Creación, actualización, revisión y aprobación del documento
Este documento fue aprobado por:
Versión
Fecha de Actualización
Descripción del Cambio
Aprobación
V5
Junio 2026
Actualización completa
Vicepresidente de TI
2
Contenido 1.
Objetivo ...................................................................................................................................... 4
2.
Misión, Visión y Valores ............................................................................................................. 4
3.
Alcance ........................................................................................................................................ 5
4.
Principios del Manual ................................................................................................................. 5
5.
Glosario de Términos.................................................................................................................. 7
6.
Responsabilidades .................................................................................................................... 10
7. Políticas de Seguridad para la protección de los recursos tecnológicos dirigidas a los usuarios de OFP, CEDIS y PDV. ......................................................................................................... 13
8.
9.
7.1
Protección de los recursos tecnológicos físicos ............................................................. 13
7.2
Reporte de Daño de Equipo Tecnológico ....................................................................... 18
7.3
Reporte de Robo, Hurto o Extravío de Equipo Tecnológico .......................................... 20
7.4
Dispositivos de Almacenamiento Externo ..................................................................... 21
Políticas para el uso de recursos tecnológicos digitales ......................................................... 24 8.1.
Uso de Internet ............................................................................................................... 24
8.2.
Conectividad y uso de redes inalámbricas (WI-FI) ......................................................... 25
8.3.
Correo Electrónico ........................................................................................................... 27
8.4.
Creación y gestión de contraseñas ................................................................................. 28
Políticas para el uso y cuido de los centros de procesamiento de datos. .............................. 35 9.1.
Centro de Procesamiento de Datos (CPD) ...................................................................... 35
10. Acciones disciplinarias .............................................................................................................. 39 10.1.
Terminación de Relación Laboral ................................................................................... 40
11. Políticas de confidencialidad .................................................................................................... 41 12. Anexos....................................................................................................................................... 42 12.1.
Anexo 1. Extracto de la LOTTT ........................................................................................ 42
12.2.
Anexo 2. Contrato de Comodato de Entrega de Recursos Tecnológicos ....................... 43
12.3.
Anexo 3. Carta Relato Incidente de Seguridad .............................................................. 45
12.4.
Anexo 4. Reporte de Incidente de Seguridad................................................................. 46
12.5.
Anexo 5. Formato Excepción ID de Usuario ................................................................... 47
12.6.
Anexo 6. Formato de Solvencia Tecnológica ................................................................. 48
12.7.
Anexo 7. Formato de Orden de Salida............................................................................ 49
12.8
Anexo 8. Parámetros para configurar la firma de correo desde la cuenta de Gmail. .. 50
12.9
Anexo 9. Miembros de la OPCI. ...................................................................................... 51
3
1.
Objetivo Definir un marco de actuación claro para el usuario final, que sirva como guía para entender los lineamientos y responsabilidades en cuanto al manejo de la infraestructura y datos de la empresa, permitiendo proteger los activos, tanto físicos como digitales e incluyendo aspectos de ciberseguridad para identificar, prevenir y reportar amenazas cibernéticas, cuyo propósito es prevenir incidentes que pongan en riesgo la continuidad operatividad.
2.
Misión, Visión y Valores Misión: Garantizar la confidencialidad, integridad y disponibilidad de la información de la empresa, proporcionándoles las directrices y herramientas necesarias a los usuarios para actuar como guardianes activos de los activos corporativos, buscando, minimizando, los riesgos y asegurando la continuidad operativa frente a las amenazas del entorno cibernético. Visión: Consolidar una cultura organizacional de seguridad donde la protección de la información y los activos de la empresa sea un valor intrínseco en cada proceso, logrando que cada usuario identifique y mitigue riesgos de forma proactiva, posicionando a la empresa como un referente de confianza, ética y resiliencia en el manejo de datos. Valores: Responsabilidad Compartida: La seguridad no es solo tarea del departamento de tecnología, sino un compromiso individual que protege el bienestar colectivo. Transparencia: Fomentamos una comunicación abierta donde reportar un error o una posible amenaza sea valorado por encima de ocultar el incidente. Prudencia Digital: Promovemos el actuar con cautela y pensamiento crítico ante cada clic, descarga o intercambio de información, priorizando la verificación sobre la confianza. Integridad: Manejamos los datos de la organización y de nuestros clientes respetando la privacidad y el cumplimiento legal.
4
Aprendizaje Continuo: Reconocemos que las amenazas evolucionan, por lo que nos mantenemos en constante formación para anticipar los riesgos del mañana. 3.
Alcance Las disposiciones contenidas en este manual son de cumplimiento obligatorio para todos los trabajadores Gama (directivos, vicepresidentes, gerentes y trabajadores en general) incluyendo pasantes y proveedores externos que tengan acceso a los activos de información. Este alcance se extiende a: Infraestructura Física: Todas las instalaciones de la empresa, entiéndase CEDIS, Sucursales y Oficina Principal. Entornos Digitales: Correo corporativo, software empresarial tanto propio como tercerizado y plataformas en la nube y bases de datos. Dispositivos: Aplica para todos los equipos tecnológicos que son propiedad de la empresa, se toman en cuenta los que prestan servicio a los clientes en piso de venta (cajas, balanzas, verificadores, PDA, PDT, TV, impresoras, etiquetadoras, entre otros), así como las PC, laptops, tabletas, teléfonos móviles corporativos y demás. Ubicación: El cumplimiento es exigible tanto en modalidad presencial como en teletrabajo o viajes de negocios.
4.
Principios del Manual Gama Supermercados C.A., considera que su información, datos y aplicaciones son los activos más valiosos de la empresa, por lo tanto, los usuarios que utilizan los recursos tecnológicos deben ser conscientes de sus responsabilidades y obligaciones en relación con los siguientes puntos expuestos: − Deben cumplir las políticas de seguridad tecnológica establecidas en este − Es su obligación leer y entender toda la información contenida en este, así como los cambios, modificaciones o incorporaciones de nuevas políticas en el mismo. Si existiera alguna duda, la comunicará a la OPCI, para que dicha duda sea aclarada.
5
− No deberán hacer declaraciones o expresar opiniones que pretenden ser las de la empresa sin la autorización apropiada. − La información confidencial o personal no debe ser compartida con nadie que no tenga una necesidad justificada de conocer dicha información, esto aplica a cualquier forma en que se presente la información: escrita, impresa o en formato electrónico. − Los recursos de tecnología deben ser utilizados por los usuarios con criterio corporativo y un máximo de eficiencia para el desarrollo óptimo de las actividades propias del negocio. − La OPCI, se reserva el derecho de efectuar procedimientos de auditoría y monitoreo de los usuarios, equipos, dispositivos y sistemas pertenecientes a la empresa, con la finalidad de detectar cualquier irregularidad y, sobre todo, determinar la correcta utilización de estos. − Se debe notificar de inmediato a la OPCI, si se extravía cualquier recurso tecnológico asignado por la empresa o si es de uso personal, pero posee configurada la cuenta de correo electrónico de la corporativo; de tal manera que se pueda eliminar de forma remota la información contenida en los dispositivos. − En caso de incumplimiento de algunas de estas políticas, el usuario afectado deberá informar inmediatamente al supervisor directo y a la OPCI. − Este manual debe ser difundido a todos los usuarios bajo relación laboral con Gama Supermercados C.A. cuando se requiera, para su estudio, conocimiento y concientización. − No está permitido que un miembro de la empresa se haga pasar por otro individuo, ya sea en persona o mediante cualquier tecnología o medio electrónico. − El incumplimiento por parte de los usuarios de cualquiera de las políticas descritas en este manual, pueden ser causa para la aplicación de las acciones disciplinarias.
