Unidad de Informtica Consejo Superior de la Judicatura

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de seguridad de la información

Consejo Superior de la Judicatura Sala Administrativa Unidad de Informática Dirección Ejecutiva de Administración Judicial Objetivo • En esta clase usted profundizará los conceptos sobre políticas de seguridad de la información • Comprenderá la importancia de las políticas de seguridad de la información • Verá un breve repaso de las políticas de seguridad de la Rama Judicial • Prerrequisitos: – Conocer los conceptos sobre Seguridad de la información, expuestos en la clase 1 – Conocer los conceptos sobre Sistema de Gestión de seguridad de la información expuestos en la clase 2 Para reforzar su estudio debe consultar el manual de políticas de seguridad de la información de la Rama Judicial

Consejo Superior de la Judicatura Sala Administrativa Unidad de Informática Dirección Ejecutiva de Administración Judicial Agenda • ¿Qué es una política de seguridad de la información? • ¿Porqué son importantes las políticas de seguridad? • ¿Cómo funcionan las políticas de seguridad? • Políticas de seguridad de la información de la Rama Judicial

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Qué es una política de seguridad de la información • Una política de seguridad es un principio o lineamiento para la toma de una decisión sobre algún aspecto de la seguridad de la información • Las políticas establecen las reglas de lo que se puede o lo que no se puede hacer en materia de seguridad de la información • Las políticas son generales y su aplicación no depende del tipo de tecnología a usar, se cumplen para cualquier tipo de tecnología

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Ejemplo de política • La contraseña asignada a un usuario es personal e intransferible. • Los usuarios no deben divulgar, prestar, exhibir, comunicar en forma escrita o verbal su contraseña. • Cuando por labores de soporte o mantenimiento se requiere la contraseña de usuario, el usuario es quién debe digitarla y al final de las actividades de soporte se debe cambiar por una contraseña nueva.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Las políticas y los estándares • Las políticas definen principios generales, no definen tecnologías específicas o formas especificas de realizar las tareas • Los estándares describen la forma particular de cumplir una actividad. • Los estándares describen como cumplir con una política

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Ejemplo de estándar • Las contraseñas no debe contener el nombre del usuario, un nombre real o el nombre de una empresa • El usuario debe crear una contraseña con una longitud mínima de 8 caracteres, combinando números, letras y símbolos de puntuación • ¿Las contraseñas de las cuentas privilegiadas de los sistemas operacionales, software o aplicaciones deben ser almacenadas en un sobre cerrado, en una caja fuerte o en un sitio seguro.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Porqué se necesitan las políticas de seguridad? • Imagine una organización sin controles o lineamientos. • Imagine que los empleados de la Entidad tomen decisiones de lo que es correcto o incorrecto para la organización basándose únicamente en su criterio personal • En una organización sin reglas en donde todos tiene la razón, ninguno tiene la razón.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Porqué se necesitan las políticas de seguridad? • Las políticas de seguridad de la información establecen un marco de referencia para el sistema de gestión de seguridad de la información que garantiza que cada persona tiene un conjunto común de expectativas que se documentan en las metas y objetivos de la dirección de la organización respecto a cómo proteger la información y tomar decisiones frente a los riesgos

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Estamos obligados a tener políticas de seguridad? • En su artículo 227. Obligatoriedad de suministro de información, el plan nacional de desarrollo 2010 -2014, parágrafo tercero establece que: • “El Gobierno Nacional debe garantizar mediante la implementación de sistemas de gestión para la seguridad de la información que el acceso a las bases de datos y a la utilización de la información sea seguro y confiable para no permitir el uso indebido de ella. ”

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Estamos obligados a tener políticas de seguridad? El modelo estándar de control interno MECI 1000: 2014 indica que: 1. 3. 1 Políticas de Administración del Riesgo Las políticas identifican las opciones para tratar y manejar los riesgos basadas en la valoración de los mismos, permiten tomar decisiones adecuadas y fijar los lineamientos, que van a transmitir la posición de la dirección y establecen las guías de acción necesarias a todos los servidores de la entidad. Recuerde que el SGSI busca proteger la información de los riesgos que la pueden afectar

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Estamos obligados a tener políticas de seguridad? El modelo de Gobierno en Línea 3. 1 establece que: • Cada entidad cuente con una política de seguridad que es aplicada de forma transversal y mejorada constantemente; y que se garantice la incorporación del Gobierno en línea como parte de la cultura organizacional y elemento de soporte en sus actividades misionales.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Porqué se necesitan las políticas de seguridad? • Mediante la políticas de seguridad de la información podemos determinar como actuar en caso de duda • Las políticas de seguridad definen que se puede hacer y que no se debería hacer. • Mediante las políticas de seguridad podemos determinar el cumplimiento de las reglas sobre la seguridad de la información

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Cómo funcionan las políticas de seguridad de la información Leyes y Normas Requisitos de seguridad Metas y Objetivos de la seguridad Definen requisitos para Políticas de seguridad de la información Se documentan en Política institucional de seguridad Se detalla en Políticas específicas Se implementan con Procedimient os Estándares Controles

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Evalúe su progreso • ¿Para qué sirve una política de seguridad de la información? • ¿Existen leyes que obliguen a las entidades estatales a tener políticas de seguridad de la información? • ¿Qué diferencia hay entre una política y un estándar?

