Política de Seguridad de la Información
1. Objetivo
El objetivo de este documento es establecer todos los lineamientos de seguridad aplicados por ARKHO para proteger sus activos y garantizar la confidencialidad, integridad y disponibilidad de su información, alineados a la misión, visión y valores de la organización.
Esta política se revisará por lo menos una vez al año, o cada vez que existan cambios significativos dentro de la empresa que impacten en el contenido del presente documento.
2. Alcance
El presente documento es aplicable en todas las fases del ciclo de vida de la información —creación o generación, distribución, almacenamiento, procesamiento, transporte y consulta, hasta su destrucción— así como a todos los sistemas involucrados, áreas y personal, tanto interno como externo, que trabaja o manipula de algún modo activos e información de la empresa.
Esta política aplica a la infraestructura y plataformas administradas directamente por ARKHO (oficinas propias y entornos de trabajo remoto en Chile, Colombia y Perú, e infraestructura cloud en AWS, Google Cloud (GCP) y Microsoft 365), y a los ambientes de desarrollo y sandbox que ARKHO gestiona para los proyectos de sus clientes, desde el inicio del proyecto hasta el cierre del desarrollo y el término de la garantía, conforme al Alcance del SGSI.
Los ambientes productivos y de QA/staging del cliente son responsabilidad de este y no son administrados por ARKHO. Cuando un proyecto requiere acceder a ellos, el acceso se autoriza formalmente y se registra, y los colaboradores de ARKHO aplican los lineamientos de esta política mientras lo usan. Quedan fuera del alcance los servicios administrados posteriores a la entrega (mantención y mejora continua).
3. Lineamientos
3.1 Gestión con instituciones de seguridad de la información (Controles A.5.5, A.5.6)
La gestión con instituciones de seguridad de la información tiene como objetivo establecer y mantener contacto con organizaciones especializadas que puedan proporcionar apoyo para la implementación y mantenimiento del SGSI.
Considerando los requisitos de las partes interesadas y las regulaciones aplicables, ARKHO mantiene contacto con las siguientes organizaciones para la comunicación y reporte de incidentes de seguridad:
Para asegurar la concientización y el conocimiento de los colaboradores, la empresa también mantiene contacto con grupos de interés especial que les permite capacitarse y estar actualizados sobre las mejores prácticas, nuevas amenazas, alertas y/o vulnerabilidades de seguridad.
3.2 Gestión de protección de datos personales (Controles A.5.34, A.8.11, A.8.12)
ARKHO comprende la importancia de la protección de datos personales y el cumplimiento de las normativas de seguridad aplicables al SGSI, en especial la Ley N° 21.719 sobre Protección de Datos de Chile, la Ley 1581 de 2012 de Colombia y la Ley N° 29733 de Perú.
Los datos personales que ARKHO trata corresponden a colaboradores y candidatos, a contactos de clientes y proveedores y, cuando un proyecto lo requiere, a usuarios finales de los clientes. En este último caso ARKHO actúa como encargado del tratamiento, conforme a las instrucciones del cliente y al contrato correspondiente.
La seguridad implementada para la protección de datos de identificación personal es de manera general y consistente para toda la información de la empresa, sin distinción de la que contiene o no datos personales, garantizando así la integridad, confidencialidad y disponibilidad de los datos personales que gestiona.
Además, ARKHO implementa los siguientes métodos de enmascaramiento de datos para garantizar su protección:
-
Cifrado.
-
Anulación o eliminación de caracteres.
-
Variación de números y fechas.
-
Sustitución (cambiar un valor por otro).
-
Sustitución de los valores por su hash.
En caso de que sea necesario eliminar el vínculo y asociación del titular con sus datos personales, se implementa el Procedimiento de Anonimización de Datos Personales definido por la organización.
Todos los lineamientos establecidos en la presente política ayudan, en diferentes niveles, con la prevención de fuga de datos.
3.2.1 Prevención de fuga de datos
La estrategia de prevención de fuga de datos se basa en un enfoque de defensa en profundidad, que combina múltiples controles ya definidos en la presente política y en los demás documentos del SGSI:
-
Clasificación de la información: se aplican niveles de protección proporcionales a la sensibilidad de los datos, según lo establecido en la sección 3.5 de esta misma política.
-
Control de acceso: se aplica el principio de mínimo privilegio, conforme a los lineamientos de la sección 3.7 de esta política.
-
Protección de activos: se definen lineamientos para el almacenamiento, carga, intercambio y eliminación de información a través de la Política de Tratamiento de la Información.
-
Gestión del factor humano:
-
Todos los colaboradores firman acuerdos de confidencialidad durante su contratación y deben cumplir con los lineamientos definidos en esta política.
-
Se imparte formación continua sobre la protección de la información a través del programa de capacitación anual.
-
Se revocan todos los accesos al finalizar la relación laboral, según lo establecido en la sección 3.7.
-
-
Respuesta a incidentes: toda sospecha de fuga de datos debe reportarse de inmediato conforme a los lineamientos de la sección 3.18 de esta misma política.
3.3 Gestión de los dispositivos móviles y el teletrabajo (Controles A.6.7, A.8.1)
La gestión de los dispositivos móviles y el teletrabajo tiene como objetivo asegurar el buen uso, por parte de los colaboradores o partes externas, de los activos y la información de la compañía que procesan.
