Y LA INFRAESTRUCTURA INFORMÁTICA DELASECRETARÍA GENERAL DE GOBIERNO,ASÍ COMO GARANTIZAR LA CONTINUIDAD DE LOS SERVICIOS QUE SE

Transcripción

1 POLÍTICAS DE SEGURIDAD Y CONTROL DE LAS TECNOLOGÍAS DE LA INFORMACIÓN OBJETIVO: ALCANCE: ESTABLECER LOS LINEAMIENTOS QUE PERMITAN SALVAGUARDAR LA INFORMACIÓN Y LA INFRAESTRUCTURA INFORMÁTICA DELASECRETARÍA GENERAL DE GOBIERNO,ASÍ COMO GARANTIZAR LA CONTINUIDAD DE LOS SERVICIOS QUE SE OFRECEN. LAS PRESENTES POLÍTICAS DE SEGURIDAD Y CONTROL DE LAS TECNOLOGÍAS DE LA INFORMACIÓN, SE DEBERÁN OBSERVAR DE MANERA OBLIGATORIA POR TODOS LOS USUARIOS DELA. BENEFICIOS: LA PROTECCIÓN DE LOS ACTIVOS TECNOLÓGICOS Y DE INFORMACIÓN DELA. POLÍTICAS DE LOS USUARIOS: PS-US-001 PS-US-002 TODOS LOS SERVIDORES PÚBLICOS DELA, QUE HAGAN USO DE EQUIPO DE CÓMPUTO Y DE LOS SERVICIOS INFORMÁTICOS, DEBERÁN CUMPLIR Y RESPETAR LAS PRESENTES POLÍTICAS DE SEGURIDAD Y CONTROL DE LAS TECNOLOGÍAS DE LA INFORMACIÓN. QUEDA ESTRICTAMENTE PROHIBIDO QUE EL USUARIO: REUBIQUE EL EQUIPO DE CÓMPUTO, COMUNICACIÓN, PERIFÉRICOS Y DISPOSITIVOS, SIN VERIFICAR PREVIAMENTE CON EL ÁREA TÉCNICA LA VIABILIDAD. ABRA EL EQUIPO DE CÓMPUTO ASIGNADO PARA INTENTAR CORREGIR ALGUNA FALLA, MODIFICAR LA CONFIGURACIÓN O PRETENDA AÑADIR O RETIRAR ALGÚN COMPONENTE. DESCONECTE DE LA ENERGÍA ELÉCTRICA LOS DISPOSITIVOS DE COMUNICACIÓN (MODEM, HUB, SWITCH, ETC.). DAÑE O MALTRATE EL HARDWARE (COMPUTADORAS, NODOS DE COMUNICACIÓN, IMPRESORAS, ESCÁNERS, MÓDEMS, ETC.). UTILICE HERRAMIENTAS QUE ALTEREN LOS CONTROLES DE SEGURIDAD INFORMÁTICA. MODIFIQUE LA CONFIGURACIÓN, INFRAESTRUCTURA Y SERVICIOS DE RED. INTERFIERA, MANIPULE O DAÑE LAS CONEXIONES Y EL CABLEADO DE LA RED. CUBRA LOS ORIFICIOS DE VENTILACIÓN DEL MONITOR O DEL GABINETE Y COLOCAR EL EQUIPO EN LUGARES HÚMEDOS Y SIN LAS CONDICIONES DE HIGIENE ADECUADAS. CONSUMA ALIMENTOS O LÍQUIDOS CERCA DEL EQUIPO DE CÓMPUTO. Versión 1.4 Página 1 Septiembre, 2016

