Seguridad en CRA Evidence

CRA Evidence se ejecuta en la infraestructura de AWS en la UE (Dublín, Irlanda). Todos los datos de los clientes están cifrados en tránsito y en reposo. Aplicamos un estricto aislamiento de inquilinos — los datos de su organización nunca son accesibles para otros clientes. Somos una empresa fundada por su creador en fase beta y somos transparentes sobre nuestra postura de seguridad actual y nuestra hoja de ruta.

Infraestructura

Cifrado

Autenticación y Control de Acceso

• Inicio de sesión: Email/contraseña con Argon2id, OAuth (Google, Microsoft, GitHub), SAML SSO
• MFA: Autenticación multifactor basada en TOTP con códigos de respaldo; las organizaciones pueden imponer MFA a todos los miembros
• Sesiones: Tokens de acceso JWT (corta duración) con tokens de actualización rotativos
• Protección contra bots: Cloudflare Turnstile en endpoints de autenticación
• CSRF: Protección basada en tokens en todas las operaciones con estado
• RBAC: Cuatro roles por organización — Propietario, Administrador, Miembro, Visor — siguiendo el principio de mínimo privilegio
• Claves API: Permisos con alcance definido, hash SHA-256, revocables individualmente
• Imposición de SSO: Las organizaciones pueden requerir SAML SSO para todos los miembros

Aislamiento de Inquilinos

CRA Evidence es una plataforma multi-inquilino. Cada consulta a la base de datos filtra por organisation_id a nivel de servicio:

• Las organizaciones no pueden acceder, consultar ni referenciar datos de otra organización
• Los datos de SBOM, vulnerabilidades, productos y documentos de cumplimiento están limitados a la organización propietaria
• Las rutas de almacenamiento están segregadas por ID de organización
• El registro de auditoría rastrea todo el acceso a datos por organización

Gestión de Vulnerabilidades

• Escaneo de SBOM: Escáner Trivy autoalojado para detección continua de vulnerabilidades en SBOMs
• Monitoreo de Dependencias: Verificaciones automatizadas de dependencias de la aplicación
• Gestión de Parches: Actualizaciones regulares de componentes de aplicación e infraestructura
• Pruebas de Penetración: Prueba de penetración independiente planificada (ver Hoja de Ruta)

Continuidad del Negocio y Recuperación ante Desastres

Retención de Datos

• Datos de cuenta activa: Retenidos mientras la suscripción está activa
• Cuentas eliminadas: Datos eliminados en 30 días tras la solicitud
• Registros de auditoría: Retenidos durante 10 años según los requisitos del Artículo 13(14) del CRA
• Copias de seguridad: Snapshots diarios automatizados cifrados

RGPD y Privacidad

• Acuerdo de Procesamiento de Datos (DPA): Disponible bajo solicitud (privacy@craevidence.com)
• Registro de Actividades de Tratamiento (ROPA): Mantenido según el artículo 30 del RGPD
• Subprocesadores: Lista publicada con notificación de cambios de 30 días
• Portabilidad de Datos: Exportación de SBOM en formatos estándar (CycloneDX, SPDX)
• Eliminación de Datos: Cuenta y todos los datos asociados eliminados en 30 días tras la solicitud
• Política de Privacidad: Leer nuestra política de privacidad

Cumplimiento

Nuestro Cumplimiento

• Conforme al RGPD (UE 2016/679) — ROPA, DPA, lista de subprocesadores, política de privacidad
• Residencia de datos en la UE — todos los datos en AWS eu-west-1 (Dublín, Irlanda)
• RFC 9116 — security.txt publicado
• Alineado con ISO 29147/30111 — Proceso de Divulgación Coordinada de Vulnerabilidades

Certificaciones del Proveedor de Infraestructura

AWS mantiene las siguientes certificaciones para eu-west-1: SOC 1/2/3, ISO 27001, ISO 27017, ISO 27018, C5 (BSI alemán).

Hoja de Ruta

• Pruebas de penetración independientes — planificado
• SOC 2 Tipo II — planificado
• ISO 27001 — en evaluación

Estamos construyendo nuestra postura de cumplimiento junto con nuestro producto. Esta página refleja dónde estamos hoy.

Divulgación de Vulnerabilidades

Damos la bienvenida a la investigación de seguridad responsable. Si descubre una vulnerabilidad en nuestra plataforma, por favor repórtela.

Cómo Reportar

• Email: security@craevidence.com
• Respuesta: Acuse de recibo en 24 horas, evaluación inicial en 7 días hábiles

Alcance

• En alcance: *.craevidence.com, la API de CRA Evidence, la CLI de CRA Evidence
• Fuera de alcance: Servicios de terceros, ingeniería social, ataques de denegación de servicio

Puerto Seguro

No emprenderemos acciones legales contra investigadores de seguridad que:

• Actúen de buena fe
• Eviten violaciones de privacidad, destrucción de datos o interrupción del servicio
• Reporten hallazgos con prontitud y permitan tiempo razonable para la remediación

Política de CVD

Seguimos los estándares ISO 29147/30111 para la Divulgación Coordinada de Vulnerabilidades.

Contacto

• Informes de seguridad: security@craevidence.com
• Consultas de privacidad: privacy@craevidence.com
• Solicitudes de DPA: privacy@craevidence.com

Última actualización: Febrero 2026.