matriz control

8/17/2019 Matriz Control

1/44

Matriz de Cont

Área de Control Sub-área de Control ID Control

Postura de la Empresa sobre la Seguridad de la

1

2

Organización Interna

3

4

5

6

7

Nota! "a presente #atriz estar$ vigente a partir deldi*ie#+re de 2%14) ni a auellas soli*itudes de autor2%13&

Política de Seguridad de laInformación

Clasicación de laInformación


2/44

Seguridad en el Personal

Personal Interno

1%

11

12

Personal Externo13

14

15

16

17

1

1

Responsailidades de los!suarios


3/44

Terminación del Empleo

2%

Gestión de los Activos

"estión de los #cti$os

21

22

23

Seguridad !sica en "ficinas

Seguridad %ísica

24

25

Procesos de Gestión de la Seguridad

"estión de Riesgos

26

27


4/44


5/44

3

Seguridad de la Plataforma #ecnológica

*RP

3

4%

41

42

43

44

45

46

Control de #ccesos +ógicos

+ocales ) Remotos


6/44

Seguridad %ísica

47

4

4

Controles #mientales

5%

51

52

Ser$icios de Soporte

53

54


7/44


8/44

Criptografía

66

Prueas de Seguridad

67

6

6

Separación de #mientes

7%

71

72

73

74

Protección Contra Código&alicioso


9/44

Seguridad en #plicati$o

75

76

77

Transaccionalidad 7

Encripción de *atos 7

Cumplimiento $egal % &egulatorio

%Cumplimiento con +e)es )Regulaciones #plicales


10/44


11/44

8tiuetado / Mane0o de la .nor#a*ión

Sele**ión del Personal

Responsa+ilidades del Personal .nterno

.denti,*a*ión de Riesgos indu*idos por ter*eros

Responsa+ilidades del Personal 89terno

:so de *ontrase(as

8uipo desatendido

8s*ritorio li#pio

8li#ina*ión de 'ere*os de A**eso

'evolu*ión de A*tivos

Capa*ita*ión del Personal en #ateria deSeguridad de la .nor#a*ión


12/44

Responsa+ilidades del personal dado de +a0a

.nventario de A*tivos

Propiedad de los a*tivos

:so a*epta+le de a*tivos

Per#etro de Seguridad si*a

Controles de 8ntrada

An$lisis de Riesgos

Mitiga*ión de Riesgos


13/44

.n*identes / Pro+le#as

;oti,*a*ión al SA<

'e,ni*ión de 8ventos de Seguridad

=it$*oras de 8ventos

Monitoreo A*tivo de la Seguridad

Cu#pli#iento de polti*as / pro*edi#ientos

Re#edia*ión de in*u#pli#ientos

Plan de Continuidad del ;ego*io >=CP?

Prue+as de =CP

Capa*idad


14/44

Capa*idad @perativa

Plan de Re*upera*ión de 'esastres

Prue+as del 'RP

Polti*a de Control de A**esos

Altas) =a0as / Ca#+ios de A**esos de :suarios

estión de Privilegios

estión de Contrase(as de :suarios

Revisión de Per#isos

:+i*a*ión del Centro de 'atos


15/44

Control de A**esos si*os

igilan*ia / Monitoreo

Se(aliza*ión

Medidas *ontra .n*endios

Aire A*ondi*ionado

Medidas *ontra .nunda*iones

.nstala*ión 8l*tri*a

Planes / Contratos de Manteni#iento


16/44

Preven*ión / 'ete**ión de .ntrusos

Prote**ión Peri#etral

Seg#enta*ión de Redes

"neas =ase de Seguridad

A*tualiza*iones

Respaldos

Prue+as de Respaldos

Prote**ión de Medios de Respaldo

8tiuetado

'estru**ión o =orrado

Criptograa en servi*ios e9puestos


17/44

Prote**ión de "laves / Certi,*ados

Prue+as de Seguridad

Prote**ión *ontra Código Mali*ioso

Separa*ión de A#+ientes

Aisla#iento de inor#a*ión de C'.

