Versión: 1.0
Fecha de emisión: 07/07/2025
Revisada por: Dirección de Seguridad de la Información
Aprobada por: Gerencia General

Objetivo

Establecer los principios fundamentales para la protección de los activos de información de la empresa, asegurando la confidencialidad, integridad y disponibilidad de los datos gestionados y desarrollados en entornos de computación en la nube.

Alcance

Aplica a todos los empleados, contratistas, socios, proveedores, y cualquier parte externa que acceda a sistemas, redes, aplicaciones o bases de datos gestionadas por la empresa, tanto en ambientes locales como en infraestructura cloud (IaaS, PaaS, SaaS).

Fundamentos del SGSI

• Adopción de la norma ISO/IEC 27001:2022.
• Política de mejora continua.
• Evaluación y tratamiento de riesgos de información.
• Roles y responsabilidades claras en seguridad.

Responsabilidades

• Gerencia General: Liderazgo y validación estratégica.
• Responsable del SGSI: Coordinación y ejecución del plan.
• Propietarios de activos: Clasificación y protección de activos.
• Equipo de soporte: Cumplimiento de polìtica, procedimiento y reporte de incidentes.

Seguridad en entornos Cloud

• Evaluación de proveedores bajo normas ISO 27001 y SOC 2.
• Cifrado en tránsito y en reposo.
• Autenticación multifactor (MFA).
• Monitoreo de accesos privilegiados.

Gestión de riesgos

• Evaluaciones periódicas conforme al contexto organizacional.
• Registro actualizado de activos y su clasificación.
• Controles proporcionales al nivel de riesgo.

Gestión de incidentes

• Procedimiento formal de reporte y análisis.
• Documentación con trazabilidad completa.
• Simulacros para validar efectividad de respuesta.

Concienciación y formación

• Capacitación regular en seguridad y cumplimiento.
• Sensibilización contra amenazas digitales.
• Boletines de buenas prácticas mensuales.

Cumplimiento y auditoría

• Auditorías internas anuales al SGSI.
• Trazabilidad documental conforme a leyes.
• Corrección de hallazgos y mejora continua.

Revisión y mejora continua

• Revisión anual o ante cambios significativos.
• Evaluación de indicadores de desempeño.
• Ajustes estratégicos por el Comité de Seguridad.