Legal

El presente documento describe las medidas técnicas y organizativas implantadas por Dinahosting SL para garantizar la seguridad, confidencialidad, integridad y disponibilidad de los datos tratados en el marco de los servicios de alojamiento web, registro de dominios, gestión de DNS y servicios de VPS prestados a sus clientes.
Las medidas se mejoran continuamente según la viabilidad y conforme a los avances tecnológicos.

1. Confidencialidad
1.1 Control de acceso físico
Medidas destinadas a impedir el acceso físico no autorizado a los sistemas e instalaciones donde se tratan datos.
Medidas Técnicas
- Centros de procesamiento de datos (CPD) con control de acceso perimetral.
- Videovigilancia.
- Registro electrónico de todos los accesos físicos.
- Protección ambiental: sistemas de detección y extinción de incendios, control de temperatura y humedad, protección frente a inundaciones.
- Suministro eléctrico redundante: SAI (UPS) y grupos electrógenos con autonomía suficiente para apagado controlado y activación de sistemas de respaldo.
Medidas Organizativas
- Registro de visitantes con identificación, acompañamiento obligatorio por personal autorizado y limitación de acceso a las áreas estrictamente necesarias.
- Procedimiento formal de revocación de accesos ante cese o cambio de función del personal.
- Los CPD en los que se alojan los sistemas de producción cuentan con certificaciones de seguridad física reconocidas (ISO/IEC 27001, EN 50600 o equivalente).

1.2 Control de acceso lógico
Medidas destinadas a impedir el acceso no autorizado a los sistemas de tratamiento de datos.
Medidas técnicas
- Autenticación obligatoria para los accesos a sistemas de producción.
- Acceso administrativo remoto a través de VPN.
- Bloqueo automático de escritorio/portátil.
- Autenticación de dos factores.
- Bloqueo automático de cuenta tras un número definido de intentos de autenticación fallidos.
- Se registran accesos, autenticaciones y eventos de sesión.
Medidas Organizativas
- Acceso basado en el principio de mínimo privilegio.
- Proceso formal de alta, modificación y baja de cuentas de usuario.
- Política de contraseñas.
- Desactivación inmediata de cuentas ante cese o incidente de seguridad que lo justifique.

1.3 Control de autorización y gestión de privilegios
Medidas destinadas a garantizar que únicamente el personal autorizado pueda acceder a los datos y funciones que le corresponden.
Medidas Técnicas
- Modelo de control de acceso basado en roles.
- Registro de acciones realizadas.
- Acceso cifrado SSH.
- Eliminación de copias de seguridad después del período de retención.
- Separación técnica entre entornos de desarrollo y producción.
Medidas Organizativas
- Los administradores de sistemas acceden a los entornos de producción mediante procedimientos documentados.
- Instrucciones de trabajo sobre el manejo de la información.

1.4 Separación de datos y entornos
Medidas destinadas a garantizar que los datos de diferentes clientes y entornos permanezcan aislados entre sí.
Medidas Técnicas
- Los datos de cada cliente se encuentran lógicamente aislados de los datos del resto de clientes.
- Separación de entornos: desarrollo y producción operan en infraestructuras diferenciadas con acceso controlado.
Medidas Organizativas
- Gestión de entornos con definición de las restricciones aplicables a cada uno.
- Validación de nuevas funciones antes del lanzamiento y pruebas en el entorno de validación (si es aplicable).

1.5 Cifrado
Medidas destinadas a proteger la confidencialidad de los datos mediante técnicas criptográficas.
Medidas Técnicas
- TLS 1.2 y superior para las transmisiones de datos.
- Certificados X.509 emitidos por Autoridades de Certificación de confianza reconocidas.
- Copias de seguridad cifradas y/o en entornos aislados.
Medidas Organizativas
- El acceso a las claves de cifrado está restringido al personal estrictamente autorizado.

2. Integridad
2.1 Control de transferencia
Medidas destinadas a garantizar que los datos no puedan ser leídos, copiados, modificados ni eliminados sin autorización durante su transmisión.
Medidas Técnicas
- Los canales de transmisión de datos utilizan protocolos cifrados.
- Las transferencias de datos hacia o desde sistemas externos se realizan a través de canales seguros.
- Registro de accesos.
Medidas Organizativas
- Prohibición de transmisión de datos de producción por canales no cifrados o no autorizados.
- Política de protección de datos.

2.2 Control de entrada y trazabilidad
Medidas destinadas a registrar y auditar quién ha introducido, modificado o eliminado datos en los sistemas.
Medidas Técnicas
- Logs de eventos en sistemas de producción.
- Retención de logs para registros de auditoría.
Medidas Organizativas
- Trazabilidad de datos a través de nombres de usuarios individuales.

3. Disponibilidad y resiliencia
3.1 Control de disponibilidad
Medidas destinadas a proteger los datos y servicios frente a la destrucción, pérdida o indisponibilidad accidental o deliberada.
Medidas Técnicas
- Infraestructura en alta disponibilidad para los servicios críticos.
- Suministro eléctrico redundante: SAI (UPS) con autonomía para apagado controlado y grupos electrógenos para continuidad prolongada.
- Refrigeración redundante en salas de servidores con monitorización continua de temperatura y humedad.
- Protección anti-DDoS.
- Copias de seguridad diarias con verificación periódica de integridad.
- Sistemas RAID.
Medidas Organizativas
- Almacenamiento de copias de seguridad fuera del sitio para activos críticos.
- Monitorización de realización de copias de seguridad, gestión de alertas y errores.

3.2 Control de recuperación
Medidas destinadas a garantizar la restauración rápida y efectiva del acceso a los datos y servicios tras un incidente.
Medidas Técnicas
- Copias de seguridad automatizadas.
- Monitorización e informes de respaldo.
Medidas Organizativas
- Los soportes de copia de seguridad se almacenan en ubicación segura, separada físicamente de los sistemas primarios.
- Las frecuencias, tiempos de retención y métodos de almacenamiento de las copias de seguridad se establecen de acuerdo con las necesidades de cada activo.