1. Objeto y Alcance
El objetivo de esta política de alto nivel es definir el
propósito, la dirección, los principios y las reglas
básicas para la gestión de la seguridad de la información.
Esta Política se aplica a todo el Sistema de Gestión de
Seguridad de la Información (SGSI), tal como se define en
el Documento de Alcance del SGSI.
Los usuarios de este documento son todos los empleados de
UPOSTAL/UES, así como las partes externas pertinentes.
2. Responsabilidades
Las responsabilidades en relación al SGSI son las
siguientes:
-
La Dirección es responsable de asegurar que el SGSI sea
implementado y mantenido de acuerdo con esta Política, y
de asegurar que todos los recursos necesarios estén
disponibles
-
El Comité de Seguridad de la Información es responsable
de la coordinación operativa del SGSI, así como de la
presentación de informes sobre el desempeño del SGSI
-
La Dirección debe revisar el SGSI al menos una vez al
año o cada vez que ocurre un cambio significativo. El
propósito de la revisión por la Dirección es establecer
la idoneidad, adecuación y eficacia del SGSI.
-
El Comité de Seguridad de la Información implementará
programas de capacitación y concientización sobre la
seguridad de la información para los empleados
-
La protección de la integridad, disponibilidad y
confidencialidad de los activos es responsabilidad del
propietario de cada activo
-
Todos los incidentes o debilidades de seguridad deben
ser reportados al Comité de Seguridad
3. Política
La Dirección de la organización reconoce la importancia de
identificar y proteger los activos de información de la
organización. Para ello, evitará la destrucción,
divulgación, modificación y utilización no autorizada de
toda información, comprometiéndose a desarrollar,
implantar, mantener y mejorar continuamente un Sistema de
Gestión de Seguridad de la Información.
La Dirección de la organización declara el cumplimiento
con la normativa y legislación vigente en relación con
aspectos de seguridad de la información.
La Seguridad de la Información se caracteriza como la
preservación de:
-
a) su confidencialidad, asegurando que sólo
quienes estén autorizados puedan acceder a la
información;
-
b) su integridad, asegurando que la información y
sus métodos de proceso sean exactos y completos;
-
c) su disponibilidad, asegurando que los usuarios
autorizados tengan acceso a la información cuando lo
requieran.
La seguridad de la información se consigue implantando un
conjunto adecuado de controles, tales como políticas,
procedimientos, estructuras organizativas, software e
infraestructura. Estos controles deberán ser establecidos
para asegurar los objetivos de seguridad de la
organización.
La organización designará un Comité de Seguridad de la
Información, quien se encargará de la guía, implementación
y el mantenimiento del Sistema de Gestión de Seguridad de
la Información.
La presente Política de Seguridad de la Información debe
ser conocida y cumplida por todo el personal de la
organización, independiente del cargo que desempeñe y de
su situación contractual.
Es política de la organización:
-
Establecer objetivos anuales con relación a la Seguridad
de la Información.
-
Desarrollar un proceso de evaluación y tratamiento de
riesgos de seguridad, y de acuerdo a su resultado
implementar las acciones correctivas y preventivas
correspondientes, así como elaborar y actualizar el plan
de acción.
-
Clasificar y proteger la información de acuerdo a la
normativa vigente y a los criterios de valoración en
relación a la importancia que posee para la
organización.
-
Cumplir con los requisitos del servicio, legales o
reglamentarios y las obligaciones contractuales de
seguridad.
-
Brindar concientización y formación en materia de
seguridad de la información a todo el personal.
-
Establecer que todo el personal es responsable de
registrar y reportar las violaciones a la seguridad,
confirmadas o sospechadas de acuerdo a los
procedimientos correspondientes.
-
Establecer los medios necesarios para garantizar la
continuidad de las operaciones de la organización.
4. Validez y gestión documental
Este documento es válido a partir de la fecha de
aprobación en el sistema de gestión de documentos Redmine
UPOSTAL/UES (SRU).
El propietario de este documento es la Dirección, quien
debe revisar y, si es necesario, actualizar el documento
al menos una vez al año.
El historial de revisiones detallado se gestiona a través
del SRU.