🔒 Seguridad de Aplicaciones

ISO/IEC 27001:2022

ISO/IEC 27001 es la norma internacional más reconocida para sistemas de gestión de seguridad de la información (SGSI). Define los requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de seguridad.

Requisitos Clave que Implementamos

ISO/IEC 27002:2022

ISO 27002 proporciona las buenas prácticas y controles específicos para implementar la seguridad. La versión 2022 organiza los controles en 4 categorías principales:

Otras Normas ISO Relevantes

ISO/IEC 27701:2019 - Gestión de Privacidad

Extensión de ISO 27001 para gestión de información personal (PII). Nos ayuda a cumplir con:

• Ley de Protección de Datos Personales (Perú)
• GDPR (Unión Europea)
• LGPD (Brasil)

ISO/IEC 27017:2015 - Seguridad en Cloud

Controles específicos para servicios en la nube que aplicamos en nuestras implementaciones cloud:

• Segregación de datos entre clientes
• Seguridad de máquinas virtuales
• Hardening de contenedores

ISO/IEC 27018:2019 - Protección de PII en Cloud

Protección de datos personales en entornos de nube pública.

ISO 22301 - Continuidad del Negocio

Sistema de gestión de continuidad del negocio para garantizar la disponibilidad de servicios ante desastres.

¿Qué es OWASP?

OWASP (Open Web Application Security Project) es una fundación sin fines de lucro que trabaja para mejorar la seguridad del software. Proporciona guías, herramientas y estándares gratuitos reconocidos mundialmente.

OWASP Top 10 - 2021

Lista oficial de las 10 vulnerabilidades más críticas en aplicaciones web y cómo las mitigamos:

1. A01 - Pérdida de Control de Acceso

   Fallas que permiten a usuarios actuar fuera de sus permisos autorizados.

   Nuestra protección: Control de acceso basado en roles (RBAC), validación en servidor, principio de mínimo privilegio.

2. A02 - Fallas Criptográficas

   Exposición de datos sensibles por criptografía débil o inexistente.

   Nuestra protección: TLS 1.3 para datos en tránsito, AES-256 para datos en reposo, gestión segura de claves.

3. A03 - Inyección

   SQL injection, NoSQL injection, OS command injection, LDAP injection.

   Nuestra protección: Consultas parametrizadas, validación de entrada, escape de caracteres especiales, ORM seguro.

4. A04 - Diseño Inseguro

   Fallas de diseño y arquitectura que no pueden corregirse solo con código.

   Nuestra protección: Modelado de amenazas, Security by Design, revisión de arquitectura, patrones de diseño seguros.

5. A05 - Configuración de Seguridad Incorrecta

   Configuraciones por defecto inseguras, permisos mal configurados, funciones innecesarias habilitadas.

   Nuestra protección: Hardening de servidores, configuración automatizada, revisión de configuraciones, deshabilitación de servicios innecesarios.

6. A06 - Componentes Vulnerables y Desactualizados

   Uso de bibliotecas, frameworks o componentes con vulnerabilidades conocidas.

   Nuestra protección: Escaneo de dependencias (SCA), actualizaciones regulares, monitoreo de CVEs, inventario de componentes.

7. A07 - Fallas de Identificación y Autenticación

   Debilidades en verificación de identidad, gestión de sesiones, contraseñas.

   Nuestra protección: Autenticación multi-factor (MFA), políticas de contraseñas fuertes, bloqueo de cuentas, tokens seguros.

8. A08 - Fallas de Integridad de Software y Datos

   Código y datos que no verifican integridad, actualizaciones inseguras.

   Nuestra protección: Firmas digitales, verificación de integridad, pipelines CI/CD seguros, código firmado.

9. A09 - Fallas de Registro y Monitoreo

   Logging insuficiente, detección y respuesta inadecuada a incidentes.

   Nuestra protección: Logging centralizado, SIEM, alertas automáticas, retención de logs, monitoreo 24/7.

10. A10 - Server-Side Request Forgery (SSRF)

    Aplicación que realiza solicitudes a URLs proporcionadas por usuarios sin validación.

    Nuestra protección: Validación de URLs, listas blancas, segmentación de red, firewalls de aplicación.

