Lyrax · Seguridad por diseño

Seguridad y privacidad de datos

Cómo Lyrax protege la privacidad e integridad de los datos de cada cliente, con dos modelos de tenancy según sus requisitos de seguridad, cumplimiento y presupuesto.

Tránsito TLS 1.3

Reposo AES-256

Tenant compartido row-level

Tenant dedicado DB separada

Recuperación RTO < 4 h · RPO < 1 h

Documento v1.0Arquitectura · Datos · Privacidad · Cloud · Cumplimiento

Arquitectura de tenants

Dos modelos de tenancy

Tenant compartido · multi-tenant

Varias organizaciones comparten servidores y base de datos, con aislamiento lógico estricto entre los datos de cada cliente.

Aislamiento lógico por identificador de tenant
Infraestructura compartida con costos optimizados
SaaS completo: Lyrax gestiona actualizaciones y mantenimiento
Escalabilidad automática con capacidad elástica
Más económico, ideal para pymes

Startups y pymesSin regulación estrictaTime-to-market

Tenant dedicado · single-tenant

Cada organización tiene su propia instancia de base de datos, con separación física de sus datos.

Aislamiento físico: base de datos dedicada
Capa de aplicación compartida, datos aislados
Configuración personalizada de la base de datos
Mayor control sobre respaldo y recuperación
Cumplimiento avanzado: GDPR, HIPAA, PCI-DSS

Grandes empresasSalud, finanzas, gobiernoResidencia de datosSLA premium

Arquitectura de tenants

Misma aplicación, distinto aislamiento de datos

Compartido

Cliente ACliente BCliente C

↓

Lyrax · capa de aplicación

↓

Base de datos compartida

Datos tenant ADatos tenant BDatos tenant C

Aislamiento lógico: límites a nivel de fila y de aplicación.

Dedicado

Cliente premium

↓

Lyrax · capa de aplicación

↓

Base de datos dedicada

Datos exclusivos

Aislamiento físico: instancia, credenciales y respaldos propios.

Modelos de despliegue

Arquitectura general

Usuario final

Navegador webApp móvilCliente API

↓

Entrada

Web Application FirewallLoad balancerCDN · assets

↓

Aplicación

API gatewayServicio de autenticaciónServidores de aplicación

↓

Datos

DB compartidaRedis compartidoDB dedicada · cliente ADB dedicada · cliente BCaché dedicada

↓

Almacenamiento

Object storageBackups encriptados de todas las bases

Modelos de despliegue

Infraestructura cloud-agnostic

Configuración actual

Proveedor principal: Digital Ocean. Región configurable según el cliente.

Droplets para cómputo
Managed Databases
Spaces para object storage
Load balancers
VPC para aislamiento de red

Proveedores soportados

Digital OceanAWSMicrosoft AzureGoogle CloudOn-premises

Digital Ocean es el despliegue en uso hoy.

Ventajas

Flexibilidad para migrar entre proveedores
Soberanía de datos por región
Negociación de costos entre proveedores
Resiliencia con despliegue multi-cloud
Sin vendor lock-in

Seguridad de datos

Encriptación de extremo a extremo

En tránsito

TLS 1.3

Toda comunicación cliente–servidor
Certificados validados con renovación automática
HSTS habilitado
Perfect Forward Secrecy

En reposo

AES-256

Bases de datos
Respaldos encriptados antes de almacenarse
Encriptación server-side en object storage
Logs con información sensible

Gestión de claves

KMS

KMS del proveedor cloud o solución dedicada
Rotación automática de claves
Claves separadas para tenants dedicados

Seguridad de datos

Control de acceso

Autenticación

MFA / 2FA, obligatorio para administradores
Single sign-on con SAML, OAuth 2.0 y OpenID Connect
Sesiones con expiración automática y tokens seguros
Políticas de contraseña: longitud, complejidad e historial

Autorización

RBAC: permisos granulares por rol
Mínimo privilegio: solo los permisos necesarios
Segregación de funciones en responsabilidades críticas
Auditoría de permisos con revisión periódica

