Actualizado: octubre 2026
Política de Seguridad y Cifrado
Este documento describe las medidas técnicas y organizativas de seguridad implementadas en el sistema Orbital Prime GovDocs para proteger la integridad, confidencialidad y disponibilidad de los datos de los ciudadanos y los expedientes administrativos.
Certificación de seguridad: El sistema opera sobre infraestructura AWS certificada ISO 27001, SOC 2 Type II y FedRAMP. Los datos de los ciudadanos colombianos están protegidos por múltiples capas de seguridad técnica y legal.
1. Arquitectura de Seguridad por Capas
🌐
Capa 1 — Tránsito
TLS 1.3 en todas las comunicaciones. HSTS con preload. Certificados Let's Encrypt con renovación automática.
💾
Capa 2 — Reposo
AES-256-GCM en RDS (PostgreSQL). SSE-KMS en S3. Volúmenes EBS cifrados con clave gestionada por el cliente.
✍️
Capa 3 — Firma Digital
ECDSA P-256 sobre AWS KMS asimétrico. Clave privada nunca sale del HSM de AWS. Verificable con clave pública exportable.
🔐
Capa 4 — Inmutabilidad
Object Lock COMPLIANCE 7 años en S3. Ningún actor (ColombiaTIC, AWS, entidad) puede eliminar o modificar documentos firmados.
🎭
Capa 5 — Privacidad IA
Tokenización de PII antes de procesamiento por IA. Los modelos Bedrock nunca reciben datos de identificación real del ciudadano.
📋
Capa 6 — Auditoría
Ledger inmutable con hashes SHA-256 en cada acción. Trazabilidad completa de quién hizo qué, cuándo y sobre qué documento.
2. Gestión de Claves Criptográficas (KMS)
| Clave | Algoritmo | Uso | Custodia |
|---|
| vault-encryption | AES-256 (SYMMETRIC_DEFAULT) | Cifrado en reposo de documentos en S3 | AWS KMS (us-east-1) — never exported |
| vault-signing | ECDSA P-256 (ECC_NIST_P256) | Firma digital de expedientes | AWS KMS HSM — clave privada no exportable |
| EBS encryption | AES-256 | Cifrado del disco de la VM | AWS KMS (cuenta del cliente) |
Las claves KMS son multi-región (Multi-Region Keys) y pueden replicarse para continuidad de negocio sin exponer el material de clave. La clave pública ECDSA es exportable para verificación independiente por terceros (entes de control, auditores).
3. Cifrado de Datos en Tránsito
- HTTP → HTTPS redirect: Todas las conexiones HTTP son redirigidas automáticamente a HTTPS (301)
- HSTS:
Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
- TLS 1.3: Protocolo mínimo exigido. TLS 1.0 y 1.1 deshabilitados
- Cipher suites: Solo AEAD (Authenticated Encryption with Associated Data)
- Certificados: Let's Encrypt (pqrs y atelier) + ACM wildcard para subdominios
- WebSocket (SSE): wss:// para el canal de eventos en tiempo real
- Redis/Valkey:
rediss:// (TLS) con auth token para ElastiCache
- RDS:
sslmode=require en todas las conexiones a PostgreSQL
4. Seguridad de la Infraestructura
4.1 Aislamiento de red
- VPC dedicada con subnets públicas (solo EC2/nginx) y privadas (RDS, ElastiCache)
- Security Groups: RDS accesible solo desde el Security Group de la VM (5432)
- ElastiCache accesible solo desde el Security Group de la VM (6379)
- No hay exposición directa de bases de datos a Internet
4.2 Gestión de acceso
- IAM Role
GovDocsBedrockRole con principio de menor privilegio
- Sin credenciales AWS en el código — solo IAM Instance Profile
- Secretos en AWS Secrets Manager (rotación recomendada cada 90 días)
- SSH restringido a rangos IP de EC2 Instance Connect (efímero, 60 segundos)
4.3 Protección contra ataques
- Rate limiting: 5 intentos de login / 15 min / IP (Redis)
- Headers de seguridad:
X-Frame-Options: SAMEORIGIN, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin
- Bloqueo de bots de scraping en robots.txt (GPTBot, CCBot, Anthropic, Perplexity)
- No se almacenan contraseñas en texto plano — bcrypt + SHA-256
5. Trazabilidad e Inmutabilidad del Ledger
Cada acción sobre un expediente genera una entrada en el ledger de auditoría con:
- Timestamp ISO 8601 (UTC)
- Identificador del actor (funcionario o sistema)
- Tipo de acción (creación, modificación, aprobación, firma, consulta)
- Hash SHA-256 del contenido antes y después de la acción
- Firma ECDSA P-256 que vincula la acción con el actor
- Dirección IP del solicitante (para acciones de funcionario)
El ledger es append-only — no permite modificaciones retroactivas. Si un funcionario intenta alterar un expediente ya firmado, el sistema registra el intento y lo rechaza. Esta característica protege a la entidad contratante de falsificaciones y a ColombiaTIC de imputaciones falsas.
