SSPD - Manual de políticas complementarias del sistema de gestión de seguridad y privacidad de la información

MANUAL DE POLÍTICAS COMPLEMENTARIAS DEL SISTEMA DE GESTIÓN DE

SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN

Código DE-M-004 Versión 7

JUNIO, 2024MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN

TABLA DE CONTENIDO

1. OBJETIVO..................................................................................................................... 3

2. ALCANCE...................................................................................................................... 3

3. FUNDAMENTO LEGAL................................................................................................. 3

4. DEFINICIONES.............................................................................................................. 6

5. CONTENIDO................................................................................................................ 10 5.1. POLÍTICA SEGURIDAD RECURSOS HUMANOS............................................ 10 5.2. POLÍTICA USO ACEPTABLE ACTIVOS INFORMACIÓN.................................. 11 5.3. POLÍTICA CLASIFICACIÓN Y MANEJO INFORMACIÓN................................. 11 5.4. POLÍTICA DE SEGURIDAD FÍSICA Y DEL ENTORNO.....................................12 5.5. POLÍTICA SOBRE EL USO DE CONTROLES Y LLAVES CRIPTOGRÁFICAS13 5.6. POLÍTICA DE ESCRITORIO LIMPIO Y PANTALLA LIMPIA.............................. 14 5.7. POLÍTICA DE RESPONSABILIDADES FRENTE A LA SEGURIDAD DE LA INFORMACIÓN.............................................................................................................. 14 5.8. POLÍTICA DE USO DE LA INFRAESTRUCTURA TECNOLÓGICA.................. 15 5.9. POLÍTICA DE USO DE LA RED......................................................................... 18 5.10. POLÍTICA DE USO DE INTERNET.................................................................... 19

5.11. POLÍTICA PARA EL TELETRABAJO Y EL ACCESO REMOTO........................ 20 5.12. POLÍTICA PARA LA REALIZACIÓN DE TRABAJO REMOTO...........................20 5.13. POLÍTICA DE CONTROL DE ACCESO Y USO DE CONTRASEÑAS...............21 5.14. POLÍTICA DE ADMINISTRACIÓN DEL INVENTARIO DE LA INFRAESTRUCTURA TECNOLÓGICA.............................................................................................................. 22 5.15. POLÍTICA PARA DISPOSITIVOS MÓVILES...................................................... 23 5.16. POLÍTICA DE USO DEL CORREO ELECTRÓNICO INSTITUCIONAL.............24 5.17. POLÍTICA DE COPIAS DE RESPALDO............................................................ 26 5.18. POLÍTICA DE PROTECCIÓN CONTRA CÓDIGO MALICIOSO........................ 27 5.19. POLÍTICA DE INTERCAMBIO DE INFORMACIÓN........................................... 28 5.20. POLÍTICA DE DESARROLLO SEGURO........................................................... 29 5.21. POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN PARA LA RELACIÓN CON LOS PROVEEDORES.................................................................................................... 31 5.22. POLÍTICA DE GESTIÓN DE LOS INCIDENTES DE SEGURIDAD DE LA INFORMACIÓN.............................................................................................................. 32 5.23. POLÍTICA DE GESTIÓN DE LA CONTINUIDAD TECNOLÓGICA.................... 33 5.24. POLÍTICA PARA LA GESTIÓN DE DERECHOS DE ACCESO PRIVILEGIADO33 5.25. POLÍTICA USO DE PUERTOS USB.................................................................. 34 5.26. POLÍTICA OPERACIONAL................................................................................ 35 Código MI-F-005.V.1 Página 2 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN

1. OBJETIVO

Código MI-F-005.V.1 Página 2 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN

1. OBJETIVO Establecer los lineamientos que permitan el adecuado tratamiento de la información, en lo que respecta la preservación de su confidencialidad, integridad y disponibilidad, mediante la implementación de controles administrativos y técnicos que soportan el Sistema de Gestión de Seguridad y Privacidad de la Información en la entidad.

2. ALCANCE El presente Manual es aplicable a todos los procesos de la Superservicios y a todos sus colaboradores y terceros que presten sus servicios o tengan algún tipo de relación con la entidad.