6
− Las actualizaciones de manual serán comunicadas a todos los usuarios cuando sea necesario apoyadas con su respectiva confirmación de entendido por parte de los usuarios. − La confirmación de enterado de este manual es obligatoria y será monitoreada por la OPCI. 5.
Glosario de Términos − Auditoría: Se define como un proceso de revisión e inspección de cualquier aspecto relacionado con Gama Supermercados C.A., con la finalidad de determinar el grado de cumplimiento entre la realidad de los hechos y los criterios establecidos, para luego comunicar los resultados a las personas interesadas. − Carta Relato de Incidente de Seguridad: Es un documento donde se describe la ocurrencia de un incidente de seguridad asociado a un recurso tecnológico, el cual es elaborado por el usuario involucrado en el incidente. Debe contener los siguientes datos: nombres y apellidos del usuario involucrado con el incidente de seguridad, número de cédula de identidad, fecha y hora del incidente, estado, ciudad, municipio, explicación detallada de lo ocurrido con el recurso tecnológico y la firma del usuario. − Confidencialidad: Se refiere a la protección de la información sensitiva frente a una posible revelación no autorizada. − Contrato de Comodato de Entrega de Recursos Tecnológicos: Es un documento donde se establece un acuerdo legal entre el trabajador y Gama Supermercados, C.A., en relación con la entrega de un recurso tecnológico en calidad de préstamo por el tiempo que dure la relación laboral del trabajador con la empresa. − Control: Verificación de lo que ocurre en conformidad con lo planteado. Tiene como finalidad de identificar las debilidades y errores, con el propósito de aplicar las acciones necesarias e impedir que se produzcan nuevamente. − CPD: Centro de Procesamiento de Datos. 7
− Formato de Solvencia Tecnológica: Documento que certifica la devolución de los recursos tecnológicos asignados al trabajador cuyo proceso de egreso se encuentra en curso. − Formato de Orden de Salida: Documento utilizado para registrar y autorizar el traslado de recursos tecnológicos, siguiendo el procedimiento establecido por el área de PCP. − Formato de Excepción ID de Usuario: Formato de excepción para mantener activa la cuenta de un usuario luego de terminada la relación laboral con la empresa. − Información: Es el activo más importante para cualquier empresa. La información existe en muchas formas: impresa o escrita, almacenada electrónicamente, transmitida por correo o utilizando medios electrónicos. − JOPCI: Jefe de Oficina de Protección y Control de la Información. − OPCI: Oficina de Protección y Control de la Información. − OFP: Oficina Principal − PDA: “Personal Digital Assistant” o por sus siglas en español “Asistente personal digital”, son dispositivos electrónicos portátiles que proporcionan funcionalidades de computación y organización personal. − PDT: “Portable Data Terminal” o por sus siglas en español “Terminal de datos portátil”, son dispositivos dirigidos al uso industrial utilizados como lectores móviles de código de barras, código de puntos o etiquetas de radio frecuencia. − PDV: Piso de venta. − Recurso Tecnológico: Se consideran recursos tecnológicos los siguientes elementos: computadoras de escritorio, laptops, mouse, teclados, monitores, video beam, cajas (post de ventas), gavetas, monitor cliente, triton, escáner balanzas, escáner de mano, balanzas colgantes, verificadores de precio, capta huellas, impresoras fiscales, cable de data serial, impresoras (laser - deskjet - zebra – datamax - matriz 8
de punto), cable de impresora USB, dispositivo móvil USB de conexión inalámbrica (Movilnet / Movistar), dispositivo móvil corporativo, consolas de PDT, PDA, cornetas de sonido, licencias de software, switches, routers, accespoint, servidores, KVM, entre otros. − Reporte de Incidente de Seguridad: Es un documento elaborado por la OPCI, donde se describe la ocurrencia de un incidente de seguridad en base a la Carta Relato de Incidente de seguridad presentada por el usuario involucrado. En este reporte se debe explicar los pasos a seguir que conduzcan la solución según sea el incidente, así como las acciones disciplinarias que se aplicarán. − Riesgo Tecnológico: Posibilidad de que existan consecuencias indeseables, producto de un acontecimiento relacionado con el acceso o uso indebido de la tecnología y cuya aparición no se puede determinar sino más bien mitigar. − Seguridad de la información: Se logra al implementar un conjunto adecuado de políticas, procedimientos, estructuras organizativas y otras acciones que hacen que la información pueda ser manipulada de una forma segura. − SETI: Servicio de Excelencia de Tecnología de Información y hace referencia al Escritorio de Servicio de TI. − Streaming: Término informático que traducido al español se denomina transmisión y se define como la distribución digital de archivos multimedia a través de una red de computadoras, de manera que el usuario final pueda consumir el producto en paralelo mientras éste se descarga. − Stakeholders: Son todas las personas, grupos u organizaciones que tienen algún interés en el proyecto, o que se ven beneficiados o afectados por su uso y resultados, cualquier individuo, equipo u organización que participe activamente en el sistema, o cuyas necesidades e intereses deban ser considerados para el éxito del mismo. − Tercero: Cualquier contratista y/o proveedor de servicio de tecnología externo contratado para fines comerciales por Gama Supermercados, C.A. 9
− Usuario final: Toda persona empleada o contratada por Gama Supermercados C.A. que utilice hardware o software perteneciente a la empresa, estando dentro o fuera de sus instalaciones. − VPTI: Vicepresidencia de Tecnología de la Información − WI-FI: Tecnología de red inalámbrica a través del cual dispositivos como computadores (Portátiles y de escritorio), dispositivos móviles (Teléfonos inteligentes y accesorios), y otros equipos (Impresoras, videocámaras, etc.) pueden interactuar con internet. 6.
Responsabilidades −
Comité de Dirección: Comprometerse con el establecimiento del modelo de gestión de la seguridad de la información en la empresa, apoyando la implantación de los procedimientos adecuados que minimicen los riesgos existentes.
−
Vicepresidente de Tecnología de la Información: Aprobar las acciones definidas para darle solución a los incidentes de riesgo tecnológico que se materialicen y afecten la operatividad y la seguridad de la información de Gama Supermercados, C.A., también monitorear el cumplimiento de las funciones de la OPCI, evaluar y establecer junto al JOPCI las sanciones o acciones disciplinarias que se deben aplicar a los usuarios que violen las Políticas de Seguridad Tecnológicas dirigidas a usuarios finales establecidas en este .
