Política de Seguridad de la Información

Director General

Proporcionar y propiciar el liderazgo y los recursos necesarios para implementar y mantener un Sistema de Gestión de Seguridad de la Información (SGSI) eficaz.

Comprometerse expresamente con la mejora continua realizando revisiones de la eficacia de los controles implementados y desarrollando medidas para apoyar este proceso.

Responsable de Seguridad de la Información

Es el líder del Equipo de Trabajo de Tecnología de la Información, quien a su vez se apoya en expertos técnicos para la implementación, implantación, puesta en marcha, mantenimiento, supervisión y mejora continua del Sistema de Gestión de Seguridad de la Información. Este rol tiene las siguientes responsabilidades:

• Velar por la implementación, puesta en marcha y mantenimiento del Sistema de Gestión de Seguridad de la Información.
• Velar por la revisión de la estructura (políticas, procedimientos, instructivos, roles, responsables y responsabilidades) del Sistema de Gestión de Seguridad de la Información.
• Hacer seguimiento al plan de trabajo que permita el logro de los objetivos específicos de seguridad de la información de Quality & Knowledge On IT Services.
• Presentar los cambios, proyectos e iniciativas del SGSI al representante por la Dirección del Sistema de Gestión de Seguridad de la Información.
• Monitorear y velar por el cumplimiento del Plan Operativo de Seguridad de la Información de Quality & Knowledge On IT Services.
• Presentar las necesidades de recursos financieros para el desarrollo de proyectos que fortalezcan la gestión de la seguridad de la información con el fin de lograr los objetivos misionales y estratégicos de Quality & Knowledge On IT Services.
• Obtener la aprobación de la política por parte de la Dirección General.

Líder Técnico de Seguridad de la Información

También designado como Oficial de Seguridad de la Información, es aquel profesional o contratista quien implementa y mantiene operativamente el Sistema de Gestión de Seguridad de la Información. En sus responsabilidades están:

• Supervisar y coordinar todas las actividades relacionadas con la seguridad de la información que garanticen que la información propiedad de Quality & Knowledge On IT Services y de sus clientes está protegida del acceso y tratamiento no autorizado.
• Proporcionar los recursos humanos, materiales y tecnológicos suficientes para garantizar la adecuada protección de la información.
• Implementar la presente política en sus áreas de Infraestructura y Administración de la Configuración, así como el Sistema de Gestión de Seguridad de la Información (SGSI) definido conjuntamente con el Responsable de Seguridad de la Información.

Administrador de Recursos Humanos

Definir la Estrategia de implementación del Sistema de Gestión de Seguridad de la Información (SGSI), así como los planes de Capacitación y de Comunicación, tanto los correspondientes a la implementación como los correspondientes al mantenimiento permanente del SGSI completo.

Recolectar, consolidar y analizar los Indicadores definidos para evaluar la efectividad de la implementación.

Establecer la estrategia necesaria en caso de desviaciones detectadas durante el análisis de los Indicadores.

Infraestructura/TI

El área de Infraestructura/TI tiene como responsabilidad principal garantizar la operación segura de los sistemas, redes y dispositivos de la organización, en alineación con los requisitos de ISO 27001. Entre sus funciones se encuentra la gestión de accesos y cuentas de usuario, administrando altas, bajas y modificaciones, aplicando el principio de privilegios mínimos e implementando mecanismos de autenticación robusta, como contraseñas seguras y multifactor.

Asimismo, debe asegurar la gestión de redes y comunicaciones, mediante la configuración segura de firewalls, routers y switches, la segmentación de redes y la protección de conexiones remotas a través de tecnologías como VPN o TLS. Esta labor se complementa con la gestión de servidores, sistemas y dispositivos, lo que implica aplicar parches y actualizaciones, realizar configuraciones seguras (hardening) y administrar servicios en la nube de acuerdo con las políticas de seguridad definidas.

Otra responsabilidad esencial es la ejecución y verificación de respaldos, siguiendo las políticas de copias de seguridad, así como la participación en pruebas periódicas de planes de recuperación y continuidad de negocio (DRP). En paralelo, se deben implementar medidas de protección contra malware y amenazas, manteniendo actualizadas las soluciones de seguridad como antivirus o MDR, y monitoreando la red en busca de comportamientos anómalos.

El área también participa activamente en la gestión de incidentes de seguridad, detectando, registrando y escalando los casos que se presenten, en coordinación con el equipo de seguridad. Para ello, mantiene un monitoreo constante y registros de actividad, gestionando bitácoras de accesos, configurando alertas en sistemas críticos y revisando periódicamente los logs.

En cuanto a la infraestructura física y virtual, es responsable de asegurar la protección y el control de acceso físico a equipos. Además, debe brindar soporte a auditorías internas y externas, aportando evidencias técnicas y garantizando el cumplimiento de requisitos regulatorios o contractuales.

Finalmente, el área de Infraestructura/TI debe fomentar la concienciación y apoyo al personal, proporcionando soporte en el uso seguro de los sistemas y participando en capacitaciones, talleres o simulacros relacionados con la seguridad de la información.

Apego a normatividad

Mantener registro de cumplimiento con las obligaciones legales, regulatorias y contractuales establecidas aplicables relacionadas con la seguridad de la información.

Realizar auditorías internas y externas periódicas.

Acceso a la información, sistemas y recursos de red

Limitar el acceso a la información a aquellos empleados que necesiten acceder a ella para llevar a cabo sus funciones.

Establecer controles de acceso apropiados, como contraseñas seguras y autenticación de dos factores.

Gestión de Riesgos

Evaluar periódicamente a nivel organizacional los riesgos para identificar y tratar los posibles riesgos de seguridad de la información.

El análisis se realizará:

• regularmente, una vez al año.
• cuando haya cambios significativos en la información manejada.
• cuando haya cambios en los servicios esenciales prestados o cambios significativos en las infraestructuras que los soportan.
• cuando ocurra un incidente de seguridad grave.
• cuando se identifiquen amenazas severas que no hubieran sido tenidas en cuenta o vulnerabilidades graves que no estén contrarrestadas por las medidas de protección implantadas.

Proceso

1. Implementar controles adecuados para mitigar los riesgos identificados.
2. Reevaluar los riesgos una vez implementados los controles.
3. Dar seguimiento a los riesgos hasta minimizarlos.

Protección de los activos de información

Proteger los activos de información de la organización contra accesos no autorizados, daños, pérdidas o alteraciones.

Implementar medidas de seguridad físicas y lógicas como firewalls, antivirus y copias de seguridad regulares.

Concientización y formación

Proporcionar capacitación y concientización periódicamente a todos los empleados sobre las políticas y procedimientos de seguridad de la información. Se deberá incluir la identificación de amenazas comunes, buenas prácticas de seguridad y proceso de comunicación de incidentes de seguridad.

Mejora continua

Mejorar continuamente el Sistema de Gestión de Seguridad de la Información (SGSI), a través de la revisión regular de su efectividad, la identificación de áreas de mejora y la implementación de acciones correctivas y preventivas.

Establecer, recolectar y analizar indicadores de medición de la efectividad del SGSI y generar las estrategias necesarias a fin de mejorar el rendimiento del SGSI.