DECLARACIÓN DE APLICABILIDAD DEL SUBSISTEMA DE SEGURIDAD EN LA INFORMACIÓN ISO 27001:2013

Controles
Controles
para Exclusión
N° Dominio - Control #Controles Control Implementad Justificación
Tratamient (S/N)
os
o
A5 Política de seguridad de la información 2
A.5.1 Brindar orientación y soporte, por parte de la Dirección, para la
Se debe definir un conjunto ASPO05 Politica del
Se incluye como parte integral de
de políticas para la seguridad Subsistema de Gestión de
los requisitos del estándar para el
A.5.1. Política para la seguridad de la de la información, aprobada Seguridad de la Información,
1 información por la dirección, publicada y
1
ASPO09 Politicas de Tercer
SI NO NO SSI de la entidad. Tiene asociado
el numeral 5.2. de la norma de la
comunicada a los empleados nivel del Subsistema de
referencia.
y partes externas pertinentes. Seguridad de la Información
La políticas de seguridad de
información se deben revisar Se incluye como parte integral de
a intervalos planificados o si los requisitos del estándar para el
A.5.1. Revisión de las políticas para la Resolución 2659 de 2015,
2 seguridad de la información
ocurren cambios 1
Articulo 2 literal 10
SI NO NO SSI en la entidad. Tiene asociado
significativos, para asegurar el numeral 5.2. de la norma de la
su conveniencia, adecuación referencia.
y eficacia continúas.
A6 Organización de la seguridad de la información 7
A.6.1 Organización Interna: Establecer un marco de referencia de gestión 5
Se incluye como parte integral de
Se deben definir y asignar
los requisitos del estándar para el
A.6.1. Roles y responsabilidades para la todas las responsabilidades ASFT 14 Matriz de roles y
1 seguridad de la información. de la seguridad de la
1
responsabilidades
SI NO NO SSI en la entidad. Tiene asociado
el numeral 5.3. de la norma de la
información.
referencia.

Los deberes y áreas de
responsabilidad en conflícto
se deben separar para reducir
A.6.1. las posibilidades de
2
Separación de deberes
modificación no autorizada o
no intencional, o el uso
indebido de los activos de la
organización.
Se deben mantener contactos
A.6.1.
3
Contacto con las autoridades apropiados con las
autoridades pertinentes.
Se debe mantener los
contactos apropiados con
A.6.1. Contacto con grupos de interés grupos de interés especiales,
4 especiales otros foros especializados en
seguridad de la información y
asociaciones de
La seguridad de la
información se debe tratar en
A.6.1. Seguridad de la información en la
la gestión de proyectos,
3 gestión de proyectos
independientemente del tipo
de proyecto.
A6.2 Dispositivos móviles y teletrabajo: Garantizar la seguridad del
Se debe adoptar una política
y unas medidas de seguridad
A.6.2.
1
Política para dispositivos móviles de soporte, para la gestión de
los riesgos introducidos por el
uso de dispositivos móviles.
Ley 489 de 1998 Incisos 2º y 3º
del Artículo 115 y el Decreto
2462 de 2013 modificó la
estructura la Superintendencia
1 Nacional de Salud y determinó
las funciones que ejercerán las
dependencias; Resolución 1110
de 2015 Conformacion Grupos
de Trabajo de OTI
GGGU01 Guía de Contacto con
1 las Autoridades y Grupos de
Interés Especial
GGGU01 Guía de Contacto con
1 las Autoridades y Grupos de
Interés Especial
EPPD02 Formulación,
1 Ejecución, Seguimiento y
Evaluación de Proyectos
2
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
Como principio de seguridad para
el fortalecimiento del control
SI NO NO interno en la entidad, se debe
contar con este control
implementado.
Como principio de seguridad de la
información, cumplir con la
regulación del Gobierno
colombiano, además de contar
SI NO NO con entidades externas que
prestán servicios de TI, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SI NO NO interno en la entidad, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SI NO NO interno en la entidad, se debe
contar con este control
implementado.
Como principio de seguridad de la
información, cumplir con la
regulación del Gobierno
colombiano, además de contar
SI SI NO con entidades externas que
prestán servicios de TI, se debe
contar con este control
implementado.
 Se deben implementar una
política y unas medidas de
seguridad de soporte, para
A.6.2. proteger la información a la
2
Teletrabajo
que se tiene acceso, que es
procesada o almacenada en
los lugares en los que se
realiza el teletrabajo.
A7 Seguridad de los recursos humanos
A7.1 Antes de asumir el empleo: Asegurar que los empleados y
Las verificaciones de los
antecedentes de todos los
candidatos a un empleo. Se
deben llevar a cabo d acuerdo
con las leyes, reglamentos y
A.7.1.
1
Selección ética pertinentes, y deben ser
proporcionales a los
requisitos de negocio, a la
clasificación de la información
a la que se va a tener acceso
y a los riesgos percibidos.
Los acuerdos contractuales
con empleados y contratistas
deben establecer sus
A.7.1.
2
Términos y condiciones del empleo responsabilidades
obligaciones y las de la
organización en cuanto a
seguridad de información.
A.7.2 Durante la vigencia del empleo: Asegurarse de que los empleados y
La Dirección debe exigir a
todos los empleados y
contratistas la aplicación de la
A.7.2.
1
Responsabilidades de la dirección seguridad de la información
de acuerdo con las políticas y
procedimientos establecidos
por la organización.
ASPO09 Politicas de Tercer
nivel del Subsistema de
1
Seguridad de la Información,
Resolución 1165 de 2015
6
2
APPD01 Provisión de Empleos,
APPD02 Novedades de
1
Personal, Remuneración y
Prestaciones
Circular 007 Reserva y Buen
1
Manejo de la Información
3
Circular 007 Reserva y Buen
Manejo de la Información,
1 Juramento de Posesión de
cargo , APFT20 Acta de
posesión
La Entidad cuenta con esta
modalidad de trabajo dando
cumplimiento a la Ley 1221 de
SI NO NO 2008 Por la cual se establecen
normas para promover y regular el
Teletrabajo y se dictan otras
disposiciones.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad, por la
naturaleza de su entidad y en
SI NO NO particular para los procesos de
selección de personal, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad, por la
naturaleza de su entidad y en
SI NO NO particular para los procesos de
selección de personal, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad, por la
naturaleza de su entidad y en
SI NO NO particular para los procesos de
selección de personal, se debe
contar con este control
implementado.
