Confianza y cumplimiento
Cómo se alinea Ijtimaa con los Controles Esenciales de Ciberseguridad de la NCA saudí, ISO/IEC 27001 y SOC 2.
Esta es nuestra propia autoevaluación. Ijtimaa no está certificado en ISO/IEC 27001 y aún no tiene un informe SOC 2 emitido por un auditor. Usa esta página para ver qué hace el software y qué tienes que hacer tú por tu parte al preparar tu propia evaluación.
Dónde se guardan tus datos
- Las reuniones, grabaciones, notas de IA y subtítulos se procesan en nuestros propios servidores y nunca se envían a servicios de IA externos.
- Cada espacio de trabajo tiene un registro de actividad, periodos de conservación ajustables y un informe de cumplimiento imprimible (Admin › Cumplimiento).
- Integrado en Ijtimaa
- Depende de cómo se gestione el servidor (tú o tu proveedor de hosting)
- Aún no está hecho: en nuestra lista
Controles Esenciales de Ciberseguridad de la NCA (ECC)
Los ECC tienen cuatro dominios principales que se aplican a un servicio como este. Indicamos lo que Ijtimaa hace en cada uno.
| GobernanzaDominio 1 | Autoalojado: la base de datos, las grabaciones y las copias de seguridad se quedan en el servidor que elijas, dentro del Reino si lo alojas allí. Tú defines la ubicación de los datos que se muestra a los usuarios. Tu organización sigue siendo responsable de sus políticas, su registro de riesgos y sus revisiones. | Compartido |
|---|---|---|
| Identidad y accesoDominio 2 | Contraseñas con hash scrypt; inicio de sesión en dos pasos (app de autenticación) con códigos de recuperación; inicio de sesión corporativo con Microsoft, Google o cualquier proveedor de identidad SAML (ADFS, Okta, Entra ID); alta y baja automática de usuarios (SCIM); roles en el espacio de trabajo (administrador, miembro); un espacio de trabajo puede exigir el inicio de sesión corporativo a sus miembros. | Integrado |
| Protección de datos en tránsito y en reposoDominio 2 | HTTPS en todas partes (certificados automáticos); audio y video de las reuniones cifrados en tránsito (DTLS-SRTP); secretos guardados, como contraseñas de correo, claves de transmisión y tokens de calendario, cifrados con AES-256-GCM; reuniones opcionales con cifrado de extremo a extremo, en las que ni siquiera el servidor de video puede ver ni oír la reunión. | Integrado |
| Cifrado de disco y bastionadoDominio 2 | El cifrado del disco del servidor, las reglas del cortafuegos y las actualizaciones del sistema operativo se hacen en el servidor. Nuestro script de instalación activa el cortafuegos y las actualizaciones de seguridad automáticas. | Compartido |
| Supervisión y respuesta a incidentesDominio 2 | Un sistema de vigilancia integrado comprueba la app, la base de datos, el servidor de video, el disco y las copias de seguridad, y envía un correo al propietario. Los inicios de sesión y cambios en el portal del propietario quedan registrados. Tu equipo gestiona el proceso de incidentes. | Compartido |
| Resiliencia y copias de seguridadDominio 3 | Las copias nocturnas de la base de datos se restauran en una base de datos de prueba para comprobar que funcionan; se hacen instantáneas de las grabaciones; se puede activar una copia fuera del servidor. Se conservan 14 días. | Integrado |
| Terceros y nubeDominio 4 | Sin servicios externos de IA, subtítulos ni video: la conversión de voz a texto, los resúmenes y la traducción se ejecutan en el mismo servidor. Solo se usan servicios externos si tú los conectas (tu servidor de correo, calendarios, SMS). | Integrado |
ISO/IEC 27001:2022, Anexo A
Los controles del Anexo A que un servicio de reuniones y reservas puede cumplir en el propio software.
