Política de Seguridad de la Información

En PRONETSYS S.A.S. (Pronetsys) administramos servidores, redes, sitios web, copias de respaldo, centrales telefónicas y aplicaciones de nuestros clientes, entre ellos instituciones prestadoras de servicios de salud que manejan datos sensibles. Esa confianza nos obliga a proteger la información propia y la de nuestros clientes con el mismo cuidado, de forma sistemática y verificable.

Esta política, aprobada por la Gerencia General, establece los principios, responsabilidades y reglas que rigen la seguridad de la información en la empresa. Está alineada con la norma ISO/IEC 27001:2022 (con su Enmienda 1:2024) y toma como guía los controles de ISO/IEC 27002:2022, sin que ello implique una certificación.

1. Propósito y compromiso de la dirección

La Gerencia General se compromete a:

• Proteger la confidencialidad, la integridad y la disponibilidad de la información bajo responsabilidad de la empresa, con un enfoque basado en la gestión de riesgos.
• Cumplir los requisitos legales, regulatorios y contractuales aplicables, en especial los de protección de datos personales.
• Asignar los recursos, roles y competencias necesarios para aplicar esta política.
• Mejorar de forma continua los controles a partir de incidentes, auditorías, pruebas y cambios en las amenazas.

2. Objetivos de seguridad de la información

Las metas de cada indicador las fija la Gerencia General a partir de las mediciones iniciales, y su seguimiento se realiza en el proceso de auditoría y seguimiento descrito en el Mapa de Procesos.

3. Alcance

Esta política aplica a:

• Personas: colaboradores, practicantes, contratistas y aliados que accedan a información o sistemas de la empresa o de sus clientes, en trabajo remoto o en visitas en sitio a los clientes.
• Información: toda la información de la empresa, en cualquier formato, y la información de clientes que administramos: datos alojados en nuestros servicios de hosting, correo y backup en la nube; backups que gestionamos sobre plataformas del cliente; configuraciones, credenciales y documentación de su infraestructura; y los datos que procesan las aplicaciones y chatbots que desarrollamos u operamos.
• Tecnología: servidores, paneles de hosting, redes, equipos de trabajo, dispositivos móviles, servicios en la nube, repositorios de código, sistema de tickets, herramientas de acceso remoto y herramientas de inteligencia artificial.
• Terceros: proveedores de nube, centros de datos, conectividad, troncales telefónicas, licencias y demás servicios que soportan nuestra operación.

4. Principios

Estos tres principios se complementan con los siguientes:

• Mínimo privilegio y necesidad de saber: cada persona y sistema tiene solo los permisos indispensables para su función.
• Defensa en profundidad: varias capas de controles, de modo que la falla de uno no comprometa todo.
• Seguridad y privacidad desde el diseño y por defecto: los requisitos de seguridad se incorporan desde el inicio de cada servicio, proyecto o cambio.
• Trazabilidad: las acciones relevantes quedan registradas y pueden atribuirse a una persona.
• Responsabilidad demostrada: la empresa puede evidenciar las medidas que aplica para proteger la información.

5. Roles y responsabilidades

6. Políticas específicas

Las siguientes políticas específicas desarrollan los principios anteriores. Los procedimientos operativos asociados se encuentran en el Mapa de Procesos y en el Plan de Continuidad del Negocio.

6.1 Control de acceso y autenticación multifactor

• Todas las cuentas son nominativas; no se usan cuentas genéricas compartidas, salvo cuando un sistema no permita otra opción, caso en el cual la credencial se custodia en el gestor de contraseñas y su uso queda registrado.
• La autenticación multifactor es obligatoria para el correo, el gestor de contraseñas, la VPN, los paneles de hosting y nube, los registradores de dominios, los repositorios de código, las consolas de administración y el sistema de tickets, y se exige en los sistemas de clientes siempre que la plataforma lo permita.
• Las cuentas con privilegios administrativos son distintas de las de uso diario y se usan solo para tareas que las requieren.
• Las cuentas y contraseñas predeterminadas de fábrica se cambian o deshabilitan antes de poner un sistema en operación.
• Las altas, modificaciones, revisiones periódicas y bajas de accesos siguen el procedimiento de alta y baja de accesos del Mapa de Procesos.

