Política de Seguridad de la Información
Titular: Otorongo Negro E.I.R.L. (KOM Agencia Digital)
RUC: 20604716595
Domicilio: Av. Horacio Urteaga 502, Jesús María, Lima 15072, Perú
Contacto legal: legal@kom.pe
Última actualización: 7 de abril de 2026
Versión: 1.0
Introducción y propósito
La seguridad de la información es un pilar fundamental de la operación de KOM Agencia Digital. Esta política establece los principios, medidas y compromisos que aplicamos para proteger la confidencialidad, integridad y disponibilidad de toda la información que gestionamos: la tuya como cliente, la de tus usuarios finales, la de nuestros colaboradores y la de nuestra propia empresa.
Esta política se alinea con las exigencias de la Ley N° 29733 de Protección de Datos Personales y su Reglamento aprobado por Decreto Supremo N° 016-2024-JUS, así como con los estándares internacionales ISO/IEC 27001:2022 que utilizamos como referencia técnica. Se complementa con nuestra Política de Privacidad y nuestra Declaración Pública de Confidencialidad y No Divulgación (NDA).
Alcance
Esta política es de cumplimiento estricto y obligatorio para:
- Todo el equipo interno de KOM Agencia Digital (directivos, empleados, practicantes)
- Colaboradores externos y freelancers que trabajan en proyectos de KOM
- Proveedores tecnológicos que procesan información de nuestros clientes en nombre nuestro
- Cualquier persona que acceda a los sistemas, datos o información de KOM bajo cualquier título
Principios fundamentales de seguridad
Nuestra gestión de seguridad se rige por los tres principios clásicos de la seguridad de la información, conocidos como la tríada CIA:
Confidencialidad: garantizamos que la información solo sea accesible para las personas autorizadas y que no se divulgue a terceros no autorizados. Aplicamos principios de mínimo privilegio y necesidad de conocer, de modo que cada colaborador accede únicamente a la información que estrictamente necesita para cumplir su función.
Integridad: protegemos la información contra modificaciones no autorizadas, alteraciones accidentales o corrupción, asegurando que los datos se mantengan exactos y completos durante todo su ciclo de vida. Todas las modificaciones críticas quedan registradas con trazabilidad para su auditoría posterior.
Disponibilidad: garantizamos que la información y los servicios estén accesibles cuando sean necesarios, a través de infraestructura redundante, backups automáticos, planes de continuidad operativa y monitoreo permanente de nuestros sistemas.
Control de accesos y gestión de credenciales
Autenticación de dos factores (2FA): todos los accesos a sistemas críticos de KOM Agencia Digital y a las plataformas de nuestros clientes están protegidos con autenticación de dos factores (2FA o MFA). Esto incluye accesos a WordPress administrativo, paneles de hosting, cuentas de Google Workspace, HubSpot, Cloudflare, repositorios de código y cualquier plataforma que maneje información sensible.
Gestión de contraseñas: utilizamos gestores de contraseñas profesionales para almacenar y compartir credenciales de forma segura dentro del equipo. Las contraseñas cumplen con requisitos mínimos de longitud, complejidad y rotación periódica. No compartimos contraseñas por canales no cifrados como correo electrónico sin protección o mensajería convencional.
Revocación de accesos: cuando un colaborador deja de trabajar con KOM Agencia Digital, revocamos inmediatamente todos sus accesos a sistemas internos, proyectos de clientes y plataformas de terceros. El mismo procedimiento se aplica cuando un cliente finaliza el contrato con nosotros: nos retiramos de sus sistemas y le confirmamos formalmente la entrega de accesos.
Seguridad operativa y en la nube
Cifrado de datos: toda la información transmitida a través de nuestros sitios web y los de nuestros clientes utiliza cifrado en tránsito mediante HTTPS/TLS con certificados SSL válidos. Los datos sensibles almacenados en nuestros sistemas están cifrados en reposo cuando el proveedor de infraestructura lo permite.
Protección perimetral: aplicamos firewalls de aplicación web (WAF) a través de Cloudflare, protección contra ataques de denegación de servicio (DDoS), bloqueo de países o regiones con alta actividad maliciosa cuando corresponda, y filtrado de bots maliciosos.
