IGAC - PL-GET-01 V2 Política General de Seguridad de la Información

Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 1 | 9 COPIA NO CONTROLADA

VERSIÓN:

2Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 2 | 9 COPIA NO CONTROLADA

VERSIÓN:

2

Política General de Seguridad de la Información del IGAC Código: PL-GET-01 Versión: 2 Vigente desde: 07/11/2025Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 1 | 9 COPIA NO CONTROLADA

VERSIÓN:

2

1. INTRODUCCIÓN En el marco de las funciones misionales el Instituto Geográfico Agustín Codazzi (IGAC) es la autoridad en la regulación, producción y articulación de información geográfica, catastral y agrológica de alta calidad en el país. Esta información e s crítica para la toma de decisiones en diversos ámbitos, y su pérdida, divulgación o manipulación indebida puede afectar la confiabilidad e integridad del trabajo

calidad en el país. Esta información e s crítica para la toma de decisiones en diversos ámbitos, y su pérdida, divulgación o manipulación indebida puede afectar la confiabilidad e integridad del trabajo realizado por la entidad. Por lo tanto, el IGAC se compromete a proteger la información que maneja, administra y recolecta, así como a minimizar los riesgos asociados con su manipulación y acceso indebidos. En este sentido la seguridad de la información se convierte en un eje transversal que permite proteger los activos digitales y físicos del Instituto, asegura ndo el cumplimiento normativo, adicionalmente es fundamental para el éxito y la continuidad de las operaciones del IGAC y para la confianza que las partes interesadas depositan en la entidad. Por lo tanto, el presente proceso busca establecer lineamientos claros para la solicitud, evaluación y autorización del acceso a dichos recursos, promoviendo una participación articulada entre los responsables e interesados.

La política de seguridad de la información establece los principios generales y las directrices necesarias para garantizar la protección adecuada de la información del IGAC, tomando como marco de referencia la normativa legal vigente y las normas técnicas internacionales en materia de seguridad de la información. La política define los controles que la entidad debe seguir para proteger la información en sus tres pilares principales , confidencialidad , integridad, y disponibilidad, y minimizar los riesgos asociados al manejo de esta.

Esta política es aplicable a todos los servidores públicos, contratistas y proveedores que tengan acceso a la información del IGAC, a todos los procesos definidos en la cadena de valor de IGAC, así como a todas las sedes del instituto (Sede Central y Direcciones Territoriales) y e stablece en sus roles y responsabilidades desde la línea estratégica al Comité Institucional de Gestión y Desempeño, en la

todas las sedes del instituto (Sede Central y Direcciones Territoriales) y e stablece en sus roles y responsabilidades desde la línea estratégica al Comité Institucional de Gestión y Desempeño, en la línea de implementación a la Dirección de Tecnologías de la Información y las comunicaciones, la Oficina Asesora Jurídica, la Subdirección de Talento Humano, la Secretaría General, la Oficina Asesora de Planeación, los Lideres de Proceso y Directores Territoriales, con respecto a la línea de seguimiento se encuentra la Oficina Asesora de Planeación y finalmente la línea de control y ev aluación la Oficina de Control Interno . Además, se establecen medidas para la implementación y mantenimiento de los controles de seguridad de la información por medio del manual de seguridad de la información el cual hace parte integral de este documento.

2. OBJETIVO Establecer directrices, lineamientos, condiciones y establecimiento de controles para la adecuada gestión de la seguridad de la información en el Instituto Geográfico Agustín Codazzi -IGAC, de esta manera garantizar la confidencialidad , integridad y disponibilidad de la información, que a su vez permitan desarrollar los componentes del Sistema de Gestión de Seguridad de la Información.

Los objetivos específicos de seguridad de la información del IGAC son los siguientes:

1. Establecer mecanismos, controles físicos, lógicos y lineamientos para el manejo adecuado de la información.

2. Identificar y gestionar los riesgos de seguridad de la información del IGAC, con el fin de reducir la probabilidad de ocurrencia de cualquier incidente de seguridad de la información en la entidad y/o minimizar el impacto en caso de que se presenten.