2 ALMACENE Y COMPARTA ARCHIVOS PERSONALES EN EL EQUIPO ASIGNADO (VIDEO, AUDIO, JUEGOS), TODA VEZ QUE PUEDEN AFECTAR SU FUNCIONAMIENTO. LA ÚNICA INSTANCIA AUTORIZADA PARA REALIZAR LAS ACTIVIDADES ANTERIORES, ES EL PERSONAL TÉCNICO O EN SU CASO, LOS PROVEEDORES ENCARGADOS DE LOS SERVICIOS DE GARANTÍA. PS-US-003 ES OBLIGACIÓN DE TODO EL PERSONAL ADSCRITO ALASECRETARÍA GENERAL DE GOBIERNOOBSERVAR LAS SIGUIENTES RECOMENDACIONES: PS-US-004 PS-US-005 BLOQUEAR EL ACCESO A SU EQUIPO CUANDO SE AUSENTE DE SU ESPACIO DE TRABAJO. SALVAGUARDAR LA CONFIDENCIALIDAD DE LOS IDENTIFICADORES DE USUARIOS Y CONTRASEÑAS. EVITAR ABRIR O EJECUTAR ARCHIVOS O MACROS ADJUNTOS DE UN CORREO ELECTRÓNICO DE PROCEDENCIA DESCONOCIDA, SOSPECHOSA O FUENTE NO CONFIABLE. ELIMINAR LOS CORREOS ELECTRÓNICOS DE PROCEDENCIA DESCONOCIDA, SOSPECHOSA O FUENTE NO CONFIABLE Y REALIZAR EL VACIADO DE LA PAPELERA DE RECICLAJE DE LA CUENTA. BORRAR LOS CORREOS SPAM O CADENAS Y NO REALIZAR EL REENVÍO DE LOS MISMOS. DESCARGAR ARCHIVOS DE SITIOS DESCONOCIDOS O FUENTES SOSPECHOSAS. EVITAR USAR EQUIPO DE CÓMPUTO PERSONAL, PARA Y DURANTE EL DESEMPEÑO DE LAS FUNCIONES, SOLO SE PODRÁ USAR SI CUENTA CON SOFTWARE ANTIVIRUS INSTALADO Y ACTUALIZADO, PREVIA REVISIÓN DEL PERSONAL TÉCNICO. HACER USO DEL SOFTWARE ANTIVIRUS PARA REVISAR LOS DISCOS DUROS, UNIDADES DE ALMACENAMIENTO REMOVIBLES O MEMORIAS USB ANTES DE USARLAS. SOLO SE PODRÁ HACER USO DE LOS ACTIVOS DE TI ASIGNADOS Y AUTORIZADOS DE ACUERDO A LOS ROLES, PERFILES ESTABLECIDOS Y A LAS FUNCIONES ACTIVIDADES RELACIONADAS CON LOS PROCESOS. LOS SERVICIOS DE RED TALES COMO CUENTAS DE USUARIO, CONTRASEÑAS, CONFIGURACIONES, Y CUALQUIER OTRO TIPO DE IDENTIFICADOR Y AUTENTICADOR, ES INFORMACIÓN ESTRICTAMENTE CONFIDENCIAL Y DE USO EXCLUSIVO. PS-US-006 PARA EL ACCESO A SISTEMAS DE INFORMACIÓN, REDES INTERNAS Y/O APLICACIONES ESPECÍFICAS, SE PROPORCIONARÁ UN NOMBRE DE USUARIO Y CONTRASEÑA, DEBIENDO FIRMAR EL ACUERDO DE CONFIDENCIALIDAD. O Versión 1.4 Página 2 Septiembre, 2016

3 PS-US-007 PS-US-008 PS-US-009 LOS SERVICIOS DE COMUNICACIÓN, DE ACCESO A INTERNET Y LAS CUENTAS DE CORREO CON DOMINIO INSTITUCIONAL O COMERCIALES, USADAS EN EL DESARROLLO DE LAS FUNCIONES ENCOMENDADAS, SON DE USO OFICIAL Y SÓLO DEBE SER UTILIZADO PARA ESTE FIN, QUEDANDO BAJO RESPONSABILIDAD DE CADA USUARIO. SE TIENE PROHIBIDO EL USO DEL CORREO INSTITUCIONAL PARA EL ENVÍO DE CARTAS, CADENAS, PORNOGRAFÍA, CHISTES Y CUALQUIER OTRO TIPO DE MATERIAL AJENO A LOS INTERESES GUBERNAMENTALES. QUEDA PROHIBIDA LA INSTALACIÓN DE SOFTWARE QUE NO CUENTE CON