Política de seguridad de la información

1.POLÍTICA GENERAL DE LA SEGURIDAD DE LA INFORMACIÓN

Siesa es una empresa colombiana de software empresarial con más de cuarenta y cinco años en el mercado. Sus soluciones soportan procesos de misión crítica en manufactura, comercio, gestión financiera, punto de venta, nómina, hotelería, salud y documentos electrónicos. La información que nuestros clientes nos confían —tributaria, laboral, clínica y comercial— es el activo de mayor valor que custodiamos. Protegerla no es una obligación regulatoria: es parte del servicio que Siesa entrega.

La Alta Dirección de Siesa establece, dirige y respalda un Sistema de Gestión de Seguridad de la Información certificado bajo ISO/IEC 27001:2022. El Sistema de Gestión es el marco mediante el cual la organización identifica, evalúa y trata los riesgos de seguridad de la información de forma sistemática, auditable y continua. Los recursos necesarios para su operación y su mejora son asignados y supervisados por la Alta Dirección.

Mediante esta política, la Alta Dirección asume dos compromisos explícitos y permanentes: cumplir los requisitos aplicables de seguridad y privacidad de la información, sean legales, reglamentarios, contractuales o normativos; y mejorar continuamente el Sistema de Gestión, su desempeño y su eficacia.

Esta política es el documento rector del Marco Normativo de Seguridad de Siesa. Su cumplimiento es obligatorio para todos los empleados, contratistas y terceros que accedan a información o sistemas de Siesa, sin excepción y sin distinción de jerarquía.

2.Propósito y alcance

2.1 Propósito

Esta política establece el marco de gobierno bajo el cual Siesa gestiona la seguridad y la privacidad de la información en toda la organización. Define los principios rectores, el modelo de seguridad adoptado, los roles y las responsabilidades que rigen el Sistema de Gestión, y sirve como referencia normativa de la que derivan las políticas temáticas, los estándares técnicos y los procedimientos que la desarrollan.

2.2 Qué contiene y qué no contiene esta política

Esta política enuncia qué exige Siesa y por qué. No contiene parámetros técnicos, umbrales, configuraciones, nombres de proveedores, arquitecturas ni pasos operativos.

Ese detalle vive en las políticas temáticas, los estándares técnicos y los procedimientos del Marco Normativo de Seguridad, que son información documentada interna. Su contenido se comparte con clientes, socios y auditores bajo acuerdo de confidencialidad, evaluando cada solicitud según su finalidad y el principio de necesidad de conocer.

En consecuencia, este documento describe la postura de seguridad de Siesa de forma completa y veraz, pero no reproduce la totalidad del Sistema de Gestión. La ausencia de un detalle técnico en esta política no implica la ausencia del control correspondiente.

2.3 Ámbito de aplicación

Como documento rector, esta política aplica a toda Siesa: empleados de planta, contratistas, pasantes, proveedores con acceso a sistemas o información de Siesa, y cualquier tercero que trate datos en nombre de la organización. Aplica igualmente a todos los productos y servicios que Siesa opera, con independencia de si se encuentran dentro del alcance certificado. El desconocimiento de esta política no exime de su cumplimiento.

Tres planos distintos no deben confundirse:

Plano	Qué comprende
Ámbito de aplicación de la política	Toda la organización y todos los productos y servicios de Siesa cumplen esta política. Es el ámbito de este documento.
Alcance del certificado vigente	El servicio descrito en el numeral 2.4. Es lo que está auditado y certificado por un organismo de certificación acreditado.
Productos fuera del alcance certificado	Cumplen esta política y se gestionan como riesgo administrado dentro del Sistema de Gestión, con evaluación de riesgos, controles y planes de tratamiento documentados.

2.4 Alcance del certificado vigente

El alcance formal del certificado SG-2023009853 es:

«Prestación de Servicios Tecnológicos, con alcance en la generación, comprobación, envío y conservación de documentos electrónicos asociados a la Facturación Electrónica.»

