Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento

Documentación o comunicaciones internas (actas, correos, minutas) que indiquen quién cumple de hecho funciones de Responsable de Seguridad de la Información (RSI), aunque no exista aún una designación formal.  

Correos, actas, minutas o planillas donde conste que el RSI coordina o ejecuta tareas vinculadas a la seguridad de la información. 

Resolución, memorando, contrato u otro documento que formalice la designación del RSI en la organización. 

Descripción de cargo, manual de funciones o documento oficial donde se detallen las responsabilidades del RSI, incluyendo gestión de seguridad, incidentes, riesgos, entre otras. 

Difusión de la designación del rol de RSI (correo, sitio web, intranet, etc.).  

Actas, planillas, correos o informes que evidencien que el RSI lidera o coordina las evaluaciones de riesgos, o delego dicha función a referentes designados. 

Notificación de designación a Agesic (correo, etc.).  

Actas, convocatorias, correos u otro registro que demuestre la participación del RSI en el Comité de Seguridad de la Información. 

Planes anuales de seguridad firmados o presentados por el RSI, que incluyan objetivos, acciones e indicadores asociados. 

Actas de reuniones estratégicas, correos de convocatoria, presentaciones o informes donde se evidencie la participación del RSI en procesos de planificación institucional o estratégica. 

Resoluciones internas, documento de roles y responsabilidades del RSI o referente designado, actas de asignación de funciones, organigramas funcionales o comunicaciones institucionales que indiquen explícitamente quién es el punto de contacto oficial. 

Listado oficial de contactos de autoridades y equipos externos relevantes (como CERTuy, URCDP, CSIRT sectoriales), incluyendo nombre, cargo, canal de contacto y condiciones de uso. 

Comunicaciones institucionales, campañas internas de concientización, manuales de usuario, capacitaciones o encuestas al personal que evidencien que se ha difundido la identidad y función del punto de contacto oficial. 

Procedimientos, anexos del plan de respuesta a incidentes o listas de contactos documentadas con información técnica y operativa para contacto con autoridades (incluyendo criterios de activación y medios de comunicación oficiales). 

Versiones históricas de listados de contacto, registros de revisión (con fecha y responsable), actas de reunión o tickets de mantenimiento documental que evidencien que los contactos han sido verificados y actualizados en los últimos 12 meses. 

Política, instructivo o procedimiento técnico que detalle los requisitos mínimos de seguridad exigidos para los dispositivos que acceden de forma remota. 

Logs del sistema, registros del servidor VPN o plataforma de acceso remoto que incluyan, al menos, fecha, hora, usuario, dirección IP y recurso accedido. 

Exportación de reglas del firewall, configuración de acceso VPN, ACLs (listas de control de acceso) o archivos de política de red donde se limite explícitamente el acceso remoto a un conjunto definido de recursos autorizados. 

Registro de configuración de la solución Múltiple Factor de Autenticación (MFA) utilizada, capturas de pantalla del proceso de autenticación, o reportes de acceso donde se evidencie el uso de múltiples factores en los accesos remotos. 

Formularios, correos o sistema de tickets, entre otros, donde conste que el responsable del activo aprueba explícitamente el acceso remoto solicitado antes de su habilitación. 

Documento formal que describa el proceso para solicitar, evaluar, autorizar y revocar accesos remotos. 

Resolución, descripción de roles o manual de funciones donde se designe quién tiene a cargo la asignación y control de accesos remotos. 

Resolución, registros u otro mecanismo que evidencie la aprobación de la Política de control de acceso remoto por el CSI o la dirección.  

Registros de accesos otorgados a proveedores con vencimiento explícito (fecha o evento) y evidencia de su revocación posterior (logs, tickets, expiración automática). 

Manual de funciones, instructivo operativo, resolución, acta o flujo de proceso donde se indique que la gestión de accesos remotos se canaliza de forma centralizada a través de un área o responsable definido. 

Informes de revisión, matrices de acceso, bitácoras de auditoría, tickets de revisión o planillas firmadas que evidencien la verificación periódica de los usuarios con acceso remoto, incluyendo la vigencia, necesidad del acceso, etc. 

Actas, planes de mejora, ajustes de procedimientos u otras evidencias de toma de decisiones basadas en los resultados de las revisiones de accesos remotos. 

Informes de auditoría interna, lista de verificación de control o reportes que verifiquen el cumplimiento efectivo de los procedimientos establecidos para el acceso remoto. 

Listado de servicios críticos, matriz de criticidad, actas de validación de servicios esenciales, registros de continuidad de negocio o documentos del Sistema de Gestión de Seguridad de la Información (SGSI) que identifiquen servicios clave. 

Inventario de partes interesadas, matriz de proveedores críticos, análisis de impacto de terceros, contratos clasificados por criticidad o informes de evaluación de dependencias externas. 

Diagramas de procesos, mapas de procesos operativos y de soporte, documentación de procesos ISO u otras metodologías (BPM, SIPOC), con su respectivo responsable designado. 

Documentos de análisis FODA, informes PESTEL, actas de revisión de contexto, informes estratégicos con mención a factores que impactan la seguridad de la información, o entregables del comité de riesgos o del RSI. 

Matriz de dependencias, diagramas de relación entre procesos y servicios, análisis de impacto en cascada, modelos de continuidad de negocio (por ejemplo, BIA) que evidencien relaciones entre actores y funciones clave. 

Actas de revisión de contexto, cronogramas de actualización anual, versiones comparativas de análisis FODA o PESTEL, informes de auditoría interna o planes de mejora que reflejen cambios y adecuaciones en el contexto organizacional. 

Planes operativos, presentaciones institucionales, actas del CSI o de dirección donde se detallen objetivos anuales de seguridad de la información. 

Planillas, planificaciones o mecanismos que detallen las acciones previstas para alcanzar los objetivos. 

Objetivos de seguridad integrados en planes de acción institucionales, planes operativos anuales, cronogramas de ejecución, plataformas de seguimiento o presentaciones internas que vinculen objetivos con acciones, responsables y plazos. 

Actas del CSI, minutas, correos de validación, registros en sistemas de gestión o presentaciones utilizadas en sesiones donde se haya discutido y aprobado formalmente el conjunto de objetivos anuales y su plan de ejecución 

Correos masivos, publicaciones en intranet, presentaciones internas o constancias de reuniones donde se haya comunicado formalmente el contenido de los objetivos y sus metas asociadas. 

Cronogramas de trabajo compartido, registros de reuniones, tickets o plataformas colaborativas donde se evidencie la participación de distintos sectores en la ejecución de acciones vinculadas a los objetivos. 

Tableros de control, plantillas de indicadores, informes de seguimiento o secciones dentro del plan de acción que contengan métricas concretas asociadas a cada objetivo. 

Cartera de proyectos, fichas técnicas, formularios de presentación, actas de aprobación u otros mecanismos donde se evidencie que los objetivos de seguridad se han transformado en proyectos específicos. 

Informes de seguimiento, versionado del plan de acción, reportes de progreso o actas de revisión donde se analice el estado de cumplimiento de los objetivos y se ajusten las acciones según los resultados obtenidos.