LICENCIA. PS-US-010 LOS TITULARES DE LAS UNIDADES ADMINISTRATIVAS, DEBERÁN INFORMAR PREVIAMENTE A LA DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN SOBRE LA DESHABILITACIÓN DE CUENTAS DE USUARIOS DE SISTEMAS Y/O CORREO ELECTRÓNICO INSTITUCIONAL QUE HAN TERMINADO SU RELACIÓN LABORAL. PS-US-011 OBSERVAR LA CORRECTA UTILIZACIÓN DE LOS EQUIPOS DE CÓMPUTO Y ACCESORIOS ASIGNADOS, ASÍ COMO DE LOS PERIFÉRICOS PROPIEDAD DEL GOBIERNO DEL ESTADO DE MÉXICO QUE UTILICE PARA EL DESEMPEÑO DE SUS FUNCIONES. PS-US-012 PS-US-013 PS-US-014 SE DEBERÁ REPORTAR AL PERSONAL TÉCNICO CUALQUIER FALLA DE LOS BIENES INFORMÁTICOS A TRAVÉS DEL MECANISMO QUE ESTABLEZCA LA UNIDAD DE TECNOLOGÍAS DE LA INFORMACIÓN (UTI). ES RESPONSABILIDAD DE LOS USUARIOS REALIZAR EL RESPALDO DE INFORMACIÓN DEL EQUIPO DE CÓMPUTO ASIGNADO. EN LOS CASOS QUE NO SE CUENTE CON PERSONAL TÉCNICO ESPECIALIZADO, SE DEBERÁ GENERAR UN TICKET EN EL CENTRO DE ATENCIÓN A USUARIOS (CAU) EN LA DIRECCIÓN OTROS: CUANDO SE PRESENTE, ENTRE FALLA EN EL FUNCIONAMIENTO DE LOS SISTEMAS DESARROLLADOS POR LA DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN. FALLA EN EL EQUIPO ASIGNADO. REUBICACIÓN DE EQUIPO, A FIN DE VALORAR SU VIABILIDAD TÉCNICA. NECESIDAD DE INSTALACIÓN DE SOFTWARE AUTORIZADO. CONFIGURACIÓN DEL EQUIPO. FALLAS DE COMUNICACIÓN DE RED. SOSPECHA DE CONTAMINACIÓN POR VIRUS INFORMÁTICOS. Versión 1.4 Página 3 Septiembre, 2016

4 PS-US-015 PS-US-016 QUEDA PROHIBIDA LA EXTRACCIÓN O SUSTRACCIÓN DE INFORMACIÓN PARCIAL O TOTAL, QUEDANDO BAJO LA RESPONSABILIDAD DIRECTA DEL USUARIO EL RESGUARDO, INTEGRIDAD Y NO DIVULGACIÓN DE LA MISMA. PROTEGER, ORGANIZAR Y MANTENER EN ORDEN LA INFORMACIÓN CONTENIDA EN EL EQUIPO DE CÓMPUTO QUE LE HA SIDO ASIGNADO PARA EL DESARROLLO DE SUS FUNCIONES. PS-US-017 ENTREGAR AL TÉRMINO DE LA RELACIÓN LABORAL O CAMBIO DE RESPONSABILIDADES, EL SOFTWARE, HARDWARE, APLICACIONES, O SISTEMAS Y MANUALES QUE LE FUERON ASIGNADOS PARA EL DESEMPEÑO DE SUS ACTIVIDADES, ASÍ COMO HACER DEL CONOCIMIENTO LOS USUARIOS Y CONTRASEÑAS ASIGNADAS. PS-US-018 SOLICITAR AL SISTEMA ESTATAL DE INFORMÁTICA A TRAVÉS DE LA DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN LA CUENTA DE CORREO ELECTRÓNICO INSTITUCIONAL, DE LA UNIDAD