PGN - Política seguridad de la información de 2025

SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN –SGSI

POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN

PROCURADURÍA GENERAL DE LA NACIÓN

INTRODUCCIÓN

La Procuraduría General de la Nación – PGN tiene la responsabilidad de contar con un direccionamiento estratégico en materia de seguridad informática. El desarrollo de Políticas de Seguridad de la Información le permite a la Entidad tomar decisiones más ágiles y acertadas frente a los riesgos y las regulaciones, permitiendo una gestión oportuna y efectiva aprovechando de la mejor forma los activos con que cuenta.

La referencia principal para el desarrollo de una política corporativa de Seguridad de la Información orientada al desarrollo de mejores prácticas de gestión, es el conjunto de normas NTC/ISO 27000, los modelos y guías generados por el Ministerio de Tecnologías de la Información y las Comunicaciones (MINTIC).

Para esto la PGN se basa en una gestión de riesgos realizada a todos los procesos de la Entidad, con el fin de prevenir que se materialicen, y poder proteger los activos de información.

Por lo anterior, la PGN define las políticas de Seguridad de la Información, con el fin de atender estos nuevos requisitos, orientadas a la prestación de servicios de calidad, que administren los riesgos cambiantes en el ámbito de la gestión de la información y de las nuevas Tecnologías de la Información y las Comunicaciones (TIC).

1. OBJETIVOS

1.1. Objetivo general

1. OBJETIVOS

1.1. Objetivo general

Establecer lineamientos de seguridad de alto nivel que permitan que los activos de información de propiedad de la PGN, sean accedidos sólo por las personas autorizadas que tienen necesidad legítima para la realización de las funciones propias de la Entidad (confidencialidad), que no se realicen modificaciones sin autorización y se salvaguarde su exactitud y completitud (integridad), y que sean accesibles y utilizables cuando éstos se requieran para el desarrollo de las actividades propias de la Entidad (disponibilidad); alineados con la misión, visión, objetivos estratégicos y valores corporativos de la PGN.

1.2. Objetivos específicos

Los objetivos específicos de las políticas de Seguridad de la Información en la PGN son:

a) Definir los fundamentos para el Sistema de Gestión de Seguridad de la Información (SGSI).

b) Proteger la imagen, los intereses y el buen nombre de la Procuraduría General de la Nación.

c) Reducir el nivel de riesgo en Seguridad de la Información.

d) Constituir la base para la implementación y ejecución efectiva de controles que velen por la seguridad de la información.

e) Identificar los canales de comunicación que le permitan a la Alta Dirección de la PGN mantenerse informada de los riesgos y uso inadecuado de los activos de información, así como las acciones tomadas para su mitigación y corrección.

f) Promover una cultura organizacional orientada a la Seguridad de la Información.

g) Establecer y comunicar la responsabilidad en el uso de los activos de información, que soportan los procesos y sistemas de la Entidad.

h) Definir la conducta esperada en el acceso, uso y manejo de los activos de información.

1. Propender por la disponibilidad de los activos de información, servicios e infraestructura tecnológica.

h) Definir la conducta esperada en el acceso, uso y manejo de los activos de información.

1. Propender por la disponibilidad de los activos de información, servicios e infraestructura tecnológica.

j) Asegurar la continuidad en los procesos de la PGN permitiendo el cumplimiento de los objetivos estratégicos de la Entidad.

2. ALCANCE

Las políticas de Seguridad de la Información establecen las directrices requeridas para la implementación de un Sistema de Gestión de Seguridad de la Información confiable y flexible, y definen el marco básico que guiará la implantación de cualquier requisito, proceso, procedimiento, y/o acción, relacionados con la Seguridad de la Información.

Estas políticas aplican a todos los funcionarios, contratistas y terceros que tengan acceso a los servicios de red, aplicaciones y sistemas de información de la Procuraduría General de la Nación, y a las partes interesadas que accedan o hagan uso de cualquier activo de información independientemente de su ubicación, medio o formato; definen quiénes deben mantener la debida confidencialidad sobre la información de la Entidad por el tiempo que se estipule en los acuerdos establecidos.

