Esta Política de Seguridad de la Información es efectiva desde la fecha de aprobación y firma por parte de la Dirección General de la empresa y hasta que fuese reemplazada, si llegara el caso, por una nueva Política de Seguridad.
ALESTIS CONSULTING S.L., con nombre comercial GEOACTIO, es una empresa dedicada a la ingeniería de software que tiene como misión promover soluciones tecnológicas para impulsar la movilidad del futuro en el sector ITS, trabajando tanto con autoridades públicas de transporte como operadores privados. Los objetivos principales tienen como objeto llevar a cabo una modernización del sector que permita una movilidad más eficiente, verde, sostenible y accesible en nuestras ciudades. Para ello, la empresa promueve una cultura de trabajo transparente y participativa, orientada a fomentar el bienestar del trabajo en equipo y un conocimiento técnico avanzado.
Para alcanzar estos objetivos, es de vital importancia garantizar una política de seguridad de la información que genere la confianza necesaria a todos los actores, clientes, usuarios finales y stakeholders implicados en las soluciones de la empresa. En este sentido, GEOACTIO asume su compromiso de llevar a cabo una adecuada gestión de la seguridad con el fin de ofrecer a todos sus grupos de interés las mayores garantías en torno a la seguridad de la información utilizada.
Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad de la información tratada o los servicios prestados.
El objetivo de la seguridad de la información es garantizar la calidad de la misma y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.
Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios. Esto implica que los equipos de trabajo deben aplicar las medidas de seguridad exigidas por el Esquema Nacional de Seguridad (en adelante ENS), así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas, así como preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.
Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida de las soluciones, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC.
Los departamentos deben estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo con el Artículo 8 del ENS (Artículo 8. Prevención, detección, respuesta y conservación).
Esta política se aplica a todos los sistemas TIC de la entidad y a todos los miembros de la organización, implicados en Servicios y Proyectos destinados al sector público, que requieran la aplicación de ENS, sin excepciones.
Por todo lo anteriormente expuesto, la Dirección establece los siguientes objetivos de seguridad de la información:
Uno de los objetivos debe ser el de cumplir con requisitos legales aplicables y con cualesquiera otros requisitos que suscribimos además de los compromisos adquiridos con los clientes, así como la actualización continua de los mismos. Para ello, el marco legal y regulatorio en el que desarrollamos nuestras actividades es:
Para poder lograr estos objetivos es necesario:
La gestión de nuestro sistema de gestión se encomienda al Responsable de Sistemas Informáticos, según las funciones recogidas en el documento de Organización de la Seguridad. El sistema está disponible en un repositorio documental, cuyo acceso a los diferentes usuarios y partes interesadas viene gestionado mediante el procedimiento en vigor de gestión de permisos y accesos.
La presente Política de Seguridad está aprobada formalmente por la Dirección General de GEOACTIO. Estará sujeta a revisiones y posibles adaptaciones y evoluciones en función del trabajo de mejora continua llevado a cabo por la organización en cuestiones de seguridad de la información. Cualquier actualización de la presente Política será notificada a toda la organización de forma fehaciente a través de los sistemas de comunicación internos de la empresa.
La responsabilidad esencial del cumplimiento de la presente Política recae sobre la Dirección General, que establece las funciones, roles y responsabilidades necesarias en la empresa para acometer los requerimientos marcados por el ENS. La Dirección debe proveer todos los medios necesarios y dotar a sus empleados de los recursos suficientes para su cumplimiento. Asimismo, los directivos son especialmente responsables de cara a dar buen ejemplo siguiendo las normas de seguridad establecidas.
En el documento “Organización de la Seguridad” se establece el marco de referencia que establece las responsabilidades generales en la gestión de la seguridad de los sistemas de información de GEOACTIO. En él se abordan las atribuciones de cada responsable así como los mecanismos de coordinación y resolución de conflictos.
Esta definición de deberes y responsabilidades se completa en los perfiles de puesto y en los documentos del sistema Registro de responsables, roles y responsabilidades.
RESOLUCIÓN DE CONFLICTOS:
Las diferencias de criterios que pudiesen derivar en un conflicto se tratarán en el seno del Comité de Seguridad y prevalecerá en todo caso el criterio de la Dirección General.
El procedimiento para su designación y renovación será la ratificación en el comité de seguridad.
El comité para la gestión y coordinación de la seguridad es el órgano con mayor responsabilidad dentro del sistema de gestión de seguridad de la información, de forma que todas las decisiones más importantes relacionadas con la seguridad se acuerdan por este comité.
Los miembros del comité de seguridad de la información son:
Estos miembros son designados por el comité, único órgano que puede nombrarlos, renovarlos y cesarlos.