 Todos los empleados de la
organización y en donde sea
pertinente, los contratistas
deben recibir la educación y la
Toma de conciencia, educación y
A.7.2. formación en la toma de
2
formación en la seguridad de la
conciencia apropiada, y
información
actualizaciones regulares
sobre las políticas y
procedimientos de la
organización pertinentes para
Se debe contar con un
proceso formal, el cual debe
ser comunicado, para
A.7.2.
3
Proceso disciplinario emprender acciones contra
los empleados que hayan
cometido una violación a la
seguridad de la información.
A.7.3 Terminación o cambio de empleo: Proteger los intereses de la
Las responsabilidades y los
deberes de seguridad de la
información que permanecen
válidos despues de la
A.7.3. Responsabilidades en la
1 terminación
terminación o cambio de
empleo se deben definir,
comunicar al empleado o
contratista y se debe hacer
cumplir.
A.8 Gestión de activos
A8.1 Responsabilidad por los activos: Identificar los activos
Se deben identificar los
activos asociados con la
A.8.1. información e instalaciones
1
Inventario de activos
de procesamiento de
información, y se debe
elaborar y mantener un
Como principio de seguridad para
el fortalecimiento del control
PLAN INSTITUCIONAL DE
interno en la entidad, por la
FORMACIÓN Y
naturaleza de su entidad y en
1 CAPACITACIÓN, Cronograma SI NO NO particular para los procesos de
de capacitaciones,
selección de personal, se debe
sensiblizaciones del SIG 2016
contar con este control
implementado.
ADPD01 Evaluación de las
Novedades Disciplinarias
Como principio de seguridad para
Ley 734 de 2002, Articulo 34, el fortalecimiento del control
literal 4, 5, 21, 22, articulo 35 interno en la entidad y por su
1
literal 13, 21,titulo v Faltas y
SI NO NO componente público, se debe
Sanciones, titulo único, el contar con este control
articulo 48 faltas gravisimas, implementado.
literal 43, , 47, libro iv
Procediminto Disciplinario,
Titulo ix procedimiento ordinario
1
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
1 APFT53 Paz y Salvo SI NO NO componente público, se debe
contar con este control
implementado.
10
4
GDFT03 Tablas de Retención
Documental Se incluye como parte integral de
los requisitos del estándar para el
1
ASFT22 Matriz de Valoración de
SI SI NO SSI en la entidad de acuerdo con
Activos y Analisis de riesgos de la definición del alcance.
Seguridad de la Información

Los activos mantenidos en el
A.8.1.
2
Propiedad de los activos inventario deben tener un
propietario.
Se deben identificar,
documentar e implementar
las reglas para el uso
A.8.1.
3
Uso aceptable de los activos aceptable de información y de
activos asociados con
información e instalaciones
de procesamiento de
Todos los empleados y
usuarios de partes externas
deben devolver todos los
A.8.1.
4
Devolución de activos activos de la organización que
se encuentren a su cargo, al
terminar su empleo, contrato
o acuerdo.
A.8.2 Clasificación de la información: Asegurar que la información recibe
La información se debe
clasificar en función de los
A.8.2. requisitos legales, valor,
1
Clasificación de la información
criticidad y suceptibilidad a
divulgación o a modificación
no autorizada.
Se debe desarrollar e
implementar un conjunto
adecuado de procedimientos
A.8.2. para el etiquetado de la
2
Etiquetado de la información
información, de acuerdo al
esquema de clasificación de
información adoptado por la
organización.
GDFT03 Tablas de Retención
Documental Se incluye como parte integral de
los requisitos del estándar para el
1
ASFT22 Matriz de Valoración de
SI SI NO SSI en la entidad de acuerdo con
Activos y Analisis de riesgos de la definición del alcance.
Seguridad de la Información
Se incluye como parte integral de
GGGU02 Gestión de Activos de los requisitos del estándar para el
1
Información
SI SI NO SSI en la entidad de acuerdo con
la definición del alcance.
Se incluye como parte integral de
APFT53 Paz y Salvo, ASFT06
los requisitos del estándar para el
1 Actas de Novedades de SI SI NO SSI en la entidad de acuerdo con
Personal
la definición del alcance.
3
GGPD01 Calificación y
Se incluye como parte integral de
Etiquetado de la Información
1
Indice de Informacion
NO SI NO los requisitos del estándar para el
SSI en la entidad.
Clasificada y Reservada
Como principio de seguridad para
el fortalecimiento del control
GGPD01 Calificación y
interno en la entidad y por su
1 Etiquetado de la Información NO SI NO componente público, se debe
GGGU03 Guia de Tratamiento
contar con este control
de la Información
implementado.
 Se deben desarrollar e
implementar procedimientos
A.8.2. para el manejo de activos, de
3
Manejo de activos
acuerdo con el esquema de
clasificación de información
adoptado por el organismo.
A.8.3 Manejo de medios: Evitar la divulgación, la modificación, el retiro o la
Se deben implementar
procedimientos para la
A.8.3. gestión de medios
Gestión de medios removibles
removibles, de acuerdo con el
1
esquema de clasificación
adoptado por la organización.
Se debe disponer en forma
A.8.3. segura de los medios cuando
Disposición de los medios
ya no se requieran, utilizando
2
procedimientos formales
Los medios que contienen
información se deben
A.8.3. proteger contra acceso no
Transferencia de medios fisicos
autorizado, uso indebido o
3
corrupción durante el
transporte.
A.9 Control de acceso
A 9.1 Requisito del negocio para el control de acceso: Limitar el acceso a
Se debe establecer,
documentar y revisar una
A.9.1. política de control de acceso
1
Política de control de acceso
con base en los requisitos del
negocio y de la seguridad de
la información.
GGGU02 Gestión de Activos de
1
Información
3
GSGU10 Gestión de Medios
1
Removibles
GGGU03 Guia de Tratamiento
de la Información
Programa de Gestion
documental
1 SI
Circular externa 03 de la AGN,
numeral 6 literal E
GSGU06 Borrado seguro de la
GGGU03 Guia de Tratamiento
1
de la Información
14
2
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
Se incluye como parte integral de
NO SI NO los requisitos del estándar para el
SSI en la entidad.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
SI NO NO componente público, se debe
contar con este control
implementado.

