Conectar el correo de tu empresa a un software externo debería ser difícil. Si cualquier herramienta pudiera hacerlo con un par de clics, el problema no sería la herramienta, sería Google. No es el caso. Para que Leads+ pueda trabajar con el correo dentro de la ficha de cada lead, tuvimos que pasar una auditoría de seguridad externa. La hicimos con TAC Security y ya está aprobada. Este post explica qué es eso, qué revisan y por qué debería importarte al evaluar cualquier proveedor, incluidos nosotros.

Qué es CASA

CASA son las siglas de Cloud Application Security Assessment. Es el programa de revisión de seguridad que exige Google a las aplicaciones que piden acceso a datos sensibles de un usuario, como el contenido de su correo. No lo administra Google directamente sino la App Defense Alliance, y se apoya en ASVS de OWASP, que es el estándar abierto que la industria usa para verificar seguridad en aplicaciones.

Sobre el nombre, porque cambió hace poco y genera confusión. El programa usaba niveles llamados Tier 1, 2 y 3. Hoy usa Assurance Levels: AL1 y AL2. Nosotros estamos validados en AL1, que es el nivel que habilita el acceso a datos sensibles como el correo del usuario y que corresponde al antiguo Tier 2.

Y el nivel no lo elige el desarrollador. Lo asigna Google según qué tan sensibles son los datos a los que la aplicación quiere acceder, cuántos usuarios tiene y sus propias señales de riesgo. Uno no puede optar por la versión más liviana.

Qué revisan

La evaluación cubre seis áreas: cómo se autentican los usuarios, cómo se manejan las sesiones, cómo se controla el acceso a los datos, cómo viaja la información entre sistemas, cómo se validan los datos que entran a la aplicación y cómo está configurada la infraestructura.

Traducido a lo que importa: que nadie pueda entrar a la cuenta de otro, que el acceso al correo esté acotado a lo que la empresa autorizó, que la información viaje cifrada, y que no queden puertas abiertas por una mala configuración.

Cómo fue

El laboratorio corre un escaneo de seguridad contra la aplicación en producción, no contra una versión de prueba. De ahí sale un informe de hallazgos. Después viene un cuestionario detallado sobre prácticas de manejo de datos, y hay que corregir todo lo que el informe haya levantado. El laboratorio vuelve a validar, y solo cuando está conforme emite una carta de validación que va a Google.

No se puede elegir a cualquier auditor. Tiene que ser un laboratorio autorizado por la App Defense Alliance, y la lista es corta. TAC Security es uno de ellos y es de los asesores recomendados por Google para este programa.

Y hay que repetirlo

La validación dura doce meses. Cada año hay que volver a pasar por el proceso completo para conservar el acceso. Esto es lo que más nos gusta del programa, aunque sea lo más incómodo. Un certificado que se obtiene una vez y dura para siempre no dice nada sobre cómo está el software hoy.

Qué significa para tu empresa

Que cuando conectes el correo corporativo a Leads+, un tercero independiente ya revisó cómo manejamos ese acceso, con un estándar que no definimos nosotros y ante alguien que puede quitárnoslo. Y que el acceso está acotado a lo que se necesita para que el correo funcione dentro de la ficha del lead. Ni más.

Lo que deberías preguntar

A cualquier software que te pida conectar el correo de tu empresa, incluido el nuestro, hazle tres preguntas. Si pasó el assessment CASA y cuándo fue la última validación. Qué permisos exactos está pidiendo sobre tu casilla. Y qué pasa con esa información si mañana dejas de usar el producto. Si la respuesta a la primera es vaga, ahí ya tienes información.