Estado de cumplimiento
Medidas revisadas en la última auditoría
Porcentaje de medidas en estado cumple. Las medidas parciales tienen un plan de mejora asociado en el informe.
Cumple
Parcial
No cumple
Compliance
Esquema Nacional de Seguridad
Mi Ticket aplica un marco de seguridad alineado con el ENS (RD 311/2022) en su nivel básico: control de acceso, protección de la información, registros, incidentes y continuidad del servicio.
70 %
Alcance
Que cubre esta revisión
- AplicaciónAutenticación, sesiones, CSRF, autorización, entrada de datos y subidas.
- DatosSeparación por organización, minimizacion, RGPD y enlaces de baja.
- OperaciónCabeceras, TLS, exposición de directorios, rate limiting y registros.
- ContinuidadCopias, recuperación y dependencia de servicios externos.
Medidas ENS
Estado y evidencia de cada control revisado
| Código | Medida | Status | Evidencia |
|---|---|---|---|
| org.1 | Politica de seguridad y responsabilidades | parcial | Roles separados y documentacion en docs/; falta aprobacion formal anual. |
| op.acc.1 | Control de acceso a la aplicacion | cumple | Middleware de autenticacion y autorizacion por rol en routes.php. |
| op.acc.2 | Gestion de usuarios y permisos | cumple | Altas, bajas y roles por organizacion; sesiones por usuario. |
| op.acc.4 | Contrasenas y autenticacion | cumple | password_hash/password_verify y recuperacion con token. |
| op.acc.5 | Proteccion frente a ataques de autenticacion | parcial | Rate limiting en login, registro y escaneo; sin MFA. |
| op.exp.2 | Configuracion segura | parcial | HTTPS forzado y cabeceras parciales; certificado de produccion pendiente. |
| op.exp.4 | Actualizaciones y dependencias | parcial | composer.lock presente; auditoria de dependencias pendiente de automatizar. |
| op.exp.7 | Registro de actividad | cumple | Registro de errores y actividad de aplicacion en storage/logs. |
| op.mon.1 | Deteccion y registro de incidentes | parcial | Alertas basicas y revision periodica; sin SIEM. |
| op.cont.1 | Continuidad del servicio | parcial | Control de acceso offline en PWA; plan de continuidad no formalizado. |
| op.cont.3 | Copias de seguridad | parcial | Procedimiento local; falta verificar copia externa y restauracion. |
| mp.info.1 | Proteccion de datos personales | cumple | Minimizacion, consentimiento, baja RGPD y aislamiento por organizacion. |
| mp.info.4 | Cifrado de informacion | parcial | TLS en produccion dependiente de certificado valido; datos en reposo sin cifrado adicional. |
| mp.si.2 | Integridad de entradas | cumple | Firma HMAC-SHA256 de QR y validacion de estado en servidor. |
| mp.com.1 | Perimetro y exposicion de servicios | parcial | Directorios internos protegidos; revisar CSP y hardening del servidor. |
Este informe refleja controles técnicos y organizativos revisados automáticamente y mediante revisión manual. No constituye una certificación oficial del ENS ni sustituye una auditoría de conformidad independiente.