Política de Seguridad

Última actualización: 29 de julio de 2024

En Decidecifras nos comprometemos a proteger la seguridad de la información de nuestros usuarios, clientes y socios. Esta Política de Seguridad describe las medidas técnicas y organizativas que aplicamos para salvaguardar los datos y sistemas bajo nuestra responsabilidad.

1. Alcance

Esta política se aplica a todos los sistemas, plataformas, aplicaciones y servicios operados por Decidecifras, así como a todos los empleados, contratistas y terceros que accedan a dichos sistemas o gestionen información en nombre de la organización.

2. Principios Generales de Seguridad

Nuestra estrategia de seguridad se basa en los siguientes principios fundamentales:

Confidencialidad: la información solo es accesible para personas autorizadas.
Integridad: los datos se mantienen precisos y completos, protegidos frente a modificaciones no autorizadas.
Disponibilidad: los sistemas y datos están accesibles para los usuarios autorizados cuando los necesitan.
Mínimo privilegio: cada usuario o proceso dispone únicamente de los permisos estrictamente necesarios para realizar su función.
Defensa en profundidad: se aplican múltiples capas de controles de seguridad para reducir el riesgo global.

3. Seguridad de la Infraestructura

3.1 Entorno de Alojamiento

Los servicios de Decidecifras se alojan en centros de datos que cumplen estándares reconocidos del sector. Los entornos de producción están lógicamente separados de los entornos de desarrollo y pruebas para minimizar el riesgo de exposición accidental.

3.2 Seguridad de la Red

Se emplean cortafuegos y listas de control de acceso para filtrar el tráfico entrante y saliente.
Las redes internas están segmentadas para limitar el movimiento lateral en caso de incidente.
Se utilizan sistemas de detección y prevención de intrusiones para monitorizar el tráfico en busca de actividad anómala.
Los puertos y servicios innecesarios permanecen deshabilitados por defecto.

3.3 Gestión de Parches y Actualizaciones

Los sistemas operativos, bibliotecas y dependencias de software se mantienen actualizados mediante un proceso de gestión de parches. Las actualizaciones de seguridad críticas se aplican con carácter prioritario dentro de los plazos establecidos en nuestra política interna.

4. Control de Acceso

4.1 Autenticación

Se exige el uso de contraseñas robustas para todas las cuentas de usuario y de administración.
La autenticación multifactor (MFA) está habilitada para el acceso a sistemas críticos y paneles de administración.
Las credenciales se almacenan utilizando funciones de hash criptográfico con sal; nunca en texto plano.

4.2 Gestión de Privilegios

El acceso administrativo se limita al personal que lo requiere para el desempeño de sus funciones.
Los privilegios se revisan periódicamente y se revocan cuando dejan de ser necesarios.
Las acciones realizadas con cuentas privilegiadas quedan registradas en logs de auditoría.

4.3 Acceso de Terceros

Los proveedores y socios externos que requieran acceso a nuestros sistemas lo obtienen bajo acuerdos formales que incluyen obligaciones de seguridad. Dicho acceso se limita al mínimo necesario y se revisa de forma periódica.

5. Cifrado de Datos

5.1 Datos en Tránsito

Toda la comunicación entre el navegador del usuario y nuestra plataforma se cifra mediante TLS (Transport Layer Security). No se admiten versiones obsoletas de protocolos de cifrado.

5.2 Datos en Reposo

Los datos sensibles almacenados en nuestras bases de datos y sistemas de almacenamiento se cifran utilizando algoritmos estándar del sector. Las claves de cifrado se gestionan mediante procedimientos seguros que incluyen rotación periódica.

6. Seguridad de las Aplicaciones

6.1 Ciclo de Desarrollo Seguro

La seguridad se integra en todas las fases del ciclo de desarrollo de software.
El código es revisado internamente antes de su despliegue en producción.
Se realizan pruebas de seguridad periódicas, incluyendo análisis estático de código y revisiones de dependencias.

