Seguridad, cumplimiento normativo y residencia de datos
Los controles que un cliente activa por sí mismo, el cifrado y las claves, los objetivos de parcheo por CVSS, los incidentes de seguridad y la notificación de violaciones de seguridad, las pruebas de penetración del cliente, las decisiones de gobernanza de ASK, la residencia y las pruebas que un cliente puede solicitar.
Tres capas de defensa
| Prevenir | Detectar | Correcto |
|---|---|---|
| Aislamiento de red y WAF; entrada solo HTTPS; base de datos privada | Registro centralizado: aplicación, auditoría, nube | Copias de seguridad aisladas; bóveda inmutable; restauración en sala limpia |
| Cifrado en reposo y en tránsito | Análisis de vulnerabilidades: imágenes, dependencias, configuración en la nube. | Manuales de respuesta a incidentes y escalamiento |
| RBAC granular, SSO, MFA, privilegio mínimo | Detección de amenazas en tiempo de ejecución | Live DR: una segunda región en funcionamiento con conmutación por error automática. |
| Imágenes reforzadas; gestión de vulnerabilidades y parches |
Controla los interruptores del cliente
Mapeados al marco CSF del NIST, la mayoría de los controles están integrados en TRANXACT o provienen de los servicios nativos del proveedor de la nube. Cuatro son opcionales o dependen del cliente, y es necesario mencionarlos en voz alta porque nadie más los implementará:
| Control | Función | OMS |
|---|---|---|
| Clasificación de datos | Identificar | El cliente clasifica los datos personales y regulados (INFRA_2.5.04 para retención y conservación legal). |
| SSO y MFA a través del IdP | Proteger | El cliente mantiene las cuentas y la política de MFA en su IdP (PLAT_5.6.02); TRANXACT configura la federación (PLAT_5.6.01). |
| Claves gestionadas por el cliente | Proteger | Opcional (TO_4.5.10); el cliente ejecuta el ciclo de vida de la clave (TO_4.5.11) |
| Integración de SIEM | Detectar | La exportación de registros es opcional (TO_4.6.02); el funcionamiento del SIEM es responsabilidad del cliente (TO_4.6.03). |
Cifrado y claves
| Qué | Cómo |
|---|---|
| Datos en tránsito | TLS 1.2+ |
| Base de datos en reposo | AES-256 |
| Almacenamiento de objetos y copias de seguridad | AES-256 |
| Misterios | Una tienda de secretos controlados |
| claves de IA | La clave del proveedor de nivel, o BYOK |
| Certificados | Una CA pública para el FQDN |
- Estándar: claves KMS en la nube gestionadas por TRANXACT, con rotación y destrucción definidas; sin acceso de lectura del operador a las claves; registro de acceso a las claves; las claves de respaldo de la bóveda se almacenan por separado (TO_4.11.02).
- Opcional: claves gestionadas por el cliente en el KMS del cliente, certificados proporcionados por el cliente, BYOK para el motor ASK.
Con las llaves gestionadas por el cliente, la revocación de la llave inhabilita TRANXACT. Acuerden conjuntamente los procedimientos de rotación y emergencia antes de usar la llave.
Aplicación de parches según la gravedad (opción predeterminada propuesta)
| Gravedad (CVSS) | Objetivo de remediación | Aviso al cliente |
|---|---|---|
| Crítico (9,0–10) | Vía de emergencia, tan pronto como exista una solución probada. | Inmediato, si se necesita tiempo de inactividad. |
| Alto (7,0–8,9) | Próxima ventana de mantenimiento | Notas de la versión |
| Medio (4,0–6,9) | Dentro de 30 días | Notas de la versión |
| Bajo (por debajo de 4,0) | Próximo lanzamiento programado | Notas de la versión |
Cuatro etapas: evaluar y clasificar; probar y verificar en un entorno que no sea de producción comparándolo con una copia de tamaño de producción; implementar mediante actualización progresiva tras el período de espera, supervisando el estado y los registros; responder y corregir. Los clientes con sus propios comités de gestión de cambios deben acordar el plazo de notificación y qué correcciones pueden obviarlo.
Incidentes de seguridad y filtraciones de datos personales
Controlar → Informar → Declarar → Resolver → Aprender: contener y aislar; registrar y alertar a SecOps y al Piloto de Operaciones Autónomas; clasificar y abrir un incidente de seguridad; erradicar, restaurar desde un estado limpio y verificar el libro mayor; revisar la causa raíz y actualizar los controles y los manuales de procedimientos.
| TRANXACT — procesador (TO_4.5.06) | Cliente — controlador (TO_4.5.07) |
|---|---|
| Confirma una violación de seguridad que afecta a los datos personales de los clientes. | Evalúa el riesgo para los sujetos de datos. |
| Notifica al cliente sin demora indebida, según lo establecido en el DPA. | Notifica a la autoridad supervisora cuando sea necesario. |
| Comparte los hechos conocidos, el impacto probable y las medidas adoptadas. | Informa a los interesados afectados cuando sea necesario. |
| Proporciona actualizaciones a medida que avanza la investigación. | Registra la infracción en su propio registro. |
Acuerde los contactos, el canal y el cronograma de notificación en el Acuerdo de Protección de Datos (APD), y ensaye el plan de comunicación con el Responsable de Protección de Datos (RPD) del cliente.
