SECRETARÍA GENERAL
Resolución 549/2022
RESOL-2022-549-APN-SGP
Ciudad de Buenos Aires, 18/08/2022
VISTO el EX-2022-76987534- -APN-CGD#SGP, el Decreto N° 50 del 19 de diciembre de 2019 y sus modificatorios, la Decisión Administrativa N° 641 del 25 de junio de 2021; la Disposición N° 1 de la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS del 14 de febrero de 2022, y
CONSIDERANDO
Que a través de la Decisión Administrativa N° 641/21 se aprobaron los “REQUISITOS MINIMOS DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DEL SECTOR PÚBLICO NACIONAL”, que son aplicables a todas las entidades y jurisdicciones comprendidas en el inciso a) del art. 8° de la ley 24.156 de Administración Financiera y de los Sistemas de Control del Sector Público Nacional y sus modificatorias.
Que la mencionada norma establece, entre otras obligaciones, que los organismos comprendidos deben implementar una Política de Seguridad de la Información, con el fin de proteger adecuadamente los activos tecnológicos esenciales para el desenvolvimiento de la jurisdicción.
Que conforme lo normado por el artículo 3° de la Decisión Administrativa N° 641/21, las entidades y jurisdicciones del Sector Público Nacional comprendidos en la norma deben aprobar un Plan de Seguridad en el cual se establezcan los plazos de cumplimiento de cada uno de los requisitos mínimos de seguridad de la información contemplados en el Anexo IF-2021-50348419-APN-SSTIYC#JGM aprobado por aquélla.
Que asimismo, el Punto V del Anexo mencionado en el considerando precedente, establece que la Política de Seguridad de la Información debe ser aprobada por las máximas autoridades del organismo e informada a la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS.
Que mediante la Disposición N° 1/22 la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS aprobó el “Modelo Referencial de Política de Seguridad de la Información” (IF-2022-09912113-APN-DNCIB#JGM) para ser utilizado como base para su implementación por los organismos alcanzados por la Decisión Administrativa N° 641/21, debiendo ser interpretado como un aporte y una guía en materia de seguridad de la información y adaptado a la realidad, competencias y recursos de cada organismo.
Que en un contexto marcado por el incremento de la actividad maliciosa en general, amenazas y vulnerabilidades que ponen en riesgo los activos de información, el diseño y adopción de una Política de Seguridad de la Información brinda un marco adecuado para proteger la infraestructura y garantizar la continuidad de las operaciones de la jurisdicción.
Que asimismo resulta necesario que los principios que integran la Política de Seguridad de la Información lleguen a formar parte de la cultura organizacional mediante su activa difusión, consolidación y cumplimiento de todas las unidades organizativas que integran la jurisdicción.
Que el Comité de Control de Seguridad Informática creado por la RESOL-2022-371-APN-SGP en el ámbito de la SECRETARIA GENERAL de la PRESIDENCIA DE LA NACIÓN ha prestado conformidad de manera unánime a la Política de Seguridad de la Información propuesta por la Dirección de Seguridad Informática de la Dirección General de Tecnología Informática y Telecomunicaciones dependiente de la Subsecretaría de Coordinación de esta SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN.
Que la presente medida no implica erogación presupuestaria para la jurisdicción.
Que ha tomado la intervención de su competencia la Dirección General de Asuntos Jurídicos de la SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN.
Que la presente medida se dicta en virtud de las facultades conferidas por el Decreto N° 50/19 y la Decisión Administrativa N° 641/21.
Por ello,
EL SECRETARIO GENERAL DE LA PRESIDENCIA DE LA NACIÓN
RESUELVE:
ARTICULO 1°.- Apruébase la “POLITICA DE SEGURIDAD DE LA INFORMACIÓN DE LA SECRETARÍA GENERAL DE LA PRESIDENCIA DE LA NACIÓN” obrante en el IF-2022-85903213-APN-DSI#SGP que como Anexo forma parte integrante de la presente medida.
ARTÍCULO 2°.- Establécese que la política aprobada por el artículo 1° de la presente será de aplicación obligatoria en el ámbito de la SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN.
ARTÍCULO 3°.- Delégase en la Subsecretaría de Coordinación de esta SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN la facultad de actualizar y de dictar las normas aclaratorias y complementarias que resulten necesarias respecto de la “POLITICA DE SEGURIDAD DE LA INFORMACIÓN DE LA SECRETARÍA GENERAL DE LA PRESIDENCIA DE LA NACIÓN” aprobada mediante el artículo 1° de la presente medida y la de aprobar el Plan de Seguridad a ser elaborado de conformidad con lo dispuesto por el artículo 3° de la Decisión Administrativa N° 641/21.
ARTÍCULO 4°.- Encomiéndase a la Dirección de Seguridad Informática de la Dirección General de Tecnología Informática y Telecomunicaciones dependiente de la Subsecretaría de Coordinación de esta SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN la revisión anual de la política aprobada por el artículo 1° de la presente medida.
ARTÍCULO 5°.-Comuníquese a la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS.
ARTÍCULO 6°.- Publíquese, dese a la DIRECCIÓN NACIONAL DEL REGISTRO OFICIAL y archívese.
Julio Fernando Vitobello
NOTA: El/los Anexo/s que integra/n este(a) Resolución se publican en la edición web del BORA -www.boletinoficial.gob.ar-
(Nota Infoleg: Los anexos referenciados en la presente norma han sido extraídos de la edición web de Boletín Oficial)
![](../../../normativa/370136_res549sg-Anexo-1_jpg/archivo)
SECRETARÍA GENERAL DE LA PRESIDENCIA DE LA NACIÓN
![](../../../normativa/370136_res549sg-Anexo-2_jpg/archivo)
![](../../../normativa/370136_res549sg-Anexo-3_jpg/archivo)
![](../../../normativa/370136_res549sg-Anexo-4_jpg/archivo)
![](../../../normativa/370136_res549sg-Anexo-5_jpg/archivo)
![](../../../normativa/370136_res549sg-Anexo-6_jpg/archivo)
La Secretaría General de la Presidencia de la Nación en cumplimiento de la Decisión Administrativa N° 641/2021, establece la presente Política de Seguridad de la Información (PSI), que define las directrices orientadas a resguardar la confidencialidad, integridad y disponibilidad de la información, protección de los recursos tecnológicos y la continuidad de las operaciones de la Secretaría General de la Presidencia de la Nación, de conformidad con las leyes y normativas vigentes.
Las directrices son las que a continuación se mencionan.
Políticas de Seguridad y Normativas de Seguridad de la información
Se establece la “Política de Seguridad de Información” (PSI), aprobada por el Señor Secretario General de la Presidencia Nación, y obligatoria para el todo el personal que presta servicios en la SGP.
Se promueve el dictado de la “Política de Uso Aceptable de los Recursos de Tecnología de la Información” (PUA), la cual establecerá las normas de conducta razonable, que deben observar los agentes y funcionarios en el ámbito de la Secretaría General de la Presidencia de la Nación, cuando utilicen los recursos tecnológicos puestos a su disposición para el desempeño de sus tareas.
Sobre esta base, serán aprobadas normas específicas, procedimientos, lineamientos y manuales que complementarán y fortalecerán la política de seguridad de la información del Organismo.
Política Organizativa
Se conforma el Comité de Control de Seguridad Informática que estará integrado por Directores/as Generales y Subsecretarios/as. Tendrá a su cargo -entre otras funciones- las de revisar y proponer al Secretario General la aprobación de la política de seguridad de la información y sus actualizaciones e impulsar su implementación.
La función de Responsable de la Seguridad de la Información se asigna al titular de la Dirección de Seguridad Informática -área con competencia en la materia-, que tiene a su cargo las funciones relativas a la seguridad de los sistemas de información y procesos de la Secretaría General de la Presidencia de la Nación, así como también ejerce la supervisión de todos los aspectos inherentes a la seguridad tratados en la presente política. Asimismo, elaborará, propondrá y elevará al Comité de Control de Seguridad Informática para su aprobación posterior, la política de seguridad de la información y sus actualizaciones.
Dicha asignación de funciones debe ser comunicada a la Dirección Nacional de Ciberseguridad de la Secretaría de Innovación Pública, dependiente de la Jefatura de Gabinete de Ministros.
Se establecen responsables del cumplimiento de los distintos procesos de seguridad. Se designan, propietarios de la información y propietarios de activos, quienes serán responsables por el resguardo de los mismos.
Se promueve el contacto con otros organismos públicos y entidades privadas para el intercambio de experiencias en materias de seguridad, con el objeto de actualizar y profundizar en los conocimientos relativos a seguridad y promover la capacitación continua en la materia.
Todos los Planes de Seguridad deben ser remitidos a la Dirección Nacional de Ciberseguridad de la Secretaría de Innovación Pública, dependiente de la Jefatura de Gabinete de Ministros.
Política de Recursos Humanos
Toda persona que desempeñe tareas en el ámbito de la SGP deberá manifestar en forma expresa su aceptación de los documentos “Acuerdo de Confidencialidad” y “PUA” y deberá proceder a la devolución de activos al finalizar el vínculo laboral con la Secretaría General de la Presidencia de la Nación.
Los funcionarios a cargo de las diversas dependencias de la SGP serán los encargados de velar por el cumplimiento de las normativas vigentes, asumiendo el compromiso de concientizar y capacitar al personal en temas referidos a las políticas, procedimientos y buenas prácticas en seguridad informática
Se prevén sanciones a todo agente o funcionario que viole las políticas, normativas y procedimientos de seguridad vigentes.
Política de Gestión de Activos
Se establece la identificación, clasificación y criticidad de los activos de información, físicos y de recursos humanos, mediante un inventario actualizado, designándose responsable de los mismos a los Propietarios de Activos.
Se identifican, documentan y definen normativas de uso de los activos de tecnología según las pautas declaradas en la PUA.
Se definen directrices de clasificación, etiquetado y manipulación de activos de información.
Se establece que el tratamiento de la información, respecto a su almacenamiento, transporte y eliminación se realizará de forma segura.
Política de Control de Accesos
Con el objetivo de asegurar el adecuado uso de la información y los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación, se establecen pautas y procedimientos que reglamentan la gestión de usuarios y la gestión de permisos de acceso a la información y a los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación.
El acceso a la información se restringe, en concordancia con la clasificación de la misma, sobre la base de la premisa rectora: “Todo acceso está prohibido, a menos que se permita explícitamente”.
Se establece la gestión segura de las contraseñas, como también las responsabilidades de los usuarios, sobre el uso de las mismas.
Se monitorea, inspecciona y controla, el tráfico de datos en las redes de la Secretaría General de la Presidencia de la Nación, como también toda comunicación externa entrante hacia las redes de la Secretaría General de la Presidencia de la Nación y toda comunicación saliente hacia internet con el objeto de verificar que no se violen las políticas de seguridad establecidas.
Política de Criptografía
Se establece el uso de la criptografía para asegurar la información y las comunicaciones, como ser contraseñas, almacenamiento de las copias de resguardo, cifrado de dispositivos móviles, servicios expuestos a internet y transmisión de datos, dentro y fuera del ámbito de la Secretaría General de la Presidencia de la Nación.
Política Físico y Ambiental
El control de ingreso físico a las dependencias de la SGP tendrá por objeto evitar el acceso no autorizado, el posible daño a las instalaciones o interferencias en las actividades de la Secretaría General de la Presidencia de la Nación. Se definen, además, perímetros de seguridad y controles, para proteger las áreas consideradas críticas, considerando que su mal funcionamiento o puesta fuera de servicio, pueda entorpecer el normal desempeño de los sistemas de información de la Secretaría General de la Presidencia de la Nación y/o exponer información que administra dicha área.
Se asegura la continuidad operacional del suministro de energía eléctrica y del control ambiental en el centro de procesamiento de datos y sala de comunicaciones, como también la existencia de controles de seguridad para asegurar la protección del cableado de transmisión de datos.
Se realiza el mantenimiento periódico del equipamiento informático, control de su entrada y salida de las dependencias de la Secretaría General de la Presidencia de la Nación y destrucción segura cuando el equipamiento no pueda ser reutilizado, con el objeto de no exponer información residual, considerada privada o confidencial en el equipo informático.
Se adopta la política de escritorios limpios, con el objeto de proteger documentación en papel u otro medio de almacenamiento de información que pudiera existir en el área de trabajo, evitando de este modo su pérdida y divulgación no deseada.
Se adopta la política de pantallas limpias, a fin de reducir los riesgos de acceso no autorizado a un equipo informático desatendido.
Política de Seguridad en las Operaciones
Se establece la evaluación periódica de las necesidades de capacidad operacional de los sistemas y la proyección de futuras demandas, con el objeto de garantizar que el crecimiento no ponga en riesgo las actividades operativas ante la falta de recursos.
Se implementan procedimientos para gestionar tareas operativas designando responsables para la ejecución de las mismas.
En los procesos de desarrollo de software, se definen entornos separados entre sí, desarrollo, pruebas funcionales, pruebas de seguridad y producción, con el objeto de generar sistemas seguros.
Se protegen los sistemas tecnológicos contra todo tipo de código malicioso, mediante la ejecución de análisis periódicos preventivos y controles de detección en las estaciones de trabajo, servidores, conexiones de internet y correo electrónico.
La información y los sistemas se resguardan mediante la generación de copias de seguridad de manera periódica y programada.
Se monitorean, registran y auditan los eventos de los usuarios y sistemas, respecto de accesos, fallas, instalación y ejecución de software, alertas de seguridad y cualquier otra actividad relevante.
La instalación de software está supeditada conforme a los procedimientos, autorizaciones, conformidades y pruebas previas pertinentes.
Se evalúa el grado de riesgo de los sistemas publicados, mediante pruebas periódicas de evaluación de vulnerabilidades e informes de remediación y mejoría.
Política en la Gestión de Comunicaciones
Se monitorea, controla, segrega y restringe el tráfico, el acceso, independientemente del medio de transmisión implementado, en todas las redes de datos que integran la infraestructura de comunicaciones de la SGP.
Se considera el correo electrónico como un servicio crítico, por lo cual se implementan medidas de protección para su funcionamiento continuo y de manera eficiente.
La utilización de servicios de internet, es monitoreada y controlada, con el objeto de evitar que el uso indebido de dichos servicios, afecten el rendimiento de la infraestructura de comunicaciones o pongan en riesgo la seguridad de la misma. En consecuencia, tanto el uso de internet como el del correo electrónico laboral, estarán sujetos a las condiciones de uso descriptas en la PUA.
Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
En toda adquisición de sistemas informáticos, como también en todos los proyectos de desarrollo de software, tanto propios o de terceros, se establece la inclusión de requerimientos de seguridad. Se considerará a la seguridad de la información como una parte integral en los ciclos de vida de los procesos de desarrollo y adquisición.
Se protegen todos los sistemas expuestos a internet contra actividades fraudulentas, modificaciones y divulgación de datos no autorizados, intercepción, vulneración de la confidencialidad, suplantación de identidad o cualquier otra amenaza existente.
Se realizan pruebas de evaluación de vulnerabilidades en los sistemas e infraestructura de la SGP, con el objeto de detectar debilidades para luego remediarlas.
Se usan datos de prueba de manera segura y siguiendo requisitos de seguridad estipulados en los entornos de desarrollo y pruebas funcionales y de seguridad.
Política en Relación a los Proveedores
Se establecen requisitos de seguridad para proteger los activos de información de la SGP a los que tienen acceso los proveedores, como también los riesgos asociados a los servicios provistos por parte de terceros.
Se controlan las implementaciones de los proveedores, se monitorea su cumplimiento y la gestión en los cambios, con el fin de asegurar que los servicios que se presten, cumplan con todos los requerimientos acordados previamente con los proveedores en el marco de la presente.
Política de Gestión de Incidentes de Seguridad
Todo el personal de la SGP, es responsable de informar los incidentes de seguridad que se detecten, como también de comunicar las fallas o debilidades que adviertan en el uso regular de los sistemas tecnológicos.
Se establecen responsabilidades y procedimientos para gestionar los incidentes de seguridad, con el fin de garantizar una respuesta rápida, eficaz y sistemática, ante la aparición de los mismos.
Se podrán iniciar los procedimientos sumariales contemplados en la normativa vigente de la Administración Publica Nacional, a los empleados que violen la Política de Seguridad de la Información y la Política de Uso Aceptable de los Recursos de Tecnología de la Información.
Cuando la respuesta a un incidente de seguridad de la información, implique medidas administrativas o judiciales se establecerán procedimientos complementarios de identificación, adquisición y almacenamiento de evidencia forense.
Política de Gestión de la Continuidad
A fin de contrarrestar la aparición de incidentes, se desarrollan e implantan planes de contingencia para asegurar la continuidad de los procesos de la Secretaría General de la Presidencia de la Nación, para que las operaciones se puedan restaurar en los plazos requeridos y manteniendo los requerimientos de seguridad.
Política de Cumplimiento
Se promueve el conocimiento y estricta observación de las leyes relacionadas a la propiedad intelectual, protección de datos personales, firma digital, delitos informáticos, así como también todo el marco normativo interno de seguridad de la información. Para lo cual se establece realizar revisiones de cumplimiento y de auditoría en los sistemas de información, infraestructura tecnológica y en los procesos existentes.
1. Introducción
Si bien el uso de las actuales tecnologías informáticas, permiten procesar grandes cantidades de información, estas tecnologías están expuestas a múltiples amenazas, más aún, cuando no se cuenta con una correcta gestión de la seguridad de la información.
La Política de Seguridad de la Información (PSI), nos brinda un marco para proteger la información y garantizar la continuidad de las operaciones de los sistemas de información, asegurando de este modo el cumplimiento eficiente de los objetivos de la Secretaría General de la Presidencia de la Nación, siendo para ello necesario, el compromiso manifiesto de las máximas autoridades de la Secretaría General de la Presidencia de la Nación y de los titulares de todas las unidades organizativas, para promover la difusión, consolidación y cumplimiento de la política de seguridad adoptada, con el fin que estos principios lleguen a formar parte de la cultura organizacional.
La presente Política de Seguridad de la Información (PSI) será utilizada como base para establecer un conjunto de normas, procedimientos, lineamientos y guías acordes a los procesos que se llevan adelante en el organismo, su plataforma tecnológica y demás recursos de los que disponga.
1.1 Alcance
La presente Política de Seguridad de la Información se dicta en cumplimiento de las disposiciones legales vigentes y deberá ser conocida y cumplida por todo el personal de la Secretaría General de la Presidencia de la Nación - funcionarios y personal-, sea cual fuere su nivel escalafonario, su situación de revista o modalidad contractual.
Esta Política se aplica en todo el ámbito de la Secretaría General de la Presidencia de la Nación, a todos sus recursos y a la totalidad de los procesos, ya sean estos internos, externos o vinculado a través de acuerdos o contratos con terceros.
1.2 Objetivo
El objetivo de la presente política, es proteger los activos de información y los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación, que se utilizan en la recopilación, procesamiento, almacenamiento y transmisión frente a amenazas internas o externas, pudiendo ser estas deliberadas o accidentales, mediante la implementación de un adecuado conjunto de controles, que incluyen, políticas, procesos, procedimientos, estructura organizacional, funciones de software y hardware, identificación de recursos y partidas presupuestarias necesarias para alcanzar dichos objetivos.
2. Lineamientos
2.1 Principios
La presente política se basa en principios básicos que rigen la Seguridad de la Información y principalmente en la confidencialidad, integridad y disponibilidad de la información, así como en el principio de la continuidad operacional.
2.2 Responsabilidad
Es responsabilidad de la Secretaría General de la Presidencia de la Nación dar a conocer e implementar la Política de Seguridad de la Información, como parte de sus herramientas de gobierno y gestión. Así también debe promover y dar efectivo cumplimiento a los estándares, procedimientos y lineamientos que garanticen su acatamiento.
2.3 Acatamiento
La presente Política de Seguridad de la Información, expresa declaraciones respecto a temáticas inherentes a la seguridad que resultan de cumplimiento obligatorio, motivo por el cual la terminología utilizada es de imperativo acatamiento.
2.4 Excepciones
Todas las excepciones a la Política de Seguridad de la Información, deberán ser formalmente documentadas, registradas y revisadas.
La excepción al cumplimiento de la presente Política de Seguridad será solicitada expresamente por el Responsable de la Dirección interesada y el Responsable de la Seguridad de la Información (RSI) decidirá, antes de su implementación, si así correspondiera.
2.5 Marco Legal
Todas las definiciones de la presente Política de Seguridad de la Información son concordantes con la legislación vigente, en especial:
Como también a los estándares internacionalmente aceptados para la práctica de seguridad de la información, particularmente respecto de:
3. Términos y Definiciones
Se entiende a la seguridad de la información como la preservación de los siguientes principios:
A los efectos de una correcta interpretación de la presente política, se realizan las siguientes definiciones:
4. Organización del documento Política de Seguridad de la Información
Siguiendo los lineamientos contemplados en el Anexo I “REQUISITOS MÍNIMOS DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DEL SECTOR PÚBLICO NACIONAL” aprobado por la Decisión Administrativa N° 641/21, se establecen catorce (14) directrices para organizar la presente Política de Seguridad de la Información:
5. Gestión de Políticas y Normativas de Seguridad
Objetivo
Proteger los recursos de información de la Secretaría General de la Presidencia de la Nación y la tecnología utilizada para su procesamiento, frente a amenazas, internas o externas, deliberadas o accidentales, con el fin de asegurar el cumplimiento de la confidencialidad, integridad, disponibilidad, legalidad y confiabilidad de la información.
Proporcionar a la Secretaría General de la Presidencia de la Nación, la dirección y soporte para la seguridad de la información en concordancia con los requerimientos y las leyes y regulaciones relevantes. se establecerá claramente la dirección de la política en línea con los objetivos.
5.1 Políticas y Normativas de Seguridad
5.1.1 Política de Seguridad de la Información
La presente Política de Seguridad de la Información, una vez aprobada por el Señor Secretario General de la Presidencia de la Nación, entrará en vigencia a partir del día siguiente de su publicación en el Boletín Oficial.
5.1.2 Políticas y Normativas Complementarias
La “Política de Uso Aceptable de los Recursos de Tecnología de la Información” (PUA), establecerá las normas de conducta razonable, que deben observar los funcionarios y agentes de la Secretaría General de la Presidencia de la Nación cuando utilicen los recursos informáticos puestos a su disposición, con la finalidad de minimizar riesgos producto del mal uso de los mismos. De la misma manera, podrán existir otra serie de políticas y normativas más detalladas, aplicables en áreas específicas.
Por ello se establecerán las siguientes jerarquías respecto a la documentación de seguridad, a fin de garantizar que los objetivos y medidas establecidos en la presente política de seguridad cuente con un orden establecido:
5.1.3 Revisión de Políticas
La Política de Seguridad de la Información y la Política de Uso Aceptable de los Recursos de Tecnología de la Información, deberán ser revisadas cada 12 meses, contados a partir de la fecha de su publicación, o cuando ocurran cambios significativos referidos a las políticas adoptadas y deban ser aprobadas por el Responsable de la Seguridad de la Información.
La Política de Seguridad de la Información y la Política de Uso Aceptable de los Recursos de Tecnología de la Información deben poseer un responsable de las actividades de desarrollo, evaluación y revisión de la política.
La actividad de revisión debe incluir las oportunidades de mejoras, en respuesta a los cambios, entre otros, organizacionales, normativos o tecnológicos.
6. Política Organizativa
Objetivos
Administrar la seguridad de la información dentro de la Secretaría General de la Presidencia de la Nación y establecer un marco gerencial para iniciar y controlar su implementación, así como para la distribución de funciones y responsabilidades.
Fomentar la consulta y cooperación con Organismos especializados para la obtención de asesoría en materia de seguridad de la información.
Garantizar la aplicación de medidas de seguridad adecuadas en los accesos de terceros a la información de la Secretaría General de la Presidencia de la Nación.
6.1 Organización Interna
6.1.1 Compromiso del Comité de Control de Seguridad Informática
El Comité de Control de Seguridad Informática de la SGP se compromete con la seguridad de la información a través de una orientación clara, mostrando compromiso, asignando roles y asumiendo las responsabilidades establecidas en el presente.
Revisará y previa conformidad, propondrá al Secretario General la aprobación de la política de seguridad de la información, que fuera elevada previamente por el Responsable de la Seguridad de la Información. Así también, revisará los beneficios de su implementación.
La seguridad de la información es responsabilidad de la Secretaría General de la Presidencia de la Nación compartida por todas las Autoridades políticas y Directores Nacionales o Generales, Directores o equivalentes, por lo cual se crea el Comité de Control de Seguridad Informática, quien cumplirá la función de impulsar la implementación de la presente Política.
Se crea el Comité de Control de Seguridad Informática, integrado por los responsables de las siguientes Direcciones y Subsecretarías:
El Comité presentará la evolución de los planes, programas y objetivos para su aprobación y apoyo.
El Comité de Control de Seguridad Informática tendrá entre sus funciones:
6.1.2 Responsable de la Seguridad de la Información (RSI)
La “Dirección de Seguridad Informática” -área con competencia en la materia conforme el Decreto N° 194/20- tiene a su cargo las funciones relativas a la seguridad de los sistemas de información de la SGP y procesos asociados, así como también se le asigna como Responsable de la Seguridad de la Información la supervisión de todos los aspectos inherentes a la seguridad tratados en la presente política.
En ese carácter, elabora, propone y eleva al Comité de Control de Seguridad Informática para su aprobación posterior, la política de seguridad de la información y sus actualizaciones. Asimismo, la Dirección de Seguridad Informática, será responsable de que las actividades de seguridad sean ejecutadas de conformidad con la Política de Seguridad de la Información. Para ello, deberá:
6.1.3 Asignación de Responsabilidades de la Seguridad de la Información
6.1.4 Propietarios de la Información
Se designarán propietarios de la información que se procesa y almacena en la Secretaría General de la Presidencia de la Nación a los responsables de las Direcciones o Coordinaciones que utilizan dicha información.
Si bien los propietarios de la información podrán delegar la administración de sus funciones a personal idóneo, seguirán conservando la responsabilidad sobre la misma.
La asignación de la responsabilidad de la información deberá ser formalmente documentada y proporcionada al Responsable de la Seguridad de la Información (RSI), debiendo registrarse descripción de la información, propietario, procesos involucrados, área, recursos asociados, responsable técnico y cualquier otra información que sea relevante.
6.1.5 Autorización de Equipamiento para Procesamiento de Información
Los nuevos recursos de procesamiento de información deberán ser autorizados por la Dirección General de Tecnología Informática y Telecomunicaciones en conjunto con el Responsable de la Seguridad de la Información (RSI), a fin de garantizar que se cumplan todas las Políticas y requerimientos de seguridad existentes.
El uso de recursos personales de procesamiento de información en el lugar de trabajo puede ocasionar nuevas vulnerabilidades. En consecuencia, su uso será evaluado y autorizado por la Dirección General de Tecnología Informática y Telecomunicaciones en conjunto con el Responsable de la Seguridad de la Información, siguiendo las directrices del punto 6.2.2 Dispositivos Móviles Personales.
6.1.6 Acuerdo de confidencialidad
Se definirán, implementarán y revisarán regularmente los acuerdos de confidencialidad o de no divulgación para asegurar la protección de la información de la Secretaría General de la Presidencia de la Nación que deberán ser firmados por la totalidad del personal de la Secretaría General de la Presidencia de la Nación, cualquiera sea su situación de revista como también por terceros que tengan relaciones contractuales con la Secretaría General de la Presidencia de la Nación.
Mediante este instrumento el empleado se comprometerá a utilizar la información solamente para el uso específico al que se ha destinado y a no transferir, publicar o divulgar la información a persona humana o jurídica, salvo autorización previa y por escrito del Responsable del Activo de que se trate.
6.1.7 Contacto con otros organismos
A efectos de intercambiar experiencias, obtener asesoramiento o capacitación para el mejoramiento de las prácticas y controles de seguridad, se mantendrán contactos con otros organismos especializados en temas relativos a la seguridad informática.
El intercambio de información confidencial para fines de asesoramiento o de transmisión de experiencias, sólo se permitirá cuando se haya firmado previamente un Acuerdo de Confidencialidad con aquellas organizaciones públicas y privadas especializadas en temas relativos a la seguridad de la Información.
6.1.8 Contacto con grupos especializados en seguridad informática
El responsable de la Seguridad de la Información, coordinará los conocimientos y las experiencias disponibles en la Secretaría General de la Presidencia de la Nación en materia de seguridad de la información, promoviendo su capacitación continua que impartirá la Dirección Seguridad Informática.
Promoverá la asistencia y contacto con eventos, grupos, foros o asociaciones especializados de seguridad informática, con el fin de actualizar los conocimientos en materia de seguridad de la información del área, fomentará el intercambio con otros organismos de alertas tempranas, avisos y recomendaciones ante la aparición de nuevas vulnerabilidades o formas de violar la seguridad implementada.
A su vez la Dirección Seguridad Informática informara al CERT NACIONAL (CENTRO NACIONAL DE RESPUESTA A INCIDENTES INFORMÁTICOS) para interactuar y cooperar frente a incidentes de seguridad a nivel nacional.
6.1.9 Seguridad de la información en la gestión de proyectos
Se deberá contemplar al Responsable de la Seguridad de la Información en la gestión de proyectos, a efectos de garantizar que se reflejen adecuadamente las disposiciones de la Política de Seguridad de la Información en los mismos.
6.1.10 Segregación de Funciones
Se deberá diseñar el esquema de roles, segregando funciones y áreas de responsabilidades para evitar el conflicto de intereses con el objeto de reducir modificaciones no autorizadas o el mal uso de la información o servicios.
6.2 Dispositivos Móviles y Trabajo Remoto
6.2.1 Dispositivos Móviles de la Secretaria General de la Nación
Todo dispositivo móvil perteneciente a la Secretaría General de la Presidencia de la Nación (laptop, notebooks, notebooks tabletas, teléfonos celulares, etc.), que pudiera contener información de la Secretaría General de la Presidencia de la Nación, deberá cumplir con medidas seguridad adecuadas para proteger el dispositivo móvil y la información que contiene, contra todos los riesgos derivados del uso del mismo.
Por lo cual se deberán desarrollar procedimientos para asegurar al dispositivo móvil y la información contenida, debiendo tener en cuenta los siguientes conceptos:
Se confeccionará un procedimiento que permita al poseedor del dispositivo reportar rápidamente cualquier incidente sufrido y de esta manera mitigar los riesgos a los que eventualmente estuviera exponiendo a la SGP ante la ocurrencia del incidente, los que incluirán:
6.2.2 Dispositivos Móviles Personales
Cuando sea necesario el uso de equipamiento personal, en las instalaciones de la Secretaría General de la Presidencia de la Nación, este deberá ser evaluado y autorizado por el Responsable de la Seguridad de la Información en conjunto con la Dirección General de Tecnología Informática y Telecomunicaciones.
Todo dispositivo móvil no perteneciente a la Secretaría General de la Presidencia de la Nación (laptop, notebooks, notebooks tabletas, teléfonos celulares, etc.) deberá cumplir con las medidas de seguridad adecuadas con el fin de proteger los recursos informáticos a los cuales accede.
Se deberán desarrollar procedimientos para estos dispositivos, que abarquen los siguientes conceptos:
6.2.3 Trabajo a Distancia
El trabajo a distancia deberá ser autorizado y solicitado por la Dirección a la cual pertenezca el usuario, el Responsable de la Seguridad de la Información evaluará tal solicitud en conjunto con la Dirección General de Tecnología Informática y Telecomunicaciones y sólo serán contempladas situaciones que justifiquen la imposibilidad de otra forma de acceso o ante urgencias.
Estos casos serán de excepción tomando en consideración situaciones que justifiquen la imposibilidad de otra forma de acceso y la urgencia, tales como horarios de la Secretaría General de la Presidencia de la Nación, solicitud de las autoridades, etc.
Los controles y disposiciones comprenden:
7. Política de Recursos Humanos
Objetivos
Reducir los riesgos de error humano, comisión de ilícitos, uso inadecuado de instalaciones y recursos, y manejo no autorizado de la información.
Explicitar las responsabilidades en materia de seguridad en la etapa de reclutamiento de personal e incluirlas en los acuerdos de confidencialidad a firmarse y verificar su cumplimiento durante el desempeño del individuo como empleado.
Garantizar que los usuarios estén al corriente de las amenazas e incumbencias en materia de seguridad de la información, y se encuentren capacitados para respaldar la Política de Seguridad de la Secretaría General de la Presidencia de la Nación en el transcurso de sus tareas normales.
Establecer Compromisos de Confidencialidad con todo el personal y usuarios externos de las instalaciones de procesamiento de información.
Establecer las herramientas y mecanismos necesarios para promover la comunicación de debilidades existentes en materia de seguridad, así como de los incidentes ocurridos, con el objeto de minimizar sus efectos y prevenir su reincidencia.
7.1 Antes del empleo
7.1.1 Funciones y Responsabilidades del Puesto de Trabajo
Las funciones y responsabilidades en materia de seguridad deberán ser incorporadas en la descripción de las responsabilidades de los puestos de trabajo.
Además, se incluirán las responsabilidades generales relacionadas con la implementación de la Política de Seguridad de la Información, la Política de Uso Aceptable de los Recursos de Tecnología de la Información y las responsabilidades específicas vinculadas a la protección de cada uno de los activos o la ejecución de procesos o actividades a realizar en los puestos de trabajo.
Deberán definirse y comunicarse claramente los roles y responsabilidades de seguridad a los candidatos para el puesto de trabajo durante el proceso de preselección.
7.1.2 Revisión de Antecedentes
Se deberán realizar revisiones de antecedentes referidos a currículum, referencias, títulos académicos, etc., de los postulantes al empleo, en concordancia con el puesto y activos a los cuales tendrá acceso. Teniendo en consideración las regulaciones vigentes, ética y leyes relevantes.
7.2 Inicio del empleo
7.2.1 Aceptación de Términos y Condiciones de Contratación
Toda persona que se incorpore a la SGP, cualquiera sea la modalidad de contrato, deberá firmar el “Acuerdo de Confidencialidad” y la “Política de Uso Aceptable de los Recursos de Tecnología de la Información”. En virtud de ello, el agente conoce y acepta el control y monitoreo del uso de los recursos tecnológicos que utilizará en el desempeño de sus tareas.
Las copias así firmadas quedarán a resguardo en la Dirección General de Recursos Humanos.
7.3 Durante el empleo
7.3.1 Responsabilidad de la Dirección
Las direcciones - en todos los niveles - impulsarán que se aplique la política de seguridad de la información en concordancia con las pautas y procedimientos establecidos, por lo que deberán también informar de su existencia y las expectativas de cumplimiento en el desempeño de sus funciones.
7.3.2 Concientización, formación y capacitación en seguridad de la información
Se deberán realizar tareas de capacitación y concientización de las políticas, normativas y procedimientos dirigidos a todos los agentes que se desempeñen en el ámbito de la Secretaría General de la Presidencia de la Nación. Dicha capacitación comprenderá requerimientos de seguridad, responsabilidades legales, uso correcto de los dispositivos tecnológicos asignados y el uso correcto de los recursos en general.
7.3.3 Procedimiento disciplinario
La Secretaría General de la Presidencia de la Nación podrá iniciar un procedimiento administrativo disciplinario, con el objeto de sancionar administrativamente, según la normativa vigente, a todos aquellos agentes, sea cual fuere su situación de revista, que violen las Políticas, Normas y Procedimientos de Seguridad.
Los agentes que desempeñan sus tareas en el ámbito de la SGP, sea cual fuere su nivel escalafonario y su situación de revista incurrirán también, en su caso, en responsabilidad civil o patrimonial, si ocasionan daños sobre los bienes y/o recursos aquí contemplados.
Podrán, asimismo incurrir en responsabilidad penal cuando su conducta se encuentre tipificada y constituya un comportamiento considerado delito por la Ley N° 26.388 de Delitos Informáticos, Ley N° 17.622 de Estadística y Censos y demás leyes especiales.
7.4 Cese del empleo o Cambio de puesto de trabajo
7.4.1 Responsabilidad del Cese o Cambio
Se deberán definir procedimientos y asignar responsabilidades para controlar que los procesos de cambio de función y desvinculación laboral de los empleados, contratistas o terceras personas no afecte el normal desempeño de las actividades de la Secretaría General de la Presidencia de la Nación.
7.4.2 Transferencia de Conocimientos
Los agentes que prestan servicios en la SGP que tengan conocimiento relevante de ciertas operaciones y dicho conocimiento sea desconocido por el personal restante del área donde prestan servicios, deberán documentar dicha información y transferirla a la Secretaría General de la Presidencia de la Nación antes de proceder a su desvinculación.
8. Política de Gestión de Activos
Objetivos
8.1 Responsabilidad sobre los Activos
8.1.1 Inventario de activos
Se deberá mantener un inventario de activos preciso y actualizado, debiendo ser revisado con una periodicidad no mayor de tres meses, cada activo deberá poseer un propietario asignado.
Todos los activos deberán estar claramente identificados y tipificados según sea:
8.1.2 Responsables de Activos
Deberá designarse responsables de los activos registrados, quienes deberán:
La implementación de los controles de seguridad podrá ser delegada a personal especializado, como también la gestión técnica u operativa.
8.1.3 Uso Aceptable de Activos de Tecnología
Se identificarán, documentarán y definirán normativas generales para el uso de los activos de tecnología, en el documento “Política de Uso Aceptable de los Recursos de Tecnología de la Información”.
Todos los agentes, sin importar su situación de revista, contratistas y usuarios de terceras partes deberán seguir las reglas establecidas para el uso aceptable de los activos de tecnología de la información.
Toda excepción a la normativa deberá ser autorizada por el máximo responsable del área que solicita la excepción al cumplimiento de dicha normativa.
8.1.4 Devolución de Activos
Todos los empleados, contratistas y usuarios de terceras partes deberán devolver todos los activos (equipamiento tecnológico, software, documentos, tarjetas de ingreso, etc.) que les fueron asignados, pero no inmediatamente en la terminación de su empleo, contrato o acuerdo. Por tal razón deberá existir un Procedimiento de Repliegue de Bienes, como también un Procedimiento de Devolución de Dispositivos Digitales Portátiles, para el adecuado cumplimiento de esta tarea.
8.2 Política de Clasificación de la Información
8.2.1 Directrices de Clasificación de la Información
Se deberán definir procedimientos de clasificación y etiquetado, para determinar la criticidad de la información que se administra en la Secretaría General de la Presidencia de la Nación, en base a las tres características de seguridad de la información: confidencialidad, integridad y disponibilidad.
8.2.2 Etiquetado y Manipulado de Activos de Información
Se deberá definir procedimientos de etiquetado y de manejo de los activos de información, de acuerdo al esquema de clasificación establecido y criticidad de la información. Los mismos contemplarán los recursos de información tanto en formatos físicos como electrónicos e incorporarán las actividades de procesamiento de la información referidos a copias, almacenamiento, transmisión por correo electrónico, telefonía o transmisiones de datos a través de sistemas de intercambio de archivos.
Para cada uno de los niveles de clasificación, se deben definir los procedimientos de manejo seguros, incluyendo las actividades de procesamiento, almacenaje, transmisión, desclasificación y destrucción.
8.3 Gestión de Soportes de Almacenamiento
8.3.1 Soportes Removibles
Se deberán implementar procedimientos para la gestión de los soportes informáticos extraíbles. Debiendo considerarse aspectos tales como la autorización y registro del retiro de soportes de almacenamiento removibles fuera de los edificios de la Secretaría General de la Presidencia de la Nación.
Se deberán almacenar los soportes de medio extraíbles (cintas magnéticas, discos externos, etc.) en un ambiente seguro y protegido, teniendo en cuenta la criticidad de la información contenida y las especificaciones de los fabricantes o proveedores del soporte de almacenamiento. Para ello, se podrá contar con la opción de una Caja de Seguridad para el resguardo de los elementos antedichos.
8.3.2 Eliminación Segura de Soportes de Información
Se deberán implementar procedimientos para el borrado seguro de la información al declararse la baja del soporte de almacenamiento que lo contiene, como también procedimientos de borrado seguro para las operaciones de reciclado de los dispositivos de almacenamiento, teniendo en cuenta que el mecanismo de eliminación debe contemplar el tipo de dispositivo y la criticidad de la información contenida.
Los procedimientos de eliminación segura deberán considerar elementos de soporte de información, tales como papeles, cintas magnéticas (datos, audio y video), discos magnéticos, dispositivos de almacenamiento óptico, unidades extraíbles de estado sólido y cualquier otra tecnología o soporte de almacenamiento de datos.
Los medios de almacenamiento, que no puedan ser reutilizables, deberán ser destruidos físicamente de manera apropiada, para que la información contenida, no pueda ser recuperada utilizando técnicas forenses.
8.3.3 Tránsito de Soportes de Almacenamiento
Se deberá proteger la información y los soportes de almacenamiento en tránsito, conforme a la sensibilidad y criticidad de la información a transportar. Razón por la cual se deben definir procedimientos de transporte de soportes de almacenamiento, teniendo en cuenta el cifrado de la información contenida en el soporte, utilización de servicios de mensajería confiables, la adopción de embalajes sellados, entrega en mano, o cualquier otro mecanismo para asegurar el soporte de almacenamiento durante el tránsito del mismo.
