Gestión de amenazas y vulnerabilidades
Detección
- Cada mes: actualización del sistema operativo del servidor (apt full-upgrade), revisión de avisos de seguridad de Ubuntu, Docker, Node.js y Caddy, y auditoría automática del sitio (cabeceras, HTTPS, errores).
- De inmediato: avisos de seguridad críticos del proveedor (como el aviso de AWS por la CVE-2026-98432).
- Componentes de terceros: la plataforma no usa librerías de npm; los componentes base (Node.js, Alpine, Caddy, ffmpeg) se actualizan con cada versión y cuando hay avisos.
- Reportes externos: cualquier persona puede reportar fallas a support@elementhor.com (publicado también en /.well-known/security.txt).
Priorización y plazos
Cada falla se califica con CVSS y el contexto del servicio:
- Crítica: corregir o mitigar en 72 horas.
- Alta: en 7 días.
- Media: en 30 días.
- Baja: en la siguiente versión planeada.
Cada falla y su corrección quedan en Consola → Seguridad y cumplimiento → Vulnerabilidades, y se avisa a los clientes afectados cuando corresponda.
Código malicioso
Los equipos de administración tienen antivirus activo y actualizado (ver Política de equipos). El servidor solo ejecuta el código publicado, cuya huella se comprueba cada hora.
Amenazas
Una vez al año se revisan las amenazas para un servicio SaaS como este (robo de credenciales, engaños por correo, ataques a la web, ransomware, fallas del proveedor) con base en OWASP y MITRE ATT&CK, y se actualiza el registro de riesgos.
Pruebas de penetración
Ver la política de Auditoría: se hará una prueba independiente al menos una vez al año desde que los contratos lo requieran.
Métricas
Fallas abiertas por severidad y tiempo promedio de corrección, revisadas cada mes.
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.