Declaración de Seguridad de la Información

La seguridad de la información en Yaripo se aborda desde una lógica de gestión de riesgos, protección de activos críticos, control de acceso, resiliencia operativa y mejora continua. Este enfoque busca reducir exposición a incidentes, reforzar la confianza de clientes y proteger información sensible en contextos de consultoría, productos digitales, formación y soluciones de inteligencia artificial.

La seguridad se integra desde el diseño cuando resulta razonable, considerando la naturaleza del servicio, el contexto del cliente, el tipo de datos involucrados y el nivel de criticidad operacional.

Esta declaración cubre, según corresponda, la operación y evolución de:

• servicios de consultoría en datos, analítica, IA, FinOps, gobierno y estrategia;
• plataformas, productos digitales o servicios SaaS actuales o futuros;
• entornos de formación, academy, contenidos digitales y laboratorios;
• infraestructura cloud, integraciones y componentes tecnológicos asociados;
• procesos internos de tratamiento de información comercial, técnica u operativa.

Yaripo puede tomar como referencia marcos reconocidos de seguridad y privacidad, especialmente aquellos útiles para entornos B2B y enterprise, incluyendo buenas prácticas asociadas a:

• ISO/IEC 27001 para sistemas de gestión de seguridad de la información;
• ISO/IEC 27002 para controles de seguridad;
• ISO/IEC 27701 para extensión de privacidad y gobierno de información personal;
• NIST Cybersecurity Framework como marco de organización de capacidades de identificación, protección, detección, respuesta y recuperación.

La arquitectura de seguridad de Yaripo se organiza sobre principios clásicos y extendidos de protección de la información:

• Confidencialidad: la información debe ser accesible únicamente por quienes tengan autorización legítima.
• Integridad: los datos y configuraciones deben mantenerse completos, exactos y protegidos frente a alteración no autorizada.
• Disponibilidad: los sistemas y datos relevantes deben permanecer utilizables y recuperables dentro de parámetros razonables.
• Trazabilidad: cuando aplique, la actividad relevante debe poder ser registrada, monitoreada o revisada.
• Mínimo privilegio: los accesos deben concederse conforme a necesidad real y alcance estrictamente requerido.

Según el tipo de servicio, entorno o despliegue, Yaripo puede aplicar controles como los siguientes:

• gestión de identidades y accesos bajo principios de rol y mínimo privilegio;
• autenticación multifactor donde resulte razonable o requerida;
• cifrado en tránsito y, cuando corresponda, cifrado en reposo;
• gestión de secretos, credenciales y llaves de acceso;
• logging, monitoreo técnico y revisión de eventos relevantes;
• segregación de ambientes de desarrollo, prueba y producción cuando aplique;
• hardening o refuerzo de configuraciones seguras en sistemas, servicios y componentes;
• gestión de parches, vulnerabilidades y actualizaciones;
• controles básicos de respaldo y restauración;
• medidas de contención y respuesta ante incidentes.

Yaripo puede tratar o interactuar con información que requiera protección reforzada, incluyendo datos personales, información comercial confidencial, documentación técnica, datasets empresariales, prompts, inputs, outputs y configuraciones asociadas a soluciones de IA o analítica avanzada.

La protección de esta información se aborda conforme a criticidad, finalidad, sensibilidad y exigencias contractuales o regulatorias aplicables.

Yaripo puede operar sobre infraestructura cloud, incluyendo arquitecturas monocloud o multicloud, según la naturaleza del servicio y las necesidades del cliente. Aunque determinados entornos puedan implementarse inicialmente sobre proveedores específicos, la postura de diseño se mantiene abierta y no exclusiva.

La estrategia considera configuraciones seguras, segmentación lógica, uso prudente de servicios administrados, revisión de permisos, protección de credenciales y adopción de buenas prácticas nativas del proveedor cuando resulte pertinente.

Yaripo puede mantener procesos para la identificación, análisis, contención, mitigación y aprendizaje frente a incidentes de seguridad de la información, en proporción a la naturaleza y criticidad del servicio o entorno afectado.

Cuando corresponda, la notificación a clientes, contrapartes o autoridades se realizará de manera prudente y conforme a obligaciones legales, regulatorias o contractuales aplicables, evitando sobrepromesas de plazos absolutos no pactados.

Yaripo puede apoyarse en terceros para infraestructura, analítica, comunicaciones, nube, automatización, observabilidad, colaboración o formación. En ese contexto, se busca una evaluación razonable del proveedor en función de criticidad, acceso, sensibilidad de la información tratada y riesgos asociados.

Cuando sea pertinente, Yaripo puede exigir o revisar compromisos de confidencialidad, seguridad, privacidad, segregación de acceso o tratamiento conforme a las necesidades del servicio.

La continuidad operacional se aborda mediante medidas proporcionadas al contexto del servicio, incluyendo respaldos, restauración, recuperación de configuraciones, redundancia razonable cuando proceda y revisión de puntos críticos de dependencia.

En servicios donde la continuidad o recuperación sea materialmente relevante para el cliente, los compromisos concretos deben definirse por acuerdo comercial o contractual.

Yaripo entiende que en entornos enterprise la seguridad es, en gran medida, una responsabilidad compartida entre proveedor, cliente, plataforma, nube y operación interna. Por ello, la seguridad efectiva depende también del alcance del servicio, configuración aprobada, flujos de integración, clasificación de información y disciplina operativa del cliente.

Yaripo proyecta una evolución progresiva de su postura de seguridad, incluyendo formalización documental, fortalecimiento de controles, madurez de gobierno y eventual preparación para procesos de certificación o auditoría cuando el negocio, la escala y la demanda comercial lo justifiquen.

En particular, estándares como ISO/IEC 27001 o ISO/IEC 27701 pueden constituir hitos futuros razonables de madurez, especialmente a medida que Yaripo expanda su operación enterprise, su volumen de clientes y su exposición a requerimientos de procurement y compliance.