Política de seguridad

Versión actualizada el 12 de febrero de 2024.

APROBACIÓN Y ENTRADA EN VIGOR

Texto aprobado el día 12 de febrero de 2024 por la Dirección de GRUPO ACRECENTA.

Esta Política de Seguridad de la Información es efectiva desde dicha fecha y hasta que sea reemplazada por una nueva Política.

INTRODUCCIÓN

GRUPO ACRECENTA, conscientes de que la información manejada es un recurso con gran valor, ha establecido un Sistema de Gestión para todas las empresas del grupo de acuerdo con los requisitos establecidos en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad y la Norma ISO 27001:2022_Sistema de Gestión de la Seguridad de la Información, para garantizar la continuidad de los sistemas de información, minimizar los riesgos de daño y asegurar el cumplimiento de los objetivos fijados.

El alcance es el siguiente:

"Los Sistemas de Información que dan soporte a los procesos de diseño, desarrollo, implantación, soporte, formación y mantenimiento de los servicios de consultoría IT y desarrollo de software prestados por Acrecenta Development"

El objetivo de disponer de un Sistema de Seguridad de la Información es garantizar la calidad de la información y la continuidad de los servicios prestados, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.

El objetivo de la Política de Seguridad de la Información es fijar el marco de actuación necesario para proteger los recursos de información frente a amenazas, internas o externas, deliberadas o accidentales que puedan afectar a los sistemas de información necesarios para la prestación de los servicios, a la información de nuestros clientes gestionada por GRUPO ACRECENTA o la información propia considerada como confidencial.

Para ello deberán identificarse aquellos riesgos que puedan afectar los elementos que constituyen los sistemas que dan soporte a la actividad de GRUPO ACRECENTA y puedan afectar a la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de los sistemas o información antes reseñada. Para cada uno de los riesgos identificados deberá determinarse la probabilidad de que se manifieste la amenaza, el nivel de vulnerabilidad de la organización frente a ésta, y el impacto que tendría su materialización.

Adicionalmente, el Comité de Seguridad se compromete a establecer medidas que traten de reducir el nivel de riesgos de aquellos elementos del sistema que se sitúen por encima de BAJO.

La eficacia y aplicación del Sistema de Gestión es responsabilidad directa del Comité de Dirección, la cual es responsable de la aprobación, difusión y cumplimiento de la presente Política de Seguridad. En su nombre y representación se ha elegido un Responsable del Sistema de Gestión, que posee la suficiente autoridad para desempeñar un papel activo en el Sistema de Gestión, supervisando su implantación, desarrollo y mantenimiento.

Esta política será de obligatorio cumplimiento para todo el personal participante en la prestación de los servicios ofrecidos por la entidad y todo aquel que pueda acceder a los recursos de información relacionados con éstos.

Toda persona cuya actividad pueda, directa o indirectamente, verse afectada por los requisitos del Sistema de Gestión, está obligada al cumplimiento estricto de la Política de Seguridad.

MARCO NORMATIVO

El Sistema de Gestión de la Seguridad de la Información implantado en GRUPO ACRECENTA, debe dar respuesta a los requisitos establecidos al respecto en la legislación vigente aplicable a la actividad de la entidad y que tiene como referentes principales:

REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) nº 526/2013 («Reglamento sobre la Ciberseguridad»).
Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

Así mismo, GRUPO ACRECENTA dará cumplimiento a los requisitos en materia de seguridad que puedan trasladarles los clientes de sus servicios.

En el listado de documentos externos del Sistema de Gestión se incluye una relación pormenorizada de la legislación, normativa y otros requisitos en la materia, a los que GRUPO ACRECENTA debe dar respuesta. Dicho listado se actualiza de forma regular, analizándose los requisitos derivados de la normativa y compromisos suscritos, evaluándose su cumplimiento de forma periódica.

La normativa de seguridad estará a disposición de todos los miembros de la organización que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones en una carpeta en la nube.

