Políticas

---

Índice de contenidos

● ¿Qué son las políticas de seguridad informática?

● Importancia de las políticas de seguridad informática, ¿para qué son?

● Políticas de seguridad informática: ventajas y desventajas

● Características de las políticas de seguridad informática

● Ejemplos de políticas de seguridad informática

● Conclusión sobre las políticas de seguridad informática

● Política y lineamientos de ciberseguridad de Preztamos

Las políticas de seguridad informática son reglas que tenemos que cumplir todo el personal de Preztamos. Así se asegura la integridad, disponibilidad y privacidad de las infraestructuras informáticas y de la información que contienen. En este documento se explica qué son las políticas de seguridad informática y sus aplicaciones prácticas  en la empresa en distintos ámbitos.

¿Qué son las políticas de seguridad informática?

Las políticas de seguridad informática son declaraciones formales de las reglas que debemos cumplir las personas que tenemos acceso a los activos de tecnología e información de una organización. Esta es la definición según la RFC 2196 del Internet Engineering Task Force (IETF) de 1997. Esta publicación sustituye a la anterior de 1991, lo que pone en evidencia como la seguridad informática es una prioridad que nació casi al mismo tiempo que Internet. 

Existen dos grupos principales de políticas de seguridad informática: 

Las que definen lo que tenemos que evitar. Se trata de aquellos comportamientos y prácticas que pueden poner en riego los sistemas y la información, como, por ejemplo: abrir archivos o enlaces sospechosos, compartir contraseñas o utilizar redes Wi-Fi abiertas. 

Las que definen lo que tenemos que hacer siempre, para mantener un correcto nivel de protección y seguridad. Por ejemplo: 

● Cifrar archivos sensibles 

● Implementar copias de respaldo 

● Usar contraseñas y renovarlas de forma periódica 

● Usar VPN 

● Instalar software antivirus y antimalware 

Importancia de las políticas de seguridad informática, ¿para qué son?

Las políticas de seguridad informática surgen como respuesta a los diferentes riesgo de seguridad a la cual están expuestos nuestros sistemas: 

Privacidad de la información, y su protección frente a accesos por parte de personas no autorizadas como hackers. 

Integridad de los datos, y su protección frente a corrupción por fallos de soportes o borrado. 

Disponibilidad de los servicios, frente a fallos técnicos internos o externos. 

El objetivo de las políticas de seguridad informática es proporcionar a todo el personal de una empresa como a los usuarios que acceden a sus activos de tecnología e información los requisitos y pautas de actuación necesarios para protegerlos. Asimismo estas políticas son útiles a la hora de auditar los sistemas de información de una empresa. 

Políticas de seguridad informática: ventajas y desventajas

Las políticas de seguridad informática y de la información dependen de forma directa de los objetivos de seguridad que nuestra empresa se haya fijado. Hoy en día es imposible obtener un sistema completamente seguro y resistente frente a cualquier tipo de amenaza o vulnerabilidad. Por lo cual habrá que determinar si nuestras políticas de seguridad serán más o menos restrictivas, lo que implicará realizar un balance entre ventajas y desventajas: 

Servicios ofrecidos VS seguridad: cada servicio que proporcionamos a nuestros usuarios conllevan unos riesgos de seguridad, que a veces superan a los beneficios del servicio, lo que pueden llevarnos a la decisión de suprimirlo. 

Usabilidad VS seguridad: cuantos más estrictas sean las medidas de seguridad, tanto menos fácil de usar serán nuestros sistemas y servicios. Hay que calibrar bien las medidas más restrictivas (cómo autenticación multifactor) para que se implementen solamente en los puntos más críticos. 

Coste VS riesgo: la implementación de las políticas de seguridad siempre conlleva un coste, tanto humano (contratación de personal experto) como monetario (adquisición de hardware y software). 

Características de las políticas de seguridad informática

Como hemos visto, hay distintas políticas de seguridad informática en las empresas según los objetivos y prioridades de esta. Sin embargo, todas las buenas políticas de seguridad informáticas tienen en común estas características: 

● Concretas: tienen que poderse implementar a través de procedimientos, reglas y pautas claras.