3. Fomentar una cultura de seguridad de la información en el instituto, con el fin de promover la

probabilidad de ocurrencia de cualquier incidente de seguridad de la información en la entidad y/o minimizar el impacto en caso de que se presenten.

3. Fomentar una cultura de seguridad de la información en el instituto, con el fin de promover la conciencia y la responsabilidad en los funcionarios, contratistas y colaboradores del IGAC en relación con la protección de la información.

4. Garantizar la gestión oportuna y adecuada de los eventos e incidentes de seguridad de la información de tal forma que permita la continuidad de los procesos críticos identificados por el IGAC en caso de un evento disruptivo.Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 2 | 9 COPIA NO CONTROLADA

VERSIÓN:

2

3. ALCANCE La Política General de Seguridad de la Información es de estricta observancia y cumplimiento por los funcionarios, contratistas o proveedores que se encuentran vinculados o prestan servicios al IGAC, Se aplica a todas las fases de gestión y tratamiento de la información, incluyendo los canales de comunicación usados para su recolección, transporte, almacenamiento, custodia, preservación, conservación o intercambio, mediante los mecanismos, dispositivos, sistemas de información, servicios, comunicaciones e infraestructura tecnológica dispuesta por la Entidad.

Adicionalmente, este documento proporciona los lineamientos requeridos para la implementación de un modelo de seguridad de la información confiable, estandari zado y define el marco básico que guiará la implementación de cualquier directriz, proceso, procedimiento y acción encaminada a la protección de la información física y digital que sea recibida, recolectada, producida, almacenada o

guiará la implementación de cualquier directriz, proceso, procedimiento y acción encaminada a la protección de la información física y digital que sea recibida, recolectada, producida, almacenada o transferida y que apoye el cumplimiento misional del Instituto.

4. DESARROLLO 4.1 ROLES Y RESPONSABILIDADES  Comité de Gestión y Desempeño  Liderar la solicitud de cumplimiento de la política general de seguridad de la información por parte de los funcionarios y contratistas.  Revisar periódicamente la política general de seguridad de la información.

 Líderes de procesos en sede central y directores territoriales:  Socializar la política general de seguridad de la información a los servidores públicos y contratistas que hagan parte de sus procesos y/o direcciones territoriales.  Apoyar la implementación y cumplimiento de la política general de seguridad de la información, procedimientos y lineamientos al interior de los procesos y/o direcciones territoriales a cargo.

 Dirección de Tecnologías de la Información y las Comunicaciones-DTIC  Liderar la formulación y aprobación de la política general de seguridad de la información.  Liderar la implementación y seguimiento a la política general de seguridad de la información.  Apoyar en las labores de comunicación y sensibilización en seguridad de la información, para difundir la información en todos los niveles de la entidad.

 Subdirección de Infraestructura Tecnológica  Apoyar la definición de políticas específicas de seguridad de la información relacionadas con el proceso de gestión de servicios tecnológicos.

 Secretaría General - Subdirección de Talento Humano:  Apoyar en la definición de estrategias de uso y apropiación relacionados con el com ponente

el proceso de gestión de servicios tecnológicos.

 Secretaría General - Subdirección de Talento Humano:  Apoyar en la definición de estrategias de uso y apropiación relacionados con el com ponente de seguridad de la información para los funcionarios del IGAC.  Apoyar en la definición de políticas específicas relacionados con el componente de seguridad de la información para los funcionarios del IGAC y teletrabajo.

