Seguridad y cumplimiento: cómo SignFlow protege tus documentos

# Seguridad y cumplimiento: cómo SignFlow protege tus documentos

En SignFlow, la seguridad no es algo secundario: está integrada en cada aspecto de nuestra plataforma. Esta guía explica cómo protegemos tus documentos y mantenemos el cumplimiento de los estándares del sector.

Nuestros principios de seguridad

Seguimos tres principios fundamentales:

1. 1Seguridad desde el diseño: la seguridad está integrada desde el principio
2. 2Defensa en profundidad: múltiples capas de protección
3. 3Mejora continua: auditorías y actualizaciones periódicas

Cifrado de datos

Cifrado en reposo

Todos los documentos se cifran al almacenarse:

• Algoritmo: cifrado AES-256
• Gestión de claves: AWS KMS con rotación automática
• Almacenamiento: buckets de S3 cifrados con versionado

`typescript // Example: Document encryption const encryptedDocument = await encrypt(document, { algorithm: 'AES-256-GCM', keyId: process.env.KMS_KEY_ID }); `

Cifrado en tránsito

Toda la transmisión de datos utiliza:

• TLS 1.3: la última versión de seguridad de transporte
• Confidencialidad directa perfecta (PFS): claves de sesión únicas
• HSTS: conexiones HTTPS forzadas

Obtenemos una calificación A+ en SSL Labs.

Autenticación y autorización

Autenticación multifactor

Admitimos varios métodos de 2FA:

• Aplicaciones de autenticación TOTP
• Códigos por SMS (método de respaldo)
• Llaves de seguridad por hardware (FIDO2/WebAuthn)

Gestión de sesiones

• Cookies seguras HTTP-only
• Caducidad de sesión de 30 días
• Cierre de sesión automático por inactividad
• Seguimiento y gestión de dispositivos

Control de acceso

Permisos granulares:

• A nivel de documento: controla quién puede ver o editar cada documento
• Basado en roles: asigna roles con permisos concretos
• A nivel de equipo: gestiona el acceso entre equipos
• A nivel de API: limita las claves de API a acciones concretas

Seguridad de la infraestructura

Infraestructura en la nube

• Proveedor: AWS (certificado SOC 2 Tipo II)
• Regiones: EE. UU., UE, Asia-Pacífico
• Redundancia: despliegue multi-AZ
• Copias de seguridad: copias automáticas diarias con 30 días de retención

Seguridad de red

• Cortafuegos: AWS WAF con reglas personalizadas
• Protección DDoS: AWS Shield Standard
• Limitación de tasa: regulación de las solicitudes web y de API
• Lista de IP permitidas: función Enterprise para el acceso restringido

Seguridad de las aplicaciones

• Análisis de dependencias: comprobaciones automáticas de vulnerabilidades
• Análisis de código: análisis estático en cada commit
• Pruebas de penetración: auditorías anuales de terceros
• Programa de recompensas por errores (bug bounty): programa de divulgación responsable

Certificaciones de cumplimiento

SOC 2 Tipo II

Mantenemos el cumplimiento SOC 2 Tipo II:

• Criterios de servicios de confianza: seguridad, disponibilidad, confidencialidad
• Auditoría anual: evaluación independiente de terceros
• Informe disponible: contacta con ventas para obtener el informe SOC 2

Cumplimiento del RGPD

Para los clientes europeos:

• Acuerdo de tratamiento de datos: disponible bajo petición
• Derecho de acceso: exporta tus datos en cualquier momento
• Derecho de supresión: elimina tu cuenta y tus datos
• Portabilidad de datos: descarga en formatos estándar
• Privacidad desde el diseño: recopilación mínima de datos

Cumplimiento de HIPAA

Los clientes del sector sanitario pueden usar SignFlow:

• Acuerdo de asociado comercial (BAA): disponible para organizaciones sanitarias
• Protección de PHI: almacenamiento y transmisión cifrados
• Registros de auditoría: seguimiento completo de la actividad
• Controles de acceso: permisos basados en roles

Cumplimiento de eIDAS

Para las firmas electrónicas de la UE:

• Firmas electrónicas avanzadas: compatibilidad con firma cualificada
• Rastro de auditoría: registros de firma a prueba de manipulaciones
• Verificación de identidad: múltiples métodos de verificación

