No.

Responsable

Actividades

1

Consejo Superior

• Aprobar la creación de los cargos relacionados con las funciones de seguridad de la información.
• Asignar los recursos pertinentes para la aplicación eficaz de las Políticas de Seguridad de la Información de la institución.

2

Comité de Seguridad de la Información

• Revisar y proponer la actualización de la Política de Seguridad de la Información, funciones, controles y actualizaciones que se deriven del Sistema de Gestión de Seguridad de la Información.
• Definir las necesidades de capacitación que se presenten en la FUCS.
• Aprobar roles relacionados con la seguridad de la información en los diferentes niveles jerárquicos.
• Definir planes de acción para subsanar debilidades en controles.

3

Seguridad de la Información

• Actualizar, documentar, sensibilizar y aplicar las normas y/o estándares aplicables para el mantenimiento del Sistema de Gestión de Seguridad de la Información.
• Gestionar en conjunto con la División de Desarrollo Tecnológico los controles para mitigar los riesgos asociados a la Seguridad de la Información.
• Monitorear la aplicación y cumplimiento de los controles definidos e informar al Comité de Seguridad de la Información los resultados correspondientes.

4

División de Desarrollo Tecnológico

• Asignar las funciones, roles y responsabilidades a los colaboradores encargados de la gestión y operación de la plataforma tecnológica de la institución.
• Gestionar en conjunto con Seguridad de la Información los controles para mitigar los riesgos asociados a la Seguridad de la Información.

5

División de Gestión del Talento Humano.

• Notificar a los nuevos colaboradores, sobre la obligación de cumplir con las Políticas de Seguridad de la Información descritas en el presente documento.
• Definir y aplicar los procesos disciplinarios a que haya lugar por las faltas identificadas a la Política de Seguridad de la Información.

6

División de Auditoría

• Auditar la presente Política de Seguridad de la Información.
• Auditar la política de Protección de Datos Personales.

7

Todos los Usuarios

• Cumplir la presente política de acuerdo con su rol dentro de la institución, así como, personal externo que realice labores en o para la FUCS.
• Recibir las capacitaciones y sensibilizaciones sobre Seguridad de la Información, de tal forma que tenga conocimiento respecto a las Políticas de Seguridad de la Información.

Clasificación de la Información

Sigla para el Etiquetado

Descripción

Información Pública Reservada

IPR

El acceso a la información o revelación de la información a individuos, instituciones o procesos no autorizados, tiene un impacto negativo de índole legal, económica, operativa o genera pérdida de imagen.

Información Pública Clasificada

IPC

Esta información es de acceso a varios colaboradores de la FUCS para realizar labores propias del área. No podrá ser utilizada por terceros sin autorización previa del administrador de la información.

Información Pública

IP

Información que puede ser entregada o publicada en la página  web  sin  restricciones  a  cualquier persona dentro y fuera de la institución, sin que esto implique daños a terceros ni a las actividades de los procesos de la FUCS.

Responsable

Actividades

Seguridad de la Información

• Diseñar y producir la guía de clasificación de la información.
• Monitorear la aplicación de los controles definidos para la actualización de activos de información de cada unidad o proceso.
• Socializar y publicar la guía de clasificación de la información a la comunidad universitaria de la FUCS.
• Monitorear que la depuración y la eliminación de la información se realice de una manera efectiva a través de los mecanismos necesarios.
• Aplicar los mecanismos de control necesarios, que garanticen los principios de Seguridad de la Información de los recursos tecnológicos bajo su custodia.
• Monitorear  la supervisión sobre el cumplimiento de los ANS - Acuerdos de Niveles de Servicio y de intercambio de información establecidos con el proveedor de custodia externa de los documentos de la institución (en caso de presentarse la situación de almacenamiento externo).

DDT

• Proveer los métodos de cifrado de la información y gestionar la contratación y actualización de las herramientas tecnológicas usadas para este fin.

Gestión Documental

• Velar por la destrucción de información física, cuando se ha cumplido su ciclo de almacenamiento.
• Mantener actualizadas las tablas de retención documental y velar por su aplicación

Propietarios de los Activos de

Información

• Deben utilizar la guía de clasificación de la información para clasificar la información que gestionan.
• Son responsables por el monitoreo periódico de la información y la correcta clasificación o reclasificación de los activos de información a su cargo.

Todos los Usuarios

• Deben cumplir con los lineamientos establecidos por la FUCS sobre: el acceso, divulgación, almacenamiento, copia, transmisión, identificación y eliminación de la información de origen tecnológico (sistemas de información, archivos digitales) y medio físico propiedad de la FUCS.
• La información en medio físico y digital de la FUCS, debe tener un periodo de almacenamiento que puede ser establecido por el cumplimiento de normas legales o misionales; el período hace parte de la información contenida en las tablas de retención documental. Una vez se finalice el periodo de conservación, se debe garantizar la destrucción adecuada de la información.
• Los usuarios deben tener en cuenta: que cuando imprimen, escanean, saquen copias y comparten información: verificar las áreas adyacentes a impresoras, escáneres, fotocopiadoras y medios electrónicos para que no queden documentos relacionados o adicionales; de igual forma, se debe recoger los documentos de las máquinas de impresión para evitar la divulgación no autorizada.
• Los colaboradores de la FUCS y el personal provisto por terceras partes deben garantizar qué, al no estar en su puesto de trabajo los escritorios se encuentran libres de documentos y medios de almacenamiento, utilizados en el desarrollo de sus actividades; también deben asegurar la protección de los documentos de acuerdo con su nivel de clasificación.
• La FUCS y sus colaboradores, deben garantizar las condiciones adecuadas de almacenamiento, custodia, restricción y acceso físico a la información que se encuentra en documentos físicos.

Responsable

Actividades

Comité de Seguridad de la Información

• Analizar de acuerdo con su criterio experto, qué cargos por la naturaleza de sus funciones requieren manejar este tipo de dispositivos; los cuales deben ser aprobados en dicho comité. Para los cargos excepcionales, el líder de proceso realizará la solicitud formal a Seguridad de la Información, con el fin de solicitar y justificar el otorgamiento de estos permisos, los cuales serán presentados a título informativo en Comité de Seguridad de la Información

División de Desarrollo Tecnológico

• Realizar oportunamente una copia de respaldo que mitigue la pérdida de información.
• Implementar las acciones establecidas en el comité de Seguridad de la Información, tendientes a mitigar cualquier riesgo relacionado con medios removibles.

Todos los Usuarios

• Deberán asegurar que la información allí contenida, no esté expuesta a ningún riesgo.
• La información considerada como “Información Pública Clasificada” o “Información Pública Reservada”; deberá estar bajo los controles establecidos.

Responsable

Actividades

Gerencia – División de Gestión del Talento Humano

• Garantizar que los colaboradores de la institución conozcan, acepten y firmen los documentos de confidencialidad, seguridad de la información y tratamiento de datos personales; estos documentos deben estar anexos y hacer parte integral del proceso de contratación.
• Ejecutar un plan de capacitación y actualización periódica en temas de seguridad de la información para el personal de la FUCS y cuando sea pertinente para los terceros que desempeñen funciones en la Institución.

Directivos, Supervisores de Contratos

• Antes de otorgar el acceso a la información de la FUCS, confirmar la aceptación de los acuerdos y/o cláusulas de confidencialidad por parte de los contratistas.

