INTRODUCCIÓN

Con el ánimo de mejorar la estrategia de Seguridad de la información PSINAPSIS OUTSOURCING SAS.

En adelante la Psinapsis Outsourcing SAS, surge la necesidad de definir un modelo que permita alinear los procesos hacia un mismo objetivo de seguridad en el manejo de la información.

Para tal fin, se establece una Política de la Seguridad de la Información, como marco de trabajo de la organización en lo referente al uso adecuado de los recursos, buscando niveles adecuados de protección y resguardo de la información, definiendo sus lineamientos, para garantizar el debido control y minimizar los riesgos asociados.

 

OBJETIVO

Este documento formaliza el compromiso de la gerencia frente a la gestión de la seguridad de la información y presenta de forma escrita a los usuarios de sistemas de información el compendio de acciones con las cuales Psinapsis Outsourcing SAS establece las normas para proteger de posibles riesgos de daño, pérdida y uso indebido de la información, los equipos y demás recursos informáticos de la Empresa.

El presente documento define los lineamientos que se deben seguir con relación a la seguridad de la Información. Estos lineamientos están escritos en forma de políticas.

 

ALCANCE

El documento de Política de Seguridad de la Información reglamenta la protección y uso de los activos de información de la Empresa y por tanto está dirigido a todos aquellos usuarios que posean algún tipo de contacto con estos activos. Los usuarios de los activos de información de la Empresa deberán aceptar la política de protección de datos personales, que adicionalmente los compromete con el cumplimiento de la política de seguridad aquí descrita. Los usuarios de los activos de información de la Empresa se han clasificado así:

Colaboradores: se definen como colaboradores, aquellas personas que han suscrito un contrato laboral con la Empresa y que son susceptibles de manipular sistemas de información.

Contratistas: se definen como contratistas, aquellas personas que han suscrito un contrato por prestación de servicios con la Empresa y que son susceptibles de manipular sistemas de información.

Clientes, son aquellas personas que adquieren alguno de nuestros servicios, y que tienen acceso a nuestro sistema de información Psimétrica y/o que reciben hojas de vida de candidatos en proceso de selección.

Proveedores de recursos informáticos.

Otras Empresas

 

REQUISITOS LEGALES Y/O REGLAMENTARIOS

Para la implementación de la estrategia de seguridad de la información, Psinapsis Outsourcing SAS debe regirse por lo dispuesto en el marco jurídico y normativo aplicable a las Empresas que las regulan y aglutinan.

 

DEFINICIONES

Para los propósitos de este documento se aplican los siguientes términos y definiciones:

Activo: Cualquier bien que tenga valor para la organización.

Acuerdo de Confidencialidad: Documento que debe suscribir todo usuario con el objeto de lograr el acceso a recursos informáticos de Psinapsis Outsourcing SAS.

Administradores: Usuarios a quienes se les ha dado la tarea de administrar los recursos informáticos y poseen un identificador que les permite tener privilegios administrativos sobre los recursos informáticos de la Empresa, quienes estarán bajo el control del Coordinador de Sistemas.

Amenaza: Causa potencial de un incidente no deseado, que puede ocasionar daño a un sistema u organización.

Backup: Copia de la información en un determinado momento, que puede ser recuperada con posterioridad.

Contraseña: Clave de acceso a un recurso informático.

Control: Medios para gestionar el riesgo, incluyendo políticas, procedimientos, directrices, prácticas o estructuras de la organización que pueden ser de naturaleza administrativa, técnica, de gestión o legal.

Directrices: Descripción que aclara lo que se debería hacer y cómo hacerlo, para alcanzar los objetivos establecidos en las políticas.

Servicios de procesamiento de la información: Cualquier servicio, infraestructura o sistema de procesamiento de información o los sitios físicos que los albergan.

Seguridad de la Información: Preservación de la confidencialidad, integridad y disponibilidad de la información, además, otras propiedades tales como autenticidad, responsabilidad, no repudio y confiabilidad pueden estar involucradas.

Evento de seguridad de la información: Es la presencia identificada de un estado del sistema, del servicio o de la red que indica un posible incumplimiento de la política de seguridad de la información, una falla de controles, o una situación previamente desconocida que puede ser pertinente para la seguridad.

Firewall: Conjunto de recursos de hardware y software que protegen recursos informáticos de accesos indebidos.

Incidente de seguridad de la información: Está indicado por un solo evento o una serie de eventos inesperados o no deseados de seguridad de la información que tienen una probabilidad significativa de comprometer las operaciones de Psinapsis Outsourcing SAS y amenazar la seguridad de la información.

Información confidencial (RESERVADA): Información administrada por Psinapsis Outsourcing SAS en cumplimiento de sus deberes y funciones y que en razón de aspectos legales debe permanecer reservada y puede ser únicamente compartida con previa autorización del titular de la misma.

Información confidencial ( CONFIDENCIAL): Información generada por Psinapsis Outsourcing SAS en cumplimiento de sus deberes y funciones y que debe ser conocida exclusivamente por un grupo autorizado por esta. El acceso a este tipo de información debe ser restringido y basado en el principio del menor privilegio. Su divulgación a terceros requiere permiso del titular de la misma y de acuerdos de confidencialidad. Así mismo, su divulgación no autorizada puede causar daños importantes a la Empresa. Todo material generado durante la creación de copias de este tipo de información (ejemplo, mala calidad de impresión), debe ser destruido.

Información privada (USO INTERNO): Información generada por Psinapsis Outsourcing SAS en cumplimiento de sus deberes y funciones, que no debe ser conocida por el público en general. Su divulgación no autorizada no causa grandes daños a la Empresa y es accesible por todos los usuarios.

Información pública: Es la información administrada por Psinapsis Outsourcing SAS en cumplimiento de sus deberes y funciones que está a disposición del público en general; por ejemplo, la información de los registros públicos y la información vinculada al Registro Único Empresarial y Social – RUES.

