El que hauràs d’ensenyar a la teva àrea de sistemes

Els controls anteriors els declara el fabricant. El que els converteix en una cosa defensable davant d’un comitè és que els verifiqui algú que no sigui el fabricant.

• Pentesting de caixa grisa sobre portal, API i infraestructura, fet per un auditor extern independent.
• Verificació tecniconormativa dels controls davant de les bones pràctiques OWASP API i dels controls de l’ENS i la ISO 27001, amb evidències documentades.
• Proves de càrrega i concurrència amb límits operatius declarats i comportament de degradació conegut.
• Tancament de troballes verificat: el criteri d’acceptació és zero troballes crítiques obertes.

Certificacions i conformitat

• ISO/IEC 27001 — sistema de gestió de seguretat de la informació
• ISO 9001 — sistema de gestió de la qualitat
• UNE 166002 — sistema de gestió de la R+D+i
• Conformitat amb l’Esquema Nacional de Seguretat (ENS), amb les guies CCN-STIC com a referència tècnica

NIS2 i CER

La Directiva (UE) 2022/2555 (NIS2) i la Directiva (UE) 2022/2557 (CER) eleven les exigències de ciberseguretat i de resiliència física per a les entitats essencials, i el transport és expressament dins del seu àmbit. Per a un operador afectat, això es tradueix en obligacions concretes de gestió de riscos, notificació d’incidents i supervisió de la cadena de subministrament.

Metrosafe està construït per encaixar en aquest marc sense friccions: registre auditable d’accessos i accions, evidència reproduïble del que ha passat durant un incident, controls tècnics documentats i un proveïdor que pot aportar les seves pròpies evidències quan l’operador hagi de respondre de la seva cadena de subministrament.

Localitzar una persona és tractar una dada personal, i en un context laboral això té regles pròpies. És també, a la pràctica, l’objecció que més desplegaments d’aquest tipus bloqueja a Espanya. Mereix una resposta directa i no una nota a peu de pàgina.

• Base legal i finalitat acotada: la finalitat és la seguretat operativa i la coordinació d’emergències, no el control del rendiment. Els dos usos no es barregen.
• Informació prèvia a la persona treballadora i a la seva representació legal, d’acord amb l’article 90 de la LOPDGDD, que exigeix informar de manera expressa, clara i inequívoca sobre l’ús de sistemes de geolocalització.
• Minimització: el sistema publica zona i recinte, que és el que l’operació necessita. La resolució fina existeix per a l’ajust al plànol, no per vigilar ningú.
• Limitació temporal: la localització es recull durant el torn i amb la cadència configurada, no de manera permanent.
• Retenció acotada i configurable, amb esborrament automàtic quan venç el termini definit per l’operador.
• Anonimització disponible per als usos analítics i de planificació, que no necessiten saber de qui era cada trajectòria.
• Registre d’accessos: cada consulta a l’històric queda traçada, de manera que es pot acreditar qui va mirar què i quan.

Un desplegament ben plantejat s’explica abans al comitè d’empresa que al centre de control. És la part del projecte que més se subestima i la que més vegades decideix si tira endavant.

Disponibilitat compromesa

SLA ≥ 99,95 %

Suport

24 × 7 × 365

Observabilitat

mètriques, logs i traces amb panell d’SLO consultable pel client

Còpies i recuperació

còpies periòdiques amb procediment de restauració provat

Escala verificada

≥ 70 terminals concurrents en ús nominal

El panell d’SLO el consulta el client. Un nivell de servei que només pot verificar el proveïdor no és un compromís, és una declaració d’intencions.