Políticas de seguridad de la información

Objetivo

• Dar a conocer las normas de seguridad de la información e informática aplicadas a las operaciones del servicio FENALCO.

Alcance

• Estas políticas son para todos los usuarios de FENALCO con un computador asignado, conectado a la red corporativa, y que ejecutan labores asignadas según su cargo.

Definiciones

Usuario

• Persona contratada por FENALCO, autorizada a usar las Facilidades Tecnológicas.

Equipo Institucional

• Computadoras, portátiles, servidores, equipos de comunicación y otros equipos electrónicos utilizados para desempeñar funciones.

Software Institucional

• Software que el Área de Tecnología de la Información define como "Software de Uso Estándar", con licencias adquiridas e inscritas a su nombre.

Facilidades Tecnológicas

• Recursos de tecnología de información disponibles para el usuario, como licencias de software, sistemas automatizados, computadoras, servidores y redes de transmisión de datos.

Comunicaciones Electrónicas

• Cualquier tipo de comunicación enviada digitalmente en cualquier formato, incluyendo anexos.

BYOD (Bring Your Own Device)

• La posibilidad de que los empleados usen sus propios dispositivos (portátiles, smartphones, tabletas) para acceder a recursos de la empresa.

Incidente de Seguridad

• Evento que atenta contra la confidencialidad, integridad y disponibilidad de la información y que viola la Política de Seguridad de la Información de la organización.

Teletrabajo

• Forma de organización laboral que consiste en el desempeño de actividades remuneradas a terceros utilizando tecnologías de la información y la comunicación (TIC). Regulado por la Ley 1221 de 2008.

Trabajo en Casa

• Habilitación para que empleados desempeñen transitoriamente sus funciones laborales fuera del sitio habitual, sin modificar el contrato laboral. Regulado por la Ley 2088 de 2021.

Trabajo Remoto

• Ejecución del contrato de trabajo de forma remota mediante tecnologías de la información y telecomunicaciones, sin interacción física entre empleador y trabajador. Regulado por la Ley 2121 de 2021.

Descripción

• A todo el personal nuevo de FENALCO se le debe informar sobre la existencia y el funcionamiento de estas políticas.

• FENALCO asegura la confidencialidad, integridad y disponibilidad de la información interna y de los clientes mediante controles y políticas de seguridad.

• Los equipos de cómputo del usuario deben ser asignados por Fenalco, con licenciamiento de software y conexión VPN o ser computadoras propias del usuario con conexión VPN.

Politica de Sesión Abierta

Objetivo

• Evitar la suplantación de identidad para prevenir robos, fraudes, transferencias y modificaciones en los sistemas de atención al cliente.

Condiciones Generales

• "Sesión Abierta" significa no cerrar la sesión de usuario en Windows al ausentarse del puesto de trabajo.

• Por seguridad, cada funcionario debe cerrar su sesión al ausentarse.

• Cualquier empleado puede reportar el incumplimiento de la política al coordinador o supervisor, quien lo debe reportar al jefe inmediato.

• Después de 3 meses de publicación e implementación, se aplicarán sanciones disciplinarias por incumplimiento.

Política de Usuarios

Objetivo

• Establecer los parámetros que deben tener en cuenta los usuarios, con el fin de garantizar que la seguridad de la información es gestionada correctamente.

Condiciones Generales

• Cada usuario tendrá un usuario de red para identificarse y acceder a recursos.
• La solicitud de una nueva cuenta se debe realizar mediante un formato aprobado por el jefe inmediato.
• No se concederán cuentas a personas que no sean empleados a menos que estén autorizadas por el jefe inmediato, y la cuenta debe expirar a los 30 días.
• Los privilegios estarán restringidos a los usuarios responsables de la administración o seguridad de los sistemas.
• No se deben otorgar cuentas a técnicos a menos que sea necesario y autorizado por IT.
• Se prohíbe el uso de cuentas anónimas o de invitado, los usuarios deben usar cuentas que indiquen claramente su identidad.
• Las cuentas se suspenden automáticamente después de 30 días de inactividad.
• El Coordinador de Infraestructura o el Supervisor de Help Desk debe revocar la cuenta o privilegios de un usuario cuando reciba una orden de un superior, especialmente al finalizar su relación laboral.
• Cuando un empleado sea despedido o renuncia, se debe desactivar su cuenta antes de que deje el puesto.
• Está prohibido utilizar o divulgar las credenciales de otro usuario, o acceder a archivos que no sean de su propiedad, a menos que sea autorizado formalmente.

