Política de Seguridad de la Información

1. Aprobación y entrada en vigor

Esta Política de Seguridad de la Información es efectiva desde su aprobación por la Dirección y hasta que sea reemplazada por una nueva Política.

2. Misión de la organización

QUABU proporciona servicios de asesoría, consultoría y auditoría en tecnologías de la información, protección de datos, seguridad y cumplimiento normativo, ofreciendo soluciones personalizadas que ayudan a empresas y organismos a desenvolverse con éxito y seguridad en el entorno digital conforme al ENS.

Para alcanzar sus objetivos, QUABU asume su compromiso con la seguridad de la información y su adecuada gestión, con el fin de ofrecer a todos sus grupos de interés las mayores garantías en torno a la información utilizada.

Los sistemas deben administrarse con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad de la información tratada o de los servicios prestados.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.

Los sistemas TIC deben protegerse contra amenazas de rápida evolución. Por ello se aplican las medidas mínimas de seguridad exigidas por el ENS, se realiza un seguimiento continuo de los niveles de servicio, se analizan las vulnerabilidades reportadas y se prepara una respuesta eficaz ante incidentes.

La seguridad TIC es parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada. Los departamentos deben estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo con el artículo 8 del ENS.

3. Alcance

Esta política se aplica a todos los sistemas TIC de la entidad y a todos los miembros de la organización implicados en los sistemas de información que dan soporte a los servicios de implementación y configuración de soluciones Atlassian, mantenimiento y soporte de productos Atlassian, y desarrollo de software y soluciones tecnológicas asociadas, según la Declaración de Aplicabilidad vigente, sin excepciones.

4. Objetivos

La Dirección establece los siguientes objetivos de seguridad de la información:

• Proporcionar un marco para aumentar la capacidad de resiliencia y dar una respuesta eficaz.
• Asegurar la recuperación rápida y eficiente de los servicios frente a cualquier desastre o contingencia que ponga en riesgo la continuidad de las operaciones.
• Prevenir incidentes de seguridad en la medida que sea técnica y económicamente viable, y mitigar los riesgos generados por nuestras actividades.
• Garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.

5. Marco regulatorio

Nos comprometemos a cumplir los requisitos legales aplicables, los compromisos adquiridos con clientes y su actualización continua. El marco legal incluye:

• Reglamento (UE) 2016/679 (RGPD), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad.

6. Desarrollo

Para lograr estos objetivos es necesario:

• Mejorar continuamente nuestro sistema de seguridad de la información.
• Identificar las amenazas potenciales y el impacto que podrían causar en las operaciones de negocio.
• Preservar los intereses de clientes, accionistas, empleados y proveedores, así como la reputación y la marca.
• Trabajar conjuntamente con proveedores y subcontratistas para mejorar los servicios, su continuidad y la seguridad de la información.
• Evaluar y garantizar la competencia técnica y la motivación del personal, con la formación y comunicación interna adecuadas.
• Garantizar el correcto estado de las instalaciones y del equipamiento.
• Analizar de forma continua los procesos relevantes y establecer las mejoras pertinentes.
• Estructurar el sistema de gestión de forma comprensible en tres niveles: políticas, procedimientos y registros.

La documentación de seguridad se organiza en: Política de Seguridad, normativa de seguridad, documentos específicos desarrollados según las guías CCN-STIC aplicables y procedimientos de seguridad. Se almacena en repositorios de acceso restringido según perfiles autorizados.

7. Organización de la seguridad

La responsabilidad esencial recae en la Dirección General, que organiza funciones y responsabilidades y facilita los recursos adecuados para alcanzar los objetivos del ENS. Los directivos deben dar ejemplo siguiendo las normas de seguridad establecidas.

Los roles de seguridad definidos son:

• Responsable de la Información: toma las decisiones relativas a la información tratada.
• Responsable del Servicio: coordina la implantación del sistema y su mejora continua.
• Responsable de la Seguridad / Responsable del SGSI (CISO): determina la idoneidad de las medidas técnicas.
• Responsable del Sistema: coordina la implantación y mejora técnica del sistema.
• Dirección: proporciona los recursos necesarios y lidera el sistema.

Las diferencias de criterio se tratarán en el seno del Comité de Seguridad, prevaleciendo en todo caso el criterio de la Dirección General.

8. Comité de Seguridad

El Comité de Seguridad es el órgano con mayor responsabilidad dentro del sistema de gestión de seguridad de la información; las decisiones más importantes en esta materia se acuerdan en su seno.

Está formado por el Responsable de Seguridad, el Responsable del Sistema, el Responsable del Servicio y el Responsable de la Información. Sus miembros son designados, renovados y cesados por el propio Comité, que actúa como órgano autónomo y ejecutivo.

9. Gestión de riesgos

Todos los sistemas sujetos a esta Política realizarán un análisis de riesgos, que se revisará:

• al menos una vez al año;
• cuando cambie la información manejada;
• cuando cambien los servicios prestados;
• cuando ocurra un incidente grave de seguridad;
• cuando se reporten vulnerabilidades graves.

