Certificaciones y su alcance
UP2DATE publica certificaciones ISO 9001:2015 e ISO/IEC 27001:2022 (SR ISO/CEI 27001:2023), emitidas por Management Certification. El certificado de seguridad de la información se identifica con la serie SI-MC n.º 1214, emitido inicialmente en 2023.
Los ámbitos declarados incluyen desarrollo de software, productos de software, consultoría informática, tratamiento de datos y administración de páginas web. Durante la evaluación del proveedor se confirman los documentos, la vigencia y el alcance aplicable a la colaboración. La certificación de la organización no certifica automáticamente cada aplicación ni su uso.
Acceso al código, los entornos y los datos
El inventario del proyecto identifica a los propietarios de las cuentas y el acceso necesario para cada rol. Establecemos quién aprueba el acceso, cómo se gestionan las credenciales y cómo se retira el acceso cuando cambia el equipo o se realiza el traspaso.
Distinguimos las responsabilidades del cliente, de UP2DATE y de los proveedores respecto a los repositorios, la nube, las tiendas de aplicaciones y los sistemas integrados.
¿Qué datos se utilizan y por dónde circulan?
- Identificamos el origen, el destino, los roles permitidos y el propósito de cada flujo.
- Acordamos los conjuntos de datos de prueba y las medidas necesarias de anonimización o minimización de datos.
- Aclaramos el alojamiento, la conservación, la exportación y la eliminación en los requisitos del proyecto.
- Para la IA, incluimos el proveedor del modelo, los documentos accesibles, los permisos del usuario y el control de las acciones.
¿Cómo verificamos los controles?
Los criterios de aceptación incluyen los escenarios de acceso, los límites entre usuarios u organizaciones y los errores relevantes. Las pruebas de seguridad, las revisiones de configuración y las evaluaciones independientes se delimitan en el alcance del proyecto.
En un producto para un sector regulado, el cliente y los especialistas designados establecen los requisitos aplicables. Implementar una funcionalidad de software no sustituye la evaluación de conformidad del producto completo.
Incidentes, copias de seguridad y restauración
El acuerdo de soporte especifica qué monitorizamos, el horario, la gravedad de los incidentes, el escalado y los tiempos de respuesta. El tiempo de resolución depende del diagnóstico y de las dependencias.
Para la continuidad, definimos quién se encarga de las copias de seguridad, cómo se verifica la restauración y cuáles son los pasos de reversión. Los objetivos se establecen según el sistema; no damos por incluido el soporte 24/7 en todos los proyectos.
¿Qué aclaramos durante la evaluación del proveedor?
Habla con nosotros sobre tus requisitos antes de transmitir datos sensibles. Los documentos específicos y el nivel de detalle se acuerdan durante la evaluación de la colaboración.
- El alcance y los documentos de certificación pertinentes.
- Las responsabilidades sobre los datos, el acceso y los proveedores.
- Las comprobaciones incluidas, los entregables y las exclusiones.
- Los contactos para seguridad, incidentes y traspaso.