Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento

PL.1-1: Están establecidos los objetivos anuales de seguridad de la información. 

PL.1-2: Están definidas las acciones para lograr el cumplimiento de los objetivos. 

PL.1-3: Los objetivos forman parte de un plan de acción de seguridad de la información. 

PL.1-4: Los objetivos están documentados y aprobados por el CSI. 

PL.1-5: Los objetivos anuales de seguridad de la información son difundidos al personal y partes interesadas. 

PL.1-6: El plan de acción para cumplir con los objetivos se desarrolla y ejecuta de manera coordinada con los distintos actores de la organización. 

PL.1-7: Se definen indicadores para el seguimiento del cumplimiento de los objetivos. 

GR.2-1: Se identifican los principales riesgos de seguridad de la información, valorando su potencial impacto y su probabilidad de ocurrencia. 

GR.2-3: Se cuenta con un inventario de riesgos de seguridad de la información que incluye riesgos asociados a todos los activos de información. 

 GR.2-5: Se incorporan riesgos vinculados a la cadena de suministro.   

CN.1-1: Se identifican los requisitos normativos relacionados a seguridad de la información y ciberseguridad, protección de datos personales, acceso a la información pública, propiedad intelectual, y otras obligaciones legales, contractuales o políticas que resulten exigibles para la organización.  

PD.1-1: Se lleva un inventario actualizado de bases de datos personales, incluyendo responsables, categoría de datos y sistemas que las soportan.  

PD.1-2: Todas las bases de datos que contienen datos personales están registradas ante la URCDP. 

PD.2-1: Se cuenta con mecanismos para recibir solicitudes expresas de los titulares de corrección manual de datos personales.  

PD.2-2: La organización establece qué datos personales son necesarios para cada trámite o servicio, y limita su recolección únicamente a esa información. 

PD.4-1: Cuando corresponde, se incluye una cláusula de consentimiento libre, previa e informada en los medios utilizados para recabar los datos personales (formularios, grabaciones, sitios web, etc.).  

PD.4-2: Se conservan registros que evidencien el consentimiento otorgado por los titulares, siempre que sea exigido por la normativa.  

PD.8-1: Se reciben y atienden las solicitudes relacionadas con los derechos sobre datos personales de los usuarios.  

PD.8-2: Se han gestionado respuestas a solicitudes de titulares dentro del plazo legal. 

CN.1-2: El delegado de protección de datos personales trabaja de manera coordinada con el RSI y/o CSI.  

PD.1-3: Se cuenta con un estudio de la normativa vigente que debe cumplir cada base de datos registrada.  

PD.2-3: Se lleva un registro documentado de todas las solicitudes recibidas por parte de los titulares de datos personales, relativas a la actualización, eliminación o rectificación de sus datos, incluyendo el plazo en que cada solicitud fue atendida.  

PD.2-4: Cuando el titular de los datos personales se encuentra presente, se procede a validar la exactitud de los datos y, en caso de corresponder, se actualizan los datos en los sistemas correspondientes en ese mismo momento.  

PD.4-3: Se verifica, previo al tratamiento de datos personales, si el consentimiento del titular es requerido según lo establecido por la normativa vigente.  

PD.4-4: Los mecanismos que requieren consentimiento informado garantizan que la opción de aceptar o rechazar esté claramente visible y no preseleccionada.  

PD.4-5: Cuando el tratamiento se basa en el consentimiento, se han definido mecanismos que permiten a los titulares revocar el consentimiento otorgado en cualquier momento, sin afectar la licitud del tratamiento previo. 

PD.8-3: Se encuentra asignado personal encargado de recibir, procesar y responder las solicitudes vinculadas a los derechos de los titulares.  

PD.8-4: Las solicitudes y su tratamiento son registrados. 

CN.1-3: Se han definido procedimientos para incorporar nuevos requisitos legales o normativos cuando sean publicados. 

CN.1-4: El resultado es comunicado al RSI y/o al CSI. 

PD.1-4: Se realizan revisiones periódicas del cumplimiento legal del tratamiento de datos personales en los sistemas y procesos de la organización. 

PD.1-5: Se implementan medidas correctivas cuando se detectan incumplimientos en materia de legalidad del tratamiento de datos. 

PD.2-5: Los sistemas implementan funcionalidades que requieren a los usuarios la revisión y validación periódica de sus datos personales, con el objetivo de identificar y corregir información inexacta o desactualizada. 

PD.2-6: Los sistemas que gestionan datos personales registran las modificaciones realizadas, incluyendo la fecha del cambio y la identidad del usuario que lo efectuó. 

PD.4-6: Existen procedimientos documentados que establecen cómo identificar los casos en los que se requiere consentimiento, y cómo obtener, registrar y conservarlo de manera adecuada. 

