Política de Documentos y Registros

Propósito

Establecer cómo se clasifica, maneja y gestiona la información y los registros de la organización para proteger su confidencialidad, integridad y disponibilidad.

Objetivos

• Asegurar que el personal comprenda la importancia de clasificar y manejar adecuadamente la información.
• Definir cómo se clasifica, protege y gestiona la información y los registros.
• Establecer directrices claras para el tratamiento de información sensible y confidencial.

Alcance

Aplica a todos los colaboradores, contratistas y terceros que acceden o gestionan información dentro del sistema de gestión de seguridad de la información de la organización.

Clasificación de Información y Registros

La información se clasifica en tres categorías:

Confidencial
Información cuyo acceso no autorizado puede dañar a la organización. Ejemplos: información financiera interna, estrategias, secretos comerciales.

Sensible
Información cuyo acceso no autorizado puede afectar a personas. Ejemplos: datos personales, información médica, datos confidenciales de clientes.

Pública
Información destinada a ser divulgada externamente. Ejemplos: comunicados oficiales, contenido de marketing, reportes públicos.

Manejo de Información y Registros

El manejo debe ajustarse a la clasificación:

• Confidencial y sensible:

  • Acceso solo con necesidad legítima.
  • Uso exclusivo para el propósito definido.
  • Almacenamiento en ubicaciones seguras (cifrado en reposo y en tránsito).
  • Transmisión mediante métodos seguros (correo cifrado, SFTP, etc.).
  • No divulgar a personas no autorizadas, dentro o fuera de la organización.

• Pública:

  • Puede compartirse según las necesidades de comunicación de la organización.

Etiquetado de Documentos

Las etiquetas estandarizan el manejo de la información:

Público
Para documentos sin información sensible. Pueden divulgarse libremente.

Privado
Para documentos confidenciales. Acceso restringido a personas autorizadas. Requiere protección y manejo cuidadoso.

Usuarios autenticados
Para documentos sensibles que requieren autenticación previa. Mayor nivel de control y protección.

Retención de Documentos y Registros

• Registros de Recursos Humanos: retención hasta 7 años.
• Registros financieros: retención hasta 12 años.
• Una vez cumplido el periodo de retención, los registros deben eliminarse de forma segura.

Gestión de Registros

Los registros deben gestionarse según su clasificación y periodo de retención. La eliminación debe realizarse de forma segura para evitar accesos posteriores no autorizados.

Responsabilidades

Todo el personal y terceros deben:

• Clasificar correctamente la información.
• Proteger la información sensible y confidencial.
• Acceder solo a lo necesario para sus funciones.
• Almacenar y transmitir información sensible mediante métodos seguros.
• Evitar divulgaciones no autorizadas.
• Reportar incidentes de acceso, uso o divulgación indebida.
• Gestionar los registros siguiendo los periodos de retención establecidos.

Monitoreo y Revisión

La política se revisa regularmente para mantener su vigencia y alineación con buenas prácticas. Cualquier actualización debe ser aprobada por la gerencia y el equipo de seguridad. Los cambios se comunicarán y se actualizarán las capacitaciones según corresponda.

Última modificación: 24 de noviembre de 2025