politica y procedimiento preliminar de control de acceso

POLITICA Y
PROCEDIMIENTO
PRELIMINAR DE
CONTROL DE
ACCESO
Ministerio del Interior
Subsecretaria del Interior y Seguridad Pública
Intendencia Regional de Atacama
Tabla de Contenidos
1 OBJETIVO GENERAL
4
1.1
1.2
1.3
1.4
4
5
5
6
Objetivos específicos
Alcance
Marco Referencial
Control de documentos
2 CONTROL DE ACCESOS
7
2.1 Reglas para el control de acceso
2.2 Gestión de identidades
2.2.1 Responsabilidad de los usuarios
7
7
7
2.3 Control de acceso a la red
2.3.1 Política de utilización de los servicios de red
2.3.2 Autenticación de usuarios para conexiones externas
2.3.3 Identificación de equipos en la red
2.3.4 Protección de los puertos de configuración y diagnostico remoto
2.3.5 Separación de redes
2.3.6 Control de conexión de las redes
2.3.7 Control de enrutamiento de red
2.3.8 Acceso a internet
7
7
8
8
8
8
8
9
9
2.4 Control de acceso al sistema operativo
2.4.1 Registro de inicio seguro
2.4.2 Gestión de contraseñas
2.4.3 Uso de utilitarios del sistema
2.4.4 Tiempo de inactividad de la sesión
2.4.5 Limitación de tiempo de conexión
2.4.6 Control de acceso a la información
2.4.7 Alistamiento de sistemas sensibles
9
9
9
10
10
10
10
11
2.5 Computación móvil y trabajo remoto
2.5.1 Computación y comunicaciones móviles
2.5.2 Trabajo remoto
11
11
12
3 GLOSARIO DE TÉRMINOS
13
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
2
1. OBJETIVO GENERAL
La División Informática establece como Política de Control de Acceso el controlar el acceso a la
información, a las instalaciones de procesamiento de la información (Datacenter) y a los
procesos de provisión, los cuales deberán ser controlados sobre la base de los requisitos
y seguridad.
Para ello, a través de sus diferentes áreas de Operaciones, Software, Seguridad y Soporte
permitirá administrar el ciclo de vida de los usuarios, desde la creación automática de
las cuentas, roles y permisos necesarios hasta su inoperancia; a partir de los
requerimientos reportadas por el Departamento de Recursos Humanos y/o directamente de su
Jefatura directa; lo anterior para que el funcionario tenga acceso adecuado a los sistemas
de información y recursos tecnológicos, validando su autenticación, autorización y auditoría.
1.1 Objetivo específico
• Identificar los requerimientos de seguridad de cada una de las aplicaciones.
• Identificar toda la información relacionada con las aplicaciones.
• Definir los perfiles de acceso de usuarios estándar, comunes a cada categoría de
estaciones de trabajo.
• Administrar los derechos de acceso en un ambiente distribuido y de red, que
reconozcan todos los tipos de conexiones disponibles.
•
Asegurar el cumplimiento de los requisitos normativos, estatutarios,
reglamentarios y contractuales, que estén orientados hacia la seguridad de la
información en la Subsecretaria del Interior.
• Establecer los niveles de acceso apropiados a la información institucional,
brindando y asegurando la confidencialidad, integridad y disponibilidad que
requiera cada sistema y usuario.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
3
1.2 Alcance
Esta política se aplica a todos los funcionarios, servidores públicos a honorarios y terceras partes
que tengan derechos de acceso a la información que puedan afectar los activos de información de
la Subsecretaría del Interior y a todas sus relaciones con terceros que impliquen el acceso a sus
datos, recursos y/o a la administración y control de sus sistemas de información.
1.3 Marco referencial
Declaración del propósito del Ministerio, apoyando los objetivos y principios de la seguridad de
la información.
Los contenidos y controles esenciales de carácter legal que debe considerarse en las políticas de
la Subsecretaría son:
• NCh-ISO 27002.Of2009 - Tecnología de la Información y Código de prácticas
para la gestión de seguridad de la información - INN Chile.
