Política de Seguridad de la Información
1. Objetivo
La Política de Seguridad y Privacidad de la Información de OPEN establece los lineamientos claros y coherentes para proteger la confidencialidad, integridad, disponibilidad y privacidad de los activos de información, incluyendo la información de la organización y de sus clientes, los procesos, tecnologías, colaboradores, contratistas y terceros.
Esta política representa el compromiso de la alta dirección con la implementación, mantenimiento y mejora continua del Sistema de Gestión de Seguridad de la Información (SGSI), en cumplimiento de la norma ISO/IEC 27001:2022.
OPEN se compromete a:
• Proteger sus activos de información frente a amenazas internas y externas.
• Establecer políticas, procedimientos e instructivos que soporten la gestión de seguridad y privacidad de la información.
• Minimizar los riesgos que afectan los procesos misionales.
• Cumplir con los principios y buenas prácticas de seguridad y privacidad, alineados al marco NIST.
• Mantener la confianza de colaboradores, contratistas, terceros y clientes.
• Apoyar la continuidad del negocio y la innovación tecnológica mediante prácticas seguras.
• Promover una cultura organizacional enfocada en la seguridad y privacidad de la información.
• Definir y aplicar criterios para la aceptación y tratamiento de riesgos.
• Mejorar continuamente la eficacia del SGSI y el desempeño de los procesos.
2. Alcance
Esta política aplica a todo el personal de Open y terceros que tengan acceso a información interna, de clientes o de terceros gestionada por la organización.
3. Responsables
• El seguimiento al cumplimiento de esta política está a cargo del Information Security Manager.
• El cumplimiento de esta política está a cargo de todo el personal, interno o contratista. Página 1 de 5 PO-SGSI-01 – Pública Política de Seguridad y Privacidad de la Información
4. Condiciones generales
• Este documento es de propiedad de OPEN y está prohibida la reproducción total o parcial de la información y el contenido es confidencial para la empresa.
• El cumplimiento de esta Política es obligatorio. Todo personal de OPEN deberá entender su rol y responsabilidad en relación con esta Política.
5. Definiciones
• ISO27001: Estándar para la seguridad de la información con el propósito de ayudar a gestionar la Seguridad de la Información en una empresa y definir los principios básicos de un sistema de Gestión de Seguridad de la información.
• ISO27002: Estándar para la seguridad de la información que establece las directrices y principios generales para iniciar, implementar, mantener y mejorar la gestión de la seguridad de la información en una organización.
• Empleado: Persona que trabaja para una organización, empresa o individuo en particular, bajo un contrato de trabajo o acuerdo laboral.
• Proveedor: Entidad, ya sea una empresa o individuo, que suministra bienes, servicios o productos a otra organización o cliente.
• Socio de negocio: Entidad, empresa o individuo que colabora estrechamente con otra organización con el objetivo de lograr beneficios mutuos.
• Vulnerabilidad: Debilidad o fallo en un sistema, red, software o proceso que puede ser explotado por amenazas o atacantes para comprometer la confidencialidad, integridad o disponibilidad de la información.
• Confidencialidad: Propiedad de proteger la información para asegurar que solo las personas autorizadas tengan acceso a ella.
• Disponibilidad: Propiedad de acceder y utilizar la información o los recursos de manera oportuna y sin interrupciones no deseadas.
• Integridad: Propiedad de la información de mantenerse completa, precisa y sin alteraciones no autorizadas a lo largo de su ciclo de vida.
• Activo: Elemento o recurso que posee valor para una organización y que debe ser protegido de posibles amenazas o eventos que puedan afectar su disponibilidad, integridad o confidencialidad.
6. Lineamientos
Esta política contiene 14 lineamientos para el SGSI de OPEN, los cuales deben ser cumplidos para garantizar la confidencialidad, disponibilidad, integridad y privacidad de la información: Página 1 de 5 PO-SGSI-01 – Pública Política de Seguridad y Privacidad de la Información
a) Las responsabilidades frente a la seguridad de la información y la privacidad serán definidas, documentadas, publicadas y aceptadas por funcionarios, contratistas y terceros, ya sea mediante contratos, subprocesos, procedimientos u otros documentos oficiales.
b) OPEN realiza evaluaciones periódicas de riesgos y vulnerabilidades para identificar brechas de seguridad y tomar acciones preventivas y correctivas, como parte del ciclo de mejora continua del SGSI.
c) OPEN protege la información generada, procesada, transmitida o resguardada en sus procesos de negocio, aplicando controles acordes con su clasificación, para minimizar impactos financieros, operativos o legales derivados de un uso indebido.
d) OPEN protege sus activos de información frente a amenazas internas, externas o derivadas del acceso de terceros, incluyendo el personal interno.
e) OPEN garantiza la seguridad física de las instalaciones donde se procesan o almacenan datos críticos, y protege su infraestructura tecnológica que soporta los procesos clave de negocio.
f) OPEN controla la operación de sus procesos asegurando la protección de los recursos tecnológicos, sistemas y redes de datos, mediante herramientas, monitoreo y controles efectivos.
g) OPEN implementa controles de acceso basados en roles, autenticación multifactor y gestión de privilegios mínimos sobre la información, sistemas y recursos tecnológicos.
h) OPEN garantiza que la seguridad esté integrada en todo el ciclo de vida de los sistemas de información, desde su diseño hasta su retiro, incluyendo el desarrollo seguro y la validación de controles.
i) OPEN gestiona los eventos de seguridad y vulnerabilidades mediante procesos estructurados que permiten la detección, análisis, respuesta y mejora del modelo de seguridad.
j) OPEN asegura la disponibilidad y continuidad de sus procesos de negocio ante incidentes o eventos disruptivos, mediante planes de contingencia y recuperación.
k) OPEN promueve y mantiene una cultura sólida de seguridad de la información y privacidad, mediante programas de formación, concientización y capacitación periódica para todos los actores involucrados.
l) OPEN utiliza técnicas de cifrado (TLS, AES) para garantizar la confidencialidad de la información durante su almacenamiento y transmisión, tanto en entornos internos como en servicios en la nube.
m) OPEN garantiza el cumplimiento de las obligaciones legales, regulatorias y contractuales mediante mecanismos como acuerdos de confidencialidad, cláusulas contractuales específicas y reglamentos internos.
n) OPEN revisa anualmente esta política general y las políticas específicas asociadas, para asegurar su pertinencia, eficacia y alineación con los cambios del entorno operativo y los riesgos emergentes.
El incumplimiento a la política de Seguridad y Privacidad de la Información traerá consigo las consecuencias legales que apliquen a la normativa de la compañía, incluyendo lo establecido en las normas que competen al Gobierno nacional y territorial en cuanto a Seguridad y Privacidad de la Información se refiere.
La revisión de la política de seguridad y privacidad de la Información se realizará de forma anual.
