Los problemas de seguridad en sistemas basados en redes son generados principalmente por los empleados de la organización, estos se pueden tipificar en tres grandes grupos: 

• Problemas por ignorancia
• Problemas por ociosidad
• Problemas por malicia

Entre estas razones, la ignorancia es la más fácil de manejar. Desarrollando tácticas de entrenamiento, capacitación y procedimientos formales e informales son fácilmente neutralizadas. Los usuarios, además, necesitan controles, que les recuerden cosas que ellos deberían conocer. 

La ociosidad será siempre un riesgo latente, pero se encuentra que éste es un problema menor cuando los usuarios “chocan” con los límites que ponen los sistemas de seguridad. 

La malicia, se debe combatir creando una cultura en la organización que aliente la lealtad de los empleados. 

6.4.2 Responsabilidades de la oficina de Sistemas de Información 

• Ser el eje para todos los procesos de seguridad y ser capaz de guiar y aconsejar a los usuarios de la institución sobre cómo desarrollar procedimientos para la protección de los recursos. 

• Desarrollar procedimientos de seguridad detallados que fortalezcan la política de seguridad informática institucional. 

• Promover la creación y actualización de las políticas de seguridad informática, debido al comportamiento cambiante de la tecnología que trae consigo nuevos riesgos y amenazas. 

• Atender y responder inmediatamente las notificaciones de sospecha de un incidente de seguridad o de incidentes reales. 

• Elaborar un Plan de Contingencia, con la finalidad de dar una respuesta rápida, que sirva para la investigación de la eventualidad ocurrida y para la corrección del proceso mismo. 

• Establecer vínculos con otras oficinas de sistemas de otras empresas, capacitarse y actualizarse en temas de seguridad con el objetivo de ampliar sus conocimientos y aplicar soluciones a problemas de seguridad del entorno institucional. 

Políticas de seguridad de equipos 

Los equipos son la parte fundamental para el almacenamiento y gestión de la información. La función de la Oficina de TIC´S es velar que los equipos funcionen adecuadamente y establecer medidas preventivas y correctivas en caso de robo, incendio, desastres naturales, fallas eléctricas y cualquier otro factor que atente contra la infraestructura informática. Comprende las siguientes políticas: 

