Progic se compromete a proteger su informaci\u00f3n y datos personales, garantizando la confidencialidad, la integridad y la disponibilidad, de conformidad con los requisitos legales, contractuales y reglamentarios, para garantizar la continuidad del negocio y la protecci\u00f3n de la marca.<\/p>\n\n\n\n
Protecci\u00f3n integral de la informaci\u00f3n <\/strong>: La informaci\u00f3n debe protegerse a lo largo de todo su ciclo de vida, garantizando su confidencialidad, integridad y disponibilidad.<\/p>\n\n\n\n \u2022 Privacidad y protecci\u00f3n de datos personales<\/strong> : El tratamiento de datos personales debe cumplir con los requisitos legales y contractuales, garantizando los derechos de los interesados \u200b\u200by la transparencia en el papel de la empresa, ya sea como responsable o encargado del tratamiento.<\/p>\n\n\n\n \u2022 Seguridad y privacidad desde el dise\u00f1o<\/strong> : La seguridad de la informaci\u00f3n y la protecci\u00f3n de datos deben incorporarse desde la fase de dise\u00f1o de las soluciones, sistemas e infraestructuras tecnol\u00f3gicas.<\/p>\n\n\n\n \u2022 Control, trazabilidad y gesti\u00f3n de riesgos<\/strong> : El acceso a la informaci\u00f3n debe estar controlado, supervisado y ser auditable, con una gesti\u00f3n continua de las amenazas, vulnerabilidades e incidentes.<\/p>\n\n\n\n \u2022 Resiliencia y continuidad del negocio<\/strong> : La seguridad de la informaci\u00f3n debe respaldar la continuidad del servicio y la capacidad de recuperarse de eventos adversos.<\/p>\n\n\n\n \u2022 Responsabilidad compartida y cultura de seguridad<\/strong> : La seguridad de la informaci\u00f3n es responsabilidad de todos, respaldada por la concienciaci\u00f3n, la formaci\u00f3n continua y una gobernanza adecuada, incluso en la cadena de suministro.<\/p>\n\n\n\n \u2022 Cumplimiento y mejora continua<\/strong> : Progic se compromete a cumplir con los requisitos aplicables del cliente, legales, reglamentarios y normativos, as\u00ed como a buscar la mejora continua del Sistema de Gesti\u00f3n Integrado.<\/p>\n\n\n\n Progic mantiene una lista actualizada de contactos de emergencia y autoridades pertinentes, disponible en SharePoint y f\u00edsicamente en la sede central, para su consulta y actuaci\u00f3n inmediata cuando sea necesario.<\/p>\n\n\n\n Progic establece y mantiene contacto con grupos de inter\u00e9s especial, foros especializados, asociaciones profesionales, comunidades de seguridad y proveedores relevantes para ampliar sus conocimientos y mantenerse al d\u00eda sobre informaci\u00f3n relacionada con la seguridad de la informaci\u00f3n. Para ello, debe:<\/p>\n\n\n\n \u2022 Identificar los grupos, foros, asociaciones, comunidades y fuentes especializadas relevantes para el contexto, las tecnolog\u00edas y los riesgos de Progic.<\/p>\n\n\n\n \u2022 Definir qui\u00e9n ser\u00e1 el responsable de supervisar y mantener los contactos y registros correspondientes.<\/p>\n\n\n\n \u2022 Supervise peri\u00f3dicamente las alertas, directrices, mejores pr\u00e1cticas, amenazas, vulnerabilidades y cambios relevantes publicados por estas fuentes.<\/p>\n\n\n\n \u2022 Evaluar la informaci\u00f3n recibida y, cuando corresponda, remitirla a las \u00e1reas responsables de la gesti\u00f3n de riesgos, vulnerabilidades, incidentes o mejoras en los controles de seguridad.<\/p>\n\n\n\n \u2022 Mantener registros de los contactos establecidos y la informaci\u00f3n relevante utilizada por Progic.<\/p>\n\n\n\n \u2022 Comparta informaci\u00f3n externa \u00fanicamente con personas autorizadas, respetando la confidencialidad, la protecci\u00f3n de datos y los requisitos de comunicaci\u00f3n de la empresa.