Política de Seguridad de la Información

Objetivo: Precisar el alcance de los conceptos empleados.

1. 2.1.1 Información: toda comunicación o representación de conocimiento, como datos, en cualquier forma y medio.
2. 2.1.2 Sistema de información: conjunto de recursos organizados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información, tanto automatizados como manuales.
3. 2.1.3 Tecnología de la información: el hardware y el software operados por la plataforma o por un tercero que procese información en su nombre, cualquiera sea la tecnología utilizada.
4. 2.1.4 Propietario de la información: la persona o rol responsable de la integridad, confidencialidad y disponibilidad de una determinada información.
5. 2.1.5 Persona usuaria: quien utiliza la plataforma, sus servicios o sus contenidos.

Objetivo: Establecer una base común para la gestión del riesgo.

1. 2.2.1 Evaluación de riesgos: análisis de las amenazas y vulnerabilidades relativas a la información y a las instalaciones de procesamiento, la probabilidad de que ocurran y su impacto potencial.
2. 2.2.2 Tratamiento de riesgos: proceso de selección e implementación de medidas para modificar el riesgo.
3. 2.2.3 Gestión de riesgos: actividades coordinadas para dirigir y controlar la organización en lo que concierne al riesgo, que incluye su evaluación, tratamiento, aceptación y comunicación.
4. 2.2.4 Riesgo: combinación de la probabilidad de ocurrencia de un evento y sus consecuencias. Amenaza: causa potencial de un incidente no deseado. Vulnerabilidad: debilidad de un activo que puede ser aprovechada por una amenaza. Control: medio para gestionar el riesgo, de naturaleza administrativa, técnica, de gestión o legal; se utiliza como sinónimo de salvaguarda o contramedida.
5. 2.2.5 Incidente de seguridad: evento adverso que compromete o puede comprometer la confidencialidad, integridad o disponibilidad de la información.

Objetivo: Identificar los roles previstos en la PSI.

1. 2.3.1 Comité de Seguridad de la Información (CSI): cuerpo destinado a garantizar el apoyo manifiesto de la Dirección a las iniciativas de seguridad. Su conformación puede adecuarse al tamaño de la organización.
2. 2.3.2 Responsable de Seguridad de la Información (RSI): rol que supervisa, planifica, desarrolla, controla y gestiona las políticas, procedimientos y acciones de cumplimiento de la PSI.
3. 2.3.3 Responsable del área tecnológica: rol a cargo de la operación, administración y desarrollo de los sistemas y recursos tecnológicos.
4. 2.3.4 Un mismo rol puede ser desempeñado por una o más personas, y una persona puede reunir más de un rol, siempre que se preserve la adecuada separación de funciones prevista en esta PSI.

Objetivo: Identificar, cuantificar y priorizar los riesgos.

1. 4.1.1 Los riesgos se evalúan en función de criterios de aceptación definidos y de los objetivos de control relevantes. Los resultados orientan las prioridades de gestión y la selección de controles.
2. 4.1.2 La evaluación se realiza periódicamente y cada vez que ocurren cambios significativos en los activos, amenazas, vulnerabilidades, impactos o requisitos, de manera metódica, comparable y reproducible.
3. 4.1.3 El alcance de una evaluación puede comprender a toda la organización, a un proceso, a un sistema particular o a componentes específicos.

Objetivo: Decidir y documentar la respuesta a cada riesgo.

1. 4.2.1 Para cada riesgo identificado se adopta una decisión de tratamiento: mitigar mediante controles apropiados; aceptar de manera objetiva y consciente, cuando satisface los criterios de aceptación; evitar, eliminando la actividad que lo origina; o transferir a terceros.
2. 4.2.2 La selección de controles considera requisitos legales y regulatorios, objetivos de la organización, restricciones operativas y la proporcionalidad entre el costo de implementación y el riesgo reducido.
3. 4.2.3 Ningún conjunto de controles alcanza la seguridad absoluta. Los controles se evalúan permanentemente para mejorar su eficiencia y efectividad.

Objetivo: Enunciar los criterios que guían toda decisión en materia de seguridad.