1. Todo equipo de cómputo, periférico o accesorio que esté o sea conectado a la Red de la Clínica Cristo Rey, sea propiedad o no de la institución debe de sujetarse a las normas y procedimientos de instalación establecidos por la oficina de TIC´S, de lo contrario no le será permitido conectar su equipo o dispositivo. Para los equipos que no sean propios de la Clínica Cristo Rey, se debe diligenciar un formato donde su propietario asuma la total responsabilidad sobre su equipo mientras esté conectado a la red eléctrica y de datos de la institución, ya que esta no se hace responsable de daños físicos o lógicos que puedan sufrir los equipos o periféricos de terceros. 
2. Gestión TIC´S tendrá registro de todos los equipos que son propiedad de la Clínica Cristo Rey, Si se requiere hacer un traslado de computador, periférico o accesorio, debe contar con el consentimiento de la oficina Propiedad Planta y Equipo. 
3. Cualquier equipo, periférico o accesorio de propiedad de la Clínica Cristo Rey que necesite ser retirado de la Institución tendrá que autorizarlo la Gestión TIC´S y Propiedad Planta y Equipo. 
4. Todo equipo de la Institución debe estar ubicado en un área que cumpla con los requerimientos de: seguridad física, condiciones ambientales adecuadas, seguridad y estabilidad en la parte eléctrica, garantías que deben proporcionarse en conjunto con el área de mantenimiento de la Clínica Cristo Rey. 
5. Todo equipo o periférico perteneciente a la red de la Clínica Cristo Rey, deberá contar con un dispositivo de protección eléctrica, ya sea estabilizador de corriente o UPS, que resguarde al equipo ante un cambio brusco en la corriente eléctrica de la entidad o del sector donde se ubica. Por lo anterior: 
6. Todo equipo propiedad de la institución, y que no cuente con alguno de estos dispositivos de protección, no puede ponerse en funcionamiento. Si el colaborador conectara el equipo, será el directo responsable de los daños que puedan ocurrirle a este. 
7. En caso de que se necesite poner en funcionamiento un equipo que no tenga UPS o estabilizador, podrá hacerse de manera temporal y con el acompañamiento de un colaborador de la oficina de Gestión TIC´S. 
8. Los usuarios responsables de los equipos en cada dependencia deberán dar cumplimiento con las normas y estándares de instalación con las que fue entregado el equipo, y deberán pedir aprobación de actualización o instalación de cualquier software, reubicación del equipo, reasignación, y todo aquello que implique cambios respecto a su instalación, asignación, función y misión original. Los equipos de cómputo no deben moverse o reubicarse sin la aprobación previa de la oficina de Gestión TIC´S, que evaluará la viabilidad de dicho cambio. 
9. La protección física y la limpieza externa de los equipos corresponde al colaborador de sistema al que se le asigne la tarea, y la custodia y cuidado en el sitio de trabajo le corresponde al colaborador que lo manipula y quién debe notificar las eventualidades, tales como daños, pérdidas y demás en el menor tiempo posible a la oficina de Gestión TIC´S. Está totalmente prohibido el consumo o ubicación de alimentos cerca de los equipos e impresoras, así como pegar distintivos, calcomanías y demás. En caso de que ocurra un incidente producido por el derrame de algún tipo de alimentos sobre un equipo, periférico o accesorio, este debe apagarse y desconectarse de inmediato e informar oportunamente a la oficina de Gestión TIC´S quien hará el mantenimiento necesario e informará a quien corresponda para que se tomen las medidas correctivas necesarias. 
10. No se permite el uso de dispositivos de almacenamiento extraíble tales como memorias USB, CD o DVD, nuevas tecnologías en los equipos de la Clínica Cristo Rey, salvo en aquellos casos en donde por fuerza mayor se requiera y previamente evaluado y aprobado por la oficina de Gestión TIC´S. Para garantizar lo anterior, la oficina de Gestión TIC´S bloquea los puertos USB (solamente para el uso de memorias), y las unidades de CD/DVD, si algún usuario necesita que ese bloqueo sea levantado, deberá solicitarlo a la oficina de Gestión TIC´S, que a su vez hará llegar la solicitud a la Gerencia para su evaluación y decisión. Esta medida aplica para colaboradores y contratistas que laboren en la Institución y que de una u otra manera tengan acceso a los equipos de la Clínica. 
11. Toda instalación de equipo, mantenimiento o proceso de soporte técnico a nivel de hardware, sin importar su nivel de complejidad, debe ser única y exclusivamente realizado por personal de la oficina de Gestión TIC´S. Bajo ningún concepto se autoriza que personal ajeno a la oficina de Gestión TIC´S manipule los equipos de la Clínica Cristo Rey. 
12. Los equipos de cómputo de la Clínica Cristo Rey no deben ser alterados ni mejorados (cambios de procesador, adición de memoria o tarjetas) bajo ninguna causa. Está totalmente prohibido a los usuarios destapar o desarmar los equipos o impresoras bajo cualquier motivo, sin exclusión. El único personal autorizado para esta labor es el de la oficina de Gestión TIC ́S. De detectarse que se está presentando esta conducta se informará y se tomarán las medidas correctivas necesarias. 
13. Los colaboradores de La oficina de Gestión TIC´S son los únicos autorizados para manejar, mantener y velar por la integridad y seguridad de los servidores centrales de la institución, a su vez de mantener las claves de estos. 
14. Los equipos propiedad del Hospital deben usarse solamente para las actividades propias de la Clínica Cristo Rey, por lo tanto, los usuarios no deben usarlos para asuntos personales. 
15. La adquisición de nueva infraestructura de procesamiento de la información (hardware, software, aplicaciones e instalaciones físicas) o la actualización de la existente, deberá ser autorizada por la Oficina de Gestión TIC´S y el jefe de la oficina afectada. 
16. Todo equipo que sea asignado a un colaborador o contratista deberá ser entregado al responsable de este, en las mismas condiciones en que lo recibió, como parte de las actividades definidas en la terminación del contrato o cambio de cargo. 
17. Todo equipo de cómputo que esté asignado a áreas asistenciales y requiera ser retirado del servicio para mantenimiento, reparación, reubicación o reemplazo, debe previamente pasar por un proceso de desinfección en sitio, con el fin de prevenir posible contaminación. 

6.4.3 Políticas de seguridad de usuarios 

Los usuarios son las personas que utilizan la estructura tecnológica de la Institución, ya sean equipos, recursos de red o gestión de la información. Gestión TIC´S establece normas que buscan reducir los riesgos a la información o infraestructura informática. Estas normas incluyen restricciones, autorizaciones, denegaciones, perfiles de usuario, protocolos y todo lo necesario que permita un buen nivel de seguridad informática. 

