Política DE Gestión DE Contraseñas v1 PDF

Preview

Summary

guía de política de gestión de contraseñas basado en la norma iso/IEC 27001:2013...

Description

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 1 de 8

POLÍTICA DE SEGURIDAD

POLÍTICA DE GESTIÓN DE CONTRASEÑAS DEL GRUPO 3ERIZA

Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 2 de 8

ÍNDICE

1. INTRODUCCIÓN...................................................................................................................................3 2. ÁMBITO DE APLICACIÓN....................................................................................................................4 3. VIGENCIA..............................................................................................................................................4 4. REVISIÓN Y EVALUACIÓN..................................................................................................................4 5. REFERENCIAS......................................................................................................................................5 6. DESARROLLO DE LA POLÍTICA........................................................................................................5 7. RESPONSABILIDADES........................................................................................................................6 8. TERMINOS Y DEFINICIONES..............................................................................................................7

Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 3 de 8

1. INTRODUCCIÓN El Grupo 3eriza, establece una Política de Contraseñas que debe ser aplicada a cualquier mecanismo de autentificación que utiliza todo el personal que requiera acceder a las diferentes plataformas y sistemas de información, de las Tecnologías de la Información (TI) del Grupo 3eriza. Concretamente se aplica a las diferentes tecnologías de información que pertenece al Grupo 3eriza y que requieran de una usuario y contraseña.

2. ÁMBITO DE APLICACIÓN La presente política es de aplicación y de obligado cumplimiento para todo el personal que se conecta a la red del GRUPO 3eriza, para hacer uso de las diferentes tecnologías de información en sus diversos procesos, incluyendo al personal que realiza

de proveedores externos, cuando sean

usuarios de los Sistemas de Información del GRUPO 3eriza y tengan que utilizar contraseñas para acceder a ellos. 3. VIGENCIA Esta política ha sido aprobada por el área de tecnología de información (TI) del GRUPO 3eriza con fecha (ESTABLECER FECHA), estableciendo de esta forma las directrices generales para el uso adecuado de los recursos de tratamiento de información que el GRUPO 3eriza pone a disposición de sus usuarios para el ejercicio de sus funciones y que, correlativamente, asumen las obligaciones descritas, comprometiéndose a cumplir con lo dispuesto en ella. Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 4 de 8

Cualquier modificación posterior entrará en vigor inmediatamente después de su publicación por parte dl GRUPO 3eriza. Las versiones anteriores quedan anuladas por la última versión de esta política. 4. REVISIÓN Y EVALUACIÓN La gestión de esta política corresponde al área de Tecnología de la Información (TI) del GRUPO 3ERIZA, que es competente para:



Interpretar las dudas que puedan surgir en su aplicación.



Proceder a su revisión, cuando sea necesario, para actualizar su contenido o se cumplan los plazos máximos establecidos para ello.



Verificar su efectividad.

Cuando las circunstancias así lo aconsejen se revisará la presente política, que se someterá, de haber modificaciones, a la aprobación del comité de seguridad del GRUPO 3eriza. La revisión se orientará tanto a la identificación de oportunidades de mejora en la gestión de la seguridad de la información, como a la adaptación a los cambios habidos en el marco legal, infraestructura tecnológica y organización general o cualquier otra cuestión que pueda provocarla. El responsable será el Oficial de Seguridad de la Información, que se encargará de la custodia y divulgación de la versión aprobada de este documento. 5. REFERENCIAS

Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 5 de 8

La presente política se fundamenta en el sistema de gestión de seguridad de la información, según la Norma Técnica Peruana NTP ISO/IEC 27001:2014, así como en las normas y procedimientos internas del GRUPO 3eriza en el marco de la Política de Seguridad de la Información.

6. DESARROLLO DE LA POLÍTICA Se aplica a todos los usuarios que requieran del uso de las tecnologías de información del GRUPO 3eriza, la siguiente política de contraseñas contara con los siguientes caracteres:



Longitud de la contraseña debe ser como mínimo de 12 caracteres alfanuméricas, si bien se recomienda usar contraseñas largas.