A.9.1. Acceso a redes y a servicios en
2 red
A.9.2 Gestión de acceso de usuarios: Asegurar el acceso de usuarios
proceso formal de registro y
A.9.2. Registro y cancelación del registro de cancelación de registro de
1 de usuarios
A.9.2.
2
Suministro de acceso de usuarios
todos los sistemas y servicios.
A.9.2. Gestión de derechos de acceso
3 privilegiado
A.9.2. Gestión de información de
4 autenticación secreta de usuarios
A.9.2. Revisión de los derechos de
5 acceso de usuarios
Solo se debe permitir el
acceso de lso usuarios a la
red y a los servicios de red
para los que hayan sido
autorizados específicamente.
Se debe implementar un
usuarios, para posibilitar la
asignación de los derechos
de acceso.
Se debe implementar un
proceso de suministro de
acceso formal de usuarios
para asignar o revocar los
derechos de acceso para
todo tipo de usuarios, para
Se debe restringir y controlar
la asignación y uso de
derechos de acceso
privilegiado.
La asignación de información
de autenticación secreta se
debe controlar por medio de
un proceso de gestión formal.
Los propietarios de los activos
deben revisar los derechos de
acceso de los usuarios, a
intervalos regulares.
Como principio de seguridad para
el fortalecimiento del control
GSGU05 Acceso a redes y a interno en la entidad y por su
1
servicios en red
SI NO NO componente público, se debe
contar con este control
implementado.
6
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
 Los derechos de acceso de
todos los empleados y de
usuarios externos a la
información y a las
A.9.2. Retiro o ajuste de los derechos de
6 acceso
instalaciones de
procesamiento de información
se deben retirar al terminar su
empleo, contrato o acuerdo, o
sedebn ajustar cuando se
A.9.3 Responsabilidades de los usuarios: Hacer que los usuarios rindan
A.9.3. Uso de información de Se debe exigir a los usuarios
autenticación secreta que cumplan las practicas
1
A.9.4 Control de acceso a sistemas y aplicaciones: Evitar el acceso no
El acceso a la información y
a las funciones de los
A.9.4. Restricciones de acceso a la sistemas de las aplicaciones
1 información se debe restringir de acuerdo
con la política de control de
acceso.
Cuando lo requiere la política
de control de acceso, el
A.9.4. acceso a sistemas y
2
Procedimiento de ingreso seguro
aplicaciones se debe
controlar mediante un
proceso de ingreso seguro.
Los sistemas de gestión de
A.9.4. contraseñas deben ser
3
Sistema de gestión de contraseñas
interactivos y deben asegurar
la calidad de las contraseñas.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
1
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
5
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI SI NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
GSGU09 Guía de Gestión interno en la entidad y por su
1
Segura de Usuarios
SI NO NO componente público, se debe
contar con este control
implementado.
 Se debe restringir y controlar
estrictamente el uso de
A.9.4. Uso de los programas utilitarios programas utilitarios que
4 privilegiados pueden anular los controles
del sistema y de las
aplicaciónes.
Se debe restringir el acceso a
A.9.4. Control de acceso a códigos fuente
5 de programas
los codigos fuente de los
programas.
A.10 Criptografía
A.10.1 Controles criptográficos: Asegurar el uso apropiado y eficaz de la
Se debe desarrollar e
implementar una política
A.10. Política sobre el uso de sobre el uso de controles
1.1 controles criptográficos criptográficos para la
protección de la
información.
Se debe desarrollar e
implementar una política
sobre el uso, protección y
A.10.
Gestión de llaves tiempo de vida de las
1.2
llaves criptográficas,
durante todo su ciclo de
vida.
A.11 Seguridad física y del entorno
A.11.1 Áreas seguras: Prevenir el acceso físico no autorizado, el daño y la
Se deben definir y usar
perímetros de seguridad y
usarlos para proteger áreas
A.11.1
.1
Perímetro de seguridad física. que contengan información
confidencial o crítica, e
instalaciones de manejo de
información.
GSGU09 Guía de Gestión
1
Segura de Usuarios
GSGU09 Guía de Gestión
1
Segura de Usuarios
2
2
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
13
6
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad
informática, explicitamente y por el
intercambio de datos con
SI SI NO entidades externas, se debe
contar con este control
implementado.
Como principio de seguridad
informática, explicitamente y por el
intercambio de datos con
SI SI NO entidades externas, se debe
contar con este control
implementado.
Como principio de seguridad
informacion, explicitamente y
debido a que las instalaciones de
SI NO NO la Entidad contienen informacion
sensible, se debe contar con este
control implementado.
 Las áreas seguras se deben
proteger mediante controles
A.11.1 de acceso apropiados para
.2
Controles de acceso físico
asegurar que solo se le
permita el acceso a personal
autorizado.
Se debe diseñar y aplicar la
A.11.1 Seguridad de oficinas, recintos e
.3 instalaciones
seguridad física a oficinas,
recintos e instalaciones.
Se debe diseñar y aplicar
A.11.1 Protección contra amenazas protección física contra
.4 externas y ambientales desastres naturales, ataques
maliciosos y accidentes.
Se deben diseñar y aplicar
A.11.1
.5
Trabajo en áreas seguras procedimientos para trabajo
en áreas seguras.
Se deben controlar los puntos
de acceso tales como áreas
de despacho y de carga y
otros puntos en donde
A.11.1
.6
Áreas de despacho y carga pueden entrar personas no
autorizadas, y si es posible,
aislarlos de las instalaciones
de procesamiento de
información para evitar el
A.11.2 Equipos: Prevenir la pérdida, daño, robo o compromiso de activos, y la
SGGU01 Guía de Seguridad
Física y del Entorno
1 SI
GSFT01 Ingreso a áreas
seguras de Tecnología
SGGU01 Guía de Seguridad
1
Física y del Entorno
SI
SGGU01 Guía de Seguridad
1
Física y del Entorno
SI
SGGU01 Guía de Seguridad
1
Física y del Entorno
SI
SGGU01 Guía de Seguridad
1
Física y del Entorno
SI
7
Como principio de seguridad
informacion, explicitamente y
debido a que las instalaciones de
NO NO la Entidad contienen informacion
sensible, se debe contar con este
control implementado.
Como principio de seguridad
informacion, explicitamente y
debido a que las instalaciones de
NO NO la Entidad contienen informacion
sensible, se debe contar con este
control implementado.
