RESOLUCIÓN DE JUNTA DIRECTIVA 11 DE 2023
(julio 17)
<Fuente: Archivo interno entidad emisora>
INSTITUTO PARA EL DESARROLLO DE ANTIOQUIA
Por medio de la cual se deroga la Resolución de Junta Directiva 0003 -19 del 29 de enero de 2019 y se aprueba y adopta la versión 03 de la Política de Seguridad de la Información y Ciberseguridad del Instituto para el Desarrollo de Antioquia-IDEA.
LA HONORABLE JUNTA DIRECTIVA DEL INSTITUTO PARA EL DESARROLLO DE ANTIOQUIA - IDEA,
en uso de sus facultades legales y reglamentarias y estatutarias, en especial las conferidas por el literal b del artículo 76 de la Ley 489 de 1998, la Ordenanza 13 de 1964, numeral 19 del artículo décimo tercero y numeral 18 del artículo décimo sexto de la Resolución de Junta Directiva 006 de 2014 y
CONSIDERANDO:
1. Que el artículo 15 de la Constitución Política de Colombia, consagra el derecho a la intimad personal y familiar y su buen nombre en los siguientes términos: "Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución (...)"
2. Que el artículo 20 de la Constitución Política Colombiana estableció en relación con el derecho a la información que "se debe garantizar a toda persona la libertad de expresar y difundir su pensamiento y opiniones, la de informar y recibir información veraz e imparcial, y la de fundar medios de comunicación masiva", derecho que se complementa con lo señalado en el artículo 74 ibidem, según el cual "Todas las personas tienen derecho a acceder a los documentos públicos salvo los casos que establezca la ley (...)"
3. Que mediante la Ley 1266 de 2008, reglamentada por el Decreto 1081 de 2015 y modificada mediante la Ley 2157 de 2021, se establecieron las disposiciones generales de protección de habeas data y se reguló el manejo de la información contenida en bases de datos personales, de tal forma que quedaron instituidos los principios que se deben tener en cuenta a la hora de administrar datos, los derechos de los titulares de estos, así como los procedimientos que se deben agotar en caso de peticiones, consultas y reclamos relacionados con la protección de datos personales.
4. Que la Ley 1273 de 2009 crea un nuevo bien jurídico tutelado desde el punto de vista penal, denominado "de la protección de la información y de los datos" y se preservan integralmente los sistemas que utilizan las tecnologías de la información y las comunicaciones, de tal forma que se dé le da una especial relevancia al manejo de la información y bases de datos.
5. Que a través de la Ley 1581 de 2012, se emitieron disposiciones generales para la protección de datos personales, con el "objeto desarrollar el derecho constitucional que tienen todas las personas a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bases de datos o archivos, y los demás derechos, libertades y garantías constitucionales a que se refiere el artículo 15 de la Constitución Política; así como el derecho a la información consagrado en el artículo 20 de la misma", las cuales deben ser observadas a cabalidad por las Entidades Públicas.
6. Que mediante la Ley 1712 de 2014, se dio vida jurídica a la ley de transparencia y del derecho de acceso a la información pública nacional, destacándose que la totalidad de la información, en posesión, control o custodia de una Entidad del Estado, es pública, con excepción de aquellas que se consideran reservadas por expresa disposición legal, advirtiéndose, además que la información en custodia de una Entidad Pública que pertenezca al ámbito propio, particular, privado y semiprivado de una persona natural o jurídica se considera como "clasificada" y gozará de protección, de tal forma que es deber de las Entidades Públicas adoptar un índice actualizado de la Información "reservada" y "clasificada".
7. Que en el Decreto 1078 de 2015 modificado por el Decreto 1008 de 2018, en su artículo 2.2.9.1.2.1, se destaca la importancia de la seguridad de la información, en el desarrollo de las políticas de gobierno digital, de tal forma que las entidades públicas se encuentran obligadas a adopta medidas que permitan garantizar los principios de confidencialidad, integridad y disponibilidad de la información, atendiendo las directrices que sobre el particular ha emitido el Ministerio de las TIC.
8. Que el Decreto 1078 de 2015 y demás normas que lo modifican y complementan, en relación a estructura de la Política de Gobierno Digital señala que se desarrollará a través de un esquema que articula los elementos que la componen, a saber: gobernanza, innovación pública digital, habilitadores, líneas de acción, e iniciativas dinamizadoras, con el fin de lograr su objetivo y define la Seguridad y Privacidad de la Información como el habilitador que busca que los sujetos obligados desarrollen capacidades a través de la implementación de los lineamientos de seguridad y privacidad de la información en todos sus procesos, trámites, servicios, sistemas de información, infraestructura y en general, en todos los activos de información, con el fin de preservar la confidencialidad, integridad, disponibilidad y privacidad de los datos.
9. Que la implementación de una Política de Seguridad de la Información deviene del cumplimiento de lo dispuesto por el Decreto 1499 de 2017, "Por medio de la cual se modifica el Decreto 1083 de 2015, Decreto Único Reglamentario del sector Función Pública, en lo relacionado con el Sistema de Gestión establecido en el artículo 133 de la Ley 1753 de 2015", el cual en su artículo 2.2.22.2.1 cambia la denominación de Políticas de Desarrollo Administrativo a Políticas de Gestión de Desempeño Institucional, dentro de las cuales se encuentra, en el numeral 11, la Política de Gobierno Digital, antes Gobierno en Línea y en el numeral 12, la Política de Seguridad Digital.
10. Que el Ministerio de las TIC, mediante Resolución 500 de 2021, estableció los lineamientos generales para la implementación del Modelo de Seguridad y Privacidad de la Información - MSPI, la guía de gestión de riesgos de seguridad de la Información y el procedimiento para la gestión de los incidentes de seguridad digital y al mismo tiempo estableció los lineamientos y estándares para la estrategia de seguridad digital, de obligatorio cumplimiento para las entidades que conforman la Administración Pública.
11. Que el Ministerio de las TIC, mediante la expedición del Decreto 338 de 2022, estableció los lineamientos generales para fortalecer la gobernanza de la seguridad digital, la identificación de infraestructuras críticas cibernéticas y servicios esenciales, la gestión de riesgos y la respuesta a incidentes de seguridad digital, generándose el deber a las Entidades públicas de dar cumplimiento a los mismos.
12. Que el Instituto para el Desarrollo de Antioquia-IDEA, acogiéndose al Manual de Gobierno Digital expedido por el Ministerio de las Tecnologías de la Información y las Comunicaciones y demás normatividad vigente antes aludida, así como a la implementación de la reestructuración adelantada al interior de la Entidad, advierte la necesidad de modificar la Política de Seguridad de la Información, vigente en la Entidad.
13. Que en sesión ordinaria de la Junta Directiva Nro. 04 del Instituto para el Desarrollo de Antioquia-IDEA del 22 de marzo de 2023, se aprobó la Versión 3 de la Política de Seguridad de la Información y Ciberseguridad de Instituto, con el objeto de mantenerla actualizada a la luz de la normatividad vigente y el principio de mejoramiento continuo.
14. Que si bien en principio, los cambios puntuales a las Políticas de Seguridad de la Información del IDEA, implicarían una modificación a la Resolución 003 -2019 del 29 de enero de 2019, que las aprobó; dado que estas son sujeto de actualización anual y cambios continuos, a fin de mantener la integralidad de las mismas, se estima procedente, la derogatoria de la mencionada Resolución y una nueva aprobación de la Política de Seguridad de la Información y Ciberseguridad, del Instituto para el Desarrollo de Antioquia- IDEA- en su versión 3.
15. Que en el artículo octavo de la Resolución 0459 de 2023, establece que "para todos los efectos, con anterioridad a la vigencia de la presente Resolución de Junta Directiva, las actuaciones administrativas adelantadas por las dependencias que cambien su denominación se entenderán realizadas por la dependencia con el nuevo nombre a quien funcionalmente le corresponden las respectivas actuaciones administrativas", de forma que las denominaciones de los empleos responsables de actividades en el desarrollo de la Política de Seguridad de la Información y Ciberseguridad del Instituto para el Desarrollo para Antioquia-IDEA, se encuentran debidamente actualizadas de conformidad con lo señalado en la mencionada normativa interna.
Que en mérito de lo expuesto, la Junta Directiva del Instituto para el Desarrollo de Antioquia -IDEA,
RESUELVE:
PRIMERO. DEROGATORIA. Derogar la Resolución de Junta Directiva 0003 -19 del 29 de enero de 2019, por medio de la cual se deroga la Resolución 009 del 13 de octubre de 2017 y se aprobó la Política de Seguridad de la Información y Ciberseguridad del Instituto para el Desarrollo para Antioquia-IDEA.
SEGUNDO. APROBACIÓN Y ADOPCIÓN DE POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD DEL IDEA. Aprobar y adoptar la versión 03 de la Política de Seguridad de la Información y Ciberseguridad del Instituto para el Desarrollo de Antioquia-IDEA-, la cual se anexa al presente acto administrativo y se entiende que hace parte integral del mismo.
TERCERO. IMPLEMENTACIÓN, DIFUSIÓN Y SENSIBILIZACIÓN. Ordenar la implementación, difusión a través de los medios institucionales y sensibilización de la Política de Seguridad de la Información y Ciberseguridad del IDEA, aprobada y adoptada en el artículo anterior.
CUARTO. VIGENCIA. La presente Resolución rige a partir de su publicación y comunicación, de conformidad con lo dispuesto por el artículo 65 de la Ley 1437 de 2011, de manera especial, previa publicación y comunicación a los empleados del IDEA y demás interesados.
QUINTO. PROCEDENCIA DE RECURSOS. Contra esta Resolución no procede recurso alguno, de conformidad con lo establecido con el artículo 75 de la Ley 1437 de 2011.
