1. INTRODUCCION
La adopción de políticas, normas y procedimientos de seguridadde la información obedece a una
decisión estratégicade laSecretariade Tecnologías de Información de laGobernación Del Valle Del
Cauca, con el finde definirel SGSI,a través del análisis,diseñoe implementación de losobjetivos,
requisitos de seguridad, procesos, procedimientos, planes, políticas, controles con formatos, el
ternario,latecnologíayestructurade lamisma.Enlaactualidadla información paralaGobernación
del Valle del Cauca, se reconoce como un activo supremamente valioso y en la medida que los
sistemasde información apoyancadavez máslosprocesosmisionalesyde apoyo,yen razónde 10
anterior se requiere contar con estrategias de alto nivel que permitan el control y adrninistracion
efectiva de la misma. Se ha definido que las políticas de seguridad de la información deben
identificarresponsabilidadesyestablecerlosobjetivosparauna protección apropiadade losactivos
de información de la entidad, contando además con manuales para usuarios finales. La
implementación de laspolíticas buscareducirel riesgode que enformaaccidental 0 intencionalse
divulgue, modifique, destruya 0 use en forma indebida la información de la entidad. AI mismo
tiempolaspolíticashabilitanalasecretariade lasTIC y sus programascomoresponsablesde dictar
la normatividad de la gestión de seguridad de la información, y para orientar y mejorar la
adrninistracion de seguridad de los activos de información. Finalmente, también contempla el
proveer las bases para el seguimiento y monitoreo en la entidad. La Gobernación Del Valle Del
Cauca, desde sus directivas pretende mantener un esquema de seguridad que permita asegurar
constantemente la confidencialidad, integridad y disponibilidad de la información, siendo esta, su
activomás valioso.Paraelloadopta,establece,implementa,opera,verificaymejoraunSistemade
Gestión de Seguridad de la Información (SGSI).
Con base en 10 anterior se debe integrar a todo el personal de la entidad para que, conozca,
participe ycumplaloslineamientos, políticas,procedimientosy demásdirectricesestipuladasenel
SGSI, tal como 10 establece el plan de uso y apropiación
de las TIC el cual interactúa de manera articulada con la dimensión Gestión del Conocimientoy la
innovación asociada a la Política Gestión estrategia del talento humano de que trata el Modelo
Integrado de Planeación y Gestión (MIPG). Para este efecto se elaborará un documento que
contemple el Plan de Gestión de Cultura Organizacional en Apropiación del SGSI.
Aspectos Legislativos
MARCO REGULATORIO Y NORMATIVO
La Gobernación Del Valle Del Cauca, como entidad pública, al igual que cualquier organismo del
estado,se encuentracubiertapor un marco normativoy regulatorioentodo10 relacionadoconla
seguridadde lainformación,comotambiénunmarcode referenciade lasmejoresprácticasparael
desarrollo e implementación del Sistema de Gestión de Seguridad de la Información. Se tiene en
cuentaespecialmentelanuevaEstrategiade GobiernoDigital,que se evidenciaenelDecreto Único
Reglamentariodel Sector de Tecnologías de la Información y las Comunicaciones 1078 de 2015,
comprende cuatro grandes propósitos:
lograr que los ciudadanos cuenten con servicios en línea de muy alta calidad, impulsar el
empoderamientoylacolaboraciónde losciudadanosconel Gobierno,encontrardiferentesformas

2. para que la gestiónenlasentidades públicas seaoptimagraciasal uso estratégicode latecnología
y garantizar la seguridad y la privacidad de la información.
A continuación se relacionanlas demásnormas,leyes,decretosy resolucionesque aplicanparael
establecimiento, implementación yoperación delSGSIenlaGOBERNACION DELVALLE DEL CAUCA:
 NTC-ISOIIEC 27001- 27002:2013
 Decreto 2693 de 2012 MinTic
 Decreto 1008 de 2018 MinTic.
 Decreto 1414 de 2017 de MinTic.
 Ley 1712 de 2014
 Ley 1273 de 2009
 Decreto 1078 de 2015 MinTic
 Ley 1581 de 2012.
 Decreto 415 de 2016 MinTic
 Ordenanza Dptal. 430 de 2016.