• Decreto N° 83, de 2004, de la citada Secretaría de Estado: Aprueba norma técnica para
los órganos de la Administración del Estado, sobre seguridad y confidencialidad
del documento electrónico.
• Decreto N° 93, de 2006, de la citada Secretaría de Estado: Aprueba norma técnica para
minimizar la recepción de mensajes electrónicos masivos no deseados, en las
casillas electrónicas de los órganos de la Administración del Estado y de sus
funcionarios.
• Decreto N° 271, de 2009,
del Ministerio de Economía, Fomento y
Reconstrucción: Reglamento de la inscripción de esquemas documentales en el
Repositorio del Administrador de Esquemas y Metadatos para los órganos de la
Administración del Estado.
• Ley 20.285 regula el principio de transparencia de la función pública y el derecho
de acceso a la información de los órganos de la Administración del Estado.
• Ley 19.628 de Protección de vida privada y datos.
• Ley 19.223 de Delitos informáticos.
• Ley 19.927 de Delitos de Pornografía Infantil.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
4
1.4 Control de documentos
Los documentos requeridos por el Sistema de Seguridad de la Información (SSI) deben
protegerse y controlarse. Para lograr este objetivo, las acciones necesarias a implementar
son:
• Revisar y actualizar los documentos cuando sea necesario y aprobarlos nuevamente.
• Registrar todos los cambios o actualizaciones a los documentos en la tabla de control
de cambios.
• Los registros de las actualizaciones o modificaciones en la tabla de control de
cambio debe ser coincidente con el texto del respectivo documento.
• Los registros de las tablas de cambio deben ser legibles y fácilmente identificables en el
documento respectivo.
• Se deberá controlar el uso no intencionado de documentos obsoletos.
• En caso de mantenerse los documentos por cualquier propósito, éstos deberán tener una
adecuada identificación a efecto de diferenciarse de los vigentes.
Las versiones pertinentes de los documentos aplicables se encontrarán disponibles para quienes
lo necesiten y serán almacenados y transferidos de acuerdo a los procedimientos aplicables a su
clasificación.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
5
2. CONTROL DE ACCESO
2.1 Reglas para el control de acceso
Las reglas para el control de acceso, estará documentado a través de los diferentes
procedimientos de control de acceso a los recursos tecnológicos.
2.2 Gestión de identidades
Se deberá asegurar el acceso de usuarios autorizados y prevenir el acceso no autorizado a los
sistemas de información. Se usará para la asignación de las credenciales de accesos a los
diferentes sistemas, un formulario con el nombre del sistema, nombre usuario, contraseña
temporal y la asignación de derechos al sistema y/o los servicios.
2.3 Responsabilidad de los usuarios
Todos los funcionarios o terceros que tengan un usuario en la plataforma tecnológica de
la División Informática, deberán conocer y cumplir con su uso de esta Política específica, donde
se dictan pautas sobre derechos y deberes con respecto al uso adecuado de los usuarios, así como
políticas de protección de usuario desatendido, escritorio y pantalla limpia.
2.4 Control de Acceso a la Red
Las conexiones no seguras a los servicios de red pueden afectar a toda la institución, por
lo tanto, se controlará el acceso a los servicios de red tanto internos como externos. Esto
es necesario para garantizar que los usuarios que tengan acceso a las redes y a sus servicios, no
comprometan la seguridad de los mismos.
Las reglas de acceso a la red a través de los puertos, estarán basadas en la premisa —todo está
restringido, a menos que este expresamente permitido“.
2.4.1 Política de utilización de los servicios de red
Se desarrollarán procedimientos para la activación y desactivación de derechos de acceso a las
redes, los cuales comprenderán:
•
•
•
•
Controlar el acceso a los servicios de red tanto internos como externos.
Identificar las redes y servicios de red a los cuales se permite el acceso.
Realizar normas y procedimientos de autorización de acceso entre redes.
Establecer controles y procedimientos de administración para proteger el acceso
y servicios de red.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
6
2.4.2 Autenticación de usuarios para conexiones externas
La División Informática contempla como servicios de conexiones externas SSL, VPN y
primarios para funcionarios que requieran conexión remota a la red de datos institucional.
