Resolución 722 de 2015 Empresa de Transporte del Tercer Milenio

RESOLUCIÓN 722 DE 2015

(Diciembre 01)

(Derogada por el art. 2, Resolución 380 de 2019)

Por la cual se modifican la Resoluciones 078 del 31 de Julio de 2000, con el fin de actualizar el Manual de Procedimientos de la Empresa de Transporte del Tercer Milenio TRANSMILENIO S.A.

EL JEFE DE LA OFICINA ASESORA DE PLANEACIÓN DE LA EMPRESA DE TRANSPORTE DEL TERCER MILENIO “TRANSMILENIO S.A.”,

en ejercicio de sus facultades delegadas mediante la Resolución 278 de Julio de 2012, y

CONSIDERANDO:

Que de conformidad con lo señalado en el artículo segundo del Acuerdo 4 de 1999, corresponde a TRANSMILENIO S.A., la gestión, organización y planeación del servicio de transporte público masivo urbano de pasajeros en el Distrito Capital y su área de influencia, bajo la modalidad de transporte terrestre automotor.

Que cumpliendo con lo ordenado en el parágrafo único del artículo 1º de la Ley 87 de 1993, se adoptó el Manual de Procedimientos de TRANSMILENIO S.A., según Resolución 078 de 2000.

Que mediante Acuerdo 002 de 2011 de la Junta Directiva de la EMPRESA DE TRANSPORTE DEL TERCER MILENIO – TRANSMILENIO S.A.” se determinaron las funciones de las dependencias.

Que siendo TRANSMILENIO S.A., el ente gestor del Sistema Integrado de Transporte Público, considera necesario actualizar el Manual de Procedimientos de la Entidad, con el objeto de ajustarlo a los nuevos parámetros, necesidades y desarrollo del Sistema TransMilenio y fijar las directrices y lineamientos del Personal de la Entidad y de los actores que intervienen en la Operación.

Que se requieren construir los procedimientos relacionados con la Gestión de la Seguridad de la Información en marco de cumplimiento de la NTD SIG 001:2011 acerca del Sistema Integrado de Gestión para las Entidades y Organismos Distritales,

Que la ISO-IEC 27001 establece los requisitos para la implementación del Sistema de la Seguridad de la Información y la ISO-IEC 27002 establece el código de buenas prácticas para la gestión de la seguridad de la Información,

Que en mérito de lo expuesto,

RESUELVE:

ARTÍCULO PRIMERO: (Derogado parcialmente por el art. 2°, Resolución 693 de 2018). Modificar las Resoluciones 078 del 31 de Julio de 2000, con el fin de actualizar el Manual de Procedimientos de la Empresa de Transporte del Tercer Milenio TRANSMILENIO S.A en lo que corresponde a la incorporación de los siguientes documentos:

Código	Versión	Nombre
P-DT-010	0	Procedimiento para el Monitoreo del uso de los medios de Procesamiento de Información (Eliminado por el art.1° Resolución 693 de 2018)
P-DT-011	0	Procedimiento para Otorgar Acceso a los Medios de Procesamiento de Información (Eliminado por el art.1° Resolución 693 de 2018)
P-DT-012	0	Procesamiento para el Intercambio Seguro de Información Electrónica

ARTÍCULO SEGUNDO: La presente Resolución rige a partir de su publicación en la Gaceta Distrital y deroga en su totalidad los procedimientos que le sean contrarios, los demás procedimientos no modificados con la presente resolución continúan vigentes.

PUBLÍQUESE Y CÚMPLASE.

Dada en Bogotá, el 1^er día del mes de diciembre del año 2015.

ANDRÉS ARBOLEDA SALAZAR

Jefe Oficina Asesora de Planeación

TÍTULO:

PROCEDIMIENTO PARA EL MONITOREO DEL USO DE LOS MEDIOS DE PROCESAMIENTO DE INFORMACIÓN

ALCALDÍA MAYOR DE BOGOTA

Código

P-DT-010

Versión

Fecha

Noviembre de 2015

TABLA DE CONTENIDO

1. OBJETO

2. ALCANCE

3. RESPONSABLE

4. DOCUMENTOS DE REFERENCIA

5. DEFINICIONES

6. CONDICIONES GENERALES (POLÍTICAS DE OPERACIÓN)

7. DESCRIPCIÓN DEL PROCEDIMIENTO

8. TABLA DE FORMATOS

ELABORÓ:

APROBÓ:

Página 1 de 15

PROFESIONAL ESPECIALIZADO_06 SEGURIDAD DE LA INFORMACION

DIRECTOR TÉCNICO DE TIC´S

1. OBJETO

Determinar los métodos, mecanismos, actividades y controles para la gestión del monitoreo del uso de los medios de procesamiento de la información utilizados en el desarrollo los Procesos y Dependencias de la Entidad.

2. ALCANCE

El alcance de este procedimiento y sus recomendaciones se extienden a todos los medios de procesamiento de información, sistemas automáticos y funcionalidades web, cuyo acceso y privilegios se conceden a través de mecanismo de autenticación usuario-password, utilizados por funcionarios, contratistas que desarrollen labores de asesoría, consultoría, implementación, soporte o mantenimiento demás personas que sin ser de planta de la entidad, tienen un nivel de vinculación o brindan algún tipo de servicio dentro de las instalaciones de Transmilenio.

A partir de la fecha de su expedición y hasta que se promulguen nuevos lineamientos. La revisión y/o actualización de este procedimiento deberá realizarse como mínimo una (01) vez al año.

3. RESPONSABLES

1. El responsable por la elaboración y mantenimiento de este documento es el Profesional Especializado (06) de Seguridad de la Información de la Dirección de la Dirección de Tecnología de la Información y las comunicaciones (TIC´s).

2. Por el desarrollo de los niveles de cumplimiento e implementación del procedimiento velará el Director Técnico de TIC´s y el Profesional Especializado (06).

3. Por la implementación, ejecución y monitoreo del procedimiento será responsable el área de soporte de la Dirección de TIC´s y los Profesionales que administren medios de procesamiento de información.

4. La Oficina de Control Interno de TRANSMILENIO S.A., hará seguimiento del procedimiento en las instancias pertinentes.

4. DOCUMENTOS DE REFERENCIA

• Constitución Política de Colombia de 1991

Artículo 2.	Fines Esenciales del Estado.
Artículo 6.	Responsabilidad de los servidores públicos.
Artículo 15.	Derecho a la Intimidad. Hábeas Data.
Artículo 20.	Derecho a la Información.
Artículo 74.	Libre Acceso a Documentos Públicos.
Artículo 122.	Desempeño de Funciones Públicas.
Artículo 123.	Desempeño de funciones de los Servidores Públicos.
Artículo 209.	Fines de la Función Administrativa.
Artículo 269.	Métodos y Procedimientos de Control Interno.

* Ley 23 de 1982: Ley emitida por el Congreso de la República de Colombia, acerca de la Propiedad Intelectual y los Derechos de autor.

* Ley 734 de 2002. “Por la cual se expide el Código Disciplinario Único”.

* Ley 527 de 1999: por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones

* Ley 603 del 2000: Ley emitida por el Congreso de la República de Colombia, acerca del cumplimiento de las Normas de Propiedad Intelectual

* Ley 1520 de 2012: Por medio de la cual se implementan compromisos adquiridos por virtud del “Acuerdo de Promoción Comercial”, suscrito entre la República de Colombia y los Estados Unidos de América y su “Protocolo Modificatorio, en el Marco de la Política de Comercio Exterior e Integración Económica”

* Ley 1266 de 2008: Por la cual se dictan las disposiciones generales del Habeas Data y se regula el manejo de la información contendida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.

* Ley 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales, habeas data

* Ley 1341 de 2009: Por la cual se definen Principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones -TIC-, se crea la Agencia Nacional del Espectro y se dictan otras disposiciones acerca de la protección de los derechos de los usuarios.

* Reglamento Interno de trabajo de TRANSMILENIO S.A. documento que se establece como norma reguladora de las relaciones internas de la Empresa con los trabajadores adscritos a ella.

* Decreto 1360 de 1989: Por el cual se reglamenta la inscripción de soporte lógico (software) en el Registro Nacional del Derecho de Autor. Decreto 460 de 1995: Por el cual se reglamenta el Registro Nacional del Derecho de Autor y se regula el Depósito Legal

* Decreto 162 de 1995: Por el cual se reglamenta en relación con las Sociedades de Gestión Colectiva de Derecho de Autor o de Derechos Conexos

* Sentencia T-444 de 1992. Recolección de información por parte de los Organismos de Seguridad del Estado.

* ISO-IEC-27000: “Por la cual se estandariza la implementación del Sistema de Gestión de la Seguridad de la Información”.

* ISO-IEC-27001: “Por la cual se establecen los requisitos para implementar el Sistema de Seguridad de la Información (SGSI)”.

* ISO-IEC-27002: “Por el cual se establece el código de buenas prácticas para la gestión de la seguridad de la información”.

* IS-IEC-27003: “Por la cual se determina el proceso de planificación e implementación de los procesos del SGSI”.

* ISO-IEC-27004: “Por el cual se estipula el sistema de medición de la eficacia de los SGSI implementados”.

* ISO-IEC- 27005: “Por el cual se estandarizan las guías sobre la gestión de riesgos”.

* ISO-IEC-27006: “Por el cual se informa sobre cómo los organismos de certificación deben interpretar la ISO 17021-1 en el contexto de auditorías a SGSI, en cumplimiento con la norma ISO 27001”.

* ISO-IEC- 27007: “Por el cual se estandarizan las auditorias según la norma ISO 27001, el alcance y la complejidad, la gestión de riesgos, la selección de controles y la competencia de los auditores de SGSI”.

* ISO-IEC-27008: “Por el cual se manejan los aspectos técnicos de los controles de seguridad definidos en el Anexo A de la ISO27001”.

* NTC- 5411-1-2006: Tecnología de la información. Técnicas de seguridad. Gestión de la seguridad de la tecnología de la información y las comunicaciones. Parte 1: Conceptos y modelos para la gestión de la tecnología de la información y las comunicaciones.

* NTC 5450-1-2006: Tecnología de la información. Técnicas de seguridad. Criterios de evaluación para la seguridad de tecnologías de la información (TI) parte 1: Introducción y modelo general.