 Secretaría General -Subdirección Administrativa y Financiera (Grupo Interno de Trabajo de Gestión Contractual)  Apoyar la definición de políticas específicas de seguridad de la información en relacionado con las relaciones y acuerdos con los proveedores.  Apoyar en las acciones necesarias a realizar, en los casos que se presente un incumplimiento a lo definido en la Política General de seguridad de la Información por parte de algún contratista y que esto represente un riesgo en la Información del Instituto.Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 3 | 9 COPIA NO CONTROLADA

VERSIÓN:

2  Secretaría General –Gestión Documental:  Liderar e implementar controles de seguridad para la información física que gestiona y mantiene el IGAC.  Implementar estrategias de etiquetado de la información con el fin de realizar un proceso de clasificación eficiente.  Apoyar en los procesos de articulación entre las tablas de retención documental y la identificación, clasificación y aceptación de activos de información de cada uno de los procesos del Instituto.

 Secretaría General – Subdirección Administrativa y Financiera:

 Apoyar en los procesos de articulación entre las tablas de retención documental y la identificación, clasificación y aceptación de activos de información de cada uno de los procesos del Instituto.

 Secretaría General – Subdirección Administrativa y Financiera:  Apoyar en la definición de políticas específicas relacionadas con los controles físicos, para la protección de las Instalaciones del Instituto.  Verificar e implementar las medidas de seguridad de la información en la gestión con los proveedores y contratistas de la entidad.  Procurar la protección de la seguridad de la información de todos los activos de la información que puedan verse involucrados en procesos o contratos.

 Oficina Asesora Jurídica  Apoyar en los procesos de articulación entre el índice de información clasificada y reservada, y la identificación, clasificación y aceptación de activos de información de cada uno de los procesos del Instituto.  Implementar estrategias para el fortalecimiento de la privacidad de la información del Instituto.

 Oficina Control Interno Disciplinario  Adelantar acciones disciplinarias a funcionarios en casos que se evidencie el incumplimiento a lo definido en la Política General de Seguridad de la Información y que esto ponga en riesgo la Información del IGAC.

4.2 SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN-SGSI El Sistema de Gestión de seguridad de la Información -SGSI, hace parte del Sistema de Gestión Integrado SGI del IGAC, como un componente estratégico, en el cual se establecen mecanismos necesarios para proteger la información institucional. El SGSI establece políticas, lineamientos, procedimientos, instructivos, guías y demás documentos que apoyen la implementación de controles

necesarios para proteger la información institucional. El SGSI establece políticas, lineamientos, procedimientos, instructivos, guías y demás documentos que apoyen la implementación de controles lógicos y físicos, con el fin de mitigar riesgos asociados a la confidencialidad, integridad y disponibilidad, de la información. Por otra parte, el SGSI es adoptado por la alta Dirección del IGAC, con el fin de establecer el compromiso y asignar los recursos necesarios para la protección de la información.

4.3 PRINCIPIOS La Política General de Seguridad de la Información está fundamentada en los siguientes principios: a. La información es uno de los activos más importantes del IGAC y por lo tanto debe ser utilizada acorde con los requerimientos de sus funciones. b. La Confidencialidad de la información del IGAC y de terceras partes debe ser mantenida, independientemente del medio o formato donde se encuentre y que sea accedida sólo por aquellos que tienen una necesidad legítima para la realización de sus funciones u obligaciones. c. La Integridad de la información se debe preservar independientemente de su temporalidad, o la forma en que sea transmitida y que esté protegida contra modificaciones no planeadas, realizadas con o sin intención. d. La Disponibilidad de la información de la Entidad debe garantizarse de forma permanente cuando sea requerida. e. El IGAC realiza la gestión de la seguridad de la información fundamentada en la gestión y control de riesgos de seguridad de la información.Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 4 | 9 COPIA NO CONTROLADA

VERSIÓN:

2

4.4 COMPROMISO DE LA DIRECCIÓN

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 4 | 9 COPIA NO CONTROLADA

VERSIÓN:

2 4.4 COMPROMISO DE LA DIRECCIÓN La Alta Dirección del IGAC mediante esta política se compromete a apoyar y liderar el establecimiento, implementación, mantenimiento y mejora del Sistema de Gestión de Seguridad de la Información (SGSI); así mismo, se compromete a revisar el avance de la impl ementación del SGSI de manera periódica y también garantizará los recursos suficientes (tecnológicos y talento humano calificado) para implementar y mantener el sistema, así mismo, incluirá dentro de las decisiones estratégicas, la seguridad de la información.