La autenticación a los servicios VPN para usuarios con conexiones externas., está documentado
mediante el procedimiento —N06 Utilización del Acceso Remoto VPN“.
2.4.3 Identificación de equipos en la Red
La División Informática controlará e identificará los equipos conectados a su red, mediante el
uso de controladores de dominio, asignación manual de IP y portal cautivo para la conexión
WIFI.
2.4.4 Protección de los puertos de configuración y diagnostico remoto
Los puertos que permitan realizar mantenimiento y soporte remoto a los equipos de red,
servidores y equipos de usuario final, estará restringido a los administradores de red o
servidores.
Los usuarios finales deberán permitir tomar el control remoto de sus equipos para el Área de
Soporte, teniendo en cuenta, no tener archivos con información sensible a la vista, no
desatender el equipo mientras que se tenga el control del equipo por un tercero.
2.4.5 Separación de redes
La División Informática utilizará dispositivos de seguridad —firewalls“, para controlar el acceso
de una red a otra.
La segmentación se realizará en equipos de enrutamiento mediante la configuración de lista de
control de acceso y configuraciones de VLANs en los equipos de comunicaciones layer 3.
Las redes inalámbricas no podrán conectarse a la red alámbricas, por restricciones de políticas a
nivel de los equipos de comunicaciones layer 3.
2.4.6 Control de conexión de las redes
• La capacidad de descarga de cada usuario final será de 10 Mb.
• La seguridad para las conexiones WiFi será WPA2 o superior.
Dentro de la red de datos institucional se restringirá el acceso a:
•
•
•
•
•
Mensajería instantánea.
La telefonía a través de internet.
Correo electrónico comercial no autorizado.
Descarga de archivos de sitio peer to peer.
Conexiones a sitios de streaming no autorizado.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
7
• Acceso a sitios de pornografía.
• Servicios de escritorio remoto a través de internet.
• Cualquier otro servicio que vulnere la seguridad de la red o degrade el desempeño de la
misma.
2.4.7 Control de enrutamiento de red
El acceso a redes desde y hacia afuera de la División Informática cumplirá con los lineamientos
del numeral 2.3 Control de acceso a la red y adicionalmente se utilizaran métodos de
autenticación de protocolo de enrutamiento, rutas estáticas, traducción de direcciones y listas de
control de acceso.
2.4.8 Control de enrutamiento de red
La División Informática, proveerá a través de sus ISPs (Proveedor de Servicio de Internet) el
servicio de internet institucional, el cual será administrado por el proceso de direccionamiento
tecnológico y será el único servicio de internet autorizado.
El uso de internet estará regulado por el Manual de buenas prácticas de Política de Seguridad de
la Información.
2.5 Control de Acceso al Sistema Operativo
2.5.1 Registro de inicio seguro
El acceso a los sistemas operativos estará protegido, mediante un inicio seguro de sesión, que
contemplará las siguientes condiciones:
• No mostrar información del sistema, hasta que el proceso de inicio se haya
completado.
• No suministrar mensajes de ayuda, durante el proceso de autenticación.
• Validar los datos de acceso, una vez que se han diligenciado todos los datos de entrada.
• Limitar el número de intentos fallidos de conexión auditando los intentos no exitosos.
• No mostrar las contraseñas digitadas.
• No transmitir la contraseña en texto claro.
2.5.2 Gestión de contraseñas
La asignación de contraseñas se deberá controlar a través de un proceso formal de gestión a
cargo del Área de soporte. Las recomendaciones son:
• No escribirlas en papeles de fácil acceso, ni en archivos sin cifrar.
• No habilitar la opción —recordar clave en este equipo“, que ofrecen los programas
• No enviarla por correo electrónico
• Nunca guarde sus contraseñas, en ningún tipo de papel, agenda, etc.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
8
• Las contraseñas se deben mantener confidenciales en todo momento.
• No compartir las contraseñas, con otros usuarios.
• Cambia tu contraseña si piensas que alguien más la conoce y si ha tratado de dar mal
uso de ella.
• Selecciona contraseñas que no sean fáciles de adivinar.
