Inicio / Seguridad y protección de datos
Seguridad y protección de datos
Su documentación de cumplimiento describe dónde es vulnerable su empresa. Aquí puede ver cómo protege Complass estos datos, quién puede hacer qué y cómo mantiene usted mismo el control.
Contenido
- Inicio de sesión y acceso
- Sin acceso de los administradores sin su autorización
- Cifrado
- Backups cifrados
- Alojamiento y operaciones
- Seguridad de las aplicaciones
- Todos los cambios son trazables
- Protección y control de los datos
- Datos de vulnerabilidades sin que los datos salgan
- Transparencia
- Lo que deliberadamente no hacemos
- Detalles técnicos
Cinco capas entre internet y sus datos
- 1
Conexión cifrada y cabeceras de seguridad
El portal solo es accesible mediante HTTPS y los navegadores lo recuerdan durante un año (HSTS). Una política de seguridad de contenidos estricta solo permite scripts, estilos y fuentes de nuestro propio servidor, y el portal no puede incrustarse en otros sitios web.
- 2
Inicio de sesión con contraseña y MFA
Todos inician sesión con una contraseña y un código de su aplicación de autenticación. El inicio de sesión con MFA es obligatorio para todos los usuarios, incluidos nuestros propios administradores.
- 3
Roles y permisos granulares
Administrador, editor o solo lectura, opcionalmente limitado a proyectos concretos con «lectura» o «edición». Además, sus administradores establecen para cada persona y área (marco normativo, módulo, elemento de menú) sin acceso, lectura o escritura, así como permisos especiales como exportar, eliminar o aprobar. Los cambios surten efecto de inmediato y quedan registrados.
- 4
Estricta separación entre clientes
En cada acceso, el servidor comprueba si el proyecto pertenece a su empresa. Los proyectos de otras empresas simplemente no existen desde el punto de vista del portal: la respuesta es «no encontrado».
- 5
Archivos de evidencia cifrados
Las evidencias cargadas se cifran con una clave distinta para cada cliente y se almacenan fuera del directorio de acceso público. Solo pueden descargarlas las personas que tienen permiso para ver el proyecto.
Nuestras medidas en detalle
Inicio de sesión y acceso
El servidor decide en cada solicitud quién puede entrar y qué puede hacer.
- MFA obligatoria
- Passkeys
- Inicio de sesión con cuenta de empresa (SSO)
- Contraseñas con Argon2id
- Bloqueo progresivo de la cuenta
- Rate Limiting y bloqueo de IP
- Aviso de nuevo dispositivo
- Caducidad de la sesión
- Nueva confirmación antes de acciones sensibles
- Roles y permisos granulares
- Perfiles de rol
- Principio de doble control
- Separación de clientes
- Acceso para proveedores
Mostrar todas las medidas del área (14)
MFA obligatoria
Contraseña y código de la aplicación de autenticación, o una passkey que cubre ambos factores, para todas las personas, también para nuestros administradores.
Passkeys
Inicio de sesión con huella digital, Face ID, Windows Hello o una llave de seguridad. Una passkey cubre ambos factores; la contraseña y la aplicación de autenticación se mantienen como alternativa.
Inicio de sesión con cuenta de empresa (SSO)
Inicio de sesión a través de su proveedor de identidad (OpenID Connect con PKCE), p. ej., Microsoft Entra ID, Google Workspace, Okta o Keycloak. Sus administradores pueden hacer obligatorio el SSO para su empresa.
Contraseñas con Argon2id
Al menos 12 caracteres, almacenadas únicamente como hash Argon2id.
Bloqueo progresivo de la cuenta
Bloqueada tras intentos fallidos repetidos y durante más tiempo con nuevos intentos: 15 minutos, 1 hora, 24 horas.
Rate Limiting y bloqueo de IP
Los intentos de inicio de sesión por dirección IP están limitados; ante patrones de ataque, la dirección se bloquea y se alerta a operaciones.
Aviso de nuevo dispositivo
Cuando alguien inicia sesión desde un dispositivo nuevo, la persona recibe un correo electrónico.
Caducidad de la sesión
Cierre de sesión tras 30 minutos de inactividad y, como máximo, tras 10 horas (valor por defecto; por empresa, de 10 a 60 minutos y de 4 a 12 horas).