ADMINISTRATIVA DE ADSCRIPCIÓN. PS-US-019 LA INSTALACIÓN DEL SOFTWARE DEBE SER AUTORIZADA POR EL JEFE DE DEPARTAMENTO O SUPERIOR Y CONFIRMAR QUE ES REQUERIDO PARA LAS FUNCIONES PROPIAS DEL USUARIO, A TRAVÉS DEL MECANISMO QUE ESTABLEZCA LA UNIDAD DE TECNOLOGÍAS DE INFORMACIÓN. PS-US-020 PS-US-021 ES RESPONSABILIDAD DEL USUARIO EL CONTENIDO DE LOS DATOS QUE CIRCULE EN LA RED YA SEA QUE LOS GENERE O SOLICITE. EL USUARIO EXTERNO QUE SOLICITE ACCESO A LA RED DE DATOS, DEBERÁ CUMPLIR CON LAS POLÍTICAS Y LINEAMIENTOS ESTABLECIDOS POR LA UNIDAD DE TECNOLOGÍAS DE INFORMACIÓN CORRESPONDIENTE. POLÍTICAS DEL PERSONAL TÉCNICO CON FUNCIÓN INFORMÁTICA PS-PT-001 DEBERÁ CONTAR PREFERENTEMENTE CON UN SITIO ALTERNO DE RESPALDO, CON LA FINALIDAD DE PROPORCIONAR LOS ELEMENTOS TECNOLÓGICOS PARA ASEGURAR LA CONTINUIDAD DE LA OPERACIÓN ANTE DESASTRES NATURALES O INCIDENTES DE SEGURIDAD. PS-PT-002 ES EL AUTORIZADO PARA REALIZAR LA INSTALACIÓN, DESINSTALACIÓN, CONFIGURACIÓN DEL SOFTWARE Y HARDWARE. Versión 1.4 Página 4 Septiembre, 2016

5 PS-PT-003 EN LO REFERENTE A LA SEGURIDAD DE LA RED DE DATOS, TENDRÁ LAS SIGUIENTES FUNCIONES: ARQUITECTURA, INSTALACIÓN, MANTENIMIENTO Y GESTIÓN DE LA INFRAESTRUCTURA ACTIVA DE LA RED (SWITCHES, ROUTERS, ETC.). MANTENIMIENTO, CONTROL Y GESTIÓN DE INCIDENCIAS EN LA RED. ASIGNACIÓN DE CUENTAS DE USUARIO Y CONTRASEÑAS SEGURAS PARA ACCESO A LOS RECURSOS DE LA RED. PS-PT-004 PS-PT-005 PS-PT-006 PS-PT-007 PS-PT-008 PS-PT-009 GENERAR Y ADMINISTRAR LAS CUENTAS DE USUARIO PARA ACCESO A LOS SERVICIOS DE RED, SISTEMA OPERATIVO, APLICACIONES Y BASES DE DATOS. LA DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN, DEBERÁN ELABORAR Y PROVEER UN PLAN DE CONTINUIDAD Y SEGURIDAD PARA GARANTIZAR LAS OPERACIONES. DEBERÁ ESTABLECER LOS ACUERDOS DE NIVELES DE SERVICIO (SLA) CON LAS UNIDADES ADMINISTRATIVAS USUARIAS, EN EL MARCO DE PRESTADOR DE SERVICIO Y USUARIO; CON LA FINALIDAD DE GARANTIZAR EL CUMPLIMIENTO DEL SERVICIO SOLICITADO. VERIFICAR QUE TODOS LOS EQUIPOS Y SERVIDORES UTILIZADOS EN LA OPERACIÓN, TENGAN INSTALADO Y ACTUALIZADO UN SOFTWARE ANTIVIRUS. INTEGRAR CARPETAS CON LOS PLANOS DE LAS EDIFICACIONES, DIAGRAMAS, DETALLE DE INFRAESTRUCTURA Y CONFIGURACIONES DE LA RED. LOS COMPONENTES INALÁMBRICOS