Confianza
Seguridad en las aplicaciones que desarrollamos
La seguridad de una aplicación se decide en su diseño y se mantiene en su operación. Los controles adecuados dependen del alcance, de los datos que se tratan y de los riesgos de cada proyecto, por lo que se definen y documentan para cada caso. Esta página describe los criterios que se consideran; no afirma auditorías ni certificaciones.
Criterios que se consideran según el alcance
| Área | Qué se decide |
|---|---|
| Autenticación | Cómo se identifican los usuarios: credenciales, inicio de sesión corporativo, segundo factor cuando el riesgo lo aconseja. |
| Autorización | Qué puede ver y hacer cada perfil, comprobado en el servidor y no solo en la interfaz. |
| Dependencias | Inventario de librerías, actualizaciones y revisión de vulnerabilidades conocidas. |
| Segregación | Separación de datos entre organizaciones o centros y de entornos (desarrollo, pruebas, producción). |
| Secretos | Claves y credenciales fuera del código y con acceso restringido. |
| Registros | Qué acciones se registran, durante cuánto tiempo y quién puede consultarlas, sin guardar datos innecesarios. |
| Copias y continuidad | Frecuencia de copias, pruebas de restauración y qué ocurre si un servicio no está disponible. |
Responsabilidades compartidas
Una parte de la seguridad depende del proveedor de infraestructura, otra del desarrollo y otra de la operación diaria (altas y bajas de usuarios, contraseñas, dispositivos). Conviene dejar por escrito quién se encarga de cada aspecto, qué se revisa periódicamente y cómo se notifica un incidente.
Lo que no afirmamos
- Ningún sistema es invulnerable; los controles reducen riesgos, no los eliminan.
- No afirmamos certificaciones ni auditorías externas que no existan. Si un proyecto las requiere, se contratan con proveedores habilitados.
Qué es política vigente y qué no
| Aspecto | Qué contiene esta página | Qué obliga realmente |
|---|---|---|
| Naturaleza | Explicación de opciones y criterios que conviene valorar. | El acuerdo firmado por las partes para cada proyecto. |
| En este tema | Criterios de seguridad que se valoran al diseñar y operar una aplicación. | Los controles concretos que se documenten y acuerden para cada proyecto en el contrato o sus anexos. |
| Certificaciones | No se afirma ninguna certificación, auditoría externa ni sello. | Solo existiría si constara documentada y se aportara la evidencia correspondiente. |
| Políticas internas | No se presenta como política implantada nada que no figure en un acuerdo. | Las medidas aplicables son las que se recojan por escrito en el contrato o en sus anexos. |
Esta página es informativa. No constituye un contrato ni crea obligaciones por sí misma: las condiciones aplicables a cada proyecto son las que se acuerdan y firman por escrito.