1. Declaración de la política
El propósito de esta política es proporcionar un marco de seguridad que garantice la protección de la información de la Universidad contra el acceso no autorizado, la pérdida o el daño, al tiempo que apoya las necesidades de intercambio de información abierta de nuestra cultura académica. La información de la Universidad puede ser verbal, digital y/o impresa, controlada individualmente o compartida, autónoma o en red, utilizada para la administración, la investigación, la enseñanza u otros fines. Las normas y procedimientos relacionados con esta Política de Seguridad de la Información se desarrollarán y publicarán por separado.
El incumplimiento de esta política puede ser objeto de medidas disciplinarias y de las posibles sanciones descritas en el apartado 1.1.7 de Derechos, Normas, Responsabilidades.
2. A quién afecta esta política
La política de seguridad de la información se aplica a todo el profesorado y el personal de la Universidad, así como a los estudiantes que actúan en nombre de la Universidad de Princeton a través del servicio en los órganos de la Universidad, tales como grupos de trabajo, consejos y comités (por ejemplo, el Comité de Disciplina Facultad-Estudiante). Esta política también se aplica a todas las demás personas y entidades a las que se les concede el uso de la Información de la Universidad, incluyendo, pero sin limitarse a, contratistas, empleados temporales y voluntarios.
3. Definiciones
Autorización – la función de establecer los niveles de privilegio de un individuo para acceder y/o manejar la información.
Disponibilidad – asegurar que la información está lista y es adecuada para su uso.
Confidencialidad – asegurar que la información se mantiene en estricta privacidad.
Integridad – asegurar la exactitud, integridad y consistencia de la información.
Acceso no autorizado – buscar, revisar, copiar, modificar, borrar, analizar o manipular información sin la debida autorización y sin una necesidad empresarial legítima.
Información de la Universidad – información que la Universidad de Princeton recopila, posee o a la que tiene acceso, independientemente de su fuente. Esto incluye información contenida en documentos impresos u otros medios, comunicada a través de redes de voz o datos, o intercambiada en una conversación.
4. Política
La Universidad de Princeton asegura adecuadamente su información contra el acceso no autorizado, la pérdida o el daño, al tiempo que apoya las necesidades de intercambio de información abierta de nuestra cultura académica.
A. Niveles de clasificación
Toda la información de la Universidad se clasifica en uno de los cuatro niveles en función de su sensibilidad y de los riesgos asociados a su divulgación. El nivel de clasificación determina las protecciones de seguridad que deben utilizarse para la información.
Cuando se combina información, el nivel de clasificación de la información resultante debe reevaluarse independientemente de la clasificación de la información de origen para gestionar los riesgos.
Los requisitos adicionales para la protección de la información en cada nivel de clasificación se identifican en las Normas y Procedimientos de Protección de la Información de Princeton.
Los niveles de clasificación son:
1. Restringido
La siguiente Información de la Universidad está clasificada como Restringida:
- Número de la seguridad social
- Número de cuenta bancaria
- Número de licencia de conducir
- Número de tarjeta de identidad estatal
- Número de tarjeta de crédito
- Información de salud protegida (según la definición de HIPAA)
Las leyes estatales y federales requieren que el acceso no autorizado a cierta información Restringida debe ser reportado a la agencia o agencias apropiadas. Todos los informes de esta naturaleza a partes externas deben ser realizados por o en consulta con la Oficina del Asesor General (véase: Oficina del Asesor General/Privacidad/Tecnología de la Información).
Compartir información Restringida dentro de la Universidad puede ser permisible si es necesario para satisfacer las necesidades comerciales legítimas de la Universidad. Salvo que la ley exija lo contrario (o con el fin de compartirla entre las entidades encargadas de hacer cumplir la ley), no se podrá revelar ninguna información Restringida a partes ajenas a la Universidad, incluidos los contratistas, sin que el receptor propuesto acepte previamente por escrito (i) tomar las medidas adecuadas para salvaguardar la confidencialidad de la información Restringida; (ii) no revelar la información restringida a ninguna otra parte para ningún propósito sin el consentimiento previo por escrito de la Universidad o una orden judicial o citación válida; y (iii) notificar a la Universidad con antelación cualquier revelación en virtud de una orden judicial o citación, a menos que la orden o citación prohíba explícitamente dicha notificación. Además, el destinatario propuesto deberá cumplir los requisitos de esta política. Cualquier intercambio de información Restringida dentro de la Universidad debe cumplir con las políticas de la Universidad, incluyendo los Derechos, Reglas y Responsabilidades y la Política de Uso Aceptable de la Tecnología de la Información y los Recursos Digitales de la Universidad de Princeton.
2. Confidencial
La Información de la Universidad se clasifica como Confidencial si cae fuera de la clasificación Restringida, pero no está destinada a ser compartida libremente dentro o fuera de la Universidad debido a su naturaleza sensible y / o obligaciones contractuales o legales. Ejemplos de Información Confidencial incluyen toda la información no Restringida contenida en los archivos de personal, los registros de investigación de mala conducta y de aplicación de la ley, los datos financieros internos, los registros de donantes y los registros de educación (según la definición de FERPA).
