Version: 8 | Vigencia: 25/08/2026

Seguridad de la Información

Para mantener un nivel de seguridad y control de la información adecuado a los estándares de Visma Corporativo, Mandü ha implementado políticas, controles y procesos para cubrir las áreas de seguridad de la información que se describen a continuación.

Mandü ha implementado ISO 27001 como marco en la seguridad de la información para mantener y desarrollar un alto estándar en la gestión de la seguridad. ISO 27001 aborda acciones y medidas para preservar:

Confidencialidad

Asegurar que personas no autorizadas no puedan obtener acceso a datos que puedan ser objeto de abuso para dañar a los clientes, socios comerciales o empleados de Mandü

Integridad

Asegurar que los sistemas brinden información precisa y completa

Disponibilidad

Asegurar que la información y los sistemas relevantes estén disponibles y que los sistemas sean estables

Gestión de Riesgo en Seguridad de la Información

Un proceso de gestión de riesgos de seguridad de la información está integrado en los procesos de trabajo y las tareas diarias de los empleados y consultores externos. La gestión del riesgo de la información se controla y mejora continuamente.

La evaluación del riesgo de la información es una parte importante del proceso de gestión del riesgo de la información y el desarrollo del producto, y se realiza de acuerdo con un plan predeterminado. Para cada activo o clase de activos, la importancia del activo y su función para la organización se especifica desde el punto de vista de la confidencialidad, integridad y disponibilidad.

La evaluación del riesgo de la información se realiza de acuerdo con la Política de gestión de riesgos empresariales de Mandü.

Requerimientos de Seguridad

Organizacionales

– Políticas y procedimientos de seguridad documentados y revisados periódicamente.
– Gestión integral de riesgos de seguridad de la información.

    – Realizar evaluaciones de riesgos al menos una vez al año y ante cambios significativos.
    – Documentar y tratar los riesgos identificados según su criticidad y probabilidad.

– Inventario y clasificación de activos.

     -El inventario de activos debe incluir explícitamente los recursos originados en Shadow IT y Shadow AI, a fin de minimizar el uso no autorizado y asegurar la identificación, evaluación y mitigación oportuna de los riesgos asociados.

– Clasificación y etiquetado de la información según su sensibilidad.
– Gestión de accesos e identidades, con revisiones periódicas.
– Gestión de incidentes de seguridad, con procedimientos claros de reporte y respuesta.
– Seguridad en la cadena de suministros de la Tecnología de la información y comunicaciones, incluyendo evaluaciones de riesgos a proveedores.

     -Los acuerdos contractuales con proveedores críticos y de alto riesgo deben incluir explícitamente: requisitos de seguridad de la información, el derecho de Mandü a realizar auditorías, y la obligación del proveedor de notificar cualquier incidente de seguridad que afecte datos o servicios de Mandü.

– Cumplir con los requisitos legales, regulatorios y contractuales aplicables.
– Implementación de objetivos de seguridad anuales.
– Infraestructura y Seguridad de Aplicaciones

     -Mandü puede ser objeto de ejercicios de penetration testing y red teaming ejecutados por Visma Group. Dichas actividades serán realizadas por un equipo independiente y calificado, en cumplimiento de los requisitos legales, regulatorios y contractuales aplicables.

Personas

– Inclusión de cláusulas de confidencialidad en contratos laborales y de terceros.
– Programas regulares de concienciación y formación en seguridad.
    – Todos los empleados deben participar en programas de formación inicial y continua en seguridad de la información.
    – Realización de campañas de concienciación sobre amenazas actuales (phishing, ingeniería social, etc.).
– Procesos disciplinarios en caso de incumplimiento.
– Políticas para trabajo remoto y teletrabajo seguro.
– Politicas de uso aceptable.

Físicos

– Control de acceso físico a instalaciones y áreas críticas.
– Protección de equipos y dispositivos contra robo, daño o acceso no autorizado.
– Monitoreo físico mediante CCTV o sistemas de alarma.
– Gestión segura de medios de almacenamiento y su destrucción segura al final de su vida útil.

Tecnológicos

– Restricción y control de acceso lógico a sistemas y aplicaciones.