<\/p>\n\n\n\n Los controles implementados se basan en el principio de que primero es necesario identificar y gestionar los activos de informaci\u00f3n (informaci\u00f3n, equipos, sistemas, dispositivos, software, responsables, etc.) a partir de los cuales se contextualizan los dem\u00e1s controles. Las pr\u00e1cticas incluyen:<\/p>\n\n\n\n \u2022 Realizar un inventario de los activos relevantes para la operaci\u00f3n y mantener una persona responsable designada durante todo su ciclo de vida.<\/p>\n\n\n\n \u2022 Permitir el uso de equipos personales para el trabajo, cuando corresponda, siempre que cumplan con los requisitos m\u00ednimos de rendimiento, seguridad y monitoreo, y se consideren parte del per\u00edmetro de seguridad de la informaci\u00f3n.<\/p>\n\n\n\n \u2022 Adquirir y utilizar equipos, software y otros activos de conformidad con las normas aprobadas, los requisitos de seguridad, los derechos de autor y las licencias aplicables, prohibiendo el software pirateado o sin licencia.<\/p>\n\n\n\n \u2022 Bloquear los soportes de almacenamiento port\u00e1tiles extra\u00edbles en las estaciones de trabajo Progic e impedir la copia de datos corporativos a soportes de almacenamiento port\u00e1tiles extra\u00edbles en equipos propiedad de los empleados.<\/p>\n\n\n\n \u2022 Realizar un borrado seguro de los dispositivos de almacenamiento antes de su reutilizaci\u00f3n, donaci\u00f3n o eliminaci\u00f3n, garantizando que no se puedan recuperar los datos corporativos o personales.<\/p>\n\n\n\n \u2022 Al finalizar la relaci\u00f3n laboral, devuelva los activos de Progic y elimine el acceso corporativo, los datos y el software de sus activos personales.<\/p>\n\n\n\n Tras identificar los activos de informaci\u00f3n, se define qui\u00e9n puede acceder a ellos y bajo qu\u00e9 condiciones. El control de acceso es uno de los controles fundamentales para proteger los activos y requiere:<\/p>\n\n\n\n \u2022 Otorgar acceso bas\u00e1ndose en el principio de m\u00ednimo privilegio, separando las funciones conflictivas y exigiendo aprobaci\u00f3n formal antes de su divulgaci\u00f3n.<\/p>\n\n\n\n \u2022 Utilice una identificaci\u00f3n de usuario \u00fanica, proh\u00edba compartir las credenciales y exija contrase\u00f1as seguras, complementadas con autenticaci\u00f3n multifactor cuando corresponda, especialmente para el acceso remoto y las cuentas administrativas.<\/p>\n\n\n\n \u2022 Aplicar controles compensatorios a los sistemas heredados que no cumplen plenamente con los requisitos de seguridad.<\/p>\n\n\n\n \u2022 Revise peri\u00f3dicamente el acceso seg\u00fan el cronograma interno, incluidas las cuentas privilegiadas y el acceso administrativo.<\/p>\n\n\n\n \u2022 Contar con cuentas administrativas aprobadas por la alta direcci\u00f3n y gestionarlas de forma restringida, rastreable y revisada peri\u00f3dicamente.<\/p>\n\n\n\n \u2022 Bloquear o ajustar el acceso de inmediato al finalizar la relaci\u00f3n laboral, el contrato, la licencia o las vacaciones, excepto en casos de excepciones aprobadas.<\/p>\n\n\n\n \u2022 Utilice \u00fanicamente una red privada virtual (VPN) aprobada para el acceso externo a la red corporativa del producto.<\/p>\n\n\n\n \u2022 Bloquee los puestos de trabajo despu\u00e9s de un per\u00edodo de ausencia.<\/p>\n\n\n\n \u2022 Utilice la red corporativa, internet y el correo electr\u00f3nico corporativo de manera \u00e9tica y profesional, de acuerdo con los objetivos de la empresa.<\/p>\n\n\n\n \u2022 Almacene los archivos corporativos \u00fanicamente en ubicaciones autorizadas, prohibiendo el almacenamiento de contenido de Progic en su propio ordenador.<\/p>\n\n\n\n \u2022 Permitir la monitorizaci\u00f3n de los recursos tecnol\u00f3gicos con fines de cumplimiento normativo, trazabilidad y protecci\u00f3n de activos.<\/p>\n\n\n\n Una vez definido el acceso, la informaci\u00f3n confidencial se protege mediante cifrado y una gesti\u00f3n de claves adecuada a trav\u00e9s de:<\/p>\n\n\n\n \u2022 Utilice el cifrado para proteger la informaci\u00f3n sensible y confidencial tanto en tr\u00e1nsito como en reposo, mediante mecanismos criptogr\u00e1ficos aprobados por la empresa.