'o*u#enta*ión

Control de A**esos

Control de Ca#+ios

Segui#iento a allazgos de prue+as de

Seguridad


18/44

=it$*oras

89pira*ión de sesión por ina*tividad

"nea +ase de seguridad

;


19/44

ón de Seguridad para los Aspirantes a PAC -

Interpretación del Control

8l do*u#ento de Polti*a de Seguridad de la .nor#a*ión de+e ser revisado periódi*a#ente) >por lo #enos *ada 6 #eses&

"a 'ire**ión de la e#presa de+e apo/ar a*tiva#ente la seguridad de la inor#a*ión / de#ostrar su *o#pro#iso al respe*to&

"a e#presa de+e estar en *onta*to *on grupos espe*ializados en seguridad /Bo aso*ia*iones proesionales

) la presente #atriz no ser$ apli*a+le a los proveedores de *erti,*a*ión de C'. *u/a autorizae di*ie#+re de 2%13 / resueltas *on posterioridad al 1 de enero de 2%14) siendo ue stos est

"a e#presa de+e *ontar *on un do*u#ento de Polti*a de Seguridad de la .nor#a*ión autorizado& 'e+e estar pu+li*ado / dispersonal interno / ter*eros ue *ola+oren *on la e#presa

"a e#presa de+e tener a*uerdos de *on,den*ialidad /Bo a*uerdos de no divulga*ión ,r#ados por la e#presa para *on el SA<interno / e9terno) / de+en ser revisados de #anera periódi*a >por lo #enos *ada 6 #eses& 8s i#portante ue la responsa+ilidue ,r#a no *aduue ni siuiera *uando el personal de0e de la+orar para la e#presa&

"a e#presa de+e *ontar *on pro*edi#ientos or#ales para #antener *onta*to / per#itir investiga*iones por parte de las autrelevantes&

"a e#presa de+e realizar revisiones independientes de la Seguridad de la .nor#a*ión&

8l tr#ino DindependientesD se re,ere a ue de+en ser realizados por personal distinto a los responsa+les del dise(o o i#ple*ontroles) /a sea personal interno o e9terno&

"a e#presa de+e *ontar *on una polti*a / pro*edi#ientos or#ales para la *lasi,*a*ión de la inor#a*ión de a*uerdo a su resensi+ilidad / en *u#pli#iento a las disposi*iones del .A.& .er el /rea de control 0Cumplimiento +egal ) Regulatorio01


20/44

Se de+e llevar a *a+o la veri,*a*ión de ante*edentes de todos los *andidatos a puestos internos de la e#presa&

Se de+en or#alizar las responsa+ilidades del personal e9terno *on respe*to a la seguridad de la inor#a*ión&

Se de+en identi,*ar los riesgos indu*idos por ter*eros a la inor#a*ión / los #edios de pro*esa#iento de inor#a*ión de la

Se de+en or#alizar las responsa+ilidades del personal e9terno *on respe*to a la seguridad de la inor#a*ión&

"a e#presa de+e *ontar *on pro*edi#ientos or#ales para etiuetar / #ane0ar la inor#a*ión tanto en or#ato ele*tróni*osi*os de a*uerdo a su *lasi,*a*ión&

8l personal interno de+e re*i+ir una *apa*ita*ión en #ateria de Seguridad de la .nor#a*ión al ini*io de sus la+ores en la e#periódi*a > por lo #enos *ada 12 #eses&

"a e#presa de+e *ontar *on una polti*a de uso de *ontrase(as) donde se espe*i,ue la responsa+ilidad de los usuarios en#is#as) *adu*idad) prote**ión de las #is#as) et*&

"a e#presa de+e *ontar *on una polti*a de euipo desatendido) donde se espe*i,ue los reueri#ientos de seguridad parel usuario no est$ presente&

"a e#presa de+e *ontar *on una polti*a de 8s*ritorio li#pio) donde se espe*i,uen los reueri#ientos de seguridad para l

tra+a0o&

"a e#presa de+e *ontar *on una polti*a / pro*edi#ientos para llevar a *a+o la eli#ina*ión de a**esos lógi*os / si*os en ee9terno ue /a no la+ore en la e#presa&

