PROCEDIMIENTO DE ASIGNACIÓN DE RESPONSABILIDADES EN LA GESTIÓN DE USUARIOS

Transcripción

1 PROCEDIMIENTO DE ASIGNACIÓN DE RESPONSABILIDADES EN LA GESTIÓN DE USUARIOS

2 INDICE 1. OBJETO ÁMBITO DE APLICACIÓN VIGENCIA REVISIÓN Y EVALUACIÓN REFERENCIAS ROLES Y RESPONSABILIDADES GESTIÓN DE USUARIOS INSCRIPCION INSCRIPCION DE USUARIOS GESTIÓN DE PRIVILEGIOS INTRODUCCIÓN GESTIÓN DE PRIVILEGIOS CANCELACIÓN DE PRIVILEGIOS CONTROL DE ACCESO PRINCIPIOS DE CONTROL DE ACCESO REVISIÓN DEL CONTROL DE ACCESO AUTENTICACIÓN DE USUARIOS AUTENTICACIÓN MEDIANTE CONTRASEÑAS BASES DE DATOS-COPIAS DE RESPALDO

3 1. OBJETO El bjet del presente dcument es la definición del Prcedimient aplicable a la Gestión de Usuaris: Asignación de Respnsabilidades, Identificación, Autenticación y Cntrl de Acces Lógic de ls usuaris del Sistema Unic de Rentas de La MUNICIPALIDAD DISTRITAL DE YANAHUARA. 2. ÁMBITO DE APLICACIÓN Este prcedimient es de aplicación a td el ámbit de actuación del SISTEMA DE RENTAS, y sus cntenids traen causa de las directrices de carácter más general definidas en la Plítica de Seguridad de la Infrmación y en las Nrmas de Seguridad de acuerd a Ley Nr Cap. II El presente Prcedimient es de aplicación y de bligad cumplimient para td el persnal que, de manera permanente eventual, preste sus servicis en l a MUNICIPALIDAD DISTRITAL DE YANAHUARA, incluyend el persnal que n este directamente relacinad cn el area de Administración Tributaria. En el ámbit del presente prcedimient, se entiende pr usuari cualquier emplead públic perteneciente ajen al area de Administracin Tributaria, así cm persnal, clabradr cualquier tr mienbr de tras unidades Organicas cn algún tip de vinculación cn la Municipalidad Distrital de Yanahuara y que utilice psea acces a ls Sistemas de Infrmación. 3. VIGENCIA El presente Prcedimient entrará e n vi genci a i nm edi a t am en te h a ya sid aprbad, estableciend de esta frma las directrices generales para el us adecuad de ls recurss de tratamient de infrmación que la Unidad de Infrmática pne a dispsición de sus usuaris para el ejercici de sus funcines y que, crrelativamente, asumen las bligacines descritas, cmprmetiéndse a cumplir cn l dispuest en ls siguientes epígrafes. Cualquier mdificación psterir entrará en vigr inmediatamente después de su publicación y/ cncimient. Cualquier algun tr prcedimient que actualice la infrmacin de la presente hara que su vigencia quede nula pr la última versión del nuev prcedimient. 3

4 4. REVISIÓN Y EVALUACIÓN La gestión de este Prcedimient crrespnde a la Unidad de Infrmática, que es cmpetente para: Interpretar las dudas que puedan surgir en su aplicación. Prceder a su revisión, cuand sea necesari para actualizar su cntenid se cumplan ls plazs máxims establecids para ell. Verificar su efectividad. Anualmente ( cn menr peridicidad, si existen circunstancias que así l acnsejen), la Unidad de Infrmática revisará el presente Prcedimient, que se smeterá, de haber mdificacines, a la aprbación de la Oficina de Asesria Jurídica de la Municipalidad de Yanahuara. La revisión se rientará tant a la identificación de prtunidades de mejra en la gestión de la seguridad de la infrmación, cm a la adaptación a ls cambis habids en el marc legal, infraestructura tecnlógica, rganización general, etc. Será el Respnsable de Seguridad la persna encargada de la custdia y divulgación de la versión aprbada de este dcument. 5. REFERENCIAS La implantación de un Prcedimient cm el descrit requiere el examen previ de la siguiente dcumentación: Nrmativa General de Utilización de ls Recurss y Sistemas de Infrmación NTP-ISO/IEC 17799:2007 EDI. Delits Infrmátics Ley Nr Cap. II Delits cntra Dats y Sistemas Infrmátics. 6. ROLES Y RESPONSABILIDADES Las respnsabilidades definidas pr las tareas cntempladas en el prcedimient sn las siguientes: Usuaris: Rles Respnsable de la Seguridad y del Sistema: Unidad de infrmática Respnsabilidades Aplicar el presente Prcedimient Mantener la seguridad de la infrmación manejada y de ls servicis prestads pr ls sistemas de infrmación en su ámbit de respnsabilidad. Prmver la infrmación y cncientizar en materia de seguridad de la Infrmacin.

