Informe de Seguridad · CULTIVA IA

Mapeo de Mitigacion de Amenazas

NutriFlow SaaS — Plataforma de nutricion clinica B2B • AWS + Node.js + PostgreSQL

GDPR ENS Nivel Medio Junio 2026
5
Amenazas
2 criticas
17
Controles
mapeados
6
Gaps
3 criticos
34%
Cobertura actual
Insuficiente
81%
Cobertura post-plan
Objetivo Q4
🎯 Amenazas y Controles por Capa
T1
Inyeccion SQL / NoSQL en busqueda de pacientes
El endpoint GET /api/patients/search?q= no sanitiza parametros; permite exfiltrar toda la BD PostgreSQL.
STRIDE: Tampering Impacto: Critico Probabilidad: Alta Score: 9.2
Cobertura actual
15% Critico
Post-remediacion
90% Adecuado
IDControlTipoCapaEstadoEficacia
VAL-001
Prepared Statements / ORM
Parametrizar todas las queries en Sequelize/Prisma
Preventivo Aplicacion
Sin impl.
★★★★★
VAL-002
WAF (AWS WAF)
Reglas SQLi en CloudFront / ALB
Preventivo Red
Sin impl.
★★★★★
VAL-003
Validacion de esquema (Zod)
Rechazar inputs malformados antes del ORM
Preventivo Aplicacion
Parcial
★★★★★
LOG-001
Alerta de query anomala
CloudWatch Logs Insights — queries lentas o errores 500
Detectivo Aplicacion
Sin impl.
★★★★★
T2
Escalada de privilegios medico → administrador
Los JWT no validan el scope de rol en todos los endpoints administrativos; un token de medico puede acceder a rutas de gestion.
STRIDE: Elevation of Privilege Impacto: Critico Probabilidad: Media Score: 8.7
Cobertura actual
20% Critico
Post-remediacion
85% Adecuado
IDControlTipoCapaEstadoEficacia
ACC-001
RBAC en middleware Express
Decorator @RequireRole en cada route handler
Preventivo Aplicacion
Sin impl.
★★★★★
ACC-002
JWT scope validation
Incluir roles[] en payload y verificar en cada request
Preventivo Aplicacion
Parcial
★★★★★
LOG-002
Audit log de acciones admin
Tabla inmutable audit_events en PostgreSQL
Detectivo Datos
Sin impl.
★★★★★
INC-001
Revocacion de tokens comprometidos
Blacklist Redis con TTL para invalidacion inmediata
Correctivo Aplicacion
Sin impl.
★★★★★
T3
Exposicion de datos PHI en logs de error
El stack trace de Express incluye objetos completos de paciente (nombre, DNI, diagnostico) en logs de CloudWatch sin enmascarar.
STRIDE: Info. Disclosure Impacto: Alto Probabilidad: Alta Score: 7.8
Cobertura actual
30% Deficiente
Post-remediacion
88% Adecuado
IDControlTipoCapaEstadoEficacia
ENC-003
Log scrubbing con pino-redact
Enmascarar campos sensibles en el logger Pino
Preventivo Aplicacion
Sin impl.
★★★★★
ACC-003
Restriccion IAM en CloudWatch
Solo rol SecurityOps puede leer logs de prod
Preventivo Datos
Implementado
★★★★★
ENC-001
Cifrado AES-256 en reposo
RDS Encrypted + Log Groups con KMS CMK
Preventivo Datos
Implementado
★★★★★
T4
Fuerza bruta en portal clinico
El endpoint POST /auth/login no tiene rate limiting ni bloqueo de cuenta tras intentos fallidos.
STRIDE: Spoofing Impacto: Alto Probabilidad: Media Score: 6.9
Cobertura actual
40% Parcial
Post-remediacion
92% Robusto
IDControlTipoCapaEstadoEficacia
AUTH-001
MFA (TOTP) obligatorio
Authenticator app para todos los roles clinicos
Preventivo Aplicacion
Sin impl.