Políticas de Escritorios Limpios

Objetivo

• Asegurar que los medios magnéticos y físicos que almacenan información de la entidad estén resguardados.

Condiciones Generales

• Los escritorios deben estar limpios para proteger documentos y dispositivos de almacenamiento.

• Los dispositivos de almacenamiento, especialmente aquellos con copias de seguridad, deben guardarse bajo llave.

• Antes de salir, se debe revisar que el lugar de trabajo esté en orden, los equipos apagados y los documentos guardados.

• Los documentos sensibles deben colocarse en cajones cerrados durante ausencias prolongadas.

• Se debe asignar tiempo para eliminar el papeleo y bloquear el escritorio al final del día.

• El incumplimiento de esta política conlleva notificación al superior inmediato.

Políticas de Contraseña Segura

Objetivo

• Establecer un estándar para la creación y protección de contraseñas fuertes, y su cambio frecuente.

Condiciones Generales

• Los usuarios son responsables de la seguridad de sus contraseñas.
• Esta política incluye a todos los usuarios de los servicios y recursos informáticos de FENALCO que usen credenciales.
• Las contraseñas deben ser personales e intransferibles, además de cumplir con las siguientes pautas:
  • No deben estar asociadas a datos comunes del usuario.
  • Deben cambiarse mensualmente.
  • Deben tener al menos seis caracteres.
  • Debe incluir una mezcla de caracteres alfabéticos (mayúsculas y minúsculas) y números).
  • No deben contener el identificador o nombre del usuario.
  • Deben ser diferentes de las últimas 12 contraseñas utilizadas.

Del Uso de la Red Institucional y de sus Recursos

• Las identificaciones y claves de acceso a la Red Institucional son propiedad de la campaña y son para uso personal del usuario asignado.
• El usuario es responsable del uso correcto de sus credenciales.
• El usuario no puede hacer modificaciones no autorizadas a la red institucional.
• Cualquier intento de vulnerar los sistemas de seguridad de la red resultará en acciones administrativas, laborales, penales y/o civiles.
• Se controla y restringe la operación de software para la descarga y distribución de archivos multimedia.
• Cualquier aplicación de este tipo que requiera ser utilizada, debe ser previamente consultada con la dirección de tecnologías de información.
• El usuario no podrá compartir archivos o carpetas en el computador asignado, excepto con la autorización del Coordinador y/o Supervisor del área y el Coordinador de Infraestructura, solo se podrán usar para compartir documentos laborales.
• La funcionalidad es administrada únicamente por el Coordinador de Infraestructura de FENALCO.
• La seguridad de los recursos compartidos en el computador es responsabilidad del usuario.
• Está prohibido acceder o intentar acceder a información no autorizada.
• No se permite el uso de módems en PCs con conexión a la LAN, a menos que sea autorizado.
• Las comunicaciones de datos deben ser a través de la LAN de la organización.
• Deben tener control con acceso a las redes, quitarle los privilegios e implementar restricciones, restringiendo el modo de instalar software.

De la Instalación y Uso de Software

• El único software permitido es aquel estandarizado y/o autorizado por la campaña.
• Se deben hacer copias de todo software nuevo antes de su uso para ayudar a restaurar los programas originales.
• Solo el personal de soporte del área de Informática y Telecomunicaciones de FENALCO está autorizado de la instalación del software Esta prohibido instalar cualquier software (Ejemplo: salva pantallas, software gratuito y/o juegos).
• Todo usuario debe garantizar el cumplimiento de los lineamientos que se le impongan.
• El usuario no deberá participar en la copia, distribución, transmisión o cualesquiera otras prácticas no autorizadas.
• Toda instalación, desinstalación o traslado de software requiere autorización y coordinación previas con el área de IT de FENALCO.
• Las licencias de software se deben solicitar a IT de FENALCO para su valoración y autorización.
• El usuario es responsable de conocer y consentir los derechos de las licencias de software instaladas.

