{"id":43116,"date":"2022-08-08T11:53:00","date_gmt":"2022-08-08T11:53:00","guid":{"rendered":"https:\/\/sinchcomdev.local\/legal\/politica-de-seguridad-de-la-informacion\/"},"modified":"2024-10-11T11:25:05","modified_gmt":"2024-10-11T11:25:05","slug":"politica-de-seguridad-de-la-informacion","status":"publish","type":"legal","link":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/","title":{"rendered":"Pol\u00edtica de Seguridad de la Informaci\u00f3n"},"content":{"rendered":"\n<h2 class=\"wp-block-heading\">1. Objetivo<\/h2>\n\n\n\n<p>Establecer las reglas para que el ambiente de todas las empresas proveedoras, prestadoras de servicios, intermediarias y\/o socios, relacionadas a seguridad de la informaci\u00f3n contratada (\u201cCONTRATADA\u201d o \u201cCONTRATADAS\u201d) por Sinch Latam (\u201cCONTRATANTE\u201d), tengan el m\u00ednimo de requisitos de Seguridad de la Informaci\u00f3n, con el fin de mitigar los riesgos que pudieran ocasionarsea la CONTRATANTE.<\/p>\n\n\n\n<p>De esta forma, donde exista la palabra \u201cdebe\u201d el requisito es obligatorio, debiendo ser implementado por el proveedor, y cuando fuera usada la palabra \u201crecomendamos\u201d el requisito es opcional, apenas una buena pr\u00e1ctica.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">2. \u00c1reas involucradas<\/h2>\n\n\n\n<p>Esta gu\u00eda se aplica a todas las empresas CONTRATADAS, Proveedores y\/o Socios, que presten el servicio a Sinch Latam, cuyas actividades abordan acceso a datos de colaboradores, operacionales, clientes o financieros de la CONTRATANTE.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">3. Definiciones<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Pol\u00edtica de Seguridad de la Informaci\u00f3n (PSI):<\/strong> Es el documento oficial de la CONTRATANTE el cual origin\u00f3 esta versi\u00f3n enfocada a las empresas CONTRATADAS.<\/li>\n\n\n\n<li><strong>Mesa Limpia:<\/strong> No tener ninguna informaci\u00f3n confidencial o interna en un lugar desprotegido de la mesa de trabajo.<\/li>\n\n\n\n<li><strong>Pantalla Limpia:<\/strong> No tener ninguna informaci\u00f3n confidencial o interna en pantallas de bloqueo o disponibles a trav\u00e9s de computadoras desbloqueadas.<\/li>\n\n\n\n<li><strong>Need to Know:<\/strong> Modelo de intercambio de informaci\u00f3n donde, adem\u00e1s de tener permisos para el acceso a la informaci\u00f3n, el solicitantetambi\u00e9n debe, tener necesidad explicita de obtener aquella informaci\u00f3n.<\/li>\n\n\n\n<li><strong>Least Privilege: <\/strong>Granularidad de permisos, que permite al solicitante tenga permisos de acceso, apenas para las actividades que realiza.<\/li>\n\n\n\n<li><strong>NBR ISO\/IEC 27001:2013:<\/strong> Conjunto de normas y directrices, para Sistemas de Gesti\u00f3n de Seguridad de la Informaci\u00f3n.<\/li>\n\n\n\n<li><strong>NBR ISO\/IEC 27002:2013: <\/strong>C\u00f3digo de Pr\u00e1ctica para la Gesti\u00f3n de la Seguridad de la Informaci\u00f3n.<\/li>\n\n\n\n<li><strong>Virtual Private Network (VPN):<\/strong> Red Virtual Privada, dise\u00f1ada para brindar mayor seguridad para acceder a redes privadas.<\/li>\n\n\n\n<li><strong>Code Review: <\/strong>Proceso de revisi\u00f3n de c\u00f3digo, enfocado a garantizar calidad y seguridad, realizado por desarrolladores del mismo equipo.<\/li>\n\n\n\n<li><strong>HASH:<\/strong> Funci\u00f3n asim\u00e9trica, que permite generar un identificador \u00fanico para cierta entrada, donde no es posible obtener la entrada del identificador.<\/li>\n\n\n\n<li><strong>Pentest: <\/strong>Actividades de seguridad ofensiva, que buscan simular ataques de una persona maliciosa.<\/li>\n\n\n\n<li><strong>Endpoint: <\/strong>Equipos de uso del colaborador, como Desktops y Notebooks.<\/li>\n\n\n\n<li><strong>Transport Layer Security (TLS):<\/strong> Es un protocolo de seguridad dise\u00f1ado para proveer seguridad en las comunicaciones sobre una rede de computadoras, servidores y navegadores WEB.<\/li>\n\n\n\n<li><strong>Firewall:<\/strong> Es un dispositivo deseguridad de la red que monitorea el tr\u00e1ficode red de entrada y salida y decide permitir o bloquear tr\u00e1fico espec\u00edfico de acuerdo con un conjunto de reglas definidas de seguridad.<\/li>\n\n\n\n<li><strong>Intrusion Detection System (IDS):<\/strong> Es un software que automatiza el proceso de detecci\u00f3n de intrusos.<\/li>\n\n\n\n<li><strong>Intrusion Prevention System (IPS): <\/strong>Es un software de prevenci\u00f3n de intrusos, y tiene la capacidad de impedir posibles incidentes.