Políticas de Seguridad

1. Política de Seguridad

Introducción

Esta política general tiene como propósito definir la filosofía de Seguridad de BISMO Software Inmobiliario (al que en adelante nos referiremos en el presente documento y demás normatividad derivada del mismo como “la Compañía”), con el fin de asegurar la operación de la Compañía en lo relativo al uso de Tecnologías de Información. Esto se realiza conforme a los requerimientos legales aplicables, las mejores prácticas y los intereses de la misma Compañía y de sus clientes, apegándose al Programa de Seguridad para el Desarrollo Seguro de Aplicaciones.

Alcance

La Política General de Seguridad de la Información aplica a todos los colaboradores internos, directivos, contratistas, proveedores y aliados tecnológicos de "la Compañía, así como a cualquier tercero que, en razón del cumplimiento de sus funciones u obligaciones contractuales, acceda, recolecte, procese, almacene o consulte información confidencial de la empresa, su código fuente o los datos de las agencias inmobiliarias y sus clientes (en estricto apego a la LFPDPPP). Asimismo, esta Política es de observancia obligatoria para los entes reguladores o firmas de auditoría que accedan a nuestros entornos. Aplica a toda la información creada, procesada o resguardada por "la compañia", ya sea en formato físico (equipos de cómputo y estaciones de trabajo en las instalaciones de oficina o bajo la modalidad de trabajo remoto) o digital (infraestructura en la nube, gestores de identidad y bases de datos centralizadas), independientemente del medio, formato o lugar geográfico en el cual se encuentre.

Objetivos

• Confidencialidad: Proteger la información confidencial y sensible contra accesos no autorizados, uso indebido, divulgación o robo.
• Integridad: Asegurar la precisión y confiabilidad de los datos y software.
• Disponibilidad: Garantizar el acceso continuo y sin interrupciones a los sistemas y aplicaciones.

Sistema de Gestión de Seguridad

Dentro del SGSI es fundamental capacitar y concientizar al personal de BISMO en los aspectos de Seguridad de la Información. El personal debe involucrarse y asumir un rol protagónico y responsable. Deben existir políticas de formación para que los colaboradores puedan entender los tipos de riesgos de seguridad y su implicación en el desempeño, conocer las buenas prácticas en el manejo y conservación de los sistemas, mantener principios de comportamiento ético profesional, y conocer y aplicar las directrices sobre el uso ético y seguro del manejo de la información.

Objetivos Específicos del SGSI

Formalizar el Marco de Seguridad: Definir, actualizar y comunicar continuamente las políticas, procedimientos y lineamientos que rigen la protección de la información dentro de la organización.

Gestión Integral de Riesgos: Identificar, evaluar y tratar de manera proactiva los riesgos de seguridad de la información y ciberseguridad que puedan afectar la infraestructura, la plataforma SaaS y los procesos internos.

Respuesta y Mitigación de Incidentes: Establecer procesos ágiles y efectivos para detectar, contener y mitigar incidentes de seguridad, minimizando el impacto en la operación y en el servicio a los clientes.

Aseguramiento de la Información: Implementar controles físicos y tecnológicos (tanto en entornos locales como en la nube) que garanticen de forma robusta la confidencialidad, integridad y alta disponibilidad de los datos de la empresa y de las agencias inmobiliarias.

Gestión Segura del Ciclo de Vida de los Datos: Definir lineamientos claros para la creación, clasificación, almacenamiento, transmisión y borrado seguro de la información física y digital de BISMO.

Cultura de Seguridad Transversal: Generar y mantener una sólida cultura de seguridad entre todos los colaboradores, directivos y contratistas mediante capacitación continua, concientización y prevención de amenazas.

Cumplimiento Legal y Regulatorio: Garantizar el estricto cumplimiento de los requisitos normativos (como el estándar ISO 27001), las obligaciones contractuales (SLAs con clientes) y las leyes aplicables en materia de protección de datos personales (LFPDPPP).

Metodología

Marco de referencia La compañía se compromete a cumplir con todos los requisitos legales, regulatorios y contractuales aplicables relacionados con la seguridad de la información. Esto incluye, pero no se limita a estándares como el National Institute of Standards and Technology (NIST), ISO/IEC 27001:2022, Control Objectives for Information and related Technology (COBIT), y la Ley Federal de Protección de Datos Personales en Posesión de Particulares (LFPDPPP).

Responsabilidades

Es responsabilidad de todo el personal de la Compañía cumplir con la presente política y aquellas derivadas de la misma. Las responsabilidades de terceros deberán estar indicadas en los contratos correspondientes. El área encargada de la Seguridad de la Información será responsable de diseñar, implementar y administrar controles para el cumplimiento.

