Controles de Seguridad (Security Controls)

Operador y contacto: Gabriel Salas Troya, persona natural que opera bajo la marca AmparoLex. Correo provisional para soporte, privacidad y consultas sobre el servicio: amparolexcol@gmail.com. Las referencias a AMPAROLEX en este documento identifican la plataforma y a su operador en el rol que corresponda.

Versión: 2026-09-30 Producto: AMPAROLEX

1. Objetivo

Este documento define controles tecnicos y organizativos para sostener el modelo de AMPAROLEX: privacidad desde el diseno, privacidad por defecto, SaaS B2B LegalTech y separacion entre Responsable, Encargado y Subencargado.

2. Identidad y acceso

Controles minimos:

• autenticacion segura;
• hash robusto de contrasenas;
• 2FA para administradores y recomendado para usuarios profesionales;
• control de acceso por roles;
• separacion entre usuario individual, firma, equipo y administrador;
• revocacion de accesos;
• registro de cambios de permisos;
• proteccion contra fuerza bruta y abuso automatizado.

3. Segregacion logica de clientes

AMPAROLEX debe impedir acceso cruzado entre cuentas, firmas, configuraciones, notificaciones y registros internos de seguimiento. Esto no significa privatizar informacion judicial publica; significa que un usuario no puede administrar, pausar, eliminar, ver alertas privadas o acceder a datos internos de seguimiento de otro usuario.

Controles:

• validaciones server-side por usuario/tenant;
• relacion explicita usuario/firma-proceso;
• pruebas de acceso cruzado;
• auditoria de accesos administrativos;
• principio de minimo privilegio.

4. Proteccion de datos operativos

Datos como cuenta, perfil, foto, pagos, dispositivos, notificaciones y logs deben protegerse con:

• dominio oficial controlado por AMPAROLEX;
• HTTPS/TLS obligatorio en superficies publicas y APIs;
• certificado digital vigente, monitoreo de expiracion y renovacion planificada;
• cifrado en transito;
• acceso limitado por necesidad;
• minimizacion en logs;
• retencion definida;
• controles sobre visibilidad publica;
• mecanismos de correccion y eliminacion.

No deben exponerse tokens, secretos, llaves, credenciales ni datos internos en frontend, storage publico o repositorio.

Las contrasenas no deben almacenarse en texto plano. Deben protegerse mediante hash robusto con sal y parametros adecuados, junto con politicas de recuperacion segura, rotacion de sesiones y revocacion cuando exista riesgo.

5. Dominio, certificados y comunicaciones

Compromisos minimos:

• mantener inventario de dominios y subdominios oficiales;
• servir autenticacion, paneles, APIs y documentos legales por HTTPS;
• monitorear expiracion de certificados TLS;
• renovar certificados antes de su vencimiento;
• evitar contenido mixto inseguro;
• usar cookies de sesion con atributos de seguridad cuando aplique;
• no transmitir contrasenas, tokens o datos personales por canales no cifrados;
• documentar incidentes o caidas de seguridad relacionadas con certificados o dominio.

6. Proteccion de datos procesales por encargo

Para instrucciones de seguimiento sobre procesos judiciales:

• almacenar solo lo necesario para seguimiento y alertas;
• permitir pausar, desactivar o eliminar monitoreo;
• evitar descargas o exportaciones innecesarias;
• registrar instruccion del usuario que activa, pausa o elimina un seguimiento;
• no reutilizar datos para fines comerciales propios;
• no entrenar modelos ni crear perfiles masivos sin base juridica expresa y documentada.

7. Seguridad de sincronizacion y fuentes publicas

La automatizacion debe operar con proporcionalidad:

• rate limiting;
• control de errores 403, 5xx y timeout;
• backoff y suspension ante bloqueo;
• identificacion de seguimientos registrados por usuario;
• preferencia por API oficial o acuerdo institucional cuando exista;
• prohibicion de evadir medidas de seguridad de terceros.

Si se usan agentes locales o dispositivos tipo Raspberry, deben contar con autenticacion, actualizacion, logs, revocacion de token y canal cifrado.

8. Seguridad de integraciones cloud del usuario

Cuando AMPAROLEX permita conectar nubes o servicios externos del usuario, deben aplicarse controles especificos:

• OAuth o mecanismo equivalente con permisos minimos;
• no solicitar acceso global si basta una carpeta, bucket, etiqueta o scope limitado;
• cifrado en transito;
• almacenamiento seguro de tokens, con rotacion y revocacion;
• pantalla de permisos clara para el usuario;
• registro de quien conecto, cuando, que servicio y con que alcance;
• boton o procedimiento de desconexion;
• no copiar archivos completos a infraestructura AMPAROLEX salvo necesidad documentada;
• manejo separado de metadatos, rutas y contenido;
• validacion de que la integracion pertenece al usuario, firma o tenant correcto;
• monitoreo de errores, accesos anomalos y fallos de sincronizacion.

Si el proveedor es contratado por el usuario, AMPAROLEX debe documentarlo como integracion elegida por el Responsable, no como Subencargado propio.

9. Auditoria

Eventos minimos:

• registro y aceptacion documental;
• login, logout y cambios de autenticacion;
• cambios de rol, permisos o visibilidad;
• alta, pausa, reactivacion y eliminacion de seguimientos;
• sincronizaciones, novedades y errores relevantes;
• exportaciones o descargas;
• solicitudes de derechos;
• incidentes de seguridad;
• acciones administrativas.
• conexion, cambio y revocacion de integraciones cloud.
• cambios relevantes de dominio, certificado o configuracion TLS.

Los logs no deben incluir contrasenas, tokens completos, secretos ni datos judiciales excesivos.

10. Gestion de incidentes

Proceso minimo:

1. detectar;
2. contener;
3. clasificar impacto;
4. preservar evidencia;
5. notificar internamente;
6. comunicar al Responsable cuando afecte datos por encargo;
7. asistir al Responsable en notificaciones a titulares o autoridades cuando aplique;
8. corregir y documentar lecciones aprendidas.

11. Subencargados

Antes de usar un proveedor:

• identificar finalidad;
• identificar datos tratados;
• evaluar necesidad;
• revisar ubicacion y transferencias;
• revisar seguridad;
• documentar contrato o terminos;
• actualizar DPA/lista de Subencargados cuando aplique.

12. Desarrollo seguro

Para nuevas funcionalidades:

• no tocar secretos o .env sin autorizacion expresa;
• validacion server-side;
• sanitizacion de entrada;
• control de autorizacion;
• pruebas de abuso;
• revision de minimizacion;
• revision de retencion;
• revision de impacto Colombia/GDPR;
• evidencia de aceptacion documental si cambia el marco contractual.

13. Matriz de controles

| Riesgo | Control | Evidencia | | --- | --- | --- | | Acceso no autorizado | RBAC, 2FA, sesiones seguras | logs y cambios de permisos | | Acopio excesivo | minimizacion y AUP | ficha de modulo | | Confusion de roles | DPA y arquitectura | aceptacion contractual | | Uso abusivo de fuente publica | rate limiting y monitoreo | logs de sync | | Retencion indefinida | politica de retencion | jobs o procedimientos de eliminacion | | Incidente | plan de respuesta | bitacora de incidente | | Integracion cloud excesiva | scopes minimos y revocacion | registro de integracion | | Certificado vencido o canal inseguro | HTTPS/TLS, monitoreo y renovacion | inventario de dominios/certificados |