Objetivo del control: Definir y asignar de acuerdo a la necesidad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P., los roles y responsabilidades de seguridad de la información.

Oficial de Seguridad de la Información

• Definir y desarrollar el plan de seguridad de la información.
• Definir y actualizar los políticas, normas, procedimientos y estándares del Sistema de Gestión de Seguridad de la Información.
• Definir una metodología de riesgo adecuada y alineada con la estructura organizacional.
• Realizar el análisis de riesgo de los procesos críticos del
• Asesorar en la aplicación de la metodología para el mantenimiento de los planes de contingencia y continuidad del negocio
• Evaluar, seleccionar e implementar herramientas que faciliten la labor de seguridad de la información
• Emitir políticas para controlar el acceso a los sistemas de información y la modificación de privilegios
• Promover la formación, educación y el entrenamiento para fortalecer la cultura de seguridad de la información al interior de la compañía.
• Mantenerse actualizado    ante    la    evolución    de    las    amenazas       y vulnerabilidades existentes y las nuevas que
• Realizar estudios de penetración y pruebas de seguridad en los ambientes productivos
• Desarrollar e implementar el enfoque de
• Garantizar la identificación y cierre de las
• Desarrollar métodos y métricas para evaluar el rendimiento del

Oficial de Privacidad de la Información

• Supervisión del Cumplimiento Normativo: Asegurar que en Promoambiental Distrito S.A.S ESP, se cumpla con todas las leyes y regulaciones de privacidad y protección de datos aplicables e informar al comité de seguridad de la información ante posibles incumplimientos de dichas directrices, por parte de los colaboradores y de terceros.
• Políticas y Procedimientos: Desarrollar, implementar, mantener las políticas y procedimientos establecidos en Promoambiental Distrito S.A.S ESP, relacionados con la privacidad y la protección de datos
• Evaluaciones de Riesgos: Participar en evaluaciones periódicas de riesgos de privacidad de la información y llevar a cabo seguimientos internos para verificar el
• Capacitación y Concienciación: Proveer capacitación continua y programas de concienciación para los colaboradores y demás partes interesadas sobre prácticas de privacidad y protección de datos
• Gestión de Incidentes: Participar de manera activa en la gestión de cualquier incidente relacionado con la privacidad de los datos que se presenten en la empresa, incluyendo la comunicación con las autoridades competentes y a las personas afectadas, según sea necesario. En caso de incidentes graves, se deberá notificar inmediatamente al comité se seguridad de la información siguiendo el protocolo establecido en el procedimiento TI-PR-0006 Gestión de Incidentes de Seguridad de Información.
• Interacción con Partes Externas: Actuar como contacto para consultas de privacidad de la información tanto internas como externas.

•  Los contratistas, proveedores y terceros que tengan acceso a los activos de información, están obligados a cumplir las políticas de la seguridad de la información de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.
• Deben firmar acuerdos de confidencialidad y seguridad, de acuerdo a lo establecido en la matriz de requisitos de proveedores, incluyendo cláusulas de protección de datos y uso ético de la información.
• Mantener la confidencialidad de la información a la que tengan acceso como parte de sus actividades.
• Implementar controles de acceso adecuados para que solo el personal autorizado acceda a la información confidencial y sensible.
• Utilizar los recursos y sistemas de información de PROMOAMBIENTAL DISTRITO S.A.S E.S.P., solo para los fines especificados en el contrato.
• Informar a PROMOAMBIENTAL DISTRITO S.A.S E.S.P., de inmediato sobre cualquier incidente de seguridad de la información, como accesos no autorizados, pérdida de datos o problemas de seguridad en sus sistemas.

Objetivo del control: Definir responsabilidades de la dirección y comprender su papel en la seguridad y privacidad de la información, así como requerir a todos los colaboradores, contratistas y demás partes interesadas que apliquen las políticas establecidas en este documento.

