Seguridad
Desde la primera línea. Auditada al entregar.
Un sistema que corre tu empresa toca datos que importan. Por eso la seguridad se construye mientras se construye el sistema, y se audita completa antes de entregarlo.
Cuatro principios
Lo que se cumple en todo sistema, sin excepción.
Accesos nominales, secretos fuera del código y permisos por rol desde el primer día de obra.
Autenticación, datos, integraciones y cadena de dependencias, con matriz de cobertura: probado, revisado o no aplica.
Lo que se encuentra se reporta con identificador, severidad y corrección aplicada. Sin sorpresas enterradas.
Con las llaves en tu mano se rotan todas las credenciales que tocamos. Nada nuestro queda con acceso.
Las 25 fases
La auditoría que corre antes de cada entrega, agrupada en cinco frentes.
Sesiones, contraseñas, recuperación de cuentas y quién entra a qué.
- 01Registro e inicio de sesión
- 02Contraseñas y cómo se guardan
- 03Recuperación de cuenta
- 04Sesiones y cierre de sesión
- 05Segundo factor y cuentas privilegiadas
- 06Límite de intentos y fuerza bruta
Permisos sobre la base, separación por rol y protección de lo sensible.
- 07Permisos por rol
- 08Acceso a datos de otro usuario
- 09Cifrado de lo sensible
- 10Registros: qué guardan y qué no
- 11Copias de seguridad y quién las alcanza
Cada conexión: qué expone, qué recibe y cómo falla.
- 12Secretos y llaves de terceros
- 13Entradas que vienen de fuera
- 14Subida y manejo de archivos
- 15Avisos que llegan de otros sistemas
- 16Qué expone cada conexión
Librerías y servicios de los que depende, y sus vulnerabilidades conocidas.
- 17Vulnerabilidades conocidas
- 18Versiones y actualizaciones
- 19Origen de cada dependencia
- 20Licencias de lo que se usa
Respaldos, registros, alertas y el traspaso limpio de credenciales.
- 21Configuración de producción
- 22Cabeceras y transporte
- 23Alertas y monitoreo
- 24Restauración probada, no supuesta
- 25Traspaso y rotación de credenciales
Qué pasa con cada hallazgo
Cada hallazgo sale con su severidad, y la severidad decide qué se hace.
- CríticaCompromete datos o cuentas ahora mismo
- Se corrige antes de entregar, sin excepción. Si aparece durante la obra, se para lo demás.
- AltaExplotable con esfuerzo o desde dentro
- Se corrige antes de entregar. Si por alguna razón no se puede, queda escrito por qué y con qué mitigación.
- MediaDebilita el sistema sin abrirlo
- Se corrige, o se acuerda contigo dejarla registrada con su plan y su fecha.
- BajaHigiene y superficie innecesaria
- Se lista y normalmente se corrige de paso, porque cuesta poco.
- No aplicaLa fase no corresponde a este sistema
- Se declara igual, con el motivo. Una fase sin marcar y una fase que no aplica no son lo mismo, y por eso la matriz las distingue.
Datos personales
Una parte la resolvemos en el sistema; otra le toca a tu empresa.
- Recolectar solo los datos que el proceso necesita
- Cifrar lo sensible, y cifrar también las copias que salen del sistema
- Acceso nominal y por rol, con registro de quién vio qué
- Borrado y exportación de los datos de una persona cuando los pide
- Inscribir tus bancos de datos personales ante la autoridad
- Tener clara la finalidad y el consentimiento con tus clientes
- Definir cuánto tiempo se guarda cada cosa
- Designar quién responde por esos datos dentro de tu empresa
Te dejamos el sistema en condiciones de cumplir y te decimos qué falta. Lo que no hacemos es asesoría legal: para eso está tu abogado, y a él le entregamos la documentación técnica que necesite.
Qué recibes
Al entregar, el reporte y el sistema en orden.
- Matriz de cobertura de las 25 fases
- Hallazgos con severidad y estado
- Correcciones aplicadas, no solo listadas
- Entregable a socios, clientes o inversionistas
- Accesos nominales y por rol
- Secretos fuera del código
- Credenciales rotadas en el traspaso
- Registro de quién hizo qué
Reportar una vulnerabilidad
Si encontraste un problema de seguridad en algo nuestro, queremos saberlo.
Escríbenos a adrian@newstern.com con qué encontraste, dónde y cómo reproducirlo. Te confirmamos que lo recibimos y te contamos qué vamos a hacer.
- No accedas, modifiques ni borres datos que no sean tuyos
- No degrades el servicio ni hagas pruebas de carga
- Danos un tiempo razonable para corregir antes de publicarlo
- Si respetas esto, no emprenderemos acciones contra una investigación hecha de buena fe
Cuéntanos qué está frenando tu operación.
Una conversación acotada de 30 minutos, con criterio técnico y sin compromiso: cinco preguntas sobre cómo opera tu empresa y cero diapositivas.
- Paso 1Nos cuentas cómo opera tu empresa hoy.
- Paso 2Te decimos qué conviene automatizar primero y qué no.
- Paso 3Hablas con quien construye.