REQUISITOS DE SEGURIDAD

Seagate y la Empresa han celebrado un acuerdo para la compra de bienes y/o servicios en forma de contrato marco, orden de compra u otro documento contractual que incorpora estos Requisitos de Seguridad por referencia (colectivamente, los "Acuerdo”). Todos los términos definidos en el Acuerdo conservarán su significado original a menos que se defina lo contrario en estos Requisitos de seguridad. Todas las referencias en el Acuerdo a "Seagate”, “Cliente”, “Cliente” o referencias similares, se referirán a la empresa de Seagate identificada en el Contrato. Todas las referencias en el Acuerdo a "Proveedor”, “Contratista”, “Empresa”, o referencias similares, se referirán a la Empresa identificada en el Acuerdo.

LA EMPRESA ACEPTA LOS SIGUIENTES REQUISITOS DE SEGURIDAD:

1. DEFINICIONES
   1. “Solución External” hace referencia a cualquier servicio, aplicación, software o servicio gestionado y alojado por un proveedor externo fuera de la infraestructura interna de Seagate. La solución External es responsable de todo el mantenimiento, las actualizaciones y la seguridad. Seagate accede a la solución External a través de Internet y confía en la solución External para el rendimiento, la disponibilidad y el soporte del sistema.
   2. “Datos de Seagate” se refiere a cualquier dato, incluida la información personal de Seagate (definida a continuación), propiedad intelectual, secretos comerciales u otros datos, creados, poseídos o proporcionados por Seagate o para Seagate, a los que la Empresa tenga acceso, obtenga, use, mantenga o procese. en relación con cualquier acuerdo entre las partes y/o sus Filiales.
   3. La “Información Personal perteneciente a Seagate” se refiere a todo tipo de información que se relacione con una persona natural identificada o identificable que cree, sea propiedad o proporcione Seagate o sea para Seagate, o a la que un proveedor tenga acceso, o que obtenga, utilice, conserve o procese en conexión con un contrato entre las partes o sus Filiales.
   4. “Acuerdo de privacidad de datos de Seagate” se refiere a los términos que se encuentran en: https://www.Seagate.com/legal-privacy/electronic-and-physical-security-and-data-protection/. Sin embargo, si las partes acordaron términos de privacidad de datos distintos del Acuerdo de privacidad de datos de Seagate como se define en este documento, entonces las referencias al Acuerdo de privacidad de datos de Seagate se referirán a los términos de privacidad de datos acordados mutuamente en el Acuerdo.
   5. “Infracción de seguridad” se refiere a (a) el hecho de que la Empresa no manipule, administre, almacene, destruya o controle adecuadamente, o el acceso o la divulgación no autorizados por parte de la Empresa de: (i) Datos de Seagate en cualquier formato; (ii) información corporativa de terceros en cualquier formato específicamente identificado como confidencial y protegido por un acuerdo de confidencialidad o contrato similar; o (iii) del directorio de contraseñas de Services; (b) una infracción involuntaria de la política de privacidad de la Empresa o una apropiación indebida que resulte en la infracción de cualquier ley o normativa de privacidad de datos aplicable; (c) cualquier otro acto, error u omisión por parte de la Empresa en su calidad de tal que sea razonablemente probable que dé lugar a la divulgación no autorizada de los Datos de Seagate.
   6. “Seagate Systems” significa cualquier red o equipo informático, aplicaciones o programas de software que Seagate proporcione o ponga a disposición de la Empresa (o sus subcontratistas o agentes) en relación con la ejecución del Acuerdo o cualquier otro acuerdo con Seagate, incluidos, entre otros, los equipos de ingeniería y fabricación., equipos de prueba, equipos de red, sistemas informáticos, software y los parámetros de configuración especificados o implementados por Seagate para el correcto funcionamiento de los Sistemas Seagate o la prestación de los Servicios.
   7. “Sistema Enclave” hace referencia a los equipos gestionados por Seagate desplegados dentro de las instalaciones designadas por la Empresa (p. ej., centros de fabricación, áreas de configuración). Un Seagate Enclave extiende de forma segura la red interna de Seagate a un sitio de la empresa a través de cortafuegos administrados por Seagate y conmutadores de control de acceso a la red (NAC). Estos conmutadores aplican estrictas políticas de conexión, restringiendo la conectividad exclusivamente a los activos registrados, como los dispositivos y sistemas autorizados por Seagate. Este entorno controlado por Seagate dentro de las instalaciones de la Empresa permite que los activos y dispositivos de Seagate se comuniquen de forma segura directamente con la red corporativa de Seagate.