● Claras: tienen que definir de forma clara las responsabilidades y obligaciones de los distintos tipos de usuarios: personal, administradores y dirección.

● Obligatorias: su cumplimiento tiene que hacerse respetar, mediante herramientas de seguridad o sanciones. 

Ejemplos de políticas de seguridad informática

Existen distintos tipos de políticas de seguridad informática en función si se dirigen al equipo directivo, al personal técnico o a los colaboradores. 

En este sentido, algunos ejemplos de políticas de seguridad informática son: 

● Pautas de compras de tecnologías y contratación de servicios

● Privacidad en el uso de herramientas de trabajo.

● Acceso y autenticación de usuarios y la definición de derechos y privilegios.

● Responsabilidad de los distintos tipos de usuarios.

● Disponibilidad de sistemas y recursos.

● Notificación de violaciones y brechas de seguridad. 

Conclusión sobre las políticas de seguridad informática

Las políticas de seguridad informática son una herramienta fundamental para las empresas de cualquier tipo y tamaño, a la hora de concienciar a su personal sobre los riesgos de seguridad y proporcionar pautas de actuación concretas. Sin embargo, para que sean efectivas, estas deberán: 

● Redactarse en documentos que serán puestos a disposición de todo el personal

● Ser flexibles y revisarse periódicamente, para que se adapten a los distintos cambios tecnológicos o de objetivos de la empresa.

● Ser respaldadas completamente por la dirección de la empresa, de otra forma su adopción podría verse comprometida. 

Política y lineamientos de ciberseguridad de Preztamos

La política de ciberseguridad de Preztamos describe las directrices y disposiciones para preservar la seguridad de nuestra infraestructura de datos y tecnología. 

Cuanto más confiamos en la tecnología para recopilar, almacenar y administrar información, más vulnerables nos volvemos  a las infracciones graves de seguridad. Los errores humanos, los ataques de piratas informáticos (hackers) y las averías del sistema podrían causar un gran daño financiero y poner en peligro la reputación de nuestra empresa. 

Por esta razón, hemos implementado una serie de medidas de ciberseguridad y preparado instrucciones que pueden ayudar a mitigar los riesgos de asociados.  

Alcance

Esta política se aplica a todos nuestros directores, colaboradores, contratistas, voluntarios y cualquier persona que tenga acceso permanente o temporal a nuestros sistemas y hardware. Esta política puede ser revisada, actualizada y comunicada a los colaboradores de forma trimestral en caso de considerarse necesario.

Elementos de la política

Datos confidenciales. Los datos confidenciales son secretos y valiosos.  

Ejemplos comunes son: 

● Datos de clientes/socios/proveedores 

● Patentes, fórmulas o nuevas tecnologías 

● Listas de clientes (existentes y prospectivas) 

Todos los colaboradores están obligados a proteger estos datos. En esta política, daremos a nuestros colaboradores instrucciones sobre cómo evitar infracciones de seguridad. 

Proteger dispositivos personales y de la empresa

Cuando los colaboradores utilizan sus dispositivos digitales para acceder a correos electrónicos o cuentas de la empresa, introducen un riesgo de seguridad para nuestros datos. Aconsejamos a nuestros colaboradores que mantengan seguras su computadora personal y la emitida por la empresa. Esto se logra cumpliendo las siguientes medidas: 

● Mantenga todos los dispositivos protegidos con contraseña. 

● Elija y actualice un software antivirus completo. 

● Asegúrese de que no dejen sus dispositivos expuestos o desatendidos. 

● Instale las actualizaciones de seguridad de los navegadores y sistemas mensualmente o tan pronto como haya actualizaciones disponibles. 

● Inicie sesión en cuentas y sistemas de la empresa solo a través de redes seguras y privadas. 

