Resumen de seguridad de Backup & Archive

---

Descripción general

Flosum Backup & Archive está diseñado para ofrecer seguridad de nivel empresarial tanto en entornos alojados por Flosum como en entornos alojados por el cliente. Este artículo proporciona una visión general completa de su arquitectura de seguridad, cubriendo cifrado, configuración de infraestructura, gestión de identidades y prácticas de comunicación segura.

Funciones clave de seguridad

• Cifrado fuerte: Utiliza AES-256 y TLS 1.2+ para garantizar una robusta protección de datos.

• Gestión segura de claves: Las claves de cifrado están protegidas por AWS KMS para mayor seguridad.

• Acceso controlado: Ofrece opciones flexibles de proveedor de identidad para un control de acceso personalizado.

• Compatibilidad: Se integra sin problemas con Salesforce Shield y soluciones VPN, garantizando una seguridad integral.

Estas características garantizan que Flosum Backup & Archive proporcione soluciones de copia de seguridad y archivado seguras y fiables para las necesidades empresariales.

---

Descripción de la arquitectura del sistema

Backup & Archive se ejecuta en una máquina virtual (VM) basada en la nube y admite dos modelos de implementación:

Alojado por Flosum	Flosum aloja la aplicación en infraestructura de AWS.
Alojado por el cliente	El cliente posee y administra la instancia en la nube y la infraestructura.

Componentes principales

• Máquina virtual en la nube:

  • Especificaciones requeridas: 32 GB de RAM, 4 CPU, AWS r5n.xlarge o superior

  • SO: Ubuntu x64

• Registro de dominio y certificado SSL:

  • Requerido para acceso seguro

  • Solo se admite TLS 1.2 o posterior (no SSL)

  • El tráfico HTTPS se gestiona usando NGINX y certificados SSL

• Proxy NGINX:

  • Actúa como puerta de enlace al contenedor Docker de Backup & Archive

  • Gestiona HTTPS y el enrutamiento

• Base de datos MySQL:

  • Almacena datos de configuración (por ejemplo, tokens de acceso, registros de trabajos, información de conjuntos de datos)

  • NO almacena los datos reales de copia de seguridad del cliente

• Opciones de almacenamiento:

  • SSD (gp2/gp3) o AWS S3 (solo para implementaciones en AWS)

  • Admite compresión de archivos para archivos de texto/datos (hasta un 60%)

  • Los archivos binarios no se comprimen

• Soporte VPN:

  • Totalmente compatible

  • No se admite el acceso anónimo

• Compatibilidad con Salesforce Shield:

  • Totalmente compatible; Backup & Archive funciona vía API sin conflicto

---

Cifrado y seguridad de los datos

Gestión de claves

• Claves de cifrado:

  • Almacenadas de forma segura en la Base de datos de Backup & Archive y protegidas por AWS KMS

  • Clave única por organización conectada

  • Las claves son persistentes a través de las actualizaciones de sandbox

• Ciclo de vida de la clave:

  • No pueden rotarse automáticamente

  • Para cambiar una clave, conecte una nueva org de Salesforce

Migración de claves de cifrado para instalaciones alojadas por el cliente

• Generar clave base64 de 32 bytes: openssl rand -base64 32

• Agregar la clave a docker-compose: LOCAL_ORGANIZATION_ENCRYPTION_KEY=<key>

• Actualice la aplicación para completar la migración

Cifrado en tránsito y en reposo

• En tránsito:

  • Todos los datos se transmiten vía HTTPS (SSL/TLS)

  • Cifrado bidireccional entre Salesforce y Backup & Archive

• En reposo:

  • Los datos se cifran usando AES-256 en el almacenamiento en la nube

  • Permanece cifrado incluso cuando se visualiza/exporta

Proceso de descifrado de datos para visualización en la GUI

Cuando el usuario solicita datos cifrados del almacenamiento de Backup & Archive, ocurre el siguiente proceso.

1. La clave de cifrado se recupera de la base de datos de Backup & Archive

2. La clave se almacena en caché en la RAM de la VM

3. El archivo cifrado se descomprime y descifra en memoria

4. Los datos se muestran al usuario en la GUI

5. El archivo en el almacenamiento permanece cifrado

---

Gestión de identidades y accesos

Backup & Archive admite múltiples proveedores de identidad:

• Nombre de usuario y contraseña

• OAuth 2.0

• Inicio de sesión único (SSO)

La app de Configuración global de Flosum se usa para gestionar el acceso a través de entornos alojados de forma segura.

---

Licencias y control de versiones

• Backup & Archive y Flosum DevOps son productos separados

  • Cada uno tiene su propia licencia y número de versión

• Soporte multiorg:

  • Una sola licencia puede administrar múltiples orgs de Salesforce

  • Las orgs adicionales aumentan el almacenamiento requerido y pueden generar costos adicionales

• Verifique la versión actual:

  • Consulte la sección Notas de la versión para la versión actual de Backup & Archive: Backup & Archive