Manual de politicas seguridad Informatica

MANUAL DE POLITICAS DE SEGURIDAD INFORMATICA

Incalpaca TPX S.A.

Tabla de Cotenido

1. Introducción
2. Alcance
3. Objetivos
4. Vigencia
5. Ambito de la aplicación
6. Politica de Seguridad

1. Políticade seguridad .
2. Aspectos organizativos de la seguridad de la información
3. Gestión de activos
4. Seguridad ligada a los recursos humanos
5. Seguridad física y ambiental
6. Gestión de comunicaci ones y operaciones
7. Control de acceso
8. Adquisición, desarrollo y mantenimiento de los sistemas de información .
9. Gestión de incidentes de seguridad de la información
10. Gestión de la continuidad del servicio
11. Cumplimiento
12. Gestión de la seguridad

1. Introducción

La información es un activo muy importante dentro de la empresa, la cual se utilza para ofrecer servicios a los usuarios. La seguridad de la información es el conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma, el presente Manual de Politicas de Seguridad de la Información busca el mantenimiento de la seguridad de todos los componentes que conforman los sistemas de información de la empresa Incalpaca TPX S.A.

En este documento se busca la seguridad desde un punto de vista general, y ademas de propia información, se tratan otros aspectos como el hardware, el software, las redes, los datos y el personal que manipula, desarrolla  o da soporte a los sistemasde información.

Dentro de una correcta Gestión de la Seguridad de la Información se busca conservar la confidencialidad, integridad, disponibilidad y autenticidad de la información por lo que se debe establecer y mantener programas, controles y políticas que permitan no perder ninguna de estas caracteristicas en nuestra gestión de información. Debe tenerse claro que la seguridad no es el algo fijo, sino mas bien es un proceso continuo.  Dentro de las administración de la seguridad hay que estar siempre al tanto las vulnerabilidades y las amenazas a la que esta expuesta la información, teniendo siempre en cuenta las causas de riesgo y la probabilidad de que ocurran, así como el impacto que puede tener. Una vez conocidos todos estos puntos, y nunca antes, deberán tomarse las medidas de seguridad oportunas.

1. Alcance

El Presente documento define las Políticas y procedimientos de seguridad que deberán cumplir de manera obligatoria todos los usuarios para un correcto uso  del equipo de cómputo, aplicaciones y servicios informáticos de la empresa.

1. Objetivos

1. Principal

Alcanzar la mayor seguridad posible en gestión de la información de la empresa.

1. Especificos

• Mantener a los usuarios informados sobre sus obligaciones respecto al seguridad de la información.
• Encontrar nuevas vulnerabilidades y obtener su solucion.

1. Vigencia

La entrada en vigencia del presente documento será desde el momento en que sean aprobadas por la Gerencia . Este manual de politicas de seguridad informatica deberá ser revisado y actualizado segun los cambios que pueda sufrir la empresa asi como tambien en el momento en el que haya alguna necesidad de realizar cambios sustanciales debido a nuevas vulnerabilidades o cambios en la infraestructura de los sistemas de información.

1. Ambito de la aplicación

La aplicación del presente documento es:

• Sistemas Informaticos de la empresa.
• Información afectada por los sistemas informaticos de la empresa, es decir toda la información que utilizan y crean los usuarios de sistemas informaticos.
• Los procedimientos referentes al uso de la información.
• Los usuarios de los sistemas informaticos, trabajadores internos,externos y clientes de la empresa.

1. Politica de Seguridad

Este documento ha sido desarrollado en base al estándar  ISO/IEC 27002:2005, el cual es una referencia internacional de buenas practicas para la seguridad de la información. Este marco tecnológico, organizativo y procedimental de seguridad se soportará en un conjunto de normas o medidas, estándares, procedimientos y herramientas de seguridad para la protección de activos de información. A continuación se exponen los diferentes dominios de seguridad que son cubiertos por la presente documento:

1. Política de seguridad

Este dominio proporciona las directrices generales de gestión y apoyo a la seguridad de la información en concordancia con los requerimientos del servicio de los sistemas.

La empresa es la encargada de establecer todas las directrices de la política de seguridad de la información en línea con los objetivos del servicio y demostrará su apoyo y su compromiso con la seguridad de la información. Lo que se busca en este dominio es poder cubrir todas las garantías necesarias para cumplir la seguridad de la información.

El area de información y sistemas, con la participación de la metodos y procesos, tiene la responsabilidad de elaborar el Manual de Seguridad de la informaci; formado por políticas, normativas, estándares y procedimientos, con la finalidad de definir un marco de aplicación de la seguridad en el ámbito de las aplicaciones informáticas. La presente Política de Seguridad establece las directrices generales de seguridad que se deben especificar en los subsiguientes componentes del Manual de Seguridad.

El area responsable de la elaboración del Manual de Seguridad de la información, asume responsabilidad de la creación, la revisión periódica, la adecuación y el alineamiento de su contenido con los planes estratégicos de la Empresa. Adicionalmente, el Manual de Seguridad debe actualizarse considerando los cambios producidos en el marco legal vigente, inclusión de resultados inclusión de resultados relevantes de auditorías o análisis de riesgos, sugerencias de mejora al Manual de Seguridad, etc

1. Aspectos organizativos de la seguridad de la información

Este dominio cubre dos aspectos importante de seguridad:

• La organización interna para la seguridad, en el cual la la dirección de la empresa debe estar en completo acuerdo con los puntos de seguridad para poder implementar responsabliidades, realizar los respectivos procesos y demas puntos que son sensibles y este al tanto de dichas implementaciones.
• El otro punto es el referente a terceros, este punto es realmente sensible, se debe tener en claro que se trabaja bastante con clientes y terceros, la información que se maneja debe ser confidencial y los riesgos de poner esta información debe ser contemplando al momento de dar acceso a terceros. Es responsabilidad del personal de la Administración entender los riesgos derivados del proceso de externalización y asegurar que existe una gestión eficaz de los mismos.

1. Gestión de activos

Este dominio proporciona una protección adecuada de los activos (incluyendo mantenimiento, inventario y clasificación),  por deeste dominio se busca identificar los propietarios de estos, asi como determinar su uso adecuado de estos. . También se debe realizar una clasificación de los mismos ya que hay que asegurar que la información recibe un nivel de protección apropiado.

Tambien es necesario tener un inventario de los activos de información en este caso las programas informaticos, asi como su codigo fuente, velando porque exista un responsable y custodio para cada uno de los mismos. Este inventario debe ser actualizado de forma regular.

...