QUE FORMAN PARTE DE LA RED, DEBEN ESTAR IDENTIFICADOS Y PROTEGIDOS CONTRA ACCESO FÍSICO Y/O LÓGICO NO AUTORIZADO. PS-PT-010 RESPALDAR LA INFORMACIÓN CONTENIDA EN LOS SERVIDORES DE DATOS, RESGUARDARLOS E IDENTIFICARLOS EN MEDIOS DE ALMACENAMIENTO EXTERNO. PS-PT-011 PS-PT-012 PS-PT-013 RESPONSABLE DE CIFRAR LA INFORMACIÓN DE LAS BASES DE DATOS A RESPALDAR EN LOS SITIOS ALTERNOS. CONFIGURAR EL NIVEL DE ACCESO DE LOS USUARIOS A LOS SERVICIOS DE RED, CONFORME A LA AUTORIZACIÓN DEL TITULAR DE LA UNIDAD ADMINISTRATIVA. INFORMAR A LA DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN, CUANDO UN SERVIDOR PÚBLICO CON CUENTA DE CORREO ELECTRÓNICO INSTITUCIONAL DEJE DE LABORAR EN LASECRETARÍA. PS-PT-014 ACTUALIZAR LOS SITIOS WEB DE RESPONSABILIDAD EN EL PORTAL DEL GOBIERNO, CONFORME A LOS ESTÁNDARES ESTABLECIDOS. Versión 1.4 Página 5 Septiembre, 2016

6 PS-PT-015 TRAMITAR ANTE LA DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN, A EFECTO DE VALIDAR Y GESTIONAR ANTE LA INSTANCIA NORMATIVA: EL DICTAMEN TÉCNICO PARA LA ADQUISICIÓN DE EQUIPO DE CÓMPUTO. EL FORMATO DE VERIFICACIÓN DE RECEPCIÓN PARA LA VALIDACIÓN TÉCNICA DEL EQUIPO NUEVO. LA AUTORIZACIÓN PARA ENVÍO A PROVEEDOR EXTERNO. LA OPINIÓN TÉCNICA PARA LA BAJA DE EQUIPO. LA CONSULTORÍA TÉCNICA PREVIA CONTRATACIÓN DE SERVICIOS INFORMÁTICOS. CORREO ELECTRÓNICO INSTITUCIONAL. POLÍTICAS PARA LOS SISTEMAS DE INFORMACIÓN: PS-SI-001 PS-SI-002 ES PROPIEDAD DEL GOBIERNO DEL ESTADO DE MÉXICO TODA INFORMACIÓN INSTITUCIONAL QUE SE SUMINISTRE, ADMINISTRE O SEA GENERADA, AUN Y CUANDO RESIDA EN EQUIPOS EXTERNOS. EN EL CASO DE QUE SE REALICE LA CONTRATACIÓN DE TERCEROS PARA EL DESARROLLO DE SISTEMAS, LOS DERECHOS DE USO, EXPLOTACIÓN Y PROPIEDAD DE LOS ENTREGABLES O INFORMACIÓN GENERADOS, SERÁN A FAVOR DEL GOBIERNO, POR LO QUE SE DEBERÁN INCLUIR CLÁUSULAS EN LOS CONTRATOS ESTABLECIDOS. PS-SI-003 AL TÉRMINO DE LOS SERVICIOS CONTRATADOS A TERCEROS, SE DEBE DOCUMENTAR Y HACER CONSTAR POR ESCRITO POR PARTE DEL PROVEEDOR QUE SE COMPROMETE A ENTREGAR Y/O DEVOLVER TODA LA INFORMACIÓN PROPORCIONADA O QUE SE HAYA GENERADO DURANTE LA PRESTACIÓN DEL SERVICIO, ASÍ COMO EL PROCEDIMIENTO Y EVIDENCIA DE LA ELIMINACIÓN DE INFORMACIÓN. PS-SI-004 PS-SI-005 PS-SI-006 