Todos los colaboradores y contratistas de la Clínica Cristo Rey deberán cumplir con estos requerimientos de seguridad de la Información. Igualmente, durante el proceso de vinculación deberán recibir inducción sobre lo establecido en este Documento y sobre la responsabilidad del cumplimiento de las políticas, procedimientos y estándares definidos por la Clínica. 

La información almacenada en los equipos de cómputo de la Clínica es propiedad de la Clínica Cristo Rey y cada usuario es responsable por proteger su integridad, confidencialidad y disponibilidad. No es permitido divulgar, alterar, borrar, eliminar información sin la debida autorización. 

Las claves o los permisos de acceso que les sean asignados a los colaboradores y/o contratista, son responsabilidad exclusiva de cada uno de ellos y no deben utilizar la identificación o contraseña de otro usuario, excepto cuando los colaboradores de Sistemas la soliciten para la reparación o el mantenimiento de algún servicio o equipo. 

1. Los permisos a usuarios son personales e intransferibles y serán acordes a las funciones que desempeñen y no deberán tener permisos adicionales a estos. Estos permisos se conceden a solicitud escrita del jefe de la Oficina quien debe velar por su adecuado manejo.
2. Los usuarios deben renovar periódicamente su clave de acceso al sistema, esto deben solicitarlo a la oficina de Sistemas de Información quienes le facilitarán el acceso y lo acompañarán en el proceso. Esta totalmente prohibido: El intento o violación de los controles de seguridad establecidos; El uso sin autorización de los activos informáticos; El uso no autorizado o impropio de la conexión al Sistema; el uso indebido de las contraseñas, firmas, o dispositivos de autenticación e identificación; acceder a servicios informáticos utilizando cuentas, claves, contraseñas de otros usuarios. Aún con la autorización expresa del usuario propietario de la misma.
3. El usuario será el directo responsable de cualquier daño producido por medidas o decisiones mal tomadas, mantenimientos, reparaciones o instalaciones realizados por él, que no fueran informadas o consultadas a Gestión TIC´S.
4. Los usuarios son responsables de todas las actividades llevadas a cabo con su código de usuario. Si detectan actividades irregulares con su código, tienen que solicitar una auditoría a la oficina de Gestión TIC´S que se encargará de dar soporte e informar al usuario la actividad completa en el período y módulos solicitados y de igual manera informará que medidas se deben tomar al respecto. (Investigación preliminar, cambio de usuario, proceso disciplinario).
5. Informar inmediatamente a la oficina de Sistemas de Información cualquier anomalía, aparición de virus o programas sospechosos e intentos de intromisión y no intente distribuir este tipo de información interna o externamente.
6. En caso de presentarse un problema crítico a nivel informático en horario no laboral afectando el normal funcionamiento de la Clínica Cristo Rey, Gestión TIC´S dispone de un colaborador para atender y solucionar estos inconvenientes que está debidamente reportado a las gestoras clínicas quien es el encargado de localizarlo.
7. Está prohibido intentar sobrepasar los controles de los sistemas, o tratar de saltar los bloqueos de acceso a internet (cambio de dirección IP, cambio de nombre de equipo, etc.) o introducir intencionalmente software malintencionado que impida el normal funcionamiento de los sistemas.
8. No se permitirá el almacenamiento y/o procesamiento de información propiedad de la clínica, en equipos o dispositivos de propiedad de los colaboradores o contratistas. Todos los contratistas y colaboradores deben firmar una cláusula de confidencialidad, que permita a la Clínica proteger la información. 

6.4.4 Política de seguridad de software 

1. Gestión TIC´S es la única responsable de la instalación de software informático y de telecomunicaciones. 
2. En los equipos de cómputo de la Clínica Cristo Rey, no se permite la instalación de software que no cuente con el licenciamiento apropiado. Está prohibido el uso de aplicaciones ilegales y el uso de “Cracks”, “Keygens” y demás aplicativos.
3. Está totalmente prohibido la instalación de juegos, programas de mensajería o aplicativos que no estén relacionados con las labores institucionales que se realizan en la Clínica Cristo Rey.
4. Con el propósito de proteger la integridad de los equipos y sistemas informáticos y de telecomunicaciones, es obligatorio que todos y cada uno de estos dispongan de software de seguridad (antivirus, filtros de contenido web, controles de acceso, entre otros). Equipo que no cuente con estos aplicativos de seguridad, no puede conectarse a la red de la institución.
5. Las medidas de protección lógica (a nivel de software) son responsabilidad del personal de Gestión TIC´S y el correcto uso de los sistemas corresponde a quienes se les asigna y les compete notificar cualquier eventualidad a la oficina de Sistemas de Información.
6. La adquisición y actualización de software para los equipos de cómputo y de telecomunicaciones se llevará a cabo de acuerdo al calendario y requerimientos que sean propuestos por Gestión TIC´S y a la disponibilidad presupuestal con el que se cuente.
7. Es obligación de todos los usuarios que manejen información masiva y/o crítica, salvaguardar toda su información en el drive del correo electrónico suministrado.
8. Gestión TIC´S administra los diferentes tipos de licencias de software con la que cuenta la Clínica Cristo Rey y vigilará su vigencia de acuerdo a sus fechas de caducidad. 