4.5 DECLARACIONES La Dirección General por medio de la Dirección de Tecnologías de la Información y las Comunicaciones insta a que todos los funcionarios, contratistas y proveedores cumplan con los lineamientos en materia de seguridad de la información, con el fin de resguardar la información producida, recibida, recolectada, almacenada o transferida. Para ello se establecen las siguientes declaraciones de seguridad que soportan el SGSI: a. Las responsabilidades frente a la seguridad de la información se en cuentran definidas en el MNPRC-01 Manual MIPG -SGI, el MN-GET-02 Manual de Seguridad de la Información y demás documentos asociad os al Sistema de Gestión de Seguridad de la Información, estas serán aceptadas por cada uno de los funcionarios, contratistas y proveedores que tengan acceso a la información institucional, estos se encuentran en el listado maestro de documentos b. El IGAC es el responsable de los activos de información y los administr adores de estos activos son

aceptadas por cada uno de los funcionarios, contratistas y proveedores que tengan acceso a la información institucional, estos se encuentran en el listado maestro de documentos b. El IGAC es el responsable de los activos de información y los administr adores de estos activos son los funcionarios, contratistas o demás colaboradores que estén autorizados y sean responsables por la información de los procesos a su cargo, de los sistemas de información o aplicaciones informáticas, hardware o infraestructura de Tecnología, y son los respons ables de implementar los controles para su protección, de acuerdo con la clasificación de la información de su propiedad o en custodia. c. Los funcionarios, contratistas o proveedores deben cumplir los lineamientos e instrucciones descritos en esta política , el manual de seguridad de la información, procedimientos, guías e instructivos definidos y los cuales se encuentran publicados dentro del listado maestro de documentos del Sistema Gestión Integrado, así como los co nceptos y lineamientos en materia de seguridad de la Información generados a solicitud. d. La información producida, recibida, recolectada, almacenada o transferida por el IGAC cuenta con la protección y seguridad mediante la definición, implementación, segu imiento y mejoramiento de herramientas, controles, procedimientos, etc., con el fin de evitar los riesgos asociados a su confidencialidad, integridad, y disponibilidad. e. Los medios y equipos donde se almacena procesan o comunica la información, deben mantenerse con las medidas de protección físicas y lógicas, que permitan su monitoreo y correcto estado de funcionamiento. f. Con el fin de mitigar la materialización de riesgos que aprovechen las vulnerabilidades y amenazas relacionadas con el recurso humano, la alta dirección destinará los recursos suficientes para el desarrollo de programas de capacitación y sensibilización; es obligación de los funcionarios y

f. Con el fin de mitigar la materialización de riesgos que aprovechen las vulnerabilidades y amenazas relacionadas con el recurso humano, la alta dirección destinará los recursos suficientes para el desarrollo de programas de capacitación y sensibilización; es obligación de los funcionarios y contratistas asistir a estos eventos o cursos. g. Los funcionarios y contratistas tienen la obligación y responsabilidad de la identificación y notificación de cualquier incidente o evento que pudiera comprometer la seguridad de sus activos de información. Asimismo, la Entidad deberá implementar procedimientos para la correcta gestión de los incidentes detectados.

4.6 REVISIÓN Y SEGUIMIENTO AL SGSI El seguimiento en el cumplimiento en la implementación y la mejora continua del SGSI, se realizará con la implementación de indicadores de gestión, recopilación y análisis de información, definición e implementación de acciones de mejora continua, evaluación de controles, monitoreo y control, medición y reportes de avance. Por otra parte, la Política General de Seguridad de la Información será revisada por la Dirección General, por medio del Comité Institucional de Gestión y Desempeño o el quePolítica General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 5 | 9 COPIA NO CONTROLADA

VERSIÓN: 2 este delegue al menos una vez al año o cuando ocurran cambios significativos, para asegurar su conveniencia, adecuación y eficacia continua.