1. 5.1.1 Privacidad desde el diseño y por defecto: las funciones nuevas se conciben recolectando la menor cantidad de datos necesaria y con la configuración más protectora.
2. 5.1.2 Necesidad de saber y mínimo privilegio: cada persona o proceso accede solo a la información imprescindible para su función.
3. 5.1.3 Defensa en profundidad: la protección se organiza en capas sucesivas, de modo que la falla de una no comprometa por sí sola a la información.
4. 5.1.4 Segregación de funciones: se evita que una misma persona controle de punta a punta procesos sensibles sin supervisión.
5. 5.1.5 Trazabilidad: las acciones relevantes pueden reconstruirse a efectos de control y auditoría.
6. 5.1.6 Mejora continua: la PSI y sus controles se revisan y perfeccionan de forma periódica.

Objetivo: Mantener la política alineada con la realidad de la organización.

1. 5.2.1 La PSI se revisa al menos una vez al año y cada vez que se produzcan cambios significativos en la plataforma, en el contexto de amenazas o en el marco normativo.
2. 5.2.2 Las modificaciones se registran en el cuadro de gestión de versiones y se comunican a las personas alcanzadas.

Objetivo: Asegurar la coordinación de las actividades de seguridad.

1. 6.1.1 Se definen y documentan las responsabilidades en materia de seguridad, con la debida segregación entre funciones incompatibles.
2. 6.1.2 Se mantienen contactos apropiados con las autoridades competentes y con grupos especializados en seguridad, a fin de recibir alertas y actuar ante incidentes.
3. 6.1.3 La seguridad de la información se considera en la gestión de todos los proyectos, cualquiera sea su naturaleza.

Objetivo: Proteger la información accedida o procesada fuera de las instalaciones habituales.

1. 6.2.1 El uso de dispositivos portátiles y el trabajo a distancia están sujetos a medidas que reducen los riesgos de pérdida, robo, acceso no autorizado o divulgación.
2. 6.2.2 El acceso remoto a los recursos de la plataforma se realiza únicamente por medios autorizados y protegidos.

Objetivo: Asegurar que las personas sean idóneas para el rol.

1. 7.1.1 Se verifican los antecedentes de acuerdo con la normativa aplicable y de forma proporcional a la criticidad del rol.
2. 7.1.2 Se suscriben compromisos de confidencialidad antes de otorgar acceso a información no pública.

Objetivo: Mantener la concientización y el cumplimiento.

1. 7.2.1 Se brinda capacitación periódica en seguridad de la información y protección de datos personales.
2. 7.2.2 El incumplimiento de la PSI da lugar a las medidas que correspondan según el vínculo y la normativa aplicable.

Objetivo: Proteger la información al finalizar o modificar la relación.

1. 7.3.1 Se revocan o ajustan de inmediato los accesos y se recuperan los activos entregados.
2. 7.3.2 Las obligaciones de confidencialidad subsisten después de finalizada la relación.

Objetivo: Mantener un inventario actualizado.

1. 8.1.1 Se identifican los activos relevantes y se asigna a cada uno un propietario.
2. 8.1.2 Se establecen reglas para el uso aceptable de la información y de los recursos.

Objetivo: Asegurar un tratamiento acorde a la sensibilidad.

1. 8.2.1 La información se clasifica, como mínimo, en los niveles Público, Uso interno, Confidencial y Reservado, según su sensibilidad, valor y requisitos legales.
2. 8.2.2 Los datos personales de las personas usuarias se consideran, por defecto, Confidenciales. La documentación técnica y operativa de la plataforma se considera, como mínimo, de Uso interno y no se publica.
3. 8.2.3 La información se rotula y manipula de acuerdo con su clasificación.

Objetivo: Evitar la divulgación, modificación o destrucción no autorizada de información almacenada.

1. 8.3.1 Los medios que contienen información se gestionan, transportan y eliminan de manera segura, de modo que la información no pueda recuperarse cuando ya no sea necesaria.

Objetivo: Establecer reglas de control de acceso.

1. 9.1.1 Los accesos se otorgan según los principios de necesidad de saber y mínimo privilegio, y se documentan.

Objetivo: Asegurar el ciclo de vida de las credenciales.

1. 9.2.1 Existen procesos formales para el alta, la modificación, la suspensión y la baja de cuentas.
2. 9.2.2 Los privilegios elevados se asignan de forma restrictiva, se revisan periódicamente y se someten a controles reforzados de autenticación y supervisión.

Objetivo: Promover buenas prácticas.

