Source: http://docplayer.es/14558082-Politica-de-seguridad-informatica-secretaria-distrital-de-integracion-social.html
Timestamp: 2017-10-21 17:42:21+00:00

Document:
POLITICA DE SEGURIDAD INFORMÁTICA SECRETARIA DISTRITAL DE INTEGRACION SOCIAL - PDF
Download "POLITICA DE SEGURIDAD INFORMÁTICA SECRETARIA DISTRITAL DE INTEGRACION SOCIAL"
Esther Valenzuela Sánchez
1 POLITICA DE SEGURIDAD INFORMÁTICA SECRETARIA DISTRITAL DE INTEGRACION SOCIAL
2 1. OBJETIVO Definir, adoptar y legitimar los lineamentos, directrices, controles y políticas de seguridad informática para proteger y salvaguardar la autenticidad, integridad, disponibilidad y confidencialidad de la información institucional de la secretaria distrital de integración social, brindando a los usuarios la orientación en el buen uso de los sistemas y servicios informáticos que apoyan la misionalidad de la SDIS.
3 2. ALCANCE Generar una cultura de seguridad a través de la implementación de la presente Política de a fin de proteger la información institucional de daño, perdida, modificación accidental o intencional, describiendo el uso apropiado de los sistemas y servicios informáticos, así como de los activos de tecnologías de información y comunicaciones, dispuestos por la Secretaria Distrital de Integración Social, a los usuarios para el cumplimiento de sus labores contractuales.
4 3. REFERENCIA NORMATIVA Que según los estándares internacionales NTC/IEC ISO y NTC/IEC ISO 27002, debe existir una declaración formal por parte de la Secretaria Distrital de Integración Social en la definición, implementación, seguimiento, revisión, mantenimiento y mejora de los controles, lineamientos y directrices garantizando niveles apropiados de seguridad de la información que impidan su daño o destrucción accidental o intencional, y que es responsabilidad de los usuarios de la Secretaría cumplir con estos controles con el fin de evitar que la información institucional sea expuesta a daño, modificación, robo o sea revelada a terceros. Que El Comité de Seguridad de la Información CSI de la Secretaria Distrital de Integración Social, define e implementa las políticas, lineamientos, directrices y controles de seguridad informática necesarios para garantizar la protección de la información de la entidad, conforme a lo establecido en la resolución 1564 de 30de diciembre de Que se adopta lo establecido en la RESOLUCIÓN 305 DE 2008 por la cual se expiden políticas públicas para las entidades, organismos y órganos de control del Distrito Capital, en materia de Tecnologías de la Información y Comunicaciones respecto a la planeación, seguridad, democratización, calidad, racionalización del gasto, conectividad, infraestructura de Datos Espaciales y Software Libre. Que la SDIS establece controles informáticos conforme a lo dispuesto en la Ley 1273 del 5 de Enero de 2009, por medio de la cual se modifica el código penal, se crea un nuevo bien jurídico tutelado denominado "De la protección de la información y los datos" Y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones. Que se adoptan reglamentaciones estipuladas en los articulo 192, 194 y 195 de la LEY 599 DE 2000 y la ley 527 de 1999 Por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones. Que se adoptan lineamientos de acuerdo a la ley 603 de 2000 (julio 27) Derechos de autor: por la cual se modifica el artículo 47 de la ley 222 de 1995, como también al decreto 3942 del 25 de octubre de 2010, por el cual se reglamenta el ejercicio de la gestión colectiva e individual del derecho de autor y los derechos conexos. Que se adoptan los lineamientos establecidos en la resolución 1551 de 28 de Diciembre de 2007 Por la cual se deroga la resolución 2313 del 26 de Diciembre de 2000 y se reglamentan los Sistemas de Información de la