Contratistas

• Deben firmar un acuerdo y/o cláusula de confidencialidad, con el fin de administrar correctamente los usuarios y roles otorgados.
• Garantizar que se cumpla lo descrito en los documentos relacionados con la de seguridad de la información de la FUCS..

Responsable

Actividades

División            de Gestión de Talento Humano.

• Debe ejecutar los controles concernientes a la seguridad de la información para realizar los procesos de novedades de personal (ingreso, reasignación, desvinculación, vacaciones, licencias), de acuerdo con los procedimientos establecidos para este fin.
• Verificar los reportes de novedades de personal(ingreso, reasignación, desvinculación, vacaciones, licencias), y seguidamente solicitar de manera oportuna la respectiva gestión de usuarios a la División de Desarrollo Tecnológico con copia a Seguridad de la Información.

Directivos, Supervisores de Contrato

• Monitorear y reportar de manera oportuna las novedades contractuales de contratistas (persona natural) a la División de Gestión del Talento Humano.

Oficina de Auditoría de Gestión

• Monitorear el cumplimiento de las políticas y controles establecidos.

División de Desarrollo Tecnológico

• Realizar las asignaciones y los cambios de roles y permisos.
• La División de Desarrollo Tecnológico garantizará la modificación o inhabilitación de usuarios cuando así sea requerido por la División de Gestión de Talento Humano y/o líderes de área, así mismo, garantizará la inactivación temporal.

Seguridad de la Información

• Monitorear el cumplimiento  de los procedimientos de activación/inactivación de usuarios.

Responsable

Actividades

División de Desarrollo Tecnológico

• Aprobar todo acceso a los datacenter o centros de cableado de la FUCS; de igual forma todo visitante deberá estar siempre acompañado por un colaborador de la División de Desarrollo Tecnológico mientras realice la visita a dichos espacios físicos.
• Llevar una bitácora visible en la entrada de los datacenter y centros de cableado con el fin de registrar el acceso de visitantes a estos espacios, el cual debe ser obligatorio.
• Desactivar o modificar de manera oportuna los permisos de acceso físico en los data center o centros de cableado a los usuarios previamente autorizados que se retiren o cambien sus labores en la institución.
• Aprovisionar y monitorear los espacios físicos teniendo en cuenta las condiciones medioambientales para la protección y operación de los recursos de la infraestructura tecnológica ubicados en los data center; se debe contar con los sistemas de: control de temperatura y humedad, detección y extinción de incendios, alertas, monitoreo y alarmas en caso de detección de cambios en la temperatura y/o en las condiciones ambientales, de los data center.
• Confirmar que el cableado estructurado tenga las medidas de protección necesarias de acuerdo con la norma ANSI/TIA/EIA/TSB- 75 con el objetivo de reducir las interceptaciones o daños.
• Realizar los respaldos de los recursos de la infraestructura tecnológica de la FUCS ubicados en la data center permitiendo protegerlos contra algún tipo de falla o interrupción.
• Garantizar que las áreas designadas para el centro de cómputo y cableado se encuentren en un espacio alejado de líquidos inflamables o de amenazas de inundaciones y/o incendios.
• Avalar y revisar que las labores de mantenimiento de redes eléctricas, redes de datos y voz, sean realizadas por colaboradores capacitados y autorizados; así como, realizar seguimiento del cumplimiento de la programación de los mantenimientos preventivos.

Líderes de Procesos

• Los Vicerrectores, Decanos, Gerente, Directores y Jefes de Oficina que se encuentren en áreas restringidas, deben velar por el buen uso de los sistemas de control de acceso físico y por los equipos de vigilancia instalados en su área.
• Los Vicerrectores, Decanos, Gerente, Directores y Jefes de Oficina ubicados en áreas restringidas son responsables, de autorizar el ingreso temporal de personal a estas áreas, evaluando la pertinencia del ingreso; de igual manera se debe realizar el registro y supervisión de estos ingresos.
• Los Vicerrectores, Decanos, Gerente, Directores y Jefes de Oficina deben velar porque todos los mecanismos de Seguridad de acceso a sus áreas, sólo sean utilizados por los colaboradores autorizados. Las contraseñas de los sistemas de alarma, las cajas fuertes, las llaves y cualquier otro elemento de seguridad será de acceso restringido y sólo será disponible para personal autorizado, salvo situaciones de emergencia o eventos que por su naturaleza requieran un manejo diferente, siempre con la supervisión de personal interno de la FUCS.

Oficina Infraestructura Física

• Proveer los requerimientos necesarios para apoyar, resguardar y velar por el perfecto estado de los controles físicos establecidos en los diferentes espacios de la FUCS.
• Implementar nuevos mecanismos que permitan la mejora de la seguridad física de todas las áreas de la institución, reconociendo los mecanismos actuales y perfeccionándolos.
• Asegurar que se cumplan a cabalidad los mecanismos implantados en la seguridad física y en los controles de acceso a los centros de datos y de cableado, así como todas las áreas de la FUCS que procesen información.

División de Servicios Administrativos

• Validar que se encuentra monitoreado el Circuito Cerrado de Televisión (CCTV) que graba el perímetro de la FUCS.

Usuarios

• Todos los colaboradores y terceros autorizados deben portar el carnet visible durante su visita a las áreas de la institución, si lo pierden deben reportarlo inmediatamente a División de Gestión del Talento Humano.
• Todo personal externo o tercero que por su servicio brindado ingrese a la FUCS por autorización de colaboradores, debe contar con algún distintivo que permita identificarlo y no debe ingresar a lugares que no tenga autorización.
• Los colaboradores y/o proveedores, que tengan acceso a las instalaciones de la FUCS, no pueden fumar o consumir alimentos cerca de los equipos.
• No está permitido el uso del PC por otro usuario diferente al que ha sido asignado, salvo casos excepcionales en los cuales la operación de la FUCS lo requiera.
• Los colaboradores que tengan asignado uno o más equipos de cómputo, durante el tiempo en el cual cesan las actividades y/o al levantarse de su puesto de trabajo, será su responsabilidad bloquear la sesión del equipo para evitar que terceros no autorizados accedan a la información contenida. Es responsabilidad de todos los colaboradores una vez finalice la jornada laboral, cerrar las sesiones activas y dejar los equipos apagados salvo en casos excepcionales de acceso remoto autorizado.
• Con el fin de velar por los principios de Seguridad de la Información de información sensible o crítica de la FUCS y evitar pérdidas, daños o accesos no autorizados, todos los colaboradores deben ser responsables de mantener la información custodiada bajo llave o en la cajonera de trabajo, cuando se encuentren desatendidos o en horas no laborales. Una vez el colaborador realice la autenticación en las distintas impresoras, se debe recoger de manera inmediata la información impresa, escaneada o copiada.
• Todos los equipos de cómputo deben tener políticas de protector de pantalla corporativo, con un tiempo de activación automática de cinco minutos.
• Los colaboradores que manejen información de la FUCS a través de dispositivos móviles deberán protegerla física y lógicamente con el fin de evitar el hurto, acceso o divulgación de información no autorizada.

Seguridad de la Información

• Monitorear el cumplimiento de las políticas relacionadas con el buen uso de los equipos de cómputo, así como el manejo de información en áreas seguras.