● También aconsejamos a nuestros colaboradores que eviten acceder a sistemas y cuentas internas desde los dispositivos de otras personas o prestar sus propios dispositivos a otros. 

Cuando los nuevos colaboradores reciben equipos emitidos por la empresa, el departamento de tecnología cumplira con los siguientes puntos: 

● Configuración de cifrado de disco 

● Configuración de la herramienta de administración de contraseñas 

● Instalación de software antivirus/antimalware 

Deben mantener estas herramientas actualizadas en su versión más reciente para proteger sus dispositivos y consultar al personal del departamento de tecnología si tienen alguna pregunta. 

Mantenga los correos electrónicos seguros

Los correos electrónicos a menudo alojan estafas y software malicioso (por ejemplo, gusanos.) Para evitar la infección por virus o el robo de datos, instruimos a los colaboradores a cumplir los siguientes puntos: 

● Evite abrir archivos adjuntos y hacer clic en enlaces cuando el contenido no se explica adecuadamente (por ejemplo, "ver este video, es increíble"). 

● Desconfíe de los títulos de clickbait (por ejemplo, ofrecer premios, consejos.) 

● Compruebe el correo electrónico y los nombres de las personas de las que recibieron un mensaje para asegurarse de que son legítimos. 

● Busque incoherencias o entregas (por ejemplo, errores gramaticales, letras mayúsculas, número excesivo de signos de exclamación.) 

Si un colaborador no está seguro de que un correo electrónico que recibió es seguro, puede consultar al personal del Departamento de Tecnología. 

Administrar contraseñas correctamente

Las fugas de contraseñas son peligrosas ya que pueden comprometer toda nuestra infraestructura. Las contraseñas no solo deben ser seguras para que no sean fácilmente hackeadas, sino que también deben permanecer en secreto. Por esta razón, aconsejamos que: 

● Elija contraseñas con al menos ocho caracteres (incluidas letras mayúsculas y minúsculas, números y símbolos) y evite información que se pueda adivinar fácilmente (por ejemplo, cumpleaños.) 

● Recuerde las contraseñas en lugar de escribirlas. Si los colaboradores necesitan escribir sus contraseñas, están obligados a mantener la confidencialidad del documento en papel o digital y destruirlo cuando se haga su trabajo. 

● Comparta credenciales solo cuando sea absolutamente necesario. Cuando el intercambio en persona no es posible, los colaboradores deben preferir el teléfono en lugar de correo electrónico, y sólo si reconocen personalmente a la persona con la que están hablando. 

● Cambie sus contraseñas cada dos meses. 

● Recordar un gran número de contraseñas puede ser desalentador. Compraremos los servicios de una herramienta de gestión de contraseñas que genera y almacena contraseñas. Los colaboradores están obligados a crear una contraseña segura para la propia herramienta, siguiendo el consejo antes mencionado.

● Se implementará la autenticación de 2 factores a todos los usuarios con credenciales.

Transferir datos de forma segura

La transferencia de datos presenta riesgos para la seguridad. Los colaboradores deben cumplir las siguientes instrucciones: 

● Evite transferir datos confidenciales (por ejemplo, información de clientes, registros de colaboradores) a otros dispositivos o cuentas a menos que sea absolutamente necesario. Cuando se necesita una transferencia masiva de estos datos, solicitamos a los colaboradores que pidan ayuda al personal del departamento de tecnología.

● Comparta datos confidenciales a través de la red/sistema de la empresa y no a través de Wi-Fi público o conexión privada. 

● Asegúrese de que los destinatarios de los datos son personas u organizaciones debidamente autorizadas y tienen políticas de seguridad adecuadas. 

● La transferencia de datos para el funcionamiento de la aplicación Preztamos sera encriptado usando los servicios de encrypción dedatos en tránsito con HTTPS y datos de clientes aislados de manera lógica.