9. Política de Control de Accesos
Objetivos
Impedir el acceso no autorizado a los sistemas de información, bases de datos y servicios de información. Implementar seguridad en los accesos de usuarios por medio de técnicas de autenticación y autorización.
Controlar la seguridad en la conexión entre la red de la Secretaría General de la Presidencia de la Nación y otras redes públicas o privadas.
Registrar y revisar eventos y actividades críticas llevadas a cabo por los usuarios en los sistemas.
Concientizar a los usuarios respecto de su responsabilidad frente a la utilización de contraseñas y equipos.
Garantizar la seguridad de la información cuando se utiliza computación móvil e instalaciones de trabajo remoto.
9.1 Requerimientos para el Control de Accesos
9.1.1 Política de Gestión de Accesos
Se controlará el acceso a la información y a los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación. Se definirán procedimientos que tengan en cuenta aspectos tales como:
9.1.2 Control de Acceso a las Redes
Los usuarios tendrán acceso solo a la red y a los servicios de red que hubieran sido específicamente autorizados.
9.2 Gestión de Acceso de Usuarios
9.2.1 Creación e Inhabilitación de Cuentas de usuario
Cada usuario deberá tener un identificador unívoco denominado “cuenta de usuario”, el cual será de uso personal y exclusivo, cuyo fin será garantizar la trazabilidad de las operaciones efectuadas por él.
Se deberán definir procedimientos que permitan crear e inhabilitar cuentas de usuarios, con el fin de otorgar y revocar el acceso a los sistemas, bases de datos y servicios de información. Dichos procedimientos deberán:
En el caso de existir excepciones para evitar inhabilitar cuentas de usuario, estas deberán ser debidamente justificadas y aprobadas por el Responsable de la Seguridad de la Información.
9.2.2 Gestión de Asignación de Permisos de Acceso
Se controlará la asignación y uso de privilegios a todas las cuentas de todos los sistemas y servicios.
Los responsables de Información (Subsecretaria, Directores Generales y Directores) serán los encargados de aprobar la asignación de los permisos de acceso y solicitar su implementación con la autorización también, del Responsable de la Seguridad de la Información.
El proceso de autorización deberá tener en cuenta los siguientes aspectos:
9.2.3 Gestión de Asignación de Permisos de Acceso con Privilegios Especiales
La asignación y uso de derechos de acceso con privilegios especiales, deberá seguir la misma política de permisos de acceso definida previamente, pero además se deberá considerar los siguientes aspectos:
9.2.4 Distribución de Contraseñas y de Dispositivos de Acceso
Se deberán establecer procedimientos para la distribución segura de contraseñas o de cualquier otro tipo de dispositivos o mecanismos de autenticación. No por correo electrónico la credencial compuesta por usuario y contraseña en texto plano.
9.2.5 Revisión de Derechos de Acceso de los Usuarios
A fin de mantener un control eficiente del acceso a los datos y servicios de información, el Responsable de la Seguridad de la Información, podrá llevar a cabo, procesos formales de revisión de todos los accesos.
Se deberán revisar periódicamente, los derechos de acceso y privilegios asignados a los usuarios, a fin de verificar que los mismos hayan sido autorizadas debidamente.
9.2.6 Revocación y Cambios de Derechos de Acceso
Se deberán implementar procedimientos formales para la revocación y cambios de derechos de acceso de los usuarios en todos los sistemas y servicios.
Tras la desvinculación del usuario, se deberán inhabilitar los derechos de acceso a todos los sistemas y servicios de información utilizados por el individuo.
Ante un cambio de función de un usuario, se deberán remover todos los derechos de acceso que no fueron aprobados para la nueva función, comprendiendo todos los derechos de accesos lógicos y físicos, como ser llaves, tarjetas de identificación y accesos a instalaciones de procesamiento de la información.
Se deberán cambiar las contraseñas de acceso que pudiera conocer el agente, contratista o usuario de tercera parte, tras la finalización de vínculo o ante un cambio de función, cuando dicha contraseña formara parte de una credencial de acceso de administración aún activa.
9.3 Responsabilidades del Usuario
9.3.1 Responsabilidad en el uso de las Contraseñas
Los usuarios deberán seguir las buenas prácticas de seguridad referidas al uso de contraseñas en concordancia con la política 9.4.4 Gestión de Contraseñas de Usuarios.
Debiendo cumplir con las siguientes premisas:
9.4 Control de Acceso a Sistemas y Aplicaciones
9.4.1 Política de Utilización de los Servicios de Red
Se restringirá y controlará el acceso a los servicios de red tanto internos como externos, en concordancia con el punto 9.2 Gestión de Acceso de Usuarios, para garantizar que los usuarios que accedan a las redes y a sus servicios no comprometan la seguridad de los mismos.
El Responsable de la Seguridad de la Información autorizará el acceso a los recursos de red, servicios e información, únicamente mediante un pedido formal del titular de la Dirección propietaria de la información a la cual se pretende acceder.
Se deberán desarrollar procedimientos para conceder o derogar derechos de acceso a la información, identificando las redes y servicios a los cuales se concedió el acceso.
9.4.2 Procedimientos Seguros de Inicio de Sesión
El acceso a los servicios de información deberá ser posible, solo a través de un proceso de inicio de sesión segura, no deberá divulgar ningún indicio que provea asistencia a usuarios no autorizados.
En el proceso de inicio seguro deberá:
9.4.3 Autentificación de Usuarios para Conexiones Externas
Las conexiones externas representan un gran riesgo para la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación. Por consiguiente, el acceso de usuarios remotos estará estrictamente limitado y sujeto al cumplimiento de procesos de aprobación, los cuales deberán requerir de la expresa autorización del Director del área de pertenencia y de la Dirección de Seguridad Informática.
Se deberá considerar la implementación de mecanismos de autenticación extras a la credencial de acceso (usuario y contraseña), es decir, el uso de más de un factor de autenticación, mediante métodos de autenticación física (tokens), tarjetas coordenadas, o bien cualquier otro mecanismo que refuerce la identificación de la conexión externa.
Cuando se utilicen mecanismos de autenticación físicos, deben implementarse procedimientos que incluyan, asignación de la herramienta de autenticación, registro de los poseedores de dichos autenticadores, mecanismo de rescate al momento de la desvinculación del personal al que se le otorgó y procedimiento de revocación de acceso del autenticador, en caso de compromiso de seguridad (pérdida o robo).
Las conexiones externas deberán estar cifradas, con algoritmos actualizados, pudiendo ser de dos tipos:
Se deberá asignar preferentemente conectividad al “Portal Web de Acceso Remoto”, salvo pedido expreso que deberá ser evaluado por la Dirección de Seguridad Informática.
9.4.4 Gestión de Contraseñas de Usuarios
Se deberán implementar sistemas gestores de contraseñas que garanticen la confidencialidad y eficiencia en la administración de las mismas, en concordancia con la política 9.3.1 Responsabilidad en el uso de las Contraseñas y la política 9.2.4 Distribución de Contraseñas y de Dispositivos de Acceso.
Se deberá controlar la gestión de contraseñas mediante un proceso formal que deberá tener en consideración los siguientes aspectos:
9.4.5 Gestión de Contraseñas Críticas
Las cuentas administrativas genéricas (administrador, root, admin, etc.) con privilegios especiales para efectuar actividades críticas serán resguardadas de manera especial y sólo serán utilizadas ante necesidades específicas para realizar tareas de contingencia, recupero o reconfiguración que lo requieran.
El Responsable de la Seguridad de la Información definirá el procedimiento para la administración de contraseñas críticas que contemplará los siguientes aspectos.
9.4.6 Detección de Aplicaciones de Riesgo
Se deberán implementar controles para detectar y restringir el uso de sistemas, aplicaciones y utilidades de software que pudieran anular o evitar los controles de seguridad o que pudieran usarse para evaluar la seguridad de la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación sin haber sido debidamente autorizadas.
9.4.7 Acceso a Internet
El acceso a internet deberá ser utilizado para propósitos laborales.
Se habilitará el acceso básico a Internet a todos los agentes que cuenten con una cuenta de usuario, estableciéndose pautas de utilización de internet para todos los usuarios conforme al documento “Política de Uso Aceptable de los Recursos de Tecnología de la Información”.
Se deberán definir procedimientos para solicitar y aprobar accesos a sitios restringidos de Internet. Dichos accesos deberán ser solicitados por el responsable de la Dirección a cargo del personal que lo requiera.
Se registrarán los accesos de todos los usuarios a internet, con el objeto de realizar revisiones de auditoría o análisis forense ante incidentes de seguridad.
Con el objeto de minimizar el riesgo de violación a la seguridad a través del uso incorrecto del servicio de internet, se deberán seguir las siguientes pautas de cumplimiento:
9.4.8 Control de Acceso al Código Fuente
Se deberá restringir y controlar el acceso al código fuente de las aplicaciones de software desarrolladas en la Secretaría General de la Presidencia de la Nación, con el fin de evitar que sean introducidos cambios sin la debida autorización y control de las áreas involucradas o copia no autorizada del código fuente.
Se deberá definir un responsable de la función de “Administrador de Código Fuentes”, quien tendrá a cargo la custodia de los programas fuentes y deberá llevar un registro actualizado de todos los programas fuentes en uso, indicando nombre del programa, programador, Analista Responsable que autorizó, versión, fecha de última modificación y fecha / hora de compilación y estado (en modificación, en producción).
Se deberá establecer que todo programa objeto o ejecutable en producción tenga un único programa fuente asociado que garantice su origen, es decir que exista trazabilidad de versión entre el programa objeto y el código fuente.
Se deberá establecer la existencia de un implementador de producción, el cual será el responsable del pase a producción.
Se deberá desarrollar un procedimiento que garantice que toda vez que se migre a producción el módulo fuente, se cree el código ejecutable correspondiente en forma automática.
Se deberá prohibir el resguardo de programas fuentes históricos (que no sean los correspondientes a los programas operativos) en el ambiente de producción.
Se deberá prohibir el acceso a todo operador y/o usuario de aplicaciones a los ambientes y a las herramientas que permitan la generación y/o manipulación de los programas fuentes.
Se deberán realizar copias de respaldo de los programas fuentes cumpliendo los requisitos de seguridad establecidos por la Secretaría General de la Presidencia de la Nación en los procedimientos que surgen de la presente política, teniendo para ello presente, el punto 12.3.1 Copia de Resguardo y Restauración.
9.4.9 Identificación Automática de Estaciones de Trabajo
Se deberá tener en cuenta la identificación automática de las estaciones de trabajo conectadas a la red interna de la Secretaría General de la Presidencia de la Nación, con el objeto de validar las conexiones generadas, debiendo segregarse de la red, aquellas estaciones de trabajo que no estuvieran normalizadas según las directivas de seguridad preestablecidas o que no pudieran identificarse debidamente.
9.4.10 Identificación y Autenticación de los Usuarios
Se deberán seguir expresamente las siguientes directivas:
Todos los usuarios (incluido el personal de soporte técnico, como los operadores, administradores de red, programadores de sistemas y administradores de bases de datos) tendrán un identificador univoco (ID de usuario) solamente para su uso personal exclusivo, de manera que las actividades puedan rastrearse con posterioridad hasta llegar al individuo responsable, a fin de garantizar la trazabilidad de las transacciones. Los identificadores de usuario no darán ningún indicio del nivel de privilegio otorgado.
En circunstancias excepcionales, cuando existaun claro beneficio parala Secretaría General de la Presidencia de la Nación, podrá utilizarse un identificador compartido para un grupo de usuarios o una tarea específica. Se documentará la justificación y se registrará la aprobación del Propietario de la Información.
Si se utiliza un método de autenticación físico (por ejemplo, autenticadores de hardware), debe implementarse un procedimiento que incluya:
10. Política de Criptografía
Objetivos
Garantizar el uso adecuado y eficaz de la criptografía para proteger la confidencialidad, no repudio, la autenticidad y/o la integridad de la información.
10.1 Cumplimiento de Requisitos
10.1.1 Política de Uso de Controles Criptográficos
Se utilizarán sistemas y técnicas criptográficas para el resguardo de la información, con el fin de asegurar una adecuada protección de su confidencialidad. Se deberá asegurar la información y las comunicaciones mediante la utilización de controles criptográficos, en los siguientes casos:
Se deberán utilizar algoritmos de cifrado robustos, que deberán ser validados periódicamente por el Responsable de la Seguridad de la Información, con el objeto de evitar el uso de algoritmos de cifrado obsoletos, producto del avance de las técnicas de descifrado.
Al implementar la política de criptografía en la Secretaría General de la Presidencia de la Nación, se considerarán cuando sea necesario, los controles aplicables a la exportación e importación de tecnología criptográfica.
10.1.2 Firma Digital
Cuando sea necesario asegurar la autenticidad e integridad de los documentos electrónicos, los mismos deberán firmarse digitalmente.
Se deberán tomar los recaudos pertinentes para proteger la confidencialidad de las claves privadas, dichas claves deben ser resguardadas bajo el control exclusivo de su titular. Asimismo, es importante proteger la integridad de la clave pública, mediante el uso de un certificado de clave pública.
Se recomienda que las claves criptográficas utilizadas para firmar digitalmente no sean empleadas en procedimientos de cifrado de información.
Al utilizar firmas y certificados digitales, se deberá contemplar lo dispuesto en la Ley N° 25.506, el Decreto N° 2628/02 y normas complementarias.
10.1.3 Servicios de No Repudio
Se deberán utilizar los servicios de “no repudio”, cuando sea necesario garantizar transacciones electrónicas que pudieran generar disputas acerca de la ocurrencia y participación en las mismas. Es decir, cuando un individuo que envía el mensaje no pueda negar que es el emisor del mismo (no repudio en origen) y que el receptor no puede negar que recibió dicho mensaje (no repudio en destino), garantizando de este modo, la participación de las partes en dicha comunicación.
10.1.4 Procedimientos para la Gestión de Claves Criptográficas
Se deberá implementar un proceso seguro de administración de claves criptográficas para respaldar la utilización por parte de la Secretaría General de la Presidencia de la Nación de las claves secretas (en criptografía simétrica) y las claves privadas (en criptografía asimétrica), para protegerlas contra modificación, destrucción, copia y divulgación no autorizada.
Se deberán implementar los mecanismos y tomar los recaudos necesarios para proteger la confidencialidad de las claves privadas.
Por lo cual, se deberán redactar procedimientos que estipulen operaciones de:
11. Política Físico y Ambiental
Objetivo
Prevenir e impedir accesos no autorizados, daños e interferencia a las sedes, instalaciones e información de la Secretaría General de la Presidencia de la Nación.
Proteger el equipamiento de procesamiento de información crítica de la Secretaría General de la Presidencia de la Nación, ubicándolo en áreas protegidas y resguardadas por un perímetro de seguridad definido, con medidas de seguridad y controles de acceso apropiados. Asimismo, contemplar la protección del mismo en su traslado y permanencia fuera de las áreas protegidas, por motivos de mantenimiento u otros.
Controlar los factores ambientales que podrían perjudicar el correcto funcionamiento del equipamiento informático que alberga la información de la Secretaría General de la Presidencia de la Nación.
Implementar medidas para proteger la información manejada por el personal en las oficinas, en el marco normal de sus labores habituales.
Brindar protección proporcional a los riesgos identificados.
11.1 Áreas Seguras
11.1.1 Perímetro de seguridad física
Se deberán definir perímetros de seguridad, para proteger las áreas que contienen instalaciones de procesamiento de información, sala de los equipos de comunicaciones, instalaciones de suministro de energía eléctrica, instalaciones de aire acondicionado y cualquier otra área considerada crítica, que su puesta fuera de servicio o mal funcionamiento pueda entorpecer el normal funcionamiento de los sistemas de información de la Secretaría General de la Presidencia de la Nación.
11.1.2 Controles físicos de entrada
Todas las instalaciones edilicias de la Secretaría General de la Presidencia de la Nación deberán implementar controles de acceso físico y monitoreo mediante cámaras de seguridad para supervisar la entrada y salida de personas y materiales.
Se deberán registrar fecha, horario y motivo de la visita al ingresar a las áreas protegidas, ya que sólo se permitirá el acceso por motivos específicos y autorizados. Y se deberá registrar fecha y horario al egresar de dichas áreas.
Se deberá almacenar debidamente los registros de acceso a los efectos de auditorías o investigación de incidentes.
Se controlará y limitará el acceso a la información clasificada y a las instalaciones de procesamiento de información, exclusivamente a las personas autorizadas. Se mantendrá un registro protegido para permitir auditar todos los accesos.
Se deberá usar una identificación unívoca visible para todo el personal del área protegida e instruirlo acerca de cuestionar la presencia de desconocidos no escoltados por personal autorizado y a cualquier persona que no exhiba una identificación visible.
Se revisarán y actualizarán cada 6 meses los derechos de acceso a las áreas protegidas, dichos procesos serán documentados y firmados por el responsable de la Unidad Organizativa de la que dependa.
Se revisarán los registros de acceso a las áreas protegidas.
11.1.3 Seguridad de oficinas, despachos e instalaciones
Se aplicarán mecanismos extras de control de acceso de seguridad física y/o electrónica a las oficinas y salas de la Secretaría General de la Presidencia de la Nación, también definidas como áreas críticas, considerando la actividad desempeñada o el activo que administran.
Se definirán los siguientes sitios como áreas críticas, dada la actividad desarrollada en las mismas:
11.1.4 Protección contra amenazas de origen ambiental y externas
Deberán existir controles adecuadamente ubicados de protección física contra incendios.
Deberá existir personal de seguridad física para contrarrestar amenazas de revueltas internas y externas y resguardo las áreas protegidas.
11.1.5 Trabajo en áreas críticas
Para incrementar la seguridad de las áreas críticas, se deberán establecer controles y lineamientos adicionales, tanto para el personal de la Secretaría General de la Presidencia de la Nación, como las actividades desarrollas por terceros que tengan lugar en dichas áreas, como ser:
11.1.6 Áreas de acceso público, de carga y descarga
Se deberán establecer controles en las áreas de recepción, carga y descarga a fin de impedir accesos no autorizados a las instalaciones edilicias de la Secretaría General de la Presidencia de la Nación.
Las áreas de recepción, carga y descarga deberán estar aisladas de las instalaciones de procesamiento de información y de las áreas protegidas.
Para ello se establecerán controles físicos que considerarán los siguientes lineamientos:
11.2 Seguridad de los equipos
11.2.1 Emplazamiento y protección de equipos
El equipamiento deberá ser ubicado y protegido de tal manera que se reduzcan los riesgos ocasionados por amenazas, peligros ambientales y acceso a personas no autorizadas, teniendo en cuenta los siguientes puntos:
11.2.2 Seguridad en el suministro eléctrico
El equipamiento de procesamiento de datos deberá estar protegido ante posibles fallas en el suministro de energía u otras anomalías eléctricas.
Para asegurar la continuidad del suministro de energía, deberá contarse con equipamiento de Suministro de Energía Interrumpible (UPS) y grupo Generador de Energía Eléctrica de respaldo.
Se deberá proveer de iluminación de emergencia en caso de producirse una falla en el suministro principal de energía. Se deberá implementar además protección contra descargas eléctricas en todos los edificios y líneas de comunicaciones externas de acuerdo con las normativas vigentes, adoptando filtros de protección contra rayos a todas las líneas de ingreso de energía eléctrica y comunicaciones.
11.2.3 Seguridad del cableado
El cableado de comunicaciones que transporta datos y brinda apoyo a los servicios de información deberá estar protegido contra intercepción o daño. Por ello, el cableado deberá:
11.2.4 Mantenimiento del equipamiento informático
Se deberán realizar tareas periódicas de mantenimiento preventivodel equipamiento de procesamiento de datos y comunicaciones para asegurar su disponibilidad e integridad permanentes, de acuerdo con los intervalos de servicio y especificaciones recomendados por el proveedor y con la autorización formal del responsable de la Dirección de Seguridad Informática o la Comisión de Seguridad Informática. La Dirección mencionada, deberá mantener un listado actualizado del equipamiento con el detalle de la frecuencia en que se realizará el mantenimiento preventivo.
Se deberá eliminar la información confidencial que contenga cualquier equipamiento que sea necesario retirar, realizándose previamente las respectivas copias de resguardo.
11.2.5 Seguridad de los equipos fuera de las instalaciones
El uso de equipamiento destinado al procesamiento de información, fuera del ámbito de la Secretaría General de la Presidencia de la Nación, deberá ser autorizado por el responsable patrimonial. En caso que en el mismo se almacene información clasificada, debe ser aprobado además por el Propietario de la misma.
Cuando se autorice el uso de equipamiento informático fuera del ámbito de las dependencias de la Secretaría General de la Presidencia de la Nación, el mismo deberá contar con controles de seguridad preventivos ante pérdida, robo, daño o intercepción.
Se deberán respetar permanentemente las instrucciones del fabricante respecto del cuidado del activo. Asimismo, se mantendrá una adecuada cobertura de seguro para proteger el equipamiento fuera del ámbito de la Secretaría General de la Presidencia de la Nación, cuando el activo lo amerite.
11.2.6 Reutilización o Baja de equipamiento informático
Se deberán aplicar operaciones de borrado seguro a todo equipamiento informático, antes de que el mismo sea normalizado para su reutilización, previo resguardo de la información útil y licencias alojadas en dicho equipamiento, teniendo en cuenta las directivas mencionadas en el punto 8.3.2 Eliminación Segura de Soportes de Información.
11.2.7 Retiro de propiedad de la Secretaría General de la Presidencia de la Nación
El equipamiento, soportes de almacenamiento, información y software no se deberán retirar o transmitir fuera del ámbito de las dependencias de la Secretaría General de la Presidencia de la Nación sin previa autorización formal.
Se podrán llevar a cabo comprobaciones periódicas para detectar el retiro no autorizado de activos de la Secretaría General de la Presidencia de la Nación.
11.2.8 Pantallas Limpias
Los usuarios deberán cerrar las sesiones de las aplicaciones, sistemas y servicios de red, cuando no estén siendo usadas.
Los usuarios al ausentarse momentáneamente de su puesto de trabajo deberán cerrar la sesión activa o en su defecto, bloquear el equipo informático, para evitar el acceso indebido al mismo en su ausencia.
Se deberá establecer el bloqueo automático de las pantallas, cuando el equipo se encuentre desatendido por más de 5 (cinco) minutos con el objeto de evitar accesos no autorizados a los mismos.
Los usuarios deberán cerrar las sesiones activas al finalizar su jornada laboral y apagar el equipo informático o en su defecto cerrar las sesiones de servicios abiertos y activar el bloqueo del mismo cuando sea solicitado por el Responsable de la Seguridad de la Información para realizar tareas de mantenimiento fuera del horario laboral.
11.2.9 Escritorios Limpios
Los usuarios deberán proteger la información no pública que utilizan en sus tareas, no dejando documentación en papel u otro medio de almacenamiento (pendrives, unidades removibles, cd, etc.) sobre su puesto de trabajo sin ningún tipo de control.
Se deberá almacenar bajo llave en gabinetes seguros o cajas fuertes, cuando corresponda, los documentos en papel y soportes de almacenamiento que posean información sensible o crítica, cuando no estén siendo utilizados, especialmente fuera del horario de trabajo.
Se deberá retirar inmediatamente la información sensible o confidencial, una vez impresa.
Se deberán bloquear las fotocopiadoras fuera del horario normal de trabajo y proteger los puntos de recepción y envío de correo postal (primera vez que se las nombra).
12. Política de Seguridad en las Operaciones
Objetivo
Garantizar el funcionamiento correcto y seguro de las instalaciones de procesamiento de la información.
Establecer responsabilidades y procedimientos para su gestión y operación, incluyendo instrucciones operativas, procedimientos para la respuesta a incidentes y separación de funciones.
12.1 Procedimientos y Responsabilidades Operativas
12.1.1 Documentación de los Procedimientos Operativos
Los procedimientos operativos deberán ser identificados, documentados, actualizados y puestos a disposición de todos los usuarios que lo requieran. Las responsabilidades referidas a las tareas operativas deberán estar formalmente asignadas.
Los procedimientos especificarán instrucciones para la ejecución detallada de cada tarea, incluyendo:
12.1.2 Cambios en las Operaciones
Se deberán definir procedimientos para controlar los cambios en los procesos operativos que pudieran afectar la seguridad en los sistemas de procesamiento de la SGP.
Se deberá almacenar un registro detallado de los cambios para operaciones de auditoría y respuesta de incidentes, conteniendo el mismo toda información relevante a cada cambio implementado.
Se deberá controlar que los cambios a implementar no afecten la seguridad de los procesos asociados ni de la información que administra.
Se deberán definir procedimientos para el control de los cambios en el ambiente operativo y de comunicaciones. Todo cambio deberá ser evaluado previamente en sus aspectos técnicos y de seguridad.
Se deberá controlar que los cambios en los componentes operativos y de comunicaciones no afecten la seguridad de los mismos ni de la información que soportan. Razón por la cual se deberá evaluar el posible impacto operativo de los cambios previstos y verificar su correcta implementación.
Se retendrá un registro de auditoría que contenga toda la información relevante de cada cambio implementado.
Los procedimientos de control de cambios contemplarán los siguientes puntos:
12.1.3 Planificación de la Capacidad
Se deberá monitorear y evaluar las necesidades de capacidad operacional actuales de los sistemas y proyectar las futuras demandas, con el objeto de garantizar que el crecimiento no ponga en riesgo las actividades operativas ante la falta de recursos.
12.1.4 Separación de entornos de desarrollo, pruebas y producción
Deberán existir cuatro ambientes diferenciados de trabajo, desarrollo, pruebas, pruebas de seguridad y producción, los cuales deberán estar separados y ser independientes.
Deberán existir procedimientos formales para el traspaso entre estos ambientes, con el fin de reducir el riesgo de cambios no autorizados en los mismos y garantizar la producción de sistemas seguros. Estos controles deberán tener en cuenta los siguientes aspectos:
12.2 Protección contra Código Malicioso
12.2.1 Controles contra Código Malicioso
Se deberán proteger los sistemas tecnológicos mediante la implementación de controles para prevenir, detectar, eliminar y recuperar los sistemas afectados por código malicioso.
Dichos sistemas de detección de código malicioso deberán estar instalados y actualizados en todas las estaciones de trabajo y servidores que conforman la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación.
Para evitar la ejecución de código malicioso, se deberá controlar toda actividad de lectura y grabación de archivos, en estaciones de trabajo y servidores, todo tráfico de carga y descarga de archivos en los servidores de conexión a internet y el control en los correos electrónicos con archivos adjuntos o enlaces a sitios web.
Se deberán realizar periódicamente, análisis preventivos para la detección y eliminación de código malicioso en los servidores y estaciones de trabajo.
Se deberán implementar las directivas emanadas en la Política de Uso Aceptable de los Recursos de Tecnología de la Información existente.
12.3 Copias de Seguridad
12.3.1 Copia de Resguardo y Restauración
Se definirán procedimientos para el resguardo de la información, que deberá considerar:
12.4 Registro de Actividad y Monitoreo
12.4.1 Registro de eventos
Se deberán registrar los eventos referidos a la actividad de usuarios y sistemas, eventos asociados a errores y seguridad.
Se deberán almacenar remotamente los eventos de las estaciones de trabajo y servidores críticos, con el objeto de garantizar su integridad y disponibilidad para la detección e investigación de incidentes de seguridad. Los registros de auditoría se almacenarán localmente para las estaciones de trabajo y servidores considerados, no críticos.
Se deberán registrar mínimamente los siguientes datos:
Para el registro de los eventos se debe considerar la política 18.1.3 Protección de los Registros de la Secretaría General de la Presidencia de la Nación.
12.4.2 Protección del registro de información de auditoría
Se implementarán controles para la protección de los registros de auditoría almacenados, contra cambios no autorizados, como ser alteración de los mismos o eliminación.
Se deberán implementar controles para evitar fallas por falta de espacio de almacenamiento.
12.4.3 Actividad de los Administradores y Operadores
Se deberá controlar periódicamente la actividad de los usuarios administradores y operadores de sistemas que administren información confidencial, privada o secreta.
Se deberán definir alertas automáticas que informen actividades catalogadas sospechosas, ya sea debido a accesos u operaciones indebidas o fallas de los sistemas.
12.4.4 Sincronización de Relojes
Se deberán sincronizar los relojes de todos los sistemas y equipos informáticos en relación a una o varias fuentes de sincronización únicas de referencia, a fin de garantizar la exactitud de los registros de auditoría.
12.5 Control en la Instalación de Software
12.5.1 Instalación de Software en Producción
Se deberán definir procedimientos para controlar la instalación de software en sistemas operacionales en producción que establezcan los pasos a seguir para validar autorizaciones, conformidades y pruebas previas pertinentes.
Toda aplicación, desarrollada por la Secretaría General de la Presidencia de la Nación o por un tercero, deberá tener un único responsable designado formalmente por la Dirección de Informática.
Ningún programador o analista de desarrollo podrá acceder a los ambientes de producción, en concordancia con el punto 12.1.4 Separación de entornos de desarrollo, pruebas y producción.
Se debería conservar la versión previa del sistema, como medida de contingencia y control, llevar un registro de auditoría de las actualizaciones efectuadas e instalar sólo los ejecutables en el ambiente de producción.
Se designarán formalmente a los implementadores de los sistemas en producción, evitando que sean los mismos programadores o analista de desarrollo del software que se desea poner en producción.
12.6 Gestión de Vulnerabilidades Técnicas
12.6.1 Vulnerabilidades Técnicas y Remediación
Se deberán efectuar pruebas técnicas y de seguridad, con el objeto de conocer el grado de exposición del sistema antes de desplegarlo en producción, a fin de adoptar las medidas necesarias para minimizar o eliminar los riesgos asociados. Esto también aplica para todo sistema de software desarrollado en la Secretaría General de la Presidencia de la Nación teniendo en cuenta las directivas de la política 14.2.9 Evaluación de Vulnerabilidades de Seguridad.
Se deberán minimizar los riesgos de actualización, mediante la implementación del control de cambios, imponiendo el cumplimiento de procedimientos formales que garanticen que se cumplan pautas de seguridad y control. Se deberá verificar que los cambios cumplan con los requisitos solicitados y se cuente con las autorizaciones necesarias.
Se deberán establecer roles y responsabilidad asociados a los procesos de identificación de vulnerabilidades técnicas, procedimientos de remediación mediante la instalación de actualizaciones de seguridad, implementación de directrices de configuraciones seguras y controles para asegurar su cumplimiento.
12.6.2 Restricciones en la Instalación de Software
Se prohíbe la instalación de software, a menos que sea autorizada por el Responsable de la Seguridad de la Información, ya que la instalación no controlada de software en sistemas informáticos puede dar pie a la introducción de vulnerabilidades y a la fuga de información, a la falta de integridad u otros incidentes de seguridad de información o bien a la transgresión de derechos de propiedad intelectual.
La instalación de software deberá respetar la Ley de Propiedad Intelectual N° 11.723 y sus normas complementarias, como así también el tipo de licenciamiento designado por el autor del mismo. Por lo que se prohíbe la instalación y uso de cualquier tipo de aplicación y utilidades que active licencias de manera indebida (ver punto 18.1.2 Derechos de Propiedad Intelectual).
12.7 Auditoría de los Sistemas en Producción
12.7.1 Controles de auditoría en los sistemas de información
Se deberá planificar y definir cuidadosamente las actividades de auditoría a realizar sobre los sistemas en producción, con el objeto de minimizar el impacto en la SGP, por esta razón deberán existir procedimientos formales para tal actividad.
Las actividades de auditoría sobre los sistemas en producción deberán tomar los recaudos necesarios que permitan revertir los cambios efectuados en los sistemas auditados.
Se protegerá el acceso a los elementos utilizados en las auditorías de sistemas, o sea archivos de datos o software, a fin de evitar el mal uso o el compromiso de los mismos.
Dichas herramientas estarán separadas de los sistemas en producción y de desarrollo, y se les otorgará el nivel de protección requerido.
Se observarán las normas de auditoría dispuestas por la Sindicatura General de la Nación.
13. Política en la Gestión de Comunicaciones
Objetivo
Garantizar el funcionamiento correcto y seguro de las instalaciones de procesamiento de la información y comunicaciones.
13.1 Gestión en la Seguridad en las Redes de Datos
13.1.1 Controles en las Redes de Datos
Se deberán restringir las conexiones a los puertos de los dispositivos de red, permitiendo conectarse únicamente a los dispositivos con direcciones físicas autorizadas, habilitando de este modo la seguridad de los puertos de conexión.
Se deberán definir controles que inspeccionen los paquetes de datos que circulan en la red con el objeto de detectar código malicioso que intente vulnerar los sistemas informáticos.
Se deberá controlar la navegación ilimitada de internet para evitar comprometer el rendimiento y/o estabilidad del acceso a la misma.
Se deberán controlar los equipos informáticos que se conecten hacia y desde internet. Tal control deberá ser efectuado a través de dispositivos de seguridad que inspeccionan el tráfico saliente y entrante, con el objeto de evitar que la navegación transgreda las normas establecidas en la Política de Uso Aceptable de los Recursos de Tecnología de la Información.
Se deberá controlar el tráfico de datos interno y externo de la red informática mediante dispositivos de seguridad que controlen activamente las comunicaciones con origen y destino autorizados.
Se deberán implementar controles para mantener la alta disponibilidad de los servicios de red y equipamiento informático interconectado.
Se deberá controlar el acceso, administración y uso de los servicios web publicados. Se deberá mantener instalados y habilitados sólo aquellos servicios que hayan sido autorizados.
13.1.2 Seguridad de los Servicios Activos
El Responsable de la Seguridad de la Información definirá las pautas para garantizar la seguridad de los servicios de red de la Secretaría General de la Presidencia de la Nación. Dichos servicios activos deberán ser revisados periódicamente, proponiendo recomendaciones cuando sea necesario.
Se deberán seguir expresamente las siguientes directivas:
13.1.3 Segregación de redes
Con el fin de restringir el acceso indebido a los datos, se deberá segregar el tráfico de datos que circulan por las redes de la Secretaría General de la Presidencia de la Nación, en función de criterios, como ser, estructura organizacional, grupos de servicios utilizados, ubicación u otro. Estos perímetros de seguridad definidos en la segregación de redes deberán ser formalmente definidos y documentados.
13.2 Intercambio de Información con Partes Externas
13.2.1 Procedimientos y Controles de Intercambio de la Información
Se deberán establecer procedimientos para solicitar y aprobar accesos especiales a internet.
El uso de internet estará sujeto a la Política de Uso Aceptable de los Recursos de Tecnología de la Información, la cual considera aspectos tales como, responsabilidades de los empleados con respecto a la difamación, hostigamiento, personificación, reenvío de cadenas de comunicación de correo electrónico, redes sociales y otros.
La información intercambiada hacia y desde internet deberá ser protegida contra la intercepción, copiado o modificación.
Los servicios que se exponen hacia internet deberán estar protegidos ante amenazas externas.
Se deberán implementar controles para la detección de código malicioso que puede ser transmitido desde internet hacia las redes de la Secretaría General de la Presidencia de la Nación.
Se deberá hacer uso de técnicas criptográficas actualizadas para proteger la confidencialidad, integridad y la autenticidad de la información que se transmite y envía hacia redes externas.
13.2.2 Acuerdos en los Intercambios de Información con Entidades Externas
Cuando se realicen acuerdos entre la Secretaría General de la Presidencia de la Nación y otros organismos, relativos al intercambio de información y software, se deberá especificar e implementar las consideraciones de seguridad para la transferencia segura de datos entre ambas partes.
13.2.3 Seguridad del Correo Electrónico
El uso del servicio de correo electrónico laboral estará sujeto a la Política de Uso Aceptable de los Recursos de Tecnología de la Información, por lo cual todos los empleados de la Secretaría General de la Presidencia de la Nación deberán aceptar y firmar las pautas de uso declaradas en dicha política, antes de acceder a la cuenta de correo electrónica asignada.
Se deberá proteger el sistema de correo electrónico para evitar el acceso no autorizado, denegación de servicio, correos publicitarios no deseados, suplantación de identidad del remitente y demás amenazas existentes.
El tráfico del sistema de correo electrónico laboral será analizado por sistemas antimalware, con el objeto de detectar archivos binarios maliciosos adjuntos que pusieran en peligro a la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación.
Se prohíbe adjuntar en la cuenta de correo electrónico laboral binarios ejecutables, cifrados, multimedia de audio y video o archivos de gran tamaño que pudieran degradar el sistema de correo electrónico institucional.
13.2.4 Acuerdo de Confidencialidad en el Intercambio de Información.
Se deberán identificar, revisar y documentar los acuerdos de confidencialidad, para la protección de la información de la Secretaría General de la Presidencia de la Nación que es transferida a entidades externas. Dichos acuerdos deben responder a los requerimientos de confidencialidad o no divulgación de la Secretaría General de la Presidencia de la Nación.
Dichos acuerdos de confidencialidad deberán contemplar la normativa vigente en la materia.
14. Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
Objetivo
Asegurar la inclusión de controles de seguridad y validación de datos en la adquisición, desarrollo y mantenimiento de los sistemas de información.
Definir y documentar las normas y procedimientos que se aplicarán durante el ciclo de vida de los aplicativos y en la infraestructura de base en la cual se apoyan.
Definir los métodos de protección de la información crítica o sensible.
Alcance
Esta Política se aplica a todos los sistemas informáticos, tanto los desarrollos propios como los de terceros, y a todos los Sistemas Operativos y/o Software de Base que integren cualquiera de los ambientes administrados por la Secretaría General de la Presidencia de la Nación en donde residan los desarrollos mencionados.
Responsabilidad
El responsable de Seguridad de la Información junto con el Propietario de la Información y la Unidad de Auditoría Interna, definirán los controles a ser implementados en los sistemas desarrollados internamente o por terceros, en función de una evaluación de riesgos.
El responsable de Seguridad de la Información, junto con el Propietario de la Información, definirá en función a la criticidad de la información, los requerimientos de protección mediante métodos criptográficos. Luego, el responsable de Seguridad de la Información definirá junto con el responsable de la Dirección de Seguridad Informática, los métodos de encriptación a ser utilizados.
El responsable de Seguridad de la Información cumplirá las siguientes funciones:
El responsable del Área Informática propondrá para su aprobación, por parte del superior jerárquico que corresponda, la asignación de funciones de “implementador” y “administrador de programas fuentes” al personal de su área que considere idóneo y cuyas responsabilidades se detallan en la presente cláusula. Asimismo, verificará el cumplimiento de las definiciones establecidas sobre los controles y las medidas de seguridad a ser incorporadas a los sistemas.
El Área de Sistemas propondrá quiénes realizarán la administración de las técnicas criptográficas y claves.
El responsable del Área de Administración incorporará aspectos relacionados con el licenciamiento, la calidad del software y la seguridad de la información en los contratos con terceros por el desarrollo de software. El responsable del Área Jurídica participará en dicha tarea.
14.1 Requerimientos de Seguridad de los Sistemas
14.1.1 Análisis y Especificaciones de los Requerimientos de Seguridad
Se deberán incorporar requisitos de seguridad en los sistemas de información (desarrollos propios y de terceros) y en todas las mejoras o actualizaciones que se les incorporen. Razón por la cual, el Responsable de la Seguridad de la Información deberá formar parte del ciclo de vida de desarrollo de los sistemas informáticos.
Así también se deben tener en cuenta las siguientes consideraciones:
14.1.2 Seguridad en los Servicios accedidos desde Redes Públicas
Se deberán implementar controles de seguridad que den soporte a todos los sistemas de la Secretaría General de la Presidencia de la Nación, dichos controles deberán ser los seguidamente detallados:
14.1.3 Protección de la Información en servicios de aplicativos
Se tomarán recaudos para la protección de la integridad de la información publicada electrónicamente a fin de prevenir la modificación no autorizada que podría dañar la reputación de la Secretaría General de la Presidencia de la Nación. Es posible que la información de un sistema de acceso público, por ejemplo, la información en un servidor Web accesible por internet, deba cumplir con ciertas normas de la jurisdicción en la cual se localiza el sistema o en la cual tiene lugar la transacción electrónica. Se implementará un proceso de autorización formal antes de que la información se ponga a disposición del público, estableciéndose en todos los casos los encargados de dicha aprobación.
Todos los sistemas de acceso público deberán prever que:
14.2 Seguridad en Procesos de Desarrollo
14.2.1 Desarrollo Seguro de Software
Se deberá establecer una Política de Requisitos de Seguridad para el Desarrollo Seguro de Software aplicable a todo desarrollo de aplicaciones y sistemas de información dentro de la Secretaría General de la Presidencia de la Nación como así también el realizado por terceros.
Se deberá involucrar al Responsable de la Seguridad de la Información en el ciclo de vida de desarrollo de los sistemas de información desde el inicio con el objeto de validar la arquitectura de seguridad.
