1. Objetivo
COPASTUR establece la presente Política de Seguridad de la Información como parte integrante de su sistema de gestión corporativo, alineada con las mejores prácticas y normas aceptadas, con el fin de proteger los activos tecnológicos, los procesos y las personas que interactúan en el entorno de COPASTUR. Esta política también informa a clientes, proveedores, socios y demás partes interesadas sobre nuestro compromiso con la seguridad de la información.
2. Alcance
Esta Política está dirigida a todos los clientes, proveedores, socios y demás partes externas interesadas que tengan, hayan tenido o vayan a tener acceso a la información de COPASTUR y/o que utilicen, hayan utilizado o vayan a utilizar recursos computacionales de la infraestructura de COPASTUR, respetando los acuerdos operativos establecidos.
3. Principios Fundamentales
Para garantizar la eficacia de esta Política, COPASTUR adopta los siguientes principios:
- Políticas y Procedimientos: Desarrollar, implementar y cumplir íntegramente las políticas, directrices normativas y manuales de procedimientos de seguridad de la información. Asegurar que los requisitos esenciales de confidencialidad, integridad y disponibilidad de la información se cumplan mediante controles contra amenazas internas y externas;
- Educación y Concientización: Promover la educación y la concientización de los empleados sobre las prácticas de seguridad de la información implementadas por COPASTUR.
- Cumplimiento: Cumplir los requisitos de seguridad de la información establecidos por regulaciones, leyes y cláusulas contractuales;
- Gestión de Incidentes: Gestionar íntegramente los incidentes de seguridad de la información, garantizando que todos sean debidamente registrados, clasificados, investigados, corregidos, documentados y, cuando sea necesario, comunicados a las autoridades competentes. Las áreas de la empresa deben proporcionar la información necesaria para la respuesta a incidentes;
- Continuidad del Negocio: Asegurar la continuidad del negocio mediante la implementación, la prueba y la mejora continua de los planes de continuidad y de recuperación ante desastres;
- Mejora Continua: Promover la mejora continua de la gestión de la seguridad de la información, estableciendo y revisando sistemáticamente los objetivos de seguridad en todos los niveles de la organización.
4. Directrices
Para garantizar una protección adecuada, implementamos un Sistema de Gobernanza de Seguridad de la Información (SGSI) robusto y alineado con los requisitos de la norma ISO/IEC 27001:2022. Adoptamos un Sistema de Gestión de Continuidad del Negocio (SGCN), identificamos amenazas y posibles impactos en las operaciones, y proporcionamos una estructura resiliente capaz de responder eficazmente y proteger los intereses de las partes involucradas. Nuestra gestión diaria de eventos e incidentes de Seguridad de la Información tiene como objetivo prevenir, monitorear, responder y recuperar nuestro entorno frente a ataques cibernéticos. Mantenemos una Política Interna de Seguridad de la Información con directrices actualizadas periódicamente para proteger la información de clientes y empleados. La correcta asignación del grado de sensibilidad de la información está garantizada por una Política de Clasificación de la Información bien establecida e implementada. Aseguramos la protección de la información mediante controles de acceso lógico, evitando accesos no autorizados que puedan comprometer la confidencialidad, integridad y disponibilidad de la información. Utilizamos técnicas de cifrado en reposo y en tránsito, además de métodos seguros de comunicación con los socios. Adoptamos medidas físicas para asegurar que todas las instalaciones con recursos de información cuenten con un control de acceso adecuado y monitoreado, que proteja contra accesos no autorizados y riesgos ambientales. Mantenemos copias de seguridad («backups») con pruebas de restauración periódicas para garantizar la continuidad e integridad de la información en caso de desastres. Los equipos y estaciones de trabajo están protegidos con limitaciones para modificar configuraciones administrativas, exportar datos, instalar software no homologado y utilizar medios extraíbles. Utilizamos herramientas robustas para el escaneo de vulnerabilidades, la detección de amenazas y la detección de exfiltración de información. Celebramos Acuerdos de Confidencialidad (NDAs) con empleados, prestadores de servicios y socios para evitar la divulgación no autorizada de datos. Realizamos el mapeo, el monitoreo y el reporte de los riesgos relacionados con la privacidad y la seguridad de la información con la participación de la alta dirección, asegurando la protección de los datos personales y confidenciales de conformidad con la legislación vigente y las políticas internas, y garantizando que se respeten los derechos de los titulares conforme a la LGPD (Ley General de Protección de Datos de Brasil).
5. Definición y Mantenimiento
Para alertas de seguridad y/o incidentes, las notificaciones deben enviarse a: seguranca.ti@copastur.com.br.
6. Consideraciones Finales
COPASTUR se reserva el derecho de modificar, alterar, agregar o eliminar partes de este documento en cualquier momento, con el fin de mejorar continuamente su seguridad de la información.