• Desde la alta dirección se establece en el proceso de gestión humana en el ingreso del personal, una inducción que incluye la divulgación de las políticas de seguridad de la información establecidas en este documento. Posterior la aceptación, compromiso y responsabilidad del colaborador de los lineamientos en el formato: GH-PR-0010-F08 Comprensión y Compromiso lineamiento de Seguridad de la Información, el cual se adjunta al contrato laborar.
  Así, mismo, se establece divulgación periódica masiva por los medios de comunicación establecidos.
• La alta dirección debe requerir a todos los colaboradores y terceros el cumplimiento normativo interno de la empresa (políticas, lineamientos y procedimientos establecidos), así como la normatividad externa a la entidad relacionada con seguridad y privacidad de la información.
• Respaldar y promover a los colaboradores y demás partes interesadas para que contribuyan al desarrollo del Modelo de Seguridad y Privacidad de la Información y adquieran un rol de liderazgo en cada uno de sus procesos.
•  Gestionar los recursos requeridos para el mantenimiento del sistema de Seguridad y Privacidad de la Información.
•  Los lideres de procesos deben promover el cumplimiento, por parte del personal bajo su responsabilidad, de las políticas, lineamientos, directrices y procedimientos de seguridad y privacidad de información.
• Los lideres de procesos deben cumplir con los controles establecidos por PROMOAMBIENTAL DISTRITO S.A.S., para activar o desactivar, de manera temporal o permanente, el acceso a la información digital catalogada como pública, privada, confidencial y de uso interno, así como la protección de datos personales no públicos, por parte de los colaboradores o terceros vinculados a su proceso.

Objetivo del control: Establecer medidas de seguridad para proteger la infraestructura de redes de PROMOAMBIENTAL DISTRITO S.A.S., contra accesos no autorizados, interrupciones, y amenazas, asegurando que la información transmitida a través de las redes se mantenga segura y protegida.

• Infraestructura debe restringir las redes de datos alámbricas o inalámbricas de PROMOAMBIENTAL DISTRITO S.A.S., únicamente a los colaboradores, contratistas o proveedores.
• autorizados para conectarse y acceder a los sistemas de información de la empresa.
• Las redes deberán ser administradas y controladas para proteger la información en los sistemas y aplicaciones, de acuerdo a lo establecido en la política TI-LI- 0004 Infraestructura y Seguridad Informática.
• Se debe monitorear accesos y uso de los servicios informáticos. En caso de evidenciar un mal uso del recurso informático por parte de un colaborador, se debe suspender de forma parcial, temporal o total el acceso a este recurso y notificar a la gerencia de TI.
• Restringir el uso del servicio de internet solo para fines laborales e institucionales y realizar las funciones asignadas.
• Restringir la sincronización de información de la nube con cuentas personales.
• Mantener la documentación actualizada, incluidos los diagramas de red y los archivos de configuración de los dispositivos.
• Los lideres de proceso deben determinar el tipo de información a almacenar en la nube de acuerdo con su clasificación y sensibilidad. De igual manera, establecer cuáles colaboradores pueden tener acceso o permisos de modificación sobre la misma y se debe solicitar a TI la creación del usuario por la mesa de ayuda – GLPI.
• Infraestructura debe implementar segmentación de redes para separar los distintos procesos funcionales y sensibles de la organización, reduciendo así el riesgo de propagación de ataques y limitando el acceso a recursos críticos.
• Instalar y configurar firewalls en los perímetros de la red y entre las diferentes segmentaciones de red para controlar el tráfico de entrada y salida, aplicando

reglas estrictas de filtrado basadas en políticas de seguridad.

• Asegurarse de que todos los dispositivos y sistemas de la red (firewalls, routers, switches, etc.) estén actualizados con los últimos parches de seguridad y firmware, para mitigar vulnerabilidades conocidas.
• Implementar sistemas de detección y prevención de intrusiones (IDS/IPS) para monitorear el tráfico de red en busca de actividades sospechosas o no autorizadas, generando alertas y bloqueando automáticamente amenazas detectadas.
• El proceso de TI, será la encargada de la operación y administración de la plataforma tecnológica (Voz y datos) que apoya los procesos de PROMOAMBIENTAL DISTRITO S.A.S., asignará funciones específicas a sus colaboradores y/o contratistas, quienes actuarán como responsables de garantizar la adecuada operación y administración de dicha plataforma, manteniendo y actualizando la documentación de los procesos operativos para la ejecución de dichas actividades.

