IDEAM - E-GI-M005 Manual De Politicas De Seguridad de la Información V2

MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 1 de 72

1 OBJETIVO

Definir Lineamientos que permitan al IDEAM, asegurar la confidencialidad, integridad, disponibilidad, autenticidad y no repudio de la información.

2. ALCANCE

El presente manual se establecen las políticas que integran el Sistema de Gestión de Seguridad de la Información SGSI, las cuales deben ser adoptadas y aplicadas a nivel nacional en el marco de la operación por procesos del IDEAM y por los servidores públicos, contratistas, proveedores de servicios o a el personal que tenga alguna relación con el IDEAM.

3. NORMATIVIDAD

Ver Normograma.

4. DEFINICIONES

• NTC-ISO/IEC 27001:2013: Norma técnica colombiana cuyo propósito es brindar un modelo para el establecimiento, implementación, operación, seguimiento, • revisión, mantenimiento y mejora de un sistema de gestión de la seguridad de la información (SGSI). • Eficacia: Grado en el que se ejecutan las actividades planeadas y se alcanzan los resultados esperados de la planeación. • Eficiencia: Relación entre el resultado alcanzado y los recursos utilizados.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 2 de 72

• Efectividad: Medida del impacto de la gestión tanto en el logro de los resultados

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 2 de 72

• Efectividad: Medida del impacto de la gestión tanto en el logro de los resultados planificados, como en el manejo de los recursos utilizados y disponibles. • Mejora continua: Acción con el fin de aumentar la capacidad para cumplir los requisitos y optimizar el desempeño. • Proceso: Conjunto de actividades relacionadas mutuamente o que interactúan para generar valor y las cuales transforman elementos de entrada en resultados.

• Producto o servicio: Resultado de un proceso o un conjunto de procesos.

• Trazabilidad: Capacidad para seguir un historial, la aplicación o la localización de todo aquello que está bajo consideración. • Aceptación del riesgo: decisión de asumir un riesgo o aceptar efectos y consecuencias. • Activo: hace referencia a cualquier información o elemento relacionado con el tratamiento de la misma (sistemas, soportes, edificios, personas, infraestructura de TI) el cual representa un valor para la entidad. • Activo crítico: Instalaciones, sistemas y equipos los cuales, que, si son comprometidos, destruidos, o es degradado su funcionamiento o no se encuentran disponibles, afectaran el cumplimiento de los objetivos de una organización. • Acuerdos de niveles de servicio: herramientas que permiten que los proveedores y clientes de servicios establecer un consenso en términos del nivel de calidad en la prestación y operación de un servicio, determinando, responsabilidades, garantías, tiempos de respuesta, horarios de disponibilidad, entre otros. • Administración de riesgos: Proceso sistemático de identificación, control, mitigación a un costo y nivel aceptable.

prestación y operación de un servicio, determinando, responsabilidades, garantías, tiempos de respuesta, horarios de disponibilidad, entre otros. • Administración de riesgos: Proceso sistemático de identificación, control, mitigación a un costo y nivel aceptable. • Amenaza: Factor potencial que tiene capacidad de generar daños, la amenaza es una condición del entorno del sistema de información que, dada una oportunidad, podría dar lugar a que se ocasione una violación de la seguridad. • Autenticidad: Atributo de la seguridad de la información el cual busca asegurar la validez de la información en tiempo, forma y distribución. • Autenticación: Procedimiento de comprobación de la identidad de un usuario al tratar de acceder un recurso informático o sistema de información.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 3 de 72

• Autenticación Fuerte: Se habla de autenticación fuerte cuando un sistema de autenticación de usuario emplea a por lo menos dos de los tres mecanismos básicos de autenticación: bien sea generación de códigos PIN, credenciales, tarjetas magnéticas, token, controles biométricos. • Cadena de Custodia: Aplicación de normas y/o procedimientos tendientes a asegurar, depositar y proteger cada activo de información para evitar la pérdida de integridad, disponibilidad o confidencialidad. • Centro de cableado : Locación Física donde se ubican los recursos de Tecn ología de información, como (Switch, patch, panel, UPS, Router, Cableado de voz y de datos). • Ciberactivo: los activos digitales como datos, dispositivos y sistemas que permiten a la