Del Uso de Internet

• El acceso a Internet sólo se asignará a aquellos cargos que lo requieran para su desempeño laboral.
• El uso de Mensajería instantánea debe ser con fines laborales y debe ser autorizado por el Jefe Inmediato y otorgado por el área de IT de FENALCO.
• No se permite la navegación por Internet ni usar ningún otro servicio que permita el intercambio de información a menos que el tercero lo solicite por escrito.
• La empresa tiene potestad de hacer seguimiento y control sobre las páginas accesadas.
• El uso del servicio de Internet debe ser prudente y sólo para actividades relacionadas con el desempeño laboral.
• No se debe confiar en los archivos gratuitos que se descargan de sitios web desconocidos, ya que son una potencial vía de propagación de virus.
• No se deben descargar archivos con títulos atractivos pero sospechosos, desde canales de Chat, Newsgroups, redes compartidas o vía FTP.
• Está prohibido bajar por Internet música, videos o software no autorizados por el Coordinador de Soporte o Administrador de Servicios de red.

Del Uso de los Computadores

• Los equipos de cómputo del cliente, solo deben tener instalados los aplicativos de uso de trabajo únicamente.
• No se puede retirar un computador sin autorización firmada por el Jefe Inmediato.
• Los equipos deben ser debidamente conectados en las tomas adecuados, o sea aquellos marcados como UPS.
• No conecte otros aparatos (Radios, máquinas de escribir, calculadoras, etc.) en la misma toma del computador.
• El área de Soporte de Sistemas modifica las configuraciones de los computadores y es la única que tiene autorización a hacerlo.
• El computador es una herramienta de trabajo por lo tanto la persona es responsable de este y debe garantizar su buen manejo.
• Todos los periféricos son responsabilidad del usuario y debe informar inmediatamente sobre casos de pérdida o daño.
• El usuario es responsable por los costos en que se incurra por la reparación o reemplazo del elemento; ya así se haya daño el equipo.
• Solo el personal de Soporte de Informática y Telecomunicaciones está autorizado de la instalación del software El usuario no puede instalar ningún tipo de Software (Ejemplo: salva pantallas, software gratuito y/o juegos).
• El equipo asignado al personal debe ser utilizado solamente actividades laborales.
• Los equipos de cómputo no pueden ser reubicados ni reasignados a otro usuario.
• Los documentos almacenados en el disco duro del computador, deben reposar en una sola carpeta.
• Los usuarios de PCs son responsables de proteger los programas contra pérdida o daño, y de definir qué información debe respaldarse y la frecuencia del respaldo.
• Para prevenir el acceso no autorizado, el usuario debe activar el protector de pantalla oprimiendo al tiempo Ctrl.+Alt+Sup, cada vez que se ausente.
• Los usuarios no deben copiar a medio removible el software o los datos residentes en las computadoras de la Organización.
• No deben usarse medios de almacenamiento externos en ninguna computadora.
• No está permitido conectar computadores portátiles de personas ajenas a la campaña.
• Se debe mantener una hoja de vida de los equipos de cómputo de la campaña.

De las Comunicaciones Electrónicas

• El correo electrónico sólo puede ser usado por el personal autorizado por la organización.
• En vista de que las Comunicaciones Electrónicas pueden ser interceptadas, la Organización no puede garantizar su confidencialidad.
• El usuario acepta que la Organización no está en capacidad de protegerle de ataques o mensajes ofensivos.
• La Organización no garantiza la privacidad de la información que se maneje en el correo electrónico.
• No contestar los mensajes SPAM.
• No ejecutar ningún archivo contenido en un mensaje de correo no solicitado o enviado.
• El Usuario no deberá utilizar o divulgar códigos, claves o contraseñas de acceso de otro usuario.
• Están expresa mente prohibidas las siguientes acciones:
  • Envío masivo de correos electrónicos personales no solicitados.
  • Propagación de cadenas de mensajes.
  • Publicación de anuncios personales sin autorización.
  • Trasmisión de material ilegal, de acoso, o difamatorio.
  • Promover ideales políticos, religiosos o sociales.
  • Trasmisión de virus
  • Trasmisión de material que no se requiera.

Incumplimiento de Políticas de Riesgo

• La organización hará responsable al usuario si incumple las políticas.
• FENALCO podrá evaluar periódicamente le cumplimiento de estas políticas
• Si el usuario no cumple con esta política será responsable de las sanciones legales.