Nueva confirmación antes de acciones sensibles
Para acciones especialmente sensibles, Complass exige una confirmación reciente con un código de la aplicación o una passkey («step-up»), también dentro de una sesión en curso.
Roles y permisos granulares
Sin acceso, lectura o escritura por persona y área, además de permisos especiales, opcionalmente limitados en el tiempo.
Perfiles de rol
Los perfiles de rol predefinidos, como «Auditor externo», se pueden adoptar y sus administradores pueden adaptarlos a su empresa.
Principio de doble control
Para las aceptaciones de riesgos y las aprobaciones de documentos, sus administradores pueden establecer un principio de doble control. Las intervenciones de Complass en sus datos (p. ej., restablecer la contraseña y la MFA, cambiar la dirección de correo electrónico, eliminar un proyecto de forma definitiva) siempre requieren antes la aprobación de una segunda persona de nuestro equipo.
Separación de clientes
Cada consulta se limita a su empresa; los demás objetos «no se encuentran».
Acceso para proveedores
Los proveedores solo ven los cuestionarios y evidencias que se les asignan; la separación se comprueba automáticamente.
¿Quién puede hacer qué?
Los roles definen lo que una persona puede hacer en principio. Además, puede limitar a editores y lectores a proyectos concretos y establecer «lectura» o «edición» por proyecto, nunca más de lo que permite el rol.
Mostrar la tabla de roles y permisos
| Rol | Ver proyectos | Editar contenidos | Aprobar documentos | Crear proyectos | Gestionar el equipo | Exportar | Eliminar proyectos |
|---|---|---|---|---|---|---|---|
| Administrador | todos | sí | sí | sí | sí | sí | sí1 |
| Editor | todos o los seleccionados | sí2 | no | sí3 | no | sí | no |
| Solo lectura | todos o los seleccionados | no | no | no | no | sí | no |
| Auditor«Solo lectura» con fecha de caducidad | seleccionados, hasta la fecha de caducidad | no | no | no | no | sí | no |
| Consultor de Complasssolo con su autorización | todos, mientras estén autorizados | sí | no | no | no | sí | no |
- A la papelera de reciclaje, restaurable durante 30 días; solo tras escribir el nombre del proyecto.
- En todos los proyectos o solo en aquellos establecidos en «edición».
- Solo con acceso a todos los proyectos.
La edición requiere una licencia válida; cuando finaliza la licencia, siguen siendo posibles la visualización y la exportación. El último administrador de una empresa no puede ser degradado, de modo que su equipo nunca se queda sin nadie que lo gestione.
La tabla muestra los valores predeterminados de los roles. En «Permisos», sus administradores ajustan los derechos por persona de forma granular: por área (cada marco normativo, cada módulo, cada elemento de menú) sin acceso, lectura o escritura, además de permisos especiales como exportar (también por área), eliminar, aprobar documentos, presentar fases de notificación, importar activos, invitar a personas y gestionar permisos, opcionalmente limitados en el tiempo y mediante perfiles de rol. Siempre se aplica la regla más estricta; el solo lectura nunca escribe. Los elementos de menú sin permiso se ocultan y el servidor rechaza las solicitudes directas. También se puede invitar a personas concretas a un único objeto (por ejemplo, una tarea o un documento) para comentar o editar conjuntamente sin recibir más permisos. Usted exporta la matriz de permisos filtrada como evidencia (Excel, CSV, PDF).
Sin acceso de los administradores sin su autorización
En la interfaz de usuario, los administradores de Complass solo ven datos administrativos como la empresa, los módulos contratados y el número de usuarios. Solo es posible acceder a sus contenidos con su autorización expresa y limitada en el tiempo.
- Activos, incidentes, vulnerabilidades y tareas
- Proyectos solo con autorización para consultores
- Acceso de emergencia solo con su permiso
- Adjuntos de soporte solo con autorización
- Sesión de soporte solo con autorización
- Visible y finalizable en cualquier momento
- Roles separados en Complass
Mostrar todas las medidas del área (7)
Activos, incidentes, vulnerabilidades y tareas
No accesibles para los administradores de Complass en la interfaz de usuario.
Proyectos solo con autorización para consultores
Nuestros consultores solo ven proyectos, documentos y evidencias cuando su administrador autoriza el acceso de consultor. Cada sesión en la que un consultor abre un proyecto consta en su registro, con el tipo de acceso.
