Política de seguridad de la información

• 1. Objetivo

Proporcionar orientación y apoyo en materia de seguridad de la información de conformidad con los requisitos de la empresa y las leyes y reglamentos pertinentes, contribuyendo así a la sostenibilidad financiera de la organización.

2. Ámbito

Esta «Política de Seguridad» mantiene la integridad de la prestación de servicios en todas las unidades de Algar Tech, de acuerdo con las estrategias de la empresa, la legislación vigente y los requisitos contractuales.

Las directrices aquí establecidas deben ser seguidas por todos los asociados, prestadores de servicios, proveedores, pasantes, contratistas, socios y clientes que utilicen información de Algar Tech.

Nota 01: Excepciones solo cuando sean aprobadas por la dirección.

3. Principios de seguridad de la información

Confidencialidad: garantizar que la información sea proporcionada o divulgada solo a individuos, entidades o procesos autorizados, asegurando el secreto de los datos.

Integridad: garantizar la veracidad, precisión y consistencia de la información, asegurando que no se vea comprometida, alterada de manera intencional o accidental.

Disponibilidad: garantizar que la información esté siempre accesible cuando sea necesario, bajo demanda por individuos, entidades o procesos autorizados.

4. Directrices

4.1. Personas

Asociados de Algar Tech

• Todo asociado debe firmar el «Acuerdo de Confidencialidad» al momento de su admisión o siempre que sea solicitado por la empresa.
• Está prohibido a cualquier asociado el uso indebido de la información de la empresa y/o de sus clientes, transmitirla a la competencia, utilizarla para beneficio propio y/o almacenar archivos y correos electrónicos de manera inapropiada.
• Cualquier ID de autenticación (usuario y contraseña) en la red corporativa o en aplicaciones proporcionadas por Algar Tech es personal e intransferible. Cada usuario será responsable del almacenamiento y uso del mismo.

Proveedor y Terceros

• Toda creación, invención y desarrollo de ideas, procesos, sistemas, productos y servicios realizados durante la prestación de servicios en Algar Tech deben ser transferidos a la misma.
• Está prohibido a cualquier persona proveedora de servicios, utilizar indebidamente la información de la empresa y de sus clientes, transmitirla a la competencia, utilizarla para beneficio propio y/o almacenar archivos y correos electrónicos de manera inapropiada.
• Al recibir acceso a cualquier recurso de Algar Tech, el prestador de servicios estará sujeto a las políticas y directrices internas de la organización y a todos los criterios establecidos en las cláusulas de confidencialidad disponibles en el contrato de prestación de servicios firmado en el momento de la contratación.

4.2. Activos

• Todo producto o equipo de Algar Tech que sea necesario transportar debe ser acomodado de manera segura, garantizando así su integridad física y lógica cuando sea aplicable.
• En la red corporativa, no se permite el uso de computadoras personales. Salvo excepciones previamente autorizadas por el departamento de seguridad de la información.
• Todo ingreso, movimiento y salida de activos de las unidades de Algar Tech debe cumplir con los procedimientos internos de la empresa.

4.3. Procesos

• La empresa debe mapear todos los procesos críticos para el negocio y realizar una evaluación de riesgos con controles y tratamientos. Éstos deben ser conocidos, aprobados y aceptados por el órgano de dirección.
• El mapeo de los procesos críticos debe revisarse siempre que ocurran cambios con impacto en el entorno.

4.4. Riesgos

• La empresa debe definir y aplicar un proceso de evaluación de riesgos de seguridad de la información para los procesos y tecnologías existentes, y sus resultados deben ser comparables y reproducibles, componiendo el Mapa de Riesgo Corporativo.
• La evaluación de riesgos debe ser capaz de identificar las vulnerabilidades, amenazas, impactos y niveles de riesgo aceptables para los activos, personas, información, sistemas, aplicaciones y mapeo de los principales procesos del negocio, de acuerdo con las estrategias de la empresa, legislación vigente y requisitos contractuales.
• La evaluación de riesgos debe revisarse al menos una vez al año, o siempre que ocurran cambios de impacto en el entorno.