Sanciones

Todo personal que incurra en el incumplimiento de las disposiciones contenidas en la presente Política, sin autorización y/o causa justificada, será sancionado conforme a lo establecido en la Política de Proceso Disciplinario. Las medidas aplicables según la gravedad incluyen amonestación verbal, amonestación por escrito, o la rescisión de la relación de trabajo sin responsabilidad para la empresa , quedando obligado el infractor a cubrir cualquier daño económico ocasionado.

Contenido

• La Compañía identificará, analizará y clasificará riesgos relativos a la seguridad, y aplicará medidas para minimizarlos de acuerdo con su clasificación.
• Toda información en poder de la Compañía deberá ser clasificada de acuerdo con su nivel de importancia y contar con medidas de seguridad que protejan su integridad, confidencialidad y disponibilidad.
• La Compañía enfatizará la importancia de garantizar la integridad y confidencialidad de los datos inmobiliarios, ya que contienen información sensible sobre propiedades, transacciones y clientes.
• Ningún recurso informático propiedad de la Compañía deberá ser utilizado para propósitos distintos de los que se le han definido.

Roles y Responsabilidades

La correcta implementación del Programa de Seguridad de la Información depende en gran medida de la definición clara de los roles y responsabilidades asignados dentro de la organización. Este esquema garantiza la protección de los activos, el cumplimiento normativo y una respuesta efectiva ante incidentes. Se definen las siguientes responsabilidades clave:

• Alta Dirección: Encargada de aprobar las políticas de seguridad, proveer los recursos necesarios y definir la estrategia y tolerancia al riesgo de la organización.
• Responsable del SGSI / Encargado de Seguridad Informática: Responsable de coordinar la implementación de los controles de seguridad, gestionar los riesgos, supervisar el cumplimiento normativo y liderar la respuesta ante incidentes.
• Líder de Seguridad e Infraestructura en la Nube: Enfocado en la protección, configuración segura de la infraestructura en AWS, gestión de accesos técnicos y disponibilidad de los servicios.
• Líder de Desarrollo Seguro: Orientado a la aplicación de controles en el ciclo de vida del software (SDLC) y remediación de vulnerabilidades en el código fuente.
• Recursos Humanos: Encargado de los aspectos de seguridad vinculados al personal, incluyendo el screening de contratación, acuerdos de confidencialidad, capacitación continua y procesos de desvinculación segura.

2. Seguridad en el Ciclo de Vida de Aplicaciones

Planificación

La fase de planificación es crucial para establecer las bases de seguridad del proyecto. Se busca garantizar la integridad, confidencialidad y disponibilidad de la información, protegiendo al sistema contra amenazas internas, externas y ambientales. Se definirán medidas de control como el análisis de código, pruebas de penetración y gestión continua de vulnerabilidades.

Análisis de requisitos y Diseño

Se especifican las características funcionales y de seguridad, tales como autenticación robusta, autorización mediante control de acceso basado en roles, y protección de datos confidenciales mediante cifrado en reposo y en tránsito. En el diseño arquitectónico, se aplicará la defensa en profundidad, el principio de mínimo privilegio y el desarrollo de aplicaciones modulares para aislar el impacto de posibles ataques.

Desarrollo y Pruebas

Se adopta el enfoque de "seguridad como código" integrando prácticas de desarrollo seguro desde el inicio. Esto incluye la validación exhaustiva de entrada de datos, sanitización, manejo adecuado de errores y logging seguro. En la fase de pruebas, se ejecutarán análisis estáticos y dinámicos (SAST/DAST) así como análisis de vulnerabilidades en componentes de código abierto para asegurar la resistencia de la aplicación.

Implementación y Operación

Se utilizarán entornos de alojamiento seguros implementando firewalls, segmentación de redes y protocolos de comunicación seguros (HTTPS). Para proteger los datos en entornos de prueba, se aplicarán técnicas de seudonimización y anonimización. Durante la operación, se mantendrá un monitoreo constante del rendimiento y de los registros (logs) para gestionar incidentes, y se aplicará un proceso riguroso de actualización y parcheo de software.

Descontinuación

Para evitar riesgos residuales, las aplicaciones obsoletas o no utilizadas serán retiradas de manera proactiva o bajo demanda. Este proceso debe ser completo, seguro, eficaz y debidamente documentado por el equipo de operaciones.

3. Controles de Seguridad Técnicos

Los controles de seguridad técnicos tienen como propósito proteger los sistemas, las aplicaciones y los datos confidenciales de la organización frente a accesos no autorizados, pérdida de información o ciberataques, garantizando en todo momento la integridad de la operación de BISMO.

