SOC 2 y el RGPD: qué preguntar a un proveedor de proxies residenciales

Las preguntas que merece la pena plantear a un proveedor de proxies residenciales giran en torno a un tema: cómo se obtiene la red. Las certificaciones indican que un proveedor gestiona bien sus controles, y son importantes, pero lo más útil es comprender cómo se han incorporado las direcciones IP, ya que esa es la base sobre la que se sustenta todo lo demás. Se trata de preguntas legítimas que se pueden plantear a cualquier socio de datos web, incluido Massive. Esta guía le ofrece dichas preguntas en el orden en que debe plantearlas, le indica cómo reconocer una respuesta sólida y, cuando resulte útil, le explica cómo las responde Massive, para que pueda distinguir un proxy residencial que cumpla genuinamente con el RGPD de uno que se limite a utilizar esa terminología. Una red de confianza responderá a cada una de ellas con detalles concretos.

Si es usted quien se encarga de seleccionar un proveedor de datos web, o de explicar esa elección al equipo de seguridad, este artículo está dirigido a usted. Se parte de la base de que conoce los motivos por los que su organización recopila datos web públicos y se centra en las medidas de diligencia necesarias para garantizar que dicha recopilación sea sólida y fácil de defender.

Puntos clave

• El abastecimiento es la primera cuestión, no la última. Las certificaciones confirman que un proveedor aplica sus controles; la solución de gestión de el origen le indica cómo se han incorporado las direcciones IP. Pregunte cómo acceden los dispositivos a la red antes de examinar cualquier credencial.
• La norma SOC 2 tiene un ámbito de aplicación y un tipo, y ambos son importantes. Un informe SOC 2 de Tipo II evalúa los controles a lo largo de un periodo de tiempo; uno de Tipo I es una instantánea de un solo día. Pregunte cuál de los dos se trata, qué periodo abarca y cuáles de los cinco criterios de servicios de confianza cubre.
• El cumplimiento del RGPD implica disponer de una base jurídica y de un acuerdo de tratamiento de datos que pueda firmar. En el caso de una red de servidores proxy, lo fundamental es que la participación de los dispositivos cumpla con los requisitos de consentimiento y que se pueda formalizar un acuerdo de tratamiento de datos que incluya una lista específica de subencargados del tratamiento.
• El registro de auditoría es la prueba de la transparencia. Un proveedor que pueda rastrear una solicitud hasta una fuente que haya dado su consentimiento puede demostrar su trabajo. Esto es lo mismo cadena de custodia Una red de suscripción voluntaria se crea con el fin de ofrecer.
• Un socio sólido acoge con agrado estas preguntas. Una buena diligencia debida se basa en la colaboración, no en la confrontación. El objetivo es confirmar que los cimientos son sólidos, y una red construida sobre ellos responderá con claridad.

Por qué el abastecimiento merece una respuesta concreta

Un proveedor de proxies residenciales ocupa un lugar relevante en su infraestructura: su tráfico sale a través de dispositivos que el proveedor suministra, por lo que la forma en que dichos dispositivos se han incorporado a la red forma parte de sus propios cimientos. Por ello, es importante comprender el proceso de selección de proveedores, ya que no se trata de una mera formalidad, sino de un aspecto relevante y útil.

No todas las redes residenciales se basan en el consentimiento, y precisamente por eso la cuestión del origen merece una respuesta concreta, en lugar de un simple adjetivo. La buena noticia es que una red basada en el consentimiento facilita esta tarea: puede indicar el mecanismo a través del cual sus direcciones IP han dado su consentimiento, señalar las certificaciones que abarcan cada parte de la cadena y describir el registro de auditoría que vincula una solicitud con el dispositivo que ha dado su consentimiento. Plantear las preguntas que figuran a continuación es, sencillamente, la forma de confirmar que esa base existe, y es el tipo de diligencia que un socio sólido espera y valora.

Las preguntas que hay que plantear, por orden

Trabaje estos cuatro grupos de forma secuencial. El grupo de abastecimiento ocupa deliberadamente el primer lugar, ya que constituye la base sobre la que se asienta el resto.

Grupo 1: Obtención de datos y consentimiento

Este es el grupo más importante y el que merece la pena destacar en primer lugar.

• ¿Cómo acceden las direcciones IP a su red? Usted desea un mecanismo específico, un SDK de acceso público y que los usuarios den su consentimiento para un intercambio de valor.
• ¿Qué recibió a cambio el propietario del dispositivo? ¿Se le informó de lo que estaba aceptando? Consentimiento válido en virtud de Artículo 4, apartado 11, del RGPD se otorga de forma voluntaria, es concreto, informado y inequívoco. Un verdadero intercambio de valor es lo que lo hace auténtico.
• ¿Puede un usuario darse de baja? ¿Y qué ocurre cuando lo hace? El artículo 7, apartado 3, del RGPD establece que la retirada del consentimiento debe ser tan sencilla como su concesión. Una respuesta clara refleja un modelo sólido.
• ¿Es posible rastrear una solicitud concreta hasta el dispositivo de origen que dio su consentimiento? Esta es la pregunta relativa al registro de auditoría, y responder «sí» con una explicación es la señal más clara que un proveedor puede dar.

Grupo 2: Certificaciones y lo que abarcan

Ahora, las insignias, con el contexto que les da sentido.

