Respuesta a incidentes
faktoora opera un proceso estructurado de gestión de incidentes alineado con los requisitos de DORA (Reglamento de Resiliencia Operativa Digital, Digital Operational Resilience Act). Esta página describe cómo detectamos y clasificamos los incidentes de seguridad, cómo respondemos a ellos y cómo los comunicamos.
Detección
Empleamos varios niveles de supervisión y alertas automáticas para detectar de forma temprana los incidentes en nuestra aplicación, nuestra infraestructura y nuestra cadena de suministro.
Clasificación
Desde que se tiene conocimiento, la evaluación comienza en un plazo de 30 minutos; la clasificación se realiza según los siguientes criterios:
| Factor | Evaluación |
|---|---|
| Número de clientes afectados | Uno, un subconjunto o todos los clientes |
| Duración del impacto | Pasajero, prolongado o continuo |
| Sensibilidad de los datos | Públicos, internos, confidenciales o restringidos |
| Criticidad del servicio | Plataforma principal, servicio de apoyo o no crítico |
| Impacto económico | Impacto en los ingresos, contractual o regulatorio |
Niveles de gravedad
El horario comercial es de lunes a viernes, de 09:00 a 17:00 h (CET/CEST), excepto los días festivos oficiales en Baviera. Para los clientes del plan «Personalizada» («Individuell», Enterprise) se aplican los plazos de la sección 10 del acuerdo de nivel de servicio.
| Nivel de gravedad | Definición | Tiempo de respuesta |
|---|---|---|
| Crítico | Servicio principal no disponible o violación de datos confirmada | Detección automática las 24 horas; inicio de la evaluación en un plazo de 30 minutos desde que se tenga conocimiento |
| Alto | Impacto significativo para los usuarios o posible exposición de datos | Sin dilación indebida durante el horario comercial |
| Medio | Impacto limitado, ningún dato en riesgo | En el plazo de 1 día hábil |
| Bajo | Problema menor, sin impacto para los usuarios | En el plazo de 5 días hábiles |
Comunicación con los clientes
| Nivel de gravedad | Plazo de notificación | Canal |
|---|---|---|
| Crítico | En el plazo de 1 hora desde la clasificación, actualizaciones cada 2 horas | Correo electrónico a los clientes afectados |
| Alto | En el plazo de 4 horas si hay impacto para los usuarios | Correo electrónico a los clientes afectados |
| Medio | Disponible previa solicitud | A través de los canales de soporte |
| Bajo | Disponible previa solicitud | A través de los canales de soporte |
Apoyo en sus notificaciones regulatorias
Muchos de nuestros clientes tienen sus propias obligaciones de notificación, por ejemplo, las entidades financieras conforme a DORA o los responsables del tratamiento conforme al RGPD. Nuestro proceso de gestión de incidentes está concebido para facilitarle con prontitud la información para sus propias notificaciones:
| Información | Momento | Contenido |
|---|---|---|
| Notificación inicial | En el plazo de 4 horas desde la clasificación como incidente grave (a más tardar 24 horas después de la detección) | Tipo de incidente, servicios afectados, momento de la detección, evaluación preliminar del impacto |
| Informe intermedio | En el plazo de 72 horas desde la notificación inicial | Evaluación actualizada del impacto, causa (si se conoce), medidas de contención, datos afectados |
| Informe final | En el plazo de 1 mes desde el informe intermedio | Análisis de la causa raíz, impacto total, medidas correctoras, lecciones aprendidas |
Notificamos sin dilación indebida a nuestros clientes las violaciones de la seguridad de los datos personales, tal como se establece en nuestro contrato de encargo del tratamiento. En la medida en que faktoora sea responsable del tratamiento, notificamos a la autoridad de control competente conforme al art. 33 RGPD.
Contención y recuperación
Nuestro proceso de respuesta a incidentes sigue estas fases:
- Contención - Aislar los sistemas afectados para evitar un mayor impacto
- Preservación de pruebas - Asegurar los registros de auditoría, los registros de la aplicación y los registros de acceso
- Análisis de la causa raíz - Identificar la causa subyacente
- Corrección - Implementar las correcciones y verificar su eficacia
- Recuperación - Restablecer el funcionamiento normal y confirmar la estabilidad
Revisión posterior al incidente
Cada incidente de nivel de gravedad Alto o Crítico se revisa en un plazo de 5 días hábiles:
- Cronología completa de la detección, la respuesta y la recuperación
- Análisis de la causa raíz
- Evaluación del impacto (clientes, datos, servicios)
- Valoración de la eficacia de la respuesta
- Medidas preventivas para evitar que se repita
Las lecciones aprendidas se documentan y se integran en nuestros controles y procedimientos de seguridad.
Conservación de los registros de incidentes
Todos los registros de incidentes se conservan, siguiendo DORA, durante al menos 5 años.
Notificar un incidente
Si sospecha de un incidente de seguridad que afecte a faktoora o a sus datos:
- Incidentes de seguridad: security@faktoora.com
- Incidentes de protección de datos: privacy@faktoora.com
Para notificar vulnerabilidades, visite nuestra página Notificación de vulnerabilidades.