6.2 Mínimo privilegio y segregación de funciones

• Los permisos se otorgan por rol, con la menor amplitud y duración posibles; los accesos temporales se retiran al terminar la tarea.
• En las actividades sensibles (cambios críticos, eliminación de respaldos, otorgamiento de privilegios) se procura que quien ejecuta no sea la misma persona que aprueba.
• El acceso a la información de un cliente se limita a quienes atienden su cuenta.

6.3 Gestor de contraseñas y secretos

• Todas las credenciales de la empresa y de los clientes se almacenan únicamente en el gestor de contraseñas corporativo, organizado en bóvedas por cliente y por nivel de criticidad.
• Se prohíbe guardar contraseñas en navegadores personales, notas, hojas de cálculo, chats o correos, y compartirlas por canales distintos del gestor o de un enlace cifrado de un solo uso.
• Las contraseñas son únicas y generadas por el gestor; la contraseña maestra es una frase de paso robusta y no se reutiliza en ningún otro servicio.
• Las credenciales se rotan ante retiros de personal, sospecha de compromiso, terminación de contratos o uso del acceso de emergencia.
• Las llaves de API, certificados y llaves SSH se tratan como secretos: no se incluyen en el código fuente ni en repositorios, y se custodian en el gestor o en un servicio de gestión de secretos.

6.4 Gestión de activos

• Se mantiene un inventario de activos de información: equipos, servidores, software y licencias, servicios en la nube, dominios, certificados, repositorios y conjuntos de datos de clientes, cada uno con un responsable.
• Los equipos asignados se entregan y reciben con acta. Al finalizar su uso, los medios de almacenamiento se borran de forma segura o se destruyen antes de su reutilización, donación o entrega como residuo, en coordinación con la Política Ambiental.
• Solo se instala software legalmente licenciado y aprobado por el Líder técnico.

6.5 Clasificación y manejo de la información

Si no se ha clasificado expresamente, la información de un cliente se trata como Confidencial, y la que contenga datos sensibles, como Restringida.

6.6 Criptografía y TLS

• Todos los servicios web que publicamos y alojamos usan HTTPS con certificados vigentes y renovación automatizada cuando sea posible, con redirección desde HTTP.
• Se usa como mínimo TLS 1.2, preferiblemente TLS 1.3, y se deshabilitan protocolos y algoritmos obsoletos (SSL, TLS 1.0 y 1.1).
• Los equipos portátiles tienen cifrado completo de disco, y las copias de respaldo se cifran en tránsito y en reposo.
• La administración remota de servidores se hace mediante protocolos cifrados (por ejemplo, SSH con llaves) y sin acceso directo del usuario raíz por contraseña.
• Las aplicaciones que desarrollamos almacenan las contraseñas de usuarios con funciones de derivación diseñadas para ese propósito, nunca en texto plano ni con algoritmos de resumen simples.

6.7 Gestión de vulnerabilidades y parches

Mantener actualizados los componentes expuestos a internet es una de las medidas más eficaces contra los ataques. Por eso Pronetsys se compromete a aplicar los parches de seguridad, incluidos los de PHP, servidores web, bases de datos, paneles de hosting, sistemas operativos Linux, gestores de contenido y sus complementos, y firmware de equipos de red, dentro de los siguientes plazos objetivo, contados desde que el parche está disponible o desde que se conoce la vulnerabilidad, lo que ocurra después:

• Vigilancia: se monitorean los avisos de seguridad de los fabricantes y proyectos que usamos (incluidos los anuncios de versiones del proyecto PHP y de los paneles de hosting) y se realizan escaneos periódicos de vulnerabilidades sobre los servicios expuestos.
• Versiones soportadas: en los servidores que administramos solo se mantienen versiones de PHP y de otros componentes que reciban actualizaciones de seguridad. Las migraciones se planifican antes del fin de soporte de cada versión.
• Aplicación controlada: los parches se aplican mediante el procedimiento de gestión de cambios, con respaldo previo. Los parches críticos pueden tramitarse como cambios de emergencia.
• Sistemas de clientes: en la infraestructura del cliente, los parches se aplican según el alcance del contrato y con su aprobación. Si una aplicación del cliente impide actualizar un componente vulnerable, se le informa el riesgo por escrito, se proponen medidas compensatorias (aislamiento, reglas de firewall de aplicación web, restricción de acceso) y se documenta su decisión.
• Excepciones: toda excepción a estos plazos se documenta con su justificación, medidas compensatorias, fecha de vencimiento y aprobación del Responsable de seguridad de la información.
• Reportes externos: las vulnerabilidades identificadas por terceros se reciben según la política de divulgación responsable de vulnerabilidades.

