Política de Seguridad de la Información

1. Identificación

La presente Política de Seguridad de la Información corresponde a VR Infosys, marca utilizada comercialmente por el establecimiento individual VR Informática & Sistemas.

2. Objetivo

VR Infosys establece esta Política de Seguridad de la Información con el objetivo de proteger la confidencialidad, integridad y disponibilidad de la información propia, de clientes y de terceros que sea tratada durante la prestación de servicios tecnológicos.

Esta Política establece principios y lineamientos generales para reducir riesgos relacionados con accesos no autorizados, pérdida de información, alteración, indisponibilidad, divulgación indebida o uso no autorizado de los activos de información.

3. Alcance

Esta Política aplica, según corresponda, a la información tratada mediante:

• El sitio web de VR Infosys.
• Formularios de contacto y solicitudes de cotización.
• Sistemas internos.
• Correo electrónico.
• Infraestructura tecnológica.
• Redes y servidores.
• Servicios cloud.
• Proyectos de desarrollo de software.
• Servicios de soporte técnico.
• Copias de seguridad.
• Servicios administrados para clientes.
• Otros activos tecnológicos bajo administración de VR Infosys.

4. Principios de seguridad

VR Infosys procura aplicar los siguientes principios en el tratamiento y protección de la información:

• La información será utilizada únicamente para fines autorizados y relacionados con la prestación de los servicios correspondientes.
• El acceso a la información se otorgará según necesidad de conocimiento y funciones asignadas.
• Las credenciales deberán ser individuales cuando sea técnica y operacionalmente posible.
• Los privilegios deberán limitarse al mínimo necesario para desempeñar las funciones correspondientes.
• Se procurará mantener actualizados los sistemas, aplicaciones y componentes tecnológicos.
• Se aplicarán controles razonables de prevención, detección, monitoreo y respuesta.
• La información crítica podrá estar sujeta a mecanismos de respaldo y recuperación.

5. Control de acceso

Los sistemas, servicios administrativos y recursos tecnológicos deberán protegerse mediante mecanismos de autenticación apropiados al nivel de riesgo.

Entre los controles que podrán utilizarse se encuentran:

• Contraseñas robustas.
• Credenciales individuales.
• Autenticación multifactor cuando esté disponible.
• Restricción de privilegios administrativos.
• Revisión periódica de accesos.
• Desactivación de accesos que ya no sean necesarios.

6. Protección de infraestructura

VR Infosys procurará aplicar controles técnicos apropiados de acuerdo con el tipo de infraestructura, servicio y nivel de riesgo correspondiente.

Entre dichos controles pueden incluirse:

• Firewalls.
• Segmentación de redes.
• Actualización de sistemas y aplicaciones.
• Protección contra código malicioso.
• Gestión de vulnerabilidades.
• Monitoreo de servicios.
• Registros de actividad y eventos.
• Controles de acceso remoto.
• Protección de servicios publicados en Internet.

7. Protección de la información

La información será tratada procurando prevenir accesos, modificaciones, divulgaciones o eliminaciones no autorizadas.

Cuando la naturaleza del servicio lo requiera, podrán utilizarse mecanismos como:

• HTTPS y comunicaciones cifradas.
• Restricción de accesos.
• Controles de autenticación.
• Separación lógica de información.
• Copias de seguridad.
• Registros de actividad.
• Protección de credenciales.

8. Copias de seguridad

Cuando corresponda al servicio contratado, VR Infosys implementará mecanismos de respaldo conforme a una periodicidad, alcance, ubicación y tiempo de retención definidos para cada solución.

Las copias de seguridad podrán utilizarse para apoyar los procesos de recuperación ante pérdida, corrupción, eliminación accidental o indisponibilidad de información.

La existencia de respaldos no sustituye las obligaciones, responsabilidades, alcances o condiciones específicamente acordadas con cada cliente.

