Políticas Institucionales de Gestión de TIC

Su propósito es el de garantizar la operatividad de los equipos de cómputo y periféricos mediante la planificación, ejecución y la prestación de los servicios de mantenimientos preventivos, los servicios correctivos, los servicios de apoyo y conceptos tecnológicos, además de la gestión del software a la comunidad universitaria en los campus de Bucaramanga, Cúcuta y Valledupar.

Objetivo: Establecer las políticas del servicio al usuario, para definir el marco de referencia frente a la atención de los requerimientos institucionales, fundamentándose en valores como la responsabilidad, eficiencia y productividad en el uso de los recursos.

Lineamientos generales:
-La información que reposa en cada equipo de cómputo es responsabilidad del usuario titular del activo.
-El subproceso de Servicio a Usuario no está autorizado para realizar respaldos de la información de los usuarios en ningún medio tecnológico, en caso tal la solicitud deberá ser efectuada a través de la mesa de ayuda con el subproceso de Seguridad Informática.
-Servicio a Usuario ejecutará sus actividades dando cumplimiento a la normativa legal e institucional.
-Sólo se prestará servicio a los equipos que estén debidamente registrados en el inventario de Activos Fijos.
-Para las filiales, el mantenimiento preventivo sólo se prestará a los equipos de cómputo y periféricos que se encuentren registrados en los activos fijos de cada filial.
-Para los convenios interinstitucionales, el mantenimiento preventivo sólo se prestará a los equipos de cómputo y periféricos que se encuentren registrados en los activos fijos de cada convenio.
-Los equipos de cómputo de la institución, serán configurados exclusivamente por el subproceso de Servicio a Usuario, con la finalidad de identificarlos, asociarlas a un dominio o grupo de trabajo de red.
-Todas las solicitudes deben ser registradas en la mesa de ayuda.
-En cada equipo de cómputo, el subproceso de Servicio a Usuario tendrá acceso a una cuenta con privilegios de administrador para realizar labores técnicas, otorgándole al usuario una cuenta limitada, salvo instrucción superior.
-Cualquier computadora personal que por necesidades institucionales deba conectarse a la red de la institución, será configurada exclusivamente por el subproceso de Servicio a Usuario, previo registro y aceptación escrita de las presentes políticas.
-La cuenta de administrador del equipo será administrada por el personal técnico autorizado, el uso de esta cuenta solo será para actividades de reparación o soporte técnico.
-Todas las soluciones de los servicios atendidos deberán estar registrado en la mesa de ayuda por parte del equipo técnico.
-Todo requerimiento atendido por el equipo técnico debe ser evaluado por el solicitante del servicio.
-Se atenderán los requerimientos de acuerdo a la orden de llegada, y se priorizará aquellos que afecten directamente la continuidad de la Universidad.

Hardware:
-Los usuarios no podrán manipular componentes internos del computador como: memorias RAM, discos duros, procesadores, fuentes de poder interna, etc. El único personal autorizado para las tareas de reparación, mantenimiento y mejoras de las características de las computadoras es el asignado por el subproceso de Servicio a Usuario.
-Las comidas, bebidas y cualquier otro líquido, no deben mantenerse junto a los equipos de cómputo para evitar daños o deterioro de las mismas y en este sentido no se deben ingerir alimentos en las áreas donde se operan los recursos tecnológicos.
-Los usuarios de los diferentes recursos informáticos deben reportar oportunamente cualquier irregularidad en el funcionamiento del equipo (sonidos inusuales, olores, recalentamiento de los equipos, fallas en los sistemas, etc.) a través de la mesa de ayuda.

Software:
-Todo el software comercial que utilice la Universidad de Santander, deberá estar legalmente registrado.
-Tanto el software comercial como el software libre son propiedad intelectual exclusiva de sus desarrolladores, la Institución respeta la propiedad intelectual y se rige por el contrato de licencia de sus autores.
-Se prohíbe la utilización de licencias de software adquiridos por la institución para actividades de uso personal.
-Se prohíbe instalar en equipos de la institución software o programas que no serán utilizados para actividades propias de la Universidad de Santander.
-El software y el código fuente desarrollado por el personal que labora en la institución, es propiedad exclusiva de Universidad de Santander.
Los usuarios de la universidad no deben instalar ningún software en los equipos de cómputo, esta actividad debe estar autorizada por el líder subproceso de Servicio a Usuario y ejecutada por el equipo técnico del subproceso de Servicio a Usuario.
-Los usuarios no deben usar versiones de prueba o software gratuito sin la correspondiente autorización por el líder subproceso de Servicio a Usuario.