Corresponde al servicio mediante el cual Siesa actúa como Proveedor Tecnológico de Facturación Electrónica ante la Dirección de Impuestos y Aduanas Nacionales (DIAN). La certificación bajo ISO/IEC 27001 de los procesos y servicios asociados a la facturación electrónica es un requisito que la DIAN exige para la habilitación como Proveedor Tecnológico, conforme al numeral 5 del artículo 55 de la Resolución 000165 de 2023 y al artículo 1.6.1.4.2.4 del Decreto 1625 de 2016. Siesa mantiene esa certificación vigente mediante el ciclo de auditorías de seguimiento y recertificación del organismo de certificación.

Toda modificación del alcance certificado se realiza sobre este mismo certificado, con su correspondiente evaluación de riesgos, notificación al organismo de certificación y actualización de la Declaración de Aplicabilidad.

2.5 Privacidad de la información

Siesa incorpora la privacidad como un alcance explícito de esta política. La protección de los datos personales que la organización custodia y trata es un componente estructural de su seguridad, y no únicamente una obligación legal.

Los productos, servicios, sistemas y procesos que impliquen tratamiento de datos personales incorporan la protección de la privacidad desde su concepción, y se configuran por defecto para tratar únicamente los datos estrictamente necesarios para la finalidad prevista.

Los datos personales, y en especial los datos sensibles, se clasifican y protegen con los controles de mayor exigencia del Sistema de Gestión: cifrado en tránsito y en reposo, mínimo privilegio, registro de acceso, minimización, y retención y eliminación segura. Los incidentes que involucren datos personales se atienden en coordinación con la Dirección Legal y de Cumplimiento, para satisfacer las obligaciones de notificación aplicables.

3.Principios de seguridad de la información

Siesa gestiona la seguridad de la información bajo los siguientes principios rectores. Constituyen el criterio de evaluación de cada decisión de diseño, cada control y cada excepción del Sistema de Gestión.

Principio	Declaración
Confidencialidad	La información de clientes y de la organización es accesible únicamente para quienes cuentan con autorización documentada. El acceso no autorizado está impedido por medios técnicos y normativos.
Integridad	La información generada, procesada y conservada por Siesa mantiene su exactitud, completitud y trazabilidad. Los documentos electrónicos son íntegros y verificables.
Disponibilidad	Los servicios de Siesa están disponibles cuando los clientes los necesitan, con especial exigencia en los momentos de mayor criticidad operativa.
Mínimo privilegio	Cada identidad, humana o de servicio, dispone de los permisos estrictamente necesarios para su función. Los accesos se revisan periódicamente y se revocan cuando dejan de ser necesarios.
Segregación de funciones	Las responsabilidades críticas están separadas de forma que ninguna persona pueda, por sí sola, comprometer la seguridad de la información.
Seguridad en el desarrollo	Los requisitos de seguridad se integran en el ciclo de vida del software desde sus etapas iniciales. La seguridad es un criterio de aceptación, no una revisión posterior.
Gestión basada en riesgo	Las decisiones de seguridad se fundamentan en la identificación, evaluación y tratamiento sistemático de riesgos. Los controles se priorizan conforme al impacto y la probabilidad determinados.
Transparencia y notificación	Siesa notifica a las partes afectadas y a las autoridades competentes ante incidentes de seguridad, en los plazos establecidos por la regulación aplicable.
Cumplimiento normativo	Siesa cumple la normativa legal y regulatoria aplicable. El cumplimiento es el estándar mínimo: los controles se elevan por encima de él cuando el perfil de riesgo lo exige.
Mejora continua	El Sistema de Gestión se evalúa, se mide y se mejora de forma permanente. Los resultados de auditorías, incidentes y revisiones alimentan un ciclo sostenido de mejora del desempeño.