LAN: Grupo de computadores y dispositivos asociados que comparten un mismo esquema de comunicación y se encuentran dentro de una pequeña área geográfica (un edificio ó una oficina).

Licencia de Software: Es la autorización o permiso concedido por el dueño del programa al usuario para utilizar de una forma determinada y de conformidad con unas condiciones convenidas. La licencia precisa los derechos (de uso, modificación, o redistribución) concedidos a la persona autorizada y sus límites, además puede señalar el lapso de duración y el territorio de aplicación.

Copyright: Son el conjunto de derechos de exclusividad con que la ley regula el uso de una particular expresión, de una idea o información. En términos más generalizados se refiere a los derechos de copia de una obra (poemas, juegos, trabajos literarios, películas, composiciones musicales, grabaciones de audio, pintura, escultura, fotografía, software, radio, televisión, y otras formas de expresión de una idea o concepto), sin importar el medio de soporte utilizado (Impreso, Digital), en muchos de los casos la protección involucra un periodo de duración en el tiempo. En muchos casos el copyright hace referencia directa a la protección de los derechos patrimoniales de una obra.

Propiedad Intelectual: Es una disciplina normativa que protege las creaciones intelectuales provenientes de un esfuerzo, trabajo o destreza humana, dignos de reconocimiento jurídico. 1

Open Source (Fuente Abierta): Es el término por el que se conoce al software que es distribuido y desarrollado de forma libre, en el cual la licencia específica el uso que se le puede dar al software.

Software Libre: Software que una vez obtenido puede ser usado, copiado, modificado, o redistribuido libremente, en el cual la licencia expresamente especifica dichas libertades.

Software pirata: Es una copia ilegal de aplicativos o programas que son utilizados sin tener la licencia exigida por ley.

Software de Dominio P ú b l i c o: Tipo de software en que no se requiere ningún tipo de licencia y cuyos derechos de explotar, usar, y demás acciones son para toda la humanidad, sin que con esto afecte a su creador, dado que pertenece a todos por igual. En términos generales software de dominio público es aquel en el cual existe una libertad total de usufructo de la propiedad intelectual.

Freeware: Software de computador que se distribuye sin ningún costo, pero su código fuente no es entregado.

Shareware: Clase de software o programa, cuyo propósito es evaluar por un determinado lapso de tiempo, o con unas funciones básicas permitidas. Para adquirir el software de manera completa es necesario un pago económico.

Módem (Modulador – Demodulador de señales): Elemento de comunicaciones que permite transferir información a través de líneas telefónicas.

Monitoreo: Verificación de las actividades de un usuario con respecto a los recursos informáticos de Psinapsis Outsourcing SAS.

OTP (One Time Password): Contraseña entregada por el administrador de un recurso informático que permite el primer acceso a dicho recurso y obliga al usuario a cambiarla una vez ha hecho este acceso.

Plan de contingencia: Plan que permite el restablecimiento ágil en el tiempo de los servicios asociados a los Sistemas de Información de Psinapsis Outsourcing SAS en casos de desastres y otros casos que impidan el funcionamiento normal.

Política: Toda intención y directriz expresada formalmente por la dirección.

Protector de pantalla: Programa que se activa a voluntad del usuario, ó automáticamente después de un tiempo en el que no ha habido actividad.

Proxy: Servidor que actúa como puerta de entrada a la Red Internet.

Recursos informáticos: Elementos de tecnología de Información tales como: computadores servidores de aplicaciones y de datos, computadores de escritorio, computadores portátiles, elementos de comunicaciones, elementos de los sistemas de imágenes, elementos de almacenamiento de información, programas y datos.

Riesgo: Combinación de la probabilidad de un evento y sus consecuencias.

Análisis de Riesgos: Uso sistemático de la información para identificar las fuentes y estimar el riesgo.

Evaluación de Riesgos: Todo proceso de análisis y valoración del riesgo.

Valoración del Riesgo: Proceso de comparación del riesgo estimado frente a criterios de riesgo establecidos para determinar la importancia del riesgo.

Gestión del riesgo: Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo.

Router: Equipo que permite la comunicación entre dos o más redes de computadores.

Sesión: Conexión establecida por un usuario con un Sistema de Información.

Sistema de control de acceso: Elementos de hardware o software que autorizan o niegan el acceso a los recursos informáticos de acuerdo con políticas definidas.

Sistema de detección de intrusos (IDS): Es un conjunto de hardware y software que ayuda en la detección de accesos ó intentos de acceso no autorizados a los recursos informáticos de Psinapsis Outsourcing SAS.

Sistema de encripción: Elementos de hardware o software que permiten cifrar la información, para evitar que usuarios no autorizados tengan acceso a la misma.

Sistema multiusuario: Computador y su software asociado, que permiten atender múltiples usuarios a la vez a través de las redes de comunicación.

Sistema operativo: Software que controla los recursos físicos de un computador.

Sistema sensible: Es aquel que administra información confidencial ó de uso interno que no debe ser conocida por el público en general.

Tercera parte: Persona u organismo reconocido por ser independiente de las partes involucradas, con relación al asunto en cuestión.

Usuario: Toda persona que pueda tener acceso a nuestro sistema de información PSIMETRICA.

Usuarios de red y correo: Usuarios a los cuales Psinapsis Outsourcing SAS les entrega un identificador de cliente para acceso a sus recursos informáticos.

Usuarios externos: Son aquellos clientes externos (CANDIDATOS) que utilizan los recursos informáticos de Psinapsis Outsourcing SAS a través de Internet y que registran información personal en nuestro sistema de información.

Vulnerabilidad: Debilidad de un activo o grupo de activos que puede ser aprovechada por una o más amenazas.

 

RESPONSABLE

  • COMPROMISO DE LA DIRECCIÓN

La gerencia debe brindar evidencia de su compromiso con el establecimiento, implementación, operación, seguimiento, revisión, mantenimiento y mejora de los mecanismos para asegurar información:

  • Mediante el establecimiento de una política de seguridad de la información;
  • Estableciendo funciones y responsabilidades de la seguridad de la información;
  • Comunicando a la organización la importancia de cumplir los parámetros de seguridad de la información, las responsabilidades legales, y las necesidades de la mejora continua;
  • Asegurando que se realizan auditorías internas.

