POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN  DE  LA UNIVERSIDAD FUCS.

Descargue aquí la política en versión PDF

I. INTRODUCCIÓN

La evolución de las tecnologías de la información y la implementación de herramientas, productos, software y servicios destinados a apoyar los procesos misionales y administrativos de la Universidad FUCS generan nuevas necesidades y riesgos relacionados con la protección de la información. 

En este contexto, el presente Manual establece los lineamientos y controles aplicables a los sistemas, redes, dispositivos, aplicaciones, servicios y demás activos de información utilizados por la Universidad FUCS, con el propósito de preservar su confidencialidad, integridad y disponibilidad, proteger los datos personales y asegurar el cumplimiento de los requisitos legales, regulatorios e institucionales aplicables.

 II. POLÍTICA GENERAL DE SEGURIDAD DE LA INFORMACIÓN

De conformidad con el Documento de Políticas Institucionales de la Universidad FUCS aprobado por el Consejo Superior, se estableció como política general en materia de seguridad de la información la siguiente:

1. Declaración

La Universidad FUCS reconoce la información como uno de los principales activos para el desarrollo de las operaciones y cumplimiento de los objetivos institucionales, de esta manera se compromete con su protección, gestión transparente, efectiva y segura, protegiéndola de riesgos que afecten su confidencialidad, Integridad y disponibilidad para el continuo desarrollo de las funciones sustantivas y de apoyo.

2. Generalidades

La implementación, seguimiento y mejora continua del Manual de Seguridad de la Información, como también la aplicación de los controles establecidos en el presente Manual, están enfocados en minimizar los riesgos asociados al manejo de la información que administran o consultan directivos, colaboradores, estudiantes, proveedores y personal externo de la Universidad FUCS.

El Consejo Superior tendrá la potestad de modificar el Manual de Seguridad de la Información, según los resultados de revisión y las necesidades identificadas, establecidas o según la aplicabilidad de estas.

Los proyectos que sean implementados en la Universidad FUCS deben cumplir con el Manual de Seguridad de la información descrita en este documento. El cumplimiento es de carácter obligatorio, esencial y legalmente requerido para que la Universidad FUCS tenga una adecuada protección y respuesta en seguridad.

Así mismo, la Política general de Seguridad y Privacidad de la Información, en su desarrollo facilita las siguientes premisas:

• Minimizar y/o mitigar los riesgos asociados a Seguridad de la Información en los procesos o áreas de la Universidad FUCS. 
• Cumplir con los principios de seguridad de la información: Confidencialidad, Integridad y Disponibilidad.
• Fortalecer la cultura de seguridad de la información de los colaboradores, estudiantes y terceros que tengan vínculo contractual con la Universidad FUCS, con el fin de proteger los activos de información de la Universidad FUCS.
• Proteger los activos de información de la Universidad FUCS y la implementación de proyectos que se requieran acorde con los recursos dispuestos para tal fin.

3. Lineamientos.

• Promueve la protección y resguardo de los activos de información de la Universidad a fin de asegurar la confidencialidad, Integridad y disponibilidad de la información. 
• Define controles en los diferentes niveles de la institución, para el manejo de los activos de información y los sistemas de información, enfocados en mitigar los riesgos asociados al manejo de la información. 
• Promueve la cultura de uso seguro de la información, con el fin de evitar el riesgo de fuga de la misma.
• Define la clasificación de la información a fin de establecer los controles necesarios para su protección. 
• Dispone de los recursos para la implementación y cumplimento de la normatividad vigente respecto a la seguridad de la información.
• Promueve la revisión permanente para la actualización de los mecanismos que permitan el cumplimiento de los pilares de la seguridad de la información. 
• Define los estándares institucionales para garantizar la seguridad de la información. 
• Regula el uso institucional de herramientas de inteligencia artificial, servicios en la nube, aplicaciones y dispositivos tecnológicos mediante controles de autorización, acceso, trazabilidad, supervisión humana y gestión de incidentes de seguridad.

4. Alcance

El presente manual tiene por objeto establecer lineamientos para gestionar la seguridad de la información en los activos de información, los sistemas de información institucionales y en general el ambiente tecnológico de la Universidad FUCS.

Deberá ser conocido y cumplido por todos los colaboradores (directivos, administrativos, docentes, practicantes, aprendices), estudiantes y terceros vinculados (contratistas y/o proveedores) de la Universidad FUCS.

El presente Manual toma como referencia los requisitos generales de la norma ISO/IEC 27001:2022 para el establecimiento, implementación, mantenimiento y mejora continua de un Sistema de Gestión de Seguridad de la Información, así como las orientaciones y controles previstos en la norma ISO/IEC 27002:2022.

Los lineamientos y controles se organizan de acuerdo con la estructura y las necesidades institucionales de la Universidad FUCS.

5. Contexto y partes interesadas

La Universidad FUCS determinará y revisará las condiciones internas y externas que puedan afectar el logro de los resultados del Sistema de Gestión de Seguridad de la Información. 

Para lo anterior podrá tener en cuenta, entre otros aspectos, la identificación de sus grupos de interés y los requisitos aplicables a cada grupo, su naturaleza como institución de educación superior, sus funciones sustantivas, la infraestructura y servicios tecnológicos de que dispone, las condiciones especiales a seguir en el tratamiento de información académica, administrativa, financiera, laboral, investigativa y de salud, la interacción con los escenarios de práctica y demás aliados institucionales, la contratación de proveedores, así como los cambios jurídicos, tecnológicos, sociales y ambientales que puedan generar riesgos para la seguridad de la información.

Los requisitos pertinentes a cada grupo de interés se incorporarán en la gestión de riesgos, los controles, los contratos, los procedimientos y las evaluaciones del Sistema. 

La Universidad podrá incluir en la revisión respectiva, el análisis sobre si el cambio climático constituye una condición relevante para el Sistema de Gestión de Seguridad de la Información o para las necesidades de sus partes interesadas, particularmente cuando pueda afectar la infraestructura física o tecnológica, la disponibilidad de servicios, la continuidad de las operaciones o la prestación de servicios por parte de terceros a favor de la Universidad FUCS.

6. Marco Normativo

Para la estructuración e implementación del presente Manual de Seguridad de la información, la Versión: 03 Código: M-DG-02 Fecha: 18 de agosto de 2026 8 Universidad FUCS ha tomado como referencia los requisitos generales de la norma ISO/IEC 27001:2022, las orientaciones y controles de la norma ISO/IEC 27002:2022 y las demás normas, guías y disposiciones aplicables que se relacionan a continuación:

• Ley 1712 de 2014 – Ley de Transparencia y Acceso a la Información Pública 
• Ley 1581 de 2012 – Ley de Protección de Datos Personales
• Ley 2300 de 2023 – Ley Dejen de Fregar
• Decreto 1074 de 2015 - Decreto Único Reglamentario del Sector Comercio, Industria y Turismo, en sus disposiciones sobre protección de datos personales.
• Decreto 1081 de 2015.
• Resolución 1519 de 2020 - Por la cual se definen los estándares y directrices para publicar la información señalada en la Ley 1712 del 2014 y se definen los requisitos materia de acceso a la información pública, accesibilidad web, seguridad digital, y datos abiertos.
• ISO/IEC 27001:2022 – Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de seguridad de la información. Requisitos. ISO/IEC 27001:2022/Amd 1:2024 – Enmienda 1. Cambios relativos a la acción climática. ISO/IEC 27002:2022 – Seguridad de la información, ciberseguridad y protección de la privacidad. Controles de seguridad de la información.
• ISO 31000:2018 – Gestión del riesgo. Directrices
• ISO 22301:2019 – Seguridad y resiliencia. Sistemas de gestión de continuidad del negocio. Requisitos. 
• Ley 30 de 1992 - Organización del servicio público de la Educación Superior
• Guías para el fortalecimiento del SGSI de MINTIC–Ministerio de Tecnologías de la Información y la Comunicación.
• Guía para la implementación del principio de responsabilidad demostrada de la Superintendencia de Industria y Comercio.
• Guía sobre el tratamiento de datos personales en el contexto universitario de la Superintendencia de Industria y Comercio.

7. Objetivo General

Establecer directrices y lineamientos generales que permitan proteger los activos de información de la Universidad FUCS, garantizando la confidencialidad, integridad y disponibilidad, protegiendo los datos personales y dando cumplimiento a los requisitos legales, regulatorios, contractuales e institucionales aplicables, tomando como referencia las normas ISO/IEC 27001:2022 e ISO/IEC 27002:2022 y otros estándares de ciberseguridad aplicables.

