NORMA 410 TECNOLOGIA DE LA INFORMACION
NORMA 410 TECNOLOGÍA DE LA
410-01 Organización
informática
Las
entidades u organismos del sector público establecerán una estructura
organizacional de tecnología de información que refleje las necesidades
institucionales, la cual debe ser revisada de forma periódica para ajustar las
estrategias internas que permitan satisfacer los objetivos planteados y soporten
los avances tecnológicos.
410-02 Segregación de
funciones
Las
funciones y responsabilidades del personal de tecnología de información y de
los usuarios de los sistemas de información serán claramente definidas la
Unidad de Tecnología de Información contemplará los deberes y
responsabilidades, así como las habilidades y experiencia necesarias en cada
posición, a base de las cuales se realizará la evaluación del desempeño.
410-03 Plan
informático estratégico de tecnología
La
Unidad de Tecnología de la Información elaborará e implementará un plan
informático estratégico para administrar y dirigir todos los recursos
tecnológicos, estos planes incluirán los portafolios de proyectos y de
servicios, la arquitectura y dirección tecnológicas, las estrategias de
migración, los aspectos de contingencia de los componentes de la
infraestructura y consideraciones relacionadas con la incorporación de nuevas
tecnologías de información vigentes a fin de evitar la obsolescencia; se
actualizarán de manera permanente.
410-04 Políticas y
procedimientos
La
Unidad de Tecnología de Información definirá, documentará y difundirá las
políticas, estándares y procedimientos que regulen las actividades relacionadas
con tecnología de información y comunicaciones en la organización, estos se
actualizarán permanentemente e incluirán las tareas, los responsables de su
ejecución, los procesos de excepción, el enfoque de cumplimiento y el control
de los procesos que están normando, así como, las sanciones administrativas a
que hubiere lugar si no se cumplieran.
Se
incorporarán controles, sistemas de aseguramiento de la calidad y de gestión de
riesgos, al igual que directrices y estándares tecnológicos.
Se
implantarán procedimientos de supervisión de las funciones de tecnología de
información, ayudados de la revisión de indicadores de desempeño y se medirá el
cumplimiento de las regulaciones y estándares definidos.
410-05 Modelo de
información organizacional
La
Unidad de Tecnología de Información definirá el modelo de información de la
organización a fin de que se facilite la creación, uso el diseño del modelo de
información que se defina deberá constar en un diccionario de datos corporativo
que será actualizado y documentado de forma permanente, incluirá las reglas de
validación y los controles de integridad y consistencia, con la identificación
de los sistemas o módulos que lo conforman, sus relaciones y los objetivos
estratégicos a los que apoyan a fin de facilitar la incorporación de las
aplicaciones y procesos institucionales de manera transparente.
410-06 Administración
de proyectos tecnológicos
La
Unidad de Tecnología de Información definirá mecanismos que faciliten la
administración de todos los proyectos informáticos:
1.
Descripción de la naturaleza, objetivos y alcance del proyecto,
2.
Cronograma de actividades
3.
La formulación de los proyectos considerará el Costo Total de Propiedad CTP;
que incluya no sólo el costo de la compra, sino los costos directos e
indirectos, los beneficios
4.
Se definirá una estructura en la que se nombre un servidor responsable con
capacidad de decisión y autoridad y administradores
5.
Las etapas de: inicio, planeación, ejecución, control, monitoreo y cierre de proyectos
6.
El inicio de las etapas importantes del proyecto será aprobado de manera formal
y comunicado a todos los interesados.
7.
Se incorporará el análisis de riesgos.
8.
Se deberá monitorear y ejercer el control permanente del proyecto.
9.
Se establecerá un plan de control de cambios y un plan de aseguramiento de
calidad
10.
El proceso de cierre incluirá la aceptación formal y pruebas que certifiquen la
calidad y el cumplimiento de los objetivos.
410-07 Desarrollo y
adquisición de software aplicativo
La
Unidad de Tecnología de Información regulará los procesos de desarrollo y
adquisición de, metodologías y procedimientos. Los aspectos a considerar son:
1.