• Nunca grabes tu contraseña en una tecla de función o en un comando de caracteres predefinido.
• Cambia tus contraseñas regularmente.
• No utilizar la opción de almacenar contraseñas en Internet.
• No utilizar contraseña con números telefónicos, nombre de familia etc.
• No utilizar contraseña con variables (soporte1, soporte2, soporte3 etc.)
2.5.3 Uso de utilitarios del sistema
El uso de utilitarios licenciados del sistema, estará restringido a usuarios administradores.
Se establecerá una política a nivel del controlador de dominio, que no permita la
instalación de software y cambios de configuración del sistema. Ningún usuario final,
deberá tener privilegios de usuario administrador.
2.5.4 Uso de utilitarios del sistema
Después de cinco (5) minutos de inactividad del sistema, se considerará tiempo muerto y
se bloqueará la sesión, sin cerrar las sesiones de aplicación o de red.
Los usuarios procederán a bloquear sus sesiones, cuando deban abandonar temporalmente su
puesto de trabajo. Las estaciones de trabajo deberán quedar apagados al finalizar la jornada
laboral o cuando una ausencia temporal supere dos (2) horas.
2.5.5 Limitación de tiempo de conexión
Por la misionalidad de la División Informática, no se limitará el tiempo de conexión, ni
se establecerán restricciones en la jornada laboral.
2.5.6 Control de acceso a la información
El control de acceso a la información a través de una aplicación, se realizará a través de roles que
administren los privilegios de los usuarios dentro del sistema de información.
El control de acceso a información física o digital, se realizará teniendo en cuenta los niveles de
clasificación y el manejo de intercambio de información.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
9
2.5.7 Control de acceso a la información
La División Informática, identificará según los niveles de clasificación de información
cuales sistemas considera sensibles y que deberían gestionarse desde ambientes tecnológicos
aislados e independientes.
Al aislar estos sistemas se debe prever el intercambio seguro de información, con otras fuentes
de datos, ya que no se permite duplicar información en otros sistemas, siguiendo las directrices
de fuentes únicas de datos.
2.6 Computación Móvil y Trabajo Remoto
Teniendo en cuenta las ventajas de la computación móvil y el trabajo remoto, así mismo el nivel
de exposición a amenazas que pongan en riesgo la seguridad de la información institucional, a
continuación se establecen directrices que permitirán regular el uso de la computación móvil y
trabajo remoto:
2.6.1 Computación y comunicaciones móviles
Se entiende como dispositivos de cómputo y comunicación móviles, todos aquellos que permitan
tener acceso y almacenar información institucional, desde lugares diferentes a las instalaciones.
El uso de equipos de cómputo y dispositivos de almacenamiento móviles, está restringido
únicamente a los provistos por la institución y deberán contemplar las siguientes directrices:
•
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Uso de usuario y contraseña para acceso al mismo.
Cifrado de la información.
Uso de software antivirus provisto por la División Informática.
Restricción de privilegios administrativos para los usuarios.
Uso de software licenciado y provisto por la División Informática.
Realización de copias de seguridad periódicas.
Uso de mecanismos de seguridad que protejan la información en caso de pérdida o
hurto de los dispositivos.
Permanecer siempre cerca del dispositivo
No dejar desatendidos los equipos
No llamar la atención, acerca de portar equipos móviles
No identificar el dispositivo con distintivos de la División Informática
No colocar datos de contacto técnico en el dispositivo
Mantener cifrada la información clasificada
No conectarse a redes WiFi publicas
Mantener apagado el Bluetooth o cualquier otra tecnología inalámbrica que
exista o llegara a existir.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
10
• Informar de inmediato al Área de Soporte sobre la pérdida o hurto del dispositivo,
quien procederá al bloqueo del usuario.
Para dispositivos de comunicación móvil (telefonía celular) institucionales se aplicaran los
controles antes mencionados y los detallados a continuación:
• Activar la clave del teléfono, para acceso a la agenda telefónica, mensajes de
texto, llamadas entrantes, salientes, perdidas. Archivos de voz, imagen y videos.
