Política de Seguridad de la Información – 2clix: Plataforma de monitoria

Este documento tiene como finalidad establecer las directrices y proveer los lineamientos relacionados con la seguridad de la información dentro de 2CLIX TECNOLOGIA EIRELI, además de garantizar que los colaboradores y terceros comprendan sus responsabilidades y la importancia de la Seguridad de la Información en el manejo de la información bajo responsabilidad de 2CLIX TECNOLOGIA EIRELI.

Esta política aplica a todo el Sistema de Gestión de Seguridad de la Información (SGSI) y sirve como base para todas las demás políticas de seguridad de la organización.

Este documento es PÚBLICO y está disponible para todos los colaboradores que trabajan para 2CLIX TECNOLOGIA EIRELI, así como para sus proveedores y clientes.

DEFINICIONES

Colaborador: empleado que trabaja en cualquier régimen de tiempo, integrantes de equipos temporales, prestadores de servicios y consultores que ejecutan sus actividades de forma presencial o remota y que tienen acceso a la información y a los activos de propiedad o bajo custodia de 2CLIX TECNOLOGIA EIRELI.
Dato personal: información relacionada con una persona natural identificada o identificable.
Dato personal sensible: dato personal sobre origen racial o étnico, convicción religiosa, opinión política, afiliación a sindicato u organización de carácter religioso, filosófico o político, dato referente a la salud o a la vida sexual, dato genético o biométrico cuando esté vinculado a una persona natural.
Tratamiento: toda operación realizada con datos dentro de 2CLIX TECNOLOGIA EIRELI, incluyendo la recolección, producción, recepción, clasificación, utilización, acceso, reproducción, transmisión, distribución, procesamiento, archivo, almacenamiento, eliminación, evaluación o control de la información, modificación, comunicación, transferencia, difusión o extracción.
Titular: persona natural a quien se refieren los datos personales que son objeto de tratamiento.
Dato anonimizado: dato relativo a un titular que no pueda ser identificado, considerando el uso de medios técnicos razonables y disponibles en el momento de su tratamiento.
Base de datos: conjunto estructurado de datos personales, establecido en uno o varios lugares, en soporte electrónico o físico.
Controlador: persona natural o jurídica, de derecho público o privado, a quien compete la toma de decisiones referentes al tratamiento de datos.
Operador: persona natural o jurídica, de derecho público o privado, que realiza el tratamiento de datos en nombre del controlador.
Agentes de tratamiento: el controlador y el operador.
Privacidad: derecho fundamental de controlar la exposición de la información sobre uno mismo.
Confidencialidad: garantía de que la información solo será divulgada a personas debidamente autorizadas para acceder a ella.
Disponibilidad: garantía de que los usuarios autorizados obtengan acceso a la información y a los activos de información correspondientes siempre que sea necesario, en los períodos y ambientes aprobados por la organización.
Integridad: principio que garantiza que la información no será generada con errores o solo será modificada por métodos aprobados, evitando que sea alterada o corrompida por manipulación indebida.
Seguridad de la información: consiste en la protección de los activos primarios (información y procesos) y los activos de infraestructura y soporte, ya sean personales o de una empresa. Principios básicos: Confidencialidad, Integridad y Disponibilidad.
Sistema de Gestión de Seguridad de la Información (SGSI): conjunto de Controles Internos basado en mejores prácticas de mercado y, cuando sea necesario, en conformidad con normas nacionales o internacionales, que una organización implementa de forma sistemática para proporcionar seguridad en el uso de sus Activos Primarios y Activos de Soporte e Infraestructura.
Registro de auditoría / Log: conjunto cronológico de eventos y registros utilizados para evidenciar el desempeño de un sistema o las actividades ejecutadas por un usuario. Pueden utilizarse para intentar reconstruir eventos pasados, rastrear actividades ejecutadas e identificar y responsabilizar a quien las realizó.
Backup / Restore: actividad de mover o copiar datos a un medio distinto del original, posibilitando la recuperación de la información en caso de que se encuentre indisponible o con su integridad comprometida.

GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

Objetivos

La intención de publicar una política de concientización sobre seguridad y uso aceptable no es imponer restricciones contrarias a la cultura establecida de 2CLIX TECNOLOGIA EIRELI, sino incorporar a dicha cultura el nivel de seguridad de la información exigido por el mercado, reforzando el compromiso con la protección de todos los colaboradores, socios y de la propia empresa frente a acciones ilegales o dañinas, ya sean conscientes o inconscientes.