<\/li>\n\n\n\n<li><strong>Proxy: <\/strong>Es un servidor (un sistema de computadora o una aplicaci\u00f3n) que funge como un intermediario para requisiciones de clientes solicitando recursos de otros servidores.<\/li>\n\n\n\n<li><strong>OWASP Top 10:<\/strong> Es un documento de concientizaci\u00f3n para la seguridad de las aplicaciones web.<\/li>\n\n\n\n<li><strong>LGPD: <\/strong>Ley General de Protecci\u00f3n de Datos Personales o legislaci\u00f3n Brasile\u00f1a de privacidad de datos personales.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">4. Responsabilidades<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">4.1. Contratada<\/h3>\n\n\n\n<p><strong>4.1.1. <\/strong>Atender todas las pautas descritas en este documento, almacenarlo en un lugar de com\u00fan acceso para todos los colaboradores involucrados en los productos o servicios prove\u00eddos para Sinch Latam.<\/p>\n\n\n\n<p><strong>4.1.2. <\/strong>Dar evidencia del cumplimiento de todas las pautas descritas en este documento, aplicables a su negocio.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">5. Directrizes<\/h2>\n\n\n\n<p>Recomendamos que la CONTRATADA tenga una Pol\u00edtica de Seguridad de la Informaci\u00f3n o un documento equivalente, resaltando la importancia de la Seguridad de la Informaci\u00f3n para la empresa. El documento necesita abordar los siguientes temas:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Papeles y responsabilidades de cada equipo;<\/li>\n\n\n\n<li>Clasificaci\u00f3n de la informaci\u00f3n dentro de la empresa;<\/li>\n\n\n\n<li>Descarte de informaci\u00f3n f\u00edsica y l\u00f3gica;<\/li>\n\n\n\n<li>Uso de criptograf\u00eda;<\/li>\n\n\n\n<li>Monitoreo de ambiente f\u00edsico y l\u00f3gico;<\/li>\n\n\n\n<li>Gesti\u00f3n de accesos;<\/li>\n\n\n\n<li>Creaci\u00f3n de contrase\u00f1as;<\/li>\n\n\n\n<li>Gesti\u00f3n de actualizaciones;<\/li>\n\n\n\n<li>Gesti\u00f3n de vulnerabilidades y pentest;<\/li>\n\n\n\n<li>Protecci\u00f3n endpoint;<\/li>\n\n\n\n<li>Backup y restore;<\/li>\n\n\n\n<li>Respuesta a incidentes de seguridad;<\/li>\n\n\n\n<li>Desarrollo seguro;<\/li>\n\n\n\n<li>Concientizaci\u00f3n;<\/li>\n\n\n\n<li>Manejo de Logs;<\/li>\n\n\n\n<li>Segregaci\u00f3n de ambientes;<\/li>\n\n\n\n<li>Plan de contigencia.<\/li>\n<\/ul>\n\n\n\n<h3 class=\"wp-block-heading\">5.1. Papeles y responsabilidad de cada equipo<\/h3>\n\n\n\n<p>La CONTRATADA tiene el papel y la responsabilidad de cada \u00e1rea con la seguridad de la informaci\u00f3n. Este documento debe incluir la participaci\u00f3n de la alta directoria y tener claro su involucramiento y compromiso con las actividades relacionadas a Seguridad de la Informaci\u00f3n.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5.2. Classificaci\u00f3n de la informaci\u00f3n dentro de la empresa<\/h3>\n\n\n\n<p>La CONTRATADA debe documentar explicando como la informaci\u00f3n de la CONTRATANTE debe ser clasificada, cuales tipos de clasificaci\u00f3n de la informaci\u00f3n y cuando usar cada clasificaci\u00f3n, siendo que, la informaci\u00f3n compartida entre Sinch Latam y sus socios, necesitan tener una clasificaci\u00f3n como m\u00ednimo <strong>confidencial<\/strong>.<\/p>\n\n\n\n<p>La CONTRATADA debe documentar como es tratada la informaci\u00f3n dentro de la empresa con la informaci\u00f3n de la CONTRATANTE.<\/p>\n\n\n\n<p>Ese documento necesita abordar el manejo de la informaci\u00f3n f\u00edsica y l\u00f3gica, contener explicaciones equivalentes a:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>C\u00f3mo es realizado el manejo de la informaci\u00f3n;<\/li>\n\n\n\n<li>C\u00f3mo y d\u00f3nde la informaci\u00f3n es almacenada;<\/li>\n\n\n\n<li>C\u00f3mo se descartala informaci\u00f3n;<\/li>\n\n\n\n<li>Tiempo y ciclo devida de la informaci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p>Siguen algunos puntos que lo \u00edtems citados arriba, deben seguir, siempre que sea posible:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Como es realizado el acceso a la informaci\u00f3n confidencial dentro de la CONTRATADA, siendo necesario, explicar el flujo para que alguien pueda solicitar accesoa la misma y como se eval\u00faa el otorgamiento de ese acceso.<\/li>\n\n\n\n<li>La informaci\u00f3nconsiderada como <strong>Confidencial<\/strong>, debe ser almacenada en unlugar seguro conacceso controlado y registro de accesos pasivo, sean ellos f\u00edsicos o l\u00f3gicos, permitiendo que exista un rastreo de cualquier acci\u00f3n realizada en los archivos, desde su alteraci\u00f3n, copia o exclusi\u00f3n.