 Decreto 1377 de 2013
 Ley 1266 de 2008
Adicionalmentese considerade maneraespecialque EIMinisteriode Tecnologías de laInformación
y lasComunicaciones - MINTIC,que el Decreto1078 de 2015 fue modificadoporel Decreto1008de
2018, en el artículo 2.2.9.1.1.3. Principios.Define laseguridadde la información comoprincipiode
la Políticade GobiernoDigital,de igual maneraenel articulo 2.2.9.1.2.1 define laestructurade los
Elementosde laPolíticade GobiernoDigital atravésde componentesyhabilitadorestransversales
loscualessonloselementosfundamentalesde Seguridaddela Información,ArquitecturayServicios
Ciudadanos Digitales, que permiten el desarrollo de los anteriores componentes y el logro de los
propósitos de la Política de Gobierno Digital.
Políticas de Seguridad
POLITICA DE SEGURIDAD DE LA INFORMACION DELA GOBERNACION DEL VALLEDEL CAUCA
La PolíticaGeneral Se define laPolíticade Seguridadde la Información como la manifestación que
hace la alta dirección de la Gobernación Del Valle Del Cauca, sobre la intención institucional de
definir las bases para gestionar de manera adecuada y efectiva, la seguridad de la información;
garantizando la confidencialidad, integridad y disponibilidad de sus activos de información.
La Gobernación del ValledelCaucapretende mediantelaadopcióne implementaciónde unModelo
de Seguridad y Privacidad de la Información enmarcadoen el Sistema de Gestión de Seguridad de
la información, proteger, preservar y administrar la confidencialidad, integridad, disponibilidad,
autenticidad y no repudio de la información, asume el compromiso de implementar el sistema de
Gestión de la Seguridadde laInformación paraprotegerlosactivosde información de losprocesos
misionales, comprometiéndose a:
 La gestión de los riesgos de los activos de información teniendo en cuenta el nivel de
tolerancia al riesgo de la entidad.
 Una gesti6nintegral de riesgosbasadaenla implementación de controles físicos ydigitales
orientados a la prevención de incidentes.

3.  La implementación de políticas de seguridad de alto nivel y de políticas complementarias
por cada dominio de la norma ISOIIEC 27001 :2013, para asegurar la confidencialidad,
integridad y disponibilidad de la información institucional.
 EI fomentode la culturay toma de concienciaentre el personal (funcionarios,contratistas,
proveedores y terceros) sobre la importancia de la seguridad de la información.
 Las responsabilidadesfrente alaseguridadde la información serándefinidas,compartidas,
publicadas y aceptadas por cada uno de los empleados, proveedores, socios de negocio o
terceros.
 Protegerlainformacióngenerada,procesada0resguardadaporlosprocesosde negocio,su
infraestructura tecnológica y activos del riesgo que se genera de los accesos otorgados a
terceros (ej.: proveedores 0 clientes), o como resultado de un servicio interne en
Outsourcing.
 Se mitigarán los incidentes de Seguridad y Privacidad de la Información, SeguridadDigital
de forma efectiva, eficaz y eficiente, y se protegerá la información creada, procesada,
transmitida o resguardada por sus procesos de negocio, con el fin de minimizar impactos
financieros, operativos o legales debido a un usa incorrecto de esta. Para ello es
fundamental laaplicaciónde controlesde acuerdoconla clasificación de lainformación de
su propiedad 0 en custodia.
 Se protegerá la información de las amenazas originadas por parte del personal de la
GOBERNACION DEL VALLE DEL CAUCA.
 Se generará conciencia para el cambio organizacional requerido para la apropiación de la
Seguridad y Privacidad de la Información
 Se protegerá las instalaciones de procesamiento y la infraestructura tecnológica que
soporta sus procesos críticos.
 Se controlará la operación de sus procesos de negocio garantizando la seguridad de los
recursos tecnológicos y las redes de datos.
 Se implementará control de acceso a la información, sistemas y recursos de red.
 Se garantizará que la seguridad sea parte integral del ciclo de vida de los sistemas de
información.
 Se garantizará a través de una adecuada gesti6n de los eventos de seguridad y las
debilidadesasociadasconlossistemasde informaci6nunamejoraefectivade sumodele de
seguridad.
