Cumplimiento normativo Y Seguridad

Certificación ISO 27001

Turbit está en proceso de certificación según ISO/IEC 27001. Las políticas internas, los controles y las auditorías ya están implementados para alinearse con este estándar.

Infraestructura crítica

Casi todos los clientes de Turbit están clasificados como operadores de infraestructura crítica. La verificación de estos clientes se ha completado mediante planes detallados de infraestructura y seguridad. Turbit no tiene acceso directo a los sistemas de control de parques eólicos o solares, lo que limita la exposición de seguridad y simplifica los procesos de verificación.

La documentación para clientes

La descripción general de seguridad y los planes de infraestructura están disponibles bajo demanda. Los Acuerdos de Tratamiento de Datos están disponibles para firmar.

Lista de subprocesadores

Una lista actual de subprocesadores está disponible bajo NDA — solicítala junto con nuestro DPA a través del formulario de contacto más abajo.

Alcance de datos

• Datos operacionales como SCADA, códigos de estado, señales de sensores, información de rendimiento y mantenimiento.
• Datos del cliente: solo se almacenan los datos de contacto comercial esenciales.

Cifrado

• En tránsito: TLS para todas las interfaces.
• En reposo: almacenamiento cifrado en infraestructura alojada en la UE.

Residencia de datos

• Todo el almacenamiento y procesamiento de datos de clientes se realiza en la Unión Europea.
• La analítica web y las herramientas de marketing se tratan por separado: consulte la política de privacidad para conocer los encargados del tratamiento implicados y sus garantías de transferencia.

Proveedor y ubicación

Nuestros servidores están ubicados en servidores bare-metal europeos en centros de datos de la UE que cumplen ISO 27001. Solo Turbit tiene acceso a ellos. La redundancia geográfica garantiza los máximos tiempos de actividad 24/7.

Arquitectura

Los servicios de producción y bases de datos funcionan de manera redundante, al menos tres servicios en distintos centros de datos. Las redes privadas, segmentación y cortafuegos protegen todas las interfaces. Las copias de seguridad frías sin conexión regulares se almacenan fuera de las instalaciones y están disponibles incluso para los peores escenarios.

• SDLC estructurado con revisiones de seguridad en cambios.
• Cambios rastreados mediante RFCs y Architectural Decision Records.
• Actualizaciones automatizadas semanales de servicios y sistemas operativos.
• Solo se permiten paquetes vetados por el equipo de ciberseguridad.
• Monitoreo continuo de avisos de seguridad con parches rápidos.

Ciclo de vida de la cuenta

• Creación manual de usuarios, revocación inmediata disponible.
• Revisiones de acceso periódicas semiautomatizadas.
• Controles previstos: desactivación automática de cuentas inactivas y rotación de contraseñas obligatoria para servicios críticos.

Autenticación e interfaces

• Autenticación multifactor compatible.
• Acceso a API mediante claves API, OAuth 2.0 o certificados.
• Acceso remoto mediante 2FA, autenticación por clave SSH, OpenVPN y OAuth.

Menor privilegio

• Control de acceso basado en roles para empleados, clientes y proveedores.

• Las conexiones a instalaciones externas se aprovisionan a través del sistema de tickets de soporte de Turbit.
• Solo el personal capacitado y autorizado puede acceder a estos entornos.
• Las contraseñas se intercambian a través de un sistema seguro de transferencia única.

Personal

• Todos los empleados completan formación anual en seguridad y simulacros de phishing.
• NDAs firmadas al contratación.

Prevención y detección

• Segmentación de red y firewalls implementados.
• Almacenamiento de registros WORM y monitoreo con análisis de detección de fraudes, SIEM e IDS.

Proceso de parcheado y vulnerabilidades

• Monitoreo continuo de alertas de ciberseguridad.
• Vulnerabilidades triadas en el sistema de tickets interno y remediadas según criticidad.

Notificación de brechas

Notificamos a los responsables del tratamiento afectados en el plazo de 72 horas tras una brecha de datos personales confirmada, de conformidad con el Artículo 33 del RGPD.

Divulgación responsable

¿Has encontrado una vulnerabilidad? Repórtala a través del formulario de contacto más abajo — nuestro equipo de ingeniería evalúa cada envío.

• Copias de seguridad en caliente al menos semanalmente.
• Copias de seguridad frías sin conexión trimestrales almacenadas fuera de las instalaciones.
• Pruebas de restauración automatizadas mensuales y ejercicios manuales semestrales.

Se está implementando un registro de auditoría integral para alineación con ISO, capturando inicios de sesión, accesos, cambios de configuración y acciones de administrador en almacenamiento WORM.

La IA de Turbit para monitorización se clasifica como riesgo mínimo/limitado sin control de seguridad crítica autónomo. Implementamos transparencia, explicabilidad y supervisión humana en todos nuestros productos de IA de conformidad con el RGPD y la EU AI Act.

La documentación de Turbit, los registros de auditoría y nuestros compromisos de notificación de brechas apoyan las obligaciones NIS2 de nuestros clientes conforme al Anexo I — análisis de riesgos, gestión de incidentes y seguridad de la cadena de suministro.