Adicionalmente, las políticas aplican a todos los activos de información que se encuentren relacionados directa o indirectamente con el manejo de información creada, procesada o utilizada en el soporte y desarrollo de los procesos de la Entidad.

3. COMPROMISO DE LA ALTA DIRECCIÓN

La Alta Dirección de la PGN está comprometida con el desarrollo y la implementación de las políticas de Seguridad de la Información, así como de su mejora continua, mediante:

a) La autorización para la implementación de políticas de Seguridad de la Información en la PGN.

b) La revisión y aprobación de las políticas de Seguridad de la Información.

a) La autorización para la implementación de políticas de Seguridad de la Información en la PGN.

b) La revisión y aprobación de las políticas de Seguridad de la Información.

c) El suministro de los recursos necesarios para una adecuada implementación de políticas de Seguridad de la Información en el marco de la implementación del Sistema de Gestión de Seguridad de la Información.

d) La divulgación sobre la importancia en el cumplimiento de las políticas de Seguridad de la Información para el logro de los objetivos de seguridad.

El compromiso de la Alta Dirección asegura la identificación, evaluación, tratamiento, monitoreo y control de los riesgos que puedan afectar la seguridad de la Información, mediante la destinación de los recursos físicos, humanos y económicos necesarios para el establecimiento, la implementación, el mantenimiento y la mejora continua del Sistema de Gestión de Seguridad de la Información en los procesos productivos, misionales y administrativos.

4. GENERALIDADES

4.1. Organización de la Seguridad de la Información

La PGN mediante la Resolución 036 de 2009 adopta el Sistema de Gestión de la Seguridad de la Información -SGSI - de la Procuraduría General de la Nación, y en el artículo quinto se crea el Comité de Seguridad de la Información de la Entidad, que cuenta con las siguientes funciones:

• Proponer al Procurador General de la Nación, para su aprobación, los cambios en la Política de Seguridad de la Información y las responsabilidades generales en materia de seguridad de la información. - Mantener informado al Procurador General de la Nación sobre el estado general de la seguridad de la información de la Entidad. - Tener conocimiento y vigilar la investigación y el monitoreo de los incidentes de seguridad de la información por parte del Oficial de Seguridad de la Información. - Evaluar y proponer al Procurador General de la Nación, para su aprobación, iniciativas de inversión para incrementar la seguridad de la información. - Evaluar y aprobar metodologías y procesos específicos relativos a la seguridad de la información. - Adoptar los indicadores de gestión de la seguridad de la información. - Verificar que la seguridad sea parte del proceso de clasificación de la información. - Verificar que la seguridad sea parte del desarrollo de sistemas de información o aplicaciones de software, desde las etapas tempranas del desarrollo. - Promover la difusión y apoyo a la seguridad de la información dentro de la Entidad y a las campañas de sensibilización en temas de seguridad de la información.

De igual forma en la Resolución 036 de 2009 se crea el perfil de Oficial de Seguridad de la Información, profesional asignado al Despacho del Procurador que tiene entre otras funciones la de liderar y coordinar la implementación de las políticas de seguridad de la información, con la participación activa de las dependencias de la Entidad.

4.2. Seguridad de los Recursos Humanos

La PGN suministrará los recursos necesarios para la formación, capacitación y/o concienciación de los funcionarios, contratistas y/o terceros con acceso a la información, en temas relacionados con la Seguridad de la Información, con el propósito que puedan identificar y reportar de manera oportuna los incidentes de Seguridad de la Información, y de esta manera se logren disminuir las vulnerabilidades y amenazas relacionadas con el talento humano.

4.3. Integridad

4.3. Integridad

La PGN establecerá los lineamientos que permitan que todos los funcionarios, contratistas y/o terceros que tengan relación contractual con la Entidad y tengan acceso a la Información efectúen un manejo integral de la información interna y externa.

4.4. No Repudio

La PGN establecerá los lineamientos requeridos para garantizar la participación de las partes en una comunicación, a través de la trazabilidad, retención, auditoría y el intercambio electrónico de Información gestionada por los funcionarios, contratistas y/o terceros de la Entidad.

5. POLÍTICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN

La siguiente es la política de Seguridad de la Información establecida para la Procuraduría General de la Nación, así:

“La Procuraduría General de la Nación representa a los ciudadanos ante el Estado Colombiano, reconoce la importancia de identificar y proteger sus activos de información, asegurando su confidencialidad, disponibilidad e integridad, comprometiéndose a establecer, implementar, mantener y mejorar continuamente el Sistema de Gestión de Seguridad de la Información enmarcado en el cumplimiento del ordenamiento legal y en concordancia con la misión, visión, objetivos estratégicos, valores y principios de la Entidad”.

Conformada por más de 4 mil servidores, la Procuraduría General de la Nación tiene autonomía administrativa, financiera y presupuestal en los términos definidos por el Estatuto Orgánico del Presupuesto Nacional. Es su obligación velar por el correcto ejercicio de las funciones encomendadas en la Constitución y la Ley a servidores públicos y lo hace a través de sus tres funciones misionales principales función preventiva, función de intervención, función disciplinaria y en aras de propender por la Seguridad de la Información tiene como finalidad permitir que los activos de información de propiedad de la PGN reciban los niveles de protección adecuados de acuerdo a su confidencialidad, disponibilidad e integridad.

La Alta Dirección de la PGN, deduciendo la importancia de una adecuada gestión de la información, se ha comprometido con la implementación de un Sistema de Gestión de Seguridad de la Información, buscando establecer un marco de confianza en el ejercicio de sus deberes con el Estado y los ciudadanos; alineado con el ordenamiento jurídico y normativo en concordancia con la misión, visión, objetivos estratégicos y valores de la Entidad.

Para la PGN, la protección de la información busca la disminución del impacto generado sobre los activos de información por los riesgos identificados de manera sistemática; con el propósito de mantener un nivel aceptable de exposición que permita responder por la confidencialidad, disponibilidad e integridad de la información, acorde con las necesidades de los diferentes grupos de interés identificados.

5.1. Objetivo general del SGSI

Definir en la Entidad lineamientos de acuerdo a lo establecido en el alcance; teniendo en cuenta los principios sobre los que se basa el desarrollo de las acciones o toma de decisiones alrededor del SGSI determinadas por las siguientes premisas:

a) Minimizar el riesgo a niveles aceptables definidos por la Entidad.

b) Establecer las políticas, procedimientos e instructivos en materia de Seguridad de la Información.

c) Cumplir con los principios de Seguridad de la Información: confidencialidad, disponibilidad e integridad.

d) Proteger los activos de información de la Entidad.

e) Fortalecer la cultura de Seguridad de la Información en los funcionarios, usuarios, terceros y contratistas de la PGN.

f) Asegurar la continuidad del negocio en la Entidad frente a incidentes de seguridad de la información.

g) Apoyar la innovación tecnológica.

La PGN ha decidido definir, implementar, operar y mejorar de forma continua un SGSI, soportado en lineamientos claros alineados a las necesidades de la Entidad y sus requerimientos regulatorios.

5.2. Principios de seguridad

g) Apoyar la innovación tecnológica.

La PGN ha decidido definir, implementar, operar y mejorar de forma continua un SGSI, soportado en lineamientos claros alineados a las necesidades de la Entidad y sus requerimientos regulatorios.

5.2. Principios de seguridad

A continuación, se establecen los principios de seguridad que soportan el SGSI de la PGN:

Las responsabilidades frente a la Seguridad de la Información serán definidas, compartidas, publicadas y aceptadas por cada uno de los funcionarios, contratistas y/o terceros.

a) La PGN protegerá la información generada, procesada o resguardada por sus procesos, infraestructura tecnológica y activos, del riesgo que se genera de los accesos otorgados a cada uno de los funcionarios, contratistas y/o terceros.

b) La PGN protegerá la información creada, procesada, transmitida o resguardada por sus procesos, con el fin de minimizar impactos financieros, operativos o legales debido a su uso indebido. Para ello es fundamental la aplicación de controles de acuerdo con la clasificación de la información de su propiedad o en custodia.

