.png){kind=logo}
INTRODUCCIÓN
La información corresponde a un activo, el cual se expone a riesgos y amenazas dinámicos, que pueden provenir desde dentro o fuera de la organización, y pueden ser intencionales o accidentales. Su ocurrencia puede provocar pérdidas materiales y económicas, daños en la imagen institucional y en la confianza de los clientes, infracciones legales, incumplimiento regulatorio, vulneración de derechos de colaboradores o de terceros. Dado lo anterior, es importante proteger adecuadamente los activos de información de la organización.
Por ello, para PALLAVICINI CONSULTORES, la Seguridad de la Información es un proceso continuo destinado a proteger sus activos de información contra las amenazas que pongan en riesgo su integridad, disponibilidad o confidencialidad.
Toda información de la PALLAVICINI CONSULTORES, independiente de la forma en que se documente (soporte), debe ser protegida adecuadamente a través de la implementación de un conjunto de controles, que se definen en políticas, normas y procedimientos de Seguridad de la Información.
En vista de lo anterior, el Directorio de PALLAVICINI CONSULTORES apoya los objetivos estratégicos de Seguridad de la Información y vela para que se encuentren alineados con las estrategias y los objetivos del negocio.
En cuanto a las políticas de Seguridad de la Información de PALLAVICINI CONSULTORES, estarán basadas en la norma ISO 27002 vigente, correspondiendo el presente documento al punto 5 de dicha norma: “Políticas de Seguridad de la Información”.
DEFINICIONES
PALLAVICINI CONSULTORES
Se refiere exclusivamente a SOCIEDAD (incluye o no FILIALES).
Colaborador
Toda persona que tenga un vínculo contractual de trabajo con , sea éste indefinido, a plazo fijo o a honorarios.
Activo de Información
Aquello que tenga valor y es importante para PALLAVICINI CONSULTORES, sean documentos, sistemas o personas. Son todos aquellos elementos relevantes en la producción, emisión, almacenamiento, comunicación, visualización y recuperación de información de valor para la institución. Se distinguen tres niveles:
La Información propiamente tal, en sus múltiples formatos (papel, digital, texto, imagen, audio, video, etc.)
Los Equipos/Sistemas/Infraestructura que soportan esta información
Las Personas que utilizan la información, y que tienen el conocimiento de los procesos institucionales
Política
Directriz u orientación general expresada formalmente por la Administración de PALLAVICINI CONSULTORES
Norma
Disposición de carácter general que se desprende de las políticas de Seguridad de la información, estableciendo obligaciones, restricciones, prohibiciones u otras conductas esperadas.
Procedimiento
Sucesión cronológica de acciones concatenadas entre sí, para la realización de una actividad o tarea específica dentro del ámbito de los controles de Seguridad de la Información.
Riesgo
Es la posibilidad que ocurra un evento que afecte adversamente el logro de los objetivos de Se mide combinando las consecuencias del evento (impacto) y su probabilidad de ocurrencia.
Amenaza
Causa potencial de un incidente no deseado, que puede dar lugar a daños a un sistema o proceso.
Vulnerabilidad
Debilidad de un activo o grupo de activos que puede ser materializada por una o más amenazas.
Evento de Seguridad de la Información
Actividad o serie de actividades sospechosas que amerita ser analizada desde la perspectiva de la Seguridad de la Información.
Incidente de Seguridad de la Información
Evento o serie de eventos de Seguridad de la Información, no deseados o inesperados, que compromete la Seguridad de la Información y amenaza la operación del negocio.
Confidencialidad
Propiedad de la información que determina que sólo podrá ser accedida por personas, entidades o procesos debidamente autorizados.
Integridad
Propiedad de la información según la cual sólo puede ser modificada, agregada o eliminada por las personas o sistemas autorizados para cada proceso, de tal forma de salvaguardar la exactitud y completitud de los activos de información.
Disponibilidad
Propiedad de la información según la cual es accesible y utilizable oportunamente por las personas o sistemas o procesos autorizados, en el formato requerido para su procesamiento.
POLÍTICAS
Deber del Colaborador
Todo colaborador de PALLAVICINI CONSULTORES tiene el deber de contribuir permanentemente a la Seguridad de la Información, de manera proactiva, respetando y cumpliendo las políticas, normas, procedimientos de Seguridad de la Información, y debe preocuparse de conocer y comprender el contenido de todas ellas.
