Seguridad
1. Formulario SIMI WEB
Solicitud de carné y registro
Requisitos para la elaboración de peticiones de cuentas a los sistemas informáticos de Acueducto:
- Usted debe estar registrado ante Acueducto en la herramienta de carnetización.
- El registro solo se hace por una única vez ante Acueducto.
- Su vinculación con el Acueducto debe estar vigente.
Pasos a seguir para el registro de identidad ante Acueducto:
- Diligencie la petición de registro de identidad mediante el formulario “Solicitudcarnecontratistas.xls” disponible en la Intranet \Intranet\TIC´s\Seguridad\Formatos y Procedimientos\.
- Detalle la información exacta de su número de cédula, nombres y apellidos completos, tipo de contrato que tiene con la empresa y fechas de vigencia.
- El Director del área a la que pertenece o está vinculado mediante contrato, debe remitir el formulario al correo de "Carnetización" o Carnetización@acueducto.com.co
El registro garantiza que su información de identificación siempre será la misma a partir de la primera vez.
Una vez se le informe que ha sido registrado puede proceder a diligenciar el formulario SIMI WEB para pedir sus cuentas.
Tenga presente que si tiene dudas sobre este trámite en la línea 7777 le prestarán la ayuda necesaria".
2. Solicitud de conexión de equipos
3. Evaluación de seguridad en Proyectos
¿En qué etapa de mi proyecto puedo solicitar este servicio?
Es importante que la evaluación se realice desde que nace el proyecto. Todos los procesos y proyectos que se desarrollen en el Acueducto de Bogotá, que involucren el manejo de información deberán incluir la revisión expresa y cumplimiento de requisitos de seguridad de la información con el fin que se incorporen las acciones pertinentes para minimizar los riesgos asociados durante el ciclo de vida a la incorporación y cambios derivados de los nuevos proyectos.
¿A quién debo contactar?
Se debe contactar al grupo de Seguridad de la Información a través del líder de seguridad de la Información de la Dirección de Servicios de Informática.
4. Asesoría en la evaluación de riesgos de seguridad de la información
¿Cuándo requiero una evaluación de riesgos de este tipo en el área?
Las organizaciones y sus sistemas de información están expuestos a un número cada vez más elevado de amenazas que, aprovechando cualquiera de las vulnerabilidades existentes, pueden someter a activos críticos de información a diversas formas de fraude, espionaje, sabotaje o vandalismo. Los virus informáticos, el “hacking” o cualquier otro son algunos ejemplos comunes y conocidos, pero también se deben considerar los riesgos de sufrir incidentes de seguridad causados voluntaria o involuntariamente desde dentro de la propia organización o aquellos provocados accidentalmente por catástrofes naturales y fallos técnicos.
¿Cómo puedo solicitar este servicio?
Este servicio se solicita por medio de la Dirección de Informática del Acueducto y más específicamente al líder de Seguridad de la información de la misma dirección.
5. Asesoría en la clasificación de la información
¿Cómo puedo clasificar la información?
Se debe clasificar el activo de información según el impacto al negocio de Acueducto. Para realizar esta actividad de clasificación se debe seguir el documento “FT04M01 Manual de clasificación de la información, valoración de criticidad y manejo en su ciclo de vida”.
¿Cómo puedo solicitar este servicio?
Este servicio se solicita por medio de la Dirección de Informática del Acueducto y más específicamente al líder de Seguridad de la información de la misma dirección.
Reporte incidentes de Seguridad
¿Qué es?
Un incidente de seguridad de la información es un evento que viola la Política de Seguridad de la Información del Acueducto. Es un evento que atenta contra la Confidencialidad, Integridad y Disponibilidad de la información y los recursos tecnológicos de la Empresa.
¿Qué debo hacer?
Reportar por ejemplo cualquiera de los siguientes situaciones:
- Información clasificada como sensible de Acueducto que se deje abandonada.
- Equipo portátil solo, sin su guaya de protección.
- Todo tipo de problemas que se presenten con su equipo (programas que se cierran, archivos que se borran, etc)
- Violaciones de acceso a la información del Acueducto (sospecha de que alguien trabajo en su equipo sin autorización)
- Pérdida de elementos de cómputo, tales como discos duros, portátiles, USB, CD's
- Si detecta puestos de trabajo con memorias USB, CDs, DVDs abandonados en los equipos o sobre el escritorio.
