Seguridad de la información

Resumen de los controles técnicos del portal Cumplimiento Legal, alineados con ISO/IEC 27001, OWASP ASVS y la LFPDPPP. Si tu área de TI necesita un cuestionario de seguridad o más detalle, escríbenos a ventasproyectos@proneba.com.

Identidad y acceso

• Inicio de sesión único (SSO) con Microsoft 365 / Entra ID y Google Workspace mediante OAuth 2.0 / OpenID Connect. Solo ingresan usuarios previamente invitados por su empresa.
• Verificación en dos pasos (TOTP, RFC 6238) con códigos de recuperación de un solo uso. Cada empresa puede hacerla obligatoria para todos sus usuarios.
• Contraseñas almacenadas con hash bcrypt; política de longitud y complejidad, y verificación contra contraseñas filtradas.
• Roles por empresa (administrador, responsable, consulta), máximo 3 administradores por empresa.
• Límite de intentos de inicio de sesión, verificación y recuperación de contraseña; protección contra bots.

Aislamiento entre empresas

• Modelo multiempresa con filtrado obligatorio por empresa aplicado a nivel de datos en todas las consultas, además de políticas de autorización por registro.
• Las evidencias se guardan fuera del directorio público y solo se descargan tras validar permisos; cada descarga queda registrada.
• Pruebas automatizadas que verifican que un usuario de una empresa no puede ver ni modificar información de otra.

Protección de datos

• Tráfico cifrado con HTTPS/TLS y HSTS; cookies de sesión cifradas, HttpOnly, Secure y SameSite.
• Secretos de verificación en dos pasos cifrados en la base de datos (AES-256).
• Cabeceras de seguridad: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
• Consultas parametrizadas, validación de entradas y escape de contenido para prevenir inyección SQL y XSS; protección CSRF en todos los formularios.
• Archivos restringidos por tipo y tamaño; no se aceptan SVG ni ejecutables.

Trazabilidad y operación

• Bitácora de seguridad consultable por los administradores de cada empresa: accesos, intentos fallidos, cambios de permisos, configuración, descargas y exportaciones.
• Bitácora de cambios por cada punto de cumplimiento.
• Respaldos periódicos de la base de datos y revisión periódica de vulnerabilidades en dependencias.