Gobernanza y Seguridad
Política de Seguridad de la Información y Ciberseguridad
Las directrices que protegen la información de Bamex, de nuestros clientes y socios, basadas en referencias reconocidas en Brasil y en el mundo.
ISO/IEC 27001
Sistema de Gestión de Seguridad de la Información
Nuestros compromisos
La seguridad de la información forma parte de la rutina de cada persona en Bamex y refleja los valores que guían a la empresa. Con esta política, asumimos los siguientes compromisos:
Resguardar los datos y recursos tecnológicos frente a cualquier acceso, alteración, pérdida o exposición sin la debida autorización.
Mantener en funcionamiento los procesos y sistemas esenciales para la operación, evitando interrupciones.
Actuar de conformidad con la legislación y la regulación de nuestro sector, incluidas las normas de protección de datos y de propiedad intelectual.
Identificar, evaluar y tratar los riesgos cibernéticos de forma continua y estructurada.
La gestión de esta política corresponde al área de Seguridad de la Información y Gobernanza de Datos, que la revisa periódicamente, la mantiene actualizada y la comunica a todos, junto con las normas y procedimientos complementarios. Sus directrices se aplican a la dirección, colaboradores, proveedores de servicios y cualquier persona que actúe en nombre de Bamex.
Principios
Lo que guía nuestra seguridad
Cuatro pilares sostienen la forma en que tratamos cada información:
Confidencialidad
Cada información es accedida solo por quien tiene autorización y una necesidad real de utilizarla, con funciones segregadas según criterios definidos.
Integridad
La información se mantiene exacta y completa durante todo su ciclo de vida; cualquier cambio requiere la aprobación del responsable del dato.
Disponibilidad
Quien tiene permiso encuentra la información accesible y lista para usar siempre que la necesite.
Autenticidad
El origen de cada información puede comprobarse, de modo que su autor no pueda negar el envío (no repudio).
Dónde se aplica esta política
Esta política cubre todo el entorno tecnológico de Bamex, incluidos servidores, bases de datos, sistemas, equipos, redes, telefonía y dispositivos móviles. También se aplica a los entornos de socios y proveedores que se conectan, física o lógicamente, a nuestra infraestructura.
Nuestras prácticas siguen referencias reconocidas en Brasil y en el mundo:
ISO/IEC 27001
Sistema de Gestión de Seguridad de la Información
CIS
Center for Internet Security
Controles
Cómo protegemos el día a día
Los controles internos de seguridad de Bamex están organizados en seis frentes de actuación:
Activos y configuraciones
- Inventario actualizado de equipos y software
- Estándares seguros de configuración para servidores, estaciones de trabajo y aplicaciones
- Configuración protegida de firewalls, routers y switches
Identidades y accesos
- Acceso concedido según el principio de necesidad de conocer (need-to-know)
- Uso restringido y supervisado de cuentas administrativas
- Gestión del ciclo de vida de las cuentas de usuario
- Control de las redes inalámbricas
Redes y datos
- Protección del perímetro de la red
- Restricción de puertos, protocolos y servicios expuestos
- Filtros de seguridad para correo electrónico y navegación
- Protección contra software malicioso
- Mecanismos de protección de datos
- Eliminación segura de información
Monitoreo y respuesta
- Identificación y corrección continua de vulnerabilidades
- Registro y análisis de logs de auditoría
- Proceso estructurado de gestión de incidentes
- Pruebas de intrusión y simulacros del equipo de respuesta
Continuidad
- Copias de seguridad y recuperación de datos
- Plan de continuidad del negocio
Personas y desarrollo
- Programa de concientización y capacitación en seguridad
- Seguridad en el desarrollo de aplicaciones
Socios y proveedores
Esperamos de proveedores y prestadores de servicios el mismo cuidado que tenemos con la información. Por eso, definimos requisitos de seguridad que deben cumplirse durante toda la relación.
Cumplimiento de la política
Las violaciones de esta política o de las normas relacionadas están sujetas a medidas disciplinarias y, cuando corresponda, a las acciones legales pertinentes.