Seguridad, Privacidad y Confianza

Pensado para los momentos en que todo lo demás debe resistir.

Control-C existe para proteger los datos de los que depende tu negocio.
La seguridad, la privacidad y la resiliencia operativa no son funciones: son la base de todo.

Cada backup, cada snapshot, cada flujo de restauración y cada interacción de advisory se diseña con un principio:

Si confías tus datos con nosotros, los protegemos como si dirigiéramos tu negocio.

Marco SMB1001 Cyber Security

Controles alineados con Silver: avanzando hacia la certificación.

Control-C alinea su programa de seguridad con las prácticas de madurez Silver del marco SMB1001 Cyber Security. Control-C aún no ha solicitado ni recibido la certificación SMB1001.

SMB1001 está diseñado para organizaciones pequeñas y medianas que necesitan controles de seguridad prácticos. Se mapea directamente a:

• ACSC Essential Eight
• UK Cyber Essentials
• CMMC
• ISO 27001
• Right Fit for Risk

Qué significa Silver

El conjunto de controles Silver refleja la ejecución consistente de políticas y controles clave en ingeniería, infraestructura y operaciones del negocio.

Niveles SMB1001 (para contexto)

• Bronze: Protecciones básicas (firewalls, backups, parches, antivirus, formación)
• Silver: Políticas formalizadas con aplicación consistente en toda la organización (nivel con el que Control-C está alineado)
• Gold: Monitoreo reforzado, respuesta proactiva y controles de acceso más estrictos
• Platinum: Validación con auditoría independiente
• Diamond: Máxima garantía, resiliencia avanzada ante amenazas

Nuestro objetivo es simple:
construir resiliencia que escale con las organizaciones que protegemos.

Defensa en profundidad

Varias capas de protección: personas, procesos y tecnología.

La seguridad en Control-C nunca es un solo control, herramienta o equipo. Construimos capas superpuestas que trabajan juntas.

Gobernanza y supervisión

• Comité de seguridad liderado por la dirección
• Evaluaciones de riesgo anuales
• Revisiones periódicas de políticas alineadas a SMB1001
• Responsabilidades claras desde ingeniería hasta liderazgo

Formación y seguridad humana

• Concienciación de seguridad en toda la empresa
• Formación de ingeniería segura por rol
• Simulaciones y pruebas de phishing recurrentes
• Prácticas secure-by-default integradas en el onboarding

Gestión de accesos

• SSO en todas partes
• MFA obligatorio
• Cumplimiento de dispositivos
• Revisiones trimestrales de accesos en sistemas productivos e internos
• Acceso de mínimo privilegio por diseño

Ciclo de desarrollo seguro

Seguridad integrada en cada etapa de ingeniería.

Diseño

• Modelado de amenazas para nuevas funciones
• Evaluaciones de impacto en privacidad
• Puertas de revisión arquitectónica

Construcción

• Escaneo automatizado de dependencias
• Análisis estático y dinámico de código
• Validación de infraestructura como código

Liberación

• Revisión por pares obligatoria
• Segregación de funciones
• Despliegues escalonados con rollback automático
• Integración continua con compuertas de seguridad

Resultado:
Solo lanzamos funciones cuando cumplen nuestros estándares de seguridad, privacidad y resiliencia.

Infraestructura y operaciones

Seguro por defecto. Resistente bajo presión.

Hosting y seguridad de red

• Infraestructura principal de plataforma alojada en Wellington, Nueva Zelanda
• Infraestructura secundaria de failover alojada en Auckland, Nueva Zelanda
• Diseño de red carrier-neutral y arquitectura de mínima exposición
• Segmentación de red y exposición controlada de servicios
• WAF (firewall de aplicaciones web)
• Mitigación DDoS y limitación de tasas

Observabilidad y monitoreo

• Logging en tiempo real y detección de anomalías
• Alertas automáticas para la función de Seguridad Operativa
• Monitoreo proactivo de actividad riesgosa o inusual

Integridad de backups

• Datos cifrados en tránsito y en reposo
• Replicación de doble región entre Wellington y Auckland para durabilidad
• Exportaciones descargables e In-Control offline como rutas independientes de recuperación
• Pruebas de restauración trimestrales para validar integridad y recuperabilidad

Gestión de vulnerabilidades

Detectar pronto. Corregir rápido.

• Escaneos semanales de contenedores, hosts y dependencias
• Pipelines automatizados de parcheo
• Objetivos de remediación:
  • Críticas: 7 días
  • Altas: 14 días
  • Medias: 30 días
• Pentests de terceros anuales
• Pruebas ad hoc adicionales para cambios de producto importantes

Nuestro compromiso:
Los riesgos se identifican rápido, se priorizan responsablemente y se resuelven dentro de SLAs estrictos.

Respuesta a incidentes

Playbooks claros. Respondedores dedicados. Comunicación honesta.

Control-C mantiene un programa estructurado de IR que cubre:

• Eventos de seguridad
• Incidentes de privacidad
• Eventos de continuidad
• Caídas de proveedores
• Escenarios de recuperación ante desastres

Durante un incidente activo

• Respondedores dedicados disponibles 24/7
• Comunicación mediante el Trust Center y la página de estado
• Clientes informados desde temprano y con actualizaciones constantes
• Contención, investigación y recuperación según playbooks formales

Después de un incidente

• Revisiones post-incidente
• Aprendizajes documentados
• Mejoras en controles, automatización y prevención

Tratamos cada incidente como una oportunidad para reforzar toda la plataforma.

Reportes y contacto

Si tienes una duda, puedes contactarnos directamente.

Problemas de seguridad:
[email protected]
(Clave PGP disponible en el Trust Center)

Preguntas de privacidad:
[email protected]

Escalamientos urgentes:
Trust Hotline: +64 9 555 0192

Última actualización: 20 de marzo de 2025

Control-C: Backup que lo recuerda todo.