Anexo N°9 Acuerdo Niveles de Servicio

Requerido 

SERVICIOS DE  INTERNET

de ancho de  banda

de  

transmisión  

de  

Información

transmitir/Número  de horas del  respectivo periodo  en el cual debe  estar funcionando  un aplicativo

SERVICIOS DE  INFRAESTRUC  

TURA TIC

a TIC

de  

aprovisionar  oportunamente  

infraestructur a tecnológica

<= T  

Propuesto

requeridos

o del  cronograma  presentado  

para la  ejecución de  cambios

hábiles

promedio de  recuperación  ante fallas.

severidad  

1<= 8 horas  

severidad 2.  Ver Nota al  

pie de la  

tabla)

infraestructur 

a de TI

que  

minimicen la  vulnerabilidad

fabricante  

libera  

parches de  

actualización  en un T<= 36  horas

software

requerido  

para  

solucionar un  problema de  seguridad

<= 4 horas  

Todas las  

incidencias 

de seguridad  serán  

tratadas  

como  

severidad 1

También se podrán implementar soluciones basadas en escritorios virtuales o  estaciones remotas en cuyo caso las máquinas virtuales deben mantener las  especificaciones o su equivalente de los equipos físicos anteriormente descritos.

? Se debe identificar y mantener actualizada la relación de  personal autorizado para acceder de manera remota segura a  estos servicios. 

? Se debe contar con registros de entrenamiento y concienciación  de la IES a sus colaboradores sobre las condiciones de  confidencialidad, protección y no divulgación de la información  que se hacen extensivas a las conexiones remotas autorizadas. 

? Se debe contar con registros de entrenamiento y concienciación  de la IES a sus colaboradores sobre la importancia de mantener  actualizados y debidamente protegidos los equipos de acceso  remoto del personal autorizado, en caso de utilizar la modalidad  de BYOD (Bring Your On Device) para permitir este tipo de  operación remota. 

? Se debe contar con registros de entrenamiento y concienciación  de la IES a sus colaboradores sobre la importancia de la  adopción de contraseñas (password) fuertes y protección de las  credenciales de acceso (usuario y contraseña), como recursos  únicos, personales e intransferibles de autenticación ante las  diversas plataformas de procesamiento de información  relacionadas con el desarrollo de las pruebas que se han  suscrito contractualmente entre la IES y la CNSC. 

? Mantener canales de comunicación permanente entre el  personal autorizado y la supervisión de operación tecnológica  (Mesa de Ayuda) por parte de la IES, para identificar de manera  proactiva posibles fallas o ataques informáticos que se  pudiesen presentar por hacer uso de redes públicas.

? El acceso remoto debe contar con tres (3) métodos de  autenticación con usuario y clave robusta. La primera clave será  la que pide el software de conexión remota; la segunda clave le  debe permitir al analista ingresar al sistema operativo del  equipo que sea asignado por la IES; y la tercera clave será la  que debe introducir para poder ingresar al SIMO. 

? No se debe permitir el acceso remoto desde computadores  distintos a los definidos por los analistas como su estación de  trabajo del hogar. 

? Se debe realizar una verificación periódica y remota de cada  equipo de los analistas para garantizar el correcto  funcionamiento de la máquina junto con test de velocidad de  acceso a internet y posibles recomendaciones, lo cual se hará  cada quince (15) días y se dejará registro de esta actividad por  equipo. 

? La IES debe adecuar de manera remota la configuración de los  equipos del hogar de los analistas para una correcta y estable  conexión con las estaciones de trabajo que tienen asignadas  por las IES. Estas actividades deben quedar relacionadas en  una bitácora que permita ver en qué fecha se verificó y a que  PC de usuario se le hizo la revisión. 

? La IES solo permitirá el acceso remoto a las estaciones de  trabajo física o virtual adecuadas en las instalaciones definidas  por las IES mediante el software especializado informado y  avalado por la CNSC, lo cual se hará mediante una herramienta  tecnológica que se encargará de gestionar todos los protocolos  de seguridad y permisos solo a los equipos registrados de los  integrantes del equipo de Verificación de Requisitos Mínimos.  Para lo anterior el operador debe informar a la CNSC qué  herramienta tecnológica utilizará con su marca y versión  correspondiente.