Dada en Medellín a los 17 JUL 2023
PUBLÍQUESE Y CÚMPLASE
JUAN PABLO LÓPEZ CORTES
Presidente Junta Directiva
IVÁN DARÍO ESCOBAR RENDÓN
Secretario Junta Directiva
| IDEA | SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD | |||
| POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD | ||||
| Código: | Versión:03 | Fecha de emisión: febrero de 2023 | Página 1 | |
CONTROL DE VERSIONES
| Versión | Fecha | Descripción | Responsable |
| 1.0 | Octubre/2017 | Versión inicial del documento | Paula Jaramillo A. |
| 2.0 | Diciembre/2018 | Adopción de las Políticas al Sistema de Gestión de Seguridad de la Información de las MINTIC y adición de Políticas de Ciberseguridad. | Paula Jaramillo A. |
| 3.0 | Febrero/2023 | Actualización de las nuevas herramientas implementadas y procedimientos. | Dirección de Ciberseguridad y Seguridad de la Información |
CONTROL Y DISTRIBUCIÓN DE COPIAS
Una vez aprobada la POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD, sólo podrá ser modificada por la Dirección de Ciberseguridad y Seguridad de la Información, será responsable de actualizar las copias controladas y la difusión interna y externa del presente documento. Esta difusión se realizará en medio electrónico, estableciendo los correspondientes controles y restricciones para realizar modificaciones de la POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD y podrá ser consultada en la Intranet. Las copias no controladas del documento requieren de actualización y, por lo tanto, sólo son entregadas para un uso temporal o para fines informativos.
| INTRODUCCIÓN | 6 |
| 1.1. Objetivo | 6 |
| 1.2. Frecuencia de Evaluación de las Políticas | 7 |
| 1.3. Beneficios | 7 |
| 1.4. Definiciones | 7 |
| 1.5. Revisión y Aprobación de la Política 11 | 11 |
| 3.1. Organización de la Seguridad de la Información y Ciberseguridad | 15 |
| 3.1.1. Roles y Responsabilidades | 15 |
| 3.2. Seguridad de los Recursos Humanos | 20 |
| 3.2.1. Propósito | 20 |
| 3.2.2. Acuerdos de Confidencialidad | 21 |
| 3.2.3. Entrenamiento en Seguridad de la Información y Ciberseguridad | 21 |
| 3.2.4. Escala de Faltas y Sanciones | 22 |
| 3.2.5. Novedades de Personal | 22 |
| 3.3. Gestión de Activos | 23 |
| 3.3.1. Propósito | 23 |
| 3.3.2. Inventario de Activos de Información | 23 |
| 3.3.3. Propiedad de los Activos | 24 |
| 3.3.4. Uso aceptable de los activos | 24 |
| 3.3.5. Clasificación de la Información | 25 |
| 3.3.6. Etiquetado de la Información | 25 |
| 3.3.7. Manejo de Activos | 25 |
| 3.3.8. Control de Fuga de Información | 25 |
| 3.3.9. Dispositivos Móviles | 27 |
| 3.4. Control de Acceso | 27 |
| 3.4.1. Propósito | 27 |
| 3.5. Mínimo privilegio | 28 |
| 3.5.1. Acceso a Redes y a Servicios en Red | 28 |
| 3.5.2. Acceso a Sistemas de Información y Aplicaciones | 28 |
| 3.5.3. Acceso a la Navegación en Internet | 28 |
| 3.5.4. Accesos Remotos | 29 |
| 3.5.5. Horarios de Acceso | 29 |
| 3.5.6. Administración y Uso de Contraseñas | 30 |
| 3.6. Criptografía | 30 |
| 3.6.1. Propósito | 30 |
| 3.6.2. Firmas Digitales | 31 |
| 3.6.3. Cifrado | 31 |
| 3.6.4. Sitio Seguro | 31 |
| 3.7. Política de Seguridad Física y del Entorno | 31 |
| 3.7.1. Propósito | 32 |
| 3.7.2. Perímetros de Seguridad Física | 32 |
| 3.7.3. Controles de Acceso Físico | 32 |
| 3.7.4. Seguridad en las Instalaciones | 32 |
| 3.7.5. Ubicación y Protección de los Equipos | 33 |
| 3.7.6. Seguridad de Suministro | 33 |
| 3.7.7. Seguridad del Cableado | 33 |
| 3.7.8. Mantenimiento de Equipos | 34 |
| 3.7.9. Retiro de Activos | 34 |
| 3.7.10. Disposición Segura | 35 |
| 3.7.11. Transferencia de Medios Físicos | 35 |
| 3.7.12. Equipos de Usuario Desatendido | 35 |
| 3.7.13. Política de Escritorio Limpio y Pantalla Limpia | 36 |
| 3.8. Seguridad de las Operaciones | 36 |
| 3.8. Propósito | 36 |
| 3.8.1. Procedimientos de Operaciones Documentados | 36 |
| 3.8.2. Controles Contra Códigos Maliciosos | 36 |
| 3.8.3. Copias de Respaldo | 36 |
| 3.8.4. Control y Uso del Software y Hardware | 37 |
| 3.8.5. Gestión de la Vulnerabilidad Técnica | 38 |
| 3.9. Seguridad de las Comunicaciones | 39 |
| 3.9.1. Propósito | 39 |
| 3.9.2. Controles de Redes | 39 |
| 3.9.3. Seguridad en los Servicios de Red | 40 |
| 3.9.4. Separación de Redes | 40 |
| 3.9.5 Transferencia de información | 40 |
| 3.10. Relaciones con los Proveedores | 42 |
| 3.10.1. Propósito | 42 |
| 3.10.2. Política de Seguridad de la Información para Proveedores | 42 |
| 3.10.3. Acuerdos con Proveedores | 43 |
| 3.11. Gestión Incidentes de Seguridad de la Información | 43 |
| 3.11.1. Propósito | 43 |
| 3.11.2. Responsabilidades | 43 |
| 3.11.3. Aprendizaje Obtenido | 43 |
| 3.12. Gestión de la Continuidad de la Seguridad de Negocio | 43 |
| 3.12.1. Propósito | 44 |
| 3.12.2. Planificación | 44 |
| 3.12.3. Implementación y Verificación | 44 |
| 3.13. Cumplimiento | 44 |
| 3.13.1. Marco Legal | 44 |
| 3.13.2. Derechos de Propiedad Intelectual | 46 |
| 3.13.3. Cumplimiento con las Políticas y Normas de Seguridad. | 46 |
| 3.13.4. Revisión del Cumplimiento Técnico | 47 |
| 3.1.3.5. Excepciones | 47 |
INTRODUCCIÓN
La POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD del Instituto para el Desarrollo de Antioquia - IDEA-, se establece como parte del Sistema de Gestión de Seguridad de la Información y Ciberseguridad, planteado desde la necesidad de resolver el; quién, por qué y cómo se debe administrar la información misional, operativa y administrativa del Instituto.
Adicionalmente, esta Política contiene lineamientos de seguridad de la información, seguridad informática, ciberseguridad, y datos personales que permiten contrarrestar el incremento de vulnerabilidades y amenazas informáticas, basados en las normas técnicas NTCISO/IEC 27001:2013 y NTCISO/IEC 27032:2012.
En el IDEA la información es un activo fundamental para la prestación de todos los servicios que se ofrecen, por ello se busca implementar la Política de Seguridad de la Información y Ciberseguridad, como herramienta que permita identificar y minimizar los riesgos a los cuales se expone la información, establecer una cultura de seguridad y garantizar el cumplimiento de los requerimientos legales, contractuales y regulatorios que cobijan al Instituto.
La Política será revisada con regularidad, dado que es la base fundamental del Sistema de Gestión de Seguridad y Privacidad de la Información - MinTIC, el Modelo Integrado de Planeación y Gestión -MIPG-, las Circulares Externas de la Superintendencia Financiera de Colombia y la Ley de Protección de Datos Personales; por lo tanto, al identificar cambios en la normatividad del negocio, en su estructura, objetivos o en general, esta Política deberá actualizarse y así asegurar que sigue siendo adecuada y ajustada a los requerimientos identificados.
1. DISPOSICIONES GENERALES
1.1. Objetivo
Establecer una POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD, con acciones que permitan proteger la información del IDEA, cumpliendo con la normatividad operativa y tecnológica y alineada a la dirección estratégica y de gestión del riesgo para su interiorización, aplicación y verificación permanente.
1.2. Frecuencia de Evaluación de las Políticas
Las políticas tendrán una revisión anual para efectuar actualizaciones, adecuaciones y/o modificaciones, basadas en la experiencia y/o en las modificaciones de la norma en la cual se apoya, no obstante, si ocurre un cambio normativo que implique ajustes a las mismas, éstas se actualizarán al momento de tenerse conocimiento de la norma que disponga el ajuste respectivo.
1.3. Beneficios
La Política de Seguridad de La Información y Ciberseguridad es la base para la protección de los activos de información del IDEA.
1.4. Definiciones
Activo de Información: Información misional, operativa y administrativa que el Instituto recibe o produce y que es considerada de alta validez. Incluye la información impresa, escrita, trasmitida o almacenada en cualquier medio electrónico, el software, hardware, datos contenidos en registros, archivos, bases de datos, videos e imágenes y el conocimiento de las personas.
Acceso abusivo a un sistema informático: Acceso sin autorización o por fuera de lo acordado, en todo o en parte, a un sistema informático protegido o no con una medida de seguridad, el mantenerse en el sistema en contra de la voluntad de quien tenga el legítimo derecho a excluirlo.
Amenaza: Violación potencial de la seguridad.
Amenaza informática: Aparición de una situación potencial o actual donde un agente tiene la capacidad de generar una agresión cibernética contra la población, el territorio o la organización política del Estado.
Ataque cibernético: Acción organizada y/o premeditada de una o más personas para causar daño o problemas a un sistema informático a través del ciberespacio.
Ciberdefensa: Capacidad del Estado para prevenir y contrarrestar toda amenaza o incidente de naturaleza cibernética que afecte la soberanía nacional.
Ciberdelincuencia: Acciones ilícitas que son cometidas mediante la utilización de un bien o servicio informático. (Ministerio de Defensa de Colombia)
Ciberdelito / delito cibernético: Actividad delictiva o abusiva relacionada con los ordenadores y las redes de comunicaciones, bien porque se utilice el ordenador como herramienta del delito, bien porque sea el sistema informático (o sus datos) el objetivo del delito. (Ministerio de Defensa de Colombia)
Ciberespacio: Ambiente tanto físico como virtual compuesto por computadores, sistemas computacionales, programas computacionales (software), redes de telecomunicaciones, datos e información que es utilizado para la interacción entre usuarios. (Resolución CRC 2258 de 2009).
Cibernética: Ciencia o disciplina que estudia los mecanismos automáticos de comunicación y de control o técnica de funcionamiento de las conexiones de los seres vivos y de las máquinas. (Academia de la Lengua Española).
Cibernético: Adjetivo masculino y femenino para denominar todo cuanto tiene relación con la cibernética: Órgano cibernético, proceso cibernético o que está especializado en cibernética, así como también a la persona que se dedica a ella. (Academia de la Lengua Española).