• Objetivo del control: Definir e implementar procesos y procedimientos para
  gestionar los riesgos de seguridad de la información asociados con la cadena de
  suministro de productos y servicios de TIC en la empresa.
• TI y el proceso de compras deben definir en la matriz CR-PR-0002-F07 Matríz de
  Requisitos SIG Proveedores YO contratistas, los requisitos para los acuerdos con
  proveedores para abordar los riesgos de la seguridad de la información, asociada
  con los servicios de las tecnologías de información y comunicación, y de la
  cadena de suministro de productos.
• En los requisitos se debe establecer en los contratos con proveedores los
  Nota: Si este documento está fuera del espacio en línea no es válido dentro del Sistema
  integrado de gestión
  PROMOAMBIENTAL DISTRITO SAS ESP Lineamiento de Seguridad de la Información Versión 08 25/09/2024
  Código: TI-LI-0006 Página 30 de 90
  requisitos de seguridad de la información y la gestión de riesgos, aplicables a la
  adquisición de productos o servicios de tecnología de la información y de
  comunicaciones.
• TI y compras deben revisar que los servicios o los productos sean entregados de
  acuerdo con las especificaciones contractuales establecidas.
• El proceso de compras debe incluir dentro de los componentes de los contratos
  de TI garantías asociadas a la cadena de suministro de las TIC.
• TI debe identificar y documentar los componentes del producto o servicio que son
  críticos para la empresa.
• TI debe monitorear las novedades relacionadas con el suministro de productos y
  servicios de tecnología de información y comunicaciones.
• Jurídica, compras y TI deben verificar que se incluyan obligaciones para la
  cadena de suministro de tecnologías de acuerdo a la CR-PR-0002-F07 Matríz de
  Requisitos SIG Proveedores YO contratistas.
• TI y compras deben verificar el aprovisionamiento de servicios en la nube,
  proveedores de servicios de telecomunicaciones y proveedores de hardware y
  que acepten el cumplimiento de la política de seguridad y de la información de la
  empresa de acuerdo a el procedimiento CR-PR-0002 Compras.
• Jurídica debe notificar situaciones de riesgos a compras y a TI relacionadas con
  el suministro de productos y servicios de tecnología de información y
  comunicaciones

Objetivo del control: monitorear, revisar, evaluar y gestionar periódicamente los cambios en las prácticas de seguridad y privacidad de la información de los proveedores y prestación de servicios.

• TI y compras deben definir procedimientos donde se establezcan las condiciones para el seguimiento, la revisión y la gestión de cambios en los servicios suministrados por los proveedores.
• TI debe establecer acciones a tomas cuando se observen deficiencias en la prestación del servicio por parte de los proveedores y notificar a compras para el proceso de cambio de proveedor así mismo, se debe evaluar el riesgo de seguridad de la información en la gestión de cambios.
• Los cambios en la prestación de servicios por parte de los proveedores, incluyendo el mantenimiento y la mejora de los actuales lineamientos de seguridad de información, procedimientos y controles, se gestionarán, teniendo en cuenta la criticidad de la información, sistemas y procesos que intervienen, considerando los estipulado en el procedimiento TI-PR-0005 Gestión de Cambio en Tecnología.
• Monitorear la asignación de permisos de acceso de los proveedores a los sistemas de información de la empresa; lo anterior, teniendo en cuenta las condiciones que estos deben cumplir en cuanto a la gestión de usuarios y contraseñas definidos en este manual.
• Involucrar a los responsables del plan de recuperación de desastre (DRP) para los temas que puedan afectar la continuidad de la operación.
• Realizar seguimiento con regularidad a la prestación del servicio de los proveedores en los términos y condiciones de seguridad y privacidad de la información de los acuerdos se cumplan y que el manejo de incidentes de seguridad de la información se gestione adecuadamente.
• Los proveedores de PROMOAMBIENTAL DISTRITO S.A.S. E.S.P., deben Reportar a la empresa cualquier incidente de seguridad o privacidad de la información que se presente con el fin de tomar las medidas respectivas para mitigar el riesgo de indisponibilidad.
• Jurídica debe incluir dentro de las cláusulas contractuales la posibilidad de realizar auditorías a los proveedores cuando haya cambios en los servicios que suministra.
• TI debe monitorear periódicamente el cumplimiento de los Acuerdos de Niveles de Servicio (ANS), acuerdos de confidencialidad y acuerdos de intercambio de información por parte de los proveedores.
• Compras debe realizar una revisión y actualización de los proveedores TIC, que presten servicios de software, o se comparta información relevante para la prestación del servicio, cada vez que se requiera, como mínimo una vez al año, con el apoyo de los lideres de procesos responsable del proveedor.
• Los proveedores deben respaldar y proteger los activos de información que sean utilizados para las labores contratadas.

Objetivo del control: establecer procesos de adquisición, uso, gestión y salida de los servicios en la nube, de acuerdo con los requisitos de seguridad y privacidad de la información definidos por PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.

