Pagar factura
Servicio al cliente
Noticias
Trabaje con nosotros
Proveedores

Lineamiento de Seguridad de la InformaciĆ³n

Consulta los Lineamientos de Seguridad de la InformaciĆ³n

Definir los parĆ”metros y polĆ­ticas para el uso apropiado de la informaciĆ³n de PROMOAMBIENTAL
DISTRITO S.A.S., E.S.P., a los usuarios internos y externos, para proteger la informaciĆ³n de la
compaƱƭa y de nuestros clientes, minimizando los riesgos que puedan llegar a afectar la
confidencialidad, integridad, disponibilidad y privacidad de la informaciĆ³n.

Los tƩrminos y condiciones descritos en este lineamiento aplican a todos los procesos,
colaboradores internos, consultores, contratistas y proveedores de PROMOAMBIENTAL
DISTRITO S.A.S., E.S.P., que usen o tengan acceso a la informaciĆ³n que sea de propiedad de
PROMOAMBIENTAL DISTRITO S.A.S., E.S.P. o nuestros clientes.

Software: En computaciĆ³n, tĆ©rmino inglĆ©s que hace referencia a todo lo lĆ³gico, es todo programa o aplicaciĆ³n, programado para realizar tareas especĆ­ficas.

CĆ”mara de Circuito Cerrado de TelevisiĆ³n ā€œCCTVā€: Es un sistema que funciona tras la instalaciĆ³n de cĆ”maras de seguridad que permiten comprobar desde otra ubicaciĆ³n (en forma remota), el funcionamiento o el estado de un lugar.

Acuerdo de Confidencialidad: Es un convenio que crea obligaciones a una o a ambas partes que intervienen, con respecto al uso, manejo y divulgaciĆ³n de la informaciĆ³n, con el propĆ³sito de preservar la confidencialidad, integridad, privacidad y disponibilidad de la misma, como parte de una relaciĆ³n contractual o comercial.

Activo: Cualquier cosa que tenga un valor de importancia relevante para la organizaciĆ³n. Entre los activos de una organizaciĆ³n se encuentra hardware, software, documentos electrĆ³nicos o fĆ­sicos, infraestructura, servicios, personal, entre otros. El tĆ©rmino Activo es sinĆ³nimo de Activo de InformaciĆ³n.

Amenaza: Es una fuente generadora de eventos o acciones que puede producir o causar un daƱo representativo al activo de informaciĆ³n, generando un factor o escenario de riesgo que originarĆ­a a la organizaciĆ³n pĆ©rdidas por riesgo de seguridad de la informaciĆ³n. La amenaza es un contexto de seguridad de la informaciĆ³n que se manifiesta a travĆ©s de actos deliberados, intencionados o impredecibles y provocados por las personas, la tecnologĆ­a, la infraestructura, acontecimientos externos, entre otros.

AutorizaciĆ³n: Consentimiento previo, expreso e informado otorgado por el Titular para llevar a cabo el tratamiento de datos personales.

Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.

Confidencialidad: Propiedad de salvaguardar el activo de informaciĆ³n de personas, procesos o entidades no autorizados.

Controles: Medidas de protecciĆ³n o salvaguardas dispuestas para reducir el nivel de riesgo. Pueden ser polĆ­ticas, procedimientos, directrices, prĆ”cticas, estructuras de la organizaciĆ³n, soluciones tecnolĆ³gicas, entre otros.

Dato Personal: Cualquier informaciĆ³n vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.

Dato Sensible: InformaciĆ³n que afectan la intimidad de las personas o cuyo uso indebido puede generar discriminaciĆ³n (Origen racial o Ć©tnico, orientaciĆ³n polĆ­tica, convicciones filosĆ³ficas o religiosas, pertinencia a sindicatos u organizaciones sociales o derechos humanos, datos de salud, vida sexual y biomĆ©tricos).

Dato pĆŗblico: Es el dato que no sea semiprivado, privado o sensible. Entre ellos: los datos relativos al estado civil de las personas, profesiĆ³n y oficio, calidad de comerciarte o de servidor pĆŗblico. Es aquel, que por su naturaleza puede estar contenido en registros o documentos pĆŗblicos, entre otros.

Disponibilidad: Propiedad de garantizar que el activo de informaciĆ³n sea accesible y utilizable en el momento que se requiera, por parte de las personas, procesos o entidades autorizada.

Encargado del Tratamiento: Persona natural o jurĆ­dica, pĆŗblica o privada, que por sĆ­ misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del Tratamiento. En los eventos en que el responsable no ejerza como Encargado de la base de datos, se identificarĆ” expresamente quiĆ©n serĆ” el Encargado.

Ā Equipamiento: El equipamiento de procesamiento de la informaciĆ³n incluye todo tipo de elemento fĆ­sico soportado para el desarrollo de las actividades diarias del negocio. Estos elementos pueden ser entre otros: computadores de escritorio o personales, organizadores fĆ­sicos, telĆ©fonos mĆ³viles, escĆ”neres, impresoras, tĆ³ner, fotocopiadoras, dispositivos USB, discos removibles, medios de y papel.

Evento de seguridad de la informaciĆ³n: Es la ocurrencia identificada de un estado del activo de informaciĆ³n (sistema, servicio, red, entre otros) que indica un incumplimiento posible de la polĆ­tica de seguridad de la informaciĆ³n, una falla de controles existentes, o una situaciĆ³n previamente desconocida que puede ser pertinente para la seguridad.

Habeas Data: En Colombia se cataloga como un Derecho Fundamental, y aquel que tiene toda persona de conocer, actualizar y rectificar la informaciĆ³n que se haya recogido, recolectado y almacenado sobre ella en archivos y bancos de datos de naturaleza pĆŗblica o privada.

Incidente de seguridad de la informaciĆ³n: Uno o una serie de eventos de seguridad de la informaciĆ³n indeseados o inesperados que afecta un activo de informaciĆ³n y que tienen una probabilidad significativa de comprometer las operaciones del negocio y/o amenazar la seguridad de la informaciĆ³n asociada con el mismo.