La adquisición de software o soluciones tecnológicas se realizarán sobre la
base del portafolio de proyectos y servicios priorizados en los planes
estratégico y operativo
2.
Adopción, mantenimiento y aplicación de políticas públicas y estándares internacionales
para: codificación de software, nomenclaturas, interfaz de usuario,
interoperabilidad, eficiencia de desempeño de sistemas, planes de pruebas
unitarias y de integración.
3.
Identificación, priorización, especificación y acuerdos de los requerimientos
funcionales y técnicos institucionales con la participación y aprobación formal
de las unidades usuarias.
4.
Especificación de criterios de aceptación de los requerimientos que cubrirán la
definición de las necesidades, su factibilidad tecnológica y económica, el
análisis de riesgo y de costo-beneficio.
5.
En los procesos de desarrollo, mantenimiento o adquisición de software
aplicativo se considerarán: estándares de desarrollo, de documentación y de
calidad, el diseño lógico y físico de las aplicaciones.
6
se preverán tanto en el proceso de
compra como en los contratos respectivos, mecanismos que aseguren el
cumplimiento satisfactorio de los definir los procedimientos para la recepción
de productos y documentación en general
7.
En los contratos realizados con terceros para desarrollo de software deberá
constar que los derechos de autor serán de la entidad contratante y el
contratista entregará el código fuente.
8.
La implementación de software aplicativo adquirido incluirá los procedimientos
de configuración, aceptación y prueba personalizados e implantados.
9.
Los derechos de autor del software desarrollado a la medida pertenecerán a la
entidad y serán registrados en el organismo competente.
10.
Formalización con actas de aceptación por parte de los usuarios.
11.
Elaboración de manuales técnicos, de instalación y configuración.
410-08 Adquisiciones
de infraestructura tecnológica
La
Unidad de Tecnología de información definirá, justificará, implantará y
actualizará la infraestructura tecnológica de la organización para lo cual se
considerarán los siguientes aspectos:
1.
Las adquisiciones tecnológicas estarán alineadas a los objetivos de la
organización, principios de calidad de servicio, portafolios de proyectos y
servicio.
2.
La Unidad de Tecnología de Información planificará el incremento de
capacidades, evaluará los riesgos tecnológicos.
3.
En la adquisición de hardware, los contratos respectivos, tendrán el detalle
suficiente que permita establecer las características técnicas de los
principales componentes tales como: marca, modelo, número de serie,
capacidades, unidades de entrada/salida.
4.
Los contratos con proveedores de servicio incluirán las especificaciones
formales sobre acuerdos de nivel de servicio, puntualizando explícitamente los
aspectos relacionados con la seguridad y confidencialidad de la información.
410-09 Mantenimiento
y control de la infraestructura tecnológica
La
Unidad de Tecnología de Información de cada organización definirá y regulará
los procedimientos que garanticen el mantenimiento y uso adecuado de la
infraestructura tecnológica de las entidades. Los temas a considerar son:
1.
Definición de procedimientos para mantenimiento y liberación de software de
aplicación por planeación,
2.
Los cambios que se realicen en procedimientos, procesos, sistemas y acuerdos de
servicios serán registrados, evaluados y autorizados de forma previa a su
implantación a fin de disminuir los riesgos de integridad del ambiente de producción.
3.
Control y registro de las versiones del software que ingresa a producción.
4.
Actualización de los manuales técnicos y de usuario por cada cambio o
mantenimiento que se realice, los mismos que estarán en constante difusión y
publicación.
5.
Se establecerán ambientes de desarrollo/pruebas y de producción independientes;
se implementarán medidas y mecanismos lógicos y físicos de seguridad
6.
Se elaborará un plan de mantenimiento preventivo y/o correctivo de la
infraestructura tecnológica sustentado en revisiones periódicas y monitoreo en
función de las necesidades organizacionales
7.
Se mantendrá el control de los bienes informáticos a través de un inventario
actualizado con el detalle de las características y responsables a cargo,
conciliado con los registros contables.
