Defensa en profundidad, capa por capa.
Una visión general de la estructura de la plataforma de mensajería de BroadNet — desde la API hasta las interconexiones con los operadores — para que la seguridad se aplique en cada capa, no solo en el perímetro. Esta descripción general es deliberadamente no confidencial: muestra la estructura de la pila, no su topología interna.
Las capas, en términos sencillos.
Aplicaciones y canales para clientes
Sus aplicaciones y campañas se conectan a través de interfaces documentadas y con control de versiones. Ningún dato sobre un usuario final queda expuesto a otro.
Pasarela API y SDK
El acceso público. Los tokens de acceso Bearer de cada cuenta autentican cada solicitud a la API; la limitación de velocidad por inquilino, la lista de direcciones IP permitidas y un firewall de aplicaciones web (WAF) automatizado se sitúan delante de la plataforma.
Plataforma de mensajería
Procesamiento multiusuario con aislamiento por usuario, colas persistentes y orquestación de entrega. Las acciones que modifican el estado se registran en los registros de auditoría.
Inteligencia de enrutamiento
El enrutamiento basado en el menor coste y la calidad selecciona una ruta legal y conforme a la normativa para cada destino, con detección de rutas problemáticas y reasignación de rutas si su calidad se degrada por debajo de su objetivo de servicio.
Seguridad y cortafuegos
Las medidas de seguridad de nivel de telecomunicaciones —cortafuegos SMS, cortafuegos SS7, protección de la identificación del remitente, análisis de llamadas instantáneas y abuso de OTP— se aplican por defecto a las rutas propias de BroadNet.
interconexiones de operadores
Más de 1.000 conexiones directas con operadores dan enlaces directos en 86 países, con rutas de socios identificadas en el resto de los 200+ países alcanzados, por lo que el tráfico finaliza en rutas legítimas y contratadas.
Cinco planos defensivos, en profundidad.
Las capas numeradas de arriba describen la ruta que sigue un mensaje. Estos cinco planos describen los controles que se mantienen en cada punto de esa ruta; cada uno está diseñado para que un fallo en un plano sea contenido por el siguiente.
Borde y red
El borde público finaliza TLS 1.3, absorbe el abuso volumétrico y valida que una solicitud esté bien formada antes de que llegue a la lógica de la aplicación. Ningún sistema posterior confía en la red por la que llegó.
- Limitación de velocidad por inquilino y por punto final con controles de ráfaga
- Opciones de inclusión de direcciones IP permitidas y TLS mutuo para enlaces SMPP y API
- El firewall de aplicaciones web (WAF) automatizado filtra patrones comunes de inyección y abuso
- Absorción de DDoS y eliminación de anomalías a nivel de conexión en el borde
Aplicación e identidad
Cada solicitud se autentica y autoriza individualmente. Los tokens de acceso Bearer de cada cuenta establecen la identidad; los roles con ámbito definido determinan las acciones que dicha identidad puede realizar; la arquitectura multiusuario se implementa mediante código, no por convención.
- Tokens de acceso Bearer por cuenta para la API; tokens de corta duración para las sesiones interactivas
- Control de acceso basado en roles con ámbitos predeterminados de mínimo privilegio
- Aislamiento por inquilino para que ningún inquilino pueda acceder a los datos de otro inquilino
- Webhooks cifrados con TLS para DLR y MO entrantes
Datos y almacenamiento
El contenido de los mensajes, los metadatos de entrega y los registros de auditoría se almacenan encriptados con un período de retención que se ajusta a los plazos contractuales y reglamentarios. Las acciones que modifican el estado se registran en un archivo de auditoría de solo lectura.
- Cifrado AES-256 en reposo en almacenes primarios y copias de seguridad
- Registro de auditoría de solo adición de acciones que cambian el estado
- Plazos de retención de datos conformes al contrato y a la normativa regional
- Copias de seguridad cifradas y probadas conforme a los objetivos de recuperación definidos
Gestión clave
Las claves se generan, almacenan, rotan y retiran dentro de una infraestructura dedicada a la gestión de claves. El código de la aplicación contiene referencias, no el material de clave en sí, y la rotación no requiere una interrupción del servicio.
