Política de Seguridad de la Información

Código: PO-SI-01
Versión: 4.0
Clasificación: Uso Interno
Fecha vigencia: 20/12/2024
Estado: Aprobado

1- OBJETIVO

El objetivo de esta política es establecer un marco integral de gestión de la seguridad de la información para proteger la confidencialidad, integridad, disponibilidad y autenticidad de los activos de información de ZeroQ. Esto incluye la identificación, evaluación y mitigación de riesgos asociados, garantizando la continuidad del negocio, el cumplimiento normativo y contractual, así como la protección contra amenazas internas y externas, con un enfoque en la mejora continua y la alineación con los objetivos estratégicos de la compañía.

2- ALCANCE

Esta política aplica a todos los colaboradores de ZeroQ, incluyendo empleados permanentes, temporales, contratistas, proveedores, socios estratégicos y cualquier otra persona o entidad que tenga acceso a la información de ZeroQ, independientemente de su ubicación, área funcional o nivel jerárquico. También abarca todas las tecnologías, sistemas, procesos y activos de información gestionados o utilizados por la compañía, asegurando su protección en cualquier modalidad de acceso, ya sea presencial, remota o mediante servicios de terceros

3- ROLES, RESPONSABILIDADES Y AUTORIDADES

4- DESCRIPCIÓN DE LA POLÍTICA

4.1- Objetivos de la Política de Seguridad de la Información

La compañía establece los siguientes objetivos Seguridad de la Información y Ciberseguridad:

1. Gestión de la Seguridad de la Información: Establecer un marco integral para la gestión de la seguridad de la información (SGSI) en ZeroQ, que garantice la protección, confidencialidad, integridad, disponibilidad y autenticidad de la información, alineándose con los objetivos estratégicos de la compañía y las mejores prácticas de la norma ISO27001:2022.
2. Gestión de Riesgos de Seguridad de la Información: Implementar un proceso efectivo para identificar, analizar, evaluar y mitigar los riesgos y oportunidades asociados a la seguridad de la información, asegurando su tratamiento oportuno y su revisión continua conforme a un marco basado en ISO 31000.
3. Concienciación y Cultura de Seguridad: Fortalecer la cultura de seguridad de la información mediante programas continuos de capacitación, concienciación y evaluación del personal en prácticas seguras, fomentando el compromiso y la participación activa de todos los colaboradores.
4. Mejora Continua del SGSI: Establecer y mantener un enfoque de mejora continua que permita revisar, actualizar y optimizar los controles, procesos y procedimientos de seguridad de la información en respuesta a cambios internos, externos o tecnológicos.
5. Requerimientos Legales y Contractuales: Asegurar el cumplimiento de requisitos legales, regulatorios y contractuales aplicables, garantizando que las operaciones de la compañía y sean consistentes con las normativas ISO 27001, ISO 27002 y cualquier regulación específica aplicable del sector.
6. Indicadores y Medición del Desempeño: Desarrollar y monitorear indicadores clave de desempeño (KPIs) para evaluar objetivamente la madurez del SGSI y la efectividad de los controles implementados, permitiendo ajustes proactivos.
7. Gestión de Controles de Seguridad: Implementar y fortalecer controles específicos para garantizar la confidencialidad, integridad y disponibilidad de los activos de información críticos de la compañía, implementando acciones correctivas y preventivas según sea necesario.
8. Gestión de la Seguridad de la Información en la Continuidad del Negocio: Asegurar la disponibilidad y resiliencia de sistemas críticos y datos mediante planes robustos de continuidad del negocio y recuperación ante desastres, probados periódicamente.
9. Gestión de Incidentes de Seguridad: Establecer procedimientos estructurados para la detección, reporte, análisis, respuesta, documentación y aprendizaje continuo de incidentes de seguridad, minimizando su impacto en las operaciones y asegurando una recuperación eficiente.
10. Salvaguarda de la Reputación Corporativa: Proteger la confianza de los clientes, socios y partes interesadas mediante la implementación de controles efectivos que prevengan incidentes de seguridad y refuercen la reputación de la compañía.
11. Seguridad en la Nube y Privacidad de Datos: Implementar controles de seguridad específicos para servicios en la nube y garantizar la privacidad de los datos, conforme alas normativas ISO 27017 y ISO 27018, alineados con los requisitos de protección de datos personales.
12. Excepciones y Desviaciones: Definir, documentar y comunicar procedimientos claros para manejar excepciones a las políticas de seguridad, garantizando su aprobación y registro, y evaluando su impacto en la seguridad de la compañía.
13. Clasificación y Manejo de Activos de Información: Establecer políticas y procedimientos para clasificar, proteger y gestionar los activos de información según su criticidad, sensibilidad y valor para la organización, garantizando controles adecuados de acceso y custodia.
14. Protección del Ciclo de Vida del Desarrollo de Software: Asegurar que los aspectos de seguridad sean integrados en todas las etapas del ciclo de vida del desarrollo de software, desde la planificación y diseño hasta la implementación, pruebas y mantenimiento.
15. Monitoreo y Respuesta a Amenazas: Desarrollar capacidades de monitoreo continuo para detectar, analizar y responder proactivamente a amenazas y vulnerabilidades entiempo real, minimizando riesgos potenciales.
16. Control de Acceso: Establecer políticas, procedimientos e instructivos que refuercen los procesos contenidos en el sistema de seguridad de la información, para que la información cumpla con los niveles de acceso, autorización y responsabilidad correspondientes para su utilización, divulgación, administración, seguimiento y custodia.

