Política de seguridad de la información

1. Alcance y objetivos

Esta política es aplicable a la infraestructura administrada por Websolutions, las soluciones informáticas desarrolladas por la empresa, los registros electrónicos, los respaldos, las credenciales y las actividades de administración o asistencia técnica que puedan involucrar información de clientes y usuarios autorizados.

Su objetivo es reducir los riesgos de acceso no autorizado, divulgación, alteración, pérdida, uso indebido o interrupción de los sistemas, mediante controles técnicos y procedimientos administrativos proporcionales a los servicios prestados.

2. Responsabilidades y autorizaciones

• La administración del servicio es responsable de autorizar el acceso a los entornos y de revisar los incidentes de seguridad que sean reportados.
• Los usuarios deben proteger sus credenciales, utilizar el servicio dentro de las funciones autorizadas y comunicar actividades sospechosas.
• El personal técnico debe usar los privilegios mínimos necesarios para cada intervención y proteger la confidencialidad de la información conocida durante el soporte.

3. Control de acceso y separación de recursos

El acceso a funciones administrativas y recursos técnicos se administra según los roles y permisos asignados. Para la operación e-CF se utilizan espacios de configuración y almacenamiento separados de los directorios de exposición pública. Las credenciales, claves y certificados no deben distribuirse mediante publicaciones, formularios abiertos o medios no autorizados.

4. Protección de comprobantes electrónicos y certificados

Los procesos de facturación electrónica de Katrina incluyen generación y validación de archivos XML, aplicación y verificación de firmas digitales y consulta de respuestas de los servicios de la DGII, según corresponda. Los certificados digitales empleados en la integración e-CF se almacenan en áreas restringidas, no publicadas directamente en el sitio web.

El uso o custodia de certificados digitales de terceros se somete a las autorizaciones contractuales y regulatorias que resulten aplicables, incluido el artículo 22 del Reglamento núm. 587-24. Esta política no representa por sí misma una autorización para prestar servicios de confianza o custodiar certificados fuera de las condiciones legalmente permitidas.

5. Registros, trazabilidad y cambios

Los procesos técnicos de e-CF conservan registros de preparación, validación, firma, envío y respuestas para facilitar la investigación de errores y el seguimiento de transacciones. Los cambios en configuraciones o componentes críticos deben ejecutarse por personal autorizado, documentarse y verificarse antes de aplicarse a producción.

6. Respaldo y recuperación

El VPS dispone de una tarea de respaldo completo programada diariamente a las 2:00 a. m., hora de República Dominicana (UTC-4). Frente a una incidencia, el equipo responsable debe identificar la última copia utilizable y coordinar los procedimientos de restauración y validación de integridad correspondientes. La continuidad del servicio también depende de la infraestructura de alojamiento y de servicios externos, como los de la DGII.

7. Gestión de vulnerabilidades e incidentes

Las incidencias que impliquen accesos inusuales, alteraciones de comprobantes, indisponibilidad o exposición de información serán evaluadas para determinar su alcance, contener el impacto, preservar los registros disponibles, restaurar el servicio y efectuar las comunicaciones que legalmente correspondan.

8. Revisión y cumplimiento

Esta política será revisada cuando existan cambios relevantes en la infraestructura, las integraciones fiscales, los requisitos legales o las condiciones del servicio. El documento no implica la posesión de una certificación ISO 27001 ni de certificaciones no declaradas por la empresa.

Documentos institucionales relacionados: Protección de datos · Seguridad de la información · Continuidad operativa · Soporte e-CF.