuenta con la certificación ISO/IEC 27018:2019 desde el 2016.
El marco de trabajo Service Organizational Control (SOC) es una atestación de que ServiceNow cumple el estándar necesario en lo que se refiere a contar con controles para proteger la confidencialidad, la integridad y la disponibilidad de los datos de nuestros clientes en la nube.
-SOC 1 se centra en la efectividad de los controles internos que afectan a los informes financieros de los clientes.
-SOC 2 evalúa los controles relevantes para la disponibilidad, la integridad, la seguridad, la confidencialidad o la privacidad.
ServiceNow se somete a una auditoría por parte de un tercero y mantiene la atestación SSAE 18 SOC 1 Tipo 2 desde el 2011 (la SSAE 18 sustituyó a la SSAE 16 en el 2017). La SSAE 18 se ajusta al estándar internacional ISAE3402 y sustituye al SAS70, ahora en desuso.
El informe SOC 1 de ServiceNow que abarca el período del 1 de octubre (del año natural anterior) al 30 de septiembre (del año natural actual) está disponible a través de ServiceNow CORE al final de cada año natural (diciembre).
El informe del SOC 1 que cubre el período del 1 de abril al 31 de marzo está disponible a través de ServiceNow CORE al final de cada segundo trimestre (junio).
ServiceNow también ha logrado la atestación anual SOC 2 tipo 2 desde el 2013, relevante para los controles de seguridad, disponibilidad y confidencialidad enumerados en los criterios de servicios confiables (TSC, por sus siglas en inglés) del Instituto Americano de Contables Públicos Certificados (AICPA).
El informe SOC 2 de ServiceNow abarca el período del 1 de octubre (del año natural anterior) al 30 de septiembre (del año natural actual) y está disponible a través de ServiceNow CORE al final de cada año natural (diciembre).
Se proporciona una carta puente entre períodos de auditoría de forma que la empresa queda cubierta durante todo el año.
La carta puente de SOC 1 de ServiceNow que abarca el período del 1 de octubre (del año natural actual) al 31 de diciembre (del año natural actual) está disponible a través de ServiceNow CORE al final de cada primer trimestre del año siguiente.
La carta puente del SOC 1 que cubre el período del 1 de abril al 30 de junio está disponible a través de ServiceNow CORE al final de cada tercer trimestre.
La carta puente de SOC 2 de ServiceNow abarca el período del 1 de octubre (del año natural actual) al 31 de diciembre (del año natural actual) y está disponible a través de ServiceNow CORE al final de cada primer trimestre del año siguiente.
El Código de conducta (CoC) de la nube de la UE es un conjunto de requisitos de control diseñados para desarrollar la confianza y la transparencia en el mercado europeo de la computación en la nube y para simplificar el proceso de evaluación de riesgos de los proveedores de servicios en la nube (CSP) para los clientes de la nube. Con el fin de demostrar este cumplimiento, ServiceNow realizó una auditoría interna de más de 80 requisitos del CoC de la nube de la UE y estuvo sujeto a una evaluación externa de ese esfuerzo de auditoría. La validación externa de ServiceNow de la adherencia al CoC en la nube de la UE refleja nuestro compromiso continuo de mantener los estándares más altos de privacidad y seguridad junto con nuestras certificaciones de seguridad y privacidad existentes.
Se verifica que los servicios cumplen con el CoC en la nube de la UE, ID de verificación 2022LVL02SCOPE3113. Para obtener más información, visita https://eucoc.cloud/en/public-register.
La oferta de Government Community Cloud (GCC) de ServiceNow mantiene actualmente una autorización para operar provisional (P-ATO) de línea de base alta del Programa de Administración de Autorizaciones y Riesgos Federales (FedRAMP). Esto permite a ServiceNow acelerar la adopción de nuestras soluciones en la nube segura por parte de los proveedores y organismos federales de Estados Unidos, e implementar un enfoque estandarizado para evaluar, supervisar y autorizar productos y servicios de computación en la nube según la Ley Federal de Gestión de la Seguridad de la Información (FISMA).
GCC recibió la P-ATO inicial del FedRAMP de GCC en agosto del 2019. GCC también cumple con los requisitos de control de PII alta + PHI del Departamento de Defensa (DoD) de nivel de impacto 4 (IL4) y la superposición de privacidad de CNSSI 1253F.