Responsable

Actividades

División de Desarrollo Tecnológico

• Garantizar          oportunamente        la documentación, actualización y suministro de los procedimientos de operación y gestión de la plataforma tecnológica, a los colaboradores adscritos al área.
• Gestionar los recursos necesarios para la implantación de controles, con el propósito de contar con ambientes de desarrollo/calidad, pruebas y producción, teniendo en cuenta los controles requeridos para el paso de información entre los diferentes ambientes.
• Garantizar periódicamente la gestión de la demanda permitiendo realizar proyecciones de crecimiento de los recursos administrados (dimensionamiento), que permita asegurar el desempeño y capacidad de la plataforma tecnológica. Incluyendo: procesamiento de memorias volátil, almacenamiento, servicios de impresión, y tráfico de las redes de datos internas y ancho de banda de internet.
• Los cambios estructurales que se planteen realizar sobre la plataforma crítica deben ser informados a Seguridad de la Información.

Seguridad de la Información

• Apoyar en las recomendaciones de seguridad sobre las soluciones para la infraestructura tecnológica de la FUCS.

Supervisores de Contrato

División de Desarrollo Tecnológico

• Los cambios que se generen sobre cualquier componente de tecnología, como consecuencia de un requerimiento de usuario, de la solución de un incidente o de una actualización deben ser controlados, gestionados y autorizados adecuadamente, y deben ser sometidos a una evaluación que permita identificar riesgos asociados que pueden afectar la operación.

Responsable

Actividades

División de Desarrollo Tecnológico

• Proveer, actualizar y licenciar las herramientas tales como; antivirus, antimalware, antispam, antispyware, entre otras, que permitan mitigar el riesgo de posibles eventos o incidentes de seguridad como, por ejemplo; contagio de software malicioso a la plataforma tecnológica de la FUCS y a los diferentes servicios que se ejecutan en la misma.
• Garantizar que la información contenida en la plataforma tecnológica cuente con un escaneo periódico con el software de antivirus, así como la información que se encuentra alojada y transmitida por el servicio de correo electrónico.
• A través de sus colaboradores, debe garantizar que la plataforma posea las últimas actualizaciones y aplicación de los correspondientes parches de seguridad, para atenuar las vulnerabilidades de la plataforma tecnológica.
• Mantener instalado, actualizado y activo el software antivirus en todo el parque computacional de la FUCS.

Usuarios

• Deben conservar la configuración del software de seguridad (antivirus, antispyware, antimalware, antispam) instalado por la División de Desarrollo Tecnológico, así como ejecutar escaneo sobre los archivos y/o documentos que provienen del correo electrónico, medios de almacenamiento externos y que son abiertos o ejecutados por primera vez.
• Deben verificar la fuente de los archivos adjuntos, descargados o copiados de correos, internet o cualquier medio de almacenamiento, con el fin de garantizar que provienen de fuentes conocidas y seguras, para así mitigar el riesgo por virus o contagio por eventos que afecten la seguridad de la información.
• No instalar ningún tipo de software o programa.
• Notificar de forma inmediata a Soporte Técnico y a Seguridad de la Información, cuando se detecte o sospeche alguna infección por software malicioso.

Seguridad de la Información

• Monitorear mínimo una vez al mes la actualización de las bases de datos del software antivirus y su activación en todo el parque computacional de la FUCS.

Responsable

Actividades

División de Desarrollo Tecnológico

• Generar e implantar procedimientos para la generación, almacenamiento y restauración de las copias de respaldo de la información, garantizando su integridad, disponibilidad y confidencialidad.
• Realizar pruebas de recuperación de las copias, para así garantizar su confiabilidad al momento de su restauración.
• Definir las condiciones de custodia, transmisión y transporte de las copias de respaldo de la información generadas y sobre las que se prevea almacenamiento externo.
• Generar campañas que permitan conocer los procedimientos de respaldo de información.    

Propietarios de los Activos de Información

• Definir la estrategia en conjunto con la División de Desarrollo Tecnológico para la generación y tiempo  de retención de las copias y de los demás activos de información generados por su área.

Usuarios

• Identificar y clasificar la información crítica que debe ser respaldada y almacenada.

Seguridad de la información.

• Generar campañas que permitan conocer los procedimientos de respaldo de información.
• Monitorear la aplicación de los procedimientos para la generación, almacenamiento y restauración de las copias de respaldo de la información, garantizando su integridad, disponibilidad y confidencialidad.

Responsable

Actividades

División de Desarrollo Tecnológico

• Debe establecer e implementar los tipos de eventos que deben registrar los logs o registros de auditoría, y garantizar la obtención de los mismos, tanto de recursos tecnológicos como de sistemas de información.
• Debe habilitar los registros o logs de auditoría y actividad de usuarios, así como aplicar los sistemas de monitoreo de la plataforma tecnológica de misión crítica y operacional, teniendo en cuenta los lineamientos y seguimiento establecidos, así como debe velar por su custodia y protección.
• Determinar el tiempo de retención de los registros (logs) de recursos tecnológicos y de los sistemas de información de la FUCS para efectos de auditoría.

Desarrolladores, consultores, analistas entre otros (Internos y Externos)

• Informar sobre eventos de los sistemas de información y/o plataforma tecnológica relacionados con interrupciones, acceso, modificación de acuerdo con los lineamientos establecidos por la División de Desarrollo Tecnológico.

Seguridad de la Información.

• Monitorear la gestión de usuarios en los Sistemas de Información.
• Verificar el reporte de análisis de vulnerabilidades realizado por la División de Desarrollo Tecnológico y/o el tercero contratado;  y verificar la ejecución de los planes de remediación.

Responsable

Actividades

División de Desarrollo Tecnológico

• Implementar estrategias y desarrollar mecanismos que garanticen la seguridad de la información sobre la información contenida en los recursos de la infraestructura tecnológica, dentro y fuera de la institución (en caso de almacenamientos externos).
• Asegurar la realización de los mantenimientos preventivos y correctivos de los activos de la infraestructura tecnológica de la FUCS.
• Definir, implementar y asegurar el cumplimiento de los estándares de seguridad/configuración fiable para los equipos asignados a los empleados de la FUCS.
• Establecer las condiciones de cumplimiento que deben tener los equipos de cómputo de personal externo y que se encuentren conectados a la red de datos de la FUCS, así como exigir el estricto cumplimiento antes de dar acceso a la red de la institución.
• Establecer zonas aisladas y/o accesos de red restringidos para los equipos en los que se efectúan operaciones financieras o información sensible para evitar accesos no autorizados.
• Establecer y aplicar lineamientos para una disposición final segura o traslado de usuarios, de los equipos de cómputo de los colaboradores de la FUCS.
• Verificar periódicamente los equipos de cómputo de la FUCS, especialmente aquellos que se encuentran ubicados en áreas sensibles.
• Realizar la asignación de recursos tecnológicos.
• Acompañar los movimientos de recursos tecnológicos.

Seguridad de la Información

• Monitorear periódicamente el cumplimiento de las configuraciones en los equipos de cómputo, con base en el estándar de seguridad definido.

Oficina de Activos Fijos

• Validar la aprobación de entrada y salida de las instalaciones de la FUCS de equipos de cómputo y otros recursos de tecnología pertenecientes a la institución, verificando la autorización documentada y aprobada y además contar con sus respectivas pólizas según corresponda.

Servicios administrativos

• Monitorear que la empresa de seguridad revise los accesos físicos en horas no hábiles a las áreas donde se procesa información.