PD.4-7: Los mecanismos para ejercer la revocación del consentimiento están disponibles públicamente y son fácilmente accesibles. 

PD.8-5: Existe un procedimiento formal de gestión de las solicitudes de derechos de los titulares que contempla todos los derechos mencionados en la normativa (Información, Acceso, Actualización y Rectificación, Inclusión, Supresión, Impugnación de Valoraciones Personales) 

PD.8-6: Se encuentra definido un procedimiento para verificar la identidad del solicitante del derecho. 

PD.8-7: Los procedimientos para ejercer los derechos son difundidos a los titulares de los datos, el personal y terceras partes interesadas. 

CO.5-1: Está designado un responsable o equipo para la identificación de métricas de recuperación para procesos críticos. 

SO.3-1: La capacidad actual instalada es suficiente para garantizar la prestación de los servicios críticos. 

CO.5-2: Se han definido formalmente las ventanas de tiempo máximo soportadas por el negocio sin poder operar (MTD), para cada sistema que soporte un proceso crítico.  

CO.5-3: Se ha determinado el RTO (Recovery Time Objective) para cada sistema que soporte un proceso crítico.  

CO.5-4: Se ha definido el RPO (Recovery Point Objective) para cada sistema que soporte un proceso crítico. 

CO.5-5: Las métricas MTD, RTO y RPO han sido utilizadas para identificar brechas entre los tiempos actualmente alcanzables y los requerimientos definidos.  

CO.5-6: Las métricas definidas han sido incorporadas como insumo obligatorio en el diseño, pruebas y evaluación de los planes de continuidad.  

CO.5-7: Las métricas son revisadas periódicamente y actualizadas ante cambios en procesos o tecnologías.  

SO.3-5: Está establecido el proceso de gestión de la capacidad.  

SO.3-6: Los roles y responsabilidades asociados al proceso de gestión de la capacidad están definidos y documentados. 

PL.1-1: Están establecidos los objetivos anuales de seguridad de la información. 

PL.1-3: Los objetivos forman parte de un plan de acción de seguridad de la información. 

PL.1-5: Los objetivos anuales de seguridad de la información son difundidos al personal y partes interesadas. 

PL.1-6: El plan de acción para cumplir con los objetivos se desarrolla y ejecuta de manera coordinada con los distintos actores de la organización. 

PL.1-7: Se definen indicadores para el seguimiento del cumplimiento de los objetivos. 

GR.3-1: Se toman acciones ad-hoc con el objetivo de llevar los principales riesgos de seguridad de la información a niveles aceptables para la organización. 

CO.5-2: Se han definido formalmente las ventanas de tiempo máximo soportadas por el negocio sin poder operar (MTD), para cada sistema que soporte un proceso crítico. 

CO.5-3: Se ha determinado el RTO (Recovery Time Objective) para cada sistema que soporte un proceso crítico. 

CO.5-4: Se ha definido el RPO (Recovery Point Objective) para cada sistema que soporte un proceso crítico. 

GR.2-4: El apetito de riesgo y la tolerancia al riesgo se ha definido formalmente por el negocio.    

GR.1-1: Existe un proceso para la gestión de riesgos de seguridad de la información. 

GR.1-2: Se cuenta con una metodología de evaluación de riesgos de seguridad de la información definida y documentada. 

GR.1-3: Existe una política aprobada de gestión de riesgos de seguridad de la información.  
GR.1-4: La política de gestión de riesgos de seguridad de la información ha sido difundida a todas las partes interesadas. 

GR.3-1: Se toman acciones ad-hoc con el objetivo de llevar los principales riesgos de seguridad de la información a niveles aceptables para la organización. 

GR.3-2: Se elaboran planes de tratamiento para los riesgos de seguridad de la información que excedan los niveles de tolerancia definidos por la organización.  
GR.3-3: Cada plan de tratamiento identifica las acciones necesarias, el responsable de su ejecución y el plazo previsto. 

GR.3-4: Los planes de tratamiento son revisados y validados por los responsables de ejecutarlos antes de su ejecución.  
GR.3-5: Los planes de tratamiento de riesgos incluyen métricas e indicadores que permiten evaluar su avance.  
GR.3-6: La implementación de los controles debe realizarse conforme a la prioridad explícita y formalmente establecida por la Dirección.  
GR.3-7: La efectividad de los controles implementados es evaluada, y el riesgo residual resultante es documentado y validado por las partes interesadas. 

GR.1-1: Existe un proceso para la gestión de riesgos de seguridad de la información que abarca los componentes del centro de datos y servicios críticos de forma independiente. 
GI.4-1: Los incidentes de seguridad se reportan internamente de acuerdo a lineamientos preestablecidos. 
GI.4-2: El personal ha sido instruido sobre los mecanismos y canales habilitados para reportar incidentes. 