Como principio de seguridad
informacion, explicitamente y
debido a que las instalaciones de
NO NO la Entidad contienen informacion
sensible, se debe contar con este
control implementado.
Como principio de seguridad
informacion, explicitamente y
debido a que las instalaciones de
NO NO la Entidad contienen informacion
sensible, se debe contar con este
control implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
NO NO componente público, se debe
contar con este control
implementado.
 Los equipos deben estar
ubicados y protegidos para
A.11.2 Ubicación y protección de los reducir el riesgos de amenaza
.1 equipos y peligros del entorno, y las
posibilidades de acceso no
autorizado.
Los equipos se deben
proteger contra fallas de
A.11.2
.2
Servicios de suministro energía y otras interrupciones
causadas por fallas en los
servicios de suministro.
El cableado de energía
eléctrica y de
telecomunicaciones que porta
A.11.2
.3
Seguridad del Cableado datos o brinda soporte a los
servicios de información se
debe proteger contra
interceptación, interferencia o
Los equipos deben mantener
A.11.2 correctamente para asegurar
.4
Mantenimiento de equipos
disponibilidad e integridad
continuas.
Los equipos, información,
A.11.2 software no se deben retirar
.5
Retiro de activos
de su sitio sin autorización
previa.
Se deben aplicar medidas de
seguridad a los activos que se
encuentren fuera de las
A.11.2 Seguridad de los equipos fuera de
.6 las instalaciones
instalaciones de la
organización teniendo en
cuenta los diferentes riesgos
de trabajar fuera de dichas
Como principio de seguridad para
el fortalecimiento del control
SGGU01 Guía de Seguridad interno en la entidad y por su
1
Física y del Entorno
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SGGU01 Guía de Seguridad interno en la entidad y por su
1
Física y del Entorno
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SGGU01 Guía de Seguridad interno en la entidad y por su
1
Física y del Entorno
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SGGU01 Guía de Seguridad interno en la entidad y por su
1
Física y del Entorno
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SGGU01 Guía de Seguridad interno en la entidad y por su
1
Física y del Entorno
SI NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
SGGU01 Guía de Seguridad interno en la entidad y por su
1
Física y del Entorno
SI SI NO componente público, se debe
contar con este control
implementado.
 Se debe verificar todos los
elementos del equipo que
contengan medios de
almacenamiento para
A.11.2 Disposición segura o reutilización
asegurar que cualquier dato
.7 de equipos
confidencial o software
licenciado haya sido retirado o
sobrescrito de forma segura,
antes de su disposición o
Los usuarios deben
A.11.2 asegurarse de que a los
.8
Equipos de usuario desatendido
equipos desatendidos se les
da protección apropiada.
Se debe adoptar una política
de escritorio limpio para los
papeles y medios de
A.11.2 Política de escritoria limpio y
.9 pantalla limpia
almacenamiento removibles,
y una política de pantalla
limpia en las instalaciones de
procesamiento de
A.12 Seguridad de las operaciones
A.12.1 Procedimientos operacionales y responsabilidades: Asegurar las
Los procedimientos de operación
A.12. Procedimientos de operación se deben documentar y poner a
documentados disposición de todos los usuarios
1.1
que los necesitan.
Se deben controlar los cambios
en la organización, en los
procesos de negocio, en las
A.12.
Gestión de cambios instalaciones y en los sitemas de
1.2 procesamiento de información
que afectan la seguridad de la
información.
GSGU06 Borrado seguro de la
1 SI
información
ASPO09 Politicas de Tercer
1 nivel del Subsistema de SI
Seguridad de la Información
ASPO09 Politicas de Tercer
1 nivel del Subsistema de SI
Seguridad de la Información
16
4
1 Base de Conocimiento de TI SI
GSPD02 Gestión de
1 SI
Cambios
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
NO NO
componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
NO NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad para
el fortalecimiento del control
interno en la entidad y por su
SI NO componente público, se debe
contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe controlar las operaciones
NO NO
efectuadas, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe controlar las operaciones
SI NO efectuadas, por tanto se debe
contar con este control
implementado.
 Se debe hacer seguimiento al
uso de los recursos, hacer los
ajustes, y hacer proyecciones de
A.12.
Gestión de capacidad los requisitos de capacidad
1.3 futura, para asegurar el
desempeño requerido del
sistema
Se deben separar los ambientes
de desarrollo, de prueba y
A.12. Separación de los ambientes de operación, para reducir los
desarrollo, pruebas y operación. riesgos de acceso o cambios no
1.4
autorizados al ambiente de
operación.
A.12.2 Protección contra códigos maliciosos: Asegurarse de que la
Se deben implementar controles
de detección de prevencion y de
A12.2 recuperación, combinados con la
Controles contra códigos maliciosos
toma de conciencia apropiada de
.1.
los usuarios, para proteger
contra códigos maliciosos.
A12.3. Copias de Respaldo: Proteger contra la perdida de daños
Se deben hacer copias de
respaldo de la información,
software e imágenes de los
A12.3
Respaldo de la Informacion sistemas, y ponerlas a prueba
.1. regularmente de acuerdo con
una politica de copias de
respaldo acordadas.
A12.4. Registro y Seguimiento: Registrar eventos y generar evidencia
GSGU11 Seguridad en las
1 SI
Operaciones
GSGU11 Seguridad en las
1 SI
Operaciones
1
GSGU11 Seguridad en las
1 SI
Operaciones
1
GSGU07 Copias de
1 SI
Seguridad
4
Como principio de seguridad de la
informacion, explicitamente se
debe controlar las operaciones
SI NO efectuadas, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe contar con ambientes de
SI NO desarrollo y prueba de los
sistemas de información, por tanto
se debe contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe contar con controles contra
NO NO codigos maliciosos que protejan la
infraestructura de la SNS, por
tanto se debe contar con este
control implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe contar con controles de
respaldo de la información para
NO NO preservar la disponibilidad de la
información, por tanto se debe
contar con este control
implementado.

Se deben elaborar, conservar
y revisar regularmente los
registros acerca de
A12.4
Registro de eventos actividades del usuario,
.1. excepciones fallas y eventos
de seguridad de la
informacion.
Las instalaciones y la
información de registro se
A12.4 Protección de la infomación de
registro.
deben proteger contra
.2. alteración y acceso no
autorizado.
