1. Objetivo

El objetivo del presente documento es establecer los principios, bases, lineamientos y normas necesarios para proteger la información secreta y de uso interno de KIBERNUM, en cuanto a su divulgación a personas o instituciones no autorizadas.

2. Aplicabilidad

Esta política debe ser conocida y aplicada por todos quienes trabajan en KIBERNUM, en cualquier nivel jerárquico o que cumplan funciones dentro de las áreas y unidades de negocio de la organización, como también aquellas personas naturales o jurídicas, proveedores, terceros autorizados o cualquiera que use los activos de información del servicio, siendo difundida, aceptada y respetada sin importar su condición contractual. El presente documento será publicado y distribuido al menos en los siguientes medios:

• Publicación en Intranet organizacional
• Kiberpro
• Onboarding

3. Responsabilidades Generales

TISO: Será el responsable del desarrollo inicial de las políticas, normas y procedimientos de seguridad de la información al interior de la organización. Además, será el responsable del control de su implementación, velar por su correcta aplicación y vigencia en el tiempo. Head of IT Governance: Será el responsable de la mantención, actualización y revisión periódica de este documento, el cual debe tomar en cuenta y reflejar los cambios tecnológicos o de tratamiento de la información que ocurran en la organización. Propietario del Activo: Será el responsable de clasificar la información sensible que genera o posee y resguardar que solo los usuarios autorizados tengan acceso a ella. Los Propietarios del Activo (Dueño de la Información) en KIBERNUM serán los Gerentes de cada unidad, es decir: Chief Financial Officer, Chief Governance Officer y Country Manager. Esta política deberá ser revisada al menos una vez al año y cualquier cambio debe ser revisado por el TISO y el Head of IT Governance.

4. Clasificación de la Información

A continuación, se presenta la forma en que se deberá categorizar y tipificar la información de KIBERNUM. Este criterio es solo información de base, pudiendo existir otros criterios de evaluación, como el caso de restricciones legales respecto a la divulgación de la información, importancia del activo para un proceso en particular u otros.

Secreta: Información personal o comercial de KIBERNUM, la cual requiere el nivel más estricto de seguridad. La información que KIBERNUM establece como Secreta, no debe ser divulgada. Este tipo de información está disponible solamente para un grupo específico de Kibers, que ejercen funciones específicas. Ejemplos: Planes Financieros o estrategias corporativas, Información propia de la organización, Informes de auditoría de alta sensibilidad e investigaciones internas, Información personal confidencial. Uso Interno: Información personal o comercial de KIBERNUM, la cual requiere un nivel razonable de seguridad. Corresponde a información sensible y cuyo acceso no autorizado podría ocasionar daños y/o inconvenientes menores a la organización. La información está disponible para todos los Kibers y terceros seleccionados. Esta información puede ser entregada a clientes, previa consulta al Propietario del Activo. Ejemplos: Políticas internas, procedimientos y comunicados internos, planes comerciales, organigramas, materiales de capacitación, información personal que no sea altamente sensible, tales como información de contacto, informes de auditoría o información de proveedores. Pública: Información personal o comercial de KIBERNUM que puede compartirse con todo tipo de público y que no presenta riesgos para la empresa. Esta puede compartirse por correo, web, entre otros medios. Ejemplos: Políticas corporativas, informes anuales, comunicados de prensa, materiales de marketing públicos, páginas Web públicas, cargos e información que se considera liberable al público en general.

5. Personas Autorizadas

La información clasificada como «Secreta» debe estar acompañada de una lista de personas autorizadas en la que el propietario de la información específica los cargos de las personas que tienen derechos de acceso para esa información.

6. Reclasificación

Los propietarios de activos deben revisar el nivel de confidencialidad de sus activos de información cada un año y deben evaluar si se puede cambiar dicho nivel.

7. Tratamiento de la Información según su Clasificación

La información debe ser tratada de acuerdo a su clasificación, para lineamientos sobre las medidas de seguridad a aplicar en la generación, transmisión, recepción, procesamiento y almacenamiento de activos de información. Revisar Anexo 1.

