tÍtulo i disposiciones generales capÍtulo i ... - uv.mx · seguridad para el acceso y...

! .:t -,..

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Universidad VeracruzanaComité para la Seguridad Informática de losDatos Personales

TÍTULO IDISPOSICIONES GENERALES

CAPÍTULO IDISPOSICIONES GENERALES

1. La presente Política tiene por objeto establecer el marco normativo para la seguridad de lainformación en la Universidad Veracruzana que permita a los alumnos, personal académicoy administrativo mitigar riesgos y amenazas que vulneren la continuidad de los procesosinstitucionales y dar cumplimiento a las disposiciones legales en la materia. Deriva sufundamentación jurídica de la Ley 581 para la Tutela de los Datos Personales para el Estadode Veracruz de Ignacio de la Llave y del Reglamento de Transparencia, Acceso a laInformación y Protección de Datos Personales de la Universidad Veracruzana.

Esta política será de observancia general para los involucrados en el manejo de activos deinformación, entendidos como todos aquellos elementos de información, personas einstalaciones universitarias que tienen valor para la institución o que son necesarios paramantener la continuidad de las operaciones de la Universidad Veracruzana, tanto porintegrantes de la comunidad universitaria que en el ejercicio de sus funciones dentratamiento a los activos de información, como para aquellos que hagan uso de los recursosde Tecnologías de la Información y la Comunicación (TIC) institucionales.

Los documentos que deriven de este instrumento regulatorio tendrán el mismo carácter deser de observancia general.

2. La Universidad Veracruzana establece acciones para proteger los activos de informaciónfrente a riesgos y amenazas conforme a la metodología interna de evaluación y tratamientode riesgos, con el fin de mantener la confidencialidad, integridad y disponibilidad de lainformación, contribuyendo a la continuidad de los procesos institucionales, en apego a lalegislación universitaria y normatividad en la materia.

3. Con el objeto de salvaguardar la confidencialidad, integridad, disponibilidad de los activosde información, así como su valoración y riesgos, en función del impacto para laUniversidad, se establece lo siguiente:

IlI.

I. El uso de cualquier activo de información se ajustará a lo dispuesto en la legislaciónen la materia referida a la protección de datos personales, propiedad intelectual y, ensu caso, en la legislación universitaria que resulte aplicable;

Il. La Universidad reconoce el derecho del usuario a la privacidad y la seguridad; por loque establece la política general de seguridad de la información, así como elReglamento que se derive de la misma, lo que representa la importanciainstitucional en cuanto a la protección de sus activos de información;La Universidad garantizará que los recursos de TIC se encuentren disponibles paracumplir con los propósitos para los que fueron creados, es decir, que no seanmodificados o alterados por circunstancias internas o externas;Si surgiera la necesidad de intervenir la privacidad de alguna persona durante el curso ~de alguna investigación de carácter judicial o por el uso inapropiado de los activos deinformación o de TIC, la Universidad deberá cumplir los procedimientos legales

IV.

requeridos.


4. El usuario que tenga asignado un bien informático institucional o personal y haga uso de losservicios de TIC, infraestructura tecnológica e información de la Universidad Veracruzana;así como todo aquel que no pertenezcan a la comunidad universitaria pero que haga uso dela misma, acepta las condiciones de confidencialidad, integridad y disponibilidadestablecidas en la presente política.

5. Para efectos de la presente política se entiende por:

Confidencialidad: propiedad o característica consistente en que la información es accesibleúnicamente para personas o procesos autorizados.Disponibilidad: propiedad o característica consistente en que la información se encuentraaccesible y disponible cuando lo requiera una persona o proceso autorizado.Integridad: propiedad o característica consistente en el mantenimiento de la exactitud ycompletitud de la información y sus métodos de proceso.Medidas de seguridad: conjunto de disposiciones para proteger la información de losriesgos, con el fin de cumplir sus objetivos de seguridad. Puede tratarse de medidas deprevención, de disuasión, de protección, de detección y reacción, o de recuperación.Proceso: conjunto organizado de actividades que se llevan a cabo de manera sistemáticapara producir un bien o servicio; tiene un principio y fin delimitado, implica recursos y dalugar a un resultado.Recursos de TIC: se refiere a los sistemas de información, la infraestructura detelecomunicaciones, la infraestructura de energía eléctrica, equipo de cómputo, climas,sistemas de almacenamiento y dispositivos periféricos.Red institucional: medios de comunicación que se utilicen dentro y hacia la UniversidadVeracruzana para el tratamiento de información entre los sistemas, equipos que la procesany almacenan.Responsables de Administrar los recursos de TIC: la Dirección General de Tecnologíade Información, personal técnico designado en las entidades académicas y dependenciasadministrativas.TIC: conjunto de tecnologías aplicadas para proveer a las personas de la información ycomunicación a través de medios tecnológicos.Usuario: se considera a toda aquella persona que hace uso de manera directa o indirecta dela información y de los recursos de TIC de la Universidad.

