RESOLUCIÓN 004 DE 2016

 

(Enero 4)

Derogada por el art. 2 de la Res. 317 de 2017

 

“Por la cual se modifica la Resolución 078 del 31 de Julio de 2000, con el fin de actualizar el Manual de Procedimientos de la Empresa de Transporte del Tercer Milenio TRANSMILENIO S.A.”.

 

EL JEFE DE LA OFICINA ASESORA DE PLANEACIÓN DE LA EMPRESA DE TRANSPORTE DEL TERCER MILENIO “TRANSMILENIO  S.A.”,

 

en ejercicio de sus facultades delegadas mediante la Resolución 278 de Julio de 2012, y

 

CONSIDERANDO:

 

Que de conformidad con lo señalado en el artículo segundo del Acuerdo 4 de 1999, corresponde a TRANSMILENIO S.A., la gestión, organización y planeación del servicio de transporte público masivo urbano de pasajeros en el Distrito Capital y su área de influencia, bajo la modalidad de transporte terrestre automotor.

 

Que cumpliendo con lo ordenado en el parágrafo único del artículo 1º de la Ley 87 de 1993, se adoptó el Manual de Procedimientos de TRANSMILENIO S.A., según Resolución 078 de 2000.

 

Que mediante Acuerdo 002 de 2011 de la Junta Directiva de la EMPRESA DE TRANSPORTE DEL TERCER MILENIO – TRANSMILENIO S.A.” se determinaron las funciones de las dependencias.

 

Que siendo TRANSMILENIO S.A., el ente gestor del Sistema Integrado de Transporte Público, considera necesario actualizar el Manual de Procedimientos de la Entidad, con el objeto de ajustarlo a los nuevos parámetros, necesidades y desarrollo del Sistema TransMilenio y fijar las directrices y lineamientos del Personal de la Entidad y de los actores que intervienen en la Operación.

 

Que la Norma ISO-IEC 27001 establece los requisitos para la implementación de un Sistema de Gestión de seguridad de la información y la ISO-IEC 27002 establece el código de buenas prácticas para la gestión de la seguridad de la información.

 

Que mediante el Decreto 652 de 2011 se adopta la Norma Técnica Distrital del Sistema Integrado de Gestión NTD-SIG 001:2011, estableciendo que el Subsistema de Gestión de Seguridad de la información (SGSI) es un elemento constitutivo de él.

 

Que la Circular 007 de 2015 emitida por la Alta Consejería Distrital de TIC`s de la Alcaldía Mayor de Bogotá, solicitan el cumplimiento de los requisitos del Sistema de Gestión de la Seguridad de la información y de la Estrategia de Gobierno en Línea.

 

Que en mérito de lo expuesto,

 

RESUELVE:

 

ARTÍCULO PRIMERO: Modificar las Resolución 078 del 31 de Julio de 2000, con el fin de actualizar el Manual de Procedimientos de la Empresa de Transporte del Tercer Milenio TRANSMILENIO S.A. en lo que corresponde a la incorporación del siguiente documento:

 

 

ARTÍCULO SEGUNDO: La presente Resolución rige a partir de su publicación en la Gaceta Distrital y deroga en su totalidad los documentos que le sean contrarios, los demás procedimientos no modificados con la presente resolución continúan vigentes.

 

PUBLÍQUESE Y CÚMPLASE.

 

Dada en Bogotá, a los 04 días del mes de enero del año 2016.

 

ANDRÉS ARBOLEDA SALAZAR

 

Jefe Oficina Asesora de Planeación

 

 

TABLA DE CONTENIDO

 

1 OBJETIVO

 

2 ALCANCE

 

3 RESPONSABLES

 

4 DOCUMENTOS DE REFERENCIA

 

5 DEFINICIONES

 

6 CONDICIONES GENERALES

 

7 POLÍTICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN

 

 

1 OBJETIVO

 

El propósito de este documento es comunicar los lineamientos establecidos por  la Alta Dirección de TRANSMILENIO S.A. para la gestión de la seguridad de la  Información,  los cuales se constituyen como guía para la ejecución de las actividades de la Entidad, de forma que mitiguen  los riesgos de pérdida   de confidencialidad, disponibilidad e integridad de la información.

 

2 ALCANCE

 

Este Manual cubre las políticas de Seguridad de la Información de TRANSMILENIO S.A.

 

Este Manual de Políticas aplica para todos los funcionarios, terceros y contratistas que desarrollen labores de asesoría, consultoría, implementación, soporte o mantenimiento y demás personas que sin ser de planta de la entidad, tienen un nivel de vinculación, brindan algún tipo de servicio dentro de las instalaciones o tienen acceso a información de TRANSMILENIO S.A.

 

3 RESPONSABLES

 

El responsable por la elaboración y mantenimiento de este documento es el Profesional Especializado (06) de Seguridad de la Información de la Dirección de Tecnología de la Información y por su estricto cumplimiento, implementación y mantenimiento el Director Técnico de Tecnología de la Información.

 

Todos los funcionarios públicos adscritos a TRANSMILENIO S.A., en sus diferentes procesos y dependencias, son responsables por la aplicación y cumplimiento del presente Manual en cuanto tengan bajo su custodia o responsabilidad información y los medios  de procesamiento de información (sistemas de información o aplicativos) de la entidad.

 

Las actualizaciones se realizarán de acuerdo a las necesidades de la entidad o cuando haya un cambio de la legislación y normatividad vigente aplicable.

 

4 DOCUMENTOS DE REFERENCIA

 

* Constitución Política de Colombia de 1991

 

Artículo 2.	Fines Esenciales del Estado.
Artículo 6.	Responsabilidad de los servidores públicos.
Artículo 15.	Derecho a la Intimidad. Hábeas Data.
Artículo 20.	Derecho a la Información.
Artículo 74.	Libre Acceso a Documentos Públicos.
Artículo 122.	Desempeño de Funciones Públicas.
Artículo 123.	Desempeño de funciones de los Servidores Públicos.
Artículo 209.	Fines de la Función Administrativa.
Artículo 269.	Métodos y Procedimientos de Control Interno.
Artículo 284.	Acceso a Información Reservada.

 

* Ley 1273 de 2009 Por medio del cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado – denominado “De la Protección de la información y de los datos”- y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones.

 

* Ley 23 de  1982: Ley emitida por el Congreso de la República de Colombia, acerca de la Propiedad Intelectual y los Derechos de autor.

 

* Ley 734 de 2002. “Por la cual se expide el Código Disciplinario Único”.

 

* Ley 527 de 1999: por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones

 

* Ley 603 del 2000: Ley emitida por el Congreso de la República de Colombia, acerca del cumplimiento de las Normas de Propiedad Intelectual

 

* Ley 1520 de 2012: Por medio de la cual se implementan compromisos adquiridos por virtud del “Acuerdo de Promoción Comercial”, suscrito entre la República de Colombia y los Estados Unidos de América y su “Protocolo Modificatorio, en el Marco de la Política de Comercio Exterior e Integración Económica”

 

* Ley 1266 de 2008: Por la cual se dictan las disposiciones generales del Habeas Data y se regula el manejo de la información contendida en bases de datos personales, en especial la financiera, crediticia, comercial, de servicios y la proveniente de terceros países y se dictan otras disposiciones.

 

* Ley 1581 de 2012: Por la cual se dictan disposiciones generales para la protección de datos personales, habeas data

 

* Ley 1341 de 2009: Por la cual se definen Principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones -TIC-, se crea la Agencia Nacional del Espectro y se dictan otras disposiciones acerca de la protección de los derechos de los usuarios.

 

* Ley 1712 de 2014: Ley de Transparencia Ley y del Derecho de Acceso a la Información Pública Nacional.

 

* Reglamento Interno de trabajo de TRANSMILENIO S.A. documento que se establece como norma reguladora de las relaciones internas de la Empresa con los trabajadores adscritos a ella.

 

* Decreto 2573 de 2014: Por el cual se reglamentan los lineamientos generales de la estrategia de Gobierno en Línea.

 

* Decreto 1360 de 1989: Por el cual se reglamenta la inscripción de soporte lógico (software) en el Registro Nacional del Derecho de Autor. Decreto 460 de 1995: Por el cual se reglamenta el Registro Nacional del Derecho de Autor y se regula el Depósito Legal

 

* Decreto 162 de 1995: Por el cual se reglamenta en relación con las Sociedades de Gestión Colectiva de Derecho de Autor o de Derechos Conexos

 

* Sentencia T-444 de 1992. Recolección de información por parte de los Organismos de Seguridad del Estado.

 

* ISO-IEC-27000: “Vocabulario Sistema de Gestión de la Seguridad de la Información”.

 

* ISO-IEC-27001: “Por la cual se establecen los requisitos para implementar el Sistema de Seguridad de la Información (SGSI)”.

 

* ISO-IEC-27002: “Por el cual se establece el código de buenas prácticas para la gestión de la seguridad de la información”.

 

* IS-IEC-27003: “Por la cual se determina el proceso de planificación e implementación de los procesos del SGSI”.

 

* ISO-IEC-27004: “Por el cual se estipula el sistema de medición de la eficacia de los SGSI implementados”.

 

* ISO-IEC- 27005: “Por el cual se estandarizan las guías sobre la gestión de riesgos”.

 

* ISO-IEC-27006: “Por el cual se informa sobre cómo los organismos de certificación deben interpretar la ISO 17021-1 en el contexto de auditorías a SGSI, en cumplimiento con la norma ISO 27001”.

 

* ISO-IEC- 27007: “Por el cual se estandarizan las auditorias según la norma ISO 27001, el alcance y la complejidad, la gestión de riesgos, la selección de controles y la competencia de los auditores de SGSI”.ISO-IEC-27008: “Por el cual se manejan los aspectos técnicos de los controles de seguridad definidos en el Anexo A de la ISO27001”.

 

* NTC- 5411-1-2006: Tecnología de la información. Técnicas de seguridad. Gestión de la seguridad de la tecnología de la información y las comunicaciones. Parte 1: Conceptos y modelos para la gestión de la tecnología de la información y las comunicaciones.

 

* NTC 5450-1-2006: Tecnología de la información. Técnicas de seguridad. Criterios de evaluación para la seguridad de tecnologías de la información (TI) parte 1: Introducción y modelo general.

 

* NTC GP 1000:2009: Norma técnica que describe las generalidades y los requisitos mínimos para establecer, documentar, implementar y mantener un Sistema de Gestión de la Calidad en los organismos, entidades y agentes obligados, conforme al artículo 2 de la Ley 872 de 2003.

 

* NTC ISO 9001: 2008  Norma técnica que determina los requisitos para un Sistema de Gestión de la Calidad (SGC), que pueden utilizarse para su aplicación interna por las organizaciones, sin importar si el producto o servicio lo brinda una organización pública o empresa privada, cualquiera que sea su tamaño, para su certificación o con fines contractuales.

 

* NTD-SIG 001:2011: Norma técnica distrital que determina los requisitos del Sistema Integrado de Gestión para las Entidades y Organismos distritales adoptada mediante el Decreto 652 de 2011 por la Alcaldía de Bogotá.

 

5 DEFINICIONES

 

Activo: Cualquier cosa que tiene valor para la organización.

 

Acción Correctiva: Acción tomada para eliminar la causa de una no conformidad detectada u otra situación no deseable.

 

Activo de Información: Todo aquel elemento lógico o físico en que procesa, almacena o transmite información y que tiene un valor para la organización. Ejemplo: Bases de datos, programas de computación, plataforma tecnológica (procesamiento de datos o comunicaciones), documentos impresos y recursos humanos.

 

Administrador de Bases De Datos: Administrador de Bases de Datos - DBA Infraestructura.

 

Administración de Usuarios: La administración de usuarios corresponde a las labores de creación, modificación, consulta, bloqueo, desbloqueo y eliminación de la cuenta de un usuario.

 

Análisis de Riesgos: Uso sistemático de la información para identificar fuentes y estimar riesgos.

 

Auditoría al Sistema de Gestión de Seguridad de la Información: Examen sistemático e independiente para determinar si las actividades y los resultados relacionados con la seguridad de la información cumplen disposiciones preestablecidas, y si estas disposiciones se aplican en forma efectiva y son aptas para alcanzar los objetivos. 

 

Autenticidad: Es la propiedad de garantizar la identidad de un sujeto o recurso declarado. La autenticidad se aplica a entidades tales como usuarios, procesos, sistemas e información.

 

Backup: Es la copia total o parcial de información importante del disco duro, CD´s, bases de datos u otro medio de almacenamiento, la cual puede recuperarse en caso de pérdida de la copia original.

 

Comité de Seguridad: Comité de Seguridad de Tecnología de Información.

 

Confidencialidad: Propiedad que determina que la información no esté disponible ni sea revelada a individuos, entidades o procesos no autorizados.

 

Contraseña o Palabra Clave: Serie secreta de caracteres que permite a un usuario tener acceso, a un archivo, computador o programa.

 

Dependencia: Oficina o área de la entidad.

 

Directorio Activo: Herramienta que permite a los administradores de red establecer políticas a nivel de empresa, desplegar programas en una cantidad determinada de computadores y almacenar información de usuarios en una base de datos centralizada.

 

Disponibilidad: Es la propiedad de la información de ser accesible y utilizable por solicitud de una Entidad o funcionarios autorizados.

 

Disponibilidad: Propiedad que determina que la información sea accesible y utilizable a solicitud de una entidad autorizada.

 

Firewall: Es un ordenador, software o dispositivo físico que se conecta en una red con salida a Internet con el fin de impedir el acceso no autorizado, incorporando elementos que garantizan la privacidad, autentificación, etc., conforme a las políticas de seguridad de quien los instala.

 

Hardware (HW): Son las partes físicas y tangibles de una computadora, sus componentes eléctricos, electrónicos, electromecánicos y mecánicos, sus cables, gabinetes o cajas, periféricos de todo tipo y cualquier otro elemento físico involucrado.

 

Incidente de Seguridad De La Información: Cualquier evento que haya vulnerado la seguridad de la información o que intente vulnerarla, sin importar la información afectada, la plataforma tecnológica, la frecuencia, las consecuencias, el número de veces ocurrido o el origen (interno o externo).