- Los incidentes de seguridad de la información o cualquier situación anormal que se presente en el manejo de la información se deben reportar a la línea 7777 o 7777@Acueducto.com.co.
¿Qué es una investigación forense?
La investigación forense o informática forense se ocupa con la investigación de acontecimientos sospechosos relacionados con sistemas informáticos, el esclarecimiento de situaciones creadas y sus autores, a través de la identificación, preservación, análisis y presentación de evidencias digitales. Los servicios de la informática forense no se limitan a aportar pruebas en procesos judiciales o administrativos. También se aplica a recuperar evidencias para su estudio y a la reconstrucción de determinados hechos con fines privados, empresariales, etc.
Con la aplicación de métodos científicos en la informática forense es posible estandarizar los procedimientos y dotarlos de mayor consistencia.
La informática forense se aplica allí, donde:
- Se presume una actividad delictiva en Internet, en entidades económicas o sociales o en el ámbito privado.
- Cuando existen sospechas el robo datos, espionaje industrial, sabotaje o delitos por el estilo.
- Tenencia, producción y difusión de pornografía o material ofensivo para la personas o empresas.
- Así como otras actividades ilícitas, las cuales se ejecutan con la ayuda de computadoras.
El objetivo de una investigación forense tras una agresión son en general las siguientes:
- Reconocimiento de los métodos o los puntos débiles que posibilitaron la agresión
- Determinación de los daños ocasionados
- Identificación del autor
- Aseguramiento de las evidencias
¿Qué hace el comité de Seguridad de la Información?
El Comité de seguridad de la información es el encargado de la definición de las políticas, normas y procedimientos relacionados con la seguridad de la información del Acueducto e igualmente velarán por la implantación y cumplimiento de los mismos.
1. Política de seguridad de la información
Compromiso del Acueducto con la Seguridad de la Información
El Acueducto de Bogotá, dedicado a la gestión integral del agua con responsabilidad social y empresarial, requiere establecer la Política General de Seguridad de la Información , observando los derechos constitucionales y legales de las personas, que declara las responsabilidades, conductas y ética que debe ser observada por cada uno de sus funcionarios y por todos los usuarios de la información y de los recursos y servicios informáticos del Acueducto de Bogotá.
Lo anterior, con el fin de proveer un ambiente seguro en el tratamiento de la información, preservando sus características de Confidencialidad, Integridad, Disponibilidad y Privacidad como marco para la adopción de medidas y la creación de normas, procedimientos y controles que regulen y establezcan el buen uso de los mismos y lograr una disminución en los niveles de exposición al riesgo de la información y de los recursos informáticos.
Relación de La Política de Seguridad de la Información y el MECI
A través del ARTICULO SEXTO.- Cumplimiento.- El Acueducto de Bogotá identificará, revisará y seguirá el cumplimiento de la normatividad interna (Autorregulación- MECI), así como los requisitos legales y regulatorios a los cuales debe suscribirse en el marco de su gestión y en la prestación de sus servicios.
Legislación relacionada
Resolución 305 de 2008 Comisión Distrital de Sistemas. Por la cual se expiden políticas públicas para las entidades, organismos y órganos de control del Distrito Capital, en materia de Tecnologías de la Información y Comunicaciones respecto a la planeación, seguridad, democratización, calidad, racionalización del gasto, conectividad, infraestructura de Datos Espaciales y Software Libre.
2. Acuerdo de uso de los recursos y servicios informáticos dispuestos
Acuerdo de Uso - Anexo 1 - Manejo de cuentas y contraseñas en los sistemas de información del Acueducto de Bogotá.
Acuerdo de Uso - Anexo 3 - Acceso a la red de datos e internet del Acueducto de Bogotá.
Resumen de acuerdos de uso
- Conocer las Normas generales de manejo y uso de los recursos y servicios informáticos.
- Conocer las condiciones y términos para el manejo de cuentas y contraseñas en los sistemas de información del Acueducto de Bogotá
- Conocer las condiciones y términos de uso de los equipos informáticos del Acueducto de Bogotá.
- Conocer las condiciones y términos de uso del servicio de acceso a la red de datos e internet del Acueducto de Bogotá.