"a e#presa de+e *ontar *on pro*edi#ientos para la devolu*ión de los a*tivos ue el personal tuvo asignado #ientras la+ore#presa&


21/44

Se de+er$ realizar un plan de #itiga*ión de los riesgos en*ontrados *o#o prioritarios en el an$lisis de Riesgos&

Se de+en revisar los *ontratos) *l$usulas / a*uerdos de *on,den*ialidad para garantizar ue el personal dado de +a0a *onsero+liga*iones *on respe*to a la *on,den*ialidad de la inor#a*ión a la ue tuvo a**eso durante su estan*ia en la e#presa&


22/44

"a e#presa de+e realizar un plan de re#edia*ión de los in*u#pli#ientos dete*tados en la revisión del *u#pli#iento&

"a e#presa de+e *ontar *on un plan de e0e*u*ión de prue+as del =CP por lo #enos *ada 12 #eses&

"a e#presa de+e *ontar *on una polti*a / pro*edi#ientos para la estión de .n*identes de Seguridad en el pro*eso de C#ni#o!

- .denti,*a*ión de .n*identes / Pro+le#as- Registro de .n*identes / Pro+le#as- ;oti,*a*ión / 8s*ala*ión de .n*identes / Pro+le#as- Segui#iento de .n*identes / Pro+le#as

"a e#presa de+e *ontar *on pro*edi#ientos de noti,*a*ión al SA< en *aso de .n*identes o pro+le#as ue puedan *o#prode los Contri+u/entes o inor#a*ión de i#ple#enta*ión de la *o#uni*a*ión *on el SA


23/44

"a e#presa de+e *ontar *on un plan de prue+as del 'RP&

"a e#presa de+e *ontar *on pro*edi#ientos or#ales para restringir / *ontrolar la asigna*ión / uso de los privilegios&

Se de+e planear) #onitorear) / a0ustar el uso de re*ursos operativos >personal) erra#ientas) espa*ios? para asegurar el depor los siste#as ue dan soporte al pro*eso de C'. por lo #enos durante 12 #eses&Se de+e dar *u#pli#iento a las #edidas ne*esarias identi,*adas durante la planea*ión / #onitoreo&

"a e#presa de+e *ontar *on un plan de re*upera*ión de desastres para su *entro de datos ue in*lu/a por lo #enos los a*tpara el un*iona#iento del pro*eso de C'.&

"a e#presa de+e tener una polti*a / pro*edi#ientos or#ales de Control de A**esos ue apliue por lo #enos a todos los asoporte al pro*eso de C'.) #is#a ue de+e ser revisada / a*tualizada por lo #enos *ada 6 #eses&

"a e#presa de+e do*u#entar pro*edi#ientos or#ales para las Altas) =a0as / Ca#+ios de a**esos de usuarios) ue in*lu/a- =loueo de las *uentas por intentos allidos de autenti*a*ión&- =loueo de *uentas por periodo de ina*tividad&

"os a**esos re#otos sólo se de+er$n propor*ionar +a0o *ir*unstan*ias de e9*ep*ión / *on un estri*to pro*eso de autoriza*i

"a e#presa de+e *ontar *on pro*edi#ientos or#ales de asigna*ión de *ontrase(as) los pro*edi#ientos de+en *ontar por losiguientes reglas!

- Reglas para la *rea*ión de *ontrase(as >longitud #ni#a) istóri*o) *ara*teres per#itidos) et*&?&- "as *ontrase(as se de+en en*riptar en todos los a*tivos ue dan soporte al pro*eso de C'.&

"a e#presa de+e realizar periódi*a#ente >por lo #enos *ada 6 #eses? una revisión de los usuarios e9istentes en los siste#a*tivos) para veri,*ar ue sus per#isos sigan siendo vigentes de a*uerdo al pro*edi#iento de altas o *a#+ios de A**esos d

8l *entro de datos de+e estar asentado en lugares li+res de altos riesgos) por lo #enos a 1%% # de lugares *o#o gasolineraa*o#etidas de *a+leado de ele*tri*idad / gas) et*& / *o#o una instala*ión no evidente