• TI debe definir los requisitos de seguridad y privacidad de la información asociados con el uso de los servicios en la nube.
• TI debe definir las funciones y las responsabilidades relacionadas con el uso y la gestión de los servicios en la nube.
• En los contratos se debe especificar las garantías que ofrecen los proveedores, en cuanto al cumplimiento de los principios de disponibilidad, confidencialidad, privacidad e integridad de la información en los servicios en nube.
• TI debe definir los criterios de selección de los proveedores de servicios en la nube en CR-PR-0002-F07 Matríz de Requisitos SIG Proveedores YO contratistas, teniendo en cuenta aspectos como la reputación, la fiabilidad, los mecanismos de protección de datos, las certificaciones de cumplimiento relevantes para el sector, la escalabilidad, la alta disponibilidad, el rendimiento y el modelo de costos.
• TI debe definir los riesgos de seguridad o privacidad de la información asociados con el uso de servicios en la nube como IaaS, PaaS, SaaS.
• TI debe verificar la conformidad de los controles de seguridad y privacidad de la información con lo que cuenta el proveedor de servicios en la nube.
• Dar cumplimiento a la Guía de Computación en la nube de MinTIC, donde se establecen los lineamientos de uso de las capacidades de las nubes en Colombia.
• Infraestructura debe disponer de una herramienta para monitorear las capacidades de la nube, optimizando de manera periódica los recursos desplegados.
• Los incidentes de seguridad de servicios en la nube se atenderán de acuerdo al procedimiento TI-PR-0006 Gestión de Incidentes de Seguridad de Información Así mismo, los cambios en los servicios en la nube se realizan de acuerdo a TI-PR- 0005 Gestión de Cambio en Tecnología y al procedimiento de compras.
• En la CR-PR-0002-F07 Matríz de Requisitos SIG Proveedores YO contratistas, se debe establecer los requisitos para la adquisición de servicios en la nube, tales como IaaS, PaaS, SaaS.
• Compras con el apoyo de TI debe definir con el (los) proveedor(es) de nube los ANS correspondientes a los tiempos de atención para fallas, nuevos requerimientos y demás que se requieran para la operación.
• Jurídica debe revisar la viabilidad de incluir una cláusula en los contratos de nube donde indique que PROMOAMBIENTAL DISTRITO SAS ESP., tiene toda la propiedad de cualquier información agregada, creada, generada, modificada, almacenada o en cualquier otra forma asociada con la propiedad intelectual, la cual no podrá ser reclamada por el proveedor.
• Jurídica debe revisar la viabilidad de incluir una cláusula en los contratos de nube para exigir al proveedor la eliminación segura de la información de la entidad al finalizar el contrato.
• TI debe incluir los criterios de seguridad y privacidad para el aprovisionamiento y configuración de los recursos de nube.
• Infraestructura debe implementar la gestión de identidades y acceso a los servicios que se utilizan en la nube, garantizando accesos basados en roles, auditorías periódicas, depuraciones y la aplicación del principio de mínimo privilegio.
• Infraestructura debe configurar los grupos de seguridad de red o reglas de firewall para restringir el tráfico de red entrante y saliente a los recursos de la nube.
• Infraestructura debe monitorear y optimizar el uso de los recursos en la nube
• Infraestructura debe restringir el tráfico de red entrante y saliente a los recursos de nube, mediante reglas de firewall y/o grupos de seguridad de red.
• Infraestructura debe incluir los aprovisionamientos y actualizaciones en los elementos de la nube, en el proceso de Gestión de cambios.
• Infraestructura debe incluir los elementos de la nube en los análisis de vulnerabilidades, actualizaciones y aplicación de parches de seguridad.
• Compras, Jurídica y TI deben validar que el país donde se aloje la información; especialmente la relacionada con datos personales, disponga de una seguridad jurídica similar a la colombiana para la transferencia o transmisión de estos, según la legislación en Colombia para la protección de datos personales.
• Compras debe validar que el proveedor cuente con las mejores las prácticas y los procedimientos de seguridad de la información para el servicio prestado (Se puede apoyar en concepto técnicos con TI).
• TI debe conservar los principios de seguridad de la información: confidencialidad, integridad y disponibilidad durante la operación del servicio.
• TI debe analizar qué información de la entidad puede migrarse a la nube.
• Los colaboradores y terceros deben reportar los eventos o incidentes de seguridad o privacidad relacionados con la nube.

Objetivo del control: Definir los roles, las responsabilidades y los procedimientos de gestión para la atención oportuna y eficaz de los incidentes de seguridad y privacidad de la información en PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.