Rastro de auditoría

Cada acción sobre un documento queda registrada:

Eventos registrados

• Documento creado, enviado, visto
• Firmas añadidas
• Documento completado, anulado
• Intentos de acceso (correctos y fallidos)
• Cambios de configuración

Detalles del registro de auditoría

Cada entrada del registro incluye:

`json { "timestamp": "2024-01-20T10:30:00Z", "actor": "john@example.com", "action": "document.signed", "documentId": "doc_123", "ipAddress": "192.0.2.1", "userAgent": "Mozilla/5.0...", "geolocation": "San Francisco, CA, US" } `

Registros a prueba de manipulaciones

• Hash criptográfico: cada entrada se somete a hash
• Cadena de custodia: las entradas están enlazadas
• Inmutables: los registros no se pueden modificar ni eliminar

Privacidad de los datos

Recopilación de datos

Recopilamos solo lo necesario:

• Datos de la cuenta: correo, nombre, empresa
• Datos del documento: archivos, firmas, metadatos
• Datos de uso: uso de funciones, métricas de rendimiento

Nunca:

• Vendemos tus datos
• Usamos tus documentos para entrenar IA
• Compartimos datos con terceros (salvo proveedores de servicios)

Retención de datos

• Documentos activos: se conservan mientras la cuenta esté activa
• Documentos completados: se conservan según tu configuración (por defecto: 7 años)
• Documentos eliminados: se eliminan de forma permanente después de 30 días
• Copias de seguridad: se purgan después de 30 días

Ubicación de los datos

Elige dónde se almacenan tus datos:

• Estados Unidos: AWS us-east-1
• Unión Europea: AWS eu-west-1 (Fráncfort)
• Asia-Pacífico: AWS ap-southeast-1 (Singapur)

Los datos nunca salen de la región que elijas.

Respuesta ante incidentes

Monitorización de seguridad

Monitorización 24/7 de:

• Intentos de acceso no autorizado
• Patrones de actividad inusuales
• Anomalías del sistema
• Divulgaciones de vulnerabilidades

Plan de respuesta ante incidentes

Si se produce un incidente de seguridad:

1. 1Detección: alertas y monitorización automáticas
2. 2Contención: acción inmediata para limitar el impacto
3. 3Investigación: análisis de la causa raíz
4. 4Notificación: los clientes afectados son notificados en un plazo de 72 horas
5. 5Remediación: corregir las vulnerabilidades y mejorar las defensas

Contacta con el equipo de seguridad

Informa de problemas de seguridad:

• Correo: security@signflow.com
• Clave PGP: disponible en signflow.com/security
• Programa de recompensas por errores: hackerone.com/signflow

Mejores prácticas para los usuarios

Contraseñas robustas

• Usa un gestor de contraseñas
• Activa la 2FA en tu cuenta
• Usa contraseñas únicas para cada servicio
• Cambia las contraseñas si se ven comprometidas

Seguridad de los documentos

• No compartas públicamente los enlaces de firma
• Revisa con cuidado las direcciones de correo de los firmantes
• Activa las fechas de caducidad en los documentos
• Anula los documentos si se envían por error

Seguridad del equipo

• Revisa periódicamente el acceso de los miembros del equipo
• Retira el acceso de los exempleados de inmediato
• Usa permisos basados en roles
• Activa la 2FA para todos los miembros del equipo

Seguridad de la API

• Rota las claves de API con regularidad
• Usa claves con alcance limitado y permisos mínimos
• Almacena las claves de forma segura (nunca en el código)
• Vigila el uso de la API en busca de anomalías

Transparencia

Creemos en la transparencia:

• Página de seguridad: signflow.com/security
• Página de estado: status.signflow.com
• Política de privacidad: signflow.com/privacy
• Términos del servicio: signflow.com/terms

¿Preguntas?

¿Tienes preguntas sobre seguridad?

• Correo: security@signflow.com
• Documentación: docs.signflow.com/security
• Ventas: sales@signflow.com (para informes de cumplimiento)

Nos comprometemos a ganar y mantener tu confianza mediante prácticas de seguridad sólidas y una comunicación transparente.

Última actualización: 20 de enero de 2024