Las actividades del
administrador y del operador
A12.4 Registros del administrador y del del sistema se deben
operador registrar, y los registros se
.3.
deben proteger y revisar con
regularidad.
Los relojes de todos los
sistemas de procesamiento
de información pertinentes
A12.4
Sincronización de Relojes dentro de una organización o
.4. ámbito de seguridad se deben
sincronizar con una única
fuente de referencia de
Control de Software Operacional: Asegurarse de la integridad de
A12.5.
los sistemas operacionales.
GSGU11 Seguridad en las
1 NO
Operaciones
GSGU11 Seguridad en las
1 SI
Operaciones
GSGU11 Seguridad en las
1 NO
Operaciones
GSGU11 Seguridad en las
1 SI
Operaciones
1
Como principio de seguridad de la
informacion, explicitamente se
debe contar con controles de
registro de eventos que puedan
SI NO afectar la seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe contar con controles de
registro de eventos que puedan
NO NO afectar la seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe contar con controles de
registro de eventos que puedan
SI NO afectar la seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
informacion, explicitamente se
debe contar con la sincronización
NO NO de relojes en los sistemas de
información, por tanto se debe
contar con este control
implementado.
 GSGU04 Prestación del
Servicio para la atención de
requerimientos
Como principio de seguridad de la
Se deben implementar
GSPD04 Gestión de informacion, se debe contar con
A12.5 Instalación de software en procedimientos para controlar
sistemas operativos la instalación de software en
1 Requerimientos SI NO NO controles para la instalacion de
.1. software, por tanto se debe contar
sistemas operativos.
ASPO09 Politicas de Tercer con este control implementado.
nivel del Subsistema de
Seguridad de la Información

A12.6. Gestion de las vulnerabilidad técnica: Prevenir el 4 ,

Se obtener oportunamente
información acerca de las
Como principio de seguridad de la
vulnerabilidades técnicas de
informacion, se debe contar con
los sistemas de información
A12.6 Gestión de las vulnerabilidades GSGU11 Seguridad en las controles para la gestión de
técnicas
que se usen; evaluar la 1 SI NO NO vulnerabilidades técnicas, por
.1. exposición de la organización
Operaciones
tanto se debe contar con este
a estas vulnerabilidades, y
control implementado.
tomar las medidas apropiadas
para tratar el riesgo asociado.
Como principio de seguridad de la
Se debe establecer e
ASPO09 Politicas de Tercer informacion, se debe contar con
A12.6 Restricciones sobre la instalación implementar las reglas para la
de software. instalación de software por
1 nivel del Subsistema de SI NO NO controles para la instalacion de
.2. software, por tanto se debe contar
parte de los usuarios. Seguridad de la Información
con este control implementado.
A12.7. Consideraciones sobre auditorias de sistemas de infomación: 1
Los requisitos y actividades
de auditoría que involucran la Como principio de seguridad de la
verificación de los sistemas informacion, explicitamente se
A12.7 Controles de auditoria de sistemas GSGU11 Seguridad en las
de información
operativos se deben planificar 1 SI SI NO debe contar con controles de
. 1. y acordar cuidadosamente
Operaciones auditoría, por tanto se debe contar
para minimizar las con este control implementado.
interrupciones en los
A13. SEGURIDAD DE LAS COMUNICACIONES 7
A13.1. Gestión de la seguridad de las redes: Asegurar la protección de la 3
 Como principio de seguridad de la
Las redes se deben gestionar
información y para dar un
A.13. y controlar para proteger la GSGU05 Acceso a redes y
Controles de redes
información en sistemas y
1 SI NO NO adecuado uso a las redes de
1.1. a servicios en red información, se debe contar con
aplicaciones.
este control implementado.
Se deben identificar los
mecanismos de seguridad,
Como principio de seguridad de la
los niveles de servicio y los
información y para dar un
A13.1 requisitos de gestión de todos GSGU05 Acceso a redes y
Seguridad de los servicios de red.
los servicios de red, ya sea
1 SI NO NO adecuado uso a las redes de
.2. a servicios en red información, se debe contar con
que los servicios se presten
este control implementado.
internamente o se contraten
externamente.
Como principio de seguridad de la
Los grupos de servicios de
A información y para dar un
información, usuarios y GSGU05 Acceso a redes y
13.1.3 Separación en las redes.
sistemas de información se
1 SI NO NO adecuado uso a las redes de
a servicios en red información, se debe contar con
. deben separar de las redes.
este control implementado.
A13.2. Transferencia de información: Mantener la seguridad de la 4
Se debe contar con políticas,
Como principio de seguridad
procedimietos y controles de
informática, explicitamente y por el
transferencia formales para ASPO09 Politicas de Tercer
A13.2. Politicas y procedimientos de intercambio de datos con
1 transferencia de información.
proteger la transferencia de 1 nivel del Subsistema de SI NO NO entidades externas, se debe
información mediante el uso Seguridad de la Información
contar con este control
de todo tipo de isntalaciones
implementado.
de comunicaciones.
Como principio de seguridad
Los acuerdos deben tratar la
informática, explicitamente y por el
transferencia segura de
A13.2. Acuerdos sobre transferencia de GGGU03 Guia de Tratamiento intercambio de datos con
2. información.
información del negocio entre 1
de la Información
SI NO NO entidades externas, se debe
la organización y las partes
contar con este control
externas.
implementado.
Como principio de seguridad
Se debe proteger informática, explicitamente y por el
A13.2. adecuadamente la GGGU03 Guia de Tratamiento intercambio de datos con
3.
Mensajería electrónica
información incluida en la
1
de la Información
SI NO NO entidades externas, se debe
mensajería eletrónica. contar con este control
implementado.
 Se deben identificar, revisar
regularmente y documentar
los requisitos para los
A13.2. Acuerdos de confidencialidad o de acuerdos de confidencialidad
4. no divulgación. o no divulgación que reflejen
las necesidades de la
organización para la
protección de la información.
A14. ADQUISICION Y MANTEMIENTO DE SISTEMAS
A14.1. Requisitos de seguridad de los sistemas de información: Asegurar
Los requsitos relacionados
con seguridad de la
Análisis y especificación de información se deben incluir
A14.1.
1.
requisitos de seguridad de la en los requisitos para nuevos
información. sistemas de información o
para mejoras a los sistemas
de información existentes.
