Política de Seguridad de la Información

Código: PO-SI-01
Versión: 3.1
Clasificación: Uso Interno
Fecha vigencia: 18/04/2024
Estado: Aprobado

1- OBJETIVO

El objetivo de esta política es establecer objetivos y lineamientos claros y precisos para garantizar la continuidad, integridad, confidencialidad y disponibilidad de los activos de información que maneja la compañía, con el fin de protegerlos contra posibles amenazas y riesgos de seguridad de la información.

2- ALCANCE

Esta política se aplica a todos los colaboradores de ZeroQ, incluyendo a empleados internos y externos, independientemente del área y el nivel de sus funciones. Asimismo, se extiende a cualquier persona externa que preste servicios a la compañía y que tenga acceso a la información de la misma, ya sea de manera temporal o permanente.

3- ROLES, RESPONSABILIDADES Y AUTORIDADES

4- DESCRIPCIÓN DE LA POLÍTICA

4.1- Objetivos de la Política de Seguridad de la Información

La compañía establece los siguientes objetivos Seguridad de la Información y Ciberseguridad:

1- Definir el marco global para la gestión de la Seguridad de la Información en ZEROQ, estableciendo los lineamientos, para la protección y preservación de la confidencialidad, integridad y disponibilidad de la información de ZeroQ y de sus clientes en forma consistente con las estrategias de la compañía.
2- Minimizar los riesgos de seguridad de la información a través de la gestión de riesgos del SGSI, identificando, evaluando y mitigando los riesgos de manera efectiva.
3- Fortalecer la cultura de seguridad de la información mediante la implementación de un plan integral de concientización para todos los colaboradores, promoviendo la participación activa y el compromiso con las prácticas seguras.
4- Acompañar los cambios estratégicos mediante la mejora continua de los procesos de gestión de seguridad de la información, asegurando su alineación con los objetivos y la estrategia de la compañía.
5- Cumplir con los requerimientos legales y contractuales asociados a la seguridad de la información en los distintos ámbitos de operación de la organización, garantizando el cumplimiento normativo y contractual.
6- Implementar un proceso de mejora continua de la seguridad de la información, evaluando regularmente la efectividad de los controles y procedimientos, e implementando acciones correctivas y preventivas según sea necesario.
7- Desarrollar indicadores de gestión del SGSI para medir y optimizar su madurez, permitiendo una evaluación objetiva del desempeño y la efectividad de las medidas de seguridad implementadas.
8- Implementar y fortalecer los controles para la protección de los activos de información, asegurando la confidencialidad, integridad y disponibilidad de la información en todo momento.
9- Garantizar la disponibilidad de sistemas críticos y datos en situaciones de desastre o interrupciones, participando activamente en la planificación y ejecución de la continuidad del negocio.
10- Establecer procedimientos sólidos para la detección, notificación y respuesta a incidentes de seguridad, minimizando el impacto en el negocio y asegurando una recuperación eficiente.
11- Salvaguardar la reputación de la empresa al prevenir incidentes de seguridad, protegiendo la confianza de los clientes y partes interesadas a través de la implementación efectiva de controles y medidas de seguridad.
12- Asegurar la privacidad y protección de la información basándonos en las normas ISO 27001 seguridad de la información, ISO 27017 controles de seguridad para servicios Cloud y ISO 27018 privacidad en la nube. 
13- Establecer políticas, procedimientos e instructivos que refuercen los procesos contenidos en el sistema de seguridad de la información, para que la información cumpla con los niveles de acceso, autorización y responsabilidad correspondientes para su utilización, divulgación, administración, seguimiento y custodia.
14- Asegurar que los procedimientos para el manejo de excepciones a la política de seguridad de la información estén claramente definidos, documentados y comunicados a todo el personal relevante, garantizando que cualquier desviación de la política sea evaluada, autorizada y registrada adecuadamente para mitigar los riesgos asociados y mantener la integridad y coherencia del sistema de seguridad de la información

