[ Seguridad ]
La seguridad se construye desde el primer día, no al final.
Dexon diseña y opera software para sectores exigentes. Esta página describe, sin tecnicismos, lo que hacemos en concreto para proteger sus aplicaciones y sus datos: las etapas, los estándares y las herramientas. Un punto de partida para sus equipos de seguridad, incluso antes de la primera reunión.
- Enfoque
- Secure by Design · DevSecOps
- Cifrado
- TLS 1.3 en tránsito · AES-256 en reposo
- Acceso
- MFA · mínimo privilegio · IAM
- Continuidad
- Copias de seguridad · DRP / PCN
- Cumplimiento
- RGPD
- Actualización
- 2026
[ Metodología ]
Seis etapas, de la definición del proyecto a la operación.
La seguridad no es una auditoría que se añade al final del proyecto. Sigue el ciclo de vida del software: cada etapa tiene sus controles y cada control deja rastro.
- 01
Definición del proyecto
Identificación de los datos tratados y de su sensibilidad, de las amenazas realistas y de las obligaciones normativas. Los requisitos de seguridad se incorporan al pliego de condiciones.
- 02
Diseño
Secure by Design: la arquitectura, los flujos de datos, la segmentación de entornos y los permisos de acceso se deciden antes de escribir la primera línea de código.
- 03
Desarrollo
Revisión sistemática del código antes de cada fusión, secretos nunca almacenados en el código, dependencias open source seleccionadas y supervisadas.
- 04
Integración y entrega
CI/CD segura: pruebas automatizadas, análisis de vulnerabilidades y de dependencias en cada build, despliegues trazables y reversibles.
- 05
Pruebas de seguridad
Tests de seguridad integrados en las pruebas de aceptación y, cuando la criticidad del proyecto lo justifica, pentests antes de la puesta en producción.
- 06
Operación
Monitorización, alertas y registro de eventos en producción. Las vulnerabilidades detectadas tras la entrega se evalúan y, después, se corrigen.
[ Estándares técnicos ]
Lo que aplicamos, en concreto.
Reglas sencillas y verificables que aplicamos por defecto en nuestros proyectos. Las concretamos y adaptamos con usted durante la fase de definición, según su contexto y sus propias políticas.
- 01CifradoTLS 1.3 para los datos en tránsito y AES-256 para los datos en reposo.
- 02Autenticación fuerteMFA en los accesos de administración, las herramientas de desarrollo y las consolas cloud.
- 03Política IAMCuentas nominativas, principio de mínimo privilegio, permisos revisados periódicamente y revocados cuando alguien deja el proyecto.
- 04Gestión de secretosClaves y contraseñas en una bóveda dedicada, nunca en el código, en los tickets ni en la mensajería.
- 05Segmentación de entornosDesarrollo, pruebas de aceptación y producción, aislados entre sí. Ningún dato real de producción se usa fuera de ella sin anonimizar.
- 06Alojamiento en la nubeProveedores reconocidos y ubicación de los datos elegida con usted según sus requisitos.
- 07Registro y trazabilidadLogs centralizados y acciones sensibles registradas: quién hizo qué y cuándo.
- 08Gestión de vulnerabilidadesSeguimiento de los fallos publicados y parches priorizados según su gravedad y su exposición real.
[ Cadena de suministro ]
Las dependencias, un riesgo en sí mismas.
Una aplicación moderna incorpora cientos de bibliotecas open source. Cada una es una posible puerta de entrada: las tratamos como tales.
- Inventario de las dependencias de cada proyecto
- Alertas automáticas sobre vulnerabilidades conocidas
- Versiones fijadas para builds reproducibles
- Actualizaciones periódicas en lugar de urgentes
- Evaluación de cada biblioteca antes de incorporarla
[ Código y pruebas ]
Ningún código llega a producción sin revisión.
La revisión de código es nuestro primer filtro de seguridad. Los tests automatizados y las pruebas de aceptación hacen el resto.
- Revisión del código por pares antes de cada fusión
- Análisis automático del código en el pipeline de CI/CD
- Tests de seguridad integrados en las pruebas de aceptación
- Pentests antes de la puesta en producción cuando la criticidad lo justifica
- Parches de seguridad tratados con prioridad
[ Operación ]
Detectar, reaccionar, recuperar.
Un incidente se prepara antes de que ocurra. En producción, supervisamos, sabemos quién interviene y cómo se reanuda la actividad.
Los objetivos de recuperación (tiempo de interrupción y pérdida de datos aceptables) se definen con usted, proyecto a proyecto.
- 01Monitorización y alertasDisponibilidad, rendimiento y anomalías bajo vigilancia, con alertas que llegan a las personas adecuadas.
- 02ObservabilidadErrores de la aplicación notificados en tiempo real (Sentry) para diagnosticar rápido, antes de que el usuario informe del problema.
- 03Gestión de incidentesEvaluación, contención, corrección y, después, lecciones aprendidas documentadas.
- 04Copias de seguridadAutomatizadas, cifradas y almacenadas por separado de la producción. La restauración se prueba, no se da por hecha.
- 05DRP / PCNPlanes de recuperación ante desastres y de continuidad de negocio documentados para las aplicaciones críticas.
[ Datos y RGPD ]
Sus datos siguen siendo suyos.
El cumplimiento del RGPD no es un banner de cookies. Se aborda en la arquitectura y en los contratos.
- Minimización: recoger solo lo necesario
- Plazos de conservación definidos y aplicados
- Marco contractual para los encargados del tratamiento de datos
- Derechos de los interesados contemplados desde el diseño
- Acceso a los datos de producción limitado y registrado
[ Política interna de IA ]
La IA, con reglas.
Nuestros equipos utilizan herramientas de IA para ganar productividad, dentro de un marco definido.
- Ningún dato de cliente se comparte con una herramienta de IA sin autorización
- Herramientas de IA validadas internamente, no de libre elección
- Código generado revisado y probado como cualquier otro código
- Decisiones de arquitectura y de seguridad tomadas por personas
Ningún sistema es invulnerable, y no pretendemos lo contrario. Nuestro compromiso es de medios: prácticas documentadas, verificables por sus equipos, y un plan claro cuando surge un incidente.
[ En resumen ]
La seguridad no es una opción que se añade al final. Es una forma de construir.