POLÍTICA DE SEGURIDAD
1.- APROBACIÓN Y ENTRADA EN VIGOR
Esta Política de Seguridad de la Información es efectiva desde la fecha de firma y hasta que sea reemplazada por una nueva Política.
2.- MISIÓN DE LA ORGANIZACIÓN
SGMAS SOFTWARE, S.L, siendo consciente de la importancia de los sistemas TIC (Tecnologías de
Información y
Comunicaciones) para alcanzar sus objetivos y asumiendo su compromiso con la seguridad de la
información, somete a
la adecuada de los mismos, con el fin de ofrecer a todos sus grupos de interés las mayores
garantías en torno a la
seguridad de la información utilizada.
Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para
protegerlos frente a daños
accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad
de la información
tratada o los servicios prestados.
El objetivo de la seguridad de la información es garantizar la calidad de la información y la
prestación continuada
de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con
presteza a los
incidentes.
Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para
incidir en la
confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los
servicios. Para
defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las
condiciones del entorno
para garantizar la prestación continua de los servicios. Esto implica que los departamentos
deben aplicar las
medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un
seguimiento
continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades
reportadas, y preparar
una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios
prestados.
Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de
cada etapa del ciclo
de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las
decisiones de desarrollo o
adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de
financiación deben
ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de
licitación para
proyectos de TIC.
Los departamentos deben estar preparados para prevenir, detectar, reaccionar y recuperarse de
incidentes, de acuerdo
con el Artículo 7 del ENS (Artículo 7. Prevención, reacción y recuperación. Real Decreto 3/2010,
de 8 de enero, por
el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
Actualizado el
04/11/2015).
3. ALCANCE
Esta política se aplica a todos los sistemas TIC de la entidad y a todos los miembros de la organización, implicados en Servicios y Proyectos destinados al sector público, que requieran la aplicación de ENS, sin excepciones.
4. OBJETIVOS
Por todo lo anteriormente expuesto, la Dirección establece los siguientes objetivos de seguridad
de la
información:
Proporcionar un marco para aumentar la capacidad de resistencia o resiliencia para dar una
respuesta eficaz.
Asegurar la recuperación rápida y eficiente de los servicios, frente a cualquier desastre físico
o contingencia que
pudiera ocurrir y que pusiera en riesgo la continuidad de las operaciones.
Prevenir incidentes de seguridad de la información en la medida que sea técnica y económicamente
viable, así como
mitigar los riesgos de seguridad de la información generados por nuestras actividades.
Garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la
información.
5.- MARCO NORMATIVO
Uno de los objetivos debe ser el de cumplir con requisitos legales aplicables y con cualesquiera
otros requisitos
que suscribimos además de los compromisos adquiridos con los clientes, así como la actualización
continua de los
mismos. Para ello, el marco legal y regulatorio en el que desarrollamos nuestras actividades es:
6.- DESARROLLO
Para poder lograr estos objetivos es necesario:
Nuestro sistema de gestión tiene la siguiente estructura:
La gestión de nuestro sistema se encomienda al Responsable de Sistemas Informáticos y el sistema estará disponible en nuestro sistema de información en un repositorio, al cual se puede acceder según los perfiles de acceso concedidos según nuestro procedimiento en vigor de gestión de los accesos.
7.ORGANIZACIÓN DE SEGURIDAD
La responsabilidad esencial recae sobre la Dirección General de la organización, ya que esta es responsable de organizar las funciones y responsabilidades y de facilitar los recursos adecuados para conseguir los objetivos del ENS. Los directivos son también responsables de dar buen ejemplo siguiendo las normas de seguridad establecidas.
Estos principios son asumidos por la Dirección, quien dispone los medios necesarios y dota a sus empleados de los recursos suficientes para su cumplimiento, plasmándose y poniéndolos en público conocimiento a través de la presente Política Integrada de Sistemas de Gestión.
Los roles o funciones de seguridad definidos son:
Implantación, gestión y mantenimiento de las medidas de seguridad.