ORGANIZACIÓN DE LA SEGURIDAD

La implantación de la Política de Seguridad en GRUPO ACRECENTA requiere que todos los miembros de la organización entiendan sus obligaciones y responsabilidades en función del puesto desempeñado. Cada rol específico, personalizado en usuarios concretos, debe entender las implicaciones de sus acciones y las responsabilidades que tiene atribuidas, quedando identificadas en esta sección, y que se agrupan del modo siguiente:

El Comité de Seguridad
Responsable de la Información
Responsable del servicio
Responsable de Seguridad
Responsable del Sistema de Información

En los siguientes apartados se especifican las funciones atribuidas a cada uno de estos roles:

El Comité de Seguridad

Coordina la seguridad de la información. Dicho Comité está compuesto por cada una de las figuras anteriormente mencionadas.

Las funciones son las siguientes:

Revisión y aprobación de la Política de Seguridad y de las responsabilidades principales.
Definir e impulsar la estrategia y la planificación de la seguridad proponiendo la asignación de presupuesto y recursos precisos.
Supervisión y control de los cambios significativos en la exposición de los activos de la información a las amenazas principales, así como del desarrollo e implantación de los controles y medidas destinadas a garantizar la Seguridad de dichos activos.
Aprobación de las iniciativas principales para mejorar la Seguridad.
Supervisión y seguimiento de aspectos tales como:
- Principales incidencias en la Seguridad de la Información.
- Elaboración y actualización de planes de continuidad.
- Cumplimiento y difusión de las Políticas de Seguridad.

El Secretario del Comité de Seguridad

Será el Responsable de Seguridad y tendrá como funciones:

Convocar las reuniones del Comité de Seguridad de la Información.
Preparar los temas a tratar en las reuniones del Comité, aportando información puntual la toma de decisiones.
Elaborar el acta de las reuniones.
Es el responsable de la ejecución directa o delegada de las decisiones del Comité.

Responsable de la información

Tiene la potestad de establecer los requisitos, en materia de seguridad, de la información gestionada. Si esta información incluye datos de carácter personal, además deberán tenerse en cuenta los requisitos derivados de la legislación correspondiente sobre protección de datos.

Determinar los niveles de seguridad de la información.

Responsable del Servicio

Tiene la potestad de establecer los requisitos, en materia de seguridad, de los servicios prestados.

Determinar los niveles de seguridad de la información.

Responsable de Seguridad

Responsable de la definición, coordinación y verificación de cumplimiento de los requisitos de seguridad de la información definida de acuerdo a los objetivos estratégicos.

Las funciones son las siguientes:

Dirigir las reuniones del Comité de Seguridad, informando, proponiendo y coordinando sus actividades y decisiones.
Coordinar y controlar las medidas de seguridad de la información y de protección de datos.
Supervisar la implantación, mantener, controlar y verificar el cumplimiento de:
- La estrategia de seguridad de la información definida por el Comité de Seguridad.
- Las normas y procedimientos contenidos en la Política de Seguridad de la Información.
Supervisar los incidentes de seguridad producidos.
Difundir las normas y procedimientos contenidos en la Política de Seguridad de la Información, así como las funciones y obligaciones en materia de seguridad de la información.
Supervisar y colaborar en las Auditorías internas / externas necesarias para verificar el grado de cumplimiento de la Política de Seguridad, normativa de desarrollo y leyes aplicables en materia de protección de datos personales y de seguridad de la información.
Asesorar en materia de seguridad de la información a las diferentes áreas operativas.

Responsable del Sistema de Información

Es responsable de asegurar la ejecución de medidas para asegurar los activos y servicios de los sistemas de información, que soportan la actividad, de acuerdo a los objetivos de la organización.

Las funciones son las siguientes:

Desarrollar, operar y mantener el Sistema de Información durante todo su ciclo de vida, de sus especificaciones, instalación y verificación de su correcto funcionamiento.
Definir la topología y sistema de gestión del Sistema de Información estableciendo los criterios de uso y los servicios disponibles en el mismo.
Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.
Seleccionar y establecer las funciones y obligaciones a los Responsables Técnicos Informáticos encargados de personalizar una gestión de la seguridad de los activos, conforme a la estrategia de seguridad definida.
Garantizar que la implantación de nuevos sistemas y de los cambios en los existentes cumple con los requerimientos de seguridad establecidos.
Establecer los procesos y controles de monitorización del estado de la seguridad que permitan detectar las incidencias producidas y coordinar su investigación y resolución.