Integridad: Propiedad de salvaguardar la exactitud y estado completo del activo de informaciĆ³n, de acuerdo a los diferentes mĆ©todos de proceso a que se exponga.

PerĆ­metro de seguridad fĆ­sica: Corresponde a un mecanismo o divisiĆ³n implementada e identificable, que permite limitar o aislar un Ć”rea segura o crĆ­tica de la organizaciĆ³n con el propĆ³sito de brindar niveles de seguridad adecuados para el acceso o restricciĆ³n al Ć”rea respectiva.

Procesamiento de InformaciĆ³n: Es la capacidad que tiene un sistema de informaciĆ³n de efectuar cĆ”lculos con base a una secuencia de operaciones preestablecidas y permitiendo la transformaciĆ³n de datos fuentes en informaciĆ³n para ser utilizada en la toma de decisiones.

Programa de concientizaciĆ³n en seguridad de la informaciĆ³n: Conjunto de estrategias que busca que todos los Colaboradores de la CompaƱƭa y los Colaboradores provistos por terceras partes interioricen y adopten las polĆ­ticas, normas, procedimientos y guĆ­as existentes al interior de la InstituciĆ³n dentro de sus labores diarias.

Propietario: Se refiere al dueƱo responsable del activo de informaciĆ³n utilizado para el desarrollo y cumplimiento de sus funciones. EstĆ” encargado de garantizar la seguridad adecuada del mismo, con base a los principios bĆ”sicos de seguridad a saber: confidencialidad, integridad, disponibilidad y privacidad.

Proteger la organizaciĆ³n: ReducciĆ³n del riesgo a travĆ©s de la implementaciĆ³n de acciones o medidas de control dirigidas a disminuir el impacto o severidad de las consecuencias del riesgo si Ć©ste ocurre.

Responsable del Tratamiento: Persona natural o jurĆ­dica, pĆŗblica o privada, que por sĆ­ misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos.

Riesgo: Se entiende por riesgo, la posibilidad de incurrir en pĆ©rdidas econĆ³micas, operativas, legales o de imagen para la organizaciĆ³n por deficiencias, fallas o al no adecuado uso y/o manejo del activo de informaciĆ³n, a causa de amenazas o vulnerabilidades que le altere su correcto funcionamiento u operatividad.

Seguridad de la informaciĆ³n: PreservaciĆ³n fundamental de la confidencialidad, integridad, disponibilidad y privacidad del activo de informaciĆ³n, ademĆ”s de otros criterios o propiedades tales como la autenticidad, no repudio, confiablidad, propiedad y/o responsabilidad, entre otros.

Sistema de InformaciĆ³n: Es una disposiciĆ³n de personas, actividades o procedimientos y recursos tecnolĆ³gicos integrados entre sĆ­, para apoyar y mejorar las operaciones diarias de la organizaciĆ³n, con la finalidad de satisfacer las necesidades de informaciĆ³n en general y facilitar la toma de decisiones por parte de los directivos de la organizaciĆ³n. Ejemplos aplicados: sistemas de automatizaciĆ³n de oficina, sistemas de procesamiento de transacciones y sistemas de informaciĆ³n de gestiĆ³n.

Software malicioso: Es una variedad de software o programas de cĆ³digos hostiles e intrusivos que tienen como objeto infiltrarse o daƱar recursos informĆ”ticos, sistemas operativos, redes de datos o sistemas de informaciĆ³n.

Titular: Persona natural cuyos datos personales sean objeto de tratamiento.

Transferencia: La transferencia de datos tiene lugar cuando el responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envĆ­a la informaciĆ³n o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del paĆ­s.

TransmisiĆ³n: Tratamiento de datos personales que implica la comunicaciĆ³n de los mismos dentro o fuera del territorio de la RepĆŗblica de Colombia cuando tenga por objeto la realizaciĆ³n de un tratamiento por el Encargado por cuenta del responsable.

Tratamiento: Cualquier operaciĆ³n o conjunto de operaciones sobre datos personales,tales como la recolecciĆ³n, almacenamiento, uso, circulaciĆ³n o supresiĆ³n.

Tratamiento del riesgo: Proceso de selecciĆ³n e implementaciĆ³n de controles o acciones para ajustar el nivel de riesgo del activo a los niveles aceptables para la OrganizaciĆ³n.

Video Vigilancia: es un sistema de videovigilancia conformado por cĆ”maras y un software de grabaciĆ³n

Vulnerabilidad: Es la debilidad o incapacidad de resistencia de un activo de informaciĆ³n frente a una amenaza.

Privacidad: s cuando una organizaciĆ³n o individuo debe determinar quĆ© datos en un sistema informĆ”tico se pueden compartir con terceros.

Oficial de privacidad de la InformaciĆ³n: Es el responsable de diseƱar y administrar un conjunto de polĆ­ticas, procedimientos o manuales que permitan a la organizaciĆ³n cumplir las normas sobre protecciĆ³n de datos personales, asĆ­ como establecer los controles de evaluaciĆ³n y revisiĆ³n permanente.

Oficial de seguridad de la InformaciĆ³n: Es el responsable de planificar, desarrollar, controlar y gestionar las polĆ­ticas, procedimientos y acciones con el fin de mejorarĀ Ā Ā Ā Ā  la seguridad de la informaciĆ³n dentro de sus pilares fundamentales de confidencialidad, integridad y disponibilidad.

Ciberseguridad: Es la prƔctica de proteger equipos, redes, aplicaciones de software, sistemas crƭticos y datos de posibles amenazas digitales.

Ɓrea restringida: Zona dentro de las instalaciones que requiere controles de acceso adicionales debido a la sensibilidad de la informaciĆ³n o equipos que se encuentran en su interior.

Controles de acceso fƭsico: Medidas implementadas para asegurar que solo personal autorizado pueda acceder a determinadas Ɣreas.

Capacidad: La cantidad mƔxima de recursos de TI que un sistema puede manejar eficazmente.

