Política de Seguridad de la Información

1. Propósito

NETWORK & ACCESORIES S.A.S. (NETACCESS) protege la confidencialidad, la integridad y la disponibilidad de la información propia, de sus clientes, colaboradores y proveedores. Esta política fija el marco con el que gestionamos esa protección y el compromiso de la dirección con ella.

2. Alcance

Aplica a todos los procesos de NETACCESS, a sus colaboradores, contratistas y proveedores, y a los activos de información que usamos para prestar nuestros servicios: instalaciones, equipos, redes, sistemas, servicios en la nube, documentos y personas. La implementamos mediante un Sistema de Gestión de Seguridad de la Información (SGSI) basado en la norma ISO/IEC 27001:2022.

3. Compromisos de la dirección

• Establecer objetivos de seguridad de la información medibles, alineados con la estrategia de la empresa, y revisar su cumplimiento.
• Cumplir los requisitos legales, reglamentarios y contractuales aplicables, incluida la protección de datos personales (Ley 1581 de 2012) y la propiedad intelectual.
• Gestionar los riesgos de seguridad de la información y tratarlos de forma proporcional a su impacto.
• Asignar los recursos, roles y responsabilidades necesarios para operar el SGSI.
• Mejorar de forma continua el SGSI a partir de auditorías, incidentes, indicadores y la revisión por la dirección.

4. Lineamientos

• Gestión de activos y clasificación: los activos de información se inventarían, tienen un responsable y se clasifican según su confidencialidad para protegerlos en consecuencia.
• Control de acceso: el acceso se concede según la necesidad del cargo y el mínimo privilegio, con cuentas personales e intransferibles, y se revisa periódicamente.
• Seguridad del personal: verificamos antecedentes según el cargo, firmamos acuerdos de confidencialidad y formamos a nuestros colaboradores en seguridad de la información.
• Seguridad física: las instalaciones y los equipos se protegen contra accesos no autorizados y amenazas físicas y ambientales.
• Operaciones y comunicaciones: monitoreamos la seguridad de nuestros sistemas, aplicamos actualizaciones, gestionamos vulnerabilidades, protegemos contra software malicioso, hacemos copias de respaldo y ciframos la información en tránsito.
• Proveedores: exigimos a los proveedores que acceden a nuestra información o a la de nuestros clientes requisitos de seguridad y confidencialidad acordes con el riesgo.
• Gestión de incidentes: los eventos e incidentes se reportan, registran, analizan y atienden, y de cada uno se extraen lecciones.
• Continuidad: planificamos cómo mantener la seguridad de la información y la operación de los servicios durante una interrupción.
• Cumplimiento: usamos software licenciado, respetamos los derechos de propiedad intelectual y tratamos los datos personales según la Política de Tratamiento de Datos Personales.

5. Responsabilidades

• Gerencia General: aprueba esta política, asigna recursos y revisa el desempeño del SGSI.
• Oficial de Seguridad de la Información (CISO): coordina el SGSI, gestiona los riesgos y los incidentes y propone mejoras.
• Colaboradores: conocen y cumplen esta política y reportan cualquier evento de seguridad que detecten.
• Contratistas y proveedores: cumplen los requisitos de seguridad acordados con NETACCESS.

6. Incumplimiento

El incumplimiento de esta política se trata mediante el proceso disciplinario interno o las cláusulas contractuales que correspondan, sin perjuicio de las acciones legales aplicables, incluidas las de la Ley 1273 de 2009 sobre delitos informáticos.

7. Reportar una vulnerabilidad

Si encuentras una vulnerabilidad en este sitio o en otro sistema de NETACCESS, te agradecemos que nos la reportes de forma responsable a [email protected], con el asunto «Reporte de vulnerabilidad». Incluye:

• El sistema o la dirección afectada y el tipo de vulnerabilidad.
• Los pasos para reproducirla y, si la tienes, una prueba de concepto.
• El impacto que estimas y una forma de contactarte.

Mientras investigas, te pedimos:

• No acceder, modificar, copiar ni borrar datos que no sean tuyos; si accedes a datos personales por accidente, detente y avísanos.
• No hacer pruebas de denegación de servicio, ingeniería social, phishing ni ataques físicos.
• No probar sistemas de nuestros clientes ni de terceros.
• No divulgar la vulnerabilidad hasta que la hayamos corregido o hayan pasado noventa (90) días desde tu reporte, lo que ocurra primero.

Por nuestra parte, procuraremos confirmar la recepción de tu reporte en un plazo de cinco (5) días hábiles, te mantendremos informado del avance y no emprenderemos acciones legales contra quien, actuando de buena fe, siga estas reglas. Hoy no ofrecemos recompensas económicas.

Esta información también se publica en formato estándar en /.well-known/security.txt (RFC 9116).

8. Revisión

Esta política rige desde el 6 de octubre de 2026. Se revisa al menos una vez al año, o antes si hay cambios significativos en la empresa, en los riesgos o en la normativa aplicable.