Seguridad de datos

Red segmentada en zonas

Internet→WAF→Protección DDoS→Load balancer

↓

DMZ públicaServidores web

→

VPC privadaServidores de aplicaciónCaché

→

Datos · VPC aisladaDB compartidasDB dedicadas

GestiónAcceso admin→Bastion host→App y bases de datos

MonitoreoMonitoreo y logging de web, aplicación y bases de datos

Medidas

VPC: aislamiento a nivel de infraestructura
Firewalls con reglas estrictas en varias capas
Segmentación DMZ, aplicación y datos
IDS para detectar actividad maliciosa
IP whitelisting para acceso administrativo
Redes privadas entre servicios

Seguridad de datos

Protección contra amenazas y recuperación

Protección contra amenazas

WAF contra OWASP Top 10
Mitigación DDoS
Rate limiting contra abuso de la API
Validación y sanitización de entradas
SQL injection: queries parametrizadas y ORM
XSS: sanitización de salidas y headers CSP
CSRF: tokens en toda operación de estado

< 4 hRTO · tiempo de recuperación

< 1 hRPO · pérdida máxima de datos

Backups automáticos diarios de todas las bases
Retención configurable según tipo de tenant
Point-in-time recovery
Geo-redundancia en varias regiones
Plan de recuperación ante desastres documentado

Privacidad y aislamiento

Cómo se aísla cada tenant

Tenants compartidos

Tenant ID en cada registro de todas las tablas
Filtro automático en cada consulta SQL
Validación en la capa de aplicación
Connection pooling por tenant cuando aplica
Row-Level Security en la base de datos

ALTER TABLE users ENABLE ROW LEVEL SECURITY;

CREATE POLICY tenant_isolation ON users
  USING (tenant_id =
    current_setting('app.current_tenant')::UUID);

Tenants dedicados

Base de datos separada físicamente por tenant
Credenciales únicas de base de datos
Recursos dedicados: CPU, memoria y almacenamiento
Backups separados con claves de encriptación únicas
VPC o subnet dedicada opcional, para aislamiento extremo

Privacidad y aislamiento

Privacidad de datos

Principios

Minimización: solo los datos necesarios
Limitación de propósito
Retención según políticas definidas
Exactitud de datos actualizados
Confidencialidad: solo personal autorizado

Derechos de usuarios (GDPR)

Acceso: exportación legible
Rectificación de datos inexactos
Olvido: eliminación permanente
Portabilidad en JSON y CSV
Oposición: opt-out de procesamientos

Anonimización

Tokenización de datos personales cuando es posible
Enmascaramiento en logs y reportes
Analítica anonimizada por agregación

Privacidad y aislamiento

Los datos de producción nunca salen de producción

DesarrolloDev · base de datos dev

datos sintéticos→

StagingStaging · base de datos staging

testing→

ProducciónProd · base de datos prod

Prod DB ✕ Dev DB · Prod DB ✕ Staging DB

Sin copias

Nunca se copian datos reales a desarrollo ni staging.

Datos sintéticos

Las pruebas usan datos generados.

Acceso restringido

Solo personal autorizado entra a producción.

Auditoría

Todo acceso a producción queda registrado.

Infraestructura cloud

Portabilidad multi-cloud

Código de aplicaciónInfrastructure as CodeGestión de configuración

↓

CómputoStorageBase de datosRed

Capa de abstracción

↓

Digital Ocean
Droplets, Spaces, Managed DB AWS
EC2, S3, RDS Azure
VMs, Blob, SQL GCP
Compute Engine, Cloud Storage, Cloud SQL

Proceso de migración

Evaluación de requisitos y costos
Provisioning en el destino
Migración de datos encriptada
Testing en el nuevo entorno
Cutover de DNS y tráfico
Validación y monitoreo posterior
Decommission seguro de lo antiguo

Downtime < 2 hCero pérdida de datosValidación de integridadPlan de rollback

Infraestructura cloud

El cliente elige dónde viven sus datos

Europa

Frankfurt · Amsterdam · Londres

América

Nueva York · Toronto · San Francisco

Asia

Singapur · Bangalore

Oceanía

Sídney

GDPR

Almacenamiento en la UE para clientes europeos.

Residencia de datos

Cumplimiento de leyes locales de residencia.

Transferencias

Mecanismos legales apropiados para transferencias transfronterizas.

