Servicio5 de 6
Seguridad y gobierno técnico
Revisamos la plataforma que heredaste o que va a cambiar de proveedor. Te entregamos lo que encontramos, ordenado por prioridad, y un plan para corregirlo.
- Categoría
- Seguridad y gobierno técnicoVerificado
- Capacidades detalladas
- Pendientes de verificación
- Modelos de contratación
- Proyecto con alcance cerrado
- Bolsa de horas
- Acta de entrega
- Repositorio · Documentación · Accesos · Infraestructura a tu nombre
Superficies de un sistema y quién responde por ellas
Esquema ilustrativo. No representa la arquitectura de ningún cliente.
Todos los estados
Sitio público
Lo que cualquiera puede abrir. El riesgo está en lo que se ejecuta en el navegador y en lo que se publica de más.
- Zona de confianza
- Expuesto a internet
- Riesgos habituales
- Scripts inyectados por contenido o dependencias
- Cabeceras de seguridad ausentes
- Archivos internos publicados por error
- Quién tiene acceso
- Quien publica contenido, con cuenta propia en el gestor. Nadie comparte usuario.
- Revisión
- Cabeceras, política de contenido y lo que contiene cada despliegue.
- Prueba
- Comprobación automática de cabeceras y dependencias en cada cambio.
- Registro
- Historial de publicaciones con autor y fecha.
API
La puerta de los datos. Cada petición debe probar quién es y qué puede hacer.
- Zona de confianza
- Expuesto a internet
- Riesgos habituales
- Un objeto ajeno se lee cambiando un identificador
- Entradas sin validar que llegan a la base de datos
- Sin límite de intentos en el inicio de sesión
- Quién tiene acceso
- Las aplicaciones, con credenciales propias y permisos acotados. Las claves no viven en el código.
- Revisión
- Que cada ruta autorice por recurso, no solo por sesión.
- Prueba
- Pruebas que intentan leer y modificar datos de otra cuenta.
- Registro
- Registro de peticiones rechazadas y cambios de permisos.
Administración
El panel con más poder. Pocas personas, con nombre, y nada compartido.
- Zona de confianza
- Interno
- Riesgos habituales
- Cuentas de personas que ya se fueron
- Un usuario administrador compartido
- Acceso sin segundo factor
- Quién tiene acceso
- Pocas personas con nombre y apellido, cada una con su rol. Se revoca el mismo día de una salida.
- Revisión
- Lista de cuentas y roles, comparada con el equipo actual.
- Prueba
- Intentar acciones de administración con un rol que no debería tenerlas.
- Registro
- Quién entró, cuándo y qué cambió.
Base de datos
Donde está lo valioso. Nadie entra directo salvo para operar, y queda constancia.
- Zona de confianza
- Interno
- Riesgos habituales
- Respaldos que nadie ha intentado restaurar
- Accesos directos de personas para tareas del día a día
- Datos personales sin cifrar en reposo
- Quién tiene acceso
- La aplicación, con un usuario de mínimos permisos. Las personas, solo para operar y por tiempo limitado.
- Revisión
- Usuarios de la base, sus permisos y dónde se guardan los respaldos.
- Prueba
- Una restauración de respaldo de principio a fin.
- Registro
- Accesos directos y consultas de administración registrados.
Integraciones
Servicios de otros que reciben tus datos o actúan en tu nombre.
- Zona de confianza
- Terceros
- Riesgos habituales
- Claves con más permisos de los necesarios
- Datos enviados que el servicio no necesita
- Nadie sabe quién administra la cuenta del proveedor
- Quién tiene acceso
- Una persona responsable por proveedor. Las cuentas quedan a nombre de tu empresa.
- Revisión
- Inventario de integraciones: qué datos reciben y con qué permisos.
- Prueba
- Rotar una clave y comprobar que nada se rompe.
- Registro
- Fecha de alta, última rotación y responsable de cada clave.
Alcance relacionado: Revisión de vulnerabilidadesRevisión de arquitecturaHigiene de accesos y permisos
Lo que resuelve
Situaciones habituales, no casos de clientes.
- P-01
Heredaste una plataforma y no sabes en qué estado está.
Lo que cambiaUna revisión de vulnerabilidades y de arquitectura con los hallazgos priorizados.
- P-02
No tienes claro quién conserva acceso a tus sistemas.
Lo que cambiaUn inventario de accesos y permisos, y cómo se revocan.
- P-03
Vas a cambiar de proveedor y no quieres perder el control del código ni de las cuentas.
Lo que cambiaUn traspaso técnico ordenado: repositorio, accesos y documentación a tu nombre.
Qué incluye y qué no
Incluye
Búsqueda de debilidades conocidas en el código, las dependencias y la configuración.
Cómo están organizadas las piezas del sistema y qué riesgos introduce esa forma de organizarlas.
Revisión del código, las pruebas y las convenciones, con recomendaciones que tu equipo puede aplicar.
Quién tiene acceso a qué, con qué permisos, y cómo se revoca cuando alguien se va.