* NTC GP 1000:2009: Norma técnica que describe las generalidades y los requisitos mínimos para establecer, documentar, implementar y mantener un Sistema de Gestión de la Calidad en los organismos, entidades y agentes obligados, conforme al artículo 2 de la Ley 872 de 2003.

* NTC ISO 9001:2008 Norma técnica que determina los requisitos para un Sistema de Gestión de la Calidad (SGC), que pueden utilizarse para su aplicación interna por las organizaciones, sin importar si el producto o servicio lo brinda una organización pública o empresa privada, cualquiera que sea su tamaño, para su certificación o con fines contractuales.

* NTD-SIG 001:2011: Norma técnica distrital que determina los requisitos del Sistema Integrado de Gestión para las Entidades y Organismos distritales adoptada mediante el Decreto 652 de 2011 por la Alcaldía de Bogotá.

5. DEFINICIONES

* Activo: Cualquier cosa que tiene valor para la organización.

* ANS: Acuerdo de Niveles de Servicio, Contrato escrito entre un proveedor de servicio y su cliente con objeto de fijar el nivel acordado para la calidad de los servicios. El ANS es una herramienta que ayuda a ambas partes a llegar a un consenso en términos del nivel de calidad del servicio, en aspectos como tiempo de respuesta, disponibilidad horaria, documentación disponible, personal asignado al servicio, etc.

* Aplicación: Es un programa informático diseñado como herramienta para permitir a un usuario realizar uno o diversos tipos de trabajos.

* Autenticidad: Es la propiedad de garantizar la identidad de un sujeto o recurso declarado. La autenticidad se aplica a entidades tales como usuarios, procesos, sistemas e información.

* Backup: Es la copia total o parcial de información importante del disco duro, CD, bases de datos u otro medio de almacenamiento, la cual puede recuperarse en caso de pérdida de la copia original.

* Confidencialidad: Es la propiedad de determinar que la información no esté disponible ni sea revelada a individuos, entidades, procesos o procedimientos no autorizados.

* Desarrollador de software: Es un programador que se dedica a una o más facetas del proceso de desarrollo de software, realiza programas o aplicaciones en uno o varios lenguajes de programación informática; asimismo realiza proyectos referidos a la ingeniería del software.

* Directorio activo: Herramienta que permite a los administradores de red establecer políticas a nivel de empresa, desplegar programas en una cantidad determinada de computadores y almacenar información de usuarios en una base de datos centralizada.

* Disponibilidad: Es la propiedad de la información de ser accesible y utilizable por solicitud de una Entidad o funcionarios autorizados.

* Evento: Presencia Identificada de una condición de un sistema, servicio o red, que indica una posible violación de la política de seguridad de la información o la falla de contramedidas, o una situación desconocida previamente que puede ser pertinente a la seguridad

* Firewall: Es un ordenador, software o dispositivo físico que se conecta en una red con salida a Internet con el fin de impedir el acceso no autorizado, incorporando elementos que garantizan la privacidad, autentificación, etc., conforme a las políticas de seguridad de quien los instala.

* Hardware: Son las partes físicas y tangibles de una computadora, sus componentes eléctricos, electrónicos, electromecánicos y mecánicos, sus cables, gabinetes o cajas, periféricos de todo tipo y cualquier otro elemento físico involucrado.

* Incidente: Un evento o serie de eventos de la seguridad de la información no deseados o inesperados, que tienen una probabilidad significativa de comprometer las operaciones del negocio y amenazar la seguridad de la información.

* Integridad: Es la propiedad de salvaguardar la exactitud y estado completo de los activos.

* Intranet: Red privada de computadoras que permite compartir recursos entre ellas y se encuentra enlazada para uso exclusivo dentro de una empresa u hogar. Puede o no tener acceso a Internet.

* Log: Es un registro oficial de eventos en el cual se visualizan las actividades realizadas por los usuarios sobre los sistemas de información, bases de datos y demás tecnología de una determinada compañía, permitiendo realizar trazabilidad de transacciones y movimientos.

* Medio de procesamiento de Información: Denominación genérica para todo aquel software o conjunto de aplicaciones de software, que hace de una computadora un elemento útil, debido a que posibilita al sistema para manejar una tarea específica. Pueden ser aplicaciones de propósito general, que pueden ser utilizados para una amplia variedad de tareas, como pueden ser contabilidad, gestión documental, administración y procesamiento de texto, bases de datos, etc. Otros paquetes ajustan a la computadora para acoplarse a necesidades y operaciones específicas, como bancarias, de seguros, hospitales, manufactura, etc.

* Contraseña: Serie secreta de caracteres que permite a un usuario tener acceso, a un archivo, computador o programa.

* Perfil: Es una colección de datos personales asociados a un determinado usuario.

* Políticas: actividad orientada en forma ideológica a la toma de decisiones de un grupo para alcanzar ciertos objetivos. Acción elegida como guía en el proceso de toma de decisiones al poner en práctica o ejecutar las estrategias, programas y proyectos específicos del nivel institucional.

* Seguridad informática: Consiste en preservar la confidencialidad, integridad y disponibilidad de la información; además puede involucrar otras propiedades tales como: autenticidad, trazabilidad, no repudio y fiabilidad.

* Sistema de gestión de la seguridad de la información SGSI: parte del sistema de gestión global, basada en un enfoque hacia los riesgos globales de un negocio, cuyo fin es establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar la seguridad de la información.

* TIC´s (Tecnologías de la Información y las Comunicaciones): Es el departamento que se encarga de diseñar, adoptar y promover las políticas, planes, programas y proyectos del sector de las Tecnologías de la Información y las Comunicaciones. Dentro de sus funciones está incrementar y facilitar el acceso de los usuarios de la organización a las Tecnologías de la Información, las Comunicaciones y a sus beneficios.

* Vulnerabilidad: Punto en el cual un activo de información o recurso es susceptible de ataque por una o más amenazas.

* Web: Significa “red”, “telaraña” o “malla”. El concepto se utiliza en el ámbito tecnológico para nombrar a una red informática y, en general a Internet.

6. CONDICIONES GENERALES (POLÍTICAS DE OPERACIÓN)

TRANSMILENIO S.A., realiza monitoreo permanente del uso que dan los funcionarios, contratistas y terceros adscritos a los Procesos y Dependencias de TRANSMILENIO S.A., a los medios de procesamiento de información y a los recursos de la plataforma tecnológica de la Entidad y velará por la custodia de los registros de auditoria cumpliendo con los periodos de retención establecidos para dichos registros.

El área de soporte de TIC´s y los profesionales encargados de los medios de procesamiento de información revisarán periódicamente los archivos de logs de las aplicaciones a su cargo, con el fin de establecer posibles eventos, incidentes, amenazas a la seguridad de la información o problemas de capacidad entre otros.

De acuerdo a la clasificación del incidente establecido en el Manual de Políticas de Seguridad de la Información se tomarán las medidas pertinentes y en todos los casos se guardará registro del tratamiento y seguimiento dado al incidente, a fin de mantener trazabilidad y evaluar tendencias.

La Dirección de Tecnologías de la Información y las Comunicaciones (TIC´s) y los líderes de los procesos definirán la periodicidad del monitoreo de los registros de auditoria sobre los aplicativos donde operan los procesos administrativos de TRANSMILENIO S.A.

El resultado de revisión de logs se debe reportar como resultados del monitoreo efectuado y en caso de ser necesario aplicar el procedimiento y política de Gestión de Incidentes.

La revisión y/o actualización de este procedimiento deberá realizarse al menos una (1) vez al año.

6.1 Normas de registro de eventos y monitoreo de los medios de procesamiento de información

Normas dirigidas a:

Dirección de tecnologías de la información y las comunicaciones y

Oficina de control interno

* La Dirección de Tecnologías de la Información y de las Comunicaciones, de TRANSMILENIO S.A., deben determinar y parametrizar los eventos que generarán registros de auditoría en los medios de procesamiento de información y los sistemas de información de TRANSMILENIO S.A.

* La Dirección de Tecnologías de la Información y las Comunicaciones, debe reunir para analizar los resultados de cada monitoreo efectuado y generar un plan de acción para a los incidentes reportados según la clasificación de los mismos establecidos en la Política Gestión de Incidentes de Seguridad de la Información.

* La Dirección de Tecnologías de la Información y la Comunicación, a través de sus funcionarios, debe habilitar los registros de auditoría y sistemas de monitoreo de los medios de procesamiento de información administrados, acorde a los lineamientos establecidos por el comité de revisión de logs.

* La Dirección de Tecnologías de la Información y las Comunicaciones debe velar por el cumplimiento de la integridad, disponibilidad y confidencialidad de los registros de auditoria generados en la plataforma tecnológica y los sistemas de información del TRANSMILENIO S.A. Estos registros deben ser almacenados y su acceso debe ser restringido.

* La Dirección de Tecnologías de la Información y las Comunicaciones y los líderes de procesos, deben determinar los periodos de retención de los registros (logs) de auditoria de los medios de procesamiento de información administrados y los sistemas de información de la entidad.

Normas dirigidas a:

Desarrolladores De Software (Internos Y Externos)

* Registrar en los logs de auditoría eventos como: fallas de validación, intentos de autenticación fallidos y exitosos, fallas en los controles de acceso, intento de evasión de controles, excepciones de los sistemas, funciones administrativas y cambios de configuración de seguridad, entre otros, de acuerdo con las directrices establecidas por la Dirección de Tecnologías de la Información y la Comunicación.

* Evitar almacenar datos innecesarios de los sistemas construidos en los logs de auditoria que brinden información adicional a la estrictamente requerida.

6.2 Protección de la información de logs

Los registros de auditoría serán almacenados en librerías de backup y solo se permite el acceso a los administradores de los medios de procesamiento de información.

Cualquier evento sobre el cual deba efectuarse investigación, de acuerdo a la información suministrada por los Logs, se realizará sobre una copia espejo del archivo original de forma que garantice la integridad de la fuente original.

6.3 Registro del administrador y/o del operador

Todos los medios de procesamiento de información, computación o comunicaciones de TRANSMILENIO S.A., deben tener un registro de las actividades del administrador, que muestren los tiempos de inicio y terminación de los procesos, tiempos de inicio del sistema, cambios en la configuración del sistema, errores y acciones correctivas.

Los registros de actividades están referidos a los log de eventos en el caso de los sistemas operativos o de auditoria en el resto de los medios de procesamiento de información.

