Código: PGT-PSI-002

ÁREA DE PROCESO DE GESTIÓN TIC Página: 1 DE 5

Versión: 01
POLÍTICA DE SEGURIDAD DE LA Fecha de Emisión:
INFORMACIÓN 19/07/2017
Fecha de Actualización:

9. CLÁUSULA: GESTIÓN DE INCIDENTES EN LA SEGURIDAD DE LA

INFORMACIÓN

Firmantes
Nombre Fecha Firma

DD/MM/AAAA

DD/MM/AAAA

Historial
Fecha Razón del Cambio Autor(es)

DD/MM/AAAA

DD/MM/AAAA

ÁREA DE PROCESO DE GESTIÓN TIC
POLÍTICA DE SEGURIDAD DE LA
INFORMACIÓN
Código: PGT-PSI-002
Página: 1 DE 5
Versión: 01
Fecha de Emisión:
19/07/2017
Fecha de Actualización:

Generalidades

Existen numerosas amenazas que atentan contra la seguridad de la información,

representando riesgos latentes que de materializarse pueden ocasionar incidentes
de seguridad.

El Proceso de Gestión TIC cuenta con muchos activos de información, cada uno
de los cuales puede encontrarse expuesto a sufrir incidentes de seguridad. Es por
ello que resulta sumamente necesario contar con una capacidad de gestión de
dichos incidentes que permita comenzar por su detección, llevar a cabo su
tratamiento y colaborar en la prevención de futuros incidentes similares.

Objetivo

Garantizar que los eventos de seguridad de la información y las debilidades

asociados a los sistemas de información sean comunicados de forma tal que se
apliquen las acciones correctivas en el tiempo oportuno.

Alcance

La Política definida en este documento se aplica a todo incidente que pueda

afectar la seguridad de la información del Proceso de Gestión TIC.
Política

9.1 Categoría: Notificación de eventos y puntos débiles de seguridad de la

información

Objetivo

Asegurar que los eventos y debilidades de la seguridad de la información

asociados con los sistemas de información sean comunicados de una manera que
permita que se realice una acción correctiva oportuna.

9.1.1 Control: Notificación de los eventos de seguridad de la información

Los incidentes relativos a la seguridad deben ser comunicados a través de las

autoridades o canales apropiados tan pronto como sea posible.

ÁREA DE PROCESO DE GESTIÓN TIC
POLÍTICA DE SEGURIDAD DE LA
INFORMACIÓN
Código: PGT-PSI-002
Página: 1 DE 5
Versión: 01
Fecha de Emisión:
19/07/2017
Fecha de Actualización:

Se debe establecer un procedimiento formal de comunicación y de respuesta a

incidentes, indicando la acción que ha de emprenderse al recibir un informe sobre
incidentes.

Dicho procedimiento debe contemplar que, ante la detección de un supuesto

incidente o violación de la seguridad, El encargado del Área de la Seguridad
Informática sea informado tan pronto como se haya tomado conocimiento. Este
indicará los recursos necesarios para la investigación y resolución del incidente, y
se encargará de su monitoreo.

9.1.2 Control: Notificación de puntos débiles de seguridad

Los usuarios de servicios de información, al momento de tomar conocimiento

directa o indirectamente acerca de una debilidad de seguridad, son responsables
de registrar y comunicar formalmente las mismas al encargado del Área de la
Seguridad Informática
9.2 Categoría: Gestión de incidentes y mejoras de seguridad de la
información

Objetivo

Asegurar que se aplique un enfoque consistente y efectivo a la gestión de los

incidentes en la seguridad de la información.

Se deben establecer las responsabilidades y procedimientos para manejar de

manera efectiva los eventos y debilidades en la seguridad de la información una
vez que han sido reportados. Se debe aplicar un proceso de mejora continua para
la respuesta, monitoreo, evaluación y gestión general de los incidentes en la
seguridad de la información.

9.2.1 Control: Responsabilidades y procedimientos

Se establecerán funciones y procedimientos de manejo de incidentes garantizando

una respuesta rápida, eficaz y sistemática a los incidentes relativos a seguridad.

Se deben considerar los siguientes ítems:

 Contemplar y definir todos los tipos probables de incidentes relativos a

seguridad, incluyendo como mínimo:

ÁREA DE PROCESO DE GESTIÓN TIC
POLÍTICA DE SEGURIDAD DE LA
INFORMACIÓN
Código: PGT-PSI-002
Página: 1 DE 5
Versión: 01
Fecha de Emisión:
19/07/2017
Fecha de Actualización:

- Fallas operativas.
- Código malicioso.
- Intrusiones.
- Fraude informático.
- Error humano.
- Catástrofes naturales.

 Comunicar formalmente los incidentes a través de autoridades o canales

apropiados tan pronto como sea posible.

 Contemplar los siguientes puntos en los procedimientos para los planes de

contingencia normales (diseñados para recuperar sistemas y servicios tan
pronto como sea posible):
- Definición de las primeras medidas a implementar
- Análisis e identificación de la causa del incidente.
- Planificación e implementación de soluciones para evitar la repetición
del mismo, si fuera necesario.
- Comunicación formal con las personas afectadas o involucradas con
la recuperación, del incidente.
- Notificación de la acción a la autoridad competente.

 Registrar pistas de auditoría y evidencia similar para:

- Análisis de problemas internos.
- Negociación de compensaciones por parte de los proveedores de
software y de servicios.

 Implementar controles detallados y formalizados de las acciones de

recuperación respecto de las violaciones de la seguridad y de corrección de
fallas del sistema, garantizando:
- Acceso a los sistemas y datos existentes sólo al personal claramente
identificado y autorizado.
- Documentación de todas las acciones de emergencia emprendidas
en forma detallada.
- Comunicación de las acciones de emergencia al encargado del Área
de la Seguridad Informática y revisión de su cumplimiento.

Anexo cuestionario realizado al personal del Área de Proceso de Gestión TIC

ANEXOS\ Funcionamiento de los Sistemas de Información Proceso Gestión TIC.
 Código: PGT-PSI-002
ÁREA DE PROCESO DE GESTIÓN TIC Página: 1 DE 5
Versión: 01
POLÍTICA DE SEGURIDAD DE LA Fecha de Emisión:
INFORMACIÓN 19/07/2017
Fecha de Actualización:

Sanciones previstas por incumplimiento

El incumplimiento de las disposiciones establecidas por las Políticas de Seguridad

de la Información tendrá como resultado la aplicación de diversas sanciones,
conforme a la magnitud y característica del aspecto no cumplido.

Asistencia

Cualquier solicitud relacionada con esta política o aplicaciones de esta debe ser
referida al Área de Proceso de Gestión TIC.
Referencias

ISO/IEC 27001:2013 e ISO/IEC 27002:2013