SE DEBERÁ CONTROLAR, RESGUARDAR Y ASEGURAR EL CÓDIGO FUENTE, LIBRERÍAS, REPORTES Y DEMÁS INFORMACIÓN QUE FORME PARTE DEL DISEÑO Y DESARROLLO DE LAS APLICACIONES O SISTEMAS. IMPLEMENTAR MECANISMOS DE CONTROL DE USUARIOS POR MEDIO DE NIVELES DE ACCESO A LA INFORMACIÓN, CONFORME A LOS CRITERIOS, REQUISITOS Y ROLES ESTABLECIDOS POR LA UNIDAD ADMINISTRATIVA USUARIA. TODO CAMBIO (POR ADICIÓN O MODIFICACIÓN DE PROGRAMAS, PANTALLAS Y REPORTES) QUE AFECTE LOS SISTEMAS DE INFORMACIÓN Y APLICACIONES, DEBE SER SOLICITADO POR LOS USUARIOS RESPONSABLES Y A TRAVÉS DE LOS CANALES OFICIALES. Versión 1.4 Página 6 Septiembre, 2016

7 PS-SI-007 CADA VERSIÓN DE UN SISTEMA DE INFORMACIÓN GENERADA, DEBERÁ: TENER UN IDENTIFICADOR ÚNICO DE LA VERSIÓN Y LA FECHA DE SU REALIZACIÓN VISIBLES EN LA PANTALLA PRINCIPAL. SER RESPALDADA EN UN REPOSITORIO PERMANENTE PARA SU RECUPERACIÓN. CONTAR CON LOS MANUALES Y DOCUMENTACIÓN CORRESPONDIENTES ACTUALIZADOS. PS-SI-008 QUEDA PROHIBIDO ACCEDER A EQUIPOS O SISTEMAS EN CASO DE QUE OPERE VÍA WEB DESDE SITIOS AJENOS A LAS OFICINAS, SIN PREVIA AUTORIZACIÓN DE LA AUTORIDAD COMPETENTE. DISPOSICIONESGENERALES: LA COMISIÓN ESTATAL DE SEGURIDAD CIUDADANA, ADEMÁS DE LO ESTABLECIDO EN LAS PRESENTES POLÍTICAS DE SEGURIDAD Y CONTROL DE LAS TECNOLOGÍAS DE LA INFORMACIÓN, DEBERÁ DAR CUMPLIMIENTO A LO ESTABLECIDO EN EL MANUAL DE POLÍTICAS Y ESTÁNDARES DE SEGURIDAD INFORMÁTICA VIGENTE. EL DESCONOCIMIENTO DE LAS PRESENTES POLÍTICAS NO EXIME DE SU CUMPLIMIENTO. EL INCUMPLIMIENTO DE LAS PRESENTES POLÍTICAS INCURRE EN RESPONSABILIDAD ADMINISTRATIVA DE ACUERDO A LO ESTABLECIDO EN EL ARTÍCULO 42 INCISOS I, IV, V Y X DELA LEY DE RESPONSABILIDADES DE LOS SERVIDORES PÚBLICOS DEL ESTADO Y MUNICIPIOS. LA REVISIÓN DE ESTAS POLÍTICAS, DEBE REALIZARSE AL MENOS UNA VEZ AL AÑO Y TOMAR EN CUENTA LOS RESULTADOS DE LAS REVISIONES Y AUDITORÍAS PARA SU ACTUALIZACIÓN. IMPREVISTO: LOS PUNTOS NO CONSIDERADOS EN LAS PRESENTES POLÍTICAS QUE AFECTEN LA SEGURIDAD Y CONTROL EN MATERIA DE TECNOLOGÍAS DE INFORMACIÓN, SERÁN ATENDIDOS O RESUELTOS POR LA INSTANCIA CORRESPONDIENTE. COORDINACIÓN DE PLANEACIÓN Y APOYO TÉCNICO DIRECCIÓN GENERAL DE SISTEMAS Y TECNOLOGÍAS DE LA INFORMACIÓN Versión 1.4 Página 7 Septiembre, 2016