CONFIANZA Y SEGURIDAD
Lo que podemos dejar por escrito.
Nuestra propia postura, cómo manejamos el acceso y los datos, quién procesa qué y qué hacemos cuando algo falla. Cada punto se puede verificar o solicitar.
Nuestra propia postura
Aplicamos los mismos controles que le pedimos a usted.
Este sitio es estático, así que la lista es corta por diseño. Corta no es lo mismo que verificada: compruébelo usted mismo antes de fiarse de nuestra palabra.
- TLS 1.3 con HSTS en todas las respuestas HTTPS
- Encabezados de seguridad estrictos: CSP, HSTS, opciones de frame, política de referrer y política de permisos
- MFA en toda cuenta que pueda modificar este sitio o acceder a datos de clientes
- Acceso de mínimo privilegio en toda cuenta, incluidas las nuestras
- Copias de seguridad semanales, con una restauración probada con la misma periodicidad
- Actualizaciones de dependencias con calendario fijo, y los registros de cambios se leen antes de fusionar
Compruébelo usted mismo
Compruébenos con Security Headers y SSL Labs antes de confiar en cualquier cosa de esta página.
Ambos son gratuitos e independientes de nosotros. Si algo falla, díganoslo: preferimos corregirlo a que se descubra en su revisión de compras.
Comprobaciones y evidencia
- Security Headers — CSP, HSTS, opciones de frame y política de referrer en el dominio principal
- SSL Labs — versión del protocolo, conjuntos de cifrado y cadena de certificados
Acceso
El acceso se delimita, tiene plazo y se elimina.
La pregunta real no es si se puede confiar en un proveedor. Es a qué puede llegar, durante cuánto tiempo y qué evidencia queda cuando se va.
Consulte por una solicitud de acceso específica- Un almacén dedicado por proyecto. Las credenciales viven en un solo almacén, se comparten solo con las personas de ese proyecto y se eliminan al cerrarlo.
- MFA obligatorio. Toda cuenta que usamos, incluidos los paneles de administración del cliente, necesita un segundo factor. La comodidad no es una excepción.
- Con plazo y revocado dentro de 30 días. El acceso se otorga por la ventana del proyecto y se elimina dentro de los 30 días posteriores al cierre, con confirmación por escrito si la solicita.
- Sin credenciales por correo electrónico. Ni antes del contrato, ni durante la entrega, ni después. Usamos el almacén o una invitación con alcance limitado.
- Producción solo cuando el alcance lo exige. Preproducción, una copia o acceso de solo lectura son lo habitual; el acceso de administración a producción requiere una razón por escrito.
Manejo de datos
Cuánto tiempo conservamos las cosas.
Estos plazos aplican a este sitio y a los proyectos con clientes, salvo que un contrato firmado fije otro. La eliminación se confirma por escrito, siempre.
| Dato | Dónde se guarda | Conservación | Eliminación |
|---|---|---|---|
| Envíos del formulario de contacto | Base de datos del formulario y bandeja compartida | 24 meses desde la última respuesta | Eliminación a solicitud escrita; confirmación por escrito |
| Notas de proyecto | Espacio de trabajo privado del proyecto, solo el equipo asignado | 12 meses después del cierre del proyecto | Se destruyen al cierre si se solicita; confirmación por escrito |
| Hallazgos e informes | Almacenamiento cifrado y su propia copia | 12 meses; su copia es suya y la conserva | Nuestra copia se elimina si se solicita; confirmación por escrito |
| Registros y salida sin procesar del escaneo | Registros de alojamiento, de acceso y del espacio de escaneo | 30 días, luego se rotan o se eliminan | La eliminación se confirma por escrito con el cierre |
Las solicitudes de eliminación se envían a xcsfx@icloud.com. Confirmamos qué se eliminó, de dónde y en qué fecha.
Subencargados
Quién toca los datos y qué ve.
