Política de Seguridad de la Información

NEXFIN S.A.S. reconoce como parte integral de la Política de Seguridad de la Información, las políticas de mencionadas a continuación:

POLÍTICA 1. Organización de seguridad de la información

Todos los colaboradores de NEXFIN S.A.S. y los terceros que presten servicios a ésta, deben conocer sus funciones y responsabilidades asociadas con la seguridad de la información de acuerdo con el rol que desempeñan en la empresa mediante un comité de Seguridad de la Información.

POLÍTICA 2. Protección de la información

La información y los recursos informáticos del negocio son activos vitales y por lo tanto deben ser identificados, clasificados y protegidos, identificando, evaluando y mitigando los riesgos relacionados con su confidencialidad, integridad y disponibilidad de forma consistente con su valor para el negocio, a través de:

• Uso razonable de los activos de la empresa

• Responsables de la información

• Administración del riesgo en seguridad de la información

• Protección de información confidencial

• Validación de integridad de la información

• Destrucción segura de información

• Escritorio limpio y pantalla despejada

• Segregación de funciones

• Control de dispositivos de almacenamiento extraíble

POLÍTICA 3. Cumplimiento de regulaciones

NEXFIN S.A.S debe cumplir con las regulaciones nacionales de privacidad, seguridad de la información y propiedad intelectual mediante:

• Asignación de derechos de propiedad intelectual

• Uso de software e información sujeta a derechos de autor

• Restricción de uso de datos personales

POLÍTICA 4. Seguridad en el recurso humano

NEXFIN S.A.S debe velar por que los colaboradores conozcan y cumplan con sus responsabilidades en seguridad de la información desde su vinculación.

• Capacitación y creación de cultura en seguridad de la información

• Acuerdos de confidencialidad

• Requisitos de seguridad en contratos con terceros

POLÍTICA 5. Control de Acceso

Los privilegios de acceso de colaboradores o terceros, desde o hacia los recursos informáticos de NEXFIN S.A.S deben ser otorgados solo a los usuarios autorizados, concediendo lo mínimo requerido para el cumplimiento de sus responsabilidades con la empresa.

• Definición de perfiles de acceso, asignación y retiro de privilegios

• Revisión periódica de privilegios de acceso

• Identificación y autenticación de usuarios en recursos informáticos

• Uso personalizado del identificador de usuario

• Usuarios privilegiados y usuarios genéricos

• Acceso remoto

• Conexión segura de terceros a la red

• Acceso restringido a servicios de Internet

POLÍTICA 6. Plan de contingencia y continuidad

Todos los procesos críticos y sus recursos informáticos asociados, deben contar con un plan de contingencia y continuidad del negocio de tal forma que se garantice razonablemente su disponibilidad.

• Seguridad del plan de contingencia y continuidad

• Usuarios de contingencia

• Respaldo de información crítica

• Pruebas sobre el plan de contingencia y continuidad

POLÍTICA 7. Seguridad Física

Todas las instalaciones físicas donde se procesa o almacena información de NEXFIN S.A.S o de sus clientes, deben tener un nivel de seguridad acorde con su clasificación.

• Control de acceso y perímetro de las instalaciones

• Gestión de amenazas ambientales

• Manejo de áreas de carga y descarga

• Protección física de equipos de cómputo

• Seguridad en el cableado

• Protección contra fallos del suministro eléctrico

POLÍTICA 8. Seguridad en Redes y Telecomunicaciones

Se implementarán razonablemente los controles sobre la red de datos y los enlaces de telecomunicaciones que permitan limitar que los colaboradores solo utilicen aquellos servicios requeridos para el cumplimiento de sus responsabilidades.

• Segregación de redes y control de enrutamiento en la red

• Intercambio de información con terceros

• Uso de barreras de comunicaciones

• Seguridad en el correo electrónico

• Separación de ambientes de desarrollo, prueba y producción

POLÍTICA 9. Seguridad en Sistemas de Información

Durante las etapas de adquisición, desarrollo y mantenimiento de Sistemas de Información se deben incluir los parámetros, lineamientos y estándares definidos por seguridad de la información a través de:

• Especificación de requisitos de seguridad

• Control de cambios

• Venta o arrendamiento de software o Sistemas de Información

• Validación de datos de entrada en los sistemas de información

• Controles criptográficos en los sistemas

• Protección del código fuente

• Gestión de vulnerabilidades de los sistemas

• Respaldo de información

POLÍTICA 10. Gestión de Incidentes de Seguridad de la Información

Todo incidente o alerta de seguridad debe ser tratado de principio a fin, hasta su solución definitiva.