Ciberseguridad: Capacidad del Estado para minimizar el nivel de riesgo al que están expuestos sus ciudadanos, ante amenazas o incidentes de naturaleza cibernética.
Ciberterrorismo: La convergencia del terrorismo y ciberespacio con el fin de atacar ilegalmente ordenadores, redes e información almacenada en ellos, incluye violencia contra personas o propiedades o, al menos, genera el miedo. Abarca asesinatos, explosiones, contaminación de aguas o grandes pérdidas económicas, entre otras acciones.
Ciclo de vida del servidor público: Trayectoria de un servidor público en la entidad, contempla las etapas de ingreso, desarrollo integral, permanencia, situaciones administrativas y retiro del servidor público dentro del Instituto.
CSIRT: (Computer Security Incident Response Team) Equipo de Respuesta a Incidentes de Seguridad cibernética, por su sigla en inglés.
Confidencialidad de la información: Propiedad de prevenir el acceso o la divulgación de la información a personas o sistemas autorizados.
Contraseña: Conjunto de caracteres que permite el acceso de un usuario a un recurso informático.
Centro de datos: Oficina con equipos de cómputo, telecomunicaciones y servidores que prestan servicios al Instituto con las características físicas y ambientales adecuadas para que los equipos alojados funcionen sin problema.
Delito informático: Atentados contra la confidencialidad, la integridad y la disponibilidad de los datos y de los sistemas informáticos (Ley 1273 de 2009).
Delito cibernético: Actividad delictiva en la que los servicios o aplicaciones en el Ciberespacio se utilizan para o son el objetivo de un delito, o donde el Ciberespacio es la fuente, herramienta, objetivo o lugar del delito.
Disponibilidad de la información: Se Garantiza del acceso a la información y a sus recursos relacionados con la misma, a los usuarios, cada vez que lo requieran.
Información: Toda comunicación o representación de conocimiento como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea magnético, en papel, en pantallas de computadoras, audiovisual u otro.
Información clasificada: Información sensible que está restringida por las leyes o regulada para clases particulares de personas.
Información pública: Información que toda persona tiene derecho a solicitar, y a recibir por parte de los organismos públicos.
Internet: Red informática mundial, descentralizada, formada por la conexión directa entre computadores mediante un protocolo de comunicación.
Intranet: Red informática interna de una empresa similar a internet para compartir información de la organización.
IP (Internet Protocol): Etiqueta numérica que identifica, de manera lógica y jerárquica, a una interfaz (elemento de comunicación/conexión) de un dispositivo (habitualmente una computadora) dentro de una red que utilice el protocolo IP. (http://www.iso.org)
ISO 27001: Estándar para sistemas de gestión de la seguridad de la información adoptado por ISO transcribiendo la segunda parte de BS 7799.
ISO 27002: Código de buenas prácticas en gestión de la seguridad de la información (transcripción de IS017799).
Logs: Registro oficial de eventos durante un rango de tiempo en particular. Para los profesionales en seguridad informática es usado para registrar datos o información sobre quién, qué, cuándo, dónde y por qué un evento ocurre para un dispositivo en particular o aplicación.
Malware: Programa informático que tiene efectos no deseados o maliciosos, incluye virus, gusanos, troyanos y puertas traseras.
Medios Removibles: Todos aquellos dispositivos electrónicos que almacenan información y pueden ser extraídos de los computadores.
Mensajería instantánea institucional: Se conoce como "Chat" un canal provisto por el IDEA, para facilitar la comunicación interna en tiempo real entre servidores públicos.
Sistema de Gestión de Seguridad de la Información: Recopilación de las mejores prácticas, nacionales e internacionales, para suministrar requisitos para el diagnóstico, planificación, implementación, gestión y mejoramiento continuo.
Phishing: Delito cibernético, utilizando correos eléctricos falsos se invita a las personas a visitar sitios web falsos.
Principios de Seguridad de la Información: Principios básicos que incluyen la confidencialidad, integridad y disponibilidad de la información.
El principio del mínimo privilegio: hace referencia a un concepto de seguridad de la información en que se da a un usuario los niveles o permisos de acceso mínimos necesarios para desempeñar sus funciones laborales.
Propietario de la Información: Responsable de la elaboración, administración y/o protección de la información que maneja o se le asigna, de acuerdo con sus funciones.
Red: Conjunto de computadores, equipos de telecomunicaciones y otros dispositivos que se pueden comunicar entre sí, para el transporte de datos, con la finalidad de compartir información, recursos y ofrecer servicios.
Recursos informáticos: Todos aquellos componentes de Hardware y Software que son necesarios para el buen funcionamiento y la optimización del trabajo con equipo de cómputo y periféricos.
Responsable de activos de Información: Personal del Instituto, que velará por la seguridad y correcto funcionamiento de los activos de información, así como de la información y/o datos procesados en éstos, dentro de sus respectivas áreas.
Riesgo en la Seguridad de la Información: Potencial de que una amenaza determinada pueda explotar una vulnerabilidad de los activos de información o grupos de activos causando así daño a la organización. (ISO 27005).
Spam: Correo basura, enviado a numerosos destinatarios.
Seguridad de la Información: Preservación de la confidencialidad, la integridad y la disponibilidad de la información.
Sistema de información: Conjunto independiente de recursos de información organizados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información, según determinados procedimientos, tanto automatizados como manuales.
Solución antivirus: Recurso informático empleado para solucionar problemas causados por virus informáticos.
Tecnología de la información: Hardware y software operados por el IDEA o por un tercero que procese información en su nombre, para llevar a cabo operaciones relacionadas con sus funciones.
Unidades de almacenamiento: Dispositivos que, conectados a la computadora, permiten el almacenamiento de información (disco duro, unidad lectora/grabadora de discos ópticos, lector, memorias flash, entre otros).
Usuario: Cualquier persona (servidor público, contratista o tercero) que haga uso de los servicios de las tecnologías de información proporcionadas por el Instituto, tales como equipos de cómputo, sistemas de información, redes de telemática.
Usuario de la información: Servidor público, contratista proveedor de servicios o tercero que está autorizada para acceder a la información, según lo requieran sus funciones y/o actividades.
Web Cam: Cámara digital conectada al computador, la cual puede capturar imágenes y trasmitirlas a través de internet.
Virus informático: Programa ejecutable o pieza de código con habilidad de ejecutarse y reproducirse, regularmente escondido en documentos electrónicos, que causan problemas al ocupar espacio de almacenamiento, así como destrucción de datos y reducción del desempeño de un equipo de cómputo.
1.5. Revisión y Aprobación de la Política
- Elaboración y actualización: Dirección de Ciberseguridad y Seguridad de la Información
- Revisión: Comité de Seguridad de la Información y Ciberseguridad (creado mediante resolución 004 del 2021 y conformado por el Gerente Administrativo, el Director de TI, Jefe de la Oficina de Planeación Estratégica y Director de Ciberseguridad y Seguridad de la Información.
- Aprobación: Junta Directiva
2. POLÍTICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN Y CIBERSEGURIDAD
La Política de Seguridad de la Información y Ciberseguridad es la declaración general que representa la posición de la administración del INSTITUTO PARA EL DESARROLLO DE ANTIOQUIA -IDEA- con respecto a la protección de los activos de información, que soportan los procesos del Instituto y apoyan la implementación del Sistema de Gestión de Seguridad de la Información y Ciberseguridad, por medio de la generación y publicación de políticas, procedimientos y guías, así como la asignación de responsabilidades generales y específicas para la gestión de la seguridad de la información y métodos para minimizar el riesgo en las funciones más importantes del Instituto.
El IDEA, para asegurar la dirección estratégica, establece la compatibilidad de la Política General y los objetivos de seguridad de la información y ciberseguridad, estos últimos correspondientes a:
- Minimizar los riesgos de seguridad de la información y ciberseguridad.
- Cumplir con los principios de seguridad de la información.
- Cumplir con los principios de la función administrativa.
- Mantener la confianza de los servidores públicos, contratistas, practicantes, proveedores y terceros.
- Apoyar la innovación tecnológica.
- Implementar el Sistema de Gestión de Seguridad de la Información y Ciberseguridad,
- Proteger los activos de información.
- Establecer las políticas, procedimientos y guías en materia de seguridad de la información y ciberseguridad.
- Fortalecer la cultura de seguridad de la información y ciberseguridad en los servidores públicos, contratistas, practicantes, proveedores y terceros del IDEA.
- Garantizar la continuidad del negocio frente a incidentes de Seguridad de la Información.
Alcance/Aplicabilidad
Esta Política aplica a todos los servidores públicos, contratistas, practicantes, proveedores y terceros, y todas aquellas personas naturales o jurídicas que tengan algún tipo de relación o que sean usuarios de la información del IDEA.
También es aplicable a todos los activos de información que posea el Instituto en la actualidad o en el futuro, sin importar que no se encuentre incluido explícitamente en este documento.
Nivel de Cumplimiento
Todas las personas cubiertas por el alcance y aplicabilidad deberán dar cumplimiento en un 100% a la Política General.
Principios de Seguridad y la Ciberseguridad
A continuación, se establecen los principios de seguridad que soportará el Sistema de Gestión de Seguridad de la Información y Ciberseguridad, del IDEA:
- Toda la organización debe seguir el principio del mínimo privilegio. La Dirección de TI deberá mantener activos y en operación sólo los protocolos, servicios, aplicaciones, usuarios, entre otros, necesarios para el desarrollo de actividades.
- Proteger la información generada, procesada o resguardada por los procesos de negocio y activos de información de cualquier amenaza interna o externa que se pueda originar, con el fin de minimizar impactos financieros, operativos o legales debido a un uso incorrecto de esta.
- Aplicar controles de acuerdo con la clasificación de la información de su propiedad o en custodia.
- Proteger las instalaciones de procesamiento y la infraestructura tecnológica que soporta sus procesos críticos.
- Controlar la operación de sus procesos de negocio garantizando la seguridad de los recursos tecnológicos y las redes de datos.
- Implementar control de acceso a la información, sistemas y recursos de red.
- Garantizar que la seguridad sea parte integral del ciclo de vida de los sistemas de información, así como una mejora efectiva de su modelo de seguridad, a través de una adecuada gestión de los eventos de seguridad y las debilidades asociadas con los sistemas de información.
- Garantizar la disponibilidad de sus procesos de negocio y la continuidad de su operación, basado en el impacto que pueden generar los eventos.
- El IDEA garantizará el cumplimiento de las obligaciones legales, regulatorias y contractuales establecidas.