c) La PGN protegerá las instalaciones de procesamiento de información y la infraestructura tecnológica que soporta sus procesos críticos.

d) La PGN implementará controles asociados a la operación de sus procesos misionales propendiendo por la seguridad de la infraestructura tecnológica.

e) La PGN implementará controles de acceso a los activos de información, de acuerdo con su nivel de clasificación.

f) La PGN incorporará la seguridad como parte integral del ciclo de vida de los sistemas de información, a través de una adecuada gestión de riesgos.

g) La PGN propenderá por la disponibilidad de sus procesos misionales, la continuidad de sus servicios y la mejora efectiva de su modelo de seguridad, con base en el impacto que pueden generar los incidentes de Seguridad de la Información.

h) La PGN propenderá por el cumplimiento del ordenamiento legal establecido.

6. POLÍTICAS ESPECÍFICAS DE SEGURIDAD DE LA INFORMACIÓN

La PGN considera la información como un activo fundamental, razón por la cual es necesario establecer un marco normativo para asegurar que la información es protegida, independientemente de la forma en que ésta sea generada, manejada, procesada, transportada o almacenada. Así mismo, en la Entidad se reconoce la importancia de la implementación de Políticas de Seguridad de la Información, con el fin de mantener y mejorar continuamente el Sistema de Gestión de Seguridad de la Información y asegurar la confidencialidad, disponibilidad e integridad de la información.

Las políticas específicas de Seguridad de la Información, constituyen un eje fundamental del Sistema de Gestión de Seguridad de la Información de la Entidad, se consideran la base para la implementación de los controles, procedimientos y estándares definidos y serán revisadas periódicamente, para que en caso de cambios relevantes en la Entidad que incidan en la Seguridad de la Información, sigan siendo adecuadas y ajustadas a las recomendaciones de la Guía de Seguridad y Privacidad de la Información establecida por MINTIC y la Norma NTC-ISO-IEC 27001.

6.1. POLÍTICA DE CONTROL DE ACCESO

OBJETIVO

La Procuraduría General de la Nación establece los lineamientos, procedimientos, responsabilidades y mecanismos de control de acceso físico y lógico, en los sistemas de procesamiento de información de acuerdo con los niveles de clasificación de los activos de información, con el fin de protegerlos de accesos no autorizados.

POLÍTICA

POLÍTICA

La Oficina de Sistemas de la PGN establece los procedimientos de creación, modificación, cancelación y reactivación de usuarios de red, de los sistemas de Información, y de lo pertinente con el Centro de Procesamiento de Datos, para controlar la asignación de los derechos de acceso a los usuarios de los recursos de la Entidad, teniendo en cuenta los requisitos de la Entidad y los niveles de seguridad lógicos y físicos requeridos.

En la presente política se definen las condiciones sobre las cuales los usuarios tienen acceso a la red, a los sistemas operativos, al acceso al Centro de Procesamiento de Datos y los aplicativos de la PGN.

Para el acceso remoto o local a la red de datos de la PGN se debe seguir lo estipulado en el procedimiento PRO-GT-AI002 Procedimiento para el acceso a la red de datos.

RESPONSABILIDADES

ACCESO A LA RED

La Oficina de Sistemas de la PGN es la responsable de establecer los controles de autorización y gestión, así como las prioridades de acceso y uso de los activos informáticos de propiedad de la PGN por parte de los usuarios internos y externos, para proteger el acceso a las conexiones, aplicaciones y servicios de red.

• El acceso a la red por parte de terceros debe estar estrictamente restringido y permitido únicamente con previa autorización de la Oficina de Sistemas. - La gestión de contraseñas para el acceso a la red de la PGN se realiza por medio de la mesa de servicio, quien asigna a un funcionario para la gestión de la solicitud según la necesidad y autorización correspondiente. - La Oficina de Sistemas implementa controles de autenticación adicionales en redes inalámbricas para controlar el acceso, por la vulnerabilidad de interceptación e inserción en el tráfico de información de este tipo de redes. - La Oficina de Sistemas restringe los tiempos de conexión con el propósito de brindar seguridad especialmente a las aplicaciones y lugares calificados como críticos y/o de alto riesgo, por medio de uso de espacios de tiempo predeterminados y uso de sesiones interactivas de corta duración.