Acceso de emergencia solo con su permiso
Solo si usted lo ha permitido previamente, con justificación y autorización de una segunda persona, 60 minutos como máximo, solo en lectura, en el registro y con correo electrónico inmediato a sus administradores.
Adjuntos de soporte solo con autorización
Solo vemos los adjuntos de los tickets de soporte cuando su administrador ha aprobado el ticket.
Sesión de soporte solo con autorización
La persona afectada autoriza la sesión, limitada a 30, 60 o 120 minutos, de solo lectura por defecto y sin archivos ni exportación. El acceso de escritura requiere además el consentimiento de su administrador.
Visible y finalizable en cualquier momento
Un banner muestra «sesión de soporte activa» y usted puede finalizarla en cualquier momento. Cada visualización de página queda registrada y Complass necesita además MFA para la sesión.
Roles separados en Complass
Los roles están separados internamente, por ejemplo ingeniería, ventas y finanzas: el personal solo ve lo que necesita para su tarea.
Cifrado
Data in Transit y Data at Rest.
- Data in Transit
- Archivos de evidencia por cliente
- Secrets y códigos de MFA
Mostrar todas las medidas del área (3)
Data in Transit
Solo HTTPS, HSTS durante un año, incluidos los subdominios.
Archivos de evidencia por cliente
Cifrados con una clave distinta para cada cliente (XChaCha20-Poly1305), fuera del directorio público.
Secrets y códigos de MFA
Secrets de MFA cifrados; enlaces de invitación y códigos de recuperación almacenados únicamente como HMAC.
Backups cifrados
Un backup solo es tan bueno como su protección. Por eso, ni siquiera quien tenga acceso al servidor puede leer los backups de la base de datos.
- Diaria
- Cifrada con una clave pública
- Clave privada fuera del servidor
- Los archivos de evidencia permanecen cifrados
- Se detecta la manipulación
- Hasta 60 días y restauración selectiva
- Copia fuera del servidor
Mostrar todas las medidas del área (7)
Diaria
Backup diario de la base de datos y de todos los archivos de evidencia.
Cifrada con una clave pública
El backup de la base de datos se cifra con libsodium (XChaCha20-Poly1305) para una clave pública.
Clave privada fuera del servidor
Conservamos la clave privada de descifrado exclusivamente sin conexión.
Los archivos de evidencia permanecen cifrados
Los backups de los archivos de evidencia se realizan en su forma cifrada (una clave por cliente).
Se detecta la manipulación
Los backups alterados o dañados se detectan al restaurar y no se aplican.
Hasta 60 días y restauración selectiva
En el servidor se conservan los últimos 30 backups diarios; fuera del servidor hay además estados diarios que no se pueden eliminar desde el servidor y una copia mensual sin conexión. Cada backup se elimina o se sobrescribe como máximo a los 60 días; los proyectos individuales se pueden restaurar de forma selectiva como copia.
Copia fuera del servidor
Además, una copia cifrada de cada backup se guarda fuera del servidor en un centro de datos en Alemania.
Alojamiento y operaciones
Dónde se ejecuta Complass y cómo supervisamos la operación.
- Alojado en Alemania
- Monitoring
- Informe diario de operaciones
- Disponibilidad comprobable desde fuera
- Solo el punto de entrada es público
Mostrar todas las medidas del área (5)
Alojado en Alemania
En Hetzner Online GmbH, en centros de datos en Alemania, con un contrato de encargo de tratamiento de datos.
Monitoring
Los backups, los trabajos cron, el almacenamiento, los datos de vulnerabilidades, la entrega de correo electrónico, los errores del servidor y los tiempos de respuesta se comprueban de forma continua; Complass recibe una alerta automática si algo es anómalo.
Informe diario de operaciones
Complass recibe cada día un informe sobre el estado de la operación, sin contenidos de clientes.
Disponibilidad comprobable desde fuera
Una dirección de estado sin datos de clientes permite un monitoring de la disponibilidad desde fuera; se está configurando un monitoring externo.
Solo el punto de entrada es público
La base de datos, las evidencias, los backups y el código del programa están bloqueados desde la web.
Seguridad de las aplicaciones
Protección frente a los ataques habituales a aplicaciones web.
- Política de seguridad de contenidos
- Cabeceras de seguridad y protección CSRF
- Comprobaciones de carga
- Procesamiento seguro de XML
- Capturas de red solo en el navegador
- Escaneos de seguridad automáticos
- OWASP ASVS 5.0
Mostrar todas las medidas del área (7)
Política de seguridad de contenidos
Solo scripts, estilos y fuentes de nuestro propio servidor, sin scripts en línea y sin incrustación en otros sitios.
