Seguridad y confidencialidad
Versión de trabajo: 0.1 · Sin fecha de entrada en vigor
1. Enfoque general
La protección de BlexSys Personal combina controles de software, configuración de servidores, procedimientos humanos y recuperación. Este documento describe principios y no constituye certificación de cumplimiento de una norma.
2. Identidades y sesiones
Las contraseñas deben almacenarse mediante hashes adecuados y las sesiones limitarse en duración y privilegios. El sistema debe limitar intentos repetidos de autenticación y proteger los tokens de sesión en tránsito.
3. Autorización y separación
Cada operación de lectura, creación, cambio o eliminación de datos financieros debe comprobar al usuario autenticado y la propiedad o permiso correspondiente. El aislamiento entre familias debe probarse con cuentas de ensayo independientes.
4. Comprobantes y carga de archivos
Los archivos adjuntos requieren control de tamaño y formato, comprobación del tipo real, nombre de almacenamiento aleatorio, ausencia de ejecución de scripts y autorización de descarga. No deben guardarse archivos privados en rutas públicamente explorables.
5. Actualizaciones y cambios
Los ZIP oficiales deben comprobar versión, rutas internas e integridad antes de instalarse. Cada actualización requiere respaldo, pruebas de regresión, registro de cambios y plan de recuperación ante fallos.
6. Eventos e incidentes
Los eventos sensibles deberían registrarse sin incluir contraseñas ni contenido íntegro de información financiera. Los incidentes se investigarán, contendrán, documentarán y comunicarán cuando las leyes aplicables lo exijan.
7. Proveedores, secretos y acceso interno
Las credenciales del servidor, llaves API y cuentas administrativas deben limitarse al personal autorizado. Los terceros necesitan controles contractuales y técnicos proporcionales a su acceso.
8. Límites y revisión
Ningún documento garantiza que un sistema nunca sufrirá ataques. Las afirmaciones públicas de seguridad deben respaldarse con pruebas actuales, y los procedimientos deben revisarse al cambiar infraestructura, código o mercado.