• No hablar de temas confidenciales cerca de personas que no requieran conocer
dicha información.
2.6.2 Trabajo remoto
El trabajo remoto solo será autorizado por el responsable de la unidad organizativa de la cual
dependa el funcionario que solicite el permiso. Dicha autorización solo se otorgará por el Área
de Seguridad una vez se verifique las condiciones de seguridad del ambiente de trabajo.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
11
3. GLOSARIO DE TÉRMINOS
Definiciones. Para los propósitos de esta Política, se entenderá por:
• Acceso a la información: El acceso a la información es el derecho que tiene toda persona de
buscar, recibir y difundir información en poder del Estado.
• Derechos de accesos: Conjunto de permisos dados a un usuario, de acuerdo con sus
funciones, para acceder a un determinado recurso.
• Restringir el acceso: Delimitar el acceso de los funcionarios, servidores públicos a
honorarios y terceras partes a determinados recursos.
• Sanción: Puede ser definida como consecuencia administrativa, civil, jurídica o penal por el
incumplimiento del deber que produce en relación con el obligado.
• Sistema informático: uno o más computadores, software asociado, periféricos, terminales,
procesos físicos, medios de transferencia de información y otros, que forman un todo
autónomo capaz de realizar procesamiento de información y/o transferencia de información.
• Usuario: persona que utiliza un sistema informático y recibe un servicio, tales como: correo
electrónico o red de conectividad proporcionado o administrado por la Subsecretaría
del Interior y Seguridad Publica, ya sea que lo utilice en virtud de un empleo, de una función
o de cualquier prestación de servicio, sin importar la naturaleza jurídica de ésta o del estatuto
que lo rija.
• Documento electrónico: toda representación de un hecho, imagen o idea que sea creada,
enviada, comunicada o recibida por medios electrónicos y almacenada de un modo
idóneo para permitir su uso posterior.
• Documento público: aquellos documentos que no son ni reservados ni secretos y cuyo
conocimiento no está circunscrito.
• Documento reservado: aquellos documentos cuyo conocimiento está circunscrito al ámbito
de la respectiva unidad del órgano que sean remitidos.
• Documento electrónico institucional: Documento electrónico creado, enviado,
comunicado o recibido, por los usuarios del Ministerio del Interior, en ejercicio de las
funciones propias de la institución.
• División de Informática: División de Informática de la Subsecretaría del Interior.
• Área de Soporte: Área de Soporte de la División de Informática de la Subsecretaría
del Interior.
• Seguridad del documento electrónico. La seguridad del documento electrónico se logra
garantizando los siguientes atributos esenciales del documento:
• Activos de información: Todos aquellos elementos relevantes en la producción, emisión,
almacenamiento, comunicación, visualización y recuperación de información de valor para la
Institución cualquiera sea el formato que la contenga y los equipos y sistemas que la
soporten. Por ejemplo: dispositivos móviles, tarjetas de accesos, software, equipamiento
computacional.
• Riesgo: Es la contingencia de un daño a un activo de información. A su vez, contingencia
significa que el daño puede materializarse en cualquier momento o no suceder nunca.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
12
• Amenaza: Causa potencial de un incidente no-deseado por el cual puede resultar dañado un
sistema u organización. A modo de ejemplo, terremotos, inundaciones, sabotajes, amenazas
de bombas, negligencias humanas, cortes eléctricos, fallas en sala de servidores, entre otras.
• Gestión del riesgo: Proceso definido para identificar, evaluar, manejar y controlar
acontecimientos o situaciones potenciales, con el fin de proporcionar un aseguramiento
razonable respecto al alcance de los objetivos de la organización. (Guía Técnica N°
53, CAIGG). Es un proceso iterativo que debe contribuir a la mejora organizacional a través
del perfeccionamiento de los procesos.
• Evaluación del riesgo: Comparar los niveles de riesgo encontrados contra los criterios de
riesgo preestablecidos (si es que han sido establecidos por la dirección) considerando
el balance entre los beneficios potenciales y resultados adversos. Ordenar y priorizar mediante
un ranking los riesgos analizados.
