Política de seguridad de la información

1. Introducción

La información se ha convertido en uno de los principales activos de nuestra organización, y es por ello por lo que cuidarla y protegerla se convierte en un objetivo absolutamente prioritario.

Es parte de nuestra estrategia, a partir de ahora, la seguridad de la información como un elemento crítico y fundamental. Este reto se multiplica en exigencia e importancia si lo aplicamos a un entorno tan específico y crítico como el nuestro, donde el tratamiento y la gestión segura de la información se imponen como una necesidad para competir y mejorar en el futuro.

Asimismo, la legislación actual es clara en lo referente a la seguridad de la información, disponiéndose de un marco legal muy concreto que requiere de un cumplimiento exigente por parte de todos, pero que ayuda a adoptar las medidas de seguridad apropiadas en los sistemas de la información.

A continuación, se describen los principios donde se sostiene la Política de Seguridad de NUEVOS SISTEMAS TECNOLÓGICOS, S.L (en adelante NEOSISTEC Y NAVILENS PROJECTS CORP.). Este conjunto de principios fundamentales ha sido formulado basándose en necesidades válidas de negocio, reconocimiento del valor añadido de los sistemas a proteger y una compresión de los riesgos asociados a estos sistemas.

2. Objeto y alcance

El propósito de esta Política de alto nivel es definir el objetivo, dirección, principios y reglas básicas para la gestión de la seguridad de la información.

Esta Política se aplica a todo el Sistema de gestión de seguridad de la información (SGSI) y a todos los empleados de NEOSISTEC Y NAVILENS PROJECTS CORP. y extensible a terceras partes que realicen tratamientos de información propiedad de NEOSISTEC Y NAVILENS PROJECTS CORP.

2.1. Empleados

La Seguridad de la Información es un esfuerzo conjunto, por ello requiere la implicación y participación de todos los miembros de la organización que trabajan con los Sistemas de Información de la organización. Por ello, cada empleado debe cumplir los requerimientos de la Política de Seguridad y su documentación asociada.

Los empleados que deliberadamente o por negligencia incumplan la Política de Seguridad serán sujetos a acciones disciplinarias según se contempla en este documento.

2.2. Sistemas de información

Esta Política afecta a todos los activos de Información de la empresa, tanto a equipos personales o servidores, redes, aplicaciones, procesos de la empresa que pertenecen y/o son administrados por NEOSISTEC Y NAVILENS PROJECTS CORP.. Esta política cubre los aspectos más directamente relacionados con la responsabilidad y buen uso del personal.

2.3. Terceras partes

La presente Política de Seguridad es de extensible conocimiento y cumplimiento para cualquier persona externa perteneciente a terceras entidades que realice cualquier tipo de tratamiento sobre la información propiedad de NEOSISTEC Y NAVILENS PROJECTS CORP..

Asimismo, esta Política y sus procedimientos asociados serán de obligado cumplimiento para las empresas terceras proveedoras. Las copias en papel de este documento tendrán carácter única y exclusivamente INFORMATIVO. A efectos de conformidad con los procedimientos, la única referencia válida será el documento en formato electrónico disponible en la intranet corporativa contratada para la ejecución de servicios profesionales en los ámbitos que se consideren oportunos, en el caso de que realicen cualquier actividad que implique acceso o tratamiento a cualquier sistema o información propiedad de NEOSISTEC Y NAVILENS PROJECTS CORP. y así se definirá contractualmente.

3. Referencias

• ISO 27001
• ISO 27002

4. Mantenimiento, aprobación y revisión de la política

El Comité de Seguridad de la Información es el encargado de construir y mantener la Política de Seguridad de la Información, si bien, es la Dirección de NEOSISTEC Y NAVILENS PROJECTS CORP. la responsable de la aprobación y publicación de dicha Política, así como de distribuirla a todos los empleados y terceros afectados.

Cualquier cambio o evolución que afecte o pudiera afectar al contenido de la Política de Seguridad de la Información quedará registrado en una nueva firma del documento de aprobación. De esta forma se concreta y confirma el compromiso de estas entidades por la seguridad de la información.

Periódicamente, y en todo caso no superando el plazo de un año, se revisará la vigencia y razonabilidad de la presente política y se llevarán a cabo las mejoras, adaptaciones o modificaciones requeridas en función de los cambios organizativos, técnicos o regulatorios aplicables.

5. Distribución de la política

La distribución de la política de seguridad se distribuirá de las siguientes formas en función del grupo de interés al que se dirija:

• Personal y directivos de la empresa Nuevos Sistemas Tecnológicos S.L: la distribución de la política de seguridad se realizará mediante correo electrónico. Para asegurar que se recibe se firmará un acuse de recibo del documento correspondiente.
• Clientes, partners, provedores y restantes grupos de interés: la política de seguridad se le incluirá como un apartado de la página web de la empresa, donde podrán consultarla en cualquier momento.