Su propósito es garantizar la seguridad de todo el sistema informático, minimizando la vulnerabilidad del mismo y detectando tanto riesgos como violaciones, de manera que se logre un servicio de prevención y seguridad informática seguro, transparente, confiable.

Objetivos:
Determinar lineamientos para el acceso seguro y buen uso de los recursos, y plataformas tecnológicas, así como los servicios de tecnología de información y comunicaciones.
2. Dar a conocer a todos los colaboradores de la institución recomendaciones para el uso de los recursos Informáticos (Hardware y Software).
3. Garantizar el fiel cumplimiento de las normas y leyes nacionales e internacionales que rigen el ambiente Informático.
4. Prevenir el uso inapropiado de los recursos informáticos para no exponer la información de la Institución a ciertos riesgos como: ataques de virus, perdida de información, accesos no autorizados a los sistemas, que pueden comprometer la integridad, disponibilidad y confidencialidad de la Información.

Lineamientos generales:
-Estos lineamientos aplican al personal administrativo, contratistas, consultores internos, externos y otros trabajadores que tengan contacto con la información perteneciente a la Universidad de Santander.
-Todos los recursos informáticos proporcionados por la Universidad de Santander son propiedad exclusiva de la misma. Cualquier información almacenada por los usuarios en los diferentes recursos, es propiedad de la UDES y no deberán ser eliminados, copiados o compartidos con personas ajenas a la UDES sin justificación o previa autorización.
-Todos los equipos de cómputo deben estar incluidos en el dominio de la Universidad.
-Todos los equipos de cómputo de la universidad deben tener instalado un antivirus, dicho antivirus debe estar autorizado por el líder del subproceso de Servicio a Usuario.
-El usuario es responsable de ejercer el uso apropiado de los recursos informáticos de conformidad con las políticas y directrices de la Gestión TIC.
-Los servicios de la red institucional de la Universidad de Santander son de exclusivo uso académico, de investigación, técnicos y para gestiones administrativas.
-Los administradores de los servidores institucionales que están a su cargo. son los responsables de la seguridad de la información.
-El subproceso de Seguridad Informática entregará directrices a los diferentes administradores de los servidores institucionales, sobre buenas prácticas para respaldar la información, de acuerdo con la caracterización de la información.
-El Jefe de Seguridad Informática es el responsable de respaldar la información almacenada en los equipos informáticos de los usuarios de acuerdo con la caracterización de la información.
-Todo usuario de la red institucional de la Universidad de Santander, gozará de absoluta privacidad sobre su información o la información que provenga de sus acciones, salvo en casos en que se vea involucrado en actos ilícitos o contraproducentes para la seguridad de la red institucional, sus servicios o cualquier otra red ajena a la Universidad.
-Cualquier usuario que encuentre o considere que existe una falla de seguridad en los sistemas informáticos de la institución, está obligado a reportarlo a los administradores del sistema o al subproceso de Seguridad Informática.
-Los usuarios no deben acceder a los datos, documentos, correos electrónicos y los servidores de la UDES a los que no tienen autorización.
-Las actividades relacionadas con la Seguridad Informática, auditorías y mantenimiento, solo pueden ser realizadas por personal autorizado por el subproceso de Seguridad informática.
Cuando las estaciones de trabajo estén encendidas, pero el usuario deba ausentarse de su puesto de trabajo o esté realizando otras actividades que no incluyan la interacción con el equipo, la pantalla deberá estar bloqueada con la opción Windows + L o se debe cerrar la sesión, actividad que es responsabilidad del usuario.
-El usuario deberá proteger su equipo de trabajo, evitando que personas ajenas a su cargo puedan acceder a la información almacenada en él, mediante una herramienta de bloqueo temporal (protector de pantalla), protegida por una contraseña, el cual deberá activarse en el preciso momento en que el usuario deba ausentarse.