Adicionalmente se realiza el seguimiento mediante la ejecución periódica de las siguientes actividades:

1. Revisión semestral de indicadores definidos para el Sistema de Gestión de Seguridad de la

Información.

conveniencia, adecuación y eficacia continua.

Adicionalmente se realiza el seguimiento mediante la ejecución periódica de las siguientes actividades:

1. Revisión semestral de indicadores definidos para el Sistema de Gestión de Seguridad de la

Información.

2. Revisión semestral de avance en la implementación del Modelo de Seguridad y Privacidad de la

Información del Ministerio TIC.

3. Revisión de avance de la Política de Seguridad Digital de acuerdo con lo solicitado por FURAG o la herramienta definida para tal fin.

4. Cambios estructurales en el Instituto (restructuración de áreas o procesos).

5. Incidentes de seguridad de la información que requieran cambios dentro de la política.

4.7 PROCESO DISCIPLINARIO O SANCIONATORIO El incumplimiento de la política general de seguridad de la información y los procedimientos derivados de esta por parte de un servidor público o contratista será tratado como un incidente de seguridad de la información y este podrá dar lugar al inicio de procesos sancionatorios.

5. GLOSARIO  Activo de información: En relación con la seguridad de la información, se refiere a cualquier información o elemento relacionado con el tratamiento de esta (sistemas, soportes, edificios, personas, etc.) que tenga valor para la organización1  Confidencialidad: Garantizar que la información es accesible sólo para aquellos autorizados a tener acceso.2  Control: medida que modifica el riesgo. Sinónimo de salvaguarda.3  Disponibilidad: Propiedad que tiene la información de ser accesible y utilizable cuando se requiera.4  Gestión de riesgos: Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo. Se compone de la evaluación y el tratamiento de riesgos. 5

 Disponibilidad: Propiedad que tiene la información de ser accesible y utilizable cuando se requiera.4  Gestión de riesgos: Actividades coordinadas para dirigir y controlar una organización con respecto al riesgo. Se compone de la evaluación y el tratamiento de riesgos. 5  Información: se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen. 6  Integridad: propiedad de salvaguardar la exactitud y estado completo de los activos. 7  Observancia: Cumplimiento exacto y puntual de lo que se manda ejecutar, como una ley, un estatuto o una regla.8  Protección de la información: conjunto de medidas preventivas y reactivas que deben tomarse para mantener la confidencialidad, la integridad y disponibilidad de la información. 9  Riesgo: posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consideraciones.10  Seguridad de la información: es el conjunto de medidas preventiva s y reactivas de las organizaciones y sistemas tecnológicos que permiten resguardar y proteger la información buscando mantener la confidencialidad, integridad y disponibilidad de la información. 11  SGI: Sistema de Gestión Integrado.

1 Lista de términos relacionados con la serie ISO 27000 y la seguridad de la información (s.f.). Tomado de https://www.iso27000 .es/glosario.html 2 NTC ISO/IEC 27002:2013 3 Lista de términos relacionados con la serie ISO 27000 y la seguridad de la información. (s.f.). Tomado de https://www.iso2700 0.es/glosario.html

2 NTC ISO/IEC 27002:2013 3 Lista de términos relacionados con la serie ISO 27000 y la seguridad de la información. (s.f.). Tomado de https://www.iso2700 0.es/glosario.html 4 Definición propia 5 Lista de Glosarios de términos especializados (2017.febrero 17). Recuperado de https://gl osarios.servidor-alicante.com/ 6 1712 del 6 de marzo de 2014, Artículo 6 7 NTC ISO/IEC 27000:2013 8 Martínez Ferreras, D. (s. f.). Los Tesauros. Universidad Oberta de Cataluña, (PID_00143963), p. 7. 9 Definición propia 10 ISO/IEC 27000, (ISO Guía 73:2002) 11 Seguridad de la Información [En Wikipedia]. Recuperado (2022, mayo 23) de https://es.wikipedia.org/wiki/Seguridad_de_la_informaci%C3%B3nPolítica General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 6 | 9 COPIA NO CONTROLADA

VERSIÓN: 2  SGSI: Sistema de Gestión de Seguridad de lnformación.