 Se garantizaráladisponibilidadde susprocesosde negocioylacontinuidadde suoperaci6n
basad a en el impacto que pueden generar los eventos.
 Se garantizará el cumplimiento de las obligaciones legales, regulatorias y contractuales
establecidas. Adicionalmente como parte de la política de Seguridad de la Informaci6n se
contara con las siguientes directrices
Definiciones propias de Seguridad
 Deberes individuales de los usuarios de la información
 Deberes de los responsables de personal
 Directrices relacionadas con el manejo de información confidencial
 Uso adecuado de Software.

4.  Control de Virus.
 Control de Contraseñas.
 Copias de respaldo de información (Backup):
 Directrices relacionadas con el desarrollo del software para la
 GOBERNACION DEL VALLE DEL CAUCA.
 Políticas de seguridad en el acceso a áreas restringidas.
 Política de manejo de documentos electr6nicos
 Política de manejo integral con gestión documental
Manejo de los Recursos (Humanos y Técnicos)
Deberesindividualesde losusuariosde la información
 5.2.1. Usar la informaci6n de la GOBERNACION DEL VALLE DEL CAUCA uncialmente para
propósitos del negocio autorizado y en cumplimiento de su labor.
 5.2.2. Respetar la confidencialidad de la informaci6n de la GOBERNACION DEL VALLE DEL
CAUCA. 5.2.3. No compartir perfiles de usuario, contraseñas, sesiones en estaciones de
trabajo, documentos 0 cualquier tipo de informaci6n confidencial.
 5.2.4. Noanotar y/oalmacenarenlogaresvisibleslas contraseñasde accesoalossistemas.
 5.2.5. Ajustarse a las directrices de clasificaci6n de la informaci6n.
 5.2.6. Bloquearlasesiónde laestación de trabajoal momentode ausentarse de la misma.
 5.2.7. Las impresiones deben ser recogidas al momento de generarlas, no se deben dejar
por largos periodos de tiempo en la impresora.
 5.2.8. Devolver y no conservar ningún tipo de copia sus activos de información, en buen
estado, una vez cese su relación laboral con la Entidad
 5.2.9 Estaestrictamente prohibidola divulgación,cambio,retirooperdidanoautorizadade
información de la Entidad almacenada en medios físicos removibles, como USB, cintas
magnéticas, entre otros.
 5.2.10 Esta estrictamente prohibido utilizar software no licenciado en los recursos
tecnológicos, copiar software licenciado de la GOBERNACION DEL VALLE para utilizar en
computadores personales, ya sea en su domicilio 0 en cualquier otra instalación y/o
entregarlos a terceros.
Deberesde los responsablesde personal
 Conceder autorizaciones de acceso a la información acorde con las funciones a ser
realizadas por las personas a quienes Ie coordinan el trabajo.
 Asegurar que los privilegios de acceso individuales reflejen una adecuada segregación de
funciones. Un usuario no debe tener los permisos suficientes para originar, registrar y
corregir/verificar una transacción sensitiva del negocio sin controles adecuados o una
revisión independiente.

5.  Restringir el acceso del personal a aquellas áreas que hayan sido restringidas por razones
de seguridad.
 Ser el responsable de conocer,solicitaryratificarlosprivilegiosde accesoa los empleados
que Ie reportan.
 Conservar los registros de los empleados con privilegios de acceso a la información.
Adicionalmente,laSecretariade lasTICcomo encargadade la Seguridadde la Información,
debe mantener actualizadas las autorizaciones y perfiles de usuario basándose en los
archivos de Recursos Humanos y/o contratación (gestión del Outsourcing), donde se
encuentran todos los empleados y las áreas a las que pertenecen,al igual que como se
establece en la Política de roles y Perfiles.
 Cuandounempleadose ausentade sutrabajoporunperiodode tiemposuperioral mínima
establecidoparacumplirconlasregulacionessusuperiorinmediatodebe:a.Determinarsi
los accesos a los recursos físicos y a la información deben ser suspendidos. b. Notificar la
fecha en que el acceso debe ser suspendido, de ser necesario. c. Recoger los equipos de
seguridadcomo por ejemploIlaves,claves,computadoras,etc.d.Cuando un empleadose
encuentraporfuerade lasfuncionesde laGOBERNACION DELVALLEDELCAUCA,yaseapor
licencia, permiso sindical, suspensión, encargo. etc .. el acceso a los recursos físicos y a la
información debeserinmediatamentesuspendidoporsolicitudde sujefeinmediato,deser
necesario.
