Política de Seguridad
Última actualización: 23 de enero de 2025
En tejadoclaro nos comprometemos a proteger la integridad, confidencialidad y disponibilidad de la información de nuestros usuarios y de nuestra plataforma. Esta Política de Seguridad describe las medidas técnicas y organizativas que aplicamos para salvaguardar los datos y sistemas bajo nuestra responsabilidad.
1. Ámbito de Aplicación
Esta política se aplica a todos los sistemas, servicios, infraestructuras y datos gestionados por tejadoclaro, incluyendo la plataforma accesible en tejadoclaro.online, sus interfaces de programación, bases de datos, sistemas de almacenamiento y cualquier entorno relacionado con la prestación del servicio.
Todos los empleados, colaboradores, proveedores y terceros que accedan a los sistemas de tejadoclaro están sujetos a los principios establecidos en este documento.
2. Principios Generales de Seguridad
Nuestra estrategia de seguridad se fundamenta en los siguientes principios:
Confidencialidad: La información solo es accesible para las personas y sistemas autorizados expresamente para ello.
Integridad: Los datos se mantienen exactos, completos y protegidos frente a modificaciones no autorizadas.
Disponibilidad: Los sistemas y servicios se mantienen operativos y accesibles para los usuarios autorizados cuando los necesitan.
Mínimo privilegio: Cada usuario, proceso o sistema dispone únicamente de los permisos estrictamente necesarios para cumplir su función.
Defensa en profundidad: Se aplican múltiples capas de controles de seguridad para reducir la exposición ante fallos individuales.
3. Seguridad de la Infraestructura
3.1 Entornos y Alojamiento
La plataforma opera sobre infraestructura gestionada por proveedores de servicios en la nube con certificaciones de seguridad reconocidas. Los entornos de producción, preproducción y desarrollo se mantienen separados de forma estricta para evitar interferencias y reducir el riesgo de exposición de datos reales.
3.2 Control de Acceso a Sistemas
El acceso a los sistemas internos está restringido mediante autenticación multifactor. Las credenciales de acceso se gestionan a través de sistemas centralizados de gestión de identidades. Los accesos se revisan periódicamente y se revocan de forma inmediata cuando dejan de ser necesarios.
3.3 Redes y Perímetro
La infraestructura de red emplea segmentación mediante redes virtuales privadas, cortafuegos y listas de control de acceso. El tráfico entre componentes internos está restringido al mínimo necesario. Se monitorizan de forma continua las conexiones entrantes y salientes para detectar comportamientos anómalos.
3.4 Cifrado en Tránsito
Todas las comunicaciones entre el usuario y la plataforma se realizan mediante protocolos de cifrado actualizados. Se aplica cifrado TLS en todas las conexiones externas. Los certificados digitales se gestionan y renuevan de forma controlada.
3.5 Cifrado en Reposo
Los datos almacenados en bases de datos y sistemas de ficheros se protegen mediante cifrado. Las claves de cifrado se gestionan de forma independiente a los datos que protegen y se rotan con regularidad.
4. Gestión de Accesos y Autenticación
4.1 Cuentas de Usuario
Los usuarios de la plataforma disponen de cuentas individuales protegidas mediante contraseña. Se establecen requisitos mínimos de complejidad para las contraseñas. Las contraseñas se almacenan de forma irreversible mediante funciones de derivación de clave reconocidas.
4.2 Sesiones
Las sesiones de usuario expiran tras periodos de inactividad definidos. Los tokens de sesión se generan de forma aleatoria y segura. Se invalidan de forma inmediata al cerrar sesión o detectarse actividad sospechosa.
4.3 Acceso Administrativo
El acceso a funciones administrativas está limitado a personal autorizado y requiere mecanismos de autenticación adicionales. Todas las acciones realizadas con privilegios elevados quedan registradas en registros de auditoría.
5. Seguridad en el Desarrollo
5.1 Ciclo de Desarrollo Seguro
La seguridad se integra en todas las fases del ciclo de vida del desarrollo de software. Los equipos de desarrollo aplican prácticas de codificación segura y se someten a formación periódica en materia de seguridad.
