CNO - Anexo 3 Acuerdo 1960

CONTROL # ACCION Actividad / Soporte / Evidencia 3.CUMPLIMIENTO 3.1 Auditorías Reportes de auditorías internas. 4.1 Activos críticos 4.2 Ciberactivos críticos 5.1 Política y lineamiento de ciberseguridad Documento política o lineamiento de ciberseguridad 5.2 Responsable de ciberseguridad 5.3 Evaluación de riesgos para el personal Evaluación de riesgos realizado al personal de la entidad. 5.4 5.5 Administración de accesos Documento procedimiento para gestión de accesos lógicos y físicos. 5.6 Verificación de registros de autorización Evidencias documentales de la verificación periódica. 5.7 Evidencias documentales de la verificación periódica. 5.8 Procedimiento de revocación de accesos Documento evidencia registros de revocación de accesos. Bloqueo (terminación laboral). Revocación (eliminar o inhabilitar). Cambio de contraseñas (terminación laboral). 6.PERÍMETRO 6.1 Perímetros de seguridad lógica 6.2 Listas de acceso Evidencia documental de los cambios realizados. 6.3 6.4 Validación de cambios Documento procedimiento de control de cambios. Evidencia documental de los cambios realizados. 6.5 6.6 Documento procedimiento de administración de conexiones temporales. 6.7 Sistema de control intermedio Incluirlo en el Documento de inventario. Evidencia de la revisión periódica del control implementado.

4. IDENTIFICACIÓN DE ACTIVOS CRÍTICOS Realizar la lista, actualización o revisión de activos y ciberactivos críticos con la aprobación por parte de la entidad. Para las plantas menores es el inventario de ciberactivos.

5. GOBIERNO Y

GESTIÓN DEL PERSONAL Documento de asignación o delegación enviado al CNO donde se evidencie el responsable de ciberseguridad

el inventario de ciberactivos.

5. GOBIERNO Y

GESTIÓN DEL PERSONAL Documento de asignación o delegación enviado al CNO donde se evidencie el responsable de ciberseguridad Certificación por parte de proveedores y contratistas sobre la evaluacion de riesgos a su personal. Actualización de la evaluación de riesgos cada persona que tenga acceso físico o lógico a activos o ciberactivos críticos Programa de conciencia y entrenamiento en ciberseguridad Evidencia de ejecución del programa de conciencia y entrenamiento en ciberseguriad según el rol desempeñado y su criticidad. Verificación de cuentas y privilegios de acceso Documento con los perímetros de seguridad lógica y requisitos de accesos. Lista del personal con acceso físico no escoltado o acceso lógico a los ciberactivos críticos. Procedimiento de monitoreo y registro de acceso Documento procedimiento para el monitoreo y registro de accesos lógicos a los perímetros de seguridad físicos y lógicos. Procedimiento para habilitar los puntos de acceso Documento de línea base para equipos de punto de acceso al perímetro de seguridad lógica. Procedimiento para la administración de conexiones temporales7.1 Evidencias con los cambios realizados. 7.2 Herramientas de prevención de malware 7.3 Documento procedimiento de evaluación de vulnerabilidades técnicas. Evidencia de evaluación periódica de vulnerabilidades técnicas. Evidencia de vulnerabilidades técnicas sobre nuevos ciberactivos. Plan de remediación del resultado de análisis de vulnerabilidad técnica.

7.4 Documento procedimiento control transitorio y medios extraíbles. Evidencias de control periódico. 7.5 Evidencias de los ciclos de parchado. 7.6 Documento procedimiento de monitoreo. Evidencia de controles implementados. 8.1 Plan de recuperación y resiliencia 8.2 Evidencia de pruebas o simulacros, y acciones de mejora de estos. 8.3 Evidencia de los cambios realizados a los procedimientos. 8.4 8.5 9.1 Plan de respuesta a incidentes Documento con el plan de respuesta ante incidentes. 9.2 Evidencia de pruebas o simulacros, y acciones de mejora de estos. 9.3 Evidencia del mantenimineto del plan de respuesta de incidentes.