6.8 Respaldo de la información

La información crítica propia y la de los servicios que prestamos se respalda con la regla 3-2-1 más una copia inmutable o desconectada, con cifrado, credenciales separadas para los sistemas de respaldo y pruebas periódicas de restauración. La estrategia y los RTO y RPO objetivo están en el Plan de Continuidad del Negocio, y la ejecución diaria, la verificación y las pruebas siguen el procedimiento de gestión de backups del Mapa de Procesos.

6.9 Registro y monitoreo

• Los sistemas críticos registran los eventos de seguridad relevantes: inicios de sesión exitosos y fallidos, uso de privilegios, cambios de configuración, accesos a información restringida y errores de seguridad.
• Los relojes de los sistemas se sincronizan con una fuente de tiempo confiable, para que los registros puedan correlacionarse.
• Los registros se protegen contra modificación y acceso no autorizado y se conservan durante el periodo definido por tipo de registro, según los requisitos legales y contractuales. Como objetivo inicial, los registros de seguridad de los sistemas críticos se conservan al menos seis meses.
• Las alertas de disponibilidad y de seguridad generan tickets y se revisan con prioridad.
• El monitoreo de los sistemas corporativos se realiza con fines de seguridad, de manera proporcional y respetando la intimidad de las personas y la normativa de protección de datos.

6.10 Seguridad en el desarrollo

• El software que desarrollamos considera, como mínimo, los riesgos descritos en el OWASP Top 10 (edición 2025), entre ellos el control de acceso deficiente, la configuración insegura, las fallas en la cadena de suministro de software, la inyección y las fallas de autenticación.
• Los requisitos de seguridad y privacidad se definen desde el levantamiento de requisitos; se identifican los datos personales y sensibles que el sistema tratará.
• El código se gestiona con control de versiones, revisión por pares cuando sea posible y análisis de dependencias; las dependencias provienen de fuentes confiables y se actualizan cuando tienen vulnerabilidades conocidas.
• Los ambientes de desarrollo, pruebas y producción están separados. Las pruebas usan datos ficticios o anonimizados, nunca datos reales de pacientes o usuarios sin autorización y controles equivalentes a producción.
• Las entradas se validan, las salidas se codifican, las consultas a bases de datos se parametrizan y los errores no revelan información técnica sensible al usuario.
• El paso a producción sigue el procedimiento de gestión de proyectos y de cambios del Mapa de Procesos.

6.11 Proveedores y servicios en la nube

• Antes de contratar un proveedor que almacene o procese información confidencial, se evalúan sus controles de seguridad, la ubicación de los datos, su capacidad de respaldo y recuperación, y su soporte.
• Los contratos incluyen cláusulas de confidencialidad, seguridad, notificación de incidentes, tratamiento de datos personales, devolución o eliminación de la información al terminar y, cuando aplique, las condiciones para la transmisión o transferencia internacional de datos exigidas por la normativa colombiana.
• Se aplica el modelo de responsabilidad compartida: aunque el proveedor proteja su plataforma, la configuración segura, los accesos y los respaldos de lo que alojamos son nuestra responsabilidad.
• Los proveedores críticos (nube, centros de datos, conectividad, troncales telefónicas, gestor de contraseñas) se revisan al menos una vez al año y cuentan con una alternativa o plan de salida documentado.