• Autenticación y Control de Acceso: Se garantiza que únicamente el personal autorizado y legítimo pueda acceder a los recursos de la empresa. Todo acceso a los sistemas críticos y bases de datos se rige bajo el principio de privilegios mínimos y el control de acceso basado en roles (RBAC). Para el ingreso, es obligatorio el uso de Autenticación Multifactor (MFA) gestionada a través de un proveedor de identidades centralizado. Asimismo, se ejecutan revisiones periódicas para revocar accesos de forma inmediata ante cambios de rol o terminación laboral.
• Contraseñas Seguras y Gestión de Credenciales: Se aplican políticas estrictas para la creación y manejo de credenciales. Las contraseñas deben cumplir con parámetros de longitud mínima y complejidad, e incluyen mecanismos de bloqueo automático tras múltiples intentos fallidos de inicio de sesión. Queda estrictamente prohibida la reutilización, escritura en medios no seguros o la compartición de contraseñas entre colaboradores. Todas las credenciales se almacenan internamente utilizando algoritmos de cifrado irreversible (hashing) para evitar su exposición.
• Bitácora de Registros (Trazabilidad y Auditoría): Se mantienen registros detallados y centralizados de los eventos del sistema. Estas bitácoras documentan quién, cuándo y desde dónde se accedió a la información o a las consolas de administración (incluyendo intentos de acceso fallidos y cambios de privilegios).
• Encriptación y Criptografía: Para proteger la confidencialidad de la información, todos los datos sensibles, bases de datos de clientes e inquilinos, y respaldos operativos, se cifran de manera obligatoria tanto en tránsito (mediante protocolos de comunicación seguros como HTTPS/TLS) como en reposo (almacenamiento en servidores). Las claves criptográficas son administradas mediante tecnologías gestionadas de grado industrial para prevenir su pérdida o uso indebido.
• Protección de Red y Anti-Malware: La infraestructura y las aplicaciones SaaS están protegidas de forma proactiva. Se utilizan Firewalls de Aplicaciones Web (WAF) para filtrar el tráfico malicioso y bloquear en tiempo real intentos de ataques comunes. En paralelo, todos los sistemas operativos y estaciones de trabajo de los colaboradores cuentan con soluciones anti-malware centralizadas, gestionadas y de actualización automática para detectar, aislar y eliminar software malicioso antes de que afecte la red corporativa.

4. Seguridad de la Infraestructura en la Nube

Dado que la plataforma y los servicios de la Compañía operan en un entorno 100% nativo en la nube, la seguridad de esta infraestructura es un pilar crítico para garantizar la confidencialidad, integridad y disponibilidad de los datos de nuestros clientes.

• Selección y Cumplimiento del Proveedor: La infraestructura tecnológica reside exclusivamente en proveedores de servicios en la nube (CSP) de clase mundial. La Compañía exige y verifica anualmente que dichos proveedores mantengan vigentes certificaciones internacionales de máxima exigencia, tales como ISO/IEC 27001, SOC 2 Tipo II y PCI-DSS, garantizando así la solidez de sus controles de seguridad física y perimetral de los centros de datos.
• Modelo de Responsabilidad Compartida: La gestión de la nube se rige bajo un estricto Modelo de Responsabilidad Compartida. El proveedor de la nube es responsable de la seguridad "de" la nube (infraestructura física, hardware, redes globales y virtualización base). Por su parte, la Compañía asume la responsabilidad total de la seguridad "en" la nube, lo que incluye la correcta configuración de firewalls, el cifrado de datos, la gestión de identidades y accesos (IAM) y la protección de los datos personales en estricto apego a la legislación aplicable (LFPDPPP).
• Arquitectura de Alta Disponibilidad y Resiliencia: La arquitectura de la plataforma está diseñada para tolerar fallos y garantizar la continuidad del negocio. Se utilizan múltiples zonas de disponibilidad (Multi-AZ) distribuidas geográficamente y balanceadores de carga para asegurar que los servicios críticos sigan operando incluso si un centro de datos físico experimenta interrupciones. Esta arquitectura está directamente alineada con nuestro Plan de Recuperación de Desastres (DRP).
• Protección de Servidores e Instancias Virtuales: Todas las instancias de cómputo, contenedores y bases de datos están sujetos a procesos de endurecimiento (hardening). Se aplica el principio de privilegios mínimos para la administración de la consola de la nube, exigiendo Autenticación Multifactor (MFA) obligatoria para todo el personal técnico. Además, los volúmenes de almacenamiento y las copias de seguridad continuas (snapshots) cuentan con cifrado nativo gestionado mediante claves criptográficas rotativas.
• Monitoreo y Auditoría Continua de la Infraestructura: Se utilizan herramientas nativas del proveedor de la nube para mantener un monitoreo continuo del estado de la infraestructura. Se configuran alertas automatizadas para detectar anomalías de tráfico, intentos de acceso no autorizados o configuraciones inseguras. Asimismo, se mantiene un registro inalterable (log de auditoría) de todos los cambios realizados en la arquitectura o en los permisos de los usuarios administradores.

