Política de Seguridad de Contraseñas

SamEcuador S.A.S. (en adelante, “SamEcuador”), como proveedor de soluciones tecnológicas empresariales, establece la presente política con el propósito de fortalecer la protección de las credenciales de acceso, reducir los riesgos de acceso no autorizado y promover buenas prácticas de seguridad en sus sistemas y servicios.

Esta política toma como referencia recomendaciones y buenas prácticas internacionales de seguridad, incluyendo las directrices del National Institute of Standards and Technology (NIST) y de la organización OWASP, adaptadas a las características operativas de las soluciones proporcionadas por SamEcuador.

1. Alcance

La presente política establece los criterios generales para la creación, utilización, protección y administración de las contraseñas empleadas para acceder a los sistemas y servicios de SamEcuador, incluyendo las soluciones de la familia Sam3, los portales web y los servicios asociados, según corresponda.

2. Requisitos de las contraseñas

Las contraseñas deberán cumplir las siguientes condiciones:

Longitud mínima de 8 caracteres y máxima de 64 caracteres.
Se permiten letras mayúsculas, minúsculas, números y los símbolos admitidos por el sistema.
No se exige una combinación específica de mayúsculas, minúsculas, números y símbolos.
Se permite un máximo de un espacio dentro de la contraseña.
No se permiten espacios al inicio, al final ni espacios consecutivos.
No se permiten contraseñas excesivamente simples, patrones triviales o secuencias repetitivas.
Se podrán rechazar contraseñas identificadas como comunes, previsibles o comprometidas.

3. Protección contra contraseñas débiles o comprometidas

SamEcuador podrá utilizar listas de contraseñas comunes, patrones previsibles y credenciales identificadas en filtraciones conocidas para impedir el establecimiento de contraseñas que representen un riesgo de seguridad.

Estas validaciones se aplicarán durante la creación o modificación de las contraseñas, conforme a las capacidades y controles implementados en cada sistema.

4. Control de intentos de autenticación

Para reducir el riesgo de accesos no autorizados, los sistemas que implementen estos controles limitarán los intentos fallidos de autenticación.

Después de cinco intentos fallidos, el acceso desde la estación involucrada será bloqueado temporalmente durante diez minutos.
Si, una vez transcurrido el período de bloqueo, se repiten los cinco intentos fallidos, la estación podrá quedar bloqueada hasta que un técnico autorizado realice el desbloqueo correspondiente.
Los bloqueos y desbloqueos estarán sujetos a los mecanismos de control y administración implementados en el sistema.

5. Almacenamiento y protección de las contraseñas

Las contraseñas deberán protegerse mediante mecanismos criptográficos especializados para su almacenamiento, utilizando funciones de derivación o hash apropiadas para credenciales y parámetros de seguridad adecuados.

Las contraseñas no deberán almacenarse en texto plano. Asimismo, deberán adoptarse medidas para evitar su exposición en registros de auditoría, mensajes de error u otros mecanismos de registro de información.

6. Caducidad y renovación de contraseñas

La caducidad periódica de las contraseñas no será obligatoria por defecto. Cada cliente podrá establecer esta opción mediante la configuración disponible en el sistema, de acuerdo con sus políticas internas y necesidades operativas.

Cuando existan indicios fundados o confirmación de que una contraseña ha sido comprometida, podrá requerirse su cambio o restablecimiento como medida de protección.

7. Responsabilidades del usuario

Los usuarios deberán observar las siguientes recomendaciones:

Utilizar contraseñas personales que sean difíciles de adivinar.
No compartir sus credenciales con otras personas.
Evitar reutilizar contraseñas empleadas en otros servicios.
No divulgar sus contraseñas por correo electrónico, mensajería u otros medios no autorizados.
Informar oportunamente al canal de soporte correspondiente cuando sospechen que sus credenciales han sido comprometidas.

8. Administración y desbloqueo de estaciones

Los bloqueos que requieran intervención técnica deberán ser atendidos por personal autorizado, conforme a los procedimientos establecidos por SamEcuador o por el administrador responsable del servicio.

Las acciones de desbloqueo deberán realizarse de forma controlada, procurando mantener la trazabilidad de las intervenciones cuando el sistema disponga de mecanismos de auditoría para este propósito.

9. Referencias de seguridad

Para la definición y evolución de sus políticas de protección de credenciales, SamEcuador toma como referencia las siguientes publicaciones técnicas:

Estas referencias constituyen una base técnica para la definición de las medidas de seguridad. Su mención no implica certificación ni acredita, por sí sola, el cumplimiento integral de dichos estándares.

10. Modificaciones

SamEcuador se reserva el derecho de actualizar esta política para incorporar mejoras de seguridad, cambios tecnológicos y nuevas recomendaciones aplicables. Las modificaciones serán publicadas en los canales oficiales correspondientes.