Cabeceras de seguridad y protección CSRF
Cabeceras de seguridad en cada respuesta y token CSRF para cada cambio.
Comprobaciones de carga
Los archivos cargados se comprueban por extensión y por contenido real; solo se admiten los tipos permitidos.
Procesamiento seguro de XML
Importaciones XML (por ejemplo, Nmap, escáneres, Excel) sin cargar recursos externos y sin resolver entidades externas.
Capturas de red solo en el navegador
Los archivos PCAP se analizan en el navegador y no se cargan.
Escaneos de seguridad automáticos
Con cada cambio en el código: análisis estático del código, búsqueda de secrets guardados por error, comprobación de todos los componentes de terceros en busca de vulnerabilidades conocidas, una lista de materiales de software (SBOM) y un escaneo dinámico de la aplicación en ejecución.
OWASP ASVS 5.0
OWASP ASVS 5.0: nivel 1 98 % · nivel 2 93 % · nivel 3 85 % (autoevaluación, a fecha de 21.10.2026). Una excepción justificada, indicada abiertamente.
Todos los cambios son trazables
Para sus evidencias de auditoría: quién cambió qué y cuándo.
- Historial de cambios por objeto
- Versiones con aprobación
- Historial de comentarios
- Exportación de auditoría
- Registro de auditoría del cliente
- Registro con detección de manipulaciones
Mostrar todas las medidas del área (6)
Historial de cambios por objeto
Quién, cuándo, valor anterior y nuevo, p. ej., en entradas del catálogo, tareas y fases.
Versiones con aprobación
Las versiones anteriores de documentos con aprobación (nombre, fecha) y las versiones de archivos de evidencia siguen disponibles.
Historial de comentarios
Los comentarios editados conservan sus versiones anteriores; los comentarios retirados y ocultos se conservan.
Exportación de auditoría
Un paquete cifrado para auditorías internas y externas: proyectos, documentos, evidencias, registros y registro de actividad, solo dentro de los derechos de lectura de la persona que lo solicita. Recibe el enlace de descarga por correo electrónico. Un manifiesto con sumas de comprobación demuestra que el paquete no ha sido modificado; usted lo verifica en el portal.
Registro de auditoría del cliente
Inicios de sesión, exportaciones, cambios de permisos, eliminaciones y otras acciones importantes, filtrables y exportables para sus administradores.
Registro con detección de manipulaciones
Cada entrada de su registro de auditoría del cliente y de los eventos de seguridad está enlazada con la anterior mediante una cadena de hashes (HMAC-SHA-256); las modificaciones o eliminaciones se hacen visibles en la verificación. El estado de la verificación (última comprobación, valor de control) aparece en el registro de auditoría del cliente y en la exportación.
Protección y control de los datos
Sus datos le pertenecen.
- Sin rastreadores publicitarios
- Periodos de conservación
- Exportación en cualquier momento, sin dependencia del proveedor
- Cambio de proveedor sin coste
- Acceso de lectura tras el fin del contrato
- Eliminación de datos a petición
Mostrar todas las medidas del área (6)
Sin rastreadores publicitarios
En el área de clientes, sin herramientas de seguimiento ni de analítica, sin fuentes ni scripts externos; en el sitio web público, estadísticas de visitas sin cookies (Plausible, UE); solo cookies estrictamente necesarias: la sesión y, si elige un idioma, su idioma.
Periodos de conservación
Las direcciones IP del registro se acortan tras 90 días, las entradas del registro se eliminan tras 24 meses y las consultas de posibles clientes, tras 12 meses.
Exportación en cualquier momento, sin dependencia del proveedor
Documentos, tablas, informes y el paquete de cumplimiento con todos los archivos de evidencia, exportables en cualquier momento.
Cambio de proveedor sin coste
Cambio a otro proveedor o a su propio sistema con plazos fijos y exportación de los datos de su empresa en formatos abiertos. La página «Cambio de proveedor y exportación de datos» describe el procedimiento y los formatos.
Acceso de lectura tras el fin del contrato
Cuando finaliza el contrato, sus contenidos siguen siendo legibles y exportables; solo se bloquea la edición.
