SGC - Política General de Segu​ridad de la Información

(9) Política General de Seguridad de la Información

1. Introducción El Servicio Geológico Colombiano (SGC), como Instituto de Ciencia y Tecnología, está comprometidocon el cumplimiento de sus funciones y reconoce la importancia de gestionar la información demanera segura. Con base en este compromiso, ha establecido, implementado y continuamentemejora su Sistema de Gestión de Seguridad de la Información (SGSI). Este sistema es esencial paraproteger los activos de información digital que el SGC genera y administra, asegurando suintegridad, confidencialidad y disponibilidad.

Conscientes de Jos riesgos identificados, la entidad implementa estrategias y controles adecuadospara establecer una gestión segura de sus procesos, garantizando la máxima protección posible delos activos de información. La seguridad de la información es, por tanto, un componente vital delSGC, estructurado como un sistema de gestión que se integra con la protección de datos personalesy la continuidad del negocio, en cumplimiento con los marcos normativos establecidos en Colombiapara las entidades públicas. El SGC considera que el conocimiento geocientífico es un pilar fundamental para el progreso socialy económico del país. Por lo tanto, los datos y la información generada en las etapas de investigacióny desarrollo de productos misionales se almacenan de manera integrada en fondos documentales yrepositorios institucionales, asegurando su confiabilidad para su entrega a los usuarios. El SGSIestablece los mecanismos necesarios para proteger, recuperar y conservar la información digital alo largo del tiempo, garantizando su integridad, confidencialidad y disponibilidad, consolidando asíUna cultura de seguridad y privacidad de la información dentro de la entidad.

2. Marco legal El SGC se acoge a las siguientes normas para el desarrollo y apropiación de su Política General deSeguridad de la Información: Constitución Política de Colombia, artículos 15, 209 y 269, Ley 1581 de 2012: Ley de Protección de Datos Personales.+ Ley 1712 de 2014: Ley de Transparencia y Acceso a la Información Pública Nacional.¢ Ley 1915 de 2018: modificación de la Ley 23 de 1982 sobre derechos de autor y conexos. Ley 1952 de 2019: Código General Disciplinario.» Decreto 2609 de 2012: Reglamento de Gestión Documental para las Entidades del Estado. Decreto 1377 de 2013: reglamento parcial de la Ley 1581 de 2012. Decreto 886 de 2014: Registro Nacional de Bases de Datos. Decreto 103 de 2015: reglamento parcial de la Ley 1712 de 2014.SERVICIOEOLOTICO ifCOLOMBIANO $

» Decreto 1074 de 2015: Decreto Único Reglamentario del Sector Comercio, Industria y Turismo.+ Decreto 1078 de 2015: Decreto Único Reglamentario del Sector de Tecnologías de la Informacióny las Comunicaciones.+ Decreto 1081 de 2015: Decreto Reglamentario de! Sector Presidencial.» Decreto 1083 de 2015: Decreto Único Reglamentario del Sector de Función Pública.+ Decreto 612 de 2018: integración de planes institucionales y estratégicos al Plan de Acción de lasentidades del Estado.+ Decreto 1378 de 2019: establece normas para la gestión de riesgos de seguridad digital en elámbito de las entidades del Estado, complementando las disposiciones sobre seguridad digital.+ Decreto 2106 de 2019: estrategia de seguridad digital para trámites y procedimientos digitales.+ Decreto 333 de 2021: en relación con la Ciberseguridad y Ciberdefensa en Colombia, enfocado enla protección de infraestructura crítica del Estado y servicios esenciales. Decreto 338 de 2022: lineamientos para la gobernanza de seguridad digital y respuesta a incidentes.+ Decreto 767 de 2022: este decreto establece disposiciones sobre la gestión de incidentes deciberseguridad e infraestructura crítica y dicta las directrices relacionadas con la seguridad digital en

el país.+ Resolución 2710 de 2017 - MinTIC: lineamientos para la implementación de la estrategia deseguridad digital en las entidades públicas. Resolución 500 de 2021: lineamientos para la adopción del Modelo de Seguridad y Privacidad de la Información.+ CONPES 3854 de 2016: Política Nacional de Seguridad Digital.+ CONPES 3995 de 2020: Política Nacional de Confianza y Seguridad Digital.+ Directiva Presidencial 02 de 2022: reiteración de la política pública en seguridad digital.+ Norma Técnica Colombiana NTC-ISO/IEC 27001: sobre sistemas de gestión de seguridad de lainformación, si se está utilizando un enfoque basado en estándares internacionales.

