Resumen de Comunicación y Seguridad

Propósito del documento

Esta sección es un recurso elaborado para que los responsables de revisión de seguridad e información de las organizaciones clientes puedan comprender la arquitectura de comunicación y las políticas de seguridad de datos de ARGOS Identity.

Uso de terminología de seguridad estándar y nombres de protocolos de uso común en la industria
No incluye identificadores de recursos internos (nombres de servidores, funciones, dominios, etc.)

Destinatarios

Responsables de revisión de seguridad e información de las organizaciones clientes
Personal de auditoría de relaciones de encargo y recepción de tratamiento de datos
Departamentos de cumplimiento normativo / auditoría
Equipos de desarrollo backend que realizan integración de API
Equipos de desarrollo que construyen y operan endpoints receptores de Webhook

Categorías de servicio ARGOS

ARGOS Identity ofrece 4 categorías de servicio. La arquitectura de comunicación y las políticas de seguridad de cada categoría se tratan en las páginas subordinadas.

Liveform

Servicio de verificación de identidad End-to-End con interfaz de usuario (UI). End User ↔ Liveform UI ↔ API Gateway ↔ capa de procesamiento de verificación. Cifrado híbrido de payload (RSA-2048 + AES-256-GCM), autenticación en API Gateway, Cloudflare Turnstile, Private Token.

Restful API

API Server-to-Server sin UI. REST estándar (GET/POST/PATCH/DELETE), terminación TLS con Custom Domain + ACM, validación de API Key, cifrado de payload opcional (AES-256), Rate Limiting / Usage Plan.

Webhook

Notificación asíncrona de resultados de ARGOS hacia el cliente. Pipeline de 2 etapas (capa de convergencia + capa de envío), TLS 1.2+, cifrado de cuerpo opcional (AES-256), reintentos (retroceso exponencial), registro de auditoría de envíos, lista blanca de IP recomendada.

Database

Capa interna de almacenamiento de datos (AWS DynamoDB). Llamadas SigV4, doble cifrado (lado servidor + aplicación AES-256-GCM), VPC Gateway Endpoint, aislamiento IAM, PITR / CloudTrail.

Resumen de políticas de seguridad de ARGOS

Políticas de aplicación general

Ámbito	Modo de aplicación	Categorías aplicadas
Capa de transporte	TLS 1.2 o superior (HTTPS obligatorio en todos los puntos de entrada externos)	Liveform · Restful API · Webhook · Database
Autenticación y firma interna	AWS IAM Role + Signature Version 4 (SigV4)	Liveform · Restful API · Webhook · Database
Gestión de claves	AWS KMS (basado en HSM con certificación FIPS 140-2 Level 3)	Liveform · Restful API · Database (Webhook es canal de envío, sin almacenamiento)
Cifrado en reposo	DynamoDB / S3 lado servidor + campos sensibles AES-256 + KMS Customer-managed Key	Liveform · Restful API · Database (Webhook es canal outbound)
Principio de mínimo privilegio IAM	Solo se otorgan los permisos mínimos necesarios al rol de ejecución de cada servicio	Database · Liveform (especificado en el documento original)
Aislamiento de entornos	Separación Live / Test (datos, dominio y API Key independientes)	Database · Restful API · Webhook (especificado en el documento original)
Integridad (canal de transporte)	Integridad integrada en TLS 1.2+ (AEAD / HMAC)	Liveform · Restful API · Webhook · Database
Certificaciones obtenidas	ISO/IEC 27001 (norma internacional de gestión de seguridad de la información)	Liveform · Restful API · Webhook · Database
Certificaciones de infraestructura AWS (heredadas)	SOC 1·2·3 / ISO 27001·27017·27018 / PCI-DSS Level 1 / HIPAA Eligible / FedRAMP Moderate	Liveform · Restful API · Webhook · Database (Database añade: IRAP, MTCS, FIPS 140-2 Level 3)
Derechos del interesado	Procedimientos de respuesta a solicitudes de acceso, rectificación, supresión y portabilidad basados en la Ley de Protección de Datos Personales / GDPR	Liveform · Restful API · Webhook · Database

Especificidades por categoría

Categoría	Cifrado de payload	Autenticación externa	Protección adicional
Liveform	RSA-2048 + OAEP + SHA-256 intercambio de claves + AES-256-GCM cuerpo (esquema híbrido)	API Gateway API Key + lista blanca de IP (opcional) + Private Token (JWT HMAC-SHA256)	Cloudflare Turnstile (bloqueo de bots y automatización)
Restful API	AES-256 (cuando la opción de proyecto `Cifrado de datos` está activada)	API Gateway API Key + lista blanca de IP (opcional, Lambda Authorizer)	API Gateway Usage Plan Rate Limiting
Webhook	AES-256 (cuando la opción de proyecto `Cifrado de datos` está activada, señal mediante cabecera `X-Webhook-Encrypted: true`)	Verificación por parte del receptor — certificado TLS / lista blanca de IP / cabecera de modo de cifrado	Reintentos (retroceso exponencial, máximo 3 veces) + DLQ / Manual Replay
Database	AES-256-GCM en capa de aplicación (campos sensibles) + AES-256 lado servidor (aplicado automáticamente a todo)	AWS IAM Role + SigV4 (acceso directo externo no permitido)	VPC Gateway Endpoint (comunicación forzada por backbone), MFA (acceso a consola)

​Propósito del documento

​Destinatarios

​Categorías de servicio ARGOS