El comité de seguridad es un órgano autónomo, ejecutivo y con autonomía para la toma de decisiones y que no tiene que subordinar su actividad a ningún otro elemento de nuestra empresa.
La organización de la Seguridad de la información se desarrolla en el documento complementario a esta Política de Organización de la Seguridad.
Está política se complementa con el resto de las políticas, procedimientos y documentos en vigor para desarrollar nuestro sistema de gestión.
Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se revisa regularmente:
Para la armonización de los análisis de riesgos, el Comité de Seguridad TIC establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad TIC dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.
Para la realización del análisis de riesgos se tendrá en cuenta la metodología de análisis de riesgos desarrollada en el procedimiento Análisis de Riesgos.
Todos los miembros de GEOACTIO tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad TIC disponer los medios necesarios para que la información llegue a los afectados.
Todos los miembros de GEOACTIO atenderán a una sesión de concienciación en materia de seguridad TIC al menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos los miembros de la GEOACTIO, en particular a los de nueva incorporación.
Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.
Esta Política se aplica a todo el personal de GEOACTIO y el personal externo que realiza tareas dentro de la empresa.
RRHH incluirá funciones de seguridad de la información en las descripciones de los trabajos de los empleados, informará a todo el personal que contrate sus obligaciones con respecto al cumplimiento de la Política de Seguridad de la Información, gestionará los Compromisos de Confidencialidad con el personal y coordinará las tareas de capacitación de los usuarios con respecto a esta Política.
Los objetivos de controlar la seguridad del personal son:
El control del acceso a los sistemas de información tiene por objetivo:
Los objetivos de esta política en materia de protección de las instalaciones son:
Esta Política se aplica a todos los recursos físicos relacionados con los sistemas de información de GEOACTIO: instalaciones, equipos, cableado, expedientes, medios de almacenamiento, etc.
El responsable de Gestión de la Seguridad (RGS) [CISO], junto con los Titulares de la Información, según proceda, definirá las medidas de seguridad física y ambiental para la protección de los activos críticos, sobre la base de un análisis de riesgos, y supervisará su aplicación. También verificará el cumplimiento de las disposiciones de seguridad física y medioambiental.
Los responsables de los diferentes departamentos definirán los niveles de acceso físico del personal de GEOACTIO a las áreas restringidas bajo su responsabilidad. Los Propietarios de Información autorizará formalmente el trabajo fuera del sitio con información sobre su negocio a los empleados de GEOACTIO cuando lo consideren apropiado.
Todo el personal de GEOACTIO es responsable del cumplimiento de la política de pantalla limpia y escritorio, para la protección de la información relacionada con el trabajo diario en las oficinas.
Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC.
Por otro lado, se tendrá en cuenta la seguridad de la información en la adquisición y mantenimiento de los sistemas de información, limitando y gestionando el cambio.
La política de desarrollo y adquisición de sistemas de información se desarrolla en el documento: Política Adquisición, Desarrollo y Mantenimiento de Sistemas.
GEOACTIO considera estratégico para la entidad que los procesos integren la seguridad de la información como parte de su ciclo de vida. Los sistemas de información y los servicios deben incluir la seguridad por defecto desde su creación hasta su retirada, incluyéndose la seguridad en las decisiones de desarrollo y/o adquisición y en todas las actividades en explotación estableciéndose la seguridad como un proceso integral y transversal.
GEOACTIO se compromete a garantizar la integridad del sistema mediante un proceso de gestión de cambios que permita el control de la actualización de los elementos físicos o lógicos mediante la autorización previa a su instalación en el sistema. Dicha evaluación será llevada a cabo principalmente por la dirección de sistemas que evaluará el impacto en la seguridad del sistema antes de realizar los cambios y controlará de forma documentada aquellos cambios que se evalúen como importantes o con implicaciones en la seguridad de los sistemas.
Mediante revisiones periódicas de seguridad se evaluará el estado de seguridad de los sistemas, en relación con las especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les afecten, reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de estos.
GEOACTIO establece medidas de protección para la Seguridad de la Información almacenada o en tránsito a través de entornos inseguros. Tendrán la consideración de entornos inseguros los equipos portátiles, asistentes personales (PDA), dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.
GEOACTIO, establece medidas de protección para la Seguridad de la Información especialmente para proteger el perímetro, en particular, si se conecta a redes públicas, especialmente si se utilizan en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público.
En todo caso se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión. Conexiones electrónicas disponibles para el público.
GEOACTIO, registrará las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa.
Los objetivos principales de la Gestión de incidentes son los de:
GEOACTIO, con el objetivo de garantizar la continuidad de las actividades, establece medidas para que los sistemas dispongan de copias de seguridad y establece mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo.
GEOACTIO establece un proceso de mejora continua de la seguridad de la información aplicando los criterios y metodología establecida en normas internacionales como ISO 27001.