<\/p>\n\n\n\n \u2022 Prohibir el uso de tecnolog\u00eda criptogr\u00e1fica no autorizada.<\/p>\n\n\n\n \u2022 Proteger las claves criptogr\u00e1ficas contra el acceso no autorizado, la alteraci\u00f3n indebida, la p\u00e9rdida y la destrucci\u00f3n no autorizada, restringiendo el acceso a ellas a las personas designadas formalmente.<\/p>\n\n\n\n \u2022 Renueve las claves en los intervalos definidos por Progic.<\/p>\n\n\n\n \u2022 Obtenga autorizaci\u00f3n de la gerencia para los cambios clave que afecten a transacciones y servicios cr\u00edticos.<\/p>\n\n\n\n \u2022 Prohibir el uso de credenciales, contrase\u00f1as, claves de interfaz de programaci\u00f3n de aplicaciones o secretos directamente en el c\u00f3digo fuente, aplicando las pr\u00e1cticas de gesti\u00f3n de secretos descritas en los documentos correspondientes.<\/p>\n\n\n\n Tras definir qui\u00e9n puede acceder a la informaci\u00f3n y c\u00f3mo se protege, Progic define c\u00f3mo se puede compartir interna o externamente, estableciendo las siguientes reglas:<\/p>\n\n\n\n \u2022 Utilice \u00fanicamente las herramientas oficiales aprobadas por Progic para transferencias profesionales, o \u00abSistemas Autorizados\u00bb. Queda prohibido el uso de cuentas personales o herramientas de transferencia no aprobadas para enviar, almacenar o compartir archivos e informaci\u00f3n de la empresa.<\/p>\n\n\n\n \u2022 Realizar transferencias externas de acuerdo con la matriz de autorizaci\u00f3n aplicable a la clasificaci\u00f3n de la informaci\u00f3n.<\/p>\n\n\n\n \u2022 Las transferencias recurrentes registradas en los historiales de transacciones o en los contratos vigentes deben considerarse previamente autorizadas.<\/p>\n\n\n\n \u2022 Obtener autorizaci\u00f3n espec\u00edfica para nuevos destinatarios, nuevos flujos o transferencias no previstas en la rutina, validando los flujos de datos personales con el Responsable de Protecci\u00f3n de Datos cuando corresponda.<\/p>\n\n\n\n \u2022 Utilice una red privada virtual corporativa para transferencias t\u00e9cnicas, conexiones administrativas o situaciones que requieran un t\u00fanel seguro.<\/p>\n\n\n\n \u2022 Solicitar y documentar las excepciones t\u00e9cnicas al departamento de Tecnolog\u00edas de la Informaci\u00f3n.<\/p>\n\n\n\n Una vez identificados y protegidos los activos, entran en juego los controles de disponibilidad y recuperaci\u00f3n, incluyendo copias de seguridad y restauraciones. Las pr\u00e1cticas deben:<\/p>\n\n\n\n \u2022 Mantener copias de seguridad autom\u00e1ticas y peri\u00f3dicas de todos los activos cr\u00edticos, con una frecuencia definida seg\u00fan la criticidad, la volatilidad de los datos y un objetivo de punto de recuperaci\u00f3n aceptable para la empresa.<\/p>\n\n\n\n \u2022 Almacene las copias de seguridad en una ubicaci\u00f3n f\u00edsica separada de la de producci\u00f3n y prot\u00e9jalas con cifrado en reposo, control de acceso restringido y medidas contra la alteraci\u00f3n no autorizada, como el control de versiones o la inmutabilidad.<\/p>\n\n\n\n \u2022 Mantener copias de seguridad durante el per\u00edodo de retenci\u00f3n definido, de acuerdo con los requisitos legales y operativos de Progic, y verificar peri\u00f3dicamente su integridad y capacidad de restauraci\u00f3n.<\/p>\n\n\n\n \u2022 Proteja las copias de seguridad que contengan datos personales con el mismo nivel de protecci\u00f3n que los datos en producci\u00f3n.<\/p>\n\n\n\n \u2022 Vuelva a ejecutar la eliminaci\u00f3n de datos personales despu\u00e9s de la restauraci\u00f3n, cuando corresponda y sea t\u00e9cnicamente factible, a menos que sea requerido por ley.<\/p>\n\n\n\n Los registros de actividad proporcionan trazabilidad, monitoreo y evidencia de controles previos. Sirven para detectar desviaciones y respaldar las investigaciones. Para ello, es necesario:<\/p>\n\n\n\n \u2022 Configurar sistemas cr\u00edticos, aplicaciones web y servicios de infraestructura para generar registros de eventos relevantes, incluyendo la actividad del usuario, errores del sistema, transacciones de seguridad y operaciones que involucren datos personales, cuando corresponda.