Los requisitos mínimos que se deberán considerar son los siguientes:
Así también se tomarán en cuenta los siguientes controles:
Controles de Procesamiento Interno:
Se definirá un procedimiento para que durante la etapa de diseño se incorporen controles de validación a fin de eliminar o minimizar los riesgos de fallas de procesamiento y/o vicios por procesos de errores.
Para ello se implementarán:
Control de Validación de Datos de Salidas:
Se establecerán procedimientos para validar la salida de los datos de las aplicaciones, incluyendo:
Control Software Operativo:
Se definen los siguientes controles a realizar durante la implementación del software en producción, a fin de minimizar el riesgo de alteración de los sistemas:
14.2.2 Procedimiento de Control de Cambios
Para el ciclo de vida de desarrollo de software se deberá elaborar el procedimiento de gestión de cambios con el objeto de minimizar los riesgos de alteración de los sistemas de información. Esto garantizará que se cumplan los procedimientos de seguridad y control, respetando la división de funciones.
Para ello se deberán tomar las siguientes consideraciones:
14.2.3 Revisión después de cambios en los Sistemas Operativos
Deberán existir procedimientos de revisión y control para asegurar que no se produzca ningún impacto negativo en el funcionamiento o degradación, en la seguridad de las aplicaciones y sistemas que contiene, cuando se realicen cambios en los Sistemas Operativos por actualizaciones o instalación de componentes.
14.2.4 Restricción del Cambio de Paquetes de Software
Todo cambio en los paquetes de software suministrados por terceros deberá ser controlado de manera estricta. Para ello se deberá:
14.2.5 Principios de Arquitectura de Ingeniería Segura
Se deberán establecer, documentar, mantener y aplicar los principios de seguridad en ingeniería de sistemas para cualquier labor de implementación en los sistemas de información.
Se deberá diseñar contemplando la seguridad en todos los niveles de la arquitectura -negocios, datos, aplicaciones y tecnología- equilibrando la necesidad de seguridad con la de accesibilidad.
Se deberá analizar la tecnología nueva para conocer sus riesgos de seguridad antes de incluirse como parte del diseño.
14.2.6 Seguridad en los Entornos de Desarrollo
Se deberán implementar controles para proteger adecuadamente los entornos en los que se efectuarán labores de desarrollo e integración de software, abarcando todo el ciclo de vida del desarrollo del sistema y contemplando los recursos humanos, los procesos y las tecnologías asociadas. Dichos controles deberán considerar los siguientes aspectos:
14.2.7 Tercerización del Desarrollo de Software
Se deberán establecer los requerimientos contractuales de calidad y seguridad del código que incluyan auditorías, una revisión del código para detectar código malicioso, como así también el cumplimiento de los requerimientos de desarrollo mencionados en el punto 14.2.1 Desarrollo Seguro de Software.
Se deberán elaborar acuerdos de licencias, propiedad de código y derechos conferidos.
Se deberá considerar el establecimiento de acuerdos de custodia del código fuente del software por parte de un tercero en caso de quiebra y/o inhabilidad por parte del proveedor del servicio de desarrollo de software.
14.2.8 Evaluación de Requisitos Funcionales
Se deberán establecer programas de ejecución de pruebas funcionales que permitan evaluar los requisitos funcionales y el cumplimiento de estos en los sistemas desarrollados.
14.2.9 Evaluación de Vulnerabilidades de Seguridad
Se deberán realizar evaluaciones de seguridad en búsqueda de vulnerabilidades sobre los nuevos sistemas a implementar, sistemas de información utilizados, incluyendo desarrollos propios y de terceros, como también a las plataformas del sistema operativo sobre los cuales están implementados los mismos, con el objeto de detectar canales encubiertos de transmisión de datos no autorizados o cualquier otra vulnerabilidad que atente contra la seguridad.
14.3 Datos de Prueba y Operativos
14.3.1 Protección de los Datos de Prueba
Las pruebas de los sistemas desarrollados podrán efectuarse con datos extraídos del ambiente operativo con autorización previa si los mismos son despersonalizados y enmascarados antes de su uso para evitar exponer información que pueda ser sensible.
Los datos de prueba se deberán eliminar inmediatamente al finalizar las pruebas.
14.3.2 Cambios a Datos Operativos
La modificación, actualización o eliminación de los datos operativos deberán ser realizados, solo a través de los sistemas que procesan dichos datos y de acuerdo con el esquema de control de accesos implementado en los mismos. Cualquier modificación por fuera de los sistemas a un dato almacenado, ya sea en un archivo o base de datos, podría poner en riesgo la integridad de la información.
Todos los casos en los que no fuera posible la aplicación de esta política serán considerados como excepciones. El Responsable de Seguridad Informática es quien definirá los procedimientos para la gestión de dichas excepciones que deberán contemplar lo siguiente:
15 Política en Relación a los Proveedores
Objetivo
Establecer y mantener el nivel acordado de seguridad de la información y prestación de los servicios conforme a los acuerdos con el proveedor.
La Secretaría General de la Presidencia de la Nación, deberá aprobar los Planes de Seguridad en el plazo máximo de NOVENTA (90) días desde la entrada en vigencia de la presente. Dichos Planes de Seguridad deberán establecer los plazos en que se dará cumplimiento a cada uno de los “REQUISITOS MÍNIMOS DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DEL SECTOR PÚBLICO NACIONAL” plazo que no podrá ser posterior al 31 de diciembre del 2022.
15.1 Seguridad en las Relación con los Proveedores
15.1.1 Seguridad de la Información que es Accedida por los Proveedores
Se deberán documentar y acordar los requisitos de seguridad sobre los activos de información que son accedidos por los proveedores, con el objeto de mitigar los riesgos emergentes al tener acceso a la información y los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación.
Se deberán analizar y definir los riesgos en la provisión del servicio para establecer todos los requisitos de seguridad pertinentes. Para ello se deberá definir con cada proveedor, que información podrá acceder, procesar, almacenar o transmitir.
15.1.2 Seguridad dentro de los Acuerdos de los Proveedores
Se deberán establecer y documentar los acuerdos para garantizar que no existen discrepancias entre la Secretaría General de la Presidencia de la Nación y el proveedor en cuanto a las obligaciones de ambas partes para cumplir con los requisitos de seguridad de la información establecidos.
Se deberá identificar e incluir en los acuerdos de servicio los mecanismos de seguridad, los niveles de servicio y los requisitos de administración de todos los servicios de red contratados a terceros.
A continuación, se definen los términos para incluir en los acuerdos con el fin de poder satisfacer los requisitos de seguridad de la información identificados:
15.1.3 Cadena de suministro de la tecnología de información y comunicación
Se deben incluir en los acuerdos con los proveedores los requisitos para abordar los riesgos de seguridad de la información asociados con la cadena de suministro de los servicios y productos de tecnología de información y comunicaciones.
Se deben incluir los siguientes temas en los acuerdos con el proveedor sobre la seguridad de la cadena de suministro:
15.2 Administración de la Prestación de Servicios de Proveedores
15.2.1 Supervisión y Revisión de los Servicios
Se deberá llevar a cabo el seguimiento, control y revisión de los servicios prestados por terceras partes, comprobando que se encuentran adheridos a los términos de seguridad de la información con las condiciones definidas en los acuerdos y que los incidentes de seguridad de la información y los problemas son manejados en forma apropiada.
Se recomienda que se asegure que se mantenga la visibilidad de las actividades de seguridad como gestión de cambios, identificación de vulnerabilidades y reporte/respuesta de incidentes de seguridad de información a través de un proceso de reportes claro y definido, con formato y estructura.
15.2.2 Gestión de Cambios en la Prestación de Servicios
Se deberá llevar la gestión de cambios en la provisión de los servicios, incluyendo el mantenimiento y las mejoras de los procedimientos y controles de seguridad de la información existentes.
El proceso de gestión de servicios de terceros deberá tener en cuenta los siguientes cambios en la Secretaría General de la Presidencia de la Nación:
El proceso de gestión deberá, también tener en cuenta los siguientes cambios en el servicio ofrecido por el proveedor:
16. Política de Gestión de Incidentes de Seguridad
Objetivo
Garantizar que los eventos de seguridad de la información y las debilidades asociados a los sistemas de información sean comunicados de forma tal que se apliquen las acciones correctivas en el tiempo oportuno.
16.1 Gestión de Incidentes de Seguridad y Mejoras
16.1.1 Responsabilidades y Procedimientos
Se establecerán claramente las responsabilidades y los procedimientos para el manejo de incidentes con el fin de garantizar una respuesta rápida, eficaz y sistemática a los incidentes relativos a la seguridad de la información.
Se deberá contemplar la incorporación en los procedimientos de incidentes de seguridad una definición de las primeras medidas a implementar como ser, identificación, clasificación y análisis de la causa del incidente, la planificación de la solución y recupero de los sistemas afectados, la comunicación formal de las áreas afectadas y la notificación formal al Responsable de la Seguridad de la Información y a la Dirección General de Asuntos Jurídicos, de considerarlo necesario.
Seguridad Informática podrá acceder a todo equipamiento tecnológico involucrado en alertas de seguridad cuando considere que dicho incidente pudiera afectar la disponibilidad, confidencialidad o integridad de la información o los recursos tecnológico de la Secretaría General de la Presidencia de la Nación.
16.1.2 Notificación de los eventos de seguridad de la información
Los incidentes relativos a la seguridad deberán ser comunicados tan pronto como sean detectados mediante el registro de estos en los canales formales siguiendo el procedimiento establecido.
Cuando las áreas usuarias detectasen un incidente de seguridad deberán comunicarlo inmediatamente al Responsable de la Seguridad de la Información, quien procederá a dar respuesta al incidente de seguridad informado.
Se establecerá un procedimiento formal de comunicación y respuesta a incidentes, indicando la acción que ha de emprenderse al recibir un informe sobre incidentes.
Dicho procedimiento deberá contemplar que, ante la detección de un supuesto incidente o violación de la seguridad, el Responsable de Seguridad de la Información sea informado tan pronto como se haya tomado conocimiento. Este indicará los recursos necesarios para la investigación y resolución del incidente, y se encargará de su monitoreo.
Se notificará del incidente de seguridad que se produzcan en la Secretaría General de la Presidencia de la Nación, dentro de las CUARENTA Y OCHO (48) horas de tomado conocimiento de su ocurrencia o de su potencial ocurrencia, a la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD de la SECRETARÍA DE INNOVACIÓN PÚBLICA de la JEFATURA DE GABINETE DE MINISTROS
Todos los agentes, sea cual fuere su situación contractual, deberán conocer fehacientemente el procedimiento de comunicación de incidentes de seguridad y deben informar los mismos tan pronto hayan tomado conocimiento de su ocurrencia.
16.1.3 Notificación de puntos débiles de la seguridad
Todos los usuarios de los servicios de información de la Secretaría General de la Presidencia de la Nación que detectasen fallas o debilidades de seguridad, o tomasen conocimiento indirectamente acerca de la existencia de ellas, serán responsables de comunicarlo formalmente al Responsable de la Seguridad de la Información.
Está expresamente prohibido que los usuarios ajenos a la Dirección de Seguridad Informática realizar pruebas para detectar y/o explotar supuestas debilidades o fallas de seguridad.
16.1.4 Comunicación de Anomalías del Software Instalado
Todos los usuarios de los servicios de información de la Secretaría General de la Presidencia de la Nación que detectasen anomalías del software en uso deberán comunicarlo formalmente al Responsable de la Seguridad de la Información, para determinar si la misma califica como un incidente de seguridad informática o no.
16.1.5 Valoración de los eventos de seguridad
Deberá existir un procedimiento de evaluación de los eventos de seguridad que permita decidir si el evento clasificará como incidente de seguridad de la información.
Se deberán registrar los resultados de la evaluación y la decisión en detalle con fines de referencia y verificación futuros.
16.1.6 Respuesta a los incidentes de seguridad
Todo incidente de seguridad deberá ser respondido siguiendo los procedimientos establecidos. El procedimiento de respuesta al incidente de seguridad debería incluir:
Restablecido el normal funcionamiento y reanudado el nivel de seguridad normal se deberá realizar un análisis post-incidente, cuando sea necesario, para profundizar el análisis o confirmar del origen del mismo.
16.1.7 Aprendizaje de los incidentes de la seguridad
Se deberán documentar, cuantificar y monitorear los tipos, volúmenes y costos de las anomalías e incidentes de seguridad. Esta información se utilizará para identificar y evaluar aquellos que sean recurrentes o de alto impacto. A efectos de establecer la necesidad de mejorar o agregar controles para limitar la frecuencia, daño y costo de casos futuros similares.
16.1.8 Recopilación de evidencias
Se deberán definir procedimientos para la identificación, recopilación, adquisición y preservación de la información que pudiera servir como evidencia válida, ya sea para implementar una medida disciplinaria interna o iniciar una acción judicial.
Para lograr la validez de la evidencia, la Secretaría General de la Presidencia de la Nación deberá garantizar que sus sistemas de información cumplen con la normativa y los estándares o códigos de práctica relativos a la producción de evidencia válida, como también se deberá asegurar la disponibilidad de los recursos tecnológicos necesarios para la recopilación, adquisición y preservación de evidencia forense.
Para lograr la calidad y totalidad de la evidencia es necesario la solidez de esta, por lo cual se establecerán los siguientes requisitos:
17. Política de Gestión de la Continuidad
Objetivo
Minimizar los efectos de las posibles interrupciones de las actividades normales de la Secretaría General de la Presidencia de la Nación (sean éstas resultado de desastres naturales, accidentes, fallas en el equipamiento, acciones deliberadas u otros hechos) y proteger los procesos críticos mediante una combinación de controles preventivos y acciones de recuperación.
Analizar las consecuencias de la interrupción del servicio y tomar las medidas correspondientes para la prevención de hechos similares en el futuro.
Maximizar la efectividad de las operaciones de contingencia de la Secretaría General de la Presidencia de la Nación con el establecimiento de planes que incluyan al menos las siguientes etapas:
17.1 Gestión de Continuidad de las Operaciones
17.1.1 Proceso de Administración de los Planes de Continuidad
Deberá existir un plan de contingencia, para actuar ante la interrupción de la continuidad de las operaciones en la Secretaría General de la Presidencia de la Nación, a fin de garantizar que los planes operativos de restauración de las operaciones sean ordenados y consistentes entre sí.
El proceso de administración de la continuidad de la operatoria deberá tener en cuenta:
17.1.2 Continuidad de las Actividades y Análisis de los impactos
Al establecer un Plan de Continuidad de las Actividades de la Secretaría General de la Presidencia de la Nación se deberán contemplar los siguientes puntos:
Esta actividad será llevada a cabo con la activa participación de los propietarios de los procesos y recursos de información de que se trate y el Responsable de Seguridad de la Información, considerando todos los procesos de las actividades de la Secretaría General de la Presidencia de la Nación y no limitándose a las instalaciones de procesamiento de la información.
Según los resultados de la evaluación de esta actividad, se desarrollará un plan estratégico para determinar el enfoque global con el que se abordará la continuidad de las actividades de la Secretaría General de la Presidencia de la Nación. Una vez que se ha creado este plan, el mismo debe ser propuesto por el Responsable de la Seguridad de la Información al Secretario General de la Presidencia de la Nación para su aprobación.
17.1.3 Elaboración e implementación de los planes de continuidad de las Actividades de la Secretaria General de Nación
Los propietarios de procesos y recursos de información, con la asistencia del Responsable de Seguridad Informática, elaborarán los planes de contingencia necesarios para garantizar la continuidad de las actividades de la Secretaría General de la Presidencia de la Nación.
El proceso de planificación de la continuidad de las actividades considerará los siguientes puntos:
Asimismo, el proceso de planificación debe concentrarse en los objetivos de las actividades requeridas de la Secretaría General de la Presidencia de la Nación, por ejemplo, restablecimiento de los servicios a los usuarios en un plazo aceptable. Deben considerarse los servicios y recursos que permitirán que esto ocurra, incluyendo, dotación de personal, recursos que no procesan información, así como acuerdos para reanudación de emergencia en sitios alternativos de procesamiento de la información.
17.1.4 Marco para la Planificación de la Continuidad de las Actividades de la Secretaría General de la Presidencia de la Nación
Se mantendrá un solo marco para los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación, a fin de garantizar que los mismos sean uniformes e identificar prioridades de prueba y mantenimiento.
Cada plan de continuidad especificará claramente las condiciones para su puesta en marcha, así como las personas a cargo de ejecutar cada componente del mismo. Cuando se identifiquen nuevos requerimientos, se modificarán los procedimientos de emergencia establecidos, por ejemplo, los planes de evacuación o los recursos de emergencia existentes.
El administrador de cada plan de continuidad será el encargado de coordinar las tareas definidas en el mismo.
El marco para la planificación de la continuidad de las actividades de la Secretaría General de la Presidencia de la Nación tendrá en cuenta los siguientes puntos:
Se deberán definir explícitamente los administradores de los planes de contingencia. El cumplimiento de los procedimientos implementados para llevar a cabo las acciones contempladas en cada plan de continuidad, deben contarse entre las responsabilidades de los administradores de cada plan. Las disposiciones de emergencia para servicios técnicos alternativos, como instalaciones de comunicaciones o de procesamiento de información, normalmente se cuentan entre las responsabilidades de los proveedores de servicios.
17.1.5 Ensayo, Mantenimiento y Reevaluación de los Planes de continuidad de la Secretaría General de la Presidencia de la Nación.
Debido a que los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación pueden fallar, por suposiciones incorrectas, errores o cambios en el equipamiento, se establecen las siguientes pautas de acción:
Se deben utilizar diversas técnicas para garantizar que los planes de contingencia funcionarán ante un hecho real, y éstas incluirán por lo menos:
Para las operaciones críticas de la Secretaría General de la Presidencia de la Nación se tomarán en cuenta, además, los siguientes mecanismos:
Todas las pruebas efectuadas deben ser documentadas, resguardándose la evidencia formal de la ejecución y de los resultados obtenidos.
Los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación serán revisados y actualizados periódicamente, para garantizar su eficacia permanente. Se incluirán procedimientos en el programa de administración de cambios de la Secretaría General de la Presidencia de la Nación para garantizar que se aborden adecuadamente los tópicos de continuidad de las actividades.
Se deberá definir la periodicidad de revisión de los planes de contingencia, indicando el nombre del plan de contingencia, responsable y periodicidad de revisión. Cada uno de los Responsables de Procesos es el responsable de las revisiones periódicas de cada uno de los planes de continuidad de su incumbencia, como así también de la identificación de cambios en las disposiciones relativas a las actividades de la Secretaría General de la Presidencia de la Nación aún no reflejadas en dichos planes.
Debe prestarse atención, especialmente, a los cambios de:
Todas las modificaciones efectuadas serán propuestas por el Responsable de la Seguridad de la Información para su aprobación por el superior jerárquico que corresponda.
Por otra parte, el resultado de este proceso será dado a conocer a fin de que todo el personal involucrado tenga conocimiento de los cambios incorporados.
17.2 Redundancia
17.2.1 Redundancia en las Instalaciones de Procesamiento y Transmisión de la Información
Se deberá implementar en las instalaciones de procesamiento y transmisión de la información, componentes y/o arquitecturas redundantes, a efectos de cumplir con los requisitos de disponibilidad operativa.
18. Política de Cumplimiento
Objetivos
Cumplir con las disposiciones normativas y contractuales y Garantizar que los sistemas cumplan con la política, normas y procedimientos de seguridad de la Secretaría General de la Presidencia de la Nación. las mismas tendrán una periodicidad no superior a los DOCE (12) meses a partir de la publicación o última actualización de las mismas.
Revisar la seguridad de los sistemas de información periódicamente a efectos de garantizar la adecuada aplicación de la política, normas y procedimientos de seguridad, sobre las plataformas tecnológicas y los sistemas de información.
Optimizar la eficacia del proceso de auditoría de sistemas y minimizar los problemas que pudiera ocasionar el mismo, o los obstáculos que pudieran afectarlo.
Garantizar la existencia de controles que protejan los sistemas en producción y las herramientas de auditoría en el transcurso de las auditorías de sistemas.
Determinar los plazos para el mantenimiento de información y para la recolección de evidencia de la Secretaría General de la Presidencia de la Nación
18.1 Cumplimiento de Requisitos Legales
18.1.1 Identificación de la Legislación Aplicable
Se deberán identificar y documentar en los sistemas de información de la Secretaría General de la Presidencia de la Nación los requisitos normativos, contractuales o legales. Del mismo modo se deberá definir y documentar los controles específicos, las responsabilidades y funciones individuales para cumplir con dichos requisitos.
18.1.2 Derechos de Propiedad Intelectual
Se deberá garantizar el cumplimiento de los requisitos legales y contractuales relacionados con la instalación y uso de software protegido por la legislación relativa a la propiedad intelectual.
Los agentes podrán utilizar únicamente material autorizado por la Secretaría General de la Presidencia de la Nación. La SGP sólo podrá autorizar el uso de material producido por el mismo, o material autorizado o suministrado por su titular, conforme los términos y condiciones acordados y lo dispuesto por la normativa vigente.
Los usuarios solo podrán utilizar software autorizado por el Organismo según las condiciones de instalación descripta en el punto 12.6.2 Restricciones en la Instalación de Software
18.1.3 Protección de los Registros de la Secretaría General de la Presidencia de la Nación
Los registros de datos se deberán proteger contra pérdida, destrucción, acceso no autorizado, publicación no autorizada, degradación del medio de almacenamiento, obsolescencia del formato o medio de almacenamiento.
Los registros de datos, correspondientes a las cuentas de correos electrónicos no deberán ser eliminadas cuando el propietario de dicha cuenta fuera desvinculado de la Secretaría General de la Presidencia de la Nación. Las cuentas de correos electrónicos deberán ser almacenados por un período mínimo de diez años.
Los sistemas de almacenamiento de datos deberán ser seleccionados de modo tal que los datos requeridos puedan recuperarse de una manera aceptable ante el requerimiento del Poder Judicial. Se deberá clasificar y detallar los períodos de retención, medios de almacenamiento y responsables de su mantenimiento. Los sistemas de almacenamiento y manipulación deberán garantizar una clara identificación de los registros y de su período de retención legal.
La protección de los datos deberá ser garantizada por el documento “Acuerdo de Confidencialidad”. Asimismo, los funcionarios o empleados que revelen a terceros o utilicen en provecho propio cualquier información individual de carácter estadístico o censal, de la cual tengan conocimiento por sus funciones, o que incurran dolosamente en tergiversación, omisión o adulteración de datos de los censos o estadísticas, serán pasibles a acciones penales por violación a la Ley N°17.622 y concordantes.
18.1.4 Protección de Datos y Privacidad de la Información Personal
A través de la presente “Política de Seguridad de la Información” y la “Política de Uso Aceptable de los Recursos de Tecnología de la Información” se informarán y detallarán las actividades que serán objeto de control y monitoreo.
Todos los empleados deben conocer las restricciones al tratamiento de los datos y de la información respecto a la cual tengan acceso con motivo del ejercicio de sus funciones. Por lo cual la Secretaría General de la Presidencia de la Nación poseerá un “Acuerdo de Confidencialidad”, el cual deberá ser suscrito por todos los funcionarios públicos y contratistas, en concordancia con el punto 6.1.6 Acuerdo de confidencialidad.
18.1.5 Prevención del Uso Inadecuado de los Recursos de Procesamiento de Información
Toda utilización de los recursos de procesamiento de información, con propósitos no autorizados o ajenos al destino por el cual fueron provistos se considerará como uso indebido.
Todos los agentes deberán conocer el alcance preciso del uso adecuado de los recursos informáticos y deberán respetarlo, según se declara en la Política de Uso Aceptable de los Recursos de Tecnología de la Información.
En particular, se deberá respetar lo dispuesto por las siguientes normas:
18.1.6 Delitos Informáticos
Todos los agentes deberán tomar conocimiento de los principios establecidos en la Ley N° 26.388 de Delitos Informáticos.
18.2 Revisiones de Cumplimiento de Seguridad
18.2.1 Revisión independiente de la Seguridad de la Información
Deberán efectuarse revisiones independientes de seguridad, para garantizar la eficacia de la implementación de seguridad existente. Esta revisión será independiente a laque deberá realizar el Responsable de la Seguridad de la Información y permitirá incluir oportunidades de mejora en los objetivos de control y cambios en el enfoque de seguridad existente.
Dicha revisión deberá ser realizada por individuos independientes al Responsable de la Seguridad de la Información, por ejemplo, Auditoría Interna o Especialistas de Seguridad externos al Organismo.
18.2.2 Cumplimiento de la Política y Procedimientos de Seguridad
Los responsables de cada Dirección, dentro de su área de responsabilidad, deberán velar por el correcto cumplimiento de las normas y procedimientos de seguridad establecidos y brindarán apoyo a las revisiones de cumplimiento, efectuadas por el Responsable de la Seguridad de la Información.
El Responsable de la Seguridad de la Información, tendrá la autoridad de realizar revisiones periódicas en todas las áreas de la Secretaría General de la Presidencia de la Nación a efectos de garantizar el cumplimiento de las políticas, normas y procedimientos de seguridad vigentes.
18.2.3 Verificación de Cumplimiento en los Sistemas de Información
Se verificará periódicamente que los sistemas de información cumplan con la política, normas y procedimientos de seguridad, las que incluirán la revisión de los sistemas en producción a fin de garantizar que los controles de hardware y software hayan sido correctamente implementados. En caso de ser necesario, estas revisiones contemplarán la asistencia técnica especializada.
El resultado de la evaluación se volcará en un informe técnico para su ulterior interpretación por parte de los especialistas. Para ello, la tarea podrá ser realizada por un profesional experimentado (en forma manual o con el apoyo de herramientas de software), o por un paquete de software automatizado que genere reportes que serán interpretados por un especialista técnico.
La verificación del cumplimiento comprenderá pruebas de penetración y tendrá como objetivo la detección de vulnerabilidades en el sistema y la verificación de la eficacia de los controles con relación a la prevención de accesos no autorizados. Se tomarán los recaudos necesarios en el caso de pruebas de penetración exitosas que comprometan la seguridad del sistema.
Las verificaciones de cumplimiento sólo serán realizadas por personas competentes, formalmente autorizadas y bajo la supervisión.
Resolución 549/2022
RESOL-2022-549-APN-SGP
Ciudad de Buenos Aires, 18/08/2022
VISTO el EX-2022-76987534- -APN-CGD#SGP, el Decreto N° 50 del 19 de diciembre de 2019 y sus modificatorios, la Decisión Administrativa N° 641 del 25 de junio de 2021; la Disposición N° 1 de la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS del 14 de febrero de 2022, y
CONSIDERANDO
Que a través de la Decisión Administrativa N° 641/21 se aprobaron los “REQUISITOS MINIMOS DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DEL SECTOR PÚBLICO NACIONAL”, que son aplicables a todas las entidades y jurisdicciones comprendidas en el inciso a) del art. 8° de la ley 24.156 de Administración Financiera y de los Sistemas de Control del Sector Público Nacional y sus modificatorias.
Que la mencionada norma establece, entre otras obligaciones, que los organismos comprendidos deben implementar una Política de Seguridad de la Información, con el fin de proteger adecuadamente los activos tecnológicos esenciales para el desenvolvimiento de la jurisdicción.
Que conforme lo normado por el artículo 3° de la Decisión Administrativa N° 641/21, las entidades y jurisdicciones del Sector Público Nacional comprendidos en la norma deben aprobar un Plan de Seguridad en el cual se establezcan los plazos de cumplimiento de cada uno de los requisitos mínimos de seguridad de la información contemplados en el Anexo IF-2021-50348419-APN-SSTIYC#JGM aprobado por aquélla.
Que asimismo, el Punto V del Anexo mencionado en el considerando precedente, establece que la Política de Seguridad de la Información debe ser aprobada por las máximas autoridades del organismo e informada a la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS.
Que mediante la Disposición N° 1/22 la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS aprobó el “Modelo Referencial de Política de Seguridad de la Información” (IF-2022-09912113-APN-DNCIB#JGM) para ser utilizado como base para su implementación por los organismos alcanzados por la Decisión Administrativa N° 641/21, debiendo ser interpretado como un aporte y una guía en materia de seguridad de la información y adaptado a la realidad, competencias y recursos de cada organismo.
Que en un contexto marcado por el incremento de la actividad maliciosa en general, amenazas y vulnerabilidades que ponen en riesgo los activos de información, el diseño y adopción de una Política de Seguridad de la Información brinda un marco adecuado para proteger la infraestructura y garantizar la continuidad de las operaciones de la jurisdicción.
Que asimismo resulta necesario que los principios que integran la Política de Seguridad de la Información lleguen a formar parte de la cultura organizacional mediante su activa difusión, consolidación y cumplimiento de todas las unidades organizativas que integran la jurisdicción.
Que el Comité de Control de Seguridad Informática creado por la RESOL-2022-371-APN-SGP en el ámbito de la SECRETARIA GENERAL de la PRESIDENCIA DE LA NACIÓN ha prestado conformidad de manera unánime a la Política de Seguridad de la Información propuesta por la Dirección de Seguridad Informática de la Dirección General de Tecnología Informática y Telecomunicaciones dependiente de la Subsecretaría de Coordinación de esta SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN.
Que la presente medida no implica erogación presupuestaria para la jurisdicción.
Que ha tomado la intervención de su competencia la Dirección General de Asuntos Jurídicos de la SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN.
Que la presente medida se dicta en virtud de las facultades conferidas por el Decreto N° 50/19 y la Decisión Administrativa N° 641/21.
Por ello,
EL SECRETARIO GENERAL DE LA PRESIDENCIA DE LA NACIÓN
RESUELVE:
ARTICULO 1°.- Apruébase la “POLITICA DE SEGURIDAD DE LA INFORMACIÓN DE LA SECRETARÍA GENERAL DE LA PRESIDENCIA DE LA NACIÓN” obrante en el IF-2022-85903213-APN-DSI#SGP que como Anexo forma parte integrante de la presente medida.
ARTÍCULO 2°.- Establécese que la política aprobada por el artículo 1° de la presente será de aplicación obligatoria en el ámbito de la SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN.
ARTÍCULO 3°.- Delégase en la Subsecretaría de Coordinación de esta SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN la facultad de actualizar y de dictar las normas aclaratorias y complementarias que resulten necesarias respecto de la “POLITICA DE SEGURIDAD DE LA INFORMACIÓN DE LA SECRETARÍA GENERAL DE LA PRESIDENCIA DE LA NACIÓN” aprobada mediante el artículo 1° de la presente medida y la de aprobar el Plan de Seguridad a ser elaborado de conformidad con lo dispuesto por el artículo 3° de la Decisión Administrativa N° 641/21.
ARTÍCULO 4°.- Encomiéndase a la Dirección de Seguridad Informática de la Dirección General de Tecnología Informática y Telecomunicaciones dependiente de la Subsecretaría de Coordinación de esta SECRETARÍA GENERAL de la PRESIDENCIA DE LA NACIÓN la revisión anual de la política aprobada por el artículo 1° de la presente medida.
ARTÍCULO 5°.-Comuníquese a la Dirección Nacional de Ciberseguridad de la JEFATURA DE GABINETE DE MINISTROS.
ARTÍCULO 6°.- Publíquese, dese a la DIRECCIÓN NACIONAL DEL REGISTRO OFICIAL y archívese.
Julio Fernando Vitobello
NOTA: El/los Anexo/s que integra/n este(a) Resolución se publican en la edición web del BORA -www.boletinoficial.gob.ar-
e. 22/08/2022 N° 64784/22 v. 22/08/2022
(Nota Infoleg: Los anexos referenciados en la presente norma han sido extraídos de la edición web de Boletín Oficial)
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SECRETARÍA GENERAL DE LA PRESIDENCIA DE LA NACIÓN
Resumen
La Secretaría General de la Presidencia de la Nación en cumplimiento de la Decisión Administrativa N° 641/2021, establece la presente Política de Seguridad de la Información (PSI), que define las directrices orientadas a resguardar la confidencialidad, integridad y disponibilidad de la información, protección de los recursos tecnológicos y la continuidad de las operaciones de la Secretaría General de la Presidencia de la Nación, de conformidad con las leyes y normativas vigentes.
Las directrices son las que a continuación se mencionan.
Políticas de Seguridad y Normativas de Seguridad de la información
Se establece la “Política de Seguridad de Información” (PSI), aprobada por el Señor Secretario General de la Presidencia Nación, y obligatoria para el todo el personal que presta servicios en la SGP.
Se promueve el dictado de la “Política de Uso Aceptable de los Recursos de Tecnología de la Información” (PUA), la cual establecerá las normas de conducta razonable, que deben observar los agentes y funcionarios en el ámbito de la Secretaría General de la Presidencia de la Nación, cuando utilicen los recursos tecnológicos puestos a su disposición para el desempeño de sus tareas.
Sobre esta base, serán aprobadas normas específicas, procedimientos, lineamientos y manuales que complementarán y fortalecerán la política de seguridad de la información del Organismo.
Política Organizativa
Se conforma el Comité de Control de Seguridad Informática que estará integrado por Directores/as Generales y Subsecretarios/as. Tendrá a su cargo -entre otras funciones- las de revisar y proponer al Secretario General la aprobación de la política de seguridad de la información y sus actualizaciones e impulsar su implementación.
La función de Responsable de la Seguridad de la Información se asigna al titular de la Dirección de Seguridad Informática -área con competencia en la materia-, que tiene a su cargo las funciones relativas a la seguridad de los sistemas de información y procesos de la Secretaría General de la Presidencia de la Nación, así como también ejerce la supervisión de todos los aspectos inherentes a la seguridad tratados en la presente política. Asimismo, elaborará, propondrá y elevará al Comité de Control de Seguridad Informática para su aprobación posterior, la política de seguridad de la información y sus actualizaciones.
Dicha asignación de funciones debe ser comunicada a la Dirección Nacional de Ciberseguridad de la Secretaría de Innovación Pública, dependiente de la Jefatura de Gabinete de Ministros.
Se establecen responsables del cumplimiento de los distintos procesos de seguridad. Se designan, propietarios de la información y propietarios de activos, quienes serán responsables por el resguardo de los mismos.
Se promueve el contacto con otros organismos públicos y entidades privadas para el intercambio de experiencias en materias de seguridad, con el objeto de actualizar y profundizar en los conocimientos relativos a seguridad y promover la capacitación continua en la materia.
Todos los Planes de Seguridad deben ser remitidos a la Dirección Nacional de Ciberseguridad de la Secretaría de Innovación Pública, dependiente de la Jefatura de Gabinete de Ministros.
Política de Recursos Humanos
Toda persona que desempeñe tareas en el ámbito de la SGP deberá manifestar en forma expresa su aceptación de los documentos “Acuerdo de Confidencialidad” y “PUA” y deberá proceder a la devolución de activos al finalizar el vínculo laboral con la Secretaría General de la Presidencia de la Nación.
Los funcionarios a cargo de las diversas dependencias de la SGP serán los encargados de velar por el cumplimiento de las normativas vigentes, asumiendo el compromiso de concientizar y capacitar al personal en temas referidos a las políticas, procedimientos y buenas prácticas en seguridad informática
Se prevén sanciones a todo agente o funcionario que viole las políticas, normativas y procedimientos de seguridad vigentes.
Política de Gestión de Activos
Se establece la identificación, clasificación y criticidad de los activos de información, físicos y de recursos humanos, mediante un inventario actualizado, designándose responsable de los mismos a los Propietarios de Activos.
Se identifican, documentan y definen normativas de uso de los activos de tecnología según las pautas declaradas en la PUA.
Se definen directrices de clasificación, etiquetado y manipulación de activos de información.
Se establece que el tratamiento de la información, respecto a su almacenamiento, transporte y eliminación se realizará de forma segura.
Política de Control de Accesos
Con el objetivo de asegurar el adecuado uso de la información y los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación, se establecen pautas y procedimientos que reglamentan la gestión de usuarios y la gestión de permisos de acceso a la información y a los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación.
El acceso a la información se restringe, en concordancia con la clasificación de la misma, sobre la base de la premisa rectora: “Todo acceso está prohibido, a menos que se permita explícitamente”.
Se establece la gestión segura de las contraseñas, como también las responsabilidades de los usuarios, sobre el uso de las mismas.
Se monitorea, inspecciona y controla, el tráfico de datos en las redes de la Secretaría General de la Presidencia de la Nación, como también toda comunicación externa entrante hacia las redes de la Secretaría General de la Presidencia de la Nación y toda comunicación saliente hacia internet con el objeto de verificar que no se violen las políticas de seguridad establecidas.
Política de Criptografía
Se establece el uso de la criptografía para asegurar la información y las comunicaciones, como ser contraseñas, almacenamiento de las copias de resguardo, cifrado de dispositivos móviles, servicios expuestos a internet y transmisión de datos, dentro y fuera del ámbito de la Secretaría General de la Presidencia de la Nación.
Política Físico y Ambiental
El control de ingreso físico a las dependencias de la SGP tendrá por objeto evitar el acceso no autorizado, el posible daño a las instalaciones o interferencias en las actividades de la Secretaría General de la Presidencia de la Nación. Se definen, además, perímetros de seguridad y controles, para proteger las áreas consideradas críticas, considerando que su mal funcionamiento o puesta fuera de servicio, pueda entorpecer el normal desempeño de los sistemas de información de la Secretaría General de la Presidencia de la Nación y/o exponer información que administra dicha área.
Se asegura la continuidad operacional del suministro de energía eléctrica y del control ambiental en el centro de procesamiento de datos y sala de comunicaciones, como también la existencia de controles de seguridad para asegurar la protección del cableado de transmisión de datos.
Se realiza el mantenimiento periódico del equipamiento informático, control de su entrada y salida de las dependencias de la Secretaría General de la Presidencia de la Nación y destrucción segura cuando el equipamiento no pueda ser reutilizado, con el objeto de no exponer información residual, considerada privada o confidencial en el equipo informático.
Se adopta la política de escritorios limpios, con el objeto de proteger documentación en papel u otro medio de almacenamiento de información que pudiera existir en el área de trabajo, evitando de este modo su pérdida y divulgación no deseada.
Se adopta la política de pantallas limpias, a fin de reducir los riesgos de acceso no autorizado a un equipo informático desatendido.
Política de Seguridad en las Operaciones
Se establece la evaluación periódica de las necesidades de capacidad operacional de los sistemas y la proyección de futuras demandas, con el objeto de garantizar que el crecimiento no ponga en riesgo las actividades operativas ante la falta de recursos.
Se implementan procedimientos para gestionar tareas operativas designando responsables para la ejecución de las mismas.
En los procesos de desarrollo de software, se definen entornos separados entre sí, desarrollo, pruebas funcionales, pruebas de seguridad y producción, con el objeto de generar sistemas seguros.
Se protegen los sistemas tecnológicos contra todo tipo de código malicioso, mediante la ejecución de análisis periódicos preventivos y controles de detección en las estaciones de trabajo, servidores, conexiones de internet y correo electrónico.
La información y los sistemas se resguardan mediante la generación de copias de seguridad de manera periódica y programada.
Se monitorean, registran y auditan los eventos de los usuarios y sistemas, respecto de accesos, fallas, instalación y ejecución de software, alertas de seguridad y cualquier otra actividad relevante.
La instalación de software está supeditada conforme a los procedimientos, autorizaciones, conformidades y pruebas previas pertinentes.
Se evalúa el grado de riesgo de los sistemas publicados, mediante pruebas periódicas de evaluación de vulnerabilidades e informes de remediación y mejoría.
Política en la Gestión de Comunicaciones
Se monitorea, controla, segrega y restringe el tráfico, el acceso, independientemente del medio de transmisión implementado, en todas las redes de datos que integran la infraestructura de comunicaciones de la SGP.
Se considera el correo electrónico como un servicio crítico, por lo cual se implementan medidas de protección para su funcionamiento continuo y de manera eficiente.
La utilización de servicios de internet, es monitoreada y controlada, con el objeto de evitar que el uso indebido de dichos servicios, afecten el rendimiento de la infraestructura de comunicaciones o pongan en riesgo la seguridad de la misma. En consecuencia, tanto el uso de internet como el del correo electrónico laboral, estarán sujetos a las condiciones de uso descriptas en la PUA.
Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
En toda adquisición de sistemas informáticos, como también en todos los proyectos de desarrollo de software, tanto propios o de terceros, se establece la inclusión de requerimientos de seguridad. Se considerará a la seguridad de la información como una parte integral en los ciclos de vida de los procesos de desarrollo y adquisición.
Se protegen todos los sistemas expuestos a internet contra actividades fraudulentas, modificaciones y divulgación de datos no autorizados, intercepción, vulneración de la confidencialidad, suplantación de identidad o cualquier otra amenaza existente.
Se realizan pruebas de evaluación de vulnerabilidades en los sistemas e infraestructura de la SGP, con el objeto de detectar debilidades para luego remediarlas.
Se usan datos de prueba de manera segura y siguiendo requisitos de seguridad estipulados en los entornos de desarrollo y pruebas funcionales y de seguridad.
Política en Relación a los Proveedores
Se establecen requisitos de seguridad para proteger los activos de información de la SGP a los que tienen acceso los proveedores, como también los riesgos asociados a los servicios provistos por parte de terceros.