8. Objetivos Específicos

• Administrar, preservar y proteger la información de la Universidad FUCS, así como los recursos tecnológicos utilizados para su operación, almacenamiento y procesamiento; frente a amenazas internas o externas, garantizando el cumplimiento de los principios de seguridad de la información: Confidencialidad, Integridad y Disponibilidad de la información. 
• Mantener actualizado, vigente y operativo el Manual de Seguridad de la Información de Versión: 03 Código: M-DG-02 Fecha: 18 de agosto de 2026 9 manera que pueda ser auditada de acuerdo a los riesgos identificados por la Universidad FUCS, con el fin de conservar su nivel de eficacia y aplicabilidad.
• Determinar los lineamientos para una identificación y definición de riesgos con criterios que permitan la medición de su impacto y las alternativas de tratamiento que mantengan la operatividad de sus servicios dentro de los acuerdos de continuidad de la Universidad FUCS.
• Generar cultura de uso seguro de los sistemas de información.
• Fortalecer la Seguridad de la Información, mediante la implementación de mecanismos de control que permitan mitigar los riesgos.
• Gestionar a la mayor brevedad los eventos o incidentes de seguridad de la información, identificados y originados por el incumplimiento del Manual de Seguridad de la Información.
• Dar cumplimiento a los requisitos normativos y regulatorios aplicables en materia de protección de datos personales y seguridad de la información y atender los requerimientos de las autoridades y órganos de control competentes.
• Identificar eventos de fraude y establecer acciones, para la protección del buen nombre de la Universidad FUCS.

9. Compromiso de la Alta Dirección

El Consejo Superior da aprobación a la presente Política de Seguridad de la Información, comprometiéndose y apoyando en el diseño e implementación del Sistema de Seguridad de la Información, así:

• El Consejo Superior y la Rectoría, en el marco de sus respectivas competencias, se comprometen a apoyar el desarrollo, implementación, mantenimiento y mejora continua del Sistema de Gestión de Seguridad de la Información mediante las siguientes actuaciones:
• Revisar y aprobar el presente Manual de Seguridad de la Información y sus actualizaciones.
• Incentivar la cultura de Seguridad de la Información.
• Incentivar la divulgación del presente manual a la comunidad universitaria y a los terceros a los que resulte aplicable.
• Asignar los recursos necesarios para implementar y mantener las iniciativas de seguridad de la información. 
• Revisar el desempeño del Sistema de Gestión de Seguridad de la Información, teniendo en cuenta los resultados de las auditorías institucionales y las oportunidades de mejora que se presenten.

10. Roles, Responsabilidades y Autoridades

En el organigrama de la Universidad FUCS, se encuentra definida la estructura de primer nivel, donde se observan todos los procesos, los cuales deberán dar cumplimiento al presente Manual de Seguridad de la Información. 

Los lineamientos y controles aquí mencionados aplican para todos colaboradores (directivos, administrativos, docentes, practicantes, aprendices), estudiantes y terceros (contratistas y/o proveedores) que mantengan relación con el desarrollo de la misión de la Universidad FUCS y por tanto es responsabilidad de la Alta Dirección, velar por su cumplimiento.

Controles

Tabla 1 Roles-Responsabilidades

III. ORGANIZACIÓN PARA LA SEGURIDAD DE LA INFORMACIÓN

La Universidad FUCS adopta el presente Manual de Seguridad de la Información, en el cual se establecen los roles, responsabilidades, controles y actividades necesarios para la administración, operación, evaluación, mejoramiento y gestión de la seguridad de la información. 

La Universidad FUCS, es la responsable del Sistema de Gestión de Seguridad de la Información. Es un asunto de gran relevancia para los directivos, en consecuencia, apoyan la creación del Comité de Seguridad de la Información, integrado por delegados de las instancias administrativas y académicas.

El comité debe encargarse de velar por brindar el soporte manifiesto al Sistema de Gestión de Seguridad de la Información.

1. Funciones del Comité de Seguridad de la Información.

a. Revisar y proponer la actualización del Manual de Seguridad de la Información, de las funciones y de los controles asociados al Sistema de Gestión de Seguridad de la Información. 

b. Conocer los resultados de la gestión de los riesgos de seguridad de la información y protección de datos personales, sus cambios significativos, materializaciones y planes de tratamiento, y formular recomendaciones sobre la priorización de controles y cambios internos necesarios para su mitigación.

c. Conocer los eventos, incidentes y/o riesgos relativos a la seguridad de la información y las acciones de mitigación establecidas, así como proponer y aprobar acciones de mejora que se consideren pertinentes frente a los mismos. d. Revisar y aprobar las iniciativas tendientes a mejorar la seguridad de la información. 

e. Acordar y aprobar las metodologías y procesos específicos de Seguridad de la Información. 

f. Solicitar a los responsables de los procesos de gestión que se alineen con el Manual de Seguridad de la Información, cuando se detecten actividades o controles que no se ajusten a lo descrito en el presente documento. 

g. Coordinar, evaluar y promover la implementación de los controles específicos de seguridad de la información para nuevos servicios tecnológicos o sistemas, o procesos en los que se evidencie su necesidad de implementación.

h. Respaldar e impulsar la difusión del Manual de Seguridad de la información y la Política de Protección de Datos personales, así como su importancia, dentro de la comunidad universitaria.

i. Coordinar el proceso relacionado con la atención y gestión de las estrategias de continuidad del negocio, de los servicios tecnológicos institucionales frente a desastres o interrupciones imprevistas. 

j. Aprobar la matriz de roles y perfiles de los Sistemas de información. 

k. Revisar las actualizaciones anuales y modificaciones necesarias que requiera la Política de tratamiento de datos personales de la Institución, para su aprobación por el Consejo Superior. 

l. Las demás establecidas en el Manual de Seguridad de la Información

2. Organización Interna.

Todos los colaboradores (directivos, administrativos, docentes, practicantes, aprendices), estudiantes y terceros (contratistas y/o proveedores), deben actuar de acuerdo con el Manual de Seguridad de la Información y los controles aquí establecidos, participando en las revisiones de seguridad que se lleven a cabo. Adicionalmente, presentarse en las distintas capacitaciones y/o jornadas de sensibilización lideradas por la División de Desarrollo Tecnológico y Seguridad de la Información. Los propietarios, administradores, usuarios y custodios de la información de la Universidad FUCS deben:

• Aceptar y cumplir el Manual de Seguridad de la Información y los controles que se establezcan en la Universidad FUCS. 
• Aceptar la responsabilidad de proteger la información de la Universidad FUCS contra pérdida, modificaciones y accesos no autorizados de terceras personas.
• Entender claramente su rol y responsabilidad frente al acceso y uso de los sistemas de información.
• Todas las áreas de la Universidad FUCS y los terceros que interactúan con la Institución (contratistas o proveedores), deben cumplir con los términos estipulados en las licencias de uso de software y en los contratos de adquisición de estas. 
• Los colaboradores deben utilizar la información de la Universidad FUCS exclusivamente para fines laborales, quedando prohibido explícitamente el uso o divulgación para fines comerciales y/o privados no autorizado. 
• Los terceros (contratistas o proveedores) que interactúan con la Universidad FUCS no deben hacer copias del software suministrado, ni podrán transferirlo a otro equipo por medio de la red, sin la autorización escrita de la Universidad FUCS. 
• Debe existir un responsable para cada uno de los recursos de tecnología y activos de información usados en la Universidad FUCS. Las responsabilidades deben estar delimitadas de tal manera que no existan varios responsables de un mismo recurso. 
• Se deberá informar a la división tecnológica cualquier incidente presentado ante protección de datos y seguridad de la información

3. Gestión de riesgos de seguridad de la información

La identificación, análisis, evaluación, tratamiento, seguimiento y comunicación de los riesgos de seguridad de la información se realizará de conformidad con el Procedimiento de Gestión de Riesgos Institucionales del Sistema de Gestión Organizacional de la Universidad FUCS, y demás normas internas sobre la materia.

Los líderes de las dependencias, facultades, procesos y procedimientos, con el acompañamiento del Profesional de Seguridad de la Información, serán responsables de identificar, valorar, tratar y hacer seguimiento a los riesgos de seguridad de la información asociados con las actividades y activos a su cargo, así como de implementar los controles y planes de acción correspondientes, mantener actualizada la información y reportar las evidencias y materializaciones en los sistemas institucionales definidos para tal fin.

La División de Planeación y Gestión Organizacional orientará la aplicación de la metodología institucional, verificará la adecuada documentación de las matrices y realizará el seguimiento y evaluación de los controles de acuerdo con sus competencias.
El Profesional de Seguridad de la Información brindará acompañamiento especializado a los líderes de las dependencias, de los procesos y procedimientos para identificar amenazas, vulnerabilidades, impactos y controles relacionados con la confidencialidad, integridad y disponibilidad de la información.

La valoración deberá revisarse con la periodicidad establecida institucionalmente y cuando se presenten cambios sustanciales en los procesos, activos, sistemas, infraestructura, servicios tecnológicos, proveedores, requisitos aplicables o modalidades de operación, así como después de la materialización de riesgos, incidentes relevantes o la identificación de nuevas amenazas o vulnerabilidades.

El seguimiento y evaluación del diseño, ejecución y efectividad de los controles de seguridad de la información se realizará de acuerdo con el Procedimiento de Gestión de Riesgos Institucionales. Los hallazgos, controles ineficaces, riesgos materializados y oportunidades de mejora deberán incorporarse en las matrices, planes de acción y procedimientos institucionales que correspondan.

