Q: ¿Cómo se controla el acceso a los datos del cliente?

Aplicamos el principio de mínimo privilegio y defensa en profundidad: El personal de Tendios solo accede a datos del cliente cuando es estrictamente necesario para soporte o mantenimiento, siempre con MFA obligatorio y credenciales temporales. Cada acceso queda registrado en un log inmutable con identidad del operador, fecha, recurso y motivo. Los logs se conservan 12 meses. Los clientes pueden gestionar roles y permisos dentro de su cuenta mediante nuestro sistema de RBAC (control de acceso basado en roles). Cualquier cambio sensible requiere revisión por al menos dos personas ( four-eyes principle ).

Q: ¿Cómo es vuestro ciclo de desarrollo seguro?

Aplicamos un SDLC seguro basado en OWASP SAMM: Revisión de código obligatoria por al menos un segundo ingeniero antes de mergear. Pipelines CI/CD con SAST (análisis estático), SCA (dependencias) y secret scanning . Threat modeling para funcionalidades críticas antes de implementar. Despliegues inmutables con imágenes firmadas y rollback automatizado.

Question 1

¿Cómo formáis al equipo en seguridad?

Accepted Answer

Todo el personal de Tendios completa formación obligatoria de seguridad:

Onboarding con política de seguridad, manejo de datos y prevención de phishing.
Simulacros de phishing trimestrales con métricas de mejora continua.
Formación técnica anual OWASP y de IA segura para el equipo de ingeniería.
Contratos con cláusulas de confidencialidad y verificación de antecedentes en roles críticos.

Question 2

¿Cómo se controla el acceso a los datos del cliente?

Accepted Answer

Aplicamos el principio de mínimo privilegio y defensa en profundidad:

El personal de Tendios solo accede a datos del cliente cuando es estrictamente necesario para soporte o mantenimiento, siempre con MFA obligatorio y credenciales temporales.
Cada acceso queda registrado en un log inmutable con identidad del operador, fecha, recurso y motivo. Los logs se conservan 12 meses.
Los clientes pueden gestionar roles y permisos dentro de su cuenta mediante nuestro sistema de RBAC (control de acceso basado en roles).
Cualquier cambio sensible requiere revisión por al menos dos personas (four-eyes principle).

Question 3

¿Cómo es vuestro ciclo de desarrollo seguro?

Accepted Answer

Aplicamos un SDLC seguro basado en OWASP SAMM:

Revisión de código obligatoria por al menos un segundo ingeniero antes de mergear.
Pipelines CI/CD con SAST (análisis estático), SCA (dependencias) y secret scanning.
Threat modeling para funcionalidades críticas antes de implementar.
Despliegues inmutables con imágenes firmadas y rollback automatizado.

¿Cómo formáis al equipo en seguridad?

Preguntas relacionadas