• Los incidentes de seguridad, resultantes del incumplimiento de los políticas y normas de seguridad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P. serán direccionados por el procedimiento de manejo de incidentes TI-PR-0006 establecido por el proceso de TI, con el objetivo de realizar la respectiva investigación y entregar los resultados a los respectivos responsables dentro de la compañía, encargados de tomar las acciones correctivas y preventivas del caso.
• Los colaboradores deberán estar informados del proceso disciplinario que se llevará a cabo en caso de incumplimiento de las políticas de seguridad de la información o alguno de los elementos que la soportan. En cualquier caso, se hará un seguimiento de acuerdo con el procedimiento establecido para el manejo de incidentes de seguridad.
• Responsabilidades y procedimientos: La responsabilidad y el procedimiento de manejo para asegurar una respuesta rápida, eficaz y ordenada a los incidentes de seguridad de la información está en cabeza del proceso de tecnología.

Objetivo del control: Planificar, implementar, mantener y probar la preparación de las TIC en función de los objetivos de continuidad del negocio y los requisitos de continuidad de las TIC en PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.

• Verificar que el plan de recuperación ante desastres TI-PG-0002 DRP, se desarrolle y se implemente de forma adecuada, teniendo en cuenta la criticidad de los servicios, procesos y procedimientos.
• Incluir en el Plan de Continuidad de Negocio GC-PG-0002 las especificaciones TIC de rendimiento y capacidad para cumplir con los requisitos y objetivos de continuidad de PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.
• Establecer un plan de pruebas anual de las estrategias de recuperación de desastres definidos por la entidad.
• Contar con manuales, instructivos o procedimientos del plan de recuperación ante desastres DRP.
• Tomar las lecciones aprendidas de las pruebas de las estrategias de recuperación ante desastres definidos por la entidad e incluirlas en las futuras actualizaciones de los planes.
• Mantener actualizada la documentación del plan de recuperación ante desastres.
• Incluir al comité en gestión de cambios en los procesos relacionados con el plan de recuperación de desastres.
• Contar con la infraestructura requerida para el plan de recuperación ante desastres, como centros de datos alternos, sin importar las estrategias de continuidad definidas.
• Contar con la infraestructura requerida para el plan de recuperación ante desastres, como centros de datos alternos, sin importar las estrategias de continuidad definidas

Objetivo: Identificar la legislación y los registros contractuales en materia de seguridad y privacidad de la información, vigilar su cumplimiento y actualización de manera permanente.

• Todos los requisitos pertinentes, legislativos estatutarios, reglamentarios, contractuales y el planteamiento de la entidad para cumplir con estos requisitos deberán estar explícitamente identificados, documentados y protegidos al día para cada sistema de información y la compañía.
• Mantener actualizado la matriz legal JCO-PR-0004-F01, donde se identifiquen, documenten y actualicen todos los requerimientos de la legislación y la regulación nacional e internacional, con el fin de salvaguardar la información que se genere, obtenga, adquiera, transforme, controle, transfiera o se intercambie en PROMOAMBIENTAL DISTRITO S.A.S., E.S.P.
• Las situaciones o acciones que violen la presente política deben ser detectadas, registradas, analizadas, resueltas y reportadas de manera inmediata a través de los canales señalados para el efecto.
• Dar cumplimiento de las leyes y normas reglamentarias y regulatorias establecidas, así como la normatividad interna en relación con seguridad y privacidad de la información.
• Con el fin de mantener un nivel de seguridad adecuado con la operación de PROMOAMBIENTAL DISTRITO S.A.S. ESP, esta política se debe apoyar con las mejores prácticas de seguridad de la información y aquellas que el mercado y la compañía reconozcan como tal.
• El sistema de gestión en seguridad de la información de PROMOAMBIENTAL DISTRITO S.A.S. ESP será auditado anualmente para verificar y garantizar su grado de cumplimiento, implementación y madurez.
• Periódicamente se debe evaluar el cumplimiento de los requerimientos de seguridad por parte de los usuarios. El incumplimiento de los requerimientos de seguridad, se debe registrar como un incidente a las políticas de seguridad de la información que debe ser resuelto de acuerdo con los procedimientos de manejo de incidentes de PROMOAMBIENTAL DISTRITO S.A.S. ESP.
• Deben establecerse procedimientos apropiados para asegurar el cumplimiento con las restricciones de carácter legal en el uso de material que puede estar sujeto a derechos de propiedad intelectual tales como derechos de autor y derechos de diseño.
• Todos los colaboradores, proveedores, terceros y demás partes interesadas, deben cumplir con las obligaciones legales, estatutarias, reglamentarios o contractuales relacionadas con seguridad y privacidad de la información.