5 Análisis de riesgs. Aplicar medidas de Seguridad adicinales en cas aplique. Elabrar cnfiguración de cpias de respald de Seguridad de la Infrmación. Elabrar crngrama periódica de cpia de resald. Elabrar planes de mejra de la seguridad de respald. Revisar cicl de vida de la Seguridad, desarrll, peración, cambis, etc,. Aprbar Prcedimients de seguridad. Analizar y prpner salvaguardas que prevengan incidentes sbre el manej de infrmación. Desarrllar, perar y mantener el Sistema de infrmación. Gestión, cnfiguración y actualización, en su cas, del hardware y sftware, así cm su supervisión Gestión de las autrizacines y privilegis cncedids a ls usuaris del sistema. Aprbar ls cambis en la cnfiguración del Sistema y su seguridad. Infrmar a la Gerencia de administración Tributaria de cualquier anmalia. Clabrar en la investigación y reslución de incidentes en el Sistema. Llevar a cab el registr, depuración, cntabilidad y gestión de ls tds ls incidentes que tenga el Sistema. Tmar decisines a crt plaz si la infrmación se ha vist cmprmetida de tal frma que pudiera tener cnsecuencias graves. Asegurar la integridad de ls elements crítics del Sistema si se ha vist afectada la dispnibilidad de ls misms. Mantener y recuperar la infrmación almacenada pr el Sistema y sus servicis asciads. Realizar la Inscripcin y depuración de usuaris, através del prcedimient descrit en el presente dcument. 5

6 7. GESTIÓN DE USUARIOS 1. INSCRIPCION A cntinuación se identifican las Áreas y/ Unidades de la Municipalidad invlucrads en la ejecución de alguna de las tareas que se van a describir en este epígrafe y que tendrán que ser debidamente infrmads para la crrecta ejecución del prcedimient. Jefes de Área / Jefes de Servici. Unidad de Infrmática. RRHH 2. INSCRIPCION DE USUARIOS El emplead públic que se incrpre a la Municipalidad de Yanahuara y que intervenga en el manej del Sistema, prprcinará, entre trs, ls siguientes dats: Nmbre. Apellids. DNI. Otrs dats de distinta naturaleza (crre electrónic, etc.) Seguidamente, se describe el prces requerid para la incrpración de un emplead públic a la Municipalidad en el manej del Sistema. En el mment en el que el emplead públic se incrpre a su puest en el área crrespndiente, su Jefe definirá sus necesidades tecnlógicas, asignación de rdenadr, un códig de usuari del Sistema, Dependencia de Manej, etc. 6

7 Prces de inscripcin de Usuri en el Sistema de rentas Municipalidad de Yanahuara El respnsable del emplead públic enviará un Dcument via SIGGO al respnsable de la seguridad y Sistema (Unidad de Infrmática), indicándle las necesidades del nuev usuari e incluyend su dcument de asignacin de carg y ls siguientes dats: Nmbre y Apellids. Perfil (permiss de acces a recurss del sistema). Puest de trabaj (denminación del puest y unidades administrativas a las que pertenece). Ubicación (Area Unidad). Teléfn, anex. El Respnsable de la Seguridad y Sistema de Rentas (Unidad de Infrmática) respnderá el dcument via SIGGO al respnsable del emplead públic (Jefe de Unidad) trgand la credencial de acces al Sistema de Rentas de la Municipalidad de Yanahuara Cnfirmand ls dats anterires INSCRIPCION EN SISTEMAS Y ASIGNACIÓN DE EQUIPO Lueg de recepcinada la slicitud se prcedera a la inscripcin del usuari en el Sistema de rentas y se prcedera a la cnfiguracin del equip infrmatic que se le haya asignad, siend unicamente el respnsable del prces el Adminstradr del Sistema (unidad Infrmática). Psterir a la inscripción y cnfiguración de equip, se infrmará de ell al Jefe inmediat del emplead públic, trgand la cnfrmidad de la inscripcin. Realizada ya la inscripción y estand ya el emplead públic en su equip asignad, se prcedera a la cnfiguración de su cntraseña de acces al Sistema de Rentas, la misma que será de únic cncimient del emplead públic. La Unidad de Infrmática de la Municipalidad Distrital de Yanahuara será respnsable del registr y seguimient de las slicitudes asi cm de ls Usuaris ya ingresads para las distintas Unidades. En el cas de que existiera algún prblema, el Respnsable del Sistema de rentas deberá infrmar de la situación al Jefe de la Unidad slicitante. 7