Usuarios

• No realizar movimientos de equipos tecnológicos.
• Acoger las instrucciones técnicas proporcionadas por la División de Desarrollo Tecnológico cuando se asignen puestos de trabajo, equipos móviles y/o Sistemas de Información a personal provisto por terceras partes.
• Reportar a Soporte Técnico para su respectiva gestión y solución las fallas o problemas de hardware o software que se presenten sobre los equipos de cómputo o algún recurso tecnológico que sea de propiedad de la FUCS. No está permitido que el usuario intente solucionar el problema en los puestos de trabajo, equipos móviles y/o Sistemas de Información. Estas actividades sólo pueden ser realizadas por los colaboradores de la División de Desarrollo Tecnológico, o en determinados casos por personal de terceras partes autorizado por dicha área.
• Bloquear la sesión de red (usuarios) al levantarse de su puesto de trabajo, así como apagar los equipos en horarios no laborales. 

Responsable

Actividades

División de Desarrollo Tecnológico

• Adoptar medidas para garantizar la estabilidad de los recursos y servicios de red de la FUCS.
• Definir y aplicar los controles necesarios para mitigar los riesgos de seguridad de la información que viajan a través de las de las redes de datos de la FUCS.
• Realizar la segmentación de la red de datos, de acuerdo con la clasificación de usuarios, tipo de datos, servicios y demás características que se determine según criterios de la institución.
• Identificar y negociar con los proveedores de servicio de red externos, los respectivos acuerdos de servicio necesarios para la operación de la institución.
• Realizar endurecimiento de las políticas para garantizar la seguridad y la configuración de los dispositivos, de acuerdo con los estándares de buenas prácticas para la plataforma tecnológica de la FUCS.
• Habilitar únicamente los servicios, protocolos y puertos de comunicación necesarios para la operación de las redes de datos FUCS y bloquear los puertos o servicios no necesarios para evitar robo de información y/o ataques cibernéticos.
• Instalar plataformas de protección entre las redes internas de la FUCS y redes externas que representen una amenaza para la plataforma tecnológica de la FUCS.
• Documentar y mantener la configuración FUCS.

Responsable

Actividades

División de Desarrollo Tecnológico

• Generar y divulgar el instructivo y las directrices para la gestión de cuentas de correo electrónico.
• Diseñar e implementar la estrategia que proporcione un ambiente seguro y controlado que incluya los mecanismos de protección y detección para el buen funcionamiento de la plataforma de correo electrónico.

Seguridad de la Información

• Generar campañas que permitan la concientización de los usuarios acerca de las medidas de prevención que se deben tener en cuenta al momento de intercambiar información por este medio.
• Monitorear el uso del correo institucional para mitigar el riesgo de fuga de información y garantizar su uso exclusivo para labores institucionales.

Usuarios

• Cumplir el uso individual y responsable de la cuenta de correo electrónico asignada por la FUCS, para el desarrollo de las funciones asignadas por la institución y no hacer uso del correo institucional para actividades personales.
• No realizar el envío de cadenas de mensajes que contengan información no institucional (político, religioso, comercial, contenido discriminatorio, pornografía, etc.)
• Reportar correos electrónicos de procedencia sospechosa, a las cuentas de correo de Soporte Técnico y Seguridad de la Información.

Responsable

Actividades

División de Desarrollo Tecnológico

• Proporcionar la prestación segura del servicio de Internet, mediante la implementación, administración y mantenimiento, conforme a los perfiles de acceso definidos.
• Diseñar e implementar el plan de continuidad y/o recuperación del servicio de internet en caso requerido, así como realizar el monitoreo constante del servicio.
• Establecer e implementar controles que garanticen el óptimo funcionamiento del servicio de internet (red interna), que restringa el acceso y/o descarga de software, malware o sitios que representen una amenaza para la Seguridad de la Información.
• Mantener los registros de la navegación y acceso de los usuarios a internet, que permitan generar reportes sobre el uso de este servicio.
• Generar campañas con el apoyo de impresos y publicaciones, para concientizar sobre el uso adecuado del servicio de internet

Usuarios

• Hacer uso adecuado del servicio de internet de acuerdo con las actividades que se desarrollan. Está prohibido la descarga e instalación de software no autorizado en las estaciones de trabajo o dispositivos móviles institucionales.

Seguridad de la Información

• Realizar monitoreo de acceso a páginas prohibidas de internet, que permitan evidenciar el uso inapropiado del servicio.
• Realizar monitoreo sobre el uso de internet  y verificar las configuraciones de restricciones definidas.

Responsable

Actividades

División Jurídica

• Definir los modelos de los acuerdos de confidencialidad e intercambio de información con terceros, en donde estén descritos tanto los acuerdos como las penalidades por incumplimiento, esta labor debe ser coordinada con Seguridad de la Información.
• Elaborar y/o revisar aquellos contratos que se realicen con terceros y que incluyan acuerdos de confidencialidad o de intercambio de información, especificando las condiciones contractuales legales para los terceros en caso de divulgación no autorizada de la información entregada por la FUCS.
• Definir los procedimientos, servicios y herramientas para proteger con controles la información transmitida a los terceros que tienen relación con la FUCS.

División de Desarrollo Tecnológico

• Definir e implementar los procedimientos, servicios y herramientas para proteger con controles la información transmitida a los terceros que tienen relación con la FUCS.
• Vigilar que el intercambio de información de la FUCS con externos, se encuentren alineadas con las Políticas de Seguridad de la Información.

Propietarios de los Activos de Información

• Proteger   los   activos   de   información   contra        divulgación inapropiada, velando por el cumplimiento de cláusulas y/o acuerdos definidos por la FUCS.
• Registrar el intercambio de información, en donde se especifique el tipo de información intercambiada, así como los datos del emisor, del receptor y fecha de entrega/recepción.
• Verificar que las terceras partes realicen el procedimiento de destrucción de la información, una vez no se requiera para su función.

Gestión Documental

• Definir los procedimientos, servicios y herramientas para proteger con controles la información transmitida a los terceros que tienen relación con la FUCS.
• Acoger los procedimientos de intercambio de información con terceros en medio físico o digital, así como garantizar la restricción de acceso al personal no autorizado, para evitar la divulgación no autorizada, destrucción, alteración y/o pérdida de la información.

Terceros con Quienes se Intercambia Información de la FUCS

• Dar manejo adecuado a la información que intercambia con la FUCS cumpliendo con procedimientos, controles, condiciones contractuales establecidos por la FUCS para el manejo de la información, así como realizar de manera segura, la destrucción o eliminación de la información suministrada cuando ya no se requiera.

Seguridad de la Información

• Definir los procedimientos, servicios y herramientas para proteger con controles la información transmitida a los terceros que tienen relación con la FUCS.

Usuarios

• Hacer uso de medios adecuados para enviar o recibir información confidencial, no se debe compartir la información, sin previo contrato de transmisión de datos, no se debe utilizar el correo electrónico personal y/o medios no autorizados por la FUCS para enviar o recibir información confidencial de la FUCS

Responsable

Actividades

División de Desarrollo Tecnológico

• Establecer e implementar el procedimiento de autorización y control de acceso a las redes y recursos tecnológicos de la FUCS, con el fin de proteger el ingreso indebido de terceros.
• Establecer e implementar controles de autenticación y autenticidad de los usuarios internos y externos a las redes y/o recursos de red de la FUCS.
• Se debe tratar las redes inalámbricas “WIFI” como redes externas y separarlas de las redes internas, para garantizar de esta manera el cumplimiento de los principios de Seguridad de la Información de la FUCS.
• Disponer métodos de identificación automática para los equipos en la red, dando cumplimiento con la autenticación de conexiones, desde segmentos de red específicos, hacia las plataformas donde operan los sistemas de información.