4.Modelo de seguridad

4.1 Defensa en profundidad y confianza cero

Siesa opera bajo un modelo de defensa en profundidad combinado con los principios de confianza cero: ningún usuario, sistema o red es confiable por omisión. Todo acceso requiere autenticación, autorización explícita y registro. En un modelo de operación en nube y trabajo desde cualquier lugar, el perímetro no es una red física, sino una identidad verificada.

El modelo se estructura sobre las seis funciones del marco de ciberseguridad del NIST:

Función	Cómo se materializa en Siesa
Gobernar	Estrategia de seguridad, marco normativo, reporte periódico a la Alta Dirección, asignación presupuestal y cultura de seguridad en toda la organización.
Identificar	Inventario de activos de información, evaluación periódica de riesgos, clasificación de la información y evaluación de amenazas y riesgos por servicio antes de su puesta en operación o ante cambios significativos.
Proteger	Autenticación multifactor, gestión de identidades bajo mínimo privilegio, segmentación de la infraestructura, cifrado en tránsito y en reposo, y controles de seguridad integrados en el ciclo de desarrollo.
Detectar	Monitoreo continuo con cobertura permanente sobre estaciones de trabajo y cargas de trabajo en nube, evaluación continua de la postura de seguridad de la infraestructura, y evaluación ofensiva periódica de los servicios del alcance.
Responder	Procedimiento de respuesta a incidentes con clasificación por severidad, cadena de escalamiento definida hasta el máximo nivel de la organización, y notificación a autoridades dentro de los plazos legales.
Recuperar	Planes de continuidad y de recuperación con objetivos de tiempo y de punto de recuperación definidos por servicio crítico, y copias de seguridad sujetas a validación periódica mediante pruebas de restauración.

4.2 Capacidades permanentes

Siesa mantiene operativas, de forma permanente y no ocasional, las siguientes capacidades de seguridad sobre los servicios del alcance del Sistema de Gestión:

Detección y respuesta gestionada con cobertura continua sobre estaciones de trabajo y cargas de trabajo en nube.
Evaluación continua de la postura de seguridad de la infraestructura en nube.
Evaluación ofensiva periódica e independiente de los servicios expuestos, ejecutada por terceros especializados.
Autenticación multifactor en las cuentas corporativas y en los accesos privilegiados.
Gestión centralizada de vulnerabilidades, con priorización por criticidad y plazos de remediación definidos.
Monitoreo de exposición de marca e información sensible en fuentes externas.
Gestión de credenciales de servicio con rotación programada.
Verificación independiente del Sistema de Gestión mediante auditoría interna y auditoría de certificación por organismo acreditado.

4.3 Objetivos de seguridad

Siesa establece objetivos de seguridad de la información medibles, coherentes con esta política, que se miden con la frecuencia definida para cada uno y se revisan al menos anualmente por la Alta Dirección. Los objetivos, sus indicadores y sus metas son información documentada interna del Sistema de Gestión

5.Roles y responsabilidades

Modelo operativo: la función de seguridad define qué debe hacerse y verifica que se haga. Los equipos propietarios de los controles los ejecutan y generan la evidencia auditable. El Sistema de Gestión escala con la organización, no contra ella.