La contraseña debe incluir al menos 2 caracteres en mayúscula.



La contraseña debe incluir al menos 2 caracteres en minúscula.



La contraseña debe incluir al menos 2 caracteres numérico.



La contraseña debe incluir al menos 1 símbolo.



En la contraseña no se debe repetir el mismo carácter.

Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 6 de 8



La contraseña no debe incluir el nombre o apellido del usuario.



La contraseña no debe incluir números telefónicos o el número de cualquier documento que lo identifique.



Las contraseñas, credenciales de usuario o método de desbloqueo serán cambiadas por el usuario en su primer ingreso, ya sea por alta o restauración.



Una vez contraseña, credenciales de usuario o método de desbloqueo al personal deberá de cambiar la contraseña respetando los puntos anteriores expuesto en esta política.





La contraseña, credenciales de usuario o método de desbloqueo solo podrán ser cambiadas luego de su primer cambio por el responsable del área de tecnología de información (TI) al ser solicitado por el usuario o jefe inmediato del mismo por medio de un correo electrónico a la dirección (ingresar dirección).



Una vez entregado las credenciales al personal deberá de cambiar la contraseña respetando los puntos anteriores expuesto en esta política.



Las contraseñas se cambiarán cada 6 meses de manera obligatorio por el gestor de servicio de TI.

7. RESPONSABILIDADES Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21

Página 7 de 8

Cuando se demuestre un uso incorrecto o no aceptable con respecto a lo especificado en este documento, o cuando se reciba un aviso de incidencia de los organismos encargados de ello, el responsable del área de tecnología de información (TI), podrá proceder al bloqueo temporal o indefinido del usuario dependiendo de la gravedad y reiteración del incidente, siendo responsable el usuario titular.

8. TERMINOS Y DEFINICIONES



Contraseña/Password, código personal e intransferible, utilizado para acceder a un sistema o plataforma restringido.



Sistema de Información, es un conjunto de componentes interrelacionados que trabajan juntos para recopilar, procesar, almacenar y difundir información para apoyar la toma de decisiones. Además, apoyan la coordinación, control, análisis y visualización de una organización.



Tecnología de información (TI), refiere al uso de equipos de telecomunicaciones y computadoras para la transmisión, el procesamiento y el almacenamiento de datos. La noción abarca cuestiones propias de la informática, la electrónica y las telecomunicaciones.



Sistema de Gestión de Seguridad de la Información (SGSI), Un SGSI consiste en el conjunto de políticas, procedimientos y directrices junto a los recursos y actividades asociados que son administrados colectivamente por una organización, en la búsqueda de proteger sus activos de información esenciales.

Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información

POLÍTICAS DEL GRUPO 3ERIZA Política de gestión de contraseñas – PCG3 No: PC12-21



Página 8 de 8

Norma Técnica Peruana, son documentos que establecen las especificaciones de calidad de los productos, procesos y servicios. Existen también NTP´s sobre terminología, métodos de ensayo, muestreo, envase y rotulado que se complementan entre sí. Su aplicación es de carácter voluntario.



ISO/IEC 27001, es el estándar internacional para la gestión de la seguridad de la información en las organizaciones, tanto para la información física como para la digital. Es parte de la familia de estándares ISO 27000, las cuales ayudan a las organizaciones a mantener sus bienes de información seguros. La implementación de esta normativa, adoptada por miles de empresas, públicas y privadas alrededor del mundo, establece un enfoque sistemático para la gestión de la información organizacional confidencial y asegura que se mantenga protegida y disponible. En general, es un estándar amplio que cubre la seguridad técnica, física, de personal y de procesos en la compañía.

Política de gestión de contraseñas Versión 1.0

DOCUMENTO EXCLUSIVAMENTE DE USO INTERNO

Área de Tecnología de la Información...