     – El acceso directo a ambientes de producción (“no hands in production”) debe estar restringido y solo permitirse a través de mecanismos controlados y auditables.
     – El acceso privilegiado debe realizarse utilizando cuentas separadas, distintas de las cuentas de uso cotidiano.
     – Debe mantenerse una separación estricta entre los ambientes de producción y no-producción en todo momento.
     – El principio de mínimo privilegio aplica tanto a empleados como a agentes de IA que operen sobre sistemas o datos de Mandü.

– Autenticación multifactor para accesos críticos.
– Protección contra malware y software no autorizado.
– Copias de seguridad periódicas y pruebas de restauración.
– Seguridad de redes mediante firewalls, segmentación y monitoreo.
– Gestión de cambios en sistemas críticos.
– Uso de cifrado en tránsito y en reposo para información sensible.
– Desarrollo y adquisición segura de software.

     – Realización de evaluaciones periodicas sobre los reuerimientos de seguridad de las aplicaciones
     – Implementación Test de Seguridad Estático durante el ciclo de vida del Desarrollo
     – Implementación Analisis de Composición del Software durante el ciclo de vida del Desarrollo
     – Implementación Test de Seguridad Dinámico durante el ciclo de vida del Desarrollo
     – Ejecucón de Test de Penetración periodicos en las aplicaciones desarrolladas
     – Integración de los logs de las aplicaciones con el SIEM corporativo
     – Implementacion de herramientas de monitoreo sobre la configuración de infraestructura
     – Adhesión a los principios de seguridad desde el diseño y por defecto para las aplicaciones desarrolladas
     – Implementación de mecanismos de autenticación fuerte en las aplicaciones desarrolladas

– Gestión y remediación de vulnerabilidades.
– Inteligencia sobre amenazas: Monitoreo y análisis continuo de amenazas emergentes y ajuste de controles.
– Continuidad de Tecnologias de la Información y Comunicaciones: Planes y pruebas de continuidad para sistemas críticos.

     – Deben definirse Objetivos de Tiempo de Recuperación (RTO) y Objetivos de Punto de Recuperación (RPO) para los sistemas y servicios críticos, en línea con los requisitos del negocio.
     – La frecuencia de las pruebas de continuidad debe estar basada en el riesgo y debe quedar debidamente documentada.

– Gestión de configuración: Registro y control de la configuración de sistemas para prevenir cambios no autorizados.
– Eliminación segura de información: Procedimientos para destrucción física o lógica de datos y dispositivos.
– Enmascaramiento de datos: Uso de técnicas para ocultar datos sensibles en ambientes de prueba o desarrollo.
– Prevención de fugas de datos (DLP): Implementación de soluciones y procedimientos para evitar la filtración de información.
– Monitoreo de actividades: Supervisión continua de eventos y actividades en sistemas críticos.
– Filtrado web: Restricción de acceso a sitios web no autorizados o riesgosos.

Inteligencia Artificial

Todo uso de Inteligencia Artificial en Mandü, incluyendo su desarrollo e integración en productos y procesos internos, debe adherir a los lineamientos de IA Responsable de Visma Group.

 

• • Los sistemas de IA deben ser desplegados, monitoreados y testeados de manera que minimicen el riesgo de fuga o exposición de datos.

• • Todo código generado por IA debe incluirse en un pipeline de CI/CD que ejecute escaneo de seguridad (incluyendo SAST, SCA y análisis específico de IA) y ser revisado antes de su despliegue a producción.

• • Los empleados deben evitar el uso de herramientas de IA no aprobadas (Shadow AI). Ante cualquier duda sobre el estado de aprobación de una herramienta, debe consultarse al equipo de Seguridad antes de su uso.

Criptografía

Mandü debe emplear controles criptográficos fuertes y aprobados para proteger la información en proceso, en tránsito y en reposo.

 

• • El uso de algoritmos criptográficos débiles u obsoletos está estrictamente prohibido.

• • La selección de algoritmos y longitudes de clave debe estar alineada a los estándares vigentes de Visma Group y a las mejores prácticas de la industria.