Personas, procesos y tecnología para operar tus procesos de forma segura, controlada y conforme a tus requisitos.
La protección se adapta al riesgo. Una pyme no necesita el mismo nivel de evidencia ni de personalización que una operación regulada. El SOW deja explícito el nivel, la arquitectura y las responsabilidades de cada parte.
Configuración estándar, cuentas individuales y DPA. Cubre los requisitos habituales de una pyme.
Equipo gestionado, acceso controlado y documentación completa. El nivel habitual para pasar una homologación.
Arquitectura personalizada y documentación adaptada. Se diseña contigo y se refleja en el SOW.
Las diferencias entre los tres niveles, para elegir el que encaja con tu organización.
| Característica | Security ShieldSmall business | Trust PackMid market regulado | EnterpriseEnterprise o proceso crítico |
|---|---|---|---|
| Cliente típico | Small business | Mid market regulado | Enterprise o proceso crítico |
| Entorno | Configuración estándar | Equipo gestionado y acceso controlado | Arquitectura personalizada |
| Acceso | Cuentas individuales y MFA donde esté disponible | MFA, mínimo privilegio y VDI preferente | SSO, VPN o IP fija y PAM según necesidad |
| Datos locales | Minimización y canales aprobados | Sin persistencia local por defecto | DLP, segmentación y reglas a medida |
| Privacidad | DPA estándar | DPA, anexos de TOMs y transferencias | Documentación y cláusulas adaptadas |
| Evidencias | Resumen de controles | Evidence Index y cuestionario | Data room y auditoría acordada |
| Continuidad | Procedimiento estándar | BIA y pruebas periódicas | RTO, RPO y pruebas específicas |
| Reporting | Operativo | Operativo y de seguridad acordada | Cadencia y métricas personalizadas |
Desde el diseño del servicio hasta la eliminación de los datos: cada fase tiene controles propios y queda registrada.
Las plantillas y documentos marco de seguridad, privacidad y continuidad que usamos.
¿Necesitas una versión adaptada a tu caso o una evidencia concreta? Escríbenos y lo revisamos con el equipo que operaría tu proceso.
El reparto de obligaciones entre Xternus y el cliente en cada área del servicio.
| Área | Xternus | Cliente |
|---|---|---|
| Personal | Selección, contrato, confidencialidad, formación y supervisión | Instrucciones y restricciones específicas del proceso |
| Equipo Xternus | Configuración, cifrado, endpoint, inventario y bloqueo | Requisitos adicionales previamente acordados |
| Sistemas del cliente | Uso conforme a instrucciones y reporte de anomalías | Configuración, disponibilidad, logs y revocación si administra las cuentas |
| Accesos | Solicitar el mínimo y revisar asignaciones | Aprobar y administrar sus identidades y permisos |
| Incidentes | Detectar, contener, preservar y notificar | Decidir la notificación regulatoria y aportar contexto de negocio |
| Continuidad | Sustitución y recuperación bajo control de Xternus | Disponibilidad de plataformas y decisiones sobre prioridades |
Lo que esta documentación acredita y lo que no.
No. Disponemos de un marco documentado de seguridad, privacidad y continuidad, con las evidencias que lo respaldan, pero no de una certificación emitida por un tercero. Si tu proceso de homologación exige una certificación, conviene saberlo antes de empezar.
En 24 horas desde que lo detectamos o nos lo comunican, con la información disponible en ese momento. La decisión de notificar al regulador es tuya como responsable del tratamiento; nosotros aportamos el detalle técnico y el contexto.
España y Latinoamérica según el servicio. Cualquier alta fuera del Espacio Económico Europeo pasa antes por el procedimiento de transferencias internacionales: mecanismo, evaluación de impacto y garantías documentadas. El Anexo de Tratamiento recoge los países de cada servicio.
Solo los autorizados, registrados en el Anexo de Subencargados. Un alta nueva se evalúa antes y se te comunica con la antelación pactada en el DPA, para que puedas oponerte.
Se revocan los accesos, se recuperan los equipos y se devuelven o suprimen los datos. Emitimos un certificado de supresión que acredita el alcance, los activos afectados y las excepciones si las hubiera.
Sí. El Evidence Index lista las evidencias disponibles y las condiciones de cada una: algunas se comparten, otras en resumen, otras bajo NDA y otras solo al cliente afectado. No compartimos configuraciones, secretos ni datos de otros clientes.
Sí. El Security Questionnaire incluye 45 respuestas estándar, que cubren la mayoría de cuestionarios. Lo específico lo responde el equipo que va a operar tu proceso.
En el nivel Trust Pack damos soporte documental a tu auditoría. En Enterprise se acuerda el alcance, la cadencia y el acompañamiento en el SOW.