- Conocer las condiciones y términos de uso del correo electrónico corporativo del Acueducto de Bogotá.
Acuerdo de confidencialidad
El acuerdo de confidencialidad establece el compromiso del usuario de la información de velar y actuar en concordancia con el fin de mantener una adecuada protección de la información, orientando la debida diligencia y debido cuidado y teniendo en cuenta los niveles de clasificación de la información establecidos por el Acueducto de Bogotá y en la legislación aplicable.
El acuerdo de confidencialidad deberá ser firmado expresamente desde el establecimiento de una relación laboral, comercial o de cooperación entre el Acueducto de Bogotá y un usuario de la información.
a. Beneficios para usuario
- Conocer que nadie deberá publicar, transferir o divulgar, ningún tipo de información obtenida o generada de los clientes internos y externos, por medios físicos o magnéticos, a no ser previa autorización del jefe inmediato, o de alguna información que vayan en contravía con el bienestar público o el detrimento del buen nombre o el detrimento patrimonial del ACUEDUCTO DE BOGOTÁ.
- Conocer que el incumplimiento de la obligación de confidencialidad hará responsable al personal por los perjuicios o sanciones que la revelación o utilización de la información pueda causar al ACUEDUCTO DE BOGOTÁ o a cualquiera de sus clientes, terceros o involucrados directos o subsecuentes en la información.
- Conocer que la obligación de confidencialidad permanecerá vigente por el término del contrato o convenio y tres (3) años más a partir de su terminación.
3. Clasificación de la información
Importancia de la clasificación de la información
La clasificación de la información es importante porque mediante ella podemos saber con qué información contamos, cómo tratarla(proporcionar seguridad), de cuál deshacerse, dónde guardarla y cómo recuperarla de nuevo para hacerla trabajar.
4. Presentación del procedimiento de clasificación de la Información
- FT0401 Atencion Vulnera Informaticas (privado)
- FT0402 Admin Cuentas Acceso Autorizadas(privado)
- FT0403 Deteccion Atencion Incidentes (publico)
- FT0404 Conexion Equipos Acueducto (privado)
- FT0405 Conexion Equipos Terceros (privado)
- FT0406 Conexión Remota Equipos Gestores (confidencial)
- FT0408 Movimiento Equipos red LAN (confidencial)
- FT0413 Procedimiento Clasificacion Informacion (publico)
- FT0413 Manual Clasificacion Información (publico)
- FT0416 Generacion lineas base (privado)
- FT0418 Segregacion Funciones (privado)
- FT0419 Gestion documentacion (publico)
- FT0424 Emision Conceptos (publico)
5. Paz y salvo de datos
1. Tips de la seguridad de la información
Decálogo de la seguridad
El decálogo lo constituyen los 10 aspectos más importantes a tener en cuenta por cualquier funcionario del acueducto con el objetivo de mejorar la seguridad de la información a nuestro cargo.
1. Conozco y cumplo con los artículos de la política de seguridad de la información
La política de seguridad es la declaración: de los principios que presentan la posición del Acueducto de Bogotá tanto para la protección de la información, de la Empresa, de sus Usuarios y de sus Funcionarios, como de de las responsabilidades, conductas y ética aceptadas.
- Bloquee la sesión de trabajo cuando esté ausente de su equipo.
- Salga de la sesión de Windows cuando se pare de silla y apague el computador una vez finalice su jornada de trabajo.
- Aplique la política de escritorio y muro limpio.
- En caso de pérdida del carné, reporte su extravío de manera inmediata a Carnetización para bloquearlo y para obtener uno nuevo.
- No permita que personas extrañas trabajen en su equipo sin previo consentimiento.
- No deje conectados ni desprotegidos memorias USB cuando se ausenté de su puesto de trabajo.
Ejemplo:
Funcionarios que se ausentan de su puesto de trabajo y dejan el computador sin bloqueo de sesión, lo cual permite que otras personas tengan acceso a la información o lo suplanten.e trabajo y dejan el computador sin bloqueo de sesión, lo cual permite que otras personas tengan acceso a la información o lo suplanten.
2. Utilizo los recursos informáticos para los fines establecidos por la Empresa
Cada recurso tecnológico puesto a disposición de los usuarios de la información del Acueducto solo podrá ser utilizado para cumplir los propósitos de la Empresa.
