12. Mantenimiento Recomendaciones para mantener los niveles de seguridad durante el funcionamiento productivo de la aplicación. 12.1 Protocolo de Backups Debe implementarse un protocolo de back-up periódico formalizado, con procedimientos para restaurar servicio en caso de fallos, a efectos de garantizar integridad y disponibilidad. Se recomienda definir tipo de backup, periodicidad, pruebas, usuarios y responsables. 12.2 Monitoreos periódicos de seguridad y alertas Se deberá ofrecer a los administradores herramientas de administración de cuentas, alertas de seguridad, monitoreo de abuso y registros de auditoría. 12.3 Reporte de incidentes y vulnerabilidades Se recomienda ofrecer un canal de contacto para el reporte de fallos, errores y vulnerabilidades. Se deberá implementar una Base de Conocimientos para facilitar el seguimiento de cada caso. Será necesario suscribirse a las notificaciones de seguridad del fabricante de cada componente utilizado en la aplicación. En caso de recibir información de terceros sobre vulnerabilidades que afecten a nuestra aplicación, se recomienda recabar la información necesaria para solucionar lo reportado. 12.4 Ventana de vulnerabilidad Es el plazo de tiempo desde que se toma conocimiento de la existencia de una vulnerabilidad hasta que se produce una nueva versión o parche correctivo. Se debe minimizarla para reducir el riesgo de ataques. Se recomienda establecer procesos especiales para casos que requieran corrección urgente. Algunos dispositivos permiten mitigar temporalmente las vulnerabilidades mediante la aplicación de “parches virtuales”. 12.5 Actualizaciones de seguridad Se deberá verificar que las actualizaciones reparen efectivamente la vulnerabilidad o fallo. También deberá probarse que los cambios no generan nuevas vulnerabilidades. En caso de que las actualizaciones se instalen manualmente deberá corroborarse que no queden instancias con versiones vulnerables. Es una buena práctica publicar reportes describiendo información técnica y la criticidad de la actualización. Dependiendo del tipo de aplicación, puede ser necesario notificar a los usuarios de los cambios aplicados. 12.6 Descarte de la aplicación Al llegar al final de la vida útil de un sistema, por obsolescencia o reemplazo, debe considerarse especialmente la privacidad de los datos almacenados. En caso de migración, deben tomarse medidas para evitar que se comprometa la integridad y establecerse mecanismos de custodia para garantizar la confidencialidad. Si se necesita destruir los datos de la aplicación original, debe validarse la eliminación mediante sobreescritura y adicionalmente destrucción física de los medios de almacenamiento que fueron utilizados. Al momento de una migración, deben validarse y sanitizarse todos los datos importados. IF-2021-76718462-APN-DNCIB#JGM Página 26 de 35