-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
1/8
UNIVERSIDAD NACIONAL DE COLOMBIA VICERRECTORIA GENERAL
DIRECCIN NACIONAL DE INFORMTICA Y COMUNICACIONES
Gua para la clasificacin y el manejo de informacin confidencial
1.0 Propsito La gua de manejo de informacin confidencial pretende
ayudar a la comunidad universitaria a determinar qu informacin
puede ser vista y utilizada por personal externo, al igual que
ofrecer algunos parmetros para la clasificacin de la
confidencialidad relativa de la informacin. La informacin sobre la
cual trata esta gua incluye informacin colocada en medio
electrnico, sobre papel y la informacin que se intercambia oral y
visualmente (conversaciones telefnicas y videoconferencias). Los
miembros de la comunidad universitaria deben familiarizarse con los
procedimientos que se encuentran en este documento para manejo y
clasificacin de la informacin. Es importante recalcar que las
definiciones de nivel de confidencialidad y las recomendaciones
presentadas en este documento fueron elaboradas como una gua y que
siempre debe aplicarse el sentido comn durante su uso. NOTA: El
impacto de esta gua en las actividades diarias de las diferentes
dependencias debe ser mnima Preguntas relacionadas con la
clasificacin adecuada de una pieza de informacin especfica deben
ser dirigidas al jefe inmediato. Preguntas sobre esta gua deben ser
dirigidas a los responsables de la administracin de la seguridad
informtica de la Universidad (http://www.unal.edu.co/seguridad/).
2.0 Alcance La informacin de la Universidad Nacional de Colombia se
clasifica en dos categoras generales:
Informacin Pblica Informacin Confidencial
La informacin pblica de la Universidad Nacional de Colombia es
informacin que ha sido declarada de conocimiento pblico por alguna
norma jurdica o por la persona o grupo de personas (comits,
consejos o juntas) con la autoridad para hacerlo y puede ser
entregada o publicada sin restricciones a cualquier persona sin que
implique daos a terceros ni a los sistemas y procesos acadmicos o
administrativos de la Universidad Nacional de Colombia. La
informacin confidencial de la Universidad Nacional de Colombia es
toda aquella informacin que no es pblica. Infortunadamente no
existe una frontera precisa que delimite el grado de
confidencialidad de la informacin, as que esta clasificacin debe
ser entendida como la existencia de informacin ms crtica que otra y
que la informacin ms crtica debe tener una mayor proteccin.
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
2/8
La informacin confidencial es aquella que debe ser vigilada y
protegida muy de cerca. Por ejemplo, los cuestionarios de los
exmenes de admisin a la universidad, las respuestas a las preguntas
de estos cuestionarios o los resultados de investigaciones
acadmicas an no publicados que afecten los derechos de autor y la
carrera de los investigadores que la realizaron. La informacin
confidencial de la universidad tambin puede incluir datos que son
considerados menos crticos y que no requiere un grado de proteccin
tan fuerte, como el nmero del telfono directo de personas que
ocupan ciertos cargos o los datos personales de los empleados y sus
familiares. Adems, la informacin que es confidencial hoy puede
pasar a ser pblica en un momento posterior, como en el caso de los
resultados de algunas investigaciones acadmicas antes de ser
publicadas y despus de su publicacin. Con el objetivo de poder
hacer una clasificacin simple, en esta gua se definen slo tres
grados de confidencialidad de la informacin: confidencialidad
mxima, confidencialidad media y confidencialidad mnima.
Un subconjunto importante de la informacin confidencial de la
universidad es la informacin confidencial de terceros. Esta
informacin pertenece o esta relacionada con otras personas u
organizaciones que la han confiado a la Universidad Nacional de
Colombia y la universidad no puede mostrarla a otros ni utilizarla
para fines distintos a los establecidos. Ejemplos de este tipo de
informacin son los datos de los aspirantes a ingresar a la
universidad o el contenido de las cotizaciones y las propuestas que
presentan los proveedores a la universidad. La informacin
confidencial de terceros va desde informacin extremadamente
sensitiva como la relacionada con datos crticos de una investigacin
de las entidades de control del estado hasta la informacin del
telfono o el correo electrnico de una persona externa que presta
servicios a la universidad y que no desea ser contactada por otros.
