Informe sobre la seguridad de los datos MyQ Roger
Introducción
El objetivo de este documento es informar a los clientes de MyQ Roger sobre los procesos que implican el establecimiento de conexiones en el sistema y sobre las medidas de seguridad adoptadas para proteger la consiguiente transferencia de datos. El documento también proporciona algunos recursos adicionales con más información sobre la seguridad establecida por Microsoft para la plataforma de nube pública Azure.
Información general
La seguridad en la nube para MyQ Roger se ha diseñado teniendo en cuenta todas las normas y mejores prácticas más relevantes del sector.
Hay tres instancias de software que componen el producto MyQ Roger:
el servidor MyQ Roger, que se ejecuta en Microsoft Azure (centros de datos situados en Irlanda y EE.UU.)
el cliente MyQ Roger embedded (EMB), que se ejecuta en el MFP
la aplicación móvil MyQ Roger, que se ejecuta en el smartphone del usuario
el Cliente MyQ Roger, que se ejecuta en el ordenador del usuario.
Todas estas partes del software establecen una conexión entre sí a través del puerto 443 (https://).
El servidor MyQ Roger utiliza los nombres de host https://discovery.myq.cloud/regions, https://eu.roger.myq.cloud y amqps://eu.amqp.myq.cloud.
Verificación del usuario con el servidor a través del cliente EMB
El cliente EMB es una aplicación MyQ instalada en el hardware de la impresora multifunción, que sirve de interfaz de usuario. La comunicación entre el servidor Roger basado en la nube y el cliente EMB se establece para verificar y autenticar al usuario dado con el servidor MyQ Roger (base de datos) y para confirmar la gama de acciones y derechos disponibles para ese usuario dentro del sistema MyQ Roger.
El usuario inicia la sesión de usuario escaneando un código QR dinámico del panel táctil del dispositivo multifunción con la aplicación móvil MyQ Roger. Esto provoca la apertura de una conexión segura entre el cliente EMB y el servidor MyQ Roger. El protocolo de seguridad utilizado es TLS 1.2 y todos los certificados pertinentes se verifican para cada sesión de usuario utilizando Laboratorios SSL donde la calificación global de MyQ Roger es A+ (equivalente a la seguridad de la banca por Internet).
La autenticación del usuario (y del cliente de EMB) se realiza en dos pasos:
El cliente EMB se verifica a sí mismo con el servidor Roger de conformidad con el Concesión de autorización de dispositivos OAuth 2.0. El servidor ya está listo para liberar los trabajos en cola del usuario en el MFP.
El cliente del EMB realiza una solicitud de mando de acuerdo con el Propietario de recurso Contraseña Credenciales Concesión. El usuario puede ahora enviar nuevos trabajos de impresión desde su OneDrive o almacenamiento local y realizar acciones de escaneado en el MFP.
Una vez realizados estos dos pasos, se concede al cliente de EMB el derecho a llamar a funciones disponibles para el usuario autenticado, en nombre del usuario.
Tokens de autenticación
Cuando el usuario se autoriza con el servidor Roger, el servidor emite un único Clave de acceso - una serie de bytes que es imposible vulnerar. Durante la vida del token, que es de unos 20 minutos, los usuarios pueden acceder a las funciones de MyQ Roger sin tener que volver a introducir las credenciales cada vez que realizan otra acción. Los tokens también ofrecen una segunda capa de seguridad a la conexión.
MyQ Roger también admite Actualizar fichas que tienen una vida más larga que los tokens de acceso (3 meses). El MFP utiliza un token de actualización con una caducidad deslizante de 3 meses. Si el MFP no se utiliza durante este periodo, se desconecta del inquilino y no permitirá a los usuarios acceder a MyQ Roger hasta que se vuelva a conectar.
Acceso y conservación de datos
Al conectar la aplicación MyQ Roger a OneDrive for Business del usuario, éste concede a MyQ Roger el derecho a examinar y guardar en las carpetas "Imprimir" y "Escanear" (las crea MyQ Roger si no existen antes de la conexión). Sin embargo, MyQ Roger solicitará acceso a todo el OneDrive del usuario, al igual que otras aplicaciones - esto se debe a una limitación de Microsoft. Los documentos impresos o escaneados no se transfieren a través del servidor MyQ Roger, por lo que el servidor no modifica ni almacena su contenido en modo alguno. El servidor sólo verifica los perfiles de escaneado y las funciones de impresión disponibles del usuario. El intercambio de datos de documentos solo se produce entre el servicio en la nube conectado del usuario (OneDrive para la Empresa a partir de abril de 2021) y el dispositivo multifunción, que suele disponer de herramientas de cifrado propias, en función de las preferencias del cliente.
MyQ conserva la siguiente información sobre trabajos de impresión:
Dirección de correo electrónico del usuario
Nombre completo del usuario o nombre de usuario
Código PIN/contraseña del usuario (hash)
Nombre del archivo del documento impreso
MyQ conserva la siguiente información sobre escanear trabajos:
fecha y hora de la exploración
Toda conservación de datos está sujeta a las leyes y normativas vigentes (por ejemplo, el GDPR).
Recursos de la nube pública Microsoft Azure sobre seguridad de datos
Los datos contenidos en OneDrive for Business del usuario están bajo la protección de Microsoft, como proveedor del servicio en la nube Azure. El whitepaper de Microsoft sobre seguridad en la nube a partir del 31/03/2021 puede consultarse aquí: "Habilitación de la residencia y protección de datos en regiones de Microsoft Azure", y cubre los siguientes temas (aparte de otros):
Cómo protege Microsoft los datos de los clientes frente a accesos no autorizados y cómo gestiona e impugna las solicitudes gubernamentales y otras órdenes de terceros.
Las estrictas políticas y prácticas que sigue Microsoft para la conservación y eliminación de los datos de los clientes.
Cómo el cumplimiento por parte de Microsoft de las normativas y estándares de privacidad ayuda a proteger la privacidad de los datos de los clientes
Encontrará más instrucciones sobre cómo proteger el entorno empresarial del cliente en Microsoft Azure en el documento Centro de seguridad Azure.