1. Estado Formal

Código	GA-ADM-PO.10
Propietario	Gerente Administrativo
Clasificación	INTERNO
Estado	APROBADO
Fecha efectividad	16 ene 2023
Versión	1
Periodo de revisión	TERCER TRIMESTRE
Descripción	Establece los lineamientos de la seguridad de la información para la revisión independiente de la seguridad de la información.

2. Bloque de aprobación

Elaboró	Elaboró	Elaboró	Revisó	Autorizó
Edward Vidal	José Jesús	Giannina Zegarra	Alejandro Pérez	Carlos Reyes
Analista de Proyectos	Analista de Procesos	Jefe de Recursos Humanos	Gerente de Administración y Finanzas	Jefe de la Oficina de Seguridad de la Información (CISO)

3. Control de cambios

Versión	Fecha	Autor
1	16 ene 2023	Edward Vidal José Jesús Giannina Zegarra

4. Propósito

Define los principios y métodos para mantener protegidos los datos clasificados como internos, confidenciales y sensibles.

5. Alcance

La presente política aplica a todo el personal interno y externo que trabaja en “Protección de los servicios asociados a la recepción, procesamiento y entrega de información por medio del sistema PRAXIS”, que involucra: el levantamiento de requerimientos, análisis, diseño, construcción, despliegue y mantenimiento del monitoreo de servicios hacia los clientes.

6. Definiciones

1. PII: La información personal de identificación, también conocida como PII (del inglés Personally Identifiable Information), es todo conjunto de datos que pueden ser usados para identificar a un individuo en específico
2. NDA: Un acuerdo de confidencialidad o NDA (non disclosure agreement por sus siglas en inglés) es un contrato en el que una o todas las partes que lo firman, se comprometen a mantener el secreto de la información compartida entre ellos. Es decir, a través de la firma del NDA las partes acuerdan respetar la confidencialidad de la información que una, ambas o varias de ellas van a compartir y no revelarla a otras personas o entidades.

7. Control

La presente política busca cumplir con el control A.5.34 de ISO27001:2022 que indica: organización debe identificar y cumplir los requisitos relativos a la preservación de la privacidad y la protección de la PII de acuerdo con leyes y reglamentos y requisitos contractuales.

8. Desarrollo

Miatech a través de su Comité de Seguridad de la Información (CSI) debe:

1. Garantizar la “Confidencialidad, Integridad y Disponibilidad” del activo más valioso que posee, después de las personas, que es la información.
2. Dar el Cumplimiento Legal y Regulatorio que disponen las leyes locales y federales en materia de Seguridad de Información, con el fin de evitar el mal uso de la información y proteger la buena imagen y reputación de la empresa.
3. Crear, mantener, difundir, concientizar y vigilar la aplicación de esta política en todos los niveles jerárquicos establecidos en el alcance de la presente certificación. Los siguientes principios establecen la conducta que mantiene el personal definido en el alcance del documento para la protección de información/datos confidenciales. Para este propósito el uso de la palabra confidencial, en este documento, aplica a la información que ha sido clasificada como interna, confidencial y sensible según la A.5.12Política de Clasificación de la Información: Gerencia de Administración y Finanzas – Administración.
4. Se reconoce la protección de datos como uno de los objetivos del GRUPO MIATECH.
5. Basándose en los objetivos de la organización se emplea la miatechgroup.atlassian.net/wiki/spaces/SM/pages/82145869979 y se espera que todos los trabajadores respeten esta clasificación.
6. La protección de la información/datos abarca el cumplimiento de los requerimientos como acuerdos, contratos y leyes que el GRUPO MIATECH está obligado a respetar, entre ellos están:

1. Contratos comerciales
2. NDA (Acuerdos de confidencialidad)
3. GDPR.
4. Ley de protección de datos del Perú
5. Con base en la información anterior, Miatech define como PII lo siguiente:
6. Apellidos y nombres
7. Edad
8. Religión
9. Fecha de nacimiento
10. Lugar de nacimiento
11. Fecha de ingreso
12. Correo electrónico
13. DNI
14. Celular
15. Dirección
16. Situación socio-familiar
17. Tipo de familia
18. problemática familiar
19. Educación
20. Cursos de extensión profesional
21. Salud
22. Alergias
23. Situación económica
24. Tipo de vivienda
25. Servicios
26. Total de gastos mensuales
27. Situación social de la familia, canasta familiar y responsabilidad del hogar
28. Bienestar laboral
29. Puesto
30. Área
31. Respuestas a encuestas y cuestionarios sociales
32. Diagnóstico social
33. CV
34. Teléfono
35. Estado civil
36. Sexo
37. Código de usuario AS400
38. Tipo de contratación

7. Todos los trabajadores que brinden un servicio a la organización cumplen con la discreción y confidencialidad (secreto) y a no revelar total ni parcialmente “Información Confidencial” de la que disponen para el ejercicio de las tareas propias de su puesto de trabajo.
8. Se podrá brindar información/datos confidenciales a las partes interesadas respetando los acuerdos y contratos a menos que esto sea prohibido por ley.
9. La información de sus proveedores, clientes y trabajadores que Miatech considere confidenciales se utilizará de formar legítima, honesta y responsable, y se dará cumplimiento a lo dispuesto en la Ley de Protección de Datos Personales.
10. Ningún trabajador (durante la vigencia de su relación laboral y una vez finalizada) difundirá información confidencial sin la debida autorización del GRUPO MIATECH.
11. El trabajador no podrá difundir información confidencial por un periodo de tres (3) años computados a partir de la fecha en que deje de prestar servicios para la Empresa.

8. 1. Mecanismos para garantizar la confidencialidad

1. Al momento que un trabajador se incorpore a la organización firma un “Acuerdo de confidencialidad y no divulgación”.
2. Los contratos firmados por MIATECH incluyen una cláusula de confidencialidad.
3. Los proveedores de servicios y demás individuos o entidades ajenas, que tengan acceso a información privada y confidencial firman un documento de confidencialidad.

8. 2. Mecanismos para garantizar la integridad

1. El responsable de RRHH se asegura que la PII estén almacenadas en repositorios que reúnan las condiciones de seguridad exigidas por ley (N° 29733). carpetas que estén identificadas, y se eliminan periódicamente después de 180 días. (Ver A.7.14Política de Eliminación Segura o Reutilización del Equipo: Gerencia de Infraestructura TI – Soporte Técnico y Mesa de Ayuda.).
2. La PII que se encuentre en papel es almacenada en archivadores debidamente identificadas, supervisadas y custodiadas por el Jefe de Recursos Humanos.

Se protege la PII con lo siguiente:

1. La información que Miatech a definido como PII, es salvaguardada por el Jefe de Recursos Humanos.
2. La información digital, llámese archivos, son almacenadas en carpetas con un sistema de autenticación segura para limitar el acceso a la información personal solo a aquellos empleados o usuarios que realmente lo necesiten para llevar a cabo sus funciones.
3. Se ha creado políticas para establecer medidas de control de accesos lógicos a los sistemas y datos de la empresa, protegiéndolos contra posibles amenazas internas y externas.
4. Los documentos físicos que contienen información personal de identificación, cuentan con las medidas de seguridad física y son archivados en armarios con cerradura y restricción al acceso al personal no autorizado.
5. Después de un periodo de 180 días el Jefe de Recursos Humanos realiza un proceso de borrado seguro de la información mediante un programa proporcionado por el área de Soporte técnico y Mesa de ayuda.

8. 3. Mecanismos para garantizar la disponibilidad

1. La información está segura y disponible para quien así lo requiera.
2. Se requiere del consentimiento libre, previo, expreso, inequívoco e informado del titular de los datos personales para el tratamiento de los mismos.
3. La información es solicitada mediante un correo al responsable de RRHH y aprobada por la Alta Dirección para su disponibilidad.