Rol	Responsabilidades
Alta Dirección	Aprobar esta política y sus actualizaciones. Garantizar los recursos necesarios para la operación y mejora del Sistema de Gestión. Revisar su desempeño al menos anualmente y orientar su dirección estratégica. Aceptar formalmente los riesgos residuales que correspondan a su nivel.
Gerente de Ciberseguridad y Protección de la Información	Dirigir el desarrollo, la implementación y el mantenimiento del Sistema de Gestión y del Marco Normativo. Gestionar el programa de evaluación y tratamiento de riesgos. Coordinar la respuesta a incidentes y las comunicaciones con autoridades regulatorias. Reportar periódicamente a la Alta Dirección. Actuar como punto de contacto ante el organismo de certificación.
Función de Seguridad de la Información	Desarrollar y mantener los documentos del Marco Normativo. Supervisar los controles de seguridad activos. Ejecutar el programa de gestión de vulnerabilidades y el seguimiento de las remediaciones. Preparar y acompañar las auditorías internas y externas.
Equipos propietarios de controles	Operaciones, Arquitectura, Producto y Desarrollo, Talento Humano, Legal y Compras ejecutan los controles de su dominio y generan la evidencia que sustenta el Sistema de Gestión.
Todas las personas vinculadas a Siesa	Conocer y cumplir esta política y los procedimientos aplicables a su función. Reportar incidentes, sospechas y anomalías por los canales oficiales. Completar la formación en seguridad asignada a su rol. Utilizar exclusivamente herramientas y sistemas autorizados para tratar información corporativa o de clientes.

6.Obligaciones y conductas prohibidas

Las siguientes conductas están prohibidas para toda persona vinculada a Siesa, sin excepción y con independencia de su rol:

Compartir credenciales de acceso, personales o de servicio, con personas o sistemas no autorizados.
Almacenar secretos, contraseñas, tokens o llaves criptográficas en código fuente, repositorios, mensajería, correo o documentos no protegidos.
Almacenar información de clientes en herramientas, dispositivos o servicios no autorizados.
Realizar cambios en sistemas productivos sin seguir el proceso de gestión de cambios establecido.
Silenciar o suprimir alertas de seguridad sin documentar la causa y escalar a la función de seguridad.
Acceder a sistemas o datos sin autorización formal, con independencia de la motivación.
Instalar software o servicios no autorizados en equipos o infraestructura de Siesa.
Transferir información de clientes fuera de los canales y sistemas aprobados.

El incumplimiento de esta política activa el proceso disciplinario de Siesa, graduado según la gravedad de la conducta, y puede derivar en la terminación del vínculo con justa causa y en las acciones legales que correspondan conforme a la legislación colombiana, incluida la responsabilidad penal por delitos informáticos.

7.Marco legal y regulatorio

El cumplimiento normativo es el estándar mínimo de Siesa. Los controles se elevan por encima de ese estándar cuando el perfil de riesgo lo requiere. La normativa de facturación electrónica se identifica conforme al normograma oficial de la DIAN.

7.1 Facturación electrónica y Proveedor Tecnológico

Norma	Materia
Estatuto Tributario, artículo 616-1	Sistema de facturación: factura de venta, documentos equivalentes y demás documentos electrónicos que determine la DIAN.
Decreto 1625 de 2016 — Único Reglamentario en Materia Tributaria	Reglamentación del sistema de facturación. Su artículo 1.6.1.4.2.4 establece los requisitos para la habilitación como Proveedor Tecnológico.
Resolución DIAN 000165 de 2023 y sus modificaciones	Desarrollo del sistema de facturación electrónica y de las obligaciones del Proveedor Tecnológico. El numeral 5 de su artículo 55 exige acreditar certificación ISO/IEC 27001 sobre los procesos y servicios relacionados con la facturación electrónica.
Resolución DIAN 005743 de 2025	Actualización del anexo técnico de los documentos electrónicos y ampliación de los sujetos obligados a expedir factura electrónica.
Resolución DIAN 000227 de 2025	Resolución Única en Materia Tributaria, Aduanera y Cambiaria, que compila la reglamentación vigente de la DIAN, incluido el régimen de facturación electrónica.

7.2 Seguridad de la información, datos personales y documentos electrónicos

Norma	Materia
ISO/IEC 27001:2022	Requisitos del Sistema de Gestión de Seguridad de la Información y controles del Anexo A.
ISO/IEC 27002:2022	Guía de implementación de los controles de seguridad de la información.
Ley 1581 de 2012 y Decreto 1377 de 2013	Protección de datos personales y responsabilidades del responsable y del encargado del tratamiento.
Ley 527 de 1999	Validez jurídica de los mensajes de datos, los documentos electrónicos y la firma digital.
Ley 1273 de 2009	Protección de la información y de los datos, y responsabilidad penal por delitos informáticos.