8.
El mantenimiento de los bienes que se encuentren en garantía será proporcionado
por el proveedor, sin costo adicional para la entidad.
410-10 Seguridad de
tecnología de información
La
Unidad de Tecnología de Información, establecerá mecanismos que protejan y
salvaguarden contra pérdidas y fugas los medios físicos:
1.
Ubicación adecuada y control de acceso físico a la Unidad de Tecnología de
Información y en especial a las áreas de: servidores, desarrollo y bibliotecas.
2.
Definición de procedimientos de obtención periódica de respaldos en función a
un cronograma definido y aprobado.
3.
En los casos de actualización de tecnologías de soporte se migrará la
información a los medios físicos adecuados y con estándares abiertos para
garantizar la perpetuidad de los datos y su recuperación.
4.
Almacenamiento de respaldos con información crítica y/o sensible en lugares
externos a la organización.
5.
Implementación y administración de seguridades a nivel de software y hardware,
que se realizará con monitoreo de seguridad, pruebas periódicas
6.
Instalaciones físicas adecuadas que incluyan mecanismos, dispositivos y equipo
especializado para monitorear y controlar fuego, mantener ambiente con
temperatura y humedad relativa del aire controlado.
7.
Consideración y disposición de sitios de procesamiento alternativos.
8.
Definición de procedimientos de seguridad a observarse por parte del personal
que trabaja en turnos por la noche o en fin de semana.
410-11 Plan de
contingencias
Corresponde
a la Unidad de Tecnología de Información la definición, aprobación e
implementación de un plan de contingencias que describa las acciones a tomar
Los aspectos a considerar son:
1.
Plan de respuesta a los riesgos que incluirá la definición y asignación de
roles críticos para administrar los riesgos de tecnología de información, la
responsabilidad de la seguridad de la información, la seguridad física y su
cumplimiento.
2.
Definición y ejecución de procedimientos de control de cambios
3.
Plan de continuidad de las operaciones que contemplará la puesta en marcha de
un centro de cómputo alterno propio o de uso compartido en un Data Center
Estatal.
4.
Plan de recuperación de desastres que comprenderá:
-
Actividades previas al desastre (bitácora de operaciones).
-
Actividades durante el desastre (plan de emergencias, entrenamiento).
-
Actividades después del desastre.
5.
Es indispensable designar y nombre de los encargados de ejecutar las funciones
de contingencia en caso de suscitarse una emergencia.
6.
El plan de contingencias será un documento de carácter confidencial este plan
permitirá recuperar la operación de los sistemas en un nivel aceptable, además
de salvaguardar la integridad y seguridad de la información.
7.
El plan de contingencias aprobado, será difundido entre el personal responsable
de su ejecución 410-12 Administración de
soporte de tecnología de información
La
Unidad de Tecnología de Información definirá, aprobará y difundirá
procedimientos de operación que faciliten una adecuada administración del
soporte tecnológico Los aspectos a considerar son:
1.
Revisiones periódicas para determinar si la capacidad y desempeño actual
2.
Seguridad de los sistemas internos, externos y temporales que interactúen con
los sistemas y servicios de tecnología de información de la entidad.
3.
Estandarización de la identificación, autenticación y autorización de los
usuarios.
4.
Revisiones regulares de todas las cuentas de usuarios y los privilegios
asociados.
5.
Medidas de prevención, detección y corrección
6.
Definición y manejo de niveles de servicio y de operación para todos los
procesos críticos de tecnología de información sobre la base de los
requerimientos
7.
Alineación de los servicios claves de tecnología de información con los
requerimientos y las prioridades de la organización sustentados en la revisión,
monitoreo.
8.
Administración de los incidentes reportados, requerimientos de servicio y
solicitudes de información y de cambios que demandan los usuarios, a través de
mecanismos efectivos y oportunos como mesas de ayuda o de servicios, entre
otros.
9.
Mantenimiento de un repositorio de diagramas y configuraciones de hardware y
software actualizado.
10.