Cuando se trate de desarrollos a la medida se debe contemplar como obligación contractual, la implementación y/o actualización, de un log o bitácora de auditoria para la aplicación en construcción.

6.4 Registro de fallas

Se deben registrar todas las fallas de los medios de procesamiento de información administrados, así como de las plataformas de cómputo y comunicaciones, en la herramienta ARANDA, con el fin de hacer un seguimiento a los problemas presentados, reducir su incidencia, prevenir su recurrencia y evitar alteraciones en la continuidad de las operaciones administrativas de TRANSMILENIO S.A.

Cada uno de los administradores de de los medios de procesamiento de información, así como de las plataformas de cómputo y comunicaciones, deben revisar los reportes de fallas identificadas en los registros del sistema de su injerencia y en caso de encontrar un evento adverso y fuera de lo común, dentro del contexto normal de operación, debe registrarlo como un incidente de seguridad de la información.

6.5 Sincronización de relojes

Se debe habilitar un dispositivo de la entidad para que sincronice fecha y hora con los servidores de tiempo de la Superintendencia de Industria y Comercio, ente responsable por la hora oficial de la nación.

6.6. Prevención del mal uso de los medios de procesamiento de la información

Como estrategia para disuadir a los usuarios de utilizar los medios de procesamiento de la información para propósitos no autorizados, en TRASMILENIO S.A. La Dirección de TIC´s debe aprobar el uso de los medios de procesamiento de la información, Cualquier uso de estos medios para propósitos no asociados al desempeño de las funciones o sin aprobación de la Dirección de TIC´s o para cualquier propósito no autorizado, será visto como un uso inapropiado de los medios. Si mediante el monitoreo, o cualquier otro medio, se identifica una actividad no autorizada, esta actividad debe ser puesta en atención de Dirección de TIC´s para que considere la acción disciplinaria y/o legal apropiada.

Los empleados de una organización, contratistas y terceros deben estar informados que no se permitirá ningún acceso excepto de aquel que fue autorizado.

6.7. Monitoreo y revisión de los servicios de terceros

El monitoreo y revisión de los servicios de terceros debe asegurar que se cumplan los términos y condiciones de seguridad de los acuerdos, y que se manejen apropiadamente los incidentes y problemas de seguridad de la información. Esto debe involucrar una relación y proceso de gestión de servicio entre la organización y la tercera persona para:

a. monitorear los niveles de desempeño del servicio para chequear adherencia con los acuerdos;

b. revisar de los reportes de servicio producidos por terceros y acordar reuniones de avance regulares conforme lo requieran los acuerdos;

c. proporcionar información sobre incidentes de seguridad de la información y la revisión de esta información por terceros y la organización conforme lo requieran los acuerdos y cualquier lineamiento y procedimiento de soporte;

d. revisar los rastros de auditoría de terceros y los registros de eventos de seguridad, problemas operacionales, fallas, el monitoreo de fallas e interrupciones relacionadas con el servicio entregado;

e. resolver y manejar cualquier problema identificado.

7. DESCRIPCIÓN DEL PROCEDIMIENTO

ACTIVIDAD		DESCRIPCIÓN	REGISTRO	RESPONSABLE
10	INICIO
20	Clasificar Activos	Clasificar los activos de información y la infraestructura objeto de monitoreo en el uso de los medios de procesamiento.	Documento Clasificación de Activos	Profesionales especializados de la Dirección de TIC´s.
30	Definir o Actualizar	Definir o actualizar las herramientas, mecanismos o métodos de monitoreo según las Condiciones descritas en el apartado 6 del presente documento. .	Documento Clasificación de Activos	Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s.
40	Definir eventos	Definir, los eventos mínimos a monitorear, como son el acceso autorizado, intentos de acceso no autorizados, operaciones privilegiadas (ej., encendido y apagado de sistemas y servidores), alertas o fallas del sistema, cambios o intentos de cambio en la configuración.	Acta de definición de eventos a monitorear	Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s Oficina de Control Interno.
15?		Los parámetros a monitorear son de cumplimiento de contratistas o terceros? SI: Ir a 50 NO: Ir a 60		Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s Subgerencia Jurídica
50	Incluir obligaciones contractuales	Incluir como obligaciones contractuales en el contrato los parámetros definidos que serán monitoreados, así como la presentación de los informes pertinentes, cuando se trate de aplicaciones.	Firma de Acuerdo de confidencialidad	Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s Oficina de Control Interno.
60	Revisar Periódicamente	Revisar periódicamente los registros y los logs de los dispositivos de red, sistemas de información y demás recursos informáticos		Contratista Profesional especializado Líderes de procesos .
70	Registrar resultados	Registrar los resultados de la revisión en el formato	Formato de Registro de Monitoreo	Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s
¿25?		¿Se encontró alguna brecha de seguridad o evento que atente contra la disponibilidad, confidencialidad e integridad de la información? Si: Ir a 80 NO: Ir a 90
80	Gestionar Incidentes	Gestionar los incidentes o eventos de seguridad de acuerdo a la política y procedimiento de Gestión de Incidentes.	Reporte en Aranda	Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s
	Almacenar Registro	Almacenar el registro diligenciado.	Registrar de Monitoreo de Plataformas	Líder del proceso
90	Presentar Informe	Presentar informes mensuales del desarrollo de las actividades del monitoreo al uso de los medios de procesamiento de la información en que se incluyan los planes de acción necesarios y su seguimiento.		Coordinador de Soporte y Profesionales especializados de la Dirección de TIC´s
100	FIN

8. TABLA DE FORMATOS

CÓDIGO

NOMBRE

UBICACIÓN

RESPONSABLE

No aplica

Ticket de servicio

Herramienta Aranda – Área de soporte de TIC´s

Coordinador de Soporte y

Profesionales especializados de la Dirección de TIC´s

TÍTULO:

PROCEDIMIENTO PARA OTORGAR ACCESO A LOS MEDIOS DE PROCESAMIENTO DE INFORMACIÓN

ALCALDÍA MAYOR DE BOGOTA

Código

P-DT-011

Versión

Fecha

Noviembre de 2015

TABLA DE CONTENIDO

1. OBJETO

2. ALCANCE

3. RESPONSABLE

4. DOCUMENTOS DE REFERENCIA

5. DEFINICIONES

6. CONDICIONES GENERALES (POLÍTICAS DE OPERACIÓN)

7. DESCRIPCIÓN DEL PROCEDIMIENTO

8. TABLA DE FORMATOS

ELABORÓ:

APROBÓ:

Página 1 de 4

PROFESIONAL ESPECIALIZADO_06 SEGURIDAD DE LA INFORMACIÓN

DIRECTOR TÉCNICO DE TIC´S

1. OBJETO

Definir los pasos a seguir para otorgar, modificar o retirar acceso usuarios a los sistemas de información o aplicativos y medios de procesamiento de información de TRANSMILENIO S.A., como base de todo sistema de seguridad informática.

2. ALCANCE

El alcance del presente procedimiento comprende a todos los funcionarios, contratistas que desarrollen labores de asesoría, consultoría, implementación, soporte o mantenimiento y demás personas que sin ser de planta, tienen un nivel de vinculación o brindan algún tipo de servicio dentro los procesos y dependencias de las instalaciones de TRANSMILENIO S.A., que en cumplimiento de la misión de la entidad, tengan cualquier tipo de interacción con la información y medios de procesamiento (sistemas de información o aplicativos).

Vigencia a partir de la fecha de su expedición y hasta que se promulguen nuevos lineamientos.

La revisión y/o actualización de este procedimiento deberá realizarse como mínimo una (01) vez al año.

3. RESPONSABLE

El responsable por la elaboración y mantenimiento de este documento es el Profesional Especializado (06) de Seguridad de la Información de la Dirección de Tecnología de la Información. Por los niveles de cumplimiento e implementación del procedimiento velará el Director Técnico de Tecnología de la Información.

Por el desarrollo, ejecución y monitoreo del procedimiento será responsable el área de soporte de la Dirección de Tecnología de la Información y por su aplicación todos los usuarios funcionales de las dependencias de TRANSMILENIO S.A. que interactúen con la información y los medios de procesamiento de información (sistemas de información o aplicativos).

4. DOCUMENTOS DE REFERENCIA

* Ley 1273 de 2009 Por medio del cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado – denominado “De la Protección de la información y de los datos”- y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones.

* Ley 23 de 1982: Ley emitida por el Congreso de la República de Colombia, acerca de la Propiedad Intelectual y los Derechos de autor.

* Ley 734 de 2002. “Por la cual se expide el Código Disciplinario Único”.

* Ley 603 del 2000: Ley emitida por el Congreso de la República de Colombia, acerca del cumplimiento de las Normas de Propiedad Intelectual

* Ley 1520 de 2012: Por medio de la cual se implementan compromisos adquiridos por virtud del “Acuerdo de Promoción Comercial”, suscrito entre la República de Colombia y los Estados Unidos de América y su “Protocolo Modificatorio, en el Marco de la Política de Comercio Exterior e Integración Económica”

* Ley 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales, habeas data

* Reglamento Interno de trabajo de TRANSMILENIO S.A. documento que se establece como norma reguladora de las relaciones internas de la Empresa con los trabajadores adscritos a ella.

* Decreto 162 de 1995: Por el cual se reglamenta en relación con las Sociedades de Gestión Colectiva de Derecho de Autor o de Derechos Conexos

* Sentencia T-444 de 1992. Recolección de información por parte de los Organismos de Seguridad del Estado.

* Constitución Política de Colombia de 1991

Artículo 2.	Fines Esenciales del Estado.
Artículo 6.	Responsabilidad de los servidores públicos.
Artículo 15.	Derecho a la Intimidad. Hábeas Data.
Artículo 20.	Derecho a la Información.
Artículo 74.	Libre Acceso a Documentos Públicos.
Artículo 122.	Desempeño de Funciones Públicas.
Artículo 123.	Desempeño de funciones de los Servidores Públicos.
Artículo 209.	Fines de la Función Administrativa.
Artículo 269.	Métodos y Procedimientos de Control Interno.
Artículo 284.	Acceso a Información Reservada.

* ISO-IEC-27000: “Vocabulario Sistema de Gestión de la Seguridad de la Información”.

* ISO-IEC-27001: “Por la cual se establecen los requisitos para implementar el Sistema de Seguridad de la Información (SGSI)”.