6.12 Dispositivos y trabajo remoto

• La información de clientes se gestiona únicamente en equipos corporativos con cifrado de disco, protección contra software malicioso, actualizaciones automáticas, bloqueo de pantalla y usuario sin privilegios administrativos para el trabajo diario.
• Los dispositivos personales solo pueden usarse para correo y mensajería corporativa, con bloqueo de pantalla y MFA, y nunca para almacenar información Confidencial o Restringida.
• En trabajo remoto y en visitas a clientes, el acceso a sistemas administrativos se hace por VPN o mecanismo equivalente; se evitan las redes públicas sin protección y se cuida que terceros no vean la pantalla ni escuchen conversaciones con información de clientes.
• Los equipos no se dejan desatendidos en vehículos ni en lugares públicos. Su pérdida o robo se reporta el mismo día al Responsable de seguridad de la información.
• Los medios removibles solo se usan con información cifrada y cuando no exista una alternativa más segura.
• En el lugar de trabajo remoto se aplica la política de escritorio y pantalla limpios: los documentos y equipos con información de clientes no quedan a la vista ni al alcance de terceros, y el enrutador de la conexión usada para trabajar se protege con contraseña robusta y firmware actualizado. La infraestructura propia se aloja en centros de datos y proveedores de nube con acceso físico restringido, y en las sedes de los clientes se respetan sus controles de acceso a las áreas con equipos de red o servidores.

6.13 Uso aceptable

• Los recursos tecnológicos de la empresa se usan para fines laborales; el uso personal ocasional se permite siempre que no genere riesgos, costos ni conflictos con esta política.
• Está prohibido: instalar software sin licencia o no aprobado; desactivar o eludir controles de seguridad; compartir credenciales; acceder a sistemas o información sin autorización, incluidos los de clientes por fuera del alcance autorizado; descargar o difundir contenido ilegal u ofensivo; y usar la información de clientes para fines distintos del servicio contratado.
• El acceso remoto a equipos de clientes se realiza solo con su autorización, con herramientas aprobadas y dejando registro en el ticket.

6.14 Inteligencia artificial generativa y datos de clientes

• Solo se usan herramientas de IA aprobadas por la empresa, cuyas condiciones contractuales y técnicas ofrezcan garantías de confidencialidad y excluyan el uso de la información ingresada para entrenar modelos. Se prohíbe usar cuentas personales de herramientas de IA con información de la empresa o de clientes.
• No se ingresan en herramientas de IA datos personales de clientes o de sus usuarios, datos sensibles, credenciales, configuraciones de infraestructura ni código o documentos confidenciales, salvo que la herramienta esté aprobada para ese nivel de clasificación y el cliente lo haya autorizado.
• Todo resultado generado con IA (código, textos, configuraciones, análisis) es revisado por una persona competente antes de usarse; el código generado pasa por la misma revisión y las mismas pruebas de seguridad que el escrito manualmente, y se verifica que no infrinja licencias de terceros.
• Los chatbots que desarrollamos u operamos para clientes aplican minimización de datos; informan al usuario que interactúa con un sistema automatizado; ofrecen la opción de pasar a atención humana; evitan solicitar datos sensibles innecesarios; definen la retención de las conversaciones; e incluyen protecciones contra la manipulación de instrucciones (inyección de instrucciones o prompt injection).
• El tratamiento de datos personales en sistemas de IA sigue los lineamientos de la Superintendencia de Industria y Comercio contenidos en su Circular Externa 002 de 2024.

6.15 Gestión de incidentes y notificación

Un incidente de seguridad es cualquier evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de la información, como un acceso no autorizado, una infección con software malicioso, la pérdida de un equipo o el envío de información a un destinatario equivocado. Todo colaborador debe reportar de inmediato cualquier incidente o sospecha al Responsable de seguridad de la información. Los terceros pueden reportar a soporte@pronetsys.com.co.