- Los servicios de tecnología, incluyendo Internet y el correo electrónico se deben utilizar para los fines del negocio.
- El correo personal se debe manejar fuera del correo corporativo.
- Sea mesurado y racional en el uso personal que se vea obligado a hacer de los recursos puestos a su disposición.
Ejemplo:
- Funcionarios que imprimen grandes volúmenes de documentos personales.
- Empleo de los computadores del Acueducto para jugar, consultar, escuchar o ver desde internet asuntos ajenos a su función de trabajo, saturando la capacidad del canal corporativo.
3. No comparto mi contraseña y no es trivial
- Siempre modifique su contraseña inicial.
- Las contraseñas son personales e intransferibles. No las preste ni divulgue.
- En caso de olvido reporte a la línea 7777 o 7777@Acueducto.com.co, para obtener una nueva contraseña.
- Memorícelas!!!, no las escriba en cuadernos, hojas sueltas, adhesivos (post-it) pegados al monitor o debajo del teclado, porque viola su confidencialidad.
- Nunca utilice contraseñas fáciles de adivinar como fechas especiales, nombres familiares y secuencia de números.
- Nunca entregue su contraseña a personal de Informática o Soporte por ningún medio, incluso si éste la pide.
- Usted podría estar siendo engañado! Si tiene que permitir que el personal de soporte compruebe algo en su equipo, teclee Usted mismo su contraseña y acompañe la actividad.
- Si por alguna razón de carga de trabajo se ve obligado a permitir que otra persona efectué una tarea en su computador no le cuente cuál es su contraseña; tecle su contraseña Ud. Mismo para mantener control de la actividad. Recuerde que Ud. Es el responsable legalmente por la información registrada con su cuenta.
- No cambiar la contraseña después de verse obligado a entregarla con constancia escrita, en un caso de ausencia o incapacidad grave.
Ejemplo:
- Préstamo de contraseñas entre compañeros del área para permitir el ingreso a recursos que el otro no tiene.
- Contraseñas utilizadas por funcionarios tales como Nombre + Año nacimiento. Juan1970.
- Escribir y entregar a su persona de confianza su contraseña en un papel.
4. Protejo y vigilo el buen uso de la información que está a mi cargo
- No divulgar información clasificada como sensible.
- Asegúrese que su información importante tenga respaldo.
- Información sensible de la empresa no puede ser compartida con terceros.
- Reportar cualquier situación anormal que se presente en el manejo de la información electrónica a la línea 7777 o 7777@Acueducto.com.co.
- Reportar la pérdida de información en medio físico a vigilancia _____.
- Compruebe que los medios utilizados en su computador están libres de virus.
- Nunca desactive el antivirus y no cancele los chequeos y actualizaciones programadas.
- Destruya la información clasificada como sensible cuando no se requiera más.
- No enviar información clasificada como sensible por medios públicos como internet o impresoras compartidas.
Ejemplo:
- No guardar toda la información importante del negocio en el fileserver (repositorio centralizado).
- Mantener información importante del negocio solo en su computador, que se puede perder en caso de falla.
- Enviar un correo con información sensible del Acueducto por correo público o personal.
5. No abro mensajes de fuentes desconocidas ni genero cadenas de mensajes
- Los correos electrónicos de remitentes desconocidos no deben ser ni abiertos ni respondidos.
- El correo corporativo debe usarse solo para propósitos laborales.
- No se debe utilizar una cuenta de correo que pertenezca a otra persona sin su consentimiento.
- Cada persona es responsable por los correos que son enviados desde su cuenta.
- No debe reenviar correos que vienen de una fuente desconocida.
- Información de importancia institucional debe ser manejada por el área de Comunicaciones. "No enviar correos masivos sin consentimiento de la Empresa".
Ejemplo:
- Reenviar un correo que dice que envíe "oración a la virgen y por cada persona enviada le serán perdonados uno de sus pecados".
- Generar un correo masivo acerca de cómo adelgazar rápidamente.
6. Utilizo internet solo para fines de negocio
Las consultas realizadas deben relacionarse sólo con sus funciones de trabajo.
Internet no debe usarse para…
- Acceder a sitios dudosos, es decir dónde se tenga dudas que se trate de la organización buscada.
- Acceder a sitios de dudosa reputación.
- Descarga de software no autorizado.