   8. “Sistema no Enclave” se refiere a escenarios en los que los usuarios designados por la Empresa acceden a las aplicaciones de forma remota sin equipos físicos administrados o propiedad de Seagate en sus sitios. Esto incluye dos escenarios distintos:
      1. No enclave con túnel VPN: Ciertas ubicaciones designadas por la Empresa mantienen túneles VPN directos y solo de salida para casos de uso especializados, como enviar trabajos de impresión desde los sistemas internos de Seagate directamente a las impresoras propiedad de la Empresa ubicadas en los sitios de la Empresa, que no se administran ni controlan como activos de red de Seagate. Estos túneles VPN solo admiten tráfico saliente.
      2. No Enclave sin conexión de red directa: Redes designadas por la empresa que permanecen completamente aisladas de la red de Seagate, con acceso limitado a plataformas alojadas por Seagate y orientadas a Internet como Citrix Workspace u otros portales seguros basados en la web. En este escenario, la Empresa recibe acceso a través del sistema Business Partners Account Services ("BPAS") y no existe una conexión directa de capa de red entre Seagate y la infraestructura de la Empresa.
2. REQUISITOS GENERALES DE SEGURIDAD DE DATOS
   1. La Empresa establecerá y mantendrá un Programa de seguridad de la información por escrito integral ("WISP”) que incluye salvaguardas de seguridad técnicas y organizativas diseñadas para proteger los Datos de Seagate (tal como se definen en el Anexo de seguridad) contra el uso accidental, no autorizado o ilegal, la destrucción, la pérdida, la alteración, la divulgación, el acceso u otro procesamiento no autorizado. El WISP debe cumplir con los requisitos especificados en los acuerdos con Seagate, incluido el Acuerdo de privacidad de datos de Seagate. Previa solicitud, la Empresa proporcionará a Seagate una copia de su WISP, incluidas las actualizaciones durante el período de contratación. El WISP, junto con los servicios, controles y procesos relevantes, debe alinearse con los estándares de la industria y los marcos de seguridad reconocidos como SOC 2, ISO 27001 o NIST para garantizar una gestión integral de riesgos, protección de datos y cumplimiento de normativas.
3. INFORMES Y CERTIFICACIONES REQUERIDOS
   1. Informe SOC 1 Tipo 2. Si la Empresa proporciona Servicios que involucran Datos de Seagate relacionados con informes financieros, entonces la Empresa debe proporcionar a Seagate un informe SOC 1 Tipo 2 para dichos Servicios. Este informe debe cubrir los estándares y controles de la Empresa específicos de los servicios prestados. La Empresa deberá entregar una copia del informe SOC 1 Tipo 2 a Seagate (a) antes del comienzo de los servicios y (b) anualmente, a más tardar el 15 de junio de cada año. El informe debe cubrir al menos 9 meses del año fiscal de Seagate y entregarse a Seagate dentro de los 90 días posteriores al período cubierto por el informe.
   2. Informe SOC 2 Tipo 2. Si la Empresa proporciona Servicios que implican Soluciones External, la Empresa debe proporcionar a Seagate un informe SOC 2 Tipo 2 para dichos Servicios. Este informe debe cubrir los estándares y controles de la Empresa específicos de los servicios prestados. La Empresa deberá entregar una copia del informe SOC 2 Tipo 2 a Seagate (a) antes del comienzo de los servicios y (b) anualmente cuando se solicite.
   3. Cartas de puente SOC. Previa solicitud, proporcione cartas puente de SOC para confirmar la continuidad de los controles de seguridad entre los períodos de auditoría de SOC.
   4. ISO 27001. Si la Empresa proporciona Servicios que implican Soluciones External, entonces la Empresa debe proporcionar certificaciones ISO 27001 cuando se soliciten Servicios que impliquen Soluciones External.