 

Infraestructura de Procesamiento De Información: Es cualquier sistema de procesamiento de información, servicio, plataforma tecnológica, o instalación física que los contenga.

 

Información: Es un conjunto de datos acerca de un suceso, hecho, fenómeno ó situación, que organizados en un contexto determinado tienen su significado, cuyo propósito puede ser el de reducir la incertidumbre o incrementar el conocimiento acerca de algo. Información impresa, escrita, hablada y almacenada. // Se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen.

 

Integridad: Propiedad de salvaguardar la exactitud y estado completo de los activos.

 

Intranet: Red privada de computadoras que permite compartir recursos entre ellas y se encuentra enlazada para uso exclusivo dentro de una empresa u hogar. Puede o no tener acceso a Internet.

 

ISO (International Organization For Standardization): Deriva del griego ISOS, que significa “igual”; Organización creada el 23 de Febrero de 1947, en Ginebra, Suiza, con el fin de “facilitar la coordinación internacional y unificación de normas industriales”. Actualmente son miembros 165 países.

 

LOGS : Registro de actividad del sistema, para que pueda facilitar información e indicadores sobre sesiones iniciadas, procesos ejecutados en equipos, conexiones externas, accesos y utilización de los recursos del sistema, Intentos de violación de las políticas de seguridad, detección de ataques sistémicos o intentos de intrusión.

 

Medio de Procesamiento de Información: Denominación genérica para todo aquel software o conjunto de aplicaciones de software, que hace de una computadora un elemento útil, debido a que posibilita al sistema para manejar una tarea específica. Pueden ser aplicaciones de propósito general, que pueden ser utilizados para una amplia variedad de tareas, como pueden ser contabilidad, gestión documental, administración y procesamiento de texto, bases de datos, etc. Otros paquetes ajustan a la computadora para acoplarse a necesidades y operaciones específicas, como bancarias, de seguros, hospitales, manufactura, etc.

 

Partes Interesadas: Son aquellos individuos que influyen en el proceso de gestión de la seguridad de la información o son influenciados por él. Dentro del contexto del Sistema de Gestión de Seguridad de la Información pueden considerarse como partes interesadas los usuarios internos, los clientes, los proveedores, la Dirección, etc.

 

Perfil: Conjunto de características que permiten  establecer las restricciones o permisos a que tiene derecho cada usuario cuando ingresa al sistema. Esta utilidad permite que el administrador del sistema asigne acciones, reportes u opciones del sistema que estarán visibles o disponibles para cada perfil de usuario.

 

Personal: Funcionarios, empleados contratados, consultores y contratistas.

 

Políticas: actividad orientada en forma ideológica a la toma de decisiones de un grupo para alcanzar ciertos objetivos. Acción elegida como guía en el proceso de toma de decisiones al poner en práctica o ejecutar las estrategias, programas y proyectos específicos del nivel institucional.

 

Propietario de La Información: Individuo, entidad o unidad de negocio que ha aceptado la responsabilidad de la administración para el control, producción, desarrollo, mantenimiento, uso y seguridad de los activos de información.

 

Proveedor: Entidad física o virtual que tiene el fin de ofrecer un servicio a otra u otras entidades. Aquellos que proveen o abastecen y entregan bienes o servicios a otros.

 

Registro: Un documento que suministra evidencia objetiva de las actividades efectuadas o de los resultados alcanzados.

 

Sistema de Gestión De Seguridad de la Información (SGSI): Conjunto de políticas, procedimientos, procesos y recursos, basado en un enfoque de riesgo del negocio para establecer, implementar, operar, monitorear, revisar, mantener y mejorar la seguridad de la información. El sistema de gestión incluye organigrama, políticas, planificación de actividades, responsabilidades, prácticas, procedimientos, procesos y recursos relacionados con la seguridad de la información.

 

Sistema Integrado de Gestion:  Sistema integrado para la Gestión de los Organismos y Entidades públicas adoptado mediante el Decreto 652 de 2011 y el cual lo conforman el Subsistema de Gestión de la Calidad (SGC), Subsistema de Control Interno (SCI), Subsistema de Gestión Ambiental (SGA), Subsistema de Seguridad y Salud Ocupacional (S&SO), Subsistema de Gestión de Seguridad de la Información (SGSI), Subsistema Interno de Gestión Documental y Archivo (SIGA) y el Subsistema de Responsabilidad Social (SRS).

 

Seguridad de la Información: conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma.

 

Sistema de Información: Conjunto de datos, aplicaciones, equipos, y recursos humanos que en forma interrelacionada, proveen a la empresa la información necesaria para la ejecución de las tareas y la toma de decisiones de los niveles estratégico, táctico y operativo.

 

Tercero o Subcontratista: Es el proveedor de un producto o servicio que afecta la calidad del servicio prestado por la empresa.

 

Tercero: Contratista que desarrolle labores de asesoría, consultoría, implementación, soporte o mantenimiento y demás personas que sin ser de planta de la entidad, tienen un nivel de vinculación o brindan algún tipo de servicio dentro de las instalaciones de TRANSMILENIO S.A.

 

TIC’s (Tecnologías de la Información y las comunicaciones): Es la entidad que se encarga de diseñar, adoptar y promover las políticas, planes, programas y proyectos del sector de las Tecnologías de la Información y las Comunicaciones. Dentro de sus funciones está incrementar y facilitar el acceso de los usuarios de la organización a las Tecnologías de la Información, las Comunicaciones y a sus beneficios.

 

Vulnerabilidad: Debilidad de un activo o grupo de activos que puede ser aprovechada por una o más amenazas.

 

WEB: Significa “red”, “telaraña” o “malla”. El concepto se utiliza en el ámbito tecnológico para nombrar a una red informática y, en general a Internet.

 

6 CONDICIONES GENERALES

 

6.1 INTRODUCCIÓN

 

Este documento describe la Política Institucional de Seguridad de la Información y las Políticas Generales y Específicas definidas por TRANSMILENIO S.A.

 

Para la elaboración del mismo, se toman como base los controles  y  requisitos identificados en el estándar ISO/IEC 27001:2013 (Information technology -- Security techniques -- Information security management systems -- Requirements), las referencias definidas en el estándar ISO/IEC 27002 (Information Technology - Code of Practice for Information Security Management).

 

Las políticas incluidas en este manual se constituyen como parte fundamental del Sistema de Gestión de Seguridad de la Información de TRANSMILENIO S.A. y se convierten en la base para la implantación de los controles, procedimientos y estándares definidos.

 

La seguridad de la información es una prioridad para TRANSMILENIO S.A. y por tanto es responsabilidad de todos velar por que no se realicen actividades que contradigan la esencia y el espíritu de cada una de estas políticas.

 

Este documento es confidencial y de propiedad de TRANSMILENIO S.A. Las actualizaciones se publicarán internamente en la herramienta de Gestión documental y cuando existan cambios, oficializados y aprobados por la oficina de Planeación y  el Profesional 06 de Seguridad de la Información, éste último realizará el cambio  siguiendo el procedimiento establecido para tal fin y se notificará a cada uno de los funcionarios y contratistas.

 

6.2 VIGENCIA Y ACTUALIZACIÓN DEL MANUAL DE POLÍTICAS

 

Este Manual de Políticas conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permitan resguardar y proteger la información buscando mantener la confidencialidad, la disponibilidad e integridad de la misma. Debe  ser por lo tanto  materia de estudio y conocimiento para todas aquellas personas que directamente o a través de empresas formalicen contractualmente relación con TRANSMILENIO S.A.

 

La definición, actualización y mantenimiento del Manual de Políticas de Seguridad de la Información de TRANSMILENIO S.A. es responsabilidad de la Dirección de TIC’s de TRANSMILENIO S.A., con la debida aprobación del Comité de Seguridad de la Información y deberá seguir los lineamientos definidos en el Procedimiento de Control de Documentos. En las revisiones periódicas se deben tener en cuenta factores como: incidentes de seguridad, nuevas vulnerabilidades detectadas, cambios en la infraestructura tecnológica u organizacional, en los objetivos del sistema o de la Organización, entre otros.

 

La versión oficial de este documento para funcionarios, será la que se encuentre publicada y aprobada en la Intranet de TRANSMILENIO S.A. o en su defecto la versión impresa que se encuentre bajo custodia de la Dirección de TIC’s.

 

Se efectuará una revisión anual al Manual o cada vez que se presenten cambios significativos en:

 

* Vulnerabilidades y amenazas emergentes.

 

* Prioridades de la  entidad.

 

* Costos e impacto de los controles sobre la eficiencia de la entidad.

 

* Cambio de la infraestructura organizacional y/o técnica

 

* Requerimientos regulatorios y /o legales.

 

* Transferencia de la responsabilidad o la propiedad tal como adquisiciones y/o escisiones.

 

6.3 COMPROMISO DE LA DIRECCIÓN

 

La Junta Directiva de TRANSMILENIO S.A. aprueba esta Política de Seguridad de la Información como muestra de su compromiso y apoyo en el diseño e implementación de políticas eficientes que garanticen la seguridad de la información de la entidad.

 

La Junta Directiva y la Alta Dirección de la entidad demuestran su compromiso a través de:

 

* La revisión y aprobación de las Políticas de Seguridad de la Información contenidas en este documento.

 

* La promoción activa de una cultura de seguridad.

 

* Facilitar la divulgación de este manual a todos los funcionarios de la entidad.

 

* El aseguramiento de los recursos adecuados para implementar y mantener las políticas de seguridad de la información.

 

* La verificación del cumplimiento de las políticas aquí mencionadas.

 

6.4 SANCIONES PARA LAS VIOLACIONES DE LAS POLITICAS DE SEGURIDAD DE LA INFORMACIÓN

 

Las Políticas de Seguridad de la Información pretenden instituir y afianzar la cultura de seguridad de la información entre los funcionarios, personal externo y proveedores de TRANSMILENIO S.A. Por tal razón, se hace necesario que las violaciones a las Políticas de Seguridad de la Información sean clasificadas, con el objetivo de aplicar medidas correctivas conforme con los niveles de clasificación definidos y mitigar posibles afectaciones contra la seguridad de la información. Las medidas correctivas pueden considerar desde acciones administrativas, hasta acciones de orden disciplinario o penal, de acuerdo con las circunstancias, si así lo ameritan.

 

6.5 POLITICAS DE LA ORGANIZACIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

 

6.5.1 POLITICAS DE ESTRUCTURA ORGANIZACIONAL DE SEGURIDAD DE LA INFORMACIÓN

 

TRANSMILENIO S.A. establecerá un esquema de seguridad de la información en donde existan roles y responsabilidades definidos que consideren actividades de administración, operación y gestión de la seguridad de la información.

 

6.5.2 Normas que rigen para la estructura organizacional de seguridad de la información

 

Normas dirigidas a: LA ALTA DIRECCIÓN

 

* La Alta Dirección de TRANSMILENIO S.A., debe definir y establecer los roles y responsabilidades relacionados con la seguridad de la información en niveles directivo y operativo.

 

* La Alta Dirección debe definir y establecer el procedimiento de contacto con las autoridades en caso de ser requerido, así como los responsables para establecer dicho contacto.

 

* La Alta Dirección debe revisar y aprobar las Políticas de Seguridad de la Información contenidas en este documento.

 

* La Alta Dirección debe promover activamente una cultura de seguridad de la información en TRANSMILENIO S.A.

 

* La Alta Dirección debe facilitar la divulgación de las Políticas de Seguridad de la Información a todos los funcionarios de la entidad y al personal provisto por terceras partes.

 

* La Alta Dirección de TRANSMILENIO S.A., debe asignar los recursos, la infraestructura física y el personal necesario para la gestión de la seguridad de la información de la Entidad.

 

Normas dirigidas al: COMITÉ DE SEGURIDAD DE LA INFORMACIÓN

 

* El Comité de Seguridad de la Información debe actualizar y presentar ante la Junta Directiva las Políticas de Seguridad de la Información, la metodología para el análisis de riesgos de seguridad y la metodología para la clasificación de la información, según lo considere pertinente.

 

* El Comité de Seguridad de la Información debe analizar los incidentes de seguridad que le son escalados y activar el procedimiento de contacto con las autoridades, cuando lo estime necesario.

 

* El Comité de Seguridad de la Información debe verificar el cumplimiento de las políticas de seguridad de la información aquí mencionadas.

 

* La Oficina de Control Interno debe liderar la generación de lineamientos para gestionar la seguridad de la información de TRANSMILENIO S.A. y el establecimiento de controles técnicos, físicos y administrativos derivados de análisis de riesgos de seguridad.

 

Normas dirigidas a: CONTROL INTERNO

 

* La Oficina de Control Interno debe validar y monitorear de manera periódica el cumplimiento de los controles de seguridad establecidos.

 

* La Oficina de Control Interno debe planear y ejecutar las auditorías internas al Sistema de Gestión de Seguridad de la Información de TRANSMILENIO S.A. a fin de determinar si las políticas, procesos, procedimientos y controles establecidos están conformes con los requerimientos institucionales, requerimientos de seguridad y regulaciones aplicables.

 

* La Oficina de Control Interno debe ejecutar revisiones totales o parciales de los procesos o áreas que hacen parte del alcance del Sistema de Gestión de Seguridad de la Información, con el fin de verificar la eficacia de las acciones correctivas cuando sean identificadas no conformidades.

 

Normas dirigidas a: DIRECCIÓN DE TECNOLOGÍAS DE LA INFORMACION Y LAS COMUNICACIONES

 

* La Dirección de Tecnología debe asignar las funciones, roles y responsabilidades, a sus funcionarios para la operación y administración de la plataforma tecnológica de la entidad.

 

* Dichas funciones, roles y responsabilidades deben encontrarse documentadas y apropiadamente segregadas.

 

Normas dirigidas a: TODOS LOS USUARIOS

 

* Los funcionarios y personal provisto por terceras partes que realicen labores en o para TRANSMILENIO S.A., tienen la responsabilidad de cumplir con las políticas, normas, procedimientos y estándares referentes a la seguridad de la información.

