Alineado con ISO 27001 y SOC 2
Controles internos calibrados contra criterios ISO 27001/27002 y SOC 2 Type II, sobre infraestructura AWS certificada.
Seguridad y cumplimiento
Cumplimiento y confianza
Controles institucionales.
Divulgaciones integrales de cumplimiento, Política de Seguridad de la Información (PSSI), controles ISO 27001/27002, alineación GDPR/LGPD y arquitectura de infraestructura en los productos y las operaciones de ingeniería de UNFLD.
AES-256
En reposo, en cada capa
FileVault · RDS · S3
TLS 1.3
En tránsito, obligatorio
HTTP redirigido a HTTPS
< 4h
Objetivo de tiempo de recuperación
RPO inferior a una hora
11×9
Durabilidad de respaldos
Multi-AZ, bloqueo WORM
A qué nos sujetamos
Seis compromisos que el resto de esta página tiene que demostrar.
Residencia de datos por contrato
Cargas europeas en Frankfurt e Irlanda, cargas LATAM en São Paulo. Alineación con GDPR y LGPD en todo el recorrido.
Cifrado de extremo a extremo
AES-256 en reposo en bases de datos, almacenamiento de objetos e instantáneas. TLS 1.3/1.2 en cada conexión en tránsito.
SSO enterprise y MFA
Federación SAML 2.0, OAuth 2.0 y OpenID Connect, con autenticación multifactor obligatoria para el acceso privilegiado.
Respaldos inmutables
Instantáneas S3 Object Lock que no se pueden borrar ni alterar, validadas con ejercicios trimestrales de restauración.
Verificación continua
Análisis de dependencias y análisis estático en cada pull request, escaneos mensuales del sistema y pruebas de penetración externas periódicas.
El repositorio
Seis capítulos.
98 divulgaciones.
Todo lo que pide una evaluación de riesgo de proveedores, agrupado como lo lee un revisor — desde la política en la cima hasta el pipeline que publica el código. Busquen abajo para ir directo a una respuesta.
Buscar en cada divulgación
Filtrar 98 respuestas en 19 dominios de control.
Capítulo 01 / 06
Gobernanza y política
La Política de Seguridad de la Información de la que cuelga todo lo demás — cómo se valida, se revisa, se audita y se sostiene frente a ISO 27001, SOC 2, GDPR y LGPD.
- General y PSSI08
- Conciencia y capacitación de usuarios01
- Cumplimiento06
General y PSSI
08Conciencia y capacitación de usuarios
01Cumplimiento
06El libro
Contra qué nos miden.
UNFLD opera en forma austera. En lugar de reclamar acreditaciones que no tenemos, declaramos con precisión dónde existe un certificado y dónde calibramos nuestra propia práctica a los criterios.
- ISO 27001Práctica UNFLD · certificado AWSControles del sistema de gestión de seguridad de la información y cadencia de revisión.
- ISO 27002Práctica UNFLDGuía de implementación de controles aplicada en toda la PSSI.
- SOC 2 Type IIPráctica UNFLD · certificado AWSCriterios de seguridad, disponibilidad y confidencialidad.
- GDPRContractualBase legal, DPA con Cláusulas Contractuales Tipo y derechos de los titulares.
- LGPDContractualProtección de datos personales en Brasil en los productos que operamos.
- NIS2AlineadoGestión de riesgo, reporte de incidentes y práctica de cadena de suministro.
- PCI DSS Level 1Certificado AWSAcreditación de plataforma heredada de la capa de hosting.
Capítulo 02 / 06
Identidad y acceso
Quién puede llegar a qué, demostrado en cada frontera. Privilegio mínimo, ciclo de vida de identidad documentado, autenticación multifactor obligatoria y federación enterprise.
- Gestión de autorización de acceso10
- Autenticación03
Federado por defecto
Su directorio sigue siendo la fuente de verdad.
Los tenants enterprise se federan por SAML 2.0, OAuth 2.0 u OpenID Connect contra Microsoft Entra ID, Okta o Google Workspace. Cuando alguien deja su organización, nos deja a nosotros en el mismo momento — sin una lista paralela de cuentas para reconciliar.
- SAML 2.0
- Aserción
- OAuth 2.0
- Delegación
- OIDC
- Identidad
Capítulo 03 / 06
Infraestructura y perímetro
Dónde está físicamente el cómputo, cómo se corta la red en segmentos y qué hay entre internet pública y una base de datos.
