Documentation Index
Fetch the complete documentation index at: https://developers.argosidentity.com/llms.txt
Use this file to discover all available pages before exploring further.
1. Descripción general del documento
1.1 Propósito
Este documento es un recurso elaborado para que los equipos de revisión de seguridad y redes de organizaciones clientes externas puedan comprender la arquitectura de comunicación de red y las políticas de seguridad de datos de la capa de almacenamiento de datos (Database) utilizada por ARGOS Identity.
1.2 Destinatarios
- Responsables de revisión de seguridad e información de las organizaciones clientes
- Personal de auditoría de relaciones de encargo y recepción de tratamiento de datos
- Departamentos de cumplimiento normativo / auditoría
1.3 Alcance
- Motor de almacenamiento de datos y estructura de llamadas
- Métodos de cifrado en tránsito y en reposo
- Autenticación y autorización, control de acceso, aislamiento
- Auditoría, copia de seguridad y cumplimiento normativo
2. Flujo de comunicación de red
2.1 Estructura de llamada
2.2 Características de la comunicación
| Elemento | Valor |
|---|
| Protocolo | HTTPS (TLS 1.2+) |
| Autenticación | AWS Signature Version 4 (SigV4) |
| SDK de llamada | AWS SDK for JavaScript (v2/v3) |
| Formato de respuesta | JSON |
| Origen de la llamada | Capa de procesamiento de verificación (Lambda) / EC2 / herramientas de administración |
| Acceso directo externo | No permitido (solo llamadas internas de AWS) |
2.3 Exposición al exterior
- DynamoDB no está expuesto directamente a Internet, y solo los servicios internos que poseen credenciales de AWS (IAM Role) pueden realizar llamadas.
- Todas las llamadas se resuelven dentro de la infraestructura de AWS.
3. Protocolos y normas de comunicación
3.1 Capa de transporte
- TLS 1.2 o superior obligatorio (comportamiento predeterminado del AWS SDK)
- El endpoint de DynamoDB está protegido por certificado emitido por AWS y el SDK lo verifica automáticamente
3.2 Firma de autenticación
- Todas las llamadas a la API se firman con AWS Signature Version 4 (SigV4)
- Elementos de firma: credenciales (IAM Role) + hora de la solicitud + método/ruta/cabeceras/hash del cuerpo de la solicitud
- En caso de alteración, AWS rechaza la solicitud de inmediato (rechazo automático si la diferencia horaria supera 5 minutos)
3.3 Patrones de llamada
- PutItem / GetItem / Query / UpdateItem / DeleteItem / BatchWrite / TransactWrite
- En algunos hot-paths se aplica la caché en memoria DynamoDB Accelerator (DAX)
4. Cifrado de datos
La capa de almacenamiento de datos opera una estructura de doble cifrado.
5.1 Primario — Cifrado lado servidor (Server-Side, gestionado por AWS)
| Elemento | Valor |
|---|
| Alcance de aplicación | Aplicado automáticamente a todas las tablas, índices, streams y copias de seguridad |
| Algoritmo | AES-256 |
| Gestión de claves | AWS KMS (basado en HSM con certificación FIPS 140-2 Level 3) |
5.2 Secundario — Cifrado adicional en capa de aplicación (campos sensibles)
Los campos de información personal sensible como número de identificación, número de pasaporte o datos de contacto se cifran adicionalmente en la capa de aplicación antes de su almacenamiento.
| Elemento | Valor |
|---|
| Algoritmo | AES-256-GCM (cifrado autenticado) |
| Gestión de claves | AWS KMS Customer-managed Key |
| Integridad | Verificación del Auth Tag del modo GCM |
| Momento de aplicación | Cifrado directo en la capa de procesamiento de verificación antes del PUT |
5.3 Almacenamiento de objetos (referencia)
Las imágenes (documentos de identidad y selfis) se almacenan en AWS S3 con cifrado lado servidor basado en KMS.
