¿Para qué me sirve esta actividad? 📚
Esta actividad te ayudará a establecer los lineamientos para gestionar de forma segura la infraestructura tecnológica y las operaciones diarias de tu empresa, definiendo lineamientos para el control de cambios, gestión de la capacidad necesaria para operar, protección de la información mediante respaldos, actualizaciones de seguridad, y la incorporación o mantenimiento de equipos y sistemas.
Este documento es importante porque permite demostrar que las operaciones de Tecnología se realizan de manera planificada y controlada, reduciendo el riesgo de interrupciones, fallas de seguridad o afectaciones a los datos personales tratados por la empresa.
¿Qué tengo que hacer? 🚀
💡Este documento debe reflejar las capacidades, infraestructura y prácticas reales de tu empresa.
Al trabajar en el template en plataforma, te recomendamos primero leerlo en su totalidad para así comprender la información que deberás documentar posteriormente. Y para completarlo de forma adecuada, te recomendamos considerar lo siguiente:
Objetivo y alcance de la política.
Recomendamos que el objetivo refleje la protección de la privacidad, seguridad, disponibilidad y continuidad de los recursos tecnológicos de la empresa, y que el alcance incluya a colaboradores internos y externos que acceden a recursos tecnológicos, así como a los proyectos que utilizan infraestructura, sistemas o plataformas de la organización.
Gestión de los cambios.
Revisa los tipos de cambios que pueden afectar a la empresa, como cambios comerciales, organizacionales, de infraestructura, sistemas, tecnologías o procesos productivos.
Define que todo cambio debe contar con autorización formal y una evaluación de riesgos antes de ejecutarse, esto es esencial para un cumplimiento normativo.
Verifica que exista un registro adecuado para los cambios aplicados, desde su recepción hasta su cierre, y que se incluya toda la información necesaria para llevar una correcta trazabilidad y seguimiento.
⚖️ Recomendación legal: Registrar la autorización, la evaluación de riesgos y las pruebas realizadas permite demostrar que la empresa actuó con diligencia antes de modificar un sistema que podría afectar datos personales o la continuidad del servicio.
Gestión de cambios productivos.
Debes incluir lineamientos para asegurar que los cambios aplicados directamente en ambientes productivos estén vinculados a un requerimiento formal y justificado.
Además que, antes de implementarlos, se validen los requisitos de privacidad, seguridad y desarrollo aplicables.
Asegúrate de que existan pruebas previas, autorización del responsable correspondiente y un mecanismo de rollback para volver a una versión autorizada si el cambio presenta fallas.
Confirma que este apartado sea coherente con la Metodología de Ciclo de Vida del Desarrollo y el Procedimiento de Gestión de Cambios Productivos, cuando corresponda.
Gestión de la capacidad.
Define la frecuencia real con la que la empresa revisará la capacidad de sus sistemas y plataformas.
Considera información como el volumen de operaciones, transacciones estimadas, nivel de respuesta esperado, nuevos proyectos y capacidad actual de la infraestructura.
Mantén únicamente los mecanismos que la empresa realmente utiliza, como alertas, monitoreo o herramientas de escalabilidad automática.
Verifica que los planes de acción derivados de estos análisis sean revisados y aprobados por los responsables correspondientes, ya que esto funge como evidencia de cumplimiento importante que puede ser solicitada durante auditorías.
Gestión de respaldos.
Indica la frecuencia real con la que se generan respaldos para la información general y, cuando corresponda, para los datos personales.
Define los responsables, el procedimiento aplicable, el tiempo de conservación de las copias y la realización de pruebas periódicas de recuperación.
Asegúrate de que los resultados de las pruebas de restauración queden documentados para identificar fallas u oportunidades de mejora. Esto también puede ser solicitado como evidencias durante auditorías.
⚖️ Recomendación legal: Los respaldos que contengan datos personales deben protegerse con medidas equivalentes a las utilizadas en los sistemas productivos y conservarse solo durante el tiempo definido por la empresa y la normativa aplicable.
Gestión de parches de seguridad.
Verifica que el template indique que el software utilizado por la empresa debe mantenerse actualizado.
Asegúrate de que los parches se prueben antes de aplicarse en ambientes productivos, cuando corresponda.
Define cómo se llevará el seguimiento de los parches instalados, su desempeño y las vulnerabilidades asociadas.
Revisa que este apartado sea coherente con tu Política de Seguridad de la Información, en caso de que haya lineamientos relacionados.
Lineamientos de adquisición y mantenimiento.
Verifica que toda incorporación de hardware, software o componentes de infraestructura esté alineada con los requisitos de seguridad y privacidad definidos por la empresa, y con las mejores prácticas de la industria.
Es altamente recomendable que las adquisiciones relevantes deben contar con autorización previa.
Asegúrate de que los equipos y sistemas reciban mantenimiento oportuno y que las instalaciones sean realizadas por los responsables autorizados.
Completa el versionado del documento.
Al finalizar, completa la tabla de versionado indicando quién elaboró la política, quién la aprobó, la fecha de aprobación y la clasificación de la información.
Nuestro template está estructurado con los lineamientos adecuados para el cumplimiento normativo, pero recuerda que debes ajustarlo al contexto real de tu empresa.
💡 Los pasos a seguir para terminar la actividad dentro de la plataforma son los siguientes:
Una vez que nuestro equipo haya aprobado la actividad, debes subir el documento final en versión PDF (no editable).
Posteriormente, debes subir la evidencia de su aprobación.
Recomendamos que esta evidencia sea a través de una minuta de sesión de comité (en ese caso, debes subir el documento en PDF de la minuta), o con una captura de pantalla de la respuesta explícita de quién o quiénes lo aprobaron.
Esto debe realizarse por algún medio de comunicación interno de la empresa, como Slack, Teams o el correo electrónico organizacional.
O también puedes utilizar la funcionalidad de aprobación que tiene la plataforma Hackmetrix.
Y por último, debes subir la evidencia de su comunicación.
Al igual que la aprobación, la comunicación del documento puede ser por cualquier medio formal interno de la empresa. Y para esto, debes subir una captura de pantalla donde se muestre que el documento fue comunicado a todos los colaboradores interesados.
O también puedes utilizar la funcionalidad de comunicación que tiene la plataforma Hackmetrix.
Recomendaciones ✅
Conserva evidencia de las pruebas de restauración, autorizaciones de cambios y validaciones posteriores a la implementación, ya que pueden ser solicitadas durante auditorías.
Mantén actualizado el Inventario de Activos para identificar rápidamente los sistemas, aplicaciones y componentes que podrían requerir actualizaciones o parches de seguridad.
Revisa junto con el área de Privacidad cómo se gestionarán las solicitudes de eliminación de datos que puedan encontrarse en respaldos, sin comprometer la recuperación del servicio ni incumplir obligaciones de conservación.
Actualiza esta política cuando existan cambios relevantes en la infraestructura, proveedores tecnológicos, herramientas de monitoreo, prácticas de desarrollo o requisitos aplicables.
¡Califica este artículo 👇, esto nos ayudará a mejorar nuestro contenido para ti! También puedes contactarnos por correo electrónico o a través de la plataforma, y te brindaremos la atención que necesites.