• Centro de cableado : Locación Física donde se ubican los recursos de Tecn ología de información, como (Switch, patch, panel, UPS, Router, Cableado de voz y de datos). • Ciberactivo: los activos digitales como datos, dispositivos y sistemas que permiten a la organización cumplir con sus objetivos de negocio, en el ciberespacio. • Ciberactivo crítico : Ciberactivo que es crítico para la operación de un servicio critico esencial para la organización. • Ciberseguridad: Es la disciplina cuyo propósito es proteger los activos de información por medio del tratamiento de las amenazas a la información que es procesada, almacenada y/o transportada a través de sistemas de información interconectados. • Confidencialidad: atributo de información que determina que la información no esté disponible ni sea revelada o divulgada a individuos, entidades o procesos no autorizados, la información es accesible únicamente a los autorizados. • Confiabilidad de la Información : es decir, que la información generada sea adecuada para sustentar la toma de decisiones y la ejecución de las misiones y funciones. • Control: Medida que mantiene o modifica el riesgo. • CCOCI: Comando Conjunto Cibernético, Unidad Militar Conjunta (Ejército, Armada y Fuerza Aérea), que tiene como función principal propender por la protección y el aseguramiento de la infraestructura Critica Cibernética del estado colombiano. • COLCERT: Por las siglas en inglés de Computer Emergency Response Team, es el Grupo de Respuesta a Emergencias Cibernéticas de Colombia, y tiene como responsabilidad central la coordinación de la Ciberseguridad y Ciberdefensa Nacional. • CSIRT: Por las siglas en in glés de Computer Security Incident Response Team, es el

de Respuesta a Emergencias Cibernéticas de Colombia, y tiene como responsabilidad central la coordinación de la Ciberseguridad y Ciberdefensa Nacional. • CSIRT: Por las siglas en in glés de Computer Security Incident Response Team, es el equipo de Respuesta a Incidentes de Seguridad Informática de la Policía Nacional CSIRT-MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 4 de 72

PONAL, creado para atender las necesidades de prevención, atención e investigación de los eventos e incidentes de seguridad informática. • Derechos de Autor: conjunto de normas y principios que regulan los derechos morales y patrimoniales que la ley concede a los autores. • Disponibilidad: Principio de la seguridad de la información que determina que los usuarios autorizados tienen acceso a la información cuando se requiera. • Evaluación del riesgo: Proceso en el cual se consideran las amenazas y vulnerabilidades relativas a la información, instalaciones y probabilidad de un suceso que comprometa la confidencialidad, integridad y disponibilidad de la información. • Gestión del riesgo: actividades coordinadas para dirigir y controlar una organización en lo referente al riesgo. • Incidente de seguridad de la información: un evento o serie de eventos de seguridad de la información no deseados o inesperados, que pueden comprometer los principios de la seguridad de la información (Integridad, Confidencialidad y Disponibilidad). • Información: Toda comunicación o representación de conocimiento como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea magnético, en papel, en

• Información: Toda comunicación o representación de conocimiento como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea magnético, en papel, en pantallas de computadoras, audiovisual u otro. • Infraestructura Crítica Cibernética (ICC): Son las infraestructuras estratégicas soportadas por Tecnologías de Información y Comunicaciones (TIC) o Tecnologías de Operación (TO), cu yo funcionamiento es indispensable, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales. Fuente: Ministerio de Defensa. • Integridad: propiedad de salvaguardar la exactitud de la información y sus métodos de proceso y el estado completo de los activos. • Legalidad: referido al cumplimiento de las leyes, normas, reglamentaciones o disposiciones a las que está sujeta la entidad • Líder de Seguridad de la Información: Es la persona que cumple la función de supervisar el cumplimiento de la presente Política y de asesorar en materia de seguridad de la información a los funcionarios del Ministerio que así lo requieran.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 5 de 72

• Medio removible: Los dispositivos de almacenamiento removibles son dispositivos de almacenamiento independientes del computador y que pueden ser transportados libremente. Los dispositivos móviles más comunes son: Memorias USB, Discos duros extraíbles, DVD y CD. • Mesa de Servicio: Constituye al único punto de contacto con los usuarios finales con el

