Seguridad y conformidad

Estándares de seguridad
Alineación con buenas prácticas

NIS2
Conformidad en curso

GDPR
Protección de datos de la UE

Seguridad del producto

Qlara aplica principios de security-by-design a la aplicación y a la infraestructura. Los requisitos de seguridad se tienen en cuenta en el diseño, el desarrollo, las pruebas y la publicación, con atención al código seguro, la segregación de entornos, la gestión de vulnerabilidades y los cambios controlados. El producto está sujeto a un modelo de gobernanza que incluye evaluación de riesgos, auditorías internas, revisión de políticas y mejora continua.

Gestión segura de los datos

Qlara valida y controla los datos recibidos por los componentes de frontend y backend. Las entradas y salidas se gestionan para reducir el riesgo de inyección de código, manipulación o tratamiento no autorizado. Ante una entrada no válida, la aplicación gestiona el evento sin exponer detalles técnicos que podrían revelar la lógica interna o información útil para un posible atacante.

Seguridad de las comunicaciones

Las comunicaciones entre cliente y servidor están protegidas mediante HTTPS y protocolos TLS seguros: se utiliza TLS 1.2 o superior para proteger los datos en tránsito, evitando configuraciones débiles u obsoletas que expondrían a interceptación o downgrade. Las comunicaciones entre infraestructura, bases de datos y servicios internos se realizan por canales cifrados y rutas de acceso controladas.

Autenticación y control de accesos

El acceso a Qlara y a los sistemas relacionados se rige por principios formales de control de accesos: mínimo privilegio, necesidad de conocer y segregación de funciones. Los permisos se asignan por rol y necesidad operativa y están sujetos a revisión, actualización y revocación cuando cambian los roles. Los accesos privilegiados se limitan al personal autorizado y están sujetos a registro, monitorización y revisión periódica.

Protección de contraseñas y secretos

Qlara no almacena contraseñas en claro: las contraseñas y los secretos se protegen con prácticas seguras de hashing y gestión de credenciales. Los procesos de recuperación y cambio de contraseña se basan en canales de comunicación verificados y las credenciales sensibles no se exponen a través de URL. Las credenciales técnicas y las claves de acceso se gestionan con trazabilidad y rotación cuando procede.

Seguridad de las sesiones

Qlara implementa prácticas seguras de gestión de sesiones: las sesiones se protegen con tokens y cookies configurados para reducir accesos o reutilizaciones no autorizadas. Los procesos de cierre de sesión invalidan la información de sesión y las sesiones inactivas se gestionan para limitar la exposición desde puestos desatendidos o abandonados.

Seguridad de las bases de datos

La capa de base de datos está protegida por reglas de exposición restrictivas: las bases de datos no son accesibles públicamente y solo aceptan conexiones de hosts y servicios autorizados. Los usuarios de base de datos se separan por servicio cuando procede y los privilegios se asignan según mínimo privilegio y necesidad de conocer. Se adoptan prácticas de consulta seguras para reducir el riesgo de inyección y preservar la integridad de los datos.

Registro y monitorización

Qlara genera registros de eventos de acceso, acciones relevantes de los usuarios y actividades significativas para la seguridad. Los registros están centralizados y protegidos frente a accesos o alteraciones no autorizadas. Las actividades de monitorización dan soporte a la detección de anomalías, el análisis de incidentes, las auditorías y la reconstrucción forense. Los eventos de seguridad pueden escalarse a las funciones de ciberseguridad y al SOC según los procedimientos internos.

Detección de amenazas y protección frente a malware

Qlara se beneficia de los controles de seguridad de Agile Telecom y del Grupo Growens, diseñados para reducir la exposición a malware, intentos de intrusión y configuraciones incorrectas. Los activos se protegen con herramientas centralizadas, protección de endpoints, antimalware, parcheado, cortafuegos, segregación de red y monitorización. Las actividades sospechosas se gestionan mediante canales de escalado definidos.

Gestión de vulnerabilidades

Qlara se incluye en un enfoque de gestión de vulnerabilidades basado en la identificación, el análisis, la priorización y la corrección de las debilidades. Las actividades de evaluación de vulnerabilidades y las pruebas de penetración se planifican en función del riesgo y sus informes guían las acciones correctivas. Antes de la publicación en producción, los sistemas y servicios se evalúan para evitar desplegar componentes con niveles de riesgo no aceptables.

Desarrollo seguro

Qlara sigue prácticas de desarrollo de software seguro alineadas con las directrices del Grupo. Los entornos de desarrollo, pruebas y producción se mantienen separados y las publicaciones se gestionan mediante procesos controlados. Los cambios de código, las pruebas y las actividades de despliegue están sujetos a revisión y trazabilidad, con requisitos de seguridad considerados desde el diseño según principios de cybersecurity-by-design.

Copias de seguridad y restauración

Qlara cuenta con prácticas de copia de seguridad y restauración pensadas para preservar la disponibilidad de los datos y dar soporte a la recuperación del servicio en caso de borrado, corrupción, pérdida o interrupción. Las copias se realizan con regularidad, se protegen con medidas de seguridad adecuadas y se prueban periódicamente para verificar su recuperabilidad. Las actividades de restauración se monitorizan y están sujetas a acciones correctivas.

Continuidad operativa y resiliencia

Qlara opera dentro de un marco más amplio de resiliencia que cubre continuidad de negocio, recuperación ante desastres, respuesta a incidentes y gestión de crisis. La organización identifica procesos críticos, dependencias, proveedores y objetivos de recuperación para mantener la continuidad del servicio y dar soporte a su restablecimiento en caso de interrupción.

Gestión de incidentes

Qlara está cubierta por un proceso formal de gestión de incidentes. Los eventos de seguridad y los incidentes sospechosos se notifican por canales definidos y se gestionan con triaje, análisis, contención, erradicación, restablecimiento y revisión posterior. La gestión implica a las funciones de ciberseguridad, TI, legal, privacidad y negocio, con escalado a las autoridades cuando lo exige la normativa aplicable, incluidas NIS2 y el RGPD.

Seguridad de la IA

Cuando Qlara utiliza capacidades de inteligencia artificial, los modelos y tratamientos asociados se gestionan dentro del entorno tecnológico de Agile Telecom y están sujetos a los mismos controles de seguridad aplicados al perímetro de producto e infraestructura: control de accesos, monitorización, comunicaciones cifradas, protección de activos y gobernanza sobre los datos tratados por los componentes de IA.