MACROPROCESO ESTRATÉGICO GESTIÓN SISTEMAS INTEGRADOS SGSI

OBJETIVO

Establecer, implementar, mantener y mejorar continuamente las condiciones y requisitos estableciendo lineamientos, procedimientos documentados y sistemáticos para la planificación, ejecución, verificación, mejora continua y buenas prácticas de Seguridad de la Información – SI, Ciberseguridad y del Programa Integral de Gestión de Datos Personales – PIGDP, con el propósito de proteger los activos de la información de amenazas internas y externas y que son esenciales para la institución, minimizando los riesgos por perdida de Confidencialidad, Integridad y Disponibilidad de la información física y digital, asegurando la implementación de controles físicos y de seguridad digital, en cumplimiento de las condiciones y requisitos de las normas ISO 27001:2022, 27032:2023 y la Ley de Protección de Datos Personales, buscando fortalecer la ciberseguridad y la resiliencia institucional

ALCANCE

La implementación del Sistema de Gestión de Seguridad de la Información – SGSI, Ciberseguridad y el Programa Integral de Gestión de Datos Personales – PIGDP tiene cobertura a nivel institucional, incluyendo Sede, Seccionales, Extensiones, Oficina de Bogotá, Centro Académico Deportivo – CAD y las unidades Agroambientales, que comprende todos los procesos del Modelo de Operación Digital, en el marco de la mejora continua.

POLÍTICA DE OPERACIÓN DEL PROCESO

Ver estructura documental

• • Seguimiento al plan de acción e indicadores del Sistema de Gestión de Seguridad de la Información.

• • Autoevaluación y control del Sistema de Gestión de Seguridad de la Información.

• • Atención a consultas, quejas o reclamos relacionados con el tratamiento de datos de los titulares de información de la Universidad de Cundinamarca.

Ejecutar procedimientos de monitorización y revisión para:

• • Identificar brechas e incidentes de seguridad y privacidad de la información;

• • Ayudar a la dirección a determinar si las actividades desarrolladas por las personas y dispositivos tecnológicos para garantizar la seguridad de la información y la protección de datos personales se desarrollan en relación a lo previsto;

• • Detectar y prevenir eventos e incidentes de seguridad y privacidad de la información mediante la identificación de riesgos para cumplir con los indicadores propuestos;

Revisar regularmente la efectividad del SGSI atendiendo al cumplimiento de la política y objetivos del SGSI, los resultados de auditorías de seguridad, incidentes, resultados de las mediciones de eficacia, sugerencias y observaciones de todas las partes implicadas.

Definir periódicamente las Bases de Datos Personales de las cuales se realiza tratamiento y que deben ser registradas en la Superintendencia de Industria y Comercio o quien haga sus veces.

Medir la efectividad de los controles para verificar que se cumple con los requisitos de seguridad.

Revisar regularmente en intervalos planificados las evaluaciones de riesgo, los riesgos residuales y sus niveles aceptables, teniendo en cuenta los posibles cambios que hayan podido producirse en la organización, la tecnología, los objetivos y procesos de negocio, las amenazas identificadas, la efectividad de los controles implementados y el entorno exterior -requerimientos legales, obligaciones contractuales, etc.

Realizar periódicamente auditorías internas del SGSI en intervalos planificados.

Revisar el SGSI por parte de la dirección periódicamente para garantizar que el alcance definido sigue siendo el adecuado y que las mejoras en el proceso del SGSI son evidentes.

Actualizar los planes de seguridad en función de las conclusiones y nuevos hallazgos encontrados durante las actividades de monitorización y revisión.

La definición del objetivo, el alcance del proceso y su relación con el direccionamiento estratégico institucional se realiza con la participación activa de los gestores del proceso, así como los procedimientos de indicadores, riesgos, puntos de control y demás acciones para el seguimiento, evaluación y mejora del proceso.

• • Implantar en el SGSI las mejoras identificadas.

• • Realizar las acciones preventivas y correctivas adecuadas en relación con la cláusula 8 – Operación de la norma ISO 27001 y a las lecciones aprendidas de las experiencias propias y de otras organizaciones.

• • Comunicar las acciones y mejoras a todas las partes interesadas con el nivel de detalle adecuado y acordar, si es pertinente, la forma de proceder.

• • Asegurarse que las mejoras introducidas alcanzan los objetivos previstos.

• • Gestión del riesgo y de las oportunidades.