Versión 1.0 – Marzo 2025
OBJETIVO
Establecer los lineamientos técnicos, organizativos y legales que garanticen la confidencialidad, integridad, disponibilidad y trazabilidad de los datos personales y fiscales contenidos en los comprobantes fiscales electrónicos (e-CF) que procesa la empresa como Proveedor de Servicios de Facturación Electrónica certificado por la DGII.
ALCANCE
Aplica a todos los colaboradores, proveedores, sistemas, procesos y datos que intervienen en la emisión, recepción, almacenamiento, transmisión y respaldo de e-CF de los clientes de la empresa, incluidas las operaciones en la nube y los entornos de desarrollo y pruebas.
BASE NORMATIVA
• Ley 126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales.
• Ley 172-13 sobre ciberseguridad.
• Norma General DGII 01-2020 y sus actualizaciones sobre e-CF.
• Resolución INDOTEL 035-2020 sobre certificados digitales.
• ISO 27001:2022, ISO 22301:2019 y PCIDSS v4.0 (para datos de pago).
• Principios constitucionales de intimidad y protección de datos (art. 44 CN).
CONCEPTOS
• Datos Fiscales: toda información referida en los documentos fiscales: RNC, Número de comprobante, teléfonos, direcciones, y cualquier otro dato del emisor o receptor.
• Certificado Digital: emitido por una Prestadora de Servicios de Confianza (PSC) autorizada por INDOTEL.
RESPONSABILIDADES
• DIRECCIÓN TÉCNICA DE EFRENIS SOFTWARE: Garantiza el funcionamiento, integridad, seguridad lógica y de infraestructura.
• SOPORTE TÉCNICO: Garantiza los respaldos y las acciones que garanticen la continuidad del negocio de los sistemas.
• SOPORTE TERASHOP: Garantizar el correcto funcionamiento de la comunicación e integridad de los centros de datos y respaldos.
• TODO EL STAFF: Mantener la confidencialidad de los datos fiscales y resguardo y protección del acceso y uso de los certificados digitales.
MEDIDAS DE PROTECCIÓN
Seguridad lógica
• Cifrado AES-256 en tránsito (TLS 1.3) y en reposo.
• Firma digital con certificados de 2048 bits mínimo.
• Autenticación multifactor para todos los usuarios administrativos.
• Monitoreo 24×7 con SIEM; retención de logs por 2 años.
Seguridad Física
• Doble almacenamiento protegido por políticas de acceso.
• Almacenamiento en host con autenticación de nivel administrativo.
REQUISITOS PRINCIPALES
Prevención y Preparación
• Inventario actualizado de usuarios y accesos.
• Código seguro: OWASP Top 10, análisis estático y pruebas de penetración semestrales.
ACTIVACIÓN
1. Cumplimientos y métricas:
a. Auditoría interna anual; hallazgos críticos deben cerrarse en menos de 30 días.
b. Pruebas de seguridad y hacking ético.
2. Revisión:
a. De forma anual en casos de operación normal, y de forma inmediata luego de incidentes severos.
3. Aprobación
a. Dirección técnica y de Administración de EFRENIS SOFTWARE.