6.2 Protección contra Vulnerabilidades Comunes

Aplicamos controles específicos para mitigar las vulnerabilidades más habituales en aplicaciones web, entre ellas:

Inyección de código (SQL, comandos, etc.)
Cross-Site Scripting (XSS)
Cross-Site Request Forgery (CSRF)
Exposición de datos sensibles
Configuraciones inseguras

6.3 Pruebas de Penetración

Se realizan evaluaciones de seguridad y pruebas de penetración de forma periódica, ya sea mediante equipos internos o proveedores externos especializados. Los hallazgos se priorizan y se abordan conforme a su nivel de riesgo.

7. Gestión de Incidentes de Seguridad

7.1 Detección y Respuesta

Disponemos de procedimientos documentados para la detección, clasificación, contención y resolución de incidentes de seguridad. Los sistemas de monitorización operan de forma continua para identificar actividades sospechosas.

7.2 Notificación

En caso de que se produzca un incidente de seguridad que afecte a datos de usuarios, notificaremos a los afectados y, cuando proceda, a las autoridades competentes, dentro de los plazos aplicables y conforme a nuestras obligaciones legales.

7.3 Registro de Incidentes

Todos los incidentes de seguridad se registran, investigan y documentan. Las lecciones aprendidas se incorporan a la mejora continua de nuestros controles y procedimientos.

8. Copias de Seguridad y Continuidad del Servicio

Se realizan copias de seguridad de los datos de forma automática y periódica.
Las copias de seguridad se almacenan en ubicaciones separadas y se cifran.
Los procedimientos de restauración se prueban regularmente para verificar su efectividad.
Disponemos de planes de continuidad del negocio orientados a minimizar el impacto de interrupciones no planificadas.

9. Seguridad Física

Los centros de datos utilizados por Decidecifras disponen de controles de acceso físico, videovigilancia y sistemas de detección de intrusiones. El acceso físico a los equipos está restringido al personal autorizado.

10. Formación y Concienciación

Todo el personal recibe formación en materia de seguridad de la información al incorporarse a la organización y de forma periódica a lo largo de su relación laboral. Se promueve una cultura de seguridad que incluye la identificación de amenazas como el phishing y la ingeniería social.

11. Gestión de Proveedores

Evaluamos la postura de seguridad de los proveedores y subencargados que tratan datos en nuestro nombre antes de establecer una relación contractual. Dichos proveedores están sujetos a obligaciones contractuales de seguridad acordes con los estándares que aplicamos internamente.

12. Auditoría y Cumplimiento

Realizamos revisiones internas periódicas de nuestros controles de seguridad para verificar su eficacia y adecuación. Mantenemos registros de auditoría que permiten rastrear el acceso a sistemas y datos sensibles. Estos registros se protegen frente a modificaciones no autorizadas y se conservan durante los períodos establecidos en nuestra política de retención.

13. Divulgación Responsable de Vulnerabilidades

Si detectas una posible vulnerabilidad de seguridad en nuestros sistemas o servicios, te animamos a comunicárnoslo de forma responsable. Puedes hacerlo a través de la siguiente dirección de correo electrónico:

help@decidecifras.com

Nos comprometemos a acusar recibo de tu comunicación, investigar el problema con diligencia y mantenerte informado sobre el estado de la resolución. No emprenderemos acciones legales contra quienes informen de vulnerabilidades de buena fe y de acuerdo con estas directrices.

14. Actualizaciones de esta Política

Esta Política de Seguridad puede actualizarse periódicamente para reflejar cambios en nuestras prácticas, tecnologías o requisitos aplicables. La fecha de la última revisión se indica al comienzo del documento. Te recomendamos consultar esta página de forma regular para mantenerte informado sobre cualquier modificación.

15. Contacto

Si tienes preguntas o inquietudes relacionadas con esta Política de Seguridad o con las prácticas de seguridad de Decidecifras, puedes ponerte en contacto con nosotros a través de los siguientes canales:

Correo electrónico: help@decidecifras.com
Teléfono: +34 932 632 465
Dirección postal: Av. José Mesa y López, 76, 35010 Las Palmas de Gran Canaria, Las Palmas, España