Eliminación de datos a petición
En el portal: primero la exportación y después la confirmación con contraseña, MFA, nombre de la empresa y correo electrónico, periodo de espera de 7 días y confirmación de la eliminación en PDF.
Datos de vulnerabilidades sin que los datos salgan
La conciliación con datos públicos de vulnerabilidades se realiza en nuestro servidor.
- Réplica de fuentes públicas
- Ningún dato de clientes se envía al exterior
Mostrar todas las medidas del área (2)
Réplica de fuentes públicas
NVD, CISA KEV, EPSS y ENISA EUVD se descargan en el servidor.
Ningún dato de clientes se envía al exterior
La información de su inventario de activos no se envía a servicios externos para la conciliación.
Transparencia
Qué utilizamos, cómo seguimos desarrollando Complass y cómo puede comunicarnos vulnerabilidades de seguridad.
- Subencargados del tratamiento
- Soporte a través de su administrador
- Historial de versiones
- Comunicar una vulnerabilidad
- Contenidos con apoyo de IA
Mostrar todas las medidas del área (5)
Subencargados del tratamiento
Para los contenidos que registra en el portal, utilizamos Hetzner Online GmbH (alojamiento). Con el módulo adicional «Alerta por SMS y llamada» interviene sms77 io GmbH (seven.io) para el número de teléfono y el texto de alerta.
Soporte a través de su administrador
Los errores, las solicitudes y las preguntas nos llegan agrupados a través de su administrador. Usted ve el estado y las respuestas en el ticket, hasta «resuelto en la versión …». Nunca ve los tickets de otros clientes, ni ellos los suyos.
Historial de versiones
Los cambios se enumeran por versión en «Novedades».
Comunicar una vulnerabilidad
Envíe los avisos de vulnerabilidades de seguridad a security@complass.de; contacto también en /.well-known/security.txt.
Contenidos con apoyo de IA
Los contenidos se elaboran con el apoyo de IA y son revisados frente a los textos originales por nuestros especialistas.
¿Qué ocurre si …?
La seguridad se demuestra en situaciones cotidianas. Estos casos se dan en todas las empresas, y así los gestiona Complass.
… una contraseña cae en manos equivocadas?
Sin el código de la aplicación de autenticación, nadie entra. Tras 5 contraseñas incorrectas se bloquea el inicio de sesión con contraseña desde esa red; tras 5 códigos incorrectos, toda la cuenta, primero durante 15 minutos y, si se vuelve a bloquear en un plazo de 24 horas, durante más tiempo. Así, nadie que solo conozca su dirección de correo electrónico puede dejarle sin acceso. La persona y sus administradores reciben un correo electrónico cuando se produce un bloqueo. Si alguien inicia sesión desde un dispositivo nuevo, también se informa a la persona por correo electrónico. Los inicios de sesión fallidos aparecen en su registro de auditoría.
… alguien abandona la empresa?
Su administrador desactiva la cuenta en «Equipo y accesos». Todas las sesiones abiertas de esa persona terminan de inmediato y ya no es posible iniciar sesión. El puesto en su cuota de usuarios vuelve a quedar libre.
… alguien deja el navegador abierto?
Tras 30 minutos sin actividad, el portal cierra la sesión automáticamente; como máximo tras 10 horas se exige un nuevo inicio de sesión con MFA. Los administradores de una empresa pueden elegir entre 10 y 60 minutos y entre 4 y 12 horas. Cada persona ve sus sesiones activas y puede cerrar la sesión en otros dispositivos.
… se pierde el teléfono con la aplicación?
Con su clave de recuperación inicia sesión una sola vez y configura de inmediato una nueva aplicación. Sin la clave, su administrador restablece la MFA previa solicitud; su contraseña se mantiene y las sesiones anteriores caducan.
Mostrar más casos (5)
… un auditor necesita acceso para consultar?
Cree una cuenta con el rol «solo lectura», limitada al proyecto en cuestión y con fecha de caducidad. Pasada esa fecha, ya no es posible iniciar sesión, sin que nadie tenga que acordarse de ello.
… Complass debe prestarle soporte?