• Seguridad de la Información: es el proceso encargado de asegurar que los recursos de un
sistema de información sean utilizados de la manera que se decidió y que el acceso a
la información allí contenida, así como su modificación, sólo sea posible a las personas que
se encuentren acreditadas y dentro de los límites de su autorización, preservando la
Integridad, Confidencialidad y Disponibilidad.
• Proceso: Conjunto de actividades o eventos que se realizan o suceden (alternativa o
simultáneamente) con un fin determinado.
• Incidente de Seguridad: Se define incidente como cualquier evento o situación que
comprometa de manera importante la disponibilidad, integridad y confidencialidad de la
información, junto con la plataforma tecnológica, proceso y aplicativos que permitan acceder
a ésta en forma oportuna. En general, es una violación de una política, estándar o
procedimiento de seguridad, que no permite prestar un servicio computacional.
• Como ejemplos de incidentes de seguridad podemos enumerar:
• Acceso no autorizado.
• Robo de contraseñas.
• Robo de información.
• Denegación de servicio.
• Robo y extravío de un medio de procesamiento de la información.
• Confidencialidad: Es la propiedad de un documento o mensaje, que está autorizado para ser
leído o entendido, únicamente, por algunas personas o entidades.
• Integridad: Se entiende por la corrección y completitud de los datos o de la información
manejada.
• Disponibilidad: es la certeza de que sólo los usuarios autorizados tienen acceso a la
información y a los activos asociados cuando es requerido.
• Medios de procesamiento de información: Los dispositivos internos y/o externos que
tenga la capacidad de procesar información, almacenarla y que se encuentren
disponibles para ser manipulados por el usuario.
Como ejemplos de medios de procesamiento de información, podemos enumerar:
• Servidores de aplicaciones: de correo, de impresión, aplicaciones web.
• Servidores de Almacenamientos.
• Computadores personales.
• Discos duros externos.
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
13
• Pendrives.
• Teléfonos móviles.
• Operaciones informáticas: Todas las actividades que estén relacionadas con un sistema
informático y/o procesamiento de la información.
Como ejemplos de operaciones informáticas podemos enumerar:
• Configuración de servidores y estaciones de trabajo.
• Configuración de equipos de comunicación que conectan a los usuarios a la red.
• Creación y/o retiro de acceso a los medios de procesamiento de información.
• Mantención de base de datos de los sistemas.
• Respaldo de la información de servidores y estaciones de trabajo.
• Terceras partes: Persona u organismo reconocido como independiente de las partes
implicadas en lo que se refiere a la materia en cuestión. Para este procedimiento, se
entenderá como terceras partes a:
• Proveedores de servicios y de red.
• Proveedores de productos de software y servicios de información.
• Outsourcing de instalaciones y operaciones.
• Servicios de asesoría de seguridad.
• Auditores externos.
• Estación de Trabajo: En una red de computadores, una estación de trabajo es un
computador que facilita a los usuarios el acceso a los servidores y periféricos de la red.
• Programa malicioso: Es un tipo de software que tiene como objetivo infiltrarse o dañar una
computadora sin el consentimiento de su propietario.
• Virus: Se usa para designar un programa que, al ejecutarse, se propaga infectando otros
softwares ejecutables dentro de la misma computadora.
• Malware: El término malware es muy utilizado para referirse a una variedad de software
hostil, intrusivo o molesto.
El término malware incluye virus, gusanos, troyanos, la mayor parte de los rootkits,
scareware, spyware, adware intrusivo, crimeware y otros softwares maliciosos e indeseables.
• SPAM: Se llama spam al correo basura o mensaje basura a los mensajes no solicitados, no
deseados o de remitente no conocido (correo anónimo, habitualmente de tipo publicitario,
generalmente enviados en grandes cantidades (incluso masivas) que perjudican de alguna o
varias maneras al receptor). La acción de enviar dichos mensajes se denomina spamming.
ANOTESE COMUNIQUESE Y ARCHIVESE
RODRIGO UBILLA MACKENNEY
SUBSECRETARIO DE INTERIOR
Política Preliminar de Control de Acceso 2012 – Intendencia Regional de Atacama
14