ARKHO establece las siguientes medidas de seguridad en relación con los dispositivos:
-
Contar con inicios de sesión seguros utilizando un usuario y contraseña robusta.
-
En teléfonos móviles y tablets, se implementa el acceso por medio de huella, patrón, reconocimiento facial o mecanismo equivalente.
-
Eliminar el software innecesario.
-
Actualizar el sistema operativo y las aplicaciones de forma regular.
-
Mantener el antivirus/EDR y firewall encendidos en todo momento.
-
Colocar todos los documentos y archivos en repositorios oficiales de la empresa para que estén respaldados y disponibles.
-
En la medida de lo posible, no se descargan archivos de manera local en los dispositivos; de hacerlo, éstos se eliminan una vez que ya no se necesiten.
-
Mantener el cifrado de disco encendido (BitLocker en Windows, FileVault en macOS, VeraCrypt en Linux según corresponda).
-
No usar un administrador de cuentas local no autorizado en el computador de uso diario.
-
Mantener un área de trabajo segura y sin información confidencial a la vista.
-
Generar copias de seguridad de manera periódica siguiendo los lineamientos de la Política de Tecnología y Operaciones de TI y del procedimiento de gestión de backups asociado.
-
El acceso a los sistemas, redes y recursos tecnológicos de la organización desde cualquier ubicación se controla mediante autenticación multifactor y políticas de acceso condicional (Microsoft Entra ID Conditional Access), que evalúan el dispositivo, la ubicación y el nivel de riesgo de cada sesión — este es el mecanismo principal de conexión remota de ARKHO, no una VPN tradicional.
-
En casos puntuales donde se requiera una VPN como mecanismo complementario, su uso debe estar previamente autorizado por el CISO, conforme a la sección 3.14.1.
-
-
Transmitir información sólo por medio de redes seguras y páginas web con protocolos HTTPS, aplicando los lineamientos de la Política de Tratamiento de la Información.
-
Habilitar el rastreo y borrado remoto para los posibles casos de robo o extravío.
-
Al ocurrir un robo o extravío, el colaborador debe informar de inmediato a su jefe directo y a las autoridades pertinentes.
-
En casos de urgencia donde surja la necesidad de utilizar equipos de terceros, se utiliza una sesión o ventana en modalidad "incógnito" para asegurar que no se puedan rastrear las direcciones web y que no se registre una trazabilidad de las claves o contraseñas utilizadas.
-
Los dispositivos personales utilizados bajo modalidad BYOD siguen los mismos lineamientos de esta política, previa autorización del CISO y aceptación de las condiciones de la Política de BYOD por parte del colaborador.
-
Registrar el dispositivo en Microsoft Intune, cuyas políticas de cumplimiento validan y registran el bloqueo de sesión por inactividad, el cifrado de disco y las actualizaciones automáticas del sistema operativo, tanto en equipos corporativos como en dispositivos BYOD, conforme a la Política de BYOD.
3.3.1 Consistencia con la clasificación de la información
Al trabajar de forma remota o en movimiento, los colaboradores y partes externas se aseguran de que la información sea manejada de manera coherente respecto a su clasificación asignada, de acuerdo con lo establecido en esta política.
3.3.2 Lineamientos de seguridad sobre el entorno
ARKHO establece las siguientes medidas de seguridad para proteger sus activos de información en cualquier tipo de entorno:
-
Garantizar un nivel de privacidad adecuado y asegurar que personas externas no puedan ver documentos, archivos o pantallas donde se visualice información confidencial.
-
Mantener un puesto de trabajo despejado: no dejar documentos, dispositivos o credenciales expuestos al ausentarse, y bloquear la sesión de trabajo incluso por períodos breves.
3.4 Gestión de los recursos humanos (Controles A.5.11, A.6.1, A.6.4)
La gestión de los recursos humanos tiene como objetivo seleccionar a las personas más adecuadas, mantener y reforzar sus competencias, conocimientos, habilidades y comportamientos éticos, y garantizar la seguridad de la información de la empresa.
Para esto, ARKHO realiza las siguientes actividades:
-
Diseña e implementa un procedimiento de preselección y selección de personal que:
-
Valora el talento de las personas.
-
Respeta la igualdad de oportunidades y no promueve discriminación de ningún tipo.
-
Asegura que la selección se realiza con base en criterios profesionales y las necesidades reales de la organización.
-
Cumple con la legislación laboral vigente.
-
Garantiza la confidencialidad y protección de los datos personales.
-
-
Realiza la investigación de los candidatos de acuerdo con las regulaciones aplicables (datos de identificación, referencias personales, familiares y laborales).
-
Una vez seleccionados los candidatos, se implementa un proceso de contratación y desvinculación de personal que:
-
Establece los términos y condiciones de la relación laboral, incluyendo sanciones administrativas, desvinculación y devolución de todos los activos provistos por la compañía.
-
Ante desviaciones o incumplimientos de los lineamientos de seguridad, se activa un proceso disciplinario que considera identificación de la conducta, investigación, definición de acciones (advertencia verbal, escrita, suspensión, terminación de contrato o acción legal) y su registro.