6.4.5 Políticas de seguridad de la red e internet 

1. Toda cuenta de acceso al sistema, a la red y direcciones IP, será asignada por la oficina de Gestión TIC de la Clínica Cristo Rey previa solicitud por ticket.
2. Se prohíbe utilizar la red y los equipos de la Clínica Cristo Rey para cualquier actividad que sea lucrativa o comercial de carácter individual, privado o para negocio particular.
3. En lo relacionado con el uso de correo electrónico, no está permitido el uso del correo personal. Los correos institucionales deben ser para uso exclusivo de las actividades de la Clínica Cristo Rey.
4. Para garantizar la seguridad de la información y el equipo informático, Gestión TIC´S establece filtros y medidas para regular el acceso a contenidos en el cumplimiento de esta normatividad: 

     Se prohíbe: 

• Utilizar los servicios de comunicación, incluyendo el correo electrónico o cualquier otro recurso, para intimidar o insultar a otras personas, o interferir con el trabajo de los demás. 

• Utilizar los recursos de la Clínica Cristo Rey para el acceso no autorizado a redes y sistemas remotos. 
• Acceder remotamente a los equipos de la Clínica Cristo Rey, los únicos colaboradores autorizados para realizar estas prácticas son los de Gestión TIC´S, al momento de dar soporte a los usuarios en horario extralaboral. 
• Provocar deliberadamente el mal funcionamiento de computadoras, estaciones o terminales periféricos de redes y sistemas, mediante técnicas, comandos o programas a través de la red. 
• Monopolizar los recursos en perjuicio de otros usuarios, incluyendo: el envío de mensajes masivamente a todos los usuarios de la red, iniciación y facilitaciones de cadenas, creación de procesos innecesarios, generar impresiones en masa, uso de recursos de impresión no autorizado. 
• Poner información en la red que infrinja el derecho a la intimidad de los demás colaboradores y/o contratistas. 

• Utilizar los servicios de la red para la descarga, uso, intercambio y/o instalación de juegos, música, películas, imágenes protectoras o fondos de pantalla, software de libre distribución, información y/o productos que de alguna manera atenten contra la propiedad intelectual de sus actores o que contenga archivos ejecutables. 
• El intercambio no autorizado de información de propiedad de la Clínica, de sus usuarios y/o sus colaboradores, con terceros. 
• El acceso a cuentas de correos personales de ningún tipo desde la red de la Clínica y solo se podrán utilizar las cuentas de correo electrónico suministradas por la Institución. Algunos ejemplos de los sistemas de correos electrónicos personales no autorizados son Yahoo!, Hotmail, Gmail. 
• Utilizar los servicios para acceder a páginas de radio o TV en línea, descargar archivos de música o video, visitar sitios de pornografía, ocio, entre otros que estén fuera de las funciones del usuario. 

1. Los servicios bancarios vía web a nombre de la Clínica Cristo Rey solamente podrán ser utilizados por el jefe de tesorería y únicamente en el equipo que este tenga asignado. Gestión TIC´S, tendrá habilitado otro equipo para esta tarea a fin de dar apoyo y soporte cuando se solicite.
2. El acceso a la red interna se permitirá siempre y cuando se cumpla con los requisitos de seguridad necesarios, y éste será permitido únicamente por Gestión TIC´S.
3. El uso de carpetas compartidas está prohibido para todos los colaboradores y/o contratistas, ya que, en caso de infiltrarse un virus o programa malicioso, usa este medio para propagarse. Las únicas carpetas compartidas que pueden existir en la red de la Clínica Cristo Rey son las copias de seguridad programadas, tanto de base de datos como de información de los usuarios. Está prohibido el uso abusivo de estos recursos por parte de los usuarios en forma tal que afecte negativamente el rendimiento de la red.
4. Cualquier alteración del tráfico entrante o saliente a través de los dispositivos de acceso a la red, será motivo de verificación y tendrá como resultado directo la realización de una auditoría de seguridad y un reporte de los hallazgos a la oficina de Control Interno y Control Interno disciplinario para que se tomen las medidas pertinentes.