   5. ISO 20243. Si la Empresa: a) proporciona un producto comercializado a Seagate para su uso en la creación, prueba, fabricación o soporte de productos de Seagate; o b) prestando servicios en los productos comercializados por Seagate, entonces la Empresa obtendrá una certificación de cumplimiento con la norma ISO 20243, también conocida como la certificación Open Trusted Technology Provider Standard (O-TTPS), que mitiga los productos falsificados y contaminados maliciosamente. Será una certificación autoevaluada o se basará en la evaluación de un auditor independiente acreditado (cuya suficiencia se evalúa a discreción exclusiva de Seagate). Alternativamente, si la Empresa lo solicita por escrito y Seagate lo aprueba por escrito, la Empresa obtendrá una certificación de cumplimiento con un estándar de la industria sustancialmente equivalente que aborde el desarrollo seguro y las prácticas de la cadena de suministro.
   6. Cumplimiento de PCI. Si la Empresa proporciona Servicios que implican el procesamiento de tarjetas de pago, la Empresa debe proporcionar pruebas que validen el cumplimiento de los Estándares de seguridad de datos de PCI cuando se solicite.
4. Datos de Seagate
   1. Políticas y procedimientos de seguridad. Mantener políticas que garanticen que los Datos de Seagate se recopilen, alojen, transmitan y almacenen de forma segura para evitar el acceso no autorizado, el robo o la divulgación.
   2. Integridad de los datos. Garantizar que los datos de Seagate permanezcan intactos, completos y actualizados durante el procesamiento, la transmisión y el almacenamiento, sin alteraciones no autorizadas.
   3. Segregación de datos lógicos. En entornos de múltiples inquilinos, asegúrese de que los datos de Seagate se segreguen de forma segura utilizando técnicas estándar de la industria como la partición, la contenedorización y la microsegmentación, lo que garantiza que cada inquilino solo pueda acceder a sus propios datos.
   4. Control de acceso. El acceso a los datos de Seagate se restringirá a través del control de acceso basado en roles (RBAC), que otorga a los usuarios, proveedores externos e inquilinos solo el acceso necesario para sus roles específicos. Se realizarán revisiones trimestrales para garantizar que los permisos se alineen con las responsabilidades actuales, y se aplicará la segregación de funciones para mantener el mínimo privilegio.
   5. Segregación del entorno de datos. Los datos de Seagate no se utilizarán en entornos de prueba o desarrollo.
   6. Supervisión y registro. La supervisión, el registro y la auditoría continuos del acceso a los datos de Seagate se aplicarán para detectar y responder a actividades no autorizadas en tiempo real.
   7. Seguridad y confidencialidad de los datos de IA. El sistema de IA deberá seguir las prácticas de seguridad estándar del sector para proteger la confidencialidad, la integridad y la disponibilidad de todos los datos, incluidos los datos de Seagate. Los datos de Seagate se almacenarán de forma segura, se cifrarán durante la transmisión y en reposo, y se manejarán de acuerdo con las regulaciones de privacidad pertinentes. Los datos de Seagate no se utilizarán para entrenar o mejorar los modelos de IA sin el consentimiento explícito.
   8. Datos en tránsito. Asegúrese de que los datos de Seagate transmitidos a través de las redes estén cifrados mediante TLS 1.3.
   9. Datos en reposo. Cifre los datos de Seagate en reposo utilizando algoritmos seguros (por ejemplo, AES-256), utilizando claves de cifrado únicas para cada cliente o conjunto de datos.
   10. Exportación de datos. Proporcionar datos de Seagate en un formato accesible cuando se solicite durante un máximo de 90 días después de la terminación del contrato.
   11. Eliminar datos Destruya de forma segura los datos de Seagate en un plazo de 90 días tras confirmar la migración o la decisión de no migrar. Proporcionar a Seagate un certificado de destrucción firmado si se le solicita.
   12. Obligaciones de conservación. Notificar a Seagate si se requiere legalmente que conserve los datos y destruirlos o devolverlos una vez que finalice la obligación.
   13. Solicitudes de datos. Cumplir con las solicitudes de datos de Seagate para auditorías, investigaciones o según lo exija la ley.
   14. Notificación de ubicación. Previa solicitud, proporcionar a Seagate las ubicaciones donde se almacenan y procesan los datos de Seagate.