-
Formaliza un compromiso de confidencialidad y lealtad con el colaborador.
-
-
Brinda inducción y concientización sobre responsabilidades de seguridad de la información y los riesgos asociados a sus funciones.
-
Se implementa un programa anual de capacitación y concientización sobre seguridad de la información para todos los colaboradores, internos y externos.
-
Entrega anualmente la Política de Seguridad de la Información a toda la empresa para su lectura y comprensión.
-
Otorga los accesos y permisos pertinentes de acuerdo con el puesto asignado, siguiendo los lineamientos de la sección 3.7 de esta política.
3.5 Gestión y clasificación de los activos de información (Controles A.5.10, A.5.12, A.5.13, A.7.10, A.8.10)
Los activos de información de la empresa y los recursos que le dan soporte son identificados, inventariados y clasificados en función de los requerimientos del negocio y del programa de seguridad de la empresa.
ARKHO establece una adecuada gestión de sus activos y su clasificación por medio de:
-
La identificación y mantenimiento de un inventario de activos de información que abarca todos los dispositivos y medios extraíbles utilizados para las actividades de la empresa, ya sean de su propiedad o de los colaboradores (bajo modalidad BYOD).
-
La asignación de propietarios de los activos de información.
-
La clasificación de la información en función de sus niveles de confidencialidad, integridad y disponibilidad.
-
El acceso, manejo y tratamiento adecuado de los activos de información acorde a su clasificación asignada.
ARKHO establece las siguientes categorías de clasificación:
-
Restringida: información crítica cuyo acceso está limitado a roles específicos (credenciales administrativas, claves de API, backups de sistemas críticos, documentación detallada de infraestructura de seguridad).
-
Confidencial: información sensible cuya divulgación indebida puede afectar a clientes, procesos internos, operaciones o reputación de ARKHO (propuestas comerciales, contratos, datos de empleados, arquitecturas de soluciones, código fuente propietario).
-
Interna (organizacional): información destinada al personal de ARKHO cuya divulgación externa no es crítica (políticas internas no sensibles, manuales operativos generales, comunicaciones internas).
-
Pública: información que puede compartirse libremente sin riesgo para ARKHO (sitio web corporativo, publicaciones aprobadas en redes sociales, ofertas laborales).
La empresa realiza la clasificación de su información dentro de los registros del módulo de Activos de la plataforma Hackmetrix.
3.5.1 Etiquetado de los activos de información
ARKHO etiqueta sus activos de información con base en su clasificación asignada, utilizando:
-
Etiquetas de sensibilidad digitales: configuradas en la suite de Microsoft 365 y disponibles para que los colaboradores las apliquen a documentos y correos según su clasificación.
-
Correos electrónicos: inclusión de la categoría en el asunto o pie de firma (ej. [CONFIDENCIAL]).
-
Archivos: uso de prefijos en el nombre del archivo cuando el sistema no soporte etiquetas (ej. CONF_NombreArchivo.pdf).
-
Versionado: indicación de la clasificación dentro del control de versiones de la documentación.
Nota importante: toda la información que no cuente con un etiquetado explícito será considerada como información organizacional (interna).
3.5.2 Intercambio de información con partes externas
ARKHO implementa políticas, procedimientos y controles formales para proteger el intercambio de información a través de los distintos medios de comunicación y acorde con la clasificación de la información a intercambiar. Los lineamientos del intercambio de información se definen en la Política de Tratamiento de la Información.
3.5.3 Saneamiento / destrucción de activos y eliminación de información
La información almacenada en sistemas de información, dispositivos o cualquier otro medio de almacenamiento se elimina de forma segura por medio de sobreescritura electrónica, borrado criptográfico, herramientas de borrado seguro autorizadas, y eliminación de versiones, copias y archivos temporales de todas las ubicaciones donde se encuentren.
3.6 Gestión de los riesgos de seguridad (Cláusula 6)
La gestión de los riesgos de seguridad tiene como objetivo facilitar la identificación y evaluación de eventos potenciales que puedan provocar la pérdida —operativa o tecnológica— de la confidencialidad, integridad y/o disponibilidad de la información, y establecer y priorizar planes de tratamiento que minimicen su impacto.
ARKHO establece un proceso formal dentro de su Metodología de Gestión de Riesgos que contempla el alcance del proceso, los métodos de identificación y evaluación de riesgos, el análisis y decisión de los planes de tratamiento, la definición del umbral de tolerancia y criterios de aceptación, la evaluación del riesgo residual, y la planificación y evaluación periódica (al menos anual, o ante cambios significativos).
Los riesgos de seguridad se abordan también dentro de la gestión de proyectos, evaluándose en una fase temprana de su ciclo de vida y con revisiones periódicas de su tratamiento.
Estas actividades se registran en el módulo de Riesgos de la plataforma Hackmetrix, administrado por el CISO.
3.7 Gestión de los accesos (Controles A.5.15, A.8.3, A.8.5)
La gestión de los accesos tiene como objetivo asignar y controlar los roles y permisos del personal o partes externas utilizados para acceder a la información, sistemas o aplicaciones de la empresa, bajo un modelo de control de accesos basado en roles (RBAC) y el principio de mínimo privilegio.