6. CONTROL DE CAMBIOS

FECHA CAMBIO VERSIÓN 07/11/2025  Hace parte del proceso de Gestión Estratégica de Tecnología.  Se actualiza la política General de Seguridad de la Información del IGAC , código PL-GET-01, versión 1, a política del mismo nombre, código PL-GET-01, versión 2.  Se realiza actualización de Roles y Responsabilidades.  Se incluye el compromiso de la Dirección.

versión 1, a política del mismo nombre, código PL-GET-01, versión 2.  Se realiza actualización de Roles y Responsabilidades.  Se incluye el compromiso de la Dirección.  Se alinea con el Manual MIPG-SGI.  Se retiran políticas que se encuentran en el Manual de Seguridad de la Información.  Se actualizan lineamientos de revisión y seguimiento. 2 24/07/2024  Se adopta como versión 1 debido a la actualización de la Cadena de Valor en Comité Institucional de Gestión y Desempeño del 3 de marzo del 2023, nuevos lineamientos frente a la generación, actualización y derogación de documentos del SGI.  Cambia de proceso de Gestión de Servicios Tecnológicos a Gestión Estratégica de Tecnología.  Hace parte del proceso de Gestión Estratégica de Tecnología.  Se actualiza la política de “Seguridad Digital”, código PL-GIN-01, versión 1, a política “General de Seguridad de la Información del IGAC”, código PL-GET-01, versión 1. 1

ELABORÓ Y/O ACTUALIZÓ REVISÓ TÉCNICAMENTE REVISÓ

METODOLÓGICAMENTE APROBÓ

Nombre: Juan de Jesús Aponte

Buitrago

Cargo: Contratista.

Dirección de Tecnologías de la Información y Comunicaciones.

Nombre: Alexandra Ruiz Bedoya.

Cargo: Subdirectora.

Subdirección de Información.

Nombre: Diego Fernando Melo

Vaquen.

Cargo: Subdirector.

Subdirección de Sistemas de Información.

Nombre: Fernando Pérez Moreno.

Cargo: Subdirector. (encargo)

Nombre: Diego Fernando Melo

Vaquen.

Cargo: Subdirector.

Subdirección de Sistemas de Información.

Nombre: Fernando Pérez Moreno.

Cargo: Subdirector. (encargo) Subdirección de

Infraestructura Tecnológica.

Nombre: Diego Ramirez Pulido.

Cargo: Contratista.

Dirección de Tecnologías de la Información y Comunicaciones.

Nombre: Juan Andrés Nova.

Cargo: Profesional especializado Dirección de Tecnologías de la Información y

Comunicaciones.

Nombre: Cesar Augusto Buitrago

López.

Cargo: Profesional especializado.

Oficina Asesora de Planeación.

Nombre: Fernando Pérez Moreno.

Cargo: Director.

Dirección de Tecnologías de la Información y Comunicaciones.Política General de Seguridad de la Información del IGAC

CÓDIGO

PL-GET-01

VIGENTE DESDE:

07/11/2025

Página 7 | 9 COPIA NO CONTROLADA

VERSIÓN:

2

ELABORÓ Y/O ACTUALIZÓ REVISÓ TÉCNICAMENTE REVISÓ

METODOLÓGICAMENTE APROBÓ

Nombre: Cesar Mauricio Cortes

Alarcón.

Cargo: Profesional especializado.

Subdirección de Sistemas de Información.

Nombre: Juliet Sánchez Parada.

Cargo: Contratista.

Dirección de Tecnologías de la Información y Comunicaciones.