8. Etiquetado según Clasificación

Para el etiquetado de los activos de información deberán seguirse las siguientes recomendaciones:

1. En general los activos del tipo público, no requieren etiquetado, independiente del formato en que se encuentren.

2. Los activos con otros niveles de confidencialidad, se recomienda que sean etiquetados de la siguiente forma:

• Documentos en papel: Si el documento contiene información reservada o de uso interno, se debe indicar el nivel de clasificación al menos en la portada del documento; si contiene información secreta se debe indicar el nivel de clasificación tanto en la portada como en cada una de las páginas o en el sobre que contiene dicho documento, como también en la carpeta de archivo en la que se guarda el documento.
• Documentos electrónicos: Si el documento contiene información reservada o de uso interno, se debe indicar el nivel de clasificación al menos en la portada del documento; si contiene información secreta, se debe indicar dicho nivel de clasificación tanto en la portada como en cada una de las páginas.
• Correo electrónico: se indica el nivel de clasificación en la primera línea del cuerpo del correo electrónico.
• Soportes electrónicos: (discos, tarjetas de memoria, etc.): se debe indicar el nivel de clasificación sobre la superficie de cada soporte.
• Información oral: el nivel de clasificación de la información reservada, de uso interno o confidencial que se transmite a través de una comunicación cara a cara, por teléfono o por alguna otra vía de comunicación debe ser comunicado antes que la información propiamente dicha.

9. Protección de Datos Personales

En cumplimiento de la Ley N° 19.628 sobre Protección de la Vida Privada y otras normativas aplicables en Chile, KIBERNUM establece los principios y lineamientos para el tratamiento y resguardo de los datos personales de sus colaboradores, clientes, proveedores y terceros.

9.1 Principios Generales

El tratamiento de los datos personales en KIBERNUM se regirá por los siguientes principios:

• Legalidad y transparencia: Los datos personales deben ser recopilados y tratados según lo establecido y permitido por la ley.
• Finalidad: Los datos solo deberán ser utilizados para los fines específicos para los cuales fueron recabados.
• Proporcionalidad: Se deberán recolectar solo los datos estrictamente necesarios para el cumplimiento de los objetivos informados.
• Seguridad: Se deberán implementar medidas técnicas y organizativas para resguardar la integridad, disponibilidad y confidencialidad de los datos.
• Derechos del titular: Se deberá garantizar el acceso, rectificación, cancelación y oposición al tratamiento de los datos, conforme a la normativa vigente.

9.2 Información del Usuario

Previo al tratamiento de datos personales, KIBERNUM deberá informar a los titulares acerca de:

• La finalidad específica de la recopilación de sus datos.
• Dependiendo del tipo de información ésta podrá ser almacenada de manera histórica o con un plazo establecido por el dueño de cada sistema.
• Si serán compartidos con terceros y bajo qué condiciones.
• Sus derechos como titulares y los mecanismos para ejercerlos.

Esta información se proporcionará a través de declaraciones de privacidad, cláusulas contractuales o políticas internas accesibles a los usuarios antes de que estos faciliten sus datos en cualquier sistema o plataforma de KIBERNUM.

9.3 Seguridad y Resguardo

Los datos personales deberán ser tratados según su nivel de sensibilidad y confidencialidad, asegurando su protección conforme a las políticas internas de seguridad de la información de KIBERNUM, incluyendo algunas de las siguientes medidas:

• Cifrado de la información que se encuentra almacenada en la respectiva Base de Datos.
• Acceso restringido a la información.
• Monitoreo y auditoría del uso de datos personales.
• Eliminación segura de datos cuando no sean necesarios.

9.4 Responsabilidades y Cumplimiento

El Head of IT Governance será el responsable de supervisar la correcta aplicación de estas medidas y de garantizar el cumplimiento de la normativa vigente sobre protección de datos personales.

10. Políticas/Procesos Relacionados

• Política General de Seguridad de la Información
• Política de Seguridad – Control de Accesos y Privilegios
• Política Uso Correo Electrónico
• Política de Proveedores
• Política de Respaldo de Sistemas TI
• Proceso de Respaldo de Sistemas TI
• Proceso de Atención de Solicitudes
• Política de Contrataciones
• Proceso de Contrato de Trabajo