5. Gestión Continua de Vulnerabilidades

La gestión de vulnerabilidades es un proceso preventivo, continuo y proactivo diseñado para identificar, evaluar y corregir debilidades en los sistemas, aplicaciones y redes de BISMO antes de que puedan ser explotadas.

• Identificación Proactiva: Se mantienen mecanismos de detección, tanto automatizados (escáneres de seguridad, análisis de código) como manuales, apoyados en fuentes de inteligencia de amenazas reconocidas internacionalmente.
• Clasificación y Priorización Basada en Riesgo: Toda vulnerabilidad detectada es clasificada según su severidad y el impacto potencial sobre la confidencialidad, integridad y disponibilidad. La priorización de atención se define por el entorno: las vulnerabilidades en entornos de producción son de prioridad crítica y exigen atención inmediata, mientras que las de entornos de prueba o desarrollo deben corregirse obligatoriamente antes de su liberación.
• Remediación Segura: La Compañía mantiene un proceso formal para la aplicación de parches y correcciones. Para garantizar la estabilidad operativa, toda remediación es validada en entornos controlados (QA/Staging) antes de ser implementada en producción. Todas las acciones correctivas quedan documentadas para fines de trazabilidad y auditoría.

6. Gestión y Respuesta a Incidentes de Seguridad

A pesar de los controles preventivos, la Compañía reconoce la posibilidad de que ocurran eventos adversos. Por ello, se establece un marco de actuación estructurado para minimizar el impacto de cualquier ciberataque, interrupción operativa o brecha de datos.

• Fases de Respuesta: Ante cualquier ataque o incidente técnico, el equipo de seguridad actuará bajo un Plan de Respuesta estructurado en las siguientes fases:
  1. Preparación: Mantenimiento de inventarios, planes actualizados y roles definidos.
  2. Detección y Análisis: Identificación temprana y clasificación del incidente mediante monitoreo continuo.
  3. Contención y Erradicación: Acciones técnicas y administrativas inmediatas para aislar la amenaza y detener el daño, de acuerdo con su criticidad.
  4. Recuperación: Restauración segura de los servicios a su estado normal de operación y validación de correcciones.
  5. Lecciones Aprendidas: Análisis post-mortem para documentar lo sucedido y aplicar mejoras continuas a los controles de seguridad que eviten su repetición.
• Comunicación y Escalamiento: Durante un incidente crítico, el el encargado de seguridad mantendrá informada a la Alta Dirección para la toma de decisiones estratégicas. En caso de que el incidente involucre la exposición de Datos Personales (PII) de los clientes, se activarán los protocolos de notificación legal correspondientes en estricto cumplimiento con la LFPDPPP y los Acuerdos de Nivel de Servicio (SLA) vigentes.

7. Capacitación y Concientización

La capacitación y concientización son pilares fundamentales del Programa de Seguridad. Su objetivo es fortalecer la cultura de seguridad dentro de la organización, asegurando que todos los colaboradores comprendan los riesgos asociados al manejo de la información y apliquen buenas prácticas en sus actividades diarias.

• Programa General de Capacitación en Seguridad: Tiene como propósito proporcionar al personal los conocimientos y habilidades necesarios para proteger los activos de información tanto en el desarrollo de software como en la operación diaria. Es de alcance obligatorio para todo el personal interno y contratistas, quienes deben completar la capacitación al incorporarse y recibir un refuerzo anual. Los temas mínimos de formación abarcan:
  • Principios de seguridad de la información (confidencialidad, integridad, disponibilidad).
  • Reconocimiento y prevención de amenazas comunes (phishing, ingeniería social, malware).
  • Uso seguro de contraseñas, autenticación multifactor (MFA) y políticas internas de conducta digital segura.
  • Manejo responsable de la información confidencial de clientes y uso adecuado de los activos tecnológicos.
• Refuerzo en Seguridad para Modalidades y Roles Específicos: Además de la capacitación base, se impartirán sesiones de nivel avanzado o específico según el rol y la modalidad de trabajo:
  • Personal en Trabajo Remoto: Medidas adicionales para la protección de dispositivos, conexiones seguras y lineamientos para el reporte inmediato de incidentes.
  • Desarrolladores e Ingeniería: Principios de codificación segura orientados a prevenir vulnerabilidades conocidas (como el OWASP Top 10) y control seguro de versiones.
  • Administradores y Personal de TI: Pautas estrictas para la gestión segura de sistemas, aplicación de parches, uso de cuentas privilegiadas y monitoreo de incidentes.
• Integración con Recursos Humanos: La cultura de seguridad se complementa con controles administrativos aplicados a través del área de Recursos Humanos. Esto incluye:
  • La firma y aceptación de Acuerdos de Confidencialidad y No Divulgación (NDA) antes de otorgar cualquier acceso.
  • Controles estrictos durante la terminación o cambio de empleo (offboarding), asegurando la revocación inmediata de accesos y la devolución de activos físicos.
  • La aplicación rigurosa del proceso disciplinario interno en caso de incumplimiento comprobado a las presentes políticas de seguridad.