−
Oficina de Protección y Control de la Información (OPCI): Desarrollar, controlar y gestionar las Políticas de Seguridad Tecnológicas para Gama Supermercados, C.A.
−
Jefe de Protección y Control de la Información (JOPCI): Evaluar, reportar, fijar acciones y monitorear los incidentes o debilidades de seguridad de la red y los recursos tecnológicos de Gama Supermercados, C.A.
−
Gerencia de Tecnología: Identificar y prevenir los incidentes o debilidades de seguridad dentro de la plataforma tecnológica de Gama Supermercados, C.A.
10
−
Gerencia de Aplicaciones TI: Garantizar el funcionamiento de todas las aplicaciones que apoyan los procesos de negocio, a fin de promover la operatividad y correcta interrelación de los sistemas dentro de los lineamientos establecidos y enmarcados en los valores de la empresa.
−
Gerencia de Servicios TI: Promover y asegurar una gestión efectiva de los equipos tecnológicos, brindando servicios de soporte eficientes tanto a clientes internos como externos, manteniendo la continuidad operativa mediante una gestión proactiva de los activos en toda la organización.
−
Gerencia de Prevención y Control de Perdidas (PCP): Identificar, evaluar y mitigar los riesgos operativos y de seguridad que puedan afectar a la organización.
−
Gerencia de Gestión de Personal: Liderar y supervisar las actividades relacionadas con la contratación, desarrollo, gestión del desempeño, compensación y bienestar del personal de la organización. Además, se encarga de garantizar el cumplimiento de las políticas y regulaciones laborales, así como de fomentar un ambiente laboral positivo y productivo.
−
Terceros (Stakeholders, proveedores, contratistas): Cumplir con lo dispuesto en el de Políticas de Seguridad Tecnológicas para Usuarios Finales y darle buen uso a los recursos tecnológicos que ha otorgado la empresa para el cumplimiento de sus actividades laborales.
−
Usuario Final: es responsable de notificar a SETI (Servicio de Excelencia de Tecnología de Información) sobre cualquier incidente tecnológico de seguridad ocurrido y cualquier debilidad encontrada en su computador asignado o cualquier equipo electrónico que esté bajo su responsabilidad; así como acerca del software que maneja. Cada usuario asume la responsabilidad de notificar y reportar activamente cualquier incidente o debilidad de seguridad detectada en la plataforma de Gama Supermercados, C.A.
11
12
7.
Políticas de Seguridad para la protección de los recursos tecnológicos dirigidas a los usuarios de OFP, CEDIS y PDV.
7.1 Protección de los recursos tecnológicos físicos Todos los recursos tecnológicos son propiedad de Gama Supermercados C.A. y como tal, la empresa se reserva el derecho de supervisar y examinar el uso de cualquiera de ellos. A continuación, se describen las políticas que deben ser cumplidas relacionadas a los recursos tecnológicos físicos que se encuentran y se utilizan y en las áreas de oficina Principal, CEDIS y Sucursales.
En relación con el cuidado − La custodia y el resguardo de los recursos tecnológicos asignados al usuario son responsabilidad directa del mismo. − El usuario debe tomar todas las medidas razonables necesarias, que le permitan proteger los recursos tecnológicos y la información contra robo, pérdida, mal uso, acceso no autorizado, revelación, modificación, reproducción, daño físico y/o destrucción. − Cualquier requerimiento o incidente relacionado con aplicativos y equipos informáticos deben ser reportados a través de SETI con su correspondiente justificación para su respectiva canalización con el área responsable. − Todo recurso tecnológico y sus componentes, asignados a un usuario, requieren que el área donde estén ubicados cumpla con las exigencias de: seguridad física, condiciones ambientales, conexiones eléctricas, entre otras. − Es necesario que los equipos sean apagados una vez culminada su jornada de trabajo, esto permite que sean aplicadas las actualizaciones de seguridad necesarias para para la protección de la información.
13
− También se deben apagar equipos como: monitor, regleta o regulador de voltaje; así como también, cualquier periférico conectado al equipo, como, por ejemplo: impresora, escáner, unidad para realizar backups, etc. − La pantalla de las laptops no debe cerrarse si estos se encuentran encendidos − Tampoco se deben cerrar con algún accesorio o material en su interior, como: papeles de trabajo, carpetas, lápices, entre otros. − Cuando se guarda el equipo dentro del maletín, debe evitarse colocar encima o cerca de la laptop objetos pesados como: engrapadoras, perforadoras, sacabocados, entre otros. − Se deben desconectar de los puertos usb dispositivos bluetooth como mouse, teclado, etc, ya que es corre el riesgo de dañar el puerto si se guardan conectados. − Está prohibido ingerir bebidas cerca de los equipos, ya que, si se derrama alguna bebida sobre estos, los mismos pueden verse afectados y generar un daño irreversible o pérdida de la información almacenada en ellos. − Está prohibido colocar materos en el escritorio, ya que pueden caer residuos de agua o tierra sobre el área de trabajo. − Es obligatorio el uso de la guaya de seguridad para los equipos, tanto desktops como laptops. − En caso de identificar ausencia o defectos en la guaya de seguridad debe notificarse a SETI. − No se debe dejar el laptop dentro del automóvil, moto, ni en sitios poco seguros, ya que el equipo puede estar expuesto al robo o hurto. − Cualquier uso inadecuado de los equipos, puede generar incidentes de seguridad que implicaría acciones disciplinarias hacia el usuario. − No se garantiza la reposición inmediata de un equipo en caso de sufrir daños ya que se debe tomar en consideración el inventario disponible de equipos tecnológicos. − Ningún usuario podrá reparar o enviar a reparación cualquier equipo o dispositivo tecnológico perteneciente a Gama Supermercados, C.A.; ya que se pierde su garantía y el usuario tendrá que asumir los gastos de la reparación. La Gerencia de 14
Servicios y la Gerencia de Tecnología, son las áreas autorizadas para enviar a reparación los equipos tecnológicos de la empresa. − Los usuarios no deben trasladarse con los equipos portátiles por las vías públicas a altas horas de la noche, ni cuando se considere que los lugares de traslado se consideran inseguros. − Si se requiere el traslado de los equipos, se deben tomar en cuenta las siguientes recomendaciones: − No transitar las calles con el equipo en horas de la noche. − Solicitar el servicio de una línea de taxi para movilizarse. − No llevar el equipo a lugares que no estén relacionados con el campo laboral. − Usar los bolsos corporativos asignados para su resguardo. − El equipo debe estar apagado y no debe colocarse en hibernación. − Los supervisores y gerentes deben monitorear la necesidad real de trasladar los equipos por parte del personal bajo su supervisión. − En todos los casos, los usuarios deben ejercitar el buen juicio para garantizar la salvaguarda de los equipos, así como de cada uno de sus componentes. − Todos los trabajadores de sucursales tienen la responsabilidad de cuidar, resguardar, proteger y reportar de manera oportuna cualquier incidente que afecte la operatividad tecnológica de los equipos que son utilizados en piso de venta, como cajas (monitor trabajador, monitor cliente, balanza, gaveta), verificadores, PDT, PDA, impresoras fiscales, dispositivos de biopago, impresoras portátiles de etiquetas, impresoras fijas de papel, balanzas colgantes, entre otros dispositivos que permitan el desarrollo de la operación. − Los televisores ubicados en las sucursales no deben ser utilizados para fines distintos a los promovidos por las áreas de mercadeo y comercial.