Cuentas de usuario (uso y privacidad):
-Todos los accesos a los diferentes sistemas de la UDES, son controlados mediante credenciales de usuario y contraseña, las cuales son de responsabilidad y uso exclusivo del usuario al cual han sido asignadas.
-Si se requiere hacer uso de los sistemas institucionales, se solicitará formalmente al administrador del sistema correspondiente, las credenciales de acceso.
-La longitud mínima de caracteres permisibles en una contraseña se establece en 8 caracteres y la longitud máxima de caracteres permisibles en una contraseña se establece en 16 caracteres, siendo esta una combinación alfanumérica, mayúscula y minúscula.
-Se debe evitar el guardar o escribir las contraseñas en cualquier papel o superficie o dejar constancia de ellas, a menos que ésta sea guardada en un lugar seguro.
-El subproceso de seguridad informática velará por la privacidad de las comunicaciones personales, para lo cual monitoreará la carga de tráfico de la red y cuando sea necesario tomará acción para proteger la integridad y operatividad de sus redes.
-El usuario es responsable de evitar la práctica de establecer contraseñas relacionadas con alguna característica de su persona o relacionado con su vida o la de parientes, como fechas de cumpleaños o alguna otra fecha importante.
-El usuario es responsable exclusivo de mantener a salvo su contraseña. Los usuarios no deben compartir su(s) cuenta(s), contraseñas, números de identificación personal (PIN), tokens de seguridad, información similar o dispositivos utilizados para propósitos de identificación y autorización.

Uso de correo electrónico:
Los correos electrónicos que sean enviados o recibidos bajo los dominios institucionales: udes.edu.co, cucuta.udes.edu.co, campus.udes.edu.co, valledupar.udes.edu.co, serán de uso exclusivo de la institución.
-Los usuarios deben reportar al Subproceso de Seguridad Informática todos los casos de mensajes de correos basura, tales como distribución de material ilegal u ofensivo, ataques de phishing, entre otros.
-Está totalmente prohibido el envío de correo electrónico de pornografía de cualquier tipo, propaganda política o cualquiera que discrimine a una o varias personas.
-En caso que un usuario detecte que se haya leído y/o entrado a su información o cuentas de correo de su computadora sin la respectiva autorización, deberá notificar Seguridad Informática.
-No registrar los correos corporativos a foros y páginas que generen envío de publicidad a menos que sea para fines laborales, académicos o investigación.

Manejo y seguridad de medios de almacenamiento:
-En ningún momento se deberá dejar información sensible de robo, manipulación o acceso visual, sin importar el medio en el que esta se encuentre, de forma que pueda ser alcanzada por terceros o personas que no deban tener acceso a esta información, por ende, el usuario responsable de la estación o terminal de trabajo no debe utilizar medios de almacenamiento extraíbles.
-Para el respaldo de la información institucional no se deben utilizar medios de almacenamiento extraíbles, toda vez que pueden facilitar el robo o manipulación de la información por terceros o personal no autorizado. Las copias de seguridad deben hacerse en sistemas de respaldo centralizados, administrados por el subproceso de Seguridad Informática. En casos excepcionales, podrá autorizarse el uso de estos dispositivos temporalmente.
-En casos excepcionales, cuando se utilicen dispositivos de almacenamiento extraíbles tales como: USB, Discos duros portátiles, CD, DVD el usuario debe tomar las precauciones necesarias verificando con programas antivirus que dichos dispositivos se mantienen libre de virus o cualquier otra amenaza.

Consideraciones sobre auditorías de sistemas:
-Cualquier acción que amerite la ejecución de una auditoría a los sistemas informáticos, deberá ser documentada y establecida su aplicabilidad y objetivos de la misma, así como razones para su ejecución, personal involucrado en la misma y sistemas implicados.
-La auditoría no deberá modificar en ningún momento el sistema de archivos de los sistemas implicados, en caso de haber necesidad de modificar algunos se deberá hacer un respaldo formal del sistema o sus archivos.
-Las auditorías que se realicen deben estar enmarcadas dentro de lo establecido en el Programa de Auditorías VAF-PG-002-UDES.
-En caso de emergencia, solamente el personal del subproceso de Seguridad Informática serán los encargados de hacer rastreo de toda la data y del informe de forense.
-Está prohibido para cualquier usuario interceptar paquetes de datos, modificar, leer (utilizando elementos tales como sniffers, SNMP, RMON, y otros) los datos electrónicos privados (ya sea en tránsito a través de la red o almacenados dentro de una computadora) sin el consentimiento escrito del propietario legítimo.
-Solo personal autorizado por la Vicerrectoría Administrativa y Financiera, se le permitirá modificar, eliminar, leer datos electrónicos (ya sea en tránsito a través de la red o almacenados dentro de una computadora).