ARKHO establece los siguientes lineamientos:
-
Los colaboradores cuentan con un usuario único.
-
Las altas, bajas y modificaciones de usuarios y/o permisos se realizan siguiendo el ciclo JML (Joiner-Mover-Leaver), otorgando en el alta los accesos estrictamente necesarios para las tareas de trabajo.
-
Ante cambio de funciones, se eliminan los accesos de la función anterior y se asignan los de las nuevas responsabilidades.
-
Ante la baja de un colaborador, todos sus accesos se revocan dentro de las 24 horas hábiles siguientes a la notificación formal de RRHH.
-
Los privilegios de administrador de los sistemas de la empresa están restringidos a personal capacitado y previamente autorizado, con aprobación del CISO, MFA obligatorio y registro de todas las sesiones.
-
Las cuentas root o de administrador global no se usan para operaciones cotidianas; su uso se reserva a situaciones de emergencia bajo procedimiento Break Glass.
-
Las credenciales de cuentas privilegiadas se rotan al menos cada 90 días o inmediatamente ante sospecha de compromiso.
-
Los accesos activos se revisan trimestralmente para activos críticos (Microsoft, Hubspot y ClickUp) por Soporte Tecnológico, con aprobación del CISO, y los accesos sin uso comprobado por más de 30 días se suspenden preventivamente.
-
El registro de roles y permisos otorgados se realiza dentro del módulo de Accesos de la plataforma Hackmetrix, actualizado conforme a los cambios que ocurren.
-
Las cuentas compartidas sólo están autorizadas cuando son necesarias por objetivos comerciales u operativos debidamente justificados.
-
El acceso a entidades externas debe ser previamente autorizado por el propietario de la información y/o del activo correspondiente.
-
La información almacenada en el entorno de nube puede estar sujeta al acceso y gestión por parte del proveedor; para protegerla se debe solicitar la aprobación del acceso al CTO, en conjunto con el Comité de Seguridad de la Información.
-
Para la consola de Microsoft Intune, adicionalmente:
-
El acceso se limita a Soporte Tecnológico y al CISO, con usuarios registrados en el módulo de Accesos de la plataforma Hackmetrix; no se comparten usuarios.
-
Todo nuevo acceso se solicita por correo electrónico y debe ser aprobado por el CISO.
-
Soporte Tecnológico revisa mensualmente el reporte de cumplimiento de los dispositivos y gestiona los incumplimientos detectados.
-
La información de la consola solo se exporta para fines de revisión o auditoría del SGSI.
-
Los registros se monitorean siguiendo la Política y Procedimiento de Gestión de Logs.
-
3.8 Gestión de contraseñas e información de autenticación (Control A.5.17)
ARKHO establece los siguientes lineamientos, aplicables tanto a usuarios normales como privilegiados:
-
Está prohibido compartir información de autenticación o contraseñas, así como compartir credenciales en texto plano por medios no seguros.
-
Las contraseñas por defecto o generadas automáticamente son robustas y únicas para cada persona, y se cambian desde el primer uso.
-
Las contraseñas son personales e intransferibles.
-
Las contraseñas se cambian de inmediato cuando se detecta actividad sospechosa o ante evidencia de compromiso. No se exige una rotación periódica obligatoria para usuarios estándar, dado el uso del gestor de contraseñas corporativo y la autenticación multifactor (MFA) como controles compensatorios. Las cuentas privilegiadas sí rotan sus credenciales cada 90 días como mínimo (ver sección 3.7).
-
No se utiliza la misma contraseña para más de un sistema o aplicación.
-
Las contraseñas tienen una longitud mínima de 8 caracteres y contienen minúsculas, mayúsculas, números y símbolos.
-
Todos los colaboradores utilizan el gestor de contraseñas corporativo.
-
Se configura el segundo factor de autenticación (MFA) mediante Microsoft Authenticator para todos los sistemas y aplicaciones que lo permitan.
-
No se escriben ni resguardan PINs o contraseñas junto a computadores, teléfonos, libretas o notas.
3.9 Gestión de la criptografía (Control A.8.24)
La gestión de la criptografía tiene como objetivo proporcionar un nivel más alto de seguridad de la información para que ésta no pueda ser leída por personas no autorizadas, tanto durante su almacenamiento como durante su transferencia y recepción.
Estos métodos se aplican en: credenciales de accesos, información compartida por medios no oficiales, información y repositorios de backups, información interna restringida, bases de datos, registros de usuarios e información de carácter personal.
ARKHO considera además el establecimiento y gestión de las claves públicas y privadas (mediante el Procedimiento de Gestión de Claves Públicas y Privadas), la autenticación de los usuarios, y la aplicación de cifrado de mensajes y métodos de no repudio.
Los métodos criptográficos implementados son:
Se prohíbe explícitamente el uso de algoritmos criptográficos obsoletos, rotos o débiles (como MD5 o SHA-1 para firmas digitales) en todos los nuevos desarrollos y configuraciones de seguridad. Se establece una rotación periódica de llaves y secretos según la criticidad del activo, con un máximo de 365 días para llaves maestras.