8. Monitoreo y Revisión Continua

La Compañía ejecuta actividades de supervisión permanente sobre el programa de seguridad para detectar desviaciones, incidentes o comportamientos anómalos que puedan afectar la confidencialidad, integridad y disponibilidad de la información, de manera complementaria a las auditorías formales.

• Monitoreo de Seguridad: Se garantiza la supervisión ininterrumpida de los sistemas, redes y aplicaciones críticas utilizando herramientas nativas del proveedor de infraestructura en la nube y plataformas especializadas de monitoreo continuo. Para lograrlo, se configuran alertas automatizadas que permiten la detección temprana de posibles incidentes de seguridad. Todos los registros generados (logs de eventos, reportes y alertas) son almacenados de forma centralizada, protegidos contra modificaciones no autorizadas y retenidos conforme a las políticas de la organización y requerimientos legales. Cualquier hallazgo sospechoso se escala de forma oportuna al área correspondiente para su análisis y respuesta.
• Revisión de Seguridad y Eficacia: Los controles implementados no son estáticos; se evalúa su eficacia de manera periódica (al menos una vez al año o tras incidentes significativos). Esta revisión analiza tendencias de amenazas, vulnerabilidades emergentes y eventos detectados durante el monitoreo continuo para proponer acciones correctivas priorizadas según su nivel de riesgo. Los resultados de estas revisiones se documentan formalmente y se presentan a la Alta Dirección, asegurando la mejora continua del SGSI y el seguimiento a las recomendaciones.

9. Seguridad en el Trabajo Remoto (Teletrabajo)

El trabajo remoto es una modalidad laboral permitida y soportada por BISMO, siempre y cuando se garantice la protección absoluta de la información confidencial, la continuidad operativa y el cumplimiento ineludible de las políticas de seguridad establecidas.

• Autorización y Condiciones de Operación: Todo esquema de trabajo a distancia requiere la aprobación formal previa por parte del líder directo del colaborador o del área de Recursos Humanos. El personal autorizado debe garantizar un entorno de trabajo físico adecuado, manteniendo la privacidad de las pantallas e información de los clientes ante terceros.
• Conectividad y Protección de Dispositivos: Los colaboradores remotos deben operar mediante conexiones de red seguras. Queda estrictamente prohibido el uso de redes Wi-Fi públicas, abiertas o de dudosa procedencia sin el uso de las medidas de protección corporativas adecuadas (como conexiones cifradas/VPN). Los dispositivos asignados por la empresa (laptops) deben mantenerse protegidos mediante contraseñas fuertes, bloqueos automáticos de pantalla y controles de acceso vigentes.
• Responsabilidades Clave Compartidas:
  • Colaboradores: Son los responsables directos de salvaguardar los dispositivos físicos y la información bajo su resguardo, mantener la estricta confidencialidad de los datos operados desde casa y reportar de manera inmediata cualquier extravío, robo o incidente de seguridad detectado.
  • Supervisores / Líderes: Deben asegurar que su personal remoto cuente con los recursos técnicos seguros para operar y monitorear el cumplimiento constante de las políticas de seguridad y objetivos de desempeño.
  • Recursos Humanos: Coordina las autorizaciones de esta modalidad, gestiona las capacitaciones relacionadas a los riesgos del teletrabajo y aplica las medidas disciplinarias correspondientes ante cualquier incumplimiento detectado.

10. Gestión de Respaldos y Recuperación de Datos

La Compañía establece y mantiene procesos rigurosos de respaldo y recuperación de datos con el objetivo de garantizar la disponibilidad, integridad y continuidad operativa de la información, cumpliendo con los Acuerdos de Nivel de Servicio (SLA) pactados con los clientes y las exigencias regulatorias.