El Responsable del Sistema puede acordar la suspensión del manejo de una cierta información o la prestación de un cierto servicio si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. Esta decisión debe ser acordada con los responsables de la información afectada, del servicio afectado y el Responsable de la Seguridad, antes de ser ejecutada.

PROCEDIMIENTO DE DESIGNACIÓN

Se designan las siguientes responsabilidades:

Responsable de la Información y del servicio: Alguien de la Alta Dirección, normalmente uno de los socios.
Responsable de Seguridad: Alguien de Alta Dirección, normalmente uno de los socios, que entienda que hace cada departamento y como los departamentos se coordinan entre sí para alcanzar los objetivos marcados por la Dirección.
Responsable del Sistema: Un programador senior del departamento de desarrollo de software responsable de la operación y mantenimiento del Sistema de Información.

Los nombramientos se revisarán cada 2 años o cuando alguno de los puestos quede vacante.

El Responsable de Seguridad y el Responsable del Sistema serán nombrados por el Director General a propuesta del Comité de Seguridad.

La estructura del comité está detallada en el acta de constitución del comité de seguridad de la información y designación de los roles de seguridad de la información.

REVISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Será misión del Comité de Seguridad la revisión anual de esta Política de Seguridad de la Información y la propuesta de revisión o mantenimiento de la misma. La Política será aprobada por la dirección y difundida para que la conozcan todas las partes afectadas.

DATOS DE CARÁCTER PERSONAL

En aplicación del principio de responsabilidad proactiva establecido en el Reglamento General de Protección de Datos, las actividades de tratamiento de datos de carácter personal se integrarán en la categorización de sistemas del Esquema Nacional de Seguridad, considerando las amenazas y riesgos asociados a este tipo de tratamientos.

Se aplicará, asimismo, cualquier otra normativa vigente en materia de protección de datos de carácter personal.

CALIFICACIÓN DE LA DOCUMENTACIÓN

Directrices de clasificación

Las clasificaciones de información, y otros controles de protección asociados, deben tener en cuenta que las entidades necesitan compartir o restringir el acceso de determinada información. En general, la clasificación que se da a la información es una forma abreviada de determinar cómo manejarla y protegerla.

La información y los sistemas que manejan datos sensibles, deberán catalogarse en relación con su valor e importancia para la entidad, en GRUPO ACRECENTA se establece la siguiente clasificación para la información considerada dentro del alcance del Sistema de Gestión de la Seguridad de la Información.

Pública: Se permite que la información esté accesible para el personal de la entidad y ajeno sin ningún tipo de restricciones.
Privada: Podrán acceder a esta información el personal de GRUPO ACRECENTA, sin ningún tipo de restricción, y personal externo autorizado.
Confidencial: La información sólo puede ser accedida por la Dirección de GRUPO ACRECENTA y el personal interno o externo que cuente con la correspondiente autorización.

La clasificación aplicada sobre la información quedará reflejada en los listados de documentos internos y en el apartado de control de registros de cada documento del Sistema, donde además se indicará, para la información confidencial, quienes están autorizados para su acceso.

Al menos anualmente, el Responsable de Seguridad de la Información, deberá revisar los criterios establecidos, así como la clasificación dada a cada recurso de información a fin de valorar si siguen siendo válidos para la organización o han de introducirse cambios.

Etiquetado de la información

Los activos de información del Sistema deberán etiquetarse convenientemente con objeto de que el personal conozca qué uso puede realizarse de él y administre las medidas de seguridad que le corresponda.

Dicho marcado es de aplicación a los activos de información que se encuentren en soporte papel, en archivos electrónicos, así como a medios de almacenamiento digitales tales CD, DVD, etc.

Manipulado de la información

El acceso a la información estará condicionado por los criterios de clasificación asignados. Las restricciones, al objeto de evitar accesos de personal no autorizado, están descritas en la FP-04 Control de accesos.

