Artículo 2.5.1.2.4

Requisitos de Seguridad de la Información. Las cámaras de comercio que operen y/o administren los sitios de internet para los servicios de venta o martillos electrónicos de bienes, deberán: - Disponer de procedimientos para la identificación, análisis, evaluación y tratamiento de los riesgos de seguridad de la información que puedan afectar la confidencialidad, integridad, disponibilidad y privacidad de la información y/o la plataforma tecnológica de los sitios de internet para el servicio de venta o martillo electrónico de bienes, listado de riesgos de seguridad de la información identificados y evidencias de los controles implementados. Para lo anterior puede tomarse como referencia la Norma Técnica Colombiana NTC-ISO 31000 u otras metodologías de gestión de riesgos. - Definir, documentar e implementar políticas de seguridad relativas a la administración y protección de la información de los sitios de internet para el servicio de venta o martillo electrónico de bienes, que permitan mantener la confidencialidad, integridad, disponibilidad y privacidad de la información de los usuarios y aquella relacionada con las subastas realizadas. - Los sitios de internet para el servicio de venta o martillo electrónico de bienes deben contar con un sistema de autenticación, recuperación de credenciales de acceso y protección contra ataques de fuerza bruta, de conformidad con el principio de acceso de que trata el artículo 2.2.2.4.2.61. del Decreto Único Reglamentario 1074 de 2015. - Los sitios de internet para el servicio de venta o martillo electrónico de bienes deben contar con controles que permitan garantizar la seguridad de la sesión del usuario, durante todo el proceso de venta mediante subastas o remates electrónicos. - La plataforma tecnológica de los sitios de internet para el servicio de venta o martillo electrónico de bienes debe estar sincronizada con la Hora Legal Colombiana (INM). - Implementar controles de seguridad para proteger los sitios de internet para el servicio de venta o martillo electrónico de bienes de ataques cibernéticos, incluyendo, pero no limitando a ataques de denegación de servicio, ataques de sitios cruzados, inyección de código malicioso y accesos no autorizados. 132/141 INSTRUCCIONES A LAS CÁMARAS DE COMERCIO - Garantizar que el código fuente y/o código binario de los sitios de internet para el servicio de venta o martillo electrónico de bienes sea desarrollado aplicando una metodología de desarrollo seguro, que incluya, entre otros, identificar requisitos de seguridad de la información, revisión de código, análisis de vectores de ataque y gestión de vulnerabilidades. - Contar con hardware, software y equipos de telecomunicaciones y seguridad perimetral que permitan mantener la confidencialidad, integridad, disponibilidad y privacidad de la información de los sitios de internet para el servicio de venta o martillo electrónico de bienes. - Gestionar la seguridad de la información de los sitios de internet para el servicio de venta o martillo electrónico de bienes, para lo cual pueden tomar como referencia la serie de normas ISO 27000 o las que las sustituyan, así como la ciberseguridad para lo cual se pueden tomar como referencia el estándar ISO 27032, NIST con sus publicaciones SP800 y SP1800, ISF (Information Security Forum), CIS Critical Security Controls (CSC) o Cobit 5 for Information Security, y sus respectivas actualizaciones. - Los sitios de internet para el servicio de sitios de internet para la venta o martillo electrónico de bienes deben implementar mecanismos de seguridad robustos que le permitan tener certeza al usuario que está accediendo al sitio de internet, aplicación o medio legítimo. El intercambio de información entre el usuario y el servicio de venta o martillo electrónico se realiza de forma cifrada. - Proteger las contraseñas de acceso a los sistemas que soportan los sitios de internet para el servicio de venta o martillo electrónico de bienes. En desarrollo de este requisito las contraseñas se deben mantener cifradas en la base de datos y evitar el uso de claves compartidas, genéricas o para grupos. La identificación y autenticación en los dispositivos y sistemas de cómputo que intervienen en el servicio deben ser únicas y personalizadas. - Implementar mecanismos informativos, sobre las medidas de seguridad que deben tener en cuenta los usuarios de los sitios de internet para el servicio de venta o martillo electrónico de bienes, tanto para subastar o rematar los bienes señalados en la ley, como para la realización de las ofertas por parte de los postores. - Celebrar acuerdos de seguridad y privacidad de la información con los empleados, contratistas, proveedores y terceros que interactúen con la información y la plataforma tecnológica que soporta la operación de los sitios de internet para el servicio de venta o martillo electrónico de bienes. - La plataforma tecnológica de los sitios de internet para el servicio de venta o martillo electrónico de bienes debe garantizar la disponibilidad y calidad del servicio a los usuarios concurrentes en todo momento, salvo los períodos que requiera para su mantenimiento, los cuales deberán ser anunciados en la página web. - Realizar una adecuada segregación de roles y funciones del personal que administre y opere la plataforma tecnológica de los sitios de internet para el servicio de venta o 133/141 INSTRUCCIONES A LAS CÁMARAS DE COMERCIO martillo electrónico de bienes y todos sus componentes asociados, documentando los perfiles de cada puesto de trabajo.