Se controlan las implementaciones de los proveedores, se monitorea su cumplimiento y la gestión en los cambios, con el fin de asegurar que los servicios que se presten, cumplan con todos los requerimientos acordados previamente con los proveedores en el marco de la presente.
Política de Gestión de Incidentes de Seguridad
Todo el personal de la SGP, es responsable de informar los incidentes de seguridad que se detecten, como también de comunicar las fallas o debilidades que adviertan en el uso regular de los sistemas tecnológicos.
Se establecen responsabilidades y procedimientos para gestionar los incidentes de seguridad, con el fin de garantizar una respuesta rápida, eficaz y sistemática, ante la aparición de los mismos.
Se podrán iniciar los procedimientos sumariales contemplados en la normativa vigente de la Administración Publica Nacional, a los empleados que violen la Política de Seguridad de la Información y la Política de Uso Aceptable de los Recursos de Tecnología de la Información.
Cuando la respuesta a un incidente de seguridad de la información, implique medidas administrativas o judiciales se establecerán procedimientos complementarios de identificación, adquisición y almacenamiento de evidencia forense.
Política de Gestión de la Continuidad
A fin de contrarrestar la aparición de incidentes, se desarrollan e implantan planes de contingencia para asegurar la continuidad de los procesos de la Secretaría General de la Presidencia de la Nación, para que las operaciones se puedan restaurar en los plazos requeridos y manteniendo los requerimientos de seguridad.
Política de Cumplimiento
Se promueve el conocimiento y estricta observación de las leyes relacionadas a la propiedad intelectual, protección de datos personales, firma digital, delitos informáticos, así como también todo el marco normativo interno de seguridad de la información. Para lo cual se establece realizar revisiones de cumplimiento y de auditoría en los sistemas de información, infraestructura tecnológica y en los procesos existentes.
1. Introducción
Si bien el uso de las actuales tecnologías informáticas, permiten procesar grandes cantidades de información, estas tecnologías están expuestas a múltiples amenazas, más aún, cuando no se cuenta con una correcta gestión de la seguridad de la información.
La Política de Seguridad de la Información (PSI), nos brinda un marco para proteger la información y garantizar la continuidad de las operaciones de los sistemas de información, asegurando de este modo el cumplimiento eficiente de los objetivos de la Secretaría General de la Presidencia de la Nación, siendo para ello necesario, el compromiso manifiesto de las máximas autoridades de la Secretaría General de la Presidencia de la Nación y de los titulares de todas las unidades organizativas, para promover la difusión, consolidación y cumplimiento de la política de seguridad adoptada, con el fin que estos principios lleguen a formar parte de la cultura organizacional.
La presente Política de Seguridad de la Información (PSI) será utilizada como base para establecer un conjunto de normas, procedimientos, lineamientos y guías acordes a los procesos que se llevan adelante en el organismo, su plataforma tecnológica y demás recursos de los que disponga.
1.1 Alcance
La presente Política de Seguridad de la Información se dicta en cumplimiento de las disposiciones legales vigentes y deberá ser conocida y cumplida por todo el personal de la Secretaría General de la Presidencia de la Nación - funcionarios y personal-, sea cual fuere su nivel escalafonario, su situación de revista o modalidad contractual.
Esta Política se aplica en todo el ámbito de la Secretaría General de la Presidencia de la Nación, a todos sus recursos y a la totalidad de los procesos, ya sean estos internos, externos o vinculado a través de acuerdos o contratos con terceros.
1.2 Objetivo
El objetivo de la presente política, es proteger los activos de información y los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación, que se utilizan en la recopilación, procesamiento, almacenamiento y transmisión frente a amenazas internas o externas, pudiendo ser estas deliberadas o accidentales, mediante la implementación de un adecuado conjunto de controles, que incluyen, políticas, procesos, procedimientos, estructura organizacional, funciones de software y hardware, identificación de recursos y partidas presupuestarias necesarias para alcanzar dichos objetivos.
2. Lineamientos
2.1 Principios
La presente política se basa en principios básicos que rigen la Seguridad de la Información y principalmente en la confidencialidad, integridad y disponibilidad de la información, así como en el principio de la continuidad operacional.
2.2 Responsabilidad
Es responsabilidad de la Secretaría General de la Presidencia de la Nación dar a conocer e implementar la Política de Seguridad de la Información, como parte de sus herramientas de gobierno y gestión. Así también debe promover y dar efectivo cumplimiento a los estándares, procedimientos y lineamientos que garanticen su acatamiento.
2.3 Acatamiento
La presente Política de Seguridad de la Información, expresa declaraciones respecto a temáticas inherentes a la seguridad que resultan de cumplimiento obligatorio, motivo por el cual la terminología utilizada es de imperativo acatamiento.
2.4 Excepciones
Todas las excepciones a la Política de Seguridad de la Información, deberán ser formalmente documentadas, registradas y revisadas.
La excepción al cumplimiento de la presente Política de Seguridad será solicitada expresamente por el Responsable de la Dirección interesada y el Responsable de la Seguridad de la Información (RSI) decidirá, antes de su implementación, si así correspondiera.
2.5 Marco Legal
Todas las definiciones de la presente Política de Seguridad de la Información son concordantes con la legislación vigente, en especial:
• Propiedad Intelectual, Ley N° 11.723
• Marco Legal de las Estadísticas Oficiales, Ley N° 17.622
• Procedimientos Administrativos, Ley N° 19.549
• Ética en el Ejercicio de la Función Pública, Ley N° 25.188
• Protección de Datos Personales, Ley N° 25.326
• Firma Digital, Ley N° 25.506
• Delitos Informáticos, Ley N° 26.388
• Decisión Administrativa N° 641/2021
• Disposición N° 1/2022 de la Dirección Nacional de Ciberseguridad
• Marco Legal de las Estadísticas Oficiales, Ley N° 17.622
• Procedimientos Administrativos, Ley N° 19.549
• Ética en el Ejercicio de la Función Pública, Ley N° 25.188
• Protección de Datos Personales, Ley N° 25.326
• Firma Digital, Ley N° 25.506
• Delitos Informáticos, Ley N° 26.388
• Decisión Administrativa N° 641/2021
• Disposición N° 1/2022 de la Dirección Nacional de Ciberseguridad
Como también a los estándares internacionalmente aceptados para la práctica de seguridad de la información, particularmente respecto de:
• Norma ISO/IEC 27002:2013 Código de Buenas Prácticas de Controles para la Seguridad de la Información.
3. Términos y Definiciones
Se entiende a la seguridad de la información como la preservación de los siguientes principios:
• Confidencialidad: la garantía que la información sea accesible sólo a aquellas personas autorizadas a tener acceso a la misma.
• Integridad: se salvaguarda la precisión, exactitud y totalidad de la información y los métodos de procesamiento.
• Disponibilidad: se garantiza que los usuarios autorizados tengan acceso a la información y a los recursos relacionados con la misma, toda vez que lo requieran.
• Adicionalmente, deben considerarse los principios de:
• Autenticidad: asegura la validez de la información en tiempo, forma y distribución. Asimismo, se garantiza el origen de la información, validando al emisor para evitar suplantación de identidades.
• Auditabilidad: define que todos los eventos de un sistema deben poder ser registrados para su control posterior.
• Confiabilidad de la Información: la información generada debe ser adecuada para sustentar la toma de decisiones y la ejecución de las misiones y funciones.
• Legalidad: todo acto de los órganos del Estado debe encontrarse fundado y motivado por el derecho vigente.
• No repudio: se refiere a evitar que una entidad que haya enviado o recibido información alegue ante terceros que no la envió o recibió.
• Protección a la duplicación: consiste en asegurar que una transacción sólo sea realizada una vez, a menos que se especifique lo contrario. Impide que se grabe una transacción para luego reproducirla, con el objeto de simular múltiples peticiones del mismo remitente original.
• Integridad: se salvaguarda la precisión, exactitud y totalidad de la información y los métodos de procesamiento.
• Disponibilidad: se garantiza que los usuarios autorizados tengan acceso a la información y a los recursos relacionados con la misma, toda vez que lo requieran.
• Adicionalmente, deben considerarse los principios de:
• Autenticidad: asegura la validez de la información en tiempo, forma y distribución. Asimismo, se garantiza el origen de la información, validando al emisor para evitar suplantación de identidades.
• Auditabilidad: define que todos los eventos de un sistema deben poder ser registrados para su control posterior.
• Confiabilidad de la Información: la información generada debe ser adecuada para sustentar la toma de decisiones y la ejecución de las misiones y funciones.
• Legalidad: todo acto de los órganos del Estado debe encontrarse fundado y motivado por el derecho vigente.
• No repudio: se refiere a evitar que una entidad que haya enviado o recibido información alegue ante terceros que no la envió o recibió.
• Protección a la duplicación: consiste en asegurar que una transacción sólo sea realizada una vez, a menos que se especifique lo contrario. Impide que se grabe una transacción para luego reproducirla, con el objeto de simular múltiples peticiones del mismo remitente original.
A los efectos de una correcta interpretación de la presente política, se realizan las siguientes definiciones:
• Activo: Información, conocimiento sobre los procesos, el personal, hardware, software y cualquier otro recurso involucrado en el tratamiento de los datos, que tenga valor para la organización.
• Amenaza: Es toda acción potencial o incidente no deseado que puede ocasionar daño o pérdida a un sistema o a la organización.
• Archivo, registro, base o banco de datos: indistintamente, designan al conjunto organizado de datos que sean objeto de tratamiento o procesamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso.
• Ataque: intentar destruir, exponer, alterar, deshabilitar, robar u obtener acceso no autorizado o hacer uso de un activo en forma no autorizada.
• Autenticador: Es un tipo de dispositivo portátil, que es usado para verificar la identidad de un individuo que desea utilizar un servicio en particular, también conocido como token de autenticación.
• Backbone: Cableado troncal de la red de datos, también denominado cableado vertical, que realiza la interconexión entre la sala principal de comunicaciones y cada uno de los gabinetes de comunicación, distribuidos en un cada uno de los pisos de un edificio.
• Código Malicioso: Programa malicioso, también llamado código maligno, software malicioso, software dañino o software malintencionado, el cual hace referencia a cualquier tipo de software que trata de infiltrarse sin el consentimiento del usuario para robar información, dañar el sistema afectado o hacer uso de los recursos informáticos para afectar a otros sistemas.
• Comité o Consejo de Seguridad de la Información: Es un cuerpo integrado por representantes de las áreas sustantivas de la Secretaría General de la Presidencia de la Nación, que tiene como objetivo garantizar el apoyo, implementación y seguimiento de lo propuesto en la presente.
• Continuidad operacional: Refiere a la continuidad de los procesos de gestión en la Secretaría General de la Presidencia de la Nación y su recuperación ante la ocurrencia de un evento o incidencia.
• Contramedida: Es un medio para gestionar el Control de riesgo.
• Control: Es un medio para gestionar el riesgo, incluyendo políticas, procedimientos, directrices, prácticas o estructuras organizacionales, las cuales pueden ser de naturaleza administrativa, técnica, de gestión o legal. Utilizado también como sinónimo de salvaguarda o de contramedida.
• Control de acceso: autorización o restricción de acceso a los activos, según el rol y la seguridad.
• Responsable de la Seguridad de la Información (RSI): Será el Director de Seguridad Informática de la Dirección General de Tecnología Informática y Telecomunicaciones de la Secretaría General de la Presidencia de la Nación, con el fin de garantizar la implementación de las iniciativas de seguridad presentes y futuras.
• Criptografía: disciplina que busca ocultar el contenido semántico o significado de cierta información y de dicha manera proporcionarle confidencialidad, integridad, no repudio y autenticidad.
• Datos personales: información de cualquier tipo referida a personas humanas o de existencia ideal determinadas o determinables.
• Datos sensibles: datos personales que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.
• Disociación de datos: Todo tratamiento de datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable.
• Escrow: Es un tipo de contrato en el cual, las partes, se comprometen a usar los servicios de un tercero como depositante de los bienes que ofrece cada uno de ellos. Transfiriendo el bien a la otra parte solo si se cumplen las condiciones establecidas previamente.
• Evaluación de Riesgos: Se refiere a la evaluación de las amenazas y vulnerabilidades relativas a la información y a las instalaciones de procesamiento de la misma, la probabilidad de que ocurran y su potencial impacto en la operatoria de la Secretaría General de la Presidencia de la Nación.
• Evento: ocurrencia o cambio de un conjunto particular de circunstancias.
• Gestión de Riesgos: Son las actividades implementadas para dirigir y controlar una organización en lo que concierne al riesgo. La gestión de riesgos usualmente incluye la evaluación de riesgos, el tratamiento de riesgos, la aceptación de riesgos y la comunicación de riesgos.
• Identificación de riesgos: proceso de búsqueda, reconocimiento y descripción de riesgos. La identificación de riesgos implica la identificación de fuentes de riesgo, eventos, sus causas y sus posibles consecuencias.
• Incidente de Seguridad: Es un evento adverso en un sistema o red de computadoras, que puede comprometer la confidencialidad, integridad y/o disponibilidad de la información. Puede ser causado por la explotación de alguna vulnerabilidad y que amenaza y/o intenta violar los mecanismos de seguridad existentes.
• Información: Se refiere a toda comunicación o representación de conocimiento como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea magnético, en papel, en pantallas de computadoras, audiovisual u otro.
• Infraestructura crítica: En el marco del presente se define como infraestructura tecnológica o comunicaciones
• Malware: Código o software Malicioso diseñado para infiltrarse en un dispositivo sin el conocimiento del usuario.
• Propietario de la Información: En el marco del presente se define a la persona responsable de la integridad, confidencialidad y disponibilidad de una cierta información.
• Remediación: Proceso que conduce al restablecimiento total o parcial del nivel de seguridad de un sistema, producto de la implementación de una contramedida que disminuye, mitiga o elimina una amenaza.
• Responsable de Seguridad de la Información: Es el responsable de supervisar el cumplimiento de la presente Política y de asesorar en materia de Seguridad de la Información a los integrantes de la SGP que lo requieran.
• Riesgo: Es la combinación de la probabilidad de ocurrencia de una amenaza y su impacto si la misma tuviera éxito. Efecto de la incertidumbre sobre los objetivos.
• Seguridad de la Información: preservación de la confidencialidad, integridad y disponibilidad de la información, en adición también de otras propiedades como autenticación, autorización, privacidad, registro de actividad, no repudio y confiabilidad pueden ser también consideradas.
• Sistema de Gestión de Seguridad de Datos Personales: Sistema de gestión general para establecer, implementar, operar, monitorear, revisar, mantener y mejorar el tratamiento y seguridad de los datos personales en función del riesgo de los activos y de los principios básicos de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, previstos en la Ley N° 25.356 y Decreto Reglamentario.
• Sistema de Información: Se refiere a un conjunto independiente de recursos de información organizados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información según determinados procedimientos, tanto automatizados como manuales.
• Tecnología de la Información: Se refiere al hardware y software operados por la Secretaría General de la Presidencia de la Nación o por un tercero que procese información en su nombre, para llevar a cabo una función propia de la Secretaría General de la Presidencia de la Nación, sin tener en cuenta la tecnología utilizada, ya se trate de computación de datos, telecomunicaciones u otro tipo.
• Titular de los datos: toda persona humana o jurídica cuyos datos sean objeto de tratamiento.
• Tratamiento de Riesgos: Se refiere al proceso de selección e implementación de controles para modificar el riesgo.
• Vulnerabilidad: Es una debilidad existente en un activo que puede ser aprovechada por una amenaza producto de un defecto o mala configuración.
• Amenaza: Es toda acción potencial o incidente no deseado que puede ocasionar daño o pérdida a un sistema o a la organización.
• Archivo, registro, base o banco de datos: indistintamente, designan al conjunto organizado de datos que sean objeto de tratamiento o procesamiento, electrónico o no, cualquiera que fuere la modalidad de su formación, almacenamiento, organización o acceso.
• Ataque: intentar destruir, exponer, alterar, deshabilitar, robar u obtener acceso no autorizado o hacer uso de un activo en forma no autorizada.
• Autenticador: Es un tipo de dispositivo portátil, que es usado para verificar la identidad de un individuo que desea utilizar un servicio en particular, también conocido como token de autenticación.
• Backbone: Cableado troncal de la red de datos, también denominado cableado vertical, que realiza la interconexión entre la sala principal de comunicaciones y cada uno de los gabinetes de comunicación, distribuidos en un cada uno de los pisos de un edificio.
• Código Malicioso: Programa malicioso, también llamado código maligno, software malicioso, software dañino o software malintencionado, el cual hace referencia a cualquier tipo de software que trata de infiltrarse sin el consentimiento del usuario para robar información, dañar el sistema afectado o hacer uso de los recursos informáticos para afectar a otros sistemas.
• Comité o Consejo de Seguridad de la Información: Es un cuerpo integrado por representantes de las áreas sustantivas de la Secretaría General de la Presidencia de la Nación, que tiene como objetivo garantizar el apoyo, implementación y seguimiento de lo propuesto en la presente.
• Continuidad operacional: Refiere a la continuidad de los procesos de gestión en la Secretaría General de la Presidencia de la Nación y su recuperación ante la ocurrencia de un evento o incidencia.
• Contramedida: Es un medio para gestionar el Control de riesgo.
• Control: Es un medio para gestionar el riesgo, incluyendo políticas, procedimientos, directrices, prácticas o estructuras organizacionales, las cuales pueden ser de naturaleza administrativa, técnica, de gestión o legal. Utilizado también como sinónimo de salvaguarda o de contramedida.
• Control de acceso: autorización o restricción de acceso a los activos, según el rol y la seguridad.
• Responsable de la Seguridad de la Información (RSI): Será el Director de Seguridad Informática de la Dirección General de Tecnología Informática y Telecomunicaciones de la Secretaría General de la Presidencia de la Nación, con el fin de garantizar la implementación de las iniciativas de seguridad presentes y futuras.
• Criptografía: disciplina que busca ocultar el contenido semántico o significado de cierta información y de dicha manera proporcionarle confidencialidad, integridad, no repudio y autenticidad.
• Datos personales: información de cualquier tipo referida a personas humanas o de existencia ideal determinadas o determinables.
• Datos sensibles: datos personales que revelan origen racial y étnico, opiniones políticas, convicciones religiosas, filosóficas o morales, afiliación sindical e información referente a la salud o a la vida sexual.
• Disociación de datos: Todo tratamiento de datos personales de manera que la información obtenida no pueda asociarse a persona determinada o determinable.
• Escrow: Es un tipo de contrato en el cual, las partes, se comprometen a usar los servicios de un tercero como depositante de los bienes que ofrece cada uno de ellos. Transfiriendo el bien a la otra parte solo si se cumplen las condiciones establecidas previamente.
• Evaluación de Riesgos: Se refiere a la evaluación de las amenazas y vulnerabilidades relativas a la información y a las instalaciones de procesamiento de la misma, la probabilidad de que ocurran y su potencial impacto en la operatoria de la Secretaría General de la Presidencia de la Nación.
• Evento: ocurrencia o cambio de un conjunto particular de circunstancias.
• Gestión de Riesgos: Son las actividades implementadas para dirigir y controlar una organización en lo que concierne al riesgo. La gestión de riesgos usualmente incluye la evaluación de riesgos, el tratamiento de riesgos, la aceptación de riesgos y la comunicación de riesgos.
• Identificación de riesgos: proceso de búsqueda, reconocimiento y descripción de riesgos. La identificación de riesgos implica la identificación de fuentes de riesgo, eventos, sus causas y sus posibles consecuencias.
• Incidente de Seguridad: Es un evento adverso en un sistema o red de computadoras, que puede comprometer la confidencialidad, integridad y/o disponibilidad de la información. Puede ser causado por la explotación de alguna vulnerabilidad y que amenaza y/o intenta violar los mecanismos de seguridad existentes.
• Información: Se refiere a toda comunicación o representación de conocimiento como datos, en cualquier forma, con inclusión de formas textuales, numéricas, gráficas, cartográficas, narrativas o audiovisuales, y en cualquier medio, ya sea magnético, en papel, en pantallas de computadoras, audiovisual u otro.
• Infraestructura crítica: En el marco del presente se define como infraestructura tecnológica o comunicaciones
• Malware: Código o software Malicioso diseñado para infiltrarse en un dispositivo sin el conocimiento del usuario.
• Propietario de la Información: En el marco del presente se define a la persona responsable de la integridad, confidencialidad y disponibilidad de una cierta información.
• Remediación: Proceso que conduce al restablecimiento total o parcial del nivel de seguridad de un sistema, producto de la implementación de una contramedida que disminuye, mitiga o elimina una amenaza.
• Responsable de Seguridad de la Información: Es el responsable de supervisar el cumplimiento de la presente Política y de asesorar en materia de Seguridad de la Información a los integrantes de la SGP que lo requieran.
• Riesgo: Es la combinación de la probabilidad de ocurrencia de una amenaza y su impacto si la misma tuviera éxito. Efecto de la incertidumbre sobre los objetivos.
• Seguridad de la Información: preservación de la confidencialidad, integridad y disponibilidad de la información, en adición también de otras propiedades como autenticación, autorización, privacidad, registro de actividad, no repudio y confiabilidad pueden ser también consideradas.
• Sistema de Gestión de Seguridad de Datos Personales: Sistema de gestión general para establecer, implementar, operar, monitorear, revisar, mantener y mejorar el tratamiento y seguridad de los datos personales en función del riesgo de los activos y de los principios básicos de licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad, previstos en la Ley N° 25.356 y Decreto Reglamentario.
• Sistema de Información: Se refiere a un conjunto independiente de recursos de información organizados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información según determinados procedimientos, tanto automatizados como manuales.
• Tecnología de la Información: Se refiere al hardware y software operados por la Secretaría General de la Presidencia de la Nación o por un tercero que procese información en su nombre, para llevar a cabo una función propia de la Secretaría General de la Presidencia de la Nación, sin tener en cuenta la tecnología utilizada, ya se trate de computación de datos, telecomunicaciones u otro tipo.
• Titular de los datos: toda persona humana o jurídica cuyos datos sean objeto de tratamiento.
• Tratamiento de Riesgos: Se refiere al proceso de selección e implementación de controles para modificar el riesgo.
• Vulnerabilidad: Es una debilidad existente en un activo que puede ser aprovechada por una amenaza producto de un defecto o mala configuración.
4. Organización del documento Política de Seguridad de la Información
Siguiendo los lineamientos contemplados en el Anexo I “REQUISITOS MÍNIMOS DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DEL SECTOR PÚBLICO NACIONAL” aprobado por la Decisión Administrativa N° 641/21, se establecen catorce (14) directrices para organizar la presente Política de Seguridad de la Información:
• Gestión de las Políticas y Normativas de Seguridad
• Política Organizativa
• Política de Recursos Humanos
• Política de Gestión de Activos
• Política de Control de Accesos
• Política de Criptografía
• Política Físico y Ambiental
• Política de Seguridad en las Operaciones
• Política en la Gestión de la Comunicación
• Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
• Política en Relación a los Proveedores
• Política de Gestión de Incidentes de Seguridad
• Política de Gestión de la Continuidad
• Política de Cumplimiento
• Política Organizativa
• Política de Recursos Humanos
• Política de Gestión de Activos
• Política de Control de Accesos
• Política de Criptografía
• Política Físico y Ambiental
• Política de Seguridad en las Operaciones
• Política en la Gestión de la Comunicación
• Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
• Política en Relación a los Proveedores
• Política de Gestión de Incidentes de Seguridad
• Política de Gestión de la Continuidad
• Política de Cumplimiento
5. Gestión de Políticas y Normativas de Seguridad
Objetivo
Proteger los recursos de información de la Secretaría General de la Presidencia de la Nación y la tecnología utilizada para su procesamiento, frente a amenazas, internas o externas, deliberadas o accidentales, con el fin de asegurar el cumplimiento de la confidencialidad, integridad, disponibilidad, legalidad y confiabilidad de la información.
Proporcionar a la Secretaría General de la Presidencia de la Nación, la dirección y soporte para la seguridad de la información en concordancia con los requerimientos y las leyes y regulaciones relevantes. se establecerá claramente la dirección de la política en línea con los objetivos.
5.1 Políticas y Normativas de Seguridad
5.1.1 Política de Seguridad de la Información
La presente Política de Seguridad de la Información, una vez aprobada por el Señor Secretario General de la Presidencia de la Nación, entrará en vigencia a partir del día siguiente de su publicación en el Boletín Oficial.
5.1.2 Políticas y Normativas Complementarias
La “Política de Uso Aceptable de los Recursos de Tecnología de la Información” (PUA), establecerá las normas de conducta razonable, que deben observar los funcionarios y agentes de la Secretaría General de la Presidencia de la Nación cuando utilicen los recursos informáticos puestos a su disposición, con la finalidad de minimizar riesgos producto del mal uso de los mismos. De la misma manera, podrán existir otra serie de políticas y normativas más detalladas, aplicables en áreas específicas.
Por ello se establecerán las siguientes jerarquías respecto a la documentación de seguridad, a fin de garantizar que los objetivos y medidas establecidos en la presente política de seguridad cuente con un orden establecido:
• Primer nivel: Política de Seguridad de la Información.
• Segundo nivel: Política de Uso Aceptable de los Recursos de Tecnología de la Información y otras políticas y normativas.
• Tercer nivel: Documentación de buenas prácticas, recomendaciones y guías de apoyo referidos a aspectos de seguridad de la información.
• Cuarto nivel: Procedimientos de seguridad.
• Segundo nivel: Política de Uso Aceptable de los Recursos de Tecnología de la Información y otras políticas y normativas.
• Tercer nivel: Documentación de buenas prácticas, recomendaciones y guías de apoyo referidos a aspectos de seguridad de la información.
• Cuarto nivel: Procedimientos de seguridad.
5.1.3 Revisión de Políticas
La Política de Seguridad de la Información y la Política de Uso Aceptable de los Recursos de Tecnología de la Información, deberán ser revisadas cada 12 meses, contados a partir de la fecha de su publicación, o cuando ocurran cambios significativos referidos a las políticas adoptadas y deban ser aprobadas por el Responsable de la Seguridad de la Información.
La Política de Seguridad de la Información y la Política de Uso Aceptable de los Recursos de Tecnología de la Información deben poseer un responsable de las actividades de desarrollo, evaluación y revisión de la política.
La actividad de revisión debe incluir las oportunidades de mejoras, en respuesta a los cambios, entre otros, organizacionales, normativos o tecnológicos.
6. Política Organizativa
Objetivos
Administrar la seguridad de la información dentro de la Secretaría General de la Presidencia de la Nación y establecer un marco gerencial para iniciar y controlar su implementación, así como para la distribución de funciones y responsabilidades.
Fomentar la consulta y cooperación con Organismos especializados para la obtención de asesoría en materia de seguridad de la información.
Garantizar la aplicación de medidas de seguridad adecuadas en los accesos de terceros a la información de la Secretaría General de la Presidencia de la Nación.
6.1 Organización Interna
6.1.1 Compromiso del Comité de Control de Seguridad Informática
El Comité de Control de Seguridad Informática de la SGP se compromete con la seguridad de la información a través de una orientación clara, mostrando compromiso, asignando roles y asumiendo las responsabilidades establecidas en el presente.
Revisará y previa conformidad, propondrá al Secretario General la aprobación de la política de seguridad de la información, que fuera elevada previamente por el Responsable de la Seguridad de la Información. Así también, revisará los beneficios de su implementación.
La seguridad de la información es responsabilidad de la Secretaría General de la Presidencia de la Nación compartida por todas las Autoridades políticas y Directores Nacionales o Generales, Directores o equivalentes, por lo cual se crea el Comité de Control de Seguridad Informática, quien cumplirá la función de impulsar la implementación de la presente Política.
Se crea el Comité de Control de Seguridad Informática, integrado por los responsables de las siguientes Direcciones y Subsecretarías:
• Subsecretaría de Coordinación
• Dirección General de Tecnología Informática y Telecomunicaciones de la Subsecretaría de Coordinación
• Dirección General de Asuntos Jurídicos de la Subsecretaría de Coordinación
• Administración de Servicios Generales de la Subsecretaría de Planificación General
• Dirección General de Recursos Humanos de la Subsecretaría de Coordinación
• Dirección General de Administración de la Subsecretaría de Coordinación
• Dirección General de Tecnología Informática y Telecomunicaciones de la Subsecretaría de Coordinación
• Dirección General de Asuntos Jurídicos de la Subsecretaría de Coordinación
• Administración de Servicios Generales de la Subsecretaría de Planificación General
• Dirección General de Recursos Humanos de la Subsecretaría de Coordinación
• Dirección General de Administración de la Subsecretaría de Coordinación
El Comité presentará la evolución de los planes, programas y objetivos para su aprobación y apoyo.
El Comité de Control de Seguridad Informática tendrá entre sus funciones:
a) Revisar y previa conformidad, proponer al Señor Secretario General de la Presidencia de la Nación para su aprobación, la Política de Seguridad de la Información y las funciones generales en materia de Seguridad de la Información.
b) Analizar las actualizaciones a la Política de Seguridad de la Información propuestas por el Responsable de la Seguridad de la Información y previa conformidad, elevarlas para la aprobación del Secretario General de la Presidencia de la Nación.
c) Monitorear cambios significativos en los riesgos que afectan a los recursos de información frente a las amenazas más importantes.
d) Tomar conocimiento y supervisar la investigación y monitoreo de aquellos incidentes relevantes relativos a la seguridad.
e) Evaluar y aprobar las principales iniciativas para incrementar la seguridad de la información de acuerdo con las competencias y responsabilidades asignadas a cada área.
f) Acordar y aprobar metodologías y procesos específicos relativos a la seguridad de la información.
g) Garantizar que la seguridad sea parte del proceso de planificación informática de la Secretaría General de la Presidencia de la Nación.
h) Evaluar e impulsar la implementación de controles específicos de seguridad de la información para nuevos sistemas o servicios.
i) Promover la difusión y concientización de la seguridad de la información dentro de la Secretaría General de la Presidencia de la Nación.
j) Promover el apoyo y cooperación de los Directores Nacionales, Generales y Coordinadores en toda implementación referida a la seguridad de la información.
k) Tomar conocimiento y supervisar el proceso de administración de la continuidad de la operatoria de los sistemas de tratamiento de la información de la Secretaría General de la Presidencia de la Nación frente a interrupciones imprevistas.
b) Analizar las actualizaciones a la Política de Seguridad de la Información propuestas por el Responsable de la Seguridad de la Información y previa conformidad, elevarlas para la aprobación del Secretario General de la Presidencia de la Nación.
c) Monitorear cambios significativos en los riesgos que afectan a los recursos de información frente a las amenazas más importantes.
d) Tomar conocimiento y supervisar la investigación y monitoreo de aquellos incidentes relevantes relativos a la seguridad.
e) Evaluar y aprobar las principales iniciativas para incrementar la seguridad de la información de acuerdo con las competencias y responsabilidades asignadas a cada área.
f) Acordar y aprobar metodologías y procesos específicos relativos a la seguridad de la información.
g) Garantizar que la seguridad sea parte del proceso de planificación informática de la Secretaría General de la Presidencia de la Nación.
h) Evaluar e impulsar la implementación de controles específicos de seguridad de la información para nuevos sistemas o servicios.
i) Promover la difusión y concientización de la seguridad de la información dentro de la Secretaría General de la Presidencia de la Nación.
j) Promover el apoyo y cooperación de los Directores Nacionales, Generales y Coordinadores en toda implementación referida a la seguridad de la información.
k) Tomar conocimiento y supervisar el proceso de administración de la continuidad de la operatoria de los sistemas de tratamiento de la información de la Secretaría General de la Presidencia de la Nación frente a interrupciones imprevistas.
6.1.2 Responsable de la Seguridad de la Información (RSI)
La “Dirección de Seguridad Informática” -área con competencia en la materia conforme el Decreto N° 194/20- tiene a su cargo las funciones relativas a la seguridad de los sistemas de información de la SGP y procesos asociados, así como también se le asigna como Responsable de la Seguridad de la Información la supervisión de todos los aspectos inherentes a la seguridad tratados en la presente política.
En ese carácter, elabora, propone y eleva al Comité de Control de Seguridad Informática para su aprobación posterior, la política de seguridad de la información y sus actualizaciones. Asimismo, la Dirección de Seguridad Informática, será responsable de que las actividades de seguridad sean ejecutadas de conformidad con la Política de Seguridad de la Información. Para ello, deberá:
a) Identificar cómo manejar las no-conformidades.
b) Aprobar los procedimientos para la seguridad de la información. Entre otros, la evaluación del riesgo y la clasificación de la información.
c) Identificar cambios significativos en las amenazas y la exposición de la información y los medios de procesamiento de la información ante amenazas.
d) Promover la capacitación y concientización de la seguridad de la información en los agentes de la Secretaría General de la Presidencia de la Nación.
e) Evaluar la información recibida del monitoreo y revisar los incidentes de seguridad de la información, y recomendar las acciones apropiadas en respuesta a los incidentes de seguridad de información identificados.
f) Implementar un Sistema de Gestión de Seguridad de la Información (SGSI).
g) Identificar, evaluar y proponer el tratamiento de los riesgos y amenazas a los que se expone la información y los recursos tecnológicos con el de la Secretaría General de la Presidencia de la Nación
h) Controlar el acceso a los recursos de tecnológicos.
i) Detectar, analizar, remediar y recolectar evidencia forense de incidentes de seguridad, ante actuaciones que ameriten intervención administrativa o judicial.
j) Implementar el (COS) Centros de Operaciones de Seguridad se encargan de realizar un seguimiento y analizar la actividad en redes, servidores, puntos finales, bases de datos, aplicaciones, sitios web y otros sistemas, buscando actividades anómalas que puedan ser indicativas de un incidente o compromiso de seguridad.
k) Generar estándares, protocolos de Ciberseguridad de infraestructura critica de la Secretaría General de la Presidencia de la Nación
l) Conformar un grupo de expertos responsable del desarrollo de medidas preventivas y reactivas ante incidencias, releva y evaluará las contingencias (CSIRT)
m) Elaborar planes estratégicos para liderar el abordaje de la ciberseguridad, asegurando la implementación de los últimos avances en tecnología para la protección de las Infraestructuras Críticas, de la Secretaría General de la Presidencia de la Nación
n) Monitorear los servicios que brinda a través de la red de internet y aquellos que se identifiquen como Infraestructura Crítica para la prevención de posibles fallas de Seguridad a la Secretaria General de la Nación
b) Aprobar los procedimientos para la seguridad de la información. Entre otros, la evaluación del riesgo y la clasificación de la información.
c) Identificar cambios significativos en las amenazas y la exposición de la información y los medios de procesamiento de la información ante amenazas.
d) Promover la capacitación y concientización de la seguridad de la información en los agentes de la Secretaría General de la Presidencia de la Nación.
e) Evaluar la información recibida del monitoreo y revisar los incidentes de seguridad de la información, y recomendar las acciones apropiadas en respuesta a los incidentes de seguridad de información identificados.
f) Implementar un Sistema de Gestión de Seguridad de la Información (SGSI).
g) Identificar, evaluar y proponer el tratamiento de los riesgos y amenazas a los que se expone la información y los recursos tecnológicos con el de la Secretaría General de la Presidencia de la Nación
h) Controlar el acceso a los recursos de tecnológicos.
i) Detectar, analizar, remediar y recolectar evidencia forense de incidentes de seguridad, ante actuaciones que ameriten intervención administrativa o judicial.
j) Implementar el (COS) Centros de Operaciones de Seguridad se encargan de realizar un seguimiento y analizar la actividad en redes, servidores, puntos finales, bases de datos, aplicaciones, sitios web y otros sistemas, buscando actividades anómalas que puedan ser indicativas de un incidente o compromiso de seguridad.
k) Generar estándares, protocolos de Ciberseguridad de infraestructura critica de la Secretaría General de la Presidencia de la Nación
l) Conformar un grupo de expertos responsable del desarrollo de medidas preventivas y reactivas ante incidencias, releva y evaluará las contingencias (CSIRT)
m) Elaborar planes estratégicos para liderar el abordaje de la ciberseguridad, asegurando la implementación de los últimos avances en tecnología para la protección de las Infraestructuras Críticas, de la Secretaría General de la Presidencia de la Nación
n) Monitorear los servicios que brinda a través de la red de internet y aquellos que se identifiquen como Infraestructura Crítica para la prevención de posibles fallas de Seguridad a la Secretaria General de la Nación
6.1.3 Asignación de Responsabilidades de la Seguridad de la Información
Se asignarán responsabilidades en los procesos de seguridad indicados en el presente cuadro:
Se designarán propietarios de la información que se procesa y almacena en la Secretaría General de la Presidencia de la Nación a los responsables de las Direcciones o Coordinaciones que utilizan dicha información.
Si bien los propietarios de la información podrán delegar la administración de sus funciones a personal idóneo, seguirán conservando la responsabilidad sobre la misma.
La asignación de la responsabilidad de la información deberá ser formalmente documentada y proporcionada al Responsable de la Seguridad de la Información (RSI), debiendo registrarse descripción de la información, propietario, procesos involucrados, área, recursos asociados, responsable técnico y cualquier otra información que sea relevante.
6.1.5 Autorización de Equipamiento para Procesamiento de Información
Los nuevos recursos de procesamiento de información deberán ser autorizados por la Dirección General de Tecnología Informática y Telecomunicaciones en conjunto con el Responsable de la Seguridad de la Información (RSI), a fin de garantizar que se cumplan todas las Políticas y requerimientos de seguridad existentes.
El uso de recursos personales de procesamiento de información en el lugar de trabajo puede ocasionar nuevas vulnerabilidades. En consecuencia, su uso será evaluado y autorizado por la Dirección General de Tecnología Informática y Telecomunicaciones en conjunto con el Responsable de la Seguridad de la Información, siguiendo las directrices del punto 6.2.2 Dispositivos Móviles Personales.
6.1.6 Acuerdo de confidencialidad
Se definirán, implementarán y revisarán regularmente los acuerdos de confidencialidad o de no divulgación para asegurar la protección de la información de la Secretaría General de la Presidencia de la Nación que deberán ser firmados por la totalidad del personal de la Secretaría General de la Presidencia de la Nación, cualquiera sea su situación de revista como también por terceros que tengan relaciones contractuales con la Secretaría General de la Presidencia de la Nación.
Mediante este instrumento el empleado se comprometerá a utilizar la información solamente para el uso específico al que se ha destinado y a no transferir, publicar o divulgar la información a persona humana o jurídica, salvo autorización previa y por escrito del Responsable del Activo de que se trate.
6.1.7 Contacto con otros organismos
A efectos de intercambiar experiencias, obtener asesoramiento o capacitación para el mejoramiento de las prácticas y controles de seguridad, se mantendrán contactos con otros organismos especializados en temas relativos a la seguridad informática.
El intercambio de información confidencial para fines de asesoramiento o de transmisión de experiencias, sólo se permitirá cuando se haya firmado previamente un Acuerdo de Confidencialidad con aquellas organizaciones públicas y privadas especializadas en temas relativos a la seguridad de la Información.
6.1.8 Contacto con grupos especializados en seguridad informática
El responsable de la Seguridad de la Información, coordinará los conocimientos y las experiencias disponibles en la Secretaría General de la Presidencia de la Nación en materia de seguridad de la información, promoviendo su capacitación continua que impartirá la Dirección Seguridad Informática.
Promoverá la asistencia y contacto con eventos, grupos, foros o asociaciones especializados de seguridad informática, con el fin de actualizar los conocimientos en materia de seguridad de la información del área, fomentará el intercambio con otros organismos de alertas tempranas, avisos y recomendaciones ante la aparición de nuevas vulnerabilidades o formas de violar la seguridad implementada.
A su vez la Dirección Seguridad Informática informara al CERT NACIONAL (CENTRO NACIONAL DE RESPUESTA A INCIDENTES INFORMÁTICOS) para interactuar y cooperar frente a incidentes de seguridad a nivel nacional.
6.1.9 Seguridad de la información en la gestión de proyectos
Se deberá contemplar al Responsable de la Seguridad de la Información en la gestión de proyectos, a efectos de garantizar que se reflejen adecuadamente las disposiciones de la Política de Seguridad de la Información en los mismos.
6.1.10 Segregación de Funciones
Se deberá diseñar el esquema de roles, segregando funciones y áreas de responsabilidades para evitar el conflicto de intereses con el objeto de reducir modificaciones no autorizadas o el mal uso de la información o servicios.
6.2 Dispositivos Móviles y Trabajo Remoto
6.2.1 Dispositivos Móviles de la Secretaria General de la Nación
Todo dispositivo móvil perteneciente a la Secretaría General de la Presidencia de la Nación (laptop, notebooks, notebooks tabletas, teléfonos celulares, etc.), que pudiera contener información de la Secretaría General de la Presidencia de la Nación, deberá cumplir con medidas seguridad adecuadas para proteger el dispositivo móvil y la información que contiene, contra todos los riesgos derivados del uso del mismo.