Nuestros consultores solo ven sus proyectos cuando su administrador autoriza el acceso de consultor, en cada caso durante 90 días como máximo. Cada sesión en la que un consultor abre un proyecto consta en su registro, y la autorización se puede retirar con un clic. Un acceso de emergencia solo existe si su empresa lo ha permitido previamente: con nueva autenticación, autorización de una segunda persona de nuestro equipo, 60 minutos como máximo y solo en lectura; sus administradores reciben un aviso inmediato por correo electrónico. Cuando nuestro equipo restablece el acceso de una persona (contraseña e inicio de sesión con MFA), cambia su dirección de correo electrónico o elimina un proyecto de forma definitiva, solo lo hace tras la autorización de una segunda persona de nuestro equipo, y sus administradores reciben un correo electrónico al respecto. El enlace para la nueva configuración lo recibe la propia persona por correo electrónico; nuestro equipo nunca lo ve. Esto también se aplica a los especialistas que Complass contrata para encargos concretos: trabajan por encargo de Complass y solo a través del acceso de consultor que usted ha autorizado.
… Complass necesita ver su vista para ayudarle?
Usted mantiene el control del acceso de soporte: nuestro soporte solo ve su vista con su autorización, que usted mismo concede en el ticket o en «Mi cuenta». Está limitada en el tiempo (de 30 minutos a 2 horas), es de solo lectura por defecto, sin archivos y sin exportación, y se puede finalizar en cualquier momento con un clic. La página de su cuenta, la contraseña y la MFA, el equipo, los permisos y la suscripción permanecen bloqueados. Se le notifica a usted y a sus administradores el inicio del acceso, y cada página visitada consta en su registro de auditoría. Ni siquiera con acceso de escritura puede el soporte conceder aprobaciones, releases, aceptaciones, aceptaciones de riesgos ni confirmaciones de lectura; lo que crea o modifica aparece en el historial marcado como «creado en soporte por …».
… un proyecto se elimina por error?
Solo pueden eliminar los administradores (o las personas a las que sus administradores concedan el derecho «Eliminar»), y solo tras introducir el nombre del proyecto y confirmar con el código actual de la app o una passkey. El proyecto queda entonces 30 días en la papelera y se puede restaurar con un clic. Las versiones anteriores de documentos y listas de control se conservan y, además, hay un backup diario.
… finaliza la licencia?
Sus proyectos siguen siendo legibles y exportables; solo se bloquea la edición. El paquete de cumplimiento en un archivo ZIP contiene documentos, tablas, informes y todos los archivos de evidencia con sumas de comprobación.
Lo que deliberadamente no hacemos
- Sin rastreadores publicitarios ni analítica en el área de clientes
- Sin venta ni cesión de sus datos
- Sin entrenamiento de IA con sus datos
- Sin herramientas de control remoto de terceros
Encontrará los detalles sobre el tratamiento de datos personales en la política de privacidad.
Detalles técnicos para su departamento de TI
Para la dirección de TI y los responsables de seguridad de la información: las medidas al detalle.
Inicio de sesión y contraseñas
- Contraseñas de al menos 12 caracteres; se rechazan, entre otras, las contraseñas que contienen la dirección de correo electrónico, el nombre de la propia persona o el nombre de la empresa, tienen una estructura demasiado sencilla, figuran entre las contraseñas más habituales o han aparecido en filtraciones de datos conocidas.
- En la comprobación de filtraciones de datos, solo los primeros 5 caracteres de un hash de la contraseña salen del servidor (k-anonimato); la contraseña en sí nunca se transmite.
- Mensaje de error uniforme y tiempo de respuesta igualado, de modo que no se puede determinar si una dirección de correo electrónico está registrada.
- Bloqueo escalonado tras 5 intentos fallidos (15 min, 1 h, 1 día; el contador caduca tras 24 horas sin intentos fallidos): las contraseñas incorrectas solo bloquean el inicio de sesión con contraseña desde la red de la que proceden; los códigos incorrectos, toda la cuenta. Además se aplica un Rate Limiting de 30 intentos de inicio de sesión por dirección IP en 15 minutos, también para las passkeys.
- Las cuentas solo se crean mediante enlaces de invitación: válidos durante 72 horas, de un solo uso, incluso ante solicitudes simultáneas.
- Las conexiones salientes (Egress), por ejemplo hacia el proveedor del inicio de sesión con cuenta de empresa o hacia los avisos de seguridad de los fabricantes, solo se realizan por https y hacia direcciones públicas; las redirecciones se comprueban una a una. De este modo no se puede acceder a las redes internas del centro de datos.