3.10 Gestión de la seguridad física (Controles físicos A.7)
La gestión de la seguridad física tiene como objetivo proteger adecuadamente las oficinas de ARKHO en Chile, Colombia y Perú, y sus activos de información.
ARKHO implementa las siguientes medidas:
-
Perímetro de seguridad física de las oficinas, considerando protección contra amenazas externas y ambientales.
-
Señalamientos de seguridad pertinentes (salidas de emergencia, rutas de evacuación, extintores).
-
Monitoreo continuo mediante videovigilancia, guardias de seguridad y/o alarmas, según la disponibilidad de cada oficina arrendada.
-
Controles de acceso físico que generan registros de entradas y salidas de colaboradores y visitantes, incluyendo fecha, hora y motivo de visita (proveedores/visitantes).
-
Los colaboradores y visitantes deben portar identificación visible mientras se encuentren en las instalaciones.
-
Aseguramiento de los activos, oficinas y áreas de procesamiento de datos mediante accesos biométricos, credenciales de acceso y/o puertas con código, según la infraestructura disponible en cada sede.
-
Mantenimiento periódico de los servicios básicos (electricidad, telecomunicaciones, ventilación/aire acondicionado) coordinado con el administrador de cada edificio arrendado.
-
Mantenimiento periódico de equipos, realizado únicamente por personal autorizado, con procedimientos definidos para autorizar su retiro de las instalaciones.
-
Separación de las áreas de procesamiento de información crítica respecto de las demás áreas de la oficina, en la medida que la distribución física de cada sede lo permita.
3.11 Gestión de la tecnología y las operaciones (Control A.5.37, A.8.6, A.8.7, A.8.8, A.8.13, A.8.15, A.8.17, A.8.19, A.8.31, A.8.32, A.8.34)
La gestión de la tecnología y las operaciones considera todos los procesos operativos con el objetivo de garantizar la implementación de la seguridad de la información en las operaciones y servicios del negocio.
ARKHO establece los lineamientos para estos procesos —incluyendo gestión de cambios, gestión de capacidad, gestión de respaldos, gestión de parches de seguridad, y adquisición y mantenimiento de equipos y sistemas— dentro de la Política de Tecnología y Operaciones de TI.
El ciclo de vida de la infraestructura cloud, incluida la creación, etiquetado, revisión periódica y eliminación de recursos en desuso, se rige por la Política de Desarrollo Seguro (sección 3.4), que define el etiquetado obligatorio de recursos, la revisión trimestral de los recursos sin proyecto asociado y su destrucción formal al término de cada proyecto o PoC.
3.12 Gestión de la seguridad en los sistemas y aplicaciones (Control A.8.7, A.8.9, A.8.23)
La gestión de la seguridad en los sistemas, aplicaciones, plataformas o cualquier otra herramienta usada por la empresa tiene como objetivo implementar y controlar la seguridad en todos los entornos que soportan los servicios y operaciones del negocio.
ARKHO implementa, configura y utiliza los siguientes sistemas:
-
Antimalware/EDR: Microsoft Defender.
-
Servicio de seguridad en correos electrónicos: filtros antispam/antiphishing y secure links integrados en Microsoft 365.
-
Firewall: firewall de Microsoft Defender en los equipos y Security Groups y ACL en la infraestructura AWS (ver sección 3.15).
-
WAF: AWS WAF u otra solución equivalente en los proyectos cuya arquitectura lo requiera.
La correcta instalación y configuración de estos sistemas abarca: sistemas operativos, redes y dispositivos de red, estaciones de trabajo y dispositivos móviles, sistemas de almacenamiento, bases de datos, correo electrónico e internet, aplicaciones en general y de nube, y soluciones de seguridad.
Además, ARKHO implementa las medidas de hardening proporcionadas por los proveedores y contenidas en la Documentación de Hardening de la organización, gestionada mediante Microsoft Intune. Los lineamientos a nivel de sistema operativo y aplicaciones se encuentran definidos en la Política de Seguridad por Capas de la empresa.
3.12.1 Filtrado web
ARKHO gestiona y restringe el acceso a sitios web no autorizados para carga de información, sitios maliciosos o de phishing, servidores de mando y control, y sitios identificados a partir de la inteligencia de amenazas (ver sección 3.21 de esta política).
3.13 Gestión de los registros de eventos (logs) (Controles A.5.33, A.8.15, A.8.17)
La gestión de los registros de eventos (logs) tiene como objetivo registrar y monitorear las actividades realizadas en los sistemas de información de la empresa, para la detección de acciones inusuales o accesos no autorizados que permitan la prevención de incidentes de seguridad.
ARKHO establece los lineamientos correspondientes en la Política de Gestión de Logs, y aplica las acciones definidas en el Procedimiento de Gestión de Logs asociado.
3.14 Gestión de las vulnerabilidades técnicas e instalación de software (Controles A.8.8, A.8.19)
La gestión de vulnerabilidades técnicas tiene como objetivo revisar constantemente los sistemas de información para identificar vulnerabilidades y posibles brechas de seguridad, y dar solución a ellas en el modo y momento adecuado.
ARKHO establece lo siguiente:
-
Se realiza Ethical Hacking por lo menos una vez al año.
