Política de Seguridad de la Información

1. Introducción

1.1. Objetivo

El objetivo fundamental de la presente Política de Seguridad de la Información es establecer las directrices, principios y lineamientos estratégicos que aseguren la preservación de la Confidencialidad, Integridad, Disponibilidad y Privacidad de la información y de los activos tecnológicos gestionados en KRANIO. Esto se consolida mediante la implementación, operación y mejora continua de un Sistema de Gestión de Seguridad de la Información (SGSI) alineado con los estándares internacionales de la norma ISO/IEC 27001 y las mejores prácticas operacionales de la norma ISO/IEC 27002.

1.2. Alcance de aplicación

Esta política es de cumplimiento general y obligatorio para:

• Todos los colaboradores, directivos y personal interno de KRANIO.
• Contratistas, consultores, proveedores de servicios y terceras partes que accedan, procesen, transmitan o interactúen con la infraestructura, plataformas, repositorios o datos bajo la custodia de KRANIO.
• Todos los procesos de negocio, sistemas informáticos, productos de software y servicios prestados a clientes.

1.3. Vigencia

La presente versión de la Política de Seguridad de la Información entra en plena vigencia a partir de su publicación oficial y se mantiene vigente de forma continua, sujeta a revisiones periódicas anuales o ante cambios significativos en el entorno tecnológico, de negocio o regulatorio.

2. Marco Normativo y Legal

2.1. Norma Internacional ISO/IEC 27001

KRANIO adopta la norma ISO/IEC 27001 como base metodológica para estructurar y evaluar su SGSI. Las bases de este enfoque comprenden:

• Preservación integral de activos: Protección sistemática de la Confidencialidad, Integridad, Disponibilidad y Privacidad.
• Ciclo de Deming (PHVA): Aplicación continua del ciclo Planear, Hacer, Verificar y Actuar para optimizar los procesos organizacionales y la seguridad técnica.
• Gestión proactiva del riesgo: Identificación, análisis, evaluación y tratamiento metódico de los riesgos de ciberseguridad e infraestructura tecnológica.
• Controles del Anexo A: Adopción de controles organizacionales, de personas, físicos y tecnológicos reflejados en la Declaración de Aplicabilidad (SoA).

2.2. Ley N° 21.663 - Marco de Ciberseguridad

En concordancia con el marco legal de ciberseguridad, KRANIO asume las directrices exigidas para robustecer la resiliencia tecnológica y proteger la infraestructura digital:

• Formalización y operación de un SGSI con estándares reconocidos internacionalmente.
• Designación institucional de un Delegado de Ciberseguridad / CISO.
• Notificación oportuna de incidentes de ciberseguridad significativos ante las autoridades competentes (Agencia Nacional de Ciberseguridad - ANCI y CSIRT Nacional).
• Despliegue de Planes de Continuidad de Negocio (BCP), Recuperación ante Desastres (DRP) y Respuesta a Incidentes (IRP) orientados a garantizar una alta resiliencia operacional.

2.3. Ley N° 21.719 - Protección de Datos Personales

KRANIO adhiere a las disposiciones sobre tratamiento y custodia de datos de personas naturales, alineadas con las exigencias del Reglamento General de Protección de Datos (GDPR):

• Principios Rectores: Tratamiento sustentado en la licitud, lealtad, transparencia, finalidad explícita, minimización de datos recolectados, proporcionalidad, exactitud y responsabilidad demostrada (accountability).
• Derechos de los Titulares (ARCOP + Bloqueo): Garantía de procedimientos accesibles y expeditos para el ejercicio de los derechos de Acceso, Rectificación, Cancelación/Supresión, Oposición, Portabilidad y Bloqueo.
• Privacidad desde el Diseño y por Defecto: Integración de salvaguardas de seguridad y privacidad desde las fases tempranas de concepción de arquitectura de software y diseño de flujos de trabajo.
• Notificación de Brechas: Protocolos de reporte y comunicación ante eventuales vulneraciones a la seguridad de datos personales dirigidos a la Agencia de Protección de Datos Personales (APDP) y a los titulares afectados sin demoras indebidas.

3. Directrices y Principios de Seguridad

3.1. Compromiso de la Dirección

La Alta Dirección de KRANIO asume la responsabilidad y el liderazgo en materia de seguridad, comprometiéndose expresamente a:

• Disponer los recursos financieros, técnicos y humanos necesarios para mantener la eficacia operativa del SGSI.
• Alinear los objetivos de seguridad y ciberseguridad con la misión, visión y planes estratégicos del negocio.
• Inculcar y promover una sólida cultura organizacional orientada a la protección de los datos y activos de información.
• Asegurar el estricto cumplimiento de los acuerdos contractuales, mandatos regulatorios y normativas aplicables.
• Monitorear y exigir la mejora continua del SGSI a través de revisiones periódicas formales.