4. Manejo de equipos portátiles, equipos de escritorio y dispositivos móviles.

La Universidad FUCS debe garantizar que los colaboradores se comprometan a hacer uso adecuado de los dispositivos móviles para el acceso a los servicios corporativos de movilidad proporcionados por la Universidad FUCS, tales como aplicaciones, escritorio remoto y aplicaciones virtuales, correo electrónico, comunicaciones unificadas, redes virtuales privadas (VPN), entre otros.

Controles

2. Trabajo Remoto

La Universidad FUCS debe establecer, implementar y mantener lineamientos, controles y medidas de seguridad que garanticen la confidencialidad, integridad, disponibilidad y protección de la información institucional durante el desarrollo de actividades bajo modalidades de trabajo remoto (trabajo remoto, trabajo en casa y teletrabajo) garantizando la protección de dispositivos y gestión de riesgos cibernéticos asociados a conexiones externas y entornos remotos

Controles

6. Seguridad de la Información en la Gestión de Proyectos de TI

La Universidad FUCS debe integrar la seguridad de la información y la protección de datos personales desde la planeación, diseño, adquisición, desarrollo, configuración, prueba, implementación, operación, actualización y retiro de los proyectos, productos, servicios, sistemas y soluciones tecnológicas.

Los controles deberán definirse de acuerdo con la naturaleza de la información, las finalidades del tratamiento, los riesgos para los titulares y el impacto que una pérdida de confidencialidad, integridad o disponibilidad pueda generar.
Implementar controles de seguridad específicos en las áreas responsables puede proteger la información confidencial, prevenir fugas de información y asegurar el cumplimiento de las normas y regulaciones.

Los proyectos institucionales que puedan generar un riesgo elevado para los derechos de los titulares de datos personales deberán contar, antes de su implementación, con una evaluación de impacto en privacidad, en la que se deberá analizar el tratamiento proyectado, su necesidad y proporcionalidad, los riesgos para los titulares de datos personales, las medidas de mitigación y controles que realmente puede implementar la Universidad FUCS, el riesgo residual, los responsables de su implementación y la decisión de aprobar, modificar, suspender o descartar el proyecto.

La evaluación deberá efectuarse por el líder del proyecto, acompañado de la División de Desarrollo Tecnológico y el profesional de Seguridad de la Información, y deberá presentarse ante el Comité de Seguridad de la Información para su análisis y aprobación.

Esta evaluación será obligatoria, entre otros eventos, cuando se traten datos sensibles o de menores de edad, se realice monitoreo sistemático, se utilicen datos biométricos o de geocalización y/o perfilamiento, se adopten decisiones automatizadas con efectos relevantes, se integren múltiples bases de datos, se implementen tecnologías emergentes, o se transfiera o transmita información a terceros o a otros países en condiciones que incrementen el riesgo.

Controles

IV. GESTIÓN DE ACTIVOS DE INFORMACIÓN

La Universidad FUCS como propietaria de la información física y digital; generada, procesada y/o almacenada por diferentes instancias institucionales y transmitida a través de su plataforma tecnológica, otorgará responsabilidad sobre sus activos de información a los líderes de procesos, encargados de asegurar el cumplimiento de las directrices sobre el uso adecuado de la misma.

Los recursos de procesamiento de información de la Universidad FUCS están sujetos a revisión por parte de la Oficina de Auditoría de Gestión, y de los entes externos de supervisión (determinados por el Consejo Superior), por lo que, los propietarios de los activos de información deberán ser facilitadores en los procesos de revisión interna o externa, que la institución determine pertinentes.

Los activos de información deben ser identificados y clasificados acordes con la criticidad del activo. El inventario de activos de información se revisará y actualizará cada dos años, identificando; responsable de los activos, custodios, ubicación, amenazas, vulnerabilidades, usuarios y los controles que se tienen implementados para garantizar la Confidencialidad, Integridad y Disponibilidad de la información.

Los activos de información deberán ser identificados y clasificados por el líder del proceso, con el acompañamiento de Seguridad de la Información. La clasificación deberá atender, de manera diferenciada y complementaria, la naturaleza de la información, el régimen jurídico aplicable, las finalidades del tratamiento, los titulares involucrados, los riesgos asociados y los niveles de confidencialidad, integridad y disponibilidad requeridos.

Cuando el activo contenga datos personales, su clasificación deberá identificar si se trata de datos públicos, semiprivados, privados o sensibles, de conformidad con la ley vigente. Esta clasificación será paralela a las categorías de información pública, pública clasificada o pública reservada previstas en el régimen de transparencia y acceso a la información pública, las cuales se aplicarán únicamente cuando resulten jurídicamente procedentes.

Un mismo activo podrá estar sujeto simultáneamente a criterios de clasificación de seguridad de la información, protección de datos personales, reserva legal, gestión documental y acceso a la información. En estos casos deberán aplicarse los controles correspondientes al nivel de protección más elevado, sin perjuicio del análisis jurídico particular que resulte necesario.

1. Clasificación de la Información.

La Universidad FUCS define los diferentes niveles de clasificación de la información teniendo en cuenta el grado de confidencialidad, importancia y sensibilidad; basados en la guía de clasificación de la información generada por Seguridad de la Información, así como los controles necesarios para su protección.

Los líderes de las dependencias quienes para el efecto son los responsables de la información, deberán identificar los activos de información de las áreas a su cargo, con el fin de elaborar el inventario de activos de información y velar por mantenerlo actualizado con una periodicidad de 24 meses o cuando sea necesario.

La clasificación de la información debe realizarse teniendo en cuenta los principios de Seguridad de la Información y protección de datos personales, así:

Confidencialidad

Para la Universidad FUCS la información que sea confidencial no deberá estar disponible ni ser revelada a individuos, entidades o procesos no autorizados, la cual será determinada bajo los siguientes niveles:

• Alta: información que al estar disponible o revelada puede tener un impacto significativo legal o económico. Puede generar reprocesos, pérdida de imagen o reputación de la institución.
• Media: información que al estar disponible o revelada puede tener un impacto legal y/o económico. Puede generar reprocesos en las actividades o pérdida moderada de la imagen reputacional.
• Baja: información que al estar disponible o revelada conlleva un impacto no significativo para la institución o entes externos.

Integridad

La integridad de la información se define de acuerdo a la exactitud y completitud de la misma, permitiendo que tenga coherencia y esté disponible en su ciclo de vida. Se clasificará bajo los siguientes niveles:

• Alta: Información cuya incompletitud puede generar pérdidas severas de imagen reputacional, legal o económicas para la institución.
• Media: Información cuya inexactitud o falta de completitud puede generar impactos negativos moderados de imagen reputacional, económicos o legales.
• Baja: Información cuya pérdida de exactitud o que se encuentre incompleta, puede generar un impacto no significativo en la imagen reputacional, aspectos jurídicos o económicos.

Disponibilidad

Para la Universidad FUCS la información se encontrará disponible para el acceso por solicitud de un colaborador, institución y/o procesos previamente autorizados, en el momento y en el medio requerido, así como los recursos necesarios para su uso. Los niveles de clasificación para esta propiedad están sujetos a la no disponibilidad de la información teniendo en cuenta lo siguiente:

Alta: La información que no esté disponible puede generar un impacto negativo y severo de índole legal, económica, genera reprocesos y pérdida de imagen.

Media: La información que no se encuentre disponible puede generar un impacto negativo moderado de índole legal, económica, reputacional y reprocesos en las actividades.

Baja: La información que no se encuentre disponible, puede afectar la operación cotidiana de la institución, no genera pérdidas económicas, legales o reputaciones.

Protección de datos personales

Para la Universidad FUCS, la información deberá identificar si contiene datos personales, de forma tal que, si el activo de información los contiene, el inventario deberá registrar, como mínimo:

a) El proceso y el área responsable;
b) Las categorías de titulares y de datos tratados;
c) La clasificación de los datos como públicos, semiprivados, privados o sensibles;
d) Las finalidades específicas del tratamiento;
e) El fundamento jurídico que habilita el tratamiento;
f) Los usuarios, cargos, dependencias y terceros autorizados para acceder a la información;
g) Las fuentes de obtención y los destinatarios de la información;
h) Las transferencias o transmisiones nacionales o internacionales que se realicen;
i) Los sistemas, repositorios y lugares de almacenamiento;
j) Los términos de conservación y las reglas de supresión, anonimización o archivo;
k) Los riesgos asociados al tratamiento; y
l) Las medidas jurídicas, administrativas, físicas y tecnológicas aplicables.

Esta información deberá mantenerse actualizada cuando cambien las finalidades, los sistemas utilizados, los sujetos autorizados, los terceros intervinientes o cualquier otra condición relevante del tratamiento.

De acuerdo con los principios de Seguridad de la Información, la Universidad FUCS realizará el etiquetado de la información conforme a la siguiente descripción:

La información (pública clasificada y pública reservada) deberá estar protegida por contraseña y/o cifrada. De igual manera, deberá protegerse en caso de ser transmitida o en el medio de almacenamiento en el que se encuentre.

