Identidades y control de acceso
Principios
Mínimo privilegio, necesidad de saber y una identidad única por persona: cada acción se puede atribuir a alguien.
Accesos de la plataforma (ELEMENTHOR)
- Consola de la plataforma: solo el Responsable de seguridad de la información, con verificación en dos pasos.
- Servidor: acceso solo con llave SSH (sin contraseña), y la cuenta de AWS con verificación en dos pasos en el usuario raíz.
- Correo, dominio y DNS (Hostinger), pagos y demás proveedores: cuentas personales con verificación en dos pasos.
- Las cuentas de servicio (por ejemplo la de Google Search Console o el usuario de S3) tienen solo los permisos que necesitan.
Accesos de los clientes (en sus apps)
- Cada usuario tiene su cuenta; los permisos dependen del rol (administrador, agente, solicitante, etc.).
- Contraseñas de mínimo 8 caracteres guardadas con scrypt, bloqueo de 15 minutos después de 10 intentos fallidos, verificación en dos pasos que el administrador de cada empresa puede exigir, e inicio de sesión con Google o Microsoft.
- El administrador de cada empresa da, cambia y quita los accesos de su gente. ELEMENTHOR no entra a los datos de una empresa salvo que ella lo pida para soporte.
Altas, cambios y bajas
Cada acceso nuevo o cambio se autoriza por el Responsable de seguridad de la información y queda en la bitácora. Al terminar una relación, los accesos se quitan el mismo día.
Revisión de accesos
Cada tres meses se revisan todas las cuentas con acceso a la plataforma, a la infraestructura y a los proveedores, y se quitan las que sobran. La revisión queda registrada en la consola.
Accesos privilegiados
Los accesos de administración se usan solo para tareas que los requieren y no se acumulan: los permisos temporales (por ejemplo para soporte) se quitan al terminar. Las tareas de alto riesgo sobre los datos de un cliente se hacen solo con su autorización.
Contraseñas y credenciales
Claves largas y únicas guardadas en un gestor de contraseñas; nunca en texto ni compartidas. Se cambian de inmediato si hay sospecha de exposición.
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.