7-3: Seguridad de la información

Resumen de la política

El propósito de esta política es proporcionar un conjunto de pautas para la protección de la información de Santa Fe Community College (SFCC o College) mientras se mantiene la accesibilidad. En última instancia, el Colegio se compromete a proteger la información sensible y confidencial de los estudiantes. La intención del Colegio es minimizar el riesgo de incidentes y reducir el impacto a un nivel manejable a través de una combinación de tecnología, estándares, cumplimiento y conciencia.

Alcance y aplicabilidad

Esta política se aplica a los estudiantes, empleados, contratistas y entidades de terceros que utilizan los sistemas y la tecnología, las instalaciones, las redes de comunicación y los datos de la universidad. La gerencia en todos los niveles es responsable de garantizar que todos los empleados conozcan y cumplan la política y los principios y los requisitos mínimos que define. Esta política se incorporará a los contratos y acuerdos con agencias o entidades externas que se relacionen con cualquier parte de los sistemas de información y tecnología del Colegio.

Declaración de la política

SFCC está comprometida con la protección de la información confidencial de identificación personal y otra información que reside en sus sistemas, protegida por las leyes federales y estatales. La exposición de información confidencial a personas no autorizadas podría causar un daño irreparable al Colegio y/oa la comunidad del campus que podría someter al Colegio a multas u otras sanciones. El Colegio implementará medidas para prevenir, promover el conocimiento y mitigar los riesgos relacionados con el acceso y uso de la información.

Definiciones

1. Información del directorio La información que generalmente no se considera dañina o una invasión de la privacidad si se divulga, también se puede divulgar a organizaciones externas sin el consentimiento previo por escrito del estudiante o de los padres. Lo que el Colegio considera Información de directorio se publica anualmente en el Catálogo de SFCC.
2. Usuario final Cualquier entidad, incluidos, entre otros, el personal, la facultad, los estudiantes, los socios de SFCC, los consultores y los proveedores, que interactúan con los recursos y servicios tecnológicos proporcionados por Santa Fe Community College. Véase también Póster o Usuario. Véase también Usuario.
3. Sistemas De Información El conjunto colectivo de aplicaciones, programas y módulos utilizados por el Colegio para almacenar y procesar datos e información en formato electrónico generalmente almacenados en una base de datos, ya sea agregada o separada.
4. Oficina de Tecnologías de la Información (OIT) La oficina responsable de implementar, mantener y desarrollar sistemas de información y tecnología en el Colegio.
5. Oficina de Planificación y Eficacia Institucional (OPIE) La oficina responsable de reportar los datos estadísticos descriptivos e inferenciales oficiales del Colegio.
6. Información de identificación personal (PII) se refiere a un conjunto de información distinta que se puede usar para distinguir o rastrear a un individuo, excluyendo información según lo permitido por la Ley de Privacidad y Derechos Educativos de la Familia (FERPA). Incluye, entre otros, información como números de seguro social, números de identificación fiscal, información de salud, fecha de nacimiento, números de licencia de conducir, números de cuentas bancarias, información de seguro médico, apellido de soltera, números A de SFCC o cualquier dato de estudiante agregado que sea menos de 10 individuos.
7. Recursos tecnológicos Todas las instalaciones, servicios, hardware, software, almacenamiento de datos, cuentas informáticas, redes y ancho de banda de tecnología universitaria; y todo el contenido y los datos que componen la tecnología universitaria.

