EMPRESA DEMO Seguridad, privacidad y compliance

Documento generado únicamente con fines de demostración que simula un certificado de conformidad ISO/IEC 27001:2022 para la empresa CONFYDENT, emitido supuestamente por 'Global Cyber Certification Authority' con número ISO27001-FAKE-0001. El propio documento declara explícitamente ser completamente falso y no constituye evidencia válida de certificación real ni de conformidad con ningún estándar.

Política de alto nivel que define cómo Confydent gestiona la seguridad de su cadena de suministro digital, estableciendo una clasificación tripartita de proveedores (Crítico, Importante, Estándar) con procesos de due diligence diferenciados. Incluye requisitos contractuales de seguridad alineados con NIS2 Art. 21.2(d), como notificación de incidentes en menos de 24 horas, derecho de auditoría y obligación de planes de continuidad compatibles. Define un marco de monitorización continua con revisiones mensuales del Trust Center, seguimiento de CVEs y evaluaciones anuales de riesgo de concentración.

Política corporativa de alto nivel que establece los principios del Art. 5 RGPD, las bases jurídicas del tratamiento (Art. 6), los roles de Confydent como Responsable y Encargado del Tratamiento, y los derechos de los interesados (Arts. 15-22). Define las responsabilidades del DPO designado y los canales para el ejercicio de derechos, sirviendo como documento rector en materia de privacidad para toda la organización. Aplica tanto al tratamiento de datos propios (clientes, empleados) como a los datos de terceros almacenados en la plataforma confydent.app.

Política corporativa de alto nivel que establece el marco de resiliencia operativa digital de Confydent conforme al Reglamento (UE) 2022/2554 (DORA), aplicable como proveedor tercero de servicios TIC para entidades financieras reguladas. Define los cinco pilares de gestión del riesgo TIC (identificación, protección, detección, respuesta y recuperación), los objetivos de continuidad (RTO ≤ 4h, RPO ≤ 1h), los plazos de notificación de incidentes graves y los requisitos de gestión de terceros críticos (AWS, LLM, Stripe/PayPal). Asigna responsabilidades a Dirección General, CTO, DPO/Compliance Officer y BCM Owner, y establece revisión anual con aprobación de la Dirección General.

Define los procedimientos técnicos paso a paso para recuperar la infraestructura tecnológica de Confydent ante situaciones de desastre, con RTO ≤ 4h y RPO ≤ 1h. Establece la arquitectura de recuperación dual (eu-west-1 / eu-central-1), la estrategia de backup por componente y el procedimiento de failover/failback. Incluye un programa de pruebas periódicas (verificación mensual, tabletop trimestral y failover técnico semestral).

Plan integral que define los criterios de activación, estructura del Equipo de Gestión de Crisis (EGC) y procedimientos de respuesta ante escenarios de interrupción (fallo AWS, ransomware, pérdida de personal clave). Establece roles, responsabilidades, recursos de continuidad y criterios de desactivación para garantizar la resiliencia operacional de Confydent. Incluye referencias al BIA (CON-BIA-003), al DRP (CON-DRP-006) y al Plan de Comunicación (CON-COM-008), así como un proceso formal de revisión post-incidente con lecciones aprendidas.

Documento rector del Sistema de Gestión de Seguridad de la Información (SGSI) de Confydent, aprobado por Dirección General y alineado con ISO/IEC 27001:2022 (Cláusula 5.2). Establece los objetivos de seguridad (confidencialidad, integridad, disponibilidad y cumplimiento) con indicadores medibles, los principios rectores del SGSI y las responsabilidades organizacionales asignadas a roles clave (CISO, CTO, DPO). Cubre la totalidad de la plataforma SaaS confydent.app, incluyendo desarrollo, infraestructura cloud AWS, soporte y gestión documental, con compromiso explícito de revisión anual y mejora continua.

Política corporativa que define los algoritmos criptográficos aprobados (AES-GCM 256 bits, TLS 1.3, bcrypt/Argon2id, ECDH P-256), los estándares de cifrado para datos en reposo y en tránsito, y los requisitos de gestión del ciclo de vida de claves criptográficas. Establece controles para la generación, almacenamiento, rotación y destrucción de claves mediante AWS KMS y AWS Secrets Manager. Define responsabilidades del CTO/CISO y aplica técnicas de crypto-shredding como método de eliminación segura de datos.

Política corporativa que establece los principios de mínimo privilegio, need-to-know, separación de funciones y Zero Trust para el acceso a sistemas, aplicaciones y datos. Define el ciclo de vida completo de identidades (alta, cambio, baja y revisión trimestral), los requisitos de autenticación (MFA obligatorio, contraseñas de mínimo 12 caracteres, rotación cada 90 días) y los controles específicos por sistema (AWS, RDS, GitHub, panel de administración). Incluye también las condiciones de acceso para terceros, proveedores y auditores.