Umbral de capacidad: Nivel predeterminado de uso de recursos que, al alcanzarse, puede desencadenar acciones de escalamiento o mejora.

Plan de capacidad: Documento que describe la estrategia para gestionar los recursos de TI de manera que se puedan cumplir las demandas actuales y futuras.

Datos Sensibles: InformaciĆ³n que, si se divulga sin autorizaciĆ³n, podrĆ­a comprometer la privacidad, seguridad, o integridad de la organizaciĆ³n o de los individuos, como nĆŗmeros de identificaciĆ³n personal, informaciĆ³n financiera, datos mĆ©dicos, etc.

Enmascaramiento de Datos: Proceso de ocultar datos originales con caracteres ficticios o irreversibles para proteger la informaciĆ³n sensible mientras se mantiene la utilidad de los datos en entornos no productivos.

Entorno No Productivo: Sistemas o bases de datos que se utilizan para actividades distintas a la producciĆ³n, como desarrollo, pruebas, o anĆ”lisis, donde no se requiere la informaciĆ³n original.

Red Interna: Redes de comunicaciĆ³n que operan dentro de la organizaciĆ³n y estĆ”n bajo su control directo.

Red Externa: Redes de comunicaciĆ³n fuera del control directo de la organizaciĆ³n, como internet o redes de proveedores.

Firewall: Dispositivo o software que controla el trĆ”fico de red, permitiendo o bloqueando conexiones segĆŗn polĆ­ticas de seguridad definidas.

SegmentaciĆ³n de Redes: DivisiĆ³n de la red en subredes mĆ”s pequeƱas para mejorar la seguridad y el rendimiento.

Objetivo del control: Definir y asignar de acuerdo a la necesidad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P., los roles y responsabilidades de seguridad de la informaciĆ³n.

Oficial de Seguridad de la InformaciĆ³n

  • Definir y desarrollar el plan de seguridad de la informaciĆ³n.
  • Definir y actualizar los polĆ­ticas, normas, procedimientos y estĆ”ndares del Sistema de GestiĆ³n de Seguridad de la InformaciĆ³n.
  • Definir una metodologĆ­a de riesgo adecuada y alineada con la estructura organizacional.
  • Realizar el anĆ”lisis de riesgo de los procesos crĆ­ticos del
  • Asesorar en la aplicaciĆ³n de la metodologĆ­a para el mantenimiento de los planes de contingencia y continuidad del negocio
  • Evaluar, seleccionar e implementar herramientas que faciliten la labor de seguridad de la informaciĆ³n
  • Emitir polĆ­ticas para controlar el acceso a los sistemas de informaciĆ³n y la modificaciĆ³n de privilegios
  • Promover la formaciĆ³n, educaciĆ³n y el entrenamiento para fortalecer la cultura de seguridad de la informaciĆ³n al interior de la compaƱƭa.
  • Mantenerse actualizadoĀ Ā Ā  anteĀ Ā Ā  laĀ Ā Ā  evoluciĆ³nĀ Ā Ā  deĀ Ā Ā  lasĀ Ā Ā  amenazasĀ Ā Ā Ā Ā Ā  y vulnerabilidades existentes y las nuevas que
  • Realizar estudios de penetraciĆ³n y pruebas de seguridad en los ambientes productivos
  • Desarrollar e implementar el enfoque de
  • Garantizar la identificaciĆ³n y cierre de las
  • Desarrollar mĆ©todos y mĆ©tricas para evaluar el rendimiento del

Oficial de Privacidad de la InformaciĆ³n

  • SupervisiĆ³n del Cumplimiento Normativo: Asegurar que en Promoambiental Distrito S.A.S ESP, se cumpla con todas las leyes y regulaciones de privacidad y protecciĆ³n de datos aplicables e informar al comitĆ© de seguridad de la informaciĆ³n ante posibles incumplimientos de dichas directrices, por parte de los colaboradores y de terceros.
  • PolĆ­ticas y Procedimientos: Desarrollar, implementar, mantener las polĆ­ticas y procedimientos establecidos en Promoambiental Distrito S.A.S ESP, relacionados con la privacidad y la protecciĆ³n de datos
  • Evaluaciones de Riesgos: Participar en evaluaciones periĆ³dicas de riesgos de privacidad de la informaciĆ³n y llevar a cabo seguimientos internos para verificar el
  • CapacitaciĆ³n y ConcienciaciĆ³n: Proveer capacitaciĆ³n continua y programas de concienciaciĆ³n para los colaboradores y demĆ”s partes interesadas sobre prĆ”cticas de privacidad y protecciĆ³n de datos
  • GestiĆ³n de Incidentes: Participar de manera activa en la gestiĆ³n de cualquier incidente relacionado con la privacidad de los datos que se presenten en la empresa, incluyendo la comunicaciĆ³n con las autoridades competentes y a las personas afectadas, segĆŗn sea necesario. En caso de incidentes graves, se deberĆ” notificar inmediatamente al comitĆ© se seguridad de la informaciĆ³n siguiendo el protocolo establecido en el procedimiento TI-PR-0006 GestiĆ³n de Incidentes de Seguridad de InformaciĆ³n.
  • InteracciĆ³n con Partes Externas: Actuar como contacto para consultas de privacidad de la informaciĆ³n tanto internas como externas.
  • Ā Los contratistas, proveedores y terceros que tengan acceso a los activos de informaciĆ³n, estĆ”n obligados a cumplir las polĆ­ticas de la seguridad de la informaciĆ³n de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.
  • Deben firmar acuerdos de confidencialidad y seguridad, de acuerdo a lo establecido en la matriz de requisitos de proveedores, incluyendo clĆ”usulas de protecciĆ³n de datos y uso Ć©tico de la informaciĆ³n.
  • Mantener la confidencialidad de la informaciĆ³n a la que tengan acceso como parte de sus actividades.
  • Implementar controles de acceso adecuados para que solo el personal autorizado acceda a la informaciĆ³n confidencial y sensible.
  • Utilizar los recursos y sistemas de informaciĆ³n de PROMOAMBIENTAL DISTRITO S.A.S E.S.P., solo para los fines especificados en el contrato.
  • Informar a PROMOAMBIENTAL DISTRITO S.A.S E.S.P., de inmediato sobre cualquier incidente de seguridad de la informaciĆ³n, como accesos no autorizados, pĆ©rdida de datos o problemas de seguridad en sus sistemas.