9. Gestión de incidentes de seguridad

Ante un evento que pueda afectar la confidencialidad, integridad o disponibilidad de información o servicios, VR Infosys procurará aplicar acciones razonables para:

• Identificar el evento.
• Analizar su impacto.
• Contener la situación.
• Reducir posibles daños.
• Corregir la causa cuando sea posible.
• Restaurar los servicios afectados.
• Documentar el incidente.
• Aplicar medidas de mejora posteriores.

Cuando el incidente afecte información o servicios de un cliente, VR Infosys procurará comunicarlo cuando resulte razonablemente necesario según su impacto y las obligaciones contractuales aplicables.

10. Gestión de vulnerabilidades y actualizaciones

Los sistemas y componentes tecnológicos bajo administración de VR Infosys podrán ser revisados periódicamente para identificar vulnerabilidades, versiones obsoletas, configuraciones inseguras u otros factores de riesgo.

Las actualizaciones y medidas correctivas se aplicarán considerando criticidad, compatibilidad, disponibilidad, impacto operativo y características del servicio.

11. Proveedores y terceros

VR Infosys puede utilizar proveedores externos para servicios de hosting, correo electrónico, infraestructura, nube, respaldos, comunicaciones y otras capacidades tecnológicas.

La selección de proveedores procurará considerar aspectos como:

• Capacidad técnica.
• Disponibilidad del servicio.
• Medidas de seguridad.
• Reputación y confiabilidad.
• Protección de información.
• Condiciones contractuales aplicables.

El acceso de terceros a información será limitado a lo razonablemente necesario para prestar el servicio correspondiente.

12. Responsabilidad de clientes y usuarios

La seguridad de la información es una responsabilidad compartida. Los clientes y usuarios también deben adoptar medidas razonables para proteger los servicios utilizados.

Se recomienda, entre otras acciones:

• Proteger las credenciales de acceso.
• No compartir contraseñas innecesariamente.
• Utilizar contraseñas robustas.
• Habilitar autenticación multifactor cuando esté disponible.
• Mantener dispositivos y aplicaciones actualizados.
• Evitar el acceso desde dispositivos inseguros.
• Reportar actividades sospechosas oportunamente.
• Seguir las recomendaciones de seguridad proporcionadas.

13. Continuidad y recuperación

Cuando la naturaleza del servicio lo requiera, podrán establecerse mecanismos orientados a mantener o recuperar servicios tecnológicos ante fallas, incidentes o eventos que afecten su disponibilidad.

Las medidas de continuidad dependerán del alcance, criticidad, arquitectura y condiciones acordadas para cada servicio.

14. Revisión y mejora continua

Los controles y prácticas de seguridad podrán ser revisados y actualizados periódicamente conforme evolucionen:

• Los riesgos tecnológicos.
• Las amenazas de seguridad.
• Las tecnologías utilizadas.
• Los servicios prestados.
• Las necesidades de los clientes.
• Los requisitos legales o contractuales aplicables.

15. Limitaciones

VR Infosys aplica medidas razonables para reducir los riesgos de seguridad; sin embargo, ningún sistema, aplicación, red o servicio conectado a Internet puede garantizar seguridad absoluta.

La seguridad efectiva depende también de la configuración contratada, infraestructura utilizada, controles del cliente, comportamiento de los usuarios y servicios proporcionados por terceros.

16. Reporte de vulnerabilidades e incidentes

Cualquier vulnerabilidad, actividad sospechosa, comportamiento anómalo o incidente relacionado con sistemas o servicios de VR Infosys puede reportarse mediante:

17. Relación con otras políticas

Esta Política de Seguridad de la Información se complementa con la Política de Privacidad, los Términos y Condiciones y el Aviso Legal publicados en este sitio.

18. Actualizaciones de esta Política

VR Infosys podrá actualizar esta Política de Seguridad de la Información cuando existan cambios en sus servicios, infraestructura, tecnologías, riesgos, procesos internos o requisitos aplicables.

La versión vigente será siempre la publicada en este sitio web.