GESTIÓN DE LOS RECURSOS

  • Asegurar que las políticas de seguridad de la información brindan apoyo al cumplimiento de la misión y visión de Psinapsis Outsourcing SAS.
  • Identificar y atender los requisitos legales y reglamentarios, así como las obligaciones de seguridad contractuales.
  • Mantener la seguridad suficiente mediante la aplicación correcta de todos los controles implementados;
  • Asegurar que todo el personal tiene conciencia de la importancia de la seguridad de la información.

 

PROCEDIMIENTO

Comunicación de las políticas de seguridad:

Desde el acceso de nuestro sistema de información PSIMETRICA, socializamos nuestra política de protección de datos personales y nuestra política de seguridad de la Información, promocionando que los recursos de información sean utilizados de manera permanente por nuestros usuarios, que acceden a diferentes servicios, definidos en este documento.

Aplicación de la política de seguridad:

La política de seguridad informática se orienta a reducir el riesgo de incidentes de seguridad, minimizar su efecto, establecer las reglas básicas de operación de los recursos informáticos, así como disminuir y eliminar muchos factores de riesgo, principalmente la ocurrencia.

 

  • POLÍTICA DE SEGURIDAD DE PSINAPSIS OUTSOURCING SAS.

Psinapsis Outsourcing SAS reconoce abiertamente la importancia de la seguridad de la información, así como la necesidad de su protección para constituir un activo estratégico de la organización y todas las partes interesadas, el no uso adecuado de los activos de información puede poner en peligro la continuidad de la prestación de los servicios o al menos suponer daños muy importantes que afecten el normal funcionamiento de los procesos.

Los colaboradores, terceros y usuarios en general deberán conocer el presente documento, normas, reglas, estándares y procedimientos que apliquen según sea el caso; el desconocimiento que conlleve a la violación de lo anteriormente mencionado representará para la persona involucrada las sanciones disciplinarias que apliquen según el incidente presentado.

Igualmente se implementarán los controles de seguridad encaminados a garantizar la confidencialidad, integridad y disponibilidad de los activos de información de Psinapsis Outsourcing SAS con el objetivo de lograr un nivel de riesgo aceptable de acuerdo con la visión, misión, planeación y estrategia de la compañía, y dando cumplimiento al marco jurídico aplicable a los estándares nacionales.

 

  • POLÍTICAS GENERALES DE SEGURIDAD INFORMÁTICA

Estas normas son de obligatorio cumplimiento por parte de todos los usuarios de recursos informáticos y se han clasificado en:

  • Políticas de Cumplimiento y Sanciones
  • Políticas de uso de recursos informáticos
  • Política de uso de contraseñas
  • Políticas de uso de información
  • Política de uso de internet y correo electrónico
  • Políticas para Desarrolladores de Software
  • Políticas para Administradores de Sistemas
  • Políticas de Copias de respaldo
  • Políticas de Uso de Firewall
  • Políticas para Usuarios externos

 

  • POLÍTICAS DE CUMPLIMIENTO Y SANCIONES
  • Cumplimiento con la seguridad de la información

Todos los colaboradores de la organización, así como los contratistas, deben cumplir y acatar las políticas y los procedimientos en materia de protección y seguridad de la información. Corresponde velar por su estricto cumplimiento a la gerencia de Psinapsis Outsourcing SAS y el administrador de Seguridad de la Información.

  • Medidas disciplinarias por incumplimiento de políticas de seguridad

Todo incumplimiento de una política de seguridad de la información por parte de un funcionario o contratista, así como de cualquier estándar o procedimiento es causa para iniciar acciones disciplinarias, las cuales de acuerdo a su gravedad pueden suponer la terminación de la vinculación laboral del colaborador o contratista.

Si el incumplimiento se origina en alguna sede de Psinapsis Outsourcing SAS, esta podrá suspender la prestación de cualquier servicio de información.

  • POLÍTICAS DE USO DE RECURSOS INFORMÁTICOS
  • Instrucciones para el uso de recursos informáticos.

El uso de cualquier sistema de información y demás recursos informáticos por parte del colaborador, contratista o usuarios de los sistemas de Psinapsis Outsourcing SAS, debe someterse a todas las instrucciones técnicas, que imparta la Empresa.

  • Uso personal de los recursos

Los recursos informáticos de Psinapsis Outsourcing SAS, dispuestos para la operación, solo deben ser usados para fines laborales. El producto del uso de dichos recursos tecnológicos será de propiedad de la Empresa y estará catalogado como lo consagran las políticas de la Empresa. Cualquier otro uso está sujeto a previa autorización de la Gerencia.

  • Aceptación de acuerdos

Para el uso de los recursos tecnológicos de Psinapsis Outsourcing SAS, todo usuario debe aceptar la política de protección de datos personales, un acuerdo de confidencialidad y un acuerdo de Seguridad de los sistemas de información, antes de que le sea otorgado su Login de acceso a la red y sus respectivos privilegios o medios de instalación.

  • Uso del aplicativo

Psinapsis Outsourcing SAS ha suscrito con los clientes un contrato de “LICENCIA DE USO” para los aplicativos que utiliza. Está terminantemente prohibido vender o copiar cualquiera de los aplicativos suministrados, esto se asegura con la firma del Acuerdo de Confidencialidad para los usuarios y con la firma del contrato realizado con los proveedores que maneje información de uso restringido a Psinapsis Outsourcing SAS, adicional a esto cada usuario, dependiendo de las actividades que realice sobre las aplicaciones maneja un perfil limitado, de esta forma es controlado el acceso.