Por lo cual se deberán desarrollar procedimientos para asegurar al dispositivo móvil y la información contenida, debiendo tener en cuenta los siguientes conceptos:
a) Protección contra software malicioso del dispositivo móvil.
b) Cifrado de la información en el dispositivo móvil.
c) Mecanismos de borrado seguro de la información en caso de robo o pérdida.
d) Cifrado de las comunicaciones para acceder a los servicios de la Secretaría General de la Presidencia de la Nación
e) Control de acceso a los recursos a los que accede el dispositivo móvil.
f) Aplicación de las mismas políticas de seguridad que a los equipos no móviles de la Secretaría General de la Presidencia de la Nación. La utilización de dispositivos móviles en la vía pública incrementa la probabilidad de ocurrencia de incidentes de pérdida, robo o hurto, en consecuencia, deberá comunicarse al personal que los utilice, sobre los cuidados especiales a observar, contemplando las siguientes recomendaciones:
b) Cifrado de la información en el dispositivo móvil.
c) Mecanismos de borrado seguro de la información en caso de robo o pérdida.
d) Cifrado de las comunicaciones para acceder a los servicios de la Secretaría General de la Presidencia de la Nación
e) Control de acceso a los recursos a los que accede el dispositivo móvil.
f) Aplicación de las mismas políticas de seguridad que a los equipos no móviles de la Secretaría General de la Presidencia de la Nación. La utilización de dispositivos móviles en la vía pública incrementa la probabilidad de ocurrencia de incidentes de pérdida, robo o hurto, en consecuencia, deberá comunicarse al personal que los utilice, sobre los cuidados especiales a observar, contemplando las siguientes recomendaciones:
a) Permanecer cerca del dispositivo y no desatender el mismo.
b) No llamar la atención acerca del equipo móvil que se porta.
c) No poner identificaciones referidas a la Secretaría General de la Presidencia de la Nación en el dispositivo móvil, salvo las estrictamente necesarias.
d) Colocar un teléfono de contacto sin identificación para su recupero.
e) Mantener cifrada la información del dispositivo móvil.
b) No llamar la atención acerca del equipo móvil que se porta.
c) No poner identificaciones referidas a la Secretaría General de la Presidencia de la Nación en el dispositivo móvil, salvo las estrictamente necesarias.
d) Colocar un teléfono de contacto sin identificación para su recupero.
e) Mantener cifrada la información del dispositivo móvil.
Se confeccionará un procedimiento que permita al poseedor del dispositivo reportar rápidamente cualquier incidente sufrido y de esta manera mitigar los riesgos a los que eventualmente estuviera exponiendo a la SGP ante la ocurrencia del incidente, los que incluirán:
a) Revocación de las credenciales afectadas.
b) Notificación al Responsable de la Seguridad de la Información.
c) Notificación a los grupos de trabajo a los que potencialmente podría haber comprometido dicho incidente.
b) Notificación al Responsable de la Seguridad de la Información.
c) Notificación a los grupos de trabajo a los que potencialmente podría haber comprometido dicho incidente.
6.2.2 Dispositivos Móviles Personales
Cuando sea necesario el uso de equipamiento personal, en las instalaciones de la Secretaría General de la Presidencia de la Nación, este deberá ser evaluado y autorizado por el Responsable de la Seguridad de la Información en conjunto con la Dirección General de Tecnología Informática y Telecomunicaciones.
Todo dispositivo móvil no perteneciente a la Secretaría General de la Presidencia de la Nación (laptop, notebooks, notebooks tabletas, teléfonos celulares, etc.) deberá cumplir con las medidas de seguridad adecuadas con el fin de proteger los recursos informáticos a los cuales accede.
Se deberán desarrollar procedimientos para estos dispositivos, que abarquen los siguientes conceptos:
a) Protección contra software malicioso del dispositivo móvil.
b) Cifrado de las comunicaciones para acceder a los servicios de la SGP
c) Control de acceso a los recursos a los que se accede desde el dispositivo móvil.
d) Concientización del usuario de las restricciones a las cuales debe adecuarse para que el dispositivo móvil pueda conectarse a los recursos informáticos de la Secretaría General de la Presidencia de la Nación.
e) Auditorías y monitoreo de las actividades efectuadas.
f) Registro de las personas que usan dispositivos no pertenecientes a la Secretaría General de la Presidencia de la Nación
b) Cifrado de las comunicaciones para acceder a los servicios de la SGP
c) Control de acceso a los recursos a los que se accede desde el dispositivo móvil.
d) Concientización del usuario de las restricciones a las cuales debe adecuarse para que el dispositivo móvil pueda conectarse a los recursos informáticos de la Secretaría General de la Presidencia de la Nación.
e) Auditorías y monitoreo de las actividades efectuadas.
f) Registro de las personas que usan dispositivos no pertenecientes a la Secretaría General de la Presidencia de la Nación
6.2.3 Trabajo a Distancia
El trabajo a distancia deberá ser autorizado y solicitado por la Dirección a la cual pertenezca el usuario, el Responsable de la Seguridad de la Información evaluará tal solicitud en conjunto con la Dirección General de Tecnología Informática y Telecomunicaciones y sólo serán contempladas situaciones que justifiquen la imposibilidad de otra forma de acceso o ante urgencias.
Estos casos serán de excepción tomando en consideración situaciones que justifiquen la imposibilidad de otra forma de acceso y la urgencia, tales como horarios de la Secretaría General de la Presidencia de la Nación, solicitud de las autoridades, etc.
Los controles y disposiciones comprenden:
a) Asegurar el cifrado de las comunicaciones
b) Concientizar sobre la amenaza de acceso no autorizado a la información o recursos por parte de otras personas que utilizan el espacio de trabajo remoto, por ejemplo, familiar o amigo.
c) Proveer de mobiliario para almacenamiento y equipamiento adecuado para las actividades de trabajo remoto cuando sea necesario
d) Definir el trabajo permitido, la franja horaria de trabajo asignada, la clasificación de la información que se puede almacenar en el equipo remoto desde el cual se accede a la red de la Secretaría General de la Presidencia de la Nación y los sistemas internos y servicio a los cuales el trabajador remoto solo estará autorizado a acceder. Definir reglas y orientación respecto del acceso de terceros al equipamiento e información.
e) Proveer el hardware y el soporte y mantenimiento del software, cuando sea necesario.
f) Efectuar auditorías y monitoreo de las actividades efectuadas remotamente.
g) Realizar la anulación de las autorizaciones, derechos de acceso y devolución del equipo cuando finalicen las actividades remotas.
h) Asegurar el reintegro del equipamiento en las mismas condiciones en que fue entregado, en el caso en que cese la necesidad de trabajar en forma remota.
i) Se deberán implementar regularmente procesos de auditoría específicos para los casos de accesos remotos. Se deberá llevar un registro de incidentes a fin de corregir eventuales fallas en la seguridad de este tipo de accesos.
b) Concientizar sobre la amenaza de acceso no autorizado a la información o recursos por parte de otras personas que utilizan el espacio de trabajo remoto, por ejemplo, familiar o amigo.
c) Proveer de mobiliario para almacenamiento y equipamiento adecuado para las actividades de trabajo remoto cuando sea necesario
d) Definir el trabajo permitido, la franja horaria de trabajo asignada, la clasificación de la información que se puede almacenar en el equipo remoto desde el cual se accede a la red de la Secretaría General de la Presidencia de la Nación y los sistemas internos y servicio a los cuales el trabajador remoto solo estará autorizado a acceder. Definir reglas y orientación respecto del acceso de terceros al equipamiento e información.
e) Proveer el hardware y el soporte y mantenimiento del software, cuando sea necesario.
f) Efectuar auditorías y monitoreo de las actividades efectuadas remotamente.
g) Realizar la anulación de las autorizaciones, derechos de acceso y devolución del equipo cuando finalicen las actividades remotas.
h) Asegurar el reintegro del equipamiento en las mismas condiciones en que fue entregado, en el caso en que cese la necesidad de trabajar en forma remota.
i) Se deberán implementar regularmente procesos de auditoría específicos para los casos de accesos remotos. Se deberá llevar un registro de incidentes a fin de corregir eventuales fallas en la seguridad de este tipo de accesos.
7. Política de Recursos Humanos
Objetivos
Reducir los riesgos de error humano, comisión de ilícitos, uso inadecuado de instalaciones y recursos, y manejo no autorizado de la información.
Explicitar las responsabilidades en materia de seguridad en la etapa de reclutamiento de personal e incluirlas en los acuerdos de confidencialidad a firmarse y verificar su cumplimiento durante el desempeño del individuo como empleado.
Garantizar que los usuarios estén al corriente de las amenazas e incumbencias en materia de seguridad de la información, y se encuentren capacitados para respaldar la Política de Seguridad de la Secretaría General de la Presidencia de la Nación en el transcurso de sus tareas normales.
Establecer Compromisos de Confidencialidad con todo el personal y usuarios externos de las instalaciones de procesamiento de información.
Establecer las herramientas y mecanismos necesarios para promover la comunicación de debilidades existentes en materia de seguridad, así como de los incidentes ocurridos, con el objeto de minimizar sus efectos y prevenir su reincidencia.
7.1 Antes del empleo
7.1.1 Funciones y Responsabilidades del Puesto de Trabajo
Las funciones y responsabilidades en materia de seguridad deberán ser incorporadas en la descripción de las responsabilidades de los puestos de trabajo.
Además, se incluirán las responsabilidades generales relacionadas con la implementación de la Política de Seguridad de la Información, la Política de Uso Aceptable de los Recursos de Tecnología de la Información y las responsabilidades específicas vinculadas a la protección de cada uno de los activos o la ejecución de procesos o actividades a realizar en los puestos de trabajo.
Deberán definirse y comunicarse claramente los roles y responsabilidades de seguridad a los candidatos para el puesto de trabajo durante el proceso de preselección.
7.1.2 Revisión de Antecedentes
Se deberán realizar revisiones de antecedentes referidos a currículum, referencias, títulos académicos, etc., de los postulantes al empleo, en concordancia con el puesto y activos a los cuales tendrá acceso. Teniendo en consideración las regulaciones vigentes, ética y leyes relevantes.
7.2 Inicio del empleo
7.2.1 Aceptación de Términos y Condiciones de Contratación
Toda persona que se incorpore a la SGP, cualquiera sea la modalidad de contrato, deberá firmar el “Acuerdo de Confidencialidad” y la “Política de Uso Aceptable de los Recursos de Tecnología de la Información”. En virtud de ello, el agente conoce y acepta el control y monitoreo del uso de los recursos tecnológicos que utilizará en el desempeño de sus tareas.
Las copias así firmadas quedarán a resguardo en la Dirección General de Recursos Humanos.
7.3 Durante el empleo
7.3.1 Responsabilidad de la Dirección
Las direcciones - en todos los niveles - impulsarán que se aplique la política de seguridad de la información en concordancia con las pautas y procedimientos establecidos, por lo que deberán también informar de su existencia y las expectativas de cumplimiento en el desempeño de sus funciones.
7.3.2 Concientización, formación y capacitación en seguridad de la información
Se deberán realizar tareas de capacitación y concientización de las políticas, normativas y procedimientos dirigidos a todos los agentes que se desempeñen en el ámbito de la Secretaría General de la Presidencia de la Nación. Dicha capacitación comprenderá requerimientos de seguridad, responsabilidades legales, uso correcto de los dispositivos tecnológicos asignados y el uso correcto de los recursos en general.
7.3.3 Procedimiento disciplinario
La Secretaría General de la Presidencia de la Nación podrá iniciar un procedimiento administrativo disciplinario, con el objeto de sancionar administrativamente, según la normativa vigente, a todos aquellos agentes, sea cual fuere su situación de revista, que violen las Políticas, Normas y Procedimientos de Seguridad.
Los agentes que desempeñan sus tareas en el ámbito de la SGP, sea cual fuere su nivel escalafonario y su situación de revista incurrirán también, en su caso, en responsabilidad civil o patrimonial, si ocasionan daños sobre los bienes y/o recursos aquí contemplados.
Podrán, asimismo incurrir en responsabilidad penal cuando su conducta se encuentre tipificada y constituya un comportamiento considerado delito por la Ley N° 26.388 de Delitos Informáticos, Ley N° 17.622 de Estadística y Censos y demás leyes especiales.
7.4 Cese del empleo o Cambio de puesto de trabajo
7.4.1 Responsabilidad del Cese o Cambio
Se deberán definir procedimientos y asignar responsabilidades para controlar que los procesos de cambio de función y desvinculación laboral de los empleados, contratistas o terceras personas no afecte el normal desempeño de las actividades de la Secretaría General de la Presidencia de la Nación.
7.4.2 Transferencia de Conocimientos
Los agentes que prestan servicios en la SGP que tengan conocimiento relevante de ciertas operaciones y dicho conocimiento sea desconocido por el personal restante del área donde prestan servicios, deberán documentar dicha información y transferirla a la Secretaría General de la Presidencia de la Nación antes de proceder a su desvinculación.
8. Política de Gestión de Activos
Objetivos
• Garantizar que los activos de información reciban un apropiado nivel de protección
• Clasificar la información para señalar su sensibilidad y criticidad.
• Definir niveles de protección y medidas de tratamiento especial acordes a su clasificación.
• Clasificar la información para señalar su sensibilidad y criticidad.
• Definir niveles de protección y medidas de tratamiento especial acordes a su clasificación.
8.1 Responsabilidad sobre los Activos
8.1.1 Inventario de activos
Se deberá mantener un inventario de activos preciso y actualizado, debiendo ser revisado con una periodicidad no mayor de tres meses, cada activo deberá poseer un propietario asignado.
Todos los activos deberán estar claramente identificados y tipificados según sea:
a) Información: bases de datos, archivos de datos, documentación.
b) Activos de software: software de aplicaciones, software de sistemas, herramientas de desarrollo, y utilitarios.
c) Activos físicos: equipamiento de computación, equipamiento de comunicaciones, medios removibles y otros equipamientos.
d) Instalaciones: tendido eléctrico, red de agua y gas, etc.
e) Servicios: servicios de cómputo y de comunicaciones, servicios generales, por ejemplo: calefacción, iluminación, energía, y aire acondicionado.
f) Personas, y sus calificaciones, habilidades y experiencia.
g) Activos intangibles, tales como la reputación y la imagen de la Secretaría General de la Presidencia de la Nación.
b) Activos de software: software de aplicaciones, software de sistemas, herramientas de desarrollo, y utilitarios.
c) Activos físicos: equipamiento de computación, equipamiento de comunicaciones, medios removibles y otros equipamientos.
d) Instalaciones: tendido eléctrico, red de agua y gas, etc.
e) Servicios: servicios de cómputo y de comunicaciones, servicios generales, por ejemplo: calefacción, iluminación, energía, y aire acondicionado.
f) Personas, y sus calificaciones, habilidades y experiencia.
g) Activos intangibles, tales como la reputación y la imagen de la Secretaría General de la Presidencia de la Nación.
8.1.2 Responsables de Activos
Deberá designarse responsables de los activos registrados, quienes deberán:
a) Informar sobre cualquier cambio que afecte el activo del cual es responsables.
b) Clasificar los activos en función a su sensibilidad y criticidad.
c) Velar por la implementación de controles de seguridad requeridos para proteger los activos.
b) Clasificar los activos en función a su sensibilidad y criticidad.
c) Velar por la implementación de controles de seguridad requeridos para proteger los activos.
La implementación de los controles de seguridad podrá ser delegada a personal especializado, como también la gestión técnica u operativa.
8.1.3 Uso Aceptable de Activos de Tecnología
Se identificarán, documentarán y definirán normativas generales para el uso de los activos de tecnología, en el documento “Política de Uso Aceptable de los Recursos de Tecnología de la Información”.
Todos los agentes, sin importar su situación de revista, contratistas y usuarios de terceras partes deberán seguir las reglas establecidas para el uso aceptable de los activos de tecnología de la información.
Toda excepción a la normativa deberá ser autorizada por el máximo responsable del área que solicita la excepción al cumplimiento de dicha normativa.
8.1.4 Devolución de Activos
Todos los empleados, contratistas y usuarios de terceras partes deberán devolver todos los activos (equipamiento tecnológico, software, documentos, tarjetas de ingreso, etc.) que les fueron asignados, pero no inmediatamente en la terminación de su empleo, contrato o acuerdo. Por tal razón deberá existir un Procedimiento de Repliegue de Bienes, como también un Procedimiento de Devolución de Dispositivos Digitales Portátiles, para el adecuado cumplimiento de esta tarea.
8.2 Política de Clasificación de la Información
8.2.1 Directrices de Clasificación de la Información
Se deberán definir procedimientos de clasificación y etiquetado, para determinar la criticidad de la información que se administra en la Secretaría General de la Presidencia de la Nación, en base a las tres características de seguridad de la información: confidencialidad, integridad y disponibilidad.
8.2.2 Etiquetado y Manipulado de Activos de Información
Se deberá definir procedimientos de etiquetado y de manejo de los activos de información, de acuerdo al esquema de clasificación establecido y criticidad de la información. Los mismos contemplarán los recursos de información tanto en formatos físicos como electrónicos e incorporarán las actividades de procesamiento de la información referidos a copias, almacenamiento, transmisión por correo electrónico, telefonía o transmisiones de datos a través de sistemas de intercambio de archivos.
Para cada uno de los niveles de clasificación, se deben definir los procedimientos de manejo seguros, incluyendo las actividades de procesamiento, almacenaje, transmisión, desclasificación y destrucción.
8.3 Gestión de Soportes de Almacenamiento
8.3.1 Soportes Removibles
Se deberán implementar procedimientos para la gestión de los soportes informáticos extraíbles. Debiendo considerarse aspectos tales como la autorización y registro del retiro de soportes de almacenamiento removibles fuera de los edificios de la Secretaría General de la Presidencia de la Nación.
Se deberán almacenar los soportes de medio extraíbles (cintas magnéticas, discos externos, etc.) en un ambiente seguro y protegido, teniendo en cuenta la criticidad de la información contenida y las especificaciones de los fabricantes o proveedores del soporte de almacenamiento. Para ello, se podrá contar con la opción de una Caja de Seguridad para el resguardo de los elementos antedichos.
8.3.2 Eliminación Segura de Soportes de Información
Se deberán implementar procedimientos para el borrado seguro de la información al declararse la baja del soporte de almacenamiento que lo contiene, como también procedimientos de borrado seguro para las operaciones de reciclado de los dispositivos de almacenamiento, teniendo en cuenta que el mecanismo de eliminación debe contemplar el tipo de dispositivo y la criticidad de la información contenida.
Los procedimientos de eliminación segura deberán considerar elementos de soporte de información, tales como papeles, cintas magnéticas (datos, audio y video), discos magnéticos, dispositivos de almacenamiento óptico, unidades extraíbles de estado sólido y cualquier otra tecnología o soporte de almacenamiento de datos.
Los medios de almacenamiento, que no puedan ser reutilizables, deberán ser destruidos físicamente de manera apropiada, para que la información contenida, no pueda ser recuperada utilizando técnicas forenses.
8.3.3 Tránsito de Soportes de Almacenamiento
Se deberá proteger la información y los soportes de almacenamiento en tránsito, conforme a la sensibilidad y criticidad de la información a transportar. Razón por la cual se deben definir procedimientos de transporte de soportes de almacenamiento, teniendo en cuenta el cifrado de la información contenida en el soporte, utilización de servicios de mensajería confiables, la adopción de embalajes sellados, entrega en mano, o cualquier otro mecanismo para asegurar el soporte de almacenamiento durante el tránsito del mismo.
9. Política de Control de Accesos
Objetivos
Impedir el acceso no autorizado a los sistemas de información, bases de datos y servicios de información. Implementar seguridad en los accesos de usuarios por medio de técnicas de autenticación y autorización.
Controlar la seguridad en la conexión entre la red de la Secretaría General de la Presidencia de la Nación y otras redes públicas o privadas.
Registrar y revisar eventos y actividades críticas llevadas a cabo por los usuarios en los sistemas.
Concientizar a los usuarios respecto de su responsabilidad frente a la utilización de contraseñas y equipos.
Garantizar la seguridad de la información cuando se utiliza computación móvil e instalaciones de trabajo remoto.
9.1 Requerimientos para el Control de Accesos
9.1.1 Política de Gestión de Accesos
Se controlará el acceso a la información y a los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación. Se definirán procedimientos que tengan en cuenta aspectos tales como:
a) Segregación de las funciones referidas a quien solicita, quien autoriza y quien concede operativamente el acceso.
b) Identificación del propietario de la información, del usuario que requiere el acceso y la aplicación a la cual se desea acceder.
c) Identificación de los requerimientos de seguridad de las aplicaciones y toda información relevante de seguridad, relacionada a las mismas.
d) Definición de criterios de políticas de acceso concordantes con el punto 8.2 “Política de Clasificación de la Información”.
e) Definición de perfiles de acceso de usuarios en las aplicaciones.
f) Tipos de accesos, informando si son internos o externos, públicos o privados.
g) Requerimientos de revisión periódica de los accesos concedidos.
h) Revocación de los derechos de acceso.
i) Administración de cuentas de usuarios y permisos de acceso de los mismos a los sistemas y dispositivos de red de la Secretaría General de la Presidencia de la Nación.
b) Identificación del propietario de la información, del usuario que requiere el acceso y la aplicación a la cual se desea acceder.
c) Identificación de los requerimientos de seguridad de las aplicaciones y toda información relevante de seguridad, relacionada a las mismas.
d) Definición de criterios de políticas de acceso concordantes con el punto 8.2 “Política de Clasificación de la Información”.
e) Definición de perfiles de acceso de usuarios en las aplicaciones.
f) Tipos de accesos, informando si son internos o externos, públicos o privados.
g) Requerimientos de revisión periódica de los accesos concedidos.
h) Revocación de los derechos de acceso.
i) Administración de cuentas de usuarios y permisos de acceso de los mismos a los sistemas y dispositivos de red de la Secretaría General de la Presidencia de la Nación.
9.1.2 Control de Acceso a las Redes
Los usuarios tendrán acceso solo a la red y a los servicios de red que hubieran sido específicamente autorizados.
9.2 Gestión de Acceso de Usuarios
9.2.1 Creación e Inhabilitación de Cuentas de usuario
Cada usuario deberá tener un identificador unívoco denominado “cuenta de usuario”, el cual será de uso personal y exclusivo, cuyo fin será garantizar la trazabilidad de las operaciones efectuadas por él.
Se deberán definir procedimientos que permitan crear e inhabilitar cuentas de usuarios, con el fin de otorgar y revocar el acceso a los sistemas, bases de datos y servicios de información. Dichos procedimientos deberán:
a) Utilizar nombre de cuentas de usuario identificables, de manera tal, que se pueda determinar inequívocamente las actividades realizadas por dichas cuentas, ya sean cuentas de usuario o cuentas de servicio.
b) Evitar que existan múltiples cuentas de usuario asociadas solo a un individuo, salvo excepciones por cuestiones de seguridad, según se indica en el punto 9.2.3 Gestión de Asignación de Permisos de Acceso con Privilegios Especiales.
c) Evitar la creación y uso de cuentas de usuario genéricas, compartidas para un grupo de usuarios o una tarea específica. Esto, será permitido únicamente por razones operativas, debiendo requerir un profundo análisis y autorización del responsable de la Seguridad de la Información antes de su creación.
d) Los nombres de cuenta de usuario no deberán dar indicios del nivel de privilegios de la misma.
e) Garantizar que los proveedores de servicios no otorguen acceso hasta que se hayan completado los procedimientos de autorización.
f) Mantener un registro formal de todas las personas autorizadas para utilizar el servicio.
g) Inhabilitar inmediatamente los derechos de acceso de los usuarios que cambiaron de funciones, de áreas de pertenencia o se desvincularon de la Secretaría General de la Presidencia de la Nación.
h) Establecer que los agentes de la SGP que intenten accesos no autorizados serán pasibles del inicio de procesos sancionatorios, según lo dispuesto en el punto 7.3.3 Proceso disciplinario.
i) Efectuar revisiones periódicas con el objeto de:
b) Evitar que existan múltiples cuentas de usuario asociadas solo a un individuo, salvo excepciones por cuestiones de seguridad, según se indica en el punto 9.2.3 Gestión de Asignación de Permisos de Acceso con Privilegios Especiales.
c) Evitar la creación y uso de cuentas de usuario genéricas, compartidas para un grupo de usuarios o una tarea específica. Esto, será permitido únicamente por razones operativas, debiendo requerir un profundo análisis y autorización del responsable de la Seguridad de la Información antes de su creación.
d) Los nombres de cuenta de usuario no deberán dar indicios del nivel de privilegios de la misma.
e) Garantizar que los proveedores de servicios no otorguen acceso hasta que se hayan completado los procedimientos de autorización.
f) Mantener un registro formal de todas las personas autorizadas para utilizar el servicio.
g) Inhabilitar inmediatamente los derechos de acceso de los usuarios que cambiaron de funciones, de áreas de pertenencia o se desvincularon de la Secretaría General de la Presidencia de la Nación.
h) Establecer que los agentes de la SGP que intenten accesos no autorizados serán pasibles del inicio de procesos sancionatorios, según lo dispuesto en el punto 7.3.3 Proceso disciplinario.
i) Efectuar revisiones periódicas con el objeto de:
• Inhabilitar cuentas de usuarios inactivas por más de tres meses.
• Inhabilitar cuentas de usuarios desvinculados de la Secretaría General de la Presidencia de la Nación.
• Inhabilitar las cuentas de usuarios redundantes o no identificables previo análisis de sus actividades.
• Inhabilitar cuentas de usuarios desvinculados de la Secretaría General de la Presidencia de la Nación.
• Inhabilitar las cuentas de usuarios redundantes o no identificables previo análisis de sus actividades.
j) Garantizar que los identificadores de usuario redundantes no se asignen a otros usuarios.
En el caso de existir excepciones para evitar inhabilitar cuentas de usuario, estas deberán ser debidamente justificadas y aprobadas por el Responsable de la Seguridad de la Información.
9.2.2 Gestión de Asignación de Permisos de Acceso
Se controlará la asignación y uso de privilegios a todas las cuentas de todos los sistemas y servicios.
Los responsables de Información (Subsecretaria, Directores Generales y Directores) serán los encargados de aprobar la asignación de los permisos de acceso y solicitar su implementación con la autorización también, del Responsable de la Seguridad de la Información.
El proceso de autorización deberá tener en cuenta los siguientes aspectos:
a) Se deberá aplicar el principio de priorización de asignación de menores privilegios.
b) Identificar los niveles de acceso existentes en los sistemas, bases de datos y aplicaciones.
c) Verificar que el nivel de acceso a otorgar sea adecuado al rol del usuario y que no comprometa la segregación de funciones.
d) Establecer un proceso de autorización que registre todos los derechos de acceso asignados.
e) Priorizar que los permisos de acceso se apliquen a Roles en los sistemas, antes de aplicarlos directamente a los usuarios.
b) Identificar los niveles de acceso existentes en los sistemas, bases de datos y aplicaciones.
c) Verificar que el nivel de acceso a otorgar sea adecuado al rol del usuario y que no comprometa la segregación de funciones.
d) Establecer un proceso de autorización que registre todos los derechos de acceso asignados.
e) Priorizar que los permisos de acceso se apliquen a Roles en los sistemas, antes de aplicarlos directamente a los usuarios.
9.2.3 Gestión de Asignación de Permisos de Acceso con Privilegios Especiales
La asignación y uso de derechos de acceso con privilegios especiales, deberá seguir la misma política de permisos de acceso definida previamente, pero además se deberá considerar los siguientes aspectos:
a) No deberán utilizarse cuentas de usuarios con derechos de acceso privilegiados para realizar actividades regulares, sino que sólo serán utilizadas ante la necesidad de realizar tareas específicas que lo requieran. Solo se utilizarán para realizar tareas de contingencia, recupero o reconfiguración.
b) En virtud de lo establecido en el apartado anterior, un usuario con privilegios especiales debe poseer dos cuentas de usuario, una que utilizará para sus tareas habituales y otra para realizar estrictamente actividades que requieran permisos especiales.
c) Solo deberán asignarse en caso de necesidad de uso, basado en los requisitos mínimos necesarios para realizar las tareas y estar debidamente documentada
d) Se deberá revisar periódicamente la actividad de los usuarios con derechos de accesos privilegiados, para verificar que sólo sean utilizados para las actividades que dieron motivo a su asignación.
b) En virtud de lo establecido en el apartado anterior, un usuario con privilegios especiales debe poseer dos cuentas de usuario, una que utilizará para sus tareas habituales y otra para realizar estrictamente actividades que requieran permisos especiales.
c) Solo deberán asignarse en caso de necesidad de uso, basado en los requisitos mínimos necesarios para realizar las tareas y estar debidamente documentada
d) Se deberá revisar periódicamente la actividad de los usuarios con derechos de accesos privilegiados, para verificar que sólo sean utilizados para las actividades que dieron motivo a su asignación.
9.2.4 Distribución de Contraseñas y de Dispositivos de Acceso
Se deberán establecer procedimientos para la distribución segura de contraseñas o de cualquier otro tipo de dispositivos o mecanismos de autenticación. No por correo electrónico la credencial compuesta por usuario y contraseña en texto plano.
9.2.5 Revisión de Derechos de Acceso de los Usuarios
A fin de mantener un control eficiente del acceso a los datos y servicios de información, el Responsable de la Seguridad de la Información, podrá llevar a cabo, procesos formales de revisión de todos los accesos.
Se deberán revisar periódicamente, los derechos de acceso y privilegios asignados a los usuarios, a fin de verificar que los mismos hayan sido autorizadas debidamente.
9.2.6 Revocación y Cambios de Derechos de Acceso
Se deberán implementar procedimientos formales para la revocación y cambios de derechos de acceso de los usuarios en todos los sistemas y servicios.
Tras la desvinculación del usuario, se deberán inhabilitar los derechos de acceso a todos los sistemas y servicios de información utilizados por el individuo.
Ante un cambio de función de un usuario, se deberán remover todos los derechos de acceso que no fueron aprobados para la nueva función, comprendiendo todos los derechos de accesos lógicos y físicos, como ser llaves, tarjetas de identificación y accesos a instalaciones de procesamiento de la información.
Se deberán cambiar las contraseñas de acceso que pudiera conocer el agente, contratista o usuario de tercera parte, tras la finalización de vínculo o ante un cambio de función, cuando dicha contraseña formara parte de una credencial de acceso de administración aún activa.
9.3 Responsabilidades del Usuario
9.3.1 Responsabilidad en el uso de las Contraseñas
Los usuarios deberán seguir las buenas prácticas de seguridad referidas al uso de contraseñas en concordancia con la política 9.4.4 Gestión de Contraseñas de Usuarios.
Debiendo cumplir con las siguientes premisas:
a) Mantener las contraseñas en secreto, los usuarios deberán mantener la confidencialidad de las mismas, ya que las contraseñas son consideradas información personal, no debiendo ser compartidas, ni aún con su personal jerárquico.
b) Cuando existiera indicio de que la confidencialidad de la contraseña hubiera sido comprometida, deberá informarlo y solicitar el cambio de la misma, inmediatamente.
c) Seleccionar contraseñas que no estén basadas en datos que otra persona pueda adivinar u obtener fácilmente mediante información relacionada con la persona, como ser nombres, números de teléfono, número de oficina, fechas de cumpleaños, etc.
d) No reutilizar o reciclar viejas contraseñas.
e) Evitar incluir contraseñas en los procesos automatizados de inicio de sesión, por ejemplo, aquellas almacenadas en una tecla de función o macro.
f) Evitar almacenar contraseñas en papel, archivos de texto, planillas de cálculo o cualquier aplicación cuya función no sea expresamente el almacenamiento seguro de contraseñas.
g) Evitar el uso de gestores de contraseñas que almacenan las contraseñas en internet.
b) Cuando existiera indicio de que la confidencialidad de la contraseña hubiera sido comprometida, deberá informarlo y solicitar el cambio de la misma, inmediatamente.
c) Seleccionar contraseñas que no estén basadas en datos que otra persona pueda adivinar u obtener fácilmente mediante información relacionada con la persona, como ser nombres, números de teléfono, número de oficina, fechas de cumpleaños, etc.
d) No reutilizar o reciclar viejas contraseñas.
e) Evitar incluir contraseñas en los procesos automatizados de inicio de sesión, por ejemplo, aquellas almacenadas en una tecla de función o macro.
f) Evitar almacenar contraseñas en papel, archivos de texto, planillas de cálculo o cualquier aplicación cuya función no sea expresamente el almacenamiento seguro de contraseñas.
g) Evitar el uso de gestores de contraseñas que almacenan las contraseñas en internet.
9.4 Control de Acceso a Sistemas y Aplicaciones
9.4.1 Política de Utilización de los Servicios de Red
Se restringirá y controlará el acceso a los servicios de red tanto internos como externos, en concordancia con el punto 9.2 Gestión de Acceso de Usuarios, para garantizar que los usuarios que accedan a las redes y a sus servicios no comprometan la seguridad de los mismos.
El Responsable de la Seguridad de la Información autorizará el acceso a los recursos de red, servicios e información, únicamente mediante un pedido formal del titular de la Dirección propietaria de la información a la cual se pretende acceder.
Se deberán desarrollar procedimientos para conceder o derogar derechos de acceso a la información, identificando las redes y servicios a los cuales se concedió el acceso.
9.4.2 Procedimientos Seguros de Inicio de Sesión
El acceso a los servicios de información deberá ser posible, solo a través de un proceso de inicio de sesión segura, no deberá divulgar ningún indicio que provea asistencia a usuarios no autorizados.
En el proceso de inicio seguro deberá:
a) Desplegar un aviso informativo, advirtiendo que sólo los usuarios autorizados pueden iniciar sesión en el equipo informático.
b) Evitar mostrar mensajes de ayuda que pudieran asistir al usuario durante el procedimiento de conexión, que diera indicio del dato erróneo (usuario o contraseña) ante una autenticación incorrecta.
c) Validar la información de la conexión sólo al completarse la totalidad de los datos de entrada. Si surge una condición de error, el sistema no debe indicar que parte de los datos es correcta o incorrecta.
d) Ser condición obligatoria de los usuarios, firmar la “Política de Uso Aceptable de los Recursos de Tecnología de la Información” antes de acceder a los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación, consintiendo su conocimiento y aceptación.
e) Evitar configurar el equipo informático con credenciales almacenadas que provoquen el inicio de sesión de forma automática.
f) Registrar todas las conexiones exitosas y los intentos de conexión fallidas.
g) Evitar implementaciones que transmitan las contraseñas en texto plano sobre la red de datos.
h) Implementar medidas para la protección ante ataques de fuerza bruta, como ser:
b) Evitar mostrar mensajes de ayuda que pudieran asistir al usuario durante el procedimiento de conexión, que diera indicio del dato erróneo (usuario o contraseña) ante una autenticación incorrecta.
c) Validar la información de la conexión sólo al completarse la totalidad de los datos de entrada. Si surge una condición de error, el sistema no debe indicar que parte de los datos es correcta o incorrecta.
d) Ser condición obligatoria de los usuarios, firmar la “Política de Uso Aceptable de los Recursos de Tecnología de la Información” antes de acceder a los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación, consintiendo su conocimiento y aceptación.
e) Evitar configurar el equipo informático con credenciales almacenadas que provoquen el inicio de sesión de forma automática.
f) Registrar todas las conexiones exitosas y los intentos de conexión fallidas.
g) Evitar implementaciones que transmitan las contraseñas en texto plano sobre la red de datos.
h) Implementar medidas para la protección ante ataques de fuerza bruta, como ser:
• Bloqueo de la cuenta del usuario, inmediatamente luego de cierto número de reintentos fallidos. Por ejemplo, bloqueo de la cuenta del usuario luego de 5 (cinco) reintentos fallidos.
• Desbloqueo automático de la cuenta luego de cierto tiempo de haberse bloqueado. Por ejemplo, desbloqueo de la cuenta del usuario luego de 10 (diez) minutos de haberse bloqueado
• Desbloqueo automático de la cuenta luego de cierto tiempo de haberse bloqueado. Por ejemplo, desbloqueo de la cuenta del usuario luego de 10 (diez) minutos de haberse bloqueado
9.4.3 Autentificación de Usuarios para Conexiones Externas
Las conexiones externas representan un gran riesgo para la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación. Por consiguiente, el acceso de usuarios remotos estará estrictamente limitado y sujeto al cumplimiento de procesos de aprobación, los cuales deberán requerir de la expresa autorización del Director del área de pertenencia y de la Dirección de Seguridad Informática.
Se deberá considerar la implementación de mecanismos de autenticación extras a la credencial de acceso (usuario y contraseña), es decir, el uso de más de un factor de autenticación, mediante métodos de autenticación física (tokens), tarjetas coordenadas, o bien cualquier otro mecanismo que refuerce la identificación de la conexión externa.
Cuando se utilicen mecanismos de autenticación físicos, deben implementarse procedimientos que incluyan, asignación de la herramienta de autenticación, registro de los poseedores de dichos autenticadores, mecanismo de rescate al momento de la desvinculación del personal al que se le otorgó y procedimiento de revocación de acceso del autenticador, en caso de compromiso de seguridad (pérdida o robo).
Las conexiones externas deberán estar cifradas, con algoritmos actualizados, pudiendo ser de dos tipos:
• Conexión cifrada por medio de una Red Privada Virtual (VPN) a la red de la Secretaría General de la Presidencia de la Nación.
• Conexión cifrada al “Portal Web de Acceso Remoto”.
• Conexión cifrada al “Portal Web de Acceso Remoto”.
Se deberá asignar preferentemente conectividad al “Portal Web de Acceso Remoto”, salvo pedido expreso que deberá ser evaluado por la Dirección de Seguridad Informática.
9.4.4 Gestión de Contraseñas de Usuarios
Se deberán implementar sistemas gestores de contraseñas que garanticen la confidencialidad y eficiencia en la administración de las mismas, en concordancia con la política 9.3.1 Responsabilidad en el uso de las Contraseñas y la política 9.2.4 Distribución de Contraseñas y de Dispositivos de Acceso.
Se deberá controlar la gestión de contraseñas mediante un proceso formal que deberá tener en consideración los siguientes aspectos:
a) Se deberán generar mecanismos que permitan a los usuarios cambiar las contraseñas asignadas inicialmente la primera vez que ingresan al sistema. Es decir que los usuarios estarán obligados a cambiar sus contraseñas recibidas inicialmente por parte de los administradores.
b) Cuando se requieran resguardar las contraseñas se deberán utilizar aplicaciones especialmente diseñadas para el almacenamiento seguro de contraseñas, teniendo en cuenta no utilizar aplicaciones que alojen su base de datos de contraseñas en repositorios de internet.
c) Se establecerán como mínimo las siguientes características básicas de complejidad, longitud mínima de 8 (ocho) caracteres, compuesta por mayúsculas, minúsculas y caracteres numéricos en su conformación.
d) Se deberán configurar procesos que soliciten el cambio de la contraseña cada tres (3) meses impidiendo la reutilización de las mismas.
e) No se deberán distribuir ni almacenar las contraseñas en texto plano.
f) Las contraseñas deberán almacenarse en sistemas diseñados para tal fin, denominados “gestores de contraseñas.
g) Se deberán cambiar las contraseñas por defecto de los sistemas y dispositivos luego que hubiera finalizado su instalación inicial.
h) Se deberán cambiar las contraseñas de las cuentas utilizadas por los servicios de soporte externos a la Secretaría General de la Presidencia de la Nación luego que la tarea de los mismos hubiera finalizado.
i) Se deberá implementar el cifrado mediante contraseña en operaciones de Copias de Resguardo y Restauración.
j) Para asegurar el adecuado uso las contraseñas, se deberán registrar y auditar las actividades relativas a la gestión de las mismas.
b) Cuando se requieran resguardar las contraseñas se deberán utilizar aplicaciones especialmente diseñadas para el almacenamiento seguro de contraseñas, teniendo en cuenta no utilizar aplicaciones que alojen su base de datos de contraseñas en repositorios de internet.
c) Se establecerán como mínimo las siguientes características básicas de complejidad, longitud mínima de 8 (ocho) caracteres, compuesta por mayúsculas, minúsculas y caracteres numéricos en su conformación.
d) Se deberán configurar procesos que soliciten el cambio de la contraseña cada tres (3) meses impidiendo la reutilización de las mismas.
e) No se deberán distribuir ni almacenar las contraseñas en texto plano.
f) Las contraseñas deberán almacenarse en sistemas diseñados para tal fin, denominados “gestores de contraseñas.
g) Se deberán cambiar las contraseñas por defecto de los sistemas y dispositivos luego que hubiera finalizado su instalación inicial.
h) Se deberán cambiar las contraseñas de las cuentas utilizadas por los servicios de soporte externos a la Secretaría General de la Presidencia de la Nación luego que la tarea de los mismos hubiera finalizado.
i) Se deberá implementar el cifrado mediante contraseña en operaciones de Copias de Resguardo y Restauración.
j) Para asegurar el adecuado uso las contraseñas, se deberán registrar y auditar las actividades relativas a la gestión de las mismas.
9.4.5 Gestión de Contraseñas Críticas
Las cuentas administrativas genéricas (administrador, root, admin, etc.) con privilegios especiales para efectuar actividades críticas serán resguardadas de manera especial y sólo serán utilizadas ante necesidades específicas para realizar tareas de contingencia, recupero o reconfiguración que lo requieran.