 Cuando un empleado es retirado (voluntaria 0 involuntariamente), su jefe inmediato es
responsable por: a. Solicitar la revocación de las autorizaciones. b. Revocar 0 restringir los
privilegios de acceso antes de notificarle la terminación del contrato, si es apropiado
 Recoger los equipos, los dispositivos físicos y la revocación de las autorizaciones a los
sistemas de información.
Directricesrelacionadas conel manejode información confidencial
 Los documentos con esta información no pueden ser dejados desatendidos o inseguros.
 Debe indicar el usuario dueñoo fuente de información en la primera pagina o cubierta, o
en algún repositorio central.
 Debe serapropiadamente autorizadoparala divulgación de acuerdoconlos estándares de
clasificación de la información por parte de los propietarios.
 La divulgación cualquieraque fuere sumedio,verbal,escrita, telefónicaoelectrónica,debe
ser efectuada sobre la base de la necesidad de conocerla de acuerdo a sus funciones.
 Reunionesrelacionadasconel manejode esta información debenllevarse acabo en áreas
de oficinas cerradas.
 Nodebe seraccedidaoenviadaa travésde cualquiertecnologíade fácil acceso,talescomo
teléfonos celulares o inalámbricos.
 Para propósitos de seguridad toda la información debe ser etiquetada con la clasificación
respectiva.
 EI etiquetado debe ser fácilmente legible a simple vista.
 Antes de divulgarse verbalmente información clasificada como Restringida 0 Confidencial
debe indicarse su clasificación.

6.  EI acceso o distribución de información de Uso Internodebe estar limitadoaempleadosu
otros con la necesidad de conocerla o usarla para cumplir con sus funciones.
 Documentos que contengan información Confidencial deben ser impresos en un área
segura 0 con la supervisión adecuada.
 Distribución de información confidencial debe ser limitada a personas 0 grupos con la
necesidad de conocerla 0 usarla para cumplir con sus funciones.
 Los mecanismos de entrega utilizados para información Restringida, deben contemplar
confirmación de recibo.
 Estas políticas aplican tanto a los originales como a todas las copias de la información.
 Accesoa información confidencial que se encuentre almacenadadebe seradecuadamente
controlado. Esto incluye información confidencial almacenada externamente 0 copias de
respaldo.
 Las copias de respaldo de información confidencial debenser protegidas de destrucción
intencionada 0 accidental. Algunos métodos de protección pueden incluir contenedoresa
prueba de fuego, contenedores asegurados y almacenamiento externo.
 Información almacenada por periodos prolongados debe ser revisada regularmente para
verificar su legibilidad.
 Las personas que tienen acceso remoto a la información de la GOBERNACION DEL VALLE
DEL CAUCA son responsablesporlaseguridadde la información conlosmismosnivelesde
control requeridos dentro de la GOBERNACION DEL VALLE DEL CAUCA
5.5. Uso adecuadode Software.
 En las estaciones de trabajo de la GOBERNACION DEL VALLE DEL CAUCA solo se puede
instalarsoftware desarrollado0adquiridolegalmente ycuyalicenciade usoeste anombre
de la GOBERNACION DEL VALLE DEL CAUCA.
 La coordinación y ejecución de mantenimiento de programas 0 aplicaciones instaladasen
las estaciones de trabajo es del equipo de trabajo del programa de Gestión de Soluciones
T.I de la Secretaria de Tecnologías de Información y Comunicaciones.
 Las estaciones de trabajo de la GOBERNACION DEL VALLE DEL CAUCA deben ser utilizadas
por los empleados, proveedores 0 contratistas solo para el desarrollo de las funciones
normales de su trabajo.
 Los usuariosdebencumplirconla legislación Colombianaque regulalosderechosde autor.
5.6. Control de Virus.
 Los computadores personales deben mantener activo un software antivirus, Sistema
Operative, Microsoft Office, licenciados y Actualizados y que su uso haya sido Autorizado
por el equipo de trabajo del programa de Gestión de Soluciones T.I de la Secretaria de
Tecnologías de Información y Comunicaciones.