8 3. GESTIÓN DE PRIVILEGIOS INTRODUCCIÓN Ls privilegis de acces de ls usuaris al Sistema de Rentas de la Municipalidad deben ser gestinads y cntrlads adecuadamente para evitar access uss n autrizads de la infrmación. Pr ell, se realizarán revisines periódicas de ls privilegis asignads, que psibiliten la adpción de las medidas crrectivas, en su cas. Tds ls access deben estar basads en la necesidad de saber. Sól se permitirá el acces a ls recurss cuand exista una necesidad legítima para el desarrll de las actividades prfesinales del usuari. Pr tr lad, ls permiss trgads a cada usuari deberán ser ls mínims para el desarrll de sus funcines. GESTIÓN DE PRIVILEGIOS La asignación, mdificación revcación de privilegis en el Sistema de Rentas de la Municipalidad será slicitada pr ls respnsables del departament área a la que pertenezca el destinatari de dichs privilegis. Se mantendrá una Inventari para Cntrl de Access, en la que se identifiquen ls usuaris y ls privilegis autrizads y denegads. Existirán privilegis asciads a: Cada usuari. Administradr Operadr Usuari Tempral Etc. Cada recurs. Bases de dats. Aplicacines. Etc. Cada permis, Lectura. Escritura. Cntrl ttal. La Unidad Infrmática de la municipalidad será respnsable de registrar, mantener y custdiar ls permiss trgads a ls usuaris. El Sistema de Rentas esta actualmente diseñad cnfigurad de tal frma que sól se acceda a las funcines permitidas. 8

9 Ls sprtes y dcuments que cntengan dats de carácter persnal serán accesibles únicamente pr el persnal autrizad en el crrespndiente Dcument de Seguridad. Pr tant, será necesari crear y mantener un Inventari de Privilegis de Acces, que cntendrá infrmación relativa a cada usuari y sus privilegis de acces cncedids. La infrmación se creará a la inscripcin de un usuari pr primera vez en el Sistema, y deberá mantenerse actualizada, registrándse tdas aquellas mdificacines que se prduzcan en ls privilegis de acces hasta el mment en que el usuari haya dejad de usar el Sistema dad de baja. REVISIÓN DE PRIVILEGIOS Al mens, cada seis meses, se realizará una revisión de ls privilegis de acces de tds ls usuaris. Cuand se trate de privilegis especiales (administradr.), tal revisión de privilegis se deberá realizar, al mens, cada añ, y, en cualquier cas, siempre que existan: Alta de nuevs usuaris Baja de usuaris Además, ls privilegis de acces de usuaris, deben ser revisads siempre que existan cambis en las funcines respnsabilidades. Para ls tips de usuaris se tendrán en cuenta, al mens, las siguientes cuestines: Necesidad de nuevs permiss. Cancelación de antigus permiss. Segregación de funcines. Mdificación de cntraseñas de acces. Ntificación al persnal implicad de su baja cambi. Necesidad de retención de registrs. CANCELACIÓN DE PRIVILEGIOS Tds ls privilegis de access de usuaris deben ser cancelads en el mment de la finalización de su cntrat prestación de sus servicis en la Municipalidad en td cas haya sufrid una rtación de carg. Existirán flujs de cmunicación que aseguren que este Prcedimient se realiza crrectamente, tal y cm hems vist en el epígrafe anterir de este Prcedimient. 9

10 8. CONTROL DE ACCESO 1. PRINCIPIOS DE CONTROL DE ACCESO Ls principis que determinan el cntrl de acces al Sistema de Rentas de al Municiipalidad sn las siguientes: El acces al Sistema de Rentas requerirá siempre de autenticación. Ls usuaris deberán siempre autenticarse cm usuaris n privilegiads del sistema, excepcinalmente y sól cn fines de administración pdrán autenticarse cm administradres del mism. Ls usuaris deberán en td mment hacer un us respnsable de la infrmación cntenida en el sistema, garantizand el nivel de seguridad adecuad. Tdas las cntraseñas asignadas a las cuentas de usuari deberán respetar un grad de cmplejidad. 2. REVISIÓN DEL CONTROL DE ACCESO Reglas generales: Cada seis meses se realizará una revisión periódica de ls derechs de acces asignads a ls usuaris. Ls derechs de acces privilegiads deberán revisarse cn una peridicidad mayr esta peridicidad será de un añ. Además de l anterir, deberá realizarse una revisión de ls permiss de acces crrespndientes a un usuari siempre que hubiere sufrid mdificación significativa de sus respnsabilidades, psición rl de la Unidad a la que pertenece. 10