GI.4-4: Los registros de incidentes permiten trazabilidad completa de su evolución, desde la detección hasta el cierre. 

GR.1-3: Existe una política aprobada de gestión de riesgos de seguridad de la información.   
GR.1-4: La política de gestión de riesgos de seguridad de la información ha sido difundida a todas las partes interesadas. 
OR.2-5: El CSI participa en la definición de niveles aceptables de riesgo y en la aprobación del plan de tratamiento de riesgos. 

GR.1-1: Existe un proceso para la gestión de riesgos de seguridad de la información que abarca los componentes del centro de datos y servicios críticos de forma independiente. 

GR.1-2: Se cuenta con una metodología de evaluación de riesgos de seguridad de la información definida y documentada. 

GR.1-3: Existe una política aprobada de gestión de riesgos de seguridad de la información.  
GR.1-4: La política de gestión de riesgos de seguridad de la información ha sido difundida a todas las partes interesadas. 

PS.1-2: La política es difundida a todo el personal y partes interesadas relevantes. 

PS.1-4: La política se encuentra disponible en un sitio accesible. 

PS.1-6: Los resultados de las revisiones de la política son documentados y comunicado al CSI. 

PS.1-7: Ante modificaciones la política es difundida nuevamente. 

OR.2-5: El CSI participa en la definición de niveles aceptables de riesgo y en la aprobación del plan de tratamiento de riesgos. 

OR.1-1: Existe una persona que cumple el rol de RSI.  

OR.1-2: El RSI coordina actividades de seguridad de la información. 
OR.2-1: Se encuentra designado formalmente el CSI de la organización. 

OR.3-1: Está designado un punto de contacto oficial para incidentes de ciberseguridad. 

OR.3-2: Se han identificado los contactos de autoridades ante aspectos de ciberseguridad. 

OR.1-3: Está designado formalmente el RSI. OR.1-4: Las responsabilidades del RSI están documentadas e incluyen: la gestión de seguridad de la información, gestión de incidentes, gestión de riesgos de seguridad, entre otras. 
OR.2-2: El CSI se reúne periódicamente y documenta dichas reuniones. 

OR.3-3: El punto de contacto oficial es conocido por todo el personal. 

OR.1-5: El RSI coordina la evaluación de riesgos junto con los responsables de los activos o designa referentes delegados.  
OR.1-6: El RSI participa en el CSI de la organización. 
OR.2-3: Las responsabilidades y atribuciones del CSI están documentadas y aprobadas por la Dirección.  
OR.2-4: El CSI tiene establecidas pautas para su funcionamiento.   

OR.3-4: Los contactos con las autoridades, CSIRT y otros actores externos relevantes están documentados. 

GR.3-1: Se toman acciones ad-hoc con el objetivo de llevar los principales riesgos de seguridad de la información a niveles aceptables para la organización. 

GR.3-2: Se elaboran planes de tratamiento para los riesgos de seguridad de la información que excedan los niveles de tolerancia definidos por la organización. 
GR.3-3: Cada plan de tratamiento identifica las acciones necesarias, el responsable de su ejecución y el plazo previsto. 

GR.3-4: Los planes de tratamiento son revisados y validados por los responsables de ejecutarlos antes de su ejecución. 
GR.3-8: Existe una línea presupuestal que permite implementar el plan de tratamiento de riesgos. 

PS.1-1: Existe una política de seguridad aprobada por la Dirección.  
 

PS.1-3: La política define los responsables de su cumplimiento.  
 

PS.1-5: La política es revisada ante cambios significativos de índole normativo o del contexto de la organización.  

N/A 

N/A 

N/A 

N/A 

N/A 

N/A 

GR.1-1: Existe un proceso para la gestión de riesgos de seguridad de la información que abarca los componentes del centro de datos y servicios críticos de forma independiente. 

RP.2-1: Se definen métricas e indicadores para el seguimiento y control de los proveedores, mínimamente para los proveedores críticos. 

GR.1-2: Se cuenta con una metodología de evaluación de riesgos de seguridad de la información definida y documentada. 

GR.1-3: Existe una política aprobada de gestión de riesgos de seguridad de la información.   

RP.2-5: Se registra y mantiene evidencia de los incumplimientos contractuales o desviaciones detectadas en los servicios provistos, incluyendo las acciones tomadas ante los mismos. 

SC.6-1: Los nuevos proveedores de servicios deben firmar acuerdos de confidencialidad o no divulgación (NDA) antes del inicio de la relación contractual. 

SC.6-2: Todo nuevo personal incorporado debe estar cubierto por cláusulas confidencialidad y no divulgación, ya sea en acuerdos, estatuto o normativa interna. 