4.2- Lineamientos de la Política de Seguridad

- Se debe implementar un sistema de gestión de seguridad de la información (SGSI) para proteger los activos más críticos de la compañía, minimizando los riesgos y aplicando controles a todos los procesos de TI de la compañía.
- Se debe Implementar una estructura de gobierno de Seguridad de la Información con roles y responsabilidades específicas, para la aplicación de las políticas, procesos de gestión, controles, reporte de riesgos, evaluaciones de cumplimiento e inteligencia de seguridad.
- Se deben Implementar las medidas de seguridad necesarias para proteger la confidencialidad, la integridad y la disponibilidad de la información en función de su criticidad y los riesgos existentes.
- Se deben establecer controles de acceso y autenticación teniendo en cuenta el criterio de menor privilegio para proteger los activos de información críticos, como contraseñas y autenticación de dos factores, para garantizar que sólo las personas autorizadas tengan acceso a la información.
- Se deben realizar pruebas periódicas de seguridad de la información para identificar posibles vulnerabilidades y riesgos.
- Se debe implementar un programa de capacitación y concientización para todos los colaboradores de la compañía sobre los riesgos de seguridad de la información y las medidas de seguridad establecidas.
- Se debe garantizar y mantener la protección de todos los activos de la Compañía. Para ello, deberá elaborarse y mantenerse un inventario completo de los mismos, clasificándolos de acuerdo a su criticidad y sensibilidad.
- Se deben analizar y evaluar los riesgos de Seguridad de la Información y Ciberseguridad, identificándolos, cuantificándolos y priorizándolos de acuerdo con el impacto que puedan generar directa o indirectamente en el negocio. Se debe garantizar que todos los sistemas de información de ZeroQ sean monitoreados de forma activa para identificar y mitigar amenazas potenciales al entorno de la información. Se deben aplicar mecanismos de cifrado para asegurar la confidencialidad, integridad, autenticidad y él no repudio de la información sensible almacenada, procesada y en tránsito.
- Se debe implementar un proceso formal para gestionar los incidentes de seguridad que se producen en la compañía; estos deben incluir, análisis causa raíz, investigación comunicación, registro, respuesta, resolución, validación de la solución, documentación de lecciones aprendidas y generar todas las evidencias correspondientes de todo el proceso.
- Se debe llevar a cabo la prevención, detección y erradicación de software malicioso que afecten a los sistemas de información que almacenan o transmiten información de ZeroQ.
- Se deberá proporcionar mecanismos de eliminación de datos seguros en todos los ambientes definidos en la compañía. Se debe verificar que los proveedores que procesen y almacenen información de la compañía se encuentren alineados con las políticas y mejores prácticas de seguridad.
- Se deben asegurar durante todo el ciclo de vida de desarrollo de software aspectos relativos a la seguridad de acuerdo con las mejores prácticas de seguridad de la información.
- Se debe mantener una clara separación de los ambientes de Desarrollo, Prueba y Producción.
- Se debe implementar un proceso de gestión de vulnerabilidades y parches tanto internas como externas que incluya el descubrimiento de la vulnerabilidad, análisis de riesgos, medidas de mitigación como también una infraestructura que permita un adecuado y continuo monitoreo, seguimiento y mejora.

4.3- Sanciones e Incumplimiento

El incumplimiento de las definiciones establecidas en esta Política, así como de las políticas y normas vinculadas a la seguridad de la Información de ZeroQ, conlleva las sanciones disciplinarias correspondientes, las cuales serán determinadas de acuerdo con la Política de Recursos Humanos y el Marco Normativo de Seguridad de la Información vigente.

4.4- Difusión de la Política de Seguridad de la Información

La Política de Seguridad de la Información de ZEROQ se difundirá a los colaboradores a través de correo electrónico y estará disponible en la herramienta interna de gestión de recursos humanos, donde se requerirá la firma y aceptación de la misma. Esta política será revisada y difundida en caso de cualquier cambio, al menos una vez al año. Para garantizar su acceso, el texto completo y actualizado estará disponible en la página web de la empresa comercial.zeroq.cl.

4.5- Vigencia, Revisión y Retención

La Política de Seguridad de la Información y todo su contenido tendrán vigencia a contar de su fecha de aprobación y puesta en marcha, y tendrá duración indefinida en tanto la Gerencia General de ZEROQ no adopte otra resolución al respecto.La presente política será evaluada y revisada, al menos una vez al año, cuando el oficial de Seguridad de la Información o el Comité de Ciberseguridad y Riesgos lo requiera, para asegurar su continuidad e idoneidad, considerando cambios externos o internos que puedan afectarla.

5- REFERENCIAS

5.1- Normativa relacionada

5.2- Definiciones

6- HISTORIAL DE VERSIONES

Este documento es  propiedad exclusiva de ZEROQ © y su reproducción total o parcial está totalmente prohibida. El uso, copia, reproducción o venta de esta publicación, sólo podrá realizarse con autorización expresa y por escrito del propietario de la publicación. La versión impresa de este documento pierde automáticamente su vigencia.