POLÍTICA DE SEGURIDAD

INTRODUCCIÓN

Este documento expone la Política de Seguridad de la Información de INTELEQUIA TECHNOLOGIES S.L. (en adelante INTELEQUIA), como el conjunto de principios básicos y líneas de actuación a los que la organización se compromete, en el marco de la Norma ISO 27001.

La información es un activo crítico, esencial y de un gran valor para el desarrollo de la actividad de INTELEQUIA. Este activo debe ser adecuadamente protegido, mediante las necesarias medidas de seguridad, frente a las amenazas que puedan afectarle, independientemente de los formatos, soportes, medios de transmisión, sistemas, o personas que intervengan en su conocimiento, procesado o tratamiento.

La Seguridad de la Información es la protección de este activo, con la finalidad de asegurar la calidad de la información y la continuidad del negocio, minimizar el riesgo y permitir maximizar el retorno de las inversiones y las oportunidades de negocio.

La seguridad de la información es un proceso que requiere medios técnicos y humanos y una adecuada gestión y definición de los procedimientos y en el que es fundamental la máxima colaboración e implicación de todo el personal de INTELEQUIA.

Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC.

Los departamentos deben estar preparados para prevenir, detectar, reaccionar y garantizar la conservación ante incidentes, de acuerdo con el Artículo 8 del ENS.

La presente política se desarrollará aplicando los siguientes requisitos mínimos:

• Organización e implantación del proceso de seguridad.

• Análisis y gestión de los riesgos.

• Gestión de personal.

• Profesionalidad.

• Autorización y control de los accesos.

• Protección de las instalaciones.

• Adquisición de productos de seguridad y contratación de servicios de seguridad.

• Mínimo privilegio

• Integridad y actualización del sistema.

• Protección de la información almacenada y en tránsito.

• Prevención ante otros sistemas de información interconectados.

• Registro de la actividad y detección de código dañino.

• Incidentes de seguridad.

• Continuidad de la actividad.

• Mejora continua del proceso de seguridad.

La dirección de INTELEQUIA, consciente del valor de la información, está profundamente comprometida con la política descrita en este documento.

PREVENCIÓN

Los departamentos deben evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. Para ello los departamentos deben implementar las medidas mínimas de seguridad determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos.

Estos controles, y los roles y responsabilidades de seguridad de todo el personal, deben estar claramente definidos y documentados.

Para garantizar el cumplimiento de la política, los departamentos deben:

• Autorizar los sistemas antes de entrar en operación.

• Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.

• Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.

DETECCIÓN

Dado que los servicios se pueden degradar rápidamente debido a incidentes, que van desde una simple desaceleración hasta su detención, los servicios deben monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el Artículo 8 del ENS.

La monitorización es especialmente relevante cuando se establecen líneas de defensa de acuerdo con el Artículo 9 del ENS. Se establecerán mecanismos de detección, análisis y reporte que lleguen a los responsables regularmente y cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales.

RESPUESTA

Los departamentos deben:

• Establecer mecanismos para responder eficazmente a los incidentes de seguridad.

• Designar punto de contacto para las comunicaciones con respecto a incidentes detectados en otros departamentos o en otros organismos.

• Establecer protocolos para el intercambio de información relacionada con el incidente. Esto incluye comunicaciones, en ambos sentidos, con los Equipos de Respuesta a Emergencias (CERT).

CONSERVACIÓN

Sin merma de los restantes principios básicos y requisitos mínimos establecidos en el ENS, el sistema de información garantizará la conservación de los datos e información en soporte electrónico.

DEFINICIONES

• Sistema de Información: conjunto organizado de recursos para que la información se pueda recoger, almacenar, procesar o tratar, mantener, usar, compartir, distribuir, poner a disposición, presentar o transmitir.

• Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización.

• Gestión de riesgos: actividades coordinadas para dirigir y controlar una organización con respecto a los riesgos.

• Sistema de Gestión de Seguridad de la Información (SGSI): sistema de gestión que, basado en el estudio de los riesgos, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la seguridad de la información. El sistema de gestión incluye la estructura organizativa, las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos.

• Disponibilidad: Es necesario garantizar que los recursos del sistema se encontrarán disponibles cuando se necesiten, especialmente la información crítica.

• Integridad: La información del sistema ha de estar disponible tal y como se almacenó por un agente autorizado.