SC.6-3: La obligación de confidencialidad y no divulgación se extiende a todo el personal de la organización, independientemente de su rol o tipo de contratación. 

SC.6-4: Todos los proveedores que deban acceder a información confidencial de la organización deben tener firmado un acuerdo de no divulgación. 

SC.6-5: Se detallan en los acuerdos de no divulgación las responsabilidades y sanciones por incumplimiento. 

GR.2-1: Se identifican los principales riesgos de seguridad de la información, valorando su potencial impacto y su probabilidad de ocurrencia. 

  GR.2-3: Se cuenta con un inventario de riesgos de seguridad de la información que incluye riesgos asociados a todos los activos de información. 

GR.2-4: El apetito de riesgo y la tolerancia al riesgo se ha definido formalmente por el negocio.    
GR.2-5: Se incorporan riesgos vinculados a la cadena de suministro.   

RP.1-1: Se identifican todos los participantes de la cadena de suministro relacionados con los activos y servicios críticos, incluyendo un punto de contacto operativo designado por cada proveedor.  

RP.1-2: Se cuenta con acuerdos de nivel de servicio (SLA) firmados con proveedores que prestan servicios críticos. 

RP.1-3: Se implementan mecanismos para identificar y gestionar los riesgos asociados a los participantes de la cadena de suministro que intervienen en los activos y servicios críticos de la organización.  

RP.1-4: Está definido un procedimiento documentado de gestión de proveedores que abarca la selección, contratación, seguimiento, y finalización del vínculo.  

RP.1-5: Los contratos con proveedores críticos deben incluir cláusulas que obliguen a notificar de forma oportuna cualquier incidente de seguridad, confirmado o sospechado, que pueda afectar a la organización. 

RP.1-6: Se cuenta con una política formal de relacionamiento con proveedores. 

AD.2-2: Los requisitos de seguridad de la información se incluyen en las solicitudes y evaluaciones de compra. 

AD.2-3: Se evalúa la capacidad de los proveedores para cumplir con los requisitos de seguridad antes de la contratación.  

RP.2-2: Los contratos y acuerdos con proveedores críticos incluyen cláusulas que permiten su revisión o ajuste en caso de cambios en los servicios prestados, en las tecnologías utilizadas o en las normativas aplicables. 

AD.2-5: Los contratos con proveedores incluyen compromisos de mantenimiento de la seguridad a lo largo del ciclo de vida del producto o servicio. 

RP.2-5: Se registra y mantiene evidencia de los incumplimientos contractuales o desviaciones detectadas en los servicios provistos, incluyendo las acciones tomadas ante los mismos. 

AD.2-1: Se cuenta con lineamientos generales para la adquisición de sistemas o servicios de tecnología. 

RP.2-2: Los contratos y acuerdos con proveedores críticos incluyen cláusulas que permiten su revisión o ajuste en caso de cambios en los servicios prestados, en las tecnologías utilizadas o en las normativas aplicables. 

RP.2-4: Se documentan los resultados de las evaluaciones de desempeño y cumplimiento de requisitos de seguridad de los proveedores.  

RP.2-1: Se definen métricas e indicadores para el seguimiento y control de los proveedores, mínimamente para los proveedores críticos. 

RP.2-2: Los contratos y acuerdos con proveedores críticos incluyen cláusulas que permiten su revisión o ajuste en caso de cambios en los servicios prestados, en las tecnologías utilizadas o en las normativas aplicables. 

RP.2-3: Se define la periodicidad de las evaluaciones de los proveedores.  

RP.2-4: Se documentan los resultados de las evaluaciones de desempeño y cumplimiento de requisitos de seguridad de los proveedores. 

GI.1-1: Se encuentran identificados los puntos de contacto inicial para la recepción de eventos de seguridad. 

GI.1-2: Se identifican los potenciales actores internos y externos ante un incidente y se registran sus datos de contacto. 

GI.1-6: La política de gestión de incidentes es difundida a todas las partes interesadas. 

RP.2-1: Se definen métricas e indicadores para el seguimiento y control de los proveedores, mínimamente para los proveedores críticos. 

RP.2-2: Los contratos y acuerdos con proveedores críticos incluyen cláusulas que permiten su revisión o ajuste en caso de cambios en los servicios prestados, en las tecnologías utilizadas o en las normativas aplicables. 

AD.2-4: Se revisan y aprueban los entregables para verificar que cumplen con los requisitos de seguridad definidos.  

RP.2-3: Se define la periodicidad de las evaluaciones de los proveedores.  

RP.2-4: Se documentan los resultados de las evaluaciones de desempeño y cumplimiento de requisitos de seguridad de los proveedores.