Toda entidad del sector público financiero y de la economía popular y solidaria debe adherirse a los siguientes instrumentos legales y técnicos:

1. 1. 1. 1. Esquema Gubernamental de Seguridad de la Información (EGSI) v3.0: Expedido por el Ministerio de Telecomunicaciones, el EGSI es el mecanismo oficial y obligatorio para implementar un Sistema de Gestión de Seguridad de la Información (SGSI) en el sector público. Este marco se alinea con estándares internacionales como la ISO/IEC 27001:2022 y la ISO/IEC 27005:2018.
            

1. 1. 1. 2. Ley Orgánica de Protección de Datos Personales (LOPDP): Las entidades deben implementar medidas de seguridad adecuadas, tal como lo exige la LOPDP, para hacer frente a cualquier riesgo, amenaza o vulnerabilidad en el tratamiento de los Datos Personales (PII), conforme al principio de seguridad de datos personales.
            

1. 1. 1. 3. Código Orgánico Integral Penal (COIP): El incumplimiento de los deberes de seguridad puede acarrear responsabilidades administrativas, civiles y penales a los servidores, especialmente en casos de ciberdelitos como el acceso no consentido a sistemas informáticos o la revelación ilegal de bases de datos.

El SGSI se implementa bajo el modelo de Mejora Continua (PDCA), garantizando que la seguridad sea un proceso dinámico y no una acción puntual.

1. 1. 1. Planificar: Identificación y Estrategia
         • • Identificación de Activos: La gestión comienza con la identificación, clasificación y asignación de propietarios a todos los activos de información (sistemas, datos, personal, infraestructura).
           • Evaluación de Riesgos: Las entidades deben realizar una Evaluación de Riesgos sobre sus activos críticos para identificar amenazas, vulnerabilidades y el impacto potencial en la Confidencialidad, Integridad y Disponibilidad (C.I.D.) de la información.
           • Plan de Tratamiento: Formular un Plan de Tratamiento de Riesgos para mitigar los riesgos inaceptables, seleccionando controles de seguridad apropiados, referenciados en el EGSI (ISO/IEC 27002).
             
      2. Hacer: Implementación de Controles ClaveLa implementación de los controles debe ser liderada por el Oficial de Seguridad de la Información (OSI) y supervisada por el Comité de Seguridad de la Información (CSI).

• • • • • Controles Tecnológicos: Aplicar medidas para la protección contra malware, la gestión de vulnerabilidades, la eliminación segura de información y la redundancia de sistemas.
        • Controles de Personas (Concientización): El OSI debe elaborar y coordinar un Plan de Concienciación para fomentar una cultura de seguridad, ya que el factor humano es un vector de riesgo principal^.
        • Gestión de Incidentes: Establecer procedimientos claros y documentados para la respuesta, contención y recuperación ante cualquier evento o incidente cibernético.
          

1. 1. 3. Verificar y Actuar: Monitoreo y Mejora
         • • Auditoría y Monitoreo: Se deben realizar auditorías internas independientes y monitoreo continuo de las redes, sistemas y aplicaciones para detectar comportamientos anómalos y garantizar la eficacia de los controles.
             
           • Mejora Continua: Los resultados de las auditorías y la revisión por la dirección deben impulsar acciones correctivas para asegurar que el SGSI se adapte continuamente a las nuevas amenazas y a los cambios operativos y regulatorios.

Formulario – Seguridad de la Información

Este es un espacio donde se presentan cursos, capacitaciones de formación, webinars sobre seguridad de la información y ciberseguridad para las entidades y organizaciones de la Economía Popular y Solidaria.