24/44

8l *entro de datos de+e *ontar *on #edidas de prote**ión *ontra in*endios

8l *entro de datos de+e *ontar *on un siste#a de aire a*ondi*ionado

8l *entro de datos de+e *ontar *on #edidas de prote**ión *ontra inunda*iones

8l *entro de datos de+e estar protegido por un per#etro de a**eso si*o *ontrolado) *ontroles de a**eso auto#atizados /or#ales de *ontrol de a**esos&

8l personal ue a**eda al *entro de datos no de+er$ introdu*ir #edios de al#a*ena#iento e9tra+les sin autoriza*ión&

"as +it$*oras de a**eso de+er$n resguardarse en un lugar seguro&

8l *entro de datos de+e *ontar personal de vigilan*ia las 24 rs / un siste#a de #onitoreo de las instala*iones >CC


25/44

"as redes dentro del *entro de datos de+en *ontar *on dispositivos de preven*ión o dete**ión de .ntrusos&

"a red de+e estar protegida *on dispositivos de seguridad ue apliuen listas de *ontrol de a**eso&

"as redes de+en estar seg#entadas para proteger el Iu0o de inor#a*ión en redes *on distintos tipos de usuarios&

Se de+en generar respaldos de los a*tivos / la inor#a*ión ue dan soporte al pro*eso de C'.) *on la periodi*idad de,nid

Se de+e *ontar *on un plan de prue+as de los respaldos para veri,*ar ue son un*ionales

"os a*tivos >apli*ativos) servidores) +ases de datos) dispositivos de red) et*&? del *entro de datos ue dan soporte al pro*estener *ontar *on lneas +ase de seguridad do*u#entadas e i#ple#entadas) ue *onsideren *o#o #ni#o!- Prote**ión del =.@S en arranue de los siste#as&- 'esa+ilita*ión de unidades de al#a*ena#iento re#ovi+les&- .nstala*ión del S&@& en parti*ión e9*lusiva&- .na+ilita*ión de puertos) proto*olos usuarios / servi*ios inne*esarios&- Re*o#enda*iones de seguridad del a+ri*ante del euipo / siste#a operativo&

"os a*tivos ue dan soporte al pro*eso de C'. de+en *ontar *on los Jlti#os par*es de seguridad / a*tualiza*iones e#itide los servidores / siste#as operativos ue a/an pasado por un pro*edi#iento de prue+as previas a la i#ple#enta*ión

"os #edios donde se al#a*enan los respaldos de+er$n estar protegidos en un $rea espe*,*a para este ee*to) de preerealterno) en #edios en*riptados / *on #edidas de prote**ión *ontra el a**eso no autorizado&

"os #edios donde se al#a*ene inor#a*ión de los *ontri+u/entes / del SA< de+er$ estar inventariada / etiuetada *on el *on,den*ialidad de,nido en el pro*eso de *lasi,*a*ión de inor#a*ión) / se de+er$ dar el trata#iento de a*uerdo a la *las

"os #edios donde se al#a*enen respaldos o inor#a*ión de los *ontri+u/entes o del SA< de+er$n estar su0etos a un pro*edestru**ión o +orrado seguro ue de+e *ontener *o#o #ni#o!- Soli*itud / Autoriza*ión e9pl*itas de la destru**ión o +orrado&

- A*tas de destru**ión o +orrado ,r#adas por el personal ue lo realiza&

"os servi*ios del apli*ativo ue se en*uentren e9puestos para el *onsu#o por parte de los *lientes) de+er$n *ontar *on #e*riptograa&


26/44

Se de+e realizar un plan para atender los allazgos dete*tados durante las prue+as de seguridad&

"as llaves / Certi,*ados usados para el *irado de+en estar protegidos por un dispositivo re*u+ierto *on algJn #aterial opsalvaguardas ue i#pidan ue sea a+ierto o ue invaliden la inor#a*ión en *aso de ue sea orzado) ade#$s de *ontar psiguientes #edidas!- Control de A**esos si*os / "ógi*os >Sólo personal autorizado?&