Actualizaciones y parches: mantenemos todos los componentes de software (WordPress, plugins, temas, versiones de PHP, librerías) actualizados con los últimos parches de seguridad disponibles. Las actualizaciones críticas se aplican dentro de las 72 horas siguientes a su publicación, previa validación en entornos de prueba cuando sea posible.
Continuidad del negocio y respaldo de información
Backups diarios automatizados: todos los sitios web alojados en nuestro servicio de hosting gestionado cuentan con copias de seguridad automáticas diarias. Las copias incluyen la base de datos completa, los archivos del sitio y la configuración del servidor.
Aislamiento de respaldos: los backups se almacenan en ubicaciones separadas del servidor de producción, siguiendo la regla 3-2-1 cuando la infraestructura lo permite: tres copias de los datos, en dos medios distintos, con una copia fuera del sitio principal. Esto nos protege frente a fallas de hardware, ataques de ransomware y errores humanos.
Pruebas de restauración: realizamos pruebas periódicas de restauración de backups para verificar que las copias son válidas y que el procedimiento de recuperación funciona correctamente.
Gestión y respuesta a incidentes de seguridad
Contamos con un protocolo formal de respuesta a incidentes de seguridad (Data Breach Response) que se activa cuando detectamos o recibimos aviso de un posible incidente que comprometa datos personales o información confidencial de nuestros clientes.
Contención: el primer paso ante cualquier incidente es contener el problema para evitar su propagación. Esto incluye aislar el sistema afectado, revocar accesos comprometidos, aplicar parches de emergencia y preservar evidencia para análisis posterior.
Notificación legal: en cumplimiento del artículo 34 del Decreto Supremo N° 016-2024-JUS, notificaremos cualquier incidente de seguridad que afecte datos personales a la Autoridad Nacional de Protección de Datos Personales (ANPDP) y a los titulares afectados dentro de las 48 horas siguientes a su confirmación. La notificación incluirá la naturaleza del incidente, los datos afectados, las medidas adoptadas y las recomendaciones para los titulares.
Análisis forense: tras contener el incidente, realizamos un análisis detallado para determinar su causa raíz, su alcance real, los vectores explotados y las acciones necesarias para evitar su repetición. Documentamos cada incidente en un registro interno para mejora continua.
Cumplimiento, capacitación y sanciones
Todo el equipo de KOM Agencia Digital recibe capacitación periódica en seguridad de la información, protección de datos personales, reconocimiento de ataques de ingeniería social (phishing, smishing, vishing), buenas prácticas de contraseñas y manejo seguro de información confidencial. Los nuevos colaboradores reciben esta capacitación durante su proceso de incorporación.
El incumplimiento de esta política por parte de cualquier colaborador puede derivar en medidas disciplinarias internas, resolución del contrato y, en casos graves, acciones legales conforme a la legislación peruana aplicable, incluyendo la Ley N° 30096 de Delitos Informáticos y la Ley N° 29733 de Protección de Datos Personales.
Reporte de incidentes por parte de clientes y terceros
Si detectas un posible incidente de seguridad en tu sitio web gestionado por KOM Agencia Digital, una vulnerabilidad en nuestros sistemas, o cualquier actividad sospechosa relacionada con nuestros servicios, te pedimos que nos lo reportes inmediatamente a legal@kom.pe o al WhatsApp de soporte prioritario. Agradecemos los reportes responsables de vulnerabilidades y nos comprometemos a investigarlos con celeridad y confidencialidad.
Modificaciones de esta política
KOM Agencia Digital se reserva el derecho de actualizar esta Política de Seguridad de la Información para reflejar cambios normativos, evolución de amenazas, mejoras en nuestras prácticas o actualización de estándares del sector. Las modificaciones entrarán en vigor desde su publicación en este mismo sitio web. El uso continuado de nuestros servicios tras la publicación implica aceptación de los cambios.
Contacto
Para consultas sobre esta política: legal@kom.pe | WhatsApp +51 923 222 223 | Teléfono +51 1 322 2789.
Jurisdicción
Esta política se rige por las leyes de la República del Perú. Cualquier controversia se someterá a los jueces y tribunales del distrito judicial de Lima.