Esta definición de deberes y responsabilidades se completa en los perfiles de puesto y en los
documentos del sistema
Registro de responsables, roles y responsabilidades.
RESOLUCIÓN DE CONFLICTOS
Las diferencias de criterios que pudiesen derivar en un conflicto se tratarán en el seno del
Comité del SIG y
prevalecerá en todo caso el criterio de la Dirección General.
8. COMITÉ DE SEGURIDAD
El procedimiento para su designación y renovación será la ratificación en el comité de
seguridad.
El comité para la gestión y coordinación de la seguridad es el órgano con mayor responsabilidad
dentro del sistema
de gestión de seguridad de la información, de forma que todas las decisiones más importantes
relacionadas con la
seguridad se acuerdan por este comité.
Los miembros del comité de seguridad de la información son:
Estos miembros son designados por el comité, único órgano que puede nombrarlos, renovarlos y
cesarlos.
El comité de seguridad es un órgano autónomo, ejecutivo y con autonomía para la toma de
decisiones y que no tiene
que subordinar su actividad a ningún otro elemento de nuestra empresa.
La organización de la Seguridad de la información se desarrolla en el documento complementario a
esta Política de
Organización de la Seguridad.
Está política se complementa con el resto de Políticas, procedimientos y documentos en vigor
para desarrollar
nuestro sistema de gestión.
9. GESTIÓN DE RIESGOS
Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se revisa regularmente:
Para la armonización de los análisis de riesgos, el Comité de Seguridad TIC establecerá una
valoración de referencia
para los diferentes tipos de información manejados y los diferentes servicios prestados. El
Comité de Seguridad TIC
dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los
diferentes sistemas,
promoviendo inversiones de carácter horizontal.
Para la realización del análisis de riesgos se tendrá en cuenta la metodología de análisis de
riesgos desarrollada
en el procedimiento Análisis de Riesgos.
10. GESTIÓN DE PERSONAL
Todos los miembros de Nuestra Organización tienen la obligación de conocer y cumplir esta
Política de Seguridad de
la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad TIC
disponer los medios
necesarios para que la información llegue a los afectados.
Todos los miembros de Nuestra Organización atenderán a una sesión de concienciación en materia
de seguridad TIC al
menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos
los miembros de la
Nuestra Organización, en particular a los de nueva incorporación.
Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán
formación para el
manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La
formación será
obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata
de un cambio de
puesto de trabajo o de responsabilidades en el mismo.
11. PROFESIONALIDAD Y SEGURIDAD DE LOS RECURSOS HUMANOS
Esta Política se aplica a todo el personal de Nuestra Organización y el personal externo que
realiza tareas dentro
de la empresa.
RRHH incluirá funciones de seguridad de la información en las descripciones de los trabajos de
los empleados,
informará a todo el personal que contrate sus obligaciones con respecto al cumplimiento de la
Política de Seguridad
de la Información, gestionará los Compromisos de Confidencialidad con el personal y coordinará
las tareas de
capacitación de los usuarios con respecto a esta Política.
El Responsable de Gestión de la Seguridad (RGS) [CISO], es responsable de monitorear, documentar
y analizar los
incidentes de seguridad reportados, así como de comunicarse al Comité de Seguridad de la
Información y a los
propietarios de información.
El Comité de Seguridad de la Información será responsable de implementar los medios y canales
necesarios para que el
Responsable de Gestión de la Seguridad (RGS) [CISO] maneje informes de incidentes y anomalías
del sistema. El Comité
también estará al tanto, supervisará la investigación, supervisará la evolución de la
información y promoverá la
resolución de incidentes de seguridad de la información.
El Responsable de Gestión de la Seguridad (RGS) [CISO] participará en la preparación del
Compromiso de
Confidencialidad que firmará los empleados y terceros que desempeñen funciones en Nuestra
Organización , en el
asesoramiento sobre las sanciones que se aplicarán por incumplimiento de esta Política y en el
tratamiento de
incidentes de seguridad de la información.