15
En relación con el uso − Todo recurso tecnológico que sea asignado de forma temporal o definitiva a un trabajador de Gama Supermercados, C.A., debe realizarse a través del Contrato de Comodato de Entrega de Recursos Tecnológicos (Ver Anexo 2). − Los recursos tecnológicos deben emplearse exclusivamente con propósitos laborales. − Se deben utilizar únicamente los programas y equipos autorizados por la VPTI. − No está permitida la descarga, instalación o uso de aplicativos o programas informáticos no autorizados por la VPTI. − La OPCI, podrá monitorear los recursos tecnológicos asignados al usuario, el material que ha sido creado, almacenado, enviado o recibido, a través de Internet o de cualquier otra red o medio. − Los recursos tecnológicos no podrán ser utilizados para divulgar, propagar o almacenar contenido personal o comercial de publicidad, promociones, ofertas, programas destructivos (virus), propaganda política y/o material religioso. − Cuando se trate de un recurso tecnológico (dispositivo móvil corporativo) para uso del trabajador en las jornadas de guardia o cualquier actividad especial que lo amerite, podrán serán revisados por el Gerente del área responsable y la Gerencia de Servicios Corporativos, los consumos y uso de la línea junto con todos los servicios asociados al plan corporativo. − Los equipos son intransferibles de un usuario a otro, por lo que ningún usuario podrá asignar su laptop, accesorios o cualquier dispositivo tecnológico a otro usuario, sin la debida autorización de la Subgerencia de Soporte TI. En caso de que esto ocurra, toda la responsabilidad sobre el equipo, accesorios o dispositivos transferidos es del usuario a quien le fue asignado inicialmente. − No está permitido que los trabajadores o terceras personas tomen sin autorización previa equipos o cualquier tipo de accesorios o dispositivos tecnológicos pertenecientes o asignados a otras personas. Esta práctica puede ocasionar que se 16
establezca un incidente de seguridad o la aplicación de las acciones disciplinarias por parte de la OPCI. − No está permitido el uso de dispositivos personales como mouse, teclado, cornetas, adaptadores, entre otros. − Los equipos que se encuentran en calidad de préstamo deben ser entregados en la fecha exacta indicada en el documento de préstamo, sin excepción. En caso de requerir una prórroga, deben comunicarse con la Subgerencia de Soporte para exponer el motivo por el cual la requieren y así se pueda evaluar la factibilidad de la solicitud. − Todo equipo laptop, computador de escritorio, caja (pos de venta) y servidor conectado a la red corporativa de Gama Supermercados, C.A., debe tener instalada la versión actualizada de la aplicación de antivirus. − Los puertos USB de todos los equipos corporativos se mantienen desactivados para almacenamiento, en caso de necesitar una excepción, se debe solicitar a través de SETI.
En caso de movilidad de los equipos − Los usuarios no deben mover o reubicar por ninguna circunstancia, los equipos tecnológicos o algunos de sus componentes, así como tampoco instalar o desinstalar dispositivos, sin la autorización del área de Tecnología, debiéndose solicitar al Escritorio de Servicio de TI (SETI) en caso de requerir este servicio. − La Subgerencia de Soporte TI es la encargada y autorizada para realizar cambios en los equipos de escritorio, cajas, verificadores, monitores, balanzas, scanner balanzas, PDT, impresoras de oficinas/fiscales y otros componentes relacionados, certificando con el usuario final la efectividad del cambio. − La Gerencia de Tecnología es la encargada y autorizada para realizar cualquier cambio o manipulación de equipos tecnológicos dispuestos dentro de los CPD y cuartos de distribución ubicados en oficina principal, sucursales y cedis Los Ruices. 17
− En caso de que los recursos tecnológicos deban ser trasladados por personal Gama o Proveedores, se debe cumplir con el procedimiento establecido por el área de PCP en el cual se utiliza el Formato de Orden de Salida (Ver Anexo 7).
En caso de viajes
Si se requiere viajar con el recurso tecnológico, se debe tomar en consideración las siguientes recomendaciones: − Asegurar el resguardo del equipo, cuando se llegue al destino. − El equipo no debe ser resguardado en casilleros públicos. − No está permitido dejar desatendido el recurso tecnológico en lugares públicos como aeropuertos, habitaciones, restaurantes, etc. − El equipo tecnológico no debe guardarse dentro de la maleta de bodega. − Antes, durante y después del vuelo, el equipo tecnológico debe permanecer en todo momento con el usuario, bajo su custodia, formando parte de su equipaje de mano.
7.2 Reporte de Daño de Equipo Tecnológico En caso de que ocurra un daño sobre un equipo tecnológico dentro o fuera de las instalaciones de Gama Supermercados, C.A., el usuario deberá llevar a cabo las siguientes acciones: − El usuario debe reportar el daño del equipo a SETI, a la OPCI y al supervisor directo inmediatamente ocurrido el accidente, ya que, de lo contrario, la garantía del equipo pudiera quedar sin efecto. La notificación extemporánea del incidente puede ocasionar la aplicación de acciones disciplinarias.
18
− La OPCI, se reunirá con el usuario para conocer el detalle de lo ocurrido, y en el caso de haber incumplido las políticas existentes relacionadas con el buen uso de los equipos tecnológicos, se le aplicarán las acciones disciplinarias correspondientes. − El usuario debe elaborar manualmente la Carta relato de Incidente de Seguridad en la cual describe los hechos, especificando fecha, hora, lugar, circunstancias, datos del equipo y todos aquellos detalles que complementen lo ocurrido. Esta carta debe ser entregada a la OPCI en original y debe estar firmada por el usuario. (Ver Anexo 3). − La OPCI elabora el Reporte de Incidente de Seguridad donde registran las acciones aplicadas para la solución del caso. (Ver Anexo 4). − La Coordinación de Soporte, realizará la evaluación del impacto del daño en el equipo y emitirá el diagnóstico en el mismo. − En caso de que el equipo esté asegurado, la OPCI gestionará con el equipo de Contabilidad el reporte del incidente de seguridad con la documentación requerida para la declaración ante la empresa de seguros. − La OPCI debe entregar una copia de toda la documentación a la VP de Gestión de Talento Humano – Gerencia de Personal para ser archivada en el expediente personal del trabajador. Este departamento firmará la copia como constancia de recibido. − La OPCI guardará una copia en digital del incidente reportado. − Si el equipo se encuentra en garantía, la Coordinación de Soporte, debe solicitar al proveedor, la reparación o cambio del equipo. − Si el equipo no se encuentra en garantía, la Coordinación de Soporte solicitará al proveedor un informe técnico del daño del equipo y en caso de que aplique, enviará a reparar el equipo. Luego debe enviar a la OPCI la copia de la factura de reparación del equipo. − Si el equipo no se puede reparar, debe informar de esta situación a la OPCI, para que se analice en conjunto las acciones disciplinarias que se tomarán.