Seguridad de la Información

• Realizar revisiones periódicas de los accesos de los usuarios internos y externos verificando los controles que garanticen que sólo los usuarios que se encuentren autorizados están activos en las plataformas tecnológicas.

Todos los Usuarios

• Cumplir con el procedimiento de creación de usuarios, así como aceptar el acuerdo de confidencialidad, garantizar que los equipos con los que se acceden a la red cumplan con los requisitos o controles necesarios para que no representen una amenaza para la plataforma tecnológica de la FUCS.
• Los visitantes que requieran conectarse a la red local cableada, pueden hacerlo con acceso limitado (solo conexión a internet), según lo establecido por la División de Desarrollo Tecnológico. En caso de requerir acceso a servicios adicionales, debe contar con la autorización del líder de proceso, quien debe gestionar el requerimiento mediante solicitud registrada en Soporte Técnico. El acceso a la red wifi para visitantes se realiza a través de la red definida para tal fin y con uso de la clave establecida que será suministrada por el líder de proceso y/o la División de Desarrollo Tecnológico.

Responsable

Actividades

División de Desarrollo Tecnológico

• Establecer e implementar el procedimiento formal para la administración del acceso lógico de los usuarios en las redes de datos, sistemas de información de la institución y demás recursos tecnológicos.
• Verificar que las solicitudes de creación, modificación o bloqueo de cuentas de usuarios cuenten con la respectiva aprobación de los líderes de proceso.
• Establecer el proceso para la eliminación y reasignación de los permisos de acceso dados en los recursos o Sistemas de Información para garantizar una gestión oportuna de las novedades de usuarios de acuerdo con la información suministrada por la División de Gestión del Talento Humano.
• Garantizar la inhabilitación o eliminación de los usuarios creados o asignados por defecto en los diferentes recursos de la plataforma tecnológica de la institución.
• Definir políticas de utilización de Internet para los usuarios (estudiantes/ colaboradores/directivos/terceros), que permitan optimizar y proteger el acceso a internet de los usuarios.
• Participar en la definición de controles para los recursos informáticos como sistemas operativos, servicios de red, enrutadores, etc. y realizar su validación periódicamente.
• Controlar la asignación de privilegios a roles y a usuarios, establecidos por el Comité de Seguridad de la Información.

Seguridad de la Información

• Establecer los perfiles de usuario (roles, funcionalidades y permisos), junto con los líderes de los activos de información y el Comité de Seguridad de la Información.
• Realizar monitoreo a los accesos lógicos, creación, modificación o bloqueo de cuentas de usuarios para validar que cuenten con la respectiva aprobación de los líderes de proceso.

Líderes de Procesos

• Verificar y ratificar con una periodicidad semestral o cuando se requiera, las autorizaciones de acceso sobre los recursos tecnológicos y sistemas de información a cargo de cada área.
• Solicitar y autorizar las novedades de gestión de usuarios de los colaboradores que pertenecen a cada área cumpliendo los procesos y formatos de solicitud vigentes.

Comité de Seguridad de la Información.

• Definir las actividades pertinentes para la administración de roles y perfiles.

División de Gestión del Talento Humano

• Deberá mediante procedimiento informar a la División de Desarrollo Tecnológico y a Seguridad de la Información las novedades del personal, en las que se requiera modificación de cuentas, accesos y privilegios de usuarios.

Responsable

Actividades

Todos los Usuarios

• Responder por las acciones realizadas en los sistemas de la plataforma tecnológica de la FUCS, así como por el buen uso de las credenciales asignadas para dichos accesos.
• Los colaboradores y personal provisto por terceras partes que, por la naturaleza de su función, tengan acceso a los sistemas de la plataforma tecnológica de la FUCS, deben acogerse a los lineamientos establecidos para la configuración de cuentas de usuario y contraseñas implementados por la FUCS.

Responsable

Actividades

División de Desarrollo Tecnológico

• Otorgar privilegios y cuentas separadas para la administración de recursos tecnológicos, solamente a colaboradores idóneos y responsables de estas funciones.
• Garantizar el acceso sólo de consulta a sistemas de información en ambientes productivos a los administradores de los recursos tecnológicos.
• Definir y evaluar las conexiones seguras remotas sobre los recursos de la plataforma tecnológica institucional y por ningún motivo permitir que los usuarios finales tengan accesos privilegiados sobre los sistemas de asignación.
• Realizar el aseguramiento de los recursos mediante la inhabilitación de funcionalidades o servicios no utilizados. Establecer el mínimo de funcionalidades, servicios y utilitarios requeridos.
• Generar y revisar periódicamente los listados de cuentas con privilegios sobre los recursos de la plataforma tecnológica.
• Restringir el acceso a programas utilitarios solo a los perfiles administradores en los equipos de cómputo.

Seguridad de la Información

• Revisar con una periodicidad definida el registro de actividad de usuarios y privilegiados sobre los servicios de la plataforma tecnológica.

Responsable

Actividades

Propietarios de los Activos de Información

• Autorizar de acuerdo con los procedimientos los accesos según los perfiles establecidos y necesidades de uso, a los sistemas de información o aplicativos.
• Establecer niveles de autorización y controles para: usuarios que tienen permiso de ingreso a cargue o actualización de datos dentro de los aplicativos, usuarios que tienen permiso para consulta de la información, indicando nivel, mínimos privilegios, restricciones de acceso únicamente a las funcionalidades y datos requeridos para proteger el acceso a los sistemas y aplicativos de la FUCS.

División de Desarrollo Tecnológico

• Debe establecer los controles de acceso a los ambientes productivos de los aplicativos, así mismo, debe garantizar que los desarrolladores internos o externos, cuenten con acceso limitado y controlado tanto a los datos como a toda información que se encuentre en los ambientes de producción.
• Suministrar el repositorio de archivos con acceso controlado y definición de privilegios para almacenar el código fuente de los Sistemas de información propios.

Desarrolladores (Internos y Externos)

• Implementar módulos de autenticación preferiblemente integrados con la base de datos de usuarios, en los sistemas de información desarrollados de acuerdo con la clasificación de la información.
• Adoptar controles de integridad sobre las contraseñas, evitando el almacenamiento y/o recordación de las mismas.
• Evitar que durante el proceso de autenticación se muestren errores del sistema revelando información que permita realizar ataques y en su lugar se deben mostrar mensajes personalizados de acuerdo con la falla en la autenticación incluyendo la inhabilitación de cuentas por número de intentos fallido definidos.
• Implementar medidas que restrinjan el acceso a otros recursos internos donde se alojan las aplicaciones, así como garantizar que se valida la autenticación en cada recurso con información sensible.
• Todos los sistemas de información crítica de la FUCS, deben tener políticas de acceso, con el fin de tener segregación de funciones de usuarios y administradores.

Usuarios

• Los usuarios que tengan acceso a la infraestructura tecnológica y/o los sistemas de información, deben tener una definición clara de roles y responsabilidades, así como, los niveles de acceso y funcionalidades, para mitigar el riesgo de uso no autorizado o modificaciones sobre los activos de información de la FUCS.
• Para los distintos aplicativos, sistemas de información y medios, los propietarios deben definir qué información sensible puede ser eliminada y tener soporte de la eliminación de dicha información, como es el caso de los datos personales, datos sensibles o financieros, cuando estos ya no son requeridos. Para lo anterior, es necesario contar con el acompañamiento de la División Jurídica y  Seguridad de la Información.

