Criptografía y gestión de llaves
Objetivo
Proteger la información con cifrado de estándares reconocidos y manejar las llaves de forma segura durante todo su ciclo de vida.
Responsable
El Responsable de seguridad de la información es el único custodio de las llaves de la plataforma y de la infraestructura.
Cifrado en uso en la plataforma
- En tránsito: HTTPS en todas las páginas, apps y API, con TLS 1.2 o superior y certificados que se renuevan solos; HSTS para obligar HTTPS.
- Contraseñas: scrypt con una sal distinta por contraseña (nunca se guardan en texto).
- Sesiones: fichas firmadas con HMAC-SHA256 que vencen solas, en cookies HttpOnly, Secure y SameSite.
- Verificación en dos pasos: TOTP (RFC 6238); los códigos de respaldo se guardan transformados.
- Licencias: firmadas con Ed25519.
- Datos temporales de importaciones: AES-256-GCM.
- Copias en S3: cifrado en reposo del proveedor (AES-256).
- Solo se usan las librerías criptográficas de Node.js (OpenSSL), que implementan algoritmos estándar y un generador de números aleatorios seguro.
Ciclo de vida de las llaves
- Creación: con el generador seguro de Node.js o del proveedor (AWS). Cada llave tiene un solo propósito.
- Almacenamiento: las llaves y secretos de la plataforma viven en variables de entorno del servidor y en la configuración privada de la plataforma; nunca en el código ni en el repositorio, y nunca se muestran de nuevo en pantalla (solo ••••).
- Rotación: una vez al año, y de inmediato si hay sospecha de exposición o si una persona con acceso deja de trabajar con ELEMENTHOR.
- Revocación y destrucción: las llaves comprometidas o que ya no se usan se revocan en el proveedor y se borran del servidor y de las copias de configuración. Una llave comprometida no se vuelve a usar para cifrar.
- Registro: cada cambio de llaves y secretos se anota en la bitácora de seguridad de la consola.
Llaves de los clientes
Las empresas clientes guardan sus propias claves de integración (correo, IA, contabilidad), que solo ve el administrador de esa empresa. OSNEX no ofrece hoy que el cliente administre las llaves de cifrado de la plataforma.
Cambios y auditoría
Los cambios de algoritmos o de manejo de llaves siguen la política de cambios y se evalúan por su riesgo. Este dominio se audita cada año y después de cualquier incidente.
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.