Política de Seguretat de la Informació

1. Aprovació i entrada en vigor

Aquesta Política de Seguretat de la Informació és efectiva des de la seva aprovació per la Direcció i fins que sigui substituïda per una nova Política.

2. Missió de l'organització

QUABU proporciona serveis d'assessorament, consultoria i auditoria en tecnologies de la informació, protecció de dades, seguretat i compliment normatiu, oferint solucions personalitzades que ajuden empreses i organismes a desenvolupar-se amb èxit i seguretat a l'entorn digital d'acord amb l'ENS.

Per assolir els seus objectius, QUABU assumeix el compromís amb la seguretat de la informació i la seva gestió adequada, per oferir a tots els grups d'interès les màximes garanties sobre la informació utilitzada.

Els sistemes s'han d'administrar amb diligència, prenent les mesures adequades per protegir-los davant danys accidentals o deliberats que puguin afectar la disponibilitat, integritat o confidencialitat de la informació tractada o dels serveis prestats.

L'objectiu de la seguretat de la informació és garantir la qualitat de la informació i la prestació continuada dels serveis, actuant preventivament, supervisant l'activitat diària i reaccionant amb rapidesa als incidents.

Els sistemes TIC s'han de protegir davant amenaces d'evolució ràpida. Per això s'apliquen les mesures mínimes de seguretat exigides per l'ENS, es fa un seguiment continu dels nivells de servei, s'analitzen les vulnerabilitats reportades i es prepara una resposta eficaç davant incidents.

La seguretat TIC és part integral de cada etapa del cicle de vida del sistema, des de la seva concepció fins a la seva retirada. Els departaments han d'estar preparats per prevenir, detectar, reaccionar i recuperar-se d'incidents, d'acord amb l'article 8 de l'ENS.

3. Abast

Aquesta política s'aplica a tots els sistemes TIC de l'entitat i a tots els membres de l'organització implicats en els sistemes d'informació que donen suport als serveis d'implementació i configuració de solucions Atlassian, manteniment i suport de productes Atlassian, i desenvolupament de programari i solucions tecnològiques associades, segons la Declaració d'Aplicabilitat vigent, sense excepcions.

4. Objectius

La Direcció estableix els objectius de seguretat de la informació següents:

• Proporcionar un marc per augmentar la capacitat de resiliència i donar una resposta eficaç.
• Assegurar la recuperació ràpida i eficient dels serveis davant qualsevol desastre o contingència que posi en risc la continuïtat de les operacions.
• Prevenir incidents de seguretat en la mesura que sigui tècnicament i econòmicament viable, i mitigar els riscos generats per les nostres activitats.
• Garantir la confidencialitat, integritat, disponibilitat, autenticitat i traçabilitat de la informació.

5. Marc regulador

Ens comprometem a complir els requisits legals aplicables i els compromisos adquirits amb els clients, i a mantenir-los actualitzats. El marc legal inclou:

• Reglament (UE) 2016/679 (RGPD), relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals.
• Llei Orgànica 3/2018, de Protecció de Dades Personals i garantia dels drets digitals.
• Reial Decret 311/2022, pel qual es regula l'Esquema Nacional de Seguretat.

6. Desenvolupament

Per assolir aquests objectius cal:

• Millorar contínuament el nostre sistema de seguretat de la informació.
• Identificar les amenaces potencials i l'impacte que podrien causar a les operacions de negoci.
• Preservar els interessos de clients, accionistes, empleats i proveïdors, així com la reputació i la marca.
• Treballar conjuntament amb proveïdors i subcontractistes per millorar els serveis, la seva continuïtat i la seguretat de la informació.
• Avaluar i garantir la competència tècnica i la motivació del personal, amb la formació i comunicació interna adequades.
• Garantir el bon estat de les instal·lacions i de l'equipament.
• Analitzar de manera contínua els processos rellevants i establir-hi les millores pertinents.
• Estructurar el sistema de gestió de manera comprensible en tres nivells: polítiques, procediments i registres.

La documentació de seguretat s'organitza en: Política de Seguretat, normativa de seguretat, documents específics desenvolupats segons les guies CCN-STIC aplicables i procediments de seguretat. S'emmagatzema en repositoris d'accés restringit segons perfils autoritzats.

7. Organització de la seguretat

La responsabilitat essencial recau en la Direcció General, que organitza funcions i responsabilitats i facilita els recursos adequats per assolir els objectius de l'ENS. Els directius han de donar exemple seguint les normes de seguretat establertes.

Els rols de seguretat definits són:

• Responsable de la Informació: pren les decisions relatives a la informació tractada.
• Responsable del Servei: coordina la implantació del sistema i la seva millora contínua.
• Responsable de la Seguretat / Responsable del SGSI (CISO): determina la idoneïtat de les mesures tècniques.
• Responsable del Sistema: coordina la implantació i millora tècnica del sistema.
• Direcció: proporciona els recursos necessaris i lidera el sistema.

Les diferències de criteri es tractaran al si del Comitè de Seguretat, i prevaldrà en tot cas el criteri de la Direcció General.

8. Comitè de Seguretat

El Comitè de Seguretat és l'òrgan amb més responsabilitat dins del sistema de gestió de seguretat de la informació; les decisions més importants en aquesta matèria s'acorden al seu si.

Està format pel Responsable de Seguretat, el Responsable del Sistema, el Responsable del Servei i el Responsable de la Informació. Els seus membres són designats, renovats i cessats pel mateix Comitè, que actua com a òrgan autònom i executiu.

