Seguridad y cumplimiento
Servidores y redes de un solo inquilino, acceso auditado, instalaciones que aportan evidencias y verificación de clientes conforme a las normas de Canadá y de Estados Unidos. Esta página explica cada punto y en qué situación estamos respecto a la certificación.
Nuestro enfoque de la seguridad y el cumplimiento en la nube GPU empieza por el aislamiento: los servidores que alquila son solo suyos y, en los clústeres HGX B300, también lo son las redes. En torno a ello se sitúan las instalaciones que elegimos, cómo se controla y se registra el acceso a su hardware y a quién aceptamos como cliente.
Hardware y redes dedicados
Cada servidor que alquilamos es de un solo inquilino: ningún otro cliente lo utiliza y no hay hipervisor entre su software y las GPU.
Servidores de un solo inquilino
Usted alquila servidores completos. Nunca se dividen entre clientes ni se comparten mediante virtualización.
Un fabric dedicado
En los clústeres HGX B300, el fabric este-oeste entre sus GPU está dedicado a usted, al igual que la red norte-sur.
Sus propias direcciones
En los clústeres HGX B300, direcciones públicas de servicio dedicadas y direcciones SNAT dedicadas, de modo que el tráfico de ningún otro cliente sale desde sus direcciones IP.
Un fabric dedicado significa que su tráfico entre GPU nunca comparte un switch con el tráfico de otro cliente. Las direcciones dedicadas significan que, cuando un socio añade sus direcciones IP a una lista de permitidos, solo le está permitiendo el acceso a usted.
En los clústeres HGX B300 construidos según nuestra especificación de entrega, la red perimetral añade estas protecciones:
- Filtrado de DDoS. Filtrado volumétrico de capas 3 y 4 a cargo de un proveedor consolidado, activado mediante BGP en un plazo de 5 minutos, de al menos 1 Tb/s.
- ACL perimetrales. Listas de control de acceso configuradas según sus reglas, con cambios en un plazo de un día hábil.
- Seguridad del enrutamiento. Autenticación de sesiones BGP y respeto de sus ROA de RPKI cuando la red perimetral anuncia su propio espacio de direcciones IP.
- Unidades cifradas. Si elige nodos de almacenamiento para su propio software de almacenamiento, se admiten unidades de autocifrado.
Qué exigimos a las instalaciones
Antes de ubicar un clúster en una instalación, le pedimos evidencias de cómo está construida y de cómo se opera, no afirmaciones.
Las evidencias pertenecen a la instalación, no a 1Legion. Las pedimos con números de referencia, que se pueden facilitar bajo acuerdo de confidencialidad. Un número de referencia permite comprobar un certificado o un informe con el organismo que lo emitió, algo que no permite un logotipo en un sitio web.
| Evidencias | Qué demuestra |
|---|---|
| Documentación de diseño Tier III | Un diseño con mantenimiento concurrente: los componentes de alimentación y refrigeración pueden mantenerse sin apagar la carga de TI |
| Certificación del Uptime Institute, indicada con precisión | Exactamente qué certificación del Uptime Institute tiene el emplazamiento, ya que el diseño y la instalación construida se certifican por separado |
| TIA-942 | La clasificación del emplazamiento según la norma ANSI/TIA-942 de infraestructura de centros de datos |
| EN 50600 | Conformidad con la serie de normas europeas para instalaciones e infraestructuras de centros de datos |
| SOC 2 | Un informe de un auditor independiente sobre los controles del operador |
| ISO 27001 | Un sistema de gestión de la seguridad de la información auditado conforme a la norma internacional |
También pedimos espacio contiguo en una jaula privada o en una sala dedicada, personal in situ 24/7 desde antes de la puesta en servicio y una red fuera de banda. La lista completa de requisitos está en nuestra página centros de datos.
Control de acceso
El acceso a su hardware se controla y se registra: el acceso fuera de banda se audita y los cambios pasan por una gestión de cambios por escrito.
- Acceso fuera de banda. La vía de gestión hacia el BMC de un servidor, por debajo de su sistema operativo, permite apagar y encender el servidor, cambiar su firmware y abrir su consola. Por eso se audita.
- Gestión de cambios. Los cambios en su clúster siguen un proceso por escrito, de modo que cada uno deja constancia.
- Inventario y detección de desviaciones. Un inventario maestro cubre cada rack, nodo, GPU, NIC, unidad, switch, puerto, transceptor y cable, y la detección de desviaciones señala cualquier diferencia respecto a la configuración de referencia acordada.
