Política de Seguridad de la Información

1. Propósito

Certinet Alliance administra un registro de empresas certificadas por organismos de evaluación de la conformidad acreditados. La confianza en ese registro depende de que la información sea exacta, esté disponible y solo pueda modificarla quien está autorizado.

Esta política establece el compromiso de la Dirección con la protección de la información, define las reglas que deben cumplir todas las personas que acceden al registro y describe los controles con los que Certinet Alliance protege los datos que se le confían.

2. Alcance

Esta política se aplica a:

• El sistema de registro y consulta de certificaciones, sus bases de datos, archivos (incluidos los logos) y copias de seguridad.
• La información de los organismos de certificación, de las organizaciones certificadas y de los usuarios de consulta.
• El personal, los colaboradores y los directivos de Certinet Alliance.
• Los organismos de certificación y los usuarios de consulta registrados, en lo que corresponde a sus obligaciones.
• Los proveedores que alojan, mantienen o tienen acceso al sistema.

3. Marco legal y de referencia

El responsable del registro es Management Academy LLC, sociedad de responsabilidad limitada constituida en Florida (documento N.º L21000058307), que opera bajo el nombre ficticio Certinet Alliance (registro N.º G26000110526 ante el Departamento de Estado de Florida), con domicilio en el estado de Florida, Estados Unidos. Esta política está diseñada para cumplir con las siguientes normas:

• Florida Information Protection Act of 2014 (Fla. Stat. § 501.171): como entidad comercial, Management Academy LLC es una «entidad cubierta» por esta ley, que obliga a adoptar medidas razonables para proteger la información personal en formato electrónico, a notificar las brechas de seguridad y a eliminar de forma segura los registros que ya no se necesitan. Esta ley considera información personal, entre otras, al nombre de usuario o correo electrónico combinado con la contraseña o la pregunta de seguridad que permite acceder a una cuenta.
• Federal Trade Commission Act, sección 5: prohíbe las prácticas desleales o engañosas, lo que incluye prometer en las políticas de privacidad o seguridad medidas que no se cumplen en la práctica. Por eso esta política describe únicamente controles efectivamente implementados.
• Leyes de notificación de brechas de los demás estados de EE. UU. donde residan las personas afectadas.
• California Online Privacy Protection Act (CalOPPA), en lo que respecta a la publicación de una política de privacidad, desarrollada en la Política de Privacidad.
• Leyes estatales integrales de privacidad (por ejemplo, las de California, Colorado, Virginia, Oregón o Texas), que se aplican cuando se superan sus umbrales de volumen de datos o de ingresos. Aunque el registro no los alcanza hoy, sus principios de minimización, transparencia y derechos de las personas se adoptan como buena práctica, y su aplicabilidad se revisa cada año.

Como marco de buenas prácticas, los controles se alinean con ISO/IEC 27001:2022 (seguridad de la información), ISO/IEC 27701 (gestión de la privacidad) y el NIST Cybersecurity Framework 2.0.

4. Principios

Confidencialidad

Las credenciales y los datos de contacto de los usuarios solo son accesibles para quien tiene necesidad legítima.

Integridad

Solo el organismo emisor puede crear o modificar sus certificados, y cada cambio queda registrado.

Disponibilidad

El registro debe estar accesible para la verificación de certificados, y su información debe poder recuperarse ante una falla.

Minimización

Se recopilan únicamente los datos necesarios para operar el registro y garantizar la trazabilidad de las consultas.

Responsabilidad

Cada acceso y cada consulta se asocian a un usuario identificado.

5. Roles y responsabilidades

• Dirección: aprueba esta política, asigna los recursos necesarios y revisa su eficacia al menos una vez al año.
• Responsable de Seguridad de la Información: designado por la Dirección; mantiene los controles, gestiona los incidentes, revisa los registros de acceso y coordina las notificaciones exigidas por la ley.
• Administradores del sistema: aprueban y suspenden cuentas, aplican actualizaciones y operan los respaldos, con el mínimo privilegio necesario.
• Organismos de certificación: protegen sus credenciales y su respuesta de seguridad, y garantizan la exactitud de los certificados que cargan.
• Usuarios de consulta: protegen sus credenciales y utilizan la información conforme a los Términos de Uso.
• Proveedores: cumplen las obligaciones de seguridad y de notificación establecidas en la sección 11.

6. Clasificación de la información

7. Control de acceso y autenticación

• Organismos de certificación: ingresan con tres medidas: nombre de usuario, una clave de al menos 12 caracteres que combine letras, números y signos, y la respuesta a una pregunta de seguridad elegida entre diez opciones.
• Usuarios de consulta: deben registrarse con datos de identificación verificables antes de acceder a la información de los certificados.
• Tras 5 intentos fallidos la cuenta se bloquea durante 15 minutos, y cada intento queda registrado.
• Las sesiones se cierran automáticamente tras 30 minutos de inactividad.
• Las cuentas de organismos quedan pendientes hasta que Certinet Alliance verifica su acreditación, y pueden suspenderse en cualquier momento.
• Las cuentas administrativas (panel del hosting, base de datos, correo) usan claves únicas y, cuando el proveedor lo permite, autenticación de dos factores.
• Los accesos se otorgan según el principio de mínimo privilegio y se revisan al menos dos veces al año.