La identificación, actualización y verificación de estos requisitos se gestiona mediante un normograma interno con revisión periódica conjunta de las funciones de Seguridad de la Información y Legal.

8.Arquitectura del Marco Normativo de Seguridad

El Marco Normativo de Seguridad de Siesa se organiza en cuatro niveles. La distinción no responde a la importancia de cada documento, sino a la pregunta que responde, lo cual determina quién lo aprueba y con qué frecuencia cambia.

Nivel	Tipo	Pregunta que responde	Aprueba	Responsable
1	Política	Qué exige Siesa en materia de seguridad y por qué, en general o en un dominio determinado. Fija principios, obligación y alcance; no contiene parámetros técnicos ni pasos.	Alta Dirección de Siesa	Gerente de Ciberseguridad y Protección de la Información
2	Estándar técnico	Cuál es el nivel técnico aceptable en un dominio o vertical. Se expresa en umbrales y parámetros medibles.	Gerente de Ciberseguridad y Protección de la Información	Dirección de Seguridad de la Información, como dirección del proceso
3	Procedimiento	Cómo se ejecuta un proceso y quién responde por él. Genera evidencia auditable.	Gerente de Ciberseguridad y Protección de la Información	Un responsable del equipo de Seguridad de la Información, con el líder del proceso o del área que lo usa
4	Runbook	Cómo se ejecuta paso a paso una tarea técnica sobre un sistema concreto. Es apoyo operativo y no forma parte del cuerpo normativo auditable.	Líder del proceso	Líder del proceso

Todo documento del Marco permanece vigente desde su aprobación y hasta que se reemplace. Se revisa en intervalos planificados, dentro de la revisión por la dirección, y ante un cambio significativo.

Regla de no duplicación. Cada hecho normativo vive en exactamente un documento del Marco, y los demás lo referencian en lugar de reproducirlo. Cuando un mismo parámetro se escribe en varios documentos, éstos se desincronizan con el tiempo sin que nadie lo decida, y la contradicción resultante no corresponde a ninguna falla de control real.

8.1 Marcos de referencia

Siesa opera con un enfoque de equivalencias: un solo conjunto de controles internos, mapeado a varios marcos, de modo que una misma evidencia satisface a la vez los requisitos de cada uno sin generar cuerpos documentales paralelos.

Marco	Rol en el Sistema de Gestión
ISO/IEC 27001:2022	Marco principal certificable: cláusulas 4 a 10 y Anexo A.
ISO/IEC 27002:2022	Guía de implementación de los controles y fuente de la nomenclatura de las políticas temáticas.
ITSG-33 (Gobierno de Canadá)	Referente de la arquitectura documental por niveles: política marco más políticas temáticas por dominio.
NIST CSF 2.0 y SP 800-53	Estructura del modelo de seguridad operativo (sección IV) y referencia técnica de controles.
CIS Controls v8	Capa táctica: controles priorizados y líneas base de aseguramiento.
ISAE 3402	Aseguramiento de controles para los reportes a clientes.

8.2 Políticas temáticas

De esta política marco derivan las políticas temáticas por dominio, cada una con su dueño funcional. Desarrollan las obligaciones aquí enunciadas y, junto con los estándares técnicos y los procedimientos que de ellas dependen, cubren la totalidad de los controles del Anexo A de ISO/IEC 27001:2022 aplicables al Sistema de Gestión.