 

7 POLÍTICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN

 

La Política General de Seguridad de la Información enuncia el compromiso de la Alta Dirección de TRANSMILENIO S.A. de generar la estrategia corporativa a partir de  lineamientos para la protección de la información  involucrando tanto la información digital como física, a fin de ser conocidos, divulgados y cumplidos de forma obligatoria por todos los funcionarios y terceras partes de TRANSMILENIO S.A., en la procura  de prevenir, detectar y neutralizar de forma oportuna una posible fuga, pérdida o alteración no autorizada de información.

 

La Política General de Seguridad de la Información  tiene como objetivo  la consolidación de una cultura de Seguridad de la Información¹, al interior de la Entidad, que permita  a su vez, brindar un apoyo directo al desarrollo e integración de los sistemas de transporte público masivo intermodal de pasajeros de la ciudad de Bogotá D.C., en cuanto al cuidado de su activo más valioso: la información.

 

7.1 POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN

 

Las Políticas de Seguridad de la Información, conceptualizan el modelo de manejo de los recursos tecnológicos y físicos de TRANSMILENIO S.A., tanto en el rol de proveedor como de usuario de la información; teniendo en cuenta que la seguridad de la información de una entidad del Estado, sugiere la capacidad del ente para acceder y disponer de sus medios, generando a la vez la oportunidad para gestionar la disponibilidad, confidencialidad e integridad de la información.

 

De acuerdo a lo anterior, la aplicación de las políticas de seguridad de la información registradas en el presente manual se constituye en la plataforma doctrinal de TRANSMILENIO S.A., para proteger su información, por lo cual, el conocimiento y aplicación de las Políticas de Seguridad de la Información es de obligatorio cumplimiento y ejecución por parte de todos los funcionarios públicos que integran la TRANSMILENIO S.A.

 

Las herramientas tecnológicas con las que cuenta la TRANSMILENIO S.A., y los recursos asignados a cada uno de sus usuarios (hardware y software), acceso, información, almacenamiento de datos, consulta y modificación de la información, internet, intranet, correo institucional y los demás que sean pertinentes con base en las funciones de cada Dirección y Jefes de Oficina, se constituyen en un activo de propiedad exclusiva de TRANSMILENIO S.A., por ende a la naturaleza de los bienes públicos, por lo cual podrá ser objeto de verificación, control y monitoreo por parte del profesional especializado 06 de la Dirección de TIC’s.

 

7.2 DIRECTRICES DE DIRECCIÓN EN SEGURIDAD DE LA INFORMACIÓN.

 

Frente al presente Manual de Seguridad de la información la Alta Dirección de TRANSMILENIO S.A. resalta lo enunciado a continuación a fin de dar estricto cumplimiento:

 

1. Socializar el Manual de Seguridad de seguridad de la información de TRANSMILENIO S.A., en cada uno de los funcionarios, con el fin de generar y consolidar una cultura de seguridad de la información al interior de la entidad.

 

2. Cumplir con las políticas y lineamientos para el manejo y administración de la información de TRANSMILENIO S.A. registradas en el presente Manual.

 

3. Promover e impulsar el uso de la información de TRANSMILENIO S.A. de manera segura.

 

4. Socializar las acciones de control y supervisión frente al adecuado uso de la información de TRANSMILENIO S.A., realizadas por el profesional especializado 06 de la Dirección TIC’s.

 

5. Aplicar el manual de políticas de seguridad de la información en el desarrollo de todas las actividades diarias y propias, en cada una de las dependencias de TRANSMILENIO S.A.

 

6. Evitar la difusión no autorizada de información clasificada como confidencial, perteneciente a TRANSMILENIO S.A.

 

7. Orientar a los funcionarios de TRANSMILENIO S.A., en el cumplimiento de las obligaciones y deberes establecidos para salvaguardar la seguridad de la información y la seguridad informática.

 

8. Fortalecer los niveles de seguridad de de TRANSMILENIO S.A. en relación con la administración y uso de la información, de tal forma que se disminuya el riesgo frente a la pérdida, alteración o difusión no autorizada de información.

 

7.2.1 Políticas para la seguridad de la información.

 

Se debe definir un conjunto de políticas para la seguridad de la información, aprobada por la Dirección, publicada y comunicada a los empleados y partes interesadas.

 

7.2.2 Revisión de las políticas para la seguridad de la información

 

Las políticas de seguridad de la información serán proyectadas por el Profesional Especializado (06) de Seguridad de la Información de la Dirección de TIC´s, revisadas por el Director de TIC’s y evaluadas por el Comité de Seguridad de Información y el área Legal antes de su publicación.

 

Los cambios a los lineamientos, políticas o directrices existentes pueden ser efectuados por cualquiera de los siguientes aspectos:

 

1. Efectividad demostrada por la naturaleza, número y el impacto de los incidentes de seguridad registrados.

 

2. Vulnerabilidades y amenazas emergentes.

 

3. Prioridades del negocio, costos e impacto de los controles sobre la eficiencia del negocio.

 

4. Cambio de la infraestructura organizacional y/o técnica

 

5. Cambios en los requerimientos regulatorios y /o legales.

 

6. Transferencia de la responsabilidad o la propiedad tal como adquisiciones y/o escisiones.

 

7.3 CONTROL DE ACCESO

 

Los sistemas de información de TRANSMILENIO S.A. deben contar con mecanismos y procedimientos para el control de acceso a sus sistemas de información y a las instalaciones de procesamiento de información tales que:

 

* La autorización para el acceso a los sistemas de información debe ser definida y aprobada por cada dependencia o propietario de la información, e implementada por la Dirección TIC’s  y supervisada por el  Profesional Especializado (06) de Seguridad de la Información de la Dirección de TIC´s, de acuerdo con la funcionalidad de cada sistema, según el procedimiento de gestión de usuarios y contraseñas.

 

7.3.1 Requisitos de negocio para el control de accesos

 

Objetivo: Limitar el acceso a la información y a las instalaciones de procesamiento de información de TRANSMILENIO S.A.

 

7.3.1.1 Política de control de accesos

 

Establecer, documentar y revisar la política de control de acceso con base en los requisitos de TRANSMILENIO S.A. y de seguridad de la información, teniendo en cuenta lo siguiente:

 

1. Requerimientos de seguridad para las aplicaciones en forma individual, que se encuentren en servicio en TRANSMILENIO S.A.

 

2. Identificación de toda la información relacionada con las aplicaciones de TRANSMILENIO S.A.

 

3. Consistencia entre el control de acceso y las políticas de clasificación de la información de los diferentes sistemas y redes.

 

4. Legislación relevante y cualquier obligación contractual relacionada con la protección de acceso a los datos o servicios.

 

5. Perfiles estándar de acceso para usuarios con roles de trabajo común donde sea posible.

 

6. Segregación de roles de control de acceso, por ejemplo requerimientos de acceso, autorización de acceso, administración de acceso.

 

7. Autorización formal en las solicitudes de acceso.

 

8. Revisiones periódicas de los derechos de acceso.

 

9. Remoción de derechos de acceso.

 

7.3.1.2 Control de acceso a las redes y servicios asociados

 

1. Permitir únicamente  el acceso de los usuarios,  que hayan sido previamente autorizados por la Dirección TIC’s  de TRANSMILENIO S.A. a los recursos de la red LAN corporativa.

 

2. Todo acceso remoto debe ser configurado con la siguiente información: Responsable, Tiempo de acceso permitido, Número de sesiones autorizadas (si aplica) y expiración.

 

3. Todos los funcionarios de la organización tienen acceso a Internet para desempeñar su labor. Es responsabilidad de la Dirección de TIC’s implementar un sistema de control de navegación para filtrar los sitios Web previniendo acceso a categorías definidas de alto riesgo, o que  redunden en la degradación del ancho de banda utilizado.

 

4. Para acceso a correo electrónico externo o páginas web restringidas, se debe realizar una solicitud justificada a través de correo electrónico a la Dirección de TIC´s, y al Profesional Especializado (06) de Seguridad, quien evaluará el requerimiento y determinará la viabilidad de la misma.

 

7.3.2 Gestión de acceso de usuario

 

Objetivo: De acuerdo a los perfiles, se debe asegurar el acceso de los usuarios autorizados e impedir el acceso no autorizado a sistemas y servicios de TRANSMILENIO S.A.

 

7.3.2.1 Gestión de altas/bajas en el registro de usuarios

 

Se debe contar con un proceso formal del registro y cancelación del registro para posibilitar la asignación de los derechos de acceso que incluya:

 

Altas:

 

1. Usar ID de usuario únicos de tal manera que puedan ser identificados y responsabilizados por sus acciones.

 

2. El uso de IDs de grupo solamente se permitirán donde sea necesario por razones operacionales o de negocio, y deben ser aprobados y documentados.

 

3. Verificar que el nivel de acceso concedido es adecuado al propósito del negocio y es consistente con la política de seguridad organizacional, por ejemplo no comprometer la segregación de funciones.

 

4. Proporcionar a los usuarios un documento escrito, que contenga una lista y descripción  de sus derechos de acceso, así como de sus obligaciones.

 

Bajas:

 

1. Inactivar o bloquear los derechos de acceso de los usuarios que han cambiado de área o ya no laboran en TRANSMILENIO S.A.

 

2. Suspender los derechos de acceso de los usuarios que se encuentran en vacaciones o en periodos de licencia.

 

7.3.2.2 Gestión de los derechos de acceso asignados a usuarios

 

1. Los perfiles y derechos de acceso deben estar documentados y deben ser revisados periódicamente por los propietarios de la información. Adicionalmente, es responsabilidad del usuario, informar cualquier privilegio que no corresponda con su perfil para que sea ajustado.

 

2. Únicamente se asignarán a los usuarios los derechos y privilegios necesarios para el desarrollo de sus funciones.

 

3. El acceso a la información debe ser autorizado por el área responsable de la información acorde a las funciones a desempeñar, previo análisis de la justificación y manteniendo una adecuada segregación de funciones.

 

4. En caso de personal ajeno a TRANSMILENIO S.A., el área responsable de la información debe autorizar el acceso a la misma atendiendo la clasificación de la información, así como las normas y procedimientos definidos para tal fin.

 

7.3.2.3 Gestión de los derechos de acceso con privilegios especiales

 

Las transacciones realizadas y los accesos a los aplicativos o programas, a la red o a los sistemas de  TRANSMILENIO S.A., son registrados de manera que se pueden llevar a cabo auditorías.

 

1. Las transacciones realizadas y los accesos a los aplicativos o programas, a la red o a los sistemas de TRANSMILENIO S.A., son registrados de manera que se pueden llevar a cabo auditorías.

 

2. Los privilegios deben ser asignados a los usuarios de acuerdo con a los roles y responsabilidades. Los privilegios se deben extender sólo cuando sea necesario y deben contar con autorización del profesional especializado 06 de la Dirección de TIC’s.

 

3. Se debe implementar un procedimiento que garantice conceder privilegios adecuados y efectivos a los usuarios.

 

7.3.2.4 Gestión de información confidencial de autenticación de usuarios

 

La asignación de autenticación secreta o confidencial se debe controlar por medio de un procedimiento de gestión formal, implementada por la Dirección de TIC´s de TRANSMILENIO S.A.

 

7.3.2.5 Revisión de los derechos de acceso de los usuarios

 

Para mantener un control efectivo sobre el acceso a datos y servicios de información, se deben revisar los derechos de acceso de los usuarios a intervalos regulares usando un proceso formal.

 

La revisión debe tener en cuenta:

 

1. Los dueños de los activos deben revisar los derechos de acceso de los usuarios a intervalos regulares.

 

2. Los usuarios que han dejado TRANSMILENIO S.A. ya no tengan cuentas activas.

 

3. Los usuarios con cuentas privilegiadas solo tengan acceso a lo que necesiten con el fin de realizar sus responsabilidades de trabajo.

 

4. Los privilegios asociados con cada aplicación, sistema o servicio deben ser identificados por los propietarios o usuarios encargados responsables de la información o recursos. Se debe mantener un registro de los perfiles con los privilegios asignados.

 

5. Los cambios a cuentas privilegiadas deben ser registrados para revisión periódica.

 

6. La Dirección TIC’s  y el personal de Soporte, implementará los perfiles de los usuarios por solicitud, de acuerdo con lo establecido por el propietario o usuarios encargados responsables de la información.

 

7.3.2.6 Cancelación o ajuste de los derechos de acceso

 

Los derechos de acceso de todos los funcionarios y de usuarios externos a la información y a las instalaciones de procedimiento de información se deben cancelar al terminar su empleo, contrato o acuerdo, o se deben ajustar cuando se hagan cambios

 

7.3.3 Responsabilidades del usuario

 

Objetivo: Hacer que los usuarios rindan cuentas por la custodia de información de autenticación a los sistemas de información y servicios de TRANSMILENIO S.A.

 

Los usuarios son responsables de cualquier actividad realizada con las credenciales otorgadas para su acceso a los sistemas de información de TRANSMILENIO S.A.

 

No está permitido facilitar el usuario o la contraseña a otra persona para adelantar cualquier labor en los sistemas de información.

 

7.3.3.1 Uso de información confidencial para la autenticación

 

Todos los usuarios deben tener un único identificador (ID de usuario) para su uso personal solamente, y una técnica de autenticación conveniente debe ser escogida para verificar la identidad del usuario.

 

1. El control debe ser aplicado para todo tipo de usuarios (incluyendo operadores, administradores de red, programadores, administradores de bases de datos).

 

2. Los usuarios de TRANSMILENIO S.A., deben cumplir con las prácticas de la organización para el uso de información y de autenticación secreta, implementadas por la Dirección TIC’s  y el personal de soporte.

 

3. El acceso a los recursos de la red debe ser estrictamente controlado para prevenir acceso no autorizado. Los Usuarios  solamente deben tener acceso a los servicios de red y sistemas de información que son necesarios para realizar su trabajo. Por tanto, los recursos de cómputo y sistemas de información adicionales debe ser restringidos.

