Finalidad
Esta política define los controles de seguridad de la información implementados en Global Logistics Software (GLS). Su objetivo es reducir el riesgo de acceso no autorizado, divulgación, pérdida o uso indebido de información, permitiendo la actividad operativa legítima.
Alcance
Esta política se aplica a todos los sistemas, entornos y servicios de GLS, incluidos los datos personales, operativos y comerciales tratados por cuenta de los clientes.
Principios de seguridad
- seguridad desde el diseño en lugar de controles reactivos
- aislamiento lógico estricto entre empresas
- acceso a datos y funciones con los privilegios mínimos necesarios
- trazabilidad de acciones administrativas y sensibles
- cifrado de datos en tránsito y almacenados
Controles de seguridad principales
Control de acceso
El acceso a GLS requiere cuentas de usuario autenticadas. La autorización se basa en funciones y limita a cada usuario a las funciones mínimas necesarias para sus responsabilidades. Los privilegios elevados requieren una asignación expresa y no se conceden por defecto.
Aislamiento de datos por empresa
Los datos de clientes están separados lógicamente por empresa. Todo acceso a datos operativos requiere un contexto de empresa válido para impedir exposiciones accidentales o deliberadas entre empresas.
Trazabilidad y registros
Las acciones de usuarios y del sistema relevantes para la seguridad se registran para facilitar la supervisión, la investigación y la auditoría. Los registros se conservan de modo que puedan servir como prueba en revisiones de seguridad o consultas regulatorias.
Cifrado
Se utilizan controles criptográficos conforme a los estándares del sector para proteger los datos transmitidos entre sistemas y los datos de clientes almacenados.
Desarrollo seguro y control de cambios
Los cambios siguen procesos controlados de desarrollo y publicación para reducir la introducción de comportamientos inseguros o no revisados.
Resiliencia y copias de seguridad
La seguridad se gestiona junto con la disponibilidad. Se implementan medidas de copia de seguridad, recuperación y continuidad para evitar que los incidentes de seguridad provoquen pérdidas irreversibles de datos.
Autoridad de plataforma y control administrativo global
GLS utiliza un modelo restringido de autoridad de plataforma para las operaciones de seguridad, el cumplimiento normativo y la respuesta a incidentes. Esta autoridad está separada de las cuentas de empresa y no se ofrece mediante la administración estándar de usuarios o empresas.
Superusuario global (GSU)
El superusuario global (GSU) es una función de autoridad de plataforma estrictamente controlada, utilizada exclusivamente para seguridad, continuidad y fines normativos. Protege la integridad de la plataforma y facilita las obligaciones legales de marcos como NIS2 e ISO 27001.
Actividades permitidas
- gestión de la configuración de seguridad de la plataforma
- ejecución de respuestas a incidentes, incluida la restricción de acceso
- atención a solicitudes legales y regulatorias de conservación de datos
- revisión de metadatos de auditoría relativos al funcionamiento de la plataforma
Restricciones expresas
Los superusuarios globales tienen restricciones técnicas y procedimentales que les impiden realizar actividades comerciales u operativas propias de una empresa cliente.
- sin acceso rutinario a los datos comerciales de clientes
- sin modificación de envíos, precios, facturas ni registros financieros
- sin elusión de los sistemas de facturación o pagos
- sin eliminación ni alteración de los registros de auditoría
- sin creación de cuentas adicionales de superusuario global
Creación, acceso y supervisión
Las cuentas de superusuario global solo se crean mediante procesos controlados de despliegue u operación y no desde las interfaces de usuario. El acceso elevado se protege con controles de autenticación robustos.
Todas las acciones realizadas con esta autoridad se registran, revisan y supervisan para garantizar un uso adecuado y proporcionado.
Alineación con los requisitos normativos
Los controles descritos facilitan la alineación con marcos de seguridad habituales y obligaciones normativas, incluidos los requisitos de seguridad de NIS2 y del RGPD. GLS forma parte del entorno general de seguridad y gobernanza del cliente y no sustituye sus controles internos.
Responsabilidades del cliente
Los clientes siguen siendo responsables de:
- asignar funciones y permisos internos adecuados
- proteger los sistemas locales, los dispositivos y las credenciales
- garantizar el uso lícito y legítimo de los datos
- comunicar rápidamente cualquier sospecha de incidente de seguridad
Limitaciones
Ningún sistema técnico puede eliminar todos los riesgos de seguridad. Las amenazas, la tecnología y los requisitos normativos evolucionan, y los controles de seguridad seguirán desarrollándose.
Revisión
Esta política se revisa al menos anualmente o antes si cambian de forma importante el diseño de la plataforma, la normativa o el entorno de amenazas.