* ISO-IEC-27002: “Por el cual se establece el código de buenas prácticas para la gestión de la seguridad de la información”.

* IS-IEC-27003: “Por la cual se determina el proceso de planificación e implementación de los procesos del SGSI”.

* ISO-IEC-27004: “Por el cual se estipula el sistema de medición de la eficacia de los SGSI implementados”.

* ISO-IEC- 27005: “Por el cual se estandarizan las guías sobre la gestión de riesgos”.

* ISO-IEC-27008: “Por el cual se manejan los aspectos técnicos de los controles de seguridad definidos en el Anexo A de la ISO27001”.

5. DEFINICIONES

* Activo: Cualquier cosa que tiene valor para la organización.

* Autenticidad: Es la propiedad de garantizar la identidad de un sujeto o recurso declarado. La autenticidad se aplica a entidades tales como usuarios, procesos, sistemas e información.

* Backup: Es la copia total o parcial de información importante del disco duro, CD´s, bases de datos u otro medio de almacenamiento, la cual puede recuperarse en caso de pérdida de la copia original.

* Confidencialidad: Es la propiedad de determinar que la información no esté disponible ni sea revelada a individuos, entidades, procesos o procedimientos no autorizados.

* Contraseña o palabra clave: Serie secreta de caracteres que permite a un usuario tener acceso, a un archivo, computador o programa.

* Dependencia: Oficina o área de la entidad.

* Disponibilidad: Es la propiedad de la información de ser accesible y utilizable por solicitud de una Entidad o funcionarios autorizados.

* Hardware (Hw.): Son las partes físicas y tangibles de una computadora, sus componentes eléctricos, electrónicos, electromecánicos y mecánicos, sus cables, gabinetes o cajas, periféricos de todo tipo y cualquier otro elemento físico involucrado.

* Integridad: Es la propiedad de salvaguardar la exactitud y estado completo de los activos.

* Intranet: Red privada de computadoras que permite compartir recursos entre ellas y se encuentra enlazada para uso exclusivo dentro de una empresa u hogar. Puede o no tener acceso a Internet.

* ISO (International Organization for Standardization): Deriva del griego ISOS, que significa “igual”; Organización creada el 23 de Febrero de 1947, en Ginebra, Suiza, con el fin de “facilitar la coordinación internacional y unificación de normas industriales”. Actualmente son miembros 165 países.

* Logs : Registro de actividad del sistema, para que pueda facilitar información e indicadores sobre sesiones iniciadas, procesos ejecutados en equipos, conexiones externas, accesos y utilización de los recursos del sistema, Intentos de violación de las políticas de seguridad, detección de ataques sistémicos o intentos de intrusión.

* Perfil: Es una colección de datos personales asociados a un determinado usuario.

* Propietario de la información: es la unidad organizacional o proceso donde se crean los Activos de información

* Proveedor: entidad física o virtual que tiene el fin de ofrecer un servicio a otra u otras entidades. Aquellos que proveen o abastecen y entregan bienes o servicios a otros.

* Seguridad de la Información: Consiste en preservar la confidencialidad, integridad y disponibilidad de la información; además puede involucrar otras propiedades tales como: autenticidad, trazabilidad, no repudio y fiabilidad.

* Sistema de gestión de la seguridad de la información SGSI: parte del sistema de gestión global, basada en un enfoque hacia los riesgos globales de un negocio, cuyo fin es establecer, implementar, operar, hacer seguimiento, revisar, mantener y mejorar la seguridad de la información.

* TIC´s (Tecnologías de la Información y las Comunicaciones): Es la entidad que se encarga de diseñar, adoptar y promover las políticas, planes, programas y proyectos del sector de las Tecnologías de la Información y las Comunicaciones. Dentro de sus funciones está incrementar y facilitar el acceso de los usuarios de la organización a las Tecnologías de la Información, las Comunicaciones y a sus beneficios.

* Vulnerabilidad: Debilidad de un activo o grupo de activos que puede ser aprovechada por una o más amenazas.

* Web: Significa “red”, “telaraña” o “malla”. El concepto se utiliza en el ámbito tecnológico para nombrar a una red informática y, en general a Internet.

6. CONDICIONES GENERALES (POLÍTICAS DE OPERACIÓN)

Definir los lineamientos para el control de los accesos lógicos y físicos a los activos de información relacionados con la plataforma tecnológica de TRASMILENIO S.A. con el objetivo de reducir los riesgos asociados con su pérdida de confidencialidad, disponibilidad o integridad.

Aplica para todos los usuarios de los sistemas de información, recursos informáticos y plataforma tecnológica en general de TRASMILENIO S.A., bien sean funcionarios, usuarios externos en modalidad de terceros y/o contratistas, que a razón de su trabajo requieran acceso a la información de la Entidad, de acuerdo a los requerimientos y necesidades efectuados por las dependencias.

6 Política Control de Acceso¹

Ref.: ISO/IEC 27001:2013 Clausula A.9

Los sistemas de información de TRASMILENIO S.A. deben contar con mecanismos y procedimientos para el control de acceso a sus sistemas de información y a instalaciones de procesamiento de información tales que:

La autorización para el acceso a los sistemas de información debe ser definida y aprobada por cada dependencia o propietario de la información, e implementada por la Dirección TIC´S y supervisada por el Profesional Especializado (06) de Seguridad de la Información de la Dirección de Tecnología de la Información, de acuerdo con la funcionalidad de cada sistema, según el procedimiento de gestión de usuarios y contraseñas.

6.1 Requisitos de TRASMILENIO S.A., para el control de accesos.

Ref.: ISO/IEC 27001:2013 Clausula A.9.1

Objetivo: Limitar el acceso a la información y a las instalaciones de procesamiento de información de TRASMILENIO S.A.

6.1.1 Política de control de acceso²

Ref.: ISO/IEC 27001:2013 Clausula A.9.1.1

Establecer, documentar y revisar la política de control de acceso con base en los requisitos de TRASMILENIO S.A. y de seguridad de la información, teniendo en cuenta lo siguiente:

1. Requerimientos de seguridad para las aplicaciones de en forma individual. TRASMILENIO S.A.

2. Identificación de toda la información relacionada con las aplicaciones de TRASMILENIO S.A.

3. Consistencia entre el control de acceso y las políticas de clasificación de la información de los diferentes sistemas y redes.

4. Legislación relevante y cualquier obligación contractual relacionada con la protección de acceso a los datos o servicios.

5. Perfiles estándar de acceso de usuario para roles de trabajo común donde sea posible.

6. Segregación de roles de control de acceso, por ejemplo requerimientos de acceso, autorización de acceso, administración de acceso.

7. Autorización formal en las solicitudes de acceso.

8. Revisiones periódicas de los derechos de acceso.

9. Remoción de derechos de acceso.

6.1.2 Control de acceso a las redes y servicios asociados.

Ref.: ISO/IEC 27001:2013 Clausula A.9.1.2

1. Permitir acceso de los usuarios a la red y a los usuarios de la red para los que hayan sido autorizados específicamente por la Dirección Tic´s de TRASMILENIO S.A.

2. Todo acceso remoto debe ser configurado con la siguiente información: Responsable, Tiempo de acceso permitido, Número de sesiones autorizadas (si aplica) y expiración.

3. Todos los funcionarios de la organización tienen acceso a Internet para desempeñar su labor, es responsabilidad de la Dirección de Tic´s, debe implementar un sistema de control de navegación para filtrar los sitios Web de las categorías definidas de alto riesgo.

4. Para acceso a correo electrónico externo o páginas web restringidas, se debe realizar una solicitud justificada a través de correo electrónico a la Dirección de Tic´s, y al Profesional Especializado (06) de Seguridad, quien evaluará el requerimiento y determinará la viabilidad de la misma

6.2 Gestión de acceso de usuarios.

Ref.: ISO/IEC 27001:2013 Clausula A.9.2

Objetivo: De acuerdo a los perfiles se debe asegurar el acceso de los usuarios autorizados e impedir el acceso no autorizado a sistemas y servicios de TRASMILENIO S.A.

6.2.1 Gestión de altas/bajas en el registro y cancelación de usuarios.

Ref.: ISO/IEC 27001:2013 Clausula A.9.2.1

* Se debe contar con un proceso formal del registro y cancelación del registro para posibilitar la asignación de los derechos de acceso.

6.2.2 Gestión de los derechos de acceso asignados a usuarios.

Ref.: ISO/IEC 27001:2013 Clausula A.9.2.2

1. Los perfiles y derechos de acceso deben estar documentados y deben ser revisados periódicamente por los propietarios de la información o el recurso.

2. Únicamente se asignarán a los usuarios los derechos y privilegios necesarios para el desarrollo de sus funciones.

3. El acceso a la información debe ser autorizado por el área responsable de la información acorde a las funciones a desempeñar, previo análisis de la justificación y manteniendo una adecuada segregación de funciones.

4. En caso de personal ajeno a TRANSMILENIO S.A., el área responsable de la información debe autorizar el acceso a la misma atendiendo la clasificación de la información, así como las normas y procedimientos definidos para tal fin.

6.2.3 Gestión de los derechos de acceso con privilegios especiales.

Ref.: ISO/IEC 27001:2013 Clausula A.9.2.3

* Las transacciones realizadas y los accesos a los aplicativos o programas, a la red o a los sistemas de TRASMILENIO S.A., son registrados de manera que se pueden llevar a cabo auditorías.

6.2.4 Gestión de información confidencial de autenticación de usuarios.

Ref.: ISO/IEC 27001:2013 Clausula A.9.2.4

* La asignación de autenticación secreta o confidencial se debe controlar por medio de un procedimiento de gestión formal, implementada por la Dirección de Tic´s de TRASMILENIO S.A.

6.2.5 Revisión de los derechos de acceso de los usuarios.

Ref.: ISO/IEC 27001:2013 Clausula A.9.2.5

1. Los dueños de los activos deben revisar los derechos de acceso de los usuarios a intervalos regulares.

2. Los privilegios asociados con cada aplicación, sistema o servicio deben ser identificados por los propietarios o usuarios encargados responsables de la información o recursos. Se debe mantener un registro de los perfiles con los privilegios asignados.

3. La Dirección Tic´s y el personal de Soporte, implementará los perfiles de los usuarios por solicitud, de acuerdo con lo establecido por el propietario o usuarios encargados responsables de la información.