Proceso de políticas

1. Objetivos
   1. Evitar la divulgación no autorizada o el acceso a la información almacenada o procesada en los sistemas de SFCC.
   2. Evitar la destrucción deliberada accidental o no autorizada, la alteración o la supresión de información necesaria para las operaciones.
2. Custodia de Datos e Información. Los departamentos y divisiones funcionales son los custodios de sus respectivas áreas y son responsables de mantener datos precisos y determinar el nivel de acceso adecuado que se otorga a cada empleado en función de la descripción de su trabajo.
   1. El Director de Información y la Oficina de Tecnología de la Información serán los custodios generales de todos los registros electrónicos almacenados en servidores y/o bases de datos empresariales.
   2. La Oficina de Recursos Humanos es el custodio de todos los registros y documentos relacionados con los empleados.
   3. La Oficina de Servicios Financieros es el custodio de todos los registros y documentos financieros del Colegio, las cuentas financieras de los estudiantes y los registros y documentos de nómina de empleados.
   4. La Oficina del Vicepresidente de Asuntos Académicos y Estudiantiles es el custodio de toda la información de los estudiantes, incluidos los documentos de ayuda financiera.
3. Clasificación de la información. Cada información, registro, documento y/o archivo, tanto en formato electrónico como impreso de propiedad y/o bajo el cuidado del Colegio, se clasificará como confidencial, sensible o público.
4. Acceso a la información. El acceso a información confidencial y de identificación personal se realiza según sea necesario.
   1. El acceso de un empleado a la información se rige por sus deberes, responsabilidades y asignación de trabajo.
   2. El acceso a la información de cualquier estudiante se rige por la Ley de Privacidad y Derechos Educativos de la Familia (FERPA) y requiere la aprobación del Vicepresidente de Asuntos Académicos y Estudiantiles.
   3. El acceso a la información de cualquier empleado se rige por las leyes estatales y federales aplicables y requiere la aprobación de la Oficina de Recursos Humanos.
   4. El acceso a cualquier información financiera del Colegio requiere la aprobación del Vicepresidente de Finanzas/Director Financiero.
   5. En caso de que el Colegio desee compartir información de identificación personal con una entidad que no sea SFCC, se debe preparar un Memorando de Entendimiento sobre el propósito, el alcance y las pautas para compartir y usar los datos. El MOU debe ser aprobado por la Oficina de Planificación y Efectividad Institucional antes de divulgar cualquier información de identificación personal.
5. Transmisión y uso compartido de documentos y archivos. El Colegio transmitirá documentos y archivos electrónicos de manera segura utilizando programas y procedimientos de transferencia de archivos seguros. Bajo ninguna circunstancia se enviará un correo electrónico que emane de una cuenta de SFCC a una cuenta de correo electrónico de un tercero (correo electrónico que no sea de SFCC) transmitirá información de identificación personal a menos que ya exista un MOU firmado y aprobado y la transmisión de información de identificación personal por correo electrónico a menos que ha sido aprobado por la Oficina de Tecnología de la Información. El remitente siempre debe trabajar con la Oficina de Tecnología de la Información para determinar una forma alternativa de enviar mensajes electrónicos o datos de manera segura.
6. Informe de estadísticas oficiales sobre el colegio. La Oficina de Planificación y Eficacia Institucional será la responsable de reportar la información estadística descriptiva e inferencial oficial del Colegio. Cualquier información reportada interna y externamente debe cumplir con las leyes y regulaciones estatales y federales correspondientes que protegen la información de identificación personal.
7. Exposición de información de identificación personal. El Colegio desarrollará y mantendrá un procedimiento para manejar y gestionar la exposición de información de identificación personal siguiendo las leyes estatales y federales aplicables.
8. Almacenamiento y eliminación de información.Se debe tener cuidado en la transmisión, almacenamiento y disposición de la información. Cada usuario final debe consultar con su gerente, la política de retención de registros de la universidad y la política de retención de registros del estado para identificar datos personales y financieros confidenciales.
9. Violaciones de la Política de Seguridad de la Información. Las violaciones de seguridad son eventos o acciones que violan esta política. Los tipos de actividades que pueden considerarse violaciones de seguridad incluyen, pero no se limitan a, las siguientes en base a las políticas y procedimientos existentes sobre la conducta de los estudiantes de acuerdo con la Política 2-1 del SFCC, Código de Conducta del Estudiante o la conducta de los empleados de acuerdo con la Política 4 del SFCC -1 Ética Laboral y Código de Conducta, según corresponda.

Declaración de Rendición de Cuentas y Responsabilidad

El Presidente, a través del Director de Información y la Oficina de Tecnología de la Información, será responsable de hacer cumplir los procedimientos y políticas de seguridad de la información. La Oficina de Tecnología de la Información trabajará con los diferentes departamentos y oficinas para cumplir con esta política y desarrollar procedimientos que a hacer cumplir esta política con respecto a la concientización, prevención y remediación.

Autoridad

La Ley de Privacidad y Derechos Educativos de la Familia (FERPA) (20 USC § 1232g; 34 CFR Parte 99)

Ley de Inspección de Registros Públicos de Nuevo México, NMSA 1978, (Capítulo 14, Artículo 2)

SFCC Política 2-1 Código de Conducta Estudiantil

SFCC Política 4-1 Ética en el lugar de trabajo y código de conducta

Aprobado por la Junta de Gobierno de SFCC: 3/31/15

Revisado y aprobado por la Junta de Gobierno: 6/22/16