Objetivo del control: Definir responsabilidades de la direcciĆ³n y comprender su papel en la seguridad y privacidad de la informaciĆ³n, asĆ­ como requerir a todos los colaboradores, contratistas y demĆ”s partes interesadas que apliquen las polĆ­ticas establecidas en este documento.

  • Desde la alta direcciĆ³n se establece en el proceso de gestiĆ³n humana en el ingreso del personal, una inducciĆ³n que incluye la divulgaciĆ³n de las polĆ­ticas de seguridad de la informaciĆ³n establecidas en este documento. Posterior la aceptaciĆ³n, compromiso y responsabilidad del colaborador de los lineamientos en el formato: GH-PR-0010-F08 ComprensiĆ³n y Compromiso lineamiento de Seguridad de la InformaciĆ³n, el cual se adjunta al contrato laborar.
    AsĆ­, mismo, se establece divulgaciĆ³n periĆ³dica masiva por los medios de comunicaciĆ³n establecidos.
  • La alta direcciĆ³n debe requerir a todos los colaboradores y terceros el cumplimiento normativo interno de la empresa (polĆ­ticas, lineamientos y procedimientos establecidos), asĆ­ como la normatividad externa a la entidad relacionada con seguridad y privacidad de la informaciĆ³n.
  • Respaldar y promover a los colaboradores y demĆ”s partes interesadas para que contribuyan al desarrollo del Modelo de Seguridad y Privacidad de la InformaciĆ³n y adquieran un rol de liderazgo en cada uno de sus procesos.
  • Ā Gestionar los recursos requeridos para el mantenimiento del sistema de Seguridad y Privacidad de la InformaciĆ³n.
  • Ā Los lideres de procesos deben promover el cumplimiento, por parte del personal bajo su responsabilidad, de las polĆ­ticas, lineamientos, directrices y procedimientos de seguridad y privacidad de informaciĆ³n.
  • Los lideres de procesos deben cumplir con los controles establecidos por PROMOAMBIENTAL DISTRITO S.A.S., para activar o desactivar, de manera temporal o permanente, el acceso a la informaciĆ³n digital catalogada como pĆŗblica, privada, confidencial y de uso interno, asĆ­ como la protecciĆ³n de datos personales no pĆŗblicos, por parte de los colaboradores o terceros vinculados a su proceso.

Objetivo del control: Establecer medidas de seguridad para proteger la infraestructura de redes de PROMOAMBIENTAL DISTRITO S.A.S., contra accesos no autorizados, interrupciones, y amenazas, asegurando que la informaciĆ³n transmitida a travĆ©s de las redes se mantenga segura y protegida.

  • Infraestructura debe restringir las redes de datos alĆ”mbricas o inalĆ”mbricas de PROMOAMBIENTAL DISTRITO S.A.S., Ćŗnicamente a los colaboradores, contratistas o proveedores.
  • autorizados para conectarse y acceder a los sistemas de informaciĆ³n de la empresa.
  • Las redes deberĆ”n ser administradas y controladas para proteger la informaciĆ³n en los sistemas y aplicaciones, de acuerdo a lo establecido en la polĆ­tica TI-LI- 0004 Infraestructura y Seguridad InformĆ”tica.
  • Se debe monitorear accesos y uso de los servicios informĆ”ticos. En caso de evidenciar un mal uso del recurso informĆ”tico por parte de un colaborador, se debe suspender de forma parcial, temporal o total el acceso a este recurso y notificar a la gerencia de TI.
  • Restringir el uso del servicio de internet solo para fines laborales e institucionales y realizar las funciones asignadas.
  • Restringir la sincronizaciĆ³n de informaciĆ³n de la nube con cuentas personales.
  • Mantener la documentaciĆ³n actualizada, incluidos los diagramas de red y los archivos de configuraciĆ³n de los dispositivos.
  • Los lideres de proceso deben determinar el tipo de informaciĆ³n a almacenar en la nube de acuerdo con su clasificaciĆ³n y sensibilidad. De igual manera, establecer cuĆ”les colaboradores pueden tener acceso o permisos de modificaciĆ³n sobre la misma y se debe solicitar a TI la creaciĆ³n del usuario por la mesa de ayuda ā€“ GLPI.
  • Infraestructura debe implementar segmentaciĆ³n de redes para separar los distintos procesos funcionales y sensibles de la organizaciĆ³n, reduciendo asĆ­ el riesgo de propagaciĆ³n de ataques y limitando el acceso a recursos crĆ­ticos.
  • Instalar y configurar firewalls en los perĆ­metros de la red y entre las diferentes segmentaciones de red para controlar el trĆ”fico de entrada y salida, aplicando

reglas estrictas de filtrado basadas en polĆ­ticas de seguridad.