- Ver publicaciones de pornografía, hackers, música, emisoras, tarjetas, farándula, encuestas, chistes, concursos, rifas y promociones.
- Para alguna actividad lucrativa o comercial de carácter personal.
- Para cualquier tipo de mensajería instantánea no avalada por la Empresa.
Ejemplo:
- Funcionarios que utilizan la conexión a internet para efectuar negocios no relacionados con la actividad del Acueducto.
- Descargo la última canción “El yerbatero” de Juanes y la comparto a mis compañeros.
7. Reporto los incidentes de seguridad de la información
Un incidente de seguridad de la información es un evento que viola la Política de Seguridad de la Información del Acueducto como:
Información clasificada como sensible de Acueducto que se deje abandonada.
Portátil solo sin su guaya de protección.
No reporte de brechas de seguridad en los sistemas y soluciones del Acueducto.
No reporte de violaciones de acceso a la información del Acueducto.
No reporte de pérdida de elementos de cómputo, tales como discos duros, portátiles, CD’s.
No reporte de sesiones abandonadas en computadores.
No reporte de memorias USB abandonados en equipos o sobre el escritorio.
Los incidentes de seguridad de la información o cualquier situación anormal que se presente en el manejo de la información se deben reportar a la línea 7777 o 7777@Acueducto.com.co
Ejemplo:
Documentos expuestos a la intemperie o abandonados en un corredor.
No reportar casos de fallas de las aplicaciones o sistemas de información que emplee en su trabajo.
No reportar el abandono de dispositivos extraíbles como memorias USB en computadores.
8. Estoy atento a comprender y compartir las recomendaciones de seguridad de la información
La protección de la información nos concierne a todos, "no sea usted el eslabón más débil de la cadena de seguridad".
Cumpla con las normas y las instrucciones corporativas y no soy presa fácil a la ingeniería social.
Evite la fuga de información que puede presentarse por:
Programas de captura de información virus o spyware.
Personas extrañas con acceso no autorizado a las instalaciones.
Copia de información en medios magnéticos, e-mail, CD/DVD, memorias USB o cualquier dispositivo electrónico.
Ejemplo:
Dar información sensible del Acueducto a personas extrañas que la solicitan vía telefónica.
No reviso los privilegios que tiene el personal a mi cargo para acceder a la información y a los sistemas de información.
No reportar a personas sospechosas que acceden a lugares o información sensible.
No reportar casos de fallas de las aplicaciones o sistemas de información que emplee en su trabajo.
No reportar el abandono de dispositivos extraíbles como memorias USB en computadores
9. Identifico y reporto riesgos en el uso de la información
Información sensible desprotegida en manos de terceros
Privilegios excesivos en el uso de la información.
Funcionarios que dan soporte a la comunidad usuaria sin una apropiada capacitación en seguridad de la información.
Funcionarios no autorizados que proveen información sensible a terceros.
Brechas en seguridad de la información que no se reportan.
Ejemplo:
No reportar casos de fallas de las aplicaciones o sistemas de información que emplee en su trabajo.
Funcionarios de soporte solicitando contraseñas a usuarios.
Funcionarios que entregan información a terceros sin conocer el marco del vínculo contractual con Acueducto.
10. Identifico los niveles de clasificación y protección de la información
Cada activo de información de Acueducto debe tener un dueño, quién la ha de proteger por medio de su clasificación.
La responsabilidad por la clasificación de los activos de información corresponde a los funcionarios que son custodios o responsables de la información de la Empresa en cada instancia de su ciclo de vida.
Cada activo de información será clasificado de acuerdo con su sensibilidad en los medios provistos por Acueducto y se debe mantener durante su ciclo de vida.
Aplicar los controles de protección mínimos y establecidos para cada nivel de clasificación.
Ejemplo:
Información sin clasificar
Información del Acueducto que se va a destruir sin identificar el dueño y su sensibilidad.
Información sensible del Acueducto que se transporta entre sedes u oficinas en carros personales.
¿Sabía usted?
• El Software gratuito es fácil de descargar, instalar y usar, pero puede contener códigos maliciosos.
• El "phishing" es una modalidad de estafa diseñada con la finalidad de robarle la identidad. El delito consiste en obtener información tal como números de tarjetas de crédito, contraseñas, información de cuentas u otros datos personales por medio de engaños. Este tipo de fraude se recibe habitualmente a través de mensajes de correo electrónico o de ventanas emergentes.