Dominio	Alcance de la política temática
Operaciones de ciberseguridad	Seguridad de aplicaciones, de nube, de red y de identidades; operación de seguridad, gestión de vulnerabilidades, registro y monitoreo, y criptografía.
Control de acceso e identidades	Ciclo de vida de las identidades, autenticación, autorización, accesos privilegiados y recertificación de accesos.
Gestión de activos de información	Inventario, propiedad, clasificación, etiquetado, uso aceptable, transferencia y disposición segura de la información y de los activos que la soportan.
Gestión de riesgos	Metodología de identificación, valoración, tratamiento y aceptación del riesgo de seguridad de la información, y la escala única de valoración del Sistema de Gestión.
Continuidad del negocio	Continuidad, recuperación ante desastres, respaldo y redundancia de los servicios críticos.
Desarrollo y adquisición seguros	Seguridad en el ciclo de vida del software, requisitos de seguridad en aplicaciones, pruebas, separación de entornos y gestión de cambios.
Seguridad en personas y proveedores	Seguridad a lo largo del vínculo laboral, formación y concientización, y gestión del riesgo de terceros, incluida su evaluación previa a la contratación y durante la relación.
Seguridad física y del entorno	Protección de las instalaciones, de las áreas seguras y de los equipos, y controles heredados de los proveedores de infraestructura.

Las políticas temáticas, los estándares técnicos y los procedimientos son información documentada interna de Siesa. Se comparten con clientes, socios y auditores bajo acuerdo de confidencialidad, evaluando cada solicitud según su finalidad y el principio de necesidad de conocer.

9.Renovación del Sistema de Gestión

Durante 2026 Siesa ejecutó una renovación integral de su Sistema de Gestión de Seguridad de la Información. No fue una actualización documental: fue un rediseño del sistema completo, planificado y ejecutado como un cambio controlado conforme a la cláusula 6.3 de ISO/IEC 27001:2022, que exige que los cambios al Sistema de Gestión se realicen de manera planificada y no improvisada.

9.1 Por qué se hizo

La transición de ISO/IEC 27001 de su versión de 2013 a la de 2022 no consistió en una renumeración de controles. La norma reorganizó el Anexo A, introdujo controles nuevos y cambió el modo en que se demuestra la eficacia de un sistema de gestión. Siesa concluyó que un marco construido sobre la versión anterior no podía adaptarse mediante ajustes parciales: requería volver a derivarlo desde los requisitos de la norma vigente.

A esa conclusión se sumó un criterio propio. Un sistema de gestión que se actualiza únicamente en las semanas previas a una auditoría genera carga operativa, tensión organizacional y evidencia de calidad desigual. La renovación se orientó, por tanto, no sólo a cumplir la norma, sino a que el sistema pueda sostenerse por sí mismo en la operación diaria.

9.2 Qué cambió

Dimensión	Cómo opera hoy
Marco normativo	Estructura de cuatro niveles con una regla explícita de no duplicación: cada hecho normativo vive en un solo documento y los demás lo referencian. La jerarquía es de mandato, de modo que un documento de nivel inferior no puede contradecir al que está por encima.
Repositorio documental	Repositorio único y controlado, con versionado nativo, historial completo de cambios, control de aprobación y permisos por documento. Sustituye la gestión distribuida en herramientas ofimáticas.
Metodología de riesgos	Escala única de valoración, definida en un solo documento y aplicada sin excepciones en todo el Sistema de Gestión. La reducción del riesgo inherente al residual es trazable a controles que existen y operan: cuando un control no existe, el riesgo residual no disminuye, y así queda registrado.
Trazabilidad	Cadena explícita y verificable desde el activo de información hasta la amenaza, el riesgo, el control que lo trata y la evidencia que lo sustenta.
Declaración de Aplicabilidad	Deja de ser un listado de controles y pasa a ser el puente auditable entre el alcance, la evaluación de riesgos, las políticas y la evidencia. Cada control declara su aplicabilidad, su justificación, su estado, su propietario, los riesgos que trata y la cláusula con la que se relaciona.
Gobierno	Comité de Seguridad de la Información con periodicidad y quórum reglados, libro de actas continuo, y revisión por la Alta Dirección con entradas y salidas definidas.
Verificación independiente	Auditoría interna ejecutada por un tercero independiente, con registro formal de hallazgos y un ciclo de cierre en el que una acción se considera implementada sólo cuando se ejecuta, y la no conformidad se cierra únicamente cuando un auditor verifica con evidencia que la causa fue eliminada.

