Seguridad y Reporte Responsable de Vulnerabilidades (B2B)

1. Visión general

Esta página describe el enfoque de seguridad de MarkenGroup y cómo reportar vulnerabilidades de forma responsable. Está pensada para clientes empresariales (B2B) y para investigadores de seguridad actuando de buena fe.

La seguridad es un proceso continuo. Aplicamos medidas razonables técnicas y organizacionales para reducir riesgos, sin prometer seguridad absoluta.

2. Alcance (assets incluidos y excluidos)

2.1 Incluido en el alcance

• marken-group.com (incluye studio.marken-group.com)
• markengroup.eu
• markengroup.co
• markengroup.us
• markengroup.cloud
• MarkenGroup Cloud Service TrackMailer (trackmailer.io)
• MarkenGroup Cloud Service TrackAnyClick (trackany.click)
• MarkenGroup AI Studio (studio.marken-group.com)

2.2 Fuera de alcance (out of scope)

• Plataformas de terceros y sus servicios (p. ej., Google, Meta, LinkedIn, Cloudflare, Firebase/Google Cloud, AWS) fuera de nuestra configuración directa.
• Cuentas y contenido en redes sociales (Facebook, X/Twitter, Instagram, LinkedIn).
• Ataques de ingeniería social, amenazas físicas, acceso a dispositivos de empleados/contratistas o pruebas en infraestructura del Cliente.
• Interrupciones intencionales de servicio (DDoS) o pruebas que degraden la disponibilidad.

Actualmente no ofrecemos APIs públicas. El alcance se limita a nuestros sitios, aplicaciones y configuraciones bajo control de MarkenGroup.

3. Medidas de seguridad (técnicas y organizacionales)

3.1 Seguridad de transporte y web

• Uso de HTTPS/TLS para sitios y tráfico relevante.
• Aplicación de cabeceras de seguridad (security headers) según corresponda.

3.2 Perímetro y protección de infraestructura (Cloudflare)

• Protección contra DDoS.
• Rate limiting y control de bots.
• Reglas de firewall y reglas geográficas (GEO rules) según riesgo.

3.3 Acceso y control interno

• MFA obligatorio para accesos internos/administrativos relevantes.
• Gestión de roles y permisos (RBAC) y separación de funciones.
• Registro (logging) de accesos administrativos cuando aplica.

3.4 Datos, aislamiento y copias de seguridad

• Cifrado en tránsito (TLS).
• Cifrado en reposo provisto por los proveedores cloud donde aplica.
• Aislamiento de tenants (tenant isolation) para soluciones SaaS.
• Backups con frecuencia aproximada de cada 12 horas.

Actualmente no realizamos pruebas periódicas de restauración (restore tests) de forma programada.

3.5 Desarrollo seguro y operación

• Revisiones de código (code reviews) como parte del ciclo de entrega.
• Proceso de actualización de dependencias (dependency process) y parches según prioridad.
• Gestión de secretos (secrets management) para reducir exposición de credenciales.
• Monitoreo y alertas (monitoring/alerting) según criticidad.
• Proceso de respuesta a incidentes (incident response) para gestionar eventos de seguridad.

Postmortems formales internos no se realizan de manera sistemática; en incidentes relevantes se documentan aprendizajes y acciones de mejora.

4. Reporte responsable de vulnerabilidades (Responsible Disclosure)

Si encuentras una vulnerabilidad, por favor repórtala a: [email protected]. Agradecemos reportes claros y verificables.

4.1 Información recomendada en el reporte

• URL o sistema afectado (dominio/subdominio).
• Descripción del problema y el impacto.
• Pasos para reproducir (repro steps) y, si es posible, un PoC seguro.
• Evidencias (capturas, logs no sensibles) y timestamp.
• Tu información de contacto para seguimiento.

4.2 Tiempos de respuesta (objetivos)

• Confirmación de recepción: dentro de 24 horas hábiles.
• Primera evaluación/triage: dentro de 3 días hábiles.
• Mitigación o corrección: según prioridad, típicamente entre 3 y 14 días.

4.3 Safe Harbor (buena fe) y restricciones

No iniciaremos acciones legales contra investigadores que actúen de buena fe, minimicen el impacto, y reporten de forma responsable.

• Prohibido: extorsión, amenazas o demandas de pago/recompensa.
• Prohibido: exfiltración masiva de datos, acceso a información no necesaria o persistencia en sistemas.
• Prohibido: DDoS o pruebas que afecten disponibilidad.
• Prohibido: ingeniería social o ataques a empleados/contratistas.

5. Recomendaciones y responsabilidades del Cliente (Shared Responsibility)

La seguridad es compartida. Para reducir riesgos, recomendamos a nuestros clientes:

• Usar contraseñas robustas y MFA cuando esté disponible.
• Limitar accesos a personal autorizado y revisar permisos periódicamente.
• Proteger y rotar credenciales/API keys si aplica, especialmente ante sospecha de compromiso.
• Mantener un contacto técnico responsable para coordinación ante incidentes.

6. Ley aplicable y jurisdicción

Esta página se rige por las leyes de la República de Colombia. Cualquier controversia relacionada se someterá a la jurisdicción de Medellín, Antioquia, salvo acuerdo expreso diferente.

7. Cambios a esta página

Podemos actualizar este contenido por cambios tecnológicos, operativos o legales. La versión vigente se indica en el encabezado.