5 Secretaria Distrital de Integración Social, en cuanto a los roles y responsabilidades en el uso de los sistemas de información. 4. CONCEPTOS Serán aplicadas para la presente política de seguridad de la información, las siguientes definiciones: 4.1 INFORMACION INSTITUCIONAL: Corresponde a todo dato creado, procesado, adquirido, modificado, y/o almacenado utilizando o no los sistemas informáticos de la Secretaria Distrital de Integración Social y para la cual se adoptan directrices con el fin de garantizar su Integridad, Confidencialidad y Disponibilidad, integrando: Información Confidencial. Toda información institucional destinada al cumplimiento de los objetivos de la entidad de carácter reservada que debe ser conocida únicamente al interior de la entidad con la debida autorización y limitación de uso a terceros, o cuya restricción a terceros se encuentre reglamentada según sentencia de la corte T 729 de Información Pública: Hace referencia a la información institucional destinada al cumplimiento de los objetivos de la entidad, y además se constituye fuente de información y consulta de terceros. Cuando la información se haya obtenido sin hacer uso de un servicio o sistema informático de la entidad, y cuyo origen sea el producto o resultado de un contrato, convenio u otra figura contractual, será considerada como activo de información Institucional, siempre que se encuentre en cualquier formato digital accesible. 4.2 Activos de información institucional digital: Son bienes intangibles de la entidad que se pueden catalogar como la información digital contenida en los sistemas informáticos de gestión, necesaria para la operación misional y administrativa de la entidad. 4.3 Controles Informáticos: Son métodos y mecanismos técnicos o tecnológicos para reducir el riesgo frente a la posible materialización de incidentes y eventos de seguridad informática con el fin de mantener niveles apropiados de Integridad, Confidencialidad, Autenticidad y Disponibilidad de los datos contenidos en los sistemas informáticos. 4.4 Evento informático: Es la presencia identificada de un estado del sistema informático y/o servicio informático y/o de la infraestructura de comunicaciones, que indica un posible incumplimiento de la política de
6 seguridad y/o una falla de controles informáticos, o una situación desconocida que impacte la seguridad de la información digital. 4.5 Usuario del sistema: Funcionario, servidor público, contratista o tercero que hace uso autorizado de los recursos tecnológicos, sistemas y servicios informáticos de la entidad. 4.6 Rol: Definición que da alcance al uso de las funcionalidades de los servicios y/o sistemas informáticos o software aplicativo y de gestión a los usuarios de sistema. 4.7 Sistema Informático: Conjunto de partes que funcionan relacionándose entre sí con un objetivo preciso. Sus partes son: hardware, software y las personas que lo usan. 4.8 Servicio informático Es un sistema informático orientado a proveer acciones específicas asociadas al manejo automatizado de la información digital que satisfacen las necesidades de comunicación de los usuarios del sistema, dentro de estas están el acceso a Internet, Correo electrónico, Antivirus, Mesa de Ayuda, entre otras. 4.9 Delito Informático: Alterar, dañar, borrar o utilizar datos electrónicos para ejecutar un esquema de fraude, engaño, extorsión u obtención de dinero, propiedades o datos, utilizando servicios de computadora sin autorización, interrumpiéndolos, asistiendo a otros en el acceso no autorizado a sistemas de computo o introduciendo contaminantes en un 4.10 sistema informático o una red de comunicaciones SDIS: Secretaria Distrital de Integración Social DADE: Dirección de Análisis y Diseño Estratégico SII: Subdirección de Investigación e Información IT: Infraestructura Tecnológica TIC: Tecnologías de Información y Comunicaciones.