9.3 Qué significa para clientes y partes interesadas

La renovación no altera el alcance del certificado ni las obligaciones que Siesa tiene frente a sus clientes: las refuerza. El Sistema de Gestión que sustenta hoy el servicio certificado es un sistema reconstruido sobre la versión vigente de la norma, con trazabilidad verificable entre riesgo, control y evidencia, y sometido a verificación independiente. Los hallazgos derivados de esa verificación se gestionan como parte del ciclo de mejora continua, no como excepciones a él.

10.Vigencia, revisión y contro

Campo	Valor
Frecuencia de revisión	En intervalos planificados, dentro de la revisión por la dirección, y ante un cambio significativo: modificación del alcance, cambio normativo relevante o no conformidad mayor derivada de una auditoría. La política permanece vigente hasta que se reemplace.
Quién propone cambios	La función de Seguridad de la Información o el responsable de cualquier política temática.
Quién aprueba	La Alta Dirección de Siesa.
Control de cambios	Conforme a la cláusula 6.3 de ISO/IEC 27001:2022.
Comunicación	Aprobada la política, se comunica por dos vías: a la organización, por los canales internos oficiales y como parte del programa de concientización; y a las partes interesadas externas, mediante su publicación sin restricción de confidencialidad. La evidencia de ambas comunicaciones se conserva como información documentada del Sistema de Gestión (cláusulas 5.2 y 7.4, control A.5.1).
Disponibilidad	Documento público, sin restricción de distribución.

11.Historial de versiones

Versión	Fecha	Descripción
v1.0 a v1.2	2026	Ediciones internas del ciclo 2026: primera edición bajo el Marco Normativo de Seguridad, incorporación de la privacidad como alcance explícito, y adopción de la taxonomía de tipos de documento y de la regla de no duplicación. Se conservan en el historial de versiones del repositorio documental.
v2.0	Sep 23, 2026	Reclasificación a documento público sin acuerdo de confidencialidad. El contenido operativo —objetivos con metas, escala de valoración de riesgo, criterios de evaluación de proveedores y fundamentación de diseño del Marco— se reubica en las políticas temáticas y en los registros del Sistema de Gestión que le corresponden, conforme a la regla de no duplicación. Se incorpora la sección IX sobre la renovación del Sistema de Gestión y su gestión como cambio controlado bajo la cláusula 6.3. Se alinea el marco legal con el normograma de la DIAN y se explicita el requisito de certificación del Proveedor Tecnológico. Se corrigen las referencias cruzadas de la arquitectura del Marco Normativo.

12.Aprobación de la Alta Dirección

Esta política entra en vigencia con la aprobación de la Alta Dirección registrada en la tabla siguiente. En ese momento pasa a estado VIGENTE y quedan activas las obligaciones que contiene para toda la organización. La aprobación es evidencia de las cláusulas 5.1 y 5.2 y de los controles A.5.1 y A.5.4 de ISO/IEC 27001:2022.

Esta política entra en vigencia con la aprobación de la Alta Dirección registrada en la tabla siguiente. En ese momento pasa a estado VIGENTE y quedan activas las obligaciones que contiene para toda la organización. La aprobación es evidencia de las cláusulas 5.1 y 5.2 y de los controles A.5.1 y A.5.4 de ISO/IEC 27001:2022.