Seguridad de la Información

• Realizar verificaciones periódicas y aleatorias a las actividades ejecutadas con el usuario administrador de los sistemas de información críticos de la FUCS.
• Monitorear periódicamente la definición de perfiles y asignación de privilegios a los usuarios que acceden en los sistemas de información, así mismo, notificar al Comité de Seguridad de la Información.

Responsable

Actividades

División de Desarrollo Tecnológico

• Gestionar los recursos necesarios para la adquisición y mantenimiento del sistema de cifrado que la institución requiere para la protección de la información.
• Garantizar el cifrado de la información en cualquier tipo de almacenamiento o transmisión de información clasificada como reservada con el propósito de proteger sus principios de seguridad.
• Desarrollar y establecer el procedimiento y los estándares para la gestión de llaves de cifrado y controles criptográficos.

Desarrolladores (Internos o Externos)

• Adoptar los controles de cifrado de la información pública reservada o pública clasificada y seguir los estándares establecidos por la División de Desarrollo Tecnológico.

Responsable

Actividades

División de Desarrollo Tecnológico

• Implementar los controles para el uso de conexiones remotas hacia la plataforma tecnológica de la FUCS, así como su monitoreo permanente.
• Autorizar sólo a determinados colaboradores y por periodos de tiempo limitados, previo análisis de riesgo, el uso de conexión remota.

Todos los Usuarios

• Registrar la solicitud de conexión remota en la cuenta de Soporte Técnico, y luego de la aprobación cumplir con las condiciones de uso definidas para dicha conexión.
• Garantizar que la conexión remota se realice mediante el uso de equipos de cómputo privados y/o personales que cuenten con los requisitos mínimos de seguridad, como lo son software antivirus y sistema operativo actualizados.

Responsable

Actividades

Áreas Usuarias de Tokens de Seguridad

• Delegar la autorización del uso de tokens de seguridad a un colaborador administrador.

Administradores de los Tokens de Seguridad

• Gestionar las solicitudes de los tokens y su activación de acuerdo con los requerimientos de cada entidad, en cada portal o sistema de información, incluyendo la documentación necesaria para la gestión.
• Controlar los dispositivos token entregados a cada colaborador, mediante bases de datos y actas de entrega que permitan procedimientos ágiles de desactivación en caso de pérdida, robo o cuando presenten falla o mal funcionamiento.

Usuarios de Tokens de Seguridad

• Usar de manera responsable los tokens de seguridad y las cuentas asociadas al uso de los mismos, las cuentas son de carácter personal e intransferible. Los tokens hacen parte del inventario físico asignado a cada colaborador, por lo que se deben devolver cuando el vínculo laboral con la FUCS se termine o se presente cambio de cargo, es necesario emitir su respectivo paz y salvo con la institución.
• Salvaguardar los tokens en lugares seguros que eviten el acceso o visualización de las claves a terceras personas, deben mantenerse en buen estado, se debe reportar de manera inmediata la pérdida o robo al administrador, con el fin de notificar a las entidades emisoras para iniciar el proceso de bloqueo y reposición.
• Responder por transacciones electrónicas realizadas con la cuenta asociadas al token, asumiendo la responsabilidad administrativa, disciplinaria y económica a la que haya lugar.
• Cumplir con las disposiciones y procedimientos de seguridad establecidos por las diferentes entidades emisoras de los dispositivos acatando las disposiciones que para tal fin emitan.

Responsable

Actividades

División de Desarrollo Tecnológico

• Establecer metodologías para el desarrollo/contratación de software, donde se incluyan los requerimientos de seguridad y el desarrollo seguro mediante buenas prácticas con estándares internacionales que permita contar con el aseguramiento del software.

Propietarios de los Sistemas de Información.

• Establecer los requerimientos que incluyan las necesidades propias de los sistemas de información.

Desarrolladores (Internos o Externos)

• Documentar los requerimientos solicitados, definir la arquitectura de software más conveniente, que incluya herramientas de desarrollo licenciado y con gran trayectoria en el mercado.
• Incluir en el desarrollo funcionalidades que contribuyan con la seguridad; funciones de autocompletar formularios, límites de tiempos de duración de las sesiones, conexiones paralelas de un mismo usuario, entre otras funcionalidades.
• Garantizar que la transmisión de información relacionada con pagos/transacciones en línea se realice por medio de canales y protocolos seguros.

Responsable

Actividades

Propietarios de los Sistemas de Información

• Realizar metódicamente las pruebas de funcionalidad que aseguren el cumplimiento de los requerimientos y realizar la documentación de las pruebas.
• Aprobar el paso a producción de los desarrollos/ajustes/cambio de versiones, luego de la revisión del cumplimiento de los requerimientos.

División de Desarrollo Tecnológico

• Realizar metódicamente las pruebas que aseguren el cumplimiento de los requerimientos de seguridad, realizar la documentación de las pruebas y correcciones realizadas necesarias antes del paso a producción.
• Llevar un control de cambios de las migraciones/ajustes/versiones entre los diferentes ambientes de desarrollo, pruebas, calidad y producción de los productos entregados.
• Implementar controles que garanticen los procedimientos y aprobaciones de migraciones entre los ambientes de desarrollo, de acuerdo con la gestión del cambio incluyendo el control de versiones.
• Asegurar las condiciones contractuales y acuerdos de licenciamiento, para que los desarrollos por parte de proveedores cumplan los derechos de propiedad intelectual.
• Generar los protocolos para la fase de pruebas al software desarrollado, teniendo en cuenta los lineamientos de manejo de datos y ambientes.
• Realizar el aseguramiento tecnológico de la plataforma utilizada para el desarrollo de software mediante la aplicación de parches a los sistemas operativos y versiones de los IDE (entorno de desarrollo integrado).

Desarrolladores (Internos o Externos)

• Realizar su trabajo bajo los lineamientos de desarrollo seguro y las buenas prácticas recomendadas en cada fase del ciclo de vida del software, pasando desde el diseño hasta la operación y soporte.
• Proporcionar un nivel adecuado de soporte con acuerdos de servicio que asegure la solución de problemas generados en el software o aplicativo de la FUCS.
• Realizar las configuraciones que permitan la validación y generación de los datos de entrada y de salida de manera confiable, mediante el uso de rutinas de validación centralizadas y estandarizadas, así como garantizar el cierre de sesión oportuno optimizando el uso de recursos de máquina.
• Incluir métodos de autenticación de doble factor cuando se realicen operaciones críticas en los aplicativos desarrollados.
• Usar controles seguros que eviten la divulgación de información almacenada en cookies y complementos, estructura de datos, encabezados de respuesta o cualquier información sensible en respuestas, así como reemplazar los mensajes de error genéricos, remover archivos o funciones innecesarias.
• Evitar incluir la información de cadenas de conexión a bases de datos en el código en texto plano. Las cuales deben estar en archivos de configuración independientes y cifrados.
• Desarrollar los controles necesarios en la conexión a las bases de datos y transferencia de archivos, ésta última debe realizarse en repositorios o bases de datos seguros que eviten la ejecución de sentencias desde estos archivos.
• Proteger el código fuente de los aplicativos contra las descargas o edición.
• Se deben separar los ambientes de desarrollo, prueba y operación, para reducir los riesgos de acceso o cambios no autorizados.

