Política de Seguridad de la Informaci\u00f3n

Esta política define como CISS Ltd. ("CISS") protege la confidencialidad, integridad y disponibilidad de la informaci\u00f3n que mantenemos en nombre de nuestros clientes y de los sistemas que operamos. Aplica a todos los empleados, contratistas y terceros de CISS que acceden a los sistemas, redes o datos de clientes de CISS, y a todos los sistemas que procesan, almacenan o transmiten informaci\u00f3n de los clientes.

La política cubre la plataforma Inventory Pro y la infraestructura que la soporta, incluyendo las instancias de clientes alojadas en la nube, la aplicaci\u00f3n móvil, la API REST y las herramientas de desarrollo e implementaci\u00f3n que la respaldan.

CISS mantiene alineaci\u00f3n con el Marco de Ciberseguridad NIST (CSF) 2.0 como nuestro marco de seguridad principal y alineamos nuestros controles con ISO 27001:2022. Sin embargo, no contamos con certificaciones formales. Nuestro proveedor de infraestructura en la nube (Microsoft Azure) cuenta con las certificaciones ISO 27001, SOC 1/2/3, HIPAA, FedRAMP y PCI DSS.

Las responsabilidades de seguridad están asignadas dentro del equipo, y esta política se revisa y actualiza después de cambios significativos en la plataforma, la infraestructura o el panorama regulatorio.

CISS aplica el principio de mínimo privilegio. El acceso a los sistemas y a los datos de los clientes se otorga solo cuando es necesario para un rol y se revisa periódicamente. El control de acceso basado en roles con permisos granulares define lo que cada usuario puede ver y modificar dentro de Inventory Pro.

• El acceso administrativo a los sistemas de producción requiere autenticaci\u00f3n fuerte y no esta expuesto a la internet publica.
• El acceso remoto esta estrictamente restringido, limitado al personal autorizado y nunca esta expuesto a la internet publica.
• El acceso se revoca de inmediato cuando un empleado se va o cambia de rol, y las credenciales compartidas se rotan.
• Los datos de los clientes se aislan por organización con instancias de base de datos dedicadas.

Las contraseñas se almacenan con algoritmos de hash fuertes, con sal y costosos computacionalmente, diseñados para proteger las credenciales incluso si una base de datos se ve comprometida. Inventory Pro admite políticas de contraseñas configurables, incluyendo longitud mínima, complejidad, antigüedad máxima, aplicaci\u00f3n del historial y bloqueo de cuenta después de intentos fallidos repetidos.

El inicio de sesión único (SSO) se admite a través de varios proveedores y sistemas de identidad (CAC/Smart Card, Active Directory, etc.), lo que permite a las organizaciones centralizar la gobernanza de identidades.

Todos los datos transmitidos entre los clientes e Inventory Pro se cifran en tránsito con TLS 1.2 o superior, con HSTS aplicado en todos los puntos de acceso. Los respaldos se cifran con AES-256 y se distribuyen en múltiples ubicaciones geográficas. Las redes administrativas y de base de datos están aisladas de la internet publica.

La seguridad se considera durante todo el ciclo de vida del desarrollo de software. Nuestro estándar de desarrollo seguro exige consultas parametrizadas para prevenir la inyecci\u00f3n SQL, validaci\u00f3n de entrada y codificaci\u00f3n de salida para prevenir secuencias de comandos entre sitios (XSS), y manejo consistente de errores. Los cambios de código se revisan antes de su publicaci\u00f3n y se aplican análisis de seguridad al código fuente y a las dependencias.

Los sistemas de producción se monitorean de forma continua con alertas automatizadas para la disponibilidad del servicio y los eventos de seguridad. Los registros de auditoría documentan la actividad de los usuarios, los eventos de autenticaci\u00f3n y los cambios de configuración.

CISS mantiene un plan de respuesta a incidentes que cubre la detecci\u00f3n, contenci\u00f3n, erradicaci\u00f3n, recuperaci\u00f3n y revisión posterior al incidente. Los posibles eventos de seguridad se reportan de inmediato al equipo de seguridad, y los clientes son notificados de los incidentes que afectan sus datos de acuerdo con la ley aplicable y las obligaciones contractuales.

Las instancias alojadas en la nube operan bajo un compromiso de disponibilidad del 99%. Las bases de datos de producción se respaldan en múltiples niveles con redundancia geográfica, incluyendo respaldos completos diarios, almacenamiento cifrado fuera de plataforma y copias locales. Los procedimientos de restauraci\u00f3n están documentados para cada nivel de respaldo, y las restauraciones rutinarias de clientes brindan validaci\u00f3n continua de que los respaldos son recuperables.

Los subprocesadores involucrados en la prestaci\u00f3n del servicio se limitan a CISS Ltd., Microsoft Azure y nuestro proveedor de respaldos fuera de plataforma. Los proveedores se seleccionan entre proveedores establecidos, se evalua su postura de seguridad y se revisan en cada renovaci\u00f3n. CISS no vende, alquila ni comparte los datos de los clientes con terceros.

Agradecemos la divulgaci\u00f3n responsable de vulnerabilidades de seguridad. Si cree haber encontrado un problema de seguridad en Inventory Pro o en nuestro sitio web, comuniquenoslo directamente en [EMAIL]. Incluya una descripci\u00f3n del problema, el componente y la version afectados, y los pasos para reproducirlo. Confirmaremos la recepci\u00f3n y trabajaremos para abordar los problemas confirmados con prontitud.