6. Continuidad del Servicio y Recuperación
| Componente | RPO (pérdida máx. de datos) | RTO (tiempo recuperación) |
|---|
| Documentos S3 (firmados) | 0 — Object Lock, sin pérdida posible | Inmediato (multi-AZ replicado) |
| Base de datos RDS | 5 minutos (backup automático) | 30-60 min (restauración snapshot) |
| Sesiones Redis | 3 días (TTL — pérdida aceptable) | 15-30 min (nuevo cluster) |
| VM principal | 0 (datos en S3+RDS, no en VM) | 2-4 horas (AMI + EIP) |
7. Gestión de Vulnerabilidades
- Actualizaciones de seguridad del SO: automáticas para parches críticos
- Dependencias Python/Node: revisadas mensualmente con
pip audit / npm audit
- Divulgación responsable: vulnerabilidades pueden reportarse a enterprise@colombiatic.com.co
- SLA de respuesta a vulnerabilidades críticas: 24 horas para mitigación inicial
8. Cumplimiento de Estándares
AWS ISO 27001
AWS SOC 2 Type II
OWASP Top 10
Ley 1581/2012
Decreto 1377/2013
Ley 527/1999
NIST CSF
ISO/IEC 27701
Updated: October 2026
Security and Encryption Policy
Security certification: The system operates on AWS infrastructure certified ISO 27001, SOC 2 Type II, and FedRAMP. Colombian citizens' data is protected by multiple layers of technical and legal security.
1. Layered Security Architecture
Layer 1 — Transit: TLS 1.3 on all communications, HSTS preload, automatic Let's Encrypt certificate renewal.
Layer 2 — At Rest: AES-256-GCM on RDS (PostgreSQL), SSE-KMS on S3, customer-managed key EBS volumes.
Layer 3 — Digital Signatures: ECDSA P-256 via AWS asymmetric KMS. Private key never leaves AWS HSM. Public key exportable for independent verification.
Layer 4 — Immutability: S3 Object Lock COMPLIANCE 7 years. No actor (ColombiaTIC, AWS, entity) can delete or modify signed documents.
Layer 5 — AI Privacy: PII tokenization before AI processing. Bedrock models never receive real citizen identification data.
Layer 6 — Audit: Immutable ledger with SHA-256 hashes on every action. Complete traceability of who did what, when, and on which document.
2. Cryptographic Key Management
vault-encryption (AES-256 SYMMETRIC_DEFAULT): document encryption at rest in S3. vault-signing (ECDSA P-256 ECC_NIST_P256): case file digital signatures via AWS KMS HSM — private key never exported. Both keys are Multi-Region Keys for business continuity.
3. Transit Encryption
HTTP → HTTPS redirect (301), HSTS max-age=63072000 with preload, TLS 1.3 minimum (TLS 1.0/1.1 disabled), AEAD cipher suites only, wss:// for real-time SSE channel, rediss:// (TLS) for ElastiCache, sslmode=require for all PostgreSQL connections.
4. Infrastructure Security
Dedicated VPC with public subnets (EC2/nginx only) and private subnets (RDS, ElastiCache). Security Groups: RDS accessible only from VM Security Group. No direct internet exposure of databases. IAM Role with least privilege, no AWS credentials in code. Secrets in AWS Secrets Manager. SSH restricted to EC2 Instance Connect IP ranges (ephemeral, 60-second keys).
5. Audit Ledger Immutability
Every action on a case file generates an append-only ledger entry with: ISO 8601 timestamp, actor identifier, action type, SHA-256 hash of content before and after, ECDSA P-256 signature binding the action to the actor, and requester IP address. Retroactive modifications are technically impossible — the system rejects attempts and records them.
6. Compliance Standards
AWS ISO 27001, AWS SOC 2 Type II, OWASP Top 10, Colombian Law 1581/2012, Decree 1377/2013, Law 527/1999, NIST CSF, ISO/IEC 27701.