Plusoft cuenta con la certificación ISO27001 desde 2017, y ya en 2023 nos recertificamos en la nueva versión de la norma ISO27001/2022. Cumplimos con los 93 controles establecidos en la norma que garantiza la madurez de todo nuestro proceso de seguridad.
Como trabajamos con soluciones basadas en la tecnología, reconocemos los riesgos asociados con las posibles fugas o pérdidas de información. Por este motivo, prestamos especial atención a todos los aspectos relacionados con la seguridad de la información de los datos. Además de operar de conformidad con la legislación vigente, incluida la Ley General de Protección de Datos (LGPD, ley 13,709/2018), hemos implementado una serie de procedimientos formales para identificar y mitigar las posibles amenazas. De esta manera, creamos procesos estrictos en nuestras actividades mediante la adopción de una variedad de políticas internas, que se revisan y actualizan constantemente. Estas son las siguientes:
- Política de seguridad de la información de PSI: esta política se aplica a toda la organización y tiene por objeto evitar el uso indebido y la destrucción o divulgación no autorizadas de la información patentada de Plusoft. Su propósito es garantizar la continuidad del negocio y maximizar el retorno de las inversiones y oportunidades;
- Política de seguridad de la información en la nube: creada para establecer pautas adicionales y específicas para la solución de relación con el cliente de OMNI Plusoft, o cualquier otra solución bajo la administración del área de Infraestructura, que es un cliente del servicio en la nube. El documento guía a los empleados a buscar la mejora continua en las actividades relacionadas con la planificación, la ejecución, el análisis de sus procesos/productos, la protección de la seguridad de la información generada y el correcto funcionamiento del Sistema de Gestión de la Seguridad de la Información;
- Política de privacidad corporativa: el propósito de este contenido es aclarar qué información se recopila de los usuarios de nuestro sitio, cómo se utilizan estos datos y con quién se comparten, buscando una mayor transparencia en la relación entre Plusoft y el usuario;
- Declaración de aplicabilidad de la SOA: aclare qué controles de la ISO 27001/2022 hemos adoptado en nuestro modelo de negocio;
- Plan de comunicación de incidentes: definición de los procesos a seguir para la comunicación entre Plusoft y sus clientes sobre los incidentes;
- Plan de continuidad del negocio: Plusoft Informática S.A. se compromete a garantizar la continuidad del negocio en caso de que se produzcan eventos anómalos que puedan comprometer el funcionamiento normal de su negocio, salvaguardando los intereses de sus clientes, empleados y otras partes interesadas. Esta política se aplica a toda la organización;
- Política corporativa de protección de datos: la protección de datos en el procesamiento de la información de nuestros clientes y consumidores representa hoy en día uno de los grandes activos a proteger en nuestra estructura. Por este motivo, en cumplimiento de la legislación de protección de datos, el Grupo Plusoft ha preparado esta Política de protección de datos corporativos;
- Política de escritorio y pantalla limpia: esta política tiene como objetivo informarle sobre las buenas prácticas tanto en el trabajo presencial como en la oficina central, relacionadas con garantizar que la información confidencial, tanto en formato digital como físico. Garantizar que los activos (ordenadores portátiles, teléfonos móviles, tabletas, etc.) no queden desprotegidos en los espacios de trabajo personales o públicos cuando no estén en uso. O cuando alguien abandona su área de trabajo, ya sea por un período corto de tiempo o al final del día.
- Libro electrónico sobre seguridad de la información: descubra cómo Plusoft protege los datos de los clientes, empleados y socios.
Y tenemos otros documentos internos que garantizan la madurez de todo nuestro proceso.