- Gestión centralizada de claves con separación de los secretos de las aplicaciones
- Rotación programada de llaves y revocación inmediata ante sospecha de compromiso
- Separación de funciones para la custodia de llaves y el acceso administrativo
- Cifrado de sobre, de modo que las claves de datos están protegidas por claves maestras
Seguimiento y respuesta
La observabilidad abarca toda la infraestructura en lugar de un único punto crítico, por lo que las anomalías se detectan cerca de donde ocurren. Un centro de operaciones de red (NOC) que funciona las 24 horas del día, los 7 días de la semana, vincula la detección con un proceso documentado de respuesta a incidentes.
- Centro de operaciones de red (NOC) 24/7 con alertas en todos los niveles: borde, plataforma, enrutamiento e interconexiones
- Análisis de rutas grises, abuso de ID de remitente y abuso OTP en tráfico en tiempo real
- Respuesta documentada ante incidentes con clases de gravedad y escalamiento con nombre
- Análisis de la causa raíz (RCA) y motivo de la interrupción (RFO) después de incidentes importantes
Controles, alineados con los estándares.
Mapeo representativo de cada capa a las familias de control en ISO/IEC 27001, SOC 2 e ISO 22301. Es ilustrativo, no la declaración completa de aplicabilidad; el conjunto de controles auditados se comparte bajo un acuerdo de confidencialidad.
| Layer | Controles representativos | Norma de referencia |
|---|---|---|
| Perímetro y red | TLS 1.3, WAF, limitación de velocidad por inquilino, lista blanca de IP, absorción de DDoS | ISO 27001 A.8 · SOC 2 CC6.6 |
| Aplicación e identidad | Autenticación de la API con token Bearer, RBAC de mínimo privilegio, aislamiento por inquilino | ISO 27001 A.8 / A.9 · SOC 2 CC6.1–CC6.3 |
| Datos y almacenamiento | AES-256 en reposo, registros de auditoría de solo adición, ventanas de retención, copias de seguridad cifradas | ISO 27001 A.8 · SOC 2 CC6.1 / C1.1 |
| Gestión de claves | KMS centralizado, rotación programada, revocación, separación de funciones | ISO 27001 A.8.24 · SOC 2 CC6.1 |
| Monitorización y respuesta | NOC 24/7, telemetría entre capas, IR documentado, RCA/RFO | ISO 27001 A.5.24–A.5.28 · SOC 2 CC7.2–CC7.4 |
| Continuity | Copias de seguridad, objetivos de recuperación probados, gestión de la continuidad del negocio | ISO 22301 · SOC 2 A1.2 |
Las normas mapeadas hacen referencia a ISO/IEC 27001:2022 Anexo A, los Criterios de Servicios de Confianza SOC 2 y la norma ISO 22301. Véase Cumplimiento para la lista de certificación y El Centro de Confianza para solicitar pruebas.
Cifrado y gestión de claves.
La seguridad del cifrado depende de cómo se gestionen sus claves. Los datos están protegidos tanto en tránsito como en reposo, y las claves que los protegen residen en una infraestructura dedicada, separada del código de la aplicación y de los propios datos.
En tránsito
TLS 1.3 en todas las interfaces externas (API, SMPP y webhooks), con conjuntos de cifrado modernos y opciones de fijación de certificados para conexiones empresariales.
En reposo
AES-256 en todos los almacenes principales y de respaldo. El contenido del mensaje y los metadatos de entrega tienen períodos de retención que se ajustan al contrato y a la normativa regional.
Ciclo de vida de las claves
Gestión centralizada de claves con rotación programada, revocación inmediata, separación de funciones y cifrado de sobres, de modo que las claves de datos estén protegidas por claves maestras.
Modelo de amenazas y defensa en profundidad.
La defensa en profundidad implica que ningún control soporta la carga por sí solo. Para cada objetivo realista del atacante, más de un avión debe fallar antes de que se produzca el impacto.
Robo de credenciales o filtración de clave API
Los ámbitos de privilegios mínimos limitan el radio de impacto; los tokens de corta duración y la revocación inmediata reducen la ventana de tiempo; el aislamiento por inquilino impide el movimiento lateral a otro inquilino.