7 5. CAMPO DE APLICACIÓN 5.1 USO DE FUNCIONALIDAD. La Subsecretaria, Directores, Jefes de Oficina, Subdirectores técnicos y locales, establecerán la necesidad del uso de la funcionalidad de los servicios y/o sistemas informáticos de la SDIS, autorizando a los funcionarios, servidoras y servidores públicos, contratistas y terceros que según la naturaleza de sus funciones o competencias, requieran tener acceso a la Información institucional a través de los servicios y/o sistemas informáticos de la entidad, informando oportunamente a la Subdirección de Investigación e Información a través del documento institucional vigente Es obligación de todos los funcionarios, servidoras y servidores públicos, Contratistas y Terceros con acceso autorizado al uso de los servicios y/o sistemas informáticos, cumplir con todas las políticas y disposiciones de seguridad informática adoptadas por la entidad Los funcionarios, servidoras y servidores públicos, Contratistas y Terceros con acceso autorizado al uso de los servicios y/o sistemas informáticos, serán considerados usuarios de los sistemas de la secretaría, los cuales tiene la responsabilidad de actualizarse en temas relacionados con la Gestión de Seguridad de la Información adoptados y socializados a través de la gestión del Comité de Seguridad de la Información - CSI. 6. LINEAMIENTOS 6.1 ACCESO AUTORIZADO. La SII a través de documento institucional vigente, establecerá los niveles de protección de la Información institucional digital, de acuerdo a su clasificación, roles y responsabilidades asignados a los usuarios del sistema, permitiendo el acceso a los servicios y/o sistemas informáticos través de la asignación de un identificador y contraseña inicial, previa autorización formal del jefe de área. 6.2 PROTECCION DE LA INFORMACION DIGITAL. Las políticas, directrices, lineamientos y mecanismos de control informático para el aseguramiento de la información hacen referencia a la protección de la Información Institucional almacenada en forma electrónica o digital, y valorada como activo de información institucional digital. La protección de la información digital se instrumentará a través de los procesos y procedimientos del Sistema Integrado de Gestión - SIG diseñados para soportar y mantener las Tecnologías de Información y Comunicaciones - TIC y a las políticas, directrices, lineamientos y Planes
8 diseñados y aprobados por el Comité de Seguridad de la Información - CSI de la Entidad. Para salvaguardar la información institucional como activo de información institucional digital, el CSI gestionara y dispondrá los recursos informáticos necesarios para su clasificación, valoración, custodia y respaldo, a través de la subdirección de investigación e información. Los usuarios de los sistemas y servicios informáticos de la SDIS deben ser conocedores de los riesgos asociados al uso de las nuevas tecnologías de información y comunicaciones, y son responsables de garantizar la protección de este activo. 6.3 PROPIEDAD INTELECTUAL. La información creada, procesada o modificada haciendo uso de los sistemas y servicios informáticos proporcionados por la SDIS a los usuarios del sistema para el cumplimiento de sus labores contractuales, son y permanecen como propiedad de la Secretaria Distrital de Integración social, y no debe ser copiada, expuesta, sustraída o revelada a terceros salvo previa autorización escrita del Director de Análisis y Diseño Estratégico. 7. DESARROLLO DE APLICACIONES El personal que desempeña este perfil tiene la función de realizar el mantenimiento, actualización o creación de nuevos desarrollos a nivel de código fuente. Para ello, debe: a. Acceder directamente a las bases de datos o tablas necesarias bajo perfil de administrador. b. Tener privilegios de administrador sobre los ambientes de producción de los aplicativos. c. Aplicar los estándares de desarrollo acogidos por la SDIS incluida documentación y manuales correspondientes. d. Tener la posibilidad de instalar aplicaciones necesarias para los desarrollos, previo licenciamiento. e. Acceder a las páginas WEB relacionadas con el tema de desarrollo. f. Coordinar con la Unidad de Infraestructura Tecnológica la ubicación de los archivos de código fuente para garantizar la realización backups de acuerdo a las políticas establecidas. g. Disponer de un ambiente de pruebas.
