Acuerdo de Nivel de Servicio (SLA)
1. Objetivo
Establecer un marco de trabajo estandarizado que defina los tiempos de respuesta y resolución ante incidentes de seguridad, garantizando que la plataforma SaaS y la infraestructura en AWS mantengan los niveles de Confidencialidad, Integridad y Disponibilidad prometidos a las partes interesadas.
2. Alcance
Este SLA aplica a todos los eventos y anomalías detectadas en los activos de BISMO, incluyendo la infraestructura cloud (AWS), la gestión de identidades (Auth0), el código fuente y los dispositivos finales del personal.
3. Matriz de Niveles de Servicio (Tiempos de Respuesta)
| Nivel de Severidad | Impacto y Ejemplos de Incidentes | Notificación Inicial | Tiempo de Resolución |
|---|---|---|---|
| Crítica | Caída total de infraestructura o fuga masiva de PII. Ej: Ransomware, caída de AWS, exfiltración de BD. | < 15 minutos | < 4 horas |
| Alta | Compromiso de cuentas con privilegios o funciones críticas. Ej: Robo de cuenta admin Auth0, código en GitHub público. | < 30 minutos | < 48 horas |
| Media | Impacto moderado en sistemas no críticos. Ej: Malware en laptop, fuerza bruta recurrente. | < 4 horas | < 5 días hábiles |
| Baja | Eventos aislados con impacto nulo o mínimo. Ej: Phishing no ejecutado, dudas sobre políticas. | < 24 horas | Mejor esfuerzo |
4. Definiciones Operativas
- Notificación Inicial: Tiempo desde que se genera la alerta (Kaspersky, GuardDuty o reporte de usuario) hasta que el equipo de TI acusa de recibo e inicia el triage.
- Tiempo de Resolución: Tiempo transcurrido hasta que la amenaza ha sido erradicada o el sistema afectado ha sido contenido y restaurado.
- Uptime Garantizado: BISMO se compromete a mantener una disponibilidad de la plataforma del 99.9% mensual.
5. Exclusiones del Nivel de Servicio (Pausa del SLA)
El cumplimiento de estos tiempos se suspenderá bajo las siguientes condiciones externas:
- Mantenimientos programados notificados con 48 horas de antelación (ventanas de febrero, mayo y septiembre).
- Fallas masivas o degradación de servicio comprobable en proveedores críticos (AWS, Auth0, Microsoft 365).
- Eventos de fuerza mayor (desastres naturales en Monterrey/Guadalupe o emergencias nacionales).
- Acciones negligentes del cliente (ej. compartir contraseñas voluntariamente).
6. Penalizaciones y Créditos de Servicio
En caso de incumplimiento de la disponibilidad mensual (Uptime) o de los tiempos de resolución críticos, BISMO aplicará créditos de servicio a clientes con contrato Enterprise, previa evaluación del Comité de Seguridad y validación de la Dirección General.
7. Gobernanza y Escalamiento
- Monitoreo: El equipo de Infraestructura y Desarrollo monitorearán las alertas continuamente.
- Escalamiento: Si un incidente Crítico no se notifica en < 15 min, se notificará a seguridad informática y alta dirección.
- Reporteo: Mensualmente se presentará un informe de cumplimiento de SLA a la Alta Dirección como parte del proceso de mejora continua.