ISMS-manager

Seguridad

Seguridad y privacidad

Gestionamos tu información con los mismos criterios que ISMS-manager te ayuda a aplicar en tu organización.

Panel incluido en cada instancia: los administradores ven en todo momento el estado de estas medidas y ajustan las que son configurables.

Medidas de la plataforma

Identidad y acceso

Doble factor de autenticación
Con aplicación de códigos (TOTP) o código por correo, y códigos de recuperación de un solo uso. Puede exigirse a todos los usuarios o solo a los administradores.
Bloqueo ante fuerza bruta
Cinco intentos fallidos bloquean la cuenta durante 30 minutos, y el inicio de sesión tiene un límite de peticiones por dirección IP.
Política de contraseñas
Caducidad configurable con avisos previos por correo. Las contraseñas se guardan con hash PBKDF2-SHA256 y sal, nunca en claro.
Roles y permisos
Cada usuario accede solo a los módulos que permite su rol.

Aplicación web

Sesiones protegidas
Caducan tras 60 minutos de inactividad y usan cookies HttpOnly, Secure y SameSite.
Protección CSRF
Todos los formularios llevan un token contra la falsificación de peticiones.
Cabeceras de seguridad
CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy y Permissions-Policy.
Cifrado en tránsito
Todo el tráfico se sirve por HTTPS (TLS).

Trazabilidad

Registro de auditoría
Quién hizo qué y cuándo, con los valores anteriores y nuevos de cada cambio.
Accesos bajo control
Inicios de sesión, intentos fallidos, bloqueos y cambios del doble factor quedan registrados.
Evidencias para tus auditorías
El registro permite demostrar cuándo se activó una medida y quién la modificó.

Infraestructura y datos

Alojamiento en la Unión Europea
Servidores y copias de seguridad en centros de datos situados en la UE.
Superficie de ataque mínima
Cortafuegos con solo HTTP y HTTPS expuestos; administración por clave SSH, restringida por IP y protegida con fail2ban.
Parches automáticos
Las actualizaciones de seguridad del sistema operativo se aplican de forma automática.
Copias fuera del servidor
En los planes Avanzado y Pro, copia diaria automática del servidor completo en la infraestructura europea del proveedor, fuera del propio servidor; se conservan las 7 últimas. En el plan Básico, las haces tú cuando quieras desde ISMS-manager.

Seguridad en operación continua

La seguridad no se configura una sola vez; se vigila y se pone a prueba de forma periódica.

  • Pruebas de intrusión periódicas

    Especialistas evalúan la plataforma para detectar vulnerabilidades antes de que lo haga un atacante.

  • Monitorización constante

    Vigilancia continua de la disponibilidad, el rendimiento y los eventos de seguridad, con alertas al equipo de operaciones.

  • Gestión de vulnerabilidades

    Revisión de dependencias y aplicación priorizada de parches en la aplicación y la infraestructura.

  • Respuesta a incidentes

    Procedimiento de gestión y notificación de incidentes conforme al contrato y al RGPD.

Privacidad y RGPD

Las instancias y los datos se alojan en infraestructura europea con el objetivo de facilitar el cumplimiento del RGPD. Actuamos como encargados del tratamiento de los datos que gestionas en tu instancia, según lo previsto en el contrato de encargo (DPA).

Esta información es orientativa y no sustituye al DPA ni a las condiciones contractuales.

Un servidor para cada cliente

En todos los planes tu instancia se ejecuta en un servidor dedicado, con su propio cortafuegos y disco: no compartes infraestructura con otros clientes.

Notificación de vulnerabilidades

Si detectas una posible vulnerabilidad, escríbenos a info@cleariso.es. Revisamos cada aviso y te respondemos.

Documentación

La documentación contractual (términos, DPA, SLA) estará disponible antes de la contratación.

Toma el control de tu SGSI

Pide una demostración centrada en tu escenario de cumplimiento y ve ISMS-manager en la práctica, o escríbenos a info@cleariso.es.

Solicitar una demo Probar la demo