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de seguridad de la información Rama Judicial • En esta sección se describirán en forma general las políticas de seguridad de la información • Se presentaran los aspectos representativos de las diferentes políticas de seguridad, no se discutirán detalles específicos • Para logar un buen entendimiento de las políticas es necesario realizar una lectura detallada de las mismas

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Estructura de las políticas de seguridad Todas las políticas de seguridad tienen la siguiente estructura: • Alcance: describe a quien se aplica la política • Objetivo: describe que busca proteger la política • Marco normativo: identifica las leyes que apoyan a la política • Detalles – Condiciones obligatorias: explica lo que se debe cumplir – Responsabilidades: identifica quienes tienes obligaciones sobre la política – Seguimiento y control: identifica como se revisan las políticas – Procedimientos: identifica los procedimientos que implementan la política

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Ejemplo de Alcance Política Uso aceptable de los Activos ALCANCE • Esta política aplica para todos los funcionarios, contratistas y terceros que presten sus servicios a la Rama Judicial responsables de usar o administrar activos de información de la Rama Judicial.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Ejemplo de objetivo Política de clasificación de la información OBJETIVO • Asegurar que la información recibe un nivel de protección apropiado de acuerdo con su importancia para la Rama Judicial.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Ejemplo de marco normativo Política de formación y toma de conciencia MARCO NORMATIVO Modelo estándar de control interno para el estado colombiano, MECI 1000: 2014, Numeral 1. 1. 2. Desarrollo del Talento Humano Elemento que permite controlar el compromiso de la entidad pública con el desarrollo de las competencias, habilidades, aptitudes e idoneidad del servidor público, a través de las políticas y prácticas de gestión humana que debe aplicar, las cuales deben incorporar los principios de justicia, equidad y transparencia al realizar los procesos de selección, inducción, formación, capacitación y evaluación del desempeño de los servidores públicos del Estado.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Evalúe su progreso ¿Explique qué contienen los siguientes componentes de las políticas de seguridad? • Marco Normativo • Objetivo • Alcance • Condiciones obligatorias • Procedimientos

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política General de la Seguridad • La política general de la seguridad de la información es la política de más alto nivel. • En esta política se expone el compromiso e intensión de la Entidad por lograr la seguridad de la información • Todas la demás políticas de seguridad tiene como objetivo apoyar la política general

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política general de la seguridad En cumplimiento de su función constitucional de hacer efectivos los derechos, obligaciones, garantías y libertades para lograr la convivencia social, la convivencia pacífica y el acceso a la justicia, la Rama Judicial adoptará todas las medidas que estén a su alcance para preservar la integridad, la disponibilidad y la confidencialidad de la información necesaria para el cumplimiento de su misión, gestionando los riesgos de manera integral con criterios de efectividad, eficiencia y transparencia en todos sus procesos, y mejorando permanentemente sus capacidades en materia de seguridad de la información.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política general de la seguridad (parte II) En este sentido, se declara como prioritario y de la más alta relevancia la seguridad de la información en la ejecución permanente de las labores de la Rama judicial, mediante la protección de los activos de información, la infraestructura crítica y de soporte, con el fin de garantizar un nivel adecuado de continuidad operativa de negocio y sus servicios conexos; contribuyendo por tanto al cumplimiento en los procesos misionales y los objetivos estratégicos organizacionales.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de específicas Política general de la seguridad Apoyan Políticas específicas de seguridad Clasificación de información Uso de equipos Dispositivos móviles Gestión del Talento Humano

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Grupos de políticas Para facilitar la explicación de las políticas de seguridad de la información se agruparan por temas comunes. • • • Uso y acceso a la información Uso de equipos tecnológicos Uso de servicios tecnológicos Uso seguro de la tecnología Talento humano Especificas de gestión de tecnología

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas sobre uso y acceso a la información Estas políticas definen las directrices sobre el manejo de la información independientemente del formato en que se encuentre almacenada. Contemplan: • Política de clasificación de la información • Política de Control de acceso a la información • Política de protección de datos personales • Política sobre transferencias de información • Política de Seguridad de la información hacia los proveedores

