Seguridad
IA sobre ServiceNow con el control que exige tu área de seguridad
Conectar un asistente a tus instancias no puede ser un salto de fe. Así protegemos las credenciales, qué datos guardamos, qué queda registrado y qué controles tienes tú.
Controles principales
Credenciales cifradas
Las credenciales de cada instancia se cifran en reposo con Fernet (AES-128-CBC con HMAC), con una clave maestra que no vive en la base de datos. Nunca se muestran en el panel ni en las respuestas.
OAuth 2.1 con PKCE
Claude se conecta con un flujo OAuth estándar con PKCE y registro dinámico de clientes. Los tokens caducan y se pueden revocar en cualquier momento.
Auditoría exportable
Cada ejecución queda registrada: herramienta, instancia, usuario, fecha, resultado y un resumen del payload sin credenciales. Se exporta a CSV.
Lista de IPs
El endpoint MCP puede restringirse a direcciones o rangos autorizados, con fecha de caducidad.
Confirmación en producción
Las instancias marcadas como producción piden confirmación explícita antes de cualquier escritura.
Roles mínimos
El usuario técnico solo tiene los roles que tú le asignes en ServiceNow. Recomendamos empezar en desarrollo o PDI.
Qué datos se guardan
Esto es todo lo que el servicio almacena. Los detalles completos están en la política de privacidad.
| Cuenta del panel | Correo, hash de contraseña (bcrypt), rol, fecha de creación y último acceso. |
|---|---|
| Instancias | Alias, URL, usuario técnico y credencial cifrada. |
| Autorización OAuth | Clientes registrados, tokens de acceso y refresco, alcances e IP de origen. |
| Auditoría | Herramienta, instancia, usuario, fecha, resultado y resumen del payload sin credenciales. |
| Memoria de trabajo | Solo las observaciones que el usuario o el asistente guardan de forma explícita. |
| Caché | Metadatos de tablas y documentación pública de ServiceNow, con caducidad. |
Lo que no se guarda
- El contenido de las conversaciones con el asistente.
- Los registros de ServiceNow que devuelve una consulta, salvo que el usuario los guarde como observación.
- Ningún dato se usa para publicidad, perfilado ni entrenamiento de modelos.
Permisos en ServiceNow
El usuario técnico necesita el rol admin o, como mínimo, rest_api_explorer más los roles x_mcp_bridge.executor y x_mcp_bridge.script_runner una vez instalado el bridge.
Infraestructura y operación
- Tráfico solo por HTTPS.
- Panel con CSP, HSTS, X-Frame-Options y protección CSRF.
- Base de datos PostgreSQL bajo control de OPTIMO TECH S.A.S.
- Instancias sin uso por 30 días quedan invalidadas y exigen revalidación.
- Solicitudes de acceso, corrección o eliminación atendidas en máximo 30 días.
Respaldo legal
- Licencia comercial de OPTIMO TECH S.A.S. (NIT 901.957.428-4).
- Política de privacidad bajo la Ley 1581 de 2012 de Colombia.
- Acuerdo de confidencialidad y acuerdo de tratamiento de datos (DPA) para empresas.
Preguntas de seguridad de TI
¿El asistente puede borrar datos de producción por error?
Las instancias marcadas como producción piden confirmación explícita antes de cualquier escritura, y cada operación queda en la auditoría. Además, el usuario técnico solo tiene los roles que tú le asignes.
¿Guardan los registros de mi instancia?
No. Los registros que devuelve una consulta pasan al cliente MCP y no se conservan, salvo que tú los guardes de forma explícita como observación en la memoria del cliente.
¿Puedo restringir desde qué redes se usa?
Sí. El endpoint MCP admite una lista de IPs o rangos autorizados, con fecha de caducidad.
¿Usan mis datos para entrenar modelos?
No. Los datos no se usan para publicidad, perfilado ni entrenamiento de modelos. El tratamiento que haga el proveedor del asistente lo rige su propia política.
¿Tu área de seguridad tiene más preguntas?
Agenda una sesión con nuestro equipo técnico. Llevamos la ficha y respondemos el cuestionario de tu proveedor.
Agendar demo