<\/p>\n\n\n\n \u2022 Sincronice los relojes del sistema con una \u00fanica fuente de tiempo fiable.<\/p>\n\n\n\n \u2022 Proteja los registros contra el acceso no autorizado, la manipulaci\u00f3n, la falsificaci\u00f3n y la p\u00e9rdida.<\/p>\n\n\n\n \u2022 Evite almacenar datos confidenciales en texto plano, como contrase\u00f1as, informaci\u00f3n financiera u otros detalles que puedan aumentar el riesgo de exposici\u00f3n.<\/p>\n\n\n\n \u2022 Definir la retenci\u00f3n de registros de acuerdo con los requisitos legales, reglamentarios y comerciales.<\/p>\n\n\n\n \u2022 Analizar los registros peri\u00f3dicamente para identificar anomal\u00edas, respaldar las investigaciones y demostrar la eficacia de los controles.<\/p>\n\n\n\n La gesti\u00f3n de vulnerabilidades implementa controles continuos para mejorar y proteger el entorno ya identificado, protegido y monitoreado. En este sentido, Progic completa el ciclo de gesti\u00f3n de riesgos t\u00e9cnicos al requerir:<\/p>\n\n\n\n \u2022 Seguir un ciclo continuo de detecci\u00f3n, evaluaci\u00f3n, tratamiento y medici\u00f3n de vulnerabilidades.<\/p>\n\n\n\n \u2022 Clasificar las vulnerabilidades por nivel de riesgo y priorizar su tratamiento seg\u00fan la gravedad t\u00e9cnica, el impacto en la seguridad, la privacidad y la exposici\u00f3n ambiental.<\/p>\n\n\n\n \u2022 Abordar las vulnerabilidades de alta o cr\u00edtica gravedad seg\u00fan un plazo definido, y no mantener vulnerabilidades cr\u00edticas en producci\u00f3n sin un plan de remediaci\u00f3n formal.<\/p>\n\n\n\n \u2022 Abordar las vulnerabilidades cr\u00edticas mediante la explotaci\u00f3n p\u00fablica de emergencia.<\/p>\n\n\n\n \u2022 Corregir, supervisar o aceptar formalmente las vulnerabilidades medias o bajas seg\u00fan el plazo y el ciclo definidos para el nivel de riesgo.<\/p>\n\n\n\n \u2022 Pruebe las correcciones en un entorno de preproducci\u00f3n antes de implementarlas en producci\u00f3n.<\/p>\n\n\n\n \u2022 Formalizar, a trav\u00e9s del responsable del \u00e1rea t\u00e9cnica, la justificaci\u00f3n y el plan de mitigaci\u00f3n paliativa para aceptar riesgos de nivel medio que no puedan corregirse dentro del plazo establecido.<\/p>\n\n\n\n \u2022 Obtener la aprobaci\u00f3n formal del Consejo de Administraci\u00f3n\/Alta Direcci\u00f3n para aceptar riesgos elevados o cr\u00edticos, asumiendo la responsabilidad del riesgo residual.<\/p>\n\n\n\n \u2022 Evaluar las vulnerabilidades de seguridad en los sistemas, las integraciones y las asociaciones con terceros.<\/p>\n\n\n\n El desarrollo seguro de software incorpora requisitos de seguridad y privacidad de la informaci\u00f3n a lo largo de todo el ciclo de vida de la soluci\u00f3n, desde su concepci\u00f3n hasta su descontinuaci\u00f3n. Esto requiere:<\/p>\n\n\n\n \u2022 Integrar los requisitos y controles de seguridad y privacidad en las fases de planificaci\u00f3n, dise\u00f1o, implementaci\u00f3n, pruebas, despliegue, mantenimiento y descontinuaci\u00f3n del software.<\/p>\n\n\n\n \u2022 Registre todos los cambios del producto, incluidas las caracter\u00edsticas, las mejoras, los refinamientos y las correcciones de errores, y eval\u00fae sus riesgos de seguridad durante la planificaci\u00f3n y la priorizaci\u00f3n.<\/p>\n\n\n\n \u2022 Aplicar la privacidad por defecto, minimizando el tratamiento de datos personales y utilizando \u00fanicamente los datos necesarios para cada finalidad.<\/p>\n\n\n\n \u2022 Mantener entornos de desarrollo, preproducci\u00f3n y producci\u00f3n separados, impidiendo que los desarrolladores realicen cambios directos en producci\u00f3n, salvo en casos de acceso de emergencia autorizado y auditado formalmente.