Política de Seguridad de la Información

Propósito

Establecer estándares y directrices para proteger la información, activos y reputación de la organización, garantizando cumplimiento regulatorio, contractual y buenas prácticas de seguridad.

Alcance

Aplica a todas las personas, procesos y tecnologías involucradas en el desarrollo, mantenimiento y entrega de software y servicios tecnológicos de la organización (Sitio, SaaS, Consultoría, Soporte).

Liderazgo y Gobernanza

• La gerencia respalda activamente la seguridad de la información, define roles y responsabilidades y asegura recursos y capacitación adecuados.
• La Junta Directiva supervisa de manera independiente los controles y políticas, incluyendo la participación de asesores externos si es necesario.
• Todos los miembros del personal y partes interesadas deben cumplir la política; las violaciones generan acciones disciplinarias proporcionales.

Roles y Responsabilidades

• Roles claros y documentados en: Gerencia, Seguridad de la Información, TI, Finanzas, RH y Desarrollo.
• Segregación de funciones para garantizar independencia en actividades críticas.
• Capacitación continua y comunicación de expectativas de seguridad según cada rol.

Cumplimiento y Contratos

• Todos los colaboradores y contratistas deben firmar cláusulas de confidencialidad y propiedad intelectual.
• Las responsabilidades de seguridad vigentes después de la terminación o cambio de empleo se definen y comunican formalmente.
• Se garantiza educación y capacitación continua en seguridad de la información.

Gestión de Riesgos y Ciberseguridad

• Identificar, evaluar, tratar y monitorear riesgos de información.
• Integrar la gestión de riesgos de ciberseguridad en la toma de decisiones estratégicas, operacionales y de proyecto.
• Documentar riesgos, medidas de mitigación y riesgo residual.
• Revisión periódica de políticas, controles y procesos frente a cambios legales, regulatorios y amenazas emergentes.

Operación del SGSI (Sistema de Gestión de Seguridad de la Información)

• Mantener políticas, estándares y procedimientos documentados, actualizados y accesibles.
• Capacitar al personal y evaluar competencias para cumplir con sus roles.
• Documentar excepciones y desviaciones con aprobación de Gerencia y Equipo de Seguridad.
• Revisar periódicamente las actividades de control y ajustar según necesidades del entorno de seguridad.

Procedimientos Operativos

• Documentar procedimientos para actividades críticas, nuevas o poco frecuentes.
• Especificar responsables, configuraciones, manejo de información, respaldo, monitoreo, mantenimiento y contactos de soporte.
• Revisar y actualizar procedimientos según cambios significativos.

Contacto con Autoridades y Partes Interesadas

• Informar a Gerencia y autoridades en caso de incidentes que violen normas legales, regulatorias o contractuales.
• Mantener comunicación regular con clientes, auditores, socios, medios y personal interno sobre seguridad de la información.
• Considerar impacto de terceros en estructuras, roles y responsabilidades.

Legislación y Regulaciones

• Cumplir con GDPR, CCPA y leyes locales equivalentes de protección de datos.
• Identificar y cumplir regulaciones específicas de la industria.
• Incorporar cambios legales y regulatorios al SGSI para minimizar riesgos legales.

Reporte y Canales Confidenciales

• Reuniones periódicas para revisar riesgos, desempeño de controles y actualizar documentos.
• Canales confidenciales para reportar violaciones o problemas de seguridad, garantizando anonimato o confidencialidad.

Monitoreo y Revisión

• Auditorías internas y revisiones periódicas del SGSI para asegurar cumplimiento, efectividad y mejora continua.
• Identificar áreas de mejora, implementar acciones correctivas y preventivas.
• La Gerencia recibe actualizaciones regulares sobre desempeño y acciones correctivas para garantizar la efectividad continua del SGSI.

Mejora Continua

• Evaluar regularmente la efectividad del SGSI y realizar ajustes para mejorar la seguridad de la información.
• Documentar hallazgos, acciones y resultados para aprendizaje organizacional y trazabilidad.

Última modificación: 24 de noviembre de 2025