Estos controles forman parte de nuestros compromisos operativos por escrito, junto con la respuesta a incidentes y la gestión de fallos de hardware.
Alta y verificación
Verificamos a cada cliente conforme a las normas de control de exportaciones y de sanciones de Canadá y de Estados Unidos, y la empresa que utilizará los servidores rellena tres formularios de alta antes de que se firme ningún contrato.
Los tres formularios de alta
- Alta de clientes y diligencia debida: información de conocimiento del cliente (KYC), incluidos los titulares reales, es decir, las personas que en última instancia poseen o controlan la empresa.
- Certificación de control de exportaciones, sanciones y uso final / usuario final: una declaración firmada de para qué se usarán los servidores y quién los usará.
- Acuse de recibo de la política de uso aceptable: la confirmación de que el cliente ha leído y acepta nuestra política de uso aceptable.
Un intermediario puede hacer llegar los formularios, pero es el usuario final, la empresa que utilizará los servidores, quien los firma.
Normas de verificación
Verificamos a cada cliente conforme a las normas de Canadá y de Estados Unidos, incluido el lugar donde tiene su sede la sociedad matriz última.
- Dónde se pueden usar nuestros servidores. No se permite el acceso desde Cuba, Irán, Corea del Norte, Siria, las regiones de Crimea, Donetsk, Lugansk, Jersón y Zaporiyia, Rusia o Bielorrusia, ni el envío de resultados a ninguno de estos territorios.
- Partes restringidas. Ninguna parte que figure en la lista de nacionales especialmente designados (SDN) de la OFAC, en la Entity List del BIS, en las listas Denied Persons o Unverified ni en las listas de sanciones de la SEMA canadiense o de la ONU. Aplicamos la regla de propiedad del 50 %: una empresa participada en un 50 % o más por partes incluidas en esas listas se trata como si figurara en ellas.
- Sociedad matriz. No aceptamos clientes cuya sociedad matriz última tenga su sede en China, Hong Kong, Macao, Rusia o una jurisdicción sometida a embargo. La norma se remonta hasta la sociedad matriz última, por lo que se aplica aunque la empresa contratante esté constituida en otra jurisdicción.
Nuestro estado de certificación
Estamos trabajando para obtener SOC 2 e ISO 27001. Nuestra documentación de seguridad actual está disponible bajo acuerdo de confidencialidad.
Las evidencias de SOC 2 e ISO 27001 descritas más arriba son las que pedimos a las instalaciones; no son una declaración sobre 1Legion. Para solicitar nuestra documentación, contacte con nosotros.
Uso aceptable
Todos los clientes dan su conformidad a nuestra política de uso aceptable antes de firmar, y la política establece para qué no se pueden usar nuestros servidores.
Incluye las normas de control de exportaciones y de sanciones de esta página y explica cómo hacemos cumplir la política. Lea la política de uso aceptable completa y consulte cómo contratar para ver en qué punto del proceso de contratación se sitúa el alta.
Lo que preguntan los compradores
¿En qué situación están respecto a SOC 2 e ISO 27001?
Estamos trabajando para obtener SOC 2 e ISO 27001. Nuestra documentación de seguridad actual está disponible bajo acuerdo de confidencialidad.
¿Se comparte nuestro hardware con otros clientes?
No. Alquila servidores completos que ningún otro cliente utiliza, sin hipervisor. En los clústeres HGX B300, el fabric este-oeste y la red norte-sur también están dedicados a usted.
¿Qué países y regiones quedan excluidos?
No se permite el acceso desde Cuba, Irán, Corea del Norte, Siria, las regiones de Crimea, Donetsk, Lugansk, Jersón y Zaporiyia, Rusia o Bielorrusia, ni el envío de resultados a ninguno de estos territorios.
¿Aceptan clientes cuya sociedad matriz esté en China?
No. No aceptamos clientes cuya sociedad matriz última tenga su sede en China, Hong Kong, Macao, Rusia o una jurisdicción sometida a embargo.
¿Puede un intermediario rellenar los formularios de alta en nuestro nombre?
Un intermediario puede hacer llegar los formularios, pero es la empresa que utilizará los servidores quien los rellena y los firma.
¿Qué certificaciones piden a las instalaciones?
Documentación de diseño Tier III, certificación del Uptime Institute indicada con precisión, TIA-942, EN 50600, SOC 2 e ISO 27001, con números de referencia y que se puedan facilitar bajo acuerdo de confidencialidad. Pertenecen a la instalación, no a 1Legion.
Solicitar nuestra documentación de seguridad
Nuestra documentación de seguridad actual está disponible bajo acuerdo de confidencialidad.