3. Objetivo general El objetivo del SGSI es establecer, implementar, mantener y mejorar continuamente un modelogeneral de criterios, directrices, condiciones y pautas para proteger los activos de información digitaldel SGC. Este modelo incluye la información generada y administrada por el SGC en cumplimientode sus funciones, así como sus procesos, sistemas de información, entidades interesadas y latransferencia de información. 3.1 Objetivos específicos e Fortalecer la cultura de prevención de riesgos: a través de la sensibilización y elentrenamiento continuo de funcionarios, contratistas, terceros y partes interesadas queusen los activos de información del SGC.e Gestionar oportunamente los riesgos: estableciendo e implementando planes detratamiento y mejorando continuamente los controles de seguridad. e Garantizar la disponibilidad de la información: haciéndola accesible y utilizable porentidades autorizadas mediante controles como copias de seguridad, enlaces de redredundantes, protección perimetral y defensa contra diferentes tipos de ataques.

e Asegurar la integridad de la información: manteniendo la precisión y confiabilidad de losdatos. e Preservar la confidencialidad: restringiendo el acceso a los sistemas de información críticospara el desarrollo de los procesos de la entidad. e Gestionar incidentes de seguridad: robusteciendo la infraestructura del SGC para enfrentarataques y amenazas informáticas. + Promover la continuidad de las operaciones: mediante la implementación de herramientasy estrategias que aseguren la operación continua de los servicios de Tecnologías de laInformación y la información digital.

4. Alcance La Política General de Seguridad de la Información aplica a todos los activos de información digitaldel SGC, cubriendo todas las fases de gestión y tratamiento de la información, incluyendo los canalesde comunicación utilizados para su recolección, transporte, almacenamiento, custodia,preservación, conservación o intercambio.

Esta política abarca todas las dependencias del SGC, de acuerdo con su organigrama institucional, yaplica a todos los procesos de la entidad. La política será difundida entre todos los funcionarios, contratistas, terceros y partes interesadascon vínculos contractuales con el SGC. Su cumplimiento es obligatorio para todas las personas quegeneren, accedan o utilicen información de la entidad, a fin de garantizar su confidencialidad,integridad y disponibilidad.

5. Compromisos del SGC El SGC, como responsable de la custodia, integridad, conservación, disponibilidad, clasificación,confidencialidad y tratamiento seguro de la información que produce y gestiona, se compromete aestablecer estrategias, lineamientos, protocolos, controles, proyectos, programas, planes ymecanismos que garanticen el tratamiento seguro de la información por parte de sus colaboradores.

Este compromiso incluye una gestión adecuada de los riesgos, el cumplimiento de los requisitoslegales y la satisfacción de las necesidades de la entidad y las partes interesadas en materia deseguridad de la información digital.

6. Roles y responsabilidades La adecuada gestión de la seguridad de la información dentro del SGC requiere la participación demúltiples actores, cada uno con responsabilidades específicas. A continuación, se detallan los rolesy responsabilidades clave para garantizar la correcta implementación y mantenimiento del SGSI: 6,1 Alta dirección La alta dirección del SGC tiene la máxima responsabilidad del SGSI y debe garantizar suimplementación, mantenimiento y mejora continua. Sus responsabilidades incluyen: Responsabilidad directa: la alta dirección es responsable de cualquier incidente de seguridadsignificativo que afecte los activos de información del SGC. En caso de un incidente, asumirálas consecuencias administrativas y legales derivadas de dicho suceso.