  • El usuario es responsable por toda actividad que involucre su identificación personal o recursos informáticos

Todo usuario es responsable por todas las actividades relacionadas con su identificación. La identificación no puede ser usada por otro individuo diferente a quien esta le fue otorgada. Los usuarios no deben permitir que ninguna otra persona realice labores bajo su id Empresa. De forma similar, los usuarios no deben realizar actividades bajo la id Empresa de alguien más.  La utilización de los recursos informáticos por parte de terceras personas con conocimiento o consentimiento del usuario, o por su descuido o negligencia, lo hace responsable de los posibles daños que estas personas ocasionen a los equipos o a la propiedad de Psinapsis Outsourcing SAS.

  • Declaración de reserva de derechos de Psinapsis Outsourcing SAS

Psinapsis Outsourcing SAS usa controles de acceso y otras medidas de seguridad para proteger la confidencialidad, integridad y disponibilidad de la información manejada por los usuarios en su sistema de información. Para mantener estos objetivos Psinapsis Outsourcing SAS se reserva el derecho y la autoridad de: 1. Restringir o revocar los privilegios de cualquier usuario; 2. Inspeccionar, copiar, remover cualquier dato, programa u otro recurso que vaya en contra de los objetivos antes planteados; y, 3. Tomar cualquier medida necesaria para manejar y proteger los sistemas de información de Psinapsis Outsourcing SAS. Esta autoridad se puede ejercer con o sin conocimiento de los usuarios, bajo la responsabilidad del gerente o su suplente.

  • Acceso no autorizado a los sistemas de información de la

Está totalmente prohibido obtener acceso a sistemas de información a los que no se tiene privilegios y de alguna forma dañar o alterar la operación de dichos sistemas. Esto implica la prohibición de capturar contraseñas, llaves de encripción y otros mecanismos de control de acceso que le puedan permitir obtener ingreso a sistemas no autorizados.

  • Posibilidad de acceso no implica permiso de

Los usuarios no deben leer, modificar, copiar o borrar información perteneciente a otro usuario sin la debida autorización de este.

  • Prohibición a la explotación de vulnerabilidades de seguridad de los recursos informáticos.

A no ser que exista una aprobación por escrito para ello o sea parte de su función laboral, los usuarios no deben explotar las deficiencias de seguridad de los sistemas de información para dañar los sistemas o la información contenida en ellos, obtener acceso a recursos a los cuales no se le ha dado acceso. En el caso de encontrar vulnerabilidades, estas deben ser reportadas de inmediato a la gerencia.

  • Notificación de sospecha de pérdida, divulgación ó uso indebido de información.

Cualquier incidente de Seguridad debe reportarse por escrito al correo electrónico soporte@psimetrica.com.

  • Etiquetado y presentación de información de tipo confidencial a los usuarios de

Toda la información que sea crítica para la organización debe ser etiquetada de acuerdo con los niveles establecidos en el presente documento: USO INTERNO y CONFIDENCIAL.

  • Control de recursos informáticos entregados a los

Cuando un usuario inicie su relación laboral con Psinapsis Outsourcing SAS se debe diligenciar el documento de entrega de inventario.

Cuando un empleado termine su vinculación laboral con la Empresa, sea trasladado a otra dependencia o por alguna otra circunstancia deje de utilizar el computador personal o el recurso tecnológico suministrado con carácter permanente, deberá hacerse una validación de lo entregado por el usuario contra lo registrado en el formato de descargue de inventario. El empleado será responsable de los deterioros o daños que por su negligencia haya ocasionado a los equipos de hardware.

  • Configuración de sistema operativo de las estaciones de

Solamente los colaboradores del área técnica de sistemas están autorizados para cambiar la configuración del sistema operativo de las estaciones de trabajo de los usuarios.

  • Protección por Defecto de Copyright

Todos los colaboradores de la Psinapsis Outsourcing SAS deben revisar, e investigar los derechos de propiedad intelectual para todo material como libros, artículos, informes, imágenes, software y/o sitio Web encontrado en Internet antes de ser usado para cualquier propósito con el fin de asegurar el cumplimiento de las leyes que aplican para este tipo de información.

El administrador de Sistemas debe realizar actividades de monitoreo sobre el software instalado en cada uno de los equipos de la organización, lo anterior para asegurar que los programas instalados correspondan correctamente con las licencias adquiridas por la empresa.

  • Custodia de Licencias de Software

Las licencias deben ser custodiadas y controladas por el área de Sistemas. Esta área debe realizar auditorías de licencia de software como mínimo una vez al año generando las evidencias respectivas, lo anterior para garantizar que los colaboradores solo tienen instalado software legal y autorizado por Psinapsis Outsourcing SAS.

  • POLÍTICAS DE USO DE LAS CONTRASEÑAS
  • Confidencialidad de las contraseñas.

La contraseña que cada usuario asigna para el acceso a los sistemas de información, debe ser personal, confidencial e intransferible. Cada usuario debe velar porque sus contraseñas no sean vistas y aprendidas por otras personas.

  • Uso de diferentes contraseñas para diferentes recursos informáticos.

Para impedir el compromiso de múltiples recursos informáticos, cada usuario deberá utilizar diferentes contraseñas para cada recurso al que tiene acceso. Esto involucra así mismo a los equipos de comunicación (firewall, routers, servidores de control de acceso) y a los administradores de los mismos.

  • Identificación única para cada usuario.

Cada usuario tendrá una identificación única en cada sistema al que tenga acceso (usuario), acompañado de un elemento para su autenticación (contraseña) de carácter personal y confidencial para la utilización de los recursos tecnológicos necesarios para sus labores.

  • Cambios periódicos de contraseñas.

Todos los usuarios deben ser automáticamente forzados a cambiar su contraseña por lo menos una vez al año.

  • Longitud mínima de contraseñas.

Todas las contraseñas deben tener una longitud mínima de SEIS (6) caracteres que debe cumplir con algunas de las siguientes características: Incluir combinación de números, letras mayúsculas, minúsculas y caracteres especiales.

  • Contraseñas

Las contraseñas no deben ser nombres propios ni palabras del diccionario, debe ser una mezcla de números, letras y caracteres especiales.