★★★★★
AVL-001
Rate limiting (express-rate-limit)
Max 5 intentos / 15 min por IP, bloqueo de cuenta en 10 fallos
Preventivo Aplicacion
Sin impl.
★★★★★
LOG-003
Alerta CloudWatch — login failures
Metrica personalizada: >3 fallos/min dispara SNS
Detectivo Aplicacion
Implementado
★★★★★
T5
Denegacion de servicio en generacion de informes PDF
El endpoint POST /reports/generate corre Puppeteer sincrono; un request malicioso puede agotar la CPU del servidor.
STRIDE: Denial of Service Impacto: Medio Probabilidad: Media Score: 5.4
Cobertura actual
55% Parcial
Post-remediacion
82% Adecuado
IDControlTipoCapaEstadoEficacia
AVL-002
Cola de trabajos asincronos (Bull/Redis)
Mover Puppeteer a workers isolados con concurrencia limitada
Preventivo Endpoint
Sin impl.
★★★★★
AVL-003
Timeout y memory limit en Puppeteer
30 s timeout + 512 MB RSS limit por proceso
Preventivo Endpoint
Parcial
★★★★★
AVL-004
AWS Auto Scaling + ALB health checks
Scale-out automatico si CPU > 70% durante 2 min
Correctivo Red
Implementado
★★★★★
🛡️ Matriz de Defensa en Profundidad
Capa T1 — SQLi T2 — PrivEsc T3 — PHI/Logs T4 — BruteForce T5 — DoS PDF Estado capa
Red
WAF, DDoS, TLS		 ⚠ WAF pendiente — ✓ TLS 1.3 — ✓ ALB Scale Parcial
Aplicacion
Auth, validacion, RBAC		 ⚠ ORM pendiente ⚠ JWT parcial ⚠ Redact pend. ⚠ Rate limit pend. ⚠ Cola pendiente Deficiente
Datos
Cifrado, auditorias		 — ⚠ Audit log pend. ✓ AES-256 KMS — — Parcial
Endpoint
Parcheo, EDR, hardening		 — — — — ⚠ Mem limit parc. Gap
Proceso
Formacion, IR, SSDLC		 — — — ✓ Alerta SNS — Gap
⚡ Gaps Criticos que Requieren Accion Inmediata
🔴
T1 — Sin Prepared Statements en produccion
Cobertura actual: 15%. Toda la BD PostgreSQL de pacientes es exfiltrable con un ataque SQLi. Riesgo regulatorio GDPR Art. 83 (hasta 4% facturacion global).
→ Accion: Migrar queries a Prisma/Sequelize parametrizado esta semana. Estimacion: 2-3 dias dev.
🔴
T2 — RBAC no aplicado en todos los endpoints admin
Cobertura actual: 20%. Un token JWT de medico permite acceso a /api/admin/*. Gap de diversidad de controles: sin auditoria ni revocacion.
→ Accion: Middleware requireRole() + tabla audit_events. Estimacion: 1-2 dias dev.
🔴
T3 — Datos PHI expuestos en logs sin enmascarar
Logs de error incluyen objectos completos de paciente. CloudWatch retiene 30 dias. Violacion directa de GDPR Art. 32 y ENS control MP.SI.1.
→ Accion: Configurar pino-redact con lista de campos PII. Estimacion: 4 horas.
🟠
T4 — Sin MFA en portal clinico
El portal procesa datos de salud sin segundo factor. Alta probabilidad de compromiso por credential stuffing (brecha Linkedin/Health 2025).
→ Accion: Integrar speakeasy + QR code enrollment en el onboarding. Estimacion: 1-2 dias dev.
🟠
T4/T5 — Sin rate limiting en endpoints criticos
Login y generacion PDF sin throttling. Un atacante puede lanzar 10k requests/s sin freno. No existe capa proceso (IR playbook) para responder.
→ Accion: express-rate-limit + Redis store. Configurar en 2 horas.