La información involucrada en
los servicios de las
aplicaciones que pasan sobre
A14.1. Seguridad de servicios de las redes públicas se debe
2. aplicaciones en redes públicas. proteger de actividades
fraudulentas, disputas
contractuales y divulgación y
modificación no autorizadas.
La información involucrada en
las transacciones de los
servicios de las aplicaciones
se debe proteger para evitar
la trasmisión incompleta, el
A14.1. Protección de transacciones de los
3. servicios de las aplicaciones
enrutamiento errado, la
alteración no autorizada de
mensajes, la divulgación no
autorizada, y la duplicación o
reproducción de mensajes no
autorizada.
A14.2. Seguridad en los procesos de desarrollo y de soporte: Asegurar
Como principio de seguridad
informática, explicitamente y por el
Acuerdo de Confidencialidad y
intercambio de datos con
1 Reserva de manejo de la SI NO NO entidades externas, se debe
Información
contar con este control
implementado.
13
3
RSFT03 Requerimientos De
Como principio de seguridad de la
Seguridad Para Aplicaciones
información, y especificamente
con el desarrollo de sistemas de
1 RSPD01 Gestión de SI NO NO información en su fase inicial, se
arquitectura de tecnologías de la
debe contar con este control
información
implementado.
Como principio de seguridad de la
información, y especificamente los
RSPD02 Gestión de sistemas de información que son
1
Aplicaciones
SI SI NO expuestas a redes públicas, se
debe contar con este control
implementado.
Como principio de seguridad de la
información, y especificamente en
RSPD02 Gestión de
1
Aplicaciones
SI SI NO la protección de los servicios de
las aplicaciones, se debe contar
con este control implementado.
9

Se deben establecer y aplicar
reglas para el desarrollo de
A14.2.
1.
Politica de desarrollo seguro. software y de sistemas, a los
desarrolladores dentro de la
organización.
Los cambios a los sistemas
dentro dentro del ciclo de vida
A14.2. Procedimiento de control de de desarrollo se deben
2. cambios en sistemas. controlar mediante el uso de
procedimientos formales de
control de cambios.
Cuando se cambian las
plataformas de operación, se
debn revisar las aplicaciones
Revisión técnica de las
A14.2. críticas del negocio, y
3.
aplicaciones después de cambios
someter a prueba para
en la plataforma de operación.
asegurar que no haya
impacta adverso en las
operaciones o seguridad de la
Se deben desalentar las
modificaciones a los paquetes
de software, los cuales se
A14.2. Restricciones en los cambios a los
4. paquetes de software
deben limitar a los cambios
necesarios, y todos los
cambios se deben controlar
estrictamente.
Se deben establecer,
documentar y mantener
principios para la construcción
A14.2. Principios de construccion de los de sistemas seguros para las
5. sistemas seguros. actividades de desarrollo e
integración de sistemas que
comprendan todo el ciclo de
vida de desarrollo de
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
1 GSPD02 Gestión de Cambios
RSPD02 Gestión de
1
Aplicaciones
RSPD02 Gestión de
1
Aplicaciones
RSPD02 Gestión de
1
Aplicaciones
Como principio de seguridad de la
información, la Entidad debe
contar con una política de
SI NO NO Desarrollo Seguro clara, por tanto
se debe contar con este control
implementado.
Como principio de seguridad de la
información, se debe controlar los
cambios en los sistemas de
SI SI NO información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
información, se debe controlar los
cambios en los sistemas de
SI SI NO información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
información, se debe restringir los
SI SI NO cambios en los paquetes de
software, por tanto se debe contar
con este control implementado.
Como principio de seguridad
informática se debn establecer los
principios de construcción de
SI SI NO sistemas de información seguros,
por tanto se debe contar con este
control implementado.
 Las organizaciones deben
establecer y proteger
adecuadamente los
A14.2. ambientes de desarrollo
6.
Ambiente de desarrollo seguro.
seguros para las actividades
de desarrollo e integración de
sistemas de comprendan todo
el ciclo de vida de desarrollo
La organización debe
supervisar y hacer
A14.2. Desarrollo contratado
7. externamente
seguimiento de la actividad de
desarrollo de sistemas
contratados externamente.
Durante el desarrollo se
A14.2. deben llevar a cabo pruebas
8.
Pruebas de seguridad de Sistemas
de funcionalidad de
seguridad.
Para los Sistemas de
información nuevos,
actualizaciones y nuevas
A.14.2
.9.
Prueba de aceptación de Sistemas versiones, se debn establecer
programas de prueba para
aceptación y criterios de
aceptación relacionados.
A14.3. Datos de prueba: Asegurar la protección de los datos usados para
Los datos de prueba se
A14.3. deben seleccionar, proteger
1.
Protección de datos de prueba.
y controlar
cuidadosamente.
A15. RELACIONES CON LOS PROVEEDORES
A15.1. Seguridad de la información en las relaciones con los
Como principio de seguridad
informática, se debe contar con
ambientes de desarrollo seguro,
RSPD02 Gestión de protegidos adecuadamente para
1
Aplicaciones
SI NO NO las actividades de desarrollo de
los sistemas de información, por
tanto se debe contar con este
control implementado.
Como principio de seguridad
informática, los servicios de
RSPD02 Gestión de desarrollo tercerizados se deben
1
Aplicaciones
SI SI NO controlar adecuadamente, por
tanto se debe contar con este
control implementado.
Como principio de seguridad
informática se deben realizar
pruebas de seguridad a los
RSPD02 Gestión de
1
Aplicaciones
SI SI NO sistemas de información durante
el desarrollo, por tanto se debe
contar con este control
implementado.
Como principio de seguridad
informática se deben realizar
RSPD02 Gestión de pruebas de aceptación a los
1
Aplicaciones
SI SI NO sistemas de información, por tanto
se debe contar con este control
implementado.
1
Como principio de seguridad de
la información se deben proteger
los datos de prueba
RSPD02 Gestión de
1
Aplicaciones
NO SI NO adecuadamente en los sistemas
de información, por tanto se debe
contar con este control
implementado.
5
3

Los requisitos de seguridad
de la información para mitigar
Política de seguridad de la los riesgos asociados con el
A15.1.
1.
información para las relaciones acceso de proveedores a los
con proveedores. activos de la organización se
deben acordar con éstos y se
deben documentar.