• Estrategia y Frecuencia de Respaldo: Se define y ejecuta una estrategia de copias de seguridad automatizadas alineada a la criticidad de los activos. Las bases de datos de producción y los repositorios de código fuente cuentan con respaldos continuos y programados, garantizando un Punto Objetivo de Recuperación (RPO) que minimice cualquier posible pérdida de datos transaccionales.
• Gestión, Protección y Cifrado de las Copias: La Compañía no almacena localmente ni resguarda de manera directa las copias de seguridad de la plataforma. La ejecución, almacenamiento y custodia de los respaldos es delegada y solicitada a nuestro proveedor especializado (Orbis). Como parte de los lineamientos de seguridad exigidos a terceros, la Compañía requiere y valida que Orbis aplique cifrado nativo con algoritmos robustos a todos los snapshots y copias para prevenir fugas de información o alteraciones maliciosas (como el Ransomware). Asimismo, se establece que Orbis debe almacenar los respaldos en ubicaciones lógicas separadas y aisladas del entorno de producción de BISMO, aplicando controles de acceso estrictos bajo el principio de privilegios mínimos.
• Pruebas de Restauración (Simulacros): Un respaldo no es válido si no se puede restaurar. Por ello, la Compañía programa y ejecuta pruebas periódicas de restauración (al menos dos veces al año). Estos simulacros permiten validar la integridad de los datos respaldados, medir la eficacia del proceso y asegurar que se cumpla con el Tiempo Objetivo de Recuperación (RTO) establecido por la Alta Dirección. Todo simulacro debe quedar debidamente documentado.
• Retención y Destrucción Segura: Los respaldos se conservan únicamente por el período estrictamente necesario para cumplir con los propósitos operativos y legales (LFPDPPP). Una vez cumplido su ciclo de vida útil, los respaldos son eliminados de forma irrecuperable mediante técnicas de borrado seguro.
• Resiliencia y Continuidad Operativa (DRP): La Compañía reconoce que la disponibilidad de los servicios es un pilar crítico para sus clientes. Por ello, la estrategia de respaldos está intrínsecamente ligada a la continuidad del negocio. En caso de una interrupción grave o desastre tecnológico, la recuperación de la infraestructura en la nube y las bases de datos se ejecutará conforme a lo establecido en la Política de Respaldo y Continuidad de TI, garantizando que los controles de seguridad de la información operen de manera ininterrumpida incluso durante situaciones de contingencia.

11. Gestión de Riesgos y Medición del Desempeño

La gestión de riesgos y la evaluación del desempeño son pilares estratégicos para asegurar que los controles de seguridad implementados en BISMO sean proporcionales a las amenazas reales y contribuyan de manera efectiva a los objetivos del negocio.

• Gestión Integral de Riesgos de Seguridad: La Compañía establece y mantiene un marco formal y continuo de gestión de riesgos basado en metodologías reconocidas. Este proceso permite:
  • Identificar y clasificar los activos de información críticos y los procesos clave del negocio según su nivel de sensibilidad.
  • Evaluar de manera sistemática las amenazas, vulnerabilidades y el nivel de riesgo que puedan comprometer la confidencialidad, integridad y disponibilidad de la información de los clientes.
  • Definir, documentar y ejecutar un Plan de Tratamiento de Riesgos (RTP), asignando responsables, fechas y controles de mitigación específicos para mantener los riesgos dentro de los niveles aceptables definidos por la Alta Dirección.
• Métricas de Desempeño y Evaluación del SGSI: Para garantizar que el Sistema de Gestión de Seguridad de la Información (SGSI) funcione correctamente, se definen y aplican Indicadores Clave de Desempeño (KPIs) y métricas de seguridad claras. Estas métricas deben ser:
  • Estrictamente relevantes y alineadas con los Objetivos Estratégicos de Seguridad aprobados por la organización.
  • Medidas, reportadas y revisadas con la periodicidad establecida en los procedimientos operativos (ej. tableros de control y reportes trimestrales).
  • Analizadas por el área de Seguridad y la Dirección para identificar tendencias, justificar inversiones tecnológicas y detectar oportunidades de optimización de los controles de seguridad.

12. Política de Uso y Protección de Información en Sistemas de Inteligencia Artificial (IA)

El uso de herramientas y plataformas de Inteligencia Artificial (IA) generativa por parte de los colaboradores, contratistas y aliados tecnológicos de la Compañía debe realizarse de manera segura, ética y en estricto apego a los lineamientos de la norma ISO/IEC 27001. El objetivo es aprovechar la eficiencia de estas tecnologías sin comprometer la propiedad intelectual, la seguridad de la infraestructura ni la privacidad de los datos.