6.2.6 Cancelación o ajuste de los derechos de acceso

Ref.: ISO/IEC 27001:2013 Clausula A.9.2.6

* Los derechos de acceso de todos los funcionarios y de usuarios externos a la información y a las instalaciones de procedimiento de información se debe cancelar al terminar su empleo, contrato o acuerdo, o se deben ajustar cuando se hagan cambios.

6.3 Responsabilidades del usuario.

Ref.: ISO/IEC 27001:2013 Clausula A.9.3

Objetivo: Hacer que los usuarios rindan cuentas por la custodia de información de autenticación a los sistemas de información y servicios de TRASMILENIO S.A.

* Los usuarios son responsables de cualquier actividad realizada con las credenciales otorgadas para su acceso a los sistemas de información de TRASMILENIO S.A.

6.3.1 Uso de información confidencial para la autenticación

Ref.: ISO/IEC 27001:2013 Clausula A.9.3.1

1. Los usuarios de TRASMILENIO S.A., deben cumplir con las prácticas de la organización para el uso de información y de autenticación secreta, implementadas por la Dirección Tic´s y el personal de soporte.

2. El acceso a los recursos de la red debe ser estrictamente controlado para prevenir acceso no autorizado. Los Usuarios solamente deben tener acceso a los servicios de red y sistemas de información que son necesarios para realizar su trabajo. Por tanto, los recursos de cómputo y sistemas de información adicionales debe ser restringidos.

3. Todos los accesos remotos deben ser autorizados por el propietario de la información y la Dirección Tic´s.

4. Todo acceso remoto a la red de TRASMILENIO S.A., debe contar con mecanismos de autenticación, autorización, registros de auditoría y de cifrado, para reducir el riesgo de divulgación de información sensible y accesos no autorizados.

5. El acceso a la red interna por parte de los funcionarios autorizados se debe realizar a través de una conexión segura con un certificado de seguridad SSL (Secure Sockets Layer).

6. El acceso por parte de un proveedor a la red interna se debe realizar por medio de un mecanismo seguro y con previa autorización de la Dirección de Tecnología de la Información y la Comunicación

6.4 Control de acceso a sistemas y aplicaciones.

Ref.: ISO/IEC 27001:2013 Clausula A.9.4

Objetivo: La Dirección Tic´s debe prevenir el uso no autorizado de sistemas y aplicaciones.

6.4.1 Restricción del acceso a la información.

Ref.: ISO/IEC 27001:2013 Clausula A.9.4.1

1. De acuerdo con las políticas de control de acceso la Dirección Tic´s debe restringir el acceso a la información y a las funciones de los sistemas de las aplicaciones.

2. Se deben identificar los controles de acceso requeridos por las aplicaciones de acuerdo con la clasificación y criticidad de la información que la aplicación procesa o almacena. Dichos controles deben ser definidos por el responsable del proceso o de la información.

6.4.2 Procedimientos seguros de inicio de sesión.

Ref.: ISO/IEC 27001:2013 Clausula A.9.4.2

1. Mediante un procedimiento de conexión segura se debe controlar el acceso a sistemas y aplicaciones.

2. Los responsables de la administración de la red deben realizar una evaluación periódica de los riesgos de seguridad existentes, y definir los controles para minimizarlos. El intercambio de información hacia o desde redes externas debe ser controlado por sistemas de control de acceso, tales como Firewall. Dicha administración, deberá ser realizada por el proveedor externo contratado para tal fin

3. Al cuarto intento fallido de ingreso al dominio y/o aplicaciones asignadas, el usuario será bloqueado.

4. Si el bloqueo de usuario es repetitivo, es responsabilidad de la Dirección de Tic´s, analizar el motivo del bloqueo para tomar las medidas pertinentes.

5. Siempre que los usuarios dejen el puesto de trabajo, deben bloquear el equipo mediante la alternativa de teclado (Control, Alt, Suprimir y Enter) o la tecla Windows + L. En caso de ausencia de las instalaciones, el computador debe permanecer apagado, con el fin de evitar el acceso no autorizado a cualquier aplicación de la organización

6.4.3 Gestión de contraseñas de usuario.

Ref.: ISO/IEC 27001:2013 Clausula A.9.4.3

1. Las aplicaciones y sistemas de información deben utilizar un sistema de control de acceso basado en contraseñas interactivas y de calidad.

2. La Dirección Tic´s y el personal Soporte, deben verificar el cumplimiento de la política asociada a la periodicidad con la cual las contraseñas deben ser cambiadas y las cuentas deshabilitadas TRASMILENIO S.A.

3. La política de creación de usuario y contraseña, de acuerdo al manual de políticas de TRASMILENIO S.A., establecidas por la Dirección Tic´s, está diseñada de forma segura donde:

a. La creación del usuario seguirá el modelo: nombre.apellido@dominiotrasmilenio, ejemplo pablo.rodriguez@trasmilenio.gov.co

b. La creación de la contraseña debe ser de (08) caracteres, alfanumérica, debe contener una letra mayúscula y un número, ejemplo [Ejemplo5]

4. Los usuarios deberán seguir las siguientes políticas para el uso y selección de las contraseñas de acceso y por lo tanto se responsabilizan de cualquier acción que se realice utilizando el nombre y contraseña de usuario que le sean asignados:

5. Las contraseñas son de uso personal y por ningún motivo se deberán prestar a otros usuarios.

6. Las contraseñas no deben ser reveladas por vía telefónica, correo electrónico o por otro medio.

7. Las contraseñas no se deberán escribir en ningún medio, excepto cuando son entregadas en custodia.

8. Reportar cualquier sospecha de que una persona esté utilizando una contraseña o un usuario que no le pertenece.

9. Las contraseñas se deberán cambiar según los requerimientos de la infraestructura de procesamiento de información.

10. Los usuarios deberán cambiar las contraseñas la primera vez que usen las cuentas asignadas.

6.4.4 Uso de herramientas de administración de sistemas.

Ref.: ISO/IEC 27001:2013 Clausula A.9.4.4

1. La Dirección Tic´s de TRASMILENIO S.A., controla el uso de programas utilitarios que podrían tener la capacidad de anular el sistema y los controles de las aplicaciones.

2. Los usuarios finales no deben tener acceso a la ejecución de comandos del sistema operativo; en caso que sea necesario, se debe restringir el acceso por medio de herramientas que sólo permitan las funciones que han sido autorizados a ejecutar.

3. La Dirección Tic´s de TRASMILENIO S.A. y el área responsable de cada sistema de información deben determinar las actividades mínimas realizadas por el usuario que deben ser registradas sobre el sistema operativo, con el fin de detectar fallas o prevenir violaciones a la política de seguridad.

6.4.5 Control de acceso al código fuente de los programas.

Ref.: ISO/IEC 27001:2013 Clausula A.9.4.5

La Dirección Tic´s con el personal de soporte, controla el acceso a códigos fuente de programas, por medio de la configuración de perfiles.

El procedimiento abarcara todas las etapas del ciclo de vida de los accesos de los usuarios de todos los niveles, desde el registro inicial de nuevos usuarios hasta la privación final de derechos de los usuarios que ya no requieren el acceso.

7. DESCRIPCIÓN DEL PROCEDIMIENTO

ACTIVIDAD		DESCRIPCIÓN	REGISTRO	RESPONSABLE
10	INICIO
20	Solicitud Acceso	El funcionario que requiere que se le otorgue, modifique o elimine el acceso a los sistemas de información, hace la solicitud al subdirector del área a la cual pertenece	Memorado interno, formato o correo	Funcionario y/o contratista interesado
30	Remisión solicitud	El subdirector del área interesada, registra la solicitud en la Mesa de ayuda (Aranda), a través de la cuenta soportetecnico@transmilenio.gov.co la Dirección Tic´s de TRASMILENIO S.A.	Mesa de Ayuda (Aranda), formato o correo, con visto bueno Subdirector área interesada.	Subdirectores Técnico Administrativo de la Dirección de Tic´s - Coordinador de Soporte
40	Evaluación de la solicitud	Dirección Tic´s de TRASMILENIO S.A., jefe e soporte, evalúa a petición realizada por la subdirección interesada y lo avala o lo niega.	Mesa de Ayuda (Aranda), formato o correo, con visto bueno Subdirector área interesada.	Subdirectores Dirección Tic´s
15?		¿La evaluación de la solicitud fue avalada? SI: Actividad 50 NO: Actividad 10
50	Entrega de Solicitud a Dirección Tic´s	En caso de ser aprobada la solicitud, es informada a la Subdirección interesada por la Dirección Tic´s para proceder a la ejecución de ésta.	Correo y Registro de entrada de solicitudes (Base de datos)	Subdirectores Técnico Administrativo de la Dirección de Tic´s - Coordinador de Soporte
60	Inclusión, Retiro, modificación de acceso a usuarios	La Dirección Tic´s junto con el personal de soporte ingresa a la herramienta de administración de Perfiles de usuarios y sus privilegios y otorga, modifica y/o elimina los pertinentes para dar cumplimiento a la solicitud.	Correo interno	Profesional Especializado 06 –Seguridad de Información Técnico Administrativo de la Dirección de Tic´s - Coordinador de Soporte
70	Notificación de Cumplimiento	La Dirección Tic´s junto con el personal de soporte, informa al funcionario y/o contratista solicitante el cumplimiento de la solicitud.	Correo interno ó llamada telefónica.	Profesional Especializado 06 –Seguridad de Información Técnico Administrativo de la Dirección de Tic´s - Coordinador de Soporte
80	FIN

8. TABLA DE FORMATOS

CÓDIGO

NOMBRE

UBICACIÓN

RESPONSABLE

No aplica

Ticket de servicio

Herramienta Aranda – Área de soporte de TIC´s

Técnico Administrativo de la Dirección de TIC´s -

Coordinador de Soporte

R-DT-007

Otorgamiento de acceso a los medios de procesamiento de la información

Intranet

Profesional Especializado 06 –Seguridad de Información

Técnico Administrativo de la Dirección de TIC´s -

Coordinador de Soporte

TÍTULO:

PROCEDIMIENTO PARA EL INTERCAMBIO SEGURO DE INFORMACION ELECTRONICA

ALCALDÍA MAYOR DE BOGOTA

Código

P-DT-012

Versión

Fecha

Noviembre de 2015

TABLA DE CONTENIDO

1. OBJETO

2. ALCANCE

3. RESPONSABLE

4. DOCUMENTOS DE REFERENCIA

5. DEFINICIONES

6. CONDICIONES GENERALES (POLÍTICAS DE OPERACIÓN)

7. DESCRIPCIÓN DEL PROCEDIMIENTO

8. TABLA DE FORMATOS

ELABORÓ:

APROBÓ:

Página 1 de 21

PROFESIONAL ESPECUIALIZADO_06 SEGURIDAD DE LA INFORMACION

DIRECTOR TÉCNICO DE TIC´S

1. OBJETO

Determinar las políticas, responsables y las actividades necesarias para que el intercambio de información se efectúe en forma segura contando y aplicando los pilares de confidencialidad, integridad y disponibilidad de la información en TRASMILENIO S.A.