- Seguridad física03
- Seguridad de las comunicaciones09
- Hosting06
- Hipervisor y SO01
Seguridad física
03Seguridad de las comunicaciones
09Hosting
06Hipervisor y SO
01Residencia de datos
Dónde están físicamente los datos, por contrato.
Primaria UE
eu-central-1
Frankfurt · Alemania
Cargas con residencia GDPR e instancias RDS cifradas.
Secundaria UE
eu-west-1
Dublin · Irlanda
Destino de replicación entre regiones para clientes europeos.
Primaria LATAM
sa-east-1
São Paulo · Brasil
Residencia local para datos brasileños y regidos por LGPD.
Entrega en el borde y mitigación de DDoS a través de puntos de presencia de Cloudflare en todo el mundo. El cómputo de origen no sale de la región contratada.
Capítulo 04 / 06
Operaciones y respuesta
El día a día: estaciones de trabajo endurecidas, control de cambios, agregación de logs y lo que ocurre en las horas después de que algo sale mal.
- Monitoreo y trazabilidad06
- Seguridad relacionada con las operaciones10
- Gestión de incidentes05
Cuando algo sale mal
Un incidente no es el momento de inventar un proceso. El triaje, la contención, la causa raíz y la notificación están escritos antes de que los necesitemos.
La notificación de brechas sigue GDPR, LGPD y los términos contractuales de SLA — investigada y comunicada a las partes afectadas y a los reguladores sin demora indebida. Todo lo que una investigación necesita ya se está reteniendo.
12 mo
Retención de logs
24–72h
Ventana de parches críticos
90 days
Retención de instantáneas
Capítulo 05 / 06
Datos, respaldo y continuidad
Clasificación, cifrado, instantáneas inmutables y los objetivos de recuperación que nos imponemos cuando una región se apaga.
- Seguridad de datos07
- Gestión de respaldos07
- Continuidad del negocio03
Seguridad de datos
07Gestión de respaldos
07Continuidad del negocio
03Exigido, no aspiracional
La postura, como configuración.
El cifrado, el manejo de credenciales y la retención no son un documento de política que alguien recuerda aplicar. Son los valores por defecto con los que se provisiona cada entorno de UNFLD, y desviarse de ellos hace fallar el pipeline.
posture.yml
# posture.yml — enforced across every UNFLD environmenttransport: minimum: "TLS 1.2" preferred: "TLS 1.3" plaintext_http: "redirect" # never served at_rest: workstations: "FileVault AES-XTS" databases: "AWS RDS AES-256" objects: "S3 SSE-KMS AES-256" backups: "AES-256 + S3 Object Lock" credentials: hashing: "Argon2id, bcrypt fallback" admin_mfa: "required" # TOTP or hardware key federation: ["SAML 2.0", "OAuth 2.0", "OIDC"] retention: operational_logs: "12 months" database_snapshots: "90 days" archives: "monthly + yearly point-in-time"Capítulo 06 / 06
Ingeniería y cadena de suministro
Cómo se construye y se revisa el software antes de publicarse, cómo se mantienen separados los tenants y qué exigimos a cada proveedor que incorporamos.
- Sistemas de información de proyectos04
- Software02
- Servicios y capas05
- Seguridad de subcontratación02
Antes de que algo se publique
Cuatro barreras entre un commit y producción.
01
Revisión por pares
Cada pull request necesita un revisor humano. Sin excepciones, sin auto-merge a ramas de producción.
02
Barreras automatizadas
El análisis estático, el escaneo de dependencias y la detección de secretos corren en cada commit antes de que un merge sea posible.
03
Despliegue por etapas
Los cambios de infraestructura y de aplicación llegan primero a staging, bajo los mismos controles de cifrado y acceso.
04
Evaluación externa
Pruebas de penetración y evaluaciones de vulnerabilidad con especialistas externos, remediadas por severidad.
Revisiones de seguridad y auditorías enterprise
¿Necesitan una evaluación de riesgo de proveedores o un anexo de seguridad a medida?
Nuestro equipo legal y de ingeniería de seguridad en São Paulo entrega cuestionarios de proveedores a medida, mapeos de alineación SOC 2, Anexos de Tratamiento de Datos y revisiones de arquitectura para socios enterprise.
security@unfld.com.br · sales@unfld.com.br