Administración adecuada de la información, librerías de software, respaldos y
recuperación de datos.
11.
Incorporación de mecanismos de seguridad aplicables a la recepción,
procesamiento, almacenamiento físico y entrega de información y de mensajes
sensitivos.
410-13 Monitoreo y
evaluación de los procesos y servicios
Es
necesario establecer un marco de trabajo de monitoreo y definir el alcance, la
metodología y el proceso a seguir para monitorear la contribución y el impacto
de tecnología de información en la entidad.
La
Unidad de Tecnología de Información definirá sobre la base de las operaciones
de la entidad, indicadores de desempeño y métricas del proceso para monitorear
la gestión y tomar los correctivos que se requieran.
410-14 Sitio web,
servicios de internet e intranet
Es
responsabilidad de la Unidad de Tecnología de Información elaborar las normas,
procedimientos e instructivos de instalación, configuración y utilización de
los servicios de internet, intranet, correo electrónico y sitio web de la
entidad, a base de las disposiciones legales y normativas y los requerimientos
de los usuarios externos e internos.
410-15 Capacitación
informática
Las
necesidades de capacitación serán identificadas tanto para el personal de
tecnología de información como para los usuarios que utilizan los servicios de
información, las cuales constarán en un plan de capacitación informático,
formulado conjuntamente con la Unidad de Talento Humano.
410-16 Comité
informático
Para
la creación de un comité informático institucional, se considerarán los
siguientes aspectos:
-
El tamaño y complejidad de la entidad y su interrelación con entidades
adscritas.
-
La definición clara de los objetivos que persigue la creación de un Comité de
Informática, como un órgano de decisión, consultivo y de gestión que tiene como
propósito fundamental definir, conducir y evaluar las políticas internas
-
La conformación y funciones del comité, su reglamentación, la creación de
grupos de trabajo.
410-17 Firmas
electrónicas
El
uso de la firma electrónica en la administración pública se sujetará a las garantías,
reconocimiento, efectos y validez señalados en estas disposiciones legales y su
normativa secundaria de aplicación.
Los
aplicativos que incluyan firma electrónica dispondrán de mecanismos y reportes
que faciliten una auditoría de los mensajes de datos firmados electrónicamente.
a) Verificación de
autenticidad de la firma electrónica
Es
responsabilidad de las servidoras y servidores de las entidades o dependencias
del sector público verificar mediante procesos automatizados de validación.
b) Coordinación
interinstitucional de formatos para uso de la firma electrónica
Con
el propósito de que exista uniformidad y compatibilidad en el uso de la firma
electrónica, las entidades del sector público sujetos a este ordenamiento
coordinarán y definirán los formatos y tipos de archivo digitales que serán
aplicables para facilitar su utilización.
c) Conservación de
archivos electrónicos
Los
archivos electrónicos o mensajes de datos firmados electrónicamente se
conservarán en su estado original en medios electrónicos seguros, bajo la
responsabilidad del usuario y de la entidad que los generó
d) Actualización de
datos de los certificados de firmas electrónicas
Las
servidoras y servidores de las entidades, organismos y dependencias del sector
público titulares de un certificado notificarán a la entidad de certificación
de información sobre cualquier cambio, modificación o variación de los datos
que constan en la información proporcionada para la emisión del certificado
e) Seguridad de los
certificados y dispositivos portables seguros
Los
titulares de certificados de firma electrónica y dispositivos portables seguros
serán responsables de su buen uso y protección. Las respectivas claves de
acceso no serán divulgadas ni compartidas en ningún momento.
f) Renovación del
certificado de firma electrónica
El
usuario solicitará la renovación del certificado de firma electrónica con la
debida anticipación,
g) Capacitación en el
uso de las firmas electrónicas
La
entidad de certificación capacitará, advertirá e informará a los solicitantes y
usuarios de los servicios de certificación de información y servicios
relacionados con la firma electrónica, Esta capacitación facilitará la
comprensión y utilización de las firmas electrónicas, en los términos que establecen
las disposiciones legales vigentes.