• Confidencialidad: La información sólo ha de estar disponible para agentes autorizados, especialmente su propietario.

• ENS: Son las siglas del Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, siendo su aplicación en el ámbito de la administración electrónica del sector público. Su objeto es establecer la política de seguridad y crear las condiciones necesarias para la confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones y los servicios electrónicos, que permita el ejercicio de derechos y el cumplimiento de deberes a través de estos medios.

• Activo: En relación con la seguridad de la información, se refiere a cualquier información o elemento relacionado con el tratamiento de la misma (sistemas, soportes, edificios, personas...) que tenga valor para la organización.

• Amenaza: Causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización.

• Análisis de riesgos: Proceso para comprender la naturaleza del riesgo y determinar el nivel de riesgo.

• Tratamiento de riesgos: Proceso de modificar el riesgo, mediante la implementación de controles.

• Autenticidad: Propiedad de que una persona y o empresa que ha accedido y utilizado la información es lo que afirma ser.

PROPÓSITO

El propósito de esta Política de la Seguridad de la Información es proteger los activos de información de INTELEQUIA, asegurando para ello la disponibilidad, integridad y confidencialidad de la información y de las instalaciones, sistemas y recursos que la procesan, gestionan, transmiten y almacenan, siempre de acuerdo con los requerimientos del negocio y la legislación vigente.

ALCANCE

El alcance del Sistema de Gestión de Seguridad de la Información engloba los sistemas de información que soportan los servicios desarrollo, infraestructuras, soporte y formación que se realizan trabajando bajo soluciones de CMS, SaaS, PaaS e IaaS en nubes públicas, y los servicios de SOC (Security Operation Center) para nuestros clientes. La ejecución de estos trabajos se realiza en la sede Central ubicado en Santa Cruz de Tenerife, Avenida Manuel Hermoso Rojas 4, Torre I, Oficina 8. Propiedad de INTELEQUIA.

La presente Política de Seguridad de la Información es de aplicación a todas las personas, sistemas y medios que accedan, traten, almacenen, transmitan o utilicen la información conocida, gestionada o propiedad de INTELEQUIA para los procesos descritos.

El personal sujeto a esta política incluye a todas las personas con acceso a la información descrita, independientemente del soporte automatizado o no en el que se encuentre esta y de si el individuo es empleado o no de INTELEQUIA. Por lo tanto, también se aplica a los contratistas, clientes o cualquier otra tercera parte que tenga acceso a la información o los sistemas de INTELEQUIA.

Para garantizar que el proceso de seguridad implantado será actualizado y mejorado de forma continua, se implantará y documentará un Sistema de Gestión de la Seguridad de la Información. De esta forma, el contenido de la Política de Seguridad de la Información será desarrollado en normas y procedimientos complementarios de seguridad.

OBJETIVOS Y FUNDAMENTOS DE ESTA POLÍTICA

La información debe ser protegida durante todo su ciclo de vida, desde su creación o recepción, durante su procesamiento, comunicación, transporte, almacenamiento, difusión y hasta su eventual borrado o destrucción. Por ello, se establecen los siguientes principios mínimos:

• Principio de confidencialidad: los sistemas de información deberán ser accesibles únicamente para aquellas personas usuarias, órganos y entidades o procesos expresamente autorizados para ello, con respeto a las obligaciones de secreto y sigilo profesional.

• Principio de integridad y calidad: se deberá garantizar el mantenimiento de la integridad y calidad de la información, así como de los procesos de tratamiento de la misma, estableciéndose los mecanismos para asegurar que los procesos de creación, tratamiento, almacenamiento y distribución de la información contribuyen a preservar su exactitud y corrección.

• Principio de disponibilidad y continuidad: se garantizará un nivel de disponibilidad en los sistemas de información y se dotarán los planes y medidas necesarias para asegurar la continuidad de los servicios y la recuperación ante posibles contingencias graves.

• Principio de gestión del riesgo: se deberá articular un proceso continuo de análisis y tratamiento de riesgos como mecanismo básico sobre el que debe descansar la gestión de la seguridad de los sistemas de información.