CAPÍTULO 11DE LOS OBJETIVOS DE LA SEGURIDAD DE LA INFORMACIÓN

6. Establecer un Modelo de Gobierno de Seguridad de la Información que contribuya en ladefinición de los mecanismos y controles para salvaguardar cualquier activo de informaciónfrente a riesgos y amenazas, con el fin de asegurar la confidencialidad, integridad,disponibilidad de la información, estableciendo y vigilando el cumplimiento del marco deactuación general. Observando los integrantes de la comunidad universitaria para ello losiguiente:

1. Administrar la seguridad de la información, identificando y clasificando cualquier activode información que tiene valor para la Universidad o es necesario para mantener lacontinuidad de las operaciones de la misma;

II. Gestionar los riesgos asociados a los activos de información para asegurar la continuidadde los procesos institucionales;


III. Establecer la normatividad, por parte del Comité para la Seguridad Informática de losDatos Personales de la Universidad Veracruzana para implementar las medidas deseguridad destinadas a la protección de la información; y

IV. Fomentar una cultura de seguridad de la información en la Universidad para elevar laconfiabilidad en el tratamiento de la misma.

TÍTULO 11DE LA SEGURIDAD DE LA INFORMACIÓN

CAPÍTULO 1DE LA SEGURIDAD FÍSICA Y LÓGICA

7. SEGURIDAD FÍSICA. En la Universidad es importante garantizar la integridad de losespacios fisicos donde se encuentre cualquier activo de información. Para lograrlo losintegrantes de las entidades académicas y dependencias deberán observar lo siguiente:

1. Establecer medidas de seguridad para proteger la información en las áreas detrabajo;

ll. Administrar y controlar el acceso a áreas restringidas;III. Prevenir el daño e interferencia a las áreas, instalaciones. recursos fisicos y

humanos de la Universidad provocados por fenómenos ambientales, sociales yfallos en la infraestructura; y

IV. Salvaguardar los recursos de TIC utilizados para el tratamiento de información dela Universidad, entendido este último como la captura, procesamiento,transferencia, almacenamiento y destrucción de información.

8. SEGURIDAD LÓGICA. La Universidad concibe a la información como un elementoestratégico para mantener la continuidad de los procesos de la Institución por lo que debenexistir medidas de seguridad que salvaguarden el acceso a los datos restringiendo su accesosólo a los usuarios autorizados. Para lograrlo en las entidades académicas y dependencias sedeberá observar lo siguiente:

I. Todo usuario que realice tratamiento de información reservada o confidencialdeberá firmar la carta compromiso de confidencialidad de la información que tienea su disposición o de que conoce, con motivo del desempeño de su función;

ll. La información que se encuentre protegida por derechos de autor, en la que sea elbeneficiario la Universidad Veracruzana o cuya titularidad sea de terceros, deberáutilizarse con apego a la legislación en la materia;

1II. Cumplir las entidades académicas y dependencias con los controles establecidos enel Reglamento para la Seguridad de la Información, con el objetivo de salvaguardarla transferencia, respaldo y recuperación de la misma, garantizando suidentificación, protección, integridad y disponibilidad; y

IV. Cualquier medio que deba darse de baja y que contenga información personal oinstitucional, deberá borrar su contenido a través de un método que impida surecuperación posterior.

CAPÍTULO 11DEL USO DE LOS ACTIVOS DE INFORMACIÓN

9. El usuario deberá.uti~iza~~ualquier activo de información, bajo su resguardo, sólo para el logrode los fines de la mstitucron, observando lo siguiente:


1. Hacer uso responsable de los activos de información;II. La Universidad se reserva el derecho de dar acceso a cualquier elemento de

información e instalaciones universitarias;Ill, Cumplir las medidas necesarias para evitar que estos sean usados para prácticas

ilegales, irresponsables y acciones que deterioren o pongan en riesgo su desempeño;IV. Cualquier actividad que requiera una configuración especial deberá solicitarse por

escrito a los responsables de administrar los recursos de TIC, y una vez autorizadosrealizarse en ambientes controlados; y

V. Cualquier otra disposición o destino, será motivo de responsabilidad.

CAPÍTULO IIIDE LOS RESPONSABLES DE LA APLICACIÓN

10. Los responsables de dar seguimiento y cumplimiento a las disposiciones establecidas en lapresente política son:

VI.

VII.

