Seguridad por diseño.

1.Cifrado

Todos los datos en tránsito viajan sobre TLS 1.3 con certificados renovados automáticamente. Los datos en reposo se cifran con AES-256 a nivel de proveedor de infraestructura. Las credenciales de acceso a sistemas de clientes se almacenan exclusivamente en bóvedas cifradas (secrets managers), nunca en código fuente ni variables de entorno en texto plano.

2.Control de acceso

• Principio de mínimo privilegio: cada componente del sistema accede únicamente a lo que necesita para funcionar
• MFA obligatorio para todos los accesos administrativos a consolas de producción
• Revisión trimestral de permisos y accesos activos
• Offboarding inmediato: revocación de accesos en el mismo día de baja del colaborador

3.Aislamiento por cliente

Cada cliente opera en un entorno lógicamente aislado. Los datos de una empresa nunca se mezclan con los de otra. Los Agentes Digitales implementados para un cliente se configuran, entrenan y operan exclusivamente con los datos de ese cliente.

4.Respaldos y continuidad

• Respaldos diarios automatizados con retención de 30 días
• Prueba de restauración mensual para validar integridad de los respaldos
• Georredundancia para servicios críticos bajo acuerdo SLA prioritario
• RTO objetivo: menos de 4 horas para servicios bajo retainer crítico

5.Monitoreo y auditoría

Operamos monitoreo 24/7 con alertas automáticas ante anomalías. Cada acción sensible (acceso a consolas, modificaciones de configuración, acceso a datos de cliente) queda registrada en logs inmutables con retención mínima de 12 meses.

6.Desarrollo seguro

• Revisión de código obligatoria antes de merge a producción
• Análisis de dependencias automático en cada build (SAST/SCA)
• Variables de entorno gestionadas via secrets managers, nunca en repositorio
• Ambientes separados para desarrollo, staging y producción

7.Seguridad de Agentes Digitales

Los Agentes Digitales (OLIN, MATi, VECKi, TONI) están diseñados con principios de seguridad específicos para IA:

• Validación de entrada: filtrado de intentos de inyección de prompt
• Scope de herramientas: cada agente solo tiene acceso a las herramientas necesarias para su función
• Sin persistencia de contexto entre sesiones de diferentes usuarios
• Auditoría de conversaciones con marcas de tiempo y trazabilidad completa

8.Cumplimiento

9.Respuesta a incidentes

En caso de incidente de seguridad que afecte datos personales:

1. Detección y contención inmediata (objetivo: menos de 1 hora)
2. Evaluación de impacto y clasificación de la brecha
3. Notificación a clientes afectados en máximo 72 horas
4. Reporte al INAI cuando aplique por LFPDPPP
5. Post-mortem y refuerzo de controles

10.Reportar vulnerabilidades

Si descubres una vulnerabilidad en nuestros sistemas, te pedimos reportarla de forma responsable antes de divulgarla públicamente.