5. Infracción de seguridad
   1. Notificación de incumplimiento. Notifique a Seagate tan pronto como sea posible ([email protected]), pero en ningún caso más de 72 horas después de detectar cualquier Infracción de seguridad. La notificación debe incluir la naturaleza de la infracción, los sistemas afectados, los datos comprometidos y los pasos de mitigación.
   2. Administrador de seguridad. Asigne personal designado con roles claros para gestionar las obligaciones de seguridad.
   3. Acceso al personal de seguridad. Proporcionar acceso a Seagate al personal de seguridad adecuado para revisar y resolver problemas relacionados con la seguridad.
6. Subcontratistas y Subprocesadores
   1. Requisitos de diligencia debida y auditoría del subcontratista. Asegurarse de que los subcontratistas acuerden por escrito cumplir con las obligaciones de seguridad de la información de la Compañía.
   2. Responsabilidad. La Empresa sigue siendo totalmente responsable de las acciones de sus subcontratistas y subprocesadores, garantizando su rendimiento y asegurándose de que cumplan con todas las obligaciones contractuales, de seguridad y de privacidad relacionadas con el procesamiento de los Datos de Seagate.
   3. Divulgación de aplicaciones de terceros y subprocesadores. Previa solicitud, proporcionar a Seagate una lista detallada y actualizada de todas las aplicaciones, plataformas o servicios de terceros, incluidos los subprocesadores, involucrados en el procesamiento o la interacción con los Datos de Seagate o la prestación de servicios relacionados con las operaciones de Seagate.
   4. Evaluaciones de riesgos. La Empresa analizará, evaluará y documentará periódicamente la postura de seguridad de todos los subcontratistas y subprocesadores que manejen los Datos de Seagate, garantizando que los riesgos identificados se mitiguen de inmediato. Los informes de dichas evaluaciones se pondrán a disposición de Seagate si así lo solicita.
7. GESTIÓN DE LA IDENTIDAD
   1. Autenticación federada y SAML SSO. Requerir la autenticación federada IdP (Azure) de Seagate mediante el estándar SAML v2.0 para todos los servicios que la admitan.
      1. Inicio de sesión único (SSO). Integración con SSO de Seagate mediante SAML v2.0 cuando corresponda.
      2. Gestión de tokens y sesiones. Valide los tokens de autenticación y gestione las sesiones de forma segura, asegurándose de que los tokens de sesión estén protegidos y se invaliden correctamente al cerrar la sesión.
   2. Autenticación no federada. Si los servicios de la Empresa no son compatibles con el estándar de federación SAML v2.0, se deben cumplir las siguientes medidas alternativas:
      1. Autenticación y autorización. Autentique y autorice de forma segura a los usuarios antes de concederles acceso.
      2. Contraseñas seguras. Proteja las contraseñas utilizando bases de datos cifradas y algoritmos hash sólidos como bcrypt o PBKDF2. Las contraseñas deben tener al menos 12 caracteres e incluir una combinación de letras mayúsculas y minúsculas, números y caracteres especiales.
      3. Requisito de cambio de contraseña. Solicitar a los usuarios que cambien las contraseñas predeterminadas y las contraseñas proporcionadas como parte de un proceso de restablecimiento de contraseña al iniciar sesión por primera vez.
      4. MFA. Proporcionar autenticación multifactor (MFA) como parte de la autenticación de usuario de Seagate.
   3. Comunicación segura. Utilice protocolos de comunicación seguros para todas las comunicaciones relacionadas con la autenticación, como las que transmiten credenciales, tokens de autenticación o identificadores de sesión, y asegúrese de que estén cifradas con TLS 1.3 o superior.
   4. Control de acceso. Implemente un control de acceso basado en roles para la autenticación federada y no federada.
   5. Cumplimiento y supervisión. Registre y supervise todos los eventos de autenticación que involucren a los usuarios de Seagate.
8. ENTORNO Y EQUIPO
   1. Seguridad Física. Restrinja el acceso físico a las instalaciones que albergan Seagate Data o Seagate Systems, incluidos los centros de datos y la infraestructura crítica, solo al personal autorizado. Implemente registros de visitantes, control de acceso, controles de acceso seguro (p. ej., acceso biométrico o con credencial), control climático, seguridad contra incendios y Sistemas de vigilancia ininterrumpida.
   2. MFA. La Empresa deberá hacer cumplir la MFA utilizando claves TOTP o U2F para el Acceso remoto a los sistemas que alojan los Datos de Seagate.
