Política de Seguridad

1. Aislamiento entre clientes

La garantía central de un producto que atiende a varias empresas es que los datos de una no puedan alcanzarse desde otra.

El aislamiento vive en la base de datos, no en el programa

Cada consulta se ejecuta con el contexto de la empresa fijado a nivel del motor de base de datos, que filtra las filas antes de entregarlas. La mayoría de los productos multi-empresa confía en que el programa recuerde filtrar en cada consulta; acá un error de programación no puede saltarse el aislamiento, porque quien filtra no es el programa.

El rol con el que corre la aplicación no es administrador

La aplicación se conecta con un rol restringido, sin propiedad sobre las tablas y sujeto a las reglas de aislamiento. Las operaciones que exceden eso están separadas y acotadas a funciones de propósito único.

2. Control de acceso e identidad

Perfiles por nivel y alcance por sucursal

El acceso se define en dos ejes: qué puede hacer una persona y sobre qué locales. Un jefe de sucursal tiene las mismas atribuciones que un administrador, acotadas a las sucursales que se le asignaron. Nadie puede crear un usuario con más poder del que tiene ni asignarle un local que él mismo no administre.

El control de acceso está verificado por pruebas automáticas

Una prueba recorre las rutas reales del sistema y falla si alguna que recibe un recurso de una sucursal o unidad queda sin control de alcance. Esconder una opción del menú nunca fue control de acceso; lo que se prueba es la interfaz de programación, no la pantalla.

Contraseñas irrecuperables

Se guardan mediante funciones de hash con sal individual y factor de costo alto. Nexwork no puede leerlas ni recuperarlas: ante un olvido se reasigna una nueva, nunca se informa la anterior.

Bajas inmediatas

Desactivar una cuenta o cambiar su contraseña corta las sesiones abiertas al instante, no al vencer. Una baja que tarda horas en aplicarse no es una baja.

Límites contra fuerza bruta

Los intentos fallidos de inicio de sesión están limitados por cuenta y por origen. El sistema responde igual ante una credencial incorrecta que ante una cuenta inexistente, para no revelar qué correos están registrados.

3. Trazabilidad

Registro de auditoría

Cada creación, modificación o eliminación queda registrada con quién la hizo, sobre qué y cuándo. El registro es de escrituras: las consultas de sólo lectura no se registran.

Acceso de soporte acotado y atribuido

Cuando Nexwork necesita entrar a los datos de un cliente para asistirlo, lo hace por una ventana de dos horas, declarando un motivo, y toda su actividad queda registrada a su nombre y marcada como soporte --- no como si fuera el propio administrador del cliente. Ese registro no admite modificación ni borrado por nadie, tampoco por Nexwork.

4. Plataforma y despliegue

Cifrado en tránsito

Todo el tráfico viaja sobre HTTPS, con la política de transporte estricto activada para impedir conexiones sin cifrar.

Endurecimiento del navegador

La plataforma declara política de seguridad de contenidos, prohibición de ser embebida en sitios de terceros y bloqueo de interpretación de tipos, para acotar el daño de una vulnerabilidad de navegador.

Dependencias ancladas

Las versiones de las librerías están fijadas y se despliegan desde un archivo de bloqueo verificado, de modo que un despliegue no estrena versiones que nadie probó.

Configuración que falla cerrada

En producción la aplicación se niega a arrancar si su llave de sesiones es la de desarrollo, es demasiado corta, o si el modo de depuración está encendido. Una configuración que falla en silencio no es una configuración.

Separación de ambientes y de credenciales

Las credenciales de producción viven únicamente en el proveedor de infraestructura, nunca en el repositorio de código ni en los registros de la aplicación.

5. Lo que todavía no tenemos

Esta sección existe porque una política de seguridad que sólo enumera fortalezas no se puede evaluar. Preferimos que un cliente conozca nuestros límites por este documento y no por su cuenta.

No hay segundo factor de autenticación

El acceso se controla hoy con correo y contraseña. Está en el plan de trabajo, con prioridad para los perfiles administradores.

No se ha realizado una auditoría de seguridad externa

El sistema fue auditado internamente contra su propio código --- validación de entradas, inyección, control de acceso, cabeceras y manejo de secretos --- y los hallazgos fueron corregidos. No se ha contratado todavía a un tercero que intente vulnerarlo.

Kaden no está certificado bajo ninguna norma

No contamos con certificación ISO 27001 ni equivalente. Las prácticas descritas acá son reales y verificables, pero no han sido certificadas por un auditor acreditado.

El cifrado en reposo depende del proveedor

La base de datos está alojada en un proveedor de infraestructura y hereda sus medidas de almacenamiento. Nexwork no ha verificado ni declara garantías propias sobre cifrado en reposo.

El registro de auditoría no cubre las lecturas

Se registra quién modificó datos, no quién los consultó. Para el acceso de soporte de Nexwork sí queda constancia de la sesión completa.

6. Reporte de vulnerabilidades

Si usted encuentra una vulnerabilidad en Kaden, escríbanos a seguridad@kaden.cl con el detalle necesario para reproducirla. Acusamos recibo dentro de 3 días hábiles e informamos el resultado del análisis.

Le pedimos no acceder a datos de terceros, no degradar el servicio y no divulgar el hallazgo hasta que esté corregido. A quien reporte de buena fe y respetando estas condiciones, Nexwork no emprenderá acciones legales.

7. Incidentes

Ante una vulneración que afecte datos personales, notificamos al cliente sin dilaciones indebidas desde que tomamos conocimiento, indicando qué ocurrió, qué datos se vieron afectados y qué medidas se adoptaron. El detalle de las responsabilidades de cada parte está en la Política de Tratamiento de Datos Personales.

8. Vigencia

Esta política se actualiza cuando cambian las medidas que describe. La versión vigente, con su número y su fecha, está siempre en esta página. Un control que deja de aplicarse se retira de aquí antes de dejar de aplicarse en el sistema.