Cinco categorías. Ninguna recibe más de lo que su función requiere.
| Servicio | Finalidad | Categoría de datos |
|---|---|---|
| Red de borde y WAF | Terminación de TLS, almacenamiento en caché y filtrado de solicitudes | Dirección IP, encabezados de solicitud y eventos de seguridad |
| Alojamiento estático | Sirve las páginas, los estilos y los scripts de este sitio | Dirección IP y registros de solicitud estándar |
| Correo electrónico | Recibe los envíos del formulario y transporta las respuestas | Nombre, dirección de correo y contenido del mensaje |
| Pagos | Cobra los planes de mantenimiento y las facturas de proyectos | Contacto de facturación y total de la factura; los datos de la tarjeta quedan con el procesador |
| Monitoreo de disponibilidad | Comprueba que el sitio y sus puntos de conexión respondan | Ruta de la solicitud, código de estado y tiempo de respuesta |
Esta tabla es un resumen. El DPA contiene la lista definitiva para un proyecto firmado, incluidas las entidades legales, las condiciones de tratamiento y la notificación de brechas.
Respuesta a incidentes
Los primeros cinco días, por escrito.
Estos plazos se cuentan dentro del horario de soporte, de 09:00 a 18:00 GMT+8, de lunes a viernes. Son compromisos que podemos cumplir, no una aspiración.
Confirmación en un plazo de 4 horas hábiles
Una persona con nombre confirma el reporte, el alcance afectado y la hora de la próxima actualización.
Actualización cada 24 horas
Una actualización por escrito cada día hasta el cierre del incidente, incluso cuando no hay nada nuevo que decir.
Causa raíz en un plazo de 5 días hábiles
Qué pasó, en orden, y qué control falló o faltaba.
Análisis posterior para el cliente
La misma causa raíz, más lo que cambió, redactado para que su equipo pueda actuar.
No somos un SOC 24/7. No hay turnos nocturnos ni una promesa a las 3 de la madrugada. Si su requisito es una guardia 24/7, no somos la opción adecuada, y se lo diremos en la primera llamada, no en una propuesta.
Certificaciones
No contamos con ISO 27001 ni SOC 2.
No vamos a atribuirnos una certificación que no tenemos ni a tomar prestada la credibilidad de un logotipo que no estamos autorizados a mostrar.
Lo que no podemos darle
- Certificación ISO 27001
- Informe SOC 2 Tipo I o Tipo II
- Certificación Cyber Essentials
- Atestación PCI DSS — los datos de tarjeta quedan con el procesador de pagos
Si su área de compras exige alguno de estos, no somos el proveedor para esa operación. Preferimos perderla antes que tergiversar la documentación.
Evidencia que puede leer
- Políticas de seguridad escritas, versionadas y compartidas a solicitud
- Acceso de mínimo privilegio con un responsable con nombre para cada cuenta
- Un DPA firmado antes de que llegue cualquier dato de cliente
- Cuestionarios de seguridad respondidos por escrito, no en una llamada de ventas
- Un paquete de evidencia con cada proyecto: alcance, hallazgos, prueba posterior y cierre
Las respuestas salen siempre de las mismas políticas, por lo que coinciden entre operaciones.
Reporte una vulnerabilidad
Si cree que encontró algo, cuéntenos primero.
Preferimos leer un correo desordenado de un investigador antes que enterarnos de una falla por otro lado.
xcsfx@icloud.comPuerto seguro
- La investigación de buena fe en sus propias cuentas, o en un espacio de prueba que nos pida crear, es bienvenida.
- No acceda, modifique ni exfiltre datos de otras personas. Deténgase y repórtelo.
- Déjenos tiempo para corregirlo antes de publicar, y díganos si piensa publicar.
- Confirmamos la recepción en un plazo de 2 días hábiles y le decimos si podemos reproducirlo.
No emprenderemos acciones legales por investigaciones que sigan estas reglas. Esa es toda la política; no hay un formulario aparte.
Siguiente paso
Lea el documento y luego háganos la pregunta difícil.
El DPA contiene la lista definitiva de subencargados y las condiciones. Si algo de esta página no coincide con su cuestionario, póngalo en el formulario y le responderemos por escrito.