Propósito y alcance
La Política de Seguridad de la Información de Cloud Legion establece un conjunto de medidas destinadas a preservar la confidencialidad, integridad y disponibilidad de la información, los tres componentes básicos de la seguridad de la información, y define los requisitos para proteger la información, los equipos y los servicios tecnológicos que dan soporte a nuestros procesos de negocio.
Es la pieza central del Cuerpo Normativo de Seguridad de Cloud Legion: el conjunto de normas, estándares, procedimientos y guías que la desarrollan. Forma parte del alcance de nuestro Sistema de Gestión de Seguridad de la Información (SGSI), certificado bajo la norma ISO/IEC 27001, y abarca toda la información de Cloud Legion, cualquiera sea su forma, el medio que la contenga, quién acceda a ella o dónde se encuentre.
Principios
- Alcance estratégico: la seguridad de la información cuenta con el compromiso de todos los niveles directivos y se integra con el resto de las iniciativas estratégicas.
- Seguridad integral: es un proceso que abarca elementos tecnológicos, humanos, materiales y organizativos, presente en el diseño, desarrollo y mantenimiento de los sistemas.
- Gestión de riesgos: el análisis y la gestión de riesgos mantienen un entorno controlado, reduciendo los riesgos a niveles aceptables con medidas equilibradas entre impacto, probabilidad, eficacia y costo.
- Proporcionalidad: las medidas de protección, detección y recuperación son proporcionales a los riesgos y a la criticidad y valor de la información.
- Mejora continua: las medidas se evalúan y actualizan periódicamente, y la seguridad es revisada y auditada por personal calificado.
- Seguridad por defecto: los sistemas se diseñan y configuran para ofrecer un grado suficiente de seguridad desde el inicio.
Estos principios responden a las buenas prácticas de la norma ISO/IEC 27001, a la legislación vigente en materia de protección de datos personales y a las normas de seguridad de la información aplicables a Cloud Legion. Esta política debe ser conocida, comprendida y asumida por todo el personal.
Compromiso de la Dirección
La Dirección, consciente de la importancia de la seguridad de la información para alcanzar sus objetivos de negocio, se compromete a:
- Promover en la organización las funciones y responsabilidades en materia de seguridad de la información.
- Facilitar los recursos adecuados para alcanzar los objetivos de seguridad de la información.
- Impulsar la divulgación y la concientización sobre esta política entre los colaboradores.
- Exigir el cumplimiento de la política, de la legislación vigente y de los requisitos de los reguladores.
- Considerar los riesgos de seguridad de la información en la toma de decisiones.
Organización de la seguridad
Cloud Legion cuenta con una figura responsable de definir, implementar y monitorear las medidas de ciberseguridad y seguridad de la información, independiente de las áreas operativas y con reporte al directorio y al Comité de Ciberseguridad. Entre sus funciones están aplicar la segregación de funciones, mantener el contacto con autoridades y grupos de interés especializados, y mantener esta política actualizada. Toda política del SGSI es evaluada por el Comité de Ciberseguridad y aprobada por la Alta Dirección.
Personas
- Los requisitos de seguridad se aplican antes de la contratación, durante la relación laboral y al finalizarla.
- Todo el personal recibe formación y concientización periódicas en seguridad de la información, con especial foco en la confidencialidad y la prevención de fugas de información, y es informado de las actualizaciones de políticas y procedimientos.
- Aplicamos una política de escritorio y pantalla limpios: bloqueo de sesión al dejar el puesto (manual y automático) y documentos y soportes fuera de la vista, con los confidenciales bajo llave.
Gestión y clasificación de la información
Los activos de información necesarios para nuestros procesos están identificados e inventariados, y cada uno tiene un propietario responsable de su clasificación y protección durante todo su ciclo de vida: creación o recolección, distribución, uso, almacenamiento y destrucción segura al cumplirse los plazos de conservación definidos por los requisitos legales, normativos y de negocio.
La información se clasifica en cuatro niveles según su sensibilidad:
- Pública
- Puede compartirse dentro y fuera de la organización sin riesgo.
- Interna
- Para uso de los miembros de la organización.
- Confidencial
- Información sensible, con medidas de protección adicionales y acceso limitado.
- Estrictamente confidencial
- Información crítica, con acceso restringido a la alta dirección o a grupos definidos y mínimo privilegio.
