Plan de remediación — OmniControl

🎯 Aprobar formalmente la Política de Seguridad de la Información, designar DPO mediante acto administrativo y conformar Comité SGSI con frecuencia trimestral.

🎯 Formalizar el inventario de activos: añadir propietario, criticidad y clasificación por cada entrada; completar los 7+ activos faltantes; establecer revisión trimestral.

🎯 Extender el Threat Modeling STRIDE a los módulos críticos (DIAN, RNDC, GPS, multi-tenant) y establecer trazabilidad con el backlog de desarrollo como criterio bloqueante.

🎯 Implementar módulo ARCO automatizado y añadir checkbox de consentimiento expreso + enlace a política de tratamiento en todos los formularios de captura de PII.

🎯 Integrar SAST (CodeQL), SCA (Dependabot bloqueante) y DAST (OWASP ZAP) como stages obligatorios en GitHub Actions con configuración de required checks en branch protection.

🎯 Implementar rutina automatizada de Data Masking para poblar Staging con datos pseudonimizados; prohibir volcado directo desde producción mediante política técnica.

🎯 Implementar MFA en el ERP/TMS para todos los usuarios finales (TOTP como mínimo) y forzarlo en roles con acceso a facturación, nómina y GPS.

🎯 Habilitar AWS IAM Identity Center (SSO) con credenciales temporales, retirar Access Keys estáticas a usuarios humanos y documentar procedimiento de break-glass con cuenta dedicada.

🎯 Implementar gestión de endpoints mediante una solución MDM corporativa (Jamf/Intune) con políticas DLP básicas: cifrado obligatorio, bloqueo de USB, prohibición de sync a cuentas personales.

🎯 Endurecer rate limiting en /auth/login con backoff exponencial y sanear mensajes de error 5xx para no exponer el motor de base de datos ni stack traces.

🎯 Configurar Strict-Transport-Security con preload, cifrar la instancia staging-rds-1 con KMS y aplicar mínimo privilegio en la política IAM de la llave DIAN con rotación automática.

🎯 Cerrar gaps de gobernanza Git: crear archivo CODEOWNERS, fijar expiración a todos los PATs, restringir política de forks y añadir un segundo Maintainer.

🎯 Integrar OWASP ZAP como stage obligatorio del pipeline CI/CD con cadencia mínima por release; remediar los 14 hallazgos abiertos del único reporte existente con plan priorizado.

🎯 Corregir la vulnerabilidad BOLA confirmada: aplicar middleware de autorización a nivel de objeto que valide tenant_id en TODOS los endpoints de detalle, no solo en listados.

🎯 Definir RTO formal por servicio crítico, programar prueba de restauración trimestral automatizada y documentar procedimiento de recuperación end-to-end.

🎯 Formalizar el proceso A.8.8: política de gestión de vulnerabilidades con SLA por severidad CVSS, proceso de excepciones con reevaluación, y reporting mensual al Comité SGSI.

🎯 Reactivar el pipeline de ingesta de datos al dashboard Grafana, completar los paneles con NO DATA y establecer reportes mensuales formales al Comité SGSI.

🎯 Eliminar el archivo .env del repositorio, migrar credenciales restantes a Secrets Manager, rotar credenciales expuestas históricamente y habilitar GitHub Secret Scanning + Push Protection.

🎯 Documentar e implementar un Plan de Respuesta a Incidentes (IRP) formal con protocolo de notificación a clientes y autoridades en plazos de Ley 1581, separando el canal de incidentes del canal de soporte general.

🎯 Publicar política de Responsible Disclosure conforme a RFC 9116, crear email security@omnicontrol.co dedicado y desplegar /.well-known/security.txt en los dominios productivos.