7. GESTIÓN DE LA

SEGURIDAD DE

CIBERACTIVOS CRÍTICOS Procedimiento de control de cambios y gestión de configuraciones Documento procedimiento gestión de cambios y gestión de configuración. Evidencia de implementación de herramientas de prevención de software malicioso o del control compensatorio cuando aplique. Procedimiento de evaluación de vulnerabilidades Procedimiento de control ciberactivos críticos transitorios y medios extraíbles Procedimiento de actualizaciones y parches de seguridad Documento procedimiento de actualización e implementación de parches. Procedimiento para identificar y monitorear eventos

8. PLAN DE

RECUPERACIÓN DE

CIBERACTIVOS CRÍTICOS Documento plan de recuperación y resiliencia y los procedimientos asociados. Ejecución y documentación de pruebas o simulacros Registro de cambios del procedimiento de recuperación y resiliencia Respaldos y almacenamiento de información Evidencia documentada de los respaldos realizados y almacenamiento de la información. Pruebas a los respaldos y mecanismos de

simulacros Registro de cambios del procedimiento de recuperación y resiliencia Respaldos y almacenamiento de información Evidencia documentada de los respaldos realizados y almacenamiento de la información. Pruebas a los respaldos y mecanismos de contingencia y continuidad Evidencia documentada de que se realizan pruebas de respaldo y su resultado.

9. PLAN DE

RESPUESTA ANTE

INCIDENTES EN

CIBERACTIVOS CRÍTICOS Simulacros o pruebas a los planes de respuesta a incientes de ciberseguridad Mantenimientos de los planes de respuesta a incidentes de ciberseguridad10.1 Plan de seguridad física Documento plan de seguridad física cumpliendo los requisitos. 10.2 Restricción de acceso físico Alarma o alerta en respuesta a fallas de comunicación detectadas. 10.3 Procedimiento de control de visitantes Procedimiento documentado control de visitantes. 10.4 Evidencia mantenimiento y pruebas periódicas. 11.1 11.2 12.1 Evaluación de riesgos Documento con mapa de riesgos. 12.2 Plan de tratamiento de riesgos 12.3 Monitoreo y revisión Evidencia del monitoreo y registro del pl an de tratameinto de riesgos.

10. SEGURIDAD FÍSICA

DE CIBERACTIVOS CRÍTICOS Evidencia de los controles implementados para protección física del cableado y otros componentes de comunicación. Procedimiento de mantenimiento y pruebas Procedimiento documentado de mantenimiento y pruebas periódicas a los sistemas de control relacionados a la seguridad física.

11. GESTIÓN DE LA

CADENA DE SUMINISTRO Plan de Gestión de riesgo de la cadena de suministro Documento y evidencia de la gestión de riesgos de la cadena de suministro que incluya los riesgos identificados y plan de tratamiento de

11. GESTIÓN DE LA

CADENA DE SUMINISTRO Plan de Gestión de riesgo de la cadena de suministro Documento y evidencia de la gestión de riesgos de la cadena de suministro que incluya los riesgos identificados y plan de tratamiento de riesgos.Plan de conciencia y entrenamiento en ciberseguridad de la cadena de suministro Plan de Conciencia y entrenamiento en ciberseguridad de proveedores y contratistas de la cadena de suministro.

12. GESTIÓN DE

RIESGOS DE

CIBERSEGURIDAD EN ACTIVOS CRÍTICOS Plan de tratamiento de riesgos con medidas de mitigación, plan de implementacion de medidas y asignación de responsabilidades.Periodo de revisión (meses) 24 12 cada vez que se requiera. 24 24 24 6 12 24 Cada vez que se actualice. 6 7 días Permanente (24/7). 24 Cada vez que se realice. 24 24 24 Cada vez que se realice. Cada vez que se actualice y máximo 20 días calendario. Máximo 20 días de causarse la novedad de personal. Al inicio del contrato y que tenga vigencia durante la duración del contrato. Cada vez que suceda y máximo 24 horas. Cada vez que suceda y máximo 30 días. Cada vez que suceda y máximo 30 días.24 Cada vez que se realice. Cada vez que se realice. 24 Cada vez que se realice. Cada vez que se realice.

24 24 Cada vez que se realice. 24 Cada vez que se realice. 24 Cada vez que se realice. 12 12 3 Cada vez que se realice. Cada vez que se realice. 12 12 Cada vez que se actualice y máximo 3 meses despues de la actualización.24 Cada vez que se realice. 24 24 Cada vez que se realice. 24 12 12 12 12