? Habilitar los canales de telecomunicación apropiados para  permitir que los colaboradores autorizados por la IES puedan  acceder de manera remota segura a los servicios de la IES y  desde allí lograr el acceso a la CNSC. 

? Gestionar de manera adecuada el ancho de banda que ingresa  desde las conexiones remotas de los usuarios autorizados  hacia las instalaciones de la IES. 

? Validar el adecuado enrutamiento de acceso remoto seguro del  personal autorizado hacia los servicios autorizados por la  CNSC para la gestión de las obligaciones suscritas, lo cual se  verificará mediante pruebas de traceroute desde el diez por  ciento (10%) de los equipos avalados, las cuales debe enviarse  a la CNSC desde el inicio del trabajo remoto.  

? Monitorear el uso de los canales de acceso remoto hacia la IES,  entregando o reasignando los parámetros de prioridad que  sean establecidos para los diferentes perfiles de usuario que  puedan acceder a los servicios de la CNSC. 

? Usar medios de comunicación segura a través de túneles  asegurados mediante protección de acceso no autorizado y  métodos de encriptación asimétricos entre los PC del personal  autorizado para el trabajo remoto y la sede de la IES que enrute  las comunicaciones hacia la CNSC mediante la implementación  de VPN, para lo cual la IES deberá indicar qué herramienta  tecnológica gestiona estos túneles. 

? La IES no debe hacer uso de utilitarios de punto a punto (P2P – pear to pear) o de acceso directo a equipos para otorgar el  acceso del personal asignado para la ejecución de las pruebas  que forman parte del contrato suscrito con la CNSC. 

? El establecimiento de los túneles seguros de comunicaciones  debe contar al menos con mecanismos de autenticación fuerte  (usuario y contraseña robusta), que incluyan múltiples factores  de autenticación y cifrado de la información que se trance. 

? Se debe garantizar que todos los elementos de  telecomunicaciones sean desplegados por la IES para adoptar  el acceso remoto seguro y se encuentran debidamente  actualizados a las últimas versiones estables disponibles. Para  ello, se hará una revisión acompañada por la OAI donde se  verifique aleatoriamente las versiones de actualización de sus  equipos de telecomunicaciones.  

? Se deben mantener y revisar constantemente los registros  automáticos de eventos (gestión de logs), de las conexiones  remotas establecidas. Estos logs deben estar disponibles en  algún medio donde la CNSC pueda consultarlos en compañía  de la IES. 

? Se debe garantizar que las herramientas de control de acceso  remoto seguro estén configuradas de tal forma que se impida el  acceso a las unidades de almacenamiento local del cliente de  conexión, evitar la transferencia de archivos, hacer print screen  y limitar el acceso en la sesión del usuario a correos gratuitos  tipo Gmail, Hotmail, entre otras plataformas gratuitas. 

? Se deben desplegar herramientas de monitoreo y control de la  velocidad de internet para los canales virtuales o túneles  asegurados establecidos entre la IES y los sitios de acceso  remoto autorizados de sus colaboradores, con el propósito de  mantener los niveles de operación necesarios para cumplir con  los compromisos suscritos entre la IES y la CNSC.

? Siempre que se realice una conexión de escritorio remoto al equipo  del colaborador esta deberá anunciársele con el fin de tener que  ésta no sea invasiva y altere su estado de privacidad. 

? El colaborador durante el desarrollo de su trabajo debe abstenerse  de realizar actividades de carácter personal en el PC destinado para  el trabajo. 

? Si es posible habilitar una conexión con un segundo factor de  autenticación la IES debe mantener este esquema durante la  ejecución del contrato. 

? Configuración de registros automáticos revisables de: ? Administración de cuentas 

? Inicios y cierre de sesión 

? Acceso DC 

? Acceso a objetos 

? Uso de privilegios 

? Sistema

? Cada computador de los colaboradores debe ser inspeccionado  remotamente por el personal técnico de la IES utilizando una  herramienta tipo software de soporte remoto. 

