Principios de seguridad, responsabilidades compartidas y reglas de uso responsable sin divulgar información que pueda debilitar la plataforma.
Aplicable dentro del marco jurídico de la República de Costa Rica.
FERPOS aplica medidas razonables de carácter organizativo y tecnológico para proteger cuentas, información y continuidad operativa de acuerdo con el riesgo y la naturaleza del servicio.
Por seguridad, esta política describe principios generales y no publica topologías, ubicaciones, versiones, proveedores, llaves, reglas, umbrales, credenciales ni procedimientos internos que puedan facilitar accesos no autorizados.
Cada persona usuaria debe mantener bajo su control las credenciales, dispositivos y medios de recuperación asociados a su cuenta. No deben compartirse contraseñas ni mecanismos de acceso entre personas que no estén autorizadas.
Si existe sospecha de acceso indebido, pérdida de un dispositivo o exposición de credenciales, debe reportarse de inmediato y modificarse el acceso cuando sea posible.
Los administradores de cada organización son responsables de asignar permisos adecuados a su equipo y retirar accesos cuando una persona deje de requerirlos. FERPOS puede aplicar verificaciones adicionales para operaciones sensibles o cambios de seguridad.
Los usuarios no deben intentar ampliar sus privilegios ni acceder a cuentas, documentos o datos que no formen parte de su autorización.
Antes de cargar, compartir, emitir o procesar información, el usuario debe verificar que corresponda a su operación y que cuenta con autorización para tratarla. No deben incorporarse secretos, datos personales o archivos de terceros que no sean necesarios para la función utilizada.
La protección de información también depende de los equipos, redes, navegadores y prácticas del usuario fuera de FERPOS.
FERPOS mantiene procedimientos de continuidad y recuperación acordes con la operación del servicio. Estos procedimientos pueden incluir respaldos, monitoreo y controles de recuperación, sin que ello constituya una garantía de disponibilidad absoluta o recuperación instantánea ante cualquier evento.
Los clientes deben conservar los respaldos que la normativa, su actividad o sus políticas internas les exijan.
No se permite intentar vulnerar, explorar o eludir controles; realizar pruebas de intrusión sin autorización escrita; automatizar solicitudes abusivas; introducir código malicioso; interceptar comunicaciones; obtener credenciales de terceros; alterar registros; explotar fallos para beneficio propio o ajeno; ni utilizar FERPOS para actividades ilícitas.
La detección de estas conductas puede dar lugar a limitaciones preventivas, suspensión y, cuando corresponda, conservación de evidencia o comunicación a las autoridades competentes.
Quien detecte una posible vulnerabilidad debe comunicarla de forma privada mediante los canales oficiales, describiendo de manera suficiente el hallazgo sin publicar datos de terceros, credenciales, pruebas destructivas ni información que incremente el riesgo.
No se autoriza acceder a datos ajenos, modificar información, interrumpir el servicio o realizar ingeniería social como parte de una investigación no coordinada.
Los reportes de seguridad se evalúan según impacto y evidencia disponible. FERPOS puede aplicar medidas temporales para contener riesgos, requerir verificaciones de identidad o restringir determinadas acciones mientras se investiga una situación.
La comunicación pública de un incidente se realizará cuando corresponda legalmente y de manera que no comprometa investigaciones, datos personales ni controles de protección.
La seguridad y disponibilidad de integraciones también dependen de proveedores, redes, dispositivos y servicios externos. FERPOS procura utilizar conexiones y accesos adecuados para la función contratada, pero no controla vulnerabilidades, bloqueos o interrupciones originadas exclusivamente en sistemas de terceros.
Ninguna medida de seguridad elimina por completo el riesgo. FERPOS no declara que el servicio sea invulnerable, pero sí asume el deber de mantener controles razonables y responder a incidentes dentro del marco jurídico aplicable.
Esta política no limita derechos legales ni exime responsabilidades que no puedan excluirse conforme a la legislación de Costa Rica.