Centro de Confianza y Seguridad
Arquitectura Zero-Trust, rigurosa alineación normativa y total transparencia. Diseñado para responder a las exigencias de CISO, bancos (Bank Al-Maghrib), aseguradoras y organismos gubernamentales.
Nuestras 5 Garantías Clave de Seguridad Corporativa
Matriz de Alineación Regulatoria Marroquí e Internacional
Cumplimiento exhaustivo con las directivas de Bank Al-Maghrib, DGSSI (Ley 05-20), CNDP (Ley 09-08), ANRT y normas internacionales ISO/IEC.
Entidades bancarias, entidades de crédito y proveedores cloud subcontratados
- Directiva 3/W/16: Protección de canales bancarios en línea, escudo anti-fraude OTP y trazabilidad transaccional.
- Directiva 4/W/2022: Regulación de actividades externalizadas, derecho íntegro de auditoría para BAM y auditores.
- SLA 99.95%, RTO < 15 min, RPO < 5 min y compromiso de reversibilidad total de datos sin coste.
- Zero-Knowledge OTP: Hash SHA-256 inmediato en el Edge; cero secretos bancarios almacenados en claro.
Infraestructuras de Importancia Vital (IIV) y Organismos Públicos
- Notificación de incidentes de seguridad en menos de 2 horas hábiles (CERT-DGSSI / maCERT).
- Aislamiento estricto de red, pasarela API reforzada y detección continua de intrusiones.
- Cifrado obligatorio TLS 1.3, HSTS Preload de 2 años y política de permisos restringida.
- Copias de seguridad inmutables diarias con retención de 30 días y plan de recuperación probado.
Protección de datos personales y transferencias transfronterizas en Marruecos
- Arquitectura Zero-Payload Persistence: retención mínima y purga automática por TTL (30 a 90 días).
- Enmascaramiento automático de cuerpos de mensajes confidenciales y códigos OTP bancarios (******).
- Procesamiento efímero en el Edge sin persistencia innecesaria de PII.
- Derechos de acceso, exportación y supresión de datos personales en autoservicio.
Enrutamiento SMS nacional directo, gobernanza de Sender ID y anti-spoofing
- Filtro riguroso Anti-Spoofing: validación obligatoria KYB (RC, ICE, Identificador Fiscal, Carta LOA).
- Protección de marcas nacionales: bloqueo absoluto de suplantación de identidad bancaria e institucional.
- Rutas locales legales con Maroc Telecom, Orange e Inwi sin rutas grises SIM-box.
- Gestión automatizada de bajas regulatorias STOP SMS en campañas.
Sistema de Gestión de Seguridad de la Información (SGSI) e Infraestructura Cloud Tier-1
- Declaración de Aplicabilidad (SoA) exhaustiva con los 93 controles del Anexo A (versión 2022).
- Infraestructura física y Edge de Cloudflare con certificación ISO 27001 y auditoría SOC 2 Type II.
- Supervisión continua DevSecOps en CI/CD con archivo inmutable de evidencias técnicas de auditoría.
- Declaración de conformidad del proveedor (ISO/IEC 17050-1) preparada para auditoría acreditada IAF MLA para VEXT AI SARL AU.
Proveedores Digitales y Telecomunicaciones del Sector Automotriz (Constructores y Proveedores Rang 1)
- Memoria formal de demarcación de alcance excluyendo datos CAD y prototipos (AL3 no aplicable).
- Mapeo exhaustivo del catálogo VDA ISA v6.0 con el SGSI conforme ISO/IEC 27001:2022.
- Arquitectura Zero-Payload Persistence y enmascaramiento en origen de credenciales y OTP.
- Preparado para auditoría documental remota AL2 en el portal ENX (Participant ID PRT-2026-MA-001).
Arquitectura Técnica Zero-Trust y Resiliencia
Nuestros mecanismos criptográficos y de aislamiento garantizan la protección de sus comunicaciones críticas.
Seguridad Transaccional CAS (Compare-And-Swap)
- Cada débito de saldo se ejecuta mediante mutación atómica CAS a nivel de base de datos.
- Garantía matemática contra saldos negativos o condiciones de carrera en ráfagas de API.
- Libro mayor inmutable con identificación única de auditoría por transacción.
Hash Criptográfico de Claves API (SHA-256)
- Las claves secretas se muestran una sola vez al desarrollador en su creación.
- En base de datos solo se almacena la huella SHA-256 (`key_hash`).
- Restricción por lista blanca de direcciones IP (notación CIDR) y ámbitos de permisos específicos (sms:send, otp:verify, dlr:read).
Firmas Criptográficas HMAC-SHA256 en Webhooks
- Cada webhook incluye firma HMAC-SHA256 con secreto dedicado.
- Marca de tiempo integrada en la firma (`t=...,v1=...`) contra ataques de repetición.
- Rotación de secretos de firma desde el panel con período de gracia.
Protección Anti-SSRF y Aislamiento Multi-Tenant
- Los webhooks salientes pasan por un resolvedor DNS que bloquea redes privadas y metadatos.
- Validación estricta de cada salto de redirección HTTP.
- Aislamiento lógico riguroso entre cuentas sin posibilidad de fuga de datos.