Protección frente a ataques al inicio de sesión
- Bloqueo escalonado: tras 5 contraseñas incorrectas, el inicio de sesión con contraseña desde esa red queda bloqueado durante 15 minutos; tras 5 códigos incorrectos, toda la cuenta; si se vuelve a bloquear en un plazo de 24 horas, el bloqueo se prolonga de forma escalonada (15 min, 1 h, 1 día). Un inicio de sesión correcto restablece el contador. También en una sesión abierta cuentan las contraseñas y los códigos incorrectos; tras 5 intentos fallidos, la sesión termina.
- Rate Limiting por conexión: como máximo 30 intentos de inicio de sesión por dirección IP en 15 minutos; tras intentos fallidos repetidos, el inicio de sesión responde con retraso (hasta 2 segundos). Muchos intentos fallidos desde una misma conexión con muchas direcciones distintas bloquean temporalmente el inicio de sesión de esa conexión.
- Mismo mensaje y mismo tiempo de respuesta ante una dirección desconocida, una contraseña incorrecta y una cuenta bloqueada: desde fuera no se puede determinar si una cuenta existe o está bloqueada.
- Notificación: en caso de bloqueo, la persona y los administradores de su empresa reciben un correo electrónico; los administradores pueden levantar el bloqueo. Si alguien inicia sesión desde un dispositivo hasta ahora desconocido, la persona recibe un correo electrónico (desactivable en «Mi cuenta»). Un dispositivo conocido se reconoce por una cookie de dispositivo firmada, aunque cambie su dirección IP; si no, de forma aproximada por el navegador, el sistema operativo y el rango de red, sin servicios de localización.
- Alertas de operaciones: los intentos fallidos, los bloqueos, los bloqueos de IP y las solicitudes a objetivos de ataque habituales se registran como eventos de seguridad. Ante acumulaciones, conexiones bloqueadas y eventos en las cuentas de nuestros administradores, nuestro equipo de operaciones recibe de inmediato una alerta por correo electrónico; además recibe un informe diario.
- Sus administradores ven los eventos de seguridad de las cuentas de su empresa (inicios de sesión fallidos, bloqueos, nuevos dispositivos) con filtros y exportación.
Inicio de sesión con MFA
- TOTP según RFC 6238 (6 dígitos, 30 segundos), compatible con las aplicaciones de autenticación habituales. Cada código es válido una sola vez (protección contra repetición).
- El código QR de configuración se genera en el navegador; el secret no se envía a ningún servicio externo.
- Una clave de recuperación (28 caracteres), de un solo uso, tras la cual es obligatorio configurar de nuevo la aplicación; se puede generar de nuevo en cualquier momento.
- No hay acceso sin MFA; la configuración es obligatoria en el primer inicio de sesión.
Sesiones y protección frente a ataques
- Cookie de sesión con prefijo __Host-, Secure, HttpOnly y SameSite=Strict; nuevo ID de sesión tras cada fase del inicio de sesión.
- Cierre de sesión tras 30 minutos de inactividad y, como máximo, tras 10 horas (valor por defecto; por empresa, de 10 a 60 minutos y de 4 a 12 horas).
- Cuando se cambia la contraseña o el dispositivo de MFA, terminan todas las demás sesiones de la persona; al desactivarla, terminan todas.
- Token CSRF para cada cambio.
- Política de seguridad de contenidos sin scripts en línea y sin fuentes externas (default-src 'self', frame-ancestors 'none', object-src 'none'), además de X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy y Cache-Control: no-store.
Cifrado
- Data in Transit: solo HTTPS, HSTS durante un año, incluidos los subdominios.
- Archivos de evidencia: libsodium secretstream (XChaCha20-Poly1305) en bloques de 64 KiB, con una clave por cliente derivada de la clave maestra mediante KDF. Almacenados con nombres aleatorios fuera de la raíz web (directorios 0700, archivos 0600).
- Secrets de MFA: cifrados con libsodium secretbox (XSalsa20-Poly1305).
- Contraseñas: se almacenan únicamente como hash Argon2id; los hashes antiguos se renuevan automáticamente en el siguiente inicio de sesión. Enlaces de invitación y claves de recuperación: se almacenan únicamente como HMAC-SHA-256.
- Backup de los archivos de evidencia: contiene los archivos en su forma cifrada.
- Backup de la base de datos: cifrado híbrido (libsodium: clave de archivo por backup, contenido con XChaCha20-Poly1305, clave de archivo sellada con la clave pública de backups). La clave privada no se almacena en el servidor.