1. Comité para la Seguridad Informática de los Datos Personales de la UniversidadVeracruzana: órgano responsable de analizar y establecer las medidas de seguridadrequeridas en materia de protección de datos personales en sistemas informáticosindicadas por la Ley 581 para la Tutela de los Datos Personales en el Estado deVeracruz de Ignacio de la Llave; así como aprobar la política, objetivos y programa deseguridad informática de los mismos en la Institución;Responsables de Sistemas de Datos Personales: en las entidades académicas ydependencias de la Universidad, son los responsables de los ficheros, que son losregistros de datos personales que se requieran para controlar las entradas y salidas delos recursos de TIC de un edificio, o base de datos, entendido estas como el conjunto dedatos pertenecientes a un mismo contexto y almacenados sistemáticamente para suposterior uso, con datos de carácter personal. Están obligados a establecer controles ymedidas de seguridad para proteger la información bajo su responsabilidad, de acuerdoa lo establecido en la Ley número 581 para la tutela de los datos personales para elEstado de Veracruz de Ignacio de la Llave;Encargado del tratamiento de los Datos Personales: persona que en el servicio de susfunciones, realiza tratamiento de datos personales de forma cotidiana;Dirección General de Tecnología de Información: responsable de diseñar y aprobarel programa de medidas técnicas de seguridad necesarias para proteger los activos deinformación de la institución, evitando su alteración, pérdida, comercialización,transmisión y acceso no autorizado, así como proponer al Comité para la SeguridadInformática de los Datos Personales de la Universidad Veracruzana, la normatividad deseguridad para el acceso y conservación de información almacenada en medios yrepositorios institucionales;Encargados de la administración de equipos de cómputo: es responsable deestablecer y hacer cumplir, todas aquellas medidas de seguridad para el acceso a losservicios y recursos de TIC que ofrece la entidad académica o dependencia parasalvaguardar la integridad, disponibilidad y confidencialidad;Grupo de trabajo de Seguridad de la Información: se encuentra integrado porrepresentantes de las áreas sustantivas de la Universidad, destinado a la adopción delmodelo de gobierno de seguridad de la información, así como su implantación,garantizando el apoyo manifiesto de las autoridades a las iniciativas de seguridad; ~Dirección General de Recursos Humanos: proporcionar el formato de Cartacompromiso de confidencialidad a los titulares de las entidades académicas ydependencias de la Universidad Veracruzana, el cual deberá ser suscrito por el

lI.

III.

IV.

V.


trabajador responsable del activo de información; informará la dirección electrónicadonde se ubique y contenga la normatividad a observar de esta Política de Seguridad dela Información, manuales, guías, procedimientos y prácticas que de ella deriven yapoyará en las tareas de capacitación continua en materia de seguridad de lainformación; y

VIII. Secretaría de la Rectoría a través del Sistema Universitario de Gestión Integraldel Riesgo de la Universidad Veracruzana (SUGIR-UV): articular, generar yfortalecer la gestión participativa y sustentable del riesgo en las entidades académicas ydependencias de la institución, que se traduzcan en la permanente reducción devulnerabilidades y el fortalecimiento de acciones de protección y cuidado colectivo.

CAPÍTULO IVDE LAS RESPONSABILIDADES EN CASO DE INCUMPLIMIENTO

11. Toda persona que haga uso de los activos de información, está obligada a cumplir la presentepolítica de seguridad y el Reglamento respectivo para mantener la confidencialidad, integridad,disponibilidad, legalidad y confiabilidad de los activos' de información.

12. El incumplimiento de las disposiciones citadas en esta política y demás normas en materia deseguridad de la información, dará lugar a la sanción correspondiente establecida de lalegislación universitaria. Si al investigar las faltas de carácter universitario se advierte lacomisión de un delito, deberá hacerse la denuncia a las autoridades competentes, sin perjuiciode que se imponga la sanción prevista por la reglamentación respectiva.

13. La Universidad se reserva el derecho a ejercer las acciones legales pertinentes para laprotección y defensa de sus legítimos intereses en aquellos supuestos de hecho no directamentecontemplados en el presente documento, que sin embargo pudieran tener cabida en el CódigoPenal o en la legislación vigente.

TRANSITORIOS

PRIMERO. La presente Política para la Seguridad de la Información, entrará en vigor el díasiguiente de su aprobación por el Comité para la Seguridad Informática de los Datos Personales.

SEGUNDO. Se abroga la política emitida el 26 de marzo del 2014 relativas a la Seguridad de laInformación de la Universidad Veracruzana.

TERCERO. Publíquese, Difúndase y Cúmplase.

APROBADA A LOS VEINTIOCHO DÍAS DEL MES SEPTIEMBRE DEL AÑo DOS MIL \QUINCE. I

· '~


Dra. Sara Deifilia Ladrón deGuevara González lPresidenta del Comité

Secretario del Comité

Encargado de la Coordinación Universitaria__ --~----...... de Transparencia, Acceso a la Información y

Protección de Datos Personales

M.A. Eisa Ortega odríguezDirectora General de Tecnología de Información

.,

-------- --- ---- -- --

tÍtulo i disposiciones generales capÍtulo i ... - uv.mx · seguridad para el acceso y...

Documents