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas sobre uso y acceso a la información Alcance: aplican a todo el personal vinculado laboralmente con la Rama Judicial, contratistas y terceros que tengan acceso a los recursos de información de la organización. Objetivo: (cada política tiene un objetivo específico) Definir las pautas generales para asegurar un acceso seguro y controlado a la información de la Rama Judicial, impidiendo los accesos no autorizados. Marco normativo: en general consideran las leyes que definen el acceso a la información, ejemplo Habeas data

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas sobre uso y acceso a la información Directrices generales (Cada política tiene un grupo específico de directrices) • Solo se debe asignar acceso a la información indispensable para cumplir las funciones asignadas • La información dese debe clasificar para poder asignar el permiso de acceso. • Se deba mantener control del acceso a la información y registras las acciones realizadas sobre la información: – – Prestamos Modificaciones Traslados Disposición final

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de uso de equipos tecnológicos Estas políticas describen las directrices sobre el uso de los equipos de tecnología, incluyen tanto equipos de propiedad de la rama judicial, como equipo de contratistas y equipos personales de funcionarios de la rama judicial que los utilicen para tener acceso a la información de la Entidad. Incluyen: • Uso aceptable de activos • Acceso a componentes de tecnología • Uso de su propio dispositivo (BYOD)

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de uso de equipos tecnológicos Alcance: aplican para todos los funcionarios, contratistas y terceros que presten sus servicios a la Rama Judicial responsables de usar o administrar activos de información de la Rama Judicial. Objetivo: Definir las pautas generales para asegurar un adecuado uso y administración de los activos informáticos de la Rama Judicial por parte del personal a cargo de su administración Recuerde que cada política tiene alcances y objetivos específicos, debe leer cada política para comprender sus alcances y objetivos específicos

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de uso de equipos tecnológicos Directrices generales • Los recursos de la Entidad, incluida su información deben ser empleados UNICAMENTE para las funciones asignadas. • Reportar problemas con los equipos a la mesa de ayuda • Mantener segura la información confidencial en los dispositivos personales (BYOD)

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de uso de servicios de tecnología Estas políticas describen las directrices sobre el uso de los servicios informáticos de la Rama Judicial. Incluyen: – Correo electrónico – Uso de Internet – Cuentas de usuario – Uso de antivirus – Teletrabajo

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política de uso de correo electrónico • Use el correo electrónico de la Entidad, solo para sus funciones asignadas. Evite los siguientes usos: – Inscripción en redes sociales personales – Compras On Line – Inscripción en listas de correo • Nunca! comparta su contraseña de correo • Cambie periódicamente la contraseña • Todos los correos deben tener en la firma la nota de confidencialidad

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política de uso de internet • Utilice el servicio de Internet de la Entidad, solo para el cumplimiento de sus funciones asignadas. – Recuerde que usted es responsable del uso de acceso a Internet – Recuerde existen muchos sitios inseguros en Internet • • • El servicio de acceso a Internet esta controlado para garantizar seguridad y calidad en los servicios al ciudadano. Los servicios de Internet autorizados dependen de las funciones asignadas a los funcionarios La Rama Judicial puede supervisar el acceso del servicio de Internet para certificar que se está usando para el cumplimiento de las funciones institucionales

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política de cuentas de usuario • Las cuentas de usuario son personales en intransferibles. • Los responsables de los procesos deben aprobar la asignación de cuentas de usuario y permisos para cada usuario • Al momento de dejar la entidad el funcionario o contratista debe devolver la cuenta de usuario y la información a su cargo

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Uso de antivirus • Es obligatorio el uso del antivirus en todos los computadores, dispositivos móviles, teléfonos inteligentes y demás equipos en la Rama Judicial. • Esta prohibido desinstalar o bloquear el antivirus. • El antivirus que se debe utilizar es el aprobado y configurado por los responsables de sistemas de la Rama Judicial

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política de teletrabajo ¿Cual es el estado del teletrabajo en la Rama Judicial? • El ministerio de las TIC se encuentra promoviendo el acceso al Teletrabajo, la Rama Judicial está estudiando los mecanismos para adoptar estas directrices. Aún no se cuenta con los recursos técnicos para gestionar el teletrabajo. ¿Qué políticas se manejaran para el teletrabajo cuando este aprobado? • Los servicios de teletrabajo deben ser sometidos a evaluaciones de riesgos • Es necesario evaluar que actividades podrán realizarse en la modalidad de Teletrabajo. • El acceso al teletrabajo debe buscar facilitar el trabajo de personas con dificultades de desplazamiento por limitaciones físicas

Consejo Superior de la Judicatura Sala Administrativa Unidad de Informática Dirección Ejecutiva de Administración Judicial Política de uso seguro de la tecnología • Este grupo de políticas permiten implementar directrices para un uso seguro de las estaciones de trabajo de los funcionarios de la Rama Judicial • Las directrices de estas políticas se pueden aplicar a cualquier puesto de trabajo de la Rama Judicial • Incluyen: – Claves y Contraseñas – Pantalla y escritorios limpios

