Política de Seguridad
Última actualización: 28 de marzo de 2025
En norza nos comprometemos a proteger la seguridad de la información de nuestros usuarios, clientes y socios. Esta Política de Seguridad describe las medidas técnicas y organizativas que aplicamos para salvaguardar los datos y sistemas bajo nuestra responsabilidad.
1. Alcance
Esta política se aplica a todos los sistemas, plataformas, servicios y datos gestionados por norza, incluyendo los servicios accesibles a través de norza, así como a cualquier persona que acceda o utilice dichos servicios.
2. Principios Generales de Seguridad
Nuestra estrategia de seguridad se fundamenta en los siguientes principios:
- Confidencialidad: la información solo es accesible para personas autorizadas.
- Integridad: los datos se mantienen exactos y completos, protegiéndolos frente a modificaciones no autorizadas.
- Disponibilidad: los sistemas y datos están disponibles para los usuarios autorizados cuando los necesitan.
- Responsabilidad: todas las acciones sobre los sistemas quedan registradas y son atribuibles.
3. Control de Acceso
3.1 Autenticación
El acceso a los sistemas internos y a los paneles de administración requiere autenticación mediante credenciales seguras. Se fomenta el uso de autenticación de múltiples factores (MFA) para todos los accesos privilegiados.
3.2 Gestión de Privilegios
Los permisos de acceso se otorgan siguiendo el principio de mínimo privilegio. Cada usuario o sistema recibe únicamente los permisos estrictamente necesarios para desempeñar sus funciones. Los accesos se revisan periódicamente y se revocan cuando dejan de ser necesarios.
3.3 Cuentas de Usuario
Las cuentas inactivas son desactivadas de forma periódica. Las credenciales comprometidas o sospechosas se bloquean de inmediato y se notifica a los usuarios afectados.
4. Cifrado de Datos
4.1 Datos en Tránsito
Toda la comunicación entre los usuarios y nuestros servicios se realiza mediante protocolos de cifrado seguros, incluyendo TLS (Transport Layer Security) en su versión más actualizada disponible. No se permiten conexiones no cifradas a los servicios de producción.
4.2 Datos en Reposo
Los datos almacenados que contienen información sensible se cifran utilizando algoritmos estándar del sector. Las claves de cifrado se gestionan mediante procedimientos seguros y se rotan de forma periódica.
5. Seguridad de la Infraestructura
5.1 Entornos de Red
Los sistemas de producción están segmentados en redes separadas con controles de acceso estrictos. Se utilizan cortafuegos, listas de control de acceso y sistemas de detección de intrusiones para supervisar y filtrar el tráfico de red.
5.2 Gestión de Vulnerabilidades
Realizamos análisis periódicos de vulnerabilidades en nuestros sistemas e infraestructura. Los parches de seguridad se aplican de acuerdo con su nivel de criticidad, priorizando aquellos que representan un riesgo elevado.
5.3 Actualizaciones de Software
Todos los componentes de software, bibliotecas y dependencias se mantienen actualizados. Las actualizaciones de seguridad críticas se aplican con la mayor celeridad posible tras su publicación.
6. Seguridad en el Desarrollo
Aplicamos prácticas de desarrollo seguro a lo largo de todo el ciclo de vida del software, que incluyen:
- Revisión de código orientada a la identificación de vulnerabilidades.
- Pruebas de seguridad en entornos de preproducción antes de cualquier despliegue.
- Validación y saneamiento de todas las entradas de datos para prevenir inyecciones y otros ataques comunes.
- Separación estricta entre los entornos de desarrollo, pruebas y producción.
7. Gestión de Incidentes de Seguridad
7.1 Detección y Respuesta
Contamos con procedimientos establecidos para detectar, evaluar y responder a incidentes de seguridad. Nuestro equipo supervisa los sistemas de forma continua para identificar comportamientos anómalos o actividades sospechosas.
7.2 Notificación
En caso de que se produzca un incidente de seguridad que pueda afectar a los datos de los usuarios, nos comprometemos a notificarlo a los afectados en los plazos establecidos por la normativa aplicable, proporcionando información clara sobre la naturaleza del incidente y las medidas adoptadas.
7.3 Análisis Posterior
Tras la resolución de cualquier incidente significativo, realizamos un análisis detallado para identificar las causas raíz e implementar mejoras que prevengan su recurrencia.
8. Copias de Seguridad y Recuperación
Los datos críticos se respaldan de forma periódica mediante copias de seguridad automatizadas. Los procedimientos de restauración se prueban regularmente para garantizar la integridad de los datos y la capacidad de recuperación ante incidentes. Las copias de seguridad se almacenan de forma cifrada en ubicaciones seguras.
9. Seguridad Física
Los servicios de norza se alojan en centros de datos que cuentan con controles de acceso físico, vigilancia continua y sistemas de protección frente a incidentes medioambientales. El acceso físico a los equipos de infraestructura está restringido al personal autorizado.
10. Gestión de Proveedores y Terceros
Evaluamos las prácticas de seguridad de los proveedores y terceros con acceso a nuestros sistemas o datos antes de establecer cualquier relación contractual. Los acuerdos con terceros incluyen cláusulas de seguridad y confidencialidad acordes con nuestros estándares internos.
11. Formación y Concienciación
Todo el personal con acceso a sistemas o datos recibe formación periódica en materia de seguridad de la información. Esta formación abarca la identificación de amenazas como el phishing, el uso seguro de contraseñas, la gestión responsable de datos y los procedimientos de notificación de incidentes.
12. Auditoría y Registros
Mantenemos registros de auditoría de los accesos y operaciones relevantes realizadas sobre los sistemas. Estos registros se almacenan de forma segura, se protegen frente a modificaciones no autorizadas y se conservan durante el tiempo necesario para cumplir con los requisitos legales y operativos.
13. Programa de Divulgación Responsable
Valoramos la colaboración de investigadores de seguridad y usuarios que identifiquen posibles vulnerabilidades en nuestros sistemas. Si detecta algún problema de seguridad, le invitamos a comunicárnoslo de forma responsable a través de:
- Correo electrónico: [email protected]
- Teléfono: +1 787 594 5476
Nos comprometemos a responder a los informes de seguridad con diligencia, a mantener informado al notificante sobre el estado de la resolución y a no emprender acciones legales contra quienes reporten vulnerabilidades de buena fe siguiendo este proceso.
14. Revisión de Esta Política
Esta Política de Seguridad se revisa periódicamente para reflejar los cambios en nuestros sistemas, servicios y en el panorama de amenazas. Cualquier modificación sustancial será comunicada a través de nuestros canales habituales. Le recomendamos revisar esta página de forma regular.
15. Contacto
Para cualquier consulta relacionada con esta política o con la seguridad de nuestros servicios, puede ponerse en contacto con nosotros a través de los siguientes medios:
| Canal | Datos de contacto |
|---|---|
| Correo electrónico | [email protected] |
| Teléfono | +1 787 594 5476 |
| Sitio web | Norza |
| Dirección postal | FW3Q+PWM, San Juan, 00911, Puerto Rico |