1. Reporte y registro. El incidente se registra con la hora de detección, quién lo reportó, los sistemas involucrados y las primeras observaciones.
2. Evaluación y clasificación. El Responsable de seguridad de la información determina su gravedad, si involucra datos personales o sensibles y qué clientes podrían estar afectados. Si el impacto lo amerita, se activa el Plan de Continuidad del Negocio.
3. Contención. Se limita el daño: aislamiento de equipos, bloqueo de cuentas, revocación de sesiones, rotación de credenciales o bloqueo de accesos.
4. Investigación y evidencias. Se determinan la causa, el alcance y la cronología, preservando los registros y evidencias necesarios para eventuales acciones legales.
5. Erradicación y recuperación. Se elimina la causa, se corrigen las vulnerabilidades y se restauran los servicios desde fuentes confiables, verificando su integridad.
6. Notificación a clientes. Cuando un incidente afecte información o servicios de un cliente, se le informa sin demora injustificada, con el objetivo de dar un aviso inicial dentro de las 24 horas siguientes a la confirmación del incidente, o en el plazo menor que establezca su contrato. El aviso incluye lo que se sabe, los datos y servicios afectados, las medidas adoptadas y las recomendadas. Cuando actuamos como encargados, este aviso permite al cliente cumplir sus propias obligaciones como responsable del tratamiento.
7. Notificación a la Superintendencia de Industria y Comercio. La Ley 1581 de 2012 obliga a responsables (artículo 17, literal n) y encargados (artículo 18, literal k) a informar a la autoridad de protección de datos cuando se presenten violaciones a los códigos de seguridad y existan riesgos en la administración de la información de los titulares. Cuando Pronetsys actúe como responsable, reportará el incidente a la SIC a través del Registro Nacional de Bases de Datos, dentro de los quince (15) días hábiles siguientes a su detección, según lo previsto por la SIC en su Circular Única. Cuando actúe como encargado, coordinará con el cliente responsable la notificación y cumplirá su propio deber de informar a la SIC. Estas notificaciones se gestionan junto con el Oficial de Protección de Datos Personales.
8. Comunicación a los titulares. Cuando el incidente represente un riesgo para los titulares de los datos, se coordina con el responsable del tratamiento la comunicación a los afectados, con recomendaciones para protegerse.
9. Denuncia ante las autoridades. Cuando los hechos puedan constituir delitos informáticos de los previstos en la Ley 1273 de 2009, la Gerencia General evalúa con asesoría legal la presentación de la denuncia ante la Fiscalía General de la Nación o la Policía Nacional.
10. Cierre y lecciones aprendidas. Se documentan la causa raíz, el impacto, las acciones correctivas y las mejoras, que se gestionan en el proceso de mejora continua.

6.16 Concienciación y formación

• Todo nuevo colaborador recibe inducción en seguridad de la información, protección de datos personales y uso responsable de la IA antes de acceder a información de clientes.
• El personal recibe formación de actualización al menos una vez al año y participa en simulaciones de correos de suplantación (phishing).
• Los técnicos de la mesa de servicio reciben formación específica en verificación de identidad y prevención de la ingeniería social; los desarrolladores, en desarrollo seguro.
• Se comparten alertas oportunas sobre amenazas relevantes para nuestros clientes y nuestra operación.

7. Cumplimiento legal y contractual

La empresa identifica y cumple los requisitos legales, regulatorios y contractuales aplicables. Entre los principales se encuentran:

Las obligaciones contractuales con cada cliente (acuerdos de confidencialidad, de tratamiento de datos y ANS) complementan esta política y prevalecen cuando son más exigentes.

8. Incumplimiento y sanciones

El incumplimiento de esta política puede poner en riesgo a nuestros clientes y a la empresa. Por eso:

• En el caso de colaboradores, el incumplimiento se trata como falta disciplinaria, con respeto del debido proceso y de acuerdo con el reglamento interno de trabajo, el contrato y la legislación laboral. La medida es proporcional a la gravedad, la intencionalidad y el impacto.
• En el caso de contratistas y proveedores, puede dar lugar a las consecuencias previstas en el contrato, incluida su terminación.
• Lo anterior no excluye las acciones civiles o penales que correspondan.
• Reportar de buena fe un error propio o un incidente no se sanciona por el hecho de reportarlo; ocultarlo sí constituye un incumplimiento.

Los incumplimientos pueden reportarse también de forma confidencial a través de la Línea Ética, conforme al Código de Ética y Conducta.

9. Revisión y actualización

Esta política es revisada por el Responsable de seguridad de la información y aprobada por la Gerencia General al menos una vez al año, y además cuando ocurran incidentes significativos, cambios relevantes en los servicios, la tecnología o las amenazas, o cambios legales y contractuales. Las versiones anteriores se conservan como registro.