Definir los parámetros y políticas para el uso apropiado de la información de PROMOAMBIENTAL
DISTRITO S.A.S., E.S.P., a los usuarios internos y externos, para proteger la información de la
compañía y de nuestros clientes, minimizando los riesgos que puedan llegar a afectar la
confidencialidad, integridad, disponibilidad y privacidad de la información.
Los términos y condiciones descritos en este lineamiento aplican a todos los procesos,
colaboradores internos, consultores, contratistas y proveedores de PROMOAMBIENTAL
DISTRITO S.A.S., E.S.P., que usen o tengan acceso a la información que sea de propiedad de
PROMOAMBIENTAL DISTRITO S.A.S., E.S.P. o nuestros clientes.
Software: En computación, término inglés que hace referencia a todo lo lógico, es todo programa o aplicación, programado para realizar tareas específicas.
Cámara de Circuito Cerrado de Televisión “CCTV”: Es un sistema que funciona tras la instalación de cámaras de seguridad que permiten comprobar desde otra ubicación (en forma remota), el funcionamiento o el estado de un lugar.
Acuerdo de Confidencialidad: Es un convenio que crea obligaciones a una o a ambas partes que intervienen, con respecto al uso, manejo y divulgación de la información, con el propósito de preservar la confidencialidad, integridad, privacidad y disponibilidad de la misma, como parte de una relación contractual o comercial.
Activo: Cualquier cosa que tenga un valor de importancia relevante para la organización. Entre los activos de una organización se encuentra hardware, software, documentos electrónicos o físicos, infraestructura, servicios, personal, entre otros. El término Activo es sinónimo de Activo de Información.
Amenaza: Es una fuente generadora de eventos o acciones que puede producir o causar un daño representativo al activo de información, generando un factor o escenario de riesgo que originaría a la organización pérdidas por riesgo de seguridad de la información. La amenaza es un contexto de seguridad de la información que se manifiesta a través de actos deliberados, intencionados o impredecibles y provocados por las personas, la tecnología, la infraestructura, acontecimientos externos, entre otros.
Autorización: Consentimiento previo, expreso e informado otorgado por el Titular para llevar a cabo el tratamiento de datos personales.
Base de Datos: Conjunto organizado de datos personales que sea objeto de tratamiento.
Confidencialidad: Propiedad de salvaguardar el activo de información de personas, procesos o entidades no autorizados.
Controles: Medidas de protección o salvaguardas dispuestas para reducir el nivel de riesgo. Pueden ser políticas, procedimientos, directrices, prácticas, estructuras de la organización, soluciones tecnológicas, entre otros.
Dato Personal: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables.
Dato Sensible: Información que afectan la intimidad de las personas o cuyo uso indebido puede generar discriminación (Origen racial o étnico, orientación política, convicciones filosóficas o religiosas, pertinencia a sindicatos u organizaciones sociales o derechos humanos, datos de salud, vida sexual y biométricos).
Dato público: Es el dato que no sea semiprivado, privado o sensible. Entre ellos: los datos relativos al estado civil de las personas, profesión y oficio, calidad de comerciarte o de servidor público. Es aquel, que por su naturaleza puede estar contenido en registros o documentos públicos, entre otros.
Disponibilidad: Propiedad de garantizar que el activo de información sea accesible y utilizable en el momento que se requiera, por parte de las personas, procesos o entidades autorizada.
Encargado del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del Tratamiento. En los eventos en que el responsable no ejerza como Encargado de la base de datos, se identificará expresamente quién será el Encargado.
Equipamiento: El equipamiento de procesamiento de la información incluye todo tipo de elemento físico soportado para el desarrollo de las actividades diarias del negocio. Estos elementos pueden ser entre otros: computadores de escritorio o personales, organizadores físicos, teléfonos móviles, escáneres, impresoras, tóner, fotocopiadoras, dispositivos USB, discos removibles, medios de y papel.
