Qué ocurre dentro del marco de seguridad de Odoo

Ahora que la IA puede automatizar el escaneo de vulnerabilidades y explotar las debilidades de los sistemas a gran escala, ya no hay margen de error en ciberseguridad. 

Es más importante que nunca garantizar que tu ERP sea a prueba de hackers.

Odoo ha integrado capas de seguridad directamente en su infraestructura central: control de acceso nativo basado en roles, validación de código open source, recuperación ante desastres y más.

Hemos desglosado la infraestructura técnica de Odoo y cómo mantiene tu sistema seguro de forma nativa.

Los 4 pilares de la seguridad de Odoo

Una instalación de Odoo de nivel empresarial no depende de un único firewall. La infraestructura de seguridad de Odoo se apoya en varias capas técnicas que funcionan juntas:

• Control de acceso: una combinación del RBAC nativo de Odoo y la gestión centralizada de identidades (SSO/MFA)
• Despliegue y alojamiento: La infraestructura de Odoo se rige por estrictas políticas de tratamiento de datos y de seguridad en la nube; los usuarios pueden automatizar canales de pruebas para analizar todo el código personalizado antes del despliegue
• Recuperación ante desastres: recuperación a un punto en el tiempo (PITR) con PostgreSQL para evitar la pérdida de datos.
• Cumplimiento: Odoo puede auditarse conforme a las normas internacionales de calidad ISAE e ISO. Además está certificado Odoo Star Level 1 y cuenta con una Política de Divulgación Responsable activa.

La seguridad de Odoo se basa en el principio de acceso mínimo

Para mantener tu sistema seguro, necesitas controlar exactamente quién y qué puede interactuar con él.

La arquitectura de Odoo está diseñada para que los usuarios solo accedan a los datos necesarios para sus tareas, según el principio de mínimo privilegio. 

Odoo carga automáticamente más de 150 grupos de permisos de acceso según el rol del usuario, funcionando en tres capas:

• Roles y grupos: definen qué módulos puede utilizar un usuario, limitando los datos en las vistas y las acciones posibles
• Permisos de acceso: utilizan más de 4000 permisos Create, Read, Update, Delete (CRUD) para regular el acceso a modelos concretos de la base de datos
• Reglas de registro: aplican más de 400 reglas de registro nativas para controlar el acceso a conjuntos de datos individuales; por ejemplo, ejecutando el filtrado estándar de la base de datos para que un usuario solo vea sus propios clientes.

Para la gestión centralizada de identidades, Odoo ofrece cuentas directas, pero también se integra con muchos proveedores de Single Sign-On (SSO):

• Entra ID (Azure AD)
• Active Directory
• Google
• Keycloak
• o cualquier proveedor OAuth2. 

También puedes activar la Autenticación de Dos Factores (2F​A) de forma nativa en Odoo o gestionarla a través de tu proveedor de identidad.

Odoo usa cifrado para mantener tus datos ilegibles 

La criptografía garantiza que, aunque los datos sean interceptados, sigan siendo ilegibles. Odoo se asegura de que tu sistema cuente con cifrado desde el primer momento:

• Datos en tránsito: todo el acceso web a Odoo y la comunicación por API están protegidos por HTTPS con TLS 1.3. Para sistemas externos de clientes, las redes privadas con túneles IPsec u OpenVPN garantizan que las interfaces API nunca tocan la internet pública
• 
  
• Datos en reposo: los campos críticos de la base de datos se protegen con técnicas de cifrado de PostgreSQL, superpuestas al Full Disk Encryption (FDE) a nivel de servidor
• 
  
• Anonimización de datos: la aplicación nativa Data Cleaning de Odoo se usa para localizar datos personales y sustituirlos por valores aleatorios o máscaras. Esto garantiza el cumplimiento del RGPD cuando los desarrolladores necesitan datos realistas en entornos de staging y de pruebas.

Despliegues de Odoo sin riesgo con un canal CI/CD

Para mantener estable tu sistema Odoo, el código personalizado nunca debería subirse directamente a una base de datos en producción. En su lugar, confiamos en canales de entrega totalmente automatizados para gestionar el riesgo.

Así garantizamos despliegues seguros:

• Entornos estrictamente separados: el código avanza de forma segura por entornos aislados de desarrollo, staging y producción, mediante branching definido y contenedores
• Pruebas seguras y anonimizadas: usamos entornos de pruebas aislados con bases de datos anonimizadas. Esto nos permite reproducir y corregir incidencias con seguridad, sin exponer tus datos sensibles.

Aunque Odoo ofrece una base sólida para estos despliegues seguros, podemos ampliarla aún más hasta una infraestructura de seguridad integral y de nivel de producción:

Habla de tus procesos DevOps en Odoo con nuestros expertos

Odoo aborda incidentes y recuperación ante desastres a tiempo real

Cuando un servidor falla o los datos se corrompen, las bases de datos de Odoo se apoyan en procesos de recuperación estructurados para mantener la continuidad del negocio.

• Write-ahead logging (WAL): a nivel de base de datos, todas las transacciones de PostgreSQL se registran de forma continua en archivos WAL
• Copias de seguridad base: se generan con regularidad copias de seguridad completas de la base de datos
• Restauración de la base de datos: En caso de desastre, el sistema aplica los registros WAL a la última copia de seguridad completa válida y restaura la base de datos de Odoo a un punto concreto en el tiempo, con una pérdida de datos casi nula.

La base de seguridad de Odoo garantiza el cumplimiento del RGPD

Un ERP guarda tus datos más sensibles de clientes y empleados. 

La arquitectura de Odoo admite de forma nativa la protección de datos avanzada para ayudarte a demostrar y mantener el cumplimiento del Reglamento General de Protección de Datos (RGPD):

• Licitud del tratamiento (Art. 5, 6, 7, 13–15): Odoo implementa y documenta dobles opt-ins para distintos temas y gestiona listas negras. Gracias a su enfoque de sistema integrado, dispones de información inmediata sobre la legitimidad del tratamiento (por ejemplo, el fin de una membresía) para activar reglas de eliminación
• 
  
• Minimización de datos y limitación de la finalidad (Art. 5): los permisos están estrictamente ligados a la finalidad de la actividad. Odoo incluye funciones de archivado automático para anonimizar o eliminar datos que ya no son necesarios
• 
  
• Derechos de los interesados (Art. 15–22): Odoo reúne los datos personales en un módulo central. Esto hace increíblemente fácil generar resúmenes de datos para solicitudes de acceso, o eliminar y anonimizar datos de forma centralizada para cumplir el «derecho al olvido»
• 
  
• Prueba del cumplimiento (Art. 24): Odoo registra los cambios en los datos mediante completos rastros de auditoría, lo que facilita la creación de informes de auditoría, archivos de registros y documentación
• 
  
• Tratamiento por terceros (Art. 28): las opciones de alojamiento pueden adaptarse estrictamente a los requisitos del Reglamento General de Protección de Datos (RGPD), incluido el alojamiento fuera de la nube pública y con un número mínimo de subencargados.