Reporta de inmediato
Si observas información que no deberías poder ver, una cuenta comprometida, pérdida de dispositivo, archivos sospechosos o actividad no reconocida, comunícalo a sistemas@megaecuador.com. No compartas la evidencia en canales públicos.
1. Principios
- Mínimo privilegio: cada usuario recibe solamente los accesos necesarios.
- Necesidad de conocer: la información se consulta únicamente para funciones autorizadas.
- Defensa en profundidad: sesiones, permisos, validaciones, registros y restricciones de archivos se complementan entre sí.
- Responsabilidad: las acciones relevantes deben poder atribuirse y revisarse.
- Privacidad desde el diseño: se minimizan los datos, destinatarios y periodos de conservación.
2. Obligaciones de los usuarios
- Utilizar contraseñas únicas y no revelarlas.
- No dejar sesiones abiertas en dispositivos compartidos.
- No descargar, fotografiar o enviar datos fuera de los canales aprobados.
- Comprobar destinatarios antes de compartir documentos.
- Mantener actualizado el dispositivo y no desactivar controles corporativos.
- Informar errores de permisos aunque no se haya utilizado la información visible por accidente.
3. Controles de MEGASTOCK
El sistema utiliza autenticación, contraseñas protegidas mediante hash, rotación del identificador al iniciar sesión, cookies de sesión HttpOnly, cierre por inactividad, permisos por módulo, validaciones de entrada, tokens para dispositivos, registros técnicos y restricciones de acceso a directorios sensibles.
Los controles se revisan según cambios del sistema, riesgos, incidentes y obligaciones legales. Los secretos de servicio deben mantenerse fuera del código público y rotarse si existe sospecha de exposición.
4. Gestión de vulnerabilidades
Los hallazgos se clasifican según la información afectada, facilidad de explotación y posible impacto. Las fallas que permitan acceso no autorizado, modificación de registros, ejecución de código o exposición de credenciales tienen prioridad inmediata. Las correcciones deben probarse sin ocultar fallas ni eliminar evidencia necesaria.
5. Respuesta a incidentes
- Detectar y registrar el incidente.
- Contener el acceso y preservar evidencia.
- Identificar sistemas, personas, datos y periodo afectados.
- Rotar credenciales o revocar sesiones cuando corresponda.
- Evaluar el riesgo para los titulares.
- Notificar a responsables internos, autoridades y personas afectadas cuando resulte obligatorio.
- Recuperar el servicio, verificar la corrección y documentar mejoras.
6. Comunicación de una vulneración
Cuando un incidente pueda afectar derechos de las personas, la comunicación describirá en lenguaje claro qué ocurrió, qué información está involucrada, las consecuencias probables, las medidas adoptadas, las acciones recomendadas y el canal de ayuda. No se ocultará un hecho confirmado ni se divulgarán detalles técnicos que aumenten el riesgo.
7. Revisión
Esta política se revisará al menos cuando cambien los procesos, se incorporen datos de mayor sensibilidad o se produzca un incidente relevante.