 

4. Todos los accesos remotos deben ser autorizados por el propietario de la información y la Dirección TIC’s.

 

5. Todo acceso remoto a la red de TRANSMILENIO S.A., debe contar con mecanismos de autenticación, autorización, registros de auditoría y de cifrado, para reducir el riesgo de divulgación de información sensible y accesos no autorizados.

 

6. El acceso a la red interna por parte de los funcionarios autorizados se debe realizar a través de una conexión segura con un certificado de seguridad SSL (Secure Sockets Layer).

 

7. El acceso por parte de un proveedor a la red interna se debe realizar por medio de un mecanismo seguro y con previa autorización de la Dirección de TIC´s de TRANSMILENIO S.A.

 

8. Todos los accesos de los usuario deben contar con un ID identificable que permita dejar pistas de las actividades y fijar responsabilidades individuales.

 

7.3.4 Control de acceso a sistemas y aplicaciones

 

Objetivo: La Dirección TIC’s  debe  prevenir el uso no autorizado de sistemas y aplicaciones.

 

7.3.4.1 Restricción del acceso a la información

 

El acceso a la información y a las funciones de los sistemas de aplicación por usuarios y personal de la Dirección de TIC’s se debe restringir de acuerdo con la política de control de acceso definida por TRANSMILENIO S.A.

 

Los siguientes controles se deben implementar con el fin de apoyar los requerimientos de restricción de acceso.

 

1. Proporcionar menús para controlar el acceso a las funciones de los sistemas de aplicación.

 

2. Controlar y verificar los derechos de acceso de los usuarios sobre las aplicaciones y datos, por ejemplo leer, escribir, eliminar y ejecutar.

 

3. Asegurar que las salidas de los sistemas de aplicación que manejan información sensible de  TRANSMILENIO S.A., contengan solo la información relevante para su uso y que la misma se envíe solamente a terminales y localizaciones autorizadas. Se deben hacer revisiones periódicas de dichas salidas con el fin de garantizar la remoción de información redundante.

 

4. Asegurar que las aplicaciones están correctamente clasificadas de acuerdo con el estándar de clasificación de información de TRANSMILENIO S.A.

 

5. De acuerdo con las políticas de control de acceso la Dirección TIC’s  debe restringir el acceso a la información y a las funciones de los sistemas de las aplicaciones.

 

6. Se deben identificar los controles de acceso requeridos por las aplicaciones de acuerdo con la clasificación y criticidad de la información que la aplicación procesa o almacena. Dichos controles deben ser definidos por el responsable del proceso o de la información.

 

7.3.4.2 Procedimientos seguros de inicio de sesión

 

1. Mediante un procedimiento de conexión segura se debe controlar el acceso a sistemas y aplicaciones.

 

2. Los responsables de la administración de la red deben realizar una evaluación periódica de los riesgos de seguridad existentes, y definir los controles para minimizarlos. El intercambio de información hacia o desde redes externas debe ser controlado por sistemas de control de acceso, tales como Firewall. Dicha administración, deberá ser realizada por el proveedor externo contratado para tal fin.

 

3. Al cuarto intento fallido de ingreso al dominio y/o aplicaciones asignadas, el usuario será bloqueado.

 

4. Si el bloqueo de usuario es repetitivo, es responsabilidad de la Dirección de TIC’s, analizar el motivo del bloqueo para tomar las medidas pertinentes.

 

5. Siempre que los usuarios dejen el puesto de trabajo, deben bloquear el equipo mediante la alternativa de teclado (Control, Alt, Suprimir y Enter) o la tecla Windows + L. En caso de ausencia de las instalaciones, el computador debe permanecer apagado, con el fin de evitar el acceso no autorizado a cualquier aplicación de la organización.

 

6. Las terminales deben apagarse después de un periodo definido de inactividad para prevenir el acceso por personas no autorizadas.

 

7. La facilidad de control de tiempo inactivo debe limpiar la pantalla de sesión y también, posiblemente más tarde, cerrar las sesiones de aplicación y red luego de un periodo definido de inactividad. Esta última parte no siempre la pueden controlar los sistemas. El tiempo de inactividad definido debe reflejar los riesgos de seguridad del área, la aplicación que esté siendo usada, la información que esté siendo manejada y los riesgos relacionados a los usuarios de los equipos.

 

8. Las restricciones sobre los tiempos de conexión deben ser usadas para suministrar seguridad adicional a las aplicaciones de alto riesgo.

 

9. Controlar el tiempo de conexión,  se debe implementar para aplicaciones sensibles especialmente en localizaciones de alto riesgo, ejemplo áreas externas o públicas que están fuera de la administración de seguridad de TRANSMILENIO S.A. Ejemplos de tales restricciones incluyen:

 

a. El uso de ventanas de tiempo predeterminadas por ejemplo trasmisiones de lotes de archivos o sesiones interactivas regulares de corta duración.

 

b. Restricción de los tiempos de conexión para las horas de oficina normales, si no hay requerimiento de horas extras u operaciones de horario extendido.

 

7.3.4.3 Gestión de contraseñas de usuario

 

Las contraseñas brindan el medio de validar la autenticidad del usuario y así establecer derechos de acceso a los servicios y facilidades de procesamiento de información. Los funcionarios de TRANSMILENIO S.A. son responsables de asegurar que las credenciales de autenticación permanecen bajo su control. Credenciales de grupo o compartidas no son permitidas. Las cuentas deben ser únicas para cada funcionario de TRANSMILENIO S.A. excepto donde sea imposible (cuentas “Root” o “administrador”), de igual forma las credenciales para estos usuarios deben ser cambiadas y guardadas bajo protocolo de administración de usuarios privilegiados.

 

Si se requiere el uso de estos perfiles se debe crear un nuevo usuario y asignarle estos permisos. De la misma manera, las contraseñas deben ser tratadas como información confidencial de TRANSMILENIO S.A. y no deben ser transmitidas en texto claro en el inicio de sesión de una aplicación o sistema.

 

Todos los usuarios deben:

 

1. Mantener la confidencialidad de las contraseñas. Son personales e intransferibles por lo tanto, no se pueden compartir.

 

2. Evitar mantener un registro (por ejemplo papel, archivo de programa, dispositivo de mano) de contraseñas, a menos que puedan ser almacenadas en forma segura y el método de almacenamiento haya sido aprobado.

 

3. La política de creación de usuario y contraseña, de acuerdo al manual de políticas de TRANSMILENIO S.A., establecidas por la Dirección TIC’s, está diseñada de forma segura donde:

 

* La creación del usuario seguirá el modelo: nombre.apellido@dominioTRANSMILENIO S.A., ejemplo pablo.rodriguez@TRANSMILENIO.gov.co

 

* La creación de la contraseña debe ser de (08) caracteres, alfanumérica, debe contener una letra mayúscula y un número, ejemplo [Ejemplo5]

 

* No estén compuestas por caracteres idénticos consecutivos o caracteres seguidos (12345, abcdefg).

 

* No estén basadas en información de la persona o personas cercanas: nombres, números de teléfono, fechas de nacimiento, nombres de mascotas, etc.

 

* No sean palabras que aparezcan en diccionarios así sean de otro idioma.

 

* No debe contener el nombre de usuario

 

4. Los usuarios deberán seguir las siguientes políticas para el uso y selección de las contraseñas de acceso y por lo tanto se responsabilizan de cualquier acción que se realice utilizando el nombre y contraseña de usuario que le sean asignados:

 

5. Las contraseñas son de uso personal y por ningún motivo se deberán prestar a otros usuarios.

 

6. Las contraseñas no deberán ser reveladas por vía telefónica, correo electrónico o por ningún otro medio.

 

7. Las contraseñas no se deberán escribir en ningún medio, excepto cuando son entregadas en custodia.

 

8. Reportar cualquier sospecha de que una persona esté utilizando una contraseña o un usuario que no le pertenece.

 

9. Las contraseñas se deberán cambiar según los requerimientos de la infraestructura de procesamiento de información.

 

10. Los usuarios deberán cambiar las contraseñas la primera vez que usen las cuentas asignadas

 

11. Cambiar las contraseñas a intervalos regulares o basados en el número de accesos.

 

12. Cambiar las contraseñas temporales al primer acceso.

 

13. Evitar el uso de contraseñas anteriormente usadas

 

14. Las aplicaciones y sistemas de información deben utilizar un sistema de control de acceso basado en contraseñas interactivas y de calidad.

 

15. La Dirección TIC’s  y el personal Soporte, deben verificar el cumplimiento de la política asociada a la periodicidad con la cual las contraseñas deben ser cambiadas y las cuentas deshabilitadas de TRANSMILENIO S.A. Este requerimiento aplica a, como mínimo, sistemas, bases de datos o aplicaciones

 

16. Las aplicaciones y sistemas de información deben utilizar un sistema de control de acceso basado en contraseñas interactivas y de calidad.

 

17. Requerir a los usuarios mantener la confidencialidad de las contraseñas personales (esto podría ser incluido en los términos y condiciones de empleo).

 

18. Las contraseñas temporales proporcionadas cuando los usuarios olviden su contraseña deben ser suministradas solamente cuando se haya hecho una validación positiva de la identidad del usuario.

 

19. Las contraseñas temporales deben ser entregadas a los usuarios de una manera segura, con expiración en el primer uso. Se debe evitar la entrega de la clave a una tercera persona.

 

20. Las contraseñas temporales deben ser únicas para un individuo y no deben ser previsibles.

 

21. Las contraseñas nunca deben ser almacenadas sin protección en los sistemas de computador.

 

22. Las contraseñas por omisión que vienen en los sistemas y software deben ser modificadas enseguida de su instalación.

 

23. Todas las contraseñas de los súper-usuarios (altos privilegios) deben ser protegidas y almacenadas de una manera coherente con los planes de continuidad del negocio y/o el de recuperación.

 

24. Asegurar que las contraseñas son auditadas en intervalos regulares para verificar el cumplimiento con los lineamientos de contraseñas o proporcionar un control para hacer cumplir la política de contraseña durante su creación por ejemplo cumplimiento de la política de contraseñas en sistemas Windows.

 

25. La asignación de autenticación secreta o confidencial se debe controlar por medio de un procedimiento de gestión formal, implementada por la Dirección de TIC’s de TRANSMILENIO S.A.

 

26. Reportar cualquier sospecha de que una persona esté utilizando una contraseña o un usuario que no le pertenece.

 

Caducidad de la Contraseña

 

Las contraseñas reutilizables para cualquier aplicación deben caducar por lo menos cada 90 días. Los sistemas y aplicaciones se deben programar para que automáticamente controlen la frecuencia de cambio según sea necesario. En los sistemas donde no sea posible la programación automática el usuario tiene la responsabilidad de cambiar la contraseña con la frecuencia que se le indique como estándar para el sistema.

 

7.3.4.4 Uso de herramientas de administración de sistemas

 

1. La Dirección TIC’s  de TRANSMILENIO S.A., controlará el uso de programas utilitarios que podrían tener la capacidad de anular el sistema y los controles de las aplicaciones.

 

2. Los usuarios finales no deben tener acceso a la ejecución de comandos del sistema operativo; en caso que sea necesario, se debe restringir el acceso por medio de herramientas que sólo permitan las funciones que han sido autorizados a ejecutar.

 

3. La Dirección TIC’s  de TRANSMILENIO S.A. y el área responsable del cada sistema de información deben determinar las actividades mínimas realizadas por el usuario que deben ser registradas sobre el sistema operativo, con el fin de detectar fallas o prevenir violaciones a la política de seguridad.

 

7.3.4.5 Control de acceso al código fuente de los programas

 

* La Dirección TIC’s  a través de su área de soporte, controla el acceso a códigos fuente de programas, por medio de la configuración de perfiles.

 

* Se deben establecer protocolos, identificar dueños y custodios de dichas fuentes, contemplando controles de administración, logs de auditoria y controles físicos que garanticen la integridad, disponibilidad y confidencialidad de dichas fuentes.

 

7.4 SEGURIDAD EN LAS TELECOMUNICACIONES

 

La gestión segura de las redes, la cual puede abarcar los límites organizacionales, requiere de la cuidadosa consideración del flujo de datos, implicaciones legales, monitoreo y protección.

 

7.4.1 Gestión de la Seguridad en las Redes

 

Objetivo: Asegurar la protección de la información en las redes, y sus instalaciones de procesamiento de información de soporte.

 

1. Se deben controlar los accesos a servicios internos y externos conectados en red.

 

2. El acceso de los usuarios a redes y servicios en red no debe comprometer la seguridad de los servicios en red si se garantizan:

 

a) que existen interfaces adecuadas entre la red de la Entidad y las redes públicas o privadas de otras entidades;

 

b) que los mecanismos de autenticación adecuados se aplican a los usuarios y equipos;

 

c) el cumplimiento del control de los accesos de los usuarios a los servicios de información.

 

3. La Dirección de TIC’s debe mantener el equilibrio entre controles de seguridad perimetrales (LAN/WAN) e internos (LAN/LAN), frente a controles de seguridad en aplicaciones (defensa en profundidad).

 

4. Se debe Preparar e implantar estándares, directrices y procedimientos de seguridad técnicos para redes y herramientas de seguridad de red como IDS/IPS (detección y prevención de intrusiones), gestión de vulnerabilidades, etc.

 

7.4.2 Controles de red

 

Las redes se deben gestionar y controlar para proteger la información en sistemas y aplicaciones.

 

La Dirección de TIC’s  de TRANSMILENIO S.A.,  como responsables de las redes de datos y los recursos de red de la entidad, debe propender porque dichas redes sean debidamente protegidas contra accesos no autorizados a través de mecanismos de control de acceso lógico.

 

Se deben establecer controles especiales para salvaguardar la confidencialidad y la integridad de los datos que pasan sobre redes públicas, y para proteger los sistemas conectados. Controles especiales pueden ser además requeridos para mantener la disponibilidad de los servicios de red y los computadores conectados.

 

Las actividades de administración deben ser estrechamente coordinadas para optimizar el servicio a la entidad y para asegurar que los controles están aplicados consistentemente a través de la infraestructura de procesamiento de información.