1. 9.3.1 Cada persona es responsable de mantener la confidencialidad de sus credenciales, de no compartirlas y de informar cualquier uso no autorizado.
2. 9.3.2 La plataforma nunca solicita contraseñas por correo electrónico, mensajería ni teléfono.

Objetivo: Restringir el acceso a la información y a las funciones.

1. 9.4.1 Se aplican mecanismos de autenticación acordes a la criticidad de cada función, límites ante intentos reiterados y cierre de sesiones inactivas.
2. 9.4.2 Las funciones administrativas se encuentran separadas de las funciones disponibles para las personas usuarias.

Objetivo: Proteger los componentes de base.

1. 9.5.1 El acceso a la infraestructura se limita al personal autorizado, mediante medios protegidos y con registro de actividad.

Objetivo: Aplicar controles criptográficos conforme a normas y buenas prácticas.

1. 10.1.1 Se utilizan algoritmos y protocolos reconocidos por la comunidad internacional y vigentes según el estado del arte; su detalle es información de uso interno.
2. 10.1.2 Las claves criptográficas se generan, almacenan, rotan, respaldan y destruyen de forma segura, con acceso restringido.
3. 10.1.3 Los secretos (credenciales, claves y similares) no se incluyen en el código fuente ni en documentación de acceso general.

Objetivo: Proteger los espacios donde se procesa información.

1. 11.1.1 Se exige que las instalaciones de procesamiento cuenten con perímetros de seguridad, controles de ingreso y protección contra amenazas ambientales.

Objetivo: Evitar pérdidas, daños o robos.

1. 11.2.1 Los equipos utilizados para tareas de administración se protegen, mantienen y, al darse de baja, se borran de forma segura.
2. 11.2.2 Se aplica una política de escritorio y pantalla limpios para la información sensible.

Objetivo: Documentar y controlar la operación.

1. 12.1.1 Las tareas operativas se documentan y los cambios se gestionan de forma controlada.
2. 12.1.2 Se monitorea la capacidad de los recursos para asegurar el desempeño requerido.
3. 12.1.3 Se separan los ambientes de desarrollo, prueba y producción.

Objetivo: Prevenir, detectar y recuperarse.

1. 12.2.1 Se implementan controles de prevención, detección y recuperación, junto con la concientización de las personas.

Objetivo: Proteger contra la pérdida de datos.

1. 12.3.1 Se realizan copias de resguardo periódicas de la información y del software, protegidas con un nivel de seguridad equivalente al de los datos originales, y se verifican mediante pruebas de restauración.

Objetivo: Registrar eventos y generar evidencia.

1. 12.4.1 Se registran los eventos relevantes de seguridad, se protegen contra alteraciones y se conservan por plazos acotados y acordes a su finalidad.
2. 12.4.2 Las acciones de las cuentas con privilegios elevados quedan registradas.

Objetivo: Mantener la integridad de los sistemas.

1. 12.5.1 La instalación de software en ambientes productivos está controlada.
2. 12.5.2 Se obtiene información oportuna sobre vulnerabilidades técnicas, se evalúa la exposición y se aplican las medidas correctivas con prioridad acorde al riesgo.

Objetivo: Minimizar el impacto de las auditorías.

1. 12.6.1 Las actividades de auditoría sobre sistemas productivos se planifican y acuerdan para reducir al mínimo las interrupciones.

Objetivo: Proteger la información en las redes.

1. 13.1.1 Las comunicaciones con la plataforma se realizan por canales protegidos.
2. 13.1.2 Se segmentan los servicios según su función y criticidad, y se aplican controles sobre el tráfico permitido.

Objetivo: Mantener la seguridad de la información intercambiada.

1. 13.2.1 Los intercambios de información con terceros se rigen por acuerdos que contemplan su seguridad y confidencialidad.
2. 13.2.2 Las comunicaciones electrónicas a las personas usuarias se envían únicamente desde canales oficiales de la plataforma. Ante cualquier duda sobre la autenticidad de un mensaje, la persona usuaria puede consultar por los canales de contacto publicados.

Objetivo: Incluir la seguridad en los requisitos.

1. 14.1.1 Los requisitos de seguridad y privacidad se analizan y especifican junto con los requisitos funcionales.

Objetivo: Prevenir errores, pérdidas o uso indebido.