Evento de seguridad de la información: Es la ocurrencia identificada de un estado del activo de información (sistema, servicio, red, entre otros) que indica un incumplimiento posible de la política de seguridad de la información, una falla de controles existentes, o una situación previamente desconocida que puede ser pertinente para la seguridad.
Habeas Data: En Colombia se cataloga como un Derecho Fundamental, y aquel que tiene toda persona de conocer, actualizar y rectificar la información que se haya recogido, recolectado y almacenado sobre ella en archivos y bancos de datos de naturaleza pública o privada.
Incidente de seguridad de la información: Uno o una serie de eventos de seguridad de la información indeseados o inesperados que afecta un activo de información y que tienen una probabilidad significativa de comprometer las operaciones del negocio y/o amenazar la seguridad de la información asociada con el mismo.
Integridad: Propiedad de salvaguardar la exactitud y estado completo del activo de información, de acuerdo a los diferentes métodos de proceso a que se exponga.
Perímetro de seguridad física: Corresponde a un mecanismo o división implementada e identificable, que permite limitar o aislar un área segura o crítica de la organización con el propósito de brindar niveles de seguridad adecuados para el acceso o restricción al área respectiva.
Procesamiento de Información: Es la capacidad que tiene un sistema de información de efectuar cálculos con base a una secuencia de operaciones preestablecidas y permitiendo la transformación de datos fuentes en información para ser utilizada en la toma de decisiones.
Programa de concientización en seguridad de la información: Conjunto de estrategias que busca que todos los Colaboradores de la Compañía y los Colaboradores provistos por terceras partes interioricen y adopten las políticas, normas, procedimientos y guías existentes al interior de la Institución dentro de sus labores diarias.
Propietario: Se refiere al dueño responsable del activo de información utilizado para el desarrollo y cumplimiento de sus funciones. Está encargado de garantizar la seguridad adecuada del mismo, con base a los principios básicos de seguridad a saber: confidencialidad, integridad, disponibilidad y privacidad.
Proteger la organización: Reducción del riesgo a través de la implementación de acciones o medidas de control dirigidas a disminuir el impacto o severidad de las consecuencias del riesgo si éste ocurre.
Responsable del Tratamiento: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, decida sobre la base de datos y/o el tratamiento de los datos.
Riesgo: Se entiende por riesgo, la posibilidad de incurrir en pérdidas económicas, operativas, legales o de imagen para la organización por deficiencias, fallas o al no adecuado uso y/o manejo del activo de información, a causa de amenazas o vulnerabilidades que le altere su correcto funcionamiento u operatividad.
Seguridad de la información: Preservación fundamental de la confidencialidad, integridad, disponibilidad y privacidad del activo de información, además de otros criterios o propiedades tales como la autenticidad, no repudio, confiablidad, propiedad y/o responsabilidad, entre otros.
Sistema de Información: Es una disposición de personas, actividades o procedimientos y recursos tecnológicos integrados entre sí, para apoyar y mejorar las operaciones diarias de la organización, con la finalidad de satisfacer las necesidades de información en general y facilitar la toma de decisiones por parte de los directivos de la organización. Ejemplos aplicados: sistemas de automatización de oficina, sistemas de procesamiento de transacciones y sistemas de información de gestión.
Software malicioso: Es una variedad de software o programas de códigos hostiles e intrusivos que tienen como objeto infiltrarse o dañar recursos informáticos, sistemas operativos, redes de datos o sistemas de información.
Titular: Persona natural cuyos datos personales sean objeto de tratamiento.
Transferencia: La transferencia de datos tiene lugar cuando el responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.
Transmisión: Tratamiento de datos personales que implica la comunicación de los mismos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un tratamiento por el Encargado por cuenta del responsable.
Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales,tales como la recolección, almacenamiento, uso, circulación o supresión.
Tratamiento del riesgo: Proceso de selección e implementación de controles o acciones para ajustar el nivel de riesgo del activo a los niveles aceptables para la Organización.
Video Vigilancia: es un sistema de videovigilancia conformado por cámaras y un software de grabación
Vulnerabilidad: Es la debilidad o incapacidad de resistencia de un activo de información frente a una amenaza.