La seguridad efectiva es un esfuerzo de equipo que involucra la participación y apoyo de cada colaborador de 2CLIX TECNOLOGIA EIRELI y empresas afiliadas que manejen información y/o sistemas informáticos. Todo usuario de computadora es responsable de conocer estas políticas y conducir sus actividades de forma adecuada.

Requisitos de Seguridad de la Información

Esta política, así como todos los demás procesos, políticas y controles del SGSI deben estar de acuerdo con los requisitos de todas las partes interesadas:

Adecuación a las exigencias legales relacionadas con la seguridad de los datos.
Garantía de seguridad física y de la información de los Colaboradores.
Garantía de espacio y equipamiento necesarios para la realización de las actividades de los colaboradores.
Implementación de controles y protocolos de seguridad exigidos en contrato.

Controles y Directrices de Seguridad de la Información

Los controles elegidos para la Seguridad de la Información y su estado se encuentran en el documento [SEG2CX01] Declaración de Aplicabilidad. Además, los controles específicos para mitigación y tratamiento de riesgos están listados en el documento [SEG2CX03.3] Tratamiento de Riesgos.

Junto con los controles específicos, existen directrices generales de Seguridad que sirven como guía inicial para la Seguridad de la Información de 2CLIX TECNOLOGIA EIRELI:

La Alta Administración de 2CLIX TECNOLOGIA EIRELI está comprometida con la implementación y la mejora continua de la Gestión de la Seguridad de la Información, buscando la sostenibilidad del negocio y la adecuación a los requisitos de seguridad y uso necesarios.
Asegurar que la información de clientes, usuarios y colaboradores sea protegida con total prioridad.
Es imprescindible que el mantenimiento, las protecciones físicas y virtuales, y la capacidad de servidores y bases de datos sean priorizados para mantener la disponibilidad constante del sistema de 2CLIX TECNOLOGIA EIRELI.
Los recursos de tecnología y comunicaciones, así como la información proporcionada por 2CLIX TECNOLOGIA EIRELI, deben ser utilizados exclusivamente para el cumplimiento de las actividades profesionales del colaborador.
2CLIX TECNOLOGIA EIRELI debe garantizar que las estaciones de trabajo de los colaboradores se mantengan funcionales y capaces de soportar las tareas necesarias para garantizar el mantenimiento del sistema y la atención adecuada a las necesidades de los clientes.
Documentos y contratos físicos y digitales deben ser almacenados en lugares seguros y solo accesibles a personas autorizadas.
Asegurar que los requisitos legales y regulatorios, las evaluaciones de activos de soporte e infraestructura, los eventos y los riesgos de Seguridad y Tecnología sean debidamente identificados, comunicados, tratados y atendidos en tiempo oportuno, con el debido análisis y formalización.
Las demandas, implementaciones e integraciones solicitadas en contrato deben ser ejecutadas de forma segura y dentro de los plazos establecidos.
El acceso a la información de 2CLIX TECNOLOGIA EIRELI mediante Activos de Soporte e Infraestructura personales o de terceros deberá seguir las mismas directrices y contar con mecanismos de seguridad equivalentes a los adoptados por la organización.
2CLIX TECNOLOGIA EIRELI debe adoptar todas las medidas necesarias para que sus colaboradores conozcan y cumplan las políticas de seguridad vigentes. Los administradores y representantes legales de estas empresas responderán objetivamente ante 2CLIX TECNOLOGIA EIRELI o terceros por los actos, acciones u omisiones de sus colaboradores en caso de incumplimiento de las Políticas de Seguridad listadas en los documentos del grupo SEG2CX.
La toma de conocimiento y aceptación de las Políticas de Seguridad de la Información y demás Políticas y Normas establecidas deben formalizarse mediante la firma del Término de Responsabilidad y Confidencialidad en el momento de la firma del contrato.
El acceso a los activos de información y a la información de 2CLIX TECNOLOGIA EIRELI será permitido de acuerdo con la necesidad de cada equipo para desempeñar sus funciones, recibiendo solo el acceso estrictamente necesario.
Las credenciales de acceso son personales e intransferibles, y cada colaborador debe mantenerlas en secreto y no compartirlas.
Las violaciones a los controles y reglas de las Políticas de Seguridad del SGSI están sujetas a las penalidades previstas en la legislación y deben reportarse inmediatamente al equipo de Seguridad.
Está expresamente prohibido desarrollar o utilizar programas / mecanismos que puedan suprimir o alterar el funcionamiento de los controles internos implementados.
La información bajo responsabilidad de 2CLIX TECNOLOGIA EIRELI no debe permanecer expuesta ni almacenada en lugares donde pueda ser accesible a personas no autorizadas.
La efectividad de los Planes de Continuidad de Negocio será garantizada mediante evaluaciones, mantenimiento y pruebas periódicas, asegurando la máxima protección de activos y procesos críticos.
2CLIX TECNOLOGIA EIRELI debe conocer, cumplir y hacer cumplir sus directrices de seguridad de la información y uso.