La oferta de Government Community Cloud (GCC) de ServiceNow mantiene actualmente un nivel de impacto 4 (IL4) de autorización provisional (PA) del Departamento de Defensa (DoD). Esto facilita la adquisición de productos de ServiceNow por parte del DoD y la comunidad de inteligencia (IC) de los EE. UU. y establece una línea de base estándar definida por la Guía de requisitos de seguridad (SRG) de computación en la nube (CC) del DoD desarrollada por la Agencia de Sistemas de Información de Defensa (DISA).
ServiceNow recibió su PA inicial del DoD de GCC con IL4 en octubre del 2019. La PA del DoD con IL4 incluye los requisitos de control FedRAMP alto y DoD IL4. La oferta de GCC de ServiceNow también cumple con los requisitos de control de PII + PHI de CNSSI 1253F Privacy Overlay High.
Haz clic aquí para ver ServiceNow en el escaparate de DISA dentro de la sección de ofertas estándar
ServiceNow obtuvo una autorización provisional del Departamento de Defensa de los EE. UU. (DOD) de nivel de impacto 5 (IL5). Esto convierte a National Security Cloud (NSC) de ServiceNow en una de las pocas ofertas de software como servicio y plataforma como servicio (SaaS/PaaS) creadas y autorizadas para cumplir con la rigurosa Guía de requisitos de seguridad de computación en la nube del Departamento de Defensa en el nivel de impacto 5.
La autorización provisional de IL5 acelerará la transformación digital del DoD, ya que permite al DoD, sus socios de misión y organismo federales selectos mover datos altamente confidenciales, incluida la información controlada no clasificada y los sistemas de seguridad nacional sin clasificar, a soluciones basadas en la nube de ServiceNow alojadas en Microsoft Azure Government.
El nivel 3 de MTCS es una certificación que garantiza que ServiceNow cumple los estándares de confidencialidad e integridad de los datos de nuestros clientes en la nube en Singapur. Desarrolla la norma ISO/IEC 27001 y cubre la soberanía, la retención y la disponibilidad de los datos, junto con la planificación de la continuidad empresarial y la recuperación ante desastres.
ServiceNow se enorgullece de haber logrado el nivel 3 de MTCS, el nivel más alto de certificación disponible.
Un evaluador de IRAP avalado evaluó las plataformas australianas de ServiceNow de forma independiente a fin de cumplir con los controles de ISM australianos para datos OFICIALES y PROTEGIDOS. Los servicios en la nube OFICIALES y PROTEGIDOS que evaluó IRAP brindan a los clientes del gobierno australiano confianza en Now Platform, y permiten a ServiceNow interactuar de manera efectiva con las agencias gubernamentales australianas y los proveedores de infraestructura crítica.
Puedes consultar más detalles sobre los clientes regulados australianos aquí: https://your.servicenow.com/microsoftregulatedindustries/australia
ServiceNow y la Ley de servicios digitales de la UE (Reglamento [UE] 2022/2065 del Parlamento Europeo y del Consejo, del 19 de octubre del 2022, sobre un mercado único de servicios digitales y por el que se modifica la Directiva 2000/31/EC):
dirige cualquier comunicación de acuerdo con la Ley de Servicios Digitales de la UE a DSACompliance@ServiceNow.com.
ServiceNow es un participante del programa Data Privacy Framework (DPF). El DPF de UE-EE. UU., la extensión del Reino Unido al DPF de UE-EE. UU. y el DPF de Suiza-EE. UU. fueron desarrollados respectivamente por el Departamento de Comercio de los Estados Unidos y la Comisión Europea, el Gobierno del Reino Unido y la Administración Federal Suiza para proporcionar a las organizaciones estadounidenses mecanismos confiables para la transferencia de datos personales a los Estados Unidos desde la Unión Europea, el Reino Unido y Suiza, a la vez que se garantiza una protección de datos coherente con la legislación de la UE, el Reino Unido y Suiza.
Puedes encontrar más información sobre el Programa Data Privacy Framework aquí (https://www.dataprivacyframework.gov/s/). La política de DPF de ServiceNow está disponible aquí (https://www.servicenow.com/latam/data-privacy-framework.html).
