Qué acceso pedimos a su Microsoft 365 y cómo nos protegemos
Un proveedor con acceso de lectura a su Microsoft 365 forma parte de su cadena de suministro, y por eso su cliente o su aseguradora le preguntan por él. Aquí contestamos por adelantado el cuestionario de proveedores, sin esperar a que nos lo manden.
Qué acceso pedimos y qué permite
- En la revisión
- Una cuenta de su propio entorno de Microsoft 365, creada por usted, con los roles de lector global y lector de seguridad, doble factor y caducidad a catorce días. La borra usted al terminar y lo confirma por escrito.
- Nivel
- Solo lectura, en todos los módulos. Con estos permisos la API rechaza cualquier intento de modificar una política, crear un usuario o desactivar un control. Los cambios los aplica el cliente.
- Concesión
- Consentimiento explícito desde su entorno, visible en Entra ID → Aplicaciones empresariales y revocable en cualquier momento sin preaviso.
- Alcance
- Por módulos, solo si existe la licencia y el caso de uso. La lista está en qué entregamos.
- Datos
- Columnas minimizadas, entrega cifrada, borrado a los noventa días de la entrega salvo servicio posterior y sin reutilización entre clientes. No los procesamos en redes compartidas de terceros ni fuera de nuestros equipos de trabajo.
- Continuidad
- Las cuentas de administración de su entorno son siempre suyas, y le entregamos la documentación completa con cada trabajo. Con ellas puede seguir con cualquier otro proveedor sin depender de nosotros.
Cómo protegemos nuestros sistemas
- Identidad
- Contraseñas únicas en gestor y segundo factor con aplicación autenticadora en todas las cuentas críticas, sin inicio de sesión cruzado entre proveedores.
- Contraseñas y claves
- Nunca dentro del código ni de sus ficheros. Las cargamos solo al ejecutar, y tratamos cualquier sospecha de filtración como una filtración.
- Código
- Cambios firmados y búsqueda automática de contraseñas olvidadas en el código (gitleaks), en cada cambio y otra vez antes de publicar.
- Despliegue
- Cero FTP y cero SFTP. Todo pasa por el repositorio: cada cambio es revisable y cada publicación, reversible.
- Equipos
- Disco cifrado, cortafuegos, instantáneas y actualizaciones automáticas. Sin conexión a redes compartidas de terceros.
- Este sitio
- Sin cookies propias, sin analítica y sin más script de terceros que el widget del
formulario. Política de contenidos sin
unsafe-inlineen scripts y con los atributosstyle=prohibidos. La función que procesa el formulario no registra datos personales en sus trazas.
Puede revisar las cabeceras de respuesta y las peticiones de esta página con las herramientas de desarrollo del navegador.
Lo que todavía no tenemos
- Sin certificación propia. Ni ISO 27001 ni ENS. Si su política de proveedores exige un sello, hoy no lo tenemos.
- Sin llaves físicas de segundo factor. Las cuentas críticas usan aplicación autenticadora.
- Herramienta de extracción en desarrollo. Mientras tanto, parte de la extracción es manual, y lo indicamos así en lo que entregamos.
Cómo avisarnos de un fallo de seguridad en este sitio
Escriba a [email protected] con los pasos para reproducirlo. Los datos de contacto en formato legible por máquina están en security.txt, según el RFC 9116. No hay recompensa económica ni programa formal.
Le pedimos que no degrade el servicio para otros visitantes, que no acceda a datos de terceros y que nos dé un plazo razonable antes de publicarlo. El alcance es kwadrant.es y sus subdominios; los entornos de clientes quedan fuera.