almacenamiento independientes del computador y que pueden ser transportados libremente. Los dispositivos móviles más comunes son: Memorias USB, Discos duros extraíbles, DVD y CD. • Mesa de Servicio: Constituye al único punto de contacto con los usuarios finales con el fin de registrar, comunicar, atender y analizar todas las llamadas, incidentes reportados, requerimientos de servicio. • . • Plan de contingencia: es un documento en el cual describe riesgos, actores, responsabilidades y los procedimientos a seguir tendientes a restablecer la operación normal, en casos de eventos adversos. • Plan de Continuidad de Negocio: Actividades documentadas que guían a la Entidad en la respuesta, recupera ción, reanudación y restauración de las operaciones esenciales ante un evento que comprometa la operación y prestación de los servicios institucionales. • Plan de recuperación ante desastres: E s un conjunto de procedimientos y acciones de recuperación de los servicios críticos misionales del IDEAM para que se pueda restablecer las operaciones en caso de un posible evento de interrupción bien sea generado por desastres natural o causado por humanos. • Propiedad intelectual: es el reconocimiento de un derecho particular en favor de un autor u otros titulares de derechos. • Propietarios de la Información: Dependencias responsables de la generación o recopilación, custodia y preservación de la información. • Reasignación de derechos de acceso: Modificación de los privilegios con que cuenta un usuario sobre un recurso tecnológico o de información. • Remoción de derechos de acceso: es el bloqueo o la eliminación de los privilegios otorgados a un servicio o recursos de información a un usuario. • Riesgo: Incertidumbre de un suceso que pueda generar daño o perjuicios en los objetivos de una organización.

otorgados a un servicio o recursos de información a un usuario. • Riesgo: Incertidumbre de un suceso que pueda generar daño o perjuicios en los objetivos de una organización. • Riesgo residual: nivel de riesgo obtenido del producto de un tratamiento del riesgo.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 6 de 72

• Seguridad de la información: Preservación de la confidencialidad, la integridad y la disponibilidad de la información. • SGSI: Sistema de Gestión de Seguridad de la Información el cual busca asegurar la confidencialidad, integridad y disponibilidad de la inf ormación, basados en el ciclo PHVA. • Sistema de Información: Conjunto independiente de recursos de Tecnología e información estructurado e interrelacionados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información según determinados procedimientos. • Software malicioso: es una variedad de software o programas de códigos hostiles e intrusivos que tienen como objeto infiltrarse en un equipo de cómputo o una red de comunicaciones para ocasionar daños recursos informáticos, sistemas operativos, redes de datos o sistemas de información, entre otros. • Valoración del riesgo: proceso global de análisis y evaluación del riesgo. • Vulnerabilidad: Debilidad de un activo, Control o grupo de activos que puede ser aprovechada por una o más amenazas. • VPN: Una red privada virtual de las siglas en inglés de Virtual Private Network.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

• VPN: Una red privada virtual de las siglas en inglés de Virtual Private Network.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 7 de 72

5. DESARROLLO: CONTENIDO DEL MANUAL DE POLITICAS DE SEGURIDAD DE LA INFORMACIÓN 1 OBJETIVO ................................ ................................ ................................ ................................ .......................... 1

2. ALCANCE................................ ................................ ................................ ................................ ........................... 1

3. NORMATIVIDAD ................................ ................................ ................................ ................................ ................. 1

4. DEFINICIONES ................................ ................................ ................................ ................................ .................. 1

5. Desarrollo: Contenido del MANUAL DE POLITICAS DE SEGURIDAD DE LA INFORMACIÓN ........................................................ 7 5.1. INTRODUCCIÓN ................................ ................................ ................................ ................................ ..................... 8 5.2. GENERALIDADES SGSI ................................ ................................ ................................ ................................ ..... 9 5.2.1. Partes Interesadas. .................................................................................................................................. 9 5.2.2 Compromiso De La Alta Dirección ......................................................................................................... 12 5.2.3 Política De La Seguridad De La Información ......................................................................................... 12 5.3. ORGANIZACIÓN DE LA SEGURIDAD DE LA INFORMACIÓN ................................ ................................ ............ 13 5.3.1. Organización Interna 13 5.3.2. Dispositivos Móviles y teletrabajo 14 5.4. SEGURIDAD DE LOS RECURSOS HUMANOS ................................ ................................ ................................ . 16 5.4.1. Términos y condiciones del Empleo ...................................................................................................... 17 5.4.2. Durante la ejecución del empleo ............................................................................................................ 18 5.4.3. Proceso disciplinario .............................................................................................................................. 19 5.4.4. Terminación y Cambio de Empleo ......................................................................................................... 19