Zero-Payload Persistence y Minimización de Datos (Ley 09-08)
- Los cuerpos de mensajes SMS se purgan o anonimizan tras 30 a 90 días.
- Los códigos OTP se guardan exclusivamente con hash y TTL estricto de 300s en memoria KV.
- Exportación y derecho de supresión conformes con la normativa CNDP y RGPD.
Dossier de Cumplimiento y Documentación de Auditoría
Descargue resúmenes ejecutivos de auditoría y declaraciones de conformidad para sus comités de seguridad.
Atestación de Conformidad SGSI ISO/IEC 27001:2022 (ISO/IEC 17050-1)
Atestación formal de conformidad del SGSI según ISO/IEC 17050-1 y hoja de ruta de auditoría acreditada IAF MLA para el operador VEXT AI SARL AU.
Memoria de Demarcación de Alcance y Alineación TISAX VDA ISA 6.0
Justificación legal y técnica de no aplicabilidad de AL3 y matriz de correspondencia VDA ISA 6.0 / ISO 27001 para constructores y proveedores de automoción.
Plan de Aseguramiento de la Seguridad (PAS) — Estándar Corporativo
Documento marco que detalla la arquitectura técnica, alineación con DGSSI Ley 05-20, compromisos BAM 4/W/2022 y plan de continuidad.
Declaración de Aplicabilidad (SoA) ISO/IEC 27001:2022
Matrice exhaustiva detallando la implementación y justificación de los 93 controles del Anexo A (norma 2022).
Informe de Test de Intrusión Externo (OWASP WSTG v4.2)
Evaluación perimétrica y de APIs REST bajo estándares OWASP ASVS v4.0 y BAM 3/W/16. Resultado: 0 vulnerabilidades críticas, 0 altas.
Anexo de Cumplimiento Bank Al-Maghrib (Directiva 4/W/2022)
Compromisos contractuales rigurosos: derechos de auditoría de BAM, notificación < 2h, RTO < 15m, RPO < 5m y reversibilidad total.
Suite de Pentest y Auditoría Automatizada (CI/CD Pipeline)
Script ejecutable en Bash que verifica automáticamente cabeceras de seguridad, anti-SSRF, hash OTP y RFC 9116 security.txt.
Certificados ISO 27001 y SOC 2 de la Infraestructura
Certificaciones oficiales de Cloudflare Inc. para centros de datos físicos, WAF y cifrado de infraestructura.
Preguntas Frecuentes de CISO y Equipos de Seguridad
¿Cómo responde EnvoiSMS a las exigencias TISAX y del sector de automoción?
EnvoiSMS aporta una Memoria de Demarcación de Alcance formal bajo directrices VDA ISA v6.0 / ENX: al operar exclusivamente como pasarela CPaaS de tránsito y procesador OTP efímero sin alojar datos de telemetría, CAD o prototipos, el nivel TISAX AL3 no resulta aplicable. La seguridad para alertas industriales y OTP está respaldada por nuestra conformidad ISO/IEC 27001:2022 (SoA bajo ISO/IEC 17050-1), infraestructura certificada ISO 27001 / SOC 2, la directiva BAM 4/W/2022 y alineación documental lista para TISAX AL2.
¿Cuál es la postura de EnvoiSMS respecto a ISO 27001?
La plateforme EnvoiSMS.ma es operada por VEXT AI SARL AU (ICE 004061591000005) con un SGSI conforme a los 93 controles del Anexo A de la norma ISO/IEC 27001:2022, documentado en nuestra Declaración de Aplicabilidad (SoA bajo ISO/IEC 17050-1) y auditado continuamente en CI/CD. La infraestructura física y Edge cuenta con certificación ISO 27001 y auditoría SOC 2 Type II.
¿Cómo cumplen con los requerimientos de Bank Al-Maghrib (Directivas 3/W/16 y 4/W/2022)?
EnvoiSMS provee un Anexo Específico Bank Al-Maghrib que otorga plenos derechos de auditoría a BAM y auditores bancarios autorizados, SLA 99.95%, RTO < 15 min, RPO < 5 min, notificación de incidentes en menos de 2 horas y reversibilidad sin coste.
¿Cómo se protegen los datos personales bajo la Ley 09-08 (CNDP)?
Aplicamos arquitectura Zero-Payload Persistence. Los cuerpos de mensaje con OTP se enmascaran en origen (******), los registros de tránsito se purgan a los 30-90 días y los códigos OTP se almacenan solo con hash SHA-256 y TTL de 300s.
¿Cómo reportar una vulnerabilidad?
Mantenemos un archivo RFC 9116 en /.well-known/security.txt. Escriba a security@envoisms.ma; respondemos en menos de 24 horas laborables.
¿Qué disponibilidad técnica ofrece la plataforma?
Nuestra arquitectura se distribuye en la red Anycast de Cloudflare con mitigación DDoS automática, sin punto único de fallo y copias de seguridad diarias con recuperación punto en el tiempo de 30 días.
Reportar una Vulnerabilidad o Solicitar Revisión
Nuestro equipo de seguridad está disponible para responder cuestionarios de homologación B2B.