🛡️ ARQUITECTURA DE SEGURIDAD EMPRESARIAL B2B

Centro de Seguridad, Aislamiento y Permisos

Última actualización: 3 de agosto de 2026

En FinOps Hub, entendemos que las métricas de costes e infraestructura son información altamente sensible para cualquier organización. Por ello, hemos diseñado nuestra plataforma SaaS B2B bajo los principios de Zero-Trust, Aislamiento Físico por Inquilino (Database-per-Tenant), Conexiones 100% de Solo Lectura (Read-Only) y Privacidad Absoluta en IA.

1. Aislamiento Físico Multitenant (Database-per-Tenant)

A diferencia de las arquitecturas SaaS tradicionales que utilizan discriminadores lógicos (tenant_id) en tablas compartidas, FinOps Hub garantiza el máximo aislamiento:

Bases de Datos Independientes: Cada cliente asignado posee su propio esquema relacional aislado PostgreSQL (finops_tenant_<id>).
Imposibilidad de Filtración Cruzada: Ninguna consulta operativa puede acceder ni relacionar datos de dos inquilinos distintos, eliminando por completo el riesgo de fuga accidental de datos entre empresas.
AsyncLocalStorage en Backend: El servidor inyecta dinámicamente el pool de conexión exclusivo del inquilino autenticado mediante tokens cryptográficos validados.

2. Cifrado Criptográfico y Gestión de Credenciales

Cifrado en Reposo (At-Rest): Todas las claves de API, Secret Keys, Tokens de ServiceAccount de Kubernetes y credenciales Git se almacenan cifradas mediante el algoritmo militar AES-256-CBC con claves secretas rotatorias.
Cifrado en Tránsito (In-Transit): Todo el tráfico entre clientes, agentes y la plataforma viaja obligatoriamente cifrado mediante TLS 1.3 / HTTPS con cabeceras estrictas HSTS (Strict-Transport-Security).
Hasheo de Contraseñas: Las credenciales de acceso de usuarios se procesan de forma irreversible con bcryptjs. Las cookies de sesión (finops_token) son de tipo HttpOnly y protegen contra ataques XSS y CSRF.

3. Integración 100% Agent-less & Políticas de Solo Lectura (Read-Only)

FinOps Hub NUNCA requiere ni solicita permisos de modificación ni escritura en su infraestructura cloud. Al conectar sus cuentas, usted audita y aplica las siguientes políticas mínimas:

🟠 AWS (Amazon Web Services) — IAM Role & External ID (Recomendado)

Recomendamos la delegación mediante IAM Roles con External ID para acceso entre cuentas (Cross-Account Access), eliminando credenciales estáticas y evitando vulnerabilidades de Confused Deputy.

1. Política IAM de Solo Lectura (Permission Policy JSON):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "FinOpsHubReadOnlyCostMetrics",
      "Effect": "Allow",
      "Action": [
        "ce:GetCostAndUsage",
        "ce:GetReservationUtilization",
        "ec2:DescribeInstances",
        "ec2:DescribeVolumes",
        "ec2:DescribeAddresses",
        "s3:ListAllMyBuckets"
      ],
      "Resource": "*"
    }
  ]
}

2. Política de Confianza Cross-Account con External ID (Trust Relationship JSON):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::ACCOUNT_ID_FINOPS:root" },
      "Action": "sts:AssumeRole",
      "Condition": {
        "StringEquals": { "sts:ExternalId": "YOUR_TENANT_EXTERNAL_ID" }
      }
    }
  ]
}

🔷 Microsoft Azure & 🟢 Google Cloud Platform — Federated Identity (Sin Secretos)

Azure (Workload Identity / Federated OIDC): Conexión sin secreto mediante credenciales federadas de Azure AD vinculadas a nuestro emisor OIDC, con roles de solo lectura Cost Management Reader y Reader a nivel de suscripción.
GCP (Workload Identity Federation / Impersonation): Intercambio de tokens de corta duración vía Workload Identity Federation o asignación de roles/iam.serviceAccountTokenCreator, asociada exclusivamente a roles/billing.viewer y roles/recommender.viewer sin almacenar archivos clave privada JSON.

☸️ Kubernetes — ClusterRole RBAC de Solo Lectura (YAML)

Tanto en modo Agent-less como mediante el agente Push (finopshub-agent), el ServiceAccount asignado cuenta únicamente con permisos de lectura de consumo agregados:

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: finopshub-read-only
rules:
- apiGroups: [""]
  resources: ["pods", "nodes", "namespaces"]
  verbs: ["get", "list", "watch"]
- apiGroups: ["metrics.k8s.io"]
  resources: ["pods", "nodes"]
  verbs: ["get", "list"]

4. Privacidad del Asistente IA, Servidor MCP v2.0 & Transporte Seguro SSE

FinOps Hub implementa el estándar abierto Model Context Protocol (MCP v2.0) sobre transporte remoto seguro Server-Sent Events (SSE) para conectar datos de facturación con agentes de Inteligencia Artificial (Claude Desktop, Cursor IDE o Copilot web). Garantizamos por contrato y diseño técnico:

Cero Entrenamiento en LLMs Públicos: Ninguna métrica de coste, nombre de recurso, configuración ni dato de telemetría procesado por el Servidor MCP se utiliza jamás para entrenar o ajustar modelos de OpenAI, Anthropic ni Google.
Autenticación Criptográfica con Claves de Servicio: Los agentes externos se autentican mediante tokens de servicio (key_id.secret_key) cifrados con AES-256-CBC. El servidor valida la clave y enlaza la sesión exclusivamente al pool aislado PostgreSQL de la empresa (finops_tenant_<id>).
Confinamiento de Solo Lectura (Zod Read-Only Tools): Los modelos de lenguaje nunca reciben acceso a una consola SQL ni a credenciales de nube. Solo pueden invocar un catálogo cerrado de 9 herramientas analíticas tipadas con validación estricta de parámetros mediante Zod, imposibilitando cualquier alteración o mutación de recursos en su infraestructura.
Modo Local con Ollama en K8s (Zero Internet Egress): Para organizaciones con estrictos requerimientos de soberanía del dato, soportamos la ejecución de modelos de IA locales (Llama 3 / Qwen / Mistral) desplegados con Ollama dentro del propio clúster del cliente. El tráfico de IA jamás abandona su red privada ni requiere conexión a internet.

¿Tienes dudas de seguridad para tu equipo de SecOps?

Nuestro equipo técnico responde a cuestionarios de seguridad y revisiones de arquitectura en menos de 24 horas.

Contactar con el Equipo de Seguridad