Seguridad de la información

• Alojamiento en un entorno cloud en Brasil y Europa, fuera de clústeres de hiperescala compartidos;
• Tráfico protegido por Cloudflare (WAF, mitigación de DDoS, TLS);
• Cifrado en tránsito (TLS 1.3) y cifrado en reposo;
• Aislamiento de datos por organización (multi-tenant);
• Autenticación multifactor obligatoria para administradores;
• Secretos y credenciales gestionados mediante Infisical (cero hardcode);
• Registros de auditoría conservados durante 12 meses;
• Programa de divulgación responsable activo a través de [email protected].

Operamos en un entorno cloud en Brasil y Europa, organizado en clústeres Kubernetes. No utilizamos nubes de hiperescala compartidas. El tráfico entrante es enrutado y filtrado por Cloudflare (WAF, rate limiting, protección contra DDoS) antes de llegar a nuestra infraestructura.

Los datos de cada cliente están aislados por organización (multi-tenant), sin cruce entre cuentas. Los hosts son inmutables (contenedores), actualizados mediante un pipeline de CI/CD con GitOps (ArgoCD). No hay acceso SSH directo a producción por procesos automatizados; toda intervención humana queda registrada.

• En tránsito: TLS 1.3 con cipher suites modernas (AEAD). HSTS habilitado. Gestión de certificados mediante Cloudflare;
• En reposo: volúmenes de bases de datos y copias de seguridad cifrados;
• Secretos: Infisical como bóveda centralizada de secretos, con control de acceso por proyecto y entorno;
• Contraseñas: Bcrypt/Argon2id con salt único por credencial.

Aplicamos el principio de mínimo privilegio. El acceso a sistemas críticos exige MFA. El aprovisionamiento y desaprovisionamiento siguen un flujo formal. Revisión periódica de permisos.

• Snapshots automáticos de infraestructura (retención configurable);
• Copias de seguridad de bases de datos cifradas, con rotación periódica;
• Plan de recuperación ante desastres con priorización de servicios críticos;
• Pruebas de restauración periódicas.

Telemetría centralizada mediante Grafana (dashboards), Prometheus (métricas) y Loki (registros). Alertas configuradas para anomalías de rendimiento y seguridad. Registros de auditoría de la aplicación conservados durante 12 meses; registros del sistema, 6 meses (Marco Civil de Internet de Brasil, art. 15).

Plan de respuesta documentado, con roles definidos (respuesta a incidentes, comunicación, jurídico, DPO) y clasificación prioritaria de eventos. En incidentes con datos personales, la comunicación a la ANPD y a los titulares sigue nuestra política LGPD.

Todos los proveedores que procesan datos personales pasan por un análisis de seguridad y privacidad antes de la contratación. Reevaluación anual obligatoria para proveedores críticos.

¿Investigador de seguridad? Adelante. Recompensamos los reportes válidos.

• Correo electrónico: [email protected]
• Respuesta inicial: en hasta 48 horas hábiles