8. Protección de los datos

• Toda comunicación con el sistema se cifra mediante HTTPS (TLS).
• Las contraseñas y las respuestas de seguridad se almacenan únicamente como hash criptográfico (bcrypt). Nadie, incluido el personal de Certinet Alliance, puede conocerlas.
• El sistema no recopila números de seguro social, documentos de identidad personales, datos financieros, de salud ni biométricos.
• Los datos personales no se venden, alquilan ni comparten con fines publicitarios.
• Las credenciales de acceso a la base de datos se guardan fuera de las carpetas públicas del servidor.

9. Seguridad de la aplicación y la operación

• Todas las consultas a la base de datos son preparadas, lo que impide la inyección de código SQL.
• Todos los formularios están protegidos contra solicitudes falsificadas (CSRF), y los datos que se muestran en pantalla se escapan para evitar la inyección de código (XSS).
• Los archivos subidos (logos) se validan por su contenido real, se limitan a imágenes PNG, JPG o WEBP de hasta 2 MB, se renombran al azar y se guardan en una carpeta donde no puede ejecutarse código.
• El software del servidor, PHP y la base de datos se mantienen en versiones con soporte, y se aplican las actualizaciones de seguridad críticas en un plazo máximo de 30 días.
• Los cambios al sistema se prueban en un entorno separado antes de publicarse.

10. Registro y monitoreo

• Se registran todos los intentos de ingreso, exitosos o fallidos, con fecha, hora y dirección IP.
• Se registra cada consulta realizada por los usuarios de consulta: quién consultó, qué buscó y cuándo.
• El Responsable de Seguridad revisa los registros al menos una vez al mes para detectar patrones anómalos, como accesos reiterados fallidos o consultas masivas.
• Los registros solo se usan para seguridad, auditoría y atención de reclamos.

11. Proveedores y terceros

Los proveedores que alojan o mantienen el sistema actúan como agentes de Certinet Alliance. Antes de contratarlos se evalúan sus prácticas de seguridad, y deben:

• adoptar medidas razonables para proteger la información, conforme a Fla. Stat. § 501.171(2);
• notificar a Certinet Alliance cualquier brecha o sospecha de brecha en un plazo no mayor de 10 días, conforme a Fla. Stat. § 501.171(6);
• usar los datos solo para prestar el servicio contratado, y devolverlos o eliminarlos al terminar la relación.

12. Incidentes y notificación de brechas

Toda persona que detecte o sospeche un incidente de seguridad debe informarlo de inmediato a info@certinetalliance.com. El incidente se gestiona en cinco etapas: detección y registro, contención, investigación, recuperación y lecciones aprendidas.

Si se confirma el acceso no autorizado a información personal, Certinet Alliance realizará las notificaciones que exige la ley de Florida:

La notificación a las personas indicará qué ocurrió y cuándo, qué información se vio afectada y cómo comunicarse con Certinet Alliance. Si, tras una investigación, se determina que la brecha no causará probablemente un daño, esa decisión se documentará por escrito, se conservará al menos 5 años y se informará al Departamento de Asuntos Legales cuando la ley lo exija.

Ante cualquier brecha que involucre credenciales, se obligará a los usuarios afectados a cambiar su clave y su respuesta de seguridad.

13. Conservación y eliminación

Al cumplirse el plazo, la información se elimina de forma que no pueda reconstruirse, conforme a Fla. Stat. § 501.171(8), tanto en el sistema como en las copias de seguridad, según su ciclo de rotación.

14. Continuidad y respaldos

• Se realizan copias de seguridad de la base de datos y de los archivos al menos una vez por semana, y se conservan copias en una ubicación distinta del servidor principal.
• La restauración de las copias se prueba al menos una vez por trimestre.
• Las copias de seguridad reciben la misma protección que la información original.

15. Concientización

Las personas con acceso administrativo reciben al incorporarse, y luego al menos una vez al año, capacitación sobre esta política, el reconocimiento de engaños (phishing) y el procedimiento de reporte de incidentes.

16. Cumplimiento y revisión

• El incumplimiento de esta política por parte de un organismo o usuario puede dar lugar a la suspensión o cancelación de su cuenta, sin perjuicio de las acciones legales que correspondan.
• La Dirección revisa esta política al menos una vez al año, y también cuando cambian las leyes aplicables, el sistema o los riesgos identificados.
• Cada versión se identifica por su número y fecha de vigencia; la versión vigente es siempre la publicada en esta página.