2. ALCANCE

Todas las Dependencias, funcionarios, contratistas que desarrollen labores de asesoría, consultoría, implementación, soporte o mantenimiento y demás personas que sin ser de planta, tienen un nivel de vinculación o brindan algún tipo de servicio dentro los procesos y dependencias de las instalaciones de TRANSMILENIO S.A., que en cumplimiento de la misión de la entidad, tengan cualquier tipo de interacción con la información y medios de procesamiento (sistemas de información o aplicativos).

Vigencia a partir de la fecha de su expedición y hasta que se promulguen nuevos lineamientos. La revisión y/o actualización de este procedimiento deberá realizarse como mínimo una (01) vez al año.

3. RESPONSABLES

El responsable por la elaboración, mantenimiento, implementación y cumplimiento de este documento es el Profesional Especializado (06) de Seguridad de la Información de la Dirección de TIC’s.

Por los niveles de cumplimiento e implementación del procedimiento velará el Director Técnico de Tecnología de la Información.

Por el desarrollo, ejecución y monitoreo del procedimiento será responsable el área de Soporte de la Dirección de TIC´s.

Por su aplicación, todos los usuarios funcionales que interactúen directa o indirectamente en el intercambio de la información electrónica de TRASMILENIO S.A.

4. DOCUMENTOS DE REFERENCIA

* BS ISO/IEC 27001:2013 Norma técnica que describe los requerimientos del Sistema de Seguridad de la Información (Information technology - Security techniques - Information security management systems - Requirements) aprobado y publicado por la ISO International Organization for Standardization y por la IEC International Electrotechnical Commission.

* BS ISO/IEC 27002:2013 Documento que recopila el código de práctica y los controles para la gestión de la seguridad de la información (Information technology - Security techniques - Code of practice for information security management) aprobado y publicado por la ISO International Organization for Standardization y por la IEC International Electrotechnical Commission.

* NTD-SIG 001:2011: Norma Técnica Distrital que determina los requisitos del Sistema Integrado de Gestión para las Entidades y Organismos distritales adoptada mediante el Decreto 652 de 2011 por la Alcaldía de Bogotá.

* Reglamento Interno de trabajo de TRANSMILENIO S.A. documento que se establece como norma reguladora de las relaciones internas de la Entidad con los trabajadores adscritos a ella.

* Ley 1273 de 2009 Por medio del cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado – denominado “De la Protección de la información y de los datos”- y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones, entre otras disposiciones, el cual establece en su “Capítulo I De los atentados contra la confidencialidad, la integridad y la disponibilidad de los datos y de los sistemas informáticos” así:

* Artículo 269A: Acceso abusivo a un Sistema Informático. El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático

* Artículo 269B: Obstaculización Ilegítima de Sistema Informático o Red de Telecomunicación. El que, sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal a un sistema informático.

* Artículo 269C: Interceptación de Datos Informáticos. El que, sin orden judicial previa intercepte datos informáticos en su origen, destino o en el interior de un sistema informático.

* Artículo 269D: Daño Informático. El que, sin estar facultado para ello, destruya, dañe, borre, deteriore, altere o suprima datos informáticos.

* Artículo 269E: Uso de Software Malicioso. El que, sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos dañinos.

* Artículo 269F: Violación de Datos Personales. El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes

* Artículo 269G: Suplantación de Sitios Web para capturar datos personales. El que con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes.

* Ley 23 de 1982: Ley emitida por el Congreso de la República de Colombia, acerca de la Propiedad Intelectual y los Derechos de autor.

* Ley 527 de 1999: por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitaleshgvvvu se establecen las entidades de certificación y se dictan otras disposiciones

* Ley 603 del 2000: Ley emitida por el Congreso de la República de Colombia, acerca del cumplimiento de las Normas de Propiedad Intelectual

* Ley 1520 de 2012: Por medio de la cual se implementan compromisos adquiridos por virtud del “Acuerdo de Promoción Comercial”, suscrito entre la República de Colombia y los Estados Unidos de América y su “Protocolo Modificatorio, en el Marco de la Política de Comercio Exterior e Integración Económica”

* Ley 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales, habeas data

* Decreto 1360 de 1989: Por el cual se reglamenta la inscripción de soporte lógico (software) en el Registro Nacional del Derecho de Autor.

* Decreto 460 de 1995: Por el cual se reglamenta el Registro Nacional del Derecho de Autor y se regula el Depósito Legal

* Decreto 162 de 1995: Por el cual se reglamenta en relación con las Sociedades de Gestión Colectiva de Derecho de Autor o de Derechos Conexos

* Constitución Política de Colombia de 1991

Artículo 2.	Fines Esenciales del Estado.
Artículo 6.	Responsabilidad de los servidores públicos.
Artículo 15.	Derecho a la Intimidad. Hábeas Data.
Artículo 20.	Derecho a la Información.
Artículo 74.	Libre Acceso a Documentos Públicos.
Artículo 122.	Desempeño de Funciones Públicas.
Artículo 123.	Desempeño de funciones de los Servidores Públicos.
Artículo 209.	Fines de la Función Administrativa.
Artículo 269.	Métodos y Procedimientos de Control Interno.
Artículo 284.	Acceso a Información Reservada.

5. DEFINICIONES

* Activo: Cualquier cosa que tiene valor para la Entidad.

* Aplicativos: Software, programa informático diseñado como herramienta.

* Autenticidad: Es la propiedad de garantizar la identidad de un sujeto o recurso declarado. Se aplica a entidades tales como usuarios, procesos, sistemas e información.

* Backup: Es la copia total o parcial de información importante del disco duro, CDs, bases de datos u otro medio de almacenamiento, la cual puede recuperarse en caso de pérdida de la copia original.

* Bases de datos: Es un “almacén” que nos permite guardar grandes cantidades de información de forma organizada para que luego podamos encontrar y utilizar fácilmente. Conjunto de datos pertenecientes a un mismo contexto y almacenados sistemáticamente para su posterior uso.

* Confidencialidad: Es la propiedad de determinar que la información no esté disponible ni sea revelada a individuos, entidades, procesos o procedimientos no autorizados.

* Datos: es un elemento aislado, recabado para un cierto fin, pero que no ha pasado por un proceso que lo interrelacione con otros de manera funcional para el fin previsto.

* Disponibilidad: Es la propiedad de la información de ser accesible y utilizable por solicitud de una Entidad o funcionarios autorizados.

* Formularios electrónicos: Herramienta que permite la identificación de información, estructura y diseño de los formularios web a presentar en el portal del Usuario final. Dicha configuración se almacena en el repositorio de datos de uso los cuales tratan y gestionan la inclusión y configuración de diversos componentes, como por ejemplo bloques, secciones, objetos de formulario, etc.

* Hardware (Hw): Son las partes físicas y tangibles de una computadora, sus componentes eléctricos, electrónicos, electromecánicos y mecánicos, sus cables, gabinetes o cajas, periféricos de todo tipo y cualquier otro elemento físico involucrado.

* Incidente: Causa potencial que puede producir daño a un sistema o la Entidad.

* Incidente de seguridad de la información: Un evento o serie de eventos de seguridad de la información no deseados o inesperados, que tienen una probabilidad significativa de comprometer las operaciones del negocio y amenazar la seguridad de la información.

* Integridad: Es la propiedad de salvaguardar la exactitud y estado completo de los activos.

* Intranet: Red privada de computadoras que permite compartir recursos entre ellas y se encuentra enlazada. Puede o no tener acceso a Internet.

* ISO (International Organization for Standardization): Deriva del griego ISOS, que significa “igual”; Organización creada el 23 de Febrero de 1947, en Ginebra, Suiza, con el fin de “facilitar la coordinación internacional y unificación de normas industriales”. Actualmente son miembros 165 países.

* Riesgo: Potencial de que una amenaza determinada aproveche las vulnerabilidades de una activo o grupo de activos y produzca daño a la Entidad. Se mide en términos de la combinación de la probabilidad de un evento y sus consecuencias.

* Terceros: Personal que pertenece a empresas que proveen servicios a TRASMILENIO S.A.

* TICs (Tecnologías de la Información y las Comunicaciones): Es la entidad que se encarga de diseñar, adoptar y promover las políticas, planes, programas y proyectos del sector de las Tecnologías de la Información y las Comunicaciones. Dentro de sus funciones está incrementar y facilitar el acceso de los usuarios de la Entidad a las Tecnologías de la Información, las Comunicaciones y a sus beneficios.

* Usuarios: Funcionarios, empleados contratados, consultores y contratistas.

* Vulnerabilidad: Debilidad de un activo o grupo de activos que puede ser aprovechada por una o más amenazas.

* Web: Significa “red”, “telaraña” o “malla”. El concepto se utiliza en el ámbito tecnológico para nombrar a una red informática y, en general a Internet.

3. CONDICIONES GENERALES (POLÍTICAS DE OPERACIÓN)

TRASMILENIO S.A., asegurará la protección de la información en el momento de ser transferida o intercambiada con otras entidades y establecerá los procedimientos y controles necesarios para el intercambio de información; así mismo, se establecerán Acuerdos de Confidencialidad y/o de Intercambio de Información con las terceras partes con quienes se realice dicho intercambio. La Dirección Tic´s propenderá por el uso de tecnologías informáticas y de telecomunicaciones para llevar a cabo dicho proceso; sin embargo, establecerá directrices para el intercambio de información en medio físico.

Aplica para todos los medios de intercambio que la Entidad emplee e incluye implícitamente:

* Correcto uso de los medios.

* Controles para evitar la modificación, la interceptación, el copiado o la destrucción de la información.

* Controles de protección contra el código malicioso.

* Técnicas de ingeniería social.

* Uso de cifrado en datos que se consideren necesarios.