Provisión de recursos: garantizará la asignación de recursos humanos, técnicos y financierosnecesarios para la implementación efectiva del SGSI.

Monitoreo y auditoría: asegurar que se realicen auditorías periódicas para verificar laefectividad del sistema de seguridad de la información y aplicar medidas correctivas si es necesario.

Cumplimiento normativo: garantizar que la entidad cumpla con las normativas legalesvigentes en materia de seguridad de la información, 6.2 Oficial de Seguridad de la Información (OSI) El Oficial de Seguridad de la Información (OSI) es el responsable de la supervisión operativadel SGSI. Sus principales responsabilidades son: Supervisión y control: supervisar la implementación de las políticas de seguridad de lainformación y garantizar que se cumplan los controles establecidos.Gestión de incidentes: coordinar la gestión de incidentes de seguridad, desde su detecciónhasta la resolución.

Sensibilización: desarrollar programas de sensibilización y concientización en seguridad de lainformación para todo el personal.

Auditorías y revisiones: participar en la planificación y ejecución de auditorías internas yrevisiones periódicas dei SGSI, 6.3 Responsables de áreas funcionales Los responsables de áreas funcionales tienen la tarea de asegurar que las políticas deseguridad de la información se implementen adecuadamente dentro de sus respectivas áreas.Entre sus responsabilidades están: Cumplimiento local: asegurar que los procesos bajo su supervisión cumplan con las políticasy procedimientos de seguridad de la información.

Reportes de vulnerabilidades: informar al OSI sobre cualquier vulnerabilidad o incidente deseguridad que afecte los activos de información de su área.

Protección de activos: garantizar que los activos de información bajo su control esténprotegidos de acuerdo con las políticas de la entidad. 6.4 Usuarios finales Todos los usuarios finales del SGC, incluidos funcionarios, contratistas y terceros, sonresponsables de: Cumplir con las políticas de seguridad: adherirse estrictamente a las políticas yprocedimientos establecidos para la seguridad de la información.

Confidencialidad: mantener la confidencialidad de la información a la que tienen acceso y nocompartirla sin la debida autorización.

Reportar incidentes: notificar al Responsable de Seguridad de la Información de inmediatosobre cualquier incidente de seguridad o actividad sospechosa que pudiera comprometer laseguridad de la información. 6.5 Administradores de servicios de Tl y administradores de sistemasLos administradores de servicios de Tl y los administradores de sistemas comparten laresponsabilidad de implementar y mantener los controles técnicos que aseguren la

pm secta Les EGEOLÓGICO ECOLOMBIANO 14 protección de los sistemas de información del SGC. Entre sus responsabilidades están: Gestión de accesos: asegurar que solo el personal autorizado tenga acceso a los sistemas deinformación.

Actualizaciones y mantenimiento: mantener los sistemas actualizados y aplicar parches deseguridad según sea necesario para garantizar que los servicios de Tl estén protegidos contravulnerabilidades.

Monitoreo continuo: realizar un monitoreo constante de los sistemas y servicios de Tl paradetectar y prevenir posibles amenazas y asegurar la continuidad del servicio.

7. Control de versiones Versión Fecha Descripción1 Diciembre de 2022 TIOS la política de gestión de seguridad de lainformación.2 Enero de 2025 Aprobación de la política por el Comité de Gestión yDesempeño, Esta política será publicada y difundida a todos los funcionarios, colaboradores y terceros.

ALLHECTOR JULIO FIERRO MORALESDirector GeneralServicio Geológico Colombiano Elaboró: Andrea Catherine Neira Bustamante - Contratista DGIRevisó: Alberto García Bolívar— Director de Gestión de InformaciónGloria Stella Torres ~ Coordinadora GT Gestión de Plataforma de Tecnologías deInformaciónÓscar Omar Gómez Calderón — Jefe de la Oficina Asesora JuridicaAprobó: Comité Institucional de Gestión y Desempeño