6. Sanciones

Cualquier violación premeditada o negligente de las políticas y normas de seguridad y que suponga un potencial daño, consumado o no a NEOSISTEC Y NAVILENS PROJECTS CORP., será sancionada de acuerdo con los mecanismos habilitados en el convenio de Empresa y en la normativa legal, contractual y corporativa vigentes.

Todas las acciones en las que se comprometa la seguridad de NEOSISTEC Y NAVILENS PROJECTS CORP. y que no estén previstas en esta política, deberán ser revisadas por la Dirección Ejecutiva y por el responsable de Seguridad de la Información para dictar una resolución sujetándose al criterio de la empresa y la legislación prevista.

Las acciones disciplinarias en respuesta a los incumplimientos de la Política de Seguridad de la Información son atribución de la Dirección Ejecutiva de NEOSISTEC Y NAVILENS PROJECTS CORP. y de los órganos de gobierno según la legislación aplicable.

Existe un canal de denuncias y un protocolo de gestión de incidencias puesto a disposición de los trabajadores a través del cual cualquier miembro de la empresa puede comunicar una posible incidencia o incumplimiento al comité de seguridad o al responsable de seguridad.

Dicha infracción y la sanción correspondiente será comunicada al infractor por un miembro de dirección mediante correo electrónico con solicitud de confirmación de recepción.

7. Política de seguridad

Como respuesta a un nuevo entorno tecnológico donde la convergencia entre la informática y las comunicaciones están facilitando un nuevo paradigma de productividad para las empresas, NEOSISTEC Y NAVILENS PROJECTS CORP., está altamente comprometido con mantener la Promoción de proyectos de investigación, desarrollo tecnológico e innovación, en un entorno de calidad, donde el desarrollo de buenas prácticas en Seguridad de la Información es fundamental para conseguir los objetivos de confidencialidad, integridad, disponibilidad y legalidad de toda la información gestionada. En consecuencia, a lo anterior, NEOSISTEC Y NAVILENS PROJECTS CORP., define los siguientes principios de aplicación a tener en cuenta en el marco del Sistema de Gestión de Seguridad de la Información (SGSI):

La Dirección de NEOSISTEC Y NAVILENS PROJECTS CORP., entiende su deber de garantizar la seguridad de la información como elemento esencial para el correcto desempeño de los servicios de la organización, y, por tanto, soporta los siguientes objetivos y principios:

1. Implementar el valor de la Seguridad de la Información en el conjunto de la Organización.
2. Contribuir, todas y cada una de las personas de NEOSISTEC Y NAVILENS PROJECTS CORP., a la protección de la Seguridad de la Información.
3. Preservar la confidencialidad, integridad, disponibilidad y resiliencia de la información, con el objetivo de garantizar que se cumplan los requisitos legales, normativos, y de nuestros clientes, relativos a la seguridad de la información; y de forma específica en lo que respecta a datos de carácter personal:
   1. Los datos serán tratados de manera lícita, leal y transparente en relación con el interesado (Licitud, lealtad y transparencia).
   2. Serán, recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines (Limitación de la finalidad)
   3. Los datos serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (Minimización de datos).
   4. Los datos deberán ser exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (Exactitud).
   5. Mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos (Limitación del plazo de conservación)
   6. Tratados de manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas (Integridad y confidencialidad).
4. Proteger los activos de la información de NEOSISTEC Y NAVILENS PROJECTS CORP. de amenazas, ya sean internas o externas, deliberadas o accidentales, con el objetivo de garantizar la continuidad del servicio ofrecido a nuestros clientes y la seguridad de la información.
5. Establecer un Plan de seguridad de la información que integre las actividades de prevención y minimización del riesgo de los incidentes de seguridad en base a los criterios de gestión del riesgo establecidos por NEOSISTEC Y NAVILENS PROJECTS CORP.
6. Proporcionar los medios necesarios para poder realizar las actuaciones pertinentes de cara a la gestión de los riesgos identificados.
7. Asumir la responsabilidad en materia de concienciación y formación en materia de seguridad de la información como medio para garantizar el cumplimiento de esta política.
8. Extender nuestro compromiso con la seguridad de la información a nuestro personal trabajador y proveedores.
9. Mejorar continuamente la seguridad mediante el establecimiento y seguimiento periódico de objetivos de seguridad de la información.

Esta Política será mantenida, actualizada y adecuada a los fines de la Organización, alineándose con el contexto de gestión de riesgos de esta. A este efecto se revisará a intervalos planificados o siempre que se produzcan cambios significativos, a fin de asegurar que se mantenga su idoneidad, adecuación y eficacia.

De igual forma, para gestionar los riesgos que afronta NEOSISTEC Y NAVILENS PROJECTS CORP. se establece un procedimiento de evaluación de riesgos formalmente definido. Por su parte, todas las políticas y procedimientos incluidos en el SGSI serán revisados, aprobados e impulsados por la Dirección Ejecutiva de NEOSISTEC Y NAVILENS PROJECTS CORP..

Esta política ha sido aprobada y revisada por dirección con fecha 23 de Septiembre de 2021