3. FUNDAMENTO LEGAL ● Ley 527 de 1999, por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones. ● Ley 1221 de 2008, por la cual se establecen normas para promover y regular el Teletrabajo y se dictan otras disposiciones. ● Ley 1266 de 2008, por la cual se dictan las disposiciones generales del Habeas Data. ● Ley 1273 de 2009, por el cual se modifica el código penal, se crea un nuevo bien jurídico tutelado denominado "De la Protección de la información y de los datos". ● Ley 1437 de 2011, Capítulo IV. “Utilización de medios electrónicos en el procedimiento administrativo”. “Los procedimientos y trámites administrativos podrán realizarse a través de medios electrónicos. Para garantizar la igualdad de acceso a la administración, la autoridad deberá asegurar mecanismos suficientes y adecuados de

administrativo”. “Los procedimientos y trámites administrativos podrán realizarse a través de medios electrónicos. Para garantizar la igualdad de acceso a la administración, la autoridad deberá asegurar mecanismos suficientes y adecuados de acceso gratuito a los medios electrónicos, o permitir el uso alternativo de otros procedimientos.” ● Ley estatutaria 1581 de 2012, por el cual se dictan disposiciones generales para la protección de datos personales. ● Decreto 886 de 2014. Por el cual se reglamenta el Registro Nacional de Bases de Datos. ● Ley 1712 de 2014, por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se dictan otras disposiciones. ● Decreto 2573 de 2014 Por el cual se dictan los lineamientos generales de la estrategia de Gobierno en Línea. ● Decreto 103 de 2015. Por medio del cual se reglamenta parcialmente la Ley 1712 de 2014 y se dictan otras disposiciones. Código MI-F-005.V.1 Página 3 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN ● Decreto 1078 de 2015, por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones.

● Decreto 1078 de 2015, por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones. ● Decreto 1081 de 2015. Por medio del cual se expide el Decreto Reglamentario del Sector Presidencia. Parte 1 - Disposiciones reglamentarias generales. Título 1Disposiciones generales en materia de transparencia y del derecho de acceso a la información pública nacional. ● Decreto 728 de 2017, por el cual se adiciona el capítulo 2 al título 9 de la parte 2 del libro 2 del Decreto Único Reglamentario del sector TIC, Decreto 1078 de 2015, para fortalecer el modelo de Gobierno Digital en las entidades del orden nacional del Estado colombiano, a través de la implementación de zonas de acceso público a Internet inalámbrico. ● Decreto 1008 de 2018, por el cual se establecen los lineamientos generales de la política de Gobierno Digital y se subroga el capítulo del título 9 de la parte 2 del libro 2 del Decreto 1078 de 2015, Decreto Único Reglamentario del sector de Tecnologías de la Información y las Comunicaciones. ● Ley 1915 de 2018. Por la cual se modifica la Ley 23 de 1982 y se establecen otras disposiciones en materia de derecho de autor y derechos conexos. ● Manual de Gobierno Digital versión 7 de 2019, implementación de la política de

Gobierno Digital. ● Marco de interoperabilidad para el Gobierno Digital (2019). ● Ley 1952 de 2019, Por medio de la cual se expide el código general disciplinario se derogan la ley 734 de 2002 y algunas disposiciones de la ley 1474 de 2011, relacionadas con el derecho disciplinario. ● Resolución 1519 del 2020, sobre transparencia en el acceso a la información, accesibilidad web, seguridad digital web y datos abiertos. ● CONPES 3995 de 2019. Política nacional de confianza y seguridad digital. ● CONPES 3975 de 2019. Política nacional para la transformación digital e inteligencia artificial. ● Decreto 620 de 2020, por el cual se subroga el título 17 de la parte 2 del libro 2 del decreto 1078 de 2015, para reglamentarse parcialmente los artículos 53, 54, 60, 61 y 64 de la ley 1437 de 2011, los literales e), j) y literal a) del parágrafo 2 del artículo 45 de la ley 1753 de 2015, el numeral 3 del artículo 147 de la ley 1955 de 2019, y el artículo 9 del decreto 2106 de 2019, estableciendo los lineamientos generales en el uso y operación de los servicios ciudadanos digitales. ● Decreto 681 de 2020, por el cual se adiciona el título 19 a la parte 2 del decreto 1078 de 2015, decreto único reglamentario del sector de tecnologías de la información y las comunicaciones, para establecer las reglas para implementar el artículo 154 de la ley Código MI-F-005.V.1 Página 4 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