🟡
Global — Sin capa Proceso/Endpoint en ninguna amenaza
No hay formacion de seguridad para devs, ni playbook de respuesta a incidentes, ni SSDLC formal. Los controles tecnicos no son sostenibles sin proceso.
→ Accion Q3: Secure coding workshop (4h) + IR playbook basico.
🗺️ Hoja de Ruta de Remediacion
🚨 Fase 1 — Critico Sprint actual (2 sem)
🔴
Prepared Statements / Prisma ORM VAL-001 · T1-SQLi Esfuerzo: 3d · Impacto: 9.2 → 2.0
🔴
Log scrubbing PHI (pino-redact) ENC-003 · T3-PHI Esfuerzo: 4h · GDPR Art.32
🔴
RBAC middleware + JWT scope ACC-001/002 · T2-PrivEsc Esfuerzo: 2d · ENS op.acc.1
🔴
Rate limiting en /auth/login y /reports AVL-001 · T4/T5 Esfuerzo: 2h · Impacto alto
🔴
Validacion de esquema Zod (endpoints) VAL-003 · T1-SQLi Esfuerzo: 1d · defense in depth
⚠️ Fase 2 — Alto Q3 2026 (6 sem)
🟠
MFA TOTP obligatorio (speakeasy) AUTH-001 · T4-Brute Esfuerzo: 2d · GDPR + ENS
🟠
AWS WAF con reglas SQLi/XSS VAL-002 · T1-SQLi Esfuerzo: 1d · AWS Standard tier
🟠
Tabla audit_events + token blacklist Redis LOG-002/INC-001 · T2 Esfuerzo: 2d · Detectivo + Correctivo
🟠
Cola Bull/Redis para Puppeteer AVL-002 · T5-DoS Esfuerzo: 2d · SLA disponibilidad
🟠
CloudWatch Logs Insights — alertas LOG-001/003 · T1/T4 Esfuerzo: 1d · Deteccion temprana
✅ Fase 3 — Proceso Q4 2026 (10 sem)
🟢
Secure coding workshop (equipo dev) PROC-001 · Todas Esfuerzo: 4h · SSDLC baseline
🟢
IR Playbook (respuesta a incidentes) PROC-002 · Todas Esfuerzo: 1d · ENS op.exp.7
🟢
Penetration test externo TEST-001 · T1/T2/T4 Presupuesto: ~2.500€ · Validacion
🟢
Revision periodica de controles (trimestral) PROC-003 · Todas Esfuerzo: 2h/trim · Mejora continua
🟢
DPIA formal + DPO externo PROC-004 · T3-PHI GDPR Art. 35 · Datos de salud
📊 Reduccion de Riesgo por Amenaza
T1 — SQLiScore: 9.2 → 1.5
Actual
9.2
Post-plan
1.5
T2 — PrivEscScore: 8.7 → 1.9
Actual
8.7
Post-plan
1.9
T3 — PHI/LogsScore: 7.8 → 1.1
Actual
7.8
Post-plan
1.1
T4 — BruteForceScore: 6.9 → 1.3
Actual
6.9
Post-plan
1.3
T5 — DoS PDFScore: 5.4 → 2.2
Actual
5.4
Post-plan
2.2
📋 Cobertura de Cumplimiento Regulatorio
GDPR Articulos aplicables
Art. 32 — Seguridad del tratamiento Gap — T3
Art. 25 — Privacy by design Parcial
Art. 35 — DPIA datos de salud Pendiente
Art. 33 — Notificacion de brechas 72h Sin IR plan
ENS Controles Nivel Medio
op.acc.1 — Control de acceso Gap — T2
mp.si.1 — Gestion de incidentes Sin playbook
op.exp.7 — Registro de actividad Parcial
mp.com.1 — Cifrado en transito Cumplido
CULTIVA IA — Informe de Seguridad Confidencial
NutriFlow SaaS • Skill: mapeo-mitigacion-amenazas • Junio 2026
Preparado por: Laura Mendez, CTO • Revisado por: CULTIVA IA Security Practice