Se deben establecer y
acordar todos los requisitos
de seguridad de la
información pertinentes con
A15.1. Tratamiento de la seguridad dentro cada proveedor que pueda
2. de los acuerdos con proveedores. tener acceso, procesar,
almacenar, comunicar o
suministrar componentes de
infraestructura de TI para la
información de la
Los acuerdos con
proveedores deben incluir
requisitos para tratar los
Cadena de suministro de riesgos de seguridad de la
A15.1.
3.
tecnología de información y información asociados con la
comunicación. cadena de suministro de
productos y servicios de
tecnología de información y
comunicación.
A15.2. Gestión de la prestación de servicios de proveedores: Mantener
ASPO09 Politicas de Tercer
1 nivel del Subsistema de
Seguridad de la Información
Acuerdo de confidencialidad y
1 reserva de manejo de
información
ASFT24 Criterios de Selección a
Proveedores y Productos
1
Críticos para el Sistema
Integrado de Gestión
2
Como principio de seguridad de la
información, la Entidad debe
contar con la Politica de seguridad
de la información en la relación
con los proveedores a fin de
SI NO NO mitigar los riesgos que se puedan
presentar durante la prestaciión
de los servicios, por tanto se debe
contar con este control
implementado
Como principio de seguridad de la
información, la Entidad debe
contar con la Politica de seguridad
de la información en la relación
con los proveedores a fin de
SI NO NO mitigar los riesgos que se puedan
presentar durante la prestaciión
de los servicios, por tanto se debe
contar con este control
implementado
Como principio de seguridad de la
información, la Entidad debe
contar con la Politica de seguridad
de la información en la relación
con los proveedores a fin de
NO SI NO mitigar los riesgos que se puedan
presentar durante la prestaciión
de los servicios, por tanto se debe
contar con este control
implementado

Las organizaciones deben
hacer seguimiento, revisar y
A15.2. Seguimiento y revisión de los
1. servicios de los proveedores.
auditar con regularidad la
prestación de los servicios de
los proveedores.
Se deben gestionar los
cambios en el suministro de
servicios por parte de los
proveedores, incluido el
mantenimiento y la mejora de
A15.2. Gestión de cambios en los las poíticas, procedimientos y
2. servicios de los proveedores. controles de seguridad de la
información existentes,
teniendo en cuenta la
criticidad de la información ,
sistemas y procesos del
negocio involucrados, y la
A16. GESTIÓN DE INCIDENTES DE SEGURIDAD DE LA
A16.1. Gestión de incidentes y mejoras en la seguridad de la
Se deben establecer las
responsabilidades y
procedimientos de gestión
A16.1. Responsabilidades y
1. procedimientos.
para asegurar una respuesta
rápida, eficaz y ordenada a
los incidentes de seguridad
de la información.
Los eventos de seguridad de
la información se deben
A16.1. Reporte de eventos de seguridad informar a través de los
2. de la información. canales de gestión
apropiados, tan pronto como
sea posible.
ASFT24 Criterios de Selección a
Proveedores y Productos
1
Críticos para el Sistema
Integrado de Gestión
ASFT24 Criterios de Selección a
Proveedores y Productos
1
Críticos para el Sistema
Integrado de Gestión
7
7
GSGU08 Gestion de Incidentes
1
de Seguridad de la Informacion
GSGU08 Gestion de Incidentes
de Seguridad de la Informacion
1 ASPO09 Politicas de Tercer
nivel del Subsistema de
Seguridad de la Información
Como principio de seguridad de la
información, la Entidad debe
hacer seguimiento y revisión a los
servicios prestados por los
NO SI NO proveedores a fin de mitigar los
riesgos que se puedan presentar
durante la prestaciión de los
servicios, por tanto se debe contar
con este control implementado
Como principio de seguridad de la
información, la Entidad debe
hacer seguimiento a la gestión de
los cambios en la revisión a los
servicios prestados por los
NO SI NO proveedores a fin de mitigar los
riesgos que se puedan presentar
durante la prestaciión de los
servicios, por tanto se debe contar
con este control implementado
Como principio de seguridad de la
información la Entidad debe
gestionar adecuadamente los
SI NO NO incidentes de seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
información la Entidad promover
el reporte de eventos de seguridad
SI NO NO de la información, por tanto se
debe contar con este control
implementado.
 Se debe exigir a todos los
empleados y contratistas que
usan los servicios y sistemas
de información de la
A16.1. Reporte de debilidades de
3. seguridad de la información
organización, que observen y
reporten cualquier debilidad
de seguridad de la
información observada o
sospechada en los sistemas o
Los eventos de seguridad de
la información se deben
Evaluación de eventos de
A16.1. evaluar y se debe decidir si se
4.
seguridad de la información y
van a clasificar como
decisiones sobre ellos.
incidentes de seguridad de la
información.
Se debe dar respuesta a los
incidentes de seguridad de la
A16.1. Respuesta a incidentes de
5. seguridad de la información.
información de acuerdo con
procedimientos
documentados.
El conocimiento adquirido al
analizar y resolver incidentes
Aprendizaje obtenido de los
A16.1. de seguridad de la
6.
incidentes de seguridad de la
información se deb usar para
información.
reducir la posibilidad o el
impacto de incidentes futuros.
La organización debe definir y
aplicar procedimientos para la
A16.1. identificación, recolección,
7.
Recolección de evidencia.
adquisición y preservación de
información que pueda servir
como evidencia.
A17. ASPECTOS DE SEGURIDAD DE LA INFORMACIÓN DE
A17.1. Continuidad de seguridad de la informacion: La continuidad de
Como principio de seguridad de la
información la Entidad promover
GSGU08 Gestion de Incidentes el reporte de debilidades de
1
de Seguridad de la Informacion
SI NO NO seguridad de la información, por
tanto se debe contar con este
control implementado.
Como principio de seguridad de la
información la Entidad debe
gestionar adecuadamente los
GSGU08 Gestion de Incidentes
1
de Seguridad de la Informacion
SI NO NO incidentes de seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
información la Entidad debe
gestionar adecuadamente los
GSGU08 Gestion de Incidentes
1
de Seguridad de la Informacion
SI NO NO incidentes de seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
información la Entidad debe
gestionar adecuadamente los
GSGU08 Gestion de Incidentes
1
de Seguridad de la Informacion
SI SI NO incidentes de seguridad de la
información, por tanto se debe
contar con este control
implementado.
