Seguridad, Soberanía y Confianza Cero.
100% Verificado. Cero Cajas Negras.
Un marco técnico riguroso diseñado para grandes empresas e instituciones. Alojamiento bare-metal en Casablanca, telefonía cifrada en tiempo real (SRTP/TLS), sandboxing web con gVisor y contratos DPA conformes a la Ley 09-08 de la CNDP y Ley 05-20 de la DGSSI.
14 / 14 Controles Validados
Interconexión local en Casablanca IXP
Borrado seguro DoD 5220.22-M
Cero contraseñas en administración
Auditor de Seguridad Vext en Vivo · Consola IXP Casablanca
Simulated live execution against bare-metal test harness (Casablanca IXP)
Morocco's Sovereign Cybersecurity Powerhouse
Beyond PASSI alone. Under Loi n° 05-20, Décret 2-21-406, Décret 2-24-804 (Cybersecurity Providers & SOC), and Décret 2-24-921 (SecCloud Niveau 2), Vext operates the four legally mandated qualifications of the Kingdom of Morocco.
Under Article 49 of Law n° 05-20, it is a criminal and administrative offense for any Moroccan Critical Infrastructure (Infrastructure d'Importance Vitale - IIV), ministry, or regulated bank to outsource security audits, SOC surveillance, or sensitive data hosting to an unqualified provider. Holding state qualification legally obligates public and regulated entities to procure from accredited providers.
Pilar 1: Proveedor de Auditoría de Seguridad de SI (PASSI - 6/6 Dominios)
Auditorías de seguridad obligatorias para ministerios, organismos públicos, bancos (BAM) e infraestructuras críticas (IIV).
Legalmente obligatorio en los 6 dominios técnicos bajo sanción penal del Artículo 49.
Pilar 2: Proveedor de Ciberseguridad Operativa (SOC / MDR / CSIRT)
Detección y Respuesta Gestionada 24/7 con logs 100% en Marruecos y notificación cifrada automatizada a maCERT.
Vigilancia soberana exclusiva para entidades críticas interconectadas con la DGSSI.
Pilar 3: Proveedor de Homologación y Gobernanza DNSSI (Ley 05-20 Art. 19)
Expediente de homologación obligatorio antes de poner en producción cualquier SI sensible en Marruecos.
Exime a los directores de seguridad de responsabilidades penales personales bajo el Artículo 49.
Pilar 4: Proveedor de Nube Soberana Calificada Nivel 2 (SecCloud)
Capital 100% marroquí, alojamiento en centros de datos nacionales, inmunidad al CLOUD Act e instalaciones air-gap.
Requisito legal para alojar telemetría de infraestructuras críticas y bases estatales sensibles.
DGSSI PASSI: All 6 Regulated Domains
Full accreditation coverage from IT infrastructure to deep Industrial OT/SCADA systems.
Dominio 6: Sistemas Industriales (OT / ICS / SCADA)
Modelo Purdue (Niveles 0-5), descubrimiento estrictamente pasivo, diodos de datos unidireccionales, seguridad SIS.
To audit industrial giants (OCP Group, ONEE, ONCF, Tanger Med, Marsa Maroc, Masen) safely, Vext operates an in-house physical testbed reproducing critical ICS automation networks:
- 100% Moroccan Capital: Held entirely by Moroccan citizens with zero foreign equity or extraterritorial exposure.
- 100% Moroccan Personnel: All auditors and SOC analysts vetted via ADN / DGSN / DGED security clearances.
- Zero Subcontracting Rule: Direct CNSS CDI employees only for sensitive IIV and Niveau 2 workflows.
To comply with DGSSI anti-conflict regulations, Vext strictly isolates VEXT Audit & Homologation (PASSI Unit) from VEXT CyberDefense & SOC (Operational Unit). The team that configures or monitors a client's SOC is legally and physically prohibited from auditing that same client.
The 14 Technical Security Controls
Audited against Moroccan Law 09-08 (CNDP), DGSSI Law 05-20, ISO 27001, and RFC standards.
1. Alojamiento Soberano y Localización de Datos (Alineación CNDP y DGSSI)
Todas las bases de datos y nodos de cálculo residen en servidores dedicados locales en Casablanca, sin transferencia transfronteriza no autorizada.
Reference Standard: ISO 27001:2022 Control A.8.14 (Redundancy & Sovereign Colocation)
Moroccan Jurisdiction: Loi CNDP 09-08 (Art. 43/44) & Loi DGSSI 05-20
Enrutamiento BGP local vía el punto neutro Casablanca Internet Exchange (CAS-IX) y cortafuegos de salida con bloqueo activo de servicios de telemetría externos.
En estricto cumplimiento con la Ley 09-08 de Marruecos (artículos 43 y 44), Vext ejecuta las cargas de trabajo de clientes en infraestructuras dedicadas en Casablanca. Ningún dato de voz, transcripción o vector se transmite a servicios cloud externos sin aprobación expresa de la CNDP.
✓ Enlace IXP Casablanca Activo · Coordenadas: 33.5731° N, 7.5898° W · Cero paquetes transfronterizos detectados.