5.4.2. Durante la ejecución del empleo ............................................................................................................ 18 5.4.3. Proceso disciplinario .............................................................................................................................. 19 5.4.4. Terminación y Cambio de Empleo ......................................................................................................... 19 5.5. GESTIÓN DE ACTIVOS ................................ ................................ ................................ ................................ .... 21 5.5.1. Inventario y propiedad de los activos de información ....................................................................................... 21 5.5.2. Uso aceptable de los activos.................................................................................................................. 22 5.5.3. Devolución de activos............................................................................................................................. 24 5.5.4. Clasificación De La Información ............................................................................................................ 24 5.6. Manejo de medios ................................ ................................ ................................ ................................ ............. 25 5.6.1.1. Gestión de medios removibles .......................................................................................................... 26 5.6.1.2. Disposición de los medios ................................................................................................................. 27 5.6.1.3. Transferencia de medios físicos ........................................................................................................ 28 5.7. CONTROL DE ACCESO ................................ ................................ ................................ ................................ ... 28 5.7.1.1. Requisitos De La Entidad Para Control De Acceso ..................................................................................... 28 5.7.1.2. Gestión de acceso de usuarios ......................................................................................................... 30 5.7.1.3. Responsabilidades de los usuarios. .................................................................................................. 33 5.7.1.4. Control de acceso a sistemas y aplicaciones .................................................................................... 34 5.8. CRIPTOGRAFÍA ................................ ................................ ................................ ................................ ............... 36 5.9. SEGURIDAD FÍSICA Y DEL ENTORNO ................................ ................................ ................................ ............. 37 5.9.1.1. Áreas Seguras .................................................................................................................................... 37 5.9.1.2. Controles de acceso físicos ............................................................................................................... 38

5.9. SEGURIDAD FÍSICA Y DEL ENTORNO ................................ ................................ ................................ ............. 37 5.9.1.1. Áreas Seguras .................................................................................................................................... 37 5.9.1.2. Controles de acceso físicos ............................................................................................................... 38 5.9.1.3. Áreas de despacho y carga ............................................................................................................... 40 5.10. EQUIPOS ................................ ................................ ................................ ................................ ......................... 41 5.10.1.1. Mantenimiento de equipos................................................................................................................. 42 5.10.1.2. Retiro de activos................................................................................................................................. 44 5.10.1.3. Disposición segura o reutilización de equipos. ............................................................................................. 44MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: E-GI-M005

Versión: 2.0

Fecha: 18/05/2021

Página: 8 de 72 5.10.1.4. Equipos de usuario desatendidos y Política de escritorio limpio y pantalla limpia. ................................ ......... 45 5.11. SEGURIDAD DE LAS OPERACIONES ................................ ................................ ................................ .............. 46 5.11.1.1. Procedimientos De Operación Documentados ............................................................................................. 46 5.11.1.2. Gestión de cambios ........................................................................................................................... 47 5.11.1.3. Gestión de capacidad ........................................................................................................................ 48 5.11.2. Separación De Los Ambientes De Desarrollo, Pruebas Y Producción ................................ ............................ 49 5.11.3. Protección Contra Códigos Maliciosos ............................................................................................. 50 5.12. Copias De Respaldo ................................ ................................ ................................ ................................ .......... 52 5.13. Registro (Logging) Y Seguimiento ................................ ................................ ................................ ...................... 54

5.11.3. Protección Contra Códigos Maliciosos ............................................................................................. 50 5.12. Copias De Respaldo ................................ ................................ ................................ ................................ .......... 52 5.13. Registro (Logging) Y Seguimiento ................................ ................................ ................................ ...................... 54 5.14. Control De Software Operacional ................................ ................................ ................................ ....................... 55 5.14.1. Gestión de la vulnerabilidad técnica .................................................................................................. 56 5.14.2. Restricciones sobre la instalación de software. ............................................................................................ 56 5.15. Consideraciones Sobre auditorías de sistemas de información ................................ ................................ ............. 57 5.16. SEGURIDAD DE LAS COMUNICACIONES ................................ ................................ ................................ ........ 58 5.16.1. Gestión De La Seguridad De Las Redes .......................................................................................... 58 5.16.2. Transferencia de información ............................................................................................................ 59 5.17. Acuerdos de confidencialidad o de no divulgación ................................ ................................ ............................... 60 5.18. ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN ............................................................ 60 5.18.1. Análisis y especificación de requisitos de seguridad de la información ................................ ........................... 61 5.18.2. Seguridad en los Procesos de Desarrollo y Soporte. ................................................................................... 62 5.18.3. Procedimientos de Control de Cambios en Sistemas de Información. ................................ ............................ 65 5.18.4. Protección de datos de prueba .......................................................................................................... 66 5.19. RELACIÓN CON PROVEEDORES ................................ ................................ ................................ .................... 67 5.20. GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN ................................ ................................ ............. 68