Gestión de Riesgos

La Gestión de Riesgos de Seguridad y Tecnología se encuentra en el documento [SEG2CX03] Gestión de Riesgos. Los resultados de los procesos de Identificación, Análisis y Tratamiento de riesgos se describen en las documentaciones derivadas [SEG2CX03.1], [SEG2CX03.2] y [SEG2CX03.3]. Estos cuatro documentos describen todo el proceso de mantenimiento de riesgos, incluidos los criterios de evaluación y aceptación, así como las métricas utilizadas para garantizar la reproducibilidad y comparación entre evaluaciones.

Continuidad de Negocios

El proceso de gestión de continuidad de negocios está descrito en [SEG2CX07.1] Plan de Continuidad de Negocios. En este documento se definen las actividades para la creación, ejecución, pruebas y actualización del PCN con el fin de identificar y mitigar los impactos causados por la interrupción de actividades críticas del negocio de 2CLIX TECNOLOGIA EIRELI y sus activos.

Gestión de la Seguridad de la Información

La estructura del equipo de Seguridad debe ser formal y los colaboradores que desempeñan estas funciones deben poseer conocimientos específicos en esta disciplina. Es responsabilidad del equipo de Seguridad la conducción de las iniciativas y acciones tácticas y operativas.

Las iniciativas estratégicas de Seguridad de la Información deben ser evaluadas y patrocinadas por un Comité de Seguridad de la Información, compuesto por un representante designado por la Administración, el responsable de Seguridad, especialistas cuando sea necesario y representantes con funciones gerenciales claramente definidas en el organigrama de 2CLIX TECNOLOGIA EIRELI. Actualmente, el CSI está compuesto por un representante de los equipos de Seguridad, Proyectos y un representante de la Administración.

Gestión de Recursos Humanos

Las responsabilidades de colaboradores y terceros se describen en la [SEG2CX12] Política de Seguridad de Recursos Humanos, para garantizar la correcta concientización, prevención de eventos de Seguridad y aplicación de penalidades de acuerdo con las fases del contrato de trabajo o prestación de servicios.

Para la Seguridad de la Información, la gestión de Recursos Humanos se basa en los siguientes requisitos y objetivos:

Las directrices y responsabilidades de seguridad deben comunicarse claramente a los colaboradores durante el proceso de selección y contratación.
Debe verificarse el historial profesional y, cuando proceda, el historial criminal de candidatos y terceros, de acuerdo con la legislación, normativas y principios éticos.
Procedimientos formales de revocación y autorización de accesos deben aplicarse en los procesos de desvinculación, cambio de cargo, función o actividad, ya sea en 2CLIX TECNOLOGIA EIRELI o en la empresa responsable por el colaborador.
Todos los activos e información en posesión del colaborador deben ser devueltos cuando se produzca la desvinculación o la finalización de contratos con terceros.

Tratamiento y Clasificación de la Información

Se debe garantizar que la información bajo responsabilidad de 2CLIX TECNOLOGIA EIRELI sea tratada de forma adecuada durante todo su ciclo de vida. Todos los activos deben ser identificados, inventariados y clasificados (según confidencialidad y criticidad) para su correcta gestión y definición del nivel de protección adecuado.

Información Pública: información que puede ser accedida por todos los colaboradores, clientes, prestadores de servicios y público en general.
Información Interna: información que solo puede ser accedida por colaboradores. Son informaciones que tienen un grado de confidencialidad que puede comprometer la imagen de la organización.
Información Restringida: información que solo puede ser accedida por usuarios de la organización explícitamente indicados por nombre o área, y por socios de la organización, cuando exista necesidad y bajo firma de un NDA. La divulgación no autorizada de esta información puede causar impacto (financiero, de imagen u operativo) al negocio de la organización o de sus clientes.
Dato Personal: información que puede utilizarse para identificar a una persona natural.
Dato Personal Sensible: datos que traen información particular del titular, tales como origen racial o étnico, convicción religiosa, opinión política, afiliación a sindicato u organización de carácter religioso, filosófico o político, datos referentes a la salud o la vida sexual, datos genéticos o biométricos.