Todo el personal de Nuestra Organización es responsable de informar sobre las debilidades e
incidentes de seguridad
de la información que se detectan oportunamente.
Profesionalidad de los recursos humanos:
Los objetivos de controlar la seguridad del personal son:
12. AUTORIZACIÓN Y CONTROL DE ACCESO A LOS SISTEMAS DE INFORMACIÓN
El control del acceso a los sistemas de información tiene por objetivo:
13. PROTECCIÓN DE LAS INSTALACIONES
Los objetivos de esta política en materia de protección de las instalaciones son:
14. ADQUISICIÓN DE PRODUCTOS
Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de
cada etapa del ciclo
de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las
decisiones de desarrollo o
adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de
financiación deben
ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de
licitación para
proyectos de TIC.
Por otro lado, se tendrá en cuenta la seguridad de la información en la adquisición y
mantenimiento de los sistemas
de información, limitando y gestionando el cambio.
La política de desarrollo y adquisición de sistemas de información se desarrolla en el
documento: Política
Adquisición, Desarrollo y Mantenimiento de Sistemas.
15. SEGURIDAD POR DEFECTO
Nuestra Organización considera estratégico para la entidad que los procesos integren la seguridad de la información como parte de su ciclo de vida. Los sistemas de información y los servicios deben incluir la seguridad por defecto desde su creación hasta su retirada, incluyéndose la seguridad en las decisiones de desarrollo y/o adquisición y en todas las actividades en explotación estableciéndose la seguridad como un proceso integral y transversal.
16. INTEGRIDAD Y ACTUALIZACIÓN DEL SISTEMA
Nuestra Organización se compromete a garantizar la integridad del sistema mediante un proceso de
gestión de cambios
que permita el control de la actualización de los elementos físicos o lógicos mediante la
autorización previa a su
instalación en el sistema. Dicha evaluación será llevada a cabo principalmente por la dirección
de sistemas que
evaluará el impacto en la seguridad del sistema antes de realizar los cambios y controlará de
forma documentada
aquellos cambios que se evalúen como importantes o con implicaciones en la seguridad de los
sistemas.
Mediante revisiones periódicas de seguridad se evaluará el estado de seguridad de los sistemas,
en relación con las
especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les
afecten, reaccionando
con diligencia para gestionar el riesgo a la vista del estado de seguridad de estos.
17. PROTECCIÓN DE LA INFORMACIÓN ALMACENADA Y EN TRÁNSITO
Nuestra Organización establece medidas de protección para la Seguridad de la Información almacenada o en tránsito a través de entornos inseguros. Tendrán la consideración de entornos inseguros los equipos portátiles, asistentes personales (PDA), dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.
18. PREVENCIÓN DE SISTEMAS DE INFORMACIÓN INTERCONECTADOS
Nuestra Organización establece medidas de protección para la Seguridad de la Información
especialmente para proteger
el perímetro, en particular, si se conecta a redes públicas, especialmente si se utilizan en su
totalidad o
principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para
el público.
En todo caso se analizarán los riesgos derivados de la interconexión del sistema, a través de
redes, con otros
sistemas, y se controlará su punto de unión. Conexiones electrónicas disponibles para el
público.
19. REGISTROS DE ACTIVIDAD
Nuestra Organización registrará las actividades de los usuarios, reteniendo la información
necesaria para
monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas,
permitiendo identificar en
cada momento a la persona que actúa.
Los objetivos principales de la Gestión de incidentes son los de:
20. CONTINUIDAD DE LA ACTIVIDAD
Nuestra Organización con el objetivo de garantizar la continuidad de las actividades establece medidas para que los sistemas disponen de copias de seguridad y establezcan mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo.
21. MEJORA CONTINUA DEL PROCESO DE SEGURIDAD
Nuestra Organización establece un proceso de mejora continua de la seguridad de la información aplicando los criterios y metodología establecida en normas internacionales como ISO 27001.
Aprobado por:
Director General