Acceso a red o uso de internet
-No está permitido el acceso a páginas relacionadas con pornografía, drogas, alcohol, webproxys, hacking y/o cualquier otra página que vaya en contra de la ética moral, las leyes vigentes o políticas aquí establecidas.
-No está permitido el acceso y el uso de servicios P2P como ares, Kazaa, emule y otros similares, que tengan como objetivo crear comunidades para intercambiar información o bien para fines diferentes a las actividades propias de la Universidad de Santander.
-Está prohibido descargar de manera fraudulenta archivos protegidos por la autoridad intelectual de derecho de autor, cualquier descarga será responsabilidad total de la persona que realiza la misma y vendrá sujeto a sanciones.
-El área de Seguridad Informática realizará el monitoreo permanente de: tiempos de navegación y páginas visitadas por parte de los funcionarios y/o terceros.
-Cada uno de los usuarios es responsable de dar un uso adecuado a este recurso y en ningún momento puede ser usado para realizar prácticas ilícitas o mal intencionadas que atenten contra terceros, la legislación vigente y los lineamientos de seguridad de la información, entre otros.
-El uso de Internet no considerado dentro de las restricciones anteriores, es permitido siempre y cuando se realice de manera ética, razonable, responsable, no abusiva y sin afectar la productividad ni la protección de la información de la Universidad de Santander.
-Para la conexión a las aplicaciones o servidores se debe realizar por comunicaciones seguras como protocolos SFTP, SSH, HTTPS.
-Para realizar conexión remota a los equipos corporativos se debe efectuar por mecanismos seguros como VPNS (Ipsec o SSL).

Red inalámbrica:
-Está prohibido la interceptación de las comunicaciones y la utilización de técnicas de escucha de cualquier señal de comunicaciones sin la previa autorización por parte de la Dirección de Tecnologías de la Información y las Comunicaciones.
-No se debe realizar intentos de ingreso no autorizado a cualquier dispositivo o sistema de la red inalámbrica. Cualquier tipo de estos intentos no autorizados es una práctica ilegal y no es permitido por la institución.
-Toda información transferida a través de este medio viaja de manera INSEGURA, la Dirección de Tecnologías de la Información y las Comunicaciones (TIC) no es responsable por el robo de la información a través de este tipo de conexión.
-La Dirección de Tecnologías de la Información y Comunicaciones (TIC) podrá suspender o desactivar temporalmente el servicio o cancelarlo de manera definitiva para determinado equipo, cuando detecte que el usuario haya hecho uso indebido del servicio. La reactivación deberá ser autorizada por Vicerrectoría de enseñanza para el caso de alumnos y docentes, y por la Vicerrectoría Administrativa y Financiera para el caso de usuarios administrativos y externos.
-La Dirección de Tecnologías de la Información y las Comunicaciones (TIC) está facultada para realizar rastreos periódicos, análisis de tráfico y los controles que considere necesarios para mantener la operación de la red inalámbrica en buen estado y detectar usos indebidos del servicio. A solicitud escrita de la autoridad competente o cuando exista alguna orden judicial para responder ante procesos legales, la dirección de TIC proporcionará la información transmitida en la red inalámbrica que esté disponible para su acceso de conformidad con las leyes aplicables.

Centros de cableado o datacenter
-Los ingresos a los centros de cableado y datacenter se debe realizar por medio de control de acceso ya sea por tarjeta de proximidad RFID o por medios de llaves
-El acceso al datacenter debe ser controlado por medio de una bitácora de visitas.
-Mantener los centros de cableado y datacenter libres de elementos inflamables como cajas, cartones, entre otros.
-Retirar todo material magnético (ferromagnético, diamagnético, paramagnético,) dado que pueda dañar las unidades de almacenamiento.
-Mantener el área limpia y ordenada

Su propósito es el de administrar la plataforma tecnológica y de información, con herramientas óptimas para satisfacer las necesidades de la Institución y de las filiales.

Objetivo: Establecer los lineamientos que se deben seguir en lo referente a la infraestructura tecnológica, para garantizar un servicio con calidad a las funciones de los procesos y/o subprocesos de la Universidad de Santander, identificando cada uno de los componentes que hacen parte de la infraestructura tecnológica que son: servidores y almacenamiento, canales de datos e internet, telefonía IP, sistemas de potencia regulada, red local, red inalámbrica y centro de cableado.