comunicaciones, para establecer las reglas para implementar el artículo 154 de la ley Código MI-F-005.V.1 Página 4 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN 1955 de 2019. ● Circular 01 de 2022 del Departamento Administrativo de la Presidencia de la República. Recomendaciones de uso de servicios en la nube como medida para mitigar riesgos de seguridad digital. ● Resolución 500 de 2021, por la cual se establecen los lineamientos y estándares para la estrategia de seguridad digital y se adopta el modelo de seguridad y privacidad como habilitador de la política de gobierno digital. ● Directiva 03 de 2021 de Presidencia de la República, lineamientos para el uso de servicios en la nube, inteligencia artificial, seguridad digital y gestión de datos. ● Directiva 02 de 2022 de Presidencia de la República, reiteración de la política pública en materia de seguridad digital. ● Resolución 460 de 2022 del Ministerio de Tecnologías de la Información y las Comunicaciones. Por la cual se expide el Plan Nacional de Infraestructura de Datos y Su hoja de ruta en el desarrollo de la Política de Gobierno Digital, y se dictan los lineamientos generales para su implementación. ● Resolución 746 de 2022 del Ministerio de Tecnologías de la Información y las Comunicaciones, por la cual se fortalece el modelo de Seguridad y Privacidad de la

Información y se definen lineamentos adicionales a establecidos en la Resolución No. 500 de 2021. ● Decreto Presidencial 88 de 2022. Por el cual se adiciona el Título 20 a la Parte 2 del Libro 2 del Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, Decreto 1078 de 2015, para reglamentar los artículos 3, 5 Y 6 de la Ley 2052 de 2020, estableciendo los conceptos, lineamientos, plazos y condiciones para la digitalización y automatización de trámites y su realización en línea. ● Decreto 255 de 2022 del Ministerio de Comercio, Industria y Turismo. Por el cual se adiciona la Sección 7 al Capítulo 25 del Título 2 de la Parte 2 del Libro 2 de/ Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, sobre normas corporativas vinculantes para la certificación de buenas prácticas en protección de datos personales y su transferencia a terceros países. ● Decreto 338 de 2022 del Ministerio de Tecnologías de la Información y las Comunicaciones. Por el cual se adiciona el Título 21 a la Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, Con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones. ● Resolución 01117 de 2022 del Ministerio de Tecnologías de la Información y las

seguridad digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones. ● Resolución 01117 de 2022 del Ministerio de Tecnologías de la Información y las Comunicaciones. Por la cual se establecen los lineamientos de transformación digital para las estrategias de ciudades y territorios inteligentes de las entidades territoriales, Código MI-F-005.V.1 Página 5 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN en el marco de la Política de Gobierno Digital. ● Decreto 767 de 2022 de Presidencia de la República. Por el cual se establecen los lineamientos generales de la Política de Gobierno Digital y se subroga el Capítulo 1 del Título 9 de la Parte 2 del Libro 2 del Decreto 1078 de 2015, Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones. ● Ley 2294 de 2023. Por el cual se expide el Plan Nacional de Desarrollo 2022-2026 "Colombia Potencia Mundial de la Vida”. Artículo 143. Transformación digital como motor de oportunidades e igualdad; Artículo 144. fortalecimiento del sector TIC.

4. DEFINICIONES ● Activos: Un activo de información es un elemento definible e identificable que almacena registros, datos o información en cualquier tipo de medio y que es reconocida como vital para la operación de Superservicios. ● Áreas seguras: edificios, oficinas o lugares en donde se produce o se realiza la custodia de información crítica, es decir, aquella calificada como información pública clasificada o pública reservada, o información sensible, es decir, aquellos que afectan

● Áreas seguras: edificios, oficinas o lugares en donde se produce o se realiza la custodia de información crítica, es decir, aquella calificada como información pública clasificada o pública reservada, o información sensible, es decir, aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política y las convicciones religiosas o filosóficas, entre otros. ● Borrado seguro: método de borrado de archivos basado en software cuya función es sobrescribir los datos con el propósito de destruir completamente todos los datos electrónicos que residen en una unidad de disco duro u otros medios de almacenamiento. ● Cifrado: aquello cuya escritura se desarrolla con cifras, es decir, con signos que se utilizan y solo pueden ser comprendidos por personas que tienen acceso a dicho código o clave correspondiente. ● Código malicioso: son programas que tienen como objetivo acceder a un sistema operativo o sistema de información sin que se detecte su presencia. Los programas podrían: robar credenciales, datos bancarios, información y secuestrar los equipos de cómputo. ● Confidencialidad: principio de seguridad de la información que requiere que la información sea accesible de forma única a las personas que se encuentran autorizadas. Código MI-F-005.V.1 Página 6 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN ● Continuidad tecnológica: capacidad de la Oficina de Tecnologías de la Información y las Comunicaciones de la entidad, OTIC, para continuar la oferta de servicios