El Comité de Seguridad establecerá una valoración de referencia para los distintos tipos de información y servicios, y promoverá los recursos necesarios para atender las necesidades de seguridad.

10. Gestión de personal

Todos los miembros de QUABU tienen la obligación de conocer y cumplir esta Política y la normativa de seguridad.

Todo el personal asistirá al menos a una sesión anual de concienciación en seguridad, con un programa continuo especialmente orientado a nuevas incorporaciones. Quienes operen o administren sistemas TIC recibirán la formación necesaria antes de asumir dicha responsabilidad.

11. Profesionalidad y seguridad de los recursos humanos

Esta Política se aplica a todo el personal de QUABU y al personal externo que realiza tareas en la empresa. Se incluyen funciones de seguridad en las descripciones de puesto y se gestionan compromisos de confidencialidad.

• El Responsable de Seguridad monitoriza, documenta y analiza los incidentes reportados e informa al Comité.
• Todo el personal debe informar oportunamente de las debilidades e incidentes de seguridad detectados.
• Se determina y documenta la competencia necesaria del personal en materia de seguridad.
• Se reducen los riesgos de error humano, uso indebido de recursos y manejo no autorizado de la información.
• Se establecen herramientas para comunicar debilidades e incidentes y prevenir su reincidencia.

12. Autorización y control de acceso

• Evitar el acceso no autorizado a sistemas, bases de datos y servicios de información.
• Implementar técnicas de autenticación y autorización.
• Controlar la seguridad de la conexión entre la red de QUABU y otras redes.
• Revisar los eventos críticos y las actividades de los usuarios.
• Concienciar sobre el uso responsable de contraseñas y equipos.
• Garantizar la seguridad en el uso de portátiles y en el trabajo remoto.

13. Protección de las instalaciones

• Prevenir el acceso no autorizado, daños e interferencias a las instalaciones e información.
• Proteger el equipamiento crítico en áreas con perímetro de seguridad y controles de acceso adecuados.
• Controlar los factores ambientales que puedan afectar a los equipos.
• Proporcionar protección proporcional a los riesgos identificados.

Todo el personal es responsable de cumplir la política de pantalla y escritorio limpios.

14. Adquisición de productos

La seguridad se integra en el desarrollo, adquisición y mantenimiento de sistemas de información. Los requisitos de seguridad se identifican e incluyen en la planificación y en la solicitud de ofertas de proyectos TIC, limitando y gestionando el cambio.

15. Seguridad por defecto

Los sistemas y servicios incluyen la seguridad por defecto desde su creación hasta su retirada, como un proceso integral y transversal.

16. Integridad y actualización del sistema

QUABU garantiza la integridad del sistema mediante un proceso de gestión de cambios con autorización previa, evaluando su impacto en la seguridad. Mediante revisiones periódicas se evalúa el estado de seguridad respecto a especificaciones de fabricantes, vulnerabilidades y actualizaciones.

17. Protección de la información almacenada y en tránsito

Se establecen medidas de protección para la información almacenada o en tránsito por entornos inseguros, como equipos portátiles, dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.

18. Datos de carácter personal

QUABU trata datos personales conforme a la normativa vigente. Solo las personas autorizadas tienen acceso a ellos, y los sistemas se ajustan a los niveles de seguridad requeridos según la naturaleza y finalidad de los datos.

19. Terceras partes

Cuando QUABU preste servicios a otras organizaciones o utilice servicios de terceros, se les hará partícipes de esta Política y de la normativa aplicable, estableciendo canales de coordinación y procedimientos de reacción ante incidentes. Se garantizará que el personal de terceros esté concienciado en seguridad al menos al nivel de esta Política. Si algún aspecto no puede cumplirse, se analizarán y aprobarán formalmente los riesgos antes de continuar.

20. Sistemas de información interconectados

Se protegen especialmente el perímetro y las conexiones a redes públicas, analizando los riesgos derivados de la interconexión con otros sistemas y controlando sus puntos de unión.

21. Registros de actividad y gestión de incidentes

QUABU registra la actividad de los usuarios con la información necesaria para monitorizar, analizar e investigar actividades indebidas o no autorizadas. Los objetivos de la gestión de incidentes son:

• Disponer de un sistema de detección y reacción frente a código dañino.
• Disponer de procedimientos de gestión de incidentes y debilidades, con detección, clasificación, análisis, resolución, comunicación y registro.
• Restablecer el desempeño óptimo de los servicios y reducir el impacto de los incidentes.
• Velar por la integridad de los sistemas y comunicar el impacto lo antes posible.
• Usar los registros para la mejora continua de la seguridad.

22. Continuidad de la actividad

QUABU establece copias de seguridad y los mecanismos necesarios para garantizar la continuidad de las operaciones en caso de pérdida de los medios habituales de trabajo.

23. Mejora continua

QUABU aplica un proceso de mejora continua de la seguridad de la información según los criterios y metodología de normas internacionales como ISO/IEC 27001.