  • Asegurarse de que todos los dispositivos y sistemas de la red (firewalls, routers, switches, etc.) estĆ©n actualizados con los Ćŗltimos parches de seguridad y firmware, para mitigar vulnerabilidades conocidas.
  • Implementar sistemas de detecciĆ³n y prevenciĆ³n de intrusiones (IDS/IPS) para monitorear el trĆ”fico de red en busca de actividades sospechosas o no autorizadas, generando alertas y bloqueando automĆ”ticamente amenazas detectadas.
  • El proceso de TI, serĆ” la encargada de la operaciĆ³n y administraciĆ³n de la plataforma tecnolĆ³gica (Voz y datos) que apoya los procesos de PROMOAMBIENTAL DISTRITO S.A.S., asignarĆ” funciones especĆ­ficas a sus colaboradores y/o contratistas, quienes actuarĆ”n como responsables de garantizar la adecuada operaciĆ³n y administraciĆ³n de dicha plataforma, manteniendo y actualizando la documentaciĆ³n de los procesos operativos para la ejecuciĆ³n de dichas actividades.
  • Objetivo del control: Definir e implementar procesos y procedimientos para
    gestionar los riesgos de seguridad de la informaciĆ³n asociados con la cadena de
    suministro de productos y servicios de TIC en la empresa.
  • TI y el proceso de compras deben definir en la matriz CR-PR-0002-F07 MatrĆ­z de
    Requisitos SIG Proveedores YO contratistas, los requisitos para los acuerdos con
    proveedores para abordar los riesgos de la seguridad de la informaciĆ³n, asociada
    con los servicios de las tecnologĆ­as de informaciĆ³n y comunicaciĆ³n, y de la
    cadena de suministro de productos.
  • En los requisitos se debe establecer en los contratos con proveedores los
    Nota: Si este documento estƔ fuera del espacio en lƭnea no es vƔlido dentro del Sistema
    integrado de gestiĆ³n
    PROMOAMBIENTAL DISTRITO SAS ESP Lineamiento de Seguridad de la InformaciĆ³n VersiĆ³n 08 25/09/2024
    CĆ³digo: TI-LI-0006 PĆ”gina 30 de 90
    requisitos de seguridad de la informaciĆ³n y la gestiĆ³n de riesgos, aplicables a la
    adquisiciĆ³n de productos o servicios de tecnologĆ­a de la informaciĆ³n y de
    comunicaciones.
  • TI y compras deben revisar que los servicios o los productos sean entregados de
    acuerdo con las especificaciones contractuales establecidas.
  • El proceso de compras debe incluir dentro de los componentes de los contratos
    de TI garantĆ­as asociadas a la cadena de suministro de las TIC.
  • TI debe identificar y documentar los componentes del producto o servicio que son
    crĆ­ticos para la empresa.
  • TI debe monitorear las novedades relacionadas con el suministro de productos y
    servicios de tecnologĆ­a de informaciĆ³n y comunicaciones.
  • JurĆ­dica, compras y TI deben verificar que se incluyan obligaciones para la
    cadena de suministro de tecnologĆ­as de acuerdo a la CR-PR-0002-F07 MatrĆ­z de
    Requisitos SIG Proveedores YO contratistas.
  • TI y compras deben verificar el aprovisionamiento de servicios en la nube,
    proveedores de servicios de telecomunicaciones y proveedores de hardware y
    que acepten el cumplimiento de la polĆ­tica de seguridad y de la informaciĆ³n de la
    empresa de acuerdo a el procedimiento CR-PR-0002 Compras.
  • JurĆ­dica debe notificar situaciones de riesgos a compras y a TI relacionadas con
    el suministro de productos y servicios de tecnologĆ­a de informaciĆ³n y
    comunicaciones

Objetivo del control: monitorear, revisar, evaluar y gestionar periĆ³dicamente los cambios en las prĆ”cticas de seguridad y privacidad de la informaciĆ³n de los proveedores y prestaciĆ³n de servicios.

  • TI y compras deben definir procedimientos donde se establezcan las condiciones para el seguimiento, la revisiĆ³n y la gestiĆ³n de cambios en los servicios suministrados por los proveedores.
  • TI debe establecer acciones a tomas cuando se observen deficiencias en la prestaciĆ³n del servicio por parte de los proveedores y notificar a compras para el proceso de cambio de proveedor asĆ­ mismo, se debe evaluar el riesgo de seguridad de la informaciĆ³n en la gestiĆ³n de cambios.
  • Los cambios en la prestaciĆ³n de servicios por parte de los proveedores, incluyendo el mantenimiento y la mejora de los actuales lineamientos de seguridad de informaciĆ³n, procedimientos y controles, se gestionarĆ”n, teniendo en cuenta la criticidad de la informaciĆ³n, sistemas y procesos que intervienen, considerando los estipulado en el procedimiento TI-PR-0005 GestiĆ³n de Cambio en TecnologĆ­a.
  • Monitorear la asignaciĆ³n de permisos de acceso de los proveedores a los sistemas de informaciĆ³n de la empresa; lo anterior, teniendo en cuenta las condiciones que estos deben cumplir en cuanto a la gestiĆ³n de usuarios y contraseƱas definidos en este manual.
  • Involucrar a los responsables del plan de recuperaciĆ³n de desastre (DRP) para los temas que puedan afectar la continuidad de la operaciĆ³n.
  • Realizar seguimiento con regularidad a la prestaciĆ³n del servicio de los proveedores en los tĆ©rminos y condiciones de seguridad y privacidad de la informaciĆ³n de los acuerdos se cumplan y que el manejo de incidentes de seguridad de la informaciĆ³n se gestione adecuadamente.
  • Los proveedores de PROMOAMBIENTAL DISTRITO S.A.S. E.S.P., deben Reportar a la empresa cualquier incidente de seguridad o privacidad de la informaciĆ³n que se presente con el fin de tomar las medidas respectivas para mitigar el riesgo de indisponibilidad.
  • JurĆ­dica debe incluir dentro de las clĆ”usulas contractuales la posibilidad de realizar auditorĆ­as a los proveedores cuando haya cambios en los servicios que suministra.
  • TI debe monitorear periĆ³dicamente el cumplimiento de los Acuerdos de Niveles de Servicio (ANS), acuerdos de confidencialidad y acuerdos de intercambio de informaciĆ³n por parte de los proveedores.
  • Compras debe realizar una revisiĆ³n y actualizaciĆ³n de los proveedores TIC, que presten servicios de software, o se comparta informaciĆ³n relevante para la prestaciĆ³n del servicio, cada vez que se requiera, como mĆ­nimo una vez al aƱo, con el apoyo de los lideres de procesos responsable del proveedor.
  • Los proveedores deben respaldar y proteger los activos de informaciĆ³n que sean utilizados para las labores contratadas.

Objetivo del control: establecer procesos de adquisiciĆ³n, uso, gestiĆ³n y salida de los servicios en la nube, de acuerdo con los requisitos de seguridad y privacidad de la informaciĆ³n definidos por PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.