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas de uso seguro de la tecnología Directrices generales • Los responsables de procesos son los responsables de autorizar el acceso a los recursos de tecnología • Las cuentas de usuario y permisos de acceso a la información son personales e intransferibles • Todos los usuarios deben cumplir las políticas de seguridad de la información

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Política de uso seguro de la tecnología Escritorio y pantallas despejadas • Si deja su puesto de trabajo solo, proteja la información en lugar seguro. • Si deja su puesto de trabajo solo, bloquee su computador. • No deje la información de la Entidad desprotegida en punto de atención al público

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas sobre el talento humano Estas políticas fijan directrices sobre la gestión de la seguridad cuando se trata del talento humano Incluyen: • Desvinculación y cambio de funciones • Toma de conciencia

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas sobre el talento humano • Mejore sus conocimientos en seguridad de la información • Los funcionarios y contratistas deben leer y aceptar y cumplir las políticas de seguridad • Los funcionarios deben participar en las actividades de capacitación y toma de conciencia en seguridad de la información

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas sobre el talento humano • Cuando se produzca una desvinculación o cambio de funciones se debe aplicar el procedimiento de devolución de activos. • Cuando se produzca ausencia temporal o vacaciones, se debe bloquear provisionalmente los accesos a sistemas de información y correo

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Políticas específicas de gestión de la tecnología Son políticas muy concretas que se aplican a los administradores de los servicios de tecnología. Incluyen: Controles criptográficos Eliminación de medios Gestión de incidentes de seguridad Gestión de vulnerabilidades técnicas Control de los cambios Copias de respaldo de información Desarrollo de software

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Eliminación de medios • Se debe verificar la eliminación, destrucción o borrado en de forma segura de cualquier software licenciado y datos sensibles de medios de almacenamiento y equipos informáticos que se den de baja, se donen, o trasladen de área. • Los procedimientos de eliminación segura deben incluir el uso de herramientas tecnológicas que garanticen que la información no sea recuperable o que esfuerzo técnico para realizar su recuperación desaliente al posible interesado en recuperar la información

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Controles criptográficos • La información con carácter reservado o que por los procesos en que se utilice esté expuesta a riesgos de pérdida de confidencialidad se debe cifrar. • Los computadores portátiles, medios de almacenamiento removibles y medios de respaldo que contengan información clasificada con carácter reservado deben ser sometidos a cifrado de datos

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Incidentes de seguridad • Cualquier funcionario, contratista, tercero puede reportar incidentes de seguridad de la información que afecten la Rama Judicial. • Cualquier incidente de seguridad de la información se debe registrar y se debe realizar tratamiento del mismo empleando el procedimiento de gestión de incidentes de seguridad de la información del Sistema de Seguridad de la Información de la Rama Judicial.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Vulnerabilidades de seguridad • Las vulnerabilidades identificadas y clasificadas como urgentes y las cuales afectan la confidencialidad, integridad o disponibilidad no deben ser publicadas o conocidas por personal que no haga parte al plan de remediación. • Los responsables y/o conocedores de los problemas de seguridad no deben hacer uso malicioso de los documentos o comunicados de incidentes de seguridad o vulnerabilidades.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Control de los cambios • Todos los cambios deben estar plenamente justificados • Todos los cambios deben ser probados antes y después de su ejecución • Los cambios no deben degradar la calidad de los servicios

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Respaldo de información • La información se respalda de acuerdo con los requisitos del proceso y del sistema integrado de gestión de la Rama Judicial • El respaldo de la información de computadores personales se debe solicitar por parte del responsable del proceso.

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Desarrollo de software • Los responsables de sistemas son los únicos autorizados para desarrollar o adquirir software para la Rama Judicial. • Se debe realizar mantenimiento periódicamente a los sistemas de información con el fin de garantizar el correcto funcionamiento de los mismos • Todos los desarrollos de software deben aplicar la metodología de desarrollo aprobada por los responsables de sistemas

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial Resumen • Para protección de la seguridad de la información es indispensable contar con directrices claras sobre el uso de la información. • Las políticas de seguridad facilitan la toma de decisiones sobre el uso de seguro de los recursos de información de la Entidad. • Las políticas de seguridad son la base del subsistema de gestión de seguridad de la información de la rama judicial

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial ¿Cómo continuar? • Programe un plan de lectura de las políticas de seguridad de la información. • Inicie la lectura de políticas en el orden descrito en esta presentación • Prepare preguntas sobre los aspectos de las políticas que no le sean claros • Envié sus preguntas a la Unidad Informática de la Rama Judicial

Unidad de Informática Consejo Superior de la Judicatura Sala Administrativa Dirección Ejecutiva de Administración Judicial