Adicionalmente, de forma general se evitará el archivo de información clasificada como confidencial en formato papel o en soportes extraíbles (memorias USB, CD, DVD, etc.), exceptuándose únicamente aquellos casos en los que esto sea estrictamente necesario para el desarrollo de la actividad.

Manipulación de soportes

Gestión de soportes extraíbles

En cualquier caso, aquellos soportes extraíbles que puedan albergar información de carácter confidencial, deberán aplicarse las premisas definidas en:

FP-04 Control de Accesos
En el apartado Protección de dispositivos portátiles de la FP-07 Protección de los equipos.
En el apartado Custodia y transporte de la FP08 Protección de los soportes de información.
Procedimiento de entrada y salida de equipamiento y soportes.

No se podrá facilitar a personas ajenas a la organización ningún tipo de soporte que contenga información clasificada como confidencial sin la debida autorización de la Dirección de GRUPO ACRECENTA.

Eliminación de soportes

Los soportes que contienen información sensible deben ser almacenados o/y eliminados de forma segura, con objeto de evitar que el personal no autorizado pueda acceder a ella.

No saldrán de la organización ningún tipo de soporte, para su eliminación, que pueda contener información clasificada como confidencial o privada sin la autorización expresa de la Dirección de GRUPO ACRECENTA.

La eliminación de documentos en papel, así como de cualquier soporte de grabación de datos (DVD o CD) que contengan información clasificada como confidencial o privada, se realizará mediante la destrucción física, ya sea por medios mecánicos o manuales.

En el caso de otros soportes informáticos, será el Responsable de Sistema quien se encargue de su gestión, debiendo evitar el acceso a éstos mientras estén bajo su custodia y responsabilizándose de su eliminación de forma segura en atención a lo establecido en el apartado de Borrado y Destrucción de soportes del FP-08 Protección de soportes de información.

Soportes físicos en tránsito

De forma general, no se permite la salida de soportes físicos que contengan información considerada como confidencial o privada fuera del ámbito de las instalaciones de GRUPO ACRECENTA sin la autorización expresa de la Dirección de GRUPO ACRECENTA.

En cualquier caso, al objeto de evitar accesos no autorizados:

Siempre que sea posible se procederá al encriptado de la información.
En caso de información en formato papel, esta se deberá mandar en un sobre cerrado y sellado.

Así mismo, como ya se ha indicado en los apartados anteriores, deberán aplicarse las medidas descritas en:

Control de Accesos
En el apartado Protección de dispositivos portátiles de la Protección de los equipos.
En el apartado Custodia y transporte de la Protección de los soportes de información.

GESTIÓN DE RIESGOS

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

regularmente, al menos una vez al año,
cuando cambie la información manejada,
cuando cambien los servicios prestados,
cuando ocurra un incidente grave de seguridad, y/o
cuando se reporten vulnerabilidades graves.

Para la armonización de los análisis de riesgos, el Comité de Seguridad TIC establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad TIC dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.

La gestión de riesgos quedará documentada en el informe de Análisis y gestión de riesgos.

OBLIGACIONES DEL PERSONAL

Todos y cada uno de los usuarios de los sistemas de información son responsables de la seguridad de los activos de información mediante un uso correcto de los mismos, siempre de acuerdo con sus atribuciones profesionales y académicas.

Todos los miembros de GRUPO ACRECENTA tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad disponer los medios necesarios para que la información llegue a los afectados.

Además, atenderán a una sesión de concienciación en materia de seguridad de la información al menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos los miembros de GRUPO ACRECENTA, en particular a los de nueva incorporación.

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

El incumplimiento de la presente Política de Seguridad de la Información podrá acarrear el inicio de las medidas disciplinarias que procedan, sin perjuicio de las responsabilidades legales correspondientes.

TERCERAS PARTES

Cuando GRUPO ACRECENTA preste servicios a otros organismos o maneje información de otros organismos, se les hará partícipes de esta Política de Seguridad de la Información, se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.

Cuando GRUPO ACRECENTA utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla.

Se establecerán procedimientos específicos de reporte y resolución de incidencias. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por el Responsable de la Información y los Responsables de los servicios afectados, antes de seguir adelante.