| Control de acceso y autenticaciónA.5.15, A.5.17, A.8.5 | Acceso basado en roles por espacio de trabajo; inicio de sesión en dos pasos; inicio de sesión corporativo (SSO); las sesiones caducan y se pueden cerrar; límites de intentos de inicio de sesión. | Integrado |
|---|---|---|
| Servicios en la nube y proveedoresA.5.19, A.5.23 | Funciona en tu propio servidor; no se envían datos a otros proveedores a menos que conectes uno. | Integrado |
| Privacidad y datos personalesA.5.34 | Los datos de los invitados solo se usan para la reserva; cada espacio de trabajo define cuánto tiempo se conservan las grabaciones, el chat, los subtítulos, los archivos y las notas de IA; los administradores pueden exportarlo todo y cada persona puede descargar o eliminar sus propios datos. | Integrado |
| Copias de seguridadA.8.13 | Nocturnas, probadas mediante restauración; copia fuera del servidor opcional. | Integrado |
| Registro y supervisiónA.8.15, A.8.16 | Las acciones del propietario se registran y el servidor está vigilado. Todavía no existe un registro completo de actividad que los administradores del espacio de trabajo puedan consultar. | Aún no |
| CriptografíaA.8.24 | TLS para la web y el video; AES-256-GCM para los secretos almacenados; enlaces firmados para las invitaciones. | Integrado |
| Desarrollo y pruebas segurosA.8.25, A.8.28, A.8.29 | Cada cambio pasa por nuestras baterías de pruebas de extremo a extremo (cientos de comprobaciones), incluidas las comprobaciones de acceso entre espacios de trabajo. | Integrado |
| Pruebas independientesA.5.35, A.8.8 | Nuestras propias pruebas de seguridad se ejecutan en cada cambio (auditoría de dependencias, análisis estático y pruebas de ataque en cada API: inicio de sesión, solicitudes entre sitios, aislamiento de espacios de trabajo, inyección, SSRF, manipulación de tokens). Aún no se ha hecho una prueba de penetración por una empresa externa. | Aún no |
Criterios de Servicios de Confianza de SOC 2
Cómo el software respalda cada criterio. Un informe SOC 2 requiere que un auditor pruebe tu operación a lo largo del tiempo.
| Seguridad: acceso lógicoCC6.1–CC6.3 | Roles, inicio de sesión en dos pasos, SSO y aislamiento de espacios de trabajo aplicado en cada consulta a la base de datos. | Integrado |
|---|---|---|
| Seguridad: datos en tránsitoCC6.7 | HTTPS y contenido multimedia cifrado; webhooks solo a direcciones https:// y nunca a redes privadas. | Integrado |
| Seguridad: operacionesCC7.1–CC7.3 | El sistema de vigilancia y las alertas están integrados; revisarlos y responder es tu proceso. | Compartido |
| Gestión de cambiosCC8.1 | Las actualizaciones se hacen con un solo comando y se revierten sin problemas; aprobar los cambios es tu proceso. | Compartido |
| DisponibilidadA1.2, A1.3 | Reinicios automáticos, comprobaciones de estado, copias de seguridad probadas y un script de restauración. | Integrado |
| ConfidencialidadC1.1, C1.2 | Grabaciones y notas solo para el anfitrión de la reunión; los límites de conservación eliminan los datos antiguos. | Integrado |
| PrivacidadP1–P8 | Un aviso de privacidad, límites de conservación y eliminación por uno mismo están integrados; tu política de privacidad y tu proceso de consentimiento son cosa tuya. | Compartido |
Lo que queda de tu parte
- Cifra el disco del servidor y mantén actualizado el sistema operativo.
- Activa el inicio de sesión en dos pasos para todos los administradores y el inicio de sesión corporativo (SSO) para el personal.
- Guarda una copia de seguridad fuera del servidor y prueba a restaurarla.
- Deja por escrito quién puede acceder a las grabaciones y cuánto tiempo las conservas.
¿Necesitas más para tu evaluación?
Podemos compartir notas de arquitectura y responder cuestionarios de seguridad.
Contáctanos