Política de Gestión de Activos de Software
1. Propósito
Establecer requisitos para mantener un inventario integral de todos los activos de software y garantizar que solo el software autorizado y con soporte esté instalado en los activos empresariales de [ORGANIZATION].
2. Alcance
Esta política se aplica a todo el software instalado en o utilizado por activos gestionados por [ORGANIZATION], incluyendo sistemas operativos, aplicaciones, extensiones de navegador, servicios en la nube, aplicaciones SaaS y scripts.
3. Política
3.1 Requisitos del Inventario de Software
[ORGANIZACION] deberá mantener un inventario detallado de todo el software licenciado y autorizado, actualizado con una frecuencia no menor a [PERSONALIZAR: semestral/trimestral].
El inventario de software deberá registrar, como mínimo: título del software, editor, versión, fecha de instalación, propósito empresarial, tipo y cantidad de licencias, mecanismo de implementación y propietario designado.
Se deberán implementar herramientas automatizadas de inventario de software para descubrir y documentar el software instalado en todos los activos empresariales donde sea técnicamente factible.
El inventario de software deberá incluir tanto las aplicaciones instaladas localmente como los servicios autorizados en la nube/SaaS.
3.2 Autorización de Software
Solo el software que haya sido revisado y autorizado por [PERSONALIZAR: Departamento de TI/Comité Asesor de Cambios] podrá instalarse en activos gestionados por [ORGANIZACION].
[ORGANIZACION] deberá mantener una lista de permitidos de software autorizado. El software que no esté en la lista de permitidos se considerará no autorizado a menos que exista una excepción documentada.
Se deberá implementar tecnología de lista de permitidos de aplicaciones en todos los activos [PERSONALIZAR: críticos/de alto riesgo] para prevenir la ejecución de software no autorizado.
Para entornos IG2/IG3: La lista de permitidos de aplicaciones automatizada deberá configurarse para bloquear bibliotecas de software, scripts e instaladores no autorizados, además de archivos ejecutables.
3.3 Soporte y Vigencia del Software
Solo el software actualmente con soporte (que reciba actualizaciones de seguridad del proveedor) estará autorizado para su uso en activos empresariales.
El software sin soporte que sea necesario para las operaciones empresariales requerirá una excepción documentada aprobada por [PERSONALIZAR: CISO/Director de TI] que incluya: justificación empresarial, controles compensatorios, aceptación de riesgo y fecha de revisión que no exceda [PERSONALIZAR: 6 meses/1 año].
El estado de soporte del software deberá revisarse al menos mensualmente para identificar software en fin de vida o fin de soporte.
Se deberá desarrollar un plan de migración al menos [PERSONALIZAR: 6/12] meses antes de que cualquier software crítico alcance el fin de soporte.
3.4 Respuesta ante Software No Autorizado
El software no autorizado descubierto en activos empresariales deberá eliminarse o recibir una excepción documentada dentro de [PERSONALIZAR: 5/10/30] días hábiles de su descubrimiento.
Las instalaciones repetidas de software no autorizado por el mismo usuario deberán escalarse a [PERSONALIZAR: gerencia/Recursos Humanos] para revisión disciplinaria.
Se deberán realizar revisiones mensuales para identificar software no autorizado en activos empresariales.
4. Cumplimiento
El cumplimiento de esta política es obligatorio para todo el personal dentro de su alcance. El cumplimiento será monitoreado a traves de auditorías periódicas, controles automatizados y revisión de la gerencia.
Las excepciones a esta política deben documentarse con una justificación de negocio, ser aprobadas por [PERSONALIZAR: CISO/Equipo de Seguridad], y revisarse al menos anualmente.
5. Aplicacion
Las violaciones a esta política pueden resultar en acciones disciplinarias que incluyen hasta la terminación del empleo o contrato, y pueden resultar en sanciones civiles o penales cuando se haya violado la ley aplicable.
[ORGANIZACION] se reserva el derecho de auditar el cumplimiento de esta política en cualquier momento, con o sin previo aviso.
6. Revisión y Actualización
Esta política será revisada al menos anualmente por [PERSONALIZAR: CISO/Propietario de la Política] y actualizada según sea necesario para reflejar cambios en el panorama de amenazas, requisitos regulatorios o estructura organizaciónal.
Todas las revisiónes serán documentadas con número de version, fecha, autor y descripción de los cambios.
Aprobación de la Política
Aprobado Por
Cargo
Fecha
Control de Documentos