5.4 Cifrado en tránsito
| Tramo | Método |
|---|
| Procesamiento de verificación → DynamoDB | TLS 1.2+ (forzado por AWS SDK) |
| DynamoDB → Copia de seguridad/PITR | Cifrado interno de AWS (KMS) |
| Cross-Region Replication | Cifrado interno de AWS (KMS) |
6. Autenticación y autorización
6.1 Autenticación del invocador
- El invocador debe poseer credenciales AWS IAM válidas
- La capa de procesamiento de verificación (Lambda / EC2) recibe credenciales automáticamente mediante IAM Role
- Las credenciales se rotan automáticamente en forma de token de validez corta (STS Token)
6.2 Autorización (Authorization)
- Control de permisos por unidad de tabla / unidad de operación mediante IAM Policy
- Aplicación del principio de mínimo privilegio (Least Privilege)
7. Integridad
| Capa | Método de garantía de integridad |
|---|
| AWS DynamoDB | Todas las escrituras se someten a replicación síncrona multi-AZ y verificación de suma de comprobación |
| Payload de aplicación | Verificación del Auth Tag de AES-256-GCM |
| Canal TLS | Integridad integrada en TLS 1.2+ (AEAD / HMAC) |
8. Control de acceso y aislamiento
8.1 Capa de red
- Sin exposición directa a Internet externo
- Comunicación interna de AWS exclusivamente (Endpoint público pero con IAM como guardián)
- Comunicación forzada dentro del backbone de AWS mediante VPC Gateway Endpoint
8.2 Aislamiento IAM
- Separación de IAM Role por servicio
- Separación de usuarios, grupos e IAM por operador / desarrollador / herramientas de automatización
- Multi-Factor Authentication (MFA) obligatoria (acceso a consola)
8.3 Aislamiento de entornos
- Operación con tablas Live / Test separadas
- El movimiento de datos entre entornos solo se realiza mediante procedimiento explícito de migración
9. Registro y auditoría
9.1 Auditoría de aplicación
- Registro de eventos de dominio en tabla de auditoría separada (cambios de estado de envíos KYC, acciones de administrador, etc.)
- Todos los registros de auditoría aplican política inmutable (append-only)
9.2 Retención
- Registros CloudTrail: mantenimiento automático de 90 días en la consola de AWS; para retención a largo plazo, almacenamiento adicional en S3
- Copias de seguridad de DynamoDB (PITR): recuperación a punto en el tiempo de hasta 35 días
- Copias de seguridad bajo demanda: sin límite de período de retención
10. Cumplimiento normativo
10.1 Certificaciones obtenidas por ARGOS Identity
- ISO/IEC 27001 — Certificación de norma internacional de gestión de seguridad de la información
10.2 Certificaciones de AWS DynamoDB (heredadas)
- SOC 1 / SOC 2 / SOC 3
- ISO 9001 / 27001 / 27017 / 27018
- PCI-DSS Level 1
- HIPAA Eligible
- FedRAMP Moderate
- IRAP, MTCS, FIPS 140-2 Level 3 (KMS)
10.3 Derechos del interesado
- Procedimientos de identificación y tratamiento de los datos objeto de solicitudes de acceso, rectificación y supresión basadas en la Ley de Protección de Datos Personales / GDPR
- Sujeto a acuerdo de tratamiento separado entre encargante y encargado
Apéndice A. Glosario de términos
| Término | Definición |
|---|
| DynamoDB | Servicio de base de datos NoSQL serverless gestionado por AWS |
| SigV4 | AWS Signature Version 4 — estándar de firma para llamadas a la API |
| KMS | AWS Key Management Service (HSM con certificación FIPS 140-2 Level 3) |
| PITR | Point-in-Time Recovery (recuperación a punto en el tiempo) |
| DAX | DynamoDB Accelerator (caché en memoria) |
| AEAD | Authenticated Encryption with Associated Data |
| IAM Role | Rol de AWS Identity and Access Management |
| MFA | Multi-Factor Authentication |
| Optimistic Lock | Control de concurrencia optimista basado en escritura condicional |
Apéndice B. Consultas
Para consultas técnicas sobre este documento, póngase en contacto con el canal de soporte técnico y comercial de ARGOS Identity.