OWASP Mobile Top 10

Para nuestras aplicaciones móviles (FastSales, Hermes) aplicamos protecciones contra:

OWASP ASVS - Niveles de Verificación

Aplicamos el Estándar de Verificación de Seguridad de Aplicaciones según el nivel de criticidad:

1. Cifrado y Criptografía

1.1. Cifrado de Datos en Tránsito

Toda comunicación de datos entre clientes, servidores y servicios externos está protegida:

• Protocolo TLS 1.3: Versión más reciente y segura (mínimo TLS 1.2)
• HTTPS Obligatorio: No se permite HTTP sin cifrar en ninguna aplicación
• Certificate Pinning: En aplicaciones móviles para prevenir ataques MITM
• mTLS: Autenticación mutua entre microservicios internos
• HSTS: HTTP Strict Transport Security habilitado

1.2. Cifrado de Datos en Reposo (At-Rest Encryption)

El cifrado en reposo protege los datos almacenados en cualquier medio de almacenamiento contra accesos no autorizados, incluso si un atacante obtiene acceso físico al disco o a los archivos de respaldo.

1.3. Gestión de Claves de Cifrado

1.4. Algoritmos Criptográficos Aprobados

2. Autenticación y Control de Acceso

2.1. Autenticación

• Autenticación Multi-Factor (MFA): Obligatorio para administradores, opcional para usuarios
• Single Sign-On (SSO): Integración con Active Directory, Google Workspace
• Políticas de Contraseñas:
  • Mínimo 12 caracteres
  • Combinación de mayúsculas, minúsculas, números y símbolos
  • No permitir contraseñas comunes (lista de contraseñas comprometidas)
  • Expiración cada 90 días para cuentas privilegiadas
• Bloqueo de Cuentas: Después de 5 intentos fallidos, bloqueo por 30 minutos
• Detección de Fuerza Bruta: Rate limiting y CAPTCHA adaptativo

2.2. Control de Acceso (RBAC)

• Principio de Mínimo Privilegio: Solo acceso necesario para el rol
• Segregación de Funciones: Separación de tareas críticas
• Revisión Periódica: Auditoría trimestral de permisos
• Desactivación Automática: Cuentas inactivas por 90 días

3. Seguridad de Red

4. Seguridad de Base de Datos

Todas las bases de datos utilizadas por software de ING. JHONNY RAMIREZ CHIROQUE implementan las siguientes medidas:

5. Seguridad de Aplicaciones

5.1. Desarrollo Seguro (SSDLC)

5.2. Herramientas de Seguridad

6. Protección contra Malware

• Antivirus/EDR: En todos los servidores y estaciones
• Sandboxing: Análisis de archivos sospechosos
• Email Security: Filtrado de spam y phishing
• Web Filtering: Bloqueo de sitios maliciosos

7. Gestión de Vulnerabilidades

8. Respaldo y Recuperación

• Frecuencia: Backups incrementales cada hora, completos diarios
• Retención: 30 días diarios, 12 meses mensuales
• Ubicación: Múltiples zonas geográficas (Perú, USA, Europa)
• Cifrado: AES-256 con claves separadas
• Pruebas: Restauración de prueba mensual
• RTO/RPO: RTO 4 horas, RPO 1 hora

9. Logging y Monitoreo

• Centralización: Todos los logs en sistema SIEM
• Retención: 1 año para logs de seguridad, 90 días para operacionales
• Alertas: Notificaciones en tiempo real para eventos críticos
• Correlación: Detección de patrones de ataque
• Dashboards: Visibilidad en tiempo real del estado de seguridad

Estado de Certificaciones

Programa de Auditorías

Gestión de Incidentes de Seguridad

Proceso de Respuesta a Incidentes

1. Detección: Identificación del incidente mediante monitoreo o reporte
2. Análisis: Evaluación del alcance e impacto
3. Contención: Acciones inmediatas para limitar el daño
4. Erradicación: Eliminación de la amenaza
5. Recuperación: Restauración de sistemas afectados
6. Lecciones Aprendidas: Análisis post-incidente y mejoras

Capacitación en Seguridad

• Inducción: Capacitación obligatoria para nuevos empleados
• Anual: Actualización de conocimientos de seguridad
• Phishing: Simulaciones mensuales de phishing
• Desarrollo: Capacitación específica en codificación segura
• Certificaciones: Apoyo para certificaciones profesionales (CISSP, CEH, etc.)

Reporte de Vulnerabilidades

Contacto de Seguridad