Una vez clasificada la información, la Universidad FUCS proporcionará los recursos tecnológicos necesarios para la aplicación de controles que preserven su confidencialidad, integridad y disponibilidad, promoviendo el uso adecuado por parte de los colaboradores y personal provisto por terceros que se encuentre autorizados y requieran el uso de información institucional para la ejecución de sus actividades.

Controles

2. Manejo de Medios Removibles.

La Universidad FUCS debe garantizar que la información almacenada en cualquier medio removible, que vaya a ser entregada a un colaborador o ente externo, sea removida de tal forma que no se pueda recuperar.

Todos los medios removibles que contengan información de la Universidad FUCS deben estar ubicados en un ambiente protegido y seguro, de acuerdo con las especificaciones del fabricante.

Controles

V. SEGURIDAD DEL TALENTO HUMANO

1. Vinculación de Colaboradores.

Para la Universidad FUCS el factor humano es fundamental para el cumplimiento de sus objetivos misionales, por ello se debe contar con personal calificado, así como también se debe garantizar que la vinculación de los nuevos colaboradores se realice mediante un proceso adecuado de selección, orientado a la asignación de actividades y roles de acuerdo con las funciones que se encuentran descritas en sus funciones de cargo.

Controles

2. Procesos disciplinarios por incumplimiento de seguridad de la información

La Universidad FUCS investigará y sancionará conforme a sus reglamentos internos, todas aquellas conductas realizadas por estudiantes, docentes y colaboradores, que conlleven al incumplimiento de las normas de seguridad de la información, protección de los datos personales y uso correcto de los recursos tecnológicos de la Universidad FUCS.

De igual manera, la Universidad ejercerá las acciones administrativas, civiles y penales que sean pertinentes contra contratistas, proveedores, vinculados y terceros frente al incumplimiento en los contratos de prestación de servicios tecnológicos u otros en los que se generen afectaciones a las normas de seguridad de la información, protección de los datos personales y uso correcto de los recursos tecnológicos de la Universidad FUCS.

Así mismo, cuando se presente incumplimiento en los acuerdos de confidencialidad, acuerdos de transmisión de datos personales y contratos de transferencia de datos personales suscritos, de conformidad con lo dispuesto en las normas vigentes.

Controles

3. Desvinculación, Licencias, Vacaciones, o Traslados de Colaboradores y Personal Provisto por Terceros.

La Universidad FUCS asegurará que el proceso de desvinculación o reasignación de colaboradores y el personal externo se realice de una forma adecuada y segura.

Controles

VI. SEGURIDAD FÍSICA Y DEL ENTORNO

1. Áreas Seguras.

La Universidad FUCS debe proveer mecanismos de seguridad física y controles que eviten problemas de acceso a todas las instalaciones, de igual forma vigilará las amenazas internas y externas y las circunstancias medioambientales de todas las oficinas.

Las áreas que gestionen información crítica o que alberguen activos tecnológicos deberán implementar controles de seguridad física y lógica que permitan proteger la información, los equipos, la infraestructura tecnológica y demás activos institucionales frente a accesos no autorizados.

Controles

2. Lineamiento de Escritorio Limpio y Pantalla Limpia

La Universidad FUCS adopta un lineamiento de escritorio limpio para los papeles y un lineamiento de pantalla en las instalaciones de procesamiento de información.

Todos los colaboradores, estudiantes, contratistas y terceros deberán garantizar que la información impresa, documentos físicos, dispositivos de almacenamiento, equipos de cómputo y demás activos de información permanezcan protegidos cuando no estén siendo utilizados para evitar actos mal intencionados.

Controles

VII. SEGURIDAD EN LAS OPERACIONES

1. Asignación de Responsabilidades Operativas.

La División de Desarrollo Tecnológico, es el área encargada de la gestión de los recursos tecnológicos que apoyan los procesos de la Universidad FUCS, el director del área se encarga de asignar las funciones específicas a sus colaboradores, quienes deben garantizar la adecuada operación y administración de los recursos tecnológicos, mantener actualizada la documentación de los procesos operativos en pro de la adecuada ejecución de las actividades.

La División de Desarrollo Tecnológico garantizará una capacidad de procesamiento adecuada en los sistemas de información de la Universidad FUCS, efectuando las proyecciones de crecimiento y las provisiones necesarias sobre la plataforma tecnológica con una periodicidad definida.

De igual manera debe velar por la eficiencia de los controles establecidos en los procesos operativos relacionados con los recursos tecnológicos, para garantizar así la confidencialidad, integridad y disponibilidad de la información gestionada a nivel institucional.

El profesional de Seguridad de la Información apoyará en las recomendaciones de seguridad sobre las soluciones para la infraestructura tecnológica de la Universidad FUCS.

Los instructivos o manuales de hardware/software deberán detallar como mínimo, las instrucciones para llevar a cabo cada actividad, incluyendo el procesamiento y manejo de la información, las restricciones en el uso de herramientas del sistema, la protección de la información, la gestión de eventos o incidentes de seguridad de la información, y el uso del correo electrónico. y de las aplicaciones de la Universidad FUCS.

Controles

2. Restricción de equipos personales

La Universidad FUCS define el prohibido uso de equipos personales para uso laborales, teniendo en cuenta que no están parametrizados en aspectos de seguridad y puede afectar la confidencialidad, integridad disponibilidad de los activos que tenga la institución, los colaboradores usaran únicamente los computadores autorizados y dispuestos por la Universidad FUCS esto previniendo fugas de información y accesos no autorizados para evitar compromisos a nivel de información

Controles

3. Protección frente a software malicioso.

La Universidad FUCS deberá implementar controles preventivos y correctivos a los recursos tecnológicos de la institución deben contar con la adecuada protección de la información adoptando los controles necesarios para evitar que se vea afectada la integridad, confidencialidad y disponibilidad, ocasionados por software malicioso. Además, se deben realizar campañas de concientización acerca de la cultura de seguridad entre sus colaboradores y personal provisto por terceros acerca de técnicas de hacking amenazas de software malicioso.

La Universidad FUCS cuenta con herramientas de seguridad como antivirus, antispam, antispyware y otras aplicaciones las cuales brindan protección contra código malicioso, con el fin de evitar la divulgación, modificación o daño por virus o eventos maliciosos afectando la operación de la Universidad FUCS.

Controles

Así mismo, la Universidad FUCS define los siguientes lineamientos que no son permitidos:

• Inactivar o desinstalar las aplicaciones que permiten la Seguridad de los equipos y Sistemas de Información.
• Modificar el código de programación de la infraestructura tecnológica.
• Descargar información de sitios no seguros

4. Copias de Respaldo de la Información.

La Universidad FUCS garantizara la protección de la información institucional que pertenezca a los procesos operativos y de misión crítica de la Universidad FUCS se le debe garantizar, la ejecución de copias de respaldo y almacenamiento de acuerdo con los procedimientos y mecanismos definidos por las áreas propietarias de la información y el apoyo de la División de Desarrollo Tecnológico, unidad encargada de la generación y custodia de los respaldos.

Esto facilitará la recuperación de la información ante incidentes de seguridad, fallas tecnológicas, errores operativos, pérdida de información o ataques de RAMSOMWARE mitigando la perdida de información.

Controles

5. Eventos y Monitoreos a los Recursos Tecnológicos y Sistemas de información.

La Universidad FUCS, a través de la División de Desarrollo Tecnológico debe realizar el monitoreo constante de todos los recursos de la plataforma tecnológica aplicativos de la institución, redes para evitar con el fin de identificar oportunamente fallas operativas, incidentes de seguridad, accesos no autorizados.

Controles

6. Seguridad Para los Equipos Institucionales.

La Universidad FUCS debe proveer los recursos necesarios que aseguren la mitigación de riesgos para prevenir la pérdida, daño, robo o puesta en peligro de los activos de la infraestructura tecnológica de la institución, así mismo, debe garantizar que se realicen seguimientos de control que demuestren la custodia de estos mismos.

Controles

7. Uso Responsable de Tecnologías de Inteligencia Artificial

La Universidad FUCS promueve y regula el uso responsable y seguro de las herramientas de inteligencia artificial, garantizando la protección de la información institucional, los datos personales, la propiedad intelectual y el cumplimiento de la normativa y de las disposiciones institucionales aplicables.

La Universidad FUCS gestionará los riesgos de seguridad, privacidad, confidencialidad, integridad, propiedad intelectual y continuidad asociados al uso, adquisición, desarrollo e integración de sistemas y herramientas de inteligencia artificial.

Su utilización deberá responder a una finalidad académica, investigativa o administrativa legítima, realizarse mediante herramientas autorizadas y mantener la supervisión y responsabilidad de las personas competentes.