Seguridad de la Información

• Monitorear las pruebas funcionales y de seguridad realizadas a los aplicativos con el fin de validar si cumplen con los requisitos mínimos de seguridad.

Responsable

Actividades

División de Desarrollo Tecnológico

• Asegurar que la información usada en ambientes de pruebas  sea eliminada cuando se culminen las pruebas.

Responsable

Actividades

División de Desarrollo Tecnológico y División Jurídica

• Establecer ANS y requisitos mínimos de seguridad de la información, que deben cumplir las terceras partes o proveedores de servicios tecnológicos.
• Diseñar los acuerdos de confidencialidad y los acuerdos de intercambio de información que incluyan responsabilidad tanto civil como penal de las terceras partes que hayan sido contratadas.

División de Desarrollo Tecnológico

• Definir condiciones de conexión y comunicación segura para los equipos de cómputo y dispositivos móviles utilizados por terceras partes para conectarse a la red de datos de la institución, así como mecanismos de cifrado y transmisión con terceras partes.
• Monitorear, identificar y mitigar los riesgos de accesos a la información de la FUCS mediante una constante evaluación y aprobación de los accesos requeridos por terceras partes.

Supervisores de Contratos con Terceros

• Velar por el buen cumplimiento de las políticas y procedimientos establecidos por la FUCS con respecto al acceso a la información, recursos tecnológicos de terceras partes, así como realizar la divulgación oportuna de estas medidas y procedimientos de seguridad de la información.
• Validar el cumplimiento de los ANS (acuerdos de niveles de servicio) anexos al contrato.

Seguridad de la Información

• Validar el cumplimiento de estándares, normatividad y controles necesarios para la protección de los principios de seguridad (Confidencialidad, Integridad y Disponibilidad).

Responsable

Actividades

División de Desarrollo Tecnológico

• Verificar que los equipos de cómputo, dispositivos móviles que establezcan conexiones a los recursos y redes de datos de la FUCS cumplan con las condiciones de seguridad establecidas para terceras partes.
• Verificar que existan las condiciones de conexión y comunicación segura para los equipos de cómputo y dispositivos móviles que terceras partes utilizan para conectarse a la red de datos de la institución, así como mecanismos de cifrado y transmisión con terceras partes.

Seguridad de la Información

• Realizar monitoreos con el ánimo de evaluar el cumplimiento del acuerdo de confidencialidad y de intercambio de información, así como los requisitos de seguridad de la información establecida hacia los terceros.

Supervisores de Contratos con Terceros

• Monitorear periódicamente el cumplimiento de acuerdos de niveles de servicio.
• Identificar posibles situaciones anómalas que representen riesgo para la institución en la ejecución del contrato y reportarlas a la Gerencia y a la División Jurídica.

Responsable

Actividades

Líderes de Proceso

• Como responsables de los activos de información o supervisores de contrato no deben brindar acceso a la información de la FUCS o de los activos de información, a proveedores o terceros hasta no tener firmados y formalizados contratos o acuerdos de confidencialidad, integridad y disponibilidad.

Proveedores     y/o Terceros

• Todos los proveedores y terceros que vayan a tener acceso a información confidencial de la FUCS, deberán firmar acuerdos de confidencialidad y/o acuerdos de transmisión de datos personales.
• Deben cumplir con los controles y políticas establecidas en la Política de Seguridad de la Información de la FUCS.
• Considerar y aplicar buenas prácticas para el desarrollo seguro.
• Desarrollar los controles necesarios para la transferencia de archivos, así como solicitar autenticaciones.
• Monitorear la transferencia de archivos.

colaboradores

• Los colaboradores responsables de la supervisión de contratos o convenios con proveedores y terceros, deben dar a conocer las políticas y normas de Seguridad de la Información de la FUCS a dichas partes, así mismo, debe velar porque se dé accesos correctos y de almacenamiento de forma segura a los recursos de la FUCS.

Seguridad de la Información

• Realizar monitoreos y seguimientos a los proveedores que tengan acceso a información confidencial de la FUCS.

Responsable

Actividades

Propietarios de los Activos de Información

• Reportar los eventos o incidentes de seguridad inmediatamente sean identificados, a Seguridad de la Información y a Soporte Técnico de la División de Desarrollo Tecnológico.

División de Desarrollo Tecnológico

• Mantener actualizada la documentación de infraestructura tecnológica de la FUCS permitiendo establecer criticidad impacto y consecuencias de materialización de incidentes de seguridad.
• Asignar personal calificado, para realizar las pesquisas necesarias de los eventos o incidentes de seguridad reportados, con el fin de identificar sus causas y que permita proporcionar soluciones, así como prevenir su recurrencia.
• Establecer en conjunto con Seguridad de la Información, responsabilidades y procedimientos que permitan una respuesta rápida y efectiva a los eventos o incidentes de seguridad de la información.
• Implementar un sistema de gestión de conocimiento que permita tener respuesta rápida a eventos o incidentes conocidos, así como la documentación de los nuevos incidentes.

Comité de Seguridad de la Información

• Apoyar las iniciativas de comunicación y sensibilización frente a los eventos de seguridad de la información.

Seguridad de la Información

• Evaluar los eventos o incidentes de Seguridad de la Información, así como realizar el escalamiento al Comité de Seguridad de la Información para los casos que requieran evaluación conjunta.
• Realizar capacitaciones y/o sensibilizaciones con el fin de mitigar los riesgos que puedan estar asociados a eventos o incidentes de Seguridad de la Información y frente a los eventos o incidentes que ya han sido reportados y atendidos
• Mantener registro de todos los eventos reportados por los colaboradores, proveedores y/o terceros, sobre aquellas anomalías o debilidades que afectan la seguridad de la información, asegurando el registro de todos los factores que permitan tener estadísticas anuales de comportamiento de respuesta ante incidentes, aprender de lo ocurrido y establecer mejoras en las acciones de control y las políticas cuando sea necesario.

Usuarios

• Reportar oportunamente cualquier evento que pueda ser clasificado como incidente para la seguridad de la información, así como la pérdida o divulgación no autorizada de información, comunicando lo correspondiente a Seguridad de la Información y a la División de Desarrollo Tecnológico para la gestión respectiva.

Responsable

Actividades

División de Desarrollo Tecnológico

• Coordinar y realizar directamente o a través de un tercero especializado, una vez al año, el análisis de vulnerabilidades técnicas a la infraestructura tecnológica de la FUCS.
• Liderar las tareas de remediación oportuna, así como establecer los planes de acción para ser ejecutadas por parte de desarrolladores y terceras partes que permita la mitigación de vulnerabilidades generadas por las pruebas realizadas.

Seguridad de la Información

• Monitorear los resultados del análisis de vulnerabilidades, hacking ético, así como la remediación de las vulnerabilidades detectadas.

Responsable

Actividades

Consejo Superior

• Identificar y formalizar los procesos críticos en la Institución, como eje y punto de partida para orientar los recursos en caso de eventos que afectan la continuidad del servicio.
• Aceptar y reconocer las situaciones identificadas como emergencia o desastre para los procesos o áreas de la FUCS y apoyar los planes de acción para atender dichas situaciones, así como liderar los planes de continuidad del negocio y la recuperación ante desastres.
• Aprobar el análisis de impacto al negocio (BIA) y los análisis de riesgos de continuidad que permitan desarrollar estrategias de recuperación en las situaciones y que se active el plan de contingencia o continuidad.
• Aprobar los planes de contingencia, recuperación y regreso a la normalidad, que incluyan las medidas para garantizar la seguridad de la información, así como la documentación de las pruebas de dichos planes.