-
El código que ARKHO desarrolla o modifica en sus proyectos, incluidas las dependencias de terceros que incorpora, se analiza con las herramientas definidas en la Política de Desarrollo Seguro (SAST con SonarQube, SCA con Trivy, DAST con OWASP ZAP e IaC con Checkov), con las frecuencias y plazos de remediación establecidos en dicha política.
-
El código existente del cliente que ARKHO no desarrolla ni modifica es responsabilidad del cliente. Las vulnerabilidades que ARKHO detecte en ese código durante el proyecto se informan al cliente por los canales acordados.
-
La gestión de parches de la infraestructura y endpoints de ARKHO, incluidos los escaneos periódicos y los plazos de remediación según severidad, se rige por la Política de Tecnología y Operaciones de TI (sección 3.4).
-
El Procedimiento de Gestión de Vulnerabilidades contempla la verificación periódica de vulnerabilidades publicadas por fabricantes, la priorización según criticidad e impacto, la generación de un plan de remediación con plazos y seguimiento, y la validación mediante retest.
-
La instalación de software en dispositivos utilizados para las actividades de ARKHO se limita al software autorizado según la sección 3.14.1 y a sus actualizaciones y parches de seguridad.
3.14.1 Instalación y uso de software autorizado
ARKHO aplica un criterio de autorización por defecto denegada: solo está autorizado el software registrado en estado “En uso” en el registro de Plataformas Oficiales (REG-SGI-020), que constituye la lista blanca de la organización. El software que no figure en ese registro se considera no autorizado, aunque tampoco aparezca en el registro de Software No Permitido (REG-SGI-023), que constituye la lista negra.
Ambos registros son administrados por el CISO y mantenidos por el Representante de Soporte Tecnológico.
Los estados del registro de Plataformas Oficiales son:
-
En uso: software aprobado. Los colaboradores pueden utilizarlo sin gestión adicional.
-
En análisis: software en evaluación. No está autorizado mientras mantenga este estado.
-
Deprecado: software que deja de ser oficial. No se permiten nuevas instalaciones, y las existentes se retiran en el plazo que indique Soporte Tecnológico.
Queda prohibida la instalación, descarga o uso de software de las siguientes categorías, salvo excepción autorizada:
-
VPN no autorizadas: clientes VPN no aprobados por el CISO, por ejemplo versiones gratuitas o no gestionadas de Hotspot Shield, Windscribe o TunnelBear.
-
Acceso remoto no gestionado: herramientas de control remoto no administradas por Soporte Tecnológico, como TeamViewer con cuenta personal, AnyDesk gratuito o UltraVNC.
-
Almacenamiento cloud personal: clientes de sincronización vinculados a cuentas personales, como Dropbox, Google Drive o iCloud Drive personales, para información de ARKHO o de clientes.
-
Captura o grabación no autorizada: keyloggers de cualquier tipo y grabadores de pantalla, audio o video no aprobados por el CISO.
-
Análisis de red o escaneo: software de escaneo de puertos, análisis de tráfico o pruebas de penetración sin autorización del CISO para una actividad determinada, como Nmap, Wireshark, Metasploit o Nessus.
-
Software sin licencia, vencido o modificado: activadores, cracks o seriales generados para eludir el licenciamiento.
-
Clientes P2P o torrents: por ejemplo BitTorrent, uTorrent, qBittorrent o eMule.
-
IA generativa sin evaluación: aplicaciones o extensiones de IA no evaluadas por el CISO que procesen o transmitan información confidencial o de clientes.
-
Software innecesario o redundante: software que duplica funciones disponibles en el sistema operativo o en las plataformas oficiales sin una justificación operativa.
-
Notetakers y grabadores de reuniones: aplicaciones de terceros que graban, transcriben o resumen reuniones, como Otter.ai, Fireflies.ai, tl;dv o Avoma. Se exceptúan las funciones nativas de grabación y transcripción de las plataformas oficiales y los notetakers registrados en estado “En uso” en el REG-SGI-020.
El registro de Software No Permitido puede incluir productos específicos que no pertenezcan a estas categorías.
En los dispositivos BYOD, las categorías anteriores aplican siempre que el equipo se utilice para las actividades de ARKHO, conforme a la Política de BYOD.
Las librerías y dependencias incorporadas en los proyectos se rigen por la Política de Desarrollo Seguro. Las herramientas base de desarrollo, como IDE, entornos de ejecución y herramientas de línea de comandos, se autorizan por categoría en el registro de Plataformas Oficiales.
Excepciones. El colaborador puede solicitar una excepción al CISO a través de la Mesa de Soporte o por correo electrónico. La solicitud indica el software, la categoría, la justificación, el período de uso y el proyecto asociado, si corresponde. El CISO puede aprobar, rechazar o condicionar la solicitud, por ejemplo al uso en un entorno aislado o a la desinstalación al término del proyecto. Si el software implica una compra o licencia, se requiere además la autorización de la alta dirección, conforme a la Política de Tecnología y Operaciones de TI. Las excepciones aprobadas quedan registradas en la Mesa de Soporte y en el registro de Plataformas Oficiales.