Estos lineamientos se aplicarán a los sistemas, herramientas, modelos, plataformas, funcionalidades, extensiones, interfaces y servicios de inteligencia artificial que sean adquiridos, desarrollados, integrados o utilizados por la Universidad, así como a los datos de entrada, instrucciones, registros y resultados generados mediante estos. Igualmente aplicará a todas las herramientas de inteligencia artificial de uso público, respecto del uso que los usuarios realicen en su interacción usando o explotando de cualquier forma, información institucional de la Universidad FUCS, para la Universidad FUCS o para terceros en nombre de la Universidad FUCS.

Criterios mínimos

7.1. Autorización e inventario: La Universidad FUCS contará con un registro de las herramientas de IA autorizadas, su finalidad, área responsable, proveedor, tipo de información que pueden procesar y condiciones de uso.

7.2. Clasificación de usos: La Universidad FUCS clasificará el tipo de uso que podrá darse a las herramientas de inteligencia artificial teniendo en cuenta las siguientes categorías:

• Uso general: consultas y generación de borradores con información pública, ficticia, anonimizada o de libre circulación.
• Uso institucional restringido: tratamiento de información interna mediante herramientas previamente evaluadas y autorizadas.
• Uso prohibido: incorporación de información reservada, datos sensibles, credenciales, secretos, bases de datos o información institucional en herramientas no autorizadas.

7.3. Evaluación proporcional del riesgo.

• Los proyectos de IA deberán evaluarse antes de su adquisición, desarrollo o implementación, considerando la información tratada, los efectos sobre las personas, la dependencia tecnológica, la intervención de terceros y la necesidad de supervisión humana.
• Los proyectos piloto que incorporen inteligencia artificial deberán documentar su finalidad, alcance, responsable, fuentes de información, riesgos, controles, mecanismos de validación humana y condiciones para su suspensión, ajuste o retiro definitivo.
• Antes de adquirir, desarrollar o integrar una solución de inteligencia artificial, la Universidad evaluará sus condiciones de seguridad, privacidad, confidencialidad, propiedad intelectual, acceso, conservación de información, interoperabilidad, soporte, continuidad y gestión de cambios.
• Las soluciones de inteligencia artificial deberán ser probadas con información ficticia, anonimizada, sintética o expresamente autorizada, antes de su uso con información institucional o de su incorporación a procesos productivos.

7.4. Validación humana y trazabilidad. Todo resultado utilizado para producir comunicaciones, informes, actuaciones o decisiones institucionales debe ser revisado por una persona responsable. Cuando el resultado pueda producir efectos académicos, administrativos, jurídicos, laborales, financieros o sobre terceros, deberá conservarse evidencia de la herramienta utilizada, su finalidad, el responsable de la validación y la versión final aprobada, de acuerdo con las directrices institucionales de gestión documental.

7.5. Gestión de riesgos. La Universidad FUCS gestionará los riesgos derivados del uso de inteligencia artificial mediante controles de autorización, clasificación de la información, acceso, validación humana, trazabilidad, contratación, monitoreo y respuesta a incidentes.

7.6. Gestión de incidentes. Los usuarios deberán suspender la actividad o utilización afectada y reportar inmediatamente a Seguridad de la Información y a la División de Desarrollo Tecnológico cualquier evento relacionado con exposición o divulgación inadecuada de información, accesos indebidos, uso no autorizado de credenciales, suplantación, alteración de contenidos, generación de resultados fraudulentos o manifiestamente incorrectos utilizados institucionalmente, fallas de integridad, disponibilidad o cualquier funcionamiento anómalo que pueda afectar a la Universidad o a terceros, en los servicios dispuestos por la Institución. La continuidad o restablecimiento del uso estará sujeto a la evaluación y medidas adoptadas por las instancias correspondientes.

7.7. Activos de información. Las herramientas de inteligencia artificial, sus integraciones, configuraciones, datos de entrada, registros y resultados que tengan valor para la Universidad FUCS deberán identificarse y gestionarse como activos de información, de acuerdo con su propietario, clasificación, finalidad y ciclo de vida.

7.8. Capacitación. La Universidad FUCS incluirá dentro de sus actividades de inducción, capacitación y sensibilización continua y permanente, contenidos que permitan desarrollar las competencias de estudiantes, docentes y personal administrativo para el uso crítico, ético y seguro de las herramientas de inteligencia artificial.

7.9. Restricciones al uso de información institucional para entrenamiento de modelos. Los proveedores de servicios de inteligencia artificial no podrán utilizar información de la Universidad FUCS para fines propios, entrenamiento de modelos, perfilamiento, publicidad o mejora general de sus servicios. Excepcionalmente, podrá autorizarse el uso de información pública, anonimizada o expresamente habilitada para dicha finalidad, previa evaluación jurídica, técnica y de seguridad y autorización del Comité de Seguridad de la Información. En ningún caso podrá autorizarse para estos fines el uso de datos personales sensibles, información reservada o confidencial, credenciales, secretos, bases de datos institucionales ni información protegida por derechos de terceros.

7.10. Uso y explotación de herramientas de inteligencia artificial.

7.10.1. El uso de inteligencia artificial por parte de los estudiantes y docentes se sujetará a lo establecido en los reglamentos internos, las directrices y reglas de gobernanza e integridad académica establecidas por la Universidad FUCS, así como a las instrucciones impartidas para cada actividad.

7.10.2. Los usuarios no podrán utilizar herramientas de inteligencia artificial de cualquier manera que atente contra el uso ético y responsable.

7.10.3. Los usuarios no deberán, cargar, procesar o divulgar información confidencial de la Universidad FUCS, información financiera institucional, información sensible bajo custodia de la Universidad FUCS, información reservada institucional o datos personales cuyo responsable o encargado sea la Universidad FUCS, en herramientas de Inteligencia Artificial no autorizadas por la Universidad FUCS, o para fines no autorizados previamente por la Universidad FUCS.

7.10.4. Los usuarios no deberán compartir credenciales institucionales de acceso, cadenas de conexión, instancias, direcciones IP, ni cualquier otro dato o metodología que permita el acceso directo o remoto a plataformas o repositorios de información institucional, en herramientas de Inteligencia Artificial.

7.10.5. El acceso a herramientas institucionales de inteligencia artificial deberá gestionarse mediante cuentas individualizadas, perfiles autorizados y, cuando sea técnicamente posible, autenticación institucional y registro de actividad. Las credenciales, llaves API y demás mecanismos de acceso serán personales o asignados formalmente por la División de Desarrollo Tecnológico y no podrán compartirse.

7.10.6. Los usuarios no podrán conectar cuentas institucionales, repositorios, correos electrónicos, servicios en la nube o sistemas de información de la Universidad a herramientas de inteligencia artificial, complementos o extensiones no autorizadas.

7.10.7. La instalación de asistentes, extensiones o complementos con funcionalidades de inteligencia artificial en navegadores, correos, plataformas educativas o sistemas institucionales requerirá autorización previa de la División de Desarrollo Tecnológico, mediante un caso gestionado por mesa de ayuda.

7.10.8. El uso de inteligencia artificial por cualquier usuario de la Universidad FUCS, deberá respetar los derechos de autor, la propiedad intelectual, la confidencialidad de los trabajos académicos y de investigación y los derechos de terceros. La información ingresada en una herramienta de inteligencia artificial externa será considerada una transferencia o comunicación de información a un tercero y deberá cumplir los controles aplicables según su clasificación.

7.10.9. El tratamiento de datos personales mediante herramientas de inteligencia artificial deberá responder a una finalidad autorizada, aplicar los principios de necesidad, finalidad, acceso restringido y seguridad, y contar con las autorizaciones, condiciones contractuales y medidas técnicas que correspondan.

7.10.10. Los datos personales sensibles, de menores de edad, o relacionados con salud, biométricos, genéticos y demás bajo dicha categoría, únicamente podrán ser procesados mediante herramientas expresamente autorizadas para esa categoría de información y para la finalidad específica correspondiente, cuando su utilización sea necesaria y se hayan implementado las condiciones jurídicas, contractuales, técnicas y de seguridad aplicables. Su tratamiento estará prohibido en los demás casos.

Controles

VIII. SEGURIDAD EN LAS COMUNICACIONES.

1. Gestión y Aseguramiento de las Redes de Datos.

La Universidad FUCS provee, a través de la División de Desarrollo Tecnológico, los mecanismos de control necesarios para garantizar la operación de las redes de los servicios tecnológicos; debe proveer también, los mecanismos de seguridad que protejan la integridad, disponibilidad y la confidencialidad de la información que utilizan las redes de datos institucionales.

Controles

2. Seguridad y uso del Correo Electrónico.

El servicio de correo electrónico es una herramienta muy importante para la comunicación digital de la institución, la cual debe garantizar confidencialidad, integridad, disponibilidad y autenticidad de su contenido para el desarrollo de las actividades entre colaboradores y/o personal externo que hacen uso de este medio.

La Universidad FUCS promoverá el uso seguro del correo electrónico institucional mediante mecanismos tecnológicos, campañas de concientización y monitoreo continuo que permitan reducir el riesgo asociado a ataques de ingeniería social y compromiso de credenciales institucionales.