<\/p>\n\n\n\n \u2022 Prohibir el uso de datos personales reales en entornos de desarrollo y pruebas, utilizando en su lugar datos sint\u00e9ticos o anonimizados; cualquier excepci\u00f3n deber\u00e1 ser formalizada y aprobada por el Responsable de Protecci\u00f3n de Datos, aplicando los mismos controles de seguridad que en producci\u00f3n.<\/p>\n\n\n\n \u2022 Almacenar el c\u00f3digo fuente en repositorios oficiales centralizados con control de versiones y acceso restringido seg\u00fan sea necesario.<\/p>\n\n\n\n \u2022 Mantener repositorios de c\u00f3digo fuente y artefactos cr\u00edticos del proceso de desarrollo cubiertos por rutinas de copia de seguridad y restauraci\u00f3n.<\/p>\n\n\n\n \u2022 Adopte pr\u00e1cticas de codificaci\u00f3n seguras para mitigar las vulnerabilidades comunes, incluyendo la validaci\u00f3n de entradas, el cifrado de datos confidenciales, la autenticaci\u00f3n s\u00f3lida cuando corresponda y el manejo adecuado de errores y registros.<\/p>\n\n\n\n \u2022 Generar registros que permitan la trazabilidad, la detecci\u00f3n de fallos y las investigaciones, evitando datos personales innecesarios, y realizar an\u00e1lisis autom\u00e1ticos de c\u00f3digo en el proceso de integraci\u00f3n continua y entrega continua.<\/p>\n\n\n\n \u2022 Permitir el uso de inteligencia artificial empresarial \u00fanicamente para la productividad, con una revisi\u00f3n humana obligatoria del c\u00f3digo antes de su confirmaci\u00f3n, prohibiendo el uso de inteligencia artificial personal o gratuita.<\/p>\n\n\n\n \u2022 Reconocer que todo el c\u00f3digo fuente, la documentaci\u00f3n y los modelos desarrollados son propiedad exclusiva de Progic, prohibiendo su distribuci\u00f3n, copia o uso externo sin autorizaci\u00f3n expresa.<\/p>\n\n\n\n La alta direcci\u00f3n define y comunica la Pol\u00edtica de Seguridad de la Informaci\u00f3n, garantizando su alineaci\u00f3n con la estrategia, la disponibilidad de recursos adecuados y la eficacia del Sistema de Gesti\u00f3n Integrado (SGI).<\/p>\n\n\n\n El equipo de seguridad de la informaci\u00f3n e infraestructura implementa, opera y mantiene controles de seguridad de la informaci\u00f3n, tales como protecci\u00f3n del sistema, gesti\u00f3n de acceso, monitorizaci\u00f3n, tratamiento de vulnerabilidades y soporte para la continuidad del servicio, siguiendo las pol\u00edticas establecidas.<\/p>\n\n\n\n Los empleados y terceros deben cumplir con la Pol\u00edtica de Seguridad de la Informaci\u00f3n, utilizar los recursos tecnol\u00f3gicos de forma segura, proteger la informaci\u00f3n bajo su responsabilidad e informar de inmediato sobre cualquier incidente o suceso relacionado con la seguridad o la privacidad.<\/p>\n\n\n\n Esta pol\u00edtica se comunica internamente y se pone a disposici\u00f3n de las partes interesadas en el sitio web oficial de la empresa.<\/p>\n\n\n\n Su revisi\u00f3n se realiza peri\u00f3dicamente para garantizar que siga siendo id\u00f3nea y relevante para la estrategia de la empresa.<\/p>\n","protected":false},"excerpt":{"rendered":" Prop\u00f3sito Progic se compromete a proteger su informaci\u00f3n y datos personales, garantizando la confidencialidad, […]<\/p>\n","protected":false},"author":14,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_acf_changed":false,"footnotes":""},"class_list":["post-23538","page","type-page","status-publish","hentry"],"acf":[],"yoast_head":"\nControles Implementados<\/h2>\n\n\n\n
Contacto con las autoridades<\/h2>\n\n\n\n
Contacto con grupos de inter\u00e9s especial<\/h2>\n\n\n\n
Activos de informaci\u00f3n<\/h2>\n\n\n\n
Control de acceso<\/h2>\n\n\n\n
Criptograf\u00eda y gesti\u00f3n de claves<\/h2>\n\n\n\n
Transferencia de informaci\u00f3n<\/h2>\n\n\n\n
Respaldo<\/h2>\n\n\n\n
Registros<\/h2>\n\n\n\n
Gesti\u00f3n de vulnerabilidades<\/h2>\n\n\n\n
Desarrollo de software seguro<\/h2>\n\n\n\n
Responsabilidad<\/h2>\n\n\n\n
Comunicaci\u00f3n y disponibilidad<\/h2>\n\n\n\n