5.2 Revisión de Código
Todo cambio en el código de producción es revisado por al menos una persona distinta a su autor antes de su despliegue. Se aplican herramientas automatizadas de análisis estático para detectar vulnerabilidades conocidas durante el proceso de integración continua.
5.3 Gestión de Dependencias
Las bibliotecas y componentes de terceros se mantienen actualizados. Se monitoriza de forma continua la aparición de vulnerabilidades conocidas en las dependencias utilizadas y se aplican parches con la mayor celeridad posible.
5.4 Pruebas de Seguridad
Se realizan evaluaciones periódicas de seguridad que incluyen análisis de vulnerabilidades y pruebas de penetración. Los hallazgos se priorizan y resuelven en función de su nivel de riesgo.
6. Protección de Datos
6.1 Minimización de Datos
Solo se recopilan y procesan los datos estrictamente necesarios para la prestación del servicio. Los datos que dejan de ser necesarios se eliminan de forma segura conforme a los plazos establecidos.
6.2 Copias de Seguridad
Se realizan copias de seguridad de los datos de forma automatizada y con la periodicidad necesaria para garantizar la recuperación ante incidentes. Las copias de seguridad se almacenan de forma cifrada y se prueba periódicamente su capacidad de restauración.
6.3 Retención y Eliminación
Los datos se conservan únicamente durante el tiempo necesario para los fines para los que fueron recogidos. La eliminación de datos se realiza mediante procedimientos que impiden su recuperación posterior.
7. Gestión de Incidentes de Seguridad
7.1 Detección y Respuesta
Disponemos de procedimientos documentados para la detección, clasificación, contención y resolución de incidentes de seguridad. Los sistemas de monitorización generan alertas ante comportamientos anómalos que son revisadas por personal cualificado.
7.2 Notificación
En caso de producirse un incidente de seguridad que pueda afectar a los datos de los usuarios, tejadoclaro notificará a los afectados en los plazos y formas que correspondan según la naturaleza del incidente. Las notificaciones se realizarán a través de los canales de contacto disponibles en la plataforma.
7.3 Análisis Posterior
Tras la resolución de cada incidente significativo se realiza un análisis de causas raíz con el objetivo de identificar mejoras y prevenir recurrencias.
8. Proveedores y Terceros
Los proveedores y terceros que accedan a datos o sistemas de tejadoclaro están sujetos a evaluaciones de seguridad previas a su contratación. Se establecen compromisos contractuales en materia de seguridad y confidencialidad con todos los proveedores que traten información sensible.
El acceso de terceros a los sistemas se limita al mínimo necesario y se gestiona de forma controlada y auditable.
9. Continuidad del Servicio
Tejadoclaro mantiene planes de continuidad orientados a minimizar el impacto de interrupciones no planificadas. La infraestructura está diseñada con redundancia en sus componentes críticos. Se realizan pruebas periódicas de los procedimientos de recuperación ante desastres para verificar su eficacia.
10. Monitorización y Auditoría
Los sistemas de tejadoclaro generan registros de actividad que se conservan durante periodos definidos. Estos registros se utilizan para detectar incidentes, investigar anomalías y verificar el cumplimiento de las políticas internas.
El acceso a los registros de auditoría está restringido al personal autorizado. Los registros se protegen frente a modificaciones no autorizadas.
11. Formación y Concienciación
El personal de tejadoclaro recibe formación periódica en materia de seguridad de la información. Se promueve una cultura de seguridad que implica a todos los miembros de la organización en la identificación y comunicación de riesgos.
12. Revisión de la Política
Esta Política de Seguridad se revisa periódicamente para adaptarse a la evolución de las amenazas, los cambios tecnológicos y las mejoras en las prácticas del sector. Las modificaciones significativas se comunicarán a los usuarios a través de los canales habituales de la plataforma.
13. Contacto
Para cualquier consulta relacionada con la seguridad de la plataforma, o para comunicar la detección de una posible vulnerabilidad, puede ponerse en contacto con nosotros a través de los siguientes medios:
Correo electrónico: [email protected]
Teléfono: +34945364253
Dirección postal: Rúa Arcai, 49, 15873 Bembibre, A Coruña, España
Nos comprometemos a responder a las comunicaciones relacionadas con seguridad en el menor tiempo posible y a tratar cualquier reporte de vulnerabilidad de forma responsable y confidencial.