  • Prohibición de contraseñas cíclicas.

No se debe generar contraseñas compuestas por una combinación fija de caracteres y una combinación variable pero predecible. Un ejemplo de este tipo de contraseñas prohibidas es “Enero-2004” que según la política “Contraseñas fuertes”, es una contraseña válida, pero al mes siguiente pasa a ser “Febrero-2004” y así sucesivamente.

  • Las contraseñas creadas por usuarios no deben ser reutilizadas.

El usuario no debe generar una contraseña idéntica o sustancialmente similar a una que ya haya utilizado anteriormente. Esta política es complementada por la política “Prohibición de contraseñas cíclicas”.

  • Almacenamiento de contraseñas.

Ninguna contraseña debe ser guardada de forma legible en archivos “batch”, scripts, macros, teclas de función de terminal, archivos de texto, en computadores o en otras ubicaciones en donde personas no autorizadas puedan descubrirlas o usarlas. Ningún usuario bajo ninguna circunstancia está autorizado para tener su contraseña en cualquier medio impreso, con excepción de lo contemplado en la política “Almacenamiento de contraseñas de administrador”.

  • Sospechas de compromiso deben forzar cambios de contraseña.

Toda contraseña deberá ser cambiada de forma inmediata si se sospecha o se conoce que ha perdido su confidencialidad.

  • Revelación de contraseñas.

Bajo ninguna circunstancia está permitido revelar la contraseña a colaboradores o a terceras personas. La contraseña personal no debe ser digitada en presencia de terceras personas, así sean colaboradores de la Empresa. Ningún usuario deberá intentar obtener contraseñas de otros usuarios.

  • Reporte de cambio en las responsabilidades de los usuarios al Administrador del

El Director Administrativo y Financiero de manera oportuna al área de sistemas, todos los cambios significantes en las responsabilidades de un usuario, de su estado laboral, de su ubicación dentro de la organización, con el fin de mantener el principio de seguridad de la información.

  • POLÍTICAS DE USO DE LA INFORMACIÓN
  • Divulgación de la información manejada por los usuarios de la Psinapsis Outsourcing SAS

Psinapsis Outsourcing SAS podrá divulgar la información de un usuario almacenada en los sistemas de acuerdo con la autorización suscrita por él mismo, por disposición legal, por solicitud de autoridad judicial o administrativa salvo las excepciones indicadas en este documento y las disposiciones legales de protección de datos personales. La información proveniente de los servicios prestados por Psinapsis Outsourcing SAS es administrada y conservada, observando las disposiciones propias del régimen de protección de datos personales, garantizando la privacidad de la información, previamente clasificada, salvó autorización del titular de la misma para su divulgación.

  • Transferencia de datos solo a organizaciones con suficientes

Psinapsis Outsourcing SAS puede transmitir información privada solamente a terceros que por escrito se comprometan a mantener dicha información bajo controles adecuados de protección. Se da una excepción en casos en los que la divulgación de información es forzada por la ley.

  • Registro de las compañías que reciben información

El personal de Psinapsis Outsourcing SAS que liberó información privada a terceros debe mantener un registro de toda divulgación y este debe contener qué información fue revelada, a quién fue revelada y la fecha de divulgación.

  • Transferencia de la custodia de información de un colaborador que deja la empresa.

Cuando un colaborador se retira de Psinapsis Outsourcing SAS, su jefe inmediato debe revisar tanto los archivos magnéticos, correo electrónico como documentos impresos para determinar quién se encargará de dicha información o para ejecutar los métodos para la destrucción de la información.

  • Transporte de datos sensibles en medios legibles.

Si se transporta información sensible en medios legibles por el computador (disquetes, cintas magnéticas, CD´s, memorias USB), la información deberá ser encriptada, siempre y cuando el receptor acepte el intercambio de datos cifrados. Para equipos portátiles este tipo de información es asegurada mediante una aplicación de cifrado.

  • Eliminación segura de la Información en Medios Informáticos.

Todo medio informático reutilizable de terceros como equipos rentados, discos externos, memorias USB, etc. utilizados por la Psinapsis Outsourcing SAS, antes de su entrega se les realizara un proceso de borrado seguro en la información.

  • Eliminación segura de la información en medios físicos.

Cualquier documento físico que haya sido considerado y clasificado de carácter confidencial y que necesite ser destruido, debe realizarse en la respectiva máquina destruye papel o cualquier otro método seguro de destrucción.

  • POLÍTICAS DEL USO DE INTERNET Y CORREO ELECTRÓNICO
  • Formalidad del correo electrónico.

Toda comunicación a través del correo electrónico interno se considera una comunicación de tipo laboral y formal, por tanto podrá ser supervisada por el superior inmediato del empleado.

  • Preferencia por el uso del correo electrónico.

Debe preferirse el uso del correo electrónico al envío de documentos físicos siempre que las circunstancias lo permitan.

  • Uso de correo electrónico.

La cuenta de correo asignada es de carácter individual por lo cual ningún empleado bajo ninguna circunstancia debe usar la cuenta de otro empleado.

  • Revisión del correo electrónico.

Todos los usuarios que dispongan de correo electrónico están en la obligación de revisarlo al menos tres veces diarias. Así mismo, es su responsabilidad mantener espacio libre en el buzón.

  • Mensajes

Se prohíbe el uso del correo electrónico con fines religiosos, políticos, lúdicos o personales o en beneficio de terceros ó que vulnere los derechos fundamentales de las personas. Por tanto, está prohibido el envío, reenvío o en general cualquier otra conducta tendiente a la transmisión de mensajes humorísticos, pornográficos, en cadena, publicitarios y en general cualquier otro mensaje ajeno a los fines laborales sin importar si son de solo texto, audio, video o una combinación de los tres.

  • Acciones para frenar el SPAM.

En el caso de recibir un correo no deseado y no solicitado (también conocido como SPAM), el usuario debe abstenerse de abrirlo y avisar inmediatamente al área de sistemas.