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN ● Continuidad tecnológica: capacidad de la Oficina de Tecnologías de la Información y las Comunicaciones de la entidad, OTIC, para continuar la oferta de servicios tecnológicos dentro de un periodo de tiempo aceptable a una capacidad predefinida durante una interrupción de la operación o la ocurrencia de un desastre natural. ● Directorio activo: es un servicio de directorio para su uso en un entorno Windows. Se trata de una estructura de base de datos que comparte información de infraestructura para localizar, proteger, administrar y organizar los recursos del equipo y de la red, como usuarios, archivos, grupos e impresoras. ● Disponibilidad: principio de seguridad de la información que requiere que los sistemas de información o aplicaciones se mantengan trabajando sin sufrir ninguna degradación en cuanto a accesos. Es necesario que se ofrezcan los recursos que requieran los usuarios autorizados cuando se necesiten. ● Dispositivos móviles: para la Superservicios los dispositivos móviles corresponden a los equipos portátiles que son de su propiedad, los cuales son asignados para algunos funcionarios, jefes de oficina o coordinadores, y aquellos equipos que no están bajo su custodia. ● Dispositivos removibles: son dispositivos de almacenamiento independientes de los equipos de cómputo de escritorio y portátiles de la entidad y que pueden ser transportados libremente. Entre estos dispositivos se encuentran entre otros, los discos duros portátiles y las memorias USB.

● EDR: Detección y respuesta de punto finalEndpoint Detection and Response, es un endpoint de respuesta de seguridad automatizado para reducir de forma proactiva la superficie de ataque, previene la infección de malware, detecta y desactiva posibles amenazas inmediatamente, y automatiza procedimientos de respuesta y corrección con manuales de estrategias personalizables en cualquier dispositivo viejo o actual con sistema operativo Windows, macOS y Linux. ● Incidente de seguridad y privacidad de la información: se define como un acceso, intento de acceso, uso, divulgación, modificación o destrucción no autorizada de información, un impedimento en la operación normal de las redes, sistemas o recursos informáticos o violación a una de las Políticas Complementarias del Sistema de Gestión de Seguridad y Privacidad de la Información. ● Información pública: Es la agrupación ordenada de datos públicos, que permite otorgarle a los datos una utilidad y uso en determinado contexto, y que se genera a partir del desarrollo de actividades para el funcionamiento del Estado, es decir de los Código MI-F-005.V.1 Página 7 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN registros periódicos de las actividades misionales de las entidades, o como consecuencia del ejercicio de funciones de rutina en el Estado. ● Información pública clasificada: es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio,

particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado, siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados consagrados en el artículo 18 de la Ley 1712 de 2014. ● Información pública reservada: es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, es exceptuada de acceso a la ciudadanía por daño a intereses públicos y bajo cumplimiento de la totalidad de los requisitos consagrados en el artículo 19 de la Ley 1712 de 2014. ● Infraestructura tecnológica (Recursos tecnológicos): es el conjunto de hardware, software y telecomunicaciones que posee la entidad junto con sus herramientas de gestión, para soportar y apoyar todas las operaciones que están a cargo de la Oficina de Tecnologías de la Información y las Comunicaciones, OTIC. ● Infraestructura computacional: Dispositivos de hardware con sistemas operativos y periféricos. ● Integridad: principio de seguridad de la información que requiere que la información se mantenga inalterada ante incidentes o intentos maliciosos y sólo puede ser modificada mediante autorización. ● Interrupción baja: es la materialización de una amenaza de tipo físico y/o lógico en cualquiera de los sistemas de información, aplicación y/o herramientas críticas informáticas en la entidad. ● Jefe Autorizador : funcionario de la SSPD con rol de Superintendente / secretaria general / Jefe de Oficina /Superintendente Delegado / Director / Coordinador ● Portal cautivo: formulario dispuesto para el acceso a la red Wifi – Invitado con el objetivo de poder acceder a esta red inalámbrica.