ACCESO POR VPN

La Oficina de Sistemas de la PGN brinda la tecnología de acceso por VPN para que funcionarios y contratistas puedan ingresar a la plataforma tecnológica de la Entidad desde una ubicación remota y de esta forma gestionen las soluciones o servicios a su cargo. Se utilizará una VPN cuando se necesite acceder a información confidencial de manera remota, y la red que se esté utilizando no ofrezca las suficientes garantías de seguridad.

Para conceder el acceso a la VPN el funcionario o contratista debe diligenciar el formato de solicitud para la creación, de acuerdo con el tipo de acceso requerido. Una vez el formato es aprobado por la Jefatura del área de sistemas, se configura el acceso y se envían las credenciales para realizar las pruebas respectivas.

El acceso a la VPN se deberá realizar con el aplicativo cliente de la página web del fabricante del dispositivo Firewall de seguridad perimetral en su última versión y bajo la supervisión de la Oficina de Sistemas.

En los equipos de seguridad perimetral se deberá controlar las fechas y horarios en los cuales se tienen los accesos por este medio, y los funcionarios de la Oficina de Sistemas monitorearán su registro de forma periódica con el fin de ejercer los controles pertinentes a estos accesos.

En caso de ser asignado un dispositivo token como doble factor de autenticación, este debe ser reintegrado en similares condiciones de su entrega a la Oficina de Sistemas al momento de completarse el servicio, finalizar el contrato o retiro del funcionario de la Entidad, siguiendo el procedimiento de entrega y devolución de token establecido para este fin.

SEPARACIÓN EN LAS REDES

• La red interna de la PGN cuenta con una segmentación lógica y física que agrupa los elementos de red con los siguientes segmentos: red LAN separada en diferentes segmentos de LAN virtuales que contienen los dispositivos de oficina, estaciones de trabajo y dispositivos de conexión inalámbrica; también existen segmentos para telefonía, equipos activos de red, administración de equipos para infraestructura, administración de equipos de seguridad perimetral y la red de Servidores. - Las redes grandes se dividirán en dominios lógicos separados, protegidos cada uno por un perímetro de seguridad y definidos con base en evaluación de riesgos y en los requisitos de seguridad de cada uno.

INGRESO A LA RED CORPORATIVA

• La gestión de los usuarios para el ingreso a la red corporativa de la Entidad se realiza a través del Directivo Activo de Windows Server. - El ingreso a la red corporativase encuentra protegido, mediante el inicio seguro de sesión; los funcionarios tendrán acceso a la red corporativa en función de la operación; así mismo, es de su responsabilidad cumplir las Políticas de Seguridad de la Información, establecidas para el acceso a los sistemas de información de la Entidad. - Se definen las medidas necesarias mediante configuraciones físicas o lógicas con las cuales se pueda brindar acceso temporal a una red confinada a los visitantes o contratistas, la cual permite tener acceso únicamente a la red pública.

INGRESO AL CENTRO DE PROCESAMIENTO DE DATOS (CPD)

• El centro de procesamiento de datos CPD de la PGN es una zona restringida y deberá contar con un control de acceso físico apropiado para asegurar que sólo se permita el acceso a personal autorizado. - En caso que un contratista y/o proveedor requiera el ingreso al CPD deberá estar acompañado en todo momento por un funcionario de la Oficina de Sistemas. - Todo acceso al CPD debe estar motivado - El control y seguimiento del acceso al CPD está normado bajo el procedimiento PRO-GT-AI-009 Procedimiento de control de acceso físico al Centro de Procesamiento de Datos CPD.