3.2. Objetivos Fundamentales

Los objetivos de seguridad de KRANIO son evaluables, medibles y orientados a la protección del ecosistema digital:

1. Protección de la Confidencialidad: Garantizar que la información sea accesible exclusivamente por personas y sistemas expresamente autorizados mediante autenticación robusta y control de accesos granular.
2. Preservación de la Integridad: Salvaguardar la exactitud, exhaustividad y consistencia de los datos frente a modificaciones no autorizadas, errores o malware durante su ciclo de vida.
3. Garantía de Disponibilidad: Mantener la operatividad y resiliencia de los servicios, plataformas e infraestructura crítica mediante esquemas de redundancia, respaldos periódicos y planes de recuperación.
4. Gestión Continua de Riesgos: Identificar y mitigar oportunamente las vulnerabilidades y amenazas que puedan impactar la infraestructura tecnológica y las operaciones del negocio.
5. Cumplimiento Regulatorio y Contractual: Satisfacer con rigor las normativas legales, los compromisos de confidencialidad y los acuerdos de nivel de servicio suscritos con clientes y socios.
6. Gestión Eficaz de Incidentes: Proveer capacidades de detección temprana, respuesta estructurada, contención, análisis forense y remediación efectiva ante incidentes de ciberseguridad.
7. Madurez del SGSI: Incrementar sostenidamente la robustez del sistema a través de indicadores de gestión, auditorías y ciclos de optimización técnica.

3.3. Principios Generales de Operación

• Responsabilidad Compartida: La seguridad de la información es un deber y compromiso de cada miembro del ecosistema de KRANIO.
• Mínimo Privilegio y Necesidad de Conocer: Todo acceso a datos, servicios o servidores se otorga estrictamente en base a las funciones laborales requeridas y por el tiempo necesario.
• Clasificación y Custodia: Los activos de información son catalogados y protegidos conforme a su criticidad, nivel de sensibilidad y valor para el negocio.
• Notificación Inmediata: Cualquier incidente, sospecha de anomalía o debilidad potencial de seguridad debe reportarse de manera oportuna por los canales designados.

4. Partes Interesadas y Gobernanza

4.1. Partes Interesadas del SGSI

KRANIO identifica de forma permanente las necesidades y expectativas de sus grupos de interés en materia de seguridad:

4.2. Estructura de Roles y Responsabilidades

Para velar por la correcta administración de la seguridad, KRANIO establece los siguientes roles:

• Oficial de Seguridad de la Información (CISO): Conduce la estrategia global de ciberseguridad corporativa, supervisa la implementación de controles técnicos y lidera el tratamiento y mitigación de amenazas informáticas.
• Líder del SGSI (Líder ISO): Administra la conformidad del sistema con la norma ISO/IEC 27001, realiza el seguimiento a indicadores clave de desempeño (KPI), gestiona las no conformidades y coordina los ciclos de auditoría.
• Líderes de Operación y Desarrollo de Productos: Aseguran la adopción de prácticas de desarrollo seguro (DevSecOps), coordinan acuerdos de confidencialidad con clientes y garantizan que los productos cumplan con los requerimientos de seguridad definidos.
• Gestión de Proveedores y Cadena de Suministro: Evalúa la idoneidad técnica y solvencia de los terceros y proveedores tecnológicos, exigiendo cláusulas de seguridad, acuerdos de confidencialidad (NDA) y niveles de servicio (SLA).
• Colaboradores y Contratistas: Responsables del conocimiento, comprensión y cumplimiento de las directrices de seguridad, así como de la protección de sus credenciales y el reporte oportuno de cualquier incidente.

5. Gestión de Riesgos, Auditoría y Mejora Continua

5.1. Gestión Sistemática de Riesgos

KRANIO ejecuta de manera metódica y documentada la identificación, análisis y mitigación de riesgos operativos, tecnológicos, legales y de contexto. Los planes de tratamiento contemplan la aplicación de controles preventivos, detectivos y correctivos, monitoreados periódicamente por el Comité de Seguridad.

5.2. Concientización y Cultura Organizacional

KRANIO promueve una cultura activa de seguridad mediante programas permanentes de capacitación, simulaciones y sensibilización dirigidos a todos los colaboradores y prestadores de servicios, asegurando la actualización continua frente a amenazas emergentes como ingeniería social, phishing y fuga de información.

5.3. Auditorías y Revisiones por la Dirección

La efectividad del SGSI se asegura a través de:

• Auditorías Internas Anuales: Evaluaciones periódicas orientadas a verificar la conformidad operativa de los controles frente a la política y la norma ISO/IEC 27001.
• Auditorías Externas Independientes: Evaluaciones realizadas por organismos certificadores acreditados e independientes para avalar la eficacia y conformidad del SGSI.
• Revisión Anual por la Alta Dirección: Sesión estratégica anual donde se evalúa el desempeño del sistema, los resultados de auditorías, el estado de los riesgos y se asignan recursos para la mejora continua.

6. Control de Versiones