Denunciar estafas, violaciones de privacidad e intentos de piratería

Nuestro personal del departamento de Tecnología necesita enterarse de posibles estafas, infracciones y malware para que puedan proteger mejor nuestra infraestructura. Por esta razón, aconsejamos a nuestros colaboradores que informen de ataques percibidos, correos electrónicos sospechosos o intentos de phishing (intentos de conseguir acceso usando información falsa o haciendose pasar por alguien)  tan pronto como sea posible a nuestros especialistas. Nuestro personal de tecnología deben investigar con prontitud, resolver el problema y enviar una alerta junto con Recursos Humanos a toda la empresa cuando sea necesario. 

Nuestro personal de tecnología son responsables de asesorar a los colaboradores sobre cómo detectar correos electrónicos fraudulentos. Animamos a nuestros colaboradores a comunicarse con ellos con cualquier pregunta o inquietud. 

Medidas adicionales

Para reducir la probabilidad de violaciones de seguridad, también instruimos a nuestros colaboradores a que: 

● Apaguen sus pantallas y bloquee sus dispositivos al salir de sus escritorios. 

● Reporte el equipo robado o dañado tan pronto como sea posible a Recursos Humanos y Tecnología. 

● Cambiar todas las contraseñas de la cuenta a la vez cuando un dispositivo es robado. 

● Reporte una amenaza percibida o una posible debilidad de seguridad en los sistemas de la empresa. 

● Abstenerse de descargar software sospechoso, no autorizado o ilegal en el equipo de su empresa. 

● Evite acceder a sitios web sospechosos. 

También esperamos que nuestros colaboradores cumplan con nuestra política de uso de redes sociales e Internet. 

Nuestro departamento de Tecnología debe: 

● Instalar firewalls, software antimalware y sistemas de autenticación de acceso. 

● Organizar la formación en seguridad para todos los colaboradores. 

● Informar a los colaboradores regularmente sobre nuevos correos electrónicos o virus fraudulentos y formas de combatirlos. 

● Investigar las brechas de seguridad a fondo. 

Si todos cumplimos estas disposiciones y directivas nuestra empresa Preztamos tendrá todos los escudos físicos y digitales para proteger la información. 

Colaboradores remotos

Los colaboradores remotos también deben seguir las instrucciones de esta política. Dado que accederán a las cuentas y sistemas de nuestra empresa a distancia, están obligados a seguir todos los cifrados de datos, estándares de protección y configuraciones, y garantizar que su red privada sea segura. 

Les animamos a buscar asesoramiento de parte de nuestro departamento de tecnología.

Desvinculaciones

Cuando un colaborador es devinculado de la empresa, deberá entrega al deparamento de tecnología todas las herrmientas tecnologicas, (celular, Computadoras, etc) que le hayan sido entregadas por la empresa. El Departamento de tecnología procederá a archivar los activos pertinentes y a formatear el equipo para su proximo uso. Todas las contraseñas de acceso de el usuario serán cambiadas por el departamento de tecnología y el colaborador desvinculado perderá acceso a todas las herramientas, systemas y datos de Preztamos.

Acción Disciplinaria

Esperamos que todos nuestros colaboradores siempre sigan esta política y aquellos que causan violaciones de seguridad pueden enfrentar las siguientes medidas disciplinarias: 

● Violación de seguridad por primera vez, involuntaria y a pequeña escala: una advertencia verbal y capacitar al colaborador en seguridad. 

● Infracciones intencionales, repetidas o a gran escala (que causan daños financieros graves u otros): Invocaremos medidas disciplinarias más severas hasta e incluyendo la terminación. 

Examinaremos cada incidente caso por caso.

Los colaboradores que se detecten haciendo caso omiso de nuestras instrucciones de seguridad se enfrentarán a la disciplina progresiva, incluso si su comportamiento no ha dado lugar a una violación de la seguridad. 

Tome la seguridad en serio

Todos, desde nuestros clientes y socios hasta nuestros colaboradores y contratistas, deben sentir que sus datos están seguros. La única manera de ganar su confianza es proteger proactivamente nuestros sistemas y bases de datos. Todos podemos contribuir a esto estando atentos y teniendo en cuenta la seguridad cibernética.