 

Normas dirigidas a: DIRECCION DE TECNOLOGIA

 

a. Dirección de TIC’s  de TRANSMILENIO S.A., debe establecer un procedimiento de autorización y controles para proteger el acceso a las redes de datos y los recursos de red del TRANSMILENIO S.A.

 

b. La Dirección de  TIC’s  de TRANSMILENIO S.A., debe asegurar que las redes inalámbricas de la entidad cuenten con métodos de autenticación que evite accesos no autorizados.

 

c. La Dirección TIC’s  de TRANSMILENIO S.A., en conjunto con Soporte, debe establecer controles para la identificación y autenticación de los usuarios provistos por terceras partes en las redes o recursos de red de la entidad, así como velar por la aceptación de las responsabilidades de dichos terceros. Además, se debe formalizar la aceptación de las Políticas de Seguridad de la Información por parte de estos.

 

Normas dirigidas a: TODOS LOS USUARIOS

 

a. Los funcionarios y personal provisto por terceras partes, antes de contar con acceso lógico por primera vez a la red de datos de TRANSMILENIO S.A., deben contar con el formato de creación de cuentas de usuario debidamente autorizado y el Acuerdo de Confidencialidad firmado previamente.

 

b. Los equipos de cómputo de usuario final que se conecten o deseen conectarse a las redes de datos de la entidad deben cumplir con todos los requisitos o controles para autenticarse en ellas y únicamente podrán realizar las tareas para las que fueron autorizados

 

7.4.3 Mecanismos de seguridad asociados a Servicios en Red

 

Se deben identificar e incluir en los acuerdos de servicio (SLA) los mecanismos de seguridad, los niveles de servicio y los requisitos de administración de todos los servicios de red, independientemente de si estos servicios se entregan de manera interna o están externalizados.

 

7.4.4 Segregación de Redes o Separación de Redes

 

1. Se deben segregar las redes en función de los grupos de servicios, usuarios y sistemas de información.

 

2. TRANSMILENIO S.A., provee los mecanismos, controles y recursos necesarios para tener niveles adecuados de separación física y lógica entre  los ambientes de desarrollo, pruebas y producción para toda su plataforma tecnológica y sistemas de información, con el fin de reducir el acceso no autorizado y evitar cambios inadecuados sobre los sistemas operacionales. Así mismo, TRANSMILENIO S.A. controlará el paso de software y aplicaciones de un ambiente a otro.

 

3. TRANSMILENIO S.A. se asegura mediante controles de acceso adecuados, que los usuarios utilicen diferentes perfiles para el ambiente de desarrollo y de producción; así mismo, se asegura que los menús muestren los mensajes de identificación apropiados para reducir los riesgos de error.

 

4. No deberán realizarse pruebas, instalaciones o desarrollos de software, directamente sobre el entorno de producción.

 

5. Sistemas de Información o aplicaciones que se encuentran en estado de pruebas no podrán pasar al ambiente de producción sin antes haber sido aprobado el cambio sobre la infraestructura de procesamiento de la información mediante el Procedimiento de Control de Cambios.

 

6. Queda prohibida la copia de información sensible desde el ambiente de producción al ambiente de pruebas; en caso contrario, en el cual las pruebas requieran de esta información, la copia debe ser solicitada por el funcionario designado y autorizada por el propietario o administrador de la aplicación y por la Dirección de  TIC’s  de TRANSMILENIO S.A.

 

7. Se restringe el acceso a los compiladores, editores, utilidades de los sistemas y otras herramientas de desarrollo desde los sistemas del ambiente de producción y a cualquier usuario que no lo requiera para el desarrollo de su labor.

 

8. Periódicamente, la Dirección de TIC’s  de TRANSMILENIO S.A., podrá verificar las versiones instaladas tanto en ambiente de pruebas como en producción y confrontará esta información con las revisiones pasadas y con las versiones de programas fuentes almacenadas en los repositorios de TRANSMILENIO S.A.

 

7.5 INTERCAMBIO/TRASFERENCIA DE INFORMACIÓN CON PARTES EXTERNAS

 

Objetivo: Mantener la seguridad de la información trasferida dentro de una organización y con cualquier entidad externa.

 

7.5.1 Políticas y procedimientos de intercambio de información

 

Objetivo: TRANSMILENIO S.A. debe mantener la seguridad de la información transferida  dentro de la organización y con cualquier entidad externa

 

7.5.2 Acuerdos de intercambio

 

TRANSMILENIO S.A. debe contar con políticas, procedimientos y controles de transferencia formales  para proteger la transferencia de información, mediante todo tipo de instalaciones de comunicaciones

 

Los acuerdos de TRANSMILENIO S.A. deben tratar la trasferencia segura de información del negocio entre la organización y las partes externas.

 

* Cuando se trate de intercambios periódicos se debe privilegiar la Transmisión de datos, a través de vías seguras. La situación más evidente en este sentido surge con Entes Distritales con las cuales se establecen convenios o nexos de diferente naturaleza y que involucran de alguna forma el intercambio de información.

 

Para establecer  dicha transmisión se debe consultar el concepto técnico de la Dirección de TIC’s  de TRANSMILENIO S.A., área que además coordinará la verificación de los  requerimientos para el proceso de transmisión. También se debe privilegiar este mecanismo o similares técnicamente, cuando el intercambio de información se produzca con otros Organismos Nacionales con los que exista intercambio regular de información. La información a intercambiar debe estar previamente definida y formalizada a través de una petición institucional.

 

Para acceso a sitios web se debe implementar herramientas de seguridad perimetral seguros (firewalls)

 

Para acceso a portales institucionales se debe realizar asegurándose que sean implementados desarrollos seguros.

 

7.5.3 Mensajería electrónica

 

Se debe proteger apropiadamente la información incluida en los mensajes electrónicos.

 

Para dar un uso adecuado a la mensajería electrónica, se deberán observar los siguientes lineamientos:

 

CORREO ELECTRÓNICO

 

TRANSMILENIO S.A. asigna una cuenta de correo electrónico como herramienta de trabajo para cada uno de los funcionarios que lo requieran para el desempeño de sus funciones y en algunos casos a terceros previa autorización; su uso se encuentra sujeto a las siguientes políticas:

 

a) La cuenta de correo electrónico debe ser usada para el desempeño de las funciones asignadas dentro de TRANSMILENIO S.A.

 

b) Los mensajes y la información contenida en los buzones de correo son de propiedad de TRANSMILENIO S.A. y cada usuario, como responsable de su buzón, debe mantener solamente los mensajes relacionados con el desarrollo de sus funciones.

 

c) El tamaño de los buzones de correo está determinado por la Dirección de TIC’s  de acuerdo con las necesidades de cada usuario y previa autorización del Jefe Inmediato de cada Dirección o Dependencia.

 

d) No se permite:

 

i) Enviar o recibir mensajes con un tamaño superior al autorizado y configurado entre: cuentas de correo corporativas o  entre una cuenta de correo corporativa y una externa.

 

ii) Enviar o recibir cadenas de correo, mensajes con contenido religioso, juegos, político, racista, sexista, pornográfico, publicitario no corporativo o cualquier otro tipo de mensajes que atenten contra la dignidad de las personas, mensajes mal intencionados que puedan afectar los sistemas internos o de terceros, la moral, las buenas costumbres y mensajes que inciten a realizar prácticas ilícitas o promuevan actividades ilegales incluido el lavado de activos. Si un usuario encuentra este tipo de material deberá reportarlo a su jefe inmediato con copia al buzón soportetecnico@transmilenio.gov.co.

 

iii) El envío de archivos que contengan extensiones como .mp3, wav, .exe, .com, .dll, .bat. o cualquier otro archivo ejecutable; en caso que sea necesario hacer un envío de este tipo de archivos deberá ser autorizado por la Dirección de TIC’s  de TRANSMILENIO S.A.

 

iv) No se podrá enviar información clasificada como Restringida sin la autorización previa de la Dirección de  TIC’s  de TRANSMILENIO S.A.

 

v) Se prohíbe el uso de correo en cadena o mensajes enviados a un número de destinatarios para que estos a la vez se reenvíen a otros, enviado a un gran número de receptores sin un propósito relacionado con la misión de la TRANSMILENIO S.A. Estos tipos de mensajes degradan el desempeño del sistema y consumen recursos valiosos en disco y memoria. El usuario debe borrar los correos de cadena y masivos (no relacionados con la misión de la Entidad) y abstenerse de reenviarlos a otras personas. Así mismo, no debe reenviar correo a otra persona sin el previo consentimiento del remitente.

 

vi) No se debe alterar la línea “De” (autor del correo) u otra información relacionada con los atributos de origen del correo electrónico.

 

vii) No se permite el envío de mensajes anónimos y la gestión con este tipo de mensajes está prohibida.

 

e) El envío masivo de mensajes publicitarios corporativos deberá contar con la aprobación de la Dirección de  TIC’s  de TRANSMILENIO S.A. y deberá incluir un mensaje que le indique al destinatario cómo ser eliminado de la lista de distribución.

 

f) Toda información de TRANSMILENIO S.A. generada con los diferentes procesadores de texto  (Ej. Herramientas de Oficina como Word, Excel, PowerPoint, Project, Access, Wordpad, Open Office, entre otras), que requiera ser enviada fuera de la Organización, y que por sus características de confidencialidad e integridad debe ser protegida,  debe estar en formatos no editables, utilizando una herramienta que evite la modificación de la información. La información puede ser enviada en el formato original bajo la responsabilidad del usuario y únicamente cuando el receptor requiera hacer modificaciones a dicha información.

 

g) Todos los mensajes enviados deben respetar el estándar de formato e imagen corporativa definido por la Dirección de TIC’s  de TRANSMILENIO S.A. y deben conservar en todos los casos el mensaje legal institucional de confidencialidad.

 

h) Todo correo electrónico que deba ser transmitido hacia Internet, deberá tener al final del mensaje el siguiente texto:

 

Este mensaje (incluyendo cualquier anexo) contiene información confidencial y se encuentra protegido por la Ley. Sólo puede ser utilizada por la persona o compañía a la cual está dirigido. Si usted no es el receptor autorizado, o por error recibe este mensaje, favor borrarlo inmediatamente. Cualquier retención, difusión, distribución, copia o toma de cualquier acción basada en ella, se encuentra estrictamente prohibido.

 

This message (including any attachments) contains confidential information intended for a specific individual and purpose, and is protected by law. If you are not the intended recipient, you should delete this message. Any disclosure, copying, or distribution of this message, or the taking of any action based on it, is strictly prohibited.

 

i) La información enviada por correo electrónico, clasificada como confidencial, debe ser protegida con contraseña de acceso o cifrado según corresponda.

 

j) Se prohíbe el envío de mensajes no solicitados para el desarrollo de la misión de la Entidad, incluyendo él envió de “correo basura”, mensajes cadena u otro material de publicidad a personas que específicamente no lo hayan solicitado (por ejemplo, “inundación con mensajes de e-mail” o “spam”) y que se materialicen en la queja reiterada del receptor, harán presumir los mensajes como  “no solicitados”, así como su requerimiento expreso de no continuar recibiendo dicho material.

 

Se incluye, sin limitación, el envío de masivos de publicidad comercial, anuncios informativos y comunicaciones políticas. También se incluye la publicación de un mismo mensaje o similar en uno o más grupos de noticias (exceso de publicación cruzada o múltiple publicación).

 

k) Se prohíbe falsificar el encabezado de los mensajes con el objeto de esconder su verdadero contenido, las fechas de su recepción o los remitentes o destinatarios incluidos en ellos. .

 

l) Se prohíbe al usuario además, hospedar sitios que sean publicitados por medio de mensajes de correo electrónico no solicitados o bien sitio que generen este tipo de mensajes no solicitados, aunque los mismos no se generen directamente desde ese sitio. Hospedar, publicitar, comercializar o de cualquier manera poner a disposición de terceros cualquier software, programa, producto o servicio diseñados para violar de alguna forma la presente política o las políticas de uso aceptable de otro proveedor de acceso a internet, lo que incluye, pero no está limitado a, programas diseñados para enviar mensajes con publicidad no solicitados (“spamware”), los que se encuentran prohibidos por este documento.

 

m) Las cuentas o servicios de TRANSMILENIO S.A., no podrán ser utilizadas para recibir respuestas a mensajes enviados desde otro proveedor de servicio de internet si dichos mensaje violan la presente política o la de otro proveedor.

 

n) Se prohíbe comunicar, publicar, circular, enviar o allegar a Instancias o Entidades diferentes a aquellas que lo requieren, información que en la Entidad se considera confidencial o de uso interno exclusivamente.

 

TRANSMILENIO S.A. se reserva el derecho de monitorear y supervisar la información tramitada y transmitida a través de sistemas, servicios y equipos, por todos los usuarios de acuerdo con lo establecido en esta Política y la legislación vigente.

 

INTERNET

 

Internet es una herramienta de trabajo que permite navegar en muchos otros sitios relacionados o no con las actividades propias de TRANSMILENIO S.A., por lo cual el uso adecuado de este recurso se controla, verifica y monitorea, considerando para todos los casos las siguientes políticas:

 

a) No se permite:

 

i) Navegación o publicación en sitio de contenido pornográfico, basado en sentimientos de odio o segregación, de delincuencia computacional (hackers o crackers) o cualquier otro sitio que la Dirección de TIC’s  considere fuera de los límites permitidos.

 

ii) Dirección de Publicación o envío de información confidencial hacia fuera de la Dirección de TIC’s  sin la autorización de los Dueños respectivos.

 

iii) Utilización de otros servicios disponibles a través de Internet, como por ejemplo FTP y Telnet.

 

iv) Publicación de anuncios comerciales o material publicitario.

 

v) Promover o mantener asuntos o negocios personales en horario laboral y haciendo uso de los equipos suministrados por TRANSMILENIO S.A. que pongan en riesgo el descargue de Malware a los equipos de la entidad.

 

vi) Recepción de noticias o actualización de datos, a menos que el material sea requerido para actividades de TRANSMILENIO S.A.

 

vii) Utilización de programas de aplicación o software no relacionados con la actividad laboral y que ocupen excesivamente el tiempo de procesamiento de la estación de trabajo o de la red, por ejemplo aplicaciones que se ejecutan mientras está activo el protector de pantalla.

