Política de uso aceptable

La Política de uso aceptable (Política de uso aceptable) establece los estándares para el uso responsable, seguro y lícito de los sistemas de información, los recursos tecnológicos y los activos de datos de una organización. El propósito general es definir tanto las actividades aceptables como las prohibidas al interactuar con la infraestructura informática de la empresa, incluidos puestos de trabajo, dispositivos móviles, servidores, servicios en la nube y redes. Esta política garantiza que todos los usuarios, desde empleados y contratistas hasta proveedores terceros, conozcan sus responsabilidades para defender la confidencialidad, integridad y disponibilidad de los activos de información de la organización. Según la política, el alcance es integral y abarca a toda persona y entidad a la que se le conceda acceso, así como todas las formas de tecnología y datos corporativos. Se aplica por igual en oficinas corporativas, configuraciones de teletrabajo y ubicaciones de campo. No solo deben cumplir los usuarios tradicionales de TI, sino también cualquier persona que opere bajo acuerdos de Trae tu propio dispositivo (BYOD) o a través de entornos híbridos. Cada usuario debe proporcionar el acuse de recibo de la política como condición previa para el acceso a sistemas y datos, y dicho acuse de recibo se conserva para auditoría y cumplimiento. Los objetivos de la política subrayan la importancia de establecer límites claros para las acciones permitidas y prohibidas. Exige la prevención del acceso no autorizado o la fuga de datos mediante amenazas impulsadas por el comportamiento, como el uso negligente, la instalación de software no autorizado o la evasión de controles de seguridad. Para salvaguardar el cumplimiento, se delimitan roles y responsabilidades para la alta dirección (aprobación y supervisión de la política), los equipos de TI y seguridad (aplicación técnica, seguimiento, investigación), los responsables (supervisión local, gestión de infracciones menores), RR. HH./legal (medidas disciplinarias, legalidad de la política) y todos los usuarios (uso ético, notificación de incidentes, protección de credenciales). Las medidas de gobernanza y aplicación están diseñadas de forma deliberada. Los usuarios deben completar un acuse de recibo formal y formación recurrente, reforzando la concienciación y el comportamiento ético. Los equipos de TI y seguridad implementan sistemas de filtrado web y de correo electrónico, seguridad de endpoints y seguimiento para aplicar técnicamente las reglas, mientras que las revisiones periódicas garantizan que los controles sigan siendo eficaces. Las actividades prohibidas se enumeran explícitamente e incluyen acceso no autorizado, despliegue de software malicioso, uso con fines de lucro personal, uso excesivo de recursos e intentos de eludir mecanismos de autenticación. También existe un tratamiento estricto del uso de Trae tu propio dispositivo (BYOD), el cifrado y las prácticas de teletrabajo, con requisitos técnicos y procedimentales para la seguridad de dispositivos y datos. Los mecanismos de respuesta a incidentes exigen que los usuarios notifiquen con prontitud los eventos de seguridad, el acceso no autorizado o la pérdida de dispositivos a través de canales oficiales. Las infracciones se abordan con medidas disciplinarias proporcionales, desde reentrenamiento específico y suspensión de acceso hasta terminación o escalado legal, todo ello documentado para fines legales y de auditoría. De forma importante, la política protege el anonimato del mecanismo de denuncia y prohíbe represalias, fomentando una cultura de rendición de cuentas. Alineada con normas internacionales reconocidas como ISO/IEC 27001:2022 (Cláusula 5.10 y controles seleccionados del Anexo A), NIST SP 800-53, EU GDPR, NIS2, EU DORA y COBIT 2019, la Política de uso aceptable está construida para resistir el escrutinio desde perspectivas de cumplimiento, legal y auditoría. Se rige por ciclos de revisión prescritos, control de versiones y requisitos de gestión documental para garantizar su vigencia a medida que evolucionan los riesgos y cambia el entorno normativo. Además, la política enlaza explícitamente con políticas clave relacionadas como Política de control de acceso, Marco de gestión del riesgo y Política de teletrabajo, garantizando un enfoque holístico y por capas para la gobernanza del riesgo cibernético de la organización.