• Reporte de incidentes de seguridad de la información

• Reporte de debilidades de la seguridad de la información

• Recopilación de evidencias

• Valoración de impacto en incidentes de Seguridad de la información

ANEXO 1. TÉRMINOS Y DEFINICIONES

TERMINO	DEFINICIÓN
Acceso remoto	Acceso realizado por medio de redes de telecomunicaciones que puedan llegar a ser susceptibles a interceptación de información. Algunos ejemplos de este tipo de redes son: Internet, enlaces de datos dedicados no cifrados, redes inalámbricas, redes celulares de datos.
Colaboradores	Personas que prestan sus servicios a NEXFIN S.A.S. mediante vinculación laboral directa, temporal, o mediante la modalidad de Outsourcing de personal.
Incidentes de Seguridad	Evento no deseado que compromete la Confidencialidad, Integridad o Disponibilidad de la información.
Información	Conjunto de datos que tiene un significado, propósito y utilidad.
Perfil	Conjunto de privilegios de acceso a la información definidos para cumplir con ciertas funciones o responsabilidades en la empresa.
Recursos informáticos	Concepto utilizado para enmarcar los siguientes recursos tecnológicos: servidores, equipos de cómputo, dispositivos móviles, dispositivos de infraestructura, aplicaciones y sistemas de información.

MANUAL DE POLÍTICAS DE SEGURIDAD DE LA INFORMACION NEXFIN S.A.S.

Objetivo:

Determinar los parámetros de seguridad de los recursos de información que maneja NEXFIN S.A.S. para identificar y reducir el riesgo de ser utilizados con fines no autorizados.

Alcance:

Estas políticas son aplicables a toda la información que maneja la compañía, ya sea guardada, procesada, transmitida o impresa utilizando cualquier sistema o medio de almacenamiento; por lo tanto, su cumplimiento es de estricta obligatoriedad para todo el personal de la Compañía y todos aquellos que directa o indirectamente usan o dan soporte a los servicios o información de NEXFIN S.A.S.

Esta comunicación es aplicable para el personal Interno es decir todos los funcionarios de la Compañía. Y Externos como proveedores, Intermediarios y usuarios de NEXFIN S.A.S. que manejan información.

Clasificación de la Información

Pública

Es la información que no maneja ningún tipo de confidencialidad, y a la cual puede tener acceso cualquier persona que tenga ó no vínculos con la Compañía. Clasifican a esta categoría la información referente a: Filosofía Corporativa, Productos, Servicios, Estados Financieros, marco normativo aplicable a la Compañía.

Interna

Es la información que es de uso es interno, y se debe mantener en reserva, cuya revelación puede perjudicar los intereses generales o particulares de la Compañía.

Estratégica

La información es confidencial, cuando a ella sólo puede acceder un grupo limitado de personas, y cuando su divulgación puede llevar a una violación de la privacidad de los clientes o estrategias de NEXFIN S.A.S. en esta clasificación se encuentra la Información de los clientes y sus productos planes estratégicos, desarrollo de nuevos productos, nómina de la empresa, estados de cuentas, reportes financieros y contables.

Todo el personal que ingrese a NEXFIN S.A.S., deberá participar en la inducción sobre las Políticas de Seguridad de la Información, en donde se enfatiza en crear conciencia en el empleado de lo que puede pasar si no cumple con los parámetros establecidos.

Identificación

Todas las personas vinculadas por contrato laboral con NEXFIN S.A.S., tendrá un expediente en donde reposa la información del empleado

Internet

Todos los funcionarios de la Compañía tienen acceso a Internet para desempeñar su labor, es responsabilidad de la Gerencia General dar acceso a los sitios de navegación de acuerdo al análisis de riesgos que se realice. El acceso a cuentas de correo electrónico externo, deberá solicitarse por escrito a la Gerencia General señalando los motivos por los que se desea el servicio.

Usuarios y Contraseñas

A Cada funcionario se le asigna un usuario, y una contraseña el cual es intransferible.

Cuando el funcionario se ausente de su puesto de trabajo debe dejar su equipo de cómputo bloqueado.