general / Jefe de Oficina /Superintendente Delegado / Director / Coordinador ● Portal cautivo: formulario dispuesto para el acceso a la red Wifi – Invitado con el objetivo de poder acceder a esta red inalámbrica. ● Redes privadas virtuales (Virtual Private Network): es una tecnología de red que se utiliza para conectar una o más computadoras a una red privada utilizando Internet. La Superservicios utiliza estas redes para que sus funcionarios puedan conectarse a la intranet y a los diferentes sistemas de información de manera remota. Código MI-F-005.V.1 Página 8 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN ● Repositorio: es un sitio donde se almacena y mantiene información digital de la entidad y se consideran repositorios oficiales: el servidor de archivos (file server), Google Drive y los sistemas de información ● Sistema de información: un sistema de información es un conjunto de datos que interactúan entre sí, que ayudan a administrar, recolectar, recuperar, procesar, almacenar y distribuir información relevante para el cumplimiento de objetivos estratégicos de la entidad y los objetivos de sus procesos. ● Teletrabajo: forma de organización laboral que consiste en el desempeño de actividades remuneradas o prestación de servicios a terceros utilizando como soporte las tecnologías de información y comunicación para el contacto entre el trabajador y la entidad, sin requerirse la presencia física del trabajador en sitio específico de trabajo

(según la Ley 1221 de 2008 y el Decreto reglamentario 0884 de 2012. ● Token: dispositivo físico donde se almacena el certificado digital de función pública del usuario, para poder interactuar con el aplicativo SIIF Nación. ● Wifi – Libre: red inalámbrica de acceso público a internet dispuesta por la entidad para el fortalecimiento del modelo de Gobierno Digital, de acuerdo con el Decreto 728 de 2017. Este servicio funciona en territoriales y en la sede de la Calle 84. ● Wifi – Invitados: red inalámbrica de acceso a internet dispuesta por la entidad para las personas que llegan a las sedes de la entidad como invitados de alguno de los colaboradores de la entidad. ● Wifi – SSPD: red inalámbrica dispuesta por la entidad para proveer el servicio de internet a los colaboradores de la entidad.

5. CONTENIDO 5.1. POLÍTICA SEGURIDAD RECURSOS HUMANOS Objetivo: Sensibilizar e informar de forma continua a los colaboradores sobre las políticas que afectan el desarrollo de sus funciones y de sus responsabilidades en materia de seguridad y privacidad de la información.

a. Antes del ingreso de los colaboradores a la Superservicios, tanto el grupo de contratos y adquisiciones como el grupo de administración de personal, deben asegurar durante el proceso de selección, la implementación de un mecanismo de verificación de antecedentes ajustado a la ley. b. Durante el ingreso de los colaboradores a la Superservicios, tanto el grupo de Código MI-F-005.V.1 Página 9 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN

Código MI-F-005.V.1 Página 9 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN contratos y adquisiciones como el grupo de administración de personal, deben asegurar el diligenciamiento de la documentación relacionada con el tratamiento de datos personales y de seguridad de la información. c. El Oficial de Seguridad de la Información, a cargo de la Jefa de la Oficina Asesora de Planeación e Innovación Institucional, OAPII, es el responsable de implementar todo el tema de apropiación y sensibilización en los temas de seguridad y privacidad de la información para todos colaboradores, a través de los canales institucionales establecidos. d. Los líderes de los procesos deben reportar las novedades del personal a su cargo y los sistemas de información o aplicaciones involucrados a la Oficina de Tecnologías de la Información y las Comunicaciones, OTIC, a través de la documentación correspondiente, que permita dar el cumplimiento con la gestión de usuarios y la correspondiente devolución de los activos que tenían a su cargo (dispositivo móvil, equipo de cómputo y carné, entre otros). 5.2. POLÍTICA USO ACEPTABLE ACTIVOS INFORMACIÓN Objetivo: Definir las reglas necesarias para realizar la identificación de los activos de información. a. Los activos de información son reconocidos como valiosos por cada líder de proceso y debe asegurar la designación de los propietarios de los activos de información al momento de su creación. b. El líder de proceso debe mantener actualizado el inventario de los activos de información involucrados en el desarrollo de sus actividades.