Inyección de ruta gris y suplantación de identidad del remitente
El cortafuegos SMS y la protección de identificación del remitente clasifican y descartan el tráfico ilegítimo antes de que finalice; las interconexiones directas entre operadores garantizan que el tráfico legítimo llegue a través de rutas contratadas.
Abuso OTP / inflación artificial del tráfico
El análisis de comportamiento y la detección de abusos de flash call /OTP frenan los patrones inflados a velocidad de línea antes de que puedan monetizarse.
Ataques a la capa de señalización (SS7)
El cortafuegos SS7 inspecciona y filtra las señales para protegerse contra el rastreo de ubicación, la interceptación y los intentos de fraude en la capa de red.
Exposición de datos en tránsito o en reposo
TLS 1.3 protege los datos en tránsito y AES-256 protege los datos en reposo; las claves residen en una infraestructura de gestión de claves dedicada, separada de los datos que protegen.
Uso indebido por parte de personal interno o administrativo
El control de acceso basado en roles, la separación de funciones para la custodia de claves y el registro de auditoría de solo adición hacen que las acciones privilegiadas sean responsables y revisables.
Monitorización en todas las capas
La observabilidad y la monitorización 24/7 abarcan toda la infraestructura en lugar de concentrarse en un único punto crítico, por lo que las anomalías se detectan cerca de donde se producen. Las herramientas específicas y los umbrales de alerta se comparten con los evaluadores bajo un acuerdo de confidencialidad.
Cifrado completo
TLS 1.3 protege los datos en tránsito y AES-256 protege los datos en reposo en todas las capas. Los detalles sobre la gestión de claves y los controles están disponibles bajo un acuerdo de confidencialidad (NDA). Consulte las certificaciones para conocer el alcance auditado.
Los detalles de control certificados, la ubicación de los centros de datos, los objetivos exactos de recuperación y la topología interna están cubiertos por el alcance auditado de BroadNet y se comparten bajo un acuerdo de confidencialidad (NDA). Véase ISO/IEC 27001 y ISO 22301.
¿Dónde se conecta esto?
Esta descripción general corresponde a la arquitectura. La evidencia, los certificados y los compromisos operativos que la respaldan se encuentran en el Centro de confianza y en las páginas de Cumplimiento y seguridad.
Preguntas frecuentes.
¿Es esta la arquitectura de seguridad completa?
No. Esta página es una descripción general deliberadamente no confidencial: muestra la estructura de la pila y los controles en cada capa, no la topología interna, la ubicación de los centros de datos ni los objetivos exactos de recuperación. Los detalles de los controles certificados se comparten con los evaluadores bajo un acuerdo de confidencialidad y están cubiertos por el alcance auditado de BroadNet.
¿Conforme a qué estándares está certificada la plataforma?
BroadNet cuenta con las certificaciones ISO/IEC 27001 (seguridad de la información), ISO 9001 (calidad) e ISO 22301 (continuidad del negocio). La tabla de correspondencia de controles que aparece en esta página relaciona los controles representativos con las familias de controles ISO 27001, SOC 2 e ISO 22301, lo que permite a los evaluadores visualizar la alineación de cada capa.
¿Cómo se gestiona el cifrado durante la transmisión y en reposo?
TLS 1.3 protege los datos en tránsito y AES-256 protege los datos en reposo, tanto en el almacenamiento principal como en las copias de seguridad. Las claves se generan, almacenan, rotan y retiran dentro de una infraestructura dedicada de gestión de claves, utilizando cifrado de sobre, de modo que las claves de datos están protegidas por claves maestras.
¿Aplican sus propios cortafuegos SMS y SS7 al tráfico de BroadNet?
Sí. Las medidas de seguridad de nivel telecomunicaciones (cortafuegos SMS, cortafuegos SS7, protección de la identidad del remitente y análisis de abuso de OTP) se aplican de forma predeterminada a las rutas propias de BroadNet, y no se ofrecen únicamente como un complemento para redes de terceros.
¿Cómo puedo solicitar el detalle del control auditado?
Los detalles de control, la ubicación de los centros de datos, los objetivos de recuperación exactos y la topología interna se comparten con evaluadores calificados bajo un acuerdo de confidencialidad. Comience desde el Centro de confianza o la página de Cumplimiento, o comuníquese con el equipo de seguridad para solicitar el paquete de documentación.