Objetivo
Establecer un procedimiento claro y eficiente para la identificación, evaluación, respuesta y resolución de incidentes de seguridad de la información que puedan afectar la confidencialidad, integridad o disponibilidad de los datos de éxodo bpo y sus clientes.
Alcance
Esta política aplica a todos los colaboradores, contratistas y proveedores de éxodo bpo que tengan acceso a sistemas de información, datos de clientes o infraestructura tecnológica de la empresa.
Definición de incidente
Se considera incidente de seguridad de la información cualquier evento que comprometa o pueda comprometer:
- La confidencialidad de datos personales, comerciales o de clientes.
- La integridad de la información procesada o almacenada.
- La disponibilidad de los sistemas o servicios operativos.
Ejemplos: accesos no autorizados, pérdida o robo de dispositivos, malware, phishing, errores humanos que expongan datos, fallos de seguridad en sistemas.
Procedimiento de gestión
- Detección y reporte: cualquier persona que detecte o sospeche de un incidente debe reportarlo inmediatamente al área de seguridad a través de hola@exodobpo.com o al canal interno designado.
- Clasificación y evaluación: el equipo de seguridad clasifica el incidente según su severidad (baja, media, alta, crítica) y evalúa el impacto potencial.
- Contención: se implementan medidas inmediatas para limitar el alcance del incidente y evitar su propagación.
- Investigación: se determina la causa raíz, el alcance del impacto y los datos o sistemas afectados.
- Notificación: se notifica al cliente afectado sin demoras injustificadas. Si corresponde, se notifica a la autoridad de control (DNPDP) conforme a la legislación vigente.
- Remediación: se implementan las acciones correctivas necesarias para resolver el incidente y prevenir su recurrencia.
- Documentación: cada incidente queda documentado con su análisis, acciones tomadas, lecciones aprendidas y mejoras implementadas.
Tiempos de respuesta
- Crítico: respuesta inmediata (menos de 1 hora). Notificación al cliente dentro de las 4 horas.
- Alto: respuesta dentro de las 2 horas. Notificación al cliente dentro de las 8 horas.
- Medio: respuesta dentro de las 4 horas. Notificación al cliente dentro de las 24 horas.
- Bajo: respuesta dentro de las 24 horas. Reporte en el informe periódico.
Mejora continua
Cada incidente se analiza en una revisión post-incidente para identificar oportunidades de mejora en procesos, tecnología o capacitación. Los hallazgos se incorporan al plan de seguridad de la información.
Contacto
Para reportar un incidente de seguridad: hola@exodobpo.com