La Universidad Nacional de Colombia es una entidad pblica, pero no
toda la informacin que ella posee es de dominio pblico en todo
momento. De acuerdo con esta gua y el criterio de la persona o
personas responsables de la informacin, la informacin de la
universidad debe clasificarse para saber cundo puede permitirse su
acceso y uso a personas distintas a las responsables de dicha
informacin y para poder establecer el grado de proteccin que
debe
Informacin con Confidencialidad
Mxima
Informacin con Confidencialidad
Media
Informacin con Confidencialidad
Mnima
Informacin pblica
Informacin de la Universidad Nacional de Colombia
No requiere proteccin (o muy poca)
Requiere mxima proteccin
Requiere poca proteccin
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
3/8
drsele. Para realizar esta clasificacin de manera adecuada ,
adems de esta gua, se debe utilizar siempre el sentido comn pues,
como se dijo antes, no existe un lmite claro entre los tipos de
informacin y la clasificacin establecida hoy puede variar a medida
que transcurre el tiempo. Si alguien tiene dudas sobre el grado de
confidencialidad de una pieza particular de informacin, debe
dirigirse a su superior inmediato. 3.0 Gua de clasificacin La gua
mostrada a continuacin proporciona los detalles sobre cmo proteger
la informacin con diferentes niveles de confidencialidad. Usted
debe utilizar esta gua como una referencia para garantizar que la
informacin confidencial tenga medidas de proteccin ms fuertes o ms
suaves dependiendo de la naturaleza de la informacin en cuestin, el
momento en que se est utilizando y las circunstancias especficas de
uso. 3.1 Tipos de informacin confidencial y manejo recomendado
Confidencialidad mnima Esta es informacin general de la
universidad, como cierta informacin tcnica o informacin utilizada
por estudiantes, contratistas, empleados o docentes de la
universidad que no puede ser conocida por terceros sin autorizacin
del responsable de la informacin. En caso de ser conocida,
utilizada o modificada por personas sin la debida autorizacin,
impactara de forma leve a terceros o a los sistemas y/o los
procesos de la universidad. En la informacin a su cargo determine
cual pertenece a esta categora y regstrela en papel o en medio
electrnico. Entre las caractersticas registradas puede incluir la
anotacin confidencial de terceros cuando sea necesario. La marcacin
o etiquetado de los equipos, los archivadores, las carpetas o los
medios (pginas, diskettes o cintas) donde reposa la informacin
confidencial queda a discrecin del dueo o custodio de la
informacin. Si el etiquetado es deseable, las palabras
Confidencial. Universidad Nacional de Colombia debe escribirse en
un lugar visible. La informacin con confidencialidad mnima tiene
las siguientes caractersticas y recomendaciones de manejo:
Acceso permitido a: Empleados administrativos y docentes de la
Universidad Nacional de Colombia, contratistas de la universidad y
personas externas cuyas actividades requieran de sta informacin.
Mtodo de distribucin recomendado dentro de la Universidad: Correo
interno normal entre dependencias (colocando la documentacin en
sobre cerrado), correo electrnico oficial y cualquier mtodo de
transmisin electrnico de archivos a travs de los equipos y redes de
la universidad que exija un password o clave para acceder a la
informacin y que mantenga un registro (bitcora o registro de envo)
de los accesos al servicio (FTP, NFS, carpetas compartidas con
password o servidor de archivos). Mtodo de distribucin recomendado
fuera de la universidad: Servicios de correo normal o servicios de
entrega de paquetes reconocidos, correo electrnico oficial, o
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
4/8
cualquier mtodo de transmisin electrnico de archivos cuyo origen
o destino sean los equipos y las redes de la universidad.
Restricciones en la distribucin electrnica: No existe ninguna
restriccin, exceptuando que sea enviado al receptor correcto. Se
recomienda que los mensajes de correo electrnico y las cubiertas
(cover) de fax con informacin confidencial incluyan la siguiente
nota:
CONFIDENCIAL. UNIVERSIDAD NACIONAL DE COLOMBIA. La informacin
contenida en este mensaje es confidencial y slo puede ser utilizada
por la persona o la organizacin a la cual est dirigido. Si usted no
es el receptor autorizado, cualquier retencin, difusin, distribucin
o copia de este mensaje est prohibida y ser sancionada por la ley.
Si por error recibe este mensaje, favor reenvelo y borre el mensaje
recibido inmediatamente.
