PGN - MEMORANDO MEDIDAS de SEGURIDAD - Como parte de los controles se aplicará el principio de mínimo

PROCURADURIA

GENERAL DE LA NACION

VICEPROCURAGDEUNREÍRAAD LEL AN ACIÓN MEMORANDNOo0 .1 8

PARA: OFICINAD E TECNOLOGÍAI,N NOVACIÓYN

TRANSFORMACIÓDNI GITAL;P ROCURADORES

DELEGADOS; PROCURADORESD ITSRITALES;

PROCURADOREJSU DICIALEPSR;O CURADORES

REGIONALESP,R OCURADORESP ROVINCIALES;

DIRETCORESJ;E FEDSE O FICIJNEAF;E DSE D IVISIÓN;

COORDINADODREGE RSU PYOS ERVIDOPRGENS

DE: VICEPCRUORADOGRE NERADLEL AN ACIÓN

ASUNTO: IMPLEMENTACDIEÓ CNO NRTOLEST ECNOLÓGICOS

DERIVADOSD E LAS POLITICEASSP ECÍFIDCEA S

SEGURIDDAELD A I NFORMACDIEÓL ANP ROCURADURÍA

GENERADLEL AN ACIÓN

FECHA: CUATR(O0 4D)EO CTUBRE2 0D2E4

Respetsaedrovsi dores: Ese li ntedrelé asP rocuraGdeunreídraeal laN aciiómnp lemleoncsto anrt roles tecnolóogriiceonsta a ldaso esg urdiedl aaid n formdaocicóunm,e nteaned lo s SistdeemG ae stdieóC na liydq audea tienedlce unm plimdieoelrn dteon amiento juríednim caot edreip ar otecdceai cótni dveoi sn formyad caitópones r sonales constryuu isdaodasot sr avdéels ao peradceir óenc urfsíossid coocsu menyt ales

del ap lataftoercmnao ldóelg aEi nctai dad.

1.SOCIALIZADCEI CÓONN TROLETSE CNOLÓGIYC OPSO LÍTICAS

ESPECÍFDIECS AESG URIDDAELD A I NFORMACIÓN.

LaO ficdienP ar enrseaa lidzeam raán emrean suuanlap ieczoam unicacional distrail boufsiu dnac iodneal raPi roosc uraGdeunreírataa r la,dv eél sop sr otectores dep antdaell loaes q uipdeoc só mpuatfoi liaaldd oomsi niinos titcuocriroenoa l, electrcóanniacolofe,is c idaerl eedse s soecticPa.al reealsd ,e sardreoe lsltoa activsiedc aodn,t acroáne la poydoe Glr updoe P rotecdceiD óant oysA ctidveo s informyal caOi fóincd ieTn eac nolIonognvíaac,yi T órna nrsmfaocDiiógni tal. Lap ieczoam unicadceibaoebn oarlld aagsre neraldield apa odleíst siecgau rdied ad del ai nformyad cemi aónne croan secluatasic vtai viddeca udmepsl imdiece andtao undae l apso líetsipceacsí efnli maca atse yra ipar obapdolaraEs n tidad.

2.IMPLEMENTACCIOÓNNTR OLETSEC NOLÓGICYO SP OLÍTICAS

ESPECÍFDIECS AESG URIDDAEDL AI NFORMACIÓN.

