Confianza
Seguridad de la información alineada a ISO/IEC 27001:2022
Los expedientes REPSE contienen datos fiscales y de nómina. Describimos aquí, con precisión, qué controles aplicamos y cómo se relacionan con el Anexo A de la norma.
Controles implementados en la plataforma
| Ámbito | Control | Anexo A |
|---|---|---|
| Cifrado en tránsito | HTTPS obligatorio con TLS 1.2 o superior y HSTS; cookies con atributos Secure, HttpOnly y SameSite. | A.8.24 · A.8.20 |
| Cifrado en reposo | Cada archivo del expediente se guarda cifrado con AES-256-GCM; la descarga requiere sesión y se valida que el archivo pertenezca a la cuenta. | A.8.24 |
| Contraseñas | Almacenadas con PBKDF2-HMAC-SHA512 de 100,000 iteraciones y sal única; reglas mínimas de longitud y complejidad. | A.5.17 · A.8.5 |
| Doble factor | Verificación en dos pasos con códigos TOTP de aplicación autenticadora. | A.8.5 |
| Bloqueo por intentos | Tras cinco intentos fallidos, la cuenta se bloquea 15 minutos; los intentos quedan en bitácora. | A.8.5 |
| Sello de sesión | Cambiar la contraseña, la verificación en dos pasos o dar de baja a un usuario invalida de inmediato todas sus sesiones. | A.5.18 · A.8.5 |
| Roles y permisos | Permisos de mínimo privilegio por rol; cada acción sensible vuelve a comprobar el permiso en el servidor. | A.5.15 · A.8.2 |
| Aislamiento por cuenta | Toda consulta filtra por la cuenta de la sesión; el proveedor solo accede a lo propio. | A.8.3 |
| Bitácora encadenada | Registro de acciones con usuario, fecha, IP y huella SHA-256 encadenada al registro anterior para detectar alteraciones. | A.8.15 · A.5.33 |
| Aplicación web | Política de seguridad de contenido (CSP) estricta sin scripts de terceros, protección antifalsificación en formularios, encabezados de seguridad y límites de peticiones por IP y por llave de API. | A.8.26 · A.8.28 |
| Secretos | Llaves de API guardadas solo como huella; secretos de webhooks y datos sensibles cifrados con llaves de la plataforma. | A.8.24 · A.5.17 |
| Respaldos | Respaldos diarios cifrados de la base de datos y de los archivos. | A.8.13 |
| Infraestructura | Servidores en centros de datos de DigitalOcean; acceso administrativo restringido. | A.7 · A.5.23 |
| Vulnerabilidades | Actualización periódica de dependencias y del sistema operativo, revisión de seguridad del código y canal de reporte público. | A.8.8 |
| Incidentes | Procedimiento de respuesta con notificación a clientes afectados. | A.5.24 · A.5.26 |
| Datos personales | La plataforma actúa como encargado; eliminación o devolución de datos a los 30 días de terminar el servicio, salvo obligación legal de conservarlos. | A.5.34 · A.8.10 |
Relación con los temas del Anexo A
ISO/IEC 27001:2022 agrupa sus 93 controles en cuatro temas. Así se reflejan en nuestra operación.
Políticas, proveedores e incidentes
Política de seguridad y de privacidad, inventario de activos, evaluación de subencargados (infraestructura, correo y pagos), contrato de encargo con clientes, procedimiento de respuesta a incidentes y protección de datos personales (A.5.34).
Confidencialidad y concientización
Obligaciones de confidencialidad para quien accede a la plataforma, acceso de soporte limitado a lo necesario y registrado en bitácora, y baja inmediata de accesos al terminar una relación.
Centros de datos de DigitalOcean
Los controles físicos (acceso a instalaciones, energía, clima, destrucción de medios) los provee DigitalOcean en sus centros de datos, que cuentan con sus propios informes y certificaciones de terceros.
Cifrado, autenticación, registros y desarrollo seguro
Autenticación segura (A.8.5), restricción de acceso (A.8.3), criptografía (A.8.24), respaldos (A.8.13), registros (A.8.15), gestión de vulnerabilidades (A.8.8) y requisitos de seguridad de aplicaciones (A.8.26).
Incidentes
Plan de respuesta y notificación
- Detección y contención. Bloqueo de accesos, rotación de credenciales y aislamiento del componente afectado.
- Evaluación. Alcance, datos involucrados y cuentas afectadas, con apoyo de la bitácora.
- Notificación. Aviso a los clientes afectados sin dilación indebida, con lo que se sabe, las medidas tomadas y las recomendaciones, para que puedan cumplir sus propias obligaciones como responsables.
- Corrección y lecciones. Causa raíz, correcciones y registro del incidente.
Divulgación responsable
Cómo reportar una vulnerabilidad
Si encuentra una posible vulnerabilidad, escríbanos a contacto@olsistemas.com.mx con el asunto «Reporte de vulnerabilidad», una descripción y los pasos para reproducirla.
- No acceda, modifique ni elimine datos de terceros; use la cuenta demo o una cuenta propia.
- No realice pruebas de denegación de servicio, ingeniería social ni ataques físicos.
- Denos un plazo razonable para corregir antes de divulgarla.
- Confirmaremos la recepción y le informaremos del avance.
Datos de contacto legibles por máquina en /.well-known/security.txt.
Sus responsabilidades
La seguridad es compartida.
Nosotros protegemos la plataforma; su empresa decide quién entra y qué ve. Active la verificación en dos pasos, asigne el rol mínimo necesario y desactive a quien deje la organización.