Gestión de las comunicaciones y operaciones

Se documentará y mantendrá actualizados los procedimientos relacionados con el procesamiento de la información respecto de los siguientes temas:

 Procedimiento a seguir ante un incidente de seguridad en la jornada laboral.

 Personal a contactar para soluciones técnicas u operativas.

 Recuperación de información al producirse fallas en el sistema.

 Procedimiento a seguir para modificar la configuración de servidores o dispositivos de red.

 Copias de respaldo de las configuraciones de los servidores y dispositivos de red y actualizar la información en caso de producirse cambios.

 Procedimientos ante la migración, mantenimiento o configuraciones de equipos sin afectar las operaciones de la institución.

La asignación de funciones y responsabilidades garantiza la adecuada segregación de funciones para controlar el mal uso intencional o accidental de los sistemas, permitiendo también la monitorización de los activos de información de accesos no autorizados o accesos no detectados.

La dirección de gestión de tecnologías de información y comunicaciones TIC´s revisará el dimensionamiento de la red y los sistemas de operación y gestionará proyectos de aumento de la capacidad para nuevos usuarios si es el caso. Del mismo modo se identificarán congestiones en los servicios o cuellos de botella e informarán a las autoridades correspondientes la amenaza y planificar una acción correctiva.

Ante la implementación de nuevos sistemas de información o actualizaciones se realizarán las pruebas correspondientes sobre el funcionamiento en los sistemas actuales y serán aprobados si el impacto de su desempeño no afecte a las computadoras o los sistemas de procesamiento de la información.

La dirección de gestión de tecnologías de información y comunicaciones TIC´s en conjunto con el responsable de seguridad informático establecerá los controles necesarios para la detección y eliminación del código malicioso.

Ningún funcionario puede instalar cualquier software si no está debidamente autorizado o realizado por el responsable de la seguridad informática.

El personal del departamento de TIC´s encargado del mantenimiento del software actualizar periódicamente el software antivirus de los equipos de los usuarios, como también

software utilitario y actualizaciones de sistemas operativos bajo ciertas restricciones citadas en la sección de mantenimiento de los sistemas de información.

Analizar archivos digitales provenientes de redes externas la presencia de virus o software malicioso antes de proceder a trabajar en el archivo sospechoso.

Capacitar al personal el uso correcto del software antivirus al analizar archivos digitales, dispositivos de almacenamiento masivo portátil, forma de operación del código malicioso, ataques a través del correo electrónico, entre otros.

El responsable de seguridad informático y los propietarios de la información determinarán la información o software importante para la institución y los detalles para el respaldo de la información como también el tiempo máximo de almacenamiento.

Se realizarán las pruebas concernientes con la restauración de la información al usuario origen, verificando que la información no esté modificada y completa.

Todo respaldo remoto de la información será registrado con detalles de fecha y tamaño del archivo. El lugar donde reposa las copias de seguridad debe estar protegido contra amenazas ambientales, humanas e industriales para asegurar su permanente disponibilidad, confidencialidad e integridad de la información y todos los controles concernientes a la protección de la información citada en este documento.

La dirección de gestión de tecnologías de información y comunicaciones TIC´s establecerá los controles necesarios en el aseguramiento de las comunicaciones con redes públicas, permitiendo así la disponibilidad de los servicios de red sin anomalías.

El acceso remoto a los equipos que así lo ameriten deberá ser realizarse mediante enlaces ssh, siendo los propietarios de los activos los responsables de su administración, por lo tanto se prohíbe la habilitación del servicio telnet o escritorio remoto vnc en los servidores.

Se debe poseer una copia de seguridad de la configuración de los dispositivos de red y servidores con el fin de restablecer los servicios en el menor tiempo posible.

El responsable de seguridad informática se encargará de eliminar totalmente la información que no sea útil para la institución en cualquier formato en que se encuentre, incluso de las copias de respaldo no importantes.

El procedimiento de eliminación de activos de información corresponde al responsable de seguridad de la información, asegurándose el borrado correcto de la información almacenada en el equipo, siendo registrado y documentado dicho proceso.

El uso del correo electrónico como medio de comunicación debe ser normado siguiendo los siguientes lineamientos:

 Protección de la información de modificaciones no autorizadas, accesos no permitidos, interceptación de la información, código malicioso en los mensajes.

 Almacenamiento de los mensajes para casos de repudio.

 Requisitos funcionales del uso del medio como tamaño máximo de la información almacenada en los buzones de entrada, salida y papelería, etc.

 Alcance del uso del correo electrónico sin usar el medio para cometer actos delictivos, de ser así la institución podrá auditar los mensajes de los servidores.

Es de vital importancia para la imagen y reputación de la institución que los servicios de libre acceso al público como páginas web y consulta de documentos electrónicos no sean vulnerables a modificaciones de la información o afecten la disponibilidad del servicio.

Antes de publicar nueva información o cambios en la configuración se debe realizar un análisis de riesgos y vulnerabilidades para asegurar la no vulnerabilidad del servicio y evitar el acceso al sistema, la configuración o la base de datos del servidor.

El administrador del sistema deberá registrar sus actividades con detalles como la actividad realizada, la causa de la intervención, fecha y hora.