1. 14.2.1 Se validan los datos de entrada y de salida, y se aplican controles contra los tipos de ataque más difundidos según los catálogos reconocidos internacionalmente.
2. 14.2.2 Las operaciones sensibles cuentan con controles adicionales contra la falsificación de solicitudes y la repetición de transacciones.

Objetivo: Controlar los cambios.

1. 14.3.1 Los cambios se planifican, prueban y aprueban antes de su puesta en producción, y existe un mecanismo para revertirlos.
2. 14.3.2 Se dispone de pruebas automatizadas que verifican el comportamiento esperado de las funciones críticas.

Objetivo: Proteger los datos reales.

1. 14.4.1 Los ambientes de desarrollo y prueba no utilizan datos personales reales, salvo que se hayan anonimizado de manera adecuada.

Objetivo: Establecer requisitos.

1. 15.1.1 Se seleccionan proveedores reconocidos, que acrediten la aplicación de estándares de seguridad adecuados.
2. 15.1.2 Los acuerdos contemplan obligaciones de confidencialidad, seguridad, notificación de incidentes y, cuando tratan datos personales, su condición de encargados del tratamiento conforme a la Ley 25.326.
3. 15.1.3 La identidad de los proveedores de infraestructura y su configuración se consideran información de uso interno.

Objetivo: Monitorear el cumplimiento.

1. 15.2.1 Se revisa periódicamente el desempeño de los proveedores y se gestionan los cambios en los servicios contratados.

Objetivo: Promover el reporte.

1. 16.1.1 Toda persona alcanzada por esta PSI debe informar los eventos o debilidades de seguridad que detecte por los canales establecidos.
2. 16.1.2 Divulgación responsable: si una persona externa encuentra una posible vulnerabilidad, puede informarla de buena fe por los canales de contacto publicados, sin explotarla, sin acceder a datos de terceros y sin difundirla antes de su corrección. La plataforma agradece estos reportes y los trata con reserva.

Objetivo: Responder y aprender.

1. 16.2.1 Los incidentes se registran, clasifican, contienen, erradican y se recupera la operación normal, preservando la evidencia que pudiera ser necesaria.
2. 16.2.2 Cuando un incidente afecte datos personales, se informa a las personas afectadas y a la autoridad de control en los casos y plazos que establezca la normativa.
3. 16.2.3 Se analizan las causas para evitar su repetición y se actualizan los controles.

Objetivo: Incorporar la seguridad a la continuidad.

1. 17.1.1 Se identifican los procesos críticos, se definen objetivos de recuperación y se mantienen planes que se prueban periódicamente.
2. 17.1.2 Durante una contingencia se preservan los niveles de seguridad exigidos por esta PSI.

Objetivo: Asegurar la disponibilidad.

1. 17.2.1 Se prevén redundancias razonables para los componentes críticos, proporcionales al riesgo.

Objetivo: Identificar y cumplir la normativa aplicable.

1. 18.1.1 Entre otras normas, la plataforma considera: la Ley 25.326 de Protección de los Datos Personales y su reglamentación, y las disposiciones de la Agencia de Acceso a la Información Pública; la Ley 24.240 de Defensa del Consumidor; la Ley 11.723 de Propiedad Intelectual; la Ley 26.388 de Delitos Informáticos; la Ley 25.506 de Firma Digital, en lo pertinente; y las políticas de los servicios de terceros que utiliza, incluidas las de Google.
2. 18.1.2 Se respetan los derechos de propiedad intelectual sobre el software, los contenidos y las marcas, propios y de terceros. Los datos de mercado pertenecen a sus respectivos proveedores.
3. 18.1.3 Se protegen los registros de la organización contra pérdida, destrucción o falsificación, conforme a los requisitos legales.
4. 18.1.4 La privacidad y la protección de los datos personales se aseguran según lo descripto en la Política de Privacidad, que prevalece en lo relativo a los derechos de las personas usuarias.

Objetivo: Verificar la eficacia de los controles.

1. 18.2.1 La seguridad de la información se revisa de forma independiente a intervalos planificados o cuando ocurren cambios significativos.
2. 18.2.2 Se verifica periódicamente el cumplimiento técnico de los sistemas respecto de esta PSI.

Objetivo: Proteger los sistemas durante las auditorías.

1. 18.3.1 Las herramientas y los resultados de auditoría se protegen para evitar su uso indebido, y su contenido detallado es de uso interno.