División de Desarrollo Tecnológico

• Elaborar el plan de continuidad y recuperación para la infraestructura tecnológica de la FUCS, así como los procedimientos de contingencia, recuperación y regreso a la normalidad para cada uno de los servicios prestados.

Líderes de Proceso

• Identificar y documentar al interior de las áreas los procedimientos de continuidad que podrían ser ejecutados en caso de presentarse situaciones adversas y que afecten la seguridad de la información. Es fundamental realizar pruebas sobre los procedimientos propuestos, para evaluar su efectividad.
• Realizar el análisis BIA (Business Impact Analysis) con el fin de identificar procesos críticos, tiempos mínimos de atención en las actividades del proceso, responsables, cargos, backups, ubicación de información relevante para el cumplimiento de las actividades críticas, con el acompañamiento de Seguridad de la Información.

Seguridad de la Información

• Elaborar el Plan de Continuidad con las estrategias de recuperación frente a un evento de interrupción.
• Realizar capacitaciones y/o sensibilizaciones frente al plan de continuidad y el análisis BIA (Business Impact Analysis).
• Realizar una vez al año una prueba al plan de continuidad con el fin de evaluar su efectividad e identificar nuevos escenarios

Responsable

Actividades

División de Desarrollo Tecnológico

• Analizar y construir los requisitos de redundancia para los aplicativos de misión crítica, para la FUCS y la plataforma tecnológica que los soporta, realizando una constante evaluación que permita la mejora continua de estos procedimientos.
• Delegar la administración de los recursos destinados para la redundancia tecnológica, realizando la evaluación periódica que permita establecer el grado de disponibilidad de los servicios tecnológicos de la FUCS.

Seguridad de la Información

• Documentar en el Plan de Continuidad la política de redundancia de los aplicativos de misión crítica de la FUCS, así como la plataforma tecnológica que los soporta.

Responsable

Actividades

División Jurídica

• Documentar, actualizar e identificar los requisitos legales, reglamentados y aplicados a contratos y a la seguridad de la información de la FUCS.
• Asesorar a la FUCS sobre los requisitos normativos y regulatorios dados por entes de control, así como de las obligaciones con terceros y colaboradores, siempre enmarcados dentro del cumplimiento de la legislación colombiana vigente.
• Identificar normatividad de cumplimiento frente a propiedad intelectual y derechos de autor, con el fin de establecer de manera adecuada en los contratos que se realicen con proveedores.

División de Desarrollo Tecnológico

• Verificar que todo software y hardware que forme parte de los recursos tecnológicos de la FUCS, cuenten con el licenciamiento y estén custodiados por las normas y leyes de derechos de autor, o en su defecto sea licencia pública de libre distribución.
• Elaborar el inventario de software, de sistemas de información y de recursos digitales, que estén autorizados para ser usados en los computadores o recursos de la infraestructura tecnológica de la FUCS. De igual forma debe hacer revisiones periódicas para corroborar que el software instalado coincida con el autorizado.
• Los derechos de propiedad intelectual incluyen licencias de software, documentos generados como parte del conocimiento de la FUCS, propuestas comerciales y comercial que involucre la imagen de la institución.
• Todos los programas de software usados para el desarrollo de las actividades de la FUCS, deben incluir los avisos de información de derechos de autor correspondiente y estos deben aparecer cuando el usuario inicie la aplicación.

Seguridad de la Información

• Garantizar la definición y cumplimiento de los requerimientos de seguridad de la Información y en conjunto con la División Jurídica establecer estos aspectos con las obligaciones contractuales específicas.
• Reportar a la División de Desarrollo Tecnológico cualquier aplicación ilegal, así como registrarlo en los eventos de Seguridad de la información.
• Identificar normatividad de cumplimiento frente a Seguridad de la Información.

Todos los Usuarios

• Cumplir y obedecer con los acuerdos de licenciamiento de software y las leyes de derechos de autor. No están autorizados para instalar software o sistema de información en los computadores de trabajo o recursos de la infraestructura tecnológica de la FUCS suministrado para sus actividades.
• Los colaboradores de la FUCS no podrán acceder a páginas de internet relacionadas con contenidos diferentes a los que sean requeridos para el cumplimiento de sus funciones; así mismo, no está permitido la descarga, intercambio o instalación de aplicaciones de entretenimiento personal como; música, juegos, protectores de pantalla o aplicaciones sin costo, documentos o carpetas que contengan archivos ejecutables, que afecten los principios de Seguridad de la Información en la infraestructura tecnológica.
• En caso de requerir alguna descarga o software, debe ser solicitado a la División de Desarrollo Tecnológico, con previa autorización de Seguridad de la Información.

Proveedores

• Deben existir acuerdos contractuales claramente definidos entre la FUCS y cualquier proveedor que realice actividades de desarrollo de software, en los cuales se especifiquen los compromisos de preservación de los derechos de propiedad intelectual.

Responsable

Actividades

Áreas que Procesan Datos Personales

• Para el procesamiento de datos personales de los titulares identificados en la Política de Protección de Datos Personales de la FUCS, se debe contar con la respectiva autorización del titular de la información para poder tratarla en el desarrollo de las acciones que se lleven a cabo por la FUCS.
• Asegurar el acceso a datos, sólo para aquellas personas de su área, que tengan una necesidad laboral legítima.
• Establecer condiciones contractuales, de seguridad y confidencialidad para aquellas entidades vinculadas o aliadas que tengan acceso a los datos.
• Acoger las instrucciones técnicas y procedimientos establecidos para el intercambio de datos, así mismo, con proveedores y terceros para el envío de información por cualquier medio.
• Conocer y aplicar la Política de Protección de Datos Personales publicada en la página web de la FUCS.

Seguridad de la Información

• Dar acompañamiento a los controles de tratamiento de datos personales de los titulares identificados en la Política de Protección de Datos Personales de la FUCS.
• Supervisar y monitorear el cumplimiento de los controles establecidos en la Política de Protección de Datos Personales de la FUCS.
• Documentar y actualizar la Política de Protección de Datos personales de la FUCS cuando se requiera.
• Capacitar a los colaboradores sobre la protección de datos personales en la FUCS.
• Realizar seguimiento al programa integral de Gestión de Datos Personales.
• Atender las solicitudes judiciales y/o de entes de control que requieren datos personales de conformidad con la ley.

División Desarrollo Tecnológico

• Crear controles que permitan proteger la información personal de los titulares identificados en la Política de Protección de Datos Personales de la FUCS, almacenada en las bases de datos o cualquier otro repositorio de información institucional y evitar manejo (divulgación, alteración o eliminación) sin la previa autorización del titular.

Todos los Usuarios

• Guardar la reserva absoluta de la información y bases de datos a cargo de la FUCS que por cualquier motivo conozcan.
• Atender las solicitudes judiciales y/o de entes de control que requieren datos personales de conformidad con la ley.

Usuarios de los Portales de la FUCS

• Asumir la responsabilidad personal sobre la contraseña de acceso a los portales que les es suministrada, así mismo, es necesario cambiar periódicamente esta contraseña.
• Tener controles de seguridad en sus dispositivos móviles, computadores o redes privadas para acceder a los portales de la FUCS.
• Atender las solicitudes judiciales y/o de entes de control que requieren datos personales de conformidad con la ley.