Correo Electrónico Los sistemas de correo electrónico de NEXFIN S.A.S. son provistos únicamente para facilitar las actividades relacionadas con el negocio. Los mensajes de correo electrónico nuevos siempre deben ser enviados con la firma de correo institucional, estos correos no deben ser utilizados para la transmisión o reenvió de mensajes con información confidencial.

El equipo de cómputo asignado al personal debe ser utilizado únicamente para desempeñar las funciones establecidas por NEXFIN S.A.S.

Todos los funcionarios de la Compañía deben recibir a los terceros, visitantes u otros en la puerta de acceso y acompañarlos durante su permanencia en las instalaciones incluyendo la salida.

Todos los funcionarios deben abstenerse a divulgar información y/o delante de, un tercero, visitante u otro, o de proporcionales acceso a información confidencial.

Todos los contratos suscritos con los terceros deben contener cláusulas de confidencialidad y continuidad que estén acordes con el servicio prestado.

Toda la información electrónica que sea de carácter confidencial para la Compañía, se debe proteger con los estándares mínimos de seguridad y confidencialidad.

No pueden acceder a la información confidencial contenida en equipos, comunicaciones electrónicas y sistemas de computadores, funcionarios diferentes a los autorizados inicialmente, sólo salvo autorización expresa de la Gerencia General.

Todo el personal de la Compañía debe asegurar la custodia permanente (almacenamiento bajo llave) del material

Todos los funcionarios de la Compañía deben asegurarse de que su escritorio quede completamente limpio al finalizar la jornada laboral.

El material impreso con información confidencial, no puede ser reutilizado, debe ser destruido, utilizando el destructor de papel o en su defecto debe romperse en varios pedazos antes de ser arrojado a la cesta de basura.

Cada funcionario es responsable por las órdenes de impresión que genera, es importante no dejar estos documentos por tiempo prolongado en la impresora;

Al enviar material impreso que contenga información confidencial, a través de correo físico, éste debe ser enviado en un sobre sellado marcado con “sólo para el destinatario”.

Políticas de privacidad y protección de datos personales

En cumplimiento de la de Ley 1581 de 2012, por la cual se dictan disposiciones para la protección de datos personales, NEXFIN S.A.S. propenderá por la protección de los datos personales de sus clientes, proveedores y demás terceros de los cuales reciba y administre información.

Se establecerán los términos, condiciones y finalidades para las cuales NEXFIN S.A.S., como responsable de los datos personales obtenidos a través de sus distintos canales de atención, tratará la información de todas las personas que, en algún momento, por razones de la actividad que desarrolla la Compañía, hayan suministrado datos personales. En caso de delegar a un tercero el tratamiento de datos personales, NEXFIN S.A.S. exigirá al tercero la implementación de los lineamientos y procedimientos necesarios para la protección de los datos personales.

Así mismo, buscará proteger la privacidad de la información personal de sus funcionarios, estableciendo los controles necesarios para preservar aquella información que se conozca y almacene de ellos, velando porque dicha información sea utilizada únicamente para funciones propias de la Compañía y no sea publicada, revelada o entregada a funcionarios o terceras partes sin autorización.

Normas

Cuando se procesen datos personales de clientes, funcionarios, proveedores u otras terceras partes deben obtener la autorización para el tratamiento de estos datos con el fin de recolectar, transferir, almacenar, usar, circular, suprimir, compartir, actualizar y transmitir dichos datos personales en el desarrollo de las actividades de la compañía.

Cuando se procesen datos personales de clientes, funcionarios, proveedores u otras terceras partes deben asegurar que solo aquellas personas que tengan una necesidad laboral legítima puedan tener acceso a dichos datos.

Cuando se procesen datos personales de clientes, funcionarios, proveedores u otras terceras partes deben establecer condiciones contractuales y de seguridad a las entidades vinculadas o aliadas delegadas para el tratamiento de dichos datos personales.

Cuando se procesen datos personales de clientes, funcionarios, proveedores u otras terceras partes deben acoger las directrices técnicas y procedimientos establecidos para el intercambio de estos datos con los terceros delegados para el tratamiento de dichos datos personales.

Cuando se procesen datos personales de clientes, proveedores u otras terceras partes deben acoger las directrices técnicas y procedimientos establecidos para enviar a los clientes, proveedores u otros terceros mensajes, a través de correo electrónico

Destrucción de documentos, cuando se debe hacer destrucción documental se debe diligenciar el acta de destrucción de documentos y anexar el listado de los documentos destruidos