<\/li>\n\n\n\n<li>Explicar cu\u00e1les el procedimiento para el descarte de la informaci\u00f3n f\u00edsica, como documentos f\u00edsicos, pendrives, cintas magn\u00e9ticas, HDs, CD\/DVD y como realizar el descarte de manera correcta, dificultando al m\u00e1ximo la recuperaci\u00f3n de los datos. Adem\u00e1s de eso, ese documento necesita dejar en claro la importancia de realizar el descarte de la manera correcta y el impacto que puede causar el no realizar ese descarte en la CONTRATADA;<\/li>\n\n\n\n<li>La CONTRATADA debe tener un procedimiento documentado informando el tiempo de vida \u00fatil de la informaci\u00f3n l\u00f3gica y, como su exclusi\u00f3n de manera adecuada y de forma irreversible, siguiendo las recomendaciones de la LGPD.<\/li>\n<\/ol>\n\n\n\n<p>La CONTRATADA debe implementar una Pol\u00edtica de Privacidad de Datos, abordando los principales aspectos de la LGPD (Ley General de Protecci\u00f3n de Datos), incluyendo los mecanismos de protecci\u00f3n de datos y la Ley de Privacidad del pa\u00eds (GDPR, PDPA, etc..) en caso almacene los datos fuera de Brasil.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">5.3. Monitoreo de ambiente fisico y l\u00f3gico<\/h3>\n\n\n\n<h4 class=\"wp-block-heading\">5.3.1. Seguridad fisica<\/h4>\n\n\n\n<p>La CONTRATADA debe documentar el per\u00edmetro de seguridad f\u00edsica existente, considerando la clasificaci\u00f3n de las \u00e1reas y\/o sectores, informando:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Los niveles de acceso escogidos para cada \u00e1rea;<\/li>\n\n\n\n<li>Qui\u00e9n debe tener acceso a cada sector;<\/li>\n\n\n\n<li>C\u00f3mo debe ser realizado el pedido de acceso;<\/li>\n\n\n\n<li>Qui\u00e9nesson los responsables por las aprobaciones;<\/li>\n\n\n\n<li>Cu\u00e1les son los controles de accesos f\u00edsicos existentes, que puedan impedir el acceso no autorizado a las \u00e1reas demarcadas como cr\u00edticas;<\/li>\n\n\n\n<li>Tener rastreabilidad de los accesos.<\/li>\n<\/ul>\n\n\n\n<h4 class=\"wp-block-heading\">5.3.2. Seguridad l\u00f3gica<\/h4>\n\n\n\n<p>La CONTRATADA debe hacer uso de criptograf\u00eda en los siguientes escenarios:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Almacenamiento;\n<ul class=\"wp-block-list\">\n<li>Desktops;<\/li>\n\n\n\n<li>Servidores;<\/li>\n\n\n\n<li>Laptops;<\/li>\n\n\n\n<li>Storages;<\/li>\n\n\n\n<li>Banco de datos.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>Para situaciones donde no sea posible realizar el uso de criptograf\u00eda, favor de considerar el uso de <strong>HASH<\/strong>.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Transporte de datos;\n<ul class=\"wp-block-list\">\n<li>Comunicaci\u00f3n entre aplicaciones;<\/li>\n\n\n\n<li>Comunicaci\u00f3n entre dispositivos de red.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>Para comunicaci\u00f3n entre las aplicaciones, considerar siempre el uso de <strong>TLS 1.2 <\/strong>o superior.<\/p>\n\n\n\n<p>Realizar el monitoreo de la red de datos a trav\u00e9s de dispositivos como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Firewalls;<\/li>\n\n\n\n<li>IDS\/IPS;<\/li>\n\n\n\n<li>Web Application Firewall;<\/li>\n\n\n\n<li>Proxy.<\/li>\n<\/ul>\n\n\n\n<p>Garantizar que esos equipos est\u00e9n generando logs y emitiendo alertas cuando sea necesario. Debe ser realizadala revisi\u00f3n peri\u00f3dica de los logs. Recomendamos que se registre y comunique los incidentes que sean alertados por esos dispositivos, as\u00ed como, las medidas tomadas para evitar su reincidencia.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.3.3. Uso de criptografia<strong><\/strong><\/h4>\n\n\n\n<p>La CONTRATADA debe tener documentado como la criptograf\u00eda debe ser usada sobre los datos de la CONTRATANTE y, ejemplificar su uso en determinados dispositivos, como Notebooks y aplicaciones. As\u00ed como, tambi\u00e9n debe ser utilizada en discos de almacenamiento.<\/p>\n\n\n\n<p>El documento debe contener recomendaciones sobre cu\u00e1les son los tipos de algoritmos criptogr\u00e1ficos que deben usarse y qu\u00e9 hacer en los casos donde no se aplica la criptograf\u00eda o su uso se vuelva inviable.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.4. Gesti\u00f3n de activos<\/h4>\n\n\n\n<p>La CONTRATADA debe realizar la gesti\u00f3n de los activos de la empresa a trav\u00e9s de una planilla o un sistema automatizado, siempre que contengan la siguiente informaci\u00f3n:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Propietario;<\/li>\n\n\n\n<li>Tipo;<\/li>\n\n\n\n<li>Localizaci\u00f3n;<\/li>\n\n\n\n<li>N\u00famero de control;<\/li>\n\n\n\n<li>Riesgo.