Gestión de incidentes de seguridad
Qué es un incidente
Cualquier evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de la información o del servicio: acceso no autorizado, pérdida o fuga de datos, código malicioso, caída grave, llave expuesta, etc.
Severidad
- Crítica: datos de clientes expuestos o servicio caído para todos.
- Alta: riesgo serio de exposición o caída parcial.
- Media: falla de un control sin impacto confirmado.
- Baja: evento menor, sin impacto.
Respuesta
1. Detectar y registrar en Consola → Seguridad y cumplimiento → Incidentes, con la hora de detección.
2. Contener: cortar el acceso, rotar llaves, aislar lo afectado.
3. Investigar: qué pasó, desde cuándo, qué datos y qué empresas se afectaron. Se preservan los registros y copias como evidencia.
4. Erradicar y recuperar: corregir la causa y volver a la operación normal (restaurar si hace falta).
5. Comunicar (ver abajo).
6. Aprender: causa raíz, acciones correctivas y actualización de riesgos y políticas.
Comunicación y notificación
- Clientes afectados: se les avisa sin demora injustificada, y a más tardar 72 horas después de confirmar un incidente que afecte sus datos, por correo desde support@elementhor.com.
- Superintendencia de Industria y Comercio (SIC): los incidentes que afecten datos personales se reportan en el Registro Nacional de Bases de Datos dentro de los 15 días hábiles siguientes a su detección, según las instrucciones de la SIC.
- Proveedores: se les avisa si el incidente los involucra y se les pide colaboración.
- Página de estado: las interrupciones se publican en elementhor.com/estado.
Contactos
Los contactos de autoridades (SIC, colCERT, Policía Nacional – Centro Cibernético, Fiscalía) y de proveedores están en "Requisitos legales y contactos" y se revisan cada año.
Métricas y revisión
Se miden la cantidad de incidentes, su severidad y el tiempo hasta contenerlos y resolverlos. Los registros se revisan cada seis meses para buscar patrones y causas comunes. El plan se prueba una vez al año con un ejercicio de escritorio.
Evidencia y análisis forense
Ante un incidente se conservan sin modificar la bitácora, los registros y las copias del momento, se documenta quién los manejó y, si se necesita, se acude a un especialista forense.
Revisión
Este documento se revisa al menos una vez al año y cada vez que haya un cambio importante en el servicio, en la infraestructura o en la ley. La revisión y la aprobación quedan registradas en Consola → Seguridad y cumplimiento, con su versión y fecha.
Sobre este documento
Esta es la versión 1 de la política, aprobada el 2026-11-12. Forma parte del programa de seguridad de la información de ELEMENTHOR, que cubre los 17 dominios de la Cloud Controls Matrix de la Cloud Security Alliance y aplica a OSNEX Service Desk, CRM, HCM y Nómina. Cada política tiene un responsable, se revisa al menos una vez al año y cada revisión queda registrada con su fecha y su versión.
Si tu empresa está evaluando a ELEMENTHOR como proveedor y necesita más detalle, por ejemplo el cuestionario de seguridad, el modelo de responsabilidad compartida o la lista de componentes del servicio, escríbenos a support@elementhor.com y te respondemos por correo.