? De forma automática, el sistema de autenticación deberá validar el  cumplimiento de las características mínimas de seguridad de  equipos o dispositivos de los colaboradores descritas en este  numeral, para que permita la conexión remota. 

? El colaborador debe extremar las precauciones para evitar el  acceso no autorizado a la información personal, propia y de  terceros, manejada, no dejando a la vista ningún soporte de  información en el lugar donde se desarrolle el trabajo remoto y  bloqueando las sesiones de los dispositivos cuando estos estén  desatendidos. 

? Cualquier anomalía que pueda afectar a la seguridad de la  información debe notificarse al responsable del área de tecnología  de la IES, a la mayor brevedad posible, a través de los canales  definidos para el efecto. 

? Se debe contar con una configuración detallada de las de reglas de  entrada y salida del cortafuegos (lógico o físico) de la IES. ? Acciones: permitir o bloquear 

? Protocolos IP 

? Direcciones IP entrada / salida

? La IES debe validar que la conectividad del equipo se realice  mediante una conexión segura de internet, en lo posible usar  conectividad cableada y que el equipo o dispositivo del colaborador  tenga la red inalámbrica deshabilitada. 

? Se recomienda que la velocidad mínima contratada por el  colaborador con el operador o ISP, sea de 10Mbps. 

? Cámara IP externa de tenerla, esta debe ser ubicada de manera tal  que cubra el espacio de trabajo. Si la cámara es interna debe  cerciorarse que funciona adecuadamente y no tener elementos que  la cubran.

? Se debe llevar una bitácora de revisión de cumplimiento de los  requisitos mínimos de los equipos de los colaboradores. 

? La IES debe programar revisiones aleatorias diarias, para validar  el cumplimiento de las condiciones mínimas de operación de los  equipos o dispositivos de los colaboradores. La CNSC puede  realizar auditoría en cualquier momento para verificar el  cumplimiento de las condiciones, para lo cual el ingeniero  designado por la CNSC contactará al ingeniero asignado por la IES  y de esta manera coordinar la actividad. 

? Se debe llevar registro tipo checklist, por el personal técnico de la  IES, donde detalle fecha y hora, nombre del colaborador revisado,  nombre de la persona técnica que revisa el equipo, este registro  debe ser digital y estar disponible en un repositorio para su consulta  por parte de la CNSC.

? La IES debe contar con una herramienta de apoyo remoto de parte  de la mesa de servicios que permita registrar el tipo de soporte  dado, fecha y hora, de todos los servicios de apoyo que realiza esta mesa de servicio a los colaboradores.

? El sistema operativo, en el caso de requerir licenciamiento, debe ser  licencia original emitida por el fabricante del hardware o del sistema  operativo. 

? Para permitir conexión remota, se debe verificar y registrar por parte  de la IES, en cada equipo o dispositivo del colaborador, las  versiones de parches, hotfix o actualizaciones aplicadas  correctamente a las últimas versiones liberadas por el fabricante. 

? El equipo o dispositivo del colaborador, debe contar con un sistema  de antivirus reconocido, totalmente licenciado, se debe verificar y  registrar por parte de la IES, las versiones de parches, hotfix o  actualizaciones aplicadas correctamente a las últimas versiones  liberadas por el fabricante. 

? El equipo o dispositivo del colaborador debe contar con un software  de firewall, instalado y activo, se debe verificar y registrar por parte  de la IES la funcionalidad del software de firewall. 

? Se debe generar una política de seguridad en el equipo del  colaborador, que en el momento de establecer una conexión  remota, se deshabiliten los puertos USB, unidades de CD, DVD, no  se permita la redirección de dispositivos locales, ni a los equipos  remotos en la IES. 

? Se debe permitir el establecimiento de una conexión de auditoría  con el colaborador, donde se permita grabar y ver el entorno del  colaborador, ya sea a través de la cámara web del equipo u otro  mecanismo de grabación. 

? Se debe crear, aplicar y sensibilizar a los colaboradores sobre la  política de NO uso de celular, tablets, relojes inteligentes o  televisores, mientras se realizan las actividades propias del objeto  contractual, y en lo posible, la universidad debe registrar y guardar  dichas evidencias.