LaO ficdieTn eac nolIongníoav,ay cT airnósnf ormDaicgiidóteana c lu ecrodlnoa s

políetsipceacsí dfesi ecgausr dield aai dn formdaecbiieóm np,l emleoncsto anrt roles tecnolqóugseie cr oesl acaic oonnatni nyue asctiaóbnlp eucbelyris ,co acri alloisz ar indicaddeso ergeusi myit ernattoa mail eoinsnt coi ddeentteecst yar deopso rtados + quiem pacltada ins ponidbeli ail nifdoardm daelc aPi róonc uraGdeunreíraaas lí,: PROCURADURIA GENERAL DE LA NACION 2.1 Acciones de implementación, cumplimiento, seguimiento y control de accesos en el sistema de gestión de identidades y el directorio activo de usuarios de la Entidad. El control de gestión de contraseñas debe cumplir con lo establecido en la política específica de control de acceso y los protocolos de autenticación MFA, TOKENS o biometría (en caso de que la Entidad adquiera e implemente este tipo de servicios y/o herramientas), según la sensibilidad de la información a proteger o de los procesos a desarrollar. 2.2 Activar en los equipos de cómputo afiliados a la red LAN Institucional y suscritos al dominio institucional, la política de blogueo automático por inactividad de 10 minutos. 2.3 — Impulsar en conjunto con el Grupo de Protección de Datos y Activos de Información de la Procuraduría General, los controles tecnológicos bajo el principio de menor privilegio de acuerdo con la política específica de uso aceptable de equipos de cómputo, uso de la herramienta de seguridad de protección de datos (protección de explotación de vulnerabilidades desde los equipos de cómputo de la

Entidad, restricción a la captura de pantalla, acceso a puertos USB, copiado y lectura de dispositivos ópticos); con el fin de proteger la información gestionada por los usuarios a través de nubes públicas autorizadas. Lo anterior, teniendo en cuenta las limitaciones y capacidades de las herramientas y servicios que tiene la Entidad. 2.4 — Implementar, de acuerdo con los propósitos misionales y las actividades de los funcionarios para su cumplimiento, los permisos de navegación y uso del servicio de Internet, entendiendo que este es un recurso limitado y que su uso fuera del cumplimiento misional tiene una afectación sobre el rendimiento de la plataforma de red de la Procuraduría General. Así las cosas, se aplicará el principio de mínimo privilegio para dar cumplimiento a la política específica de uso de recursos y servicios tecnológicos, en particular uso de Internet, implementando listas negras de identificación de páginas web (sitios o servicios), asi: + Enviar o descargar archivos de video, audio, texto, fotos, etc., no propios del cumplimiento de los propósitos institucionales, que representen riesgo para la seguridad de la información de la Entidad. + Reproducir contenido multimedia conectado directamente al sitio en internet, que provee este servicio, o mediante el acceso directo a un equipo de la red loca! institucional. .e Descargar y/o instalar y/o ejecutar archivos o software de procedencia desconocida o no autorizada. Solo se permite el uso de herramientas de mensajería instantánea perteneciente a la plataforma tecnológica institucional. No se permite el acceso a sitios de pornografía, juegos o apuestas. 4 PROGURADURIA GENEDERLA ANALCIÓ N + Elacceso a servicios web de redes sociales debe estar autorizado en cada

dependencia por su titular, detallando la necesidad a cubrir con el acceso a estos servicios tecnológicos. Se limitará el acceso a servicios web que presten servicios financieros en general. Los servidores de la Entidad que requieran acceder a un servicio en Internet que se encuentre limitado o bloqueado, deberá presentar una solicitud formal, realizando la descripción detallada de la necesidad, a través de los canales establecidos por la mesa de servicios de la Oficina de Tecnología, Innovación y Transformación Digital, con el respectivo visto bueno del jefe de dependencia. El Grupo de Protección de Datos y Activos de Información deberá verificar y dar aval a cada solicitud, para que posteriormente la Oficina de Tecnología, Innovación y Transformación Digital, aplique dicha autorización. 2.5 La Oficina de Tecnología, Innovación y Transformación Digital en conjunto con el Grupo de Protección de Datos y Activos de Información, durante el periodo de planeación operativa y financiera definido por la Entidad en el año, deberá presentar el plan de necesidades en materia de servicios y tecnología proyectado para atender el análisis de riesgos basado en las vulnerabilidades de la infraestructura tecnológica de la Procuraduría General, de acuerdo con el alcance de la política de seguridad, enfatizado en la seguridad informática y ciberseguridad.