Confidencialidad de la Información

• Los usuarios deben guardar reserva de todos los documentos e informaciones que lleguen durante el cargo.
• El trabajo remoto debe realizarse con conexión VPN.
• Los usuarios deben utilizar una conexión Wi-Fi privada y segura.
• Los usuarios no deben tener programas o extensiones de navegadores, ya que suelen traer malware que afectaría su dispositivo.
• No se podrá almacenar información en el computador de los usuarios, solo se puede almacenar en el Drive de Google.
• Todos los equipos deben tener un antivirus.
• El usuario debe impedir guardar de forma automática las credenciales.
• El equipo debe tener un Firewall.
• Siempre se deben descargar y aplicar las actualizaciones de seguridad.

El usuario debe hacer lo siguiente en caso de robos o pérdidas

• Debe conocer y cumplir con las políticas de seguridad de la información y de protección de datos personales en la organización.
• El usuario debe tomar las medidas necesarias en caso de robos o pérdidas, estas situaciones pueden poner en riesgo su información y la de la empresa.
• Evitar el uso de dispositivos personales para el trabajo.
• Prohibir a los miembros de la familia el uso de los dispositivos para fines personales durante la jornada de trabajo.
• Habilite la pantalla de bloqueo protegida con contraseña en sus dispositivos cada vez que se aleje.
• Evitar dejar los dispositivos al aire libre durante períodos prolongados.
• Los documentos físicos de la empresa deben guardarse en un lugar seguro al terminar la jornada.

Esté atento a los dispositivos domésticos digitales activados por voz mientras trabaja

• No enviar archivos con información de la organización y/o entidad por medios no oficiales.
• Siempre debe requerir una autenticación sólida.
• Rotación obligatoria de contraseñas cada 30 dias.
• Las contraseñas deben ser únicas, complejas y no deben compartirse.
• Siempre que sea posible, se integrará la autenticación multifactor.
• Se debe tener especial cuidado con los virus y las estafas de phishing y pharming, estos ataques se han vuelto cada vez más sofisticados.

Algunos consejos sobre cómo los usuarios pueden evitar problemas

• Correo electrónico
  • Ser escéptico sobre cada correo electrónico que llegue a la bandeja de entrada.
  • Tener cuidado con los remitentes de correo electrónico que utilizan nombres de dominio sospechosos o engañosos o líneas de asunto inusuales
  • Nunca abrir archivos adjuntos ni hacer clic en enlaces incrustados en correos electrónicos de remitentes que no reconoce.
• Sitios web falsos
  • No registrarse en cualquier sitio, ni instalar cualquier programa.
  • Prestar especial atención a los enlaces del sitio web para confirmar que está visitando el sitio correcto.
  • Habilitar la autenticación de múltiples factores para cada inicio de sesión.
  • No seguir los enlaces que se reciben en un correo electrónico.

Software antivirus

• Siempre se debe activar un software antivirus.
• Los usuarios no pueden deshabilitar el software antivirus
• La información en papel debe ser destruida correctamente
• Recuerde que, aunque se esté trabajando de forma remota, siempre debe garantizar la seguridad de los datos.

Roles y Responsabilidades para la Seguridad de la Información

• Es responsabilidad del área de Tl evaluar, actualizar, verificar y socializar las políticas de seguridad de la información.
• La Gerencia de Tl es responsable de implementar los controles tecnológicos definidos en pro de la seguridad de la información.
• El área de recursos humanos proporcionará los mecanismos.
• La Jefatura Jurídica propenderá porque en todos los contratos quede consignada la cláusula de confidencialidad.

Sensibilización Y Concienciación En Seguridad Para Colaboradores

• Esta política debe ser socializada de acuerdo con las actualizaciones que puedan llevarse a cabo.
• Todo el personal de la organización con acceso a los sistemas de información corporativos debe recibir formación relacionada con buenas prácticas en materia de seguridad de la información y ciberseguridad en el desempeño de sus funciones.

Este cuestionario evalúa el conocimiento sobre las políticas de seguridad de la información, incluyendo el manejo de escritorios limpios, contraseñas, dispositivos de almacenamiento y documentos. Comprender estas políticas es crucial para mantener la confidencialidad e integridad de los datos de la organización.