? Equipo autorizado y revisado 

? Tipo de rol o actividad del colaborador en el proceso ? Lista de accesos permitidos 

? Franja horaria autorizada para operar por cada día. ? La IES debe mantener actualizados los registros de configuraciones  revisadas y últimos cambios realizados. 

? La IES deberá evidenciar el ajuste a sus políticas de toma de copias  de seguridad de los repositorios de información, a las condiciones  de operación en contingencia en donde se muestre que la  frecuencia de ejecución y prueba ha aumentado.

? El inventario de PC de usuario final, los de las IES, equipos de  comunicaciones, seguridad y otros que formen parte de la solución  tecnológica que soporta el proceso deben mantenerse actualizado,  reportando cualquier novedad por cambio.

? El tráfico permitido debe ser solo para las Vlan habilitadas y  solicitadas por la IES, en lo posible con usuarios autenticados al  dominio. 

? El equipo de seguridad firewall debe soportar IPsec VPN

? Debe poder verificar la presencia de antivirus (propio y/o de terceros  y de un firewall personal (propio y/o de terceros) en la máquina que  establece la comunicación VPN SSL. 

? Se sugiere que el equipo firewall pueda estar en capacidad de  definir distintos portales SSL que servirán como interfaz gráfica a  los usuarios de VPN SSL luego de ser autenticados por la  herramienta. Dichos portales deben poder asignarse de acuerdo al  grupo de pertenencia de dichos usuarios y mediante esta conexión  y la VPN site-to.site alcanzar los recursos de la CNSC.

? La IES debe entregar, aclarar y socializar con el colaborador, los  acuerdos de confidencialidad, con una vigencia no menor a un (1)  año, a partir de la firma del contrato, donde se puede aplicar  durante este tiempo sanciones, multas y demás, en caso de 

divulgar, promocionar o mencionar, cualquier información inherente  al objeto contractual.

? La IES debe programar al menos una (1) vez al mes una  capacitación, que abarque temas técnicos del uso de las  herramientas para construcción de ítems, buen uso de los equipos  de cómputo y de aspectos legales y contractuales, que garanticen  la seguridad, custodia y confiabilidad de la información. 

? Se debe evidenciar mediante encuesta el entendimiento de los  colaboradores sobre el protocolo de solicitud de asistencia técnica  y verificación del servicio prestado por la mesa de ayuda autorizada  por la IES.

? La cámara del computador o cámara externa si es el caso, debe  estar siempre que el colaborador este trabajando apuntando frente  a él, de ninguna manera se pretende grabar lo que se esté  visualizando en su pantalla.

? La elaboración de las actas de reuniones requeridas en el Anexo  Técnico se mantiene.

? La cámara del computador o cámara externa si es el caso, debe  estar siempre que el colaborador este trabajando apuntando frente  a él, de ninguna manera se pretende grabar lo que se esté  visualizando en su pantalla. 

? Solo para este caso la IES puede determinar hacer este ensamble  de pruebas en el sitio central a donde se conectan sus  colaboradores, en cuyo caso deberá cumplir con las condiciones  definidas en la opción 1 ?Trabajo en Sitio?.

? La IES debe realizar la capacitación de las herramientas dispuestas  para la construcción de ítems, de acuerdo con los alcances  contractuales entre la universidad y el colaborador, llevando registro  de asistencia, ya sea físico o virtual. 

? La IES debe concientizar a manera de capacitación a cada uno de  los colaboradores, y personas que de una u otra manera  intervengan con la construcción de ítems, ya sea personal de misión  o de apoyo, sobre el manejo de la información, los niveles de  confidencialidad de la información, de acuerdo con el marco de la  norma ISO 27001 en su versión más reciente. Además, se debe  especificar la clasificación y protección de la información aplicables  al proceso, dejando de forma detallada que información es pública,  cual es privada, cual es restringida, cual es confidencial y cual es  secreta, así como la aplicabilidad de sanciones en la divulgación de  la información, según el nivel.

? Los profesionales de apoyo para la mesa de servicio, debe ser  personal exclusivo para el soporte a las personas en misión, ya sea  de manera remota o presencial.

? El horario de conexión remota debe coincidir con el horario de la  mesa de servicio.