8. 4 Difusión de información

1. Toda difusión de información confidencial, no hecha pública previamente por los propietarios de la información cuenta con la autorización de la Alta Dirección.
2. Toda información que Miatech difunda en material impreso o digital producido para cualquier fin; imágenes, informes, prototipos, pruebas, proyectos especificados, organigramas, procesos, así como cualquier otra acción que implique la publicidad de materiales propiedad de MIATECH, o con su nombre cuenta con la autorización de la Alta Dirección.

8. 5. Incumplimiento

1. Cualquier potencial violación contra la protección de información/datos se reporta oportunamente al Jefe de la Oficina de Seguridad de la Información (CISO).
2. Las sanciones aplicables al personal, de acuerdo a la ocurrencia o severidad de la violación o infracción a esta política se regirá por lo establecido en el Código de Conducta y en contratos laborales.

A.5.34 Política de Privacidad y Protección de la Información de Identificación Personal (PII): Gerencia de Administración y Finanzas – Administración

1. Estado Formal

Código	GG-ADM-PO.01
Propietario	Gerente Administrativo
Clasificación	INTERNO
Estado	APROBADO
Fecha efectividad	16 ene 2023
Versión	1
Periodo de revisión	CUARTO TRIMESTRE
Descripción	Establecer los lineamientos mínimos para que Miatech proteja el activo más valioso que posee que es la información.

2. Bloque de aprobación

Elaboró	Revisó	Revisó	Autorizó
Edward Vidal	Alejandro Pérez	Carlos Reyes	Miguel Pezzia
Analista de Proyectos	Gerente de Administración y Finanzas	Jefe de la Oficina de Seguridad de la Información (CISO)	Gerente General

3. Control de cambios

Versión	Fecha	Autor
1	16 ene 2023	Edward Vidal

4. Propósito

1. Establecer los lineamientos mínimos para que Miatech proteja el activo más valioso que posee que es la información.

5. Alcance

La presente política aplica a todo el personal interno y externo que trabaja en “Protección de los servicios asociados a la recepción, procesamiento y entrega de información por medio del sistema PRAXIS”, que involucra: el levantamiento de requerimientos, análisis, diseño, construcción, despliegue y mantenimiento del monitoreo de servicios hacia los clientes.

1. Definiciones
2. Política: Intenciones y dirección de una organización expresadas formalmente por su alta dirección.
3. Seguridad de la Información: Protección de la información bajo los principios de confidencialidad, integridad y disponibilidad.
4. Confidencialidad: Propiedad de que la información no se pone a disposición ni se revela a personas, entidades o procesos.
5. Integridad: Propiedad de exactitud y completitud.
6. Disponibilidad: Propiedad de ser accesible y utilizable bajo demanda por una entidad autorizada.

6. Control

La presente política abarca el cumplimiento del control 5.01 del estándar ISO 27001 que indica: La política de seguridad de la información y las políticas de temas específicos deben definirse, aprobarse por la dirección, publicarse, comunicarse y reconocido por el personal relevante y las partes interesadas relevantes, y revisado a intervalos planificados y si ocurren cambios significativos.

7. Desarrollo

Miatech reconoce que la información de su propiedad, la de sus clientes y la de terceros con los que mantiene relación contractual, es fundamental para el cumplimiento de su estrategia y objetivos organizacionales y resulta esencial llevar a cabo su protección; por lo cual, emite los presentes lineamientos que conforman, en su conjunto, la Política General de Seguridad de la Información, comprometiéndose a:

1. Preservar la “CONFIDENCIALIDAD, INTEGRIDAD Y DISPONIBILIDAD” del activo más valioso que posee, después de las personas, que es la información.
2. Identificar y proteger la información que genere, posea, resguarde o administre; así como, evitar su destrucción, divulgación, modificación y utilización no autorizada.
3. Asegurar que existan los recursos humanos, materiales, financieros, tecnológicos y todo lo necesario para desarrollar e implementar planes y estrategias en materia de Seguridad de la Información.
4. Dar cumplimiento legal y regulatorio, que disponen las leyes locales y federales en aspectos de seguridad de información, con el fin de evitar el mal uso de la información y proteger la buena imagen y reputación de Miatech.
5. Crear, mantener, difundir, concientizar y vigilar la aplicación de esta política en todos los niveles jerárquicos establecidos en nuestro alcance.
6. Llevar a cabo las acciones requeridas para dar solución y seguimiento a todo asunto relacionado con la Seguridad de Información, a través del Comité de Seguridad de Información.
7. Crear y sesionar al Comité de Seguridad de Información de acuerdo con un calendario previsto y convocar, con anticipación, a todos los participantes, para atender la agenda de asuntos relacionados con la Seguridad de la Información.
8. Designar y dar la autoridad necesaria al Oficial de Seguridad de la Información (CISO), y brindar los apoyos necesarios para el desempeño de sus funciones.
9. Asegurar que todo el personal (interno, proveedores y autoridades) posea los conocimientos y experiencia necesaria para cumplir con las Políticas de Seguridad establecidas (capacitación).
10. Asegurar que todo el personal (interno, proveedores y autoridades), conozca, respete, atienda y haga cumplir las políticas específicas, que se deriven de la presente política general, cumpliendo así con el nivel de Seguridad de la Información requerido dentro del ámbito de sus funciones.
11. Desarrollar políticas, procesos, procedimientos y cualquier documento particular y necesario para proteger la “Confidencialidad, Integridad y Disponibilidad”.
12. Lograr la certificación “ISO 27001:2022” del SGSI para el primer semestre del año 2025.
13. Miatech se compromete con la mejora continua de sus prácticas de seguridad de la información, en línea con los principios establecidos por el Sistema de Gestión de Seguridad de la Información (SGSI). Esto permite adaptar las políticas, controles y procedimientos a las necesidades cambiantes del entorno empresarial y las amenazas emergentes, asegurando un enfoque proactivo en la protección de la información y la gestión de riesgos.
14. Miatech reconoce como requisitos aplicables de sus clientes, en materia de seguridad de la información a los siguientes:

1. Protección de la información confidencial y sensible
2. Cumplimiento regulatorio
3. Seguridad en el desarrollo de software
4. Gestión de accesos y privilegios
5. Respuesta y recuperación ante incidentes de seguridad
6. Evaluación de terceros y proveedores
7. Capacitación y concientización del personal
8. Auditorías y revisiones de seguridad
9. Políticas de seguridad de la información

15. Miatech cumple con los requisitos aplicables de seguridad de la información de clientes, regulaciones legales y normativas, asegurando alineación con el SGSI
16. Los objetivos de seguridad de Miatech son:

• Asegurar la información que posee el Grupo MIATECH en cualquier medio que la contenga ya sean medios físicos o electrónicos (tangible o intangible), con el fin de proteger su Confidencialidad, Integridad y Disponibilidad.
• Evitar alteraciones indebidas en la información sensible que posee el Grupo MIATECH.
• Mejorar el rendimiento de la seguridad de la información en las actividades que se llevan a cabo día a día en el Grupo MIATECH.
• Disminuir los incidentes de seguridad de la información con relación al histórico de reportes de incidentes realizados.
• Establecer la responsabilidad de los empleados en relación con las violaciones de seguridad con la finalidad de preservar la Confidencialidad, integridad y disponibilidad de los activos.
• Asegurar cumplimiento de requisitos legales con la finalidad de eludir la vulneración de la legislación o incumplimiento de toda obligación legal.
• Garantizar la continuidad de la información asegurando la disponibilidad de los sistemas de información.
• Fomentar la concientización y formación en seguridad de la información.