Cumplimiento y gobernanza

Cumplimiento y auditoría

Frameworks

GDPR · Unión Europea
CCPA · California
SOC 2 Type IIen proceso
ISO 27001 · gestión de seguridad
HIPAA · salud, con tenant dedicado
PCI-DSS · pagos, alcance limitado

Eventos auditables→Recolector→Procesador→Log storage→SIEM→Alertas · dashboard

Eventos: login/logout, cambios de datos, de configuración y de permisos, acceso a datos sensibles y operaciones administrativas.

Audit trails inmutables
Retención de 7 años
Timestamps NTP

Atribución a usuario en cada evento
IP de origen registrada
Historial completo de registros críticos

Cumplimiento y gobernanza

Monitoreo, políticas y evaluaciones

Monitoreo

SIEM centralizado
Detección de intrusiones automática
Detección de anomalías con machine learning
Alertas en tiempo real
Dashboards de seguridad

Políticas

Política de seguridad revisada anualmente
Plan de respuesta a incidentes
Notificación de brechas en < 72 h
Gestión de vulnerabilidades
Gestión de parches
Capacitación anual del personal

Evaluaciones

Penetration testing anual por terceros
Escaneo de vulnerabilidades semanal
Análisis estático en cada deployment
Auditorías independientes
Bug bountyplanificado

Controles por tipo de tenant

Matriz de seguridad

Control	Compartido	Dedicado
Encriptación en tránsito	TLS 1.3	TLS 1.3
Encriptación en reposo	AES-256	AES-256
Aislamiento de datos	Lógico (row-level)	Físico (DB separada)
Backups encriptados	Compartidos	Dedicados
Calendario de backup propio	No	Sí
Recursos dedicados	No	Sí (DB)
SLA	Estándar	Premium
SOC 2	Sí	Sí
HIPAA	No	Sí, bajo solicitud
Elección de residencia de datos	Limitada	Completa
Reglas de seguridad propias	Limitadas	Extensas
Soporte dedicado	No	Sí
Retención de logs de auditoría	1 año	7 años
Penetration testing	Anual	Anual + on-demand

Responsabilidad compartida

Quién se encarga de qué

Lyrax

Infraestructura física
Seguridad de red
Seguridad de plataforma
Encriptación de datos
Backups y recuperación
Monitoreo de seguridad
Marco de cumplimiento

Compartida

Gestión de usuarios
Configuración de permisos
Políticas de acceso

Cliente

Contraseñas de usuarios
Gestión de dispositivos
Formación de usuarios
Datos introducidos
Clasificación de datos

Resumen ejecutivo

Compromisos de seguridad de Lyrax

Encriptación total

Todos los datos encriptados en tránsito y en reposo.

Aislamiento garantizado

Separación estricta entre tenants.

Cumplimiento regulatorio

Diseñado para GDPR, SOC 2 y HIPAA.

Infraestructura flexible

Portabilidad entre proveedores cloud.

Transparencia

Auditorías regulares y reportes de seguridad.

Mejora continua

Actualizaciones de seguridad constantes.

Soporte 24/7

Equipo de seguridad disponible todo el tiempo.

Resumen ejecutivo

¿Qué modelo elegir?

Tenant compartido si…

Es una pequeña o mediana empresa
No tiene requisitos regulatorios estrictos
Prioriza costos y rapidez de implementación
Confía en el aislamiento lógico de datos

Tenant dedicado si…

Es una empresa grande o corporación
Opera en sectores regulados (salud, finanzas)
Requiere HIPAA o PCI-DSS nivel 1
Necesita SLA premium y soporte dedicado
Tiene requisitos estrictos de residencia de datos

Contacto y soporte de seguridad

Reporte de incidentes

security@lyrax.cl

< 24 htiempo de respuesta

7 díasaviso de ventanas de mantención

Divulgación responsable. Incidentes en tiempo real en status.lyrax.com y avisos de seguridad ante cada actualización.

Documentación adicional

Security whitepaper (bajo NDA)
Certificaciones de cumplimiento
Data Processing Agreement (DPA)
Business Associate Agreement (BAA) para clientes HIPAA

Documento versión 1.0Última actualización: noviembre 2024