El Responsable de la Seguridad de la Información definirá el procedimiento para la administración de contraseñas críticas que contemplará los siguientes aspectos.
a) La conformación de la contraseña crítica deberá poseer un mayor nivel de complejidad que la definida en el punto previo 9.4.4 Gestión de Contraseñas de Usuarios
b) La definición de la misma será efectuada como mínimo por dos personas, de tal manera que ninguna de ellas conozca la contraseña completa.
c) Las partes de las contraseñas serán resguardadas físicamente, en sobres cerrados por duplicado.
d) La utilización de las contraseñas críticas será formalmente registrada, documentando las causas que determinaron su uso, usuario que hizo uso de la misma y las actividades que se realizaron con ella.
e) Las contraseñas críticas se renovarán una vez utilizada, procediendo luego a su resguardo nuevamente.
b) La definición de la misma será efectuada como mínimo por dos personas, de tal manera que ninguna de ellas conozca la contraseña completa.
c) Las partes de las contraseñas serán resguardadas físicamente, en sobres cerrados por duplicado.
d) La utilización de las contraseñas críticas será formalmente registrada, documentando las causas que determinaron su uso, usuario que hizo uso de la misma y las actividades que se realizaron con ella.
e) Las contraseñas críticas se renovarán una vez utilizada, procediendo luego a su resguardo nuevamente.
9.4.6 Detección de Aplicaciones de Riesgo
Se deberán implementar controles para detectar y restringir el uso de sistemas, aplicaciones y utilidades de software que pudieran anular o evitar los controles de seguridad o que pudieran usarse para evaluar la seguridad de la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación sin haber sido debidamente autorizadas.
9.4.7 Acceso a Internet
El acceso a internet deberá ser utilizado para propósitos laborales.
Se habilitará el acceso básico a Internet a todos los agentes que cuenten con una cuenta de usuario, estableciéndose pautas de utilización de internet para todos los usuarios conforme al documento “Política de Uso Aceptable de los Recursos de Tecnología de la Información”.
Se deberán definir procedimientos para solicitar y aprobar accesos a sitios restringidos de Internet. Dichos accesos deberán ser solicitados por el responsable de la Dirección a cargo del personal que lo requiera.
Se registrarán los accesos de todos los usuarios a internet, con el objeto de realizar revisiones de auditoría o análisis forense ante incidentes de seguridad.
Con el objeto de minimizar el riesgo de violación a la seguridad a través del uso incorrecto del servicio de internet, se deberán seguir las siguientes pautas de cumplimiento:
a) Queda prohibido acceder a material pornográfico, actividades de apuestas, lúdicas, entretenimiento o pasatiempos de similar tenor.
b) Queda prohibido atentar contra los sistemas informáticos y redes de comunicación de la Secretaría General de la Presidencia de la Nación y de terceros.
c) Queda prohibido hacer uso de los repositorios de internet para almacenar información secreta, privada, confidencial y/o restringida de la Secretaría General de la Presidencia de la Nación.
d) Todos los archivos descargados de internet deberán ser analizados con herramientas antimalware. Los archivos cifrados que se intenten descargar de internet que no pudieran analizarse serán bloqueados.
e) Queda prohibida la reproducción de audio y/o video de transmisiones en vivo o bajo demanda de sitios de internet, dado que dicha práctica afecta considerablemente el ancho de banda disponible en la Secretaría General de la Presidencia de la Nación, degradando el tiempo de respuesta y generando dificultades a las áreas que procesan información institucional.
f) Queda prohibido bajar o subir información no inherente a las tareas desempeñadas, como así también el uso de programas de mensajería, redes sociales, intercambio de archivos y con otro fin que no sea el laboral.
g) Queda prohibido usar cualquier tipo de mensajería instantánea o web chat para uso personal, a excepción de los específicamente autorizados por la autoridad competente para fines laborales.
h) Toda excepción a las enumeradas previamente debe contar la explicita autorización del responsable de la Dirección a cargo del personal que lo requiera y deberá ser registrada formalmente.
b) Queda prohibido atentar contra los sistemas informáticos y redes de comunicación de la Secretaría General de la Presidencia de la Nación y de terceros.
c) Queda prohibido hacer uso de los repositorios de internet para almacenar información secreta, privada, confidencial y/o restringida de la Secretaría General de la Presidencia de la Nación.
d) Todos los archivos descargados de internet deberán ser analizados con herramientas antimalware. Los archivos cifrados que se intenten descargar de internet que no pudieran analizarse serán bloqueados.
e) Queda prohibida la reproducción de audio y/o video de transmisiones en vivo o bajo demanda de sitios de internet, dado que dicha práctica afecta considerablemente el ancho de banda disponible en la Secretaría General de la Presidencia de la Nación, degradando el tiempo de respuesta y generando dificultades a las áreas que procesan información institucional.
f) Queda prohibido bajar o subir información no inherente a las tareas desempeñadas, como así también el uso de programas de mensajería, redes sociales, intercambio de archivos y con otro fin que no sea el laboral.
g) Queda prohibido usar cualquier tipo de mensajería instantánea o web chat para uso personal, a excepción de los específicamente autorizados por la autoridad competente para fines laborales.
h) Toda excepción a las enumeradas previamente debe contar la explicita autorización del responsable de la Dirección a cargo del personal que lo requiera y deberá ser registrada formalmente.
9.4.8 Control de Acceso al Código Fuente
Se deberá restringir y controlar el acceso al código fuente de las aplicaciones de software desarrolladas en la Secretaría General de la Presidencia de la Nación, con el fin de evitar que sean introducidos cambios sin la debida autorización y control de las áreas involucradas o copia no autorizada del código fuente.
Se deberá definir un responsable de la función de “Administrador de Código Fuentes”, quien tendrá a cargo la custodia de los programas fuentes y deberá llevar un registro actualizado de todos los programas fuentes en uso, indicando nombre del programa, programador, Analista Responsable que autorizó, versión, fecha de última modificación y fecha / hora de compilación y estado (en modificación, en producción).
Se deberá establecer que todo programa objeto o ejecutable en producción tenga un único programa fuente asociado que garantice su origen, es decir que exista trazabilidad de versión entre el programa objeto y el código fuente.
Se deberá establecer la existencia de un implementador de producción, el cual será el responsable del pase a producción.
Se deberá desarrollar un procedimiento que garantice que toda vez que se migre a producción el módulo fuente, se cree el código ejecutable correspondiente en forma automática.
Se deberá prohibir el resguardo de programas fuentes históricos (que no sean los correspondientes a los programas operativos) en el ambiente de producción.
Se deberá prohibir el acceso a todo operador y/o usuario de aplicaciones a los ambientes y a las herramientas que permitan la generación y/o manipulación de los programas fuentes.
Se deberán realizar copias de respaldo de los programas fuentes cumpliendo los requisitos de seguridad establecidos por la Secretaría General de la Presidencia de la Nación en los procedimientos que surgen de la presente política, teniendo para ello presente, el punto 12.3.1 Copia de Resguardo y Restauración.
9.4.9 Identificación Automática de Estaciones de Trabajo
Se deberá tener en cuenta la identificación automática de las estaciones de trabajo conectadas a la red interna de la Secretaría General de la Presidencia de la Nación, con el objeto de validar las conexiones generadas, debiendo segregarse de la red, aquellas estaciones de trabajo que no estuvieran normalizadas según las directivas de seguridad preestablecidas o que no pudieran identificarse debidamente.
9.4.10 Identificación y Autenticación de los Usuarios
Se deberán seguir expresamente las siguientes directivas:
Todos los usuarios (incluido el personal de soporte técnico, como los operadores, administradores de red, programadores de sistemas y administradores de bases de datos) tendrán un identificador univoco (ID de usuario) solamente para su uso personal exclusivo, de manera que las actividades puedan rastrearse con posterioridad hasta llegar al individuo responsable, a fin de garantizar la trazabilidad de las transacciones. Los identificadores de usuario no darán ningún indicio del nivel de privilegio otorgado.
En circunstancias excepcionales, cuando existaun claro beneficio parala Secretaría General de la Presidencia de la Nación, podrá utilizarse un identificador compartido para un grupo de usuarios o una tarea específica. Se documentará la justificación y se registrará la aprobación del Propietario de la Información.
Si se utiliza un método de autenticación físico (por ejemplo, autenticadores de hardware), debe implementarse un procedimiento que incluya:
a) Asignar la herramienta de autenticación.
b) Registrar los poseedores de autenticadores.
c) Rescatar el autenticador al momento de la desvinculación del personal al que se le otorgó.
d) Revocar el acceso del autenticador, en caso de compromiso de seguridad.
b) Registrar los poseedores de autenticadores.
c) Rescatar el autenticador al momento de la desvinculación del personal al que se le otorgó.
d) Revocar el acceso del autenticador, en caso de compromiso de seguridad.
10. Política de Criptografía
Objetivos
Garantizar el uso adecuado y eficaz de la criptografía para proteger la confidencialidad, no repudio, la autenticidad y/o la integridad de la información.
10.1 Cumplimiento de Requisitos
10.1.1 Política de Uso de Controles Criptográficos
Se utilizarán sistemas y técnicas criptográficas para el resguardo de la información, con el fin de asegurar una adecuada protección de su confidencialidad. Se deberá asegurar la información y las comunicaciones mediante la utilización de controles criptográficos, en los siguientes casos:
• Contraseñas de acceso a sistemas.
• Almacenamiento de Datos, cuando el nivel de protección sea requerido.
• Cifrado de dispositivos móviles.
• Transmisión de información, dentro y fuera del ámbito de la SGP de la Nación.
• Copias de Resguardo de la Información.
• O bien, producto de la evaluación de riesgo sobre el activo de información que se desea asegurar su confidencialidad.
• Almacenamiento de Datos, cuando el nivel de protección sea requerido.
• Cifrado de dispositivos móviles.
• Transmisión de información, dentro y fuera del ámbito de la SGP de la Nación.
• Copias de Resguardo de la Información.
• O bien, producto de la evaluación de riesgo sobre el activo de información que se desea asegurar su confidencialidad.
Se deberán utilizar algoritmos de cifrado robustos, que deberán ser validados periódicamente por el Responsable de la Seguridad de la Información, con el objeto de evitar el uso de algoritmos de cifrado obsoletos, producto del avance de las técnicas de descifrado.
Al implementar la política de criptografía en la Secretaría General de la Presidencia de la Nación, se considerarán cuando sea necesario, los controles aplicables a la exportación e importación de tecnología criptográfica.
10.1.2 Firma Digital
Cuando sea necesario asegurar la autenticidad e integridad de los documentos electrónicos, los mismos deberán firmarse digitalmente.
Se deberán tomar los recaudos pertinentes para proteger la confidencialidad de las claves privadas, dichas claves deben ser resguardadas bajo el control exclusivo de su titular. Asimismo, es importante proteger la integridad de la clave pública, mediante el uso de un certificado de clave pública.
Se recomienda que las claves criptográficas utilizadas para firmar digitalmente no sean empleadas en procedimientos de cifrado de información.
Al utilizar firmas y certificados digitales, se deberá contemplar lo dispuesto en la Ley N° 25.506, el Decreto N° 2628/02 y normas complementarias.
10.1.3 Servicios de No Repudio
Se deberán utilizar los servicios de “no repudio”, cuando sea necesario garantizar transacciones electrónicas que pudieran generar disputas acerca de la ocurrencia y participación en las mismas. Es decir, cuando un individuo que envía el mensaje no pueda negar que es el emisor del mismo (no repudio en origen) y que el receptor no puede negar que recibió dicho mensaje (no repudio en destino), garantizando de este modo, la participación de las partes en dicha comunicación.
10.1.4 Procedimientos para la Gestión de Claves Criptográficas
Se deberá implementar un proceso seguro de administración de claves criptográficas para respaldar la utilización por parte de la Secretaría General de la Presidencia de la Nación de las claves secretas (en criptografía simétrica) y las claves privadas (en criptografía asimétrica), para protegerlas contra modificación, destrucción, copia y divulgación no autorizada.
Se deberán implementar los mecanismos y tomar los recaudos necesarios para proteger la confidencialidad de las claves privadas.
Por lo cual, se deberán redactar procedimientos que estipulen operaciones de:
a) Almacenamiento de claves secretas y privadas, incluyendo la forma de acceso a las mismas por parte de los usuarios autorizados.
b) Renovación y actualización de claves, incluyendo reglas sobre cuándo y cómo deben cambiarse las claves.
c) Eliminación de claves, incluyendo cómo deben retirarse o desactivarse las mismas, por ejemplo, cuando las claves hayan caducado.
d) Utilización de claves como parte de la administración de la continuidad de las operaciones, por ejemplo, para la recuperación de la información cifrada.
e) Generación e implementación de claves en operaciones de Copias de Resguardo y Restauración.
b) Renovación y actualización de claves, incluyendo reglas sobre cuándo y cómo deben cambiarse las claves.
c) Eliminación de claves, incluyendo cómo deben retirarse o desactivarse las mismas, por ejemplo, cuando las claves hayan caducado.
d) Utilización de claves como parte de la administración de la continuidad de las operaciones, por ejemplo, para la recuperación de la información cifrada.
e) Generación e implementación de claves en operaciones de Copias de Resguardo y Restauración.
11. Política Físico y Ambiental
Objetivo
Prevenir e impedir accesos no autorizados, daños e interferencia a las sedes, instalaciones e información de la Secretaría General de la Presidencia de la Nación.
Proteger el equipamiento de procesamiento de información crítica de la Secretaría General de la Presidencia de la Nación, ubicándolo en áreas protegidas y resguardadas por un perímetro de seguridad definido, con medidas de seguridad y controles de acceso apropiados. Asimismo, contemplar la protección del mismo en su traslado y permanencia fuera de las áreas protegidas, por motivos de mantenimiento u otros.
Controlar los factores ambientales que podrían perjudicar el correcto funcionamiento del equipamiento informático que alberga la información de la Secretaría General de la Presidencia de la Nación.
Implementar medidas para proteger la información manejada por el personal en las oficinas, en el marco normal de sus labores habituales.
Brindar protección proporcional a los riesgos identificados.
11.1 Áreas Seguras
11.1.1 Perímetro de seguridad física
Se deberán definir perímetros de seguridad, para proteger las áreas que contienen instalaciones de procesamiento de información, sala de los equipos de comunicaciones, instalaciones de suministro de energía eléctrica, instalaciones de aire acondicionado y cualquier otra área considerada crítica, que su puesta fuera de servicio o mal funcionamiento pueda entorpecer el normal funcionamiento de los sistemas de información de la Secretaría General de la Presidencia de la Nación.
11.1.2 Controles físicos de entrada
Todas las instalaciones edilicias de la Secretaría General de la Presidencia de la Nación deberán implementar controles de acceso físico y monitoreo mediante cámaras de seguridad para supervisar la entrada y salida de personas y materiales.
Se deberán registrar fecha, horario y motivo de la visita al ingresar a las áreas protegidas, ya que sólo se permitirá el acceso por motivos específicos y autorizados. Y se deberá registrar fecha y horario al egresar de dichas áreas.
Se deberá almacenar debidamente los registros de acceso a los efectos de auditorías o investigación de incidentes.
Se controlará y limitará el acceso a la información clasificada y a las instalaciones de procesamiento de información, exclusivamente a las personas autorizadas. Se mantendrá un registro protegido para permitir auditar todos los accesos.
Se deberá usar una identificación unívoca visible para todo el personal del área protegida e instruirlo acerca de cuestionar la presencia de desconocidos no escoltados por personal autorizado y a cualquier persona que no exhiba una identificación visible.
Se revisarán y actualizarán cada 6 meses los derechos de acceso a las áreas protegidas, dichos procesos serán documentados y firmados por el responsable de la Unidad Organizativa de la que dependa.
Se revisarán los registros de acceso a las áreas protegidas.
11.1.3 Seguridad de oficinas, despachos e instalaciones
Se aplicarán mecanismos extras de control de acceso de seguridad física y/o electrónica a las oficinas y salas de la Secretaría General de la Presidencia de la Nación, también definidas como áreas críticas, considerando la actividad desempeñada o el activo que administran.
Se definirán los siguientes sitios como áreas críticas, dada la actividad desarrollada en las mismas:
• Piso ala Presidencial
• Oficinas usadas Subsecretarias
• Centro de Datacenter
• Oficinas de RRHH.
• Oficinas usadas Subsecretarias
• Centro de Datacenter
• Oficinas de RRHH.
11.1.4 Protección contra amenazas de origen ambiental y externas
Deberán existir controles adecuadamente ubicados de protección física contra incendios.
Deberá existir personal de seguridad física para contrarrestar amenazas de revueltas internas y externas y resguardo las áreas protegidas.
11.1.5 Trabajo en áreas críticas
Para incrementar la seguridad de las áreas críticas, se deberán establecer controles y lineamientos adicionales, tanto para el personal de la Secretaría General de la Presidencia de la Nación, como las actividades desarrollas por terceros que tengan lugar en dichas áreas, como ser:
a) Implementar controles extras como ser el monitoreo mediante cámaras de seguridad.
b) Evitar la ejecución de trabajos por parte de terceros sin supervisión de personal de la Secretaría General de la Presidencia de la Nación
c) Limitar el acceso a las áreas protegidas sólo al personal perteneciente a dichas áreas o cuando sean autorizados por personal responsable de las misma.
d) Restringir el ingreso de dispositivos de almacenamiento portable a menos que sea necesario para el desempeño de sus funciones.
b) Evitar la ejecución de trabajos por parte de terceros sin supervisión de personal de la Secretaría General de la Presidencia de la Nación
c) Limitar el acceso a las áreas protegidas sólo al personal perteneciente a dichas áreas o cuando sean autorizados por personal responsable de las misma.
d) Restringir el ingreso de dispositivos de almacenamiento portable a menos que sea necesario para el desempeño de sus funciones.
11.1.6 Áreas de acceso público, de carga y descarga
Se deberán establecer controles en las áreas de recepción, carga y descarga a fin de impedir accesos no autorizados a las instalaciones edilicias de la Secretaría General de la Presidencia de la Nación.
Las áreas de recepción, carga y descarga deberán estar aisladas de las instalaciones de procesamiento de información y de las áreas protegidas.
Para ello se establecerán controles físicos que considerarán los siguientes lineamientos:
a) Limitar el acceso a las áreas de depósito, desde el exterior de la sede de la Secretaría General de la Presidencia de la Nación, sólo al personal previamente identificado y autorizado.
b) Diseñar el área de depósito de manera tal, que los suministros puedan ser descargados sin que el personal que realiza la entrega acceda a otros sectores del edificio.
c) Verificar y registrar el material entrante al ingresar a las instalaciones edilicias de la Secretaría General de la Presidencia de la Nación
d) Inspeccionar el material entrante para descartar peligros potenciales antes de ser trasladado desde el área de depósito hasta el lugar de uso.
b) Diseñar el área de depósito de manera tal, que los suministros puedan ser descargados sin que el personal que realiza la entrega acceda a otros sectores del edificio.
c) Verificar y registrar el material entrante al ingresar a las instalaciones edilicias de la Secretaría General de la Presidencia de la Nación
d) Inspeccionar el material entrante para descartar peligros potenciales antes de ser trasladado desde el área de depósito hasta el lugar de uso.
11.2 Seguridad de los equipos
11.2.1 Emplazamiento y protección de equipos
El equipamiento deberá ser ubicado y protegido de tal manera que se reduzcan los riesgos ocasionados por amenazas, peligros ambientales y acceso a personas no autorizadas, teniendo en cuenta los siguientes puntos:
a) Ubicar el equipamiento en un sitio donde se minimice el acceso innecesario y provea un control de acceso adecuado.
b) Ubicar las instalaciones de procesamiento y almacenamiento de información que procesan datos clasificados, en un sitio que permita la supervisión constante.
c) Adoptar controles adecuados para minimizar el riesgo de amenazas potenciales por robo, hurto, incendio, polvo, calor y radiaciones electromagnéticas.
d) No se debería comer, beber y fumar en proximidad de los equipos de procesamiento de la información como ser el centro de cómputos o la sala de comunicaciones.
b) Ubicar las instalaciones de procesamiento y almacenamiento de información que procesan datos clasificados, en un sitio que permita la supervisión constante.
c) Adoptar controles adecuados para minimizar el riesgo de amenazas potenciales por robo, hurto, incendio, polvo, calor y radiaciones electromagnéticas.
d) No se debería comer, beber y fumar en proximidad de los equipos de procesamiento de la información como ser el centro de cómputos o la sala de comunicaciones.
11.2.2 Seguridad en el suministro eléctrico
El equipamiento de procesamiento de datos deberá estar protegido ante posibles fallas en el suministro de energía u otras anomalías eléctricas.
Para asegurar la continuidad del suministro de energía, deberá contarse con equipamiento de Suministro de Energía Interrumpible (UPS) y grupo Generador de Energía Eléctrica de respaldo.
Se deberá proveer de iluminación de emergencia en caso de producirse una falla en el suministro principal de energía. Se deberá implementar además protección contra descargas eléctricas en todos los edificios y líneas de comunicaciones externas de acuerdo con las normativas vigentes, adoptando filtros de protección contra rayos a todas las líneas de ingreso de energía eléctrica y comunicaciones.
11.2.3 Seguridad del cableado
El cableado de comunicaciones que transporta datos y brinda apoyo a los servicios de información deberá estar protegido contra intercepción o daño. Por ello, el cableado deberá:
a) Cumplir con los requisitos técnicos vigentes de la República Argentina.
b) Separar los cables de energía de los cables de comunicaciones de datos para evitar interferencias.
c) Proteger el tendido del cableado de red troncal entre los pisos, mediante la utilización de ductos blindados y/o con controles de acceso físicos.
d) Utilizar piso técnico y/o cableado embutido en la pared, siempre que sea posible.
e) Utilizar medios de transmisión alternativos seguros cuando no sea posible asegurar la seguridad en el cableado.
b) Separar los cables de energía de los cables de comunicaciones de datos para evitar interferencias.
c) Proteger el tendido del cableado de red troncal entre los pisos, mediante la utilización de ductos blindados y/o con controles de acceso físicos.
d) Utilizar piso técnico y/o cableado embutido en la pared, siempre que sea posible.
e) Utilizar medios de transmisión alternativos seguros cuando no sea posible asegurar la seguridad en el cableado.
11.2.4 Mantenimiento del equipamiento informático
Se deberán realizar tareas periódicas de mantenimiento preventivodel equipamiento de procesamiento de datos y comunicaciones para asegurar su disponibilidad e integridad permanentes, de acuerdo con los intervalos de servicio y especificaciones recomendados por el proveedor y con la autorización formal del responsable de la Dirección de Seguridad Informática o la Comisión de Seguridad Informática. La Dirección mencionada, deberá mantener un listado actualizado del equipamiento con el detalle de la frecuencia en que se realizará el mantenimiento preventivo.
Se deberá eliminar la información confidencial que contenga cualquier equipamiento que sea necesario retirar, realizándose previamente las respectivas copias de resguardo.
11.2.5 Seguridad de los equipos fuera de las instalaciones
El uso de equipamiento destinado al procesamiento de información, fuera del ámbito de la Secretaría General de la Presidencia de la Nación, deberá ser autorizado por el responsable patrimonial. En caso que en el mismo se almacene información clasificada, debe ser aprobado además por el Propietario de la misma.
Cuando se autorice el uso de equipamiento informático fuera del ámbito de las dependencias de la Secretaría General de la Presidencia de la Nación, el mismo deberá contar con controles de seguridad preventivos ante pérdida, robo, daño o intercepción.
Se deberán respetar permanentemente las instrucciones del fabricante respecto del cuidado del activo. Asimismo, se mantendrá una adecuada cobertura de seguro para proteger el equipamiento fuera del ámbito de la Secretaría General de la Presidencia de la Nación, cuando el activo lo amerite.
11.2.6 Reutilización o Baja de equipamiento informático
Se deberán aplicar operaciones de borrado seguro a todo equipamiento informático, antes de que el mismo sea normalizado para su reutilización, previo resguardo de la información útil y licencias alojadas en dicho equipamiento, teniendo en cuenta las directivas mencionadas en el punto 8.3.2 Eliminación Segura de Soportes de Información.
11.2.7 Retiro de propiedad de la Secretaría General de la Presidencia de la Nación
El equipamiento, soportes de almacenamiento, información y software no se deberán retirar o transmitir fuera del ámbito de las dependencias de la Secretaría General de la Presidencia de la Nación sin previa autorización formal.
Se podrán llevar a cabo comprobaciones periódicas para detectar el retiro no autorizado de activos de la Secretaría General de la Presidencia de la Nación.
11.2.8 Pantallas Limpias
Los usuarios deberán cerrar las sesiones de las aplicaciones, sistemas y servicios de red, cuando no estén siendo usadas.
Los usuarios al ausentarse momentáneamente de su puesto de trabajo deberán cerrar la sesión activa o en su defecto, bloquear el equipo informático, para evitar el acceso indebido al mismo en su ausencia.
Se deberá establecer el bloqueo automático de las pantallas, cuando el equipo se encuentre desatendido por más de 5 (cinco) minutos con el objeto de evitar accesos no autorizados a los mismos.
Los usuarios deberán cerrar las sesiones activas al finalizar su jornada laboral y apagar el equipo informático o en su defecto cerrar las sesiones de servicios abiertos y activar el bloqueo del mismo cuando sea solicitado por el Responsable de la Seguridad de la Información para realizar tareas de mantenimiento fuera del horario laboral.
11.2.9 Escritorios Limpios
Los usuarios deberán proteger la información no pública que utilizan en sus tareas, no dejando documentación en papel u otro medio de almacenamiento (pendrives, unidades removibles, cd, etc.) sobre su puesto de trabajo sin ningún tipo de control.
Se deberá almacenar bajo llave en gabinetes seguros o cajas fuertes, cuando corresponda, los documentos en papel y soportes de almacenamiento que posean información sensible o crítica, cuando no estén siendo utilizados, especialmente fuera del horario de trabajo.
Se deberá retirar inmediatamente la información sensible o confidencial, una vez impresa.
Se deberán bloquear las fotocopiadoras fuera del horario normal de trabajo y proteger los puntos de recepción y envío de correo postal (primera vez que se las nombra).
12. Política de Seguridad en las Operaciones
Objetivo
Garantizar el funcionamiento correcto y seguro de las instalaciones de procesamiento de la información.
Establecer responsabilidades y procedimientos para su gestión y operación, incluyendo instrucciones operativas, procedimientos para la respuesta a incidentes y separación de funciones.
12.1 Procedimientos y Responsabilidades Operativas
12.1.1 Documentación de los Procedimientos Operativos
Los procedimientos operativos deberán ser identificados, documentados, actualizados y puestos a disposición de todos los usuarios que lo requieran. Las responsabilidades referidas a las tareas operativas deberán estar formalmente asignadas.
Los procedimientos especificarán instrucciones para la ejecución detallada de cada tarea, incluyendo:
a) Información que se gestiona.
b) Requerimientos o interdependencias con otros sistemas.
c) Instrucciones para el manejo de errores u otras condiciones excepcionales que puedan surgir durante la ejecución de tareas.
d) Personas de soporte a quien contactar en caso de dificultades operativas o técnicas imprevistas.
b) Requerimientos o interdependencias con otros sistemas.
c) Instrucciones para el manejo de errores u otras condiciones excepcionales que puedan surgir durante la ejecución de tareas.
d) Personas de soporte a quien contactar en caso de dificultades operativas o técnicas imprevistas.
12.1.2 Cambios en las Operaciones
Se deberán definir procedimientos para controlar los cambios en los procesos operativos que pudieran afectar la seguridad en los sistemas de procesamiento de la SGP.
Se deberá almacenar un registro detallado de los cambios para operaciones de auditoría y respuesta de incidentes, conteniendo el mismo toda información relevante a cada cambio implementado.
Se deberá controlar que los cambios a implementar no afecten la seguridad de los procesos asociados ni de la información que administra.
Se deberán definir procedimientos para el control de los cambios en el ambiente operativo y de comunicaciones. Todo cambio deberá ser evaluado previamente en sus aspectos técnicos y de seguridad.
Se deberá controlar que los cambios en los componentes operativos y de comunicaciones no afecten la seguridad de los mismos ni de la información que soportan. Razón por la cual se deberá evaluar el posible impacto operativo de los cambios previstos y verificar su correcta implementación.
Se retendrá un registro de auditoría que contenga toda la información relevante de cada cambio implementado.
Los procedimientos de control de cambios contemplarán los siguientes puntos:
a) Identificación y registro de cambios significativos.
b) Evaluación del posible impacto de dichos cambios.
c) Aprobación formal de los cambios propuestos.
d) Planificación del proceso de cambio.
e) Prueba del nuevo escenario.
f) Comunicación de detalles de cambios a todas las personas pertinentes.
g) Identificación de las responsabilidades por la cancelación de los cambios fallidos y la recuperación respecto de los mismos.
b) Evaluación del posible impacto de dichos cambios.
c) Aprobación formal de los cambios propuestos.
d) Planificación del proceso de cambio.
e) Prueba del nuevo escenario.
f) Comunicación de detalles de cambios a todas las personas pertinentes.
g) Identificación de las responsabilidades por la cancelación de los cambios fallidos y la recuperación respecto de los mismos.
12.1.3 Planificación de la Capacidad
Se deberá monitorear y evaluar las necesidades de capacidad operacional actuales de los sistemas y proyectar las futuras demandas, con el objeto de garantizar que el crecimiento no ponga en riesgo las actividades operativas ante la falta de recursos.
12.1.4 Separación de entornos de desarrollo, pruebas y producción
Deberán existir cuatro ambientes diferenciados de trabajo, desarrollo, pruebas, pruebas de seguridad y producción, los cuales deberán estar separados y ser independientes.
Deberán existir procedimientos formales para el traspaso entre estos ambientes, con el fin de reducir el riesgo de cambios no autorizados en los mismos y garantizar la producción de sistemas seguros. Estos controles deberán tener en cuenta los siguientes aspectos:
a) El personal de desarrollo no tendrá acceso al ambiente productivo, oficiando sólo como asesor del personal de producción cuando estos lo requieran.
b) Definir propietarios de la información para cada uno de los ambientes de procesamiento existentes.
c) Ante extrema necesidad, se establecerá un procedimiento formal de emergencia que permita registrar la autorización, acceso y cambio efectuado en el servidor de producción por el personal de desarrollo.
d) El ambiente de producción deberá contar solamente con el software necesario para el funcionamiento del sistema al que sirve, evitando la existencia de compiladores u otros utilitarios del sistema que pudieran alterar el correcto funcionamiento del mismo.
b) Definir propietarios de la información para cada uno de los ambientes de procesamiento existentes.
c) Ante extrema necesidad, se establecerá un procedimiento formal de emergencia que permita registrar la autorización, acceso y cambio efectuado en el servidor de producción por el personal de desarrollo.
d) El ambiente de producción deberá contar solamente con el software necesario para el funcionamiento del sistema al que sirve, evitando la existencia de compiladores u otros utilitarios del sistema que pudieran alterar el correcto funcionamiento del mismo.
12.2 Protección contra Código Malicioso
12.2.1 Controles contra Código Malicioso
Se deberán proteger los sistemas tecnológicos mediante la implementación de controles para prevenir, detectar, eliminar y recuperar los sistemas afectados por código malicioso.
Dichos sistemas de detección de código malicioso deberán estar instalados y actualizados en todas las estaciones de trabajo y servidores que conforman la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación.
Para evitar la ejecución de código malicioso, se deberá controlar toda actividad de lectura y grabación de archivos, en estaciones de trabajo y servidores, todo tráfico de carga y descarga de archivos en los servidores de conexión a internet y el control en los correos electrónicos con archivos adjuntos o enlaces a sitios web.
Se deberán realizar periódicamente, análisis preventivos para la detección y eliminación de código malicioso en los servidores y estaciones de trabajo.
Se deberán implementar las directivas emanadas en la Política de Uso Aceptable de los Recursos de Tecnología de la Información existente.
12.3 Copias de Seguridad
12.3.1 Copia de Resguardo y Restauración
Se definirán procedimientos para el resguardo de la información, que deberá considerar:
a) Definir un esquema de rótulo de las copias de resguardo, que permita contar con toda la información necesaria para identificar y administrar cada una de ellas debidamente.
b) Establecer un esquema de reemplazo de los medios de almacenamiento de las copias de resguardo, una vez concluida la posibilidad de ser reutilizados, de acuerdo a lo indicado por el proveedor y asegurando la destrucción de los medios desechados.
c) Almacenar en una ubicación remota copias de resguardo junto con registros exactos y completos de las mismas y procedimientos documentados de restauración, a una distancia suficiente como para evitar daños provenientes de un incidente en el sitio principal. Teniendo en cuenta el nivel de clasificación otorgado a la información resguardada. Asignar a la información de resguardo, un nivel de protección física y ambiental según los requisitos del proveedor del medio de almacenamiento y las normas aplicadas en el sitio principal.
d) Verificar periódicamente la efectividad de los procedimientos de copias y restauración, asegurándose que cumplan con los requerimientos de los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación.
e) Minimizar los efectos de las posibles interrupciones de las actividades normales de la Secretaría General de la Presidencia de la Nación (sean éstas resultado de desastres naturales, accidentes, fallas en el equipamiento, acciones deliberadas u otros hechos) y proteger los procesos críticos mediante una combinación de controles preventivos y acciones de recuperación.
f) Analizar las consecuencias de la interrupción del servicio y tomar las medidas correspondientes para la prevención de hechos similares en el futuro.
g) Maximizar la efectividad de las operaciones de contingencia de la Secretaría General de la Presidencia de la Nación con el establecimiento de planes que incluyan al menos las siguientes etapas: Notificación/Activación: Consistente en la detección y determinación del daño y la activación del plan. Reanudación: Consistente en la restauración temporal de las operaciones y recuperación del daño producido al sistema original. Recuperación: Consistente en la restauración de las capacidades de proceso del sistema a las condiciones de operación normales.
h) Asegurar la coordinación con el personal de la Secretaría General de la Presidencia de la Nación y los contactos externos que participarán en las estrategias de planificación de contingencias. Asignar funciones para cada actividad definida.
i) Gestión de Continuidad de las Operaciones.
j) Cifrar la Copia de Resguardo, de acuerdo al punto 10.1.1 Política de Uso de Controles Criptográficos.
k) El período de retención de las copias de resguardo deberá ser establecido por medio de una política de retención de acuerdo al tipo de información resguardada y en concordancia con la política 18.1.3 Protección de los Registros de la Secretaría General de la Presidencia de la Nación.
b) Establecer un esquema de reemplazo de los medios de almacenamiento de las copias de resguardo, una vez concluida la posibilidad de ser reutilizados, de acuerdo a lo indicado por el proveedor y asegurando la destrucción de los medios desechados.
c) Almacenar en una ubicación remota copias de resguardo junto con registros exactos y completos de las mismas y procedimientos documentados de restauración, a una distancia suficiente como para evitar daños provenientes de un incidente en el sitio principal. Teniendo en cuenta el nivel de clasificación otorgado a la información resguardada. Asignar a la información de resguardo, un nivel de protección física y ambiental según los requisitos del proveedor del medio de almacenamiento y las normas aplicadas en el sitio principal.
d) Verificar periódicamente la efectividad de los procedimientos de copias y restauración, asegurándose que cumplan con los requerimientos de los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación.
e) Minimizar los efectos de las posibles interrupciones de las actividades normales de la Secretaría General de la Presidencia de la Nación (sean éstas resultado de desastres naturales, accidentes, fallas en el equipamiento, acciones deliberadas u otros hechos) y proteger los procesos críticos mediante una combinación de controles preventivos y acciones de recuperación.
f) Analizar las consecuencias de la interrupción del servicio y tomar las medidas correspondientes para la prevención de hechos similares en el futuro.
g) Maximizar la efectividad de las operaciones de contingencia de la Secretaría General de la Presidencia de la Nación con el establecimiento de planes que incluyan al menos las siguientes etapas: Notificación/Activación: Consistente en la detección y determinación del daño y la activación del plan. Reanudación: Consistente en la restauración temporal de las operaciones y recuperación del daño producido al sistema original. Recuperación: Consistente en la restauración de las capacidades de proceso del sistema a las condiciones de operación normales.
h) Asegurar la coordinación con el personal de la Secretaría General de la Presidencia de la Nación y los contactos externos que participarán en las estrategias de planificación de contingencias. Asignar funciones para cada actividad definida.
i) Gestión de Continuidad de las Operaciones.
j) Cifrar la Copia de Resguardo, de acuerdo al punto 10.1.1 Política de Uso de Controles Criptográficos.
k) El período de retención de las copias de resguardo deberá ser establecido por medio de una política de retención de acuerdo al tipo de información resguardada y en concordancia con la política 18.1.3 Protección de los Registros de la Secretaría General de la Presidencia de la Nación.
12.4 Registro de Actividad y Monitoreo
12.4.1 Registro de eventos
Se deberán registrar los eventos referidos a la actividad de usuarios y sistemas, eventos asociados a errores y seguridad.
Se deberán almacenar remotamente los eventos de las estaciones de trabajo y servidores críticos, con el objeto de garantizar su integridad y disponibilidad para la detección e investigación de incidentes de seguridad. Los registros de auditoría se almacenarán localmente para las estaciones de trabajo y servidores considerados, no críticos.
Se deberán registrar mínimamente los siguientes datos:
a) Inicio y cierre de sesión.
b) Identificación del usuario.
c) Identificación del equipo.
d) Direcciones de redes y protocolos.
e) Fecha y hora del evento.
f) Descripción del evento.
g) Registros de intentos de acceso al sistema exitosos y fallidos.
h) Registros de intentos de acceso a los datos u otro recurso, exitosos y rechazados.
i) Cambios de configuración del sistema.
j) Ejecución de aplicaciones de sistemas.
k) Archivos accedidos y el tipo de acceso.
l) Uso de privilegios.
m) Activación y desactivación de los sistemas de protección.
b) Identificación del usuario.
c) Identificación del equipo.
d) Direcciones de redes y protocolos.
e) Fecha y hora del evento.
f) Descripción del evento.
g) Registros de intentos de acceso al sistema exitosos y fallidos.
h) Registros de intentos de acceso a los datos u otro recurso, exitosos y rechazados.
i) Cambios de configuración del sistema.
j) Ejecución de aplicaciones de sistemas.
k) Archivos accedidos y el tipo de acceso.
l) Uso de privilegios.
m) Activación y desactivación de los sistemas de protección.
Para el registro de los eventos se debe considerar la política 18.1.3 Protección de los Registros de la Secretaría General de la Presidencia de la Nación.
12.4.2 Protección del registro de información de auditoría
Se implementarán controles para la protección de los registros de auditoría almacenados, contra cambios no autorizados, como ser alteración de los mismos o eliminación.
Se deberán implementar controles para evitar fallas por falta de espacio de almacenamiento.
12.4.3 Actividad de los Administradores y Operadores
Se deberá controlar periódicamente la actividad de los usuarios administradores y operadores de sistemas que administren información confidencial, privada o secreta.
Se deberán definir alertas automáticas que informen actividades catalogadas sospechosas, ya sea debido a accesos u operaciones indebidas o fallas de los sistemas.
12.4.4 Sincronización de Relojes
Se deberán sincronizar los relojes de todos los sistemas y equipos informáticos en relación a una o varias fuentes de sincronización únicas de referencia, a fin de garantizar la exactitud de los registros de auditoría.
12.5 Control en la Instalación de Software
12.5.1 Instalación de Software en Producción
Se deberán definir procedimientos para controlar la instalación de software en sistemas operacionales en producción que establezcan los pasos a seguir para validar autorizaciones, conformidades y pruebas previas pertinentes.
Toda aplicación, desarrollada por la Secretaría General de la Presidencia de la Nación o por un tercero, deberá tener un único responsable designado formalmente por la Dirección de Informática.
Ningún programador o analista de desarrollo podrá acceder a los ambientes de producción, en concordancia con el punto 12.1.4 Separación de entornos de desarrollo, pruebas y producción.
Se debería conservar la versión previa del sistema, como medida de contingencia y control, llevar un registro de auditoría de las actualizaciones efectuadas e instalar sólo los ejecutables en el ambiente de producción.
Se designarán formalmente a los implementadores de los sistemas en producción, evitando que sean los mismos programadores o analista de desarrollo del software que se desea poner en producción.
12.6 Gestión de Vulnerabilidades Técnicas
12.6.1 Vulnerabilidades Técnicas y Remediación
Se deberán efectuar pruebas técnicas y de seguridad, con el objeto de conocer el grado de exposición del sistema antes de desplegarlo en producción, a fin de adoptar las medidas necesarias para minimizar o eliminar los riesgos asociados. Esto también aplica para todo sistema de software desarrollado en la Secretaría General de la Presidencia de la Nación teniendo en cuenta las directivas de la política 14.2.9 Evaluación de Vulnerabilidades de Seguridad.
Se deberán minimizar los riesgos de actualización, mediante la implementación del control de cambios, imponiendo el cumplimiento de procedimientos formales que garanticen que se cumplan pautas de seguridad y control. Se deberá verificar que los cambios cumplan con los requisitos solicitados y se cuente con las autorizaciones necesarias.