Software no registrado. El colaborador que requiera un software que no figure en ningún registro lo solicita a través de la Mesa de Soporte, indicando nombre, versión y uso previsto. No lo instala ni lo utiliza hasta recibir la clasificación. Soporte Tecnológico lo registra en estado “En análisis” y lo evalúa. El CISO lo clasifica como “En uso”, lo deja como “Deprecado” o lo incorpora al registro de Software No Permitido, y el resultado se informa al colaborador.
Verificación. Soporte Tecnológico revisa el inventario de aplicaciones de Microsoft Intune junto con la revisión mensual de cumplimiento de dispositivos (sección 3.7). El software prohibido que detecte se registra en el REG-SGI-023 hasta verificar su eliminación. El software no registrado se gestiona según el proceso de software no registrado de esta sección.
Incumplimiento. La instalación o uso de software no autorizado constituye una violación de esta política y activa el proceso disciplinario descrito en la sección 3.4, además de las acciones de contención técnica que defina Soporte Tecnológico.
3.15 Gestión de la seguridad en las redes (Controles A.5.14, A.5.15, A.8.20)
La gestión de la seguridad en las redes tiene como objetivo proteger la información y el tráfico de datos transmitidos por redes internas o externas.
ARKHO implementa las siguientes medidas:
-
Se restringen las conexiones con redes que no sean confiables.
-
La infraestructura en la nube está segmentada mediante VPCs y subredes, separando los entornos de producción de los de desarrollo y pruebas.
-
Se utilizan Grupos de Seguridad (Security Groups) y Listas de Control de Acceso (ACL) bajo la premisa de "denegar todo por defecto".
-
El acceso a los sistemas de la organización desde cualquier ubicación se controla mediante autenticación multifactor y políticas de acceso condicional (Microsoft Entra ID Conditional Access) — este es el mecanismo principal de acceso remoto de ARKHO, no una VPN tradicional.
-
Se aplican medidas de seguridad para la protección de la información transferida por mensajería electrónica contra accesos no autorizados, asegurando el correcto direccionamiento y el uso de canales de comunicación seguros.
-
Se documentan, comunican e implementan la Política de Tratamiento de la Información (para transferencias de información, incluyendo medios extraíbles) y la Política de Seguridad por Capas (para las medidas aplicadas a nivel de red).
-
Las transacciones en la página web de la organización se ejecutan de manera segura utilizando certificados, firma electrónica, autenticación de usuarios y protocolos de cifrado de comunicaciones.
3.16 Gestión del ciclo de vida del desarrollo (Control A.8.31)
La gestión del ciclo de vida del desarrollo tiene como objetivo mantener un control adecuado de los cambios y adecuaciones, así como del mantenimiento e implementación de medidas de seguridad durante todas las fases del desarrollo de software.
ARKHO aplica las siguientes acciones:
-
Segregación de ambientes de desarrollo, pruebas y producción, con requisitos definidos para el paso entre cada uno y los derechos de usuario responsables de ello. No se utilizan datos productivos de clientes para la ejecución de pruebas.
-
Se documenta, comunica e implementa una Política de Desarrollo Seguro con los lineamientos de seguridad pertinentes.
-
Se documenta, comunica e implementa una Metodología de Ciclo de Vida de Desarrollo con las actividades y controles de seguridad realizados durante el desarrollo.
-
La gestión de cambios productivos (autorización formal previa, verificación de requisitos de seguridad, análisis estático/dinámico de código integrado al pipeline de CI/CD, procedimiento de rollback y trazabilidad de despliegues) se rige por lo establecido en la Política de Tecnología y Operaciones de TI (sección 3.1.1).
3.17 Gestión de las relaciones con los proveedores (Controles A.5.19, A.5.20, A.5.22, A.5.23)
La gestión de las relaciones con los proveedores tiene como objetivo asegurar un nivel apropiado de calidad y seguridad en los servicios y/o productos obtenidos por partes externas, así como garantizar la seguridad de los activos e información de la empresa a los que tienen acceso.
ARKHO implementa las siguientes medidas:
-
Los proveedores que pueden requerir acceso a información de ARKHO se identifican en la Matriz de Evaluación de Proveedores y corresponden principalmente a proveedores de servicios cloud y SaaS (por ejemplo, AWS, Google Cloud (GCP) y Microsoft 365, ClickUp, HubSpot y Hackmetrix).
-
Se mantiene una lista de los proveedores de la empresa y se realiza una evaluación anual de sus servicios, documentada en la Matriz de Evaluación de Proveedores.
-
Se cuenta con un contrato o aceptación de términos y condiciones que incluye las responsabilidades del proveedor en materia de seguridad de la información y acuerdos de confidencialidad.
-
Se definen los requerimientos mínimos de seguridad según la clasificación de la información y el tipo de acceso a otorgar.
-
Se comunican al proveedor las políticas y procedimientos operativos aplicables.
-
Se gestiona la comunicación e impacto de cambios en los contratos, servicios o cualquier aspecto que afecte la relación con el proveedor.
-
Se solicita al proveedor la propagación de los requisitos de seguridad a lo largo de la cadena de suministro, en caso de subcontratación.