  • Todo buzón de correo debe tener un responsable.

Todo buzón de correo asignado debe tener una persona responsable de su administración, incluidos los buzones de las aplicaciones.

  • Enviando software e información sensible a través de internet.

Software e información sensible de Psinapsis Outsourcing SAS que requiera ser enviado por Internet debe transmitirse con la mayor seguridad posible acordada entre las partes.

  • Intercambio de información a través de internet.

La información interna puede ser intercambiada a través de Internet, pero exclusivamente para propósitos laborales, con la debida aprobación y usando los mecanismos de seguridad apropiados.

  • POLÍTICAS PARA DESARROLLADORES DE SOFTWARE
  • Ambientes separados de producción y desarrollo.

Todo sistema o aplicativo debe contar con ambiente de desarrollo y ambiente de producción. Así mismo para la realización de pruebas no se deben utilizar datos de producción.

  • Cumplimiento del procedimiento para cambios y/o actualizaciones.

Todo cambio y/o actualización en los sistemas de información que se encuentren en producción, serán evaluados en ambientes de prueba cuya función es determinar el correcto funcionamiento y compatibilidad con las herramientas base. Una vez determinado el correcto funcionamiento y compatibilidad con las herramientas base se debe crear un plan de trabajo para la migración del ambiente de producción a la nueva versión.

  • Documentación de cambios y/o actualizaciones.

Todo cambio y/o actualización en los sistemas de información que se encuentren en producción, debe tener la documentación respectiva.

  • Catalogación de programas.

Debe cumplirse con el procedimiento establecido para pasar programas del ambiente de desarrollo al ambiente de producción previa prueba por parte del área encargada.

  • Medidas de seguridad deben ser implantadas y probadas antes de entrar en operación.

Todos los controles de seguridad para los sistemas de información deben ser implantados y probados sobre ambientes de pruebas o desarrollo y antes que dicho sistema entre en operación.

  • Dependencia de la autenticación de usuario en el sistema operativo.

Los desarrolladores de aplicaciones no deberán crear su propio sistema de control de acceso a la aplicación en desarrollo, esta labor deberá recaer en el sistema operativo o en un sistema de control de acceso que mejora las capacidades del sistema operativo. Esta política debe empezar a cumplirse desde la liberación de este documento.

  • Incorporación de contraseñas en el software.

Ninguna contraseña deberá ser incorporada en el código de un software desarrollado o modificado por Psinapsis Outsourcing SAS o sus proveedores, para permitir que las contraseñas sean cambiadas con regularidad.

  • Acceso del usuario a los comandos del sistema operativo.

Después de haber iniciado una sesión, el usuario debe mantenerse en menús que muestren solo las opciones habilitadas para dicho usuario y de esta manera impedir la ejecución de comandos del sistema operativo y la divulgación de las capacidades del sistema. Se requieren registros de auditoría en sistemas que manejan información sensible.

Todo sistema que maneje información sensible para la Psinapsis Outsourcing SAS debe generar registros de auditoría que guarden toda modificación, adición y eliminación de dicha información.

  • Registros para los usuarios privilegiados en los sistemas en producción que lo permitan.

Toda actividad realizada en los sistemas por usuarios con privilegios de administración debe ser registrada, si los mismos lo permiten, o de lo contrario debe existir un procedimiento alterno de control.

  • Los registros del sistema deben incluir eventos relevantes para la seguridad.

Los sistemas de computación que manejan información sensible deben registrar todos los eventos de seguridad relevantes. Ejemplos de eventos de seguridad relevantes son: intentos de adivinación de contraseñas, intentos de uso de privilegios no otorgados, modificaciones a la aplicación y modificaciones al sistema.

  • Resistencia de los registros contra desactivación, modificación y eliminación.

Los mecanismos para detectar y registrar eventos de seguridad informática significativos deben ser resistentes a ataques, en los sistemas que permitan dicha configuración. Estos ataques incluyen intentos por desactivar, modificar o eliminar el software de registro y/o los registros mismos.

  • Procesos controlados para la modificación de información en producción.

La modificación de información en producción debe darse únicamente mediante procesos con privilegios dentro de la aplicación que maneja dicha información.  Esto con el fin de evitar que la información pueda ser modificada por medios diferentes a los canales establecidos. Se excluyen los casos de emergencia, previa autorización de la Presidencia Ejecutiva.

  • Validación de entradas en los desarrollos.

El desarrollador debe tener en cuenta durante la elaboración de la aplicación, la validación de las entradas de código con el objeto de evitar la ejecución de comandos que pongan en riesgo la seguridad de los sistemas.

  • Diseño de seguridad para aplicaciones.

El esquema de seguridad de aplicación debe elaborarse de acuerdo con las definiciones establecidas para la Psinapsis Outsourcing SAS.

  • Personas autorizadas para leer los registros de auditoría.

Los registros de sistemas y aplicaciones no deben estar disponibles para personal no autorizado. Personal no autorizado es aquel que no pertenece a auditoría interna, personal de seguridad informática, personal de administración de sistemas o administradores de bases de datos.

  • Archivo histórico de contraseñas.

En todo sistema multiusuario, software del sistema o software desarrollado localmente se debe mantener un archivo histórico encriptado de las contraseñas anteriores. Este archivo deberá ser usado para prevenir que un usuario seleccione una contraseña ya usada y debe contener como mínimo las últimas cinco (5) contraseñas de cada usuario.

  • POLÍTICAS PARA ADMINISTRADORES DE SISTEMAS
  • Soporte para usuarios con privilegios especiales.

Todos los sistemas y computadores multiusuario deben soportar un usuario con privilegios superiores a un usuario normal con el fin de poder ejercer las correspondientes labores administrativas y por lo cual estos privilegios deben ser asignados únicamente a los administradores.

  • Los privilegios de acceso a los sistemas de información otorgados a un usuario terminan cuando el usuario finaliza su vínculo contractual con la Empresa.