Traspaso ordenado del código, los accesos y la documentación entre equipos o proveedores.
No incluye
Propuesta pendiente de aprobación- EX-01
Certificaciones o auditorías de cumplimiento
No se ofrecen.
- EX-02
Pruebas de penetración con informe de certificación
Límite por confirmar.
Límites propuestos para revisión (A-07). No son exclusiones aprobadas.
Lo que recibes al terminar
Esto es lo que recibes. Cada fila indica si pasa a tu nombre, si depende del contrato o si no se transfiere.
KorhyTu empresa
- Pasa a tu nombre
- Según contrato y modelo
- No se transfiere
La titularidad final la fija el contrato de cada proyecto.
Base · en todos los servicios
- EN-01
Repositorio
El código fuente y su historial, en un repositorio de tu empresa.
Pasa a tu nombre
- EN-02
Documentación
Cómo está hecho el sistema, por qué se decidió así y cómo ponerlo en marcha.
Pasa a tu nombre
- EN-03
Accesos
Credenciales y permisos de administración, entregados a las personas que designes.
Pasa a tu nombre
- EN-04
Infraestructura a tu nombre
Cuentas del proveedor de nube a nombre de tu empresa. El esquema exacto lo fija el contrato.
Según contrato y modelo
Específicos de Seguridad y gobierno técnico
- EN-05
Informe de hallazgos priorizado
Qué se encontró, dónde y con qué prioridad, explicado para quien decide y para quien corrige.
Pasa a tu nombre
- EN-06
Plan de corrección
Qué corregir primero, quién puede hacerlo y cómo comprobar que quedó resuelto.
Pasa a tu nombre
Lo que no se transfiere
Propuesta pendiente de aprobación- NT-01
Herramientas propias previas al proyecto
Aceleradores internos que ya teníamos. Los usas con una licencia; no se ceden.
Licencia de uso según contrato
- NT-02
Tecnología de terceros con licencia
Servicios y software de otros fabricantes que usa la solución.
Sujeta a la licencia del fabricante
Modelos de contratación
No publicamos precios: dependen del alcance. Los tiempos de atención, si aplican, se fijan en el contrato.
Una revisión tiene un principio y un final: por eso se contrata como proyecto con alcance cerrado o con una bolsa de horas, y no con una iguala.
| Criterio | AProyecto con alcance cerradoConsultar con este modelo: Proyecto con alcance cerrado | BBolsa de horasConsultar con este modelo: Bolsa de horas |
|---|---|---|
| Cuándo aplica | Cuando necesitas una revisión completa de una plataforma, con un alcance definido. | Cuando necesitas una revisión puntual o ayuda para aplicar parte del plan de corrección. |
| Cómo funciona | Acordamos qué sistemas se revisan, con qué accesos, en qué hitos y a qué precio. | Horas prepagadas que se consumen por tarea, con registro de lo realizado. |
| Entregables | Informe de hallazgos priorizado, plan de corrección y acta de entrega. | Registro de horas y la documentación de cada tarea. |
| Consideraciones contractuales | El precio se fija en la propuesta. Los accesos que se usan quedan documentados. | Vigencia y condiciones de las horas según contrato. |
- A
Proyecto con alcance cerrado
- Cuándo aplica
- Cuando necesitas una revisión completa de una plataforma, con un alcance definido.
- Cómo funciona
- Acordamos qué sistemas se revisan, con qué accesos, en qué hitos y a qué precio.
- Entregables
- Informe de hallazgos priorizado, plan de corrección y acta de entrega.
- Consideraciones contractuales
- El precio se fija en la propuesta. Los accesos que se usan quedan documentados.
- B
Bolsa de horas
- Cuándo aplica
- Cuando necesitas una revisión puntual o ayuda para aplicar parte del plan de corrección.
- Cómo funciona
- Horas prepagadas que se consumen por tarea, con registro de lo realizado.
- Entregables
- Registro de horas y la documentación de cada tarea.
- Consideraciones contractuales
- Vigencia y condiciones de las horas según contrato.
05Preguntas
Preguntas frecuentes
Lo que más nos preguntan antes de empezar.
Depende del alcance: qué sistemas se revisan y con qué profundidad. Lo fijamos por escrito en la propuesta antes de empezar.
Un informe de hallazgos priorizado y un plan de corrección, además del inventario de accesos y la documentación que revisamos.
Puede hacerlo tu equipo con el plan de corrección. También podemos hacerlo nosotros, con una bolsa de horas o un proyecto aparte.
Sí. Podemos firmar un acuerdo de confidencialidad y convenios de propiedad intelectual sobre los entregables.
Los accesos pasan a las personas que designes, y el inventario registra quién tiene acceso a qué. El esquema exacto se fija en el contrato.
06Siguiente paso
Cuéntanos qué plataforma necesitas revisar.
La agenda en línea todavía no está disponible.
Tu consulta
Esto llega contigo al formulario de contacto. El enlace solo lleva el servicio y el modelo.
- Servicio
- Seguridad y gobierno técnico
- Modelo
- Sin indicarElegir un modelo