Controles

3. Seguridad a nivel de almacenamiento nube

La Universidad FUCS deberá establecer medidas de seguridad a nivel de almacenamiento de la nube esto con el fin de garantizar el uso adecuado para el almacenamiento de información crítica y evitar su divulgación no autorizada y accesos no autorizados.

Controles

4. Uso Adecuado de Internet

La Universidad FUCS reconoce la importancia del uso de Internet como apoyo para el desempeño de labores, así como soporte al proceso de enseñanza y aprendizaje.

Controles

5. Intercambio de Información.

La Universidad FUCS garantiza que cuando se transfiera información hacia otras entidades utilizando canales autorizados por la Universidad FUCS (medios removibles, canales de internet, medio impreso), la información debe ser protegida cumpliendo los procedimientos y controles establecidos de acuerdo con su clasificación. Se deben establecer acuerdos de confidencialidad, y de intercambio de información con los terceros involucrados en el proceso.

Controles

IX. CONTROL DE ACCESO

1. Acceso a Redes y Recursos de Red

La División de Desarrollo Tecnológico, como responsable de las redes y los recursos que las conforman, debe garantizar que estas redes cuenten con la protección y actualización adecuadas para evitar accesos no autorizados, con la aplicación de mecanismos de control de acceso lógico.

Controles

2. Gestión de identidades y accesos IAM

La Universidad FUCS establecerá controles de accesos y de privilegios para el acceso recursos tecnológicos, sistemas de información y redes todo limitado a los controles establecidos.

Los accesos otorgados a usuarios internos y externos deberán encontrarse debidamente autorizados, controlados y revisados periódicamente para prevenir accesos no autorizados y proteger la confidencialidad, integridad y disponibilidad de la información institucional.

Controles

3. Responsabilidades de Acceso de los Usuarios.

Los usuarios con accesos otorgados deben realizar el uso adecuado y responsable de los recursos tecnológicos y de los sistemas de información de la Universidad FUCS protegiendo la información a la que tienen acceso.

Controles

4. Uso de Altos Privilegios y Utilitarios de Administración.

La División de Desarrollo Tecnológico es la encargada de velar porque la operación y administración de los recursos de la plataforma tecnológica se encuentren en condiciones controladas y seguras; permitiendo así la trazabilidad de las acciones realizadas por usuarios administradores, responsables por los más altos privilegios sobre las plataformas y servicios.

Controles

5. Control de Accesos a Sistemas y Aplicativos.

Los líderes de proceso como propietarios de los sistemas de información y aplicativos de apoyo, serán los encargados de velar por la gestión de novedades de acceso a los sistemas o aplicativos.

La División de Desarrollo Tecnológico, como responsable de la gestión de los aplicativos, garantiza que el control de acceso lógico cuente con controles que eviten accesos no autorizados. Por otra parte, debe propender por que se adopten buenas prácticas de desarrollo de software que permita implementar control de acceso lógico de los sistemas de información.

Controles

6. Controles criptográficos.

La Universidad FUCS garantizará el cifrado de la información, en cualquier tipo de almacenamiento de información clasificada, como pública reservada o pública clasificada.

Controles

7. Uso de Conexiones Remotas.

La División de Desarrollo Tecnológico evaluará y autorizará de acuerdo con la necesidad, el uso de conexiones remotas a la plataforma tecnológica de la Universidad FUCS, así mismo, suministrará y garantizará que estas conexiones se realicen de manera segura mediante el uso de las herramientas y controles necesarios.

Controles

8. Uso de multifactor de autenticación MFA

La División de Desarrollo Tecnológico mantendrá su buen uso garantizando que todas las cuentas de correo electrónico contengan MFA esto para garantizar una doble validación para accesos a las cuentas corporativas, garantizando los accesos de manera segura.

Controles

9. Creación de Contraseñas.

La División de Desarrollo Tecnológico mantendrá estándares, en el uso de contraseñas que permiten la autenticación en los equipos de cómputo, sistemas de información y/o aplicaciones de la Universidad FUCS, así mismo, garantizará que estas cumplan con unos estándares para el uso y la creación.

Controles

10. Administración y Uso de Tokens de Seguridad

La Universidad FUCS vigilará un uso responsable de los tokens por parte de los colaboradores que por su función requieran el uso de los mismos.

Controles

X. ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS DE INFORMACIÓN.

1. Establecimiento de Requisitos de Seguridad.

La Universidad FUCS garantiza que el software adquirido y de desarrollo propio cumple con los lineamientos de seguridad y calidad establecidos por la institución. Las áreas propietarias de sistemas de información, la División de Desarrollo Tecnológico y Seguridad de la Información serán los responsables de definir los requerimientos necesarios para la evaluación y aval de compra o desarrollo de software.

Controles

2. Desarrollo Seguro, Realización de Pruebas y Soporte de Sistemas.

La Universidad FUCS vigila que los desarrollos realizados internamente o por proveedores contratados para este fin, cumplan con los requerimientos de seguridad necesarios, así como que contemplen buenas prácticas de desarrollo (especialmente en lo relacionado con la seguridad), deben contar con la documentación y metodología para la aplicación de pruebas de seguridad y deben garantizar el respectivo soporte tecnológico requerido por la Universidad FUCS.

Controles

3. Protección de los Datos de Pruebas.

La División de Desarrollo Tecnológico debe proteger los datos utilizados en las diferentes pruebas realizadas por los desarrolladores.

Esta información solo se usará para ambiente de pruebas y no se debe utilizar información clasificada en ambientes de pruebas que no cuenten con los controles de seguridad

Controles

4. Inclusión de condiciones de seguridad en la relación con terceras partes.

La Universidad FUCS establecerá mecanismos de control con respecto a las relaciones estratégicas con terceras partes, que permitan garantizar que se tengan condiciones mínimas de seguridad con respecto al acceso a la información de la Universidad FUCS.

Los colaboradores de la Universidad FUCS encargados de establecer estas relaciones son los responsables de comunicar la documentación, procedimiento y lineamientos de Seguridad de la Información establecidos en el presente manual y demás normas internas de la Universidad FUCS.

Controles

5. Gestión de la Prestación de Servicios de Terceras Partes.

La Universidad FUCS propenderá por cumplir y mantener durante el tiempo necesario los niveles acordados con respecto a la prestación de los servicios de los proveedores, así como también velará por el cumplimiento del proceso de gestión de cambios para los servicios y productos modificados por proveedores y los acuerdos aplicables con respecto a la seguridad de la información.

Controles

XI. RELACIÓN CON LOS PROVEEDORES

La Universidad FUCS tiene identificado y bajo mecanismos de control de acceso a los distintos proveedores que por la naturaleza de la prestación de sus servicios requiere acceso a las instalaciones.

Se tienen establecidos mecanismos de control en la relación con los proveedores y terceros, de tal forma que se dé cumplimiento a el Manual de Seguridad de la información.

Controles

XII. GESTIÓN DE INCIDENTES DE SEGURIDAD

1. Reporte y Tratamiento de Eventos o Incidentes de Seguridad.

El personal interno y provisto por terceras partes debe reportar con prontitud los eventos o incidentes relacionados con la violación de seguridad de la información y sus recursos de procesamiento y almacenamiento de información de la plataforma tecnológica, los sistemas de información y las personas.

Definir una adecuada capacidad de respuesta a incidentes abordando su gestión de manera versátil y flexible facilitando la adopción y/o aprendizaje de las medidas adecuadas, minimizando el riesgo de pérdida de información digital o la interrupción de los servicios de la infraestructura tecnológica expuesta en el ciberespacio.

Controles

2. Desarrollo de Gestión de Vulnerabilidades.

La Universidad FUCS, a través de la División de Desarrollo Tecnológico y Seguridad de la Información, ejecutará procedimientos que permitan conocer nuevas vulnerabilidades del software y sistemas de información de la plataforma tecnológica, con el objetivo de realizar remediación de los hallazgos encontrados en las pruebas realizadas.

La priorización de la remediación deberá considerar la criticidad de los activos, la gravedad de la vulnerabilidad, la posibilidad de explotación, el impacto potencial sobre la Universidad y los cambios relevantes en la infraestructura tecnológica.

Controles

3. Gestión de parches de seguridad

La Universidad FUCS identificará los activos tecnológicos que requieran actualizaciones y parches de seguridad y establecerá su priorización de acuerdo con su criticidad, las vulnerabilidades identificadas, el nivel de exposición y el impacto potencial sobre la operación. Antes de su implementación deberán realizarse, cuando resulte necesario, las validaciones y pruebas correspondientes.

Controles

XIII. INCLUSIÓN DE SEGURIDAD DE LA INFORMACIÓN EN LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO

1. Continuidad, Contingencia, Recuperación y Retorno a la Normalidad con Consideraciones de Seguridad de la Información.

La Universidad FUCS establecerá procedimientos que permitan a través de recursos tecnológicos y humanos garantizar la puesta en marcha de los planes de contingencia y continuidad en caso de presentarse fallas en la plataforma, eventos catastróficos ataques cibernéticos y eventos de perdida de información que puedan afectar la continuidad de la operación de la Universidad FUCS.