debe asegurar la designación de los propietarios de los activos de información al momento de su creación. b. El líder de proceso debe mantener actualizado el inventario de los activos de información involucrados en el desarrollo de sus actividades. c. El Oficial de Seguridad de la Información, liderará el ejercicio de actualización del registro de activos de información y del índice de información clasificada y reservada, y se realizará al menos una vez cada dos (2) años. d. Los líderes de proceso y los propietarios de los activos de información deben utilizar los repositorios oficiales establecidos por la entidad, con el fin de mantener la confidencialidad, integridad y disponibilidad de estos. 5.3. POLÍTICA CLASIFICACIÓN Y MANEJO INFORMACIÓN Objetivo: Establecer la normativa que le permita a los usuarios conocer qué medidas de protección mínimas aplica para la clasificación y manejo de la información. a. Los líderes de los procesos deben cumplir con los mecanismos y procedimientos establecidos en la entidad para la adecuada clasificación, calificación, manejo y tratamiento de los activos de información, de acuerdo con la Ley 1712 de 2014 y la documentación establecida por la entidad para tal fin. Código MI-F-005.V.1 Página 10 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN

b. Los líderes de los procesos deben cumplir con los mecanismos y procedimientos

definidos para la eliminación o destrucción de los activos de información. c. Los líderes de los procesos deben validar de manera periódica las restricciones y clasificaciones de acceso a los activos de información críticos, de acuerdo con la política de control de acceso y uso de contraseñas. d. Los líderes de los procesos, en el caso de que se requiera, deben gestionar la creación de Unidades Compartidas en el DRIVE para el manejo de la información relacionada con las evidencias de los planes de acción a su cargo, así como las de los contratistas para el cumplimiento de los informes de actividades. 5.4. POLÍTICA DE SEGURIDAD FÍSICA Y DEL ENTORNO Objetivo: Evitar accesos físicos no autorizados a las instalaciones de la Superservicios, para que la información de la entidad no se vea afectada en su confidencialidad, integridad o disponibilidad. a. Mientras permanezcan en las instalaciones de la entidad, todas las personas deben portar en lugar visible su identificación como visitante o carné que lo acredite como funcionario o contratista. b. Los visitantes deben permanecer acompañados de un funcionario, contratista o personal de vigilancia privada, cuando se encuentren en las oficinas o áreas donde se maneje información de la entidad. c. Es responsabilidad de todos los funcionarios y contratistas de la Superservicios, borrar la información escrita en los tableros o pizarras de las oficinas o salas de la entidad al finalizar las reuniones de trabajo; igualmente, no se deben dejar documentos o notas escritas sobre las mesas al finalizar dichas reuniones.

d. El horario autorizado para recibir visitantes en las instalaciones de la Superservicios estará sujeto a los lineamientos establecidos por Secretaría General. e. El ingreso de funcionarios, contratistas y visitantes durante los fines de semana y días festivos debe ser reportado con mínimo 24 horas de anterioridad. La respectiva solicitud deberá realizarse con el visto bueno del jefe inmediato, dentro del horario laboral (7:00 a.m. a 4:00 p.m.), por correo electrónico, indicando los datos completos y horario de autorización, y en el caso de requerir ingreso de terceros sustentando la necesidad de autorizar el ingreso en el horario y día no laboral, recordando que para la Sede 84 y CIVIS en Bogotá deberá dirigirse a la Dirección Administrativa a través de la Coordinación del Grupo de Servicios Administrativos y a Nivel Nacional al Director Territorial respectivo.. f. Los dispositivos removibles de propiedad de la Superservicios, así como toda información clasificada y reservada de la Superservicios, independiente del medio en que se encuentre, deben permanecer protegidos permanentemente. Código MI-F-005.V.1 Página 11 de 34MANUAL DE POLÍTICAS

COMPLEMENTARIAS DEL SISTEMA DE

GESTIÓN DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN

g. La Superservicios cuenta con cámaras de video vigilancia, con el fin de preservar la seguridad de sus colaboradores, así como monitorear y registrar las actividades realizadas dentro de sus instalaciones.

h. Las áreas seguras, dentro de las cuales se encuentran el centro de cómputo, centros de cableado, áreas de archivo, áreas de recepción y entrega de correspondencia, cuentan con mecanismos de protección física y ambiental; además de controles de acceso adecuados para la protección de la información.

1. En las áreas seguras establecidas en la Superservicios, en ninguna circunstancia se puede fumar, consumir alimentos ni bebidas.

j. El personal de limpieza debe tener precauciones durante el proceso