En Exis Consulting acompañamos a las organizaciones en sus procesos financieros más sensibles: consolidación, planeación, costos, conciliaciones, reportes, ciencia de datos e inteligencia artificial. Para hacerlo, nuestros clientes nos confían información estratégica y confidencial. Proteger esa información, y la nuestra, es parte esencial de nuestro trabajo.
La Dirección de Exis Consulting se compromete a proteger la confidencialidad, la integridad y la disponibilidad de la información, a cumplir los requisitos legales y contractuales que le aplican, y a mejorar de forma continua la gestión de la seguridad de la información. Esta política toma como referencia las buenas prácticas de la norma ISO/IEC 27001.
Objetivo
Establecer los principios y lineamientos con los que Exis Consulting protege la información propia y la de sus clientes frente a accesos no autorizados, pérdida, alteración o indisponibilidad, y gestiona los riesgos de seguridad de manera preventiva.
Alcance
Esta política aplica a:
- Las personas: colaboradores, consultores, contratistas, practicantes y terceros que, por cualquier vínculo con Exis Consulting, tengan acceso a su información o a la de sus clientes.
- La información: en cualquier formato (digital, impresa o verbal), incluida la que los clientes nos entregan para el desarrollo de los proyectos.
- Los procesos y servicios: consultoría, implementación de soluciones, soporte, ciencia de datos, desarrollo de soluciones de inteligencia artificial y procesos internos de la compañía.
- La tecnología: equipos, servicios en la nube, aplicaciones, redes y demás medios usados para procesar, almacenar o transmitir información.
Principios
- Confidencialidad: la información solo es conocida por quienes están autorizados y la necesitan para su labor.
- Integridad: la información se mantiene exacta y completa, y está protegida contra modificaciones no autorizadas.
- Disponibilidad: la información y los servicios están disponibles para las personas autorizadas cuando los necesitan.
- Privacidad: los datos personales se tratan conforme a la ley y a nuestra Política de Tratamiento y Protección de Datos Personales.
- Responsabilidad compartida: la seguridad de la información es tarea de todas las personas que trabajan con Exis Consulting.
Objetivos de seguridad de la información
- Proteger la información de nuestros clientes durante todo el ciclo de los proyectos y después de su cierre.
- Identificar, evaluar y tratar los riesgos de seguridad de manera periódica.
- Prevenir, detectar y responder oportunamente a los incidentes de seguridad.
- Cumplir los requisitos legales, regulatorios y contractuales en materia de seguridad y protección de datos.
- Fortalecer la cultura de seguridad mediante la sensibilización y la capacitación continua.
Lineamientos
Gestión de riesgos
Exis Consulting identifica, evalúa y trata los riesgos que pueden afectar su información y la de sus clientes, y define controles proporcionales a esos riesgos. La evaluación se actualiza al menos una vez al año y cada vez que se presenten cambios significativos.
Protección de la información de los clientes
- La información de los clientes se usa únicamente para los fines acordados en cada proyecto.
- Los colaboradores y terceros que participan en los proyectos firman acuerdos de confidencialidad.
- El acceso a los sistemas y datos de los clientes se limita a las personas asignadas al proyecto y por el tiempo que se requiera.
- Se respetan las políticas de seguridad del cliente cuando se trabaja en sus plataformas o instalaciones.
- Al terminar un proyecto, la información del cliente se devuelve o se elimina de forma segura, según lo acordado.
Clasificación y manejo de la información
La información se clasifica según su nivel de sensibilidad (por ejemplo: pública, interna y confidencial) y se protege de acuerdo con esa clasificación en su almacenamiento, transmisión, uso y eliminación.
Control de acceso
- Los accesos se otorgan bajo el principio de mínimo privilegio y de necesidad de saber.
- Las cuentas son personales e intransferibles, y el acceso a los sistemas corporativos se protege con autenticación multifactor.
- Los permisos se revisan periódicamente y se retiran de inmediato al finalizar el vínculo o la necesidad de acceso.
- Las contraseñas se gestionan de forma segura y no se comparten ni se almacenan sin protección.
Seguridad en la nube y en los equipos
- Los servicios en la nube que se utilizan cumplen requisitos de seguridad acordes con la información que procesan.
- Los equipos cuentan con protección contra software malicioso, actualizaciones de seguridad al día y cifrado de la información.
- Se aplican controles para proteger la información en caso de pérdida o robo de un equipo.
Respaldo y continuidad
La información crítica se respalda de forma periódica y segura, y se verifica que pueda recuperarse. Exis Consulting mantiene medidas para dar continuidad a sus servicios ante eventos que interrumpan la operación.
Seguridad en los proyectos y en los cambios
- La seguridad de la información se considera desde el diseño de cada solución que implementamos.
- Se separan los ambientes de desarrollo, pruebas y producción, y los cambios se controlan antes de pasar a producción.
- Para pruebas y capacitaciones se privilegia el uso de datos ficticios o anonimizados.
Uso responsable de la inteligencia artificial
Las herramientas de inteligencia artificial se usan bajo los mismos principios de esta política. No se ingresa información confidencial de clientes en herramientas que no hayan sido autorizadas por Exis Consulting, y se respetan los acuerdos de confidencialidad y las condiciones definidas con cada cliente.
Proveedores y terceros
Los proveedores y terceros que acceden a información de Exis Consulting o de sus clientes deben cumplir requisitos de seguridad y confidencialidad acordes con los riesgos, establecidos en los acuerdos correspondientes.
Gestión de incidentes
Todo evento o incidente que pueda afectar la seguridad de la información debe reportarse de inmediato. Exis Consulting registra, analiza y atiende los incidentes, toma acciones para evitar que se repitan y, cuando corresponde, informa a los clientes afectados y a las autoridades competentes.
Sensibilización y capacitación
Las personas que trabajan con Exis Consulting reciben formación periódica en seguridad de la información, que incluye la protección de la información de los clientes, la identificación de amenazas como el fraude y la suplantación, y el reporte de incidentes.
Roles y responsabilidades
- Dirección: aprueba esta política, asigna los recursos necesarios y promueve una cultura de seguridad.
- Responsable de seguridad de la información: coordina la implementación de esta política, la gestión de riesgos y la atención de incidentes.
- Colaboradores y consultores: conocen y cumplen esta política, protegen la información a su cargo y reportan cualquier incidente.
- Proveedores y terceros: cumplen los requisitos de seguridad y confidencialidad acordados con Exis Consulting.
Cumplimiento legal
Exis Consulting cumple la normatividad colombiana aplicable, en particular la Ley 1581 de 2012 de protección de datos personales y sus decretos reglamentarios, la Ley 1273 de 2009 sobre la protección de la información y los datos, y la Ley 527 de 1999 sobre mensajes de datos y comercio electrónico, así como los requisitos de seguridad pactados con sus clientes.
Incumplimiento
El incumplimiento de esta política puede dar lugar a acciones disciplinarias o contractuales, de acuerdo con la normatividad laboral y los contratos vigentes, sin perjuicio de las acciones legales que correspondan. Exis Consulting puede realizar verificaciones para asegurar su cumplimiento.
Reporte de incidentes y contacto
Si identificas un posible incidente de seguridad relacionado con Exis Consulting o tienes inquietudes sobre esta política, escríbenos a administracion@exisconsulting.co.
Revisión y vigencia
Esta política rige a partir de su publicación. Se revisa al menos una vez al año, o antes si se presentan cambios significativos en la organización, en los servicios, en la tecnología o en la normatividad.