<\/li>\n<\/ul>\n\n\n\n<p>Importante que exista tambi\u00e9n, el registro de los cambios efectuados cuando el activo contenga informaci\u00f3n de la CONTRATANTE. Tener un documento informando cu\u00e1l es el proceso para solicitar un activo dentro de la CONTRATADA.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.5. Gest\u00e3o de acceso<\/h4>\n\n\n\n<p>La CONTRATADA debe realizar la gesti\u00f3n de los accesos l\u00f3gicos y f\u00edsicos, haciendo uso de los principios de <strong>Need to Know <\/strong>y <strong>Least Privilege<\/strong> para evitar que personas no autoriza as tengan accesos a informaci\u00f3n confidencial.<\/p>\n\n\n\n<p>Es necesario garantizar que las cuentas de acceso tengan un tiempo m\u00e1ximo de 90 d\u00edas para inactivarse en caso de no usarlas. Tambi\u00e9n es necesario tener identificado y segmentado las cuentas que son usadas solamente para servicios, evitando que estas sean utilizadas para realizar login. Es importante que todos los accesos sean registrados y que los usuarios cuenten con IDs \u00fanicos, con el objetivo de facilitar su identificaci\u00f3n.<\/p>\n\n\n\n<p>La revisi\u00f3n de los accesos debe ser realizada como m\u00ednimo anualmente, para as\u00ed garantizar que ning\u00fan colaborador que fue desvinculado o que cambi\u00f3 de funci\u00f3n contin\u00fae con accesos indebidos a alg\u00fan sistema y\/o funciones. Cuando un colaborador sea desvinculado, se le debe retirar sus accesos inmediatamente o en un periodo corto de tiempo.<\/p>\n\n\n\n<p>El acceso remoto a los recursos de la CONTRATADAdebe ser preferentemente a trav\u00e9s de VPN o de la forma que la CONTRATADA considere sea mejor, desde que ese caso sea aprobado por un gestor y tenga los accesos monitoreados.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.6. Respuesta a incidentes de seguridad<\/h4>\n\n\n\n<p>La CONTRATADA debe documentar el procedimiento informando como son realizados los registros y tratamientos de los incidentes relacionados a seguridad de la informaci\u00f3n, que involucren o no a la CONTRATANTE.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Para el registro de los incidentes es importante considerar:\n<ul class=\"wp-block-list\">\n<li>Tipo de incidente;<\/li>\n\n\n\n<li>Pilar de la seguridad que fue afectado;<\/li>\n\n\n\n<li>La fecha del incidente;<\/li>\n\n\n\n<li>Cu\u00e1l tipo deactivo fue afectado.<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li>Para el tratamiento del incidente es importante considerar:\n<ul class=\"wp-block-list\">\n<li>Proceso de comunicaci\u00f3n con Sinch Latam;<\/li>\n\n\n\n<li>Metodolog\u00eda utilizada para el an\u00e1lisis;<\/li>\n\n\n\n<li>Sielincidente esrecurrente;<\/li>\n\n\n\n<li>Lecciones aprendidas.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>La CONTRATADA debe realizar un an\u00e1lisis peri\u00f3dico de los incidentes informados, para que se tenga conocimiento de si las medidas de prevenci\u00f3n est\u00e1n siendo eficaces.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.7. Backup e restore<\/h4>\n\n\n\n<p>Tener un documento con los procedimientos adecuados para la realizaci\u00f3n del backup de los datos, este debe contener:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Periodicidad;<\/li>\n\n\n\n<li>Tipo de backup;<\/li>\n\n\n\n<li>Datos a ser copiados;<\/li>\n\n\n\n<li>Local de almacenamiento;<\/li>\n\n\n\n<li>Tiempode almacenamiento.<\/li>\n<\/ul>\n\n\n\n<p>La CONTRADADA tambi\u00e9n debe informar, cuales de los tipos de datos deben ser parte delas copias y sus respectivos due\u00f1os. Este tambi\u00e9n debe tener, un documento conlos procedimientos adecuados para la realizaci\u00f3n de la restauraci\u00f3n de los datos, este debe contener:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Responsable por la ejecuci\u00f3n;<\/li>\n\n\n\n<li>Periodicidad de las pruebas de restauraci\u00f3n.<\/li>\n<\/ul>\n\n\n\n<p>Documentar todas las pruebas realizadas y hacer el registro de incidentes siempre que hubiera un resultado fuera de los esperado. Para realizaci\u00f3n de las pruebas, los backups deben ser escogidos de manera aleatoria.