  • TI debe definir los requisitos de seguridad y privacidad de la informaciĆ³n asociados con el uso de los servicios en la nube.
  • TI debe definir las funciones y las responsabilidades relacionadas con el uso y la gestiĆ³n de los servicios en la nube.
  • En los contratos se debe especificar las garantĆ­as que ofrecen los proveedores, en cuanto al cumplimiento de los principios de disponibilidad, confidencialidad, privacidad e integridad de la informaciĆ³n en los servicios en nube.
  • TI debe definir los criterios de selecciĆ³n de los proveedores de servicios en la nube en CR-PR-0002-F07 MatrĆ­z de Requisitos SIG Proveedores YO contratistas, teniendo en cuenta aspectos como la reputaciĆ³n, la fiabilidad, los mecanismos de protecciĆ³n de datos, las certificaciones de cumplimiento relevantes para el sector, la escalabilidad, la alta disponibilidad, el rendimiento y el modelo de costos.
  • TI debe definir los riesgos de seguridad o privacidad de la informaciĆ³n asociados con el uso de servicios en la nube como IaaS, PaaS, SaaS.
  • TI debe verificar la conformidad de los controles de seguridad y privacidad de la informaciĆ³n con lo que cuenta el proveedor de servicios en la nube.
  • Dar cumplimiento a la GuĆ­a de ComputaciĆ³n en la nube de MinTIC, donde se establecen los lineamientos de uso de las capacidades de las nubes en Colombia.
  • Infraestructura debe disponer de una herramienta para monitorear las capacidades de la nube, optimizando de manera periĆ³dica los recursos desplegados.
  • Los incidentes de seguridad de servicios en la nube se atenderĆ”n de acuerdo al procedimiento TI-PR-0006 GestiĆ³n de Incidentes de Seguridad de InformaciĆ³n AsĆ­ mismo, los cambios en los servicios en la nube se realizan de acuerdo a TI-PR- 0005 GestiĆ³n de Cambio en TecnologĆ­a y al procedimiento de compras.
  • En la CR-PR-0002-F07 MatrĆ­z de Requisitos SIG Proveedores YO contratistas, se debe establecer los requisitos para la adquisiciĆ³n de servicios en la nube, tales como IaaS, PaaS, SaaS.
  • Compras con el apoyo de TI debe definir con el (los) proveedor(es) de nube los ANS correspondientes a los tiempos de atenciĆ³n para fallas, nuevos requerimientos y demĆ”s que se requieran para la operaciĆ³n.
  • JurĆ­dica debe revisar la viabilidad de incluir una clĆ”usula en los contratos de nube donde indique que PROMOAMBIENTAL DISTRITO SAS ESP., tiene toda la propiedad de cualquier informaciĆ³n agregada, creada, generada, modificada, almacenada o en cualquier otra forma asociada con la propiedad intelectual, la cual no podrĆ” ser reclamada por el proveedor.
  • JurĆ­dica debe revisar la viabilidad de incluir una clĆ”usula en los contratos de nube para exigir al proveedor la eliminaciĆ³n segura de la informaciĆ³n de la entidad al finalizar el contrato.
  • TI debe incluir los criterios de seguridad y privacidad para el aprovisionamiento y configuraciĆ³n de los recursos de nube.
  • Infraestructura debe implementar la gestiĆ³n de identidades y acceso a los servicios que se utilizan en la nube, garantizando accesos basados en roles, auditorĆ­as periĆ³dicas, depuraciones y la aplicaciĆ³n del principio de mĆ­nimo privilegio.
  • Infraestructura debe configurar los grupos de seguridad de red o reglas de firewall para restringir el trĆ”fico de red entrante y saliente a los recursos de la nube.
  • Infraestructura debe monitorear y optimizar el uso de los recursos en la nube
  • Infraestructura debe restringir el trĆ”fico de red entrante y saliente a los recursos de nube, mediante reglas de firewall y/o grupos de seguridad de red.
  • Infraestructura debe incluir los aprovisionamientos y actualizaciones en los elementos de la nube, en el proceso de GestiĆ³n de cambios.
  • Infraestructura debe incluir los elementos de la nube en los anĆ”lisis de vulnerabilidades, actualizaciones y aplicaciĆ³n de parches de seguridad.
  • Compras, JurĆ­dica y TI deben validar que el paĆ­s donde se aloje la informaciĆ³n; especialmente la relacionada con datos personales, disponga de una seguridad jurĆ­dica similar a la colombiana para la transferencia o transmisiĆ³n de estos, segĆŗn la legislaciĆ³n en Colombia para la protecciĆ³n de datos personales.
  • Compras debe validar que el proveedor cuente con las mejores las prĆ”cticas y los procedimientos de seguridad de la informaciĆ³n para el servicio prestado (Se puede apoyar en concepto tĆ©cnicos con TI).
  • TI debe conservar los principios de seguridad de la informaciĆ³n: confidencialidad, integridad y disponibilidad durante la operaciĆ³n del servicio.
  • TI debe analizar quĆ© informaciĆ³n de la entidad puede migrarse a la nube.
  • Los colaboradores y terceros deben reportar los eventos o incidentes de seguridad o privacidad relacionados con la nube.

Objetivo del control: Definir los roles, las responsabilidades y los procedimientos de gestiĆ³n para la atenciĆ³n oportuna y eficaz de los incidentes de seguridad y privacidad de la informaciĆ³n en PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.

  • Los incidentes de seguridad, resultantes del incumplimiento de los polĆ­ticas y normas de seguridad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P. serĆ”n direccionados por el procedimiento de manejo de incidentes TI-PR-0006 establecido por el proceso de TI, con el objetivo de realizar la respectiva investigaciĆ³n y entregar los resultados a los respectivos responsables dentro de la compaƱƭa, encargados de tomar las acciones correctivas y preventivas del caso.
  • Los colaboradores deberĆ”n estar informados del proceso disciplinario que se llevarĆ” a cabo en caso de incumplimiento de las polĆ­ticas de seguridad de la informaciĆ³n o alguno de los elementos que la soportan. En cualquier caso, se harĆ” un seguimiento de acuerdo con el procedimiento establecido para el manejo de incidentes de seguridad.
  • Responsabilidades y procedimientos: La responsabilidad y el procedimiento de manejo para asegurar una respuesta rĆ”pida, eficaz y ordenada a los incidentes de seguridad de la informaciĆ³n estĆ” en cabeza del proceso de tecnologĆ­a.