Si lo considera, puede incluir la nota de confidencialidad en
ingls:
UNIVERSIDAD NACIONAL DE COLOMBIA. CONFIDENTIAL. The information
in this message is intended to be confidential and only for use of
the person or organization to whom it is addressed. If you are not
the intended recipient, any retention, diffusion, distribution or
copying of this message is strictly prohibited and sanctioned by
law. If you receive this message in error, please immediately send
it back and delete the message received.
Almacenamiento y archivado: Debe hacerse fuera de la vista de
personas no autorizadas; si la informacin fue anotada en tableros o
papelgrafos, esta debe ser borrada. Los equipos que manipulen este
tipo de informacin deben ser administrados y utilizados con la
seguridad en mente. Para protegerla de perdidas, esta informacin
debe tener controles de acceso individual donde sea factible y
apropiado llevarlo a cabo. Ejemplos de controles individuales son
los passwords o claves de los sistemas de informacin o bases de
datos y la llave o llaves de la puerta de acceso a la oficina y/o
del archivador donde se guarda la informacin.
Disposicin/Destruccin: Deposite la informacin confidencial
desactualizada, que no se har pblica, y que est colocada en papel
en las canecas de basura de la universidad rompiendo antes el
documento (aqu se supone que las personas encargadas de retirar el
contenido de las canecas labora con la universidad y realiza un
manejo correcto de los desechos); los datos en medio electrnico
deben ser borrados de manera confiable (no basta con emitir el
comando de borrado, es aconsejable hacer dos cosas adicionales:
desocupar la papelera de reciclaje y reescribir el disco con otro
archivo que tenga el mismo nombre del que fue borrado, en el mismo
directorio donde estaba ubicado). Formatee totalmente o destruya
fsicamente los medios (diskettes, cintas) donde existan copias de
la informacin. Penalizaciones para revelacin o alteracin deliberada
o inadvertida de este tipo de informacin: Dependiendo de las
consecuencias de la revelacin de la informacin y despus de la
investigacin correspondiente por parte de la universidad, pueden
incluirse sanciones como llamadas de atencin hasta la destitucin
del cargo, sin perjuicio de las dems acciones legales que procedan
por el hecho.
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
5/8
Confidencialidad media Informacin financiera, informacin tcnica
e informacin utilizada por estudiantes, contratistas, empleados o
docentes de la universidad que no puede ser conocida por terceros
sin autorizacin especial del responsable de la dependencia o
proyecto que genera y utiliza dicha informacin. En caso de ser
conocida, utilizada o modificada por personas sin la debida
autorizacin impactara de forma importante a terceros o a los
sistemas y/o los procesos de la universidad. En la informacin a su
cargo determine cual pertenece a esta categora y regstrela en papel
o en medio electrnico. Entre las caractersticas registradas puede
incluir la anotacin confidencial de terceros cuando sea necesario.
La marcacin o etiquetado de los equipos, los archivadores, las
carpetas o los medios (pginas, diskettes o cintas) donde reposa la
informacin confidencial queda a discrecin del dueo o custodio de la
informacin. Si el etiquetado es deseable, las palabras
Confidencial. Slo para uso interno. Universidad Nacional de
Colombia puede escribirse en un lugar visible. La informacin con
confidencialidad media tiene las siguientes caractersticas y
recomendaciones de manejo:
Acceso permitido a: Empleados administrativos y docentes de la
Universidad Nacional de Colombia, contratistas de la universidad y
personas externas con un compromiso firmado de no divulgacin de la
informacin. Mtodo de distribucin recomendado dentro de la
Universidad: Correo interno normal entre dependencias (colocando la
documentacin en sobre cerrado), correo electrnico oficial y
cualquier mtodo de transmisin electrnico de archivos a travs de los
equipos y redes de la universidad que exija un password o clave
para acceder a la informacin y que mantenga un registro (bitcora o
registro de envo) de los accesos al servicio (FTP, NFS, carpetas
compartidas con password o servidor de archivos). Mtodo de
distribucin recomendado fuera de la universidad: Servicios de
correo normal o servicios de entrega de paquetes reconocidos.