• Restricciones de Información y Privacidad: Queda estrictamente prohibido el ingreso de Datos Personales (PII), información clasificada como confidencial o restringida, secretos comerciales y cualquier documento protegido bajo Acuerdos de Confidencialidad (NDA) en plataformas de IA públicas o no empresariales. A nivel técnico, se prohíbe terminantemente compartir el código fuente propietario de BISMO, algoritmos internos, credenciales de acceso, claves de API o tokens de seguridad. Únicamente se permite el procesamiento de información de dominio público, datos debidamente anonimizados o consultas técnicas genéricas.
• Controles en el Desarrollo de Software y TI: El uso de asistentes de IA para la generación o revisión de código está permitido exclusivamente a través de las herramientas formalmente aprobadas por el área de Seguridad de la Información o TI. Todo bloque de código, script o configuración generado o sugerido por una IA debe ser tratado bajo un enfoque de "Zero Trust" (Cero Confianza); por lo tanto, es obligatorio que pase por una revisión manual de pares (peer review) y pruebas de seguridad antes de su implementación para evitar la introducción de vulnerabilidades. El código resultante debe cumplir de manera obligatoria con los estándares de codificación segura de la Compañía (ej. lineamientos OWASP).
• Responsabilidad y Cumplimiento: Cada usuario es responsable del uso ético y seguro que le dé a estas plataformas, debiendo reportar inmediatamente cualquier exposición accidental de información como un incidente de seguridad. El incumplimiento de estas directrices representa un riesgo crítico de fuga de datos para la Compañía y será considerado una falta grave, sujeta a sanciones disciplinarias conforme al reglamento interno y a las responsabilidades legales correspondientes.

13. Seguridad Física y del Entorno

La seguridad física tiene como propósito proteger de forma integral los activos de información, los equipos de cómputo, las instalaciones operativas y al personal frente a riesgos derivados de accesos físicos no autorizados, desastres naturales o incidentes provocados.

• Control de Acceso a Instalaciones: Se implementan controles físicos y administrativos para garantizar que solo el personal autorizado ingrese a las áreas de trabajo. El control de ingreso a áreas restringidas se realiza mediante credenciales, registros formales y el acompañamiento obligatorio de los visitantes en todo momento.
• Protección de Equipos y Continuidad: Se aplican políticas de mantenimiento preventivo, monitoreo constante y mecanismos de respaldo energético y ambiental (Ej. UPS) para proteger la infraestructura física local. El Líder de Seguridad, en coordinación con el área de TI, Recursos Humanos y la Alta Dirección, supervisará el cumplimiento y la actualización de estos controles.

14. Cumplimiento Legal y Auditorías

La organización asegura el cumplimiento estricto de las leyes, regulaciones, obligaciones contractuales (SLAs) y marcos de referencia aplicables en materia de seguridad de la información, destacando la LFPDPPP y la norma internacional ISO/IEC 27001.

• Auditorías Internas y Externas: Para evaluar la eficacia del programa de seguridad y los controles implementados, se realizarán auditorías internas formalmente planificadas al menos una vez al año. Asimismo, se atenderán auditorías externas cuando corresponda o sea requerido por certificaciones. Toda auditoría deberá planificarse con la Dirección de forma que no comprometa la disponibilidad de los sistemas ni la confidencialidad de la información.
• Registros y Trazabilidad de Eventos: La organización garantiza la existencia de registros de auditoría que permitan la trazabilidad de los eventos relevantes de seguridad. Dichos registros deberán almacenarse en repositorios centralizados y seguros, protegerse tecnológicamente contra alteraciones no autorizadas y conservarse por el tiempo definido en las políticas de retención aplicables.

15. Revisión por la Dirección y Mejora Continua del SGSI

El Encargado de Seguridad de la Información coordinará la revisión y mejora continua del Sistema de Gestión de la Seguridad de la Información (SGSI), asegurando su alineación con los riesgos y amenazas emergentes, así como con los objetivos estratégicos de la organización.

• Ciclo de Revisión: El programa de seguridad y las políticas asociadas serán revisados por la Alta Dirección al menos una vez al año, o de manera extraordinaria si existen cambios relevantes en las regulaciones, en la estructura organizacional, o como resultado de incidentes de seguridad que requieran ajustes inmediatos.
• Evaluación y Procedimientos: Estas revisiones evaluarán la efectividad de las medidas implementadas, identificando oportunidades de mejora y registrando hallazgos para su tratamiento mediante acciones correctivas en plazos establecidos. Todos los procesos críticos de seguridad estarán respaldados por procedimientos operativos documentados y revisados periódicamente.