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.8. Gesti\u00f3n de actualizaciones<\/h4>\n\n\n\n<p>Es importante que la CONTRATANTE haga la gesti\u00f3n de actualizaciones pertinentes a los sistemas que utiliza, donde debe tener una m\u00e1xima atenci\u00f3n a las actualizaciones que sean consideradas cr\u00edticas y para los parches de seguridad. Los registros deben mantenerse, acompa\u00f1\u00e1ndolos a trav\u00e9sde listas de correo, foroso boletines del fabricante.<\/p>\n\n\n\n<p>Se debe tener un procedimiento documentado de c\u00f3mo aplicar esas actualizaciones\/parches, de manera que no vengan a impactar en el negocio.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.9. Gesti\u00f3n de vulnerabilidades y pentest<\/h4>\n\n\n\n<p>La CONTRATADA debe definir un procedimiento documentado, donde existan las acciones necesarias para la realizaci\u00f3n de la gesti\u00f3n de vulnerabilidades y pentest, esta debe contener:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Periodicidad de los scans de vulnerabilidad;<\/li>\n\n\n\n<li>Sistemas queser\u00e1n verificados por el escaneo de vulnerabilidades;<\/li>\n\n\n\n<li>SLA para correcci\u00f3n de las vulnerabilidades y fallas encontradas, dando atenci\u00f3n a las que sean consideradas m\u00e1s cr\u00edticas, de acuerdo conla clasificaci\u00f3n de los riesgos;<\/li>\n\n\n\n<li>Periodicidad de los Pentests;<\/li>\n\n\n\n<li>C\u00f3moson clasificadaslas fallas encontradas.<\/li>\n<\/ul>\n\n\n\n<p>El documento todav\u00eda debe informar c\u00f3mo son clasificados los riesgos, los impactos y llevar en cuenta la probabilidad de exploraci\u00f3nde una falla encontrada. Importante contener la forma en como los puntos encontrados son transmitidos a los equipos responsables.<\/p>\n\n\n\n<p>La CONTRATANTE se da el derecho de realizar Pentest y scaneos de vulnerabilidad en la infraestructura de la CONTRATADA, as\u00ed como, en su producto y servicios prestados a la CONTRATANTE. El proceso ser\u00e1 previamente alineado y la CONTRATADA recibir\u00e1 uninforme final que contendr\u00e1 status de an\u00e1lisis, as\u00ed como, plazos para la correcci\u00f3n de posibles vulnerabilidades identificadas.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.10. Conscientizaci\u00f3n de colaboradores<\/h4>\n\n\n\n<p>La CONTRATADA debe realizar campa\u00f1as peri\u00f3dicas de concientizaci\u00f3n de colaboradores, abordando temas del sistema de gesti\u00f3n de la seguridad de la informaci\u00f3n, tales como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Ingenier\u00eda social:<\/strong><\/li>\n<\/ul>\n\n\n\n<p>Abordando los principales vectores de ataques que son usados hoy, que son mensajes por SMS\/WhatsApp, e-mails falsos, llamadas haci\u00e9ndose pasar por otra persona, pendrives o dispositivos de medios removibles que puedes se \u201cencontrados\u201d, etc.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Contrase\u00f1as seguras<\/strong><\/li>\n<\/ul>\n\n\n\n<p>La importancia de usar un gestorde contrase\u00f1as, implementar un segundo factor de autenticaci\u00f3n o intentar usar como m\u00ednimo 8 caracteres para componer la contrase\u00f1a y uso de espacios, n\u00fameros, caracteres especiales y letras may\u00fasculas y min\u00fasculas.<\/p>\n\n\n\n<p>En el caso de los aplicativos que hacen la gesti\u00f3n autom\u00e1tica de contrase\u00f1a, tenemos algunos conocidos como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\n<ul class=\"wp-block-list\">\n<li>Dashlane<\/li>\n\n\n\n<li>1Password<\/li>\n\n\n\n<li>LastPass<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>Como segundo factor de autenticaci\u00f3n, recomendamos que sea utilizado un aplicativo y no el env\u00edo de mensajes para celular. Existen algunos aplicativos como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\n<ul class=\"wp-block-list\">\n<li>Authy<\/li>\n\n\n\n<li>Google Authenticator<\/li>\n\n\n\n<li>Microsoft authenticator<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>Algunos ejemplos de contrase\u00f1as seguras que pueden ser creadas sin ajuda de un aplicativo, son las contrase\u00f1as creadas a partir de frases, letras de m\u00fasica o cosas relacionadas a las actividades comunes, como por ejemplo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>\n<ul class=\"wp-block-list\">\n<li>Que dia lindo -Que D1a lind0<\/li>\n\n\n\n<li>Va llover? -v4 lloV3r?<\/li>\n<\/ul>\n<\/li>\n\n\n\n<li><strong>Mesa y pantalla limpia:<\/strong><\/li>\n<\/ul>\n\n\n\n<p>No dejar documentos importantes sobre la mesa, principalmente prestando atenci\u00f3n a los que son clasificados como confidencial y no sobrecargar el \u00e1rea de trabajo con documentos o \u00edconos que puedan facilitar la acci\u00f3n de un ataque de ingenier\u00eda social.