3.17.1 Servicios de nube
Además de los lineamientos anteriores, ARKHO establece los siguientes criterios para los servicios en la nube:
Criterios generales: uso exclusivo para fines laborales; filtro antispam activo; verificación y mantenimiento de las redes creadas sobre la infraestructura del proveedor; monitoreo de logs de transferencia de datos hacia la nube; uso de servicios en nube multiinquilino solo cuando el proveedor garantiza aislamiento lógico entre clientes y fue evaluado según la Matriz de Evaluación de Proveedores.
Criterios de riesgo: identificación, evaluación y gestión de los riesgos de seguridad asociados a la contratación y uso de servicios en la nube (tratamiento de información, riesgos legales, técnicos y de continuidad); no se utilizan servicios cuyo análisis de riesgo indique niveles no tolerables.
Capacidades, respaldos y gestión de cambios: los servicios de nube cumplen con los lineamientos de capacidad, respaldos y gestión de cambios establecidos en la Política de Tecnología y Operaciones de TI, e incluyen sandbox y pistas de lanzamiento para la aprobación de cambios.
3.18 Gestión de incidentes de seguridad (Control A.5.24)
La gestión de incidentes de seguridad tiene como objetivo llevar un adecuado análisis, registro y tratamiento de los incidentes de seguridad que puedan afectar las operaciones o servicios de la compañía.
ARKHO define los siguientes lineamientos:
-
Todos los colaboradores, clientes y proveedores deben reportar la identificación de posibles incidentes de seguridad y su ocurrencia a través del correo ciberseguridad@arkho.io.
-
Se analizan, definen y registran soluciones para todo incidente reportado o detectado, siguiendo el Procedimiento de Gestión de Incidentes de Seguridad.
-
Se asignan los responsables más adecuados para atender y resolver los incidentes.
-
Se registra toda la información relevante sobre los incidentes, incluyendo impacto, frecuencia y forma de resolución.
-
Cultura de reporte — principio No Blame: el reporte de buena fe de un incidente, incluso cuando el colaborador sea parte del evento, no tendrá consecuencias disciplinarias. El ocultamiento deliberado o la negligencia demostrable sí constituyen falta grave.
-
ARKHO cuenta con un canal de denuncias gestionado por el Área Legal, en el marco del Modelo de Prevención de Delitos, para reportar de forma anónima cualquier violación a las políticas de seguridad o anomalía que pueda generar un incidente.
-
Ante la ocurrencia de incidentes de seguridad, se notifica sin demora indebida a la autoridad gubernamental competente del país correspondiente: ANCI y CSIRT de Gobierno (Chile), ColCERT y la Superintendencia de Industria y Comercio (Colombia), PeCERT y la Autoridad Nacional de Protección de Datos Personales (Perú).
3.19 Gestión de la continuidad (Control A.5.29)
La gestión de la continuidad tiene como objetivo asegurar que las operaciones de la empresa se mantengan funcionando adecuadamente durante eventos de crisis o desastre.
ARKHO define los siguientes lineamientos:
-
Documentación, comunicación e implementación de un Plan de Recuperación ante Desastres (DRP) y un Plan de Continuidad, que garanticen la restauración de los servicios interrumpidos por eventos inesperados.
-
Los respaldos de información crítica se generan con la frecuencia definida en la Política de Tecnología y Operaciones de TI, acorde al objetivo de punto de recuperación (RPO) de cada activo.
-
Se realizan pruebas periódicas de recuperación, coordinadas con el proceso de continuidad operacional, y se monitorean sus resultados para identificar anomalías u oportunidades de mejora.
-
Asignación de responsables con el conocimiento y capacitación pertinentes para la ejecución de los planes, y aseguramiento de los recursos necesarios.
3.20 Gestión del cumplimiento (Control A.5.31)
La gestión del cumplimiento tiene como objetivo mantener a la empresa alineada a las diferentes regulaciones y normativas a las que está sujeta.
ARKHO realiza lo siguiente:
-
Identifica y documenta los requisitos legales, regulatorios y contractuales aplicables dentro de la Matriz de Evaluación de Requisitos Legales y Contractuales.
-
Verifica que los acuerdos con colaboradores, clientes y proveedores cumplan con las regulaciones aplicables.
-
Establece las políticas y procedimientos necesarios para adherirse a los requisitos regulatorios y normativos.
-
Realiza revisiones de cumplimiento y auditorías internas del SGSI de manera anual.
3.21 Gestión de la inteligencia de amenazas de seguridad (Control A.5.7)
ARKHO implementa la inteligencia de amenazas para la examinación y análisis de datos e información relevante sobre posibles nuevas amenazas y vulnerabilidades, siguiendo el Procedimiento de Gestión de Inteligencia de Amenazas.
Esto tiene como objetivos: la mejora de procesos internos, una gestión de riesgos más eficiente, mayor comprensión de los puntos débiles de la organización, y el conocimiento proactivo de amenazas que permita aplicar medidas preventivas.
La información obtenida se comparte en un formato comprensible con las personas y partes interesadas pertinentes.
4. Versionado
Elaborado por: Claudia Del Toro (PMO / Líder Comply)
Aprobado por: Gobierno Comply
Fecha de aprobación: 09/11/2026
Clasificación de esta información: Información Organizacional