GESTIÓN DE ACCESO A USUARIOS

Con el fin de evitar el acceso no autorizado a los sistemas operativos, la PGN hace uso de medios de seguridad que permiten la autenticación de usuarios, realizar el registro de intentos exitosos y fallidos de autenticación, de privilegios especiales, emisión de alarmas de seguridad y en caso de ser necesario restringir el tiempo de conexión de los usuarios.

• La PGN aplica el principio de menor privilegio posible, que consiste en que sólo se otorgan los permisos necesarios para la ejecución de las funciones. Por tal motivo, el Jefe de la dependencia dueña de la información es el responsable de autorizar formalmente los privilegios (permisos) o niveles de acceso correspondientes a las cuentas de los usuarios autorizados. - Cada una de las cuentas de acceso se compone de un nombre de usuario o “username” y una contraseña o “password”. El nombre de usuario se determina por la primera letra del nombre más el apellido del usuario, y la contraseña es generada por cada uno de los usuarios. - El superior inmediato (Jefe de área o Coordinador) es quien debe realizar la solicitud de creación o asignación del usuario a las aplicaciones que requiera el funcionario. - Aquellas cuentas de usuario redundantes no serán otorgadas a otros usuarios; de igual manera el responsable asegurará que los proveedores del servicio solo permitan el acceso a los usuarios autorizados de acuerdo a lo establecido en el Procedimiento de gestión de cuentas de usuario de sistemas de información PROG-GT-AT-014. - La Entidad asegura que los proveedores del servicio no otorguen acceso hasta que el usuario esté autorizado. - Para los perfiles de usuario se debe considerar los roles que desempeñan cada uno de los funcionarios, conforme a las actividades propias de su labor.

REVISIÓN Y RETIRO DE LOS DERECHOS DE ACCESO A USUARIOS

• Se debe realizar la declaración formal y escrita de los derechos de acceso con firma del usuario del entendido de las condiciones y sanciones a que haya lugar en caso de acceso no autorizado. - Los funcionarios asignados como administradores de los aplicativos, serán los responsables de controlar los derechos de acceso a los usuarios (lectura, escritura, modificación y eliminación). - Los derechos de acceso a usuarios se revisan periódicamente. Si se presentan cambios en los roles y/o responsabilidades de los funcionarios, estos deben ser modificados por parte del administrador técnico del aplicativo. - La eliminación, bloqueo o retiro de acceso a usuarios en el caso de funcionarios: en vacaciones, licencias o terminación de contrato laboral se realiza por medio del formato de Solicitud de requerimientos REG-GT-AT-001. - En caso de retiro definitivo de un funcionario de la Entidad, al momento de realizar la entrega de todos los equipos, herramientas y elementos para que cumpliera con la labor encomendada, se realice un entrega formal de todas las claves que el funcionario tenga asignadas tanto como las de acceso a la red, correo electrónico, aplicaciones de uso particular por su función o cualquier otra clave o dispositivo de autenticación que hubiere tenido bajo su manejo y custodia.

RESPONSABILIDADES DE LOS USUARIOS

Los funcionarios de la Entidad, terceros y/o proveedores tienen la responsabilidad de adherirse a esta política de Seguridad de la Información, y en caso que se determine un acceso lógico inadecuado que ponga en riesgo algún aspecto del SGSI, se puede constituir una falta y se aplicarán las sanciones pertinentes.

Cuando los funcionarios, contratistas y/o proveedores de la PGN evidencien algún tipo de evento o incidente relacionado al acceso lógico, debe ser informado de manera oportuna a la Oficina de Sistemas para que se tomen las medidas necesarias.

GESTIÓN DE CONTRASEÑAS

Cuando los funcionarios, contratistas y/o proveedores de la PGN evidencien algún tipo de evento o incidente relacionado al acceso lógico, debe ser informado de manera oportuna a la Oficina de Sistemas para que se tomen las medidas necesarias.

GESTIÓN DE CONTRASEÑAS

Se refiere al grado de concienciación del usuario para gestionar de modo eficiente su información en lo referente a la correcta creación de las contraseñas que ha de utilizar en los procesos y operaciones que requieren de su autenticación.