Privacidad: s cuando una organización o individuo debe determinar qué datos en un sistema informático se pueden compartir con terceros.
Oficial de privacidad de la Información: Es el responsable de diseñar y administrar un conjunto de políticas, procedimientos o manuales que permitan a la organización cumplir las normas sobre protección de datos personales, así como establecer los controles de evaluación y revisión permanente.
Oficial de seguridad de la Información: Es el responsable de planificar, desarrollar, controlar y gestionar las políticas, procedimientos y acciones con el fin de mejorar la seguridad de la información dentro de sus pilares fundamentales de confidencialidad, integridad y disponibilidad.
Ciberseguridad: Es la práctica de proteger equipos, redes, aplicaciones de software, sistemas críticos y datos de posibles amenazas digitales.
Área restringida: Zona dentro de las instalaciones que requiere controles de acceso adicionales debido a la sensibilidad de la información o equipos que se encuentran en su interior.
Controles de acceso físico: Medidas implementadas para asegurar que solo personal autorizado pueda acceder a determinadas áreas.
Capacidad: La cantidad máxima de recursos de TI que un sistema puede manejar eficazmente.
Umbral de capacidad: Nivel predeterminado de uso de recursos que, al alcanzarse, puede desencadenar acciones de escalamiento o mejora.
Plan de capacidad: Documento que describe la estrategia para gestionar los recursos de TI de manera que se puedan cumplir las demandas actuales y futuras.
Datos Sensibles: Información que, si se divulga sin autorización, podría comprometer la privacidad, seguridad, o integridad de la organización o de los individuos, como números de identificación personal, información financiera, datos médicos, etc.
Enmascaramiento de Datos: Proceso de ocultar datos originales con caracteres ficticios o irreversibles para proteger la información sensible mientras se mantiene la utilidad de los datos en entornos no productivos.
Entorno No Productivo: Sistemas o bases de datos que se utilizan para actividades distintas a la producción, como desarrollo, pruebas, o análisis, donde no se requiere la información original.
Red Interna: Redes de comunicación que operan dentro de la organización y están bajo su control directo.
Red Externa: Redes de comunicación fuera del control directo de la organización, como internet o redes de proveedores.
Firewall: Dispositivo o software que controla el tráfico de red, permitiendo o bloqueando conexiones según políticas de seguridad definidas.
Segmentación de Redes: División de la red en subredes más pequeñas para mejorar la seguridad y el rendimiento.
Objetivo del control: Definir y asignar de acuerdo a la necesidad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P., los roles y responsabilidades de seguridad de la información.
Oficial de Seguridad de la Información
Oficial de Privacidad de la Información
Objetivo del control: Definir responsabilidades de la dirección y comprender su papel en la seguridad y privacidad de la información, así como requerir a todos los colaboradores, contratistas y demás partes interesadas que apliquen las políticas establecidas en este documento.
Objetivo del control: Establecer medidas de seguridad para proteger la infraestructura de redes de PROMOAMBIENTAL DISTRITO S.A.S., contra accesos no autorizados, interrupciones, y amenazas, asegurando que la información transmitida a través de las redes se mantenga segura y protegida.
reglas estrictas de filtrado basadas en políticas de seguridad.
Objetivo del control: Asegurar que los servicios de red, incluyendo la provisión de acceso a internet, servicios de correo electrónico, VPN, y otros, se gestionen de manera segura.
Objetivo del control: Proteger la información sensible y los recursos críticos de PROMOAMBIENTAL DISTRITO S.A.S., mediante la segregación efectiva de las redes, asegurando que solo los colaboradores autorizados tengan acceso a las áreas de la red que requieren dicho acceso.
Objetivo del control: Administrar el acceso a sitios web en los equipos de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P., mediante la implementación de mecanismos de filtrado web, para reducir la exposición a sitios web maliciosos, contenidos inapropiados y otros riesgos asociados con la navegación en internet.