<\/p>\n\n\n\n<p>La CONTRATADA debe aplicar entrenamientos por lo menos una vez por a\u00f1o y con un foco en la seguridad de la informaci\u00f3n como un todo, informando principalmente los objetivos y la importancia de tener un ambiente seguro.<\/p>\n\n\n\n<p>Es importante tener el registro de las campa\u00f1as y de sus eficacias.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.11. Gesti\u00f3n y almacenamiento de logs<\/h4>\n\n\n\n<p>La CONTRATADA debe hace la gesti\u00f3n de los logs y datos de auditor\u00edade los sistemas considerados cr\u00edticos y almacenarlos en un lugar adecuado, que pueda garantir su integridad, confidencialidad y disponibilidad.<\/p>\n\n\n\n<p>Todos los logs que sean generados por los sistemas\/activos que sean considerados cr\u00edticos para la CONTRATANTE, deben contener el m\u00e1ximo de detalles para facilitar su rastreabilidad.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.12. Segregaci\u00f3n de ambientes<\/h4>\n\n\n\n<p>La CONTRATADA debe realizar la segregaci\u00f3n de los ambientes como la intenci\u00f3n de mantener los datos de prueba, homologaci\u00f3n y producci\u00f3n, separados. La CONTRATADA debe garantizar que la informaci\u00f3n oficial de la CONTRATANTE contenida en el ambiente de producci\u00f3n no ser\u00e1 replicada en el ambiente de homologaci\u00f3n, evitando que personas no autorizadas tengan acceso a datos confidenciales.<\/p>\n\n\n\n<p>Tambi\u00e9n es importante, que todas las alteraciones sean realizadas en los ambientes de homologaci\u00f3n y pruebas, antes que vayan para el ambiente de producci\u00f3n, con el objetivo de minimizar los impactos que puedan ser generados por tales alteraciones.<\/p>\n\n\n\n<p>Mismo estando enambientes separados, todo tipo de alteraci\u00f3n que sea realizada, debe ser documentada.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.13. Desarrollo seguro<\/h4>\n\n\n\n<p>La CONTRATADA debe documentar las mejores pr\u00e1cticas a seguir para un desarrollo seguro, este debe contener:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Mejores pr\u00e1cticas recomendadas para cada lenguaje utilizado y la referencia de las recomendaciones:\n<ul class=\"wp-block-list\">\n<li>Periodicidad de Code Review;<\/li>\n\n\n\n<li>Cubrir los \u00edtems abordados por el reporte de OWASP TOP10;<\/li>\n\n\n\n<li>Cubrir la mayor\u00eda de los \u00edtems abordados en el reporte SANS 25.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>La CONTRATADA se debe comprometer a realizar y\/o indicar entrenamientos o workshops para los equipos de desarrollo, mostrando la importancia de mantener un c\u00f3digo seguro, mostrando las exposiciones recurrentes de datos que ocurren por falla en el proceso de desarrollo.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.14. Gesti\u00f3n de la cadena de suministro<\/h4>\n\n\n\n<p>La CONTRATADA debe documentar todos los proveedores que est\u00e1n directamente relacionados a los productos o servicios prove\u00eddos a la CONTRATANTE, y garantizar que los requisitos de seguridad de la informaci\u00f3n sean un requisito acordado con estos proveedores, para minimizar los riesgos de confidencialidad, disponibilidad e integridad de la informaci\u00f3n de la CONTRATANTE.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.15. Plan de contingencia<\/h4>\n\n\n\n<p>La CONTRATADA debe documentar un plan de contingencia, con el objetivo de garantizar la disponibilidad de los productos o servicios prove\u00eddos a la CONTRATANTE, describiendo los procedimientos a ser seguidos en caso de desastres, evitando o minimizando el impacto de estos incidentes. El documento debe contener:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Nombre de los servicios cr\u00edticos;<\/li>\n\n\n\n<li>Periodicidad de las pruebas de disponibilidad;<\/li>\n\n\n\n<li>C\u00f3mo son registradas las pruebas;<\/li>\n\n\n\n<li>Nombre de los integrantes del grupo de contingencia;<\/li>\n\n\n\n<li>Serie de acciones a ser tomadas en caso de desastres.<\/li>\n<\/ul>\n\n\n\n<p>Adem\u00e1s de eso, la CONTRATADA debe poner a disposici\u00f3n en lugaresde f\u00e1cil acceso y visibilidad, una lista con tel\u00e9fonos de autoridades y personas que deben ser accionadas en caso de que ocurra un incidente.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.16. Conformidad<\/h4>\n\n\n\n<p>La CONTRATADA debe identificar y garantizar la conformidad con los requisitos legales relacionados a los productosy servicios prove\u00eddos a la CONTRATANTE.