9. Gestió de riscos

Tots els sistemes subjectes a aquesta Política faran una anàlisi de riscos, que es revisarà:

• almenys una vegada l'any;
• quan canviï la informació gestionada;
• quan canviïn els serveis prestats;
• quan es produeixi un incident greu de seguretat;
• quan es reportin vulnerabilitats greus.

El Comitè de Seguretat establirà una valoració de referència per als diferents tipus d'informació i serveis, i promourà els recursos necessaris per atendre les necessitats de seguretat.

10. Gestió de personal

Tots els membres de QUABU tenen l'obligació de conèixer i complir aquesta Política i la normativa de seguretat.

Tot el personal assistirà almenys a una sessió anual de conscienciació en seguretat, amb un programa continu especialment orientat a les noves incorporacions. Qui operi o administri sistemes TIC rebrà la formació necessària abans d'assumir aquesta responsabilitat.

11. Professionalitat i seguretat dels recursos humans

Aquesta Política s'aplica a tot el personal de QUABU i al personal extern que fa tasques a l'empresa. S'inclouen funcions de seguretat a les descripcions de lloc i es gestionen compromisos de confidencialitat.

• El Responsable de Seguretat monitora, documenta i analitza els incidents reportats i n'informa el Comitè.
• Tot el personal ha d'informar oportunament de les debilitats i incidents de seguretat detectats.
• Es determina i documenta la competència necessària del personal en matèria de seguretat.
• Es redueixen els riscos d'error humà, ús indegut de recursos i tractament no autoritzat de la informació.
• S'estableixen eines per comunicar debilitats i incidents i prevenir-ne la reincidència.

12. Autorització i control d'accés

• Evitar l'accés no autoritzat a sistemes, bases de dades i serveis d'informació.
• Implementar tècniques d'autenticació i autorització.
• Controlar la seguretat de la connexió entre la xarxa de QUABU i altres xarxes.
• Revisar els esdeveniments crítics i les activitats dels usuaris.
• Conscienciar sobre l'ús responsable de contrasenyes i equips.
• Garantir la seguretat en l'ús de portàtils i en el treball remot.

13. Protecció de les instal·lacions

• Prevenir l'accés no autoritzat, danys i interferències a les instal·lacions i la informació.
• Protegir l'equipament crític en àrees amb perímetre de seguretat i controls d'accés adequats.
• Controlar els factors ambientals que puguin afectar els equips.
• Proporcionar una protecció proporcional als riscos identificats.

Tot el personal és responsable de complir la política de pantalla i escriptori nets.

14. Adquisició de productes

La seguretat s'integra en el desenvolupament, l'adquisició i el manteniment de sistemes d'informació. Els requisits de seguretat s'identifiquen i s'inclouen en la planificació i en la sol·licitud d'ofertes de projectes TIC, limitant i gestionant el canvi.

15. Seguretat per defecte

Els sistemes i serveis inclouen la seguretat per defecte des de la seva creació fins a la seva retirada, com un procés integral i transversal.

16. Integritat i actualització del sistema

QUABU garanteix la integritat del sistema mitjançant un procés de gestió de canvis amb autorització prèvia, avaluant-ne l'impacte en la seguretat. Mitjançant revisions periòdiques s'avalua l'estat de seguretat respecte a especificacions dels fabricants, vulnerabilitats i actualitzacions.

17. Protecció de la informació emmagatzemada i en trànsit

S'estableixen mesures de protecció per a la informació emmagatzemada o en trànsit per entorns insegurs, com equips portàtils, dispositius perifèrics, suports d'informació i comunicacions sobre xarxes obertes o amb xifratge feble.

18. Dades de caràcter personal

QUABU tracta dades personals d'acord amb la normativa vigent. Només hi tenen accés les persones autoritzades, i els sistemes s'ajusten als nivells de seguretat requerits segons la naturalesa i la finalitat de les dades.

19. Terceres parts

Quan QUABU presti serveis a altres organitzacions o utilitzi serveis de tercers, se'ls farà partícips d'aquesta Política i de la normativa aplicable, establint canals de coordinació i procediments de reacció davant incidents. Es garantirà que el personal de tercers estigui conscienciat en seguretat almenys al nivell d'aquesta Política. Si algun aspecte no es pot complir, se n'analitzaran i aprovaran formalment els riscos abans de continuar.

20. Sistemes d'informació interconnectats

Es protegeixen especialment el perímetre i les connexions a xarxes públiques, analitzant els riscos derivats de la interconnexió amb altres sistemes i controlant-ne els punts d'unió.

21. Registres d'activitat i gestió d'incidents

QUABU registra l'activitat dels usuaris amb la informació necessària per monitorar, analitzar i investigar activitats indegudes o no autoritzades. Els objectius de la gestió d'incidents són:

• Disposar d'un sistema de detecció i reacció davant codi maliciós.
• Disposar de procediments de gestió d'incidents i debilitats, amb detecció, classificació, anàlisi, resolució, comunicació i registre.
• Restablir el rendiment òptim dels serveis i reduir l'impacte dels incidents.
• Vetllar per la integritat dels sistemes i comunicar l'impacte com més aviat millor.
• Utilitzar els registres per a la millora contínua de la seguretat.

22. Continuïtat de l'activitat

QUABU estableix còpies de seguretat i els mecanismes necessaris per garantir la continuïtat de les operacions en cas de pèrdua dels mitjans habituals de treball.

23. Millora contínua

QUABU aplica un procés de millora contínua de la seguretat de la informació segons els criteris i la metodologia de normes internacionals com la ISO/IEC 27001.