• Principio de proporcionalidad en coste: la implantación de medidas que mitiguen los riesgos de seguridad de los sistemas de información deberá hacerse bajo un enfoque de proporcionalidad en los costes económicos y operativos, sin perjuicio de que se asegurará que los recursos necesarios para el sistema de gestión de seguridad de la información estén disponibles.

• Principio de concienciación y formación: se articularán iniciativas que permitan a las personas usuarias conocer sus deberes y obligaciones en cuanto al tratamiento seguro de la información. De igual forma, se fomentará la formación específica en materia de seguridad TIC de todas aquellas personas que gestionan y administran sistemas de información y telecomunicaciones.

• Principio de prevención: se desarrollarán planes y líneas de trabajo específicas orientadas a prevenir fraudes, incumplimientos o incidentes relacionados con la seguridad TIC.

• Principio de detección y respuesta: los servicios deben monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia respondiendo eficazmente, a través de los mecanismos establecidos al efecto, a los incidentes de seguridad.

• Principio de mejora continua: se revisará el grado de cumplimiento de los objetivos de mejora de la seguridad planificados anualmente y el grado de eficacia de los controles de seguridad TIC implantados, al objeto de adecuarlos a la constante evolución de los riesgos y del entorno tecnológico de la Administración Pública.

• Principio de seguridad TIC en el ciclo de vida de los sistemas de información: las especificaciones de seguridad se incluirán en todas las fases del ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control.

• Principio de función diferenciada: la responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios.

• Establecer las directrices y principios que regirán el modo en que la entidad, INTELEQUIA, gestionará y protegerá su información y sus servicios, a través de la implantación, mantenimiento y mejora del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

• Orientar las acciones sobre la Gestión de Seguridad de la Información que adopte y comprometa a INTELEQUIA, para que estén alineadas con los objetivos del negocio.

De manera específica para el correcto cumplimiento con el ENS, los objetivos de seguridad de la información se establecerán en las funciones y niveles pertinentes, enfocados a la mejora y utilizando como marco de referencia:

• Cambios en las necesidades de las partes interesadas que lleven a una mejora del alcance del sistema.

• Requisitos de seguridad de la información aplicables y los resultados de la apreciación y del tratamiento de los riesgos para garantizar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información.

• Factores internos como la aplicación de técnicas organizativas que mejoren el seguimiento de la tramitación y resolución de incidentes de seguridad.

• Factores externos como los avances tecnológicos, cuya aplicación mejoren la eficacia del tratamiento de los riesgos.

• La mejora de la eficacia de la formación y concienciación del personal que trabaja en INTELEQUIA y afecta a su desempeño en seguridad de la información.

Así mismo, la planificación para la consecución de los objetivos de seguridad de la información establecidos se realizará tomando en cuenta los siguientes elementos:

• Lo que se va a hacer.

• Los recursos necesarios.

• El responsable.

• Plazo de consecución.

• Indicadores para evaluar el resultado/cumplimiento

La Política de Seguridad de la Información es aprobada por la Dirección de INTELEQUIA y su contenido y el de las normas y procedimientos que la desarrollan es de obligado cumplimiento.

• Todos los usuarios con acceso a la información tratada, gestionada o propiedad de INTELEQUIA tienen la obligación y el deber de custodiarla y protegerla.

• La Política y las Normas de Seguridad de la Información se adaptarán a la evolución de los sistemas y de la tecnología y a los cambios organizativos y se alinearán con la legislación vigente y con los estándares y mejores prácticas de la norma ISO/IEC 27001:2022.

• Las medidas de seguridad y los controles físicos, administrativos y técnicos aplicables se detallarán en el Documento de Aplicabilidad y INTELEQUIA deberá establecer una planificación para su implantación y gestión.

• Las medidas de seguridad y los controles establecidos serán proporcionales a la criticidad de la información a proteger y a su clasificación.

• Los usuarios que incumplan la Política de Seguridad de la Información o las normas y procedimientos complementarios podrán ser sancionados de acuerdo con lo establecido en los contratos que amparen su relación con INTELEQUIA y con la legislación vigente y aplicable.

LIDERAZGO Y COMPROMISO DE LA DIRECCIÓN

La Dirección de INTELEQUIA se compromete a facilitar y proporcionar los recursos necesarios para el establecimiento, implantación, mantenimiento y mejora del ENS de la entidad, así como a demostrar liderazgo y compromiso respecto a este, a través de la constitución del Comité