• Existe el concepto errado de que la tecnología por si misma puede resolver sus problemas de seguridad y que continuamente se generan nuevas técnicas que buscan obtener información confidencial.
• Debemos conocer tanto las amenazas internas como las externas.
2. Tutoriales
Contraseña segura
1. Una contraseña o password es una serie secreta de caracteres que permite a un usuario tener acceso a un archivo, a un computador, o a un programa.
2. Idealmente, la contraseña debe ser algo que nadie pueda adivinar.
3. La contraseña normalmente debe mantenerse en secreto ante aquellos a quien no se les permite el acceso.
4. Aquellos que desean acceder a la información se les solicita una clave; si conocen o no conocen la contraseña, se concede o se niega el acceso a la información según sea el caso.
Una forma de generar contraseñas es utilizar frases de fácil recordación, por ejemplo:
1. La contraseña Yt21cmgci, es difícil de recordar, pero se deriva de la frase “Yo tenía 21 cuando me gradué como ingeniero”
2. La contraseña Mhkt10a+ indica “Mi hijo kike tiene 10 años +”
3. Haciéndola un poco más compleja, incluyendo símbolos, Mhkt10@+ que significa lo mismo.
4. Empleando frases celebres con símbolos incluidos Hg&qvl8vols! “Hay gente que vive la vida, otras la sobreviven”.
Protección antivirus – PC y USB
Los anti-virus se han convertido en compañeros inseparables de nuestro trabajo diario. Hoy en día no se concibe ningún equipo conectado a Internet que carezca de una buena protección contra virus. Las situaciones de riesgo se multiplican cuando un equipo se conecta a la Red de redes.
La principal vía de infección es el correo electrónico y, en concreto, los archivos adjuntos que suelen acompañar a los mensajes. La navegación y la lectura de los correos no reviste ningún riesgo, mientras no intentemos descargar un archivo. Un virus, al fin y al cabo, es un programa que necesita ser ejecutado para poder infectar nuestro sistema. Estos programas malignos suelen esconderse en archivos con extensiones EXE o DOC. El mejor consejo que se puede dar es no abrir nunca archivos ejecutables (.EXE) que vengan adjuntos a un mensaje de correo electrónico y verificar mediante un programa anti-virus todos los archivos de Word recibidos (.DOC) antes de abrirlos. De esta manera, habremos evitado más del 90% de las situaciones de riesgo.
Los USB nos facilitan la portabilidad de datos de un lugar a otro. El principal problema es que se nos pueden perder o infectar con virus y nuestra información la podríamos perder. Por esa razón es importante vacunar cada vez que conectemes una USB a una computadora y recordar desconectarla cuando no la estemos utilizando.
4. Ingeniería Social
Es la Habilidad que tiene una persona para engañar a otra con el fin de obtener información confidencial; se enfoca en el eslabón más débil de la cadena… El Recurso Humano ! . No existe una limitación en cuanto al tipo de información y tampoco en la utilización posterior de la información obtenida. Un hecho importante es que el acto de ingeniería social acaba en el momento en que se ha conseguido la información buscada. Las acciones que esa información pueda facilitar o favorecer no se enmarcan bajo este término. En muchos casos las personas que utilizan la ingeniería social no tocan un ordenador ni acceden a sistemas, pero sin su colaboración otros no tendrían la posibilidad de hacerlo.
En la práctica, un ingeniero social usará comúnmente el teléfono o Internet para engañar a la gente, fingiendo ser, por ejemplo, un empleado de algún banco o alguna otra empresa, un compañero de trabajo, un técnico o un cliente. Vía Internet o la web se usa, adicionalmente, el envío de solicitudes de renovación de permisos de acceso a páginas web o memos falsos que solicitan respuestas e incluso las famosas "cadenas", llevando así a revelar información sensible, o a violar las políticas de seguridad. Con este método, los ingenieros sociales aprovechan la tendencia natural de la gente a reaccionar de manera predecible en ciertas situaciones, -por ejemplo proporcionando detalles financieros a un aparente funcionario de un banco.
1. Proyectos ejecutados
Descripción de los proyectos realizados:
- Ratificación en la Empresa de la política de seguridad de la información resolución 1127 23/Dic/2010.
