POLÍTICA DE SEGURIDAD INFORMÁTICA

De acuerdo a las características propias de nuestra entidad se han definido las siguientes políticas de
seguridad informática que permiten garantizar que los sistemas no sean vulnerados poniendo en peligro la
información que se maneja en la compañía. La presente política se presenta como un instrumento de
protección en la información, en la que todos los usuarios tienen un grado de responsabilidad para
salvaguardarla y protegerla.

El alcance de las políticas aquí definidas son para todos los usuarios de la red de dirección general y de
clínicas de Sonría, así como para todo el equipo y personal que de alguna manera tengan que utilizar los
sistemas de la compañía de manera local o remota.

Políticas de usuario

1. La dirección de tecnología asignará usuarios personalizados de ingreso a los diferentes sistemas de

información de la compañía.
2. Las palabras claves o los mecanismos de acceso que les sean otorgados a los usuarios son
responsabilidad exclusiva de cada uno de ellos y no deben ser divulgados a ninguna persona, a
menos que exista un requerimiento legal o medie un procedimiento de custodia de claves. De
acuerdo con lo anterior, los usuarios no deben obtener palabras claves u otros mecanismos de
acceso de otros usuarios que pueda permitirles un acceso no autorizado.
3. Los usuarios son responsables de todas las actividades llevadas a cabo con su código de
identificación de usuario y sus claves personales.
4. Si un usuario tiene sospechas de que su acceso autorizado (identificador de usuario y contraseña)
está siendo utilizado por otra persona, debe proceder al cambio de su contraseña e informar a su
jefe inmediato y éste reportar al responsable de la administración del sistema informático.

Los usuarios solo deben acceder a aquellos datos y recursos que sean necesarios para el desarrollo de sus
funciones.

Políticas de control de la información

Todo usuario debe informar oportunamente al área de tecnología de la compañía acerca de cualquier
alteración o modificación no autorizada de los dispositivos, equipos de cómputo, sistemas de información
o cualquier elemento de la infraestructura tecnológica.

1. Los usuarios no deben instalar software en sus computadores o en servidores sin las debidas
autorizaciones.
2. Los usuarios no deben alterar las configuraciones estándar definidas por la Compañía, tales como:
Perfiles de Usuario, Protectores de Pantalla, entre otros.
3. Los usuarios no deben intentar sobrepasar los controles de los sistemas, examinar los
computadores, redes o introducir intencionalmente software diseñado para causar daño o impedir el
normal funcionamiento de los sistemas. Además, todo software que permita realizar monitoreo
(sniffers) sobre los computadores y redes deberá estar debidamente autorizado.
4. Los usuarios tienen prohibido inspeccionar, copiar y almacenar programas o fuentes que violen los
derechos de autor, por lo anterior, está prohibido copiar los programas instalados en el sistema, o
instalar nuevos programas.
5. Los usuarios no deberán suministrar información de INVERSIONES DAMA SALUD S.A.S y/o
cualquiera de sus unidades de negocio o información confidencial de los clientes o usuarios a ningún
ente externo y/o sujeto sin las autorizaciones respectivas. Los usuarios no deben destruir, copiar o
distribuir los archivos de la Compañía sin los permisos respectivos de la persona responsable del
área dueña de la información.
Elaborado por: Revisado: Fecha: Versión 1
SH Jurídica H&N 08 de marzo de 2018 08 de Marzo de 2018 P ágina 1|3
 6. Los usuarios deben velar por la privacidad de la información de los clientes y usuarios, de tal manera
que no sea distribuida a terceros o incluida en listas de mercadeo directo.
7. Todo usuario que utilice los recursos de los Sistemas, tiene la responsabilidad de velar por la
integridad, confidencialidad, disponibilidad y confiabilidad de la información que maneje.
8. Los computadores, sistemas y otros equipos deben usarse solamente para las actividades propias
de la Compañía, por lo tanto los usuarios no deben hacer uso de ellos para asuntos personales a
menos que exista la respectiva autorización por parte del área de tecnología de la compañía.
Los Recursos Informáticos, Datos, Software, Red y Sistemas de Comunicación están disponibles
exclusivamente para el cumplimiento de las obligaciones del usuario. Consecuencia de lo anterior, el
usuario debe saber que su uso no es confidencial, por lo que cualquier información que sea guardada
será de público conocimiento al interior de la empresa.

Políticas de Hardware

Se relacionan a continuación las Políticas que los usuarios de Sonría deben seguir para la correcta
administración, mantenimiento y adquisición de equipos de cómputo y de telecomunicaciones
suministrados por la Compañía para el desarrollo de las funciones, de manera tal que se proteja la
integridad técnica de la institución.

La Compañía mediante la dirección de tecnología se encargara de suministrar el hardware apropiado

para prestar los servicios y manejar la información en condiciones de calidad y seguridad.