Para gestionar correctamente la seguridad de las contraseñas, y con el fin de evitar el acceso no autorizado a los sistemas informáticos, se recomienda a los usuarios tener en la cuenta las siguientes pautas para la creación y establecimiento de contraseñas seguras:

ACCIONES PARA CONSTRUIR CONTRASEÑAS SEGURAS

• La longitud de las contraseñas debe ser mínimo de ocho (8) caracteres. - Las contraseñas utilizadas por los usuarios de la PGN deben cumplir con los siguientes requerimientos: - Contener caracteres alfabéticos como letras mayúsculas (A-Z) y minúsculas (a-z) - Contener caracteres numéricos dígitos del 0 al 9. - Cuando el sistema lo permita, se deben incluir caracteres especiales como por ejemplo @ ! # $ % ^ & \ ( ) \_ + | ~ - = \ ` { } [ ] : " ; ' < > ? , . / - Se recomienda utilizar en una misma contraseña caracteres alfabéticos, caracteres numéricos y caracteres especiales. - Es recomendable que las letras alternen aleatoriamente entre mayúsculas y minúsculas. - Se debe elegir una contraseña que sea de fácil recordación. - Contraseñas para dispositivos móviles. se deber habilitar para su ingreso y bloqueo de forma automática o manual una contraseña de acceso al dispositivo (patrón, clave numérica, reconocimiento facial o dactilar, o el que tenga habilitado el sistema operativo del dispositivo) y en caso de ser un patrón numérico, éste será una contraseña de mínimo cuatro números.

• Generación de claves seguras: Uno de los métodos más práctico de creación de claves es el uso de mnemotecnias a partir de frases, por ejemplo: “es mejor un pájaro en mano que cien volando”, se toman las iniciales de cada palabra para formar un acrónimo, que daría como resultado “emupemqcv”, luego se cambian algunas letras por números, para este caso la letra “e” por un “3” y la “c” por una “@” y se obtiene la siguiente palabra “3mup3mq@v”, para agregar un grado más de complejidad se cambian algunas de las letras por mayúsculas, se toma la letra “m” para obtener “3Mup3Mq@v”, y se puede agregar al final un carácter especial “#”, para que finalmente se obtenga “3Mup3Mq@v#”, una clave robusta difícil de descifrar, que no se encuentra en un diccionario y que a pesar de que alguien más esté utilizando la misma frase, esta es una contraseña personalizada de la que seguramente nadie más sabrá los cambios que se realizaron.

RESTRICCIÓN DE USO DE CONTRASEÑAS

• Cuando se entrega el nombre de usuario al funcionario, se debe proveer una contraseña inicial segura temporal, la cual deberá ser modificada (cuando sea factible por solicitud automática) ante su primer ingreso. - Las contraseñas temporales deben ser seguras y entregadas a los funcionarios de forma que obliguen su cambio en el primer uso. Se debe evitar, en lo posible, la entrega de la clave a una tercera persona. - Las contraseñas asignadas por el fabricante y que vienen en los sistemas y software, deben ser modificadas posterior a su instalación. - Las contraseñas utilizadas para el acceso a los equipos de cómputo y sistemas informáticos de la PGN no deben utilizar cadena de caracteres duplicados, nombre de usuario del equipo, iniciales de la Entidad, iniciales del nombre del funcionario, número de identificación, fechas de nacimiento o cualquier otro dato personal, conjuntos de letras o caracteres de fácil identificación, o secuencias básicas del teclado (ejemplos: qwerty, abcd1234, Pgn2019, 987654, etc.). - Hay que evitar utilizar solamente números y letras mayúsculas o minúsculas. - No se deben utilizar palabras que se contengan en diccionarios en ningún idioma. - Una vez la contraseña es creada, esta debe ser memorizada. Es recomendable no enviar nunca la contraseña por correo electrónico o en un mensaje. Tampoco se debe facilitar ni mencionar en una conversación o comunicación de cualquier tipo. - No se deben dejar las contraseñas escritas en un papel en lugares accesibles, ni tampoco se deben guardar en documentos de texto o legibles dentro d