Compartir información confidencial puede estar permitido si es necesario para satisfacer las necesidades comerciales legítimas de la Universidad. A menos que la divulgación sea requerida por la ley (o con el propósito de compartirla entre entidades de aplicación de la ley), cuando se divulgue información Confidencial a partes ajenas a la Universidad, el receptor propuesto debe acordar (i) tomar las medidas apropiadas para salvaguardar la confidencialidad de la información: (ii) no divulgar la información a ninguna otra parte para ningún propósito sin el consentimiento previo por escrito de la Universidad o una orden judicial o citación válida; y (iii) notificar a la Universidad con antelación cualquier divulgación en virtud de una orden judicial o citación a menos que la orden o citación prohíba explícitamente dicha notificación. Además, el destinatario propuesto debe cumplir con los requisitos de esta política. Cualquier intercambio de información Confidencial dentro de la Universidad debe cumplir con las políticas de la Universidad, incluyendo los Derechos, Reglas y Responsabilidades y la Política de Uso Aceptable de la Tecnología de la Información y los Recursos Digitales de la Universidad de Princeton.
3. Sin restricciones dentro de Princeton (UWP)
La Información de la Universidad se clasifica como Sin restricciones dentro de Princeton (UWP) si cae fuera de las clasificaciones Restringida y Confidencial, pero no está destinada a ser compartida libremente fuera de la Universidad. Un ejemplo es el Facebook de la Facultad.
La presunción es que la información UWP permanecerá dentro de la Universidad de Princeton. Sin embargo, esta información puede ser compartida fuera de Princeton si es necesario para satisfacer las necesidades comerciales legítimas de la Universidad, y el destinatario propuesto se compromete a no volver a divulgar la información sin el consentimiento de la Universidad.
4. Disponible públicamente
La información de la Universidad se clasifica como disponible públicamente si está destinada a estar disponible para cualquier persona dentro y fuera de la Universidad de Princeton.
B. Protección, manejo y clasificación de la información
- En función de su clasificación, la Información de la Universidad debe protegerse adecuadamente contra el acceso no autorizado, la pérdida y el daño. Los requisitos de seguridad específicos para cada clasificación pueden encontrarse en las Normas y Procedimientos de Protección de la Información de Princeton.
- El manejo de la Información de la Universidad procedente de cualquier otra fuente que no sea la Universidad de Princeton puede requerir el cumplimiento tanto de esta política como de los requisitos de la persona o entidad que creó, proporcionó o controla la información. Si tiene dudas sobre su capacidad de cumplimiento, consulte al ejecutivo superior correspondiente y a la Oficina del Asesor General.
- Cuando se considere apropiado, se puede aumentar el nivel de clasificación o imponer requisitos de seguridad adicionales más allá de lo que exige la Política de Seguridad de la Información y las Normas y Procedimientos de Protección de la Información de Princeton.
- Si recibe Información No Clasificada Controlada (CUI) o la crea, póngase en contacto con la Oficina de Seguridad de la Información (ISO) para asegurarse de que se aplican los controles de seguridad adecuados a los datos. Si no está seguro de si se trata de CUI, póngase en contacto con la Oficina de Administración de Proyectos de Investigación o con la ISO.
- 5. Responsabilidades
Todo el profesorado de la Universidad de Princeton, el personal, los estudiantes (cuando actúan en nombre de la Universidad a través del servicio en los órganos de la Universidad) y otras personas a las que se les ha concedido el uso de la Información de la Universidad deben:
- Comprender los niveles de clasificación de la información definidos en la Política de Seguridad de la Información.
- Según corresponda, clasificar la información de la que se es responsable en consecuencia.
- Acceder a la información sólo cuando sea necesario para satisfacer necesidades empresariales legítimas.
- No divulgar, copiar, liberar, vender, prestar, alterar o destruir cualquier Información de la Universidad sin un propósito empresarial válido y/o autorización.
- Proteger la confidencialidad, la integridad y la disponibilidad de la Información de la Universidad de forma coherente con el nivel y el tipo de clasificación de la información.
- Manejar la información de acuerdo con las Normas y Procedimientos de Protección de la Información de Princeton y cualquier otra norma o política aplicable de la Universidad .
- Conservar cualquier llave física, tarjeta de identificación, cuenta de ordenador o cuenta de red que permita acceder a la información de la Universidad.
- Descartar los soportes que contengan información de la Universidad de Princeton de forma coherente con el nivel de clasificación de la información, el tipo y cualquier requisito de retención aplicable de la Universidad. Esto incluye la información contenida en cualquier documento impreso (como un memorándum o informe) o en cualquier medio de almacenamiento electrónico, magnético u óptico (como un lápiz de memoria, CD, disco duro, cinta magnética o disco).
- Contacte con la Oficina del Consejero General antes de revelar información generada por dicha Oficina o antes de responder a cualquier litigio o citación de aplicación de la ley, órdenes judiciales y otras solicitudes de información de litigantes privados y agencias gubernamentales.
- Contacte con la oficina apropiada de la Universidad antes de responder a solicitudes de información de agencias reguladoras, inspectores, examinadores y/o auditores.
6. Políticas, procedimientos, normas y plantillas relacionadas de Princeton
Derechos, normas, Responsabilidades
Política de uso aceptable de la tecnología de la información y los recursos digitales de la Universidad de Princeton
Política de procesamiento de tarjetas de crédito para los locales comerciales de la Universidad
Política de control de exportaciones
Seguridad de los datos de investigación. Guidelines
Política de Prevención de Robo de Identidad
Procedimiento de Respuesta a una Posible Exposición de Datos Sensibles de la Universidad
Normas y Procedimientos de Protección de Información de Princeton
Plantilla de Acuerdo de Información de Confidencialidad
7. Revisión de la Política
Como mínimo, la Política de Seguridad de la Información se revisará cada 12 meses.
8. Registro de actualización
21 de mayo de 2004 – Política emitida.
5 de noviembre de 2015 – Aprobada por el ECC.
31 de agosto de 2017 – Actualizada.
6 de enero de 2020 – Añadido lenguaje CUI.
7 de febrero de 2020 – Añadida la sección B.4. sobre la información no clasificada controlada.