Lineamientos generales:
-El subproceso de Infraestructura Tecnológica es la única oficina autorizada para instalar, configurar y dar mantenimiento a la infraestructura de conectividad de la red de la Universidad de Santander en todas sus modalidades.
-Talento Humano deberá notificar a Infraestructura Tecnológica sobre el personal nuevo de la Universidad, para asignarle los derechos correspondientes a creación de usuario para la red, perfil de usuario en el directorio activo, correo electrónico o en caso de retiro del funcionario, anular y cancelar los derechos otorgados como usuario informático.
-A solicitud del subproceso de Infraestructura Tecnológica, Registro y Control Académico enviará la información sobre los estudiantes nuevos que ingresan a la Universidad para realizar la creación de correo electrónico.
-El acceso a la red inalámbrica es público o abierto a todos los usuarios para el campus Bucaramanga y Cúcuta, Valledupar esta con clave de acceso.
-El servicio de comunicación será de uso exclusivo para enviar y recibir mensajes e información de la actividad Institucional.
-Infraestructura Tecnológica es la encargada de realizar la asignación y control del uso local de las direcciones IP en la red de cómputo de la Institución.
-La suspensión de conexión de la red, inhabilitación de servicio o alguna otra medida temporal, se realizará únicamente cuando un equipo de cómputo, equipo de conectividad o cualquier otro elemento de la red de cómputo presente riesgo para el desempeño de la misma o para los demás usuarios y será notificado de manera escrita al usuario correspondiente.
-Infraestructura Tecnológica es el responsable de requerir, generar, gestionar, revisar y dictar factibilidad en ampliaciones o interconexiones que generen carga adicional a la red local.
-Cuando se requiera, se podrá realizar auditorías al volumen de tráfico de la red en articulación con el subproceso de Seguridad Informática, para analizar el comportamiento y prevenir tráfico indeseable que puede ser causado por virus, instalaciones defectuosas o equipos de red dañados, con el fin de tomar las acciones preventivas y correctivas necesarias.
-Por motivos de seguridad institucional, el subproceso de Infraestructura Tecnológica, se reserva el derecho de suspender de manera inmediata, el servicio, la cuenta, la sesión, el acceso a la red institucional, la navegación, la recepción y/o envío de información, la comunicación o uso legal o ilegal que se pueda dar a la infraestructura tecnológica, informática y de conectividad que exista; si dicho acto o actividad, implica cualquier tipo de riesgo para la Universidad de Santander en su información, infraestructura y/o conectividad, en cualquier nivel, se debe notificar al usuario responsable y a la oficina Jurídica de la institución, dando inicio formal al procedimiento de investigación y determinación de responsabilidad y en su caso, la aplicación de la sanción conforme a la propia legislación correspondiente.
-El subproceso de infraestructura tecnológica es la única oficina autorizada de crear la cuenta de usuario de acceso al dominio de la Universidad.
-La red inalámbrica de la Universidad de Santander usa para su funcionamiento las bandas liberadas de frecuencia 2400 2483 GHz y 5725 5850 GHz. Se prohíbe expresamente la instalación de cualquier punto de acceso de red inalámbrica que trabaje en las mencionadas bandas de frecuencia, sin la autorización previa de la Dirección de Tecnologías de la Información y las Comunicaciones.
-La red inalámbrica es parte de la red de datos de la Universidad de Santander y el uso que se hace de ella debe ser acorde con los fines y el buen nombre de la institución.
-El servicio de conexión de la red inalámbrica estará disponible las 24 horas del día, todos los días del año, salvo en situaciones de fuerza mayor, fallas de energía o interrupciones relativas al mantenimiento preventivo o correctivo de los equipos y elementos relacionados con la prestación del servicio de Internet.

Su propósito es el de realizar el análisis, diseño, desarrollo, implementación y mantenimiento de sistemas de información, que sean requeridos por las distintas áreas de la institución.

Objetivo: La calidad en el desarrollo y mantenimiento del software es prioritaria para el subproceso sistemas de información y está contemplada en los procesos internos de la Institución y en las actividades diarias de cada integrante del subproceso, de forma que se asegure su correcta producción y se obtenga la satisfacción del proceso o subproceso que solicito el producto.

Lineamientos generales:
-La metodología definida para el desarrollo de las aplicaciones, considera aspectos de seguridad y control durante todo el ciclo de vida del desarrollo.
-Se utilizará la metodología de desarrollo ágil SCRUM.
-Las herramientas de desarrollo utilizadas en los proyectos, serán de preferencia de software libre.
-Las solicitudes de software institucional que no requieran de inversión de recurso humano, financiero o tecnológico, serán analizadas y evaluadas por el Jefe de Sistemas de Información. En caso de no ser aprobada la solicitud, esta deberá ser sometida a una valoración por parte del Comité de Desarrollo de Software.
-Las solicitudes de software institucional que requieran de inversión de recurso humano, financiero o tecnológico, serán aprobadas o no, por el Comité de Desarrollo de Software.
-Todo aplicativo desarrollado será de uso exclusivo para las actividades de la Institución.
-Todo aplicativo desarrollado, probado, finalizado y entregado será propiedad de la Universidad de Santander.
-Todo aplicativo desarrollado, deberá contar con su respectiva documentación.
-Los aplicativos deberán ser instalados en los servidores que para tal propósito designe la Dirección de TIC.