Se deberán establecer roles y responsabilidad asociados a los procesos de identificación de vulnerabilidades técnicas, procedimientos de remediación mediante la instalación de actualizaciones de seguridad, implementación de directrices de configuraciones seguras y controles para asegurar su cumplimiento.
12.6.2 Restricciones en la Instalación de Software
Se prohíbe la instalación de software, a menos que sea autorizada por el Responsable de la Seguridad de la Información, ya que la instalación no controlada de software en sistemas informáticos puede dar pie a la introducción de vulnerabilidades y a la fuga de información, a la falta de integridad u otros incidentes de seguridad de información o bien a la transgresión de derechos de propiedad intelectual.
La instalación de software deberá respetar la Ley de Propiedad Intelectual N° 11.723 y sus normas complementarias, como así también el tipo de licenciamiento designado por el autor del mismo. Por lo que se prohíbe la instalación y uso de cualquier tipo de aplicación y utilidades que active licencias de manera indebida (ver punto 18.1.2 Derechos de Propiedad Intelectual).
12.7 Auditoría de los Sistemas en Producción
12.7.1 Controles de auditoría en los sistemas de información
Se deberá planificar y definir cuidadosamente las actividades de auditoría a realizar sobre los sistemas en producción, con el objeto de minimizar el impacto en la SGP, por esta razón deberán existir procedimientos formales para tal actividad.
Las actividades de auditoría sobre los sistemas en producción deberán tomar los recaudos necesarios que permitan revertir los cambios efectuados en los sistemas auditados.
Se protegerá el acceso a los elementos utilizados en las auditorías de sistemas, o sea archivos de datos o software, a fin de evitar el mal uso o el compromiso de los mismos.
Dichas herramientas estarán separadas de los sistemas en producción y de desarrollo, y se les otorgará el nivel de protección requerido.
Se observarán las normas de auditoría dispuestas por la Sindicatura General de la Nación.
13. Política en la Gestión de Comunicaciones
Objetivo
Garantizar el funcionamiento correcto y seguro de las instalaciones de procesamiento de la información y comunicaciones.
13.1 Gestión en la Seguridad en las Redes de Datos
13.1.1 Controles en las Redes de Datos
Se deberán restringir las conexiones a los puertos de los dispositivos de red, permitiendo conectarse únicamente a los dispositivos con direcciones físicas autorizadas, habilitando de este modo la seguridad de los puertos de conexión.
Se deberán definir controles que inspeccionen los paquetes de datos que circulan en la red con el objeto de detectar código malicioso que intente vulnerar los sistemas informáticos.
Se deberá controlar la navegación ilimitada de internet para evitar comprometer el rendimiento y/o estabilidad del acceso a la misma.
Se deberán controlar los equipos informáticos que se conecten hacia y desde internet. Tal control deberá ser efectuado a través de dispositivos de seguridad que inspeccionan el tráfico saliente y entrante, con el objeto de evitar que la navegación transgreda las normas establecidas en la Política de Uso Aceptable de los Recursos de Tecnología de la Información.
Se deberá controlar el tráfico de datos interno y externo de la red informática mediante dispositivos de seguridad que controlen activamente las comunicaciones con origen y destino autorizados.
Se deberán implementar controles para mantener la alta disponibilidad de los servicios de red y equipamiento informático interconectado.
Se deberá controlar el acceso, administración y uso de los servicios web publicados. Se deberá mantener instalados y habilitados sólo aquellos servicios que hayan sido autorizados.
13.1.2 Seguridad de los Servicios Activos
El Responsable de la Seguridad de la Información definirá las pautas para garantizar la seguridad de los servicios de red de la Secretaría General de la Presidencia de la Nación. Dichos servicios activos deberán ser revisados periódicamente, proponiendo recomendaciones cuando sea necesario.
Se deberán seguir expresamente las siguientes directivas:
a) Mantener instalados y habilitados sólo aquellos servicios que sean utilizados.
b) Controlar el acceso lógico a los servicios, tanto su uso como su administración.
c) Configurar cada servicio de manera segura, siguiendo las recomendaciones de buenas prácticas de seguridad del servicio en cuestión.
d) Instalar periódicamente las actualizaciones de seguridad.
e) Evaluar periódicamente la seguridad de los servicios.
b) Controlar el acceso lógico a los servicios, tanto su uso como su administración.
c) Configurar cada servicio de manera segura, siguiendo las recomendaciones de buenas prácticas de seguridad del servicio en cuestión.
d) Instalar periódicamente las actualizaciones de seguridad.
e) Evaluar periódicamente la seguridad de los servicios.
13.1.3 Segregación de redes
Con el fin de restringir el acceso indebido a los datos, se deberá segregar el tráfico de datos que circulan por las redes de la Secretaría General de la Presidencia de la Nación, en función de criterios, como ser, estructura organizacional, grupos de servicios utilizados, ubicación u otro. Estos perímetros de seguridad definidos en la segregación de redes deberán ser formalmente definidos y documentados.
13.2 Intercambio de Información con Partes Externas
13.2.1 Procedimientos y Controles de Intercambio de la Información
Se deberán establecer procedimientos para solicitar y aprobar accesos especiales a internet.
El uso de internet estará sujeto a la Política de Uso Aceptable de los Recursos de Tecnología de la Información, la cual considera aspectos tales como, responsabilidades de los empleados con respecto a la difamación, hostigamiento, personificación, reenvío de cadenas de comunicación de correo electrónico, redes sociales y otros.
La información intercambiada hacia y desde internet deberá ser protegida contra la intercepción, copiado o modificación.
Los servicios que se exponen hacia internet deberán estar protegidos ante amenazas externas.
Se deberán implementar controles para la detección de código malicioso que puede ser transmitido desde internet hacia las redes de la Secretaría General de la Presidencia de la Nación.
Se deberá hacer uso de técnicas criptográficas actualizadas para proteger la confidencialidad, integridad y la autenticidad de la información que se transmite y envía hacia redes externas.
13.2.2 Acuerdos en los Intercambios de Información con Entidades Externas
Cuando se realicen acuerdos entre la Secretaría General de la Presidencia de la Nación y otros organismos, relativos al intercambio de información y software, se deberá especificar e implementar las consideraciones de seguridad para la transferencia segura de datos entre ambas partes.
13.2.3 Seguridad del Correo Electrónico
El uso del servicio de correo electrónico laboral estará sujeto a la Política de Uso Aceptable de los Recursos de Tecnología de la Información, por lo cual todos los empleados de la Secretaría General de la Presidencia de la Nación deberán aceptar y firmar las pautas de uso declaradas en dicha política, antes de acceder a la cuenta de correo electrónica asignada.
Se deberá proteger el sistema de correo electrónico para evitar el acceso no autorizado, denegación de servicio, correos publicitarios no deseados, suplantación de identidad del remitente y demás amenazas existentes.
El tráfico del sistema de correo electrónico laboral será analizado por sistemas antimalware, con el objeto de detectar archivos binarios maliciosos adjuntos que pusieran en peligro a la infraestructura tecnológica de la Secretaría General de la Presidencia de la Nación.
Se prohíbe adjuntar en la cuenta de correo electrónico laboral binarios ejecutables, cifrados, multimedia de audio y video o archivos de gran tamaño que pudieran degradar el sistema de correo electrónico institucional.
13.2.4 Acuerdo de Confidencialidad en el Intercambio de Información.
Se deberán identificar, revisar y documentar los acuerdos de confidencialidad, para la protección de la información de la Secretaría General de la Presidencia de la Nación que es transferida a entidades externas. Dichos acuerdos deben responder a los requerimientos de confidencialidad o no divulgación de la Secretaría General de la Presidencia de la Nación.
Dichos acuerdos de confidencialidad deberán contemplar la normativa vigente en la materia.
14. Política de Adquisición, Desarrollo y Mantenimiento de Sistemas
Objetivo
Asegurar la inclusión de controles de seguridad y validación de datos en la adquisición, desarrollo y mantenimiento de los sistemas de información.
Definir y documentar las normas y procedimientos que se aplicarán durante el ciclo de vida de los aplicativos y en la infraestructura de base en la cual se apoyan.
Definir los métodos de protección de la información crítica o sensible.
Alcance
Esta Política se aplica a todos los sistemas informáticos, tanto los desarrollos propios como los de terceros, y a todos los Sistemas Operativos y/o Software de Base que integren cualquiera de los ambientes administrados por la Secretaría General de la Presidencia de la Nación en donde residan los desarrollos mencionados.
Responsabilidad
El responsable de Seguridad de la Información junto con el Propietario de la Información y la Unidad de Auditoría Interna, definirán los controles a ser implementados en los sistemas desarrollados internamente o por terceros, en función de una evaluación de riesgos.
El responsable de Seguridad de la Información, junto con el Propietario de la Información, definirá en función a la criticidad de la información, los requerimientos de protección mediante métodos criptográficos. Luego, el responsable de Seguridad de la Información definirá junto con el responsable de la Dirección de Seguridad Informática, los métodos de encriptación a ser utilizados.
El responsable de Seguridad de la Información cumplirá las siguientes funciones:
• Definir los procedimientos de administración de claves.
• Verificar el cumplimiento de los controles establecidos para el desarrollo y mantenimiento de sistemas.
• Garantizar el cumplimiento de los requerimientos de seguridad para el software.
• Definir procedimientos para: el control de cambios a los sistemas; la verificación de la seguridad de las plataformas y bases de datos que soportan e interactúan con los sistemas; el control de código malicioso; y la definición de las funciones del personal involucrado en el proceso de entrada de datos.
• Verificar el cumplimiento de los controles establecidos para el desarrollo y mantenimiento de sistemas.
• Garantizar el cumplimiento de los requerimientos de seguridad para el software.
• Definir procedimientos para: el control de cambios a los sistemas; la verificación de la seguridad de las plataformas y bases de datos que soportan e interactúan con los sistemas; el control de código malicioso; y la definición de las funciones del personal involucrado en el proceso de entrada de datos.
El responsable del Área Informática propondrá para su aprobación, por parte del superior jerárquico que corresponda, la asignación de funciones de “implementador” y “administrador de programas fuentes” al personal de su área que considere idóneo y cuyas responsabilidades se detallan en la presente cláusula. Asimismo, verificará el cumplimiento de las definiciones establecidas sobre los controles y las medidas de seguridad a ser incorporadas a los sistemas.
El Área de Sistemas propondrá quiénes realizarán la administración de las técnicas criptográficas y claves.
El responsable del Área de Administración incorporará aspectos relacionados con el licenciamiento, la calidad del software y la seguridad de la información en los contratos con terceros por el desarrollo de software. El responsable del Área Jurídica participará en dicha tarea.
14.1 Requerimientos de Seguridad de los Sistemas
14.1.1 Análisis y Especificaciones de los Requerimientos de Seguridad
Se deberán incorporar requisitos de seguridad en los sistemas de información (desarrollos propios y de terceros) y en todas las mejoras o actualizaciones que se les incorporen. Razón por la cual, el Responsable de la Seguridad de la Información deberá formar parte del ciclo de vida de desarrollo de los sistemas informáticos.
Así también se deben tener en cuenta las siguientes consideraciones:
• Definir un procedimiento para que durante las etapas de análisis y diseño del sistema se incorporen a los requerimientos los correspondientes controles de seguridad. Este procedimiento debe incluir una etapa de evaluación de riesgos previa al diseño para definir los requerimientos de seguridad e identificar los controles apropiados. En esta tarea deben participar las áreas usuarias, de sistemas, de seguridad informática y auditoría, especificando y aprobando los controles automáticos a incorporar al sistema y las necesidades de controles manuales complementarios. Las áreas involucradas podrán solicitar certificaciones y evaluaciones independientes para los productos a utilizar.
• Evaluar los requerimientos de seguridad y los controles requeridos, teniendo en cuenta que éstos deben ser proporcionales en costo y esfuerzo al valor del bien que se quiere proteger y al daño potencial que pudiera ocasionar a las actividades realizadas.
• Hay que considerar y evaluar que los controles en la etapa de diseño son significativamente menos costosos para implementar y mantener que aquellos incluidos durante o después de la implementación de los sistemas.
• Evaluar los requerimientos de seguridad y los controles requeridos, teniendo en cuenta que éstos deben ser proporcionales en costo y esfuerzo al valor del bien que se quiere proteger y al daño potencial que pudiera ocasionar a las actividades realizadas.
• Hay que considerar y evaluar que los controles en la etapa de diseño son significativamente menos costosos para implementar y mantener que aquellos incluidos durante o después de la implementación de los sistemas.
14.1.2 Seguridad en los Servicios accedidos desde Redes Públicas
Se deberán implementar controles de seguridad que den soporte a todos los sistemas de la Secretaría General de la Presidencia de la Nación, dichos controles deberán ser los seguidamente detallados:
• Vulnerabilidades de la información en los sistemas de oficina, por ejemplo, la grabación de llamadas telefónicas o teleconferencias, la confidencialidad de las llamadas.
• Procedimientos y controles apropiados para administrar la distribución de información, por ejemplo, el uso de boletines electrónicos institucionales.
• Exclusión de categorías de información sensible de la Secretaría General de la Presidencia de la Nación si el sistema no brinda un adecuado nivel de protección.
• Limitación del acceso a la información de las actividades que desarrollan determinadas personas, por ejemplo, aquellas que trabajan en proyectos sensibles.
• La aptitud del sistema para dar soporte a las aplicaciones de la Secretaría General de la Presidencia de la Nación, como la comunicación de órdenes o autorizaciones.
• Categorías de personal y contratistas o terceros a los que se permite el uso del sistema y las ubicaciones desde las cuales se puede acceder al mismo.
• Restricción de acceso a determinadas instalaciones a especificas categorías de usuarios.
• Identificación de la posición o categoría de los usuarios, por ejemplo, empleados de la Secretaría General de la Presidencia de la Nación o contratistas, en directorios accesibles por otros usuarios.
• Retención y resguardo de la información almacenada en el sistema.
• Requerimientos y disposiciones relativos a sistemas de soporte de reposición de información previa.
• Procedimientos y controles apropiados para administrar la distribución de información, por ejemplo, el uso de boletines electrónicos institucionales.
• Exclusión de categorías de información sensible de la Secretaría General de la Presidencia de la Nación si el sistema no brinda un adecuado nivel de protección.
• Limitación del acceso a la información de las actividades que desarrollan determinadas personas, por ejemplo, aquellas que trabajan en proyectos sensibles.
• La aptitud del sistema para dar soporte a las aplicaciones de la Secretaría General de la Presidencia de la Nación, como la comunicación de órdenes o autorizaciones.
• Categorías de personal y contratistas o terceros a los que se permite el uso del sistema y las ubicaciones desde las cuales se puede acceder al mismo.
• Restricción de acceso a determinadas instalaciones a especificas categorías de usuarios.
• Identificación de la posición o categoría de los usuarios, por ejemplo, empleados de la Secretaría General de la Presidencia de la Nación o contratistas, en directorios accesibles por otros usuarios.
• Retención y resguardo de la información almacenada en el sistema.
• Requerimientos y disposiciones relativos a sistemas de soporte de reposición de información previa.
14.1.3 Protección de la Información en servicios de aplicativos
Se tomarán recaudos para la protección de la integridad de la información publicada electrónicamente a fin de prevenir la modificación no autorizada que podría dañar la reputación de la Secretaría General de la Presidencia de la Nación. Es posible que la información de un sistema de acceso público, por ejemplo, la información en un servidor Web accesible por internet, deba cumplir con ciertas normas de la jurisdicción en la cual se localiza el sistema o en la cual tiene lugar la transacción electrónica. Se implementará un proceso de autorización formal antes de que la información se ponga a disposición del público, estableciéndose en todos los casos los encargados de dicha aprobación.
Todos los sistemas de acceso público deberán prever que:
• La información se obtenga, procese y proporcione de acuerdo con la normativa vigente, en especial la Ley de Protección de Datos Personales.
• La información que se ingresa al sistema de publicación, o aquella que procesa el mismo, sea procesada en forma completa, exacta y oportuna.
• La información sensible o confidencial sea protegida durante el proceso de recolección y su almacenamiento.
• El acceso al sistema de publicación no permita el acceso accidental a las redes a las cuales se conecta el mismo.
• El responsable de la publicación de información en sistemas de acceso público sea claramente identificado.
• La información se publique teniendo en cuenta las normas establecidas al respecto.
• Se garantice la validez y vigencia de la información publicada.
• La información que se ingresa al sistema de publicación, o aquella que procesa el mismo, sea procesada en forma completa, exacta y oportuna.
• La información sensible o confidencial sea protegida durante el proceso de recolección y su almacenamiento.
• El acceso al sistema de publicación no permita el acceso accidental a las redes a las cuales se conecta el mismo.
• El responsable de la publicación de información en sistemas de acceso público sea claramente identificado.
• La información se publique teniendo en cuenta las normas establecidas al respecto.
• Se garantice la validez y vigencia de la información publicada.
14.2 Seguridad en Procesos de Desarrollo
14.2.1 Desarrollo Seguro de Software
Se deberá establecer una Política de Requisitos de Seguridad para el Desarrollo Seguro de Software aplicable a todo desarrollo de aplicaciones y sistemas de información dentro de la Secretaría General de la Presidencia de la Nación como así también el realizado por terceros.
Se deberá involucrar al Responsable de la Seguridad de la Información en el ciclo de vida de desarrollo de los sistemas de información desde el inicio con el objeto de validar la arquitectura de seguridad.
Los requisitos mínimos que se deberán considerar son los siguientes:
• Validación de datos de entrada (en el cliente y en el servidor).
• Validación de los datos de salida.
• Identificación de usuarios y origen de las conexiones de accesos.
• Control y Gestión de errores.
• Registro de actividades realizadas.
• Integridad de las transacciones.
• Cifrado de datos.
• Implementación de controles criptográficos cuando se desee transmitir mensajes con información clasificada.
• Validación de los datos de salida.
• Identificación de usuarios y origen de las conexiones de accesos.
• Control y Gestión de errores.
• Registro de actividades realizadas.
• Integridad de las transacciones.
• Cifrado de datos.
• Implementación de controles criptográficos cuando se desee transmitir mensajes con información clasificada.
Así también se tomarán en cuenta los siguientes controles:
Controles de Procesamiento Interno:
Se definirá un procedimiento para que durante la etapa de diseño se incorporen controles de validación a fin de eliminar o minimizar los riesgos de fallas de procesamiento y/o vicios por procesos de errores.
Para ello se implementarán:
• Procedimientos que permitan identificar el uso y localización en los aplicativos, de funciones de incorporación y eliminación que realizan cambios en los datos.
• Procedimientos que establezcan los controles y verificaciones necesarios para prevenir la ejecución de programas fuera de secuencia o cuando falle el procesamiento previo.
• Procedimientos que establezcan la revisión periódica de los registros de auditoría o alertas de forma de detectar cualquier anomalía en la ejecución de las transacciones.
• Procedimientos que realicen la validación de los datos generados por el sistema.
• Procedimientos que verifiquen la integridad de los datos y del software cargado o descargado entre computadoras.
• Procedimientos que controlen la integridad de registros y archivos.
• Procedimientos que verifiquen la ejecución de los aplicativos en el momento adecuado.
• Procedimientos que aseguren el orden correcto de ejecución de los aplicativos, la finalización programada en caso de falla, y la detención de las actividades de procesamiento hasta que el problema sea resuelto.
• Procedimientos que establezcan los controles y verificaciones necesarios para prevenir la ejecución de programas fuera de secuencia o cuando falle el procesamiento previo.
• Procedimientos que establezcan la revisión periódica de los registros de auditoría o alertas de forma de detectar cualquier anomalía en la ejecución de las transacciones.
• Procedimientos que realicen la validación de los datos generados por el sistema.
• Procedimientos que verifiquen la integridad de los datos y del software cargado o descargado entre computadoras.
• Procedimientos que controlen la integridad de registros y archivos.
• Procedimientos que verifiquen la ejecución de los aplicativos en el momento adecuado.
• Procedimientos que aseguren el orden correcto de ejecución de los aplicativos, la finalización programada en caso de falla, y la detención de las actividades de procesamiento hasta que el problema sea resuelto.
Control de Validación de Datos de Salidas:
Se establecerán procedimientos para validar la salida de los datos de las aplicaciones, incluyendo:
• Comprobaciones de la razonabilidad para probar si los datos de salida son plausibles.
• Control de conciliación de cuentas para asegurar el procesamiento de todos los datos.
• Provisión de información suficiente, para que el lector o sistema de procesamiento subsiguiente determine la exactitud, totalidad, precisión y clasificación de la información.
• Procedimientos para responder a las pruebas de validación de salidas.
• Definición de las responsabilidades de todo el personal involucrado en el proceso de salida de datos.
• Control de conciliación de cuentas para asegurar el procesamiento de todos los datos.
• Provisión de información suficiente, para que el lector o sistema de procesamiento subsiguiente determine la exactitud, totalidad, precisión y clasificación de la información.
• Procedimientos para responder a las pruebas de validación de salidas.
• Definición de las responsabilidades de todo el personal involucrado en el proceso de salida de datos.
Control Software Operativo:
Se definen los siguientes controles a realizar durante la implementación del software en producción, a fin de minimizar el riesgo de alteración de los sistemas:
• Toda aplicación, desarrollada por la Secretaría General de la Presidencia de la Nación o por un tercero tendrá un único responsable designado formalmente por el responsable del Área Informática.
• Ningún programador o analista de desarrollo y mantenimiento de aplicaciones podrá acceder a los ambientes de producción.
• El responsable del Área Informática, propondrá para su aprobación por parte del superior jerárquico que corresponda, la asignación de la función de “implementador” al personal de su área que considere adecuado, quien tendrá como funciones principales:
• Coordinar la implementación de modificaciones o nuevos programas en el ambiente de Producción.
• Asegurar que los sistemas aplicativos en uso, en el ambiente de Producción, sean los autorizados y aprobados de acuerdo a las normas y procedimientos vigentes.
• Instalar las modificaciones, controlando previamente la recepción de la prueba aprobada por parte del Analista Responsable, del sector encargado del testeo y del usuario final.
• Rechazar la implementación en caso de encontrar defectos y/o si faltara la documentación estándar establecida.
• Ningún programador o analista de desarrollo y mantenimiento de aplicaciones podrá acceder a los ambientes de producción.
• El responsable del Área Informática, propondrá para su aprobación por parte del superior jerárquico que corresponda, la asignación de la función de “implementador” al personal de su área que considere adecuado, quien tendrá como funciones principales:
• Coordinar la implementación de modificaciones o nuevos programas en el ambiente de Producción.
• Asegurar que los sistemas aplicativos en uso, en el ambiente de Producción, sean los autorizados y aprobados de acuerdo a las normas y procedimientos vigentes.
• Instalar las modificaciones, controlando previamente la recepción de la prueba aprobada por parte del Analista Responsable, del sector encargado del testeo y del usuario final.
• Rechazar la implementación en caso de encontrar defectos y/o si faltara la documentación estándar establecida.
14.2.2 Procedimiento de Control de Cambios
Para el ciclo de vida de desarrollo de software se deberá elaborar el procedimiento de gestión de cambios con el objeto de minimizar los riesgos de alteración de los sistemas de información. Esto garantizará que se cumplan los procedimientos de seguridad y control, respetando la división de funciones.
Para ello se deberán tomar las siguientes consideraciones:
• Verificar que los cambios sean propuestos por usuarios autorizados y respeten los términos y condiciones que surjan de la licencia de uso.
• Mantener un registro de los niveles de autorización acordados.
• Solicitar la autorización del Propietario de la Información, en caso de tratarse de cambios a sistemas de procesamiento de la misma.
• Efectuar un análisis de riesgos del cambio.
• Determinar los requisitos de seguridad para el cambio.
• Analizar el impacto de los cambios sobre los controles de seguridad existentes.
• Obtener aprobación formal por parte del responsable del Área Informática para las tareas detalladas, antes que comiencen las tareas.
• Solicitar la revisión del Responsable de Seguridad de la Información para garantizar que no se violen los requerimientos de seguridad que debe cumplir el software.
• Efectuar las actividades relativas al cambio en el ambiente de desarrollo.
• Obtener la aprobación por parte del usuario autorizado y del área de pruebas mediante pruebas en el ambiente correspondiente.
• Actualizar la documentación para cada cambio implementado, tanto de los manuales de usuario como de la documentación operativa.
• Mantener un control de versiones para todas las actualizaciones de software.
• Garantizar que la implementación se llevará a cabo minimizando la discontinuidad de las actividades y sin alterar los procesos involucrados.
• Informar a las áreas usuarias antes de la implementación de un cambio que pueda afectar su operatoria.
• Mantener un registro de los niveles de autorización acordados.
• Solicitar la autorización del Propietario de la Información, en caso de tratarse de cambios a sistemas de procesamiento de la misma.
• Efectuar un análisis de riesgos del cambio.
• Determinar los requisitos de seguridad para el cambio.
• Analizar el impacto de los cambios sobre los controles de seguridad existentes.
• Obtener aprobación formal por parte del responsable del Área Informática para las tareas detalladas, antes que comiencen las tareas.
• Solicitar la revisión del Responsable de Seguridad de la Información para garantizar que no se violen los requerimientos de seguridad que debe cumplir el software.
• Efectuar las actividades relativas al cambio en el ambiente de desarrollo.
• Obtener la aprobación por parte del usuario autorizado y del área de pruebas mediante pruebas en el ambiente correspondiente.
• Actualizar la documentación para cada cambio implementado, tanto de los manuales de usuario como de la documentación operativa.
• Mantener un control de versiones para todas las actualizaciones de software.
• Garantizar que la implementación se llevará a cabo minimizando la discontinuidad de las actividades y sin alterar los procesos involucrados.
• Informar a las áreas usuarias antes de la implementación de un cambio que pueda afectar su operatoria.
14.2.3 Revisión después de cambios en los Sistemas Operativos
Deberán existir procedimientos de revisión y control para asegurar que no se produzca ningún impacto negativo en el funcionamiento o degradación, en la seguridad de las aplicaciones y sistemas que contiene, cuando se realicen cambios en los Sistemas Operativos por actualizaciones o instalación de componentes.
14.2.4 Restricción del Cambio de Paquetes de Software
Todo cambio en los paquetes de software suministrados por terceros deberá ser controlado de manera estricta. Para ello se deberá:
• Analizar los términos y condiciones de la licencia a fin de determinar si las modificaciones se encuentran autorizadas.
• Determinar la conveniencia de que la modificación sea aplicada o no.
• Evaluar el impacto que produciría el cambio.
• Retener una versión del software original realizando los cambios sobre una copia perfectamente identificada.
• Determinar la conveniencia de que la modificación sea aplicada o no.
• Evaluar el impacto que produciría el cambio.
• Retener una versión del software original realizando los cambios sobre una copia perfectamente identificada.
14.2.5 Principios de Arquitectura de Ingeniería Segura
Se deberán establecer, documentar, mantener y aplicar los principios de seguridad en ingeniería de sistemas para cualquier labor de implementación en los sistemas de información.
Se deberá diseñar contemplando la seguridad en todos los niveles de la arquitectura -negocios, datos, aplicaciones y tecnología- equilibrando la necesidad de seguridad con la de accesibilidad.
Se deberá analizar la tecnología nueva para conocer sus riesgos de seguridad antes de incluirse como parte del diseño.
14.2.6 Seguridad en los Entornos de Desarrollo
Se deberán implementar controles para proteger adecuadamente los entornos en los que se efectuarán labores de desarrollo e integración de software, abarcando todo el ciclo de vida del desarrollo del sistema y contemplando los recursos humanos, los procesos y las tecnologías asociadas. Dichos controles deberán considerar los siguientes aspectos:
• Segregación entre distintos entornos de desarrollo, según lo señalado en el punto 12.1.4. Separación de entornos de desarrollo, pruebas y producción.
• Seguridad en los datos de prueba y datos en producción que el sistema procesará, almacenará y transmitirá, según los puntos 14.3.1 Protección de los Datos de Prueba y 14.3.2 Cambios a Datos Operativos.
• Control de acceso al código fuente, según punto 9.4.8 Control de Acceso al Código Fuente.
• Monitoreo del cambio en el código y en el entorno que lo almacena, de acuerdo con los puntos 14.2.2 Procedimiento de Control de Cambios, 14.2.3 Revisión después de cambios en los Sistemas Operativos y 14.2.4 Restricción del Cambio de Paquetes de Software.
• Seguridad en los datos de prueba y datos en producción que el sistema procesará, almacenará y transmitirá, según los puntos 14.3.1 Protección de los Datos de Prueba y 14.3.2 Cambios a Datos Operativos.
• Control de acceso al código fuente, según punto 9.4.8 Control de Acceso al Código Fuente.
• Monitoreo del cambio en el código y en el entorno que lo almacena, de acuerdo con los puntos 14.2.2 Procedimiento de Control de Cambios, 14.2.3 Revisión después de cambios en los Sistemas Operativos y 14.2.4 Restricción del Cambio de Paquetes de Software.
• Control de los aspectos de seguridad en el desarrollo de sistemas, incluidos en los puntos 14.2.5 Principios de Arquitectura de Ingeniería Segura y 14.2.9 Evaluación de Vulnerabilidades de Seguridad.
• Seguridad en la externalización asociado al desarrollo del sistema según las pautas del punto 14.2.7 Tercerización del Desarrollo de Software.
• Copias de respaldo según lo establecido en el punto 12.3.1 Copia de Resguardo y Restauración.
• Seguridad en la externalización asociado al desarrollo del sistema según las pautas del punto 14.2.7 Tercerización del Desarrollo de Software.
• Copias de respaldo según lo establecido en el punto 12.3.1 Copia de Resguardo y Restauración.
14.2.7 Tercerización del Desarrollo de Software
Se deberán establecer los requerimientos contractuales de calidad y seguridad del código que incluyan auditorías, una revisión del código para detectar código malicioso, como así también el cumplimiento de los requerimientos de desarrollo mencionados en el punto 14.2.1 Desarrollo Seguro de Software.
Se deberán elaborar acuerdos de licencias, propiedad de código y derechos conferidos.
Se deberá considerar el establecimiento de acuerdos de custodia del código fuente del software por parte de un tercero en caso de quiebra y/o inhabilidad por parte del proveedor del servicio de desarrollo de software.
14.2.8 Evaluación de Requisitos Funcionales
Se deberán establecer programas de ejecución de pruebas funcionales que permitan evaluar los requisitos funcionales y el cumplimiento de estos en los sistemas desarrollados.
14.2.9 Evaluación de Vulnerabilidades de Seguridad
Se deberán realizar evaluaciones de seguridad en búsqueda de vulnerabilidades sobre los nuevos sistemas a implementar, sistemas de información utilizados, incluyendo desarrollos propios y de terceros, como también a las plataformas del sistema operativo sobre los cuales están implementados los mismos, con el objeto de detectar canales encubiertos de transmisión de datos no autorizados o cualquier otra vulnerabilidad que atente contra la seguridad.
14.3 Datos de Prueba y Operativos
14.3.1 Protección de los Datos de Prueba
Las pruebas de los sistemas desarrollados podrán efectuarse con datos extraídos del ambiente operativo con autorización previa si los mismos son despersonalizados y enmascarados antes de su uso para evitar exponer información que pueda ser sensible.
Los datos de prueba se deberán eliminar inmediatamente al finalizar las pruebas.
14.3.2 Cambios a Datos Operativos
La modificación, actualización o eliminación de los datos operativos deberán ser realizados, solo a través de los sistemas que procesan dichos datos y de acuerdo con el esquema de control de accesos implementado en los mismos. Cualquier modificación por fuera de los sistemas a un dato almacenado, ya sea en un archivo o base de datos, podría poner en riesgo la integridad de la información.
Todos los casos en los que no fuera posible la aplicación de esta política serán considerados como excepciones. El Responsable de Seguridad Informática es quien definirá los procedimientos para la gestión de dichas excepciones que deberán contemplar lo siguiente:
• Se generará una solicitud formal para la realización de la modificación, actualización o eliminación del dato.
• El Propietario de la Información afectada y el Responsable de Seguridad Informática aprobarán la ejecución del cambio evaluando las razones por las cuales se solicita.
• Se generarán cuentas de usuario de emergencia para ser utilizadas en la ejecución de excepciones. Las mismas serán protegidas mediante contraseñas, sujetas al procedimiento de administración de contraseñas críticas y habilitadas sólo ante un requerimiento de emergencia y por el lapso que ésta dure.
• Se designará un encargado de implementar los cambios, el cual no será personal del área de Desarrollo.
• Se registrarán todas las actividades realizadas con las cuentas de emergencia. Dicho registro será revisado posteriormente por el Responsable de Seguridad de Informática.
• El Propietario de la Información afectada y el Responsable de Seguridad Informática aprobarán la ejecución del cambio evaluando las razones por las cuales se solicita.
• Se generarán cuentas de usuario de emergencia para ser utilizadas en la ejecución de excepciones. Las mismas serán protegidas mediante contraseñas, sujetas al procedimiento de administración de contraseñas críticas y habilitadas sólo ante un requerimiento de emergencia y por el lapso que ésta dure.
• Se designará un encargado de implementar los cambios, el cual no será personal del área de Desarrollo.
• Se registrarán todas las actividades realizadas con las cuentas de emergencia. Dicho registro será revisado posteriormente por el Responsable de Seguridad de Informática.
15 Política en Relación a los Proveedores
Objetivo
Establecer y mantener el nivel acordado de seguridad de la información y prestación de los servicios conforme a los acuerdos con el proveedor.
La Secretaría General de la Presidencia de la Nación, deberá aprobar los Planes de Seguridad en el plazo máximo de NOVENTA (90) días desde la entrada en vigencia de la presente. Dichos Planes de Seguridad deberán establecer los plazos en que se dará cumplimiento a cada uno de los “REQUISITOS MÍNIMOS DE SEGURIDAD DE LA INFORMACIÓN PARA LOS ORGANISMOS DEL SECTOR PÚBLICO NACIONAL” plazo que no podrá ser posterior al 31 de diciembre del 2022.
15.1 Seguridad en las Relación con los Proveedores
15.1.1 Seguridad de la Información que es Accedida por los Proveedores
Se deberán documentar y acordar los requisitos de seguridad sobre los activos de información que son accedidos por los proveedores, con el objeto de mitigar los riesgos emergentes al tener acceso a la información y los recursos tecnológicos de la Secretaría General de la Presidencia de la Nación.
Se deberán analizar y definir los riesgos en la provisión del servicio para establecer todos los requisitos de seguridad pertinentes. Para ello se deberá definir con cada proveedor, que información podrá acceder, procesar, almacenar o transmitir.
15.1.2 Seguridad dentro de los Acuerdos de los Proveedores
Se deberán establecer y documentar los acuerdos para garantizar que no existen discrepancias entre la Secretaría General de la Presidencia de la Nación y el proveedor en cuanto a las obligaciones de ambas partes para cumplir con los requisitos de seguridad de la información establecidos.
Se deberá identificar e incluir en los acuerdos de servicio los mecanismos de seguridad, los niveles de servicio y los requisitos de administración de todos los servicios de red contratados a terceros.
A continuación, se definen los términos para incluir en los acuerdos con el fin de poder satisfacer los requisitos de seguridad de la información identificados:
a) Descripción de la información que se debe proporcionar o a la que se debe acceder y los métodos para proporcionar o acceder a la información.
b) Clasificación de la información de acuerdo con el esquema de clasificación de la Secretaría General de la Presidencia de la Nación; y si es necesario también realizar el mapeo entre el esquema propio de la Secretaría General de la Presidencia de la Nación y el esquema de clasificación del proveedor.
c) Requisitos legales y normativos, en especial los aspectos sobre protección de datos personales, los derechos de propiedad intelectual.
d) Obligación de cada parte de implementar un conjunto de controles acordados, incluido el control de acceso, la revisión de desempeño, el monitoreo, los informes y la auditoría.
e) Reglas de uso aceptable de la información, pudiendo incluirse un listado de lo que se considera uso inaceptable, en caso de ser necesario.
f) Una lista del personal autorizado para acceder a/o recibir la información o los procedimientos o condiciones de la Secretaría General de la Presidencia de la Nación para su autorización, y el retiro de la autorización para el acceso a/o la recepción de la información de la Secretaría General de la Presidencia de la Nación al personal del proveedor.
g) Políticas de Seguridad de la Información pertinentes al contrato específico.
h) Requisitos y procedimientos de la administración de incidentes (en especial la notificación y la colaboración durante la remediación de incidentes).
i) Requisitos de capacitación y concientización para procedimientos específicos y requisitos de seguridad de la información, es decir, para la respuesta ante incidentes y procedimientos de autorización.
j) Normativas pertinentes para la subcontratación, incluidos los controles que se deben implementar.
k) Socios de acuerdos pertinentes, incluida una persona de contacto para los asuntos de seguridad de la información.
l) Requisitos de selección, si existe alguno, para el personal del proveedor para realizar los procedimientos de selección y notificación si no se ha completado la selección o si los resultados generan a dudas o inquietudes.
m) Derecho a auditar los procesos y los controles del proveedor relacionados con el acuerdo.
n) Procesos de resolución de defectos y resolución de conflictos.
o) Obligación del proveedor de entregar periódicamente un informe independiente sobre la efectividad de los controles y un acuerdo sobre la corrección oportuna de los asuntos pertinentes indicados en el informe.
p) Declaración por parte del proveedor de su obligación de cumplir con la Política de Seguridad de la Información y demás requisitos de seguridad de la Secretaría General de la Presidencia de la Nación.
b) Clasificación de la información de acuerdo con el esquema de clasificación de la Secretaría General de la Presidencia de la Nación; y si es necesario también realizar el mapeo entre el esquema propio de la Secretaría General de la Presidencia de la Nación y el esquema de clasificación del proveedor.
c) Requisitos legales y normativos, en especial los aspectos sobre protección de datos personales, los derechos de propiedad intelectual.
d) Obligación de cada parte de implementar un conjunto de controles acordados, incluido el control de acceso, la revisión de desempeño, el monitoreo, los informes y la auditoría.
e) Reglas de uso aceptable de la información, pudiendo incluirse un listado de lo que se considera uso inaceptable, en caso de ser necesario.
f) Una lista del personal autorizado para acceder a/o recibir la información o los procedimientos o condiciones de la Secretaría General de la Presidencia de la Nación para su autorización, y el retiro de la autorización para el acceso a/o la recepción de la información de la Secretaría General de la Presidencia de la Nación al personal del proveedor.
g) Políticas de Seguridad de la Información pertinentes al contrato específico.
h) Requisitos y procedimientos de la administración de incidentes (en especial la notificación y la colaboración durante la remediación de incidentes).
i) Requisitos de capacitación y concientización para procedimientos específicos y requisitos de seguridad de la información, es decir, para la respuesta ante incidentes y procedimientos de autorización.
j) Normativas pertinentes para la subcontratación, incluidos los controles que se deben implementar.
k) Socios de acuerdos pertinentes, incluida una persona de contacto para los asuntos de seguridad de la información.
l) Requisitos de selección, si existe alguno, para el personal del proveedor para realizar los procedimientos de selección y notificación si no se ha completado la selección o si los resultados generan a dudas o inquietudes.
m) Derecho a auditar los procesos y los controles del proveedor relacionados con el acuerdo.
n) Procesos de resolución de defectos y resolución de conflictos.
o) Obligación del proveedor de entregar periódicamente un informe independiente sobre la efectividad de los controles y un acuerdo sobre la corrección oportuna de los asuntos pertinentes indicados en el informe.
p) Declaración por parte del proveedor de su obligación de cumplir con la Política de Seguridad de la Información y demás requisitos de seguridad de la Secretaría General de la Presidencia de la Nación.
15.1.3 Cadena de suministro de la tecnología de información y comunicación
Se deben incluir en los acuerdos con los proveedores los requisitos para abordar los riesgos de seguridad de la información asociados con la cadena de suministro de los servicios y productos de tecnología de información y comunicaciones.