Gestión de Credenciales de Acceso

Las solicitudes y aprobaciones de acceso en 2CLIX TECNOLOGIA EIRELI deben seguir procesos formales descritos en el documento [SEG2CX09] Gestión de Accesos, que define el uso de contraseñas, el control de privilegios concedidos o denegados y el ciclo de actualización y revisión de accesos.

La segregación de funciones debe aplicarse para reducir oportunidades de cambios o uso indebido de activos de información, ya sea de forma accidental o intencional.

Trabajo Remoto (Home Office)

VPN

El acceso a la red de la empresa a través de una VPN permite un mayor nivel de seguridad para la red interna, ya que dicho acceso se realiza mediante una conexión cifrada.

Política de Contraseñas

Utilizar contraseñas de al menos 8 caracteres alfanuméricos, incluyendo caracteres especiales (@ # $ %) y variación de mayúsculas y minúsculas.
No utilizar la misma contraseña para diferentes propósitos (por ejemplo: sistemas corporativos, cuenta bancaria, correo electrónico, etc.).
La contraseña no debe compartirse con nadie. En caso de sospecha sobre su seguridad, deberá ser cambiada inmediatamente.
Todo lo que se ejecute con una contraseña será responsabilidad del “dueño” del acceso.
Las contraseñas no deben anotarse ni almacenarse en archivos electrónicos sin cifrar.
Las contraseñas no deben basarse en información personal (nombre propio, nombre de familiares, fecha de nacimiento, dirección, matrícula de vehículo, nombre de la empresa, departamento, etc.) ni estar formadas por combinaciones obvias de teclado como “abcdefgh”, “87654321” u otras similares.
Se recomienda el uso de un software administrador de contraseñas para generar contraseñas fuertes y almacenarlas de forma segura.

Política de Uso y Estación de Trabajo

Cada estación de trabajo posee identificadores internos que permiten reconocerla en la red, y cada individuo tiene su propia estación de trabajo. Esto significa que todo lo que sea ejecutado desde una estación será responsabilidad del colaborador responsable de ella.

No instalar ningún tipo de software / hardware sin autorización del equipo técnico o de seguridad en dispositivos proporcionados por la empresa.
Mantener en la estación solo lo estrictamente necesario. Todos los datos relativos a la empresa deben resguardarse en la nube de Google Drive o en repositorios Azure.
No intentar obtener acceso no autorizado a otros equipos, servidores o redes.
No acceder a información confidencial sin autorización expresa del propietario.
No analizar los datos que transitan por la red sin autorización.
No interrumpir servicios, servidores o redes mediante cualquier método ilícito o no autorizado.
No hospedar pornografía, material racista ni cualquier otro contenido que viole la legislación vigente, la moral, las buenas costumbres o el orden público.
No utilizar software pirata en equipos de la empresa.

Antivirus

Mantener el antivirus y el sistema operativo actualizados.
Reportar comportamientos sospechosos del sistema al equipo técnico.
Reportar conflictos entre el antivirus y los programas necesarios para la realización de las funciones laborales.

Gestión de la Seguridad Física y del Entorno

Los ambientes y perímetros donde se accede o se encuentra la información bajo responsabilidad de 2CLIX TECNOLOGIA EIRELI deben protegerse con controles de acceso físico, monitoreo, identificación de colaboradores y registros de auditoría.

Copias de Seguridad (Backup/Restore)

Las copias de seguridad de la información y de los activos de infraestructura y soporte deben realizarse y probarse periódicamente, almacenándose adecuadamente durante períodos definidos según las directrices establecidas y alineadas con la garantía de Continuidad de Negocios de 2CLIX TECNOLOGIA EIRELI.