6.1 Política Intercambio de Información con partes externas

Ref.: ISO/IEC 27001:2013 Clausula A.13.2

TRASMILENIO S.A., entendiendo la importancia del correo electrónico como herramienta para facilitar la comunicación entre funcionarios y terceras partes, proporcionará un servicio idóneo y seguro para la ejecución de las actividades que requieran el uso del correo electrónico, respetando siempre los principios de confidencialidad, integridad, disponibilidad y autenticidad de quienes realizan las comunicaciones a través de este medio.

6.1.1. Transferencia de Información

Ref.: ISO/IEC 27001:2013 Clausula A.13.2.1

Objetivo: TRASMILENIO S.A. debe mantener la seguridad de la información transferida dentro de la organización y con cualquier entidad externa.

6.1.2 Políticas y procedimientos de transferencia de información

Ref.: ISO/IEC 27001:2013 Clausula A.13.2.2

TRASMILENIO S.A. debe contar con políticas, procedimientos y controles de transferencia formales para proteger la transferencia de información, mediante todo tipo de instalaciones de comunicaciones.

6.1.3 Acuerdos sobre transferencia de información

Ref.: ISO/IEC 27001:2013 Clausula A.13.2.3

Los acuerdos de TRASMILENIO S.A. deben tratar la trasferencia segura de información del negocio entre la organización y las partes externas.

Cuando se trate de intercambios periódicos se debe privilegiar la “transmisión de datos” a través de vías seguras. La situación más evidente en este sentido surge con Entes Distritales con las cuales se establecen convenios o nexos de diferente naturaleza y que involucran de alguna forma el intercambio de información.

Para establecer dicha transmisión se debe consultar el concepto técnico de la Dirección de TIC´s de TRANSMILENIO S.A., área que además coordinará la verificación de los requerimientos para el proceso de transmisión. También se debe privilegiar este mecanismo o similares técnicamente, cuando el intercambio de información se produzca con otros Organismos Nacionales con los que exista intercambio regular de información. La información a intercambiar debe estar previamente definida y formalizada a través de una petición institucional.

Para acceso a sitios web se debe implementar herramientas de seguridad perimetral seguros (firewalls)

Para acceso a portales institucionales se debe realizar asegurándose que sean implementados desarrollos seguros.

6.1.4 Mensajes electrónicos

Ref.: ISO/IEC 27001:2013 Clausula A.13.2.4

Se debe proteger apropiadamente la información incluida en los mensajes electrónicos.

Para dar un uso adecuado a la mensajería electrónica, se deberán observar los siguientes lineamientos:

Correo Electrónico

TRASMILENIO S.A asigna una cuenta de correo electrónico como herramienta de trabajo para cada uno de los funcionarios que lo requieran para el desempeño de sus funciones y en algunos casos a terceros previa autorización; su uso se encuentra sujeto a las siguientes políticas:

a) La cuenta de correo electrónico debe ser usada para el desempeño de las funciones asignadas dentro de TRASMILENIO S.A.

b) Los mensajes y la información contenida en los buzones de correo son de propiedad de TRASMILENIO S.A y cada usuario, como responsable de su buzón, debe mantener solamente los mensajes relacionados con el desarrollo de sus funciones.

c) El tamaño de los buzones de correo está determinado por la Dirección de Tecnología Tic´s de acuerdo con las necesidades de cada usuario y previa autorización del Jefe Inmediato de cada Dirección o Dependencia.

d) No se permite:

i) Enviar o recibir mensajes con un tamaño superior al autorizado y configurado entre cuentas de correo corporativas.

ii) Enviar o recibir mensajes con un tamaño superior al autorizado y configurado entre una cuenta de correo corporativa y una externa.

iii) Enviar o recibir cadenas de correo, mensajes con contenido religioso, juegos, político, racista, sexista, pornográfico, publicitario no corporativo o cualquier otro tipo de mensajes que atenten contra la dignidad de las personas, mensajes mal intencionados que puedan afectar los sistemas internos o de terceros, la moral, las buenas costumbres y mensajes que inciten a realizar prácticas ilícitas o promuevan actividades ilegales incluido el lavado de activos. Si un usuario encuentra este tipo de material deberá reportarlo a su jefe inmediato con copia al buzón soportetecnico@transmilenio.gov.co.

iv) El envío de archivos que contengan extensiones como .mp3, wav, .exe, .com, .dll, .bat. o cualquier otro archivo ejecutable; en caso que sea necesario hacer un envío de este tipo de archivos deberá ser autorizado por la Dirección de Tecnología Tic´s de TRASMILENIO S.A.

v) No se podrá enviar información clasificada como Restringida sin la autorización previa de la Dirección de Tecnología Tic´s de TRASMILENIO S.A.

vi) Se prohíbe el uso de correo en cadena o mensajes enviados a un número de destinatarios para que estos a la vez se reenvíen a otros, enviado a un gran número de receptores sin un propósito relacionado con la misión de la TRASMILENIO S.A. Estos tipos de mensajes degradan el desempeño del sistema y consumen recursos valiosos en disco y memoria. El usuario debe borrar los correos de cadena y masivos (no relacionados con la misión de la Entidad) y abstenerse de reenviarlos a otras personas. Así mismo, no debe reenviar correo a otra persona sin el previo consentimiento del remitente.

vii) No se debe alterar la línea “De” (autor del correo) u otra información relacionada con los atributos de origen del correo electrónico.

viii) No se permite el envío de mensajes anónimos y la gestión con este tipo de mensajes está prohibida.

e) El envío masivo de mensajes publicitarios corporativos deberá contar con la aprobación de la Dirección de Tecnología Tic´s de TRASMILENIO S.A y deberá incluir un mensaje que le indique al destinatario cómo ser eliminado de la lista de distribución.

f) Toda información de TRASMILENIO S.A. generada con los diferentes procesadores de texto (Ej. Herramientas de Oficina como Word, Excel, PowerPoint, Project, Access, Wordpad, Open Office, entre otras), que requiera ser enviada fuera de la Organización, y que por sus características de confidencialidad e integridad debe ser protegida, debe estar en formatos no editables, utilizando una herramienta que evite la modificación de la información. La información puede ser enviada en el formato original bajo la responsabilidad del usuario y únicamente cuando el receptor requiera hacer modificaciones a dicha información.

g) Todos los mensajes enviados deben respetar el estándar de formato e imagen corporativa definido por la Dirección de Tecnología Tic´s de TRASMILENIO y deben conservar en todos los casos el mensaje legal institucional de confidencialidad.

h) Todo correo electrónico que deba ser transmitido hacia Internet, deberá tener al final del mensaje el siguiente texto:

Este mensaje (incluyendo cualquier anexo) contiene información confidencial y se encuentra protegido por la Ley. Sólo puede ser utilizada por la persona o compañía a la cual está dirigido. Si usted no es el receptor autorizado, o por error recibe este mensaje, favor borrarlo inmediatamente. Cualquier retención, difusión, distribución, copia o toma de cualquier acción basada en ella, se encuentra estrictamente prohibido.

This message (including any attachments) contains confidential information intended for a specific individual and purpose, and is protected by law. If you are not the intended recipient, you should delete this message. Any disclosure, copying, or distribution of this message, or the taking of any action based on it, is strictly prohibited.

h) La información enviada por correo electrónico, clasificada como confidencial, debe ser protegida con contraseña de acceso o cifrado según corresponda.

i) Se prohíbe el envío de mensajes no solicitados para el desarrollo de la misión de la Entidad, incluyendo él envió de “correo basura”, mensajes cadena u otro material de publicidad a personas que específicamente no lo hayan solicitado (por ejemplo, “inundación con mensajes de e-mail” o “spam”) y que se materialicen en la queja reiterada del receptor, harán presumir los mensajes como “no solicitados”, así como su requerimiento expreso de no continuar recibiendo dicho material.

Se incluye, sin limitación, el envío de masivos de publicidad comercial, anuncios informativos y comunicaciones políticas. También se incluye la publicación de un mismo mensaje o similar en uno o más grupos de noticias (exceso de publicación cruzada o múltiple publicación).

j) Se prohíbe falsificar el encabezado de los mensajes con el objeto de esconder su verdadero contenido, las fechas de su recepción o los remitentes o destinatarios incluidos en ellos.

k) Se prohíbe al usuario además, hospedar sitios que sean publicitados por medio de mensajes de correo electrónico no solicitados o bien sitio que generen este tipo de mensajes no solicitados, aunque los mismos no se generen directamente desde ese sitio. Hospedar, publicitar, comercializar o de cualquier manera poner a disposición de terceros cualquier software, programa, producto o servicio diseñados para violar de alguna forma la presente política o las políticas de uso aceptable de otro proveedor de acceso a internet, lo que incluye, pero no está limitado a, programas diseñados para enviar mensajes con publicidad no solicitados (“spamware”), los que se encuentran prohibidos por este documento.

l) Se encuentra prohibido el mantenimiento de cualquier red de servicios que permita, sin restricciones, el envío de mensajes o correos electrónicos por terceras personas. Las cuentas o servicios de TRANSMILENIO S.A., no podrán ser utilizadas para recibir respuestas a mensajes enviados desde otro proveedor de servicio de internet si dichos mensaje violan la presente política o la de otro proveedor.

m) Comunicar, publicar, circular, enviar o allegar a Instancias o Entidades diferentes a aquellas que lo requieren información que en la Entidad se considera confidencial o de uso interno exclusivamente.

TRASMILENIO S.A. se reserva el derecho de monitorear y supervisar su información, sistemas, servicios y equipos, de acuerdo con lo establecido en esta Política y la legislación vigente.

