Auditoría y aseguramiento
Objetivo
Comprobar, con evidencia, que los controles de seguridad existen y funcionan.
Evaluaciones internas
- Una vez al año, el Responsable de seguridad de la información revisa el cumplimiento de todas las políticas y de los controles de la CCM y actualiza la autoevaluación (CAIQ) del registro CSA STAR.
- Se revisan además: accesos (cada tres meses), respaldos y simulacros de recuperación, parches, proveedores y riesgos, según el calendario de Consola → Seguridad y cumplimiento.
- Cada versión de la plataforma pasa sus pruebas automáticas antes de publicarse, y la auditoría del sitio revisa cabeceras de seguridad, HTTPS y errores de todas las páginas públicas.
Evaluaciones independientes
- Se planea una prueba de penetración por un tercero independiente al menos una vez al año, empezando cuando el servicio tenga clientes que lo requieran por contrato, y antes de cualquier certificación (ISO/IEC 27001 o SOC 2).
- Los informes de los proveedores de infraestructura (por ejemplo los informes SOC e ISO de Amazon Web Services) se revisan una vez al año.
Hallazgos
Cada hallazgo (interno o externo) se registra en Consola → Seguridad y cumplimiento → Hallazgos, con su riesgo, responsable, acción correctiva y fecha. El estado de los hallazgos abiertos se revisa cada mes y se informa a los clientes que lo pidan por contrato.
Requisitos aplicables
Las evaluaciones verifican el cumplimiento de las leyes, contratos y normas listadas en "Requisitos legales y contactos".
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.