La información se etiqueta y manipula según su clasificación, y la información privilegiada se custodia durante todo su ciclo de vida. Las copias de seguridad de la información, el software y los sistemas se realizan de forma automatizada, con redundancia en la nube, y se verifican periódicamente.
Prevención de fugas de información
Analizamos los posibles vectores de fuga según la criticidad y la clasificación de cada activo, y definimos procedimientos para prevenirlas y para actuar ante una fuga notificada. Esto abarca, entre otros, el uso de dispositivos extraíbles y móviles, el correo electrónico, Internet, la impresión y salida de documentación, y los equipos desatendidos.
Control de acceso e identidades
- Todos los sistemas de información cuentan con control de acceso lógico y físico.
- Las cuentas son nominales y no se comparten; las cuentas de servicio requieren autorización del Comité de Ciberseguridad.
- Los accesos se otorgan por roles, según la necesidad de saber, con mínimo privilegio y segregación de funciones.
- La autenticación multifactor (MFA) se usa siempre que es posible y es obligatoria para los sistemas accesibles desde redes públicas.
- Una política de contraseñas alineada con las buenas prácticas es conocida por todo el personal.
- El ciclo de vida de las identidades (alta, revisión periódica, modificación y baja) está alineado con los procesos de Recursos Humanos.
- Los accesos privilegiados se asignan mediante un proceso formal de autorización, se registran, caducan y se revisan regularmente.
- El trabajo remoto se realiza mediante conexiones seguras y desde equipos que cumplen requisitos mínimos de seguridad.
Seguridad física y del entorno
Nuestra operación es distribuida, por lo que cada colaborador es responsable de la seguridad física de los dispositivos autorizados para acceder a la información, y debe informar de inmediato su robo o pérdida para su bloqueo o borrado remoto. La información en papel se guarda en armarios cerrados bajo llave.
Nube, operación y comunicaciones
- Mantenemos una política de trabajo en la nube con medidas de seguridad acordes a cada modelo de servicio (infraestructura, plataforma o software), incluida la evidencia de seguridad de los proveedores.
- Los sistemas que procesan o almacenan nuestra información cuentan con monitoreo, control de cambios y revisiones periódicas.
- Aplicamos medidas de prevención, detección y respuesta en las comunicaciones, con controles adicionales para los datos sensibles que circulan por redes públicas.
Desarrollo seguro
La adquisición, el desarrollo y el mantenimiento de sistemas incorporan requisitos de seguridad acordes con las buenas prácticas del sector, junto con la gestión de pruebas, el seguimiento de cambios y el inventario de software.
Proveedores
Evaluamos la criticidad de los servicios subcontratados y, para los relevantes en seguridad, cuidamos la selección, los requisitos contractuales, el monitoreo de niveles de servicio, la devolución de datos y las medidas de seguridad del proveedor, que deben ser al menos equivalentes a las de esta política.
Gestión de incidentes
Todos los colaboradores deben notificar al responsable de seguridad cualquier incidente que pueda comprometer los activos de información. Contamos con un procedimiento de respuesta que define la categorización, el análisis de impacto y el escalamiento de los incidentes.
Continuidad del negocio
Mantenemos un Plan de Continuidad de Negocio y un Plan de Recuperación ante Desastres, que se actualizan y prueban periódicamente, y capacitamos al personal en su aplicación.
Cumplimiento, auditorías y vulnerabilidades
Dotamos los recursos necesarios para cumplir la legislación y la regulación aplicables en materia de seguridad de la información. Identificamos periódicamente las vulnerabilidades técnicas de nuestros sistemas y aplicaciones y las corregimos con un enfoque basado en riesgos, según la criticidad y la exposición de cada activo.
Excepciones e incumplimiento
Toda excepción a esta política se registra, se informa al responsable de seguridad de la información y se analiza según el riesgo que introduce. Su incumplimiento puede dar lugar a acciones disciplinarias conforme al proceso interno, y todos los colaboradores deben informar cualquier situación que pueda suponer un incumplimiento. Cualquier persona puede reportar de forma confidencial posibles violaciones o incumplimientos de seguridad o privacidad a grc@cloudlegion.com.ar.
Revisión
Esta política es revisada y aprobada anualmente por el Comité de Ciberseguridad, y también cuando se producen cambios relevantes en la organización o en el entorno de amenazas, legal, regulatorio o contractual.