Seguridad, compliance y soberanía — con total transparencia.

En la modalidad SaaS, almacenamos los datos de la plataforma VAMIDAST exclusivamente en centros de datos situados en Alemania; los datos en reposo están cifrados y las transmisiones se protegen mediante TLS. La parte contratante, el derecho aplicable y el fuero son alemanes. Cuando una función recurre a proveedores externos — por ejemplo, Anthropic u OpenAI para los pasos de IA —, indicamos el proveedor, la finalidad y la región de tratamiento en la tabla de subencargados. En la modalidad on-premise, VAMIDAST se ejecuta en su propio clúster de Kubernetes.

VAMIDAST es operado por VamiSec GmbH, cuyo SGSI está certificado conforme a ISO/IEC 27001:2022 por Proks Certification GmbH, organismo acreditado por DAkkS (certificado DE-IS-20250191, válido hasta el 18 de septiembre de 2028). Según el certificado, el alcance comprende la «prestación de servicios de consultoría en seguridad de la información, los productos digitales asociados y las instalaciones de procesamiento de la información de apoyo …» (traducción propia del certificado alemán). VAMIDAST no se menciona por su nombre; no existe un certificado propio del producto.

El inicio de sesión en VAMIDAST se realiza con autenticación multifactor (MFA). Para el inicio de sesión único (SSO), VAMIDAST admite su propio directorio de Microsoft Entra ID (OIDC Authorization Code con PKCE). Un directorio solo se admite una vez que un administrador de la plataforma lo ha configurado y su administrador global (Global Administrator) ha dado su consentimiento; la MFA y la verificación de identidad corren entonces a cargo de Entra. VAMIDAST solo solicita los permisos de inicio de sesión openid, profile y email — ningún permiso de Microsoft Graph — y no almacena tokens de Microsoft. Los permisos se conceden exclusivamente en VAMIDAST: los claims de rol o de grupo de los tokens no otorgan derechos. Con SSO, el inicio de sesión con contraseña está desactivado por defecto; los accesos de emergencia (break-glass) solo existen para administradores de la plataforma, con MFA propia y un registro de auditoría en cada uso. VAMIDAST también admite cuentas locales con correo electrónico y contraseña. Puede revocar el acceso en Entra en cualquier momento.

Un motor determinista dirige cada escaneo; el modelo solo asesora y nunca decide qué se prueba ni qué se ejecuta a continuación. Dentro del flujo de escaneo, VAMIDAST utiliza IA en exactamente tres puntos: la clasificación de la clase de vulnerabilidad como último recurso, payloads de respaldo (solo cadenas de detección) cuando ninguna herramienta encaja o una falla, y el triaje de la zona gris. Cada salida del modelo se valida por esquema antes de usarse. El modelo recibe fragmentos de respuesta limitados por defecto a 2.000 caracteres, nombres de parámetros, payloads y evidencias de hallazgos — nunca cuerpos completos ni las credenciales de prueba de la aplicación objetivo. No obstante, los fragmentos de respuesta y las evidencias de hallazgos pueden contener datos personales o secretos de la aplicación objetivo. VAMIDAST es agnóstico respecto al LLM. Para los pasos de IA, usted elige el Qwen3.8 local del centro de datos de VamiSec en Sankt Augustin (en sus propias GPU en la modalidad on-premise), Anthropic Claude, OpenAI o su propio LLM (BYOLLM). Con Qwen3.8, los datos del objetivo permanecen en Alemania o en su infraestructura; con Anthropic Claude u OpenAI, los fragmentos los procesa el proveedor en EE. UU.; con su propio LLM, la relación contractual se establece directamente entre usted y el proveedor. Las credenciales de su propio LLM nunca se almacenan en texto claro, nunca se registran y nunca se devuelven. De forma opcional — a petición del usuario tras el escaneo y desactivable por el operador —, el modelo puede además redactar textos de apoyo para la remediación. No puede crear hallazgos ni cambiar valoraciones; las cookies, los tokens Bearer y JWT, el material de claves y los valores de consulta de URL se eliminan antes, y los textos de IA se marcan en el informe PDF. Sin LLM el escaneo continúa; solo se pierden los payloads de respaldo y la asistencia al triaje.

Seguimos un proceso definido de respuesta a incidentes dentro de nuestro SGSI certificado conforme a ISO/IEC 27001 y notificamos a los clientes afectados; los detalles se regulan en el DPA. Notifique las vulnerabilidades de seguridad de forma confidencial a security@vamisec.com — legible por máquina según RFC 9116 en /.well-known/security.txt.

No. No utilizamos los datos de clientes como datos de entrenamiento: no entrenamos ni ajustamos (fine-tuning) ningún modelo de IA con ellos, y solo conectamos modelos de IA externos bajo condiciones contractuales que excluyen su uso para entrenamiento. En la tabla de subencargados indicamos si VAMIDAST recurre a proveedores de IA externos y a cuáles. Si utiliza su propio LLM (BYOLLM), a ese modelo se aplican las condiciones de su contrato con el proveedor.

Los documentos públicos están disponibles directamente. Para la declaración de aplicabilidad, el whitepaper de seguridad o los cuestionarios cumplimentados basta con una breve solicitud a security@vamisec.com; los documentos sujetos a NDA se facilitan una vez firmado el acuerdo.

VAMIDAST está diseñado para escaneos seguros. Un bloqueo de seguridad clasifica cada solicitud activa — incluidas las de referencia — como de solo lectura o de cambio de estado y la bloquea en caso de duda (fail closed). Hay tres modos: Pasivo (solo rastreo y lectura), Seguro (predeterminado; endpoints que cambian el estado solo mediante violación de precondiciones, sin DELETE, PUT ni PATCH) y Agresivo — solo tras la confirmación expresa de un entorno que no es de producción; un valor de entorno «prod», mal escrito o vacío vuelve al modo Seguro. Los sistemas de producción solo se escanean en modo Pasivo o Seguro y solo con autorización. La lista de bloqueo (por ejemplo, cierre de sesión, configuración, reinicio de la base de datos) se aplica en todos los modos, los parámetros destructivos como contraseña, rol o campos de borrado nunca se someten directamente a fuzzing, y la limitación de tasa, los tiempos de espera y un presupuesto de solicitudes por endpoint son configurables. La aprobación de pruebas completas (full testing) para un escaneo queda registrada en el registro de auditoría con el nombre de quien la solicita.

En VamiAppSec, de tres maneras: como etapa fija de su pipeline de CI/CD (GitLab, GitHub, Azure DevOps) — cada build desplegado en staging se escanea, y los hallazgos confirmados por encima de un umbral de severidad pueden detener la gate; bajo demanda mediante CLI contra cualquier objetivo autorizado, con los mismos modos y salvaguardas; y de forma continua o programada contra sistemas de producción — allí solo en modo Pasivo o Seguro y solo con autorización. VAMIDAST puede usarse de forma independiente con su propio panel, API REST e informes (PDF, SARIF 2.1.0, CSV) o totalmente integrado en VamiAppSec, donde los hallazgos llegan al mismo backlog que SAST, SCA, SBOM y secretos.

Sí. Para VAMIDAST existe un contrato de encargo del tratamiento (DPA) específico del producto conforme al art. 28 del RGPD, disponible bajo petición en privacy@vamisec.com. Los plazos de supresión y conservación de sus datos están definidos y regulados en el DPA. Los datos en reposo están cifrados y las transmisiones se protegen mediante TLS.