- Estándar de gestión de cambios: el propósito de este estándar es proporcionar directrices para el proceso de gestión de cambios de Plusoft, teniendo en cuenta los aspectos técnicos, organizativos y de seguridad de la información. Con esta política, queremos lograr la transparencia y la seguridad en las rutinas de trabajo, mitigando los riesgos y los impactos en el proceso de actualización de los artefactos o componentes de los activos de infraestructura de la solución de relación con el cliente o de cualquier otra solución gestionada por el área de infraestructura;
- Plan de concientización: este plan tiene como objetivo definir el programa de acciones de concientización sobre la seguridad de la información para todos los empleados de Plusoft;
- Política de sanciones disciplinarias internas: el propósito de esta política es informar y orientar las sanciones, en caso de incumplimiento, de las pautas de seguridad de la información y el Código de Ética y Conducta. De este modo, garantizar que todos los involucrados compartan la responsabilidad de los procesos de seguridad y garanticen la integridad, disponibilidad y confidencialidad de los activos de información. Buscar la mejora continua en las actividades relacionadas con la planificación, la ejecución, el análisis de los procesos/productos y la protección de la seguridad de la información generada;
- Metodología de mejora continua: definición de directrices para la ejecución periódica de un proceso de mejora continua, que busca mejorar los controles existentes o la viabilidad de los nuevos controles, mitigando las amenazas y los riesgos identificados;
- Metodología de análisis de riesgos: proporcione las directrices para el proceso de gestión de riesgos de seguridad de la información, cumpliendo con los requisitos de un sistema de gestión de seguridad de la información (SGSI) de acuerdo con ABNT NBR ISO/IEC 27001. La metodología define los criterios para identificar y evaluar los riesgos, así como para documentar los resultados válidos y consistentes de los criterios de aceptación de los riesgos e identificar a los responsables;
- Estándar de gestión de la experiencia humana: este estándar define las pautas para el proceso de selección, contratación, traslado y despido de empleados en relación con la gestión del área de infraestructura o el entorno corporativo de Plusoft;
- Norma de desarrollo seguro: tiene como objetivo garantizar una gestión eficiente del proceso de desarrollo y aprobación del software, teniendo en cuenta los requisitos para la adquisición, el desarrollo y el mantenimiento de los sistemas de información cubiertos por la norma ISO 27001;
- Estándar de administración de actualizaciones: este estándar tiene como objetivo definir pautas para administrar las actualizaciones, los parches y las vulnerabilidades de los activos, a fin de evitar la explotación de las vulnerabilidades técnicas;
- Norma de gestión de operaciones: esta norma tiene como objetivo definir las reglas y procedimientos para el monitoreo, la capacidad operativa y la administración de los entornos y sistemas de tecnología de la información;
- Norma de seguridad física y ambiental: este documento proporciona pautas para administrar el acceso a la solución de relaciones con los clientes. La norma también establece reglas para el acceso físico a los entornos y áreas que contienen información y otros activos asociados, cumpliendo con los requisitos de un sistema de gestión de la seguridad de la información (SGSI). De esta forma, nos aseguramos de que solo las personas autorizadas tengan acceso a los datos cuando sea necesario, evitando el acceso no autorizado, los daños o la interferencia con los sistemas de información o las áreas de procesamiento de la información;
- Estándar de gestión de información documental: el propósito de este estándar es proporcionar pautas para la gestión de los documentos de Plusoft, teniendo en cuenta los aspectos técnicos, organizativos y de seguridad de la información;
- Estándar Endpoint_Device: este estándar complementa la Política de seguridad de la información con el propósito específico de regular el uso de dispositivos de punto final;
- Norma de uso aceptable de los activos: esta norma define las reglas y los procedimientos para identificar, tratar y clasificar los activos de la organización que están bajo la propiedad o custodia de Plusoft;
- Norma de seguridad de las comunicaciones: definición de las reglas y procedimientos de seguridad de las comunicaciones que involucran los activos de la organización, con el objetivo principal de mitigar los riesgos en el ámbito en el que están involucrados los activos
- Estándar de gestión y clasificación de la información: definición de las reglas y procedimientos para clasificar la información, la documentación y los registros. Garantizar así que la información propiedad de Plusoft, o que está bajo su custodia, reciba un nivel adecuado de protección y, de acuerdo con el grado de secreto, esté garantizada por la confidencialidad, la integridad y la disponibilidad;
- Norma para las relaciones con los proveedores y prestadores de servicios: mantener el nivel acordado de seguridad de la información en las relaciones con los proveedores y prestadores de servicios;
- Norma de gestión de eventos de seguridad de la información: provisión de directrices para el proceso de gestión de incidentes, cumpliendo con los requisitos del Sistema de Gestión de la Seguridad de la Información (ISMS) de acuerdo con ABNT NBR ISO/IEC 27001;
- Estándar de control de acceso: este documento proporciona las pautas necesarias para administrar el acceso a la solución de relación con el cliente, cumpliendo con los requisitos de un sistema de administración de seguridad de la información (SGSI). Garantizando así que los usuarios autorizados obtengan acceso cuando sea necesario, evitando el acceso no autorizado a los sistemas de información;
- Estándar de trabajo remoto: protección de la información a la que se accede, se trata o se almacena fuera de las instalaciones;
- Plan de auditoría: establecimiento del programa de auditoría interna a intervalos planificados, que proporciona información sobre cómo mantener un programa de auditoría, incluida la frecuencia, los métodos, las responsabilidades, los requisitos de planificación y la presentación de informes. Este programa de auditoría tiene en cuenta la importancia de los procesos relevantes y los resultados de las auditorías anteriores;
- Manual del Sistema de Gestión de la Seguridad de la Información: este manual tiene como objetivo establecer las directrices y el funcionamiento del Sistema de Gestión de la Seguridad de la Información, guiando a sus empleados a buscar la mejora continua en las actividades relacionadas con la planificación, ejecución, análisis de sus procesos/productos y protección de la seguridad de la información generada;
- Análisis de impacto: identificar las actividades más relevantes en la infraestructura de producción y evaluar los impactos en casos adversos de contingencia o desastre;
- Declaración de aplicabilidad de la SOA: aclare qué controles ISO27001/2022 hemos adoptado en nuestro modelo de negocio y qué documentos justifican la adopción o no de cada control.