 Los servidores de archives, groupware y correo electrónico deben mantener activo un
software antivirus.

7.  Los computadores personales y servidores deben ser analizados contra virus periódica y
automáticamente.
Manejo de la Información
3.4.1 Política Pública Para Manejo de Información
La Secretaría de las TIC de la Gobernación del Valle del Cauca considera el marco
orientador de la política pública como una herramienta vital para el cumplimento de sus
objetivos.
Las características de esta política incluyen:
La definición de los lineamientos de uso y apropiación de las TIC en el Valle del
Cauca, la cual se encuentra definida en el procedimiento Gestionar la promoción y
apropiación TIC.
Contempla la excelencia en los servicios orientados a atender las necesidades de
los usuarios internos y de los ciudadanos.
Acoge en toda su extensión la estrategia de Mintic de Gobierno Digital.
Considera esencial la seguridad y privacidad de la información.
Tiene como alcance a la Gobernación del Valle del Cauca, municipios y entidades
descentralizadas de orden departamental.
3.4.2 Propósito de la Política Departamental Para el Manejo de Información
El objetivo de esta política es " Consolidar el Ecosistema de Innovación Digital del Valle
del Cauca para su transformación en un territorio inteligente e innovador, el cual contiene
dos ámbitos de gestión: el primero que es el ámbito de gestión externo que compete a la
“Gestión de la Economía Digital”, el segundo que compete al ámbito de gestión interno
que comprende la “Gestión de Soluciones TI”. Para promover la integración de los
actores públicos y privados de la industria y la innovación TIC, empresarios,
emprendedores y la comunidad en general, con el propósito de implementar planes,
programas y proyectos que fortalezcan la productividad y la competitividad de los sectores
estratégicos del Valle del Cauca propendiendo mejorar la calidad de vida de los
habitantes del departamento y mejorar las condiciones socioeconómicas de los mismos
en el contexto actual de la Economía Digital. Por ello para sostener una Gobernanza TIC
en el orden departamental se deben constituir el Comité TIC del Departamento, donde
tengan participación todas las entidades territoriales que lo conforman y el Comité TIC
Gobernación, donde tengan presencia todas las dependencias del nivel central y
entidades descentralizadas del gobierno departamental; los cuales serán órganos
facilitadores e integradores de la política TIC. Sera la Secretaria de las Tecnologías de la
Información y las Comunicaciones quien articule y dinamice el Ecosistema de Innovación
Digital"
Las tareas específicas a desarrollar incluyen:
Proponer y desarrollar programas de formación para fortalecer las competencias
del talento de TI en virtud de las necesidades de la gestión de TI y adelantar
acciones con el fin de garantizar la óptima gestión del conocimiento sobre los
proyectos, bienes y servicios de relacionados con la Economía Digital y todo lo
relacionado con el fortalecimiento del GEL.
Generar espacios de articulación con otros actores institucionales, la academia, el
sector privado y la sociedad civil para contribuir en aspectos inherentes a la formulación y
ejecución de planes, programas y proyectos que incorporen
tecnologías y sistemas de la información y las comunicaciones (TIC).
Identificar oportunidades para adoptar nuevas tendencias tecnológicas que

8. generen impacto en el desarrollo del sector y en la Región.
Propender y facilitar el uso y apropiación de las tecnologías, los sistemas de
información y los servicios digitales por parte de los servidores públicos, los
ciudadanos y los grupos de interés a quienes están dirigidos,
Procurar ofrecer una moderna infraestructura de conectividad y comunicaciones,
en apoyo para los centros de producción de pensamiento así como
acompañamientos de expertos, en la utilización de las TIC, capaces de dirigir y
orientar su aplicación de manera estratégica.
Promover, en coordinación con las dependencias competentes, la regulación del
trabajo virtual remunerado, como alternativa de empleo para las empresas y
oportunidad de generación de ingresos de los ciudadanos, de todos los estratos
sociales.
Diseñar, adoptar y promover las políticas, planes, programas y proyectos del
sector de las Tecnologías de la Información y las Comunicaciones.
La arquitectura del ecosistema de innovación digital adoptado es el siguiente:
DIAGRAMA ECOSISTEMA