 

b) La Dirección de TIC’s  realiza monitoreo permanente de tiempos de navegación y páginas visitadas por parte de los funcionarios y/o terceros. Así mismo,  puede inspeccionar, registrar e informar de  las actividades realizadas durante la navegación.

 

c) Cada uno de los usuarios es responsable de dar un uso adecuado de este recurso y en ningún momento puede ser usado para realizar prácticas ilícitas o mal intencionadas que atenten contra terceros, la legislación vigente, las políticas de seguridad de la información, entre otros.

 

d) Los funcionarios y  contratistas  no pueden asumir en nombre de TRANSMILENIO S.A., posiciones personales en encuestas de opinión, foros u otros medios similares.

 

e) El uso de Internet no considerado dentro de las restricciones anteriores, es permitido siempre y cuando se realice de manera ética, razonable, responsable, no abusiva y sin afectar la productividad ni la protección de la información de TRANSMILENIO S.A.

 

RECURSOS TECNOLÓGICOS

 

TRANSMILENIO S.A., asigna diferentes recursos tecnológicos como herramientas de trabajo para uso exclusivo de sus funcionarios y terceros autorizados. El uso adecuado de estos recursos se reglamenta bajo las siguientes políticas:

 

a) La instalación de cualquier tipo de software en los equipos de cómputo de TRANSMILENIO S.A.,  es responsabilidad de la Dirección de TIC’s  y por tanto son los únicos autorizados para realizar o autorizar esta labor. 

 

b) Los usuarios no deben realizar cambios en las estaciones de trabajo relacionados con la configuración del equipo, tales como conexiones de red, usuarios locales de la máquina, papel tapiz y protector de pantalla definido por la Organización. Estos cambios pueden ser realizados únicamente por la Dirección de TIC’s  y el personal que presta sus servicios a TRANSMILENIO S.A.

 

c) La Dirección de TIC’s, define e informa la lista actualizada de software y aplicaciones autorizadas que se encuentran permitidas para ser instaladas en las estaciones de trabajo de los usuarios; así mismo, realiza el control y verificación de cumplimiento del licenciamiento del respectivo software y aplicaciones asociadas.

 

d) Únicamente los usuarios autorizados por la Dirección de TIC’s  y previa solicitud por parte del jefe inmediato, pueden conectarse a la red inalámbrica de TRANSMILENIO SA.

 

La Dirección de TIC’s, será la única dependencia encargada de la adquisición de software y hardware. El resto de dependencias podrán a través de dicha Oficina realizar las debidas adquisiciones.

 

Los funcionarios no deben realizar cambios en las estaciones de trabajo, tales como, cambio de ubicación, mantenimientos, repotenciación, modificaciones en su configuración física y además, sólo podrán ser realizados por la Dirección de TIC’s

 

El acceso a unidades CD, DVD y dispositivos USB debe ser restringido. Solamente podrá ser utilizado por personal autorizado por la Dirección de TIC’s.

 

7.5.4 Acuerdos de confidencialidad y secreto

 

1. Todos los funcionarios, contratistas y clientes deben firmar la cláusula y/o acuerdos de confidencialidad definidos por TRANSMILENIO S.A. y este deberá ser parte integral de cada uno de los contratos. Este requerimiento también se aplicará para los casos de contratación de personal temporal o cuando se permita el acceso a la información y/o a los recursos de la Entidad a personas o entidades externas.

 

2. TRANSMILENIO S.A., firmará acuerdos de confidencialidad con los funcionarios, clientes y terceros o contratistas, que por diferentes razones requieran conocer o intercambiar información restringida o confidencial de la Institución. En estos acuerdos quedarán especificadas las responsabilidades para el intercambio de la información para cada una de las partes y se deberán firmar antes de permitir el acceso o uso de dicha información.

 

3. Todo funcionario de TRANSMILENIO S.A. es responsable por proteger la confidencialidad e integridad de la información y debe tener especial cuidado en el uso de los diferentes medios para el intercambio de información que puedan generar una divulgación o modificación no autorizada.

 

4. Los propietarios de la información que se requiere intercambiar son responsables de definir los niveles y perfiles de autorización para acceso, modificación y eliminación de la misma y los custodios de esta información son responsables de implementar los controles que garanticen el cumplimiento de los criterios de confidencialidad, integridad, disponibilidad requeridos.

 

5. Se deben identificar, revisar regularmente y documentar los requisitos para los acuerdos de confidencialidad o no divulgación que reflejen las necesidades de la organización para la protección de la información.

 

6. El acuerdo de confidencialidad deberá formalizarse en cada uno de los contratos celebrados con  terceros y que en la prestación del servicio puedan tener acceso a la información restringida o confidencial de TRANSMILENIO S.A. De dicho acuerdo deberá derivarse una responsabilidad tanto civil como penal para la tercera parte que TRANSMILENIO S.A. contrata.

 

7. Si es aplicable para cada uno de los contratos, el acuerdo de confidencialidad deberá incluir aspectos como:

 

a. Duración del acuerdo.

 

b. Definición de la información que deberá ser protegida.

 

c. Definición de responsabilidades de cada una de las partes para evitar que se presente divulgación de la información.

 

d. Asignación de permiso para que el tercero o contratista haga uso de la información que para TRANSMILENIO S.A., es sensible o crítica.

 

e. Definición del propietario de la información que el tercero o contratista va a manipular.

 

f. Inclusión de aspectos como secretos de mercado.

 

g. Inclusión de aspectos como propiedad intelectual, derechos de autor relacionados con desarrollos de software, licencias, manuales, etc.

 

h. Definición de las responsabilidades de cada una de las partes, mientras la información se encuentra fuera de las instalaciones de TRANSMILENIO S.A. o del tercero.

 

i. Inclusión del derecho a auditar y monitorear actividades que involucren información sensible o crítica, en aquellos casos que aplique y sea esencial.

 

j. Definición de acciones a tomar sí el acuerdo se incumple.

 

k. Definición de términos de tiempo en que la información manejada por el tercero debe ser devuelta cuando el contrato se finalice.

 

8. Así mismo y en el caso que se requiera, el tercero o contratista, deberá tener acuerdos de confidencialidad con los empleados que estén directamente relacionados con el manejo de la información de TRANSMILENIO S.A.

 

7.6 SEGURIDAD LIGADA A LOS RECURSOS HUMANOS

 

TRANSMILENIO S.A. reconoce la importancia que tiene el factor humano para el cumplimiento de sus objetivos misionales y, con el interés de contar con el personal mejor calificado, garantizará que la vinculación de nuevos funcionarios se realizará siguiendo un proceso formal de selección, acorde con la legislación vigente, el cual estará orientado a las funciones y roles que deben desempeñar los funcionarios en sus cargos.

 

7.6.1 Antes de la contratación

 

Objetivo: Asegurar que los empleados y contratistas comprendan sus responsabilidades y sean idóneos en los roles para los que se consideran.

 

Normas dirigidas a: GRUPO DE TALENTO HUMANO

 

1. El Grupo de Talento Humano debe realizar las verificaciones necesarias para confirmar la veracidad de la información suministrada por el personal candidato a ocupar un cargo en TRANSMILENIO S.A., antes de su vinculación definitiva.

 

2. El Grupo de Talento Humano debe certificar que los funcionarios de la Entidad firmen un Acuerdo y/o Cláusula de Confidencialidad y un documento de Aceptación de Políticas de Seguridad de la Información; estos documentos deben ser anexados a los demás documentos relacionados con la ocupación del cargo.

 

3. Normas dirigidas a SUPERVISORES DE CONTRATO, VICEPRESIDENTES, DIRECTORES Y JEFES DE OFICINA

 

Cada Supervisor de Contrato, Vicepresidente, Director y Jefe de Oficina debe verificar la existencia de Acuerdos y/o Cláusulas de Confidencialidad y de la documentación de Aceptación de Políticas para el personal provisto por terceras partes, antes de otorgar acceso a la información de TRANSMILENIO S.A.

 

Normas dirigidas a: Personal Provisto por TERCERAS PARTES

 

El personal provisto por terceras partes que realicen labores en o para TRANSMILENIO S.A., deben firmar un Acuerdo y/o Cláusula de Confidencialidad y un documento de Aceptación de Políticas de Seguridad de la Información, antes de que se les otorgue acceso a las instalaciones y a la plataforma tecnológica.

 

El personal provisto por terceras partes, deben garantizar el cumplimiento de los Acuerdos y/o Cláusulas de Confidencialidad y aceptación de las Políticas de Seguridad de la Información de la Entidad.

 

7.6.1.1 Términos y condiciones del empleo

 

Las verificaciones de los antecedentes de todos los candidatos a un empleo se deben llevar a cabo de acuerdo  con las leyes, reglamentos y ética pertinentes y deben ser proporcionales a los requisitos de la entidad, a la clasificación de la información a que va a tener acceso, y a los riesgos percibidos.

 

7.6.1.2 Términos y condiciones de contratación

 

Los acuerdos contractuales con empleados y contratistas deben establecer sus responsabilidades y las de la organización en cuanto a seguridad de la información.

 

7.6.2 Durante la contratación

 

Objetivo: Asegurarse que los empleados y contratistas tomen conciencia de sus responsabilidades de seguridad de la información y las cumplan.

 

TRANSMILENIO S.A. en su interés por proteger su información y los recursos de procesamiento de la misma demostrará el compromiso de la Alta Dirección en este esfuerzo, promoviendo que el personal cuente con el nivel deseado de conciencia en seguridad de la información para la correcta gestión de los activos de información y ejecutando el proceso disciplinario necesario cuando se incumplan las Políticas de seguridad de la información de la entidad.

 

Todos los funcionarios de TRANSMILENIO S.A. deben ser cuidadosos de no divulgar información confidencial en lugares públicos, en conversaciones o situaciones que pongan en riesgos la seguridad y el buen nombre de la entidad.

 

7.6.2.1 Responsabilidades de la Dirección

 

La Alta Dirección debe demostrar su compromiso con la seguridad de la información por medio de su aprobación de las políticas, normas y demás lineamientos que desee establecer la Entidad.

 

* La Alta Dirección debe promover la importancia de la seguridad de la información entre los funcionarios de TRANSMILENIO S.A. y el personal provisto por terceras partes, así como motivar el entendimiento, la toma de conciencia y el cumplimiento de las políticas, normas, procedimientos y estándares para la seguridad de la información establecidos.

 

* La Alta Dirección debe definir y establecer el proceso disciplinario o incluir en el proceso disciplinario existente, el tratamiento de las faltas de cumplimiento a las políticas de seguridad o los incidentes de seguridad que lo ameriten.

 

7.6.2.2 Concienciación, educación y capacitación en seguridad de la información

 

La Dirección de TIC´s debe diseñar y ejecutar de manera permanente un programa de concienciación en seguridad de la información, con el objetivo de apoyar la protección adecuada de la información y de los recursos de procesamiento la misma.

 

La Dirección de TIC´s  debe capacitar y entrenar a los funcionarios de TRANSMILENIO S.A. en el programa de concienciación en seguridad de la información para evitar posibles riesgos de seguridad.

 

7.6.2.3 Proceso disciplinario

 

Se debe contar con un proceso formal y comunicado para emprender acciones contra empleados que hayan cometido una violación a la seguridad de la información de TRANSMILENIO S.A.

 

Normas dirigidas a: la SUBGERENCIA GENERAL con funcionales de CONTROL INTERNO DISCIPLINARIO

 

Control Interno debe aplicar el proceso disciplinario de la Entidad cuando se identifiquen violaciones o incumplimientos a las políticas de seguridad de la información.

 

Normas dirigidas a: GRUPO DE TALENTO HUMANO

 

El Grupo de Talento Humano debe convocar a los funcionarios a las charlas y eventos programados como parte del programa de concienciación en seguridad de la información, proveer los recursos para la ejecución de las capacitaciones y controlar la asistencia a dichas charlas y eventos, aplicando las sanciones pertinentes por la falta de asistencia no justificada.

 

Normas dirigidas a: TODOS LOS USUARIOS

 

Los funcionarios y personal provisto por terceras partes que por sus funciones hagan uso de la información de TRANSMILENIO S.A., deben dar cumplimiento a las políticas, normas y procedimientos de seguridad de la información, así como asistir a las capacitaciones que sean referentes a la seguridad de la información.

 

7.6.3 Terminación o cambio de puesto de trabajo

 

Objetivo: Proteger los intereses de la Entidad como parte del proceso de cambio o terminación del empleo.

 

7.6.3.1 Terminación o cambio de responsabilidad de puesto de trabajo

 

TRANSMILENIO S.A. asegurará que sus funcionarios y el personal provisto por terceros serán desvinculados o reasignados para la ejecución de nuevas labores de una forma ordenada, controlada y segura.

 

Normas para la desvinculación, licencias, vacaciones o cambios de labores de los funcionarios y personal provisto por terceros

 

Normas dirigidas a: CONTROL INTERNO - GRUPO DE TALENTO HUMANO

 

El Grupo de Talento Humano debe realizar el proceso de desvinculación, licencias, vacaciones o cambio de labores de los funcionarios de la entidad llevando a cabo los procedimientos y ejecutando los controles establecidos para tal fin.

 

Normas dirigidas a: SUPERVISORES DE CONTRATO, VICEPRESIDENTES, DIRECTORES Y JEFES DE OFICINA

 

Cada Supervisor de Contrato, Vicepresidente, Director y Jefe de Oficina debe monitorear y reportar de manera inmediata la desvinculación o cambio de labores de los funcionarios o personal provistos por terceras partes a la Oficina de Control interno.

 

Normas dirigidas a: OFICINA DE CONTROL INTERNO

 

La Oficina de Control interno debe verificar los reportes de desvinculación o cambio de labores y posteriormente debe solicitar la modificación o inhabilitación de usuarios a la Dirección de TIC´s

 

7.7 GESTIÓN DE ACTIVOS

 

7.7.1 Responsabilidad sobre los activos

 

1. Todos los funcionarios, contratistas, o terceros que presten sus servicios  a TRANSMILENIO S.A. son responsables del cumplimiento y seguimiento de esta política y demás políticas de seguridad de la información que se plasman en el presente manual adoptado por  la Entidad.

