Políticas de Seguridad de la Información

1. Objetivo

Proporcionar orientación y apoyo para la seguridad de la información de acuerdo con los requisitos del negocio, las leyes y las regulaciones aplicables, contribuyendo así a la sostenibilidad financiera de la organización.

2. Alcance

Esta “Política de Seguridad” garantiza la integridad en la prestación del servicio en todas las unidades de Positivo S+, en conformidad con las estrategias de la empresa, la legislación vigente y los requisitos contractuales.

Las directrices aquí establecidas deben ser seguidas por todos los empleados, proveedores de servicios, contratistas, pasantes, socios, y clientes que utilicen información de Positivo S+.

Nota 01: Se permitirán excepciones únicamente cuando sean aprobadas por la dirección.

3. Principios de Seguridad de la Información

Confidencialidad: Asegurar que la información sea accesible o divulgada solo a personas, entidades o procesos autorizados, garantizando la protección de los datos.

Integridad: Garantizar la veracidad, precisión y consistencia de la información, evitando que sea comprometida o alterada intencional o accidentalmente.

Disponibilidad: Garantizar que la información esté siempre accesible cuando sea necesaria, bajo demanda de personas, entidades o procesos autorizados.

4. Directrices

4.1. Personas

Empleados de Positivo S+:

Cada empleado debe firmar un “Acuerdo de Confidencialidad” al momento de su contratación o siempre que sea requerido por la empresa.
Está prohibido el uso indebido de información de la empresa o de sus clientes, compartirla con competidores, usarla para beneficio personal y/o almacenarla de forma inapropiada.
Cualquier ID de autenticación (usuario y contraseña) en la red corporativa o aplicaciones de Positivo S+ es personal e intransferible; cada usuario será responsable de su almacenamiento y uso.

4.2. Proveedores y terceros:

Toda creación, invención o desarrollo de ideas, procesos, sistemas, productos y servicios durante la prestación de servicios a Positivo S+ debe ser transferida a la empresa.
Está prohibido que los prestadores de servicios utilicen indebidamente información de la empresa o sus clientes, la compartan con competidores, la utilicen para beneficio propio o la almacenen de forma inadecuada.
Al recibir acceso a recursos de Positivo S+, el proveedor estará sujeto a las políticas internas de la organización y a las cláusulas de confidencialidad estipuladas en el contrato.

4.3. Activos

Los productos o equipos de Positivo S+ deben ser transportados de manera segura para garantizar su integridad física y lógica.
No está permitido el uso de computadoras personales en la red corporativa, salvo excepciones previamente autorizadas por el área de seguridad de la información.
Toda entrada, movimiento y salida de activos debe cumplir con los procedimientos internos de la empresa.

4.4. Procesos

La empresa debe mapear todos los procesos críticos para el negocio, realizar evaluaciones de riesgos y establecer controles. Estas evaluaciones deben ser aprobadas por la dirección y revisadas cuando ocurran cambios significativos.

4.5. Riesgo

La empresa debe aplicar un proceso de evaluación de riesgos de seguridad de la información, identificando vulnerabilidades, amenazas, impactos y niveles de riesgo aceptables.
Las evaluaciones deben ser revisadas anualmente o cuando ocurran cambios significativos.

4.6. Información

El acceso a la información de Positivo S+ o de sus clientes está restringido a personas autorizadas formalmente.
Se deben respetar todas las cláusulas de confidencialidad acordadas con los clientes.
Está prohibido el acceso no autorizado a sistemas y aplicaciones.
Toda información generada dentro de Positivo S+ pertenece a la organización, que tiene el derecho exclusivo de determinar su uso y destino.
Está prohibida la divulgación de información sin autorización previa, salvo excepciones previstas en contratos.

4.7. Sistemas y aplicaciones

No se permite la instalación de software no homologado por el área de seguridad y tecnología.
Todos los dispositivos deben tener antivirus actualizado y configuraciones de seguridad activadas.
El correo corporativo debe usarse exclusivamente para asuntos relacionados con la empresa y no para fines personales.

4.8. Violación de políticas y directrices

Se considera violación de la seguridad:

Uso ilegal de software.
Introducción de virus informáticos.
Compartir información confidencial o datos sensibles.
Exponer indebidamente datos de contratos o clientes.
Divulgar información en medios públicos sin autorización.

Las violaciones deben ser reportadas inmediatamente al área de Seguridad de la Información para su análisis y corrección.

4.9. Auditoría

Todos los empleados y terceros que utilicen recursos tecnológicos de Positivo S+ estarán sujetos a auditorías periódicas realizadas por el área de seguridad de la información o empresas contratadas.

5. Disposiciones Generales

Esta Política de Seguridad de la Información está sujeta a cambios regulares para mantenerse actualizada con la legislación aplicable.