9 8. CONFIGURACIÓN DE APLICACIONES El personal que desempeña este perfil tiene la función de realizar las configuraciones de fachada, preparación de insumos y administración de usuarios necesarios para el funcionamiento de los aplicativos. Para ello, debe: a. Tener privilegios de administrador sobre los ambientes de producción de los aplicativos. b. Realizar la administración de usuarios. c. Coordinar con el personal de desarrollo la gestión de los backups de aplicaciones y versionamiento de los desarrollos. d. Mantener y documentar la conceptualización de las aplicaciones y publicación de datos. e. Disponer de un ambiente de pruebas. 9. ADMINISTRADOR DE BASES DE DATOS El personal que desempeña este perfil tiene la función de realizar operaciones de manejo de datos y tablas sobre las bases de datos. Para ello, debe: a. Tener privilegios de administrador sobre los componentes de bases de datos. b. Tener privilegios de administrador sobre los ambientes de producción de los aplicativos. c. Acceder a las páginas WEB relacionadas con sus funciones. d. Garantizar la realización de backpus sobre las bases de datos administradas. e. Mantener y documentar la conceptualización de la base de datos. f. Mantener una bitácora de las operaciones realizadas sobre la bases de datos. g. Extraer los datos requeridos por el personal de soporte y mantenimiento. h. Realizar los cargues de fuentes externas. i. Recibir las bases de datos externas. j. Administrar usuarios y protocolos de seguridad sobre las bases de datos. 10. USO DE LA PLATAFORMA TECNOLOGICA 10.1 TIC. Todos los activos de infraestructura tecnológica y de comunicaciones en la Secretaria Distrital de Integración Social hacen parte del inventario de la entidad. Los usuarios del sistema son respónsales por el manejo que den a los activos que les sean asignados para el cumplimiento de su labor, procurando uso adecuado a fin de lograr y mantener la niveles adecuados de protección de los mismos. La Dirección de análisis y diseño a través de la Subdirección de investigación e información es responsable de la protección de los
10 activos de información y comunicaciones del centro de datos de la SDIS, asignando por medio de la unidad de infraestructura tecnológica la administración de los sistemas y servicios informáticos que soportan la operación tecnológica de la entidad de acuerdo con el documento institucional vigente USO DEL COMPUTADOR. La Secretaría Distrital de Integración Social a través de la SII hará la entrega oficial del equipo de cómputo en funcionamiento, con el respectivo software instalado, de acuerdo con la actividad del usuario. Si el usuario es trasladado del Área con sus elementos tecnológicos, es responsabilidad de éste avisar al Área de Infraestructura tecnológica para realizar dicho movimiento o para revisar los equipos y diligenciar el concepto técnico en caso de que el equipo sea asignado a otro usuario, con la debida autorización del jefe de área tanto en la asignación como en el evento de un traslado, de acuerdo al documento institucional vigente RESPONSABLES DEL SOPORTE Y MANTENIMIENTO DE LOS RECURSOS TECNOLÓGICOS QUE SOPORTAN LOS SISTEMAS DE INFORMACIÓN. El soporte y mantenimiento de los activos de TI que soportan los sistemas de información de la entidad, su funcionamiento, disponibilidad y actualización es responsabilidad de la SII El aseguramiento, guarda y custodia de la información misional y administrativa institucional almacenada en los sistemas informáticos es responsabilidad de la Subdirección de Investigación e Información Sólo el personal autorizado (por quien) puede llevar a cabo cualquier tipo de mantenimiento tanto del hardware como del software y de la configuración de acceso a la red, teniendo en cuenta las políticas establecidas La Secretaría Distrital de Integración Social no se hará responsable de mantenimiento, soporte o licenciamiento de los equipos o software que no hacen parte del Inventario oficial de la entidad, y que sean utilizados dentro de las instalaciones de la Secretaría La SDIS dispondrá los recursos tecnológicos y humanos necesarios para el soporte y acompañamiento en actividades y emergencias fuera de las instalaciones de la entidad que sean competencia de la secretaria El CSI debe gestionar los elementos necesarios para adelantar el plan de soporte y mantenimiento de los activos tecnológicos de la entidad USO DE CONTRASEÑAS. Es responsabilidad del área de Infraestructura Tecnológica de la Subdirección de Investigación e Información, efectuar la creación de Usuarios y la asignación de una contraseña que cumpla con niveles de seguridad previamente establecidos bajo el documento institucional vigente, con el fin de autorizar y garantizar el acceso de los usuarios a los sistemas