Cuando se utilicen medios electrnicos, este tipo de informacin slo
se puede distribuir de manera encriptada o a travs de canales de
comunicacin privados (canal sobre el cual la universidad tiene
control en todo su trayecto. Incluye enlaces con redes privadas
virtuales VPNs-). Restricciones en la distribucin electrnica:
Dentro de la red de la universidad no existe ninguna restriccin,
exceptuando que se enve al destinatario correcto. Para enviarlo
fuera de la universidad debe enviarse de forma encriptada o a travs
de un enlace privado. Se recomienda que los mensajes de correo
electrnico y las cubiertas (cover) de fax con informacin
confidencial incluyan la siguiente nota:
CONFIDENCIAL. UNIVERSIDAD NACIONAL DE COLOMBIA. La informacin
contenida en este mensaje es confidencial y slo puede ser utilizada
por la persona o la organizacin a la cual est dirigido. Si usted no
es el receptor autorizado, cualquier retencin, difusin, distribucin
o copia de este mensaje est prohibida y ser sancionada por la ley.
Si por error recibe este mensaje, favor reenvelo y borre el mensaje
recibido inmediatamente.
Si lo considera, puede incluir la nota de confidencialidad en
ingls:
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
6/8
UNIVERSIDAD NACIONAL DE COLOMBIA. CONFIDENTIAL. The information
in this message is intended to be confidential and only for use of
the person or organization to whom it is addressed. If you are not
the intended recipient, any retention, diffusion, distribution or
copying of this message is strictly prohibited and sanctioned by
law. If you receive this message in error, please immediately send
it back and delete the message received.
Almacenamiento y archivado: Debe hacerse fuera de la vista de
personas no autorizadas; si la informacin fue anotada en tableros o
papelgrafos, esta debe ser borrada. En sistemas de informacin
soportados en computadores se recomienda tener controles de acceso
individuales (clave personal o llave de puertas y archivadores).
Disposicin/Destruccin: Deposite la informacin confidencial
desactualizada, que no se har pblica, y que est colocada en papel
en las canecas de basura de la universidad rompiendo antes el
documento (aqu se supone que las personas encargadas de retirar el
contenido de las canecas labora con la universidad y realiza un
manejo correcto de los desechos); los datos en medio electrnico
deben ser borrados de manera confiable (no basta con emitir el
comando de borrado, es aconsejable hacer dos cosas adicionales:
desocupar la papelera de reciclaje y reescribir el disco con otro
archivo que tenga el mismo nombre del que fue borrado, en el mismo
directorio donde estaba ubicado). Formatee totalmente o destruya
fsicamente los medios (diskettes, cintas) donde existan copias de
la informacin.
Penalizaciones para revelacin o alteracin deliberada o
inadvertida de este tipo de informacin: Dependiendo de las
consecuencias de la revelacin de la informacin y despus de la
investigacin correspondiente por parte de la universidad, puede
incluirse sanciones como llamadas de atencin hasta la destitucin
del cargo, sin perjuicio de las dems acciones legales que procedan
por el hecho.
Confidencialidad mxima Informacin financiera, informacin tcnica
e informacin utilizada por estudiantes, contratistas, empleados o
docentes de la universidad que no puede ser conocida por terceros
sin autorizacin especial de la rectora general o de la vicerrectora
de sede. En caso de ser conocida, utilizada o modificada por
personas sin la debida autorizacin impactara de forma grave a
terceros o a los sistemas y/o los procesos de la universidad.
En la informacin a su cargo determine cual pertenece a esta
categora y regstrela en papel o en medio electrnico. Entre las
caractersticas registradas puede incluir la anotacin confidencial
de terceros cuando sea necesario. Al igual que con los otros dos
tipos de informacin confidencial, la marcacin o etiquetado de los
equipos, los archivadores, las carpetas o los medios (pginas,
diskettes o cintas) donde reposa la informacin confidencial queda a
discrecin del dueo o custodio de la informacin, pero los usuarios
de dicha informacin deben ser conscientes de la sensibilidad de
dicha informacin para que tengan los cuidados correspondientes. Si
el etiquetado es deseable, las palabras Altamente Confidencial.
Para uso exclusivo de personal autorizado. Universidad Nacional de
Colombia puede escribirse en un lugar visible.
