Ciberseguridad
Todas las acciones que desarrollamos y desplegamos en
materia de ciberseguridad nos permiten garantizar la continuidad del servicio.
En línea con nuestra estrategia corporativa, trabajamos para minimizar los riesgos de ataques cibernéticos que puedan afectar nuestras operaciones y velamos por la seguridad e integridad de todos nuestros activos. Todas las acciones que desarrollamos y desplegamos en materia de ciberseguridad nos permiten garantizar la continuidad del servicio.
Para gestionar este tema, en Celsia disponemos de diversos elementos que conforman nuestro marco de gestión. En este contexto, resaltamos las siguientes prácticas, procesos, instancias y procedimientos:
Ejecutamos nuestra estrategia por medio de un modelo de gestión construido con base en las buenas prácticas del sector:
- Normas ISO 27000, NIST Cyber Security Framework standard, IEC 62443 y NERC CIP.
- Guía de Responsabilidad demostrada para el tratamiento de datos personales, emitida por la Superintendencia de Industria y Comercio.
- Guía de Ciberseguridad emitida por el Consejo Nacional de Operación para el sector eléctrico colombiano con el Acuerdo 1502.
- Modelo de Gobierno para la gestión de ciberseguridad: comité interdisciplinario y coordinado por el líder de Ciberseguridad, que vela por el cumplimiento de las políticas y los lineamientos de seguridad de la información, tratamiento de datos personales y ciberseguridad.
Contamos con un Centro de ciberseguridad y observabilidad de Tecnología (CCOT), un Comité de ciberseguridad y un Comité de riesgos de tecnología.
Realizamos monitoreo 7x24x365 desde el Centro de ciberseguridad y observabilidad de Tecnología (CCOT), a las bases de datos que contienen información personal, a los ciber activos críticos y a la infraestructura TIC.
A través del hacking ético y con el apoyo de herramientas de ciberseguridad realizamos una gestión de vulnerabilidades permanente, que es reportada por el Centro de ciberseguridad y observabilidad de Tecnología (CCOT). Sus resultados, alcance y acciones correctivas asociadas son revisados mensualmente.
Participamos en diferentes espacios interinstitucionales liderados desde Colombia:
- Comité de ciberseguridad del Consejo Nacional de Operación.
- Comité de ciberseguridad de la Comisión de Integración Regional (CIER).
- Equipo de respuesta a incidentes de seguridad informática (CSIRT).
- Foro de respuesta a incidentes y equipos de seguridad (FIRST).
Colombia Inteligente. - Comité de Infraestructura Crítica del Ministerio de las TIC.
- Unidad de Planeación Minero-Energética.
- Comité de riesgos del Grupo Argos.
- Mesas de trabajo de estandarización de ICONTEC para la
- Norma NTC 6079.
Gestionamos el riesgo de un ataque cibernético a través de un programa de gestión de ciberseguridad / seguridad de información que contiene:
- Identificación de activos de información
- Seguridad en profundidad para la protección de activos de información.
- Protección de bases de datos con datos personales.
- Ciberinteligencia para identificar la exposición al riesgo en Internet.
- Orquestación de la respuesta a incidentes para mejorar la oportunidad frente a un ataque cibernético.
- Acompañamiento a los proyectos, aplicando el principio de ciberseguridad por diseño.
- Monitoreo 7x24x365 desde el Centro de ciberseguridad y observabilidad de Tecnología (CCOT).
- Plan de ciberseguridad para los activos críticos tales como subestaciones, plantas eólicas, fotovoltaicas e hidráulicas.
- Inventario automático de ciberactivos críticos, identificación de sus vulnerabilidades, amenazas y nivel de riesgo.
- Control de acceso a Dispositivos Electrónicos Inteligentes (IED).
- Seguridad perimetral para la protección de los ciberactivos críticos.
- Campañas de ingeniería social para identificar la postura de los colaboradores frente al riesgo cibernético.
- Proceso de escalamiento para que los colaboradores reporten los incidentes, vulnerabilidades o actividades sospechosas.
- Plan de gestión de riesgo de la cadena de suministro.
- Plan de respuesta a incidentes para los ciber activos críticos.
- Plan de recuperación de desastres del sistema comercial, Centro de gestión de la medida, Sistema de gestión de distribución avanzada
- Auditorías internas de la gestión de infraestructura de TI y/o sistema de gestión de seguridad de la información.
- Auditoría independiente del sistema de gestión de ciberseguridad para verificar el cumplimiento del acuerdo para la implementación de la guía de ciberseguridad del Consejo Nacional de Operación.
- Tablero de ciberseguridad con los indicadores para divulgar los incidentes con impacto económico o reputacional a la empresa.
Conoce más Política de Ciberseguridad.
Conoce más sobre la Política de Seguridad de la Información.
▸ Gobierno de la ciberseguridad
La Junta directiva y el Comité directivo se involucran activamente en la definición de la estrategia de ciberseguridad, su seguimiento y revisión.
De acuerdo con el Código de buen gobierno, la Junta directiva tiene definido un Comité de auditoría, finanzas y riesgos en el que participan Eduardo Pizano, José Manuel Restrepo y Andrés Escobar, de la Junta directiva; además de otros miembros del Comité directivo y del área de Auditoría.
Las responsabilidades de este comité, que se reúne cada tres meses, o cuando alguna situación lo requiere, es revisar y evaluar la gestión de riesgos, y proponer las mejoras que considere necesarias para la configuración de un perfil de riesgos, de conformidad con los objetivos estratégicos de la organización.
Teniendo en cuenta que la ciberseguridad es uno de los principales riesgos que enfrentamos en Celsia, el comité supervisa la gestión desarrollada por la administración para la implementación de la estrategia formulada por el líder de Ciberseguridad. El encargado de mostrar el programa de ciberseguridad y su respectivo avance al Comité directivo es el líder de Tecnología.
Conoce el Código de Buen Gobierno, haciendo clic aquí.
Para profundizar en la experiencia de los miembros del Comité de auditoría, finanzas y riesgos, conoce sus hojas de vida haciendo clic aquí.
Conoce aquí más detalles de los resultados
de nuestra gestión en Ciberseguridad en 2024.
Haz clic aquí para conocer nuestro ESG Databook con el detalle
de todos los indicadores ASG