Todos los privilegios sobre los recursos informáticos de Psinapsis Outsourcing SAS otorgados a un usuario deben eliminarse en el momento que éste abandone la Empresa y la información almacenada queda en manos de su jefe inmediato para aplicar los procedimientos de retención o destrucción de información.

  • Cuando y como pueden asignar contraseñas los administradores.

Las contraseñas iniciales otorgadas por el administrador deben servir únicamente para el primer ingreso del usuario al sistema. En ese momento el sistema debe obligar al usuario a cambiar su contraseña.

  • Límite de intentos consecutivos de ingreso al sistema.

El sistema debe limitar el número de intentos consecutivos de introducir una contraseña valida. Después de tres (3) intentos el usuario debe pasar a alguno de los siguientes estados: a) ser suspendido hasta nueva reactivación por parte del administrador; b) ser temporalmente bloqueado (no menos de 5 minutos); c) ser desconectado si se trata de una conexión telefónica.

  • Cambio de contraseñas por defecto.

Todas las contraseñas por defecto que incluyen equipos y sistemas nuevos deberán ser cambiadas antes de su utilización siguiendo los lineamientos de la política “Contraseñas fuertes”.

  • Cambio de contraseñas después de compromiso detectado en un sistema a multiusuario.

Si un sistema multiusuario utiliza contraseñas como su sistema de control de acceso principal, el administrador del sistema debe asegurarse de que todas las contraseñas del mismo sean cambiadas de forma inmediata si se conoce evidencia de que el sistema ha sido comprometido. En este caso los usuarios deben ser advertidos de cambiar su contraseña en otros sistemas en los que estuvieran utilizando la misma contraseña del sistema en cuestión.

  • Administración de los buzones de correo.

Los administradores deben establecer y mantener un proceso sistemático para la creación y mantenimiento de los buzones de correo electrónico, mensualmente se realizará una revisión de control sobre cada uno de los buzones creados para determinar cuáles requieren una depuración para que no alcancen su límite de espacio asignado.

  • Brindar acceso a personal externo.

El administrador de los sistemas de información velará porque individuos que no sean empleados, contratistas o clientes de Psinapsis Outsourcing SAS, no tengan privilegio alguno sobre los recursos tecnológicos de uso interno de la Empresa a menos que exista una aprobación escrita de la gerencia.

  • Acceso a terceros a los sistemas de la Empresa requiere de un contrato firmado.

Antes de otorgarle acceso a un tercero a los recursos tecnológicos de Psinapsis Outsourcing SAS se requiere la firma de un formato, acuerdo o autorización de la gerencia. Es obligatoria la firma del acuerdo de confidencialidad.

  • Restricción de administración remota a través de internet.

La administración remota desde Internet no es permitida a menos que se utilicen mecanismos para encripción del canal de comunicaciones.

  • Dos usuarios requeridos para todos los administradores.

Administradores de sistemas multiusuario deben tener dos identificaciones de usuario: una con privilegios de administración y otra con privilegios de usuario normal.

  • Privilegios por defecto de usuarios y necesidad de aprobación explícita por escrito.

Sin autorización escrita de la gerencia, los administradores no deben otorgarle privilegios de administración a ningún usuario.

  • Información a capturar cuando un crimen informático o abuso es sospechado.

Para suministrar evidencia para investigación, persecución y acciones disciplinarias, cierta información debe ser capturada inmediatamente cuando se sospecha un crimen informático o abuso.  Esta información se deberá almacenar de forma segura en algún dispositivo fuera de línea. La información a recolectar incluye configuración actual del sistema, copias de backup y todos los archivos potencialmente involucrados.

  • Segmentación de recursos informáticos por prioridad de recuperación.

Se debe establecer y usar un marco lógico para la segmentación de recursos informáticos por prioridad de recuperación. Esto hará que los sistemas más críticos sean recuperados primero. Todos los departamentos deberán usar el mismo marco para preparar los planes de contingencia a los sistemas de información.

  • Monitoreo de Sistemas.

Se debe mantener una adecuada aplicación de monitoreo configurada que identifique el mal funcionamiento de los sistemas controlados.

  • Mantenimiento de los Sistemas.

Se debe realizar periódicamente el mantenimiento en las bases de datos, antivirus, servidores de correo y servicios de Psinapsis Outsourcing SAS.

  • Servicios de Red.

Se debe garantizar que el servicio de red utilizado por Psinapsis Outsourcing SAS se encuentre disponible y operando adecuadamente, el administrador del sistema o una persona autorizada por gerencia puede efectuar escaneos de la red con la finalidad de: resolver problemas de servicio, como parte de las operaciones normales del sistema y del mantenimiento, para mejorar la seguridad de los sistemas o para investigar incidentes de seguridad.

  • Revisión de accesos de usuarios.

Se debe realizar por control de auditoría la revisión de los accesos de los usuarios a las aplicaciones utilizadas, por lo menos dos veces por año.

  • POLÍTICAS DE BACKUP – Copias de respaldo
  • Período de almacenamiento de registros de auditoría.

Registros de aplicación que contengan eventos relevantes de seguridad deben ser almacenados por un período no menor a tres (3) meses. Durante este período los registros deben ser asegurados para evitar modificaciones y para que puedan ser vistos solo por personal autorizado. Estos registros son importantes para la corrección de errores, auditoría forense, investigaciones sobre fallas u omisiones de seguridad y demás esfuerzos relacionados.

  • Tipo de datos a los que se les debe hacer backup y con qué frecuencia.

A toda información sensible y software crítico de Psinapsis Outsourcing SAS residente en los recursos informáticos, se le debe hacer backup con la frecuencia necesaria soportada por el procedimiento de copias de respaldo. Se deben hacer pruebas periódicas para garantizar el buen estado de la información almacenada.

  • Copias de información sensible.

Se debe elaborar una copia de cada backup con el fin de minimizar el riesgo por daño del medio de almacenamiento en disco y cinta, según procedimiento de copias de respaldo.