La prueba de penetración del propio cliente
- Firma un acuerdo de confidencialidad.
- Solicítelo con al menos 2 semanas de anticipación (TO_4.5.08, Servicio adicional).
- Acordar el alcance.
- Primero, pruebe en un entorno que no sea de producción; actualice los datos desde producción con enmascaramiento de datos. Las pruebas en producción requieren la aprobación explícita de TRANXACT y una ventana con nombre.
- Comparta los resultados.
- Corrección conjunta: los hallazgos de la plataforma son estándar (TO_4.5.09); los hallazgos en la configuración propia del cliente son responsabilidad suya.
| En el ámbito | Fuera de alcance |
|---|---|
| Pruebas de la aplicación a través del FQDN del cliente. | Ataques de denegación de servicio y de sobrecarga |
| Autenticación, autorización y diseño de roles | Infraestructura del proveedor de la nube |
| API utilizadas por las integraciones del cliente | Otros inquilinos, la cuenta de la bóveda y las herramientas compartidas. |
| Rutas de red del lado del cliente (VPN, enlace privado) | Ingeniería social del personal de TRANXACT |
ASK decisiones de gobernanza
ASK actúa a través de las API de TRANXACT con la sesión del usuario, por lo que cada regla de publicación, permiso de rol y entrada del registro de auditoría se aplica como si el usuario hubiera hecho clic. Lo que se decide por cliente:
| Decisión | Categoría | Descanso y recuperación |
|---|---|---|
| Nivel del motor (premium, equilibrado, económico) y región de procesamiento | Solicitud de servicio estándar | ASK_6.1.02 |
| Conecte una clave de IA proporcionada por el cliente (BYOK). | Solicitud de servicio estándar | ASK_6.1.03 |
| Proporcionar y rotar la llave BYOK; mantener el contrato del proveedor de IA. | Excluido | ASK_6.1.04 |
| ¿Qué roles pueden usar ASK?; presupuestos de uso y alertas; revisión mensual de avisos y uso; sesiones de adopción. | Empaquetado — Gobernanza de uso de G1 ASK | ASK_6.2.01 – 6.2.03, 6.2.07 |
| Cada acción de ASK en el registro de auditoría | Estándar | PREGUNTA_6.2.04 |
| Política interna de uso de IA del cliente | Excluido | PREGUNTA_6.2.05 |
Residencia de datos
- La región principal es donde se almacenan el libro mayor y los documentos.
- La región Live DR y la bóveda se encuentran en la misma jurisdicción legal, donde la normativa así lo exige.
- ASK: donde se procesan las indicaciones y las respuestas — BYOK si el cliente exige su propio contrato de IA.
- Idiomas, entidades, monedas y requisitos legales locales por entidad jurídica.
- Normativa del sector: historiales médicos electrónicos (HME), expedientes de estudiantes, nóminas y datos fiscales.
- Las transferencias transfronterizas están cubiertas por la Ley de Protección de Datos.
Confirme los requisitos de datos regulados antes de elegir las regiones. Trasladar un libro mayor activo entre regiones es un proyecto de migración.
Evidencias y certificaciones
- Previa solicitud: el documento técnico de seguridad y las descripciones de los controles, los resúmenes de las pruebas de penetración, los informes de simulacros de conmutación y de restauración de sala limpia, los informes de disponibilidad y estado de las copias de seguridad, la lista de subprocesadores y los DPA TOM (TO_4.5.12).
- El cuestionario de diligencia debida en materia de seguridad del cliente, que debe responderse una vez al año del contrato (TO_4.5.13).
- Derechos de auditoría según lo definido en el Acuerdo de Protección de Datos; pruebas de penetración propias del cliente según el proceso acordado; exportación de registros a su SIEM.
Solo se deben incluir en la cotización certificaciones y acreditaciones —ISO/IEC 27001, SOC 2 Tipo II, marcos sectoriales— cuyo alcance actual cubra la nube y la región del cliente. Confirme el cumplimiento con TRANXACT antes de que presenten una propuesta.
Los valores marcados como "valores predeterminados propuestos" son los puntos de partida recomendados en la guía de implementación. Confirme cada uno para cada cliente; el contrato, el formulario de pedido, el SLA y el DPA prevalecen sobre esta página.
Realiza el curso sobre este tema, con diagramas y una verificación.