Seguridad y compliance en N5

Seguridad de infraestructura

• Segregación de ambientes y clientes. Las cargas productivas, no productivas y de clientes corren en ambientes cloud estrictamente segregados bajo gobierno central
• Infraestructura sin exposición pública. Las cargas productivas corren en infraestructura privada, nunca expuestas directamente a internet
• Backups centralizados. Backups automáticos, gestionados centralmente y regidos por una política formal de backup
• Infraestructura como código. Todo cambio de infraestructura se revisa por pares y se despliega por pipelines controlados y auditables, bajo una política formal de gestión de cambios
• Aislamiento single-tenant. Cada cliente corre en infraestructura dedicada con bases de datos, llaves de cifrado y controles de acceso separados
• Líneas base de hardening. Los sistemas se configuran según CIS Benchmarks y guías de configuración segura de NIST

Seguridad de datos

• Cifrado en reposo. Todos los almacenes de datos están cifrados en reposo (AES-256) con llaves gestionadas centralmente
• Cifrado en tránsito. TLS 1.2+ en todo el tráfico
• Anonimización de datos. Procedimiento formal de anonimización de datos personales
• Tratamiento de la información. Política de clasificación y tratamiento de datos
• Llaves gestionadas por el cliente. Soporte de bring-your-own-key (BYOK); llaves protegidas en HSMs FIPS 140-2 Nivel 3 con gestión formal de ciclo de vida
• Borrado y portabilidad de datos. Al finalizar el contrato, los datos del cliente se exportan en formatos abiertos y se eliminan de forma segura con certificación
• Residencia de datos. El cliente elige la región cloud donde se procesan y almacenan sus datos

Seguridad de aplicaciones

• Ciclo de desarrollo seguro. Política de desarrollo seguro con SAST y escaneo de dependencias en CI
• Gestión de vulnerabilidades. Procedimiento formal respaldado por escaneo continuo y detección de amenazas nativa de la nube
• Pentest anual. Ethical hacking anual por un tercero, obligatorio por política
• Protección perimetral. Protecciones WAF y anti-DDoS en los servicios expuestos, alineadas al OWASP Top 10

Seguridad de endpoints

• Gestión de dispositivos. Política de gestión de dispositivos corporativos
• Programa BYOD. Política gestionada de bring-your-own-device
• Detección y respuesta en endpoints. EDR en todas las estaciones de trabajo involucradas en la entrega del servicio
• Prevención de fuga de datos en endpoints. Medios extraíbles, software no autorizado y canales de transferencia no aprobados bloqueados en los dispositivos gestionados

Seguridad de red

• Auditoría centralizada. Logs de auditoría inmutables de toda la infraestructura cloud, recolectados y retenidos centralmente
• Inteligencia de amenazas. SIEM y programa de threat intelligence operativos
• Segmentación de red. Los ambientes corren en redes segmentadas sin conectividad directa entre sí
• Monitoreo de seguridad 24x7. Monitoreo continuo de seguridad con alertas por severidad y escalamiento de incidentes

Seguridad corporativa

• SSO y MFA. Single sign-on corporativo con autenticación multifactor obligatoria para todo el personal
• Trabajo remoto seguro. Política de trabajo remoto
• Gestión de proveedores. Política de clasificación y due diligence de proveedores; los proveedores críticos deben contar con ISO 27001 o SOC 2
• Recuperación ante desastres. DRP documentado con pruebas periódicas
• Mínimo privilegio y segregación de funciones. Acceso por roles bajo mínimo privilegio; la administración de producto y la de seguridad son roles separables
• Formación en concientización de seguridad. Formación de seguridad recurrente para todo el personal; cláusulas de confidencialidad en todos los contratos

Seguridad del producto

• SSO corporativo. Los proveedores de identidad del cliente se integran vía SAML 2.0 y OpenID Connect; OAuth 2.0 y TLS mutuo para integración entre servicios
• Autenticación multifactor. MFA aplicable a los usuarios de la plataforma; siempre obligatoria para perfiles administrativos
• Control de acceso por roles. RBAC granular gestionado por el cliente: creación de roles, asignación de permisos y de usuarios
• Aprovisionamiento de identidades. Aprovisionamiento automático de usuarios desde el gestor de identidades del cliente vía protocolos estándar
• Logs de auditoría y exportación. Trazas de auditoría inmutables de la aplicación con retención de largo plazo, exportables al SIEM del cliente vía API o SFTP

Objetivo de Tiempo de Recuperación (RTO)

4 horas

Ajustable por contrato

Objetivo de Punto de Recuperación (RPO)

10 horas

Ajustable por contrato

Modelo de tenencia

Single-tenant por cliente

Infraestructura, bases de datos, llaves de cifrado y controles de acceso dedicados

Residencia de datos

Región cloud a elección del cliente

Despliegues disponibles en América y Europa

Modelos de despliegue

SaaS, nube privada o autogestionado

Capacidades de plataforma consistentes en AWS, Azure y GCP

Ambientes

Desarrollo, QA, Staging, Producción

Estrictamente segregados, con datos anonimizados fuera de producción

Soporte

24x7 con SLAs por severidad

Matriz de escalamiento y documentos de SLA disponibles bajo NDA

Datos al finalizar el contrato

Exportación en formatos abiertos + borrado certificado

Borrado seguro dentro de los 10 días hábiles del fin de contrato, con certificación

Tenencia privada de IA

Las funcionalidades de IA corren en un tenant dedicado por cliente. Los datos del cliente nunca se usan para entrenar modelos de terceros o compartidos, y nunca salen del ambiente de su solución

Proveedores de IA bajo gestión de proveedores

Los proveedores de IA de terceros se publican como subprocesadores y pasan por la misma due diligence de seguridad que cualquier proveedor crítico

Trazabilidad completa de la IA

Los prompts, accesos a datos y decisiones asistidas por IA quedan registrados en trazas de auditoría inmutables

Decisiones explicables

Las decisiones asistidas por IA llevan códigos de razón configurables y estrategias autodocumentadas, para poder explicar los resultados a auditores, reguladores y usuarios finales

Supervisión humana y controles de sesgo

Usuarios de negocio revisan y ajustan los modelos de forma continua; pruebas champion/challenger y aprobaciones por rol mantienen los cambios de modelos bajo control humano

Protecciones contra ataques adversariales

Validación de datasets, monitoreo de comportamiento anómalo de modelos y protección de endpoints de inferencia contra data poisoning, inversión y extracción de modelos

IA dentro del alcance de pruebas de seguridad

Los componentes de IA están incluidos en el escaneo continuo de seguridad y en el pentest anual de terceros

Alineación con regulación de privacidad

El procesamiento de datos por IA se alinea a GDPR y LGPD, con un motor de consentimiento y anonimización de datos personales en el pipeline de datos