Se debe responder de manera oportuna y de acuerdo con la magnitud de afectación del servicio, el restablecimiento de las operaciones considerando el menor costo y pérdidas posibles, garantizando la seguridad de la información cuando se presenten este tipo de incidentes

Controles

2. Redundancias.

La Universidad FUCS propenderá por que la plataforma tecnológica sea redundante cumpliendo los requisitos de disponibilidad adecuados y tolerados por la operación de la Universidad.

Controles

XIV. CUMPLIMIENTO

1. Cumplimiento de Requisitos Legales y Contractuales.

La Universidad FUCS es responsable del licenciamiento y requisitos legales aplicables que den cumplimiento a las leyes, condiciones contractuales de cualquier requisito de seguridad de la información y de los derechos de autoría.
La Universidad FUCS establece que la información personal de los titulares de los datos personales, cuyo responsable del tratamiento es la Universidad FUCS, es de carácter confidencial, por lo cual se implementarán los controles necesarios para su protección y en ningún momento puede ser divulgada a terceras partes a menos que cuente con la autorización formal del titular, o en los casos en que la normatividad lo permita.

Es responsabilidad de Seguridad de la Información, propender por el cumplimiento de los lineamientos establecidos en este documento, registrar los procesos, procedimientos, manuales, instructivos y formatos específicos, alineados al estándar internacional ISO/IEC 27001 y sus normas derivadas y otros marcos generalmente aceptados, así como, liderar la implementación de los controles exigidos por la ley y la regulación.

En las revisiones periódicas se deben tener en cuenta factores como: incidentes de seguridad, nuevas vulnerabilidades detectadas, cambios dentro de la infraestructura organizacional o tecnológica, cambios en los procesos, en los objetivos del sistema o de la Universidad FUCS, normatividad vigente, entre otros.

Los documentos, matrices, registros y evidencias derivados de la aplicación del presente Manual deberán elaborarse, actualizarse, conservarse y protegerse de conformidad con los procedimientos institucionales de gestión documental y del Sistema de Gestión Organizacional, atendiendo su clasificación, responsable, versión, periodo de conservación y condiciones de acceso.

Controles

2. Privacidad y Protección de Datos Personales.

La Universidad FUCS como responsable del manejo de datos personales, propenderá por la protección de la información de todos los titulares de los cuales gestione información personal, dando cumplimiento a la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normas vigentes sobre la materia que regulen el tratamiento de datos personales, y a su Política de Tratamiento de Datos Personales, en desarrollo de su Programa Integral de Gestión de Datos Personales, en el marco del Sistema de Gestión de Seguridad de la Información de la Universidad FUCS.

Se establecerán los términos, condiciones y finalidades para que la Universidad FUCS, como responsable de los datos personales recibidos por medio de sus distintos puntos de atención, realice la gestión correcta de los datos personales que recolecta en todo momento y de conformidad con las actividades derivadas de las funciones sustantivas.
Cuando se realice la contratación de un tercero para desarrollar o prestar algún servicio, se debe garantizar que cumpla con los deberes de encargado del tratamiento de la información, de acuerdo con lo establecido en las normas vigentes, así mismo, deberá implementar las medidas de Seguridad y Privacidad para la custodia de los datos personales.

La información y datos personales de los titulares de la Universidad FUCS no podrán divulgarse ni entregarse a terceros, salvo que el tercero acredite que cuenta con autorización previa y expresa del titular, o fundamente su acceso en una excepción legal en la cual no sea necesario contar con tal autorización, según se definen en el artículo 10 de la Ley 1581 de 2012 y demás normas aplicables.

Cuando una solicitud de acceso, entrega o divulgación de información personal genere una tensión entre el derecho al habeas data y otros derechos fundamentales, el área que custodia la información con el acompañamiento de Seguridad de la Información y de la División Jurídica, deberán analizar la solicitud y determinar si se puede acceder a la solicitud o debe abstenerse de efectuar la entrega de los datos personales solicitados, explicando las razones para ello. Para dicho análisis podrán tenerse en cuenta las recomendaciones establecidas en la Guía sobre el tratamiento de datos personales en el contexto universitario de la Superintendencia de Industria y Comercio, así como la jurisprudencia y normas que sean aplicables.

La Universidad FUCS evaluará y establecerá los mecanismos y controles necesarios para la protección de los datos personales almacenados en sus bases de datos, teniendo en cuenta el nivel de protección que cada categoría de datos requiere, los controles de acceso requeridos y las finalidades asociadas, conforme al siguiente esquema:

No obstante lo anterior, la Universidad FUCS podrá adoptar un esquema de clasificación homogéneo, aplicable a todos sus procesos, sistemas y unidades académico administrativas.

Tratamiento de datos personales de niños, niñas y adolescentes

El tratamiento de datos personales de menores de edad deberá responder a su interés superior, asegurar el respeto de sus derechos prevalentes y ser necesario y proporcional para una finalidad legítima, especialmente para garantizar el acceso y permanencia en el servicio educativo, la protección de su vida, su salud e integridad, así como el cumplimiento de las obligaciones legales de la Universidad FUCS.

La autorización de tratamiento de datos deberá ser otorgada por el padre, madre o representante legal del niño, niña o adolescente menor de edad, previa información al menor de edad (comprensible de forma clara para su edad y madurez), pues la participación obligatoria del padre, madre o representante legal no excluye el derecho del menor a conocer, comprender y participar en las decisiones relacionadas con el tratamiento de sus datos personales, en reconocimiento de su autonomía progresiva.

Controles

XV. TÉRMINOS Y DEFINICIONES

Para los propósitos de este manual, se utilizarán los siguientes términos y definiciones:

• Aceptación del riesgo: Decisión informada de aceptar las consecuencias y probabilidad de un riesgo en particular.
• Activo: Cualquier cosa que tiene valor para la organización. (NORMA TÉCNICA NTC- ISO/IEC COLOMBIANA 27002.TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. CÓDIGO DE PRÁCTICA PARA LA GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN).
• Amenaza: Es una causa potencial de un incidente no deseado que puede causar daño a un sistema u organización. Una amenaza tecnológica, en particular, se refiere a crisis o escenarios de riesgo originados por fallos o acciones humanas en la tecnología, especialmente en sistemas complejos donde los errores pueden resultar en accidentes.
• Análisis de riesgos: Elemento de control que permite establecer la probabilidad de ocurrencia de los eventos positivos o negativos y el impacto de sus consecuencias, calificándolos y evaluándolos a fin de determinar la capacidad de la institución para su aceptación y manejo.
• Anonimización: Proceso mediante el cual los datos personales se transforman de manera irreversible para impedir que el titular pueda ser identificado directa o indirectamente mediante medios razonablemente disponibles.
• Autenticidad: Busca asegurar la validez de la información en tiempo, forma y distribución. Así mismo, se garantiza el origen de la información, validando el emisor con el fin de evitar la suplantación.
• Auditabilidad: Define que todos los eventos de un sistema deben poder ser registrados para su control posterior.
• Adquisición, Mantenimiento y Desarrollo de Sistemas de Información: Define controles con el fin de racionalizar gastos integrales de los sistemas de información institucionales.
• Confidencialidad: Es la propiedad que asegura que la información no esté disponible ni sea revelada a personas, entidades o procesos no autorizados. La confidencialidad garantiza que la información personal se mantenga protegida y no sea divulgada sin el consentimiento explícito de la persona involucrada.
• Control de Acceso: Definir controles para limitar el acceso lógico a la información y a los espacios donde se procese información.
• Continuidad tecnológica de la Universidad FUCS: Dirigido a contrarrestar las interrupciones de las actividades basadas en la tecnología, resguardar los procesos críticos, de cualquier efecto generado por fallas significativas o desastres y determinar los planes de recuperación.
• Cumplimiento de requisitos legales: Pretende impedir infracciones y violaciones de cualquier ley, obligación, reglamento establecidas en contratos y de cualquier requisito de seguridad.
• Dato personal: cualquier información vinculada o que pueda asociarse a una o a varias personas naturales determinadas o determinables. Estos datos se pueden categorizar de la siguiente manera:
• Dato personal privado: es un dato personal que por su naturaleza íntima o reservada sólo interesa a su Titular. Para su tratamiento requiere de autorización expresa del Titular. Por ejemplo: libros de los comerciantes, entre otros.
• Dato personal semiprivado: son aquellos datos que no tienen una naturaleza íntima, reservada, ni pública y cuyo conocimiento o divulgación puede interesar no sólo a su titular, sino a un grupo de personas o a la sociedad en general. En este caso, para su tratamiento se requiere la autorización expresa del Titular de la información. Por ejemplo: datos de carácter financiero, crediticios, actividades comerciales o de servicios, datos relativos a las relaciones con las entidades de seguridad social (EPS, AFP, ARL, Cajas de Compensación), entre otros.
• Dato personal público: es aquel tipo de dato personal que las normas y la Constitución han determinado expresamente como públicos y, para cuya recolección y tratamiento, no es necesaria la autorización del Titular de la información. Por ejemplo: estado civil de las personas, datos contenidos en el RUNT, datos contenidos en sentencias judiciales ejecutoriadas, los datos contenidos en documentos públicos, entre otros.
• Dato personal sensible: son aquellos que afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición así como los datos relativos a la salud, a la vida sexual, los datos biométricos y aquellos datos que se puedan obtener de un menor de edad. Para su tratamiento se requiere la autorización expresa del Titular de la información y en caso del menor de edad, de su representante legal.
• Declaración de aplicabilidad: Documento que describe los objetivos de control y los controles pertinentes y aplicables para el SGSI de la organización.
• DDT: División de Desarrollo Tecnológico – FUCS.
• Disponibilidad: Es la propiedad que asegura que la información, los datos o los sistemas sean accesibles y utilizables por entidades o procesos autorizados cuando lo requieran. La disponibilidad garantiza que los recursos necesarios estén operativos y se puedan recuperar en el momento en que se necesiten, evitando su pérdida o bloqueo.
• Evento de seguridad de la información: Es la presencia identificada de un estado en el sistema, servicio o red que indica un posible incumplimiento del Manual de Seguridad, una falla en los controles, o una situación previamente desconocida que puede ser relevante para la seguridad. Un evento de seguridad puede señalar una amenaza potencial, como una filtración de información, infección por malware o acceso no autorizado, y requiere monitoreo para determinar su impacto y responder adecuadamente.
• Evaluación del riesgo: Proceso utilizado para verificar los resultados obtenidos en el análisis de riesgos, con el propósito de establecer el grado de exposición que tiene la institución ante los riesgos identificados y de esta forma determinar la zona de riesgo inicial (Riesgo inherente) y distinguir entre los riesgos tolerables, bajos, medios, altos o intolerables.
• Evaluación de impacto en privacidad: proceso documentado destinado a identificar y valorar los riesgos que una actividad de tratamiento puede generar para los derechos de los titulares y a definir las medidas necesarias para mitigarlos antes de iniciar o modificar sustancialmente el tratamiento.
• Entrada o prompt: instrucción, consulta, archivo, dato o información suministrada a una herramienta de inteligencia artificial, para obtener un resultado.
• Gestión del riesgo: Conjunto de elementos de control que, al interrelacionarse, permiten a la institución evaluar aquellos eventos negativos, tanto internos como externos, que puedan Impactar o impedir el logro de sus objetivos institucionales o los sucesos positivos que posibilitan la identificación de oportunidades para un mejor cumplimiento de su función. Se encuentra dentro del elemento de control que, al interactuar con sus diversos elementos, posibilita a la institución controlar aquellos sucesos que pueden afectar el cumplimiento de sus objetivos.
• Gestión de Comunicaciones y Operaciones: Establece controles para garantizar el correcto funcionamiento de los equipos de procesamiento de la información.
• Gestión de Activos de Información: Permite proteger los activos de información institucional.
• Gestión de incidentes de seguridad de la información: Actividades orientadas a gestionar los incidentes presentados y tomar las acciones necesarias de prevención y corrección.
• Herramientas de inteligencia artificial: sistemas basados en tecnología que, a partir de datos e instrucciones, generan resultados como predicciones, recomendaciones, clasificaciones, contenidos o decisiones que pueden influir en entornos físicos o digitales.
• Herramienta de IA autorizada: solución evaluada y habilitada por la Universidad para finalidades y condiciones determinadas.
• Incidente de seguridad de la información: Es un evento o una serie de eventos inesperados o no deseados que tienen una probabilidad elevada de comprometer las operaciones del negocio y comprometer la seguridad de la información. Un incidente de seguridad puede incluir accesos, intentos de acceso, uso, divulgación, modificación o destrucción no autorizada de información, impedimentos en la operación normal de redes y sistemas, o violaciones del Manual de Seguridad de la información de la organización.
• Información: Se refiere a toda comunicación o representación de conocimiento como datos, en cualquier forma, (textos, numéricas, gráficas, narrativas o audiovisuales) y en cualquier medio, ya sea magnético, en papel, audiovisual u otro.
• Integridad: Propiedad de salvaguardar la exactitud y estado completo de los activos.
• Legalidad: Se refiere al cumplimiento de las leyes, medidas, reglamentaciones o disposiciones a las que está sujeta la Institución.
• Monitorear: Verificar, supervisar, observar de forma crítica, o registrar el progreso de una actividad, acción o sistema, en forma regular, a fin de identificar cambios. (NORMA TÉCNICA NTC COLOMBIANA 5254 – GESTIÓN DEL RIESGO).
• No repudio: Se refiere a evitar que una entidad que haya enviado o recibido información alegue ante terceros que no la envió o recibió.
• Riesgo: Posibilidad de que suceda algún evento que tendrá un impacto sobre los objetivos institucionales o del proceso. Se expresa en términos de probabilidad y consecuencias.
• Riesgo residual: Nivel restante de riesgo después de que se han tomado medidas de tratamiento del riesgo. (NORMA TÉCNICA NTC COLOMBIANA 5254 – GESTIÓN DEL RIESGO).
• Seguridad de la información: Es la preservación de la confidencialidad, integridad y disponibilidad de la información, así como de otras propiedades como autenticidad, responsabilidad, no-repudio y confiabilidad. Se refiere al conjunto de medidas preventivas y reactivas implementadas por organizaciones y sistemas tecnológicos para proteger la información en diferentes formatos y medios, asegurando su resguardo y protección. La seguridad de la información abarca más allá de la seguridad informática, incluyendo la protección de datos en todos los tipos de medios.
• Seudonimización: Tratamiento mediante el cual los datos personales no pueden atribuirse a un titular sin utilizar información adicional que se conserva separada y sometida a medidas de seguridad. La información seudonimizada continúa siendo dato personal.
• Sistema de Información: Es un conjunto integrado de recursos diseñados para la recopilación, procesamiento, mantenimiento, transmisión y difusión de información, mediante procedimientos automatizados y manuales. Incluye agentes, códigos y procesos que interactúan de manera coordinada para cumplir un propósito común. En informática, los sistemas de información gestionan, recolectan, procesan, almacenan y distribuyen información relevante, facilitando la toma de decisiones, mediante la gestión y correlación eficiente de datos.
• Seguridad del Talento Humano: Define la adecuada segregación de funciones y de reducir los riesgos de error humano y/o comisión de ilícitos, se deben considerar tanto colaboradores internos como personal de terceros que tengan relación con la Universidad FUCS.
• Seguridad física y del entorno: Permite definir controles que eviten accesos no autorizados tanto a instalaciones e información.
• Supervisión humana: Revisión y validación realizada por una persona competente antes de utilizar un resultado producido por una herramienta de inteligencia artificial, en un proceso institucional.
• Organización de la Seguridad: Facilita la gestión de la seguridad de la información dentro de la institución.
• Protección a la duplicación: Consiste en asegurar que una transacción sólo se realiza una vez, a menos que se especifique lo contrario.
• Tecnología de la Información: Se refiere al hardware y software operados por la institución o por un tercero que procese información en su nombre, para llevar a cabo una función propia de la Universidad FUCS, sin tener en cuenta la tecnología utilizada, ya se trate de computación de datos, telecomunicaciones u otros.
• Tercera parte: Persona u organismo reconocido por ser independiente de las partes involucradas, con relación al asunto en cuestión. (NORMA TÉCNICA NTC-ISO/IEC COLOMBIANA 27002.TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. CÓDIGO DE PRÁCTICA PARA LA GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN)
• Tratamiento del riesgo: Selección e implementación de las opciones apropiadas para ocuparse del riesgo. (NORMA TÉCNICA NTC COLOMBIANA 5254 – GESTIÓN DEL RIESGO).
• Tratamiento: Cualquier operación o conjunto de operaciones sobre datos personales, tales como la recolección, almacenamiento, uso, circulación o supresión.
• Transferencia: La transferencia de datos tiene lugar cuando el responsable y/o Encargado del Tratamiento de datos personales, ubicado en Colombia, envía la información o los datos personales a un receptor, que a su vez es Responsable del Tratamiento y se encuentra dentro o fuera del país.
• Transmisión: Tratamiento de datos personales que implica la comunicación de estos dentro o fuera del territorio de la República de Colombia cuando tenga por objeto la realización de un Tratamiento por el Encargado por cuenta del responsable.
• Valoración del riesgo: Proceso general de análisis del riesgo y evaluación del riesgo. (NORMA TÉCNICA NTC COLOMBIANA 5254 – GESTIÓN DEL RIESGO).
• Vulnerabilidad: Es una debilidad en el diseño, implementación, gestión u operación de un sistema o entorno de información que puede ser explotada por amenazas. Las vulnerabilidades representan puntos débiles que pueden ser aprovechados por fuentes maliciosas para comprometer la seguridad o privacidad del sistema.

XVI. APROBACIÓN DEL MANUAL Y ENTRADA EN VIGOR

SECRETARIA GENERAL
UNIVERSIDAD FUCS

Descargue aquí la política en versión PDF