11 informáticos de acuerdo a perfiles, roles y responsabilidades previamente definidos El usuario del sistema debe ser consciente que la contraseña es de uso personal e intransferible y es responsable por el manejo adecuado que de a la misma, la cual no deberá ser revelada, divulgada o expuesta por ningún motivo, evitando exponer a los sistemas informáticos de abuso intencional o accidental, cualquier acción que sea llevada a cabo bajo esta circunstancia no exime al funcionario de la responsabilidad por algún tipo de daño, perdida, modificación, sustracción o eliminación de información sensible para la entidad Contraseñas de acceso a aplicaciones misionales y de apoyo. La asignación de contraseñas para el acceso y uso de las aplicaciones estará en cabeza de la Subdirección de Investigación e Información previa autorización formal del jefe de área. El usuario del sistema con acceso a estas aplicaciones es responsable por los cambios que se generen bajo su autenticación Las cuentas de usuario, funcionarios y contratistas, que se desvinculen de la entidad, o que se les terminen sus contratos de prestación de servicios, se desactivaran de inmediato Es responsabilidad de los Directores y Subdirectores de las diferentes dependencias informar oportunamente a la SII la creación, modificación y eliminación de las cuentas de usuarios USO DE LA RED DE DATOS La Secretaria Distrital de Integración Social es responsable de suministrar y administrar la infraestructura de Datos y Comunicaciones necesaria para el cumplimiento de su gestión, y podrá a través de La Subdirección de Investigación e Información realizar monitoreo y seguimiento de las comunicaciones electrónicas, hasta donde sea permitido por las disposiciones legales, procurando respetar la autonomía y privacidad del usuario El monitoreo, seguimiento y control efectuado sobre las comunicaciones, tiene como finalidad prevenir y detectar el uso no autorizado de la infraestructura de comunicaciones con propósitos que incumplan los lineamientos, directrices y políticas dispuestas por el CSI, y cualquier otro documento o disposición legal vigente El usuario autenticado en la red de datos de la SDIS, renuncia a los derechos de privacidad respecto al uso de la información Los usuarios de los equipos de computo de la Secretaria Distrital de Integración Social no deben por ningún motivo desarrollar, comprar, distribuir, instalar ó ejecutar software malicioso que afecte el normal funcionamiento y/o cause cualquier tipo de daño a los activos de infraestructura tecnológica Los usuarios de la red de datos no deberán intentar acceder a la configuración de los activos de IT, o intentar acceder a información
12 considerada confidencial que esta almacenada en bases de datos o cualquier otro medio digital En el evento en que un usuario requiera ingresar un equipo de computo ajeno a la entidad a la red de datos, debe solicitar a la SII las credenciales de acceso previo concepto técnico de la viabilidad sobre el activo tecnológico USO DE LA INFRAESTRUCTURA DE VOIP. Los usuarios de la plataforma de telefonía VoIP deben ser consientes que esta es una herramienta de apoyo al cumplimiento de la labores asignadas y no debe ser destinada a uso personal, comercial o de otra naturaleza ajena a la función de la entidad La Subdirección de Investigación e Información a través de la Unidad de Infraestructura Tecnológica realizara la configuración, asignación y/o reasignación de extensiones telefónicas previa autorización formal del jefe de área La Subdirección de Investigación e información podrá a discreción realizar monitoreo y seguimiento a las llamadas telefónicas con el fin de garantizar la calidad en la prestación del servicio USO DEL CORREO ELECTRÓNICO. La Subdirección de Investigación e Información adoptara medidas de control sobre el uso del correo electrónico institucional con base en el documento institucional vigente Los usuarios del correo electrónico no deberán distribuir material que se pueda de alguna manera considerar como ofensivos, difamatorios o que contenga material pornográfico, sexista, racista, político o comercial Los usuarios del correo deben tener especial cuidado al momento de descargar archivos adjuntos que puedan contener software malicioso que pueda afectar la plataforma tecnológica de la