- El incumplimiento a la Política de Seguridad de la Información y Ciberseguridad traerá consigo las consecuencias legales que apliquen a la normativa del Instituto, incluyendo lo establecido en las normas que competen al Gobierno Nacional y territorial en cuanto a ciberseguridad, Seguridad y Privacidad de la Información se refiere.
3. DIRECTRICES PARA LA SEGURIDAD DE LA INFORMACIÓN Y LA CIBERSEGURIDAD
Las directrices están orientadas a la definición de medidas que permitan mantener la confidencialidad, integridad y disponibilidad de la información institucional y que deben ser acogidas por todos los usuarios de la información del Instituto.
Las Directrices para la Seguridad de la Información y Ciberseguridad guiará el comportamiento personal y profesional de los servidores públicos, contratistas o terceros sobre la información obtenida, generada o procesada por el Instituto, así mismo permitirán que el IDEA trabaje bajo las mejores prácticas de seguridad y cumpla con los requisitos legales.
Las elaboraciones de las Directrices están fundamentadas bajo la norma NTCISO/IEC 27001:2013 y NTCISO/IEC 27032:2012 han sido planteadas, analizadas y revisadas con el fin de no contravenir con las garantías básicas de los usuarios, y servir de guía para operar los sistemas con seguridad, respetando en todo momento estatutos y reglamentos internos del Instituto.
3.1. Organización de la Seguridad de la Información y Ciberseguridad
3.1.1 Roles y Responsabilidades
3.1.1.1 Compromisos de la Junta Directiva
La Junta Directiva del Instituto aprueba la Política de Seguridad de la Información y Ciberseguridad como muestra de su compromiso y apoyo en el diseño e implementación de políticas eficientes que garanticen la seguridad de la información del Instituto.
3.1.1.2 Gerencia de Riesgo
La Gerencia de Riesgo debe:
Reportar a la junta directiva y a la alta dirección, los resultados de la gestión de los riesgos de seguridad de la información y ciberseguridad, especialmente en la evaluación que haga de la confidencialidad, integridad y disponibilidad de la información, identificación de ciberamenazas, resultados de la evaluación de efectividad de los programas de ciberseguridad, propuestas de mejora en materia de ciberseguridad y resumen de los incidentes de ciberseguridad que afectaron la entidad.
3.1.1.3 Dirección de Ciberseguridad y Seguridad de la Información
Elaborar, actualizar y mantener la Política de Seguridad de la Información y Ciberseguridad dentro del Instituto y asignar funciones, roles y responsabilidades a sus servidores públicos, para la operación y administración de la plataforma tecnológica del Instituto.
Emitir lineamientos y recomendaciones para gestionar la seguridad de la información y ciberseguridad del IDEA, y el establecimiento de controles técnicos, físicos y administrativos derivados del análisis de riesgos de seguridad de la información.
Realizar el monitoreo y verificación del cumplimiento de esta Política y de los procedimientos que se establezcan en materia de ciberseguridad.
Reportar a Control Interno Disciplinario las faltas a la Política de Seguridad de la Información y Ciberseguridad por parte de empleados.
En caso de presentarse una fuga de información dentro del Instituto, el Director de Ciberseguridad y Seguridad de la Información será el encargado de solicitar las auditorías pertinentes
Asesorar a la alta gerencia y la junta directiva en temas que considere necesarios sobre seguridad de la información y ciberseguridad para que estas últimas puedan hacer seguimiento y tomar las decisiones adecuadas en esta materia.
3.1.1.4 Oficina de Control Interno
La Oficina de Control Interno debe determinar por medio de las auditorías internas, si la Política de Seguridad de la Información y Ciberseguridad está conforme con los requerimientos institucionales, requerimientos de seguridad y regulaciones aplicables; como también, su cumplimiento y eficacia de las acciones correctivas.
3.1.1.5 Control Interno Disciplinario
Una vez la Gerencia de Riesgos y/o la Oficina de Control Interno coloquen en conocimiento de la Oficina Disciplinaria una conducta de carácter disciplinario, se procederá a dar aplicación a lo establecido en la Ley 1952 de 2019, a la Ley 2094 de 2021 y al Procedimiento Disciplinario P-GJ-001; es decir, se apertura Indagación Previa o Investigación Disciplinaria según corresponda. Se deberá remitir el informe disciplinario a través del Formato de Informe Disciplinario por Presunta Falta Disciplinaria F-CID-003, el cual deberá ir acompañado de todos los soportes de la presunta falta disciplinaria.
3.1.1.6 Dirección de TI
La Dirección de TI debe:
Implementar herramientas tecnológicas que permitan fortalecer la seguridad de la plataforma tecnológica y dar cumplimiento a la aplicabilidad de los controles establecidos en la Política de Seguridad de la Información y Ciberseguridad.
Participar activamente en la identificación de riesgos de seguridad de la información y ciberseguridad, así como en la implementación de controles y planes de acción.
Implementar, monitorear y mantener las políticas de control de acceso e identidad en los sistemas informáticos, protegiendo los recursos tecnológicos contra accesos no autorizados.
Velar por que se lleve a cabo de manera segura la disposición final de dispositivos electrónicos, evitando que se lleve a cabo una fuga de información confidencial.
3.1.1.7 Gerencia Administrativa
La Gerencia Administrativa debe:
Elaborar y actualizar el inventario de activos físicos (equipos de cómputo, servidores, switches, entre otros.) del Instituto, según las normas vigentes; así como implementar y administrar el sistema de control de acceso físico.
3.1.1.8 Dirección de Talento Humano
La Dirección de Talento Humana debe:
Informar oportunamente a la Dirección de TI y al Centro de Administración Documental, todas novedades del personal vinculado (vacaciones, incapacidades, traslados, entre otros).
Incluir en el proceso de inducción institucional, la socialización de la Política de Seguridad de la Información y Ciberseguridad.
Asegurarse, que todo servidor público que trabaja en el Instituto firme una cláusula de confidencialidad y privacidad de la información.
3.1.1.9 Dirección Jurídica
La Dirección Jurídica debe:
Informar a la Dirección de TI, todas las novedades del personal contratista para asignar o suspender permisos como usuarios informáticos.
Suscribir un acuerdo de confidencialidad como anexo de los contratos, incluyendo los contratos de prestación de servicios profesionales.
3.1.1.10 Centro de Administración Documental
El Centro de Administración Documental debe:
Elaborar y mantener actualizadas las tablas de retención documental, el Inventario de Activos de Información y el índice de Información Confidencial.
I
Velar por que se lleve a cabo de manera segura la disposición final de documentos físicos, evitando fuga de información confidencial.
3.1.1.11 Oficial de Datos Personales
Responsabilidades del Oficial de Datos Personales:
Coordinar la definición e implementación de los controles del Programa Integral de Gestión de Datos Personales.
Servir de enlace y coordinación con las demás dependencias del Instituto, para asegurar una implementación transversal del Programa Integral de Gestión de Datos Personales.
Impulsar una cultura de protección de datos dentro del Instituto.
Mantener un inventario de las bases de datos personales que se encuentren en poder del Instituto y clasificarlas según su tipo.
Registrar si es necesario, las bases de datos del Instituto en el Registro Nacional de Bases de Datos y actualizar el reporte atendiendo a las instrucciones que emita la SIC.
Velar por una adecuada disposición final de la información institucional que contenga datos personales.
3.1.1.12 Comité de Seguridad de la Información y Ciberseguridad
El Comité de Seguridad de la Información debe:
Aprobar el Sistema de Gestión de Seguridad de la Información y Ciberseguridad y todos los procedimientos, guías y manuales que este contenga.
Coordinar e impulsar el desarrollo de proyectos de seguridad de la información y ciberseguridad.
Recomendar roles y responsabilidades específicos que se relacionen con la seguridad de la información.
Aprobar el uso de metodologías y procesos para la seguridad de la información.
Revisar los diagnósticos del estado de la seguridad de la información.
Participar en la formulación y evaluación de planes para mitigar y/o eliminar riesgos.
Promover la difusión y sensibilización de la seguridad de la información y la ciberseguridad dentro del Instituto para el Desarrollo de Antioquia.
Revisar por lo menos una (1) vez al año la Política de Seguridad de la Información y Ciberseguridad y participar de la actualización en caso de ser necesario.
Elevar las solicitudes de excepción presentadas por parte de los servidores públicos del Instituto.
Verificar el cumplimiento de la presente Política de Seguridad de la Información y Ciberseguridad dentro del Instituto.
3.1.1.13 Directores y Jefes de Oficina
Los Directores y Jefes de Oficina deben:
Informar a la Dirección de TI, los permisos a los recursos compartidos, sistemas de información y perfiles de navegación que requieran los usuarios y para los cuales están autorizados, acorde a sus roles y responsabilidades.
Así como, velar por que las personas que se encuentran a su cargo cumplan la Política de Seguridad de la Información y Ciberseguridad.
3.1.1.14 Servidores Públicos y Contratistas
Los Servidores Públicos y Contratistas deben:
Reportar oportunamente los eventos, riesgos o incidentes de seguridad de la información y ciberseguridad que detecte o que sean de su conocimiento.
Proteger el acceso a los recursos informáticos a los cuales se les permite el ingreso mediante la utilización de contraseñas secretas.
3.2. Seguridad de los Recursos Humanos
3.2.1 Propósito
Asegurarse que los servidores públicos, contratistas y terceros comprendan sus responsabilidades frente a la seguridad de la información, protegiendo siempre los intereses del Instituto durante todo el ciclo de vida del empleado.
3.2.2. Acuerdos de Confidencialidad
Todo servidor público, contratista o tercero vinculado al IDEA, deberá firmar un Acuerdo de Confidencialidad y Privacidad de la Información, comprometiéndose a no divulgar por ningún medio, la información interna y externa que conozca del Instituto, así como la relacionada con las funciones que desempeña en el mismo.
Cuando un servidor público se vincule al IDEA, es responsabilidad de la Dirección de Talento Humano tramitar la firma del Acuerdo de Confidencialidad y Privacidad de la Información, como requisito de ingreso al Instituto.
Cuando un contratista celebre un acuerdo contractual con el IDEA, es responsabilidad del supervisor y la Dirección Jurídica incluir en las cláusulas del contrato el acuerdo de Confidencialidad y Privacidad de la Información.
