POLITICA DE SEGURIDAD CELSIA

Annotations:

• Establecer las medidas organizacionales, técnicas, físicas y legales, necesarias para proteger los activos de información contra acceso no autorizado, divulgación, duplicación, interrupción de sistemas, modificación, destrucción, pérdida, robo, o mal uso, que se pueda producir en forma intencional o accidental. 

Annotations:

• Esta Política es aplicable a todos los colaboradores, consultores, contratistas, terceras partes, que usen activos de información que sean propiedad de la organización

1. RESPONSABILIDAD

   Annotations:

   • Es responsabilidad de la Dirección de Gestión de Tecnología hacer uso de la Política de Seguridad de la Información, como parte de sus herramientas de gobierno y de gestión, de definir los estándares, procedimientos y lineamientos que garanticen su cumplimiento. 
2. CUMPLIMIENTO

   Annotations:

   • El cumplimiento de la Política de Seguridad de la Información es obligatorio. Si los colaboradores, consultores, contratistas, terceras partes violan estas políticas, la organización se reserva el derecho de tomar las medidas correspondientes. 
3. EXCEPCIONES

   Annotations:

   • Las excepciones a cualquier cumplimiento de Política de Seguridad de la Información deben ser aprobadas por la Dirección de Gestión de Tecnología, la cual puede requerir autorización de la Gerencia de Arquitectura Organizacional, la Vicepresidencia de Desarrollo Corporativo y Nuevos Negocios, del Comité de Asuntos Corporativos o de la Presidencia de la compañía. Todas las excepciones a la Política deben ser formalmente documentadas, registradas y revisadas. 
4. ADMINISTRACIÓN DE LAS POLÍTICAS

   Annotations:

   • Las modificaciones o adiciones de la Política de Seguridad de la Información serán propuestas por la Presidencia de la compañía, la Vicepresidencia de Desarrollo Corporativo y Nuevos Negocios, por medio de la Gerencia de Arquitectura Organizacional y serán aprobadas por el Comité de Asuntos Corporativos de Celsia. Estas políticas deben ser revisadas como mínimo una vez al año o cuando sea necesario.

1. Generalidades

   Annotations:

   • La información es un activo que la compañía considera esencial para las actividades de la empresa y debe ser protegida de acuerdo con los principios de confidencialidad, integridad y disponibilidad. A través de esta Política se difunden los objetivos de seguridad de la información de la compañía, que se consiguen a través de la aplicación de controles de seguridad, para gestionar un nivel de riesgo aceptable. Este documento tiene el objetivo de garantizar la continuidad de los servicios, minimizar la probabilidad de explotar las amenazas, y asegurar el eficiente cumplimiento de los objetivos de negocio y de las obligaciones legales conforme al ordenamiento jurídico vigente y los requisitos de seguridad destinados a impedir infracciones y violaciones de seguridad en Celsia. 
2. ORGANIZACIÓN DE SEGURIDAD
   1. ORGANIZACIONDE LA ORGANIZACION DE LA SEGURIDAD
   2. ESTANDARES DE LA POLITICA
      1. RESPONSABILIDADES PARA LA SEGURIDAD D ELA INFORMACION
      2. REVISION INDEPENDIENTE DE AL SEGURIDAD DE LA INFORMACION
      3. CONTACTO CON AUTORIDADES Y GRUPOS DE INTERES
      4. SEGURIDAD EN LOS ACCESOS POR TERCEROS
3. USO ACEPTABLE DE LOS ACTIVOS Y RECURSOS
   1. Política de Uso Aceptable de los Activos y Recursos de información
      1. Uso de los sistemas y equipos de cómputo
      2. Correo electrónico.
      3. Navegación en Internet
      4. Uso de herramientas que comprometen la seguridad.
      5. Recursos compartidos.
      6. Sitios Web para compartir documentos.
      7. Computación en nube.
      8. Uso equipos portátiles y dispositivos móviles.
      9. Acceso de equipos distintos a los asignados.
   2. Estándares para el uso aceptable de los activos de información
4. TRATAMIENTO Y GESTIÓN DEL RIESGO EN SEGURIDAD DE LA INFORMACIÓN
   1. Política del Tratamiento y Gestión del Riesgo en Seguridad de la Información
   2. Estándares de la Política del Tratamiento y Gestión del Riesgo en Seguridad de la Información

      Annotations:

      • Evitar el riesgo.  Disminuir la probabilidad de ocurrencia.  Disminuir el impacto.  Transferir los riesgos.  Retener los riesgos. 
5. SEGURIDAD DEL PERSONAL
   1. Política de Responsabilidad del Personal
   2. Estándares de la Política de Seguridad del Personal
      1. Seguridad previa a la contratación del personal.
      2. Seguridad durante el contrato.
      3. Finalización o cambio de puesto.
6. SEGURIDAD FÍSICA Y DEL ENTORNO
   1. Política de Seguridad Física y del Entorno
   2. Estándares de la Política de Seguridad Física y del Entorno
      1.  Controles de acceso físico.
      2. Escritorio limpio.
      3. Seguridad de los equipos.
      4. Retiro de equipos.
7. GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN
   1. Política de Gestión de incidentes de Seguridad de la Información
   2. Estándares de la Política de Gestión de Incidentes de Seguridad de la Información
      1. Notificación de eventos y debilidades de seguridad de la información.
      2. Gestión de incidentes de seguridad de la información.
8. GESTIÓN DE SEGURIDAD PARA TELECOMUNICACIONES E INFRAESTRUCTURA DE TIC
   1. Política de Gestión de Telecomunicaciones e Infraestructura de TIC
   2. Estándares de la Política de la Política de Gestión de Telecomunicaciones e Infraestructura de TIC
      1. Procedimientos y responsabilidades de operación
      2. Gestión del Cambio.
      3. Segregación de funciones.
      4. Separación de Ambientes
      5. Planificación y Aceptación.
      6.  Protección contra el código malicioso
      7. Copias de seguridad.
9. GESTIÓN DE SEGURIDAD PARA LA ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS
   1. Política de Adquisición, Desarrollo y Mantenimiento de sistemas
   2. Estándares de la Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
      1. Requerimientos de seguridad de los sistemas.
      2. Seguridad de las aplicaciones del sistema.
      3. Seguridad de los sistemas de archivos.
      4. Seguridad de los procesos de desarrollo y soporte.
10. CUMPLIMIENTO Y NORMATIVIDAD LEGAL
    1. Política para el Cumplimiento y Normatividad Legal
    2. Estándares de la Política para el Cumplimiento y Normatividad Legal
       1. Cumplimiento legal.
       2. Propiedad intelectual.
       3.  Protección de datos.
       4. Cumplimiento de políticas y normas de seguridad
       5. Cumplimiento técnico
11. CONTROL DE ACCESO A LA INFORMACIÓN
    1. Política de Control de Acceso a la Información
    2. Estándares de Política de Control de Acceso a la Información
       1. Gestión de acceso a usuarios.
       2.  Registro de usuarios.
       3. Control de acceso a la red.
       4. Control de acceso a las aplicaciones.
12. CLASIFICACION Y CONTROL DE ACTIVOS DE LA INFORMACION
    1. POLITICA PARA LA CLASIFICACION Y CONTROL DE ACTIVOS DE LA INFORMACION
    2. ESTANDARES DE LA POLITICA DE CLASIFICACION Y CONTROL DE ACTIVOS DE LA INFORMACION
       1. RESPONSABILIDAD SOBRE LOS ACTIVOS
       2. METODOLOGIA DE CLASIFICACION DE ACTIVOS

Annotations:

• Código de Buen Gobierno Corporativo.  Sistema de Gestión de la Calidad y Política Ambiental de la organización.  Política de Gestión Humana.  Política de Gestión de Riesgos  Política de tecnología de información y comunicación

Annotations:

• Activo: cualquier cosa que tenga valor para la empresa.  Amenaza: causa potencial de un incidente no deseado, que puede ocasionar daño a un sistema o a la empresa.  Confidencialidad: propiedad que determina que la información no esté disponible ni sea revelada a individuos, entidades o procesos no autorizados.  Comité de Seguridad de la Información: el Comité de Seguridad de la Información debe establecer los criterios de dirección y control, que permitan implantar los mecanismos más apropiados de protección de la información de Celsia, aplicando los principios de confidencialidad, integridad y disponibilidad de la misma y de los recursos informáticos o de otra índole que la soportan, acorde con la planeación estratégica de la empresa.  Desastre o contingencia: interrupción de la capacidad de acceso a información y procesamiento de la misma a través de computadoras u otros medios necesarios para la operación normal de un negocio.  Disponibilidad: propiedad de que la información sea accesible y utilizable por solicitud de una entidad autorizada.  Estándares de seguridad: son productos, procedimientos y métricas aprobadas, que definen en detalle como las políticas de seguridad serán implementadas para un ambiente en particular, teniendo en cuenta las fortalezas y debilidades de las características de seguridad disponibles. Deben estar reflejadas en un documento que describe la implantación de una guía para un componente específico de hardware, software o infraestructura. Política Seguridad de la información Celsia S.A. E.S.P. http://www.celsia.com Página 22  Evaluación del riesgo: proceso de comparar el riesgo estimado contra criterios de riesgo dados, para determinar la importancia del riesgo.  Evento de seguridad de la información: presencia identificada de una condición de un sistema, servicio o red, que indica una posible violación de la política de seguridad de la información o la falla de las salvaguardas, o una situación desconocida previamente que puede ser pertinente a la seguridad.  Integridad: propiedad de salvaguardar la exactitud y el estado completo de los activos.  Impacto: la consecuencia que al interior de la empresa se produce al materializarse una amenaza.  Organización de seguridad: es una función que busca definir y establecer un balance entre las responsabilidades y los requerimientos de los roles asociados con la administración de seguridad de la información.  Políticas: toda intención y directriz expresada formalmente por la dirección.  Procesos: se define un proceso de negocio como cada conjunto de actividades que reciben una o más entradas para crear un producto de valor para el cliente o para la propia empresa (concepto de cliente interno de calidad). Típicamente una actividad empresarial cuenta con múltiples procesos de negocio que sirven para el desarrollo de la actividad en sí misma.  Procedimientos: los procedimientos son los pasos operacionales que los funcionarios deben realizar para alcanzar ciertos objetivos.  Riesgo: combinación de la probabilidad de un evento y sus consecuencias.  Seguridad de la información: preservación de la confidencialidad, integridad y disponibilidad de la información, además puede involucrar otras propiedades tales como: autenticidad, trazabilidad (accountability), no repudio y fiabilidad.  TI: se refiere a tecnologías de la información  TIC: se refiere a tecnologías de la información y comunicaciones  Vulnerabilidad: debilidad de un activo o grupo de activos, que puede ser aprovechada por una o más amenazas.  

Annotations:

• VERSION  1 FECHA 12/05/2014 JUSTIFICACIÓN DE LA VERSIÓN Creación del documento