Gestión de Operaciones y Comunicaciones

Los procedimientos operativos deben estar documentados, actualizados y disponibles para los colaboradores.
Los ambientes de desarrollo, homologación y producción deben estar segregados para reducir el riesgo de acceso no autorizado a la información o de cambios no autorizados en los activos.
El uso de los activos de información debe monitorearse periódicamente para proyectar la capacidad y el desempeño futuro de los mismos.
La asignación de recursos debe planificarse adecuadamente para atender las demandas variables de capacidad de los activos.
Deben establecerse criterios de aceptación para nuevos sistemas, actualizaciones y nuevas versiones, así como procedimientos de pruebas antes de la puesta en producción.
Deben implementarse controles de detección, prevención y protección contra códigos maliciosos (virus, malware, adware, ransomware, etc.) y procedimientos de concientización.
Los aspectos de seguridad, niveles de servicio y requisitos para la gestión de todos los servicios de red deben estar identificados y mencionados en los acuerdos y contratos.
Deben existir procedimientos documentados para la gestión de medios físicos, a fin de prevenir exposición, modificación, eliminación no autorizada o interrupción de las actividades de negocio.
El proceso de destrucción de medios y documentos, cuando ya no sean necesarios, debe realizarse de forma segura y de acuerdo con un procedimiento interno.
Deben existir procedimientos para el monitoreo de activos de información y para la revisión periódica de los resultados.
El registro de actividades de usuarios, sistemas y transacciones (registros de auditoría), excepciones y eventos de seguridad de la información debe mantenerse y almacenarse durante un período acordado, para cumplir normativas, posibilitar futuras investigaciones y monitorear el control de accesos.

Adquisición, Desarrollo y Mantenimiento de Activos de Información

Los requisitos de seguridad deben identificarse y adoptarse antes del desarrollo o evaluación del activo de información.
El análisis de las especificaciones de seguridad debe considerarse como una fase del proyecto y estar justificado, acordado y documentado.
El uso de controles de cifrado para protección de activos de información debe seguir los requisitos exigidos y considerarse parte del proceso de análisis y mitigación de riesgos, mediante la selección e implementación de controles.
Los procesos de generación, distribución, resguardo y revocación de claves criptográficas deben seguir procedimientos formales.

Gestión de Incidentes de Seguridad

Los procedimientos de respuesta a incidentes que involucren recursos de 2CLIX TECNOLOGIA EIRELI y de terceros deben estar definidos y publicados con el objetivo de mantener la mejora continua en los procesos relacionados con la gestión de incidentes de seguridad.

La comunicación de eventos de seguridad y vulnerabilidades identificadas en los activos de información de 2CLIX TECNOLOGIA EIRELI debe seguir procedimientos formales para que se apliquen correcciones o acciones necesarias en tiempo oportuno.

Actividades de Correo Electrónico y Comunicación

La cuenta de correo electrónico proporcionada por 2CLIX TECNOLOGIA EIRELI es de uso exclusivamente profesional, y el área de TI es responsable por su gestión. El usuario es responsable por todo acceso, contenido de mensajes y uso relacionado a su cuenta de correo.

La empresa podrá, en cualquier momento, monitorear el envío y recepción de mensajes de sus colaboradores (empleados y pasantes) y partes involucradas (excepto clientes). Está prohibido crear, copiar o reenviar mensajes o imágenes que:

Contengan declaraciones difamatorias o lenguaje ofensivo de cualquier naturaleza.
Formen parte de cadenas de mensajes, independientemente de que sean legales o ilegales.
Difundan publicidad o mensajes de alerta sobre cualquier tema. Si el usuario considera que el contenido puede ser útil para 2CLIX TECNOLOGIA EIRELI, deberá enviar la sugerencia al área de Recursos Humanos, que decidirá sobre su eventual divulgación.
Menosprecien, discriminen o inciten prejuicios contra determinadas clases, tales como sexo, raza, orientación sexual, edad, religión, nacionalidad, lugar de nacimiento o discapacidad física.
Contengan información pornográfica, obscena o inapropiada para un ambiente profesional.
Sean hostiles o transmitan indirectamente mensajes hostiles; defiendan o posibiliten la realización de actividades ilegales; o puedan perjudicar la imagen de 2CLIX TECNOLOGIA EIRELI, sus socios o clientes.
Alterar el contenido original de mensajes y reenviarlos sin mencionar dicha alteración. La modificación no autorizada de mensajes originales puede caracterizarse como fraude y será tratada judicialmente conforme a la legislación vigente.

Acceso a Internet

Una vez creadas las cuentas corporativas y otorgado el acceso a la estación de trabajo de 2clix, el colaborador no podrá acceder a sitios con el siguiente contenido:

Pornografía;
Racismo;
Hacking;
Juegos;
Chats;
Webmail;
Mensajería instantánea;
Búsqueda de software pirata;
Redes sociales y sitios de relacionamiento;
Otros que el Comité de Seguridad (CSI) determine como restringidos.