- Control de aseguramiento de equipos que ingresan a la red de datos y a los sistemas de información de Acueducto: Gestores, Call Center, otros Contratistas.
- Campaña anual de sensibilización de seguridad de la información.
- Establecimiento de Gobierno de seguridad informática.
- Establecimiento del proceso de clasificación y protección de información en Tesorería y Abastecimiento.
- Establecimiento de metodología en gestión de riesgo de seguridad en el uso de la información en Tesorería y Comercial.
- Expansión de herramienta integrada de apoyo a la vigilancia con video, controles de acceso, carnetización y seguimiento de salida de activos.
- Plan de vinculación de la seguridad a la operación de los procesos de negocio, junto con la gestión de riesgo alineado al MECI.
La Política de Seguridad de la Información es la declaración de los principios que representan la posición del Acueducto de Bogotá para la protección de la información, tanto de la Empresa, como de sus Usuarios y Funcionarios.
De la misma manera, delimita las responsabilidades, conductas y ética que debe ser observada por cada uno de los usuarios de la información.
a. ¿Cómo solicito una cuenta de acceso?
La solicitud de una nueva cuenta de acceso se solicita a través de la opción en la intranet. “FORMULARIO SIMI WEB” .
b. ¿Cómo reporto un incidente de seguridad?
Los incidentes de seguridad de la información se reportan en cualquiera de los siguientes ejemplos.
Información clasificada como sensible de Acueducto que se deje abandonada.
Portátil solo sin su guaya de protección.
Brechas de seguridad en los sistemas y soluciones del Acueducto.
Violaciones de acceso a la información del Acueducto.
Pérdida de elementos de cómputo, tales como discos duros, portátiles, CD´s.
Sesiones abandonadas en computadores.
Memorias USB abandonados en equipos o sobre el escritorio.
Los incidentes de seguridad de la información o cualquier situación anormal que se presente en el manejo de la información se deben reportar a la línea 7777 o 7777@Acueducto.com.co.
c. ¿Cómo vacuno una memoria USB?
d. ¿Cómo solicito acceso a las carpetas corporativas- FILESERVER?
El siguiente documento muestra los pasos a seguir para realizar la solicitud.
FT0402M03 - Administracion carpetas corporativas – fileserver.pdf
e. ¿Cómo protejo mi estación de trabajo – Pantalla segura?
El procedimiento es el siguiente:
Bloquee la sesión de trabajo cuando se ausente de su equipo, Teclee Ctrl-Alt-Supr.
Apagado de estaciones de trabajo. Todas las estaciones de trabajo, a excepción de aquellas que se encuentran en áreas con estrictas medidas de control de acceso (por ejemplo, consolas de administración en el centro de cómputo, entre otros), deben ser apagadas al final de la jornada laboral o al finalizar una sesión de trabajo.
Salga de la sesión de Windows y apague el computador una vez finalice su jornada de trabajo.
f. ¿Qué sucede si no mantengo mi escritorio limpio?
Los funcionarios del Acueducto deben adoptar la cultura de “escritorio limpio” que consiste en:
Escritorios limpios en horas no laborales. Por fuera del horario regular de trabajo, los funcionarios deben limpiar sus escritorios y áreas de trabajo de cualquier información considerada confidencial, sensitiva o crítica para la empresa, y además deben asegurar en forma apropiada esta información.
Escritorios limpios en horas habituales de trabajo. A menos que la información se esté utilizando por personal autorizado, los escritorios deben estar absolutamente limpios durante horas laborales y toda la información debe estar asegurada en forma adecuada.
En los puestos de trabajo solo deben permanecer los documentos y elementos necesarios para la realización de las labores.
Los documentos que contengan información catalogada como confidencial, sensitiva o crítica y que deban ser desechados deberán ser destruidos previamente haciendo uso de métodos como trituradoras de papel.
No se deben mantener a la vista papeles o archivos que contengan información confidencial, sensitiva o crítica, especialmente contraseñas.
Se debe mantener organizado y en orden el puesto de trabajo.
Otros servicios
Este fragmento aplica Lightbox a todas las imágenes en un contenedor específico. Configura el selector CSS abajo.
Selector CSS (por defecto: .with-lightbox img): .with-lightbox img