Objetivo del control: Planificar, implementar, mantener y probar la preparaciĆ³n de las TIC en funciĆ³n de los objetivos de continuidad del negocio y los requisitos de continuidad de las TIC en PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.

  • Verificar que el plan de recuperaciĆ³n ante desastres TI-PG-0002 DRP, se desarrolle y se implemente de forma adecuada, teniendo en cuenta la criticidad de los servicios, procesos y procedimientos.
  • Incluir en el Plan de Continuidad de Negocio GC-PG-0002 las especificaciones TIC de rendimiento y capacidad para cumplir con los requisitos y objetivos de continuidad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.
  • Establecer un plan de pruebas anual de las estrategias de recuperaciĆ³n de desastres definidos por la entidad.
  • Contar con manuales, instructivos o procedimientos del plan de recuperaciĆ³n ante desastres DRP.
  • Tomar las lecciones aprendidas de las pruebas de las estrategias de recuperaciĆ³n ante desastres definidos por la entidad e incluirlas en las futuras actualizaciones de los planes.
  • Mantener actualizada la documentaciĆ³n del plan de recuperaciĆ³n ante desastres.
  • Incluir al comitĆ© en gestiĆ³n de cambios en los procesos relacionados con el plan de recuperaciĆ³n de desastres.
  • Contar con la infraestructura requerida para el plan de recuperaciĆ³n ante desastres, como centros de datos alternos, sin importar las estrategias de continuidad definidas.
  • Contar con la infraestructura requerida para el plan de recuperaciĆ³n ante desastres, como centros de datos alternos, sin importar las estrategias de continuidad definidas

Objetivo: Identificar la legislaciĆ³n y los registros contractuales en materia de seguridad y privacidad de la informaciĆ³n, vigilar su cumplimiento y actualizaciĆ³n de manera permanente.

  • Todos los requisitos pertinentes, legislativos estatutarios, reglamentarios, contractuales y el planteamiento de la entidad para cumplir con estos requisitos deberĆ”n estar explĆ­citamente identificados, documentados y protegidos al dĆ­a para cada sistema de informaciĆ³n y la compaƱƭa.
  • Mantener actualizado la matriz legal JCO-PR-0004-F01, donde se identifiquen, documenten y actualicen todos los requerimientos de la legislaciĆ³n y la regulaciĆ³n nacional e internacional, con el fin de salvaguardar la informaciĆ³n que se genere, obtenga, adquiera, transforme, controle, transfiera o se intercambie en PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.
  • Las situaciones o acciones que violen la presente polĆ­tica deben ser detectadas, registradas, analizadas, resueltas y reportadas de manera inmediata a travĆ©s de los canales seƱalados para el efecto.
  • Dar cumplimiento de las leyes y normas reglamentarias y regulatorias establecidas, asĆ­ como la normatividad interna en relaciĆ³n con seguridad y privacidad de la informaciĆ³n.
  • Con el fin de mantener un nivel de seguridad adecuado con la operaciĆ³n de PROMOAMBIENTAL DISTRITO S.A.S. ESP, esta polĆ­tica se debe apoyar con las mejores prĆ”cticas de seguridad de la informaciĆ³n y aquellas que el mercado y la compaƱƭa reconozcan como tal.
  • El sistema de gestiĆ³n en seguridad de la informaciĆ³n de PROMOAMBIENTAL DISTRITO S.A.S. ESP serĆ” auditado anualmente para verificar y garantizar su grado de cumplimiento, implementaciĆ³n y madurez.
  • PeriĆ³dicamente se debe evaluar el cumplimiento de los requerimientos de seguridad por parte de los usuarios. El incumplimiento de los requerimientos de seguridad, se debe registrar como un incidente a las polĆ­ticas de seguridad de la informaciĆ³n que debe ser resuelto de acuerdo con los procedimientos de manejo de incidentes de PROMOAMBIENTAL DISTRITO S.A.S. ESP.
  • Deben establecerse procedimientos apropiados para asegurar el cumplimiento con las restricciones de carĆ”cter legal en el uso de material que puede estar sujeto a derechos de propiedad intelectual tales como derechos de autor y derechos de diseƱo.
  • Todos los colaboradores, proveedores, terceros y demĆ”s partes interesadas, deben cumplir con las obligaciones legales, estatutarias, reglamentarios o contractuales relacionadas con seguridad y privacidad de la informaciĆ³n.

Objetivo del control: Implementar procedimientos apropiados para el cumplimiento de los requisitos legislativos, reglamentarios y contractuales relacionados con los derechos de propiedad intelectual y el uso de software patentado.

  • Se aplicarĆ”n procedimientos apropiados para garantizar el cumplimiento de los requisitos legales, reglamentarios y contractuales, relacionados con los derechos de propiedad intelectual y uso de productos de software propietario.
  • Se debe establecer en los contratos de trabajo de los colaboradores y en los contratos de desarrollo realizados por proveedores y contratistas, clĆ”usulas respecto a la propiedad intelectual de PROMOAMBIENTAL DISTRITO S.A.S. ESP, al material y productos generados en el desarrollo del negocio.
  • Incluir, dentro de las polĆ­ticas de navegaciĆ³n de PROMOAMBIENTAL DISTRITO S.A.S., el bloqueo de pĆ”ginas que puedan infringir la ley de protecciĆ³n de derechos de autor.
  • Definir controles con el objetivo de proteger adecuadamente la propiedad intelectual de PROMOAMBIENTAL DISTRITO S.A.S., tanto propia como la de terceros segĆŗn aplique para los derechos de autor de software, licencias y cĆ³digo fuente.
  • Validar que se use software autorizado por la empresa independiente si este es propietario, de licencia comercial o de software libre.
  • Verificar que todo el software utilizado por la entidad, para trabajar o desarrollar estĆ© licenciado y sea usado Ćŗnicamente bajo los tĆ©rminos y condiciones definidos en las licencias.