• ¿Cuenta con la certificación SOC 2? ¿Se trata de una certificación de Tipo I o de Tipo II? El tipo II comprueba si los controles han funcionado eficazmente a lo largo de un período de tiempo, de conformidad con el Criterios de servicios de confianza de la AICPA (Seguridad, disponibilidad, integridad del procesamiento, confidencialidad, privacidad). Solicite el informe bajo un acuerdo de confidencialidad (NDA) y compruebe el periodo y los criterios incluidos en el alcance.
• ¿Dispone de alguna certificación que abarque el proceso de inscripción de la aplicación en sí? AppEsteem certifica que las aplicaciones cumplen los requisitos relativos al consentimiento informado independiente, la divulgación de los componentes incluidos y la desinstalación completa. En el caso de una red basada en un SDK, esto constituye una prueba directa del momento en que se otorga el consentimiento.
• ¿Cuenta con la certificación ISO/IEC 27001? Su control A.5.19 sobre las relaciones con los proveedores es relevante, y la certificación pone de manifiesto la existencia de un programa de seguridad bien gestionado.

Grupo 3: Gestión de datos y aspectos jurídicos

Los trámites que facilitan la adopción de esta relación.

• ¿Firmará un acuerdo de tratamiento de datos? ¿Cuál es su base jurídica con arreglo al artículo 6 del RGPD? Usted desea un acuerdo de procesamiento de datos (DPA), y el proveedor debería poder indicar el fundamento jurídico en el que se basa la obtención de los datos.
• ¿Quiénes son sus subencargados del tratamiento y cómo se nos notifica de los cambios? El artículo 28 del RGPD se refiere a las garantías de los encargados del tratamiento y a la notificación de los subencargados. Una lista con los nombres concretos es la solución adecuada.
• ¿Cuál es su compromiso en materia de conservación de datos y notificación de violaciones de seguridad? Usted desea contar con plazos de conservación bien definidos y un calendario de notificaciones que le permita planificar sus actividades en consecuencia.

Grupo 4: Operaciones y Apoyo

Las cuestiones que preocuparán al equipo de seguridad tras la firma.

• ¿Cuál es su proceso de respuesta ante incidentes y cómo podemos ponernos en contacto con una persona durante uno de ellos? Para un comprador empresarial, un canal de asistencia directa es preferible a una cola de tickets.
• ¿Cómo se mantiene su red en buen estado y bajo supervisión? Un proveedor que realiza un mantenimiento activo de su parque de equipos está velando por los cimientos en los que usted confía.

Cómo es una respuesta sólida: cómo responde Massive a cada una de ellas

El objetivo de las preguntas es obtener detalles concretos. Para que quede más claro, a continuación le mostramos cómo las respondería una red sólida, utilizando la nuestra como ejemplo práctico. Considere esto como el esquema de una buena respuesta, no como un guion que deba seguir al pie de la letra.

El aspecto clave que hay que tener en cuenta es la concreción: un proveedor que se sabe que es de fiar responde con mecanismos y documentación. Eso es precisamente lo que agiliza el proceso de diligencia debida, ya que las respuestas están preparadas.

Un cuestionario para proveedores que puede reutilizar

Incluya estas diez preguntas directamente en su próxima evaluación de un socio especializado en datos web. Es legítimo planteárselas a cualquiera, incluidos nosotros mismos:

1. Describa exactamente cómo una dirección IP pasa a formar parte de su red.
2. ¿Qué recibe el propietario de un dispositivo por participar y cómo se le informa de dicha participación?
3. ¿Cómo puede un usuario retirarse y qué consecuencias tiene dicha retirada?
4. ¿Es posible rastrear una solicitud saliente concreta hasta el dispositivo de origen que ha dado su consentimiento? Describa el registro de auditoría.
5. Facilite su informe SOC 2. Indique el tipo, el período de referencia y los criterios incluidos en el alcance.
6. ¿Qué certificación regula el consentimiento y la información que se facilita al dar de alta una aplicación?
7. Indique la base jurídica en virtud del RGPD para la subcontratación y confirme que firmará un acuerdo de tratamiento de datos (DPA).
8. Indique cuáles son sus subencargados del tratamiento y su procedimiento de notificación de cambios.
9. Indique los plazos de conservación de datos y el plazo para la notificación de violaciones de seguridad.
10. Describa su proceso de respuesta ante incidentes y el canal de asistencia disponible durante un incidente.

Un socio que responda a las diez preguntas con detalles concretos es uno al que puede recurrir con confianza. El pilar sobre lo que hace que un red de proxies residenciales ética «De origen ético» le ofrece el marco conceptual que subyace a cada pregunta.

Conclusión

Una buena evaluación de un proveedor de servicios de proxy consiste, en realidad, en confirmar que cuenta con una base sólida, y todo comienza con una pregunta: ¿cómo han dado su consentimiento sus usuarios? Las certificaciones, los acuerdos de tratamiento de datos (DPA) y los cuestionarios existen precisamente para respaldar la respuesta con pruebas, y una red de confianza tiene esas pruebas a su disposición. Pregunte por el mecanismo, el alcance de las certificaciones y el registro de auditoría, y preste atención a los detalles concretos.

Los proveedores en los que merece la pena confiar agradecerán que se les planteen estas preguntas, ya que una red creada a partir de un proceso de adhesión voluntaria y transparente, que cuenta con una auditoría SOC 2 Tipo I, cumple con el RGPD, dispone de la certificación AppEsteem y ofrece un registro de auditoría completo desde el origen hasta la solicitud, está diseñada precisamente para responder a ellas. Para conocer el mecanismo que subyace a ese modelo, lea cómo funciona realmente una red de proxy con suscripción voluntaria, y puede ver cómo una red documenta su situación de cumplimiento en Massive.