ARTÍCULO 41: Se prohíbe el movimiento sin autorización de los equipos, la información o el software y en caso
de que se autorice será realizado mediante un documento oficial que demuestre su legalidad y el movimiento
deberá registrarse a la salida y a la entrada al reintegrarse el medio a su origen. Se deberán realizar
inspecciones sorpresivas para detectar las extracciones no autorizadas.
Sección Cuarta
Seguridad de Operaciones
ARTÍCULO 42: Al determinar las responsabilidades que se asignan al personal se tendrá en cuenta el principio
de separación de funciones, considerando aquellas tareas que no deben ser realizadas por una misma persona,
a fin de reducir oportunidades de modificación no autorizada o mal uso de los sistemas informáticos.
ARTÍCULO 43: La introducción en una entidad de nuevos sistemas informáticos, actualizaciones y nuevas
versiones será aprobada previamente a partir de su correspondencia con el sistema de seguridad establecido y
los resultados de las pruebas que se realicen para determinar si cumple los criterios de seguridad apropiados.
ARTÍCULO 44: Las acciones para cubrir las brechas de seguridad y la corrección de los errores del sistema
deberán estar minuciosamente controladas en cada entidad. Los procedimientos deberán asegurar que:
a)
b)
c)
solo el personal claramente identificado y autorizado tenga acceso a sistemas en funcionamiento y a
los datos;
todas las acciones de emergencia tomadas sean documentadas detalladamente;
la acción de emergencia sea reportada a la dirección y realizada de manera ordenada;
Sección Quinta
Identificación, autenticación y control de accesos
ARTÍCULO 45: En los sistemas en que es posible el acceso por múltiples usuarios se dispondrá para cada uno
de ellos de un identificador de usuario personal y único. Las personas a las que se asignen identificadores de
usuarios responden por las acciones que con ellos se realicen.
ARTÍCULO 46: La asignación de nuevos identificadores de usuarios en los sistemas se realizará a partir de un
procedimiento que incluya la notificación del jefe inmediato del usuario. En caso de terminación de la necesidad
del uso de los sistemas por el cese de la relación laboral u otras causas, se procederá de forma análoga para la
eliminación del identificador de usuario.
ARTÍCULO 47: Para la utilización de contraseñas como método de autenticación de usuarios, se cumplirán los
siguientes requisitos:
a) Serán privadas e intransferibles.
b) Su estructura, fortaleza y frecuencia de cambio estarán en correspondencia con el riesgo estimado
para el acceso que protegen.
c) Combinarán en todos los casos letras y números sin un significado evidente, con una longitud
mínima de 6 caracteres.
d) No pueden ser visualizadas en pantalla mientras se teclean.
e) No pueden ser almacenadas en texto claro (sin cifrar) en ningún tipo de tecnologías de información.
ARTÍCULO 48: En cada entidad se definirán de manera estricta los derechos y privilegios de acceso a sistemas
y datos que tiene cada usuario y se implementará un procedimiento escrito en cada caso para otorgar o
suspender dichos accesos.
Sección Sexta
Seguridad ante programas malignos
6