- Registro de Kases de Control&- Segrega*ión de roles *on a**eso a los dispositivos de al#a*ena#iento de llaves / *erti,*ados&- .nstala*ión Jni*a de la llave provista por el SA< >respaldada por un a*ta ,r#ada por los responsa+les de su instala*ión / *

Se de+en realizar) do*u#entar / dar segui#iento a prue+as de seguridad en los a*tivos ue dan soporte al pro*eso de C'propio apli*ativo de C'.&


27/44

8l apli*ativo de+e *ontar *on sesiones ue e9piren despus de 1% #inutos de ina*tividad&

"as transa**iones de ti#+rado del pro*eso de C'. de+en estar sin*ronizadas usando un servidor de ;

internos o *lientes?&- .#ple#enta*ión de #e*anis#o de no repudio de transa**iones&- Prote**ión *ontra in/e**ión de *ódigo- .ni*io de sesión seguro- alida*ión de datos de entrada B salida para evitar errores en el pro*esa#iento de la inor#a*ión&- Mane0o de errores&

'e+e e9istir una polti*a / pro*edi#ientos or#ales ue aseguren ue la inor#a*ión de a*tura*ión / los datos personales dContri+u/entes de+en estar en*riptados tanto en su al#a*ena#iento) tr$nsito / #edios ue los *ontengan&

8l representante legal del Aspirante a PAC de+e presentar un do*u#ento donde a,r#e ue *ono*e / respetar$ el apego a lavigentes&

8l aspirante de+er$ indi*ar ue *ono*e su responsa+ilidad de veri,*ar el *u#pli#iento *on di*as le/es&

8l aspirante de+er$ indi*ar ue e9i#e al SA< de *ualuier responsa+ilidad derivada del in*u#pli#iento de las le/es apli*a+l


28/44

ón de Seguridad

Periodicidad ' Parámetro &e(uerido

6 #eses

6 #eses

el e0er*i*io de 2%13 ue prorrogada asta el 31 deesto en la #atriz de *ontroles vigente en el e0er*i*io


29/44

12 #eses


30/44


31/44

6 #eses

6 #eses

12 #eses

12 #eses


32/44

12 #eses

6 #eses

6 #eses

1%% #


33/44

3% das

6 #eses


34/44

de,nida por la e#presa


35/44


36/44

1% #inutos


37/44

Matriz de Con

.' Control

A 'e*lara*ión de na#espa*es

= 'e*lara*ión de Addenda / sus na#espa*es

C alida*ión de 'atos reueridos

'

8

K Cliente ratuito

. alida*ión de Iu0os

:tiliza*ión de *ara*teres espe*iales /se*uen*ias de es*ape

Cara*teres en +lan*o) ta+uladores o retornosde *arro

Sellado *onor#e a la *adena original para elC'. / para el


38/44

L Cone9ión Re#ota

Manuales de :suario

" Con,den*ialidad / ;iveles de Servi*io


39/44

roles para la Re

'es*rip*ión

'e*lara*ión de na#espa*es

alida*ión de 'atos reueridos

'e*lara*ión de Addenda /na#espa*es

:tiliza*ión de *ara*teres espe*iales/ se*uen*ias de es*ape

Cara*teres en +lan*o) ta+uladores oretornos de *arro

eri,*a*ión del *orre*to sellado*onor#e a la *adena original parael C'. / para el


40/44

eri,*a*ión de la apli*a*ión por#edio de una *one9ión re#ota

8ntrega de Manuales de :suariopara una Me0or Ad#inistra*ión

'o*u#entos de Control en los*uales se esta+lez*a / espe*i,ue)los a*uerdos de Servi*io /Con,den*ialidad


41/44

visión de Seguridad para los Aspirantes a

Criterio de revisión

alida*ión de los *a#pos o+ligatorios del C'. ue *u#plan *on el esue#a de datos

enerar un C'. *on 2 o #$s *ara*teres en +lan*o) ta+uladores / retornos de *arro

alida*ión *riptogr$,*a de los sellos

Cu#plir *on todas las valida*iones ne*esarias para la e#isión de un ti#+re

eri,*ar la *orre*ta de,ni*ión de na#espa*es) a*iendo la reeren*ia a la ruta pu+li*ada por el SA<en donde se en*uentra el esue#a de NS'& >Reeren*ia Ane9o 2%?