19
− La Coordinación de Soporte debe actualizar en el aplicativo de inventario el estatus del equipo relacionado con el incidente. − En caso de que se requiera, la OPCI debe solicitar a la Gerencia de PCP las evidencias requeridas sobre el caso para determinar la responsabilidad del usuario. − En caso de que se determine responsabilidad por parte del usuario sobre el daño intencional al equipo tecnológico, será revisado por la OPCI, el vicepresidente de TI, el Subgerente de Servicios TI y el supervisor inmediato del usuario, para definir las acciones disciplinarias que se correspondan. − Finalmente se aplicarán las acciones disciplinarias de acuerdo con las circunstancias de ocurrencia del hecho.
7.3 Reporte de Robo, Hurto o Extravío de Equipo Tecnológico En caso de Robo, Hurto o Extravío de un equipo tecnológico dentro o fuera de las instalaciones de Gama Supermercados, C.A., el usuario deberá llevar a cabo las siguientes acciones: − Reportar de forma inmediata el hecho al supervisor directo, a la OPCI y a SETI. − La OPCI solicitará a la Coordinación de Servidores la desincorporación del equipo en los sistemas. − La OPCI atenderá la incidencia de acuerdo con lo ocurrido con el equipo. − En caso de que se requiera, la OPCI debe solicitar a la Gerencia de PCP las evidencias requeridas sobre el caso para determinar la responsabilidad del usuario. − En caso de robo o hurto se debe formular la denuncia ante el CICPC en un lapso no mayor a las 24 horas hábiles luego de haber ocurrido el hecho. Debe llevar al CICPC la copia de la factura del equipo, la copia del contrato de comodato, carta relato de incidente y debe estar atento que en la denuncia se refleje de forma clara y precisa, los datos del equipo (modelo, serial) así como sus datos personales y fecha en que ocurrió el incidente.
20
− Luego de consignada la denuncia ante el CICPC, debe entregar el comprobante a la OPCI de forma inmediata junto con la Carta relato de Incidente de Seguridad, la cual debe coincidir con lo reflejado en la denuncia. − La OPCI elaborará el reporte de incidente de seguridad con el motivo del robo, hurto o extravío del equipo, el cual debe estar firmado por el usuario, el supervisor inmediato y la OPCI. − La OPCI entregará a la Gerencia de Contabilidad y Auditoría Interna la documentación requerida por la empresa aseguradora para los trámites correspondientes. − La OPCI entregará una copia de toda la documentación a la VP de Talento Humano Sub-Gerencia de Personal para ser archivada en el expediente personal del usuario. −
La OPCI notificará de este incidente a la Coordinación de Soporte para que el estatus del equipo sea actualizado en el inventario de recursos tecnológicos según sea el caso: robo, hurto o extravío.
− La OPCI guardará una copia en digital del incidente reportado. − La Coordinación de Soporte entregará al usuario un equipo de acuerdo con la disponibilidad en el inventario de recursos tecnológicos. − Se aplicarán las acciones disciplinarias de acuerdo con las circunstancias de ocurrencia del hecho.
7.4 Dispositivos de Almacenamiento Externo Los dispositivos de almacenamiento externo como memorias USB, discos duros portátiles, tarjetas de memoria, entre otros, son considerados componentes de propagación e infección de aplicaciones maliciosas en los diferentes equipos conectados a la red de Gama Supermercados C.A., por tal motivo, para preservar la protección de los equipos tecnológicos y la información es necesario el cumplimiento de las políticas que se describen a continuación:
21
− No se permite el uso de dispositivos USB o de almacenamiento externo, por lo que los puertos USB de todos los equipos de la organización se encuentran indefinidamente bloqueados. − En casos donde se amerite hacer una excepción, la misma debe ser por tiempo definido y previamente evaluada por la OPCI, quien determinará si es necesario realizar la acción o si es posible optar por otra alternativa. −
La OPCI es la encargada de evaluar la aplicación de controles de seguridad sobre los dispositivos de almacenamiento utilizados en la red corporativa.
22
23
8. Políticas para el uso de recursos tecnológicos digitales 8.1. Uso de Internet Gama Supermercados, C.A. provee el servicio de internet a los usuarios de la red de la empresa, en apoyo a su trabajo diario y como medio para acceder a la información relacionada directamente con la organización.
Los usuarios son responsables del buen uso de Internet, por lo que deben cumplir con las siguientes políticas: − Ningún usuario podrá acceder al servicio de internet utilizando la cuenta de otro usuario. − Los usuarios finales que tengan acceso a Internet a través del enlace de la empresa deben tener buen juicio al seleccionar las páginas que visitan. Está prohibido el acceso a sitios no relacionados con las funciones del negocio durante las horas de trabajo o fuera de ellas y cualquier otro sitio que no aporte ninguna utilidad para el negocio, por considerarse indebido. − No se permite la comercialización de servicios y/o productos personales a través del internet que provee la empresa. − La OPCI velará por la protección de la información de Gama Supermercados C.A., sin embargo, el contenido de los archivos enviados a través de Internet será directamente responsabilidad del usuario. − Se prohíbe el uso de Internet para consulta, difusión y/o publicación de contenidos que violen la moral y buenas costumbres de las personas que laboran en la empresa, así como el acceso a contenidos que hagan daño a terceros, bienes, patrimonio o la reputación de la empresa. − Está prohibida la descarga de archivos de video, música, ejecutables, imágenes, así como el acceso o distribución de cualquier material ilegal u ofensivo que represente un riesgo a la integridad de la red de la empresa. 24
− No está permitido el uso de dispositivos de internet móvil personal. − En caso de requerir un dispositivo de internet móvil corporativo para el uso dentro de la red de la empresa, esta acción debe ser notificada a la OPCI. − No está permitida la alteración, eliminación o destrucción con fines malintencionados de cualquier sitio de Internet donde Gama Supermercados, C.A. posea información, por ejemplo, la página web de la empresa (empresa.gamaenlinea.com). − El
navegador
de
internet
predeterminado,
establecido
por
Gama
Supermercados, C.A. es Google Chrome, pudiéndose utilizar Microsoft Edge y Firefox, para los casos de compatibilidad con algunas páginas web. − La empresa, con el objetivo de garantizar un acceso seguro a Internet, ha implementado reglas que permiten bloquear de forma automática cualquier página web con contenido pornográfico, de streaming, juegos y cualquiera que sea identificada por las herramientas de ciberseguridad con sospecha de características maliciosas. − En los casos en que aplique, se permitirá la configuración para restringir el acceso de usuarios al servicio de Internet. − La navegación de los usuarios a través de Internet puede ser monitoreada por parte del personal de tecnología autorizado para tal efecto, a través de los mecanismos formales y técnicos que se consideren oportunos, ya sea de forma periódica o por razones específicas de seguridad. − El uso del servicio de Internet implica el consentimiento por parte del usuario para su monitoreo por razones operativas y de seguridad.