1. La dirección de tecnología es la encargada de definir y mantener los estándares de tecnología para

aprobar la adquisición de hardware y software.
2. Cualquier solución tecnológica requerida por la Compañía previamente a su adquisición debe ser
consultada, evaluada y autorizada por la dirección de Tecnología de la compañía.
3. Los equipos de cómputo de la Compañía no deben ser alterados ni mejorados (cambios de
procesador, adición de memoria, tarjetas y demás componentes) sin el consentimiento, evaluación
técnica y autorización de la dirección de tecnología.
4. Los empleados deben reportar a la dirección de Tecnología a través de los canales definidos para tal
fin, sobre daños o pérdida de equipo que tengan a su cuidado y que sea propiedad de la Compañía.
5. Solamente el personal debidamente autorizado por la dirección de Tecnología puede realizar el
mantenimiento y la instalación o desinstalación de programas o dispositivos en las terminales o
equipos de cómputo.
6. Es responsabilidad de la Dirección de Tecnología mantener un inventario que incluya la información
de las características, configuración, número de serie de fabricante, número activo fijo de la
compañía y ubicación de los equipos de cómputo; los inventarios físicos se deben realizar en forma
periódica, regular y eficiente.
7. Es responsabilidad de la dirección de operaciones que cada uno de los equipos debe tener un
número de identificación asignado en el proceso de inventario.
8. La dirección de tecnología será la encargada de instalar los equipos de cómputo considerando las
condiciones adecuadas de seguridad para salvaguardar tanto el equipo como la información. Para
los equipos portátiles, el usuario deberá contemplar las indicaciones que la dirección de tecnología
le indique en el acta de entrega.
9. Las “Bibliotecas de cintas magnéticas, discos y documentos” se deben ubicar en sitios
acondicionados para tal fin, permitiéndose el acceso únicamente a personas autorizadas.
10. Las conexiones con los sistemas y redes de la Compañía deben ser dirigidas a través de
dispositivos probados y aprobados por la dirección de Tecnología.
Las direcciones internas, configuraciones e información relacionada con el diseño de los sistemas de
comunicación y cómputo de la Compañía deben ser de acceso restringido.

Elaborado por: Revisado: Fecha: Versión 1

SH Jurídica H&N 08 de marzo de 2018 08 de Marzo de 2018 P ágina 2|3
 Política de Respaldo

1. Todos los medios magnéticos utilizados para almacenar información por períodos superiores a seis
(6) meses, deben estar almacenados en condiciones óptimas de ambiente y de acceso para evitar
su degradación o deterioro.
2. Los respaldos tomados deben ser respaldados de forma periódica y aleatoria con el fin tomar una
muestra de la confiabilidad de las copias
3. Los respaldos de la información deben tener un proceso periódico de validación con el fin de
garantizar que no ha sufrido ningún deterioro y que se podrá utilizar en el momento en que se
necesite.
4. Las estrategias de respaldos (backups) deben ser diseñadas utilizando métodos que garanticen la
disponibilidad del servicio tales como: Backup en línea o en ventanas de tiempo de no afectación.
5. La eliminación de la información debe seguir procedimientos seguros y debidamente aprobados por
la dirección de Tecnología y el área dueña de la información.
6. Los backups de los sistemas de información centrales y redes deben ser almacenados en zonas
diferentes a donde reside la información original. La dirección de tecnología es responsable de su
administración y control y se debe contar con un inventario actualizado de los backups existentes.
7. Se prohíbe el almacenamiento de información en dispositivos de almacenamiento removibles
diferentes a los administrados por la dirección de Tecnología. Lo anterior, con el objeto de
salvaguardar la confidencialidad, integridad y disponibilidad de la información, evitando pérdidas,
accesos no autorizados y utilización indebida de la misma.
8. Las copias de seguridad de los equipos cliente serán responsabilidad de cada usuario con el apoyo
técnico de la dirección Tecnología.
Periódicamente cada usuario solicitara con cargo al centro de costo de su área, la cantidad
necesaria de medios de almacenamiento para realizar el Backup. Una vez se tengan los medios
disponibles, el usuario radicara un caso en la mesa de ayuda de tecnología solicitando la instalación
de la unidad de copiado. Tecnología atenderá el caso dentro de los tiempos acordados y apoyara al
usuario en la copia de la información. Los medios serán almacenados y custodiados por cada
usuario y/o por la dirección de tecnología, dependiendo del acuerdo de servicio.
9. La información de la Compañía no debe ser vendida, transferida o intercambiada con terceros para
ningún propósito diferente al del negocio, en caso de ser necesario lo anterior, se debe solicitar
autorización escrita del área responsable.

Para constancia se firma en dos o más ejemplares del mismo tenor y valor, un ejemplar de los cuales recibe
EL TRABAJADOR en este acto, en Bogotá, D.C.
_______________ a los 25
___________ del mes
junio
_____________________ del año 202__. 1 .

Jeannette Borrero Romero confirmo que he leído y conozco la política de seguridad estipulada por la
Yo ____________________
compañía.

NOMBRE Y FIRMA DE RECIBIDO ___________________________________

1.143.370.623
CC___________________________________________

Elaborado por: Revisado: Fecha: Versión 1

SH Jurídica H&N 08 de marzo de 2018 08 de Marzo de 2018 P ágina 3|3