Entorno de desarrollo seguro

Los equipos distribuidos no tienen por qué significar un mayor riesgo. Ejecutamos proyectos en una configuración controlada y auditable que reduce la posibilidad de exposición de datos y limita el acceso a lo estrictamente necesario para realizar el trabajo.

Esta página explica los controles prácticos que utilizamos en acceso, código, infraestructura y personal.

• Acceso controlado a los sistemas del proyecto, otorgado por función y revocado cuando ya no sea necesario
• Clara separación de entornos (desarrollo, preproducción, producción)
• Manejo seguro de secretos y credenciales
• Controles de seguridad integrados en la entrega (revisión de código, escaneo, controles CI/CD)
• Políticas para equipos distribuidos (dispositivos, almacenamiento local, reglas de trabajo remoto)
• Proceso de respuesta a incidentes e informes transparentes si algo sale mal
• Cobertura de seguro para incidentes de seguridad (detalles disponibles bajo petición)

Tratamos el acceso como un proceso gestionado, no como una configuración única.

• Se requiere MFA para sistemas críticos (repositorios, nube, CI/CD, gestor de contraseñas)
• El acceso se otorga por función (privilegio mínimo) y se revisa regularmente
• Se puede usar acceso limitado en el tiempo para sistemas sensibles
• La baja se gestiona el mismo día: acceso eliminado, secretos rotados si es necesario

Lo que podemos proporcionar bajo petición:

Los secretos son una de las fuentes más comunes de filtraciones de datos. Minimizamos la exposición desde el diseño.

• No hay secretos en el código fuente, tickets o chat
• Los secretos se almacenan en un gestor de secretos dedicado o en un enfoque de bóveda acordado
• Las credenciales se rotan según un cronograma y siempre que cambie el riesgo
• Los secretos de producción se separan de los de desarrollo y se limitan solo al personal aprobado

La seguridad es parte de la entrega, no un añadido posterior al lanzamiento.

• Revisión de código obligatoria para los cambios en producción
• Reglas de protección de ramas y proceso de fusión controlado
• Escaneo automatizado de vulnerabilidades conocidas en dependencias
• SAST/DAST opcional según los requisitos del proyecto
• Registro y auditabilidad de los cambios en CI/CD e infraestructura

Mantenemos los sistemas segmentados para reducir el impacto de los errores y limitar la exposición.

• Entornos separados para desarrollo, preproducción y producción
• Infraestructura configurada con acceso de privilegio mínimo y límites de red sólidos
• Cifrado en tránsito (TLS) y cifrado en reposo cuando lo admita la plataforma
• Prácticas de copia de seguridad y recuperación alineadas con los requisitos del cliente

Si el proyecto requiere un aislamiento más estricto:

Aquí es donde muchos proveedores se mantienen vagos. Nosotros somos específicos.

• Los dispositivos deben cumplir con una base (cifrado de disco, bloqueo automático, sistema operativo actualizado, protección contra malware)
• Los datos del cliente no se almacenan localmente a menos que se apruebe y controle explícitamente
• El trabajo se realiza únicamente a través de herramientas aprobadas (repositorios, emisión de tickets, almacenamiento)
• Las reglas de Wi-Fi público y los requisitos de VPN se pueden aplicar según la política del cliente
• Las revisiones de acceso y los controles periódicos garantizan que se mantenga la base

Minimizamos la cantidad de datos sensibles utilizados durante el desarrollo.

• Minimización de datos: solo lo necesario para construir y probar
• Enmascaramiento y anonimización para entornos de desarrollo cuando sea posible
• Opciones de datos sintéticos para pruebas no productivas
• Reglas claras sobre quién puede acceder a qué datos y dónde se pueden almacenar

Disponemos de protecciones legales y contractuales:

Incluso con controles sólidos, los incidentes deben manejarse de forma rápida y transparente.

• Registros de acceso y actividad para sistemas críticos donde sea compatible
• Revisiones y limpiezas de acceso regulares
• Proceso de respuesta a incidentes: contención, investigación, comunicación, remediación
• Informe posterior al incidente con acciones correctivas cuando sea relevante

Mantenemos una cobertura de seguro diseñada para ayudar a gestionar el impacto financiero de ciertos incidentes de seguridad. Los términos, límites y aplicabilidad de la cobertura dependen de la póliza y la naturaleza del incidente.

Detalles disponibles bajo petición.

Para clientes con procesos de adquisición o cumplimiento más estrictos, podemos compartir un breve paquete de seguridad que puede incluir: