Medidas de Seguridad para BioStar Air y el Acceso Móvil Suprema Pass

Descripción General de la Funcionalidad

BioStar Air es la solución segura de control de acceso móvil en la nube de Suprema. Los equipos de ingeniería de hardware, software y firmware de Suprema se rigen por el principio de “seguridad desde el diseño” (secure by design). Cada capa de la arquitectura del sistema y cada punto de comunicación están diseñados para proteger la privacidad y mantener la integridad de los datos.


Las principales medidas incluyen:

  • Asegurar y cifrar los datos en el Portal de Administración de BioStar Air y su base de datos
  • Cifrar y proteger los datos durante la comunicación entre la API de BioStar Air y los clientes
  • Cifrar los datos de las credenciales móviles almacenadas en los smartphones
  • Asegurar las comunicaciones entre los smartphones y los lectores (Suprema Pass)
  • Implementar mecanismos de prevención de falsificación para las credenciales móviles (Suprema Pass)


Certificación ISO 27001

BioStar Air cuenta con la certificación ISO 27001, cumpliendo con los estándares internacionales para la gestión de la protección de datos, los controles de seguridad y la gestión de información personal. Establecida inicialmente en agosto de 2019, la conformidad con ISO 27001 también está alineada con el Reglamento General de Protección de Datos (GDPR) y con legislaciones similares como la Ley de Privacidad del Consumidor de California (CCPA).


Tecnologías Comprobadas para Seguridad de Extremo a Extremo


Acceso Seguro al Portal y Protección de Datos

El Portal de Administración de BioStar Air se ejecuta sobre instancias de bases de datos cifradas de Amazon RDS en AWS, utilizando cifrado AES-256 o superior. Además, se aplica cifrado adicional a todos los datos personales.


Comunicación Cifrada con la API de BioStar Air

Toda la comunicación con la API REST de BioStar Air está cifrada mediante TLS 1.2 sobre HTTPS y requiere un token de acceso (con vencimiento predeterminado de una hora). AWS API Gateway limita las solicitudes a la API para prevenir ataques de fuerza bruta.


Identificadores de Credenciales Móviles Cifrados y Hasheados

Los números de identificación de las credenciales móviles se cifran utilizando AES-256 para evitar su exposición en servidores de terceros. Los datos de las credenciales se firman digitalmente para verificar su autenticidad.


Almacenamiento Seguro de Credenciales Móviles en Smartphones

Las credenciales móviles de Suprema Pass y los datos asociados se cifran con AES-256. Las claves de cifrado se almacenan en el Entorno de Ejecución Confiable (TEE) del dispositivo, como Secure Enclave (Apple) o TrustZone (ARM).


Comunicación Segura entre Teléfonos y Lectores

Para prevenir ataques de repetición (“replay attacks”) sobre Bluetooth Low Energy (BLE), BioStar Air utiliza claves de cifrado de un solo uso para cada conexión y finaliza la conexión inmediatamente después de la transferencia, evitando ataques de intermediario (MITM).


Prevención de Falsificación de Credenciales Móviles

Cada credencial móvil de Suprema Pass está protegida mediante firmas digitales basadas en PKI, únicas para cada sitio de BioStar Air. Procesos de verificación propietarios detectan cualquier intento de modificación o falsificación.


Gestión de Vulnerabilidades

El Equipo de Seguridad de la Información de Suprema lidera la gestión de vulnerabilidades, con el apoyo de especialistas externos en seguridad.

  • Escaneo automatizado continuo en busca de amenazas
  • Auditorías anuales de renovación ISO 27001 con revisión completa del sistema
  • Pruebas de penetración y evaluaciones de riesgo antes de lanzamientos importantes
  • Revisiones puntuales de higiene de contraseñas, resiliencia frente a ingeniería social y cumplimiento de procedimientos
  • Documentación y reporte completos de todas las vulnerabilidades y acciones de remediación


Enfoque de Evaluación de Riesgos

Los activos se clasifican según criterios de confidencialidad, integridad y disponibilidad. Se identifican las amenazas, se evalúan las vulnerabilidades y se valoran los riesgos en función de su probabilidad e impacto. Las medidas de mitigación se priorizan según la severidad del riesgo.


Autenticación Multifactor (MFA)

La autenticación multifactor se está implementando de forma progresiva:

  • 2FA basado en correo electrónico para cuentas de administradores
  • 2FA basado en código para la aplicación BioStar Air
  • Bloqueo automático de cuentas de administrador inactivas después de 90 días
  • Expiración de contraseñas configurable (30, 60 o 90 días)


Preguntas Frecuentes

  • Cifrado de datos en tránsito: TLS 1.2
  • Cifrado de datos en reposo: AES-256
  • Protección contra DoS: limitación de solicitudes mediante AWS API Gateway
  • Disponibilidad del servicio: 98–99 % de tiempo activo (según SLA contractual)
  • Seguridad de la API: autenticación basada en tokens, solo HTTPS, validación estricta de endpoints
  • Acceso al portal: basado en la nube para gestión global; opciones de nube privada en desarrollo