3. ASEGURAMIENTO DE PUBLICACIÓN DE DOCUMENTOS OFICIALES O

INFORMACION TRATADA Y CONSTRUIDA POR LA PROCURADURÍA GENERAL DE LA NACIÓN El Grupo de Protección de Datos y Activos de Información debe establecer los controles necesarios para la implementación de restricciones en las publicaciones a través de medios de la Entidad, de documentación oficial o información construida,

con el fin de dar correcto uso a las medidas de cuidado, conforme al tratamiento de los datos personales y sensibles que son gestionados por los propietarios de los activos de información, de acuerdo con la Ley 1581 de 2012 y a las Políticas de Protección de Datos, Gobierno de Datos y Datos Abiertos de la Procuraduría General, y emplear los medios institucionales para su difusión. De acuerdo con lo anterior, el Grupo de Protección de Datos y Activos de información debe dar cumplimiento de manera mensual a las actividades de gestión y supervisión de la publicación de la información institucional, de acuerdo con la catalogación del activo en particular cuando esta requiera ser transmitida por medios de comunicación públicos, por lo cual ello debe ser socializado a los funcionarios de la Procuraduria General encargados del uso de los medios tecnológicos tales como, página web, redes sociales y medios públicos. El esquema de comunicación establecido para proteger la confidencialidad, integridad y disponibilidad debe ser socializado a los funcionarios y publicado para consulta en la página web de la Procuraduría General, así como en el enlace Ley de Transparencia y Acceso a la Información, cumpliendo los ineamientog institucionales para tal fin.

PROCURADURIA

GENERAL DELA NACION

4, ACTUALIZACIÓN, IDENTIFICACIÓN Y CLASIFICACIÓN DE ACTIVOS DE

INFORMACIÓN.

La División de Documentación, durante el cuarto trimestre del año, conforme a la política de identificación y clasificación de activos de información y el procedimiento detallado, adelantará la coordinación de la revisión y actualización de la matriz de clasificación e identificación de activos de información con la participación de cada una de las dependencias que integran la Entidad, de acuerdo con el documento

controlado del Sistema de Gestión de Calidad en su última versión DO-P-11, para lo cual las áreas y dependencias de la Procuraduría General deben cumplir con el rol específico y las responsabilidades allí detalladas, de acuerdo con el contenido del mencionado documento.

5. GENERALIDADES Los controles de seguridad establecidos en las políticas especificas de seguridad de la información tratados en el presente memorando serán implementados conforme a disponibilidad presupuestal de la Entidad; y las capacidades y funcionalidades adquiridas de cada plataforma tecnológica con que se cuente. En el caso de requerir mayores funcionalidades, de acuerdo con las necesidades de la Procuraduría General del a Nación y la evolución de la tecnología para el cumplimiento de lo tratado, se incluirán en la planeación de la vigencia siguiente

(anual) a la identificación de la necesidad, mencionada en el numeral 2.5 del presente documento. Sea relevante resaltar que la información y los datos son los activos más valiosos que la Procuraduría General de la Nación confía a sus funcionarios, por lo que cualquier evento o incidente relacionado con el mal uso, el robo de información confidencial, la pérdida de información estratégica o la interrupción de los servicios ofrecidos por la Entidad, puede tener un impacto negativo reputacional y acarrea posibles repercusiones disciplinarias para el responsable de la custodia de información o servicio afectado. Por lo tanto, es esencial entender que la Seguridad de la Información es un compromiso compartido y su protección es un pilar fundamental para el cumplimiento de nuestra misión. Cordialmente, SILVANO GÓMEZ STRAUCH Viceprocurador General de la Nación Elaboró: Miguel Alejandro González Cardeñoza / Grupo Protección de Datos y Activos dy | lomas

Revisó: —Reymundo Sojo Ortiz / Oficina Tecnología, Innovación y Transfarmagión Digital,

Lucy Margarita Osorio Mastrodoménico / Oficina de Planeación. | María José Campo Caparroso / Divisióye Documentaci(óNnO. Rossana Payares / Oficina de Prensa. r