Política de Seguridad de la Información

La información es un activo estratégico para Confuturo. Su protección es fundamental para la continuidad operacional, el cumplimiento normativo y la confianza de clientes, pensionados, colaboradores, proveedores y demás partes interesadas. La Compañía gestiona la seguridad de la información mediante un Sistema de Gestión de Seguridad de la Información (SGSI), alineado con ISO/IEC 27001 y basado en la gestión continua de riesgos

Objetivo

Establecer el marco general para proteger los activos de información durante todo su ciclo de vida, resguardando su confidencialidad, integridad, disponibilidad y privacidad; apoyar la continuidad del negocio; cumplir los requisitos legales, regulatorios y contractuales aplicables; e integrar la seguridad de la información en los procesos y objetivos de la organización.

Alcance

Esta política aplica a todos los activos de información de Confuturo, independientemente de su formato, ubicación o medio, desde su generación y uso hasta su almacenamiento, transmisión y eliminación.
Su cumplimiento alcanza a todos los colaboradores, procesos y tecnologías, así como a contratistas, proveedores y terceros que accedan, procesen o gestionen información de la organización en función de los servicios que prestan. El alcance específico del SGSI se mantiene documentado en el “Alcance del Sistema de Gestión de Seguridad de la Información” y en la “Declaración de Aplicabilidad (SoA)”.

Principios Generales

• Confidencialidad, integridad y disponibilidad: proteger la información frente a accesos no autorizados, alteraciones indebidas o pérdida de disponibilidad, asegurando su acceso oportuno únicamente a quienes estén autorizados.
• Protección de datos personales y privacidad: proteger los datos personales como activos de información, en coordinación con las políticas y lineamientos de privacidad de la organización.
• Enfoque basado en riesgos: identificar, evaluar y tratar los riesgos que puedan afectar los activos de información y tomar decisiones de seguridad de acuerdo con su nivel de riesgo.
• Cumplimiento: observar los requisitos legales, regulatorios, contractuales y normativos aplicables en materia de seguridad de la información.
• Gestión de terceros y cadena de suministro: establecer mecanismos para que proveedores, contratistas y terceros gestionen adecuadamente los riesgos de seguridad asociados a los servicios que prestan.
• Continuidad y resiliencia: coordinar la seguridad de la información con las capacidades de continuidad del negocio para resguardar la disponibilidad y recuperación de los servicios críticos.
• Gestión de incidentes: detectar, reportar y gestionar oportunamente los incidentes de seguridad, minimizando su impacto y promoviendo el aprendizaje organizacional.
• Cultura y concientización: reconocer que la seguridad de la información es responsabilidad de todos y promover el cumplimiento de la política y las actividades de formación definidas.
• Gobernanza y mejora continua: monitorear, medir, analizar y evaluar el SGSI, realizar revisiones y auditorías periódicas y gestionar desviaciones mediante acciones correctivas orientadas a prevenir su recurrencia.

Compromiso de Proveedores y Terceros

Los proveedores y terceros deben cumplir los requisitos de seguridad de la información definidos por Confuturo conforme a los acuerdos contractuales y al nivel de riesgo asociado a los servicios prestados. Cuando corresponda, deberán proteger adecuadamente la información a la que accedan o que procesen, aplicar los controles acordados y reportar oportunamente incidentes o situaciones de riesgo

Gobierno, Revisión y Cumplimiento

La política es aprobada por las instancias de gobierno definidas por Confuturo, se comunica a colaboradores, contratistas, proveedores y terceros relevantes, y se revisa al menos una vez al año o ante cambios significativos. Su cumplimiento puede ser objeto de auditoría y los incumplimientos pueden dar lugar a medidas administrativas, contractuales o legales, según corresponda.