<\/p>\n\n\n\n<h4 class=\"wp-block-heading\">5.17. Incidente de seguridad de la informaci\u00f3n<\/h4>\n\n\n\n<p>Sila CONTRATADA tiene conocimiento o sospecha de cualquier evento que viole las reglas de la Pol\u00edtica o coloque en riesgo la seguridad de la informaci\u00f3n de la compa\u00f1\u00eda, esta deber\u00e1 comunicar inmediatamente lo ocurrido para security-latam@sinch.com o security@sinch.com.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">6. Historial<\/h2>\n\n\n\n<p><strong>\u00daltima modificaci\u00f3n: 28 de marzo de 2022<\/strong><\/p>\n","protected":false},"author":6,"parent":0,"menu_order":314,"template":"","meta":{"_acf_changed":false,"footnotes":""},"legal_category":[396],"class_list":["post-43116","legal","type-legal","status-publish","hentry","legal_category-other-es"],"acf":[],"yoast_head":"<!-- This site is optimized with the Yoast SEO plugin v27.3 - https:\/\/yoast.com\/product\/yoast-seo-wordpress\/ -->\n<title>Pol\u00edtica de Seguridad de la Informaci\u00f3n - Sinch<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/\" \/>\n<meta property=\"og:locale\" content=\"es_ES\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Pol\u00edtica de Seguridad de la Informaci\u00f3n - Sinch\" \/>\n<meta property=\"og:description\" content=\"1. Objetivo Establecer las reglas para que el ambiente de todas las empresas proveedoras, prestadoras de servicios, intermediarias y\/o socios, relacionadas a seguridad de la informaci\u00f3n contratada (\u201cCONTRATADA\u201d o \u201cCONTRATADAS\u201d) por Sinch Latam (\u201cCONTRATANTE\u201d), tengan el m\u00ednimo de requisitos de Seguridad de la Informaci\u00f3n, con el fin de mitigar los riesgos que pudieran ocasionarsea la [&hellip;]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/\" \/>\n<meta property=\"og:site_name\" content=\"Sinch\" \/>\n<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/wearesinch\/\" \/>\n<meta property=\"article:modified_time\" content=\"2024-10-11T11:25:05+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/sinch.com\/wp-content\/uploads\/2026\/02\/SI-Powering-Trusted-Comms.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1200\" \/>\n\t<meta property=\"og:image:height\" content=\"668\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:site\" content=\"@WeAreSinch\" \/>\n<meta name=\"twitter:label1\" content=\"Tiempo de lectura\" \/>\n\t<meta name=\"twitter:data1\" content=\"13 minutos\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\\\/\\\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/legal\\\/politica-de-seguridad-de-la-informacion\\\/\",\"url\":\"https:\\\/\\\/sinch.com\\\/es\\\/legal\\\/politica-de-seguridad-de-la-informacion\\\/\",\"name\":\"Pol\u00edtica de Seguridad de la Informaci\u00f3n - Sinch\",\"isPartOf\":{\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/#website\"},\"datePublished\":\"2022-08-08T11:53:00+00:00\",\"dateModified\":\"2024-10-11T11:25:05+00:00\",\"breadcrumb\":{\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/legal\\\/politica-de-seguridad-de-la-informacion\\\/#breadcrumb\"},\"inLanguage\":\"es\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\\\/\\\/sinch.com\\\/es\\\/legal\\\/politica-de-seguridad-de-la-informacion\\\/\"]}]},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/legal\\\/politica-de-seguridad-de-la-informacion\\\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Home\",\"item\":\"https:\\\/\\\/sinch.com\\\/es\\\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Legal\",\"item\":\"https:\\\/\\\/sinch.com\\\/es\\\/legal\\\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Pol\u00edtica de Seguridad de la Informaci\u00f3n\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/#website\",\"url\":\"https:\\\/\\\/sinch.com\\\/es\\\/\",\"name\":\"Sinch\",\"description\":\"SMS Messaging, Voice, Email, Video &amp; Verification APIs | Sinch\",\"publisher\":{\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\\\/\\\/sinch.com\\\/es\\\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"es\"},{\"@type\":\"Organization\",\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/#organization\",\"name\":\"Sinch\",\"url\":\"https:\\\/\\\/sinch.com\\\/es\\\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"es\",\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/#\\\/schema\\\/logo\\\/image\\\/\",\"url\":\"https:\\\/\\\/sinch.com\\\/wp-content\\\/uploads\\\/2024\\\/09\\\/Thumbnail-Logo-Honey.png\",\"contentUrl\":\"https:\\\/\\\/sinch.com\\\/wp-content\\\/uploads\\\/2024\\\/09\\\/Thumbnail-Logo-Honey.png\",\"width\":800,\"height\":496,\"caption\":\"Sinch\"},\"image\":{\"@id\":\"https:\\\/\\\/sinch.com\\\/es\\\/#\\\/schema\\\/logo\\\/image\\\/\"},\"sameAs\":[\"https:\\\/\\\/www.facebook.com\\\/wearesinch\\\/\",\"https:\\\/\\\/x.com\\\/WeAreSinch\",\"https:\\\/\\\/www.linkedin.com\\\/company\\\/sinch\",\"https:\\\/\\\/www.youtube.com\\\/channel\\\/UCZZ2u_B2afTxA0v-xcgfsaw\",\"https:\\\/\\\/www.instagram.com\\\/wearesinch\\\/\"]}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"Pol\u00edtica de Seguridad de la Informaci\u00f3n - Sinch","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/","og_locale":"es_ES","og_type":"article","og_title":"Pol\u00edtica de Seguridad de la Informaci\u00f3n - Sinch","og_description":"1. Objetivo Establecer las reglas para que el ambiente de todas las empresas proveedoras, prestadoras de servicios, intermediarias y\/o socios, relacionadas a seguridad de la informaci\u00f3n contratada (\u201cCONTRATADA\u201d o \u201cCONTRATADAS\u201d) por Sinch Latam (\u201cCONTRATANTE\u201d), tengan el m\u00ednimo de requisitos de Seguridad de la Informaci\u00f3n, con el fin de mitigar los riesgos que pudieran ocasionarsea la [&hellip;]","og_url":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/","og_site_name":"Sinch","article_publisher":"https:\/\/www.facebook.com\/wearesinch\/","article_modified_time":"2024-10-11T11:25:05+00:00","og_image":[{"width":1200,"height":668,"url":"https:\/\/sinch.com\/wp-content\/uploads\/2026\/02\/SI-Powering-Trusted-Comms.png","type":"image\/png"}],"twitter_card":"summary_large_image","twitter_site":"@WeAreSinch","twitter_misc":{"Tiempo de lectura":"13 minutos"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/","url":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/","name":"Pol\u00edtica de Seguridad de la Informaci\u00f3n - Sinch","isPartOf":{"@id":"https:\/\/sinch.com\/es\/#website"},"datePublished":"2022-08-08T11:53:00+00:00","dateModified":"2024-10-11T11:25:05+00:00","breadcrumb":{"@id":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/#breadcrumb"},"inLanguage":"es","potentialAction":[{"@type":"ReadAction","target":["https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/"]}]},{"@type":"BreadcrumbList","@id":"https:\/\/sinch.com\/es\/legal\/politica-de-seguridad-de-la-informacion\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/sinch.com\/es\/"},{"@type":"ListItem","position":2,"name":"Legal","item":"https:\/\/sinch.com\/es\/legal\/"},{"@type":"ListItem","position":3,"name":"Pol\u00edtica de Seguridad de la Informaci\u00f3n"}]},{"@type":"WebSite","@id":"https:\/\/sinch.com\/es\/#website","url":"https:\/\/sinch.com\/es\/","name":"Sinch","description":"SMS Messaging, Voice, Email, Video &amp; Verification APIs | Sinch","publisher":{"@id":"https:\/\/sinch.com\/es\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/sinch.com\/es\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"es"},{"@type":"Organization","@id":"https:\/\/sinch.com\/es\/#organization","name":"Sinch","url":"https:\/\/sinch.com\/es\/","logo":{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/sinch.com\/es\/#\/schema\/logo\/image\/","url":"https:\/\/sinch.com\/wp-content\/uploads\/2024\/09\/Thumbnail-Logo-Honey.png","contentUrl":"https:\/\/sinch.com\/wp-content\/uploads\/2024\/09\/Thumbnail-Logo-Honey.png","width":800,"height":496,"caption":"Sinch"},"image":{"@id":"https:\/\/sinch.com\/es\/#\/schema\/logo\/image\/"},"sameAs":["https:\/\/www.facebook.com\/wearesinch\/","https:\/\/x.com\/WeAreSinch","https:\/\/www.linkedin.com\/company\/sinch","https:\/\/www.youtube.com\/channel\/UCZZ2u_B2afTxA0v-xcgfsaw","https:\/\/www.instagram.com\/wearesinch\/"]}]}},"_links":{"self":[{"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/legal\/43116","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/legal"}],"about":[{"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/types\/legal"}],"author":[{"embeddable":true,"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/users\/6"}],"version-history":[{"count":0,"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/legal\/43116\/revisions"}],"wp:attachment":[{"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/media?parent=43116"}],"wp:term":[{"taxonomy":"legal_category","embeddable":true,"href":"https:\/\/sinch.com\/es\/wp-json\/wp\/v2\/legal_category?post=43116"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}