Política de Seguridad de la Información

1. Objetivo

Establecer el marco de seguridad de la información del servicio Cloud Alfa, garantizando confidencialidad, integridad y disponibilidad.

2. Alcance

Aplica a todos los sistemas, datos, personal y proveedores implicados en Cloud Alfa.

3. Principios

• Seguridad por diseño y por defecto.
• Mínimo privilegio.
• Defensa en profundidad.
• Trazabilidad y auditoría.
• Mejora continua.

4. Controles técnicos

5. Controles organizativos

• Política de contraseñas y MFA.
• Formación periódica del personal.
• Acuerdos de confidencialidad.
• Procedimiento de altas/bajas de empleados.
• Gestión de proveedores.
• Plan de continuidad y recuperación.

6. Gestión de vulnerabilidades

• Escaneo continuo de dependencias.
• SAST/DAST en CI/CD.
• Pentest anual externo.
• Programa de divulgación responsable.

7. Gestión de identidades y accesos

• Alta y baja de cuentas con procedimiento documentado.
• Revisión trimestral de accesos privilegiados.
• Rotación periódica de credenciales técnicas.
• Uso de gestor de secretos.

8. Cifrado

• TLS 1.3 en tránsito.
• AES-256 en reposo.
• Gestión de claves con rotación periódica.
• Hashing seguro para contraseñas (bcrypt, argon2).

9. Continuidad de negocio

• Backups diarios cifrados.
• Pruebas de restauración semestrales.
• Plan de continuidad documentado.
• Redundancia en infraestructura crítica.

10. Incidentes

Se aplica el Plan de Respuesta a Incidentes.

11. Revisión

Revisión anual y tras incidente grave.