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
7/8
La informacin con confidencialidad mxima tiene las siguientes
caractersticas y recomendaciones de manejo:
Acceso permitido a: exclusivamente a aquellas personas
(empleados y no empleados con un compromiso firmado de no
divulgacin de la informacin) con autorizacin para ver esta
informacin. Mtodo de distribucin recomendado dentro de la
Universidad: Slo se permite entrega directa con firma del
destinatario aceptando haber recibido el documento. La documentacin
debe ir en sobre cerrado y, si se considera conveniente, con el
texto Confidencial escrito en forma visible. Mtodo de distribucin
recomendado fuera de la universidad: Entrega directa, firma de
recepcin requerida. Si no se puede realizar una entrega directa, se
debe recurrir a una empresa de transporte de valores o a una
empresa de entrega de paquetes reconocida con un servicio cuyas
caractersticas sean equivalentes a la empresa de transporte de
valores. Restricciones en la distribucin electrnica: Dentro de la
red de la universidad no existe ninguna restriccin al ser enviado
al destinatario correcto, pero debe enviarse de forma encriptada.
Se recomienda que los mensajes con informacin confidencial incluyan
la siguiente nota:
CONFIDENCIAL. UNIVERSIDAD NACIONAL DE COLOMBIA. La informacin
contenida en este mensaje es confidencial y slo puede ser utilizada
por la persona o la organizacin a la cual est dirigido. Si usted no
es el receptor autorizado, cualquier retencin, difusin, distribucin
o copia de este mensaje est prohibida y ser sancionada por la ley.
Si por error recibe este mensaje, favor reenvelo y borre el mensaje
recibido inmediatamente.
Si lo considera, puede incluir la nota de confidencialidad en
ingls:
UNIVERSIDAD NACIONAL DE COLOMBIA. CONFIDENTIAL. The information
in this message is intended to be confidential and only for use of
the person or organization to whom it is addressed. If you are not
the intended recipient, any retention, diffusion, distribution or
copying of this message is strictly prohibited and sanctioned by
law. If you receive this message in error, please immediately send
it back and delete the message received.
Almacenamiento y archivado: En medios electrnicos debe tener
controles de acceso individuales (clave personal) y se recomienda
que los archivos se almacenen encriptados. La seguridad fsica es
muy importante para este tipo de informacin, as que el equipo donde
sea almacenada debe estar asegurado fsicamente y debe conectarse a
las redes de la universidad slo cuando las necesite (idealmente, el
equipo donde se almacena la informacin debe slo ser utilizado por
las personas autorizadas a tener acceso a dicha informacin). Entre
los mtodos que se pueden utilizar para garantizar esto est el uso
de llaves que aseguran el hardware del equipo para poder ser
encendido. Si es un equipo porttil nunca debe dejarlo solo y
siempre debe utilizar el cable de aseguramiento (lockdown cable) y
cuando salga de la oficina asegrese que el equipo y cualquier
material crtico queden bajo llave. En caso de que la informacin sea
muy importante no se debe dudar en guardar los medios y los equipos
en una caja fuerte.
-
Gua para la clasificacin y el manejo de informacin confidencial.
Universidad Nacional de Colombia - 2003
8/8
Disposicin/Destruccin: Si despus de utilizar este tipo de
informacin no se har pblica y no se necesita para procesos
posteriores, destryala (una picadora de papel para estos fines
puede ser utilizada o puede incinerarla). Los datos en medio
electrnico deben ser borrados de manera confiable (no basta con
emitir el comando de borrado, es aconsejable hacer dos cosas
adicionales: desocupar la papelera de reciclaje y reescribir el
disco con otro archivo que tenga el mismo nombre del que fue
borrado, en el mismo directorio donde estaba ubicado). Formatee
totalmente o destruya fsicamente los medios (diskettes, cintas)
donde existan copias de la informacin Penalizaciones para revelacin
o alteracin deliberada o inadvertida de este tipo de informacin:
Despus de la investigacin correspondiente por parte de la
universidad, puede destituirse a la persona, sin perjuicio de las
dems acciones legales que procedan por el hecho.
4.0 Advertencia Cualquier miembro de la comunidad universitaria
que sea encontrado realizando actividades que contravengan esta gua
podr ser investigado y puede ser causal de sanciones, sin perjuicio
de las acciones disciplinarias y/o jurdicas que puedan ser
adelantadas por las entidades de control del estado. 5.0 Ms
informacin Para consultar informacin actualizada sobre el programa
de seguridad de la Universidad Nacional de Colombia visite
http://www.unal.edu.co/seguridad/