Aplicación a Terceros
Las políticas de Seguridad de la Información se darán a conocer y se exigirán a terceros con quienes PALLAVICINI CONSULTORES se relacione, tales como clientes o proveedores que realicen trabajos para la compañía, incorporándose las cláusulas pertinentes en los contratos respectivos.
Políticas de Seguridad de la Información
Se establecen y se consideran como parte de este marco normativo de Seguridad de la Información, Políticas Específicas de Seguridad de la Información de PALLAVICINI CONSULTORES, de acuerdo a los dominios definidos en la norma ISO 27002, a saber:
Políticas de Seguridad de la Información
Organización de la Seguridad de la Información
Seguridad de Recursos Humanos
Administración de Activos
Control de Acceso
Criptografía
Seguridad Física y Ambiental
Seguridad de las Operaciones
Seguridad en las Comunicaciones
Adquisición, Desarrollo y Mantenimiento de Sistemas
Relaciones con los Proveedores
Administración de Incidentes de Seguridad de la Información
Aspectos de Seguridad de la Información en Continuidad del Negocio
Cumplimiento
Estructura del Marco Normativo de Seguridad de la Información
La documentación de Seguridad de la Información de PALLAVICINI CONSULTORES está dividida en:
Políticas
Normas
Procedimientos
Categorías de Políticas
Las políticas de Seguridad de la Información están agrupadas en tres temas:
a) Políticas Referidas a los Activos de Información y Exigencias Técnicas
PALLAVICINI CONSULTORES, con el objeto de definir los criterios aplicables a los activos de información y las exigencias técnicas de seguridad adecuadas para la PALLAVICINI CONSULTORES, cuenta con políticas sobre: gestión de activos, seguridad física y ambiental, criptografía, gestión de comunicaciones y operaciones, control de acceso, sobre adquisición, desarrollo y mantención de sistemas de información, sobre gestión de incidentes y sobre administración de proveedores.
b) Políticas Referidas a la Gestión de Personas
PALLAVICINI CONSULTORES, con el objeto de favorecer un uso adecuado de la información y de los sistemas que la apoyan, cuenta con políticas de Seguridad de la Información vinculadas a la Gestión de Personas. Dichas políticas, en la medida que se refieran a obligaciones o prohibiciones que afecten a los colaboradores de PALLAVICINI CONSULTORES, deberán encontrarse alineadas, entre otras, con las normas laborales vigentes; en especial, con los Contratos de Trabajo, el Reglamento Interno de Orden, Higiene y Seguridad, el Código de Ética, la Política de Prevención de Delitos y el Manual para el Manejo de Información, entre otros.
c) Políticas Referidas al Cumplimiento
PALLAVICINI CONSULTORES cuenta con políticas de Seguridad de la Información asociadas al cumplimiento de disposiciones legales, regulatorias o contractuales. A partir de dichas políticas, se deberán implementar medidas de control que consideren el riesgo legal por incumplimiento, no sólo correctivamente, sino principalmente de forma preventiva.
Estructura Organizacional de Seguridad
PALLAVICINI CONSULTORES, con el objeto de asignar los roles y funciones necesarios para la gestión de la Seguridad de la Información, cuenta con políticas y normas de tipo organizacional, fundamentales para garantizar una adecuada gestión de Seguridad de la Información al interior de PALLAVICINI CONSULTORES, concretándose principalmente en el Comité de Tecnología y Seguridad de la Información y en el rol de Oficial de Tecnología de la Información.
Aprobación y Difusión de las Políticas
Las políticas específicas de PALLAVICINI CONSULTORES, así como cualquier modificación a las mismas, deberán ser aprobadas por los estamentos pertinentes, definidos en los acuerdos del Comité de Tecnología y Seguridad de la Información.
Todas las políticas de Seguridad de la Información deberán ser comunicadas a los colaboradores de PALLAVICINI CONSULTORES de manera pertinente, accesible y comprensible, dejándose constancia de ello.
Sanciones
El incumplimiento de las políticas de dará derecho a ésta a ejercer las acciones civiles, penales y administrativas que correspondan, y de ser ello procedente, a proceder a la terminación de los contratos respectivos.
Vigencia
Las políticas de Seguridad de la Información y todo su contenido tendrán vigencia a contar de su fecha de aprobación y puesta en marcha.
Revisión
La política de Seguridad de la Información será revisada por lo menos una vez al año.