Se deben incluir los siguientes temas en los acuerdos con el proveedor sobre la seguridad de la cadena de suministro:
a) Definir los requisitos de seguridad de la información que se aplicarán en los procesos de adquisición de tecnologías, productos o servicios de información y comunicación además de los requisitos de seguridad de la información para las relaciones con el proveedor.
b) Para los servicios de tecnología de información y comunicación que requieren que los usuarios propaguen los requisitos de seguridad de la Secretaría General de la Presidencia de la Nación en toda la cadena de suministro si los proveedores realizan subcontrataciones para partes del servicio de tecnología de información y comunicación proporcionados a la Secretaría General de la Presidencia de la Nación.
c) Para los productos de tecnología de información y comunicación que requieren que los proveedores propaguen las prácticas de seguridad correspondientes a través de toda la cadena de suministro si estos productos incluyen componentes comprados a otros proveedores.
d) Implementación de un proceso de monitoreo y métodos aceptables para validar que los productos y servicios de tecnología de información y comunicación están de acuerdo con los requisitos de seguridad establecidos.
e) Implementación de un proceso para identificar los componentes de los productos o servicios que son fundamentales para mantener la funcionalidad y que, por lo tanto, requiere una mayor atención y escrutinio cuando se desarrollan fuera de la Secretaría General de la Presidencia de la Nación, especialmente si el proveedor del nivel superior externalice los aspectos de los componentes de productos o servicios a otros proveedores.
f) Obtención de una garantía de que los componentes críticos y su origen se pueden rastrear en toda la cadena de suministros.
g) Obtener la garantía de que los productos de tecnología de información y comunicación entregados funcionan según lo esperado y no contienen ninguna función inesperada o no deseada.
h) Definición de las reglas para compartir la información en cuanto a la cadena de suministro y cualquier posible problema y compromiso entre la Secretaría General de la Presidencia de la Nación y los proveedores.
i) Implementación de procesos específicos para administrar el ciclo de vida de los componentes de tecnología de información y comunicación junto con la disponibilidad y los riesgos de seguridad asociados. Esto incluye los riesgos de los componentes que ya no están disponibles debido a que los proveedores ya no están en el negocio o a que ya no proporcionan estos componentes debido a los avances de la tecnología.
b) Para los servicios de tecnología de información y comunicación que requieren que los usuarios propaguen los requisitos de seguridad de la Secretaría General de la Presidencia de la Nación en toda la cadena de suministro si los proveedores realizan subcontrataciones para partes del servicio de tecnología de información y comunicación proporcionados a la Secretaría General de la Presidencia de la Nación.
c) Para los productos de tecnología de información y comunicación que requieren que los proveedores propaguen las prácticas de seguridad correspondientes a través de toda la cadena de suministro si estos productos incluyen componentes comprados a otros proveedores.
d) Implementación de un proceso de monitoreo y métodos aceptables para validar que los productos y servicios de tecnología de información y comunicación están de acuerdo con los requisitos de seguridad establecidos.
e) Implementación de un proceso para identificar los componentes de los productos o servicios que son fundamentales para mantener la funcionalidad y que, por lo tanto, requiere una mayor atención y escrutinio cuando se desarrollan fuera de la Secretaría General de la Presidencia de la Nación, especialmente si el proveedor del nivel superior externalice los aspectos de los componentes de productos o servicios a otros proveedores.
f) Obtención de una garantía de que los componentes críticos y su origen se pueden rastrear en toda la cadena de suministros.
g) Obtener la garantía de que los productos de tecnología de información y comunicación entregados funcionan según lo esperado y no contienen ninguna función inesperada o no deseada.
h) Definición de las reglas para compartir la información en cuanto a la cadena de suministro y cualquier posible problema y compromiso entre la Secretaría General de la Presidencia de la Nación y los proveedores.
i) Implementación de procesos específicos para administrar el ciclo de vida de los componentes de tecnología de información y comunicación junto con la disponibilidad y los riesgos de seguridad asociados. Esto incluye los riesgos de los componentes que ya no están disponibles debido a que los proveedores ya no están en el negocio o a que ya no proporcionan estos componentes debido a los avances de la tecnología.
15.2 Administración de la Prestación de Servicios de Proveedores
15.2.1 Supervisión y Revisión de los Servicios
Se deberá llevar a cabo el seguimiento, control y revisión de los servicios prestados por terceras partes, comprobando que se encuentran adheridos a los términos de seguridad de la información con las condiciones definidas en los acuerdos y que los incidentes de seguridad de la información y los problemas son manejados en forma apropiada.
Se recomienda que se asegure que se mantenga la visibilidad de las actividades de seguridad como gestión de cambios, identificación de vulnerabilidades y reporte/respuesta de incidentes de seguridad de información a través de un proceso de reportes claro y definido, con formato y estructura.
15.2.2 Gestión de Cambios en la Prestación de Servicios
Se deberá llevar la gestión de cambios en la provisión de los servicios, incluyendo el mantenimiento y las mejoras de los procedimientos y controles de seguridad de la información existentes.
El proceso de gestión de servicios de terceros deberá tener en cuenta los siguientes cambios en la Secretaría General de la Presidencia de la Nación:
• Actualización de las políticas y procedimientos de la Secretaría General de la Presidencia de la Nación
• Actualización de los servicios ofrecidos por la Secretaría General de la Presidencia de la Nación.
• Actualización de aplicaciones o nuevos sistemas.
• Implementación de nuevos controles de la Seguridad de la Información.
• Actualización de los servicios ofrecidos por la Secretaría General de la Presidencia de la Nación.
• Actualización de aplicaciones o nuevos sistemas.
• Implementación de nuevos controles de la Seguridad de la Información.
El proceso de gestión deberá, también tener en cuenta los siguientes cambios en el servicio ofrecido por el proveedor:
• Cambios y mejoras de las redes.
• Uso de nuevas tecnologías.
• Adopción de nuevos productos o nuevas versiones/publicaciones.
• Nuevas herramientas de desarrollo y ambientes.
• Cambios de las ubicaciones físicas de las instalaciones de servicio.
• Cambio de los proveedores.
• Uso de nuevas tecnologías.
• Adopción de nuevos productos o nuevas versiones/publicaciones.
• Nuevas herramientas de desarrollo y ambientes.
• Cambios de las ubicaciones físicas de las instalaciones de servicio.
• Cambio de los proveedores.
16. Política de Gestión de Incidentes de Seguridad
Objetivo
Garantizar que los eventos de seguridad de la información y las debilidades asociados a los sistemas de información sean comunicados de forma tal que se apliquen las acciones correctivas en el tiempo oportuno.
16.1 Gestión de Incidentes de Seguridad y Mejoras
16.1.1 Responsabilidades y Procedimientos
Se establecerán claramente las responsabilidades y los procedimientos para el manejo de incidentes con el fin de garantizar una respuesta rápida, eficaz y sistemática a los incidentes relativos a la seguridad de la información.
Se deberá contemplar la incorporación en los procedimientos de incidentes de seguridad una definición de las primeras medidas a implementar como ser, identificación, clasificación y análisis de la causa del incidente, la planificación de la solución y recupero de los sistemas afectados, la comunicación formal de las áreas afectadas y la notificación formal al Responsable de la Seguridad de la Información y a la Dirección General de Asuntos Jurídicos, de considerarlo necesario.
Seguridad Informática podrá acceder a todo equipamiento tecnológico involucrado en alertas de seguridad cuando considere que dicho incidente pudiera afectar la disponibilidad, confidencialidad o integridad de la información o los recursos tecnológico de la Secretaría General de la Presidencia de la Nación.
16.1.2 Notificación de los eventos de seguridad de la información
Los incidentes relativos a la seguridad deberán ser comunicados tan pronto como sean detectados mediante el registro de estos en los canales formales siguiendo el procedimiento establecido.
Cuando las áreas usuarias detectasen un incidente de seguridad deberán comunicarlo inmediatamente al Responsable de la Seguridad de la Información, quien procederá a dar respuesta al incidente de seguridad informado.
Se establecerá un procedimiento formal de comunicación y respuesta a incidentes, indicando la acción que ha de emprenderse al recibir un informe sobre incidentes.
Dicho procedimiento deberá contemplar que, ante la detección de un supuesto incidente o violación de la seguridad, el Responsable de Seguridad de la Información sea informado tan pronto como se haya tomado conocimiento. Este indicará los recursos necesarios para la investigación y resolución del incidente, y se encargará de su monitoreo.
Se notificará del incidente de seguridad que se produzcan en la Secretaría General de la Presidencia de la Nación, dentro de las CUARENTA Y OCHO (48) horas de tomado conocimiento de su ocurrencia o de su potencial ocurrencia, a la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD de la SECRETARÍA DE INNOVACIÓN PÚBLICA de la JEFATURA DE GABINETE DE MINISTROS
Todos los agentes, sea cual fuere su situación contractual, deberán conocer fehacientemente el procedimiento de comunicación de incidentes de seguridad y deben informar los mismos tan pronto hayan tomado conocimiento de su ocurrencia.
16.1.3 Notificación de puntos débiles de la seguridad
Todos los usuarios de los servicios de información de la Secretaría General de la Presidencia de la Nación que detectasen fallas o debilidades de seguridad, o tomasen conocimiento indirectamente acerca de la existencia de ellas, serán responsables de comunicarlo formalmente al Responsable de la Seguridad de la Información.
Está expresamente prohibido que los usuarios ajenos a la Dirección de Seguridad Informática realizar pruebas para detectar y/o explotar supuestas debilidades o fallas de seguridad.
16.1.4 Comunicación de Anomalías del Software Instalado
Todos los usuarios de los servicios de información de la Secretaría General de la Presidencia de la Nación que detectasen anomalías del software en uso deberán comunicarlo formalmente al Responsable de la Seguridad de la Información, para determinar si la misma califica como un incidente de seguridad informática o no.
16.1.5 Valoración de los eventos de seguridad
Deberá existir un procedimiento de evaluación de los eventos de seguridad que permita decidir si el evento clasificará como incidente de seguridad de la información.
Se deberán registrar los resultados de la evaluación y la decisión en detalle con fines de referencia y verificación futuros.
16.1.6 Respuesta a los incidentes de seguridad
Todo incidente de seguridad deberá ser respondido siguiendo los procedimientos establecidos. El procedimiento de respuesta al incidente de seguridad debería incluir:
a) Recopilación de la evidencia, con la mayor inmediatez a la ocurrencia del incidente.
b) Realizar análisis forenses, en concordancia con el punto 16.1.8 Recopilación de evidencias.
c) Asegurarse de que todas las actividades de respuesta se realicen correctamente para el posterior análisis.
d) Comunicar de la existencia del incidente de seguridad de la información o cualquier detalle pertinente a todas las personas y áreas con incumbencia y necesidad de conocer tal circunstancia.
e) Notificar al Responsable de la Seguridad de la Información ante el escalamiento del incidente de seguridad.
f) Cerrar y registrar formalmente el incidente, una vez gestionado correctamente el mismo.
b) Realizar análisis forenses, en concordancia con el punto 16.1.8 Recopilación de evidencias.
c) Asegurarse de que todas las actividades de respuesta se realicen correctamente para el posterior análisis.
d) Comunicar de la existencia del incidente de seguridad de la información o cualquier detalle pertinente a todas las personas y áreas con incumbencia y necesidad de conocer tal circunstancia.
e) Notificar al Responsable de la Seguridad de la Información ante el escalamiento del incidente de seguridad.
f) Cerrar y registrar formalmente el incidente, una vez gestionado correctamente el mismo.
Restablecido el normal funcionamiento y reanudado el nivel de seguridad normal se deberá realizar un análisis post-incidente, cuando sea necesario, para profundizar el análisis o confirmar del origen del mismo.
16.1.7 Aprendizaje de los incidentes de la seguridad
Se deberán documentar, cuantificar y monitorear los tipos, volúmenes y costos de las anomalías e incidentes de seguridad. Esta información se utilizará para identificar y evaluar aquellos que sean recurrentes o de alto impacto. A efectos de establecer la necesidad de mejorar o agregar controles para limitar la frecuencia, daño y costo de casos futuros similares.
16.1.8 Recopilación de evidencias
Se deberán definir procedimientos para la identificación, recopilación, adquisición y preservación de la información que pudiera servir como evidencia válida, ya sea para implementar una medida disciplinaria interna o iniciar una acción judicial.
Para lograr la validez de la evidencia, la Secretaría General de la Presidencia de la Nación deberá garantizar que sus sistemas de información cumplen con la normativa y los estándares o códigos de práctica relativos a la producción de evidencia válida, como también se deberá asegurar la disponibilidad de los recursos tecnológicos necesarios para la recopilación, adquisición y preservación de evidencia forense.
Para lograr la calidad y totalidad de la evidencia es necesario la solidez de esta, por lo cual se establecerán los siguientes requisitos:
a) Almacenar los documentos en forma segura y mantener registro acerca de quién lo halló, dónde se halló, cuándo se halló y quién presenció el hallazgo. Cualquier investigación debe garantizar que los originales no sean alterados.
b) Copiar la información para garantizar su disponibilidad. Se mantendrá un registro de todas las acciones realizadas durante el proceso de copia. Se almacenará en forma segura una copia de los medios y del registro.
b) Copiar la información para garantizar su disponibilidad. Se mantendrá un registro de todas las acciones realizadas durante el proceso de copia. Se almacenará en forma segura una copia de los medios y del registro.
17. Política de Gestión de la Continuidad
Objetivo
Minimizar los efectos de las posibles interrupciones de las actividades normales de la Secretaría General de la Presidencia de la Nación (sean éstas resultado de desastres naturales, accidentes, fallas en el equipamiento, acciones deliberadas u otros hechos) y proteger los procesos críticos mediante una combinación de controles preventivos y acciones de recuperación.
Analizar las consecuencias de la interrupción del servicio y tomar las medidas correspondientes para la prevención de hechos similares en el futuro.
Maximizar la efectividad de las operaciones de contingencia de la Secretaría General de la Presidencia de la Nación con el establecimiento de planes que incluyan al menos las siguientes etapas:
a) Notificación/Activación: Consistente en la detección y determinación del daño y la activación del plan.
b) Reanudación: Consistente en la restauración temporal de las operaciones y recuperación del daño producido al sistema original.
c) Recuperación: Consistente en la restauración de las capacidades de proceso del sistema a las condiciones de operación normales.
d) Asegurar la coordinación con el personal de la Secretaría General de la Presidencia de la Nación y los contactos externos que participarán en las estrategias de planificación de contingencias. Asignar funciones para cada actividad definida.
b) Reanudación: Consistente en la restauración temporal de las operaciones y recuperación del daño producido al sistema original.
c) Recuperación: Consistente en la restauración de las capacidades de proceso del sistema a las condiciones de operación normales.
d) Asegurar la coordinación con el personal de la Secretaría General de la Presidencia de la Nación y los contactos externos que participarán en las estrategias de planificación de contingencias. Asignar funciones para cada actividad definida.
17.1 Gestión de Continuidad de las Operaciones
17.1.1 Proceso de Administración de los Planes de Continuidad
Deberá existir un plan de contingencia, para actuar ante la interrupción de la continuidad de las operaciones en la Secretaría General de la Presidencia de la Nación, a fin de garantizar que los planes operativos de restauración de las operaciones sean ordenados y consistentes entre sí.
El proceso de administración de la continuidad de la operatoria deberá tener en cuenta:
a) Identificar y priorizar los procesos críticos de las actividades de la Secretaría General de la Presidencia de la Nación.
b) Asegurar que todos los integrantes de la Secretaría General de la Presidencia de la Nación comprendan los riesgos que la misma enfrenta, en términos de probabilidad de ocurrencia e impacto de posibles amenazas, así como los efectos que una interrupción puede tener en la actividad de la Secretaría General de la Presidencia de la Nación.
c) Elaborar y documentar una estrategia de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación consecuente con los objetivos y prioridades acordados.
d) Proponer planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación de conformidad con la estrategia de continuidad acordada.
e) Establecer un cronograma de pruebas periódicas de cada uno de los planes de contingencia, proponiendo una asignación de funciones para su cumplimiento.
f) Coordinar actualizaciones periódicas de los planes y procesos implementados.
g) Considerar la contratación de seguros que podrían formar parte del proceso de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación.
h) Proponer las modificaciones a los planes de contingencia.
b) Asegurar que todos los integrantes de la Secretaría General de la Presidencia de la Nación comprendan los riesgos que la misma enfrenta, en términos de probabilidad de ocurrencia e impacto de posibles amenazas, así como los efectos que una interrupción puede tener en la actividad de la Secretaría General de la Presidencia de la Nación.
c) Elaborar y documentar una estrategia de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación consecuente con los objetivos y prioridades acordados.
d) Proponer planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación de conformidad con la estrategia de continuidad acordada.
e) Establecer un cronograma de pruebas periódicas de cada uno de los planes de contingencia, proponiendo una asignación de funciones para su cumplimiento.
f) Coordinar actualizaciones periódicas de los planes y procesos implementados.
g) Considerar la contratación de seguros que podrían formar parte del proceso de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación.
h) Proponer las modificaciones a los planes de contingencia.
17.1.2 Continuidad de las Actividades y Análisis de los impactos
Al establecer un Plan de Continuidad de las Actividades de la Secretaría General de la Presidencia de la Nación se deberán contemplar los siguientes puntos:
a) Identificar los eventos (amenazas) que puedan ocasionar interrupciones en los procesos de las actividades, por ejemplo, fallas en el equipamiento, comisión de ilícitos, interrupción del suministro de energía eléctrica, inundación, incendio, desastres naturales, destrucción edilicia, atentados, etc.
b) Evaluar los riesgos para determinar el impacto de dichas interrupciones, tanto en términos de magnitud de daño como del período de recuperación. Dicha evaluación debe identificar los recursos críticos, los impactos producidos por una interrupción, los tiempos de interrupción aceptables o permitidos, y debe especificar las prioridades de recuperación.
c) Identificar los controles preventivos, como por ejemplo sistemas de supresión de fuego, detectores de humo y fuego, contenedores resistentes al calor y a prueba de agua para los medios de back ups, los registros no electrónicos vitales, etc.
b) Evaluar los riesgos para determinar el impacto de dichas interrupciones, tanto en términos de magnitud de daño como del período de recuperación. Dicha evaluación debe identificar los recursos críticos, los impactos producidos por una interrupción, los tiempos de interrupción aceptables o permitidos, y debe especificar las prioridades de recuperación.
c) Identificar los controles preventivos, como por ejemplo sistemas de supresión de fuego, detectores de humo y fuego, contenedores resistentes al calor y a prueba de agua para los medios de back ups, los registros no electrónicos vitales, etc.
Esta actividad será llevada a cabo con la activa participación de los propietarios de los procesos y recursos de información de que se trate y el Responsable de Seguridad de la Información, considerando todos los procesos de las actividades de la Secretaría General de la Presidencia de la Nación y no limitándose a las instalaciones de procesamiento de la información.
Según los resultados de la evaluación de esta actividad, se desarrollará un plan estratégico para determinar el enfoque global con el que se abordará la continuidad de las actividades de la Secretaría General de la Presidencia de la Nación. Una vez que se ha creado este plan, el mismo debe ser propuesto por el Responsable de la Seguridad de la Información al Secretario General de la Presidencia de la Nación para su aprobación.
17.1.3 Elaboración e implementación de los planes de continuidad de las Actividades de la Secretaria General de Nación
Los propietarios de procesos y recursos de información, con la asistencia del Responsable de Seguridad Informática, elaborarán los planes de contingencia necesarios para garantizar la continuidad de las actividades de la Secretaría General de la Presidencia de la Nación.
El proceso de planificación de la continuidad de las actividades considerará los siguientes puntos:
a) Identificar y acordar respecto a todas las funciones y procedimientos de emergencia.
b) Analizar los posibles escenarios de contingencia y definir las acciones correctivas a implementar en cada caso.
c) Implementar procedimientos de emergencia para permitir la recuperación y restablecimiento en los plazos requeridos. Se debe dedicar especial atención a la evaluación de las dependencias de actividades externas y a los contratos vigentes.
d) Documentar los procedimientos y procesos acordados.
e) Instruir adecuadamente al personal, en materia de procedimientos y procesos de emergencia acordados, incluyendo el manejo de crisis.
f) Instruir al personal involucrado en los procedimientos de reanudación y recuperación en los siguientes temas:
b) Analizar los posibles escenarios de contingencia y definir las acciones correctivas a implementar en cada caso.
c) Implementar procedimientos de emergencia para permitir la recuperación y restablecimiento en los plazos requeridos. Se debe dedicar especial atención a la evaluación de las dependencias de actividades externas y a los contratos vigentes.
d) Documentar los procedimientos y procesos acordados.
e) Instruir adecuadamente al personal, en materia de procedimientos y procesos de emergencia acordados, incluyendo el manejo de crisis.
f) Instruir al personal involucrado en los procedimientos de reanudación y recuperación en los siguientes temas:
• Objetivo del plan.
• Mecanismos de coordinación y comunicación entre equipos (personal involucrado).
• Procedimientos de divulgación.
• Requisitos de la seguridad.
• Procesos específicos para el personal involucrado.
• Responsabilidades individuales.
• Mecanismos de coordinación y comunicación entre equipos (personal involucrado).
• Procedimientos de divulgación.
• Requisitos de la seguridad.
• Procesos específicos para el personal involucrado.
• Responsabilidades individuales.
g) Probar y actualizar los planes, guardando evidencia formal de las pruebas y sus resultados.
Asimismo, el proceso de planificación debe concentrarse en los objetivos de las actividades requeridas de la Secretaría General de la Presidencia de la Nación, por ejemplo, restablecimiento de los servicios a los usuarios en un plazo aceptable. Deben considerarse los servicios y recursos que permitirán que esto ocurra, incluyendo, dotación de personal, recursos que no procesan información, así como acuerdos para reanudación de emergencia en sitios alternativos de procesamiento de la información.
17.1.4 Marco para la Planificación de la Continuidad de las Actividades de la Secretaría General de la Presidencia de la Nación
Se mantendrá un solo marco para los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación, a fin de garantizar que los mismos sean uniformes e identificar prioridades de prueba y mantenimiento.
Cada plan de continuidad especificará claramente las condiciones para su puesta en marcha, así como las personas a cargo de ejecutar cada componente del mismo. Cuando se identifiquen nuevos requerimientos, se modificarán los procedimientos de emergencia establecidos, por ejemplo, los planes de evacuación o los recursos de emergencia existentes.
El administrador de cada plan de continuidad será el encargado de coordinar las tareas definidas en el mismo.
El marco para la planificación de la continuidad de las actividades de la Secretaría General de la Presidencia de la Nación tendrá en cuenta los siguientes puntos:
a) Prever las condiciones de implementación de los planes que describan el proceso a seguir (cómo evaluar la situación, qué personas estarán involucradas, etc.) antes de poner en marcha los mismos.
b) Definir los procedimientos de emergencia que describan las acciones a emprender una vez ocurrido un incidente que ponga en peligro las operaciones de la Secretaría General de la Presidencia de la Nación Esto debe incluir disposiciones con respecto a la gestión de las relaciones públicas y a vínculos eficaces con las autoridades pertinentes.
c) Realizar los procedimientos de emergencia que describan las acciones a emprender para el traslado de actividades esenciales de la Secretaría General de la Presidencia de la Nación o de servicios de soporte a ubicaciones transitorias alternativas, y para el restablecimiento de los procesos en los plazos requeridos.
d) Redactar los procedimientos de recuperación que describan las acciones a emprender para restablecer las operaciones normales de la Secretaría General de la Presidencia de la Nación.
e) Definir un cronograma de mantenimiento que especifique cómo y cuándo será aprobado el plan, y el proceso para el mantenimiento del mismo.
f) Efectuar actividades de concientización e instrucción al personal, diseñadas para propiciar la comprensión de los procesos de continuidad de las actividades y garantizar que los procesos sigan siendo eficaces.
g) Documentar las responsabilidades y funciones de las personas, describiendo los responsables de la ejecución de cada uno de los componentes del plan y las vías de contacto posible. Se deben mencionar alternativas cuando corresponda. Es de suma importancia definir un responsable de declarar el estado de contingencia, lo cual dará inicio al plan.
b) Definir los procedimientos de emergencia que describan las acciones a emprender una vez ocurrido un incidente que ponga en peligro las operaciones de la Secretaría General de la Presidencia de la Nación Esto debe incluir disposiciones con respecto a la gestión de las relaciones públicas y a vínculos eficaces con las autoridades pertinentes.
c) Realizar los procedimientos de emergencia que describan las acciones a emprender para el traslado de actividades esenciales de la Secretaría General de la Presidencia de la Nación o de servicios de soporte a ubicaciones transitorias alternativas, y para el restablecimiento de los procesos en los plazos requeridos.
d) Redactar los procedimientos de recuperación que describan las acciones a emprender para restablecer las operaciones normales de la Secretaría General de la Presidencia de la Nación.
e) Definir un cronograma de mantenimiento que especifique cómo y cuándo será aprobado el plan, y el proceso para el mantenimiento del mismo.
f) Efectuar actividades de concientización e instrucción al personal, diseñadas para propiciar la comprensión de los procesos de continuidad de las actividades y garantizar que los procesos sigan siendo eficaces.
g) Documentar las responsabilidades y funciones de las personas, describiendo los responsables de la ejecución de cada uno de los componentes del plan y las vías de contacto posible. Se deben mencionar alternativas cuando corresponda. Es de suma importancia definir un responsable de declarar el estado de contingencia, lo cual dará inicio al plan.
Se deberán definir explícitamente los administradores de los planes de contingencia. El cumplimiento de los procedimientos implementados para llevar a cabo las acciones contempladas en cada plan de continuidad, deben contarse entre las responsabilidades de los administradores de cada plan. Las disposiciones de emergencia para servicios técnicos alternativos, como instalaciones de comunicaciones o de procesamiento de información, normalmente se cuentan entre las responsabilidades de los proveedores de servicios.
17.1.5 Ensayo, Mantenimiento y Reevaluación de los Planes de continuidad de la Secretaría General de la Presidencia de la Nación.
Debido a que los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación pueden fallar, por suposiciones incorrectas, errores o cambios en el equipamiento, se establecen las siguientes pautas de acción:
• El Responsable de la Seguridad de la Información establecerá un cronograma de pruebas periódicas de cada uno de los planes de contingencia.
• El cronograma indicará quienes son los responsables de llevar a cabo cada una de las pruebas y de elevar el resultado obtenido al Responsable de la Seguridad de la Información
• El cronograma indicará quienes son los responsables de llevar a cabo cada una de las pruebas y de elevar el resultado obtenido al Responsable de la Seguridad de la Información
Se deben utilizar diversas técnicas para garantizar que los planes de contingencia funcionarán ante un hecho real, y éstas incluirán por lo menos:
a) Efectuar pruebas de discusión de diversos escenarios (discutiendo medidas para la recuperación las actividades utilizando ejemplos de interrupciones).
b) Realizar simulaciones (especialmente para entrenar al personal en el desempeño de sus roles de gestión posterior a incidentes o crisis).
c) Efectuar pruebas de recuperación técnica (garantizando que los sistemas de información puedan ser restablecidos con eficacia).
d) Realizar ensayos completos probando que la Secretaría General de la Presidencia de la Nación, el personal, el equipamiento, las instalaciones y los procesos pueden afrontar las interrupciones.
b) Realizar simulaciones (especialmente para entrenar al personal en el desempeño de sus roles de gestión posterior a incidentes o crisis).
c) Efectuar pruebas de recuperación técnica (garantizando que los sistemas de información puedan ser restablecidos con eficacia).
d) Realizar ensayos completos probando que la Secretaría General de la Presidencia de la Nación, el personal, el equipamiento, las instalaciones y los procesos pueden afrontar las interrupciones.
Para las operaciones críticas de la Secretaría General de la Presidencia de la Nación se tomarán en cuenta, además, los siguientes mecanismos:
a) Efectuar pruebas de recuperación en un sitio alternativo (ejecutando los procesos de las actividades de la Secretaría General de la Presidencia de la Nación en paralelo, con operaciones de recuperación fuera del sitio principal).
b) Realizar pruebas de instalaciones y servicios de proveedores (garantizando que los productos y servicios de proveedores externos cumplan con los compromisos contraídos).
b) Realizar pruebas de instalaciones y servicios de proveedores (garantizando que los productos y servicios de proveedores externos cumplan con los compromisos contraídos).
Todas las pruebas efectuadas deben ser documentadas, resguardándose la evidencia formal de la ejecución y de los resultados obtenidos.
Los planes de continuidad de las actividades de la Secretaría General de la Presidencia de la Nación serán revisados y actualizados periódicamente, para garantizar su eficacia permanente. Se incluirán procedimientos en el programa de administración de cambios de la Secretaría General de la Presidencia de la Nación para garantizar que se aborden adecuadamente los tópicos de continuidad de las actividades.
Se deberá definir la periodicidad de revisión de los planes de contingencia, indicando el nombre del plan de contingencia, responsable y periodicidad de revisión. Cada uno de los Responsables de Procesos es el responsable de las revisiones periódicas de cada uno de los planes de continuidad de su incumbencia, como así también de la identificación de cambios en las disposiciones relativas a las actividades de la Secretaría General de la Presidencia de la Nación aún no reflejadas en dichos planes.
Debe prestarse atención, especialmente, a los cambios de:
• Personal.
• Direcciones o números telefónicos
• Estrategia de la Secretaría General de la Presidencia de la Nación.
• Ubicación, instalaciones y recursos
• Legislación.
• Contratistas, proveedores
• Procesos, o procesos nuevos / eliminados.
• Tecnologías.
• Requisitos operacionales.
• Requisitos de seguridad.
• Hardware, software y otros equipos (tipos, especificaciones, y cantidad).
• Requerimientos de los sitios alternativos.
• Registros de datos vitales.
• Direcciones o números telefónicos
• Estrategia de la Secretaría General de la Presidencia de la Nación.
• Ubicación, instalaciones y recursos
• Legislación.
• Contratistas, proveedores
• Procesos, o procesos nuevos / eliminados.
• Tecnologías.
• Requisitos operacionales.
• Requisitos de seguridad.
• Hardware, software y otros equipos (tipos, especificaciones, y cantidad).
• Requerimientos de los sitios alternativos.
• Registros de datos vitales.
Todas las modificaciones efectuadas serán propuestas por el Responsable de la Seguridad de la Información para su aprobación por el superior jerárquico que corresponda.
Por otra parte, el resultado de este proceso será dado a conocer a fin de que todo el personal involucrado tenga conocimiento de los cambios incorporados.
17.2 Redundancia
17.2.1 Redundancia en las Instalaciones de Procesamiento y Transmisión de la Información
Se deberá implementar en las instalaciones de procesamiento y transmisión de la información, componentes y/o arquitecturas redundantes, a efectos de cumplir con los requisitos de disponibilidad operativa.
18. Política de Cumplimiento
Objetivos
Cumplir con las disposiciones normativas y contractuales y Garantizar que los sistemas cumplan con la política, normas y procedimientos de seguridad de la Secretaría General de la Presidencia de la Nación. las mismas tendrán una periodicidad no superior a los DOCE (12) meses a partir de la publicación o última actualización de las mismas.
Revisar la seguridad de los sistemas de información periódicamente a efectos de garantizar la adecuada aplicación de la política, normas y procedimientos de seguridad, sobre las plataformas tecnológicas y los sistemas de información.
Optimizar la eficacia del proceso de auditoría de sistemas y minimizar los problemas que pudiera ocasionar el mismo, o los obstáculos que pudieran afectarlo.
Garantizar la existencia de controles que protejan los sistemas en producción y las herramientas de auditoría en el transcurso de las auditorías de sistemas.
Determinar los plazos para el mantenimiento de información y para la recolección de evidencia de la Secretaría General de la Presidencia de la Nación
18.1 Cumplimiento de Requisitos Legales
18.1.1 Identificación de la Legislación Aplicable
Se deberán identificar y documentar en los sistemas de información de la Secretaría General de la Presidencia de la Nación los requisitos normativos, contractuales o legales. Del mismo modo se deberá definir y documentar los controles específicos, las responsabilidades y funciones individuales para cumplir con dichos requisitos.
18.1.2 Derechos de Propiedad Intelectual
Se deberá garantizar el cumplimiento de los requisitos legales y contractuales relacionados con la instalación y uso de software protegido por la legislación relativa a la propiedad intelectual.
Los agentes podrán utilizar únicamente material autorizado por la Secretaría General de la Presidencia de la Nación. La SGP sólo podrá autorizar el uso de material producido por el mismo, o material autorizado o suministrado por su titular, conforme los términos y condiciones acordados y lo dispuesto por la normativa vigente.
Los usuarios solo podrán utilizar software autorizado por el Organismo según las condiciones de instalación descripta en el punto 12.6.2 Restricciones en la Instalación de Software
18.1.3 Protección de los Registros de la Secretaría General de la Presidencia de la Nación
Los registros de datos se deberán proteger contra pérdida, destrucción, acceso no autorizado, publicación no autorizada, degradación del medio de almacenamiento, obsolescencia del formato o medio de almacenamiento.
Los registros de datos, correspondientes a las cuentas de correos electrónicos no deberán ser eliminadas cuando el propietario de dicha cuenta fuera desvinculado de la Secretaría General de la Presidencia de la Nación. Las cuentas de correos electrónicos deberán ser almacenados por un período mínimo de diez años.
Los sistemas de almacenamiento de datos deberán ser seleccionados de modo tal que los datos requeridos puedan recuperarse de una manera aceptable ante el requerimiento del Poder Judicial. Se deberá clasificar y detallar los períodos de retención, medios de almacenamiento y responsables de su mantenimiento. Los sistemas de almacenamiento y manipulación deberán garantizar una clara identificación de los registros y de su período de retención legal.
La protección de los datos deberá ser garantizada por el documento “Acuerdo de Confidencialidad”. Asimismo, los funcionarios o empleados que revelen a terceros o utilicen en provecho propio cualquier información individual de carácter estadístico o censal, de la cual tengan conocimiento por sus funciones, o que incurran dolosamente en tergiversación, omisión o adulteración de datos de los censos o estadísticas, serán pasibles a acciones penales por violación a la Ley N°17.622 y concordantes.
18.1.4 Protección de Datos y Privacidad de la Información Personal
A través de la presente “Política de Seguridad de la Información” y la “Política de Uso Aceptable de los Recursos de Tecnología de la Información” se informarán y detallarán las actividades que serán objeto de control y monitoreo.
Todos los empleados deben conocer las restricciones al tratamiento de los datos y de la información respecto a la cual tengan acceso con motivo del ejercicio de sus funciones. Por lo cual la Secretaría General de la Presidencia de la Nación poseerá un “Acuerdo de Confidencialidad”, el cual deberá ser suscrito por todos los funcionarios públicos y contratistas, en concordancia con el punto 6.1.6 Acuerdo de confidencialidad.
18.1.5 Prevención del Uso Inadecuado de los Recursos de Procesamiento de Información
Toda utilización de los recursos de procesamiento de información, con propósitos no autorizados o ajenos al destino por el cual fueron provistos se considerará como uso indebido.
Todos los agentes deberán conocer el alcance preciso del uso adecuado de los recursos informáticos y deberán respetarlo, según se declara en la Política de Uso Aceptable de los Recursos de Tecnología de la Información.
En particular, se deberá respetar lo dispuesto por las siguientes normas:
• Ética en el Ejercicio de la Función Pública. Ley N° 25.188. Establece, entre otros aspectos, que las personas que se desempeñen en la función pública deben proteger y conservar la propiedad del Estado y sólo emplear sus bienes con los fines autorizados.
• Código de Ética de la Función Pública Dispone que el funcionario público debe proteger y conservar los bienes del Estado y utilizar los que le fueran asignados para el desempeño de sus funciones de manera racional, evitando su abuso, derroche o desaprovechamiento.
• Código Penal: Sanciona a aquel que alterare, destruyere o inutilizare datos, documentos, programas o sistemas informáticos (Art. 183). Art. 255: Sanciona a quien sustrajere, ocultare, destruyere o inutilizare objetos destinados a servir de prueba ante la autoridad competente, registros o documentos confiados a la custodia de un funcionario o de otra persona en el interés del servicio público. Si el culpable fuere el mismo depositario, sufrirá, además inhabilitación especial por doble tiempo.
• Ley N° 24.624. Artículo 30: Autoriza el archivo y la conservación en soporte electrónico u óptico indeleble de la documentación financiera, de personal y de control de la Administración Pública Nacional y otorga valor jurídico y probatorio a la documentación existente que se incorpore al Archivo General de la Administración, mediante la utilización de tecnología que garantice la estabilidad, perdurabilidad, inmutabilidad e inalterabilidad del soporte de guarda físico de la mencionada documentación.
• Decisión Administrativa 43/96: Reglamenta el Art. 30 de la Ley 24.624. Determina su ámbito de aplicación, define conceptos y precisa los requisitos de carácter general, los relacionados con los documentos en particular y con el soporte a utilizar en la redacción, producción o reproducción de aquellos.
• Ley de Propiedad Intelectual N° 11.723: Protege los derechos de autor de las obras científicas, literarias y artísticas, incluyendo las compilaciones de datos o de otros materiales.
• Ley N° 25.506: Establece que la exigencia legal de conservar documentos, registros o datos también queda satisfecha con la conservación de los correspondientes documentos digitales firmados digitalmente, según los procedimientos que determine la reglamentación, siempre que sean accesibles para su posterior consulta y permitan determinar fehacientemente el origen, destino, fecha y hora de su generación, envío y/o recepción.
• Código de Ética de la Función Pública Dispone que el funcionario público debe proteger y conservar los bienes del Estado y utilizar los que le fueran asignados para el desempeño de sus funciones de manera racional, evitando su abuso, derroche o desaprovechamiento.
• Código Penal: Sanciona a aquel que alterare, destruyere o inutilizare datos, documentos, programas o sistemas informáticos (Art. 183). Art. 255: Sanciona a quien sustrajere, ocultare, destruyere o inutilizare objetos destinados a servir de prueba ante la autoridad competente, registros o documentos confiados a la custodia de un funcionario o de otra persona en el interés del servicio público. Si el culpable fuere el mismo depositario, sufrirá, además inhabilitación especial por doble tiempo.
• Ley N° 24.624. Artículo 30: Autoriza el archivo y la conservación en soporte electrónico u óptico indeleble de la documentación financiera, de personal y de control de la Administración Pública Nacional y otorga valor jurídico y probatorio a la documentación existente que se incorpore al Archivo General de la Administración, mediante la utilización de tecnología que garantice la estabilidad, perdurabilidad, inmutabilidad e inalterabilidad del soporte de guarda físico de la mencionada documentación.
• Decisión Administrativa 43/96: Reglamenta el Art. 30 de la Ley 24.624. Determina su ámbito de aplicación, define conceptos y precisa los requisitos de carácter general, los relacionados con los documentos en particular y con el soporte a utilizar en la redacción, producción o reproducción de aquellos.
• Ley de Propiedad Intelectual N° 11.723: Protege los derechos de autor de las obras científicas, literarias y artísticas, incluyendo las compilaciones de datos o de otros materiales.
• Ley N° 25.506: Establece que la exigencia legal de conservar documentos, registros o datos también queda satisfecha con la conservación de los correspondientes documentos digitales firmados digitalmente, según los procedimientos que determine la reglamentación, siempre que sean accesibles para su posterior consulta y permitan determinar fehacientemente el origen, destino, fecha y hora de su generación, envío y/o recepción.
18.1.6 Delitos Informáticos
Todos los agentes deberán tomar conocimiento de los principios establecidos en la Ley N° 26.388 de Delitos Informáticos.
18.2 Revisiones de Cumplimiento de Seguridad
18.2.1 Revisión independiente de la Seguridad de la Información
Deberán efectuarse revisiones independientes de seguridad, para garantizar la eficacia de la implementación de seguridad existente. Esta revisión será independiente a laque deberá realizar el Responsable de la Seguridad de la Información y permitirá incluir oportunidades de mejora en los objetivos de control y cambios en el enfoque de seguridad existente.
Dicha revisión deberá ser realizada por individuos independientes al Responsable de la Seguridad de la Información, por ejemplo, Auditoría Interna o Especialistas de Seguridad externos al Organismo.
18.2.2 Cumplimiento de la Política y Procedimientos de Seguridad
Los responsables de cada Dirección, dentro de su área de responsabilidad, deberán velar por el correcto cumplimiento de las normas y procedimientos de seguridad establecidos y brindarán apoyo a las revisiones de cumplimiento, efectuadas por el Responsable de la Seguridad de la Información.
El Responsable de la Seguridad de la Información, tendrá la autoridad de realizar revisiones periódicas en todas las áreas de la Secretaría General de la Presidencia de la Nación a efectos de garantizar el cumplimiento de las políticas, normas y procedimientos de seguridad vigentes.
18.2.3 Verificación de Cumplimiento en los Sistemas de Información
Se verificará periódicamente que los sistemas de información cumplan con la política, normas y procedimientos de seguridad, las que incluirán la revisión de los sistemas en producción a fin de garantizar que los controles de hardware y software hayan sido correctamente implementados. En caso de ser necesario, estas revisiones contemplarán la asistencia técnica especializada.
El resultado de la evaluación se volcará en un informe técnico para su ulterior interpretación por parte de los especialistas. Para ello, la tarea podrá ser realizada por un profesional experimentado (en forma manual o con el apoyo de herramientas de software), o por un paquete de software automatizado que genere reportes que serán interpretados por un especialista técnico.
La verificación del cumplimiento comprenderá pruebas de penetración y tendrá como objetivo la detección de vulnerabilidades en el sistema y la verificación de la eficacia de los controles con relación a la prevención de accesos no autorizados. Se tomarán los recaudos necesarios en el caso de pruebas de penetración exitosas que comprometan la seguridad del sistema.
Las verificaciones de cumplimiento sólo serán realizadas por personas competentes, formalmente autorizadas y bajo la supervisión.
Realizado por: Ariel Fernando Bellesi - Director de Seguridad Informática
Revisado por: Guillermo David Bazán – Director General de Tecnología Informática y Telecom.
Revisado por: Guillermo David Bazán – Director General de Tecnología Informática y Telecom.
IF-2022-85903213-APN-DSI#SGP