8.2. Conectividad y uso de redes inalámbricas (WI-FI) Toda información trasmitida por este medio será tratada como información relacionada con Gama Supermercados, C.A. y debe estar alineada al cumplimiento de las políticas que se describen a continuación: 25
El servicio de red inalámbrico está identificado de la siguiente manera y estos nombres se verán disponibles en los dispositivos tecnológicos tanto de clientes como trabajadores:
En relación con Oficina Principal
El servicio de internet inalámbrico está definido por categorías y orientado a los usuarios para que puedan acceder a través de los siguientes nombres: − GAMA_OFP: Su uso está destinado al acceso desde los dispositivos portátiles corporativos a través de la autenticación con el usuario de red. − GAMA_MOVIL: Su uso está destinado dispositivos móviles (celulares) para trabajadores y contratistas con residencia fija en las oficinas de Gama. − CONSULTORES_GAMA: Su uso está destinado para la conectividad de dispositivos portátiles de proveedores, consultores y auditores, de visitas esporádicas a las oficinas de Gama y su uso está condicionado al llenado de un formulario que recoge datos del usuario que se va a conectar. − COMITE_PLUS: Su uso está destinado exclusivamente para usuarios pertenecientes al Comité de Dirección Plus y esta monitoreado por la Gerencia de Tecnología, considerándose su uso no autorizado como un incumplimiento de esta política. − La red Gama TI: su uso está destinado exclusivamente para usuarios pertenecientes a la VP de Tecnología y para los equipos tecnológicos utilizados en el área de laboratorio de TI considerándose su uso no autorizado como un incumplimiento de esta política. − La OPCI tiene la autorización de monitorear el uso de las redes inalámbricas. − En caso de que se detecte el uso indebido de las redes inalámbricas, la OPCI solicitará la desactivación de manera temporal o definitiva, del acceso al servicio de la red WIFI, y/o la desconexión automática del usuario comprometido. 26
− Todos los recursos tecnológicos de la empresa que lo ameriten tendrán acceso a internet vía LAN o vía inalámbrica, por ejemplo, verificadores, PDT, PDA, etiquetas electrónicas, entre otros. − Cualquier requerimiento relacionado con el servicio de las Wi-Fi corporativas debe ser canalizado a través de SETI.
En relación con Sucursales
El servicio de red inalámbrico se identifica de la manera y se ve en los dispositivos tecnológicos como: SUC_Movilidad, Equipo_Gama y Gama _Clientes. − SUC_Movilidad está orientado a los equipos PDT, PDA y verificadores, y la Coordinación de Soporte es el área encargada de configurar los mismos. − Equipo_Gama está destinada para el uso de los trabajadores. − Gama_Clientes está destinada para uso de los clientes.
Las redes inalámbricas mencionadas anteriormente poseen restricciones en la navegación a internet, limitada a descargas de imágenes, videos, archivos de música, entre otros.
8.3. Correo Electrónico Gama Supermercados, C.A, tiene la responsabilidad de asignar a sus trabajadores una cuenta corporativa de correo electrónico (en los casos que aplique), con la finalidad de garantizar la comunicación entre las diferentes áreas de la empresa y proveedores externos, a continuación, las políticas establecidas para el correcto funcionamiento de las cuentas de correo electrónico:
27
En relación con el uso
El usuario de la cuenta de correo electrónico corporativo debe considerar lo siguiente:
1. El envío de correos con archivos adjuntos está limitado a la capacidad de 25 MB, si el archivo supera los 25 MB, Gmail agregará automáticamente un vínculo de Google Drive al correo electrónico en lugar de incluirlo como archivo adjunto. 2. No debe suscribirse con el correo corporativo en sitios no relacionados con la empresa. 3. No enviar o recibir información relacionada con la empresa en otra cuenta de correo electrónico que no sea la cuenta corporativa. 4. No debe acceder a links o abrir archivos adjuntos que provienen de correos de procedencia desconocida o sospechosa. 5. Activar el “Asistente fuera de oficina” en su correo electrónico para notificar a los destinatarios sobre las ausencias. 6. Se debe configurar la verificación en dos pasos en el correo electrónico corporativo.
8.4. Creación y gestión de contraseñas Con el objeto de establecer los requisitos y controles obligatorios para la creación, uso, protección y gestión de la información de autenticación secreta (contraseñas), con el fin de salvaguardar la confidencialidad, integridad y disponibilidad de los activos de información, sistemas y plataformas de la organización, minimizando el riesgo de accesos no autorizados.
28
En cuanto al uso:
El cumplimiento de esta política es obligatorio para todos los usuarios que tengan acceso a los recursos tecnológicos de la organización, incluyendo: •
Trabajadores Gama
•
Contratistas, Consultores, Pasantes Universitarios y Aprendices Ince.
•
Proveedores de servicios externos y terceros con acceso a la red o sistemas internos.
− Aplica a todas las cuentas de usuario de la red, cuentas de sistema, cuentas de servicio, credenciales de administrador y accesos a dispositivos de red propiedad de Gama. − Las contraseñas deben ser robustas para resistir ataques de fuerza bruta y deben cumplir con las siguientes características: •
Longitud: lo ideal es que contenga más de 12 caracteres.
•
Complejidad: debe incluir una combinación de letras mayúsculas, minúsculas, números y símbolos (ej: $, #, @, *,!).
-
Las cuentas de usuarios con privilegios (Administradores): mínimo catorce (14) caracteres.
-
No se permite el uso de palabras consecutivas del diccionario, nombres de la empresa, nombres propios, fechas de nacimiento, nombres de mascotas o secuencias predecibles de teclado (ej. 123456, qwerty, contraseña).
-
Las contraseñas expirarán de forma periódica automática cada 30 días, para el acceso a la red de Gama y correo electrónico.
-
Se exigirá al usuario el cambio inmediato de la contraseña si existe sospecha o evidencia de que ha sido comprometida.