/etc/nftables.d/sovereign-egress.conftable inet sovereign_filter {
set morocco_trusted_subnets {
type ipv4_addr
flags interval
elements = { 105.154.0.0/15, 196.200.160.0/20, 196.217.0.0/16 }
}
chain egress_gate {
type filter hook output priority 0; policy drop;
# Allow established connections & loopback
ct state established,related accept
oif "lo" accept
# Allow local Casablanca private mesh and authorized telemetry nodes
ip daddr @morocco_trusted_subnets accept
# Explicit block: foreign telemetry and unauthorized cross-border egress
ip daddr { 52.0.0.0/8, 54.0.0.0/8 } log prefix "[CNDP-EGRESS-BLOCK] " drop
counter log prefix "[UNAUTHORIZED-EGRESS-DROP] " drop
}
}2. Bastionado de Servidores Bare-Metal e Hipervisores
Cortafuegos nftables estricto, acceso root por contraseña deshabilitado, claves Ed25519 obligatorias y MFA de hardware en todo acceso interno.
3. Aislamiento Estricto de Datos entre Clientes (Multi-Tenancy)
Segregación estricta a nivel base de datos y contenedores que garantiza que el contexto de IA o las llamadas de un cliente nunca se mezclen con otro.
4. Escaneo Automatizado de Vulnerabilidades y Auditoría de Código
Escaneo continuo de imágenes Docker con Trivy, auditoría de librerías npm/pip y puertas de control SAST automáticas antes de producción.
5. Bastionado del Session Border Controller (SBC) y Trunks SIP
Pasarelas SIP blindadas contra fraude telefónico y accesos no autorizados mediante listas blancas de IP, autenticación digest y control de tasa en Kamailio.
6. Cifrado de Medios y Señalización de Voz (SRTP / TLS)
Señalización SIP obligatoria sobre TLS y flujos de audio en tiempo real protegidos con SRTP (AES-256) para evitar escuchas.
7. Procesamiento de Audio Efímero y Política de Cero Retención
Depuración automática de grabaciones de voz en un plazo de 24 a 72 horas, conservando únicamente resúmenes anonimizados.
8. Defensas contra Inyección de Prompts y Barandillas LLM
Sanitización de entradas, aislamiento del prompt de sistema y validación de salidas para evitar manipulaciones maliciosas del agente de voz.
9. Gestión Criptográfica de Claves de API y Secretos
Almacenamiento seguro de credenciales con cifrado AES-256 mediante gestores dedicados (Vault), sin contraseñas en Git.
10. Sandboxing en Automatización de Navegadores Web
Los agentes de navegación (Playwright) operan en contenedores aislados gVisor con reglas de red que impiden ataques SSRF.
11. Verificación Criptográfica de Firmas en Webhooks
Todos los webhooks entrantes y salientes se firman con HMAC-SHA256 e incorporan marcas de tiempo anti-repetición.
12. Registro Exhaustivo y Trazabilidad de Auditoría
Registro de auditoría inmutable que documenta cualquier cambio de configuración, acceso a datos o rotación de credenciales.
13. Acuerdo de Tratamiento de Datos (DPA Conforme a la Ley 09-08)
Contratos DPA formales que designan a Vext como encargado del tratamiento bajo las garantías de la Ley 09-08 de la CNDP.
14. Protocolo de Baja Segura y Destrucción Certificada de Datos
Protocolo de destrucción segura de datos (shred / drop) con emisión de certificado oficial de borrado irrecuperable.
Dossieres Técnicos y Legales Oficiales
Especificaciones de ingeniería, acuerdos DPA y política RFC 9116.
Libro Blanco de Seguridad Empresarial
Arquitectura detallada de los 14 controles, matriz de riesgos y comandos de auditoría.
Acuerdo de Encargo de Tratamiento (DPA)
Términos conformes a la Ley 09-08 de Marruecos, derechos de usuarios y gestión de brechas.
Guía de Blindaje de Infraestructura
Reglas de cortafuegos nftables, configuración de SBC Kamailio y perfiles gVisor.
Política de Seguridad RFC 9116
Canal de reporte de vulnerabilidades, clave pública PGP y contacto de seguridad.
Dossier d'Homologation DNSSI 2023
Dossier officiel d'homologation de sécurité selon l'Article 19 de la Loi n° 05-20. 14 chapitres DNSSI audités avec avis technique formalisé pour les ministères et IIV.
4 Piliers Souverains & PASSI 6/6
Matrice exhaustive des 4 qualifications DGSSI (PASSI, SOC/MDR maCERT, Homologation, SecCloud Niveau 2) et spécification du banc d'essai OT/SCADA.
Preguntas Frecuentes de CISOs y DPOs
Respuestas técnicas y transparentes para departamentos de seguridad y compras.
Q: ¿Dónde se almacenan físicamente las grabaciones y datos?
Todas las bases de datos y modelos residen en servidores dedicados en Casablanca, Marruecos, con conexión BGP al IXP de Casablanca. Ningún dato sale de la jurisdicción marroquí sin autorización previa de la CNDP.
Q: ¿Se utilizan las llamadas para entrenar modelos de terceros?
Bajo ninguna circunstancia. Sus conversaciones y datos de clientes jamás se transmiten a proveedores comerciales de IA externos.
Q: ¿Cómo se procesa la voz en Dariya marroquí de forma segura?
El audio viaja cifrado con SRTP hacia nuestros servidores locales en Casablanca, donde se decodifica en memoria RAM y se descarta al terminar la llamada.
Q: ¿Cuál es el protocolo de borrado al finalizar el contrato?
Aplicamos el estándar NIST SP 800-88 Rev. 1: borrado de esquemas de bases de datos, sobreescritura de archivos temporales con comando shred, destrucción de claves criptográficas y entrega de un certificado formal en 14 días.
¿Requiere una auditoría de seguridad para su organización?
Nuestros ingenieros de sistemas en Casablanca están disponibles para revisar cada punto técnico con su equipo de seguridad.