entidad Los usuarios del correo electrónico institucional son responsables por el contenido de los mensajes enviados desde su cuenta, así como del intercambio de los mismos La SII realizara la atención de requerimientos especiales como el envió de correos masivos, creación de carpetas personales o ampliación en el tamaño del buzón, por medio del documento institucional vigente, previa autorización formal de los jefes de área Es obligación del usuario que realiza el envío de correos masivos la plena identificación del remitente El aseguramiento, guarda y custodia de la información contenida en las carpetas personales es responsabilidad del usuario USO DE INTERNET: El comité de Seguridad de la Información y La Subdirección de Investigación e Información podrán a disposición regular y supervisar el uso de Internet bloqueando el acceso a sitios web que sean considerados inapropiados o que contengan contenidos
13 pornográficos, sexistas, racistas, difamatorios u ofensivos, a través de la implementación de los controles informáticos necesarios La SII garantizara la navegación en internet sin restricciones en los casos en que los usuarios lo requieran previa autorización formal del jefe de área, a través del procedimiento institucional vigente Los usuarios de Internet no deben descargar, copiar, poseer y distribuir material de Internet salvo autorización expresa de la Subdirección de Investigación e Información previa verificación de los derechos de autor y licenciamiento El acceso a redes sociales está permitido únicamente en los horarios establecidos por la Subdirección de Investigación e Información Los usuarios de Internet, deben abstenerse de descargar, copiar, distribuir, reproducir software que este protegido por derechos de propiedad intelectual INTRANET: Es responsabilidad de la Oficina Asesora de Comunicaciones ó el área determinada por la Comisión Distrital de Sistemas, la administración de la intranet, garantizando la revisión y aprobación del material publicado en este servicio informático. Los usuarios que requieran la publicación de información en la Intranet, deben hacer la solicitud a la Oficina Asesora Jurídica como parte del proceso de gestión de la comunicación, de acuerdo al documento institucional vigente. 11. DEL SEGUIMIENTO Y SANCIONES DISCIPLINARIAS 11.1 Facultase a la Subdirección de Investigación e Información - SII para hacer seguimiento, monitoreo y control sobre el uso de los sistemas informáticos por parte del talento humano de la entidad, y la aplicación de las políticas de seguridad de la información dispuestas en la presente política y demás disposiciones legales vigentes y reglamentarias sobre la materia La presente política de seguridad informática es de obligatorio cumplimiento por parte de todos los servidores, servidoras, contratistas y terceros que hagan uso de los sistemas y servicios informáticos de la Secretaria Distrital de Integración Social Todo usuario que incurra en delitos informáticos contemplados en la ley 1273 de 2009, será objeto de investigación técnica por parte de la Subdirección de Investigación e Información, quienes notificaran los resultados de la investigación a la oficina de asuntos disciplinarios para la posible apertura formal de la investigación disciplinaria, el cual podrá ser sancionado de acuerdo con las disposiciones legales vigentes.
14 El desarrollo de la investigación técnica, disciplinaria u otra a que haya lugar, no exime al contratista, servidor público o tercero, del cumplimiento de sus obligaciones o funciones Acción de no repudio. El contratista, servidor público o tercero que por descuido o que de alguna manera exponga, revele, divulgue o distribuya a terceros su contraseña, equipo, activos de infraestructura tecnológica o información confidencial bajo su responsabilidad, no estará exento de la responsabilidad de los eventos que bajo esta circunstancia se realicen en contra de la seguridad informática de la entidad. Es responsabilidad de la SII y la Oficina Asesora de Comunicaciones la oportuna socialización de la presente Política de Seguridad Informática. La presente Política de Seguridad Informática se aprobó en sesión del Comité de Seguridad de la Información CSI de la Secretaria Distrital de Integración Social, el día 23 de Mayo de 2012 en cumplimiento de la resolución 1564 de 30 de diciembre de 2010, y es ratificada por la Secretaria Distrital de Integración Social, en constancia firman,

References: resolución 
 RESOLUCIÓN 
 artículo 47
 resolución 
 resolución 
 resolución