 

2. Los responsables de procesos y dependencias de TRANSMILENIO S.A. deben:

 

* Coordinar la implementación de todos los controles de seguridad necesarios para el tratamiento de los riesgos de seguridad de la información.

 

* Generar y mantener un registro detallado de todos los eventos que sucedan sobre los diferentes activos de información a su cargo.

 

* Coordinar sus esfuerzos para realizar el  mejoramiento de los servicios informáticos de la Entidad, así como de controlar cualquier cambio que afecte los niveles acordados para la prestación de los servicios.

 

* Coordinar la realización del inventario de activos de información.

 

3. Los administradores de los activos y servicios de información  son responsables de implementar, preservar y garantizar la seguridad de la información referente a la configuración de los diversos componentes o servicios de información y tecnología de la Entidad que estén a su cargo.

 

4. Los administradores de equipos informáticos Entidad deben:

 

* Mantener y aplicar los procedimientos de operación de los equipos o servicios informáticos definidos por TRANSMILENIO S.A.

 

* Mantener actualizado el registro de riesgos que afecte a los activos bajo su responsabilidad.

 

* Reportar lo cambios que sucedan sobre los activos a su cargo ante los responsables de áreas o procesos de TRANSMILENIO S.A.

 

* Aplicar los procedimientos definidos por TRANSMILENIO SA para el acceso de terceros a los activos a su cargo en situaciones como mantenimiento o garantía.

 

* Registrar el desempeño de los equipos o servicios a su cargo.

 

* Registrar las actividades realizadas por los administradores o los operadores de los equipos o servicios a su cargo.

 

* Registrar las fallas sobre los equipos o servicios a su cargo

 

* Mantener  registros de los usuarios a los cuales se les ha otorgado acceso a cada activo, servicio o componente.

 

* Aplicar los procedimientos definidos por TRANSMILENIO S.A. para la asignación de cuentas de usuario y contraseñas de acceso a servicios y componentes.

 

* En coordinación con los responsables de los procesos y áreas de TRANSMILENIO S.A. aplicar las medidas de mitigación para contrarrestar las vulnerabilidades que se identifiquen sobre los activos o servicios de tecnología.

 

* Mantener y aplicar los procedimientos de respaldo de la información.

 

* Mantener, Mejorar y probar periódicamente los procedimientos de contingencia, recuperación ante desastres y continuidad en la prestación de servicios de tecnología.

 

* Implementar, mantener y mejorar los controles de protección física lógica o procedimental para la protección de los activos de información, componentes o servicios a su cargo.

 

7.7.2 Inventario de activos

 

TRANSMILENIO S.A., debe mantener actualizado el inventario de los activos de información tecnológicos incluyendo redes, subredes, servidores, aplicaciones, dispositivos de red, estaciones de trabajo, portátiles y licencias de software.

 

Adicionalmente, se debe mantener actualizado el inventario de los activos de información de infraestructura tecnológica tal como aires acondicionados, generadores de energía, unidades de potencia (UPS) y circuitos. Cada uno de los activos debe estar clasificado como:

 

* Misión Crítica.

 

* No-Crítica

 

Para identificar, clasificar el nivel de protección y respuesta ante incidentes, TRANSMILENIO S.A. debe clasificar los sistemas de computación así:

 

* Servidores de Producción – Sistemas que proveen funciones de negocio en operación.

 

* Servidores de Desarrollo – Sistemas de información usados para la creación de software

 

* Servidores de Pruebas – Sistemas de información usados para ambientes de pruebas.

 

* Computadores de usuario final – PCs, portátiles, y estaciones de trabajo utilizadas como cliente para acceder a los servidores de desarrollo y producción.

 

Los activos de Hardware deben ser marcados con un ID único de acuerdo con los métodos de etiquetado de TRANSMILENIO S.A.

 

Las auditorías al Hardware deben verificar la ubicación y el etiquetamiento. Auditorías periódicas al inventario de software se deben efectuar para dar cumplimiento a la ley sobre software licenciado.

 

7.7.3 Propiedad de los activos

 

Todos los activos deben ser justificados y tener asignado un propietario.

 

TRANSMILENIO S.A. debe identificar a los propietarios para todos los activos de información y asignar la responsabilidad del mantenimiento de los controles para la adecuada protección de estos.

 

El propietario de los activos debe implementar los controles necesarios para asegurar la protección de los activos que se encuentran bajo su responsabilidad.

 

Se debe elaborar y mantener el inventario de activos identificando los propietarios y custodios de los activos, directivos o gestores responsables de proteger los activos, ubicación, número de serie, número de versión, estado de desarrollo / pruebas / producción.

 

Se deben utilizar códigos de barras para facilitar las tareas de realización de inventario y para controlar los equipos de TI que entran y salen de las instalaciones con funcionarios.

 

7.7.4 Uso aceptable de los activos.

 

TRANSMILENIO S.A., debe documentar e implementar las reglas para el uso aceptable de la información y de los activos de información asociados.

 

Todos los funcionarios, contratistas y terceras partes deben seguir y cumplir las reglas definidas para el uso aceptable de los activos de información. Se deben definir:

 

* Reglas para el uso de correo electrónico e Internet.

 

* Guías para el uso de dispositivos móviles.

 

7.7.5 Devolución de activos

 

Todos los empleados, contratistas y usuarios de terceras partes deben retornar todos los activos que posean de TRANSMILENIO S.A. a la terminación de su empleo o contrato.

 

El proceso de terminación debe ser formalizado e incluir el retorno de todo el software emitido previamente, documentos corporativos y equipos. Esto incluye dispositivos de computación móvil, tarjetas de crédito, tarjetas de acceso, carné, manuales, información almacenada en medios electrónicos, dispositivos de autenticación, entre otros.

 

7.7.6 Clasificación de la información

 

Objetivo: Asegurar que la información recibe protección en función del nivel de sensibilidad o criticidad para TRANSMILENIO S.A.

 

TRANSMILENIO S.A. debe llevar a cabo un proceso para clasificar y proteger los datos de acuerdo con estándares de clasificación.

 

7.7.6.1 Directrices de clasificación

 

La información se debe clasificar de acuerdo con las siguientes 4 categorías:

 

* Información pública. Es toda información no sensible para la divulgación al público que un sujeto obligado genere, obtenga, adquiera, o controle en su calidad de tal.

 

* Información pública clasificada. Es aquella información que es sensible o confidencial dentro de la entidad y destinada a uso de TRANSMILENIO. Solo la pueden acceder algunos funcionarios de acuerdo con sus funciones y responsabilidades.

 

* Información pública reservada. Es aquella información que es extremadamente sensible o privada del más alto valor para la entidad y destinada para un grupo de personas de confianza de la Organización; cualquier violación a este tipo de información puede ocasionar  daño a intereses públicos.

 

* Publicar o divulgar. Significa poner a disposición en una forma de acceso general a los miembros del público e incluye la impresión, emisión y las formas electrónicas de difusión.

 

7.7.6.2 Etiquetado y manipulado de la información

 

Toda la información generada por TRANSMILENIO S.A., debe ser etiquetada de acuerdo  a los niveles de clasificación anteriormente descritos.

 

7.7.6.3 Manipulación de activos

 

Se deben desarrollar e implantar procedimientos para la manipulación de los activos acordes con el esquema de clasificación de la información adoptado por la entidad.

 

7.7.7 Manejo de los soportes de almacenamiento

 

Objetivo: Prevenir revelación, modificación, remoción o destrucción no autorizada de activos, e interrupciones a las actividades de la entidad. Los medios deben ser controlados y físicamente protegidos.

 

7.7.7.1 Gestión de soportes extraíbles

 

* Debe haber procedimientos para la administración de medios removibles tales como cintas, discos, cassettes, unidades USB y reportes impresos entre otros.

 

Los siguientes controles deben ser considerados:

 

* Si ya no se requieren los contenidos previos de cualquier medio reutilizable, que será removido de la organización, deben ser borrados (eliminados).

 

* Debe solicitarse autorización para los medios extraídos de la organización y un registro de tales movimientos debe guardarse para mantener una pista de auditoría.

 

* Todos los medios deben ser almacenados en un ambiente seguro de acuerdo con las especificaciones de los fabricantes.

 

* Todos los datos almacenados en medios removibles deben ser evaluados contra los estándares de clasificación de datos y protegidos de la manera indicada en el presente Manual.

 

7.7.7.2 Eliminación de soportes.

 

* La información confidencial debe destruirse por medio de destructoras de papel que garanticen que no se reconstruirá.

 

* Los medios deben ser eliminados de una manera segura cuando ya no sean requeridos. La información sensible podría ser filtrada a personas externas a través del descuido en la eliminación de medios.

 

* Muchas organizaciones ofrecen servicios de recolección y eliminación para papeles, equipos y medios. Cuando se evalúe un proveedor para este propósito, evalúelo contra los requerimientos de eliminación segura y reutilización de equipos.

 

* Para eliminar activos de información sensible se debe garantizar mantener un registro mediante acta donde sea posible con el fin de mantener una pista de auditoría.

 

* Para la destrucción de Disco contenedores de información se debe realizar un borrado a bajo nivel 7 garantizando la eliminación total de esta. Se debe dejar registro de esto.

 

* Para la destrucción de información confidencial se debe considerar por lo menos los siguientes protocolos:

 

- Borrado por software o Hardware a bajo nivel (nivel 7)

 

- Eliminación magnética o destrucción del Disco.

 

- Destrucción física del disco.

 

- Cuando se dé acumulación de medios para eliminación, debe darse la consideración del efecto agregación, que puede causar que una gran cantidad de información no clasificada pueda llegar a ser más sensible que una pequeña cantidad de información clasificada.

 

7.7.7.3 Soportes físicos en tránsito

 

La información puede ser vulnerable a acceso no autorizado, uso indebido y pérdida o corrupción durante el transporte físico, cuando se envían medios a través del servicio postal o empresas de mensajería.

 

Los siguientes controles deben ser aplicados cuando sea posible para salvaguardar los medios de computador que son trasportados entre sitios:

 

1. Se deben usar empresas de transporte confiables.

 

2. El embalaje debe ser lo suficientemente robusto para proteger los contenidos de cualquier daño físico.

 

3. Se deben utilizar métodos de cifrado de los datos confidenciales o restringidos para prevenir perdidas de datos si los medios son robados o extraviados.

 

4. Controles especiales deben ser adoptados, donde sea necesario, para proteger la información sensible de modificación o divulgación no autorizada. Los ejemplos incluyen:

 

* Uso de contenedores con llave.

 

* Entrega a la mano.

 

* Evidencia de manipulación del empaque (que revele cualquier intento de acceso).

 

En casos excepcionales, división del envío en más de una entrega y envío por diferentes rutas.

 

7.8 CIFRADO O CRIPTOGRAFIA

 

7.8.1 Controles Criptográficos

 

Objetivo: Asegurar el uso apropiado y eficaz de la criptografía para proteger la confiabilidad, la autenticidad y/o la integridad de la información.

 

7.8.2 Política sobre el uso de controles Criptográficos

 

Se debe desarrollar  e implementar una política sobre el uso de controles criptográficos para protección de información.

 

TRANSMILENIO S.A. velará porque la información de la entidad, clasificada como reservada o restringida, será cifrada al momento de almacenarse y/o transmitirse por cualquier medio.

 

7.8.3 Gestión de Claves

 

Se debe desarrollar  e implementar una política sobre el uso, protección y tiempo de vida de claves criptográficas, durante todo su ciclo de vida.

 

Normas de Controles Criptográficos

 

Normas dirigidas a: DIRECCION DE TECNOLOGIA

 

La Dirección de TIC´s debe almacenar y/o transmitir la información digital clasificada como reservada o restringida bajo técnicas de cifrado con el propósito de proteger su confidencialidad e integridad.

 

La Dirección de TIC´s debe verificar que todo sistema de información o aplicativo que requiera realizar transmisión de información reservada o restringida, cuente con mecanismos de cifrado de datos.

 

La Dirección de TIC´s, debe desarrollar y establecer un procedimiento para el manejo y la administración de llaves de cifrado.

 

La Dirección de TIC´s, debe desarrollar y establecer estándares para la aplicación de controles criptográficos.

 

Normas dirigidas a: DESARROLLADORES (INTERNOS O EXTERNOS)

 

Los desarrolladores deben cifrar la información reservada o restringida y certificar la confiabilidad de los sistemas de almacenamiento de dicha información.

 

Los desarrolladores deben asegurarse que los controles criptográficos de los sistemas construidos cumplen con los estándares establecidos por la Dirección de TIC´s.

 

7.9 SEGURIDAD FISICA Y AMBIENTAL

 

7.9.1 Áreas Seguras

 

Objetivo: Prevenir el acceso no autorizado, daño e interferencia a la información.

 

Los servicios de procesamiento de información críticos de TRANSMILENIO S.A. deben estar instalados en áreas seguras, con protección de perímetro y controles de entrada. Se deben proteger físicamente de acceso no autorizado, daño e interferencia.

 

7.9.1.1 Perímetro de seguridad física

 

TRANSMILENIO S.A., proveerá la implantación y velará por la efectividad de los mecanismos de seguridad física y control de acceso que aseguren el perímetro de sus instalaciones en todas sus sedes.

 

Así mismo, controlará y mitigará las amenazas físicas externas e internas y las condiciones medioambientales de sus oficinas. Todas las áreas destinadas al procesamiento o almacenamiento de información sensible, así como aquellas en las que se encuentren los equipos y demás infraestructura de soporte a los sistemas de información y comunicaciones, se consideras áreas de acceso restringido.

 

Las siguientes pautas y medidas de control se deben implementar donde sea necesario:

 

* El perímetro de la construcción o sitio que contiene instalaciones de procesamiento de información debe ser físicamente sólido. Los muros externos del sitio deben ser de construcción sólida y todas las puertas externas deben estar protegidas contra el acceso no autorizado, ejemplo alarmas, cerraduras, etc.

