Texto oficial
Artículo 37.- El Nivel Avanzado de seguridad para el documento electrónico exige el cumplimiento de las exigencias y condiciones reguladas en el Título IV para el Nivel Básico de seguridad, y las previstas en la Norma NCh2777, que se entiende parte integrante del presente decreto, con los ajustes que se establecen en este artículo.
a) Política de Seguridad:
Se aplicarán las disposiciones contenidas en el capítulo 3 de la norma NCh2777, con la siguiente adecuación:
- Las instituciones deberán tener las políticas de
seguridad descritas en la sección 3.1 para los
repositorios de documentos electrónicos. En
particular, estas políticas deberán contener lo
siguiente:
i. Indicaciones respecto de los sistemas
informáticos, con énfasis en el
procedimiento de autorización de instalación
o modificación de software y archivos de
configuración de los sistemas;
ii. Indicaciones de uso de la red;
iii. Procedimientos de respuesta a incidentes de
seguridad;
iv. Procedimientos de delegación de autoridad
para ejecutar acciones de emergencia en los
sistemas y los procedimientos
correspondientes.
b) Seguridad organizacional:
Se aplicará la sección 4.1 del capítulo 4 de la norma NCh2777, con excepción de sus puntos 4.1.5 y 4.1.7 que se adoptarán como recomendaciones, y las secciones 4.2 y 4.3 de dicho capítulo.
c) Clasificación y control de bienes:
Se aplicará la sección 5.1 del capítulo 5 de la norma NCh2777, en lo referido a bienes relacionados con el Documento Electrónico. Asimismo, se aplicará el punto 5.2.1 de la sección 5.2.
El punto 5.1.2 de dicha sección se aplicará con las siguientes adecuaciones:
- Los procedimientos de etiquetado y manipulación
de la información se entienden referidos al
Documento Electrónico.
- Se excluyen las normas contenidas en las letras
(c) y (d).
d) Seguridad del personal:
Se aplicarán las secciones 6.1 y 6.3 del capítulo 6 de la norma NCh2777. La sección 6.2 se adoptará como recomendación.
e) Seguridad física y del ambiente:
Se aplicarán las secciones 7.1 y 7.2 del capítulo 7 de la norma NCh2777, para repositorios de documentos electrónicos, con las siguientes adecuaciones:
- Para la sección 7.1:
i. Los controles físicos de entrada en el
perímetro de seguridad deberán utilizar el
carné de identidad como identificación
válida en el caso de los chilenos, y el
pasaporte en el caso de los extranjeros.
ii. Todo ingreso de visitas al perímetro de
seguridad deberá ser autorizado por escrito,
quedando constancia del propósito y duración
de ella. Los visitantes serán acompañados en
todo momento por alguna persona autorizada
de la organización hasta que abandonen el
recinto.
- Para la sección 7.2:
Se deberá velar para que los equipos computacionales en los que se almacenen documentos electrónicos y sistemas informáticos que los procesen, tengan un adecuado suministro de energía eléctrica, incluyendo no sólo el flujo de energía suministrado, sino también la ''tierra eléctrica'' de las instalaciones.
La sección 7.3 se adoptará como recomendación.
f) Gestión de las operaciones y comunicaciones:
Se aplicarán las normas del capítulo 8 de la norma NCh2777, en su integridad.
g) Control de acceso:
Se aplicarán las normas del capítulo 9 de la norma NCh2777, con excepción de sus secciones 9.5, 9.6, 9.7 y 9.8 que se adoptarán como recomendaciones, y con los siguientes ajustes:
- Los registros de privilegios asignados, a los
que hace referencia la sección 9.2.2, deberán
tener un carácter histórico, es decir, no sólo
se deben registrar los privilegios en
aplicación. El período de conservación de estos
registros será al menos el que las leyes
vigentes indiquen para los documentos
electrónicos a los que se pudo tener acceso con
dichos privilegios.
- Las estipulaciones de la sección 9.4 deberán
formalizarse en una política de uso
correspondiente, de acuerdo a lo expresado en la
sección ''Política de Seguridad''.
h) Desarrollo y mantenimiento de sistemas:
Se aplicarán únicamente las normas de la sección 10.3 del capítulo 10 de la norma NCh2777, con la siguiente adecuación:
- En las secciones referidas a firma electrónica,
se adoptará lo establecido por la ley 19.799,
sobre documentos electrónicos, firma electrónica
y los servicios de certificación para dicha
firma.
i) Gestión de la continuidad del negocio: Se aplicarán las estipulaciones del capítulo 11 de la norma NCh2777, en su integridad.