-
El sistema de acceso a la red en el dominio recordará las últimas diez (10) contraseñas utilizadas, impidiendo que el usuario reutilice una contraseña anterior. 29
En los casos que se requiera ingresar al correo electrónico corporativo desde un computador de uso público o desde un lugar fuera de la oficina, el usuario debe asegurarse de: 1. Cerrar la sesión de la cuenta, una vez que se ha culminado la conexión. 2. Revisar si el computador donde realiza la conexión posee instalado un software de antivirus. 3. Si sospecha que el computador presenta algún comportamiento extraño, debe abstenerse de ingresar al correo electrónico. 4. En caso robo o extravío del dispositivo celular donde esté vinculado el correo electrónico corporativo debe ser notificado a SETI de manera inmediata. − Todos los trabajadores de Gama Supermercados, C.A., deben entender los riesgos que implica el uso de Internet como un canal de comunicación para el envío de información a los distintos destinatarios. − Está prohibido que los usuarios envíen en nombre de la empresa, mensajes, archivos, anuncios o boletines que contengan información que pueda tener implicaciones legales para la empresa, tales como: 1. Información confidencial u opiniones que pretendan ser las de la empresa 2. Información ilegal, difamatoria, obscena, pornográfica u ofensiva. 3. Información que pueda infringir los derechos de autor. − En los casos en que se requiera, la empresa se reserva el derecho de interceptar o vigilar el tráfico del correo electrónico como parte de sus actividades de monitoreo, mantenimiento, investigación, auditoría o seguridad del sistema. − Los (vicepresidentes / Gerentes / Sub-Gerentes - Coordinadores) pueden solicitar acceso a los buzones de correo electrónico de los trabajadores bajo su cargo; por ejemplo, en los casos en que el trabajador se encuentre ausente durante un tiempo prolongado debido a enfermedad u otro motivo. − Para los casos de egresos de trabajadores, si el supervisor inmediato necesita acceso a la cuenta, se debe gestionar una excepción de usuario a la OPCI, para autorizar el acceso al correo. 30
En relación con los grupos de correo
Los grupos de correo son funcionalidades que permiten enviar mensajes a un conjunto de direcciones al mismo tiempo. A continuación, las políticas establecidas para el uso de los grupos de correo: − La creación y utilización de los grupos de correo debe ser sólo de uso e interés general y corporativo. − La solicitud de creación de grupos de correo debe ser generada por los Gerentes, Sub-Gerentes de cada área a través de SETI. − Los grupos de correo solo pueden ser creados con direcciones del dominio gama.com. − Los grupos de correo poseen restricciones por defecto que impiden la recepción de información proveniente de cuentas externas. En los casos en que se requiera una excepción, debe solicitarse a través de SETI.
En relación con el envío de correos
−
Todo correo electrónico saliente de un trabajador debe incluir la firma corporativa, autorizada por la empresa.
−
En caso de que la firma corporativa sea personalizada debe contener exclusivamente la siguiente información: nombres y apellidos, cargo, teléfono, dirección página web corporativa de la empresa y logo actual.
31
−
En caso de que la firma corporativa sea genérica debe contener exclusivamente la siguiente información: Nombre de la cuenta (incluyendo la sucursal), cargo asociado a la cuenta, teléfono, dirección página web corporativa de la empresa y logo actual.
−
No está permitida la modificación de la firma de correo, agregando nombres (para los casos de las cuentas genéricas) y para el caso de los números de teléfono, se debe enviar un correo a SETI solicitando la incorporación del número a los datos de la cuenta.
−
Para revisar si la cuenta de correo cumple con los parámetros establecidos por la empresa, los usuarios se pueden apoyar en la infografía anexa (Ver Anexo 8).
−
La Gerencia de mercadeo, es el área que autoriza el envío de correos al grupo de Todo Gama.
−
No está permitida la distribución de información relacionada con: cadenas de índole religiosa, política o económica, mensajes de tipo racial, de acoso sexual o pornografía, ofensivos, no solicitados, compra y venta o con fines comerciales, entre otros. 32
−
El usuario debe notificar de forma inmediata a la OPCI, si recibe cualquier mensaje ofensivo o no solicitado. En caso de que esto ocurra, evitar el reenvío.
−
Si ocurre el caso de que un correo ha sido enviado a un destinatario no deseado o que contenga información de carácter sensible que pueda afectar a la empresa de manera económica, legal, reputacional, entre otros, el usuario debe notificar esta situación inmediatamente a la OPCI con el fin de que se tomen las medidas necesarias.
33
34
9. Políticas para el uso y cuido de los centros de procesamiento de datos. 9.1.
Centro de Procesamiento de Datos (CPD)
Los CPD son espacios utilizados para la ubicación de equipos que prestan servicios para el procesamiento, almacenamiento y transmisión de los datos que son fundamentales para la operación de la sucursal.
Con el propósito de mantener la seguridad e integridad del CPD, es necesario el cumplimiento de las políticas que a continuación se describen:
En relación con el espacio •
El CPD debe mantenerse cerrado, limpio y ordenado en todo momento.
•
Todo trabajo realizado dentro del CPD, ya sea por el personal de Gama, o por un tercero, que implique la generación de material de desecho, escombros, polvo, entre otros, debe garantizar el estado óptimo de limpieza de este espacio una vez sean culminados.
•
Al realizar cualquier trabajo de construcción o mantenimiento dentro de los CPD, debe ser notificado a la Gerencia de Tecnología y al Gerente de Sucursal, para la revisión de las condiciones en que se deja el área y comunicar a la OPCI de cualquier situación donde se vean comprometidos los recursos tecnológicos.
•
Se debe garantizar el acompañamiento a terceros por parte de personal de la Gerencia de Sucursal o Gerencia de Mantenimiento en los casos que impliquen maniobras de riesgos con el uso herramientas hacia los recursos tecnológicos.
•
La Gerencia de Tecnología, Gerencia de Mantenimiento y Gerencia de Sucursal deben hacer conocimiento de las normas de buen uso de los CPD a personal externo.
•
No está permitido el almacenamiento de objetos y materiales como: cartón, cajas, papel, bolsas, alimentos, entre otros. 35
•
No se debe obstaculizar el acceso a los CPD y las áreas donde se encuentren los UPS.
•
No está permitido ingerir comidas ni bebidas dentro de los CPD.
En caso de que se cuente con piso falso, no está permitido arrastrar equipos sin utilizar carretillas.
Está prohibido realizar trabajos de construcción como: abrir huecos en las paredes, piso o techo dentro del CPD sin la colocación de protectores plásticos a los equipos tecnológicos. Este tipo de trabajos debe ser notificado con previa planificación a la Gerencia de Tecnología.
No está permitido el uso de los siguientes materiales dentro del CPD: − Productos derivados del Tabaco − Explosivos − Armas − Químicos − Drogas ilegales − Artículos electromagnéticos − Materiales radioactivos
No utilizar las conexiones de suministro de corriente ubicadas dentro del CPD, para conectar equipos no relacionados con el área, como cargadores de celulares, aspiradoras, ventiladores, taladros, aires acondicionados portátiles, entre otros.
36
En relación con Oficina Principal:
El acceso al CPD se otorga a través del sistema biométrico de huella para los trabajadores autorizados por la Gerencia de Tecnología y la OPCI. La Sub-Gerencia de Redes y Telecomunicaciones es la encargada de gestionar el acceso al CPD a las personas autorizadas.
En relación con Sucursales:
Todo Tercero autorizado para ingresar al CPD, se compromete a no divulgar la información de infraestructura en cuanto al diseño, datos de equipos, entre otros. El CPD debe permanecer cerrado, a menos que alguna situación amerite que esté abierto temporalmente; de ser así debe notificarse a la Gerencia de Tecnología y a la OPCI.