 

  • POLÍTICAS DE USO DE FIREWALL
  • Detección de intrusos. Todo segmento de red accesible desde Internet debe tener un sistema de detección de intrusos (IDS) con el fin de tomar acción oportuna frente a ataques.
  • Toda conexión externa debe estar protegida por el firewall.

Toda conexión a los servidores de Psinapsis Outsourcing SAS proveniente del exterior, sea Internet, acceso telefónico o redes externas debe pasar primero por el Firewall. Esto con el fin de limitar y controlar las puertas de entrada a la organización.

  • Toda conexión hacia Internet debe pasar por el firewall.

El firewall debe ser el único elemento conectado directamente a Internet por lo cual toda conexión desde la red interna hacia Internet debe pasar por el firewall.

  • El sistema interno de direccionamiento de red no debe ser público.

Las direcciones internas de red y configuraciones internas deben estar restringidas de tal forma que sistemas y usuarios que no pertenezcan a la red interna no puedan acceder a esta información.

  • Revisión periódica y reautorización de privilegios de usuarios.

Los privilegios otorgados a un usuario deben ser reevaluados una vez al año con el fin de analizar sí los privilegios actuales siguen siendo necesarios para las labores normales del usuario, o si se necesita otorgarle privilegios adicionales. Esta política debe ser ejecutada por el área de sistemas con la participación de cada uno de los jefes de área, quienes harán la revisión y solicitud de cambios a la Presidencia.

  • POLÍTICAS PARA USUARIOS EXTERNOS
  • Términos y condiciones para clientes de internet.

Psinapsis Outsourcing SAS asume que todos los clientes que usan Internet para establecer relación con Psinapsis Outsourcing SAS aceptan los términos y condiciones impuestos por Psinapsis Outsourcing SAS en sus términos y condiciones de uso del portal de internet, antes de realizarse cualquier transacción.

  • Acuerdos con terceros que manejan información o cualquier recurso informático de Psinapsis Outsourcing SAS.

Todos los acuerdos relacionados con el manejo de información o de recursos de informática de Psinapsis Outsourcing SAS por parte de terceros, deben incluir una cláusula especial que involucre confidencialidad y derechos reservados. Esta cláusula debe permitirle a Psinapsis Outsourcing SAS ejercer auditoría sobre los controles usados para el manejo de la información y específicamente de cómo será protegida la información de Psinapsis Outsourcing SAS.

  • Definición clara de las responsabilidades de seguridad informática de terceros.

Socios de negocios, proveedores, clientes y otros asociados a los negocios de Psinapsis Outsourcing SAS deben tener conocimiento de sus responsabilidades relacionadas con la seguridad informática y esta responsabilidad se debe ver reflejada en los contratos con Psinapsis Outsourcing SAS y verificada por la Presidencia, el responsable del manejo de estos terceros deberá realizar un acompañamiento controlado durante su estadía en las instalaciones de Psinapsis Outsourcing SAS, y de esta manera podrá verificar la calidad en la entrega de los servicios contratados.

  • ACTUALIZACIÓN, MANTENIMIENTO Y DIVULGACIONDE LAS POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN.

Éste documento se debe revisar a intervalos planificados o cuando se produzcan cambios significativos, para garantizar que sigue siendo adecuada, suficiente y eficaz, por el área de sistemas.

El Administrador de Seguridad de la Información o la persona designada por la gerencia, debe aprobar el documento, es responsable por su publicación y comunicación a todos los empleados y partes externas pertinentes. El mecanismo de notificación y divulgación de los cambios realizados a la política de seguridad de la información será mediante correo electrónico.

  • RESPONSABILIDADES DEL ADMINISTRADOR DE SEGURIDAD DE LA INFORMACIÓN

El Administrador de Seguridad de la Información tendrá las siguientes funciones:

  • Identificar y satisfacer las necesidades de capacitación en temas de seguridad de la información a los colaboradores de Psinapsis Outsourcing SAS.
  • Actualización y seguimiento periódico al mapa de riesgos de Psinapsis Outsourcing SAS, validando con cada proyecto que se implemente como afecta el mapa de riesgos y tomando siempre como base este mapa para cualquier proyecto nuevo que se
  • Dirigir el programa de manejo y seguimiento de
  • Crear y establecer una metodología de clasificación de la información según su importancia e impacto dentro de la Psinapsis Outsourcing SAS.
  • Igualmente debe informarla a la Empresa y validar que se La metodología debe establecer niveles de acceso a la información.
  • Crear y mantener un Programa de Concienciación en seguridad de la información.
  • Evaluar en forma continua la efectividad de la seguridad de la información de la organización con el propósito de identificar oportunidades de mejoramiento y necesidades de capacitación.
  • Revisión y valoración de la Política de Seguridad de la Información.
  • Reportar a la Presidencia el estado de la seguridad y protección de la información en la compañía y la necesidad de nuevos proyectos en temas de seguridad de la información
  • Establecer y respaldar los programas de concientización de la compañía en materia de seguridad y protección de la información
  • Evaluar la adecuación, coordinación y la implementación de los controles de seguridad específicos para nuevos servicios o sistemas de información.
  • Promover explícitamente el apoyo institucional a la seguridad de la información en toda la organización.
  • Supervisar y controlar de los cambios significativos en la exposición de los activos de información a las principales
  • Revisar y seguir los incidentes de seguridad de la información.
  • Seguimiento a la aplicación de las políticas, programas y planes adoptados para la protección de los sistemas, recursos informáticos y servidores de la Red Interna y Centro de Cómputo de la Psinapsis Outsourcing SAS.
  • Participación activa en la revisión, evaluación, mantenimiento, recomendaciones, mejoras y actualizaciones de la presente política de la Psinapsis Outsourcing SAS.
  • VIGENCIA

Esta norma ha sido aprobada mediante decisión adoptada por Psinapsis Outsourcing, el día 1 de septiembre de dos mil veintiuno (2021).