11 9. AUTENTICACIÓN DE USUARIOS 1. AUTENTICACIÓN MEDIANTE CONTRASEÑAS Alta y baja de cntraseñas Las gestines asciadas a la creación eliminación de cntraseñas sn respnsabilidad de ls administradres del Sistema (Unidad de Infrmática) y deberá aplicarse l cntemplad en el epígrafe anterir de este Prcedimient. Sustitución de cntraseñas El cambi de cntraseñas pdrá bedecer a: Cumplimient del perid de rtación establecid para la cntraseña. Cambi de cntraseña decidid pr el usuari pr la Unidad de Infrmática de la Municipalidad. Cambi de cntraseña pr lvid, pérdida sspecha de haber sid cmprmetida la seguridad de la anterir. Cambi de una cntraseña pr defect. El respnsable de iniciar un prcedimient de cambi de cntraseña pdrá ser el dueñ de la cuenta cuya cntraseña ha de cambiarse, la Unidad de Infrmática, y cnstará de ls siguientes pass: Pr decisión del usuari: El usuari dispne de cntraseña válida para acceder al servici: Cntactará cn el administradr del sistema de infrmación para que haga us de sus privilegis de administración y realice el cambi de cntraseña pr una nueva cntraseña, que el usuari deberá sustituir en el inici de la siguiente sesión. Pr decisión de la Unidad infrmática: El Administradr actualiza ls usuaris para acceder al servici: El administradr del sistema de infrmación hace us de sus privilegis de administración y realice el cambi de cntraseña pr una nueva cntraseña, que el usuari deberá sustituir en el inici de la siguiente sesión. 11

12 Directiva de cntraseñas Tds ls usuaris, independientemente del sistema de infrmación para el que se definan sean válidas, sn respnsables de sus cntraseñas de acces a servicis y de ls access que se prduzcan haciend us de dichas cntraseñas. En este sentid, se recmienda a ls usuaris bservar las siguientes indicacines en cuant a la custdia de sus cntraseñas : N cmpartir sus cntraseñas cn trs usuaris. N antar sus cntraseñas ni intrducirlas si alguien está bservand. N enviar cntraseñas pr medis electrónics almacenarlas en fichers de rdenadr sin cifrar. El usuari deberá custdiar sus cntraseñas de frma efectiva. Tdas las cntraseñas asignadas a las cuentas activas en el Sistema de Rentas deberán bservar las restriccines que se detallan en la siguiente tabla. Parámetr Perid máxim de rtación Caducidad de cntraseñas Reutilización de cntraseñas Lngitud mínima Requisits de cmplejidad Semántica de cntraseñas Valr 90 días para cuentas de usuari. 180 días para cuentas de administración de sistemas. Autmática, al finalizar el perid máxim de rtación, except para cntraseñas de administración de sistemas. Ninguna de las 3 últimas 8 caracteres. N cntener en parte en su ttalidad el nmbre de usuari. Estar cmpuesta pr al mens 3 de entre ls siguientes 4 cnjunts de caracteres: Caracteres alfanumérics en mayúsculas. Caracteres alfanumérics en minúsculas. Caracteres numérics. Símbls/caracteres especiales. Se deberán evitar las cntraseñas basadas en: Repetición de caracteres. Palabras del diccinari. Secuencias simples de letras, númers secuencias de teclad. Infrmación fácilmente asciable al usuari cm nmbres de familiares masctas, númers de teléfn, matrículas, fechas en general infrmación bigráfica del usuari. 12

13 10. BASES DE DATOS - COPIAS DE RESPALDO Se define cm backup cpia de seguridad, la actividad de resguardar de frma segura la infrmación cntenida en un medi de almacenamient de rigen (disc dur) a un medi de almacenamient de destin de diferente tip (tr disc dur, servidr de backup, memria USB, CD, DVD, ZIP, etc.). El acces al Sistema de Rentas y bases de dats debe ser independiente del acces al sistema perativ. Se debe tener en cuenta el aislamient de sistemas e infrmación sensibles. El emple de la Infrmacin sensible cntenida en la Base de Dats del Sistema de Rentas es de respnsabilidad y us exclusiv al persnal de la Unidad de Infrmática. Las cpias de Respald (Backups) de la Base de dats del Sistema de Rentas deben ser cnfiguradas para que se generen tds ls dias a una hra determinada y es de respnsabilidad de la Unidad Infrmatica. La infrmación almacenada debe ser verificada íntegramente, tant el riginal cm las cpias (en cas de encntrarse empaquetada, desempaquetarla cm verificación). Asimism, debe verificarse que la infrmación n esté cntaminada cn virus infrmátic. Cuand se quiera almacenar un archiv de respald este deberá guardarse físicamente en tra unidad magnética (USB, CD disc dur) diferente a la que cntiene el archiv riginal. La actualiación de la Infrmación, el emple de la misma en l referente a la administración, prcesamient de dcuments, implementación y trs que requieran la mdificación de la infrmacin de ls dats, asi cm el pblad de nuevs dats emitids prprcinads pr el estad para el Sistema de Rentas es de Respnsabilidad de la Unidad Infrmática. 13