Procedimiento técnico que regula el ciclo de vida completo de identidades y accesos en la organización, definiendo los pasos operativos para el aprovisionamiento de cuentas en el IdP (Google Workspace), configuración de MFA obligatorio (TOTP), y asignación de grupos de seguridad según rol. Establece el proceso de modificación de accesos ante cambios de puesto, incluyendo revocación de permisos en AWS IAM y GitHub, con trazabilidad en el Registro de Accesos. Define un checklist crítico de offboarding que cubre la revocación inmediata de accesos en todos los sistemas (Google Workspace, AWS, GitHub, Slack, Notion, VPN, panel de administración) y la rotación de secretos compartidos.

Define el programa formativo anual de Confydent en cumplimiento del Art. 20.2 de la Directiva NIS2, estableciendo módulos diferenciados por colectivo (todo el personal, directivos, equipo técnico y ERI/Compliance). Incluye contenidos curriculares específicos —ciberhigiene, riesgos estratégicos, desarrollo seguro y gestión de incidentes—, simulacros trimestrales de phishing y un sistema de registro de participación. Establece criterios de eficacia medibles: ≥95% de participación, ≥80% de aprobados en tests y tasa de clic en phishing <5%.

Documento de política pública que establece la lista oficial de subprocesadores autorizados por Confydent en su rol de Encargado del Tratamiento, conforme al Art. 28 RGPD. Define los criterios de garantías exigibles a cada subprocesador (DPA, SCC, certificaciones ISO/SOC), el proceso de aprobación de nuevos subprocesadores con evaluación del DPO, y el mecanismo de notificación a clientes con 30 días de antelación ante cualquier cambio. Incluye el registro histórico de cambios y el derecho de oposición del cliente con posibilidad de resolución contractual sin penalización.

Contrato jurídico que regula el tratamiento de datos personales por parte de Confydent, S.L. como encargado, en nombre del responsable del tratamiento, para la prestación del servicio Trust Center SaaS. Define las obligaciones de las partes conforme al Art. 28 RGPD, incluyendo medidas de seguridad técnicas y organizativas (cifrado AES-256, MFA, RBAC, backups), gestión de subencargados (AWS, proveedores LLM), transferencias internacionales mediante SCC, y procedimientos de notificación de brechas en ≤24 horas. Sirve como instrumento jurídico acreditativo del cumplimiento normativo frente a autoridades supervisoras y clientes.

Documento que establece la metodología ISO 31000 adaptada para la evaluación de riesgos de continuidad de negocio de Confydent, utilizando una matriz 5×5 de Probabilidad × Impacto. Incluye un registro de 10 riesgos identificados (desde ransomware hasta incumplimiento normativo DORA/NIS2), con sus niveles de criticidad y tratamientos asociados. Sirve como evidencia formal del proceso de gestión de riesgos ante marcos regulatorios como DORA, NIS2, GDPR e ISO 27001.

Define la metodología corporativa de evaluación de riesgos basada en ISO 31000/ISO 27001, con escala P×I (1-25) y cuatro opciones de tratamiento (mitigar, transferir, aceptar, eliminar). Incluye el registro completo de riesgos identificados (9 amenazas valoradas), los controles ISO 27002:2022 asociados y el riesgo residual resultante. Presenta además un resumen de la Declaración de Aplicabilidad (SoA) con 80 de 93 controles del Anexo A aplicados y las exclusiones justificadas.

Procedimiento operativo que define el ciclo completo de gestión de incidentes de seguridad de la información conforme a ISO 27035 e ISO 27001:2022 Anexo A 5.24-5.28, estableciendo clasificación por severidad (P1-P4), fases de respuesta (detección, contención, erradicación, recuperación y lecciones aprendidas) y tiempos de respuesta específicos. Incluye obligaciones de notificación regulatoria ante GDPR (≤72h), NIS2 (≤24h) y DORA (≤4h), así como la activación del equipo de respuesta compuesto por CISO, CTO y DPO. Define requisitos de preservación de evidencias forenses con retención mínima de 1 año, cadena de custodia documentada y almacenamiento inmutable con hash en el SIEM.

Define la metodología para identificar, catalogar y clasificar los activos de información de Confydent según cuatro niveles (Público, Interno, Confidencial, Restringido) basados en criterios CIA. Incluye un inventario detallado de 9 activos con propietarios, controles aplicados y tipos, abarcando plataforma, bases de datos, repositorios, claves criptográficas y datos de empleados. Establece el ciclo de vida completo del activo: alta, cambio de clasificación, baja segura y revisión semestral.