Auditoría y Conformidad

El uso de información o activos de información que puedan estar sujetos a derechos de propiedad intelectual, tales como derechos de autor, patentes o marcas registradas, debe seguir procedimientos apropiados para garantizar la legalidad en su utilización.
Los procedimientos de seguridad deben ser seguidos correctamente para alcanzar la conformidad con las Políticas, Normas y Procedimientos de 2CLIX TECNOLOGIA EIRELI, así como para cumplir cláusulas contractuales específicas.
Los controles implementados sobre los activos de información deben revisarse periódicamente para asegurar la conformidad con los documentos de la Política de Seguridad de la Información.
Los controles deben auditarse periódicamente para identificar desviaciones en configuraciones, intentos de acceso o accesos no autorizados, y privilegios incompatibles con funciones y cargos.
Las herramientas de auditoría y sus resultados deben ser de acceso restringido a los responsables involucrados.

Excepciones

Todas las excepciones deben seguir procedimientos formales de registro y autorización. En ningún caso la excepción podrá anular el control original implementado, y los controles compensatorios adoptados serán incorporados y tratados como nuevos controles de Seguridad.

Responsabilidades

El responsable del equipo de Seguridad debe garantizar que el SGSI sea implementado conforme al alcance y controles definidos en los documentos de seguridad de la información.
Se asigna al equipo de Seguridad la responsabilidad de comunicar y capacitar a los demás equipos para la correcta adaptación y uso de los procesos y controles de seguridad adoptados.
En conjunto con la Administración, el equipo de Seguridad debe revisar la documentación, procesos y controles conforme a los ciclos definidos en sus respectivas secciones de “Validez y gestión de documentos”.
El responsable de la creación de accesos debe comunicar a los colaboradores sus credenciales cuando sean creadas o modificadas, así como ser responsable por su revocación cuando sea necesario.
Todos los incidentes de seguridad deben reportarse al responsable del equipo de Seguridad.
Todo incidente o cambio en el alcance del tipo de tratamiento de datos debe ser comunicado a la parte interesada representante del dato. Esta comunicación debe ser realizada por el responsable de Seguridad o por el Administrador del Sistema.
El equipo de Seguridad debe organizar e impartir capacitaciones para la concientización de los demás colaboradores sobre las políticas y procesos de seguridad adoptados por la organización.
Es responsabilidad de todo colaborador conocer, cumplir y hacer cumplir las directrices de seguridad de la información de 2CLIX TECNOLOGIA EIRELI.

Comunicación de la Política

La comunicación de esta política es responsabilidad del equipo de Seguridad, que debe mantener los documentos actualizados en los repositorios compartidos de Google Drive y en la wiki de Azure DevOps, además de organizar entrenamientos para todos los equipos siempre que sea necesario.

APOYO A LA IMPLEMENTACIÓN DEL SGSI

El equipo de Administración declara su apoyo a la implementación del SGSI y trabajará para reforzar las políticas y procesos en la cultura de 2CLIX TECNOLOGIA EIRELI, así como para implementar los controles necesarios para la adecuación de la organización a los estándares de seguridad deseados.

PENALIDADES

El uso de dispositivos y/o credenciales de identificación de otra persona constituye delito tipificado en el Código Penal Brasileño (art. 307 – falsa identidad).
Si existiera un login compartido por más de un colaborador, la responsabilidad ante 2CLIX TECNOLOGIA EIRELI y la ley (civil y penal) será de los usuarios que lo utilicen. No obstante, si se identificara conocimiento o autorización del gestor respecto al uso compartido, este también podrá ser responsabilizado.
Corresponderá al Comité de Seguridad juzgar a los colaboradores que infrinjan las normas aquí establecidas.

VALIDEZ Y GESTIÓN DE DOCUMENTOS

Este documento pasa a ser válido a partir de la fecha de su última aprobación y tiene una vigencia de hasta un año.

El equipo de Seguridad es responsable de revisar, auditar y actualizar este documento, pudiendo anticipar el proceso de actualización cuando sea necesario.

Para garantizar una evaluación clara y objetiva, se utilizarán los siguientes factores como criterios de evaluación:

Cantidad de incidentes causados por definiciones confusas o imprecisas en la política de seguridad.
Tiempo perdido por colaboradores en procesos redundantes o excesivamente burocráticos.
Evolución del registro de infractores de procesos de seguridad.
Procesos ineficaces en relación con los objetivos para los que fueron implementados.
Alineación con los requisitos legales y contractuales.

Los registros de incidentes relacionados con el contenido de este documento y de los demás procesos de seguridad de 2CLIX TECNOLOGIA EIRELI serán almacenados en una carpeta específica en el directorio de documentos internos.