Dominio Información
Clasificación, tratamiento y transferencia. Temas §5.1 (j) clasificación y (d) transferencia. La clasificación es el paraguas: define el nivel del que dependen todas las reglas de manejo.
La estructura del dominio clasificación = paraguas · transferencia = hija
Política de Clasificación y Tratamiento
CON-POL-TRA-INF · existe — a extender (ver observaciones)Transferencia por medios extraíbles
CON-PRO-TRAN-INF · existeBIT-EXTRAIBLES
Bitácora de solicitudes de extracción · existe (2024–2025)Qué aborda bien la política actual
Observaciones a corregir revisión del texto real · CON-POL-TRA-INF v1.1 · CON-PRO-TRAN-INF · PRO-ANONI-DP · POL-CRPT
TLS 1.2 (aquí) vs TLS 1.3 (POL-CRPT)
CON-POL-TRA-INF §3.2 fija "El medio de intercambio se encuentra cifrado por medio del protocolo TLS 1.2", mientras que POL-CRPT §3 —la política autoritativa de criptografía— exige "AES-256, TLS 1.3, SHA-256 o superiores". No es solo redundancia: es una contradicción de versión. Corrección: quitar de esta política toda especificación de protocolo y referenciar POL-CRPT (rige TLS 1.3).
El esquema de clasificación debe definirse en esta política
La política difiere la clasificación a la madre (§3.4: "…siguiendo los lineamientos establecidos en su política de seguridad de la información en materia de gestión de activos, clasificación y etiquetado") pero no define los niveles ni sus criterios — y PRO-ANONI-DP también delega a "la Política de Seguridad de la Información". Ningún documento define el esquema, así que A.5.12 queda sin dueño real. Corrección: definir el esquema (niveles + criterios) en CON-POL-TRA-INF como fuente única; el Manual lo referencia y SGI_PRO_001 lo aplica a los documentos.
Las reglas de §3.2–3.5 son genéricas ("información sensible/confidencial") — no cambian según el nivel. El corazón de una política de clasificación (que el manejo dependa del nivel) no está. Construir matriz: por nivel, cómo se almacena, transmite, etiqueta y destruye.
Reglas cripto propias sin referenciar POL-CRPT: §3.2 "claves públicas y privadas", §3.3 "datos sensibles cifrados antes de la carga" + "bases de datos cifradas en reposo", §3.5 "borrado criptográfico". Reemplazar por remisión a POL-CRPT.
CON-PRO-TRAN-INF describe el flujo (solicitud→autorización→desbloqueo de puertos USB→registro) pero no menciona cifrar el medio, cuando POL-CRPT §4.1 exige "Todo dispositivo externo deberá estar cifrado con BitLocker". Incorporar el cifrado al procedimiento.
§3.4: "Almacena la información por el tiempo que indique el dueño de la misma" — sin periodos definidos ni evaluación de requisitos legales. Definir retención por tipo/nivel.
La política cubre intercambio electrónico y verbal, pero el único procedimiento es por USB. El intercambio electrónico (correo, nube) tiene reglas de política sin procedimiento. Evaluar si requiere uno propio.
PRO-ANONI-DP cubre bien A.8.11 (enmascaramiento/anonimización), pero ningún documento aborda prevención de fuga de datos (DLP). Es un vacío — definir controles DLP o justificar su ausencia en la SoA.
Hay procedimiento operativo (PRO-ANONI-DP) pero no un lineamiento de privacidad (base legal, derechos del titular, Ley 19.628). Definir la postura de PII — puede vivir en este dominio.
§3.2 nombra "Kaspersky Small Office Security"; el antimalware (A.8.7) es materia de Sistemas y Redes. Referenciar en vez de fijar el producto aquí. (Menor.)
Los controles del dominio
| Control | Título | Estado |
|---|---|---|
A.5.12 | Clasificación de la información | ⚠ definir el esquema EN esta política (CON-POL-TRA-INF); Manual referencia, SGI_PRO_001 aplica |
A.5.13 | Etiquetado de la información | CON-POL-TRA-INF (a reforzar con el esquema) |
A.5.14 | Transferencia de información | CON-POL-TRA-INF + CON-PRO-TRAN-INF — ⚠ el procedimiento USB omite cifrar el medio (obs. 5); contradicción TLS |
A.5.33 | Protección de registros | CON-POL-TRA-INF (retención difusa) |
A.8.10 | Eliminación de la información | CON-POL-TRA-INF ✔ (sobreescritura, borrado cripto, trituradoras) |
A.8.11 | Enmascaramiento de datos | PRO-ANONI-DP ✔ (generalización, supresión, hash, cifrado) |
A.8.12 | Prevención de fugas de datos (DLP) | ⚠ vacío — PRO-ANONI-DP es enmascaramiento (A.8.11), no DLP; ningún documento cubre DLP |
A.5.34 | Privacidad y protección de la PII | PRO-ANONI-DP (procedimiento) — falta postura de política de privacidad/PII (Ley 19.628) |