POLÍTICA DE SEGURIDAD DE INFORMACIÓN Y CIBERSEGURIDAD
La política de Seguridad de la información y ciberseguridad establece los lineamientos, directrices, roles y responsabilidades en el Banco AV Villas con el fin de preservar la confidencialidad, integridad, disponibilidad y privacidad de la información propia y de sus clientes; así como para la gestión adecuada de riesgos asociados a través de un conjunto de acciones, procesos, estructura, herramientas y recursos que garanticen las capacidades para prevenir, detectar, responder y recuperar los datos y habilitar la operación normal del negocio ante ataques y amenazas cibernéticas, asegurando el cumplimiento de lineamientos corporativos, legales y normatividad aplicable.

Alcance:
Aplica a todos los colaboradores, funcionarios temporales, aprendices, contratistas y proveedores que en el ejercicio de sus funciones accedan o provean servicios tecnológicos y usen o tengan acceso a la información del banco.
Política General:
La Alta Dirección del Banco AV Villas reconoce la relevancia que es para el negocio la gestión adecuada de amenazas latentes que pueden llegar a afectar la información y entendiendo que esta es un activo invaluable que actúa como fuente y soporte para el desarrollo de las operaciones y procesos de negocio, establece como una prioridad la gestión de la Seguridad de la Información, Ciberseguridad y riesgos asociados a través de un conjunto de acciones, procedimientos, recursos, estructura y modelo de gestión que fortalecen las capacidades para prevenir, detectar, responder, recuperar y mantener la continuidad de las operaciones del negocio ante ataques y amenazas cibernéticas; así como para preservar los principios de Confidencialidad, Integridad, Disponibilidad y Privacidad de la información propia, de sus clientes y demás aliados sobre la cual tenga su responsabilidad de protección.
Roles y Responsabilidades:
El Banco ha definido las siguientes funciones y responsabilidades para la gestión de los Riesgos de Seguridad de la Información y ciberseguridad.
- Junta Directiva.
- Alta Gerencia.
- Comité de Riesgos de Seguridad de la información.
- Comité de Auditoría.
- Líder de seguridad informática.
- Líder de seguridad de la información y de seguridad de la información
- Colaboradores
- Clientes
- Terceros
Principios de la Política de Seguridad y Ciberseguridad
- La estrategia de seguridad y ciberseguridad incluye el control y la vigilancia tanto de las capacidades y componentes del banco, como de sus terceros y aliados estratégicos.
- La gestión de la seguridad y ciberseguridad se alinea con el modelo corporativo e integral de gestión de riesgos y con el marco de estrategia, gobierno y gestión de seguridad y ciberseguridad, control interno y demás normativas aplicables.
- El Banco, como parte de las infraestructuras críticas del país, se alinea y se integra con las estrategias e iniciativas de Seguridad y ciberdefensa Nacional.
- El cumplimiento regulatorio aplicable es parte de la estrategia en Seguridad y Ciberseguridad en el Banco AV Villas.
- El recurso humano es un factor fundamental dentro de la estrategia de ciberseguridad, por lo que se debe garantizar su capacitación, cultura y sensibilización en seguridad y ciberseguridad.
Aspectos claves de la política de seguridad de la información y ciberseguridad
La Entidad ha definido los siguientes procesos como críticos para la operación de la estrategia del sistema de seguridad de la información de la estrategia de seguridad y ciberseguridad, ya que estos proporcionan las entradas críticas para la gestión de los diferentes procesos que compone el marco de estrategia, gobierno y gestión de seguridad y ciberseguridad.
- Clasificación y valoración de Activos de información: Asegurar que la Información del Banco se identifique, clasifique, proteja, administre y valore de manera adecuada y unificada durante el ciclo de vida de la misma.
- Gestión de Incidentes de Seguridad y Ciberseguridad:Detectar y analizar alertas tempranas, eventos e incidentes de seguridad y ciberseguridad; contener la materialización de amenazas asociadas con las alertas tempranas, eventos e incidentes y desarrollar las acciones de recuperación correspondientes.
- Pruebas de intrusión: Las pruebas de intrusión se deben realizar a los equipos, dispositivos y medios de comunicación usados en la realización de operaciones monetarias del Banco, de manera periódica. De igual manera, después de cualquier actualización o modificación significativa en las aplicaciones o en la infraestructura tecnológica que pueda afectar la seguridad de los datos utilizados en el negocio o los datos amparados por las regulaciones que el Banco está sujeto a cumplir.
- Escaneo de Vulnerabilidades: Los escaneos de vulnerabilidades se deben realizar, de forma periódica, en todos los activos de las plataformas tecnológicas conectados a la red del Banco. De igual manera, cuando a estas plataformas, se le realicen actualizaciones o modificaciones significativas.
- Monitoreo y Control de Fuga de Información: Procedimientos que realiza el Equipo de Operaciones de Seguridad de la Información y Ciberseguridad (EOSIC) para prevenir la fuga de información confidencial y/o confidencial restringida del Banco. En este se realiza el monitoreo de alertas presentadas en las plataformas de prevención de fuga, clasificando e identificando los posibles intentos de fuga de información, realizando evaluación del nivel de criticidad del posible evento y solicitando explicación de lo sucedido para el manejo debido del evento
- Auditoria: Se debe llevar a cabo auditoria internas y externas que permita evaluar el nivel de madurez y capacidades de los sistemas y procesos de seguridad de la información.
Divulgación:
El Banco ha determinado los mecanismos de divulgación y masificación:
- Cursos interactivos de seguridad y ciberseguridad - Inducción y refuerzo anual.
- Publicación en la Intranet y portal público
- Piezas de información a través de correo electrónico.
Marco Legal:
La presente política está alineada con la CBJ 006 del 2025, circulares externas (CE) específicas de la SFC e instrucciones corporativas del grupo AVAL.