Rol	Nombre	Área	Aprobación	Fecha	Constancia
Chief Executive Officer · Presidente	Vicente Pava	Dirección Ejecutiva	APROBADO	Sep 24, 2026	Aprobación – POL-SPI.eml
Chief Revenue Officer	Juan David Meneses	Revenue	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Chief Financial Officer	Harold Puentes	Financiero	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Chief Technology Officer	@Diego Gamboa	Tecnología y Producto	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Chief Human Resources Officer	Sandra Casas	Talento Humano	PENDIENTE
Director de Tecnología Corporativa	@Andres Felipe Lopez Arbelaez	Tecnología Corporativa	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Director Legal y de Cumplimiento	Pedro Puente	Legal	APROBADO	Sep 24, 2026	Aprobación – POL-SPI.eml
Director de Soporte y Operaciones	Cristian Argotti	Operaciones	APROBADO	Sep 23, 2026	Aprobación – POL-SPI .eml
Directora de Consultoría	Janeth González	Consultoría	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Director de Transformación	Saad Nassar	Transformación	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Director de Mercadeo	Juan Pablo Mancera	Mercadeo	APROBADO	Sep 23, 2026	Aprobación – POL-SPI.eml
Gerente de Ciberseguridad y Protección de la Información	@Brayan Briñez	Seguridad de la Información	APROBADO	Sep 23, 2026

Cada aprobación se registra con su fecha y su medio de constancia (correo electrónico, firma electrónica o acta de sesión), y el soporte se adjunta a esta página.

Talento Humano. La aprobación corresponde a quien responde por el área a la fecha de la solicitud. La Chief Human Resources Officer entrante toma conocimiento formal de la política vigente a su ingreso, y ese acuse se registra en esta sección. Su acuse no condiciona la vigencia de la política.

13.Canal de contacto

Siesa dispone de un canal institucional para reportar incidentes de seguridad, sospechas de suplantación o phishing, vulnerabilidades identificadas en sus servicios y cualquier anomalía relacionada con la seguridad o la privacidad de la información: [email protected]

El canal está disponible para clientes, socios, investigadores de seguridad y cualquier tercero. Los reportes recibidos se atienden conforme al procedimiento de respuesta a incidentes de Siesa.

14.Glosario

Término	Definición
Sistema de Gestión de Seguridad de la Información	Conjunto de políticas, procesos, controles y recursos mediante el cual una organización gestiona de forma sistemática la seguridad de su información. El de Siesa está certificado bajo ISO/IEC 27001:2022.
Marco Normativo de Seguridad	Cuerpo documental de cuatro niveles que operacionaliza el Sistema de Gestión de Siesa: políticas (la política marco y las políticas temáticas), estándares técnicos, procedimientos y runbooks.
Declaración de Aplicabilidad	Documento que registra, para cada control del Anexo A de ISO/IEC 27001:2022, su aplicabilidad al alcance del Sistema de Gestión, la justificación de su inclusión o exclusión, su estado de implementación y la evidencia que lo sustenta.
Proveedor Tecnológico	Figura regulada por la DIAN bajo la cual Siesa presta el servicio certificado de facturación electrónica. Su habilitación exige, entre otros requisitos, certificación ISO/IEC 27001 de los procesos y servicios asociados.
Riesgo residual	Nivel de riesgo que permanece después de aplicar los controles existentes y compensatorios.
Confianza cero	Modelo de seguridad en el que ningún usuario, dispositivo o red se considera confiable por omisión, y todo acceso requiere autenticación, autorización explícita y registro.
Privacidad desde el diseño	Principio por el cual la protección de los datos personales se incorpora en el diseño de sistemas y procesos desde su concepción, y no como un añadido posterior.
Mínimo privilegio	Principio por el cual cada identidad accede únicamente a lo estrictamente necesario para cumplir su función.
No conformidad	Hallazgo que evidencia el incumplimiento de un requisito del Sistema de Gestión y que activa un ciclo formal de corrección, análisis de causa, acción correctiva y verificación de eficacia.

POL-SPI v2.0 · Política de Seguridad y Privacidad de la Información · Siesa

ISO/IEC 27001:2022 · Documento público · Certificado SG-2023009853