Si se reuiere utilizar esta un*ionalidad) se de+er$ de,nir el nuevo na#espa*e dentro del nodoCo#pro+ante / pu+li*ar la ruta del esue#a NS' para la valida*ión

:tiliza*ión de *ara*teres espe*iales / se*uen*ias de es*ape enerar un C'. ue *ontenga*ara*teres espe*iales / se*uen*ias de es*ape

Cu#pli#iento *on reuisitos t*ni*os / un*ionales) ue el *liente sea $*il de usar / *uente *onuna intera*e a#iga+le& Revisión do*u#ental de #anuales

Cu#pli#iento del paso por *ada *o#ponente ue integre el servi*io de punta a punta& @torgar alSA< usuarios para realizar prue+as


42/44

"a *one9ión Re#ota de+e per#itir el a**eso desde la Red del SA<

"os #anuales de+en integrar instru**iones *laras para usuario) de aten*ión a usuario / de aten*ióna usuario del SA<

Se de+er$n #ostrar los do*u#entos de A*uerdos de ;iveles de Servi*io >S"A? / de Convenio deCon,den*ialidad) entre el Proveedor Autorizado / el Contri+u/ente


43/44

PAC - alida*ión toda se*uen*ia de *ara*teres en +lan*ointer#edias se sustitu/en por un Jni*o *ar$*ter en +lan*o? Ane9o 2%&

8l *orre*to sellado *onor#e a la *adena original >8n este pro*eso serealizan las dos valida*iones *riptogr$,*as) apli*a+les al C'. / al Conor#e al 3C?3& Oue el CS' del 8#isor*orresponda al RC ue viene *o#o 8#isor en el Co#pro+ante 4& Oue el

CS' del 8#isor a/a sido ,r#ado por uno de los Certi,*ados de Autoridadde SA"ista de valida*ión de rgi#en?1%& ue elrango de la e*a de genera*ión no sea #a/or a 72 oras para la e#isióndel ti#+re11& ue la e*a de e#isión sea posterior al %1 de 8nero 2%11 12&ue no *ontenga un ti#+re previo13& ue el PAC no a/a ti#+radoprevia#ente di*o Co#pro+ante"a previa valida*ión de la vigen*ia de los*erti,*ados usados en el sellado del C'.

alidar ue el *liente gratuito *u#ple *on los reuisitos t*ni*os e#itidospor el SA

eri,*ar ue el servi*io ore*ido desde el *liente gratuito / ue al prestar la*erti,*a*ión >ti#+rado? a ter*eros) se *u#pla *on la entrega del C'. al SA</ el envo del


44/44

412

512

516

517

+12

+16

Realizar una *one9ión re#ota e9itosa al apli*ativo del Proveedor / realizarprue+as *onor#e a los #anuales de usuario / usuario para el SA<entregados & >genera*ión de C'.) ad#inistra*ión de C'.) i#presión) et*&?

8l #anual de usuario de+e *ontener un ndi*e / los puntos ue des*ri+an lospasos a #anera de gua para a*er uso del servi*io / sus un*ionalidades

8l #anual de aten*ión a usuario de+e *ontener un ndi*e / los puntos dondese inor#e al usuario las or#as de *onta*to / resolu*ión de pro+le#as *onel servi*io / sus un*ionalidades

8l #anual de usuario SA< de+e *ontener un ndi*e / los puntos uedes*ri+an los pasos para ue el SA< reali*e las prue+as re#otas o en sitio

Mostrar el 'o*u#ento de A*uerdo de ;iveles de Servi*io >S"A?& 8n parti*ularpara la Apli*a*ión ratuita se de+e *u#plir *on lo pu+li*ado en la p$gina deinternet respe*to a la un*ionalidad / servi*ios respe*tivos

Mostrar el 'o*u#ento de Convenio de Con,den*ialidad) #ediante el *ual elProveedor Autorizado se *o#pro#ete a a*er +uen uso de la inor#a*ión del

Contri+u/ente&

matriz control

Documents