Política de seguridad de PKI Trust Manager

Descripción general

Este documento describe la política de seguridad de PKI Trust Manager de Securetron. Como herramienta para gestionar entornos de infraestructura de clave pública (PKI), damos prioridad a la seguridad en todas las fases de desarrollo y distribución del software. Esta política explica cómo gestionamos las vulnerabilidades, protegemos los datos de los usuarios y mantenemos la integridad de las operaciones PKI.

Notificación de vulnerabilidades de seguridad

Nuestro compromiso con la seguridad

Nos tomamos muy en serio la seguridad de PKI Trust Manager. Si cree que ha descubierto una vulnerabilidad en nuestro software, le animamos a informarnos de forma rápida y responsable.

Cómo informar

Contacto principal: [email protected]
Contacto alternativo: [email protected]

Incluya en su informe:

• Una descripción clara de la vulnerabilidad
• Pasos para reproducir el problema
• La versión de PKI Trust Manager que utiliza
• Su evaluación del posible impacto
• Código de prueba de concepto o capturas de pantalla (si están disponibles)

Qué puede esperar

1. Acuse de recibo: confirmaremos la recepción del informe en un plazo de 48 horas.
2. Investigación: nuestro equipo de seguridad investigará y validará el problema notificado.
3. Actualizaciones: le informaremos periódicamente sobre los avances.
4. Resolución: una vez resuelto el problema, coordinaremos la divulgación con usted.
5. Reconocimiento: agradecemos a los investigadores que siguen prácticas de divulgación responsable.

Funciones de seguridad de PKI Trust Manager

Protección de datos

• No almacenamiento persistente de credenciales: PKI Trust Manager no almacena credenciales de forma persistente.
• Procesamiento local: todas las operaciones con certificados se realizan en su infraestructura local.
• Comunicaciones cifradas: utiliza protocolos seguros para las operaciones remotas.
• Recopilación mínima de datos: recopilamos solo los datos operativos necesarios.

Control de acceso

• Permisos basados en roles: admite integración con los sistemas RBAC existentes.
• Principio de mínimo privilegio: las operaciones requieren solo los permisos necesarios.
• Registro de auditoría: las acciones de gestión se registran para su revisión de seguridad.
• Gestión de sesiones: manejo seguro de sesiones con tiempos de espera configurables.

Seguridad del ciclo de vida de certificados

• Gestión segura de claves: implementa prácticas criptográficas estándar del sector.
• Validación de plantillas: gestión de plantillas de certificados con controles de seguridad.
• Comprobaciones de cumplimiento: controles integrados para el cumplimiento normativo.
• Gestión de revocación: gestión segura de CRL y OCSP.

Gestión de vulnerabilidades

Nuestro proceso

1. Evaluación: evaluamos la gravedad e impacto de las vulnerabilidades notificadas.
2. Priorización: los problemas críticos reciben atención inmediata.
3. Desarrollo de correcciones: los parches de seguridad se desarrollan y prueban exhaustivamente.
4. Lanzamiento: distribuimos las actualizaciones mediante canales oficiales.
5. Divulgación: divulgamos los problemas públicamente una vez disponibles los parches.

Niveles de gravedad

• Crítica: ejecución remota de código, escalada de privilegios o exposición grave de datos.
• Alta: elusión importante de seguridad o divulgación de datos.
• Media: problemas de seguridad con impacto moderado.
• Baja: observaciones menores o problemas informativos.

Actualizaciones de seguridad

Política de actualización

• Actualizaciones periódicas: publicamos actualizaciones de seguridad cuando son necesarias.
• Notificaciones: avisamos a los clientes cuando hay actualizaciones de seguridad disponibles.
• Versiones de parche: los arreglos de seguridad se incorporan a las versiones compatibles.
• Fin de vida: avisamos con antelación cuando una versión deja de mantenerse.

Versiones compatibles

Proporcionamos actualizaciones de seguridad para:

• La versión principal actual
• La versión principal anterior
• Parches para problemas críticos en versiones anteriores, caso por caso

Buenas prácticas de seguridad para usuarios

Despliegue seguro

1. Seguridad de red: despliegue en segmentos de red protegidos.
2. Controles de acceso: aplique reglas adecuadas de firewall y acceso.
3. Actualizaciones periódicas: mantenga PKI Trust Manager actualizado a la versión más reciente.
4. Supervisión: revise los registros de auditoría para detectar actividad inusual.

Seguridad de configuración

1. Cuentas de servicio: use cuentas dedicadas con privilegios mínimos.
2. Almacenamiento seguro: proteja los archivos de configuración y resultados de auditoría.
3. Copias de seguridad: mantenga copias periódicas de los datos de gestión.
4. Alineación con políticas: configure la solución según las políticas de su organización.

Seguridad operativa

1. Principio de mínimo privilegio: otorgue solo los permisos necesarios.
2. Auditorías periódicas: revise las actividades de gestión y los patrones de acceso.
3. Respuesta a incidentes: establezca procedimientos para incidentes de seguridad.
4. Formación: asegúrese de que los operadores conocen sus responsabilidades de seguridad.

Cumplimiento y estándares

PKI Trust Manager admite la alineación con:

• Certificación ISO 27001
• Directrices NIST para seguridad PKI
• Alineación con SOC 2
• Estándares del sector para gestión de certificados
• Requisitos normativos específicos de su sector

Prácticas de seguridad de Securetron

Seguridad del desarrollo

• Codificación segura: los desarrolladores siguen estándares de seguridad del sector.
• Revisión de código: todo el código pasa por revisión de seguridad.
• Pruebas: realizamos pruebas de seguridad periódicas durante el desarrollo.
• Gestión de dependencias: supervisamos vulnerabilidades en componentes de terceros.

Seguridad de la infraestructura

• La seguridad es una responsabilidad compartida.

Responsabilidades de Securetron:

• Proporcionar software seguro
• Responder a los informes de vulnerabilidades
• Publicar actualizaciones de seguridad
• Mantener la documentación de seguridad

Responsabilidades del usuario:

• Desplegar el software en entornos seguros
• Aplicar rápidamente las actualizaciones de seguridad
• Configurar controles de seguridad adecuados
• Supervisar actividades sospechosas
• Seguir las buenas prácticas de seguridad

Alcance

Esta política se aplica a:

• El software PKI Trust Manager
• La documentación y las guías oficiales
• Los canales de distribución alojados por Securetron

Contacto y soporte

Consultas de seguridad

Correo electrónico: [email protected]
Clave PGP: disponible en https://www.securetron.net/security/

Soporte general

Correo electrónico: [email protected]
Documentación: https://securetron.net/documentation
Comunidad: GitHub Discussions para consultas no relacionadas con seguridad

Contactos de emergencia

Para incidentes críticos que afecten a entornos de producción, incluya "URGENT" en el asunto y priorizaremos el informe.

Actualizaciones de la política

Podemos actualizar esta política cuando sea necesario. La versión más reciente estará disponible en https://www.securetron.net/pki-trust-manager/security-policy.

Última actualización: octubre de 2025
Versión de la política: 2.0

PKI Trust Manager se desarrolla considerando la seguridad como un principio fundamental. Agradecemos su colaboración para mantener seguros los entornos PKI.

Para cualquier cuestión de seguridad, contacte con [email protected].