Como principio de seguridad de la
información la Entidad debe
gestionar adecuadamente los
GSGU08 Gestion de Incidentes
1
de Seguridad de la Informacion
SI SI NO incidentes de seguridad de la
información, por tanto se debe
contar con este control
implementado.
4
3
 La organización debe
determinar sus requisitos
para la seguridad de la
A17.1. Planificación de la continuidad de información y la continuidad
1. la seguridad de la información. de la gestión de la seguridad
de la información en
situaciones adversas, por
ejemplo, durante una crisis o
La organización debe
establecer, documentar,
implementar y mantener
A17.1. Implementación de la continuidad procesos, procedimientos y
2. de la seguridad de la información. controles para asegurar el
nivel de continuidad requerido
para la seguridad de la
información durante una
La organización debe verificar
a intervalos regulares los
controles de continuidad de la
Verificación, revisión y evaluación
A17.1. seguridad de la información
3.
de la continuidad de la seguridad
establecidos e
de la información.
implementados, con el fin de
asegurar que son válidos y
eficaces durante situaciones
A17.2. Redundancias: Asegurar la disponibilidad de instalaciones de
Las instalaciones de
procesamiento de información
A17.2. Disponibilidad de instalaciones de se deben implementar con
1. procesamiento de información. redundancia suficiente para
cumplir los requisitos de
disponibilidad.
A18. CUMPLIMIENTO
A18.1. Cumplimiento de requisitos legales y contractuales: Evitar el
Como principio de la información
se debe planear la continuidad de
GGPD02 Gestión de la seguridad de la información en
1
Continuidad del Negocio
NO SI NO situaciones adversas, por tanto se
debe contar con este control
implementado.
Como principio de la información
se debe planear la continuidad de
GGPD02 Gestión de la seguridad de la información en
1
Continuidad del Negocio
NO SI NO situaciones adversas, por tanto se
debe contar con este control
implementado.
Como principio de la información
se debe verificar, revisar y evaluar
la continuidad de la seguridad de
GGPD02 Gestión de
1
Continuidad del Negocio
NO SI NO la información en situaciones
adversas, por tanto se debe
contar con este control
implementado.
1
Como principio de la información
se debe contar con redundancias
en las instalaciones de
GGPD02 Gestión de procesamiento de información
1
Continuidad del Negocio
NO SI NO para tener disponibilidad de la
información, por tanto se debe
contar con este control
implementado.
8
5
 Todos los requisitos
estaturios, reglamentarios y
contractuales pertinentes y el
Identificación de la legislación enfoque de la organización
A18.1.
1.
aplicable y de los requisitos para cumplirlos, se deben
contractuales. identificar y documentar
explícitamente, y mantenerlos
actualizados para cada
sistema de información y para
Se deben implementar
procedimientos apropiados
para asegurar el
cumplimiento de los requisitos
A18.1.
2.
Derechos de propiedad intelectual. legislativos, de
reglamentación y
contractuales relacionados
con los derechos de
propiedad intelectual y el uso
Los registros se deben
proteger contra pérdida,
destrucción, falsificación,
A18.1. acceso no autorizado y
3.
Protección de registros.
liberación no autorizada de
acuerdo con los requisitos
legislativos, de
reglamentación contractuales
Se deben asegurar la
privacidad y la protección de
la información de datos
A18.1. Privacidad y Protección de
4. información de datos personales.
personales, como se exige en
la legislación y la
reglamentación pertinentes,
cuando sea aplicable.
Se deben usar controles
criptográficos, en
A18.1. Reglamentación de controles
5. criptográficos.
cumplimiento de todos los
acuerdos, legislación y
reglamentación pertinentes.
ASFT03 Normograma del
1
Sistema Integrado de Gestión
Documento de Contrato -
1
Obligaciones Generales inciso 4
Programa de Gestión
1
Documental
1 Resolución 656 de 2016
DECRETO 2674 DE 2012
CAPÍTULO V
1 De las obligaciones y
responsabilidades en el uso del
SIIF Nación
Artículo 27 literal d.
Se debe identificar
adecuadamente la legislación
aplicable con el SSI para cumplir
SI NO NO con regulación vigente gobierno
colombiano, por tanto se debe
cumplir con este control
implementado
La Entidad debe promover el
cumplimiento a la reglamentación
vigente relacionados con
SI NO NO propiedad intelectual y el uso de
software patentado, por tanto se
debe cumplir con este control
implementado
La Entidad debe proteger
adecuadamente los registros que
SI NO NO se generen durante su gestión,
por tanto se debe cumplir con este
control implementado
La Entidad debe promover el
cumplimiento a la reglamentación
vigente relacionados con
SI NO NO privacidad y protección de datos
personales, por tanto se debe
cumplir con este control
implementado
Dando cumplimiento a la
reglamentación vigente en cuanto
al uso de controles criptograficos,
SI NO NO la Entidad implementa los
controles adecuados pasra esta
labor
A18.2. Revisiones de seguridad de la información: Asegurar que la 3
El enfoque de la organización
para la gestión de la
seguridad de la información y
su implementación ( es decir,
Se incluye como parte integral de
los objetivos de control, los
los requisitos del estándar para el
A18.2. Revisión independiente de la controles, las políticas, los
1. seguridad de la información. procesos y los procedimientos
1 Programa anual de auditorías SI NO NO SSI en la entidad. Tiene asociado
el numeral 9 de la norma de la
para seguridad de la
referencia.
información) se deben revisar
independientemente a
intervalos planificados o
cuando ocurran cambios
Los directores deben revisar
con regularidad el
cumplimiento del Por disposición del Gobierno
procesamiento y Nacional, la seguridad de la
A18.2. Cumplimiento con las políticas y
2. normas de seguridad.
procedimientos de 1 Decreto 2573 de 2014 SI NO NO información debe estar presente
información dentro de su área en los procesos de la Entidades
de responsabilidad, con las del Estado.
políticas y normas de
seguridad apropiadas, y
Para preservar la seguridad en los
Los sistemas de información
sistemas de información, se
se deben revisar
hacen analisis de
A18.2. periódicamente para GSGU11 Seguridad en las
3.
Revisión del cumplimiento técnico
determinar el cumplimiento
1 SI NO NO vuolnerabilidades a los mismos,
Operaciones de igual manera se revisa que se
con las políticas y normas de
estan dando cumplimiento a las
seguridad de la información.
politicas de seguridad

COFL03