4.2- Lineamientos de la Política de Seguridad

○ Se debe implementar un sistema de gestión de seguridad de la información (SGSI) para proteger los activos más críticos de la compañía, minimizando los riesgos y aplicando controles a todos los procesos de TI de la compañía.
○ Se debe Implementar una estructura de gobierno de Seguridad de la Información con roles y responsabilidades específicas, para la aplicación de las políticas, procesos de gestión, controles, reporte de riesgos, evaluaciones de cumplimiento e inteligencia de seguridad.
○ Se deben Implementar las medidas de seguridad necesarias para proteger la confidencialidad, la integridad y la disponibilidad de la información en función de su criticidad y los riesgos existentes.
○ Se deben establecer controles de acceso y autenticación teniendo en cuenta el criterio de menor privilegio para proteger los activos de información críticos, como contraseñas y autenticación de dos factores, para garantizar que sólo las personas autorizadas tengan acceso a la información.
○ Se deben realizar pruebas periódicas de seguridad de la información para identificar posibles vulnerabilidades y riesgos.
○ Se debe implementar un programa de capacitación y concientización para todos los colaboradores de la compañía sobre los riesgos de seguridad de la información y las medidas de seguridad establecidas.
○ Se debe garantizar y mantener la protección de todos los activos de la Compañía. Para ello, deberá elaborarse y mantenerse un inventario completo de los mismos, clasificándolos de acuerdo a su criticidad y sensibilidad.
○ Se deben analizar, evaluar y priorizar los riesgos de seguridad y ciberseguridad, implementando controles específicos para minimizar su impacto en el negocio.
○ Se debe garantizar que todos los sistemas de información de ZeroQ sean monitoreados de forma activa para identificar y mitigar amenazas potenciales al entorno de la información.
○ Se deben aplicar mecanismos de cifrado para asegurar la confidencialidad, integridad, autenticidad y él no repudio de la información sensible almacenada, procesada y en tránsito.
○ Se debe implementar un proceso formal para gestionar los incidentes de seguridad que se producen en la compañía; estos deben incluir, análisis causa raíz, investigación, comunicación, registro, respuesta, resolución, validación de la solución, documentación de lecciones aprendidas y generar todas las evidencias correspondientes de todo el proceso.
○ Se debe llevar a cabo la prevención, detección y erradicación de software malicioso que afecten a los sistemas de información que almacenan o transmiten información de ZeroQ.
○ Se deberá proporcionar mecanismos de eliminación de datos seguros en todos los ambientes definidos en la compañía.
○ Se debe verificar que los proveedores que procesen y almacenen información de la compañía se encuentren alineados con las políticas y mejores prácticas de seguridad.
○ Se deben asegurar durante todo el ciclo de vida de desarrollo de software aspectos relativos a la seguridad de acuerdo con las mejores prácticas de seguridad de la información.
○ Se debe mantener una clara separación de los ambientes de Desarrollo, Prueba y Producción.
○ Se debe implementar un proceso de gestión de vulnerabilidades y parches tanto internas como externas que incluya el descubrimiento de la vulnerabilidad, análisis de riesgos, medidas de mitigación como también una infraestructura que permita un adecuado y continuo monitoreo, seguimiento y mejora.

4.3- Sanciones e Incumplimiento

El incumplimiento de las definiciones establecidas en esta Política, así como de las políticas y normas vinculadas a la seguridad de la Información de ZeroQ, conlleva las sanciones disciplinarias correspondientes, las cuales serán determinadas de acuerdo con la Política de Recursos Humanos y el Marco Normativo de Seguridad de la Información vigente.

4.4- Difusión de la Política de Seguridad de la Información

La Política de Seguridad de la Información de ZEROQ se difundirá a los colaboradores a través de correo electrónico y estará disponible en la herramienta interna de gestión de recursos humanos, donde se requerirá la firma y aceptación de la misma. Esta política será revisada y difundida encaso de cualquier cambio, al menos una vez al año. Para garantizar su acceso, el texto completo y actualizado estará disponible en la página web de la empresa comercial.zeroq.cl.

4.5- Vigencia, Revisión y Retención

La Política de Seguridad de la Información y todo su contenido tendrán vigencia a contar de su fecha de aprobación y puesta en marcha, y tendrá duración indefinida en tanto la Gerencia General de ZEROQ no adopte otra resolución al respecto.

La presente política será evaluada y revisada, al menos una vez al año, cuando el oficial de Seguridad de la Información o el Comité de Ciberseguridad y Riesgos lo requiera, para asegurar su continuidad e idoneidad, considerando cambios externos o internos que puedan afectarla.

5- REFERENCIAS

5.1- Normativa relacionada

5.2- Definiciones

6- HISTORIAL DE VERSIONES

Este documento es  propiedad exclusiva de ZEROQ © y su reproducción total o parcial está totalmente prohibida. El uso, copia, reproducción o venta de esta publicación, sólo podrá realizarse con autorización expresa y por escrito del propietario de la publicación. La versión impresa de este documento pierde automáticamente su vigencia.