<aside> 🛡️

Política corporativa de Paisanos para la protección de la información y los sistemas utilizados en la prestación de servicios. Responsable: CTO / Security Officer.

</aside>

1. Objetivo

Establecer los principios y controles mínimos para proteger la confidencialidad, integridad y disponibilidad de la información de Paisanos, sus clientes y terceros, reduciendo riesgos de acceso no autorizado, pérdida, modificación, exposición o indisponibilidad.

2. Alcance

Aplica a colaboradores, contratistas, dispositivos, repositorios, infraestructura, aplicaciones, servicios cloud, SaaS, credenciales, datos y terceros utilizados por Paisanos para desarrollar, operar o soportar productos digitales.

3. Gobierno y responsabilidades

• El CTO / Security Officer es responsable del gobierno de Seguridad de la Información y del SGSI.
• Los responsables de cada producto o servicio deben identificar riesgos, mantener inventariados sus activos y aplicar los controles definidos en esta política.
• Todo colaborador debe proteger credenciales, información de clientes y activos a los que tenga acceso.
• Los terceros deben cumplir controles equivalentes o ser evaluados antes de incorporarse a servicios que procesen información relevante.

4. Principios de seguridad

• Mínimo privilegio y need-to-know para accesos.
• MFA/SSO siempre que la plataforma lo permita.
• Segregación de funciones entre desarrollo, revisión, aprobación y producción.
• Security by design y revisión de seguridad dentro del ciclo de desarrollo.
• Cifrado en tránsito mediante TLS 1.2+ y preferentemente TLS 1.3.
• Cifrado en reposo mediante la infraestructura o proveedor homologado correspondiente.
• Secretos fuera del código fuente, almacenados en mecanismos de gestión de secretos aprobados.
• Separación de ambientes de Desarrollo, QA/Testing y Producción.
• Uso de datos sintéticos o anonimizados en ambientes no productivos cuando pueda existir información sensible.