Objetivo del control: Mantener la protecciĆ³n y privacidad de la informaciĆ³n de datos personales tal como lo estipula la Ley 1581 de 2012, las regulaciones y, si fuese aplicable, las clĆ”usulas contractuales.

  • Se garantizarĆ” el cumplimiento de las disposiciones generales para la ProtecciĆ³n de Datos Personales, de conformidad con lo dispuesto en la legislaciĆ³n expedida sobre la materia y la polĆ­tica de protecciĆ³n de datos personales AD-PO-0001 de PROMOAMBIENTAL DISTRITO S.A.S. E.S.P.
  • Los colaboradores, proveedores y demĆ”s partes interesadas, deben atender las sugerencias dadas por el oficial de privacidad de la informaciĆ³n en cumplimiento de las funciones asignadas a su rol.
  • Identificar y gestionar los riesgos de seguridad de la informaciĆ³n de los activos de informaciĆ³n que contengan datos personales. Estos deben ser controlados para evitar la adulteraciĆ³n, pĆ©rdida, consulta, uso o acceso no autorizado o fraudulento de la informaciĆ³n que contiene datos personales.
  • Realizar la recolecciĆ³n, el tratamiento, el almacenamiento y la disposiciĆ³n final de los datos, observando los principios de: legalidad, finalidad, libertad, veracidad, transparencia, acceso y circulaciĆ³n restringida, seguridad y confidencialidad.
  • Los colaboradores, proveedores y demĆ”s partes interesadas deben cumplir la normatividad nacional vigente en materia de protecciĆ³n de datos personales. Proceder a la supresiĆ³n de los datos personales en su posesiĆ³n, una vez cumplida las finalidades del tratamiento y sin perjuicio de normas legales que dispongan lo contrario. Esta supresiĆ³n o disposiciĆ³n final de los datos personales se realiza de acuerdo a la polĆ­tica de protecciĆ³n de datos personales AD-PO-0001 de PROMOAMBIENTAL DISTRITO S.A.S. E.S.P.

Objetivo del control: Revisar el cumplimiento de todos los lineamientos, las polĆ­ticas, lo procedimientos y las normas establecidas en materia de seguridad y privacidad de la informaciĆ³n, con el fin de preservar los principios de privacidad, disponibilidad y confidencialidad.

  • El proceso de TI deberĆ” comprobar periĆ³dicamente el cumplimiento de los procedimientos de la informaciĆ³n dentro de sus responsabilidades con los lineamientos, polĆ­ticas, las normas y otros requisitos de seguridad.
  • El oficial de privacidad de la informaciĆ³n debe revisar las situaciones o acciones que violen las presentes polĆ­ticas deben ser detectadas, registradas, analizadas, resueltas e informadas al comitĆ© de seguridad de la informaciĆ³n y a los procesos responsables por su tratamiento de manera inmediata.
  • Los colaboradores, proveedores y demĆ”s partes interesadas deben cumplir con las normas de seguridad y privacidad de la informaciĆ³n establecidas en este lineamiento.

Objetivo del control: Proteger la informaciĆ³n de PROMOAMBIENTAL DISTRITO S.A.S. ESP, y notificar a todos los colaboradores internos, externos y proveedores sobre la responsabilidad de proteger, usar y divulgar la informaciĆ³n de manera responsable y autorizada segĆŗn lo especificado en este documento para el tratamiento de datos personales las polĆ­ticas establecidas.

  • GestiĆ³n humana debe definir compromisos de confidencialidad de la informaciĆ³n tanto en colaboradores y en contratistas.
  • Todo colaborador, contratista y proveedor debe firmar los acuerdos de confidencialidad establecidos GH-PR-0010-F09 Acuerdo de Confidencialidad y CR-PR-0002-F13 Acuerdo de confidencialidad- Proveedores.
  • JurĆ­dica junto con TI, GestiĆ³n humana y compras, deben revisar los requisitos de los acuerdos de confidencialidad y no divulgaciĆ³n, periĆ³dicamente o cuando ocurran cambios que influyan en los mismos.

Objetivo del control: Evitar accesos fĆ­sicos no autorizados que atenten contra la confidencialidad, integridad, privacidad o disponibilidad de la informaciĆ³n de la empresa. AsĆ­ mismo, controlar los puntos de acceso tales como Ć”reas de despacho y de carga, y otros puntos a donde pueda entrar personal no autorizado a PROMOAMBIENTAL DISTRITO S.A.S. E.S.P.

  • Las Ć”reas seguras se protegerĆ”n mediante controles de entrada adecuados para garantizar que se le permita el acceso Ćŗnicamente al personal autorizado, de acuerdo con los procedimientos de ingreso a las instalaciones AD-PR-0002 y AD-PR-0003.
  • Para el ingreso de terceros al centro de cableado, se tienen que registrar en la bitĆ”cora ubicada en un lugar visible a la entrada a este lugar.
  • Las oficinas e instalaciones donde haya atenciĆ³n al pĆŗblico no deben permanecer abiertas cuando los colaboradores se levantan de sus puestos de trabajo, asĆ­ sea por periodos cortos de tiempo.
  • Todos los colaboradores deben permanecer con el carnet que los identifica como colaborador de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P. mientras permanezcan en las instalaciones.
  • Todos los colaboradores deben reportar, a la mayor brevedad, cualquier sospecha de pĆ©rdida o robo de carnet de identificaciĆ³n.
  • Todos los visitantes que ingresan a la compaƱƭa deben ser recibidos y estar acompaƱados por la persona a quien visitan durante su permanencia en las instalaciones del mismo.
Pagar factura
Facebook Youtube Twitter