16. Gobernanza y Plan de Implementación General

Para garantizar que esta política se traduzca en acciones tangibles y fortalezca el programa de seguridad de la información, la organización operará bajo un plan de implementación regido por un Comité o Equipo de Seguridad. Este equipo será el responsable de realizar la evaluación de riesgos, priorizar y ejecutar la implementación de controles técnicos y administrativos, y mantener la comunicación transversal en toda la organización, garantizando la mejora continua del SGSI acorde a los recursos y necesidades de BISMO.

17. Privacidad de Datos, Transferencia y Derechos ARCO

BISMO reconoce que la protección de los Datos Personales (PII) es un pilar crítico de su operación SaaS, por lo que el Sistema de Gestión de Seguridad de la Información (SGSI) opera en estricto cumplimiento con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP).

• Transferencia y Compartición de la Información: Toda transferencia de información confidencial o datos personales, ya sea interna o hacia terceros (proveedores, clientes o autoridades), deberá realizarse exclusivamente a través de canales de comunicación seguros y cifrados. Queda estrictamente prohibida la transferencia de datos a terceros que no cuenten con un Acuerdo de Confidencialidad (NDA) firmado o que no demuestren controles de seguridad equivalentes a los exigidos por BISMO.
• Garantía de Derechos ARCO: La Compañía garantiza a los titulares de los datos personales el ejercicio de sus Derechos ARCO (Acceso, Rectificación, Cancelación y Oposición). El área responsable de Privacidad y Seguridad mantendrá canales oficiales habilitados y documentados para recibir, gestionar y dar respuesta oportuna a las solicitudes de los titulares, asegurando que los datos sean modificados, bloqueados o eliminados de las bases de datos transaccionales y respaldos cuando legalmente corresponda, utilizando técnicas de borrado seguro.

18. Gestión de Excepciones a la Política

En situaciones extraordinarias donde, por necesidades operativas críticas, emergencias de negocio o limitaciones tecnológicas temporales, no sea posible cumplir estrictamente con alguno de los lineamientos establecidos en la presente Política General de Seguridad o sus documentos derivados, se deberá ejecutar un proceso formal de Gestión de Excepciones.

• Solicitud y Evaluación de Riesgos: Toda solicitud de excepción debe ser documentada formalmente por el líder del área interesada, detallando la justificación técnica o de negocio. Antes de cualquier autorización, el Responsable del SGSI ejecutará una evaluación de riesgos para determinar el impacto potencial sobre la confidencialidad, integridad y disponibilidad de la información, definiendo, de ser necesario, controles de seguridad compensatorios.
• Aprobación y Seguimiento: Ninguna excepción operativa es válida ni aplicable sin la aprobación expresa, documentada y conjunta del Responsable del SGSI y la Alta Dirección. Toda excepción autorizada tendrá un alcance estrictamente limitado y una fecha de caducidad inamovible.
• Registro y Auditoría: Todas las excepciones aprobadas serán registradas en una bitácora centralizada de control de excepciones. Este registro será sujeto a monitoreo continuo, revisión periódica para asegurar que las condiciones que motivaron la excepción sigan vigentes, y formará parte de las evidencias a evaluar durante las auditorías internas y externas del SGSI.

19. Proceso Disciplinario y Sanciones

El cumplimiento de la presente Política General de Seguridad y de toda la normatividad que de ella se deriva es de carácter obligatorio para todo el personal de BISMO (colaboradores internos, directivos y contratistas). Cualquier incumplimiento a las disposiciones aquí contenidas, que se realice sin autorización o causa justificada, será investigado y sancionado conforme a lo establecido en la Política de Proceso Disciplinario interno de la organización.

La Compañía aplicará medidas disciplinarias proporcionales a la gravedad de la falta, el impacto generado (o potencial) sobre la confidencialidad, integridad o disponibilidad de la información, y la reincidencia del infractor. Las sanciones aplicables incluyen, de manera enunciativa mas no limitativa:

1. Amonestación verbal: Para faltas menores o descuidos operativos que no generen un riesgo material.

2. Amonestación por escrito (Acta Administrativa): Con copia al expediente laboral del colaborador en el área de Recursos Humanos.

3. Rescisión del contrato: La rescisión de la relación de trabajo sin responsabilidad para la empresa, fundamentada en las causales señaladas en la Ley Federal del Trabajo, para faltas graves, dolo o negligencia inexcusable.

Independientemente de la sanción laboral o administrativa aplicada, el infractor quedará obligado a cubrir cualquier tipo de daño y/o perjuicio económico ocasionado a la Compañía, a sus clientes o a terceros por dicha acción u omisión, reservándose BISMO el derecho de ejercer las acciones legales, civiles o penales que correspondan.

Aprobación

Nombre: Juan Narváez

Cargo: Alta Dirección / Director TI