Archivos de evidencia
- Solo se permiten determinados tipos de archivo; se comprueban tanto la extensión como el contenido real.
- Acceso solo con permiso sobre el proyecto o la tarea: como descarga o, en el caso de PDF, imágenes y archivos de texto, como vista en el navegador. Ambos siempre en un entorno aislado (sandbox) sin scripts.
- El mismo nombre de archivo crea una nueva versión; las versiones anteriores siguen disponibles. Los archivos eliminados se borran definitivamente pasados 30 días.
Backup y recuperación
- Backup diario de la base de datos (copia coherente, comprimida y cifrada) y de los archivos de evidencia; se conservan los últimos 30 backups.
- Papelera de reciclaje para todos los elementos (proyectos, riesgos, incidentes, tareas, activos, archivos de evidencia y más): se pueden restaurar durante 30 días y después se eliminan de forma definitiva.
- Versiones anteriores: las últimas 100 por documento (las versiones aprobadas, de forma permanente), los últimos 50 estados por lista de verificación.
- Clave propia por cliente en los backups: se destruye al eliminar al cliente; los datos quedan entonces ilegibles de inmediato en la mayoría de las copias y en todas, a más tardar, cuando caducan.
- Los proyectos individuales se pueden restaurar desde un backup como copia junto al estado actual, sin sobrescribir los datos existentes.
Acceso por parte de Complass
- Los consultores solo ven los proyectos de los clientes con la autorización de un administrador del cliente; los accesos de consultor constan en el registro del cliente (acceso de consultor por sesión y proyecto, acceso de emergencia en cada apertura de proyecto con su número).
- Acceso de emergencia solo si el cliente lo ha permitido previamente, con justificación por escrito, nueva autenticación y autorización de una segunda persona, 60 minutos como máximo, solo en lectura, en el registro del cliente y con correo electrónico inmediato a los administradores del cliente.
- Las sesiones de soporte solo se realizan con la autorización de la persona afectada, limitadas en el tiempo y de solo lectura por defecto; se inician con el código MFA de nuestro administrador en una sesión aparte (nunca se toma el control de su sesión) y usted puede finalizarlas en cualquier momento; cada visualización de página queda registrada en el registro de auditoría del cliente.
- Las acciones de soporte de nuestros administradores, como restablecer la contraseña y la MFA o finalizar sesiones, también aparecen en su registro de auditoría.
Operaciones
- Alojado por Hetzner Online GmbH en servidores en Alemania.
- Solo el punto de entrada del portal es accesible públicamente; la base de datos, los archivos de evidencia, los backups y el código del programa están bloqueados desde la web.
- Monitoring: la disponibilidad, los backups, los trabajos cron, el almacenamiento, los datos de vulnerabilidades, la entrega de correo electrónico, los errores del servidor, el tiempo de respuesta y PHP se comprueban de forma continua; las alertas llegan a Complass por correo electrónico. Sin contenidos de clientes en el monitoring.
Preguntas frecuentes sobre seguridad
¿Quién puede ver mis datos?
Las personas de su empresa a las que sus administradores dan acceso, dentro del ámbito de sus derechos. Complass solo ve en la interfaz datos de administración; los contenidos solo con su autorización de consultor, en una sesión de soporte que usted haya autorizado o en el acceso de emergencia registrado, si usted lo ha permitido previamente.
¿Puede Complass acceder técnicamente a los datos?
Como operador, gestionamos el servidor y las claves para el cifrado de los archivos de evidencia. El acceso fuera de la interfaz de usuario se rige por el contrato de encargo de tratamiento de datos y se limita a operaciones.
¿Qué ocurre en caso de un incidente de seguridad en Complass?
Informamos a los clientes afectados sin demora. Las violaciones de la seguridad de los datos personales se notifican conforme al RGPD, como encargado del tratamiento primero a usted como responsable del tratamiento.
¿Está certificado Complass?
No. En esta página describimos qué medidas están implantadas; con mucho gusto responderemos en detalle a las preguntas de su equipo de seguridad informática.
¿Preguntas de su equipo de seguridad informática?
Con mucho gusto responderemos a sus preguntas sobre la seguridad de Complass, también durante una demo.
Cómo evaluamos según OWASP ASVS 5.0
O por correo electrónico a info@complass.eu.