   3. Seguridad del sistema y gestión de parches. Asegúrese de que todos los equipos, servidores y sistemas tengan antivirus actualizados, parches de seguridad oportunos y refuerzo del sistema. Los parches críticos deben aplicarse en un plazo de 7 días, y todos los demás parches deben aplicarse en un plazo de 30 días.
   4. Supervisión y auditoría. Implementar una supervisión continua de los sistemas y realizar auditorías periódicas para garantizar el cumplimiento de las políticas de seguridad e identificar las vulnerabilidades.
   5. Gestión de incidentes. Mantener un proceso de gestión de incidentes de seguridad, incluidas las fases y los plazos formales de respuesta a incidentes.
   6. Gestión de cambios. Mantener un proceso de gestión de cambios que incluya la segregación de funciones en la gestión de cambios, la documentación, las pruebas, la revisión y la aprobación de cambios en los sistemas o la infraestructura.
   7. Concienciación y formación sobre seguridad. Proporcionar formación periódica sobre concienciación sobre seguridad para todo el personal que maneje datos de Seagate, que abarque temas como las prácticas recomendadas de gestión de datos, la seguridad basada en roles, la concienciación sobre el phishing y la respuesta a incidentes.
9. Seguridad de la Red
   1. Seguridad de la Red. Implemente la seguridad de la red asegurándose de que se aplica el principio de privilegios mínimos.
   2. Cortafuegos y ACL. Configure cortafuegos y listas de control de acceso (ACL), permitiendo solo el acceso y los protocolos esenciales para la prestación del servicio.
   3. IDS/IPS. Implemente sistemas de detección de intrusiones (IDS) y sistemas de prevención de intrusiones (IPS) para detectar y responder a actividades sospechosas.
   4. Registro. Mantenga registros detallados de las actividades de la red para la auditoría y la investigación de incidentes.
   5. Sistema de Administración principal (KMS). Gestione de forma segura las claves de cifrado mediante un sistema de Administración principal (KMS) para garantizar la generación, el almacenamiento, la rotación y el control de acceso adecuados.
10. EVALUACIONES DE VULNERABILIDAD Y RIESGO
    1. Evaluaciones de vulnerabilidad y pruebas de penetración (VA/PT). Realizar evaluaciones periódicas de vulnerabilidades y pruebas de penetración en aplicaciones y sistemas, internamente o a través de proveedores externos, según sea necesario.
    2. Evaluaciones de riesgos. Evaluar periódicamente los riesgos potenciales para los datos de Seagate y los sistemas internos, priorizando las vulnerabilidades en función de la gravedad.
    3. Mitigación inmediata. Abordar de inmediato cualquier vulnerabilidad de seguridad crítica identificada.
11. AUDITORÍAS Y PRUEBAS
    1. Seagate se reserva el derecho de auditar y probar los procesos, controles, privacidad y medidas de seguridad de la Empresa para garantizar la integridad, disponibilidad y confidencialidad de los Servicios.
    2. Las auditorías pueden incluir análisis de red no intrusivos sin previo aviso y pruebas técnicas (por ejemplo, penetración, carga, denegación de servicio) con consentimiento previo. Seagate no accederá a los datos que pertenezcan a otros clientes y puede utilizar auditores externos bajo obligaciones de confidencialidad. La Empresa debe abordar de inmediato cualquier deficiencia identificada.
12. REQUISITOS DE SEAGATE ENCLAVE: Además de las Secciones 1-11 anteriores, los requisitos enumerados en esta Sección 12 se aplican a los sistemas Enclave de Seagate.
    1. Controles de acceso físico: La Empresa deberá proporcionar a Seagate una sala separada y dedicada o una jaula segura con controles de acceso para segregar físicamente los Sistemas de Seagate y los Datos de Seagate de los sistemas y datos que no son de Seagate.
    2. Seguridad de la Red.
       1. La Empresa se asegurará de que los Sistemas de Seagate estén separados de cualquier sistema, activo y tecnología de la Empresa (incluidos cortafuegos, conmutadores, probadores y otros dispositivos) en el sitio de la Empresa.