Uso de la tarjeta magnética
La Sub-Gerencia de Redes y Telecomunicaciones es la encargada de realizar la asignación, registro y entrega de las tarjetas magnéticas que permitirán el acceso al CPD a las personas autorizadas. En caso de Robo, hurto o extravío de la tarjeta magnética debe ser notificado de forma inmediata a la Sub-Gerencia de Redes y Telecomunicaciones y a la OPCI para la desactivación y reposición de esta. Los cargos en sucursales autorizados para la entrega de tarjetas magnéticas son los siguientes: Gerentes, Sub-Gerentes y Jefes Multifuncionales según el formato de la sucursal. En caso de no contar con el sistema de acceso por tarjeta magnética en el CPD se otorga el acceso a través de la llave maestra que se encuentra en resguardo de la Gerencia de la sucursal.
37
38
10. Acciones disciplinarias Las siguientes acciones disciplinarias serán aplicadas a los trabajadores de Gama Supermercados, C.A, siempre y cuando hayan incumplido las políticas establecidas en este manual: − Para los casos en los que se haya incumplido por primera vez con alguna de las políticas de seguridad tecnológicas descritas en este manual, el jefe de la OPCI realizará una exhortación por escrito (vía email) donde explicará los riesgos asociados al incumplimiento de las políticas. − Si el usuario por segunda vez incumple con algunas políticas descritas en este manual, el jefe de la OPCI solicitará una entrevista, con el trabajador presentando las evidencias y los precedentes asociados a la incidencia y destacando que es una reincidencia en el incumplimiento de las políticas, el reporte será incorporado en el expediente del trabajador. − Si por tercera vez el empleado reincide en el incumplimiento de las Políticas de Seguridad Tecnológicas, se considerará la aplicación del Artículo 79 de la Ley Orgánica del Trabajador, Trabajadores (LOTTT). (Ver Anexo 1). − Cuando se trate de daños físicos, robo o hurto de los equipos asignados a los usuarios, se solicitará el apoyo de la Gerencia de Protección y Control de Pérdidas (PCP) para obtener evidencias fílmicas y se generará un Reporte de Incidente de Seguridad que será incorporado en el expediente del trabajador. − Ante un evento crítico "grave", es decir, aquellas acciones u omisiones que pudiera cometer un empleado de Gama Supermercados (que sean comprobables) y que vayan en contra de las políticas descritas en este manual y que afecten la reputación y/o comprometa a la empresa a responder por acciones judiciales de responsabilidad civil o penal, se pudiera considerar la aplicación del Artículo 79 de la Ley Orgánica del Trabajador, Trabajadoras y Trabajadores (LOTTT). (Ver Anexo 1). 39
10.1. Terminación de Relación Laboral La OPCI tiene como función, garantizar el cumplimiento de los controles que se implementan para la desincorporación de un trabajador de la plataforma tecnológica cuando culmina la relación laboral con la empresa y a su vez salvaguardar la información, cumpliendo con las políticas, normas y procedimientos de seguridad de la información existentes para toda la empresa. A continuación, el detalle de la política: − La Gerencia de Gestión de Personal debe notificar vía correo electrónico a todas las áreas involucradas para aplicar los procesos correspondientes con el trabajador que egresa de la empresa. − La Coordinación de Soporte al recibir la notificación de la terminación laboral del trabajador, debe llenar el Formato de Solvencia Tecnológica (Ver Anexo 6) con la identificación de los equipos tecnológicos asignados al trabajador y entregarla a la OPCI para su certificación. − La Gerencia de Tecnología realizará el cambio de contraseña y la desactivación de la cuenta del usuario. − En caso de ser necesario el uso de la cuenta del usuario luego de la terminación laboral, el supervisor debe llenar el Formato de Excepción ID de Usuario (Ver Anexo 5) y enviarlo a la OPCI. − Las cuentas de correo electrónico y los servicios de Google Workspace como: drive, chat, fotos, entre otros, de los trabajadores que hayan terminado la relación laboral serán eliminadas de forma definitiva al cumplir los treinta (30) días a partir de su desactivación (para los casos que no tengan excepción de usuario). − Una vez sea eliminada la cuenta del usuario se pierde el acceso a los archivos de drive que sean compartidos, por lo que es responsabilidad del supervisor inmediato revisar los archivos de drive del usuario para no afectar la operatividad del área.
40
− En caso de ser necesario respaldar la información contenida en el buzón de correo electrónico del trabajador egresado, la solicitud debe canalizarse con la OPCI. − En caso de trabajadores con acceso a cuentas de correo genéricas, supervisor inmediato del área debe gestionarse el cambio de contraseña con SETI una vez formalizado el egreso. 11. Políticas de confidencialidad La confidencialidad es un principio fundamental de la seguridad de la información.
Es la obligación de proteger la información confidencial de la empresa, evitando su divulgación a personas no autorizadas, así como también su uso indebido, por tal motivo, en Gama Supermercados C.A., es necesario el cumplimiento de las políticas que a continuación se describen: − Cada área o departamento de la empresa encargado del manejo de información confidencial debe procurar que la misma sea protegida con rigurosidad. − Se prohíbe la divulgación de información confidencial a personas no autorizadas, tanto dentro como fuera de la organización. − Las áreas internas deben restringir el acceso de la información confidencial únicamente a aquellos trabajadores que requieran dicha información para el desempeño de sus funciones. − Todo proveedor, consultor o colaborador externo debe firmar un acuerdo de confidencialidad antes de acceder a cualquier información de carácter sensible. − Los proveedores, consultores, o colaboradores externos tienen la obligación de mantener la confidencialidad de la información a la que puedan acceder, por lo que está prohibido divulgar, compartir o utilizar dicha información para fines no autorizados por Gama Supermercados C.A
41
12. Anexos 12.1. Anexo 1. Extracto de la LOTTT − Causas de terminación de la relación de trabajo. Artículo 76. La relación de trabajo puede terminar por despido, retiro, voluntad común de las partes o causa ajena a la voluntad de ambas. − Causas Justificadas de despido Artículo 79. Serán causas justificadas de despido, los siguientes hechos del trabajador o trabajadora: a. Perjuicio material causado intencionalmente o con negligencia grave en las máquinas, herramientas y útiles de trabajo, mobiliario de la entidad de trabajo, materias primas o productos elaborados o en la elaboración, plantaciones y otras pertenencias. b. Revelación de secretos de manufactura, fabricación o procedimiento. c. Falta grave a las obligaciones que impone la relación de trabajo
42
12.2. Anexo 2. Contrato de Comodato de Entrega de Recursos Tecnológicos Parte frontal del contrato
43
Parte posterior del contrato
44
12.3. Anexo 3. Carta Relato Incidente de Seguridad
45
12.4. Anexo 4. Reporte de Incidente de Seguridad
46
12.5. Anexo 5. Formato Excepción ID de Usuario
47
12.6.
Anexo 6. Formato de Solvencia Tecnológica
48
12.7. Anexo 7. Formato de Orden de Salida
49
12.8
Anexo 8. Parámetros para configurar la firma de correo desde la cuenta de Gmail.
50
12.9
Anexo 9. Miembros de la OPCI.
51
52