4.5. Información

• El acceso a la información de Algar Tech o de sus clientes en su entorno empresarial y computacional está restringido y solo será disponible para el perfil de personas formalmente autorizadas.
• Todas las cláusulas de confidencialidad acordadas con los clientes respecto a su información deben ser respetadas por los asociados de Algar Tech o terceros que pudieran tener acceso a esta información.
• Está expresamente prohibido para todo usuario que no tenga autorización formal de uso, el acceso a cualquier sistema y aplicación, o incluso el simple intento de acceso.
• Toda información generada dentro de Algar Tech o en su nombre, que sea fruto del trabajo de los asociados, proveedores o prestadores de servicio, es propiedad de Algar Tech y solo ella puede determinar su destino y finalidad.
• Toda creación, invención y desarrollo de ideas, procesos, sistemas, productos y servicios, creados en el marco del trabajo o las responsabilidades y misión de la función o cargo del asociado en la empresa, debe ser transferida a Algar Tech.
• Está prohibida la divulgación de cualquier información de la empresa o de sus clientes a personas ajenas al mismo grupo de trabajo, en medios de comunicación públicos (incluyendo fotos/video en redes sociales) o internos, sin autorización previa o que esté vinculada al Acuerdo de Responsabilidad y Confidencialidad, salvo excepciones previstas en contrato.
• La información generada en el ámbito de la organización debe ser almacenada en un proceso de respaldo con garantía de restauración en un lugar seguro validado por el equipo competente.
• No se permite el uso de pendrives, discos duros externos o cualquier otro dispositivo removible para el transporte o almacenamiento de datos. Las excepciones deberán ser autorizadas formalmente por el departamento de seguridad de la información.
• Al finalizar el vínculo contractual con el cliente o prestador de servicios, toda la información almacenada en los equipos de Algar Tech debe ser borrada o entregada al mismo, según lo estipulado en el contrato.
• Al finalizar el vínculo laboral y/o contractual, los asociados y/o prestadores de servicios que puedan haber tenido acceso a equipos o medios de almacenamiento deben eliminar cualquier vestigio físico y/o lógico de la información generada o adquirida dentro de Algar Tech.

4.6. Sistemas y aplicaciones

• No se permitirá la instalación de ningún software que no haya sido aprobado por Algar Tech.
• Todas las actualizaciones y correcciones de seguridad deben ser implementadas de acuerdo con las reglas de cada aplicación y deben ser aprobadas por el equipo de seguridad y tecnología de la información.
• Todos los equipos (servidores, escritorios, laptops, etc.) que permitan la instalación de antivirus, deben tenerlos instalados y actualizados de forma online. El usuario no podrá deshabilitar ni desinstalar los antivirus.
• El correo electrónico corporativo de Algar Tech debe usarse exclusivamente para tratar asuntos relacionados con la empresa, ya que la información almacenada o transmitida es propiedad de la organización. Es responsabilidad del usuario asegurar la correcta clasificación y tratamiento de la información de acuerdo con los procedimientos de la organización.
• No está permitido el uso del correo electrónico corporativo para fines personales, registrarse en sitios de compras u otros formularios.
• Ningún acceso a los sistemas y aplicaciones de Algar Tech o de sus clientes puede ser compartido. El asociado que sea propietario del usuario será el único responsable de mantener la confidencialidad de sus contraseñas de inicio de sesión, usuario de red, internet, archivos de trabajo y demás aplicaciones de Algar Tech.
• Está prohibido el uso de herramientas de mensajería instantánea no homologadas por el equipo de seguridad y tecnología, salvo excepciones, cuando se demuestre su uso efectivo en las actividades realizadas por el asociado o cliente.
• Está prohibida la transferencia de archivos a través de cualquier herramienta de mensajería instantánea y compartición de archivos, salvo excepciones autorizadas y/o herramientas homologadas y autorizadas.

4.7. Violación de las Políticas y Directrices

Las violaciones de seguridad deben ser informadas al área de Seguridad de la Información de inmediato. Cualquier violación o desviación debe ser investigada para determinar las medidas necesarias para corregir la falla o reestructurar los procesos.

Se consideran violaciones de seguridad

• Uso ilegal de software;
• Introducción (intencionada o no) de virus informáticos;
• Compartir información empresarial sensible;
• Puesta en común de datos personales;
• Exposición indebida de datos relativos a contratos y clientes;
• Violación de la confidencialidad de información confidencial y/o datos sensibles;
• Divulgación de información de clientes y operaciones contratadas;
• Compartir: contenido adulto, discriminatorio, ofensivo, difamatorio, abusivo, pornográfico, obsceno, violento y otros que puedan causar, incitar o promover actitudes que impliquen la violación de privacidad, propiedad intelectual e industrial;
• Otras violaciones previstas en el Código de Conducta del Grupo Algar, Política de Seguridad de la Información del Grupo Algar y legislaciones vigentes.

Los principios de seguridad establecidos en esta política cuentan con el total respaldo de la presidencia y la junta directiva de Algar Tech y deben ser observados por todos al ejecutar sus funciones.

4.8. Auditoría

• Todos los asociados, así como los terceros que utilicen el entorno tecnológico de Algar Tech, están sujetos a auditoría de red, telefonía y uso de aplicaciones.
• Los procedimientos de auditoría y monitoreo se realizarán periódicamente por el área de seguridad de la información o empresas contratadas, con el objetivo de observar el cumplimiento de las directrices establecidas en esta política por parte de los usuarios y gestionar el rendimiento de la red.
• Si hay evidencia de actividades que puedan comprometer la seguridad de la red, se permitirá al área de seguridad de la información auditar y monitorear las actividades de un usuario, así como inspeccionar sus archivos y registros de acceso, siendo el hecho comunicado inmediatamente a la Alta Dirección.

Disposiciones generales

La presente Política de Seguridad de la Información está sujeta a modificaciones periódicas para garantizar su actualización de conformidad con la legislación aplicable.