       2. La Empresa se asegurará de que Seagate Systems no se conecte a las redes de la Empresa o de sus otros clientes que no sea a través de una conexión VPN aprobada y autorizada por Seagate al Proveedor de servicios de Internet de la Empresa ("ISP”).
       3. Seagate puede seleccionar un ISP diferente a su entera discreción mediante notificación por escrito a la Empresa.
    3. Seguridad de los sistemas.
       1. Seagate proporcionará a la Empresa el equipo y la infraestructura necesarios para acceder a Seagate Systems para prestar los Servicios.
       2. El uso por parte de la Empresa de o acceso a los Sistemas de Seagate, y b) el uso de cualquier equipo proporcionado (o aprobado por Seagate), será únicamente para proporcionar los Servicios establecidos en el Acuerdo y cualquier SOW aplicable y cumplirá con los términos del mismo.
       3. La Empresa no modificará, cambiará, alterará, eliminará ni moverá ningún Sistema de Seagate, incluidos los ajustes de configuración, los ajustes de red físicos y/o lógicos o los puertos de red, las tomas de corriente y cualquier conexión física, sin la aprobación previa por escrito del Departamento de Seguridad de la Información de Seagate en [email protected].
       4. La Empresa proporcionará todo el soporte de TI necesario para que Seagate instale y gestione de forma remota los equipos de Seagate, como cortafuegos, conmutadores, servidores, estaciones de trabajo, etc.
    4. Desmantelamiento de Enclave. Tras la rescisión o finalización de los Servicios, todos los Sistemas de Seagate se devolverán a Seagate, a menos que Seagate indique lo contrario. Cualquier Dato de Seagate en los sistemas de la Empresa o el Sistema Enclave de Seagate debe destruirse de forma segura y permanente, con un certificado de destrucción firmado que se proporcionará a pedido. Además, si no se devuelve algún equipo, Seagate se reserva el derecho de cobrar una tarifa por el valor del equipo en ese momento.
13. REQUISITOS DE ACCESO NO ENCLAVE DE SEAGATE: Además de las Secciones 1-11 anteriores, los requisitos de seguridad enumerados en esta sección 13 se aplican a los sistemas Seagate Non-Enclave:
    1. Límites de acceso. El acceso a los Sistemas de Seagate por parte de la Empresa solo está permitido según sea necesario para prestar los Servicios en virtud del Acuerdo o cualquier Formulario de pedido o SOW aplicable. La Empresa no deberá acceder a los Sistemas de Seagate ni a los Datos de Seagate, ni intentar acceder a ellos, sin la autorización por escrito del Departamento de Seguridad de la Información de Seagate en [email protected]. Queda prohibido el uso personal de cualquiera de los Sistemas de Seagate por parte de la Empresa.
    2. VPN. Solo los métodos de red privada virtual (VPN) aprobados por el Departamento de Seguridad de la Información de Seagate en [email protected]. serán utilizados por la Empresa para acceder a los Sistemas de Seagate desde fuera de la red de Seagate. Quedan prohibidos los métodos alternativos para acceder a los Sistemas Seagate desde redes públicas.
    3. Licencias de software. Todo el software instalado y utilizado por la Empresa con el fin de cumplir con las obligaciones en virtud del Acuerdo o proporcionar los Servicios debe adquirirse, licenciarse y usarse de manera adecuada y legal de acuerdo con el acuerdo de licencia aplicable. La Empresa eximirá de responsabilidad a Seagate, defenderá e indemnizará por cualquier reclamación o acción que surja del uso de dicho software de acuerdo con las obligaciones de indemnización del Acuerdo.
    4. Gestión de contraseñas. Si corresponde, las contraseñas utilizadas por la Empresa para el uso de los Sistemas de Seagate deberán cumplir con los estándares de gestión de contraseñas de Seagate y la Empresa evitará la divulgación de dichas contraseñas a personas no autorizadas.
    5. Uso de sistemas que no sean de Seagate. El uso por parte de la Empresa de cualquier Sistema que no sea de Seagate, incluido el equipo de videoconferencia con capacidades de transferencia electrónica de datos, no puede conectarse o usarse para comunicarse con Seagate o cualquier Sistema de Seagate.
    6. Ubicaciones seguras. El personal de la Empresa trabajará únicamente en ubicaciones seguras y autorizadas, tal como se establece en los procesos y procedimientos de la Empresa.