Gestión De La Informacion

1. OBJETIVO

El Objetivo de este Manual de Gestión de la Seguridad de Información es ayudar a organizar la documentación existente así como definir objetivos que enrumbarán al Sistema de Gestión de Seguridad de la Información en la organización.

2. ALCANCE

El presente documento normativo es de aplicación obligatoria en todas las unidades organizativas y puestos de SERVITEBCA.

3. NORMAS RELACIONADAS

 STB - MOF - GEN – 001 Manual de Organización y Funciones. V.2.

 Resolución SBS N° 037-2008 del 10 de enero del 2008, mediante el cual la Superintendencia de Banca, Seguros y AFP´s (en Adelante SBS), aprobó el Reglamento de Gestión Integral de Riesgos, que establece que las Empresas del sistema Financiero deben contar con una gestión integral de riesgos adecuada a su tamaño y ala complejidad de sus operaciones y servicios.

 Resolución SBS N° 2116-2009 del 02 de abril del 2009, mediante el cual la SBS aprobó el Reglamento para la Gestión de Riesgo Operacional; norma que sustituye a la Resolución SBS N° 006-2002 y sus modificatorias; alineándose a las disposiciones del Reglamento de Gestión integral de Riesgos.

 Circular SBS N° G-139-2009 del 02 de abril del 2009 en el cual se establecen los criterios mínimos para una adecuada Gestión de Continuidad del Negocio; de las Empresas del Sistema Financiero.

 Circular SBS N° G-140-2009 del 02 de abril del 2009 en el cual se establecen los criterios mínimos para una adecuada Gestión de Seguridad de Información; de las Empresas del Sistema Financiero.

 Circular SBS N° 3281-2010 del 16 de abril del 2010, modifica el literal e) del artículo 2° y el primer párrafo del artículo 20° del Reglamento de Gestión Integral de Riesgos.

 Circular SBS N° G-167-2012 del 05 de noviembre del 2012, modifica el literal d) del artículo 2º de la Circular de Gestión de la Seguridad de la Información, con la finalidad de adecuarlo al Reglamento para la Gestión de Riesgo Operacional, aprobado mediante Resolución SBS Nº 2116-2009 y agrega el artículo 7.Aº sobre subcontratación significativa de procesamiento de datos en el exterior, con la finalidad de actualizar la Circular de Gestión de la Seguridad de la Información al último estándar de auditoría.

4. DEFINICIÓN DE TÉRMINOS

ACTIVO DE INFORMACIÓN

Cualquier medio o sistema que almacene, o procede información que posea valor para la organización.

AMENAZA

Causa potencial de un incidente no deseado, el cual puede causar el daño a la organización o parte de ella.

CONFIDENCIALIDAD

Característica por la que la información se encuentra disponible exclusivamente a aquellos que se encuentren autorizados; y no disponible a individuos, entidades, o procesos no autorizados

CONTROL

Políticas, procedimientos, prácticas y estructuras organizativas concebidas para regular el nivel de los riesgos de Seguridad de la Información.

DESASTRE

Cualquier evento accidental, natural o malintencionado que interrumpe las operaciones o servicios habituales de una organización durante el tiempo suficiente como para verse la misma afectada de manera significativa.

DISPONIBILIDAD

Acceso a la información y los sistemas de tratamiento de la misma por parte de los usuarios autorizados cuando lo requieran. Característica o propiedad de permanecer accesible y disponible para su uso cuando lo requiera una entidad autorizada.

EVALUACIÓN DE RIESGOS

Proceso mediante el cual se determina las prioridades de atención de riesgos, comparando el nivel de riesgo respecto de estándares predeterminados, niveles de riesgo-objetivo u otro criterio.

EVALUACIÓN DE RIESGOS CUALITATIVO

Evaluación de riesgos en el que se usa una escala de puntuaciones para situar la gravedad del impacto.

EVALUACIÓN DE RIESGOS CUANTITATIVO

Evaluación de riesgos en función de las pérdidas financieras que causaría el impacto.

EVENTO

Un suceso o serie de sucesos que pueden ser internos o externos a la empresa, originados por una misma causa, que ocurren durante el mismo periodo de tiempo.

EVIDENCIA OBJETIVA

Información, registro o declaración de hechos, cualitativa o cuantitativa, verificable y basada en observación, medida o test, sobre aspectos relacionados con la confidencialidad, integridad o disponibilidad de un proceso o servicio o con la existencia e implementación de un elemento del sistema de Seguridad de la Información.

GESTIÓN DE RIESGOS

Proceso de identificación, control y minimización o eliminación, a un costo aceptable, de los riesgos que afecten a la información de la organización. Incluye la valoración de riesgos y el tratamiento de riesgos. Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo.

IMPACTO

Consecuencia o consecuencias de un evento, expresado en términos cuantitativos.

INCIDENTE

Evento único o serie de eventos de Seguridad de la Información inesperados o no deseados que poseen una probabilidad significativa de comprometer las operaciones del negocio y amenazar la Seguridad de la Información.

INFRAESTRUCTURA TECNOLÓGICA

Conjunto de elementos de hardware (servidores, puestos de trabajo, redes, enlaces de telecomunicaciones, entre otros), software (sistemas operativos, bases de datos, lenguajes de programación, herramientas de administración, entre otros) y servicios (soporte técnico, seguros, comunicaciones, entre otros); que en conjunto dan soporte a las aplicaciones (sistemas informáticos) de una empresa.

INTEGRIDAD

Exactitud y completitud de la información. Característica de la información de salvaguardar la exactitud y completitud de los activos.

INFORMACIÓN

...