5.18.4. Protección de datos de prueba .......................................................................................................... 66 5.19. RELACIÓN CON PROVEEDORES ................................ ................................ ................................ .................... 67 5.20. GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN ................................ ................................ ............. 68 5.21. ASPECTOS DE SEGURIDAD DE LA INFORMACIÓN DE LA GESTIÓN DE CONTINUIDAD DE NEGOCIO ............................... 69 5.21.1. Continuidad De Seguridad De La Información ............................................................................................. 69 5.21.2. Disponibilidad de instalaciones de procesamiento de información ................................ ................................ .. 70 5.22. CUMPLIMIENTO ................................ ................................ ................................ ................................ ............... 71 5.23. Revisiones de Seguridad de la Información ................................ ................................ ................................ ......... 71

6. HISTORIAL DE CAMBIOS ................................ ................................ ................................ ................................ . 72

5.1. INTRODUCCIÓN

El Ministerio de Tecnologías de la Información y las Comunicaciones - MinTIC a través de la Dirección de Estándares y Arquitectura de TI y la Subdirección de Seguridad y Privacidad de TI, en ejercicio de sus funciones, Define el Modelo de Seguridad y Privacidad de la Información (MSPI), el cual se encuentra alineado con el Marco de Referencia de Arquitectura TI y soporta transversalmente los otros componentes de la Estrategia GEL. El MSPI es una estrategia con el propósito de asegurar los principios de la seguridad de la información: Confidencialidad, Integridad y Disponibilidad, otros criterios como la autenticidad y no repudio,MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: Versión: 2.0

Fecha: 18/05/2021

Página: 9 de 72

INFORMACION

Código: Versión: 2.0

Fecha: 18/05/2021

Página: 9 de 72

además de la aplicación de buenas prácticas en el marco de la operación y prestación de servicios de TI y los procesos de una organización

El presente manual hace parte integral de la resolución No Resolución 3158 de 2018, por la cual "Se Adopta la Política de Seguridad y Privacidad de la Información del IDEAM", así como dar lineamientos para la aplicación de mecanismos que eviten la vulneración de la seguridad, orientados a la mejora continua y al alto desempeño a la gestión de Seguridad y privacidad de la Información.

Las políticas generales y específicas de seguridad y privacidad de la información se fundamentan en los dominios y objetivos de control de la norma ISO/IEC 27001:2013 y en el código de buenas prácticas para la gestión de la seguridad de la información ISO/IEC 27002:2015, así mismo la integración con el estándar ISO 22301:2019 como parte de las estrategias de continuidad de la operación tecnológica del IDEAM.

5.2. GENERALIDADES SGSI

5.2.1. PARTES INTERESADAS.

Las partes interesadas del Sistema de Gestión de Seguridad de la Información del IDEAM, corresponden a personas naturales o jurídicas con la cuales la Entidad interactúa en el ejercicio de sus funciones y en cumplimiento a los objetivos estratégicos y misionalidad, que pueden afectar o ser afectadas por la seguridad de la información del Ministerio y en algunos casos, pueden manifestar un interés directo, explícito y comprometido con los objetivos y

objetivos estratégicos y misionalidad, que pueden afectar o ser afectadas por la seguridad de la información del Ministerio y en algunos casos, pueden manifestar un interés directo, explícito y comprometido con los objetivos y propósitos del sistema de gestión de seguridad de la información - SGSI.MANUAL DE POLITICAS DE SEGURIDAD DE LA

INFORMACION

Código: Versión: 2.0

Fecha: 18/05/2021

Página: 10 de 72

Parte interesada

Necesidades

Expectativas

Requisitos en el sistema de gestión

Logros y resultados esperados

Colaboradores

Socializar, apropiar y dar cumplimiento a las políticas, procedimientos y documentación del SGSI.

Cumplimiento de las políticas de Seguridad de la Información reduciendo las probabilidades de afectación a la información de la Entidad

Manual Políticas de Seguridad de la Información

Reducción de probabilidad de afectación a la información de los colaboradores

Proveedores Socializar políticas, procedimientos y documentación del SGSI. Cumplimiento de las políticas de Seguridad de la Información reduciendo las probabilidades de afectación a la información. Manual Políticas de Seguridad de la Información. Reducción de probabilidad de afectación a la información que custodie. Usuarios

probabilidades de afectación a la información. Manual Políticas de Seguridad de la Información. Reducción de probabilidad de afectación a la información que custodie. Usuarios

Sociedad / Comunidad Propender por el adecuado tratamiento de los datos personales suministrados por los usuarios que acceden a los servicios del IDEAM, de acuerdo con lo establecido en la Ley 1581 de 2012 y los Cumplir las políticas de Seguridad y privacidad de la Información, con el propósito de