3.2.3 Entrenamiento en Seguridad de la Información y Ciberseguridad
- Todo servidor público o contratista que ingrese al Instituto debe recibir la inducción por parte de la Gerencia de Riesgos sobre la Política de Seguridad de la Información y Ciberseguridad donde se dan a conocer las obligaciones para los usuarios y las sanciones que pueden existir en caso de incumplimiento.
- La Gerencia de Riesgos y la Dirección de TI deben sugerir las capacitaciones que deben recibir regularmente los servidores públicos del Instituto, en temas relacionados con seguridad de la información y ciberseguridad, y mantenerlos actualizados sobre las nuevas ciberamenazas.
- La Dirección de Talento Humano deberá apoyar y promover actividades de difusión, capacitación y concientización en seguridad de la información y ciberseguridad al interior del Instituto.
- La Política de Seguridad de la Información y Ciberseguridad, se encuentra disponible en la intranet para el conocimiento de todos.
- Es responsabilidad del usuario, solicitar a la Dirección de Talento Humano las capacitaciones necesarias para el manejo de las herramientas informáticas que se le sean asignadas, a fin de evitar riesgos por mal uso y para aprovechar al máximo las mismas.
3.2.4 Escala de Faltas y Sanciones
El acceso abusivo al sistema informático, la obstaculización ilegítima de sistema informático o red de telecomunicación, interceptación de datos informáticos, daño informático, uso de software malicioso, violación de datos personales, suplantación de sitios web para capturar datos personales, hurto por medios informáticos y semejantes y transferencia no consentida de activos dentro de la red o plataforma tecnológica del IDEA, será sancionado penalmente, según la Ley 1273 de 2009.
Cualquier violación a la Política aquí establecida, será determinada como una falta disciplinaria, además de las contempladas en el Código General Disciplinario, contenido en la Ley 1952 de 2019.
3.2.5 Novedades de Personal
3.2.5.1 Ingresos y Traslados
Para el ingreso o traslado de un servidor público o Contratista, la Dirección de Talento Humano o el supervisor del contrato debe solicitar a través de la mesa de servicios, la asignación de los recursos tecnológicos para el cumplimiento de sus funciones y obligaciones respectivamente.
La Dirección de TI asignará los recursos tecnológicos necesarios (equipo de cómputo, acceso a la red y creación de usuarios para los sistemas y aplicaciones) y la Gerencia Administrativa registrará el acceso al Instituto por huella digital y carné.
3.2.5.2 Vacaciones, Incapacidades y Calamidades
- La Dirección de Talento Humano debe informar oportunamente a través de la mesa de servicios a la Dirección de TI, Gerencia Administrativa y al CAD, las novedades de personal para inactivar los accesos y usuarios temporalmente, hasta al reintegro del servidor público.
- La Gerencia Administrativa deberá desactivar el ingreso al Instituto por huella digital o carné de los servidores públicos que se encuentren en vacaciones, incapacidad o calamidad. SI el servidor requiere ingresar durante este período, se le entregará un carné de visitante.
- La Dirección de Operaciones debe asegurar la restricción en el acceso a los portales transaccionales de los usuarios durante sus periodos de vacaciones o licencias y darlos de baja en casos de traslado o retiros.
3.2.5.3 Retiro
- Para el Retiro de un servidor público o contratista, la Dirección de Talento Humano o el supervisor del contrato deberá informar oportunamente a la Dirección de TI, para suspender todos los permisos, cuentas y accesos otorgados como usuario informático. Adicionalmente, el CAD deberá desactivar el usuario en el software documental y la Gerencia Administrativa deberá desactivar el ingreso al Instituto, por huella digital y carné.
- Es responsabilidad del jefe inmediato o supervisor verificar que el servidor o contratista al momento de su retiro, entregue todos los activos de información (equipos de cómputo, información física y digital, unidades de almacenamiento, entre otros) pertenecientes al IDEA.
- Es responsabilidad del jefe inmediato o supervisor, informar a la Dirección de TI en el transcurso de 30 días hábiles, a quién será entregada la información del servidor público o contratista que se retiró del Instituto. Después de este tiempo, la información se eliminará automáticamente.
3.2.5.4 Activaciones temporales
La solicitud de una activación temporal de un usuario que se encuentre en vacaciones, incapacitado, calamidad o retirado del Instituto, deberá venir de un Subgerente a través de la Mesa de Servicios.
3.3 Gestión de Activos
3.3.1 Propósito
Identificar los activos de información del Instituto y definir responsabilidades para su protección y divulgación.
3.3.2 Inventario de Activos de Información
- El Centro de Atención Documental (CAD) es el encargado de la actualización del Inventario de Activos de Información, y será apoyado por el Comité de Seguridad de la Información. La actualización se realizará 1 vez al año.
La identificación de la información se realizará mediante la actualización de las Tablas de Retención Documental, y por medio de entrevistas con el Líder del Proceso.
- La Dirección de TI será la encargada de incluir en el Inventario de Activos de Información el software y hardware que soporta información del IDEA.
- La Gerencia Administrativa será la encargada de incluir en el Inventario de Activos de Información los dispositivos de seguridad biométrica que soportan información del IDEA.
3.3.3 Propiedad de los Activos
- Toda la información derivada del objeto del cumplimiento de funciones u obligaciones de los servidores públicos o contratistas es propiedad intelectual del IDEA.
- Cada servidor público es responsable del debido uso, organización, administración, conservación y protección de la información Institucional que produzca o maneja, de acuerdo con las funciones asignadas y a la Tabla de Retención Documental, y será llamado "Propietario de la Información".
- La Gerencia Administrativa será la propietaria de la información biométrica (huellas digitales y videos de seguridad) del Instituto.
3.3.4 Uso aceptable de los activos
- La información física y digital, los sistemas, servicios, los equipos (equipos de escritorio, portátiles, impresoras, redes, correo electrónico, accesos remotos, aplicaciones, teléfonos institucionales, entre otros) propiedad del IDEA, son activos que se proporcionan a los servidores públicos contratistas y terceros autorizados, para el uso exclusivo de las funciones del Instituto.
- La Gerencia de Riesgos podrá monitorear, supervisar y utilizar la información, sistemas, servicios y equipos, para verificar el cumplimiento de las directrices institucionales establecidas en esta Política y en cualquier proceso legal que lo requiera.
- El acceso a los documentos físicos y digitales estará determinado por la clasificación en el índice de Información Confidencial y el Inventario de Activos de Información. Si la información se filtra fuera del IDEA sin previa autorización, el responsable podrá ser investigado por alguno de los delitos señalados en la Ley 1273 de 2009.
- El préstamo de expedientes físicos se debe solicitar únicamente por la mesa de servicios y el solicitante será el responsable de su custodia.
- Para el acceso de los servidores públicos, contratistas y terceros al Sistema Financiero, se establecerán perfiles de acuerdo con las funciones y competencias. Los privilegios serán asignados, por solicitud del jefe inmediato a través de la mesa de servicios.
3.3.5 Clasificación de la Información
La información se clasifica dando cumplimiento a las normas archivísticas regidas por el Archivo General de la Nación, la Constitución Colombiana y demás normatividad que nos cobija como entidad del estado, (ver Marco Legal).
3.3.6 Etiquetado de la Información
De acuerdo con la gestión de activos de información, el "Propietario de la Información" deberá clasificar la información según el criterio de clasificada o reservada, y mantener su confidencialidad, integridad y disponibilidad.
3.3.7 Manejo de Activos
Todo el proceso de identificación, clasificación, etiquetado y devolución de activos estará documentado en la "Guía para la Gestión de Activos de Información"
3.3.8 Control de Fuga de Información
El IDEA implementará la Gula para la Prevención de la Fuga de Información, la cual permitirá que a la información clasificada o reservada se acceda únicamente por parte de las personas autorizadas. Para evitar la fuga de información se implementarán los siguientes controles:
3.3.8.1 Medios Removibles
Está restringido el uso de medios removibles de almacenamiento, por lo tanto, están deshabilitados los puertos USB y unidades ópticas de grabación (CD/DVD) en todos los equipos de cómputo del Instituto.
3.3.8.2 Almacenamiento en la Nube
El acceso a servicios de almacenamiento personal en la nube de carácter público no está permitido en la red y equipos institucionales.
Solo estará permitido el uso de la herramienta OneDrive Institucional para el almacenamiento de información laboral.
3.3.8.3 Correos Electrónicos Personales
No está permitido el ingreso a cuentas de correos electrónicos personales, en la red y equipos institucionales.
Solo estará permitido el uso de la herramienta Outlook Institucional para el envío y recepción de correos electrónicos institucionales.
3.3.8.4 Mensajería Instantánea
No está permitido la instalación, ni utilización de aplicaciones de mensajería instantánea ni servicios de Chat (WhatsApp, Hangout, Telegram, Zoomentre, entre otros) en la red y equipos institucionales.
La herramienta Whatsapp no es una herramienta para uso institucional, por lo tanto, no debe utilizarse para tratar temas sensibles, ni enviar información reservada o clasificada.
Solo estará permitido el uso de la herramienta Teams Institucional para las conversaciones de chat, conferencias y reuniones institucionales internas y externas.
3.3.8.5 Redes Sociales
No está permitido el uso de Redes Sociales (Facebook, Twitter, Instagram, entre otras) en la red y equipos institucionales.
3.3.8.6 Encuestas en Línea
Les formularios y encuestas institucionales deberán realizarse y compartirse mediante la herramienta Microsoft Forms institucional.
3.3.8.7 Escritorio Remoto
El uso de herramientas de escritorio remoto (Teamviewer, Anydesk, Joinme, entre otras) estará restringido para todos los equipos de cómputo del IDEA.
Solo estará permitido el uso de la herramienta Teams o escritorio virtual Institucional como herramienta de escritorio remoto.
3.3.9 Dispositivos Móviles
- Los servidores públicos, contratistas y visitantes pueden utilizar la red inalámbrica libre en sus dispositivos móviles personales.
- El servidor o contratista que utilice en su dispositivo móvil personal herramientas institucionales (Outlook, OneDrive, Teams, entre otros), se le aplicarán configuraciones de seguridad para la protección de la información Institucional.
- Las medidas de seguridad se aplicarán únicamente a las herramientas institucionales, y no interferirá con la información personal.
- Las aplicaciones de mensajería instantánea; tales como: WhatsApp, Telegram, Messenger, entre otros, no son un medio institucional para el envío de información; por lo tanto, no se permite el envío de fotografías, audios y videos clasificados como información confidencial o reservada perteneciente al IDEA.