Internet

Internet es una herramienta de trabajo que permite navegar en muchos otros sitios relacionados o no con las actividades propias de TRASMILENIO S.A., por lo cual el uso adecuado de este recurso se controla, verifica y monitorea, considerando para todos los casos las siguientes políticas:

a) No se permite:

i) Navegación en sitio de contenido pornográfico, basado en sentimientos de odio o segregación, de delincuencia computacional (hackers o crackers) o cualquier otro sitio que la Dirección de Tecnología Tic´s considere fuera de los límites permitidos.

ii) Publicación, envío o adquisición de material sexualmente explícito u orientado, basado en sentimientos de odio o segregación, de delincuencia computacional o de cualquier otro contenido que la Dirección de Tecnología Tic´s considere fuera de los límites permitidos.

iii) Publicación o envío de información confidencial hacia fuera de la Dirección de Tecnología Tic´s sin la autorización de los Dueños respectivos.

iv) Utilización de otros servicios disponibles a través de Internet, como por ejemplo FTP y Telnet.

v) Publicación de anuncios comerciales o material publicitario.

vi) Promover o mantener asuntos o negocios personales.

vii) Recepción de noticias o actualización de datos, a menos que el material sea requerido para actividades de TRASMILENIO S.A.

viii) Utilización de programas de aplicación o software no relacionados con la actividad laboral y que ocupen excesivamente el tiempo de procesamiento de la estación de trabajo o de la red, por ejemplo aplicaciones que se ejecutan mientras está activo el protector de pantalla.

b) La Dirección de Tecnología Tic´s realiza monitoreo permanente de tiempos de navegación y páginas visitadas por parte de los funcionarios y/o terceros. Así mismo, se puede inspeccionar, registrar e informar las actividades realizadas durante la navegación.

c) Cada uno de los usuarios es responsable de dar un uso adecuado de este recurso y en ningún momento puede ser usado para realizar prácticas ilícitas o mal intencionadas que atenten contra terceros, la legislación vigente, las políticas de seguridad de la información, entre otros.

d) Los funcionarios, contratistas de éstos, no pueden asumir en nombre de TRASMILENIO S.A., posiciones personales en encuestas de opinión, foros u otros medios similares.

e) El uso de Internet no considerado dentro de las restricciones anteriores, es permitido siempre y cuando se realice de manera ética, razonable, responsable, no abusiva y sin afectar la productividad ni la protección de la información de TRASMILENIO S.A.

Recursos Tecnológicos

TRASMILENIO S.A., asigna diferentes recursos tecnológicos como herramientas de trabajo para uso exclusivo de sus funcionarios y terceros autorizados. El uso adecuado de estos recursos se reglamenta bajo las siguientes políticas:

a) La instalación de cualquier tipo de software en los equipos de cómputo de TRASMILENIO S.A., es responsabilidad de la Dirección de Tecnología Tic´s y por tanto son los únicos autorizados para realizar o autorizar esta labor.

b) Los usuarios no deben realizar cambios en las estaciones de trabajo relacionados con la configuración del equipo, tales como conexiones de red, usuarios locales de la máquina, papel tapiz y protector de pantalla definido por la Organización. Estos cambios pueden ser realizados únicamente por la Dirección de Tecnología Tic´s y el personal que presta sus servicios a TRASMILENIO S.A.

c) La Dirección de Tecnología Tic´s, define e informa la lista actualizada de software y aplicaciones autorizadas que se encuentran permitidas para ser instaladas en las estaciones de trabajo de los usuarios; así mismo, realiza el control y verificación de cumplimiento del licenciamiento del respectivo software y aplicaciones asociadas.

d) Únicamente los usuarios autorizados por la Dirección de Tecnología Tic´s y previa solicitud por parte del jefe inmediato, pueden conectarse a la red inalámbrica de TRASMILENIO SA.

e) Los equipos de cómputo deberán ser bloqueados por los funcionarios cada vez que se retiren del lugar de trabajo.

f) La Dirección de Tecnología Tic´s, será la única dependencia encargada de la adquisición de software y hardware. El resto de dependencias podrán a través de dicha Oficina realizar las debidas adquisiciones.

g) Los funcionarios no deben realizar cambios en las estaciones de trabajo, tales como, cambio de ubicación, mantenimientos, repotenciación, modificaciones en su configuración física y además, sólo podrán ser realizados por la Dirección de Tecnología Tic´s

h) El acceso a unidades CD, DVD y dispositivos USB está restringido. Solamente podrá ser utilizado por personal autorizado por la Dirección de Tecnología Tic´s.

En la Dirección de Tecnología Tic´s se manejará la posibilidad de excepciones a los usos prohibidos establecidos de acuerdo a las siguientes políticas:

* La Dirección de Tecnología Tic´s podrán aprobar conjuntamente aquellas excepciones que consideren en beneficio de TRASMILENIO S.A.

* El personal responsable de la Seguridad de Información, Tecnología de Información y Auditoría de Sistemas de la Dirección de Tecnología Tic´s, podrá estar eximido, previa autorización escrita de la dirección correspondiente, de las prohibiciones a las que estará sujeto el resto del personal, siempre y cuando sea para beneficio del desarrollo de sus responsabilidades y de las actividades de TRASMILENIO S.A.

6.1.5 Acuerdos de confidencialidad o de no divulgación.

Ref.: ISO/IEC 27001:2013 Clausula A.13.2.44

Todos los funcionarios, contratistas y clientes deben firmar la cláusula y/o acuerdo de confidencialidad definido por TRASMILENIO S.A. y este deberá ser parte integral de cada uno de los contratos.

Este requerimiento también se aplicará para los casos de contratación de personal temporal o cuando se permita el acceso a la información y/o a los recursos de la Entidad a personas o entidades externas.

TRASMILENIO S.A., firmará acuerdos de confidencialidad con los funcionarios, clientes y terceros o contratistas, que por diferentes razones requieran conocer o intercambiar información restringida o confidencial de la Institución. En estos acuerdos quedarán especificadas las responsabilidades para el intercambio de la información para cada una de las partes y se deberán firmar antes de permitir el acceso o uso de dicha información.

Todo funcionario de TRASMILENIO S.A. es responsable por proteger la confidencialidad e integridad de la información y debe tener especial cuidado en el uso de los diferentes medios para el intercambio de información que puedan generar una divulgación o modificación no autorizada.

Los propietarios de la información que se requiere intercambiar son responsables de definir los niveles y perfiles de autorización para acceso, modificación y eliminación de la misma y los custodios de esta información son responsables de implementar los controles que garanticen el cumplimiento de los criterios de confidencialidad, integridad, disponibilidad requeridos.

Se deben identificar, revisar regularmente y documentar los requisitos para los acuerdos de confidencialidad o no divulgación que reflejen las necesidades de la organización para la protección de la información.

El acuerdo de confidencialidad deberá formalizarse en cada uno de los contratos celebrados con terceros y que en la prestación del servicio puedan tener acceso a la información restringida o confidencial de TRASMILENIO S.A. De dicho acuerdo deberá derivarse una responsabilidad tanto civil como penal para la tercera parte que TRASMILENIO S.A. contrata.

Si es aplicable para cada uno de los contratos, el acuerdo de confidencialidad deberá incluir aspectos como:

a) Duración del acuerdo.

b) Definición de la información que deberá ser protegida.

c) Definición de responsabilidades de cada una de las partes para evitar que se presente divulgación de la información.

d) Asignación de permiso para que el tercero o contratista haga uso de la información que para TRASMILENIO S.A., es sensible o crítica.

e) Definición del propietario de la información que el tercero o contratista va a manipular.

f) Inclusión de aspectos como secretos de mercado.

g) Inclusión de aspectos como propiedad intelectual, derechos de autor relacionados con desarrollos de software, licencias, manuales, etc.

h) Definición de las responsabilidades de cada una de las partes, mientras la información se encuentra fuera de las instalaciones de TRASMILENIO S.A. o del tercero.

i) Inclusión del derecho a auditar y monitorear actividades que involucren información sensible o crítica, en aquellos casos que aplique y sea esencial.

j) Definición de acciones a tomar sí el acuerdo se incumple.

k) Definición de términos de tiempo en que la información manejada por el tercero debe ser devuelta cuando el contrato se finalice.

Así mismo y en el caso que se requiera, el tercero o contratista, deberá tener acuerdos de confidencialidad con los empleados que estén directamente relacionados con el manejo de la información de TRASMILENIO S.A.

El procedimiento abarca las etapas del ciclo de INTERCAMBIO DE INFORMACIÓN a los usuarios y terceros de todos los niveles que tengan acceso a la información y sistemas de TRASMILENIO S.A.

7. DESCRIPCIÓN DEL PROCEDIMIENTO

ACTIVIDAD		DESCRIPCIÓN	REGISTRO	RESPONSABLE
10	INICIO
20	Aplicar Política	Aplicar la política y actividades necesarias para el intercambio seguro de la información electrónica al interior de la Entidad y con otras Entidades.	Manual de Políticas de Seguridad de la Información	Profesional Especializado 06 Seguridad de la Información
30	Monitorear	Monitorear el cumplimento de las políticas y actividades necesarias para el intercambio seguro de la información electrónica al interior de la Entidad y con otras Entidades.		Profesional Especializado 06 Seguridad de la Información
15?		¿Se cumplen las políticas y actividades para el intercambio seguro de la información electrónica al interior de la Entidad y con otras Entidades? SI: ir a Actividad 40 NO: ir a Actividad 20		Profesional Especializado 06 Seguridad de la Información
40	Generar Plan	Generar un plan de revisión periódico de la política y actividades de intercambio seguro de la información electrónica al interior de la Entidad y con otras Entidades.		Profesional Especializado 06 Seguridad de la Información
50	Formular Acciones/ correctivas	Formular acciones preventivas, correctivas o de mejora para el intercambio seguro de la información electrónica al interior de la Entidad y con otras Entidades y generar una bitácora que permita llevar un registro de los eventos presentados.	Oficio, correo	Responsable del proceso
25?		¿Aprobar las acciones preventivas, correctivas o de mejora propuestas? SI: ir a Actividad 60 NO: ir a Actividad 35?		Director de TIC´s
60	Implementar	Implementar actividades y surtir las acciones correctivas, preventivas y de mejora necesarias para el cumplimiento de las políticas y actividades.	Acta aprobada por el Director Tic´s	Responsable del proceso
35?		Se identificaron eventos o incidentes de seguridad? SI: ir a Actividad 70 No: ir Actividad 80		Profesional Especializado 06 Seguridad de la Información. Responsable del proceso
70	Aplicar Política	Aplicar política de gestión de incidentes		Profesional Especializado 06 Seguridad de la Información. Responsable del proceso
80	FIN

8. TABLA DE FORMATOS

CÓDIGO	NOMBRE	UBICACIÓN	RESPONSABLE
R-DT-008	Acuerdo de Confidencialidad	Intranet	Profesional Especializado 06 Seguridad de la Información

NOTA: Publicada en el Registro Distrital 5730 de diciembre 09 de 2015

Resolución 722 de 2015 Empresa de Transporte del Tercer Milenio - Transmilenio S.A