Experiencia en cumplimiento para empresas reguladas

Experiencia en cumplimiento

El servicio principal de Opsio es ayudar a empresas reguladas a alcanzar y mantener su postura de cumplimiento. Para cada marco normativo debajo mostramos lo que Opsio mantiene internamente y lo que entregamos a clientes. Documentación disponible bajo NDA para revisión de compras.

• ISO 27001:2022

  Opsio: alcance India · Programas de cliente

  Opsio: certificados ISO 27001 en nuestro centro de entrega de Bangalore (el alcance cubre personal de operaciones y actividades de desarrollo allí). Para clientes: dirigimos programas completos de implementación de ISO 27001 — análisis de brechas, diseño del SGSI, redacción de políticas, auditoría interna y acompañamiento en las auditorías Etapa 1/Etapa 2. Varios clientes han obtenido la certificación con este enfoque.

• SOC 2 Type II

  Programas de readiness para clientes

  Opsio: actualmente no atestado SOC 2 como firma. Para clientes: ejecutamos programas de readiness SOC 2 — mapeo de controles, automatización de evidencias, configuración de monitorización y coordinación con auditor durante el periodo de observación. Nuestros arquitectos conocen los criterios de Security, Availability, Confidentiality y Processing Integrity.

• RGPD (UE 2016/679)

  Encargado según Art. 28

  Opsio: encargado del tratamiento según Art. 28 RGPD para los datos personales del cliente que manejamos durante operaciones gestionadas. Cláusulas Contractuales Tipo establecidas para cualquier transferencia a nuestro equipo en India. Para clientes: soporte en EIPD, redacción de acuerdos responsable–encargado e implementación técnica de herramientas para derechos de los interesados.

• Directiva NIS2

  Programas de cumplimiento de cliente

  Opsio: prácticas operativas alineadas con las expectativas NIS2 para entidades esenciales e importantes. Para clientes: programas completos de cumplimiento NIS2 — evaluación de aplicabilidad, análisis de riesgos, mapeo de controles del artículo 21, integración de notificación de incidentes al INCIBE-CERT y gestión de riesgo de terceros.

• HIPAA (clientes EE. UU.)

  BAA disponible · Arquitecturas de cliente

  Opsio: Business Associate Agreement disponible para clientes sanitarios estadounidenses. Para clientes: arquitectura lista para HIPAA en AWS, Azure o GCP con controles de auditoría, cifrado y gestión de cadena BAA. Entregado a varias cargas de trabajo sanitarias de tamaño medio en EE. UU.

• DORA (UE 2022/2554)

  Programas de cumplimiento de cliente

  Para clientes de servicios financieros: programa de gestión de riesgo TIC según DORA, registro de riesgo de terceros, clasificación de incidentes, programa de pruebas (TLPT) y plantillas de reporte al consejo. Los arquitectos de Opsio han entregado esto para bancos y aseguradoras en España, Suecia y los países nórdicos.

• DPDPA (India)

  Operaciones India · Programas de cliente

  Opsio: las operaciones del centro de entrega de Bangalore están alineadas con la Digital Personal Data Protection Act de India. Para clientes: evaluaciones de readiness DPDPA, arquitectura de consentimiento, controles de retención y pipelines de notificación de incidentes a CERT-In.

Subencargados

Opsio contrata los siguientes subencargados para prestar los servicios. La lista autoritativa actual se mantiene internamente y se proporciona como anexo al DPA bajo solicitud. La selección de región hiperscaler es configurable por contrato de cliente.

Los clientes pueden oponerse a nuevos subencargados dentro del periodo de aviso de 30 días. Los subencargados específicos de proyecto (agentes de monitorización, plataformas SIEM, etc.) se declaran en el Statement of Work.

Residencia de datos

Los datos de producción del cliente se procesan en la región cloud que usted elija. Para clientes europeos utilizamos por defecto regiones UE/EEE (AWS eu-north-1 Estocolmo, Azure Sweden Central, GCP europe-north1 Finlandia), salvo que se acuerde otra cosa por contrato.

El personal de Opsio accede a los entornos del cliente mediante cuentas nominadas con MFA y elevación just-in-time. Las operaciones de soporte se llevan a cabo desde Suecia (principal) e India (centro de entrega). El acceso del personal fuera del EEE se regula mediante Cláusulas Contractuales Tipo cuando aplica.

Las copias de seguridad y los registros heredan por defecto la región seleccionada por el cliente. La replicación cross-region para disaster recovery es configurable por el cliente.

Divulgación responsable

Los investigadores de seguridad que identifiquen una vulnerabilidad en sistemas operados por Opsio pueden reportarla por correo electrónico cifrado. Nos comprometemos a acusar recibo en un día laborable y a proporcionar un plazo de remediación en cinco días laborables. No emprendemos acciones legales contra investigaciones de buena fe que sigan estas pautas.

Reportar a: security@opsio.se