La certificación ISO 9001:2015 especifica las prácticas recomendadas y los controles del sistema de gestión de calidad (QMS), lo que garantiza que una organización ofrezca productos y servicios de manera consistente que cumplan con los requisitos reglamentarios y del cliente. Demuestra nuestro compromiso de mantener estándares de alta calidad y, al mismo tiempo, fomentar la mejora continua en todos los aspectos de nuestras operaciones.
La recertificación se logra a través de una auditoría cada tres años, con una auditoría de vigilancia anual para confirmar lo siguiente sobre nuestra organización:
- Diseñó e implementó un QMS sólido, lo que garantiza que todos los procesos estén alineados con las prácticas recomendadas de la industria.
- Tiene un enfoque centrado en el cliente para garantizar una satisfacción y un compromiso coherentes.
- Mantiene una cultura de mejora continua y utiliza conocimientos y comentarios basados en datos para refinar los procesos e impulsar el rendimiento.
- Evalúa activamente los riesgos y las oportunidades para mejorar la eficacia del QMS y adaptarse a las cambiantes condiciones operativas y del mercado.
La certificación ISO/IEC 20000-1:2018 especifica las prácticas recomendadas para la gestión de servicios de TI (ITSM), lo que garantiza que las organizaciones ofrezcan servicios de TI de alta calidad que satisfagan las necesidades de los clientes y los requisitos reglamentarios. Demuestra nuestro compromiso de gestionar y mejorar la calidad de nuestra prestación de servicios de TI, al tiempo que mantenemos un enfoque en la eficiencia y la satisfacción del cliente.
La recertificación se logra a través de una auditoría cada tres años, con una auditoría de vigilancia anual para confirmar lo siguiente sobre nuestra organización:
- Diseñó e implementó un sistema integral de gestión de servicios de TI (SMS) que se alinea con los estándares de la ISO/IEC 20000-1.
- Supervisa y mejora continuamente el rendimiento y la prestación de servicios de TI, lo que garantiza que se cumplan las expectativas del cliente y los puntos de referencia del sector.
- Garantiza un enfoque sistemático para gestionar los riesgos y las oportunidades relacionados con el servicio, y mantener la alineación con los requisitos cambiantes del cliente y las tendencias tecnológicas.
- Promueve una cultura de mejora continua del servicio (CSI), mediante el uso de comentarios y métricas para optimizar los procesos de servicio de TI y garantizar una prestación de servicios coherente y confiable.
La certificación ISO 22301:2019 describe las prácticas recomendadas para los sistemas de gestión de continuidad empresarial (BCMS), lo que garantiza que las organizaciones estén preparadas para responder eficazmente a las interrupciones y mantener las operaciones empresariales fundamentales. Demuestra nuestro compromiso de salvaguardar la resiliencia y la continuidad de las operaciones ante posibles crisis o emergencias.
La recertificación se logra a través de una auditoría cada tres años, con una auditoría de vigilancia anual para confirmar lo siguiente sobre nuestra organización:
- Diseñó e implementó un BCMS sólido que se alinea con los estándares de la ISO 22301.
- Mantiene un enfoque proactivo para identificar y mitigar posibles amenazas a la continuidad empresarial, lo que garantiza la disponibilidad continua de servicios esenciales.
- Evalúa y prueba sistemáticamente los planes de recuperación para garantizar que sean eficaces para minimizar el impacto de las interrupciones y mantener las funciones empresariales críticas.
- Impulsa la mejora continua
El Esquema Nacional de Seguridad (ENS) es un marco de trabajo de certificación español que establece los criterios y requisitos para garantizar la adecuada protección de la información electrónica en el ámbito de la administración electrónica. Regulado por un decreto de la realeza, el ENS establece normas para las administraciones y entidades públicas, así como para las empresas privadas que procesan datos públicos. El ENS, que clasifica los datos en función de su confidencialidad y de las operaciones realizadas con ellos, define diferentes niveles de medidas de seguridad, desde las básicas hasta las más altas, para garantizar una protección de datos sólida, una gestión de incidentes eficaz y comprobaciones de cumplimiento periódicas a través de auditorías. Esta certificación es esencial para fomentar la confianza en los servicios electrónicos prestados por la administración española y dentro de esta.
ServiceNow reunió los requisitos para cumplir con el nivel “alto” del ENS.