 

* Debe definirse un área de recepción u otro medio para el control del acceso físico al sitio o edificio.

 

7.9.1.2 Controles físicos de entrada

 

Las áreas seguras de TRANSMILENIO S.A. deben estar protegidas por controles de entrada para prevenir que únicamente el personal autorizado tiene permitido el acceso. Los siguientes controles se consideran medidas de protección adecuadas:

 

* Los visitantes a las áreas seguras deben ser supervisados o aprobados, y se debe registrar la fecha y hora de entrada y salida, y la razón de ingreso.

 

* Los visitantes a las áreas seguras deben portar en forma visible la identificación.

 

* El acceso a información sensible y a las instalaciones de procesamiento de información requieren medios secundarios de control de acceso y estar restringido únicamente al personal autorizado. Se deben usar controles de autenticación para validar y autorizar todo acceso.

 

* Deben mantenerse pistas de auditoría de todos los accesos a las áreas restringidas.

 

* No se debe ingresar dispositivos de almacenamiento a las áreas de procesamiento de información, si existe la necesidad de ingresar dispositivos de almacenamiento es necesario realizar un proceso de sanitización²  a los dispositivos de almacenamiento

 

* El personal debe portar su carné de identificación todo el tiempo y estar dispuesto a retar o confrontar a los extraños sin acompañante y cualquiera que no porte la identificación de forma visible.

 

* Los derechos de acceso a las áreas seguras deben ser regularmente revisados y actualizados por parte de la gerencia responsable.

 

* Se deben registrar todas los ingresos y salidas de equipos de cómputo a la Entidad.

 

7.9.1.3 Seguridad de oficinas, despachos y recursos

 

La selección y el diseño de las áreas seguras debe contemplar la posibilidad de daño por fuego, inundación, explosión, accidentes, ataques y otras formas de desastre natural o provocados por el hombre.

 

Los siguientes controles son consideraciones esenciales:

 

* Las instalaciones clave deben estar ubicadas donde se pueda evitar el acceso público.

 

* Las construcciones deben ser discretas y dar una indicación mínima de su propósito.

 

* Puertas y ventanas tendrán que estar cerradas cuando no estén vigiladas y efectuar la protección externa para ventanas, particularmente a nivel del suelo.

 

* Las instalaciones de procesamiento de la información administradas por TRANSMILENIO S.A., deben estar físicamente separadas de otras administradas por terceros.

 

* Los directorios telefónicos internos que identifican lugares o instalaciones de procesamiento de información sensible, no deben ser fácilmente accesibles por el público.

 

* Los materiales peligrosos o combustibles deben ser almacenados de manera segura a una distancia prudente de las áreas seguras. Los suministros como papelería, no deben almacenarse en áreas seguras hasta que sea requerido.

 

* Las construcciones de áreas que contengan equipos de soporte de los centros de datos (back ups, generadores, torres de enfriamiento, UPS, etc), deben tener el mismo nivel de seguridad que el centro de datos: estructura segura, control de acceso y sistemas de vigilancia técnica para el monitoreo del acceso y las actividades alrededor del área.

 

* Debe ubicarse un área de recepción para el control del acceso físico al centro de proceso de datos. El acceso debe restringirse únicamente al personal autorizado.

 

* Los visitantes a las áreas seguras deben estar siempre acompañados, registrarse fecha y hora de entrada y salida. Ellos solo deben acceder a lugares específicos con propósitos autorizados. Se debe establecer un registro de control de visitantes. Los empleados responsables de los visitantes acompañados, deben mantener el control sobre ellos en todo momento.

 

* Se deben utilizar circuitos cerrados de televisión (CCTV) para monitorear las actividades dentro y alrededor de los sitios críticos.

 

* Las salidas de emergencia deben tener alarma.

 

7.9.1.4 Protección contra las amenazas externas y ambientales

 

* La Dirección de TIC’s debe proveer las condiciones físicas y medioambientales necesarias para certificar la protección y correcta operación de los recursos de la plataforma tecnológica ubicados en el centro de cómputo; deben existir sistemas de control ambiental de temperatura y humedad, sistemas de detección y extinción de incendios, sistemas de descarga eléctrica, sistemas de vigilancia y monitoreo y alarmas en caso de detectarse condiciones ambientales inapropiadas. Estos sistemas se deben monitorear de manera permanente.

 

* La Dirección de TIC’s debe velar porque los recursos de la plataforma tecnológica de TRANSMILENIO S.A. ubicados en el centro de cómputo se encuentran protegidos contra fallas o interrupciones eléctricas.

 

* La Dirección de TIC’s debe certificar que el centro de cómputo y los centros de cableado que están bajo su custodia, se encuentren separados de áreas que tengan líquidos inflamables o que corran riesgo de inundaciones e incendios.

 

* La Dirección de TIC’s debe asegurar que las labores de mantenimiento de redes eléctricas, de voz y de datos, sean realizadas por personal idóneo y apropiadamente autorizado e identificado; así mismo, se debe llevar control de la programación de los mantenimientos preventivos.

 

7.9.1.5 Trabajo en áreas seguras

 

Se deben diseñar se deben diseñar y aplicar procedimientos, guías y lineamientos para la protección física para trabajo en áreas seguras. Las cuales deben incluir lo siguiente:

 

* Trabajo no supervisado en áreas seguras se debe evitar por razones de seguridad y para prevenir oportunidades de actividades maliciosas.

 

* Las áreas seguras que no estén ocupadas deben estar físicamente cerradas y se deben revisar periódicamente.

 

* Equipos de fotografía, vídeo o grabadoras de audio, dispositivos móviles no deben permitirse en áreas seguras a menos que haya una autorización específica, de ser necesario ingresarlos se debe realizar un proceso de sanitización a cada dispositivo.

 

7.9.1.6 Áreas de acceso público, carga y descarga

 

Las áreas de carga y de entrega deben ser controladas y, si es posible, aislarse de las instalaciones de procesamiento de datos para evitar el acceso no autorizado.

 

Deben aplicarse los siguientes controles:

 

* El acceso al área de carga desde fuera del edificio, debe ser restringido a personal autorizado e identificado.

 

* El área de carga debe estar diseñada de tal manera que los suministros puedan ser descargados sin que el personal de entrega acceda a áreas críticas del edificio de TRANSMILENIO S.A.

 

* Las puertas externas del área de carga deben estar aseguradas cuando las puertas internas estén abiertas.

 

* El material entrante debe ser revisado por peligros potenciales antes de ser movido del área de carga al punto de utilización.

 

7.9.2 SEGURIDAD DE LOS EQUIPOS

 

Garantizar la seguridad de los Equipos de TRANSMILENIO S.A. permite prevenir pérdidas, daño o compromiso de los activos y la interrupción de las actividades del negocio.

 

Los equipos deben estar físicamente protegidos contra amenazas físicas y ambientales.

 

7.9.2.1 Instalación y protección de los equipos

 

La Infraestructura Tecnológica  de TRANSMILENIO S.A. tal como, servidores, enrutadores, equipos de proceso central, PBX’s y otro tipo de hardware de computador que no resida típicamente en escritorios de usuario o en una área de trabajo común como laboratorios, call centers, etc., deben ser ubicados físicamente en un área segura, y se debe implementar los controles necesarios para la prevención contra riesgos ambientales y no ambientales, que puedan afectar la disponibilidad de los datos.

 

Los computadores portátiles asignados a los funcionarios de TRANSMILENIO S.A. deben ser entregados con bloqueo físico, y es responsabilidad de los funcionarios de la entidad protegerlos contra robo en caso que el portátil sea dejado desatendido. Se deben implementar procesos de cifrado de disco.

 

7.9.2.2 Instalaciones de suministro

 

El hardware de computador debe estar protegido de problemas eléctricos que puedan causar una falla o mal funcionamiento del equipo.

 

Las siguientes opciones para fuentes de poder continuas deben ser usadas:

 

* Múltiples fuentes para evitar puntos de fallo en una fuente de poder.

 

* Fuentes de poder ininterrumpidas (UPS).

 

* Generadores de respaldo.

 

7.9.2.3 Seguridad del Cableado

 

El personal de la Dirección TIC’s debe garantizar que el cableado de energía y telecomunicaciones que transporta los datos o soporta los servicios de información deben estar protegidos de daño o interceptación.

 

Deben aplicarse los siguientes controles:

 

1. Las líneas de energía y telecomunicaciones dentro de las instalaciones de procesamiento de la información deben estar ocultas donde sea posible o sujetas a protección alternativa.

 

2. El cableado de redes debe estar protegido de daño o interceptación no autorizada, por ejemplo usando conductos o rutas para evitar pasar a través de áreas públicas.

 

3. Los cables de potencia deben estar separados de los de comunicaciones para prevenir interferencias.

 

4. Los cables deben marcarse e identificarse claramente para evitar errores.

 

5. Las áreas de distribución de redes deben estar físicamente aseguradas para prevenir la modificación o el acceso no autorizado.

 

6. Para los sistemas sensibles o críticos además de los controles anteriores se debe tener en cuenta:

 

7. Instalación de conductos blindados y cuartos bloqueados o cajas para puntos de inspección y terminación.

 

8. Uso de enrutamiento alternativo y/o medios de transmisión.

 

9. Uso de cableado de fibra óptica.

 

10. Iniciación de barrido técnico e inspección física para dispositivos no autorizados que estén conectados a los cables.

 

7.9.2.4 Mantenimiento de Equipos

 

Los equipos deben ser mantenidos acorde con las especificaciones e intervalos de servicio recomendados por los proveedores.

 

Deben mantenerse los registros de todas las fallas reales o sospechosas y todo el mantenimiento preventivo y correctivo.

 

Deben aplicarse controles cuando se envíe el equipo fuera de la entidad para su mantenimiento y prevenir el acceso no autorizado a la información sensible.

 

7.9.2.5 Salida de activos fuera de las dependencias de la empresa

 

Se deben implementar procedimientos y controles para asegurar los equipos fuera de las instalaciones de la organización.

 

Los siguientes controles deberán ser considerados:

 

* Los equipos no se deben dejar desatendidos en lugares públicos.

 

* Los equipos portátiles se deben llevar como equipaje de mano cuando se esté viajando.

 

* Se deben seguir los hábitos de seguridad comunes del lugar de trabajo: seguridad de equipo desatendido, escritorio limpio, control de acceso para usuarios autorizados.

 

7.9.2.6 Reutilización o retirada segura de dispositivos de almacenamiento

 

7.9.2.6.1 Eliminación de la Información

 

Toda la información de TRANSMILENIO S.A. tendrá que ser removida del equipo antes de su disposición o reutilización.

 

Los procedimientos de eliminación adecuados son:

 

* Eliminar a bajo nivel la información por aplicaciones de Software o Hardware.

 

* Sobrescribir los datos almacenados para evitar su posible recuperación.

 

* Desmagnetizar medios de almacenamiento.

 

* Destruir físicamente los medios de almacenamiento – evitar la posibilidad de su lectura usando hardware estándar.

 

7.9.2.6.2 Donación / Venta de Equipos

 

Existen varios factores a tener en cuenta si TRANSMILENIO S.A. opta por donar el equipo para caridad o venderlo a un tercero:

 

Antes de cualquier venta o donación, todos los medios de almacenamiento deben ser borrados de acuerdo con los mecanismos de eliminación de información mencionados anteriormente.

 

Cualquier marca que pudiera identificar el equipo como propiedad de TRANSMILENIO S.A. o asociado con él, debe ser eliminada.

 

Se debe asegurar que no exista garantía o responsabilidad de TRANSMILENIO S.A. para la función u operación del equipo.

 

7.9.2.7 Equipo informático de usuario desatendido

 

Los usuarios deben asegurar que el equipo desatendido tiene una adecuada protección.

 

Los usuarios deben:

 

* Terminar las sesiones activas cuando finalicen, a menos que puedan ser aseguradas por un mecanismo de bloqueo, por ejemplo el protector de pantalla protegido con contraseña.

 

* Usar el protector de pantalla con contraseña, el cual debe ser activado dentro del tiempo límite de inactividad. Este complementa el anterior mecanismo de bloqueo pero no actúa como un reemplazo.

 

* Cierre la sesión de usuario en computadores centrales y servidores cuando finalice la tarea (no es correcto apagar la pantalla o el equipo sin salir de la sesión de usuario).

 

7.9.2.8 Política de puesto de trabajo despejado y bloqueo de pantalla 

 

La política de escritorio limpio y pantalla limpia aplica para toda la información de la TRANSMILENIO S.A. para cual debe tenerse en cuenta la clasificación de información, requerimientos legales y contractuales y los correspondientes riesgos y aspectos culturales de la organización.

 

Se debe aplicar:

 

* Información sensitiva o crítica del negocio en papel o en medios de almacenamiento electrónico debe estar protegida (idealmente en una caja o gabinete) cuando no se requiera, especialmente cuando no hay nadie en la oficina.

 

* Los computadores y terminales se deben dejar con las sesiones terminadas o protegidas con un mecanismo de bloqueo de pantalla y teclado controlado por una contraseña, cuando están desatendidos.

 

* Uso no autorizado de fotocopiadoras y otra tecnología de reproducción como scanners y cámaras digitales se debe prevenir.

 

* Documentos con información clasificada o sensitiva deben removerse de impresoras tan pronto como sea posible.

 

NOTAS DE PIE DE PÁGINA

 

^1. Conjunto determinado de valores y normas que son compartidos por personas y grupos de la organización para el control de interacción con el entorno, manteniendo las medidas preventivas y reactivas que permitan resguardar y proteger la información y sus principios, toda vez que está encaminado al diseño, implementación y mantenimiento de los procesos para la gestión del acceso a la información, asegurando sus principios y minimizando los riesgos. (Sistema de Gestión de Seguridad de la Información).

 

^2. Procedimiento mediante el cual se valida la información ingresada en dispositivos de almacenamiento y se escanea el dispositivo asegurando que no ingrese aplicaciones no deseadas a la Red de TRANSMILENIO S.A.

 

NOTA: Publicada en el Registro Distrital 5750 de enero 07 de 2016.