- En caso de pérdida o robo del dispositivo móvil personal, el servidor público o contratista deberá informar inmediatamente a la Gerencia de Riesgos para realizar un borrado seguro de las herramientas e información Institucional.
3.4 Control de Acceso
3.4.1 Propósito
Definir directrices que permitan que los mecanismos de protección utilizados por el Instituto limiten el acceso a la información y eviten accesos no autorizados a sistemas y aplicaciones.
3.5 Mínimo privilegio
3.5.1 Acceso a Redes y a Servicios en Red
- Solo deben ser conectados a la Red del IDEA, los equipos de cómputo propios del Instituto o los autorizados por la Dirección de TI, de acuerdo con el "Procedimiento Administración de Identidades y Accesos"
- Está prohibido establecer redes de área local, conexiones remotas a redes internas o externas e intercambio de información utilizando protocolos de transferencia de archivos (FTP, SSH, HTTP, entre otros), utilizando la infraestructura de red del Instituto, sin la autorización de la Dirección de TI.
- Está prohibido utilizar o intentar probar herramientas de hardware o software para detectar, extraer y/o analizar el tráfico de la red.
- Deberá evitarse realizar transacciones financieras desde dispositivos móviles o conexiones a redes inalámbricas de terceros no confiables.
3.5.2. Acceso a Sistemas de Información y Aplicaciones
- Está prohibido utilizar un usuario no propio (ajeno) para ingresar a los sistemas de información y aplicaciones del IDEA. Si por necesidad del servicio se requiriera, el jefe inmediato del servidor público o el supervisor del contrato deberá realizar la solicitud a la Gerencia de Riesgos por medio de la mesa de servicios.
- La Dirección de TI asignará los usuarios y permisos para acceder a los sistemas de información y aplicaciones del IDEA, de acuerdo con la solicitud realizada por el jefe inmediato o supervisor en la mesa de servicios.
- El CAD asignará los permisos correspondientes al Sistema de Gestión Documental.
3.5.3 Acceso a la Navegación en Internet
- La Dirección de TI será la encargada de asignar los perfiles de navegación a todos los usuarios de la red, para lo cual se tendrán establecidos los siguientes perfiles: Perfil técnico o informático, Perfil VIP, Perfil general y Perfil red pública.
- Los perfiles de navegación asignados a los usuarios dependerán de las funciones del cargo o la necesidad del servicio, dando prioridad al cumplimiento de la Política de Seguridad de la Información y Ciberseguridad y a la normatividad que cobija al Instituto.
- La Dirección de TI solo permitirá la instalación de los navegadores Chrome y Edge en los equipos de cómputo institucionales, aplicando todas las medidas de compatibilidad y los mejores mecanismos de seguridad posiblemente configurados.
- Para acceder a las páginas de las entidades financieras o transaccionales deberá digitar directamente la dirección en el navegador de internet, no deberá acceder a través de enlaces, motores de búsqueda o desde los favoritos o marcadores del navegador.
- Siempre debe cerrar las sesiones de los portales bancarios al terminar las transacciones.
3.5.4 Accesos Remotos
- La conexión remota a la red de área local del IDEA debe realizarse a través de la conexión VPN o escritorio remoto suministrado por la Dirección de TI.
- Si un servidor público o contratista requiere conexión remota para sus funciones laborales, debe ser solicitado por el jefe inmediato o supervisor por medio de la mesa de servicios y previa valoración la Gerencia de Riesgos.
3.5.5 Horarios de Acceso
El ingreso a los equipos de cómputo y sistemas de información del IDEA se restringe en el horario de lunes a viernes de 6:00am a 9:00 p.m.
Si un servidor público o contratista requiere acceso en un horario adicional, el jefe inmediato o supervisor debe realizar la solicitud a la Dirección de TI a través de la mesa de servicios.
3.5.6 Administración y Uso de Contraseñas
- La asignación de contraseñas es realizada de forma individual, por lo que el uso de contraseñas compartidas está prohibido. Si un usuario cede o autoriza el uso de su contraseña a un tercero se hace responsable de todas las acciones que se realicen con esta.
- Cuando el usuario olvida o bloquea su contraseña, debe solicitar a la Mesa de Servicios que le proporcione una nueva contraseña.
- Los usuarios deben cambiar la contraseña asignada, al ingresar por primera vez en el sistema.
- Para cambiar la contraseña de otro usuario de red (no propio), el jefe inmediato o supervisor, debe realizar la solicitud a través de la mesa de servicios la correspondiente autorización para dicho cambio.
- Las contraseñas no deben escribirse ni reflejares en algún papel o documento donde pueda quedar constancia de esta, tampoco se deben guardar en documentos de texto dentro de los dispositivos o en lugares donde personas no autorizadas puedan descubrirlas.
- Los usuarios no deben almacenar las contraseñas en programas o sistemas que proporcionan facilidad en la administración de contraseñas.
- Las contraseñas son de uso confidencial y no deben ser transmitidas por ningún medio electrónico como: mensajes de texto, mensajería instantánea, correos electrónicos, vía telefónica, entre otros.
- Todo usuario que tenga la sospecha de que su contraseña es conocida por otra persona, debe cambiarla inmediatamente.
- La longitud mínima de las contraseñas será igual o superior a doce caracteres, y estará constituida por combinación de caracteres alfabéticos, numéricos y especiales.
3.6 Criptografía
3.6.1 Propósito
- Proteger la confidencialidad, integridad y autenticidad de la información, utilizando métodos criptográficos.
Firmas Digitales
- La Dirección de TI será la encargada de entregar los Token a los directivos del Instituto y la empresa certificadora será la encargada del envío de contraseñas para firmar digitalmente.
- En caso de que un Token sea bloqueado, dañado o extraviado, el responsable de dicho Token deberá informar inmediatamente a la Gerencia de Riesgos para su desactivación y deberá asumir todos los costos de reposición.
- Toda información digital que requiera ser enviada hacía afuera del Instituto debe enviarse por medio del Sistema de Gestión Documental y firmarse digitalmente.
- Toda información física enviada hacía afuera del Instituto, debe ser radica en el CAD y enviada por correo certificado.
3.6.3 Cifrado
- El Propietario de la Información debe mantener cifrada la información reservada que tenga almacenada, así como la que envíe por correo electrónico a clientes o terceros. La información reservada debe viajar cifrada., incluso para el envío de información entre las dependencias del Instituto.
La Dirección de TI deberá mantener cifrados todos los equipos de cómputo.
3.6.4 Sitio Seguro
- La Dirección de TI utilizará el protocolo HTTPS en los sitios web institucionales para proteger la integridad y confidencialidad de los datos.
3.7 Política de Seguridad Física y del Entorno
3.7.1 Propósito
Prevenir el acceso físico no autorizado a las instalaciones de procesamiento de información y el daño, pérdida o robo de los activos de información.
3.7.2 Perímetros de Seguridad Física
- El centro de datos en la Dirección de TI, la bóveda en la Dirección de Operaciones, el Centro de Administración Documental y el cuarto de cámaras son áreas restringidas del IDEA y solo personal autorizado puede ingresar.
3.7.3 Controles de Acceso Físico
- El ingreso a áreas restringidas deberá permitirse con el uso de huella digital o carné institucional.
- Si un servidor público, contratista o tercero requiere ingresar a un área restringida, el jefe inmediato o el supervisor del contrato debe autorizar el ingreso, el cual deberá estar acompañado por personal autorizado.
- La limpieza y aseo de áreas restringidas debe realizarse en presencia de personal autorizado. La Gerencia Administrativa instruirá al personal de aseo respecto a las precauciones mínimas a seguir al momento de la limpieza.
- La Gerencia Administrativa deberá asegurar que las cámaras de seguridad cubran al menos el acceso principal al Instituto y las áreas de atención al público. Las imágenes deberán ser conservadas por lo menos seis (6) meses o en el caso en que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto.
3.7.4 Seguridad en las Instalaciones
- Los visitantes deben solicitar la autorización de ingreso en la Portería Peatonal del Instituto. Se le entregará un carné de visitantes que solo permitirá el acceso a la oficina autorizada.
- Todos los servidores públicos y contratistas pueden acceder al Instituto y a las oficinas mediante la autenticación con huella digital o carné Institucional.
- Los equipos de cómputo ubicados en la Oficina de sala de alcaldes del Instituto son para uso exclusivo de los clientes. Por lo tanto, no deben ser utilizados por los servidores públicos o contratistas del IDEA.
- La Gerencia Administrativa implementará y administrará todo el Sistema de Control de Acceso (cámaras de vigilancia, acceso biométrico, torniquetes, entre otros.).
3.7.5 Ubicación y Protección de los Equipos
- El usuario no debe mover o reubicar ningún equipo de cómputo o telecomunicaciones, instalar o desinstalar dispositivos, ni retirar sellos de estos sin la autorización de la Dirección de TI, en caso de requerir este servicio deberá solicitarlo por medio de la mesa de servicios.
- El equipo de cómputo asignado al servidor público o contratista será para uso exclusivo de las funciones laborales del Instituto.
- No se debe consumir alimentos ni ingerir líquidos mientras se operan los equipos de cómputo.
- No se debe colocar objetos encima de los equipos de cómputo, ni cubrir sus orificios de ventilación.
- Se debe mantener el equipo de cómputo en un entorno limpio y sin humedad.
3.7.6 Seguridad de Suministro
- El equipo de cómputo debe estar conectado en todo momento a la toma de energía regulada de color naranja.
- El Centro de Datos estará provisto de un sistema de detección de incendios, sistema de intrusión, circuito cerrado de televisión y sistema de control de acceso.
- Todas las Oficinas del Instituto estarán provistas de un sistema de detección de incendios, sistema de alarma y sistema de intrusión.
3.7.7 Seguridad del Cableado
- La Dirección de TI se asegurará de mantener identificado y debidamente marcado el cableado estructurado de red del Instituto.
- El usuario debe asegurarse que los cables de conexión no sean pisados con objetos encima o contra ellos. En caso de que esto suceda, solicitar a la Subgerencia Administrativa, por medio de la mesa de servicios un reacomodo de cables.
- El cableado de la red debe ser protegido de obstrucciones usando canaletas que lo protejan.
3.7.8 Mantenimiento de Equipos
- El personal de la Dirección de TI es el único autorizado para realizar reparaciones o actualizaciones en las impresoras o equipos de cómputo.
- El usuario debe asegurarse que toda su información institucional se encuentre guardada en su OneDrive institucional antes de enviar su equipo de cómputo a reparación, previendo así la pérdida de información.
- No está permitido que el usuario configure o reconfigure el sistema operativo e instale o desinstale algún software del equipo de cómputo.
- No está permitido que el usuario abra o desarme los equipos de cómputo o impresoras del Instituto.
3.7.9 Retiro de Activos
- Para retirar equipos de telecomunicaciones, cómputo, portátiles o cualquier activo tecnológico de las instalaciones del Instituto, el servidor público deberá tramitar la autorización de salida con la Gerencia Administrativa y con visto bueno de la Dirección de TI. Esta autorización debe ser mostrada en la portería peatonal al personal de vigilancia.
- Si en ejercicio de sus funciones, el servidor público requiere retirar un expediente físico de las instalaciones del Instituto, deberá tramitar la autorización con el CAD y diligenciar el formato correspondiente.
- Es responsabilidad del servidor público la protección del activo de información solicitado.
3.7.10 Disposición Segura
- La Dirección de TI deberá realizar un borrado seguro de todos los equipos de cómputo y medios de almacenamiento que sean dados de baja de acuerdo con la Guía de Disposición Final.
- La Dirección de TI deberá reportar a la Dirección de Contabilidad el Software que se dará de baja para retirarlo del Software Contable.
- El CAD deberá realizar la eliminación segura de la información física reservada o clasificada de acuerdo con la Guía de Disposición Final y la Tabla de Retención Documental.
3.7.11 Transferencia de Medios Físicos
- Cuando por necesidad del servicio se requiera el uso de un medio removible de almacenamiento (USB, disco externo, entre otros), es responsabilidad del usuario proteger el medio contra accesos no autorizados, usos indebidos o perdida de la información a su cargo.
- Cada vez que el medio sea conectado a un equipo de cómputo del Instituto, el usuario deberá escanearlo con el antivirus Institucional.
3.7.12 Equipos de Usuario Desatendido
- El servidor público que utilice un equipo portátil del IDEA no deberá dejarlo desatendido en sitios públicos y deberá protegerlo de golpes y exposición a líquidos.
- Cuando el usuario no se encuentre en su lugar de trabajo deberá mantener el equipo de cómputo bloqueado con contraseña.
- La Dirección de TI habilitará el bloqueo automático de los equipos de cómputo a los 15 minutos de inactividad.
- El usuario que trabaje con un equipo portátil del IDEA, deberá dejarlo asegurado con guaya cuando no se encuentre en su lugar de trabajo.
3.7.13 Política de Escritorio Limpio y Pantalla Limpia
- Proteja su información siempre que se retire de su puesto de trabajo, los documentos con información confidencial o reservada no deben quedar encima del escritorio a la vista o alcance de personas no autorizadas.
- En la medida de lo posible, los documentos con información clasificada o reservada deben quedar bajo llave o custodia en horas no laborables.
- Al imprimir o fotocopiar documentos con información confidencial o reservada, se deberá retirar inmediatamente dicho documento de las impresoras.
- El papel que contenga información confidencial o reservada no debe ser reutilizado.
3.8. Seguridad de las Operaciones
3.8.1 Propósito
Asegurar que los procedimientos de las operaciones que procesen información se realicen de forma correcta y segura, y permitan el registro de eventos.
3.8.2 Procedimientos de Operaciones Documentados
El Sistema de Gestión de Seguridad de la Información y Ciberseguridad es el proceso transversal al Instituto, el cual contiene procedimientos, guías y manuales que permitirán mantener la confidencialidad, integridad y disponibilidad de la información institucional.
3.8.3 Controles Contra Códigos Maliciosos
- La Dirección de TI deberá asegurar que todos los equipos de cómputo del IDEA tengan instalado y en funcionamiento las herramientas de seguridad (antivirus, antispam, protección avanzada, seguridad dispositivos, entre otras).
- Para prevenir infecciones informáticas, los usuarios no deben hacer uso de software que no haya sido proporcionado y validado por la Dirección de TI.
- Es responsabilidad de los usuarios reportar a la Gerencia de Riesgos todos los incidentes de infección informáticas o problemas con las herramientas de seguridad que se les presente.
- Los usuarios no deberán alterar o eliminar, las configuraciones de seguridad que le sean implantadas por el Instituto.
- No se permite el envío de correos electrónicos con contenido que atente contra la integridad de las personas o instituciones o cualquier contenido que represente riesgo infección informática.
- La Dirección de TI deberá implementar métodos que eviten la descarga e instalación de cualquier tipo de software y/o códigos maliciosos en los equipos institucionales.
3.8.4 Copias de Respaldo
- Es responsabilidad de cada servidor público o contratista el cargue de toda su información institucional dentro de la carpeta OneDrive institucional, como medio de respaldo en caso de pérdida. Adicionalmente, es su responsabilidad las autorizaciones de acceso de lectura o edición que permita a su información.
- Es responsabilidad del usuario verificar todos los días que la aplicación de OneDrive se encuentre abierta, para que su información pueda sincronizar con la nube.
- La Dirección de TI deberá capacitar a todos los servidores público y contratistas en el manejo de la aplicación OneDrive.
- Los usuarios no deberán usar la aplicación de OneDrive institucional para almacenar información personal.
- Si el usuario borra un archivo de su carpeta de OneDrive pasará a la papelera de reciclaje y permanecerá allí 30 días calendario, en los que el usuario podrá restaurarlo, después de este tiempo será eliminada automáticamente.
- La Dirección de TI no se hace responsable por pérdidas de información que no se encuentre dentro de la carpeta de OneDrive.
- Si un usuario requiere que se le sea entregada la información institucional que pertenezca a otro usuario, la solicitud la debe realizar el jefe inmediato o supervisor por medio de la mesa de servicios a la Oficina Gestión del Riesgo.
- La Dirección de TI es responsable de realizar y definir la frecuencia de respaldo en servidores, sistemas de información y dispositivos de red, según el procedimiento "Respaldo y Restauración de Información electrónica"
- La Dirección de TI debe asegurar las copias de seguridad, teniéndolas en áreas protegidas, cifradas y con control de acceso.
3.8.5 Control y Uso del Software y Hardware
- No está permitida la instalación de aplicaciones o herramientas institucionales en equipos de cómputo de uso personal.
- El uso de herramientas colaborativas (Outlook, OneDrive, Teams, entre otras) en equipos de cómputo de uso personal, solo estará permitido directamente en la nube.
- Cualquier necesidad de contratar un nuevo software o hardware dentro del Instituto debe ser tramitado y aprobado por medio de la Dirección de TI. La Dirección de TI, la Gerencia de Riesgos y la dependencia solicitante deberán identificar los riesgos de seguridad de la información y ciberseguridad que esta adquisición conlleva.
- El usuario que requiera la instalación de algún tipo de software o hardware deberá justificar su uso y solicitar la autorización a la Dirección de TI, indicando el equipo de cómputo donde se instalará y el período de tiempo que lo necesitará. La instalación de cualquier tipo de programa (software) en los equipos de cómputo, en los servidores o cualquier equipo conectado a la red del Instituto, sin esta autorización, acarreará el inicio de un proceso disciplinario y a la sanción disciplinaria correspondiente.
- Se considera una falta, el que los usuarios instalen sin autorización de la Dirección de TI cualquier tipo de programa (software) en los equipos de cómputo, en los servidores o cualquier equipo conectado a la red del Instituto.
- No se permite la descarga de juegos, música, películas, protectores y fondos de pantalla, software de libre distribución, información y/o productos que de alguna forma atenten contra la propiedad intelectual de sus autores, o que contengan archivos ejecutables y/o herramientas que atenten contra la integridad, disponibilidad y/o confidencialidad de la infraestructura tecnológica (hacking, Sniffer, entre otros).
- La Dirección de TI deberá establecer el borrado automático de archivos temporales del sistema operativo, archivos temporales de internet, cookies, historial de navegación y descargas mínimo 1 vez al mes.
3.8.6 Gestión de la Vulnerabilidad Técnica
La Gerencia de Riesgos será la encargada de realizar las pruebas de seguridad a la infraestructura tecnológica del IDEA. La Dirección de TI deberá implementar los planes de remediación.
3.9 Seguridad de las Comunicaciones
3.9.1 Propósito
Asegurar la protección de la información en las redes y mantener la seguridad de la información transferida dentro del Instituto y con cualquier entidad externa.
3.9.2 Controles de Redes
- El acceso a Internet provisto a los usuarios del Instituto es exclusivamente para las actividades relacionadas con sus funciones laborales asignadas y/o necesidades del Instituto.
- Todos los equipos de cómputo deben estar conectados a las redes provistas por la Dirección de TI, en caso de necesitar una conexión a Internet especial, deberá ser autorizada esta dependencia.
- La Dirección de TI aplicará restricciones de accesos y filtros de seguridad web para la navegación en internet desde la red y equipos institucionales, teniendo en cuenta esta Política de Seguridad de la Información y Ciberseguridad y la seguridad de la red.
- Si un servidor público o contratista requiere, para el desempeño de sus funciones, acceder a una página restringida, el jefe inmediato o el supervisor deberá realizar la solicitud a la Gerencia de Riesgos a través de la mesa de servicios para revisar la viabilidad.
- Está prohibido el acceso a páginas con contenido pornográfico, de abuso infantil, discriminatorio, violento, o, drogas alucinógenas, armas, redes punto a punto o que contengan algún riesgo informático.
3.9.3 Seguridad en los Servicios de Red
- La Dirección de TI será la responsable de implementar los sistemas de protección y medidas de seguridad para los dispositivos de red.
- La Dirección de TI deberá tener identificado y documentado los servicios, protocolos y puertos autorizados en las redes de datos.
3.9.4 Separación de Redes
La Dirección de TI deberá segmentar la red del Instituto, para separar los grupos de servicios de información, usuarios y sistemas de información.
3.9.5 Transferencia de Información
- El servicio de correo electrónico, OneDrive y Teams Institucional será asignado a los servidores públicos y contratistas para el fin único de cumplimiento de sus funciones, los envíos de información deben ser acorde con las labores asignadas.
- Los servidores públicos y contratistas solo podrán compartir información a personas externas por medio de las herramientas institucionales.
- La información confidencial o reservada deberá enviarse cifrada vía correo electrónico y destinada exclusivamente a las personas autorizadas, en el ejercicio estricto de sus funciones y atribuciones.
- Los servidores públicos y contratistas no deberán utilizar las herramientas tecnológicas asignadas para el envío sin autorización de información confidencial o reservada del IDEA
- El uso de las herramientas tecnológicas institucionales se deberá preservar normas de respeto y confidencialidad por parte de todos los empleados y contratistas del IDEA.
- Los servidores públicos y contratistas no deberán enviar, por ningún medio institucional, información o documentos con contenido de Phishing, virus, spam o que violen las leyes de derechos de autor o protección de datos personales.
- Es responsabilidad de cada usuario proteger y cerrar sesión de las herramientas institucionales (correo electrónico, OneDrive, Teams, entre otras) cuando sean consultadas en equipo externos.
- Todo mensaje enviado desde la cuenta de correo electrónico institucional deberá llevar al final del mensaje la firma del servidor público o contratista, con los datos y logos establecidos por la Oficina Asesora de Comunicaciones.
- El usuario que tenga asignado una cuenta de correo electrónico podrá crear grupos de trabajo.
- El envío masivo de correos electrónicos para todos los servidores públicos y contratistas del IDEA está restringido, solo pueden ser efectuados por el Gerente General, Secretario General, Director de Talento Humano, Director de TI y Jefe de Comunicaciones.
- El buzón del correo electrónico tendrá definido un límite para el almacenamiento de mensajes y el envío de datos adjuntos. Si el usuario requiere aumentar la capacidad del envío de adjuntos, podrá solicitarla a la Dirección de TI.
- Se permite el envío hasta 500 correos electrónicos de forma simultánea, sin exceder de 10.000 destinatarios por día.
- La Dirección de TI aplicará políticas de filtrado de mensajes, antispam y protección avanzada de amenazas, para proteger los buzones de los usuarios.
- Un correo electrónico podría llegar sin su adjunto, si el Sistema de Protección Avanzada detecta que es portador de virus o cualquier otra amenaza.
- Los correos electrónicos que tengan 2 años de antigüedad en el buzón pasarán automáticamente a la carpeta "Archivar en línea” para liberar espacio al buzón principal.
- Está prohibido utilizar o ingresar a la cuenta de correo electrónico, OneDrive o Teams Institución de otro usuario sin autorización.
- Está prohibido sustituir la identidad de un usuario en el correo electrónico, OneDrive o Teams Institución e interceptar o ayudar a terceros a hacerlo.
- Cuando el usuario sale de vacaciones, presenta una calamidad o se ausenta por más de un día del Instituto, deberá configurar en el Outlook la opción "Fuera de la Oficina", informando la persona que quedará en su reemplazo.
- La Dirección de TI implementará herramientas de seguridad para controlar la transferencia de información mediante el uso del OneDrive, Outlook y Teams.
- Los usuarios deben considerar que los mensajes instantáneos pueden ser guardados por su interlocutor, así que no deberá escribir información sensible.
- Para realizar grabaciones en la herramienta Teams Institucional, sin la autorización explícita de los participantes.
3.10 Relaciones con los Proveedores
3.10.1 Propósito
Asegurar la protección de los activos de información del IDEA que sean accesibles por parte de los proveedores.
3.10.2 Política de Seguridad de la Información para Proveedores
La presente Política de Seguridad de la Información y Ciberseguridad, se extiende hacia todos los proveedores que tenga relación contractual con el Instituto. Por lo tanto, deberán cumplir todas las Políticas que protegen la información del IDEA.
3.10.3 Acuerdos con Proveedores
Si un proveedor o tercero requiere acceder, procesar, almacenar, comunicar o suministrar componentes de infraestructura de tecnología o información del IDEA, la Dirección Jurídica deberán asegurarse de que se acuerden las condiciones establecidas en el Procedimiento Seguridad Proyectos Críticos y el supervisor del contrato que se cumplan.
3.11 Gestión Incidentes de Seguridad de la Información
3.11.1 Propósito
Gestionar los incidentes de seguridad de la información y comunicar los eventos de seguridad.
3.11.2 Responsabilidades
La Gestión de Incidentes de Seguridad de la Información del Instituto será liderada por el Equipo de Respuestas a Incidente, el cual deberá evaluar los riesgos de los incidentes que se presenten, manteniendo la operación, continuidad y disponibilidad del servicio, de acuerdo con el procedimiento Gestión de Incidentes de Seguridad de la Información y Ciberseguridad.
Todos los servidores públicos y contratistas tienen el deber de reportar cualquier evento o vulnerabilidad que pueda afectar la seguridad de la información del Instituto y reportarlo a través de la mesa de servicios.
3.11.3 Aprendizaje Obtenido
El Equipo de Respuesta a Incidentes del Instituto deberá documentar el conocimiento adquirido al analizar y resolver incidentes de seguridad de la información, reduciendo la posibilidad o impacto de incidentes futuros.
3.12 Gestión de la Continuidad de la Seguridad de Negocio
3.12.1 Propósito
La continuidad de la seguridad de la información debe estar incluida en el Plan de Continuidad de Negocio del IDEA.
3.12.2 Planificación
La Gerencia de Riesgos deberá asegurar que; dentro del Plan de Continuidad de Negocio del IDEA, se incluya la continuidad de la seguridad de la información en situaciones adversas (crisis o desastres).
3. Implementación y Verificación
La Gerencia de Riesgos debe asegurar la continuidad de la seguridad de la información en el Plan de Continuidad del IDEA, estableciendo, manteniendo y verificando procesos, procedimientos y controles.
3.13 Cumplimiento
3.13.1 Marco Legal
- Artículo 15 de la Constitución Política, consagra el derecho fundamental de las personas a conservar su intimidad personal y familiar, al buen nombre y a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellos en bancos de datos y en archivos de las Entidades públicas y privadas.
- Ley 527 de 1999 "por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones"
- Ley 1273 de 2009, por medio del cual se modifica el Código Penal, crea un nuevo bien jurídico tutelado denominado "De la Protección de la información y de los datos".
- Ley 1581 de 2012, Por la cual se dictan disposiciones generales para la protección de datos personales.
- Ley 1952 de 2019, Por medio de la cual se expide el código general disciplinario.
- Ley 2094 de 2021, Por medio de la cual se reforma la ley 1952 de 2019 y se dictan otras disposiciones.
- Ley 23 de 1982, sobre derechos de autor.
- Ley 44 de 1993, Por la cual se modifica y adiciona la Ley 23 de 1982 y se modifica la Ley 29 de 1944.
- Ley 1712 de 2014, "Por medio de la cual se crea la ley de transparencia y del derecho de acceso a la información pública nacional y se dictan otras disposiciones".
- Ley 1266 de 2008, "Por la cual se dictan las disposiciones generales del hábeas data y se regula el manejo de la información contenida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones".
- Ley 1928 de 2018, Por medio de la cual se aprueba el «convenio sobre la ciberdelincuencia», adoptado el 23 de noviembre de 2001, en Budapest.
- Decreto 0103 de 2015, Por el cual se reglamenta parcialmente la Ley 1712 de 2017 y se dictan otras disposiciones.
- Decreto 1078 de 2015, por medio del cual se expide el Decreto Único Reglamentario del Sector de las Tecnologías de la Información y las Comunicaciones
- Decreto 1499 de 2017, Por medio del cual se modifica el Decreto 1083 de 2015, Decreto Único Reglamentario del Sector Función Pública, en lo relacionado con el Sistema de Gestión.
- Decreto 612 de 2018, Por la cual se fijan directrices para la integración de los planes institucionales y estratégicos al Plan de Acción por parte de las entidades del Estado.
- Decreto 1008 de 2018, Por el cual se establecen los lineamientos generales de la política de Gobierno Digital.
- Resolución de Gerencia número 0047 de 2013, Por medio de la cual se establece el reglamento Interno de Personal de los empleados del Instituto para el Desarrollo de Antioquia - IDEA-.
- Resolución 3564 de 2015 "Por la cual se reglamentan aspectos relacionados con la Ley de Transparencia y Acceso a la Información Pública'
- Resolución 500 de 2021 "Por la cual se establecen los lineamientos y estándares para la estrategia de seguridad digital y se adopta el Modelo de Seguridad y privacidad como habilitador de la Política de Gobierno Digital'
- Circular Externa 008 de 2018, la cual Imparte instrucciones en materia de requerimientos mínimos de segundad y calidad para la realización de operaciones.
- Circular Externa 007 de 2018, la cual establece requerimientos mínimos para la Gestión de la Segundad de la Información y la Ciberseguridad.
- Circular Externa 005 de 2019, la cual establece reglas relativas al uso de servicios de computación en la nube.
- Norma Técnica ISO 27001 de 2013, relacionada con el Sistema de Gestión de la Seguridad de la Información.
3.13.2 Derechos de Propiedad Intelectual
- Los programas de cómputo desarrollados para el IDEA por personal interno o externo son propiedad intelectual de la organización.
- La Dirección de TI deberá mantener debidamente licenciado y documentado todo el software utilizado en el Instituto, incluido el software libre.
3.13.3 Cumplimiento con las Políticas y Normas de Seguridad
- Los directivos y supervisores del IDEA deberán revisar y apoyar con regularidad el cumplimiento de la Política de Seguridad de la Información y Ciberseguridad y demás procedimientos de seguridad de la información dentro de su área de responsabilidad.
- El IDEA tendrá el derecho de acceder y revelar los contenidos electrónicos de los buzones y OneDrive de sus servidores públicos y contratistas, en caso de que algún ente fiscalizador a nivel interno o externo requiera esta información.
3.13.4 Revisión del Cumplimiento Técnico
- La Gerencia de Riesgos establecerá mecanismos de control que permitan revisar las actividades y/o procesos que ejecutan los usuarios del Instituto. El mal uso de los recursos informáticos que sean detectados será tratado de acuerdo con la normatividad de carácter disciplinario y penal vigente.
- La Gerencia de Riesgos deberá validar y monitorizar de manera periódica la implantación de todos los controles de seguridad establecidos en esta Política.
- La Gerencia de Riesgos emitirá lineamientos y recomendaciones para gestionar la seguridad de la información y ciberseguridad del IDEA, y el establecimiento de controles técnicos, físicos y administrativos derivados del análisis de riesgos de seguridad.
3.13.5 Excepciones
Las excepciones a la presente Política requerirán la aprobación del Comité de Seguridad de la Información y Ciberseguridad y ser concederán exclusivamente para el desarrollo de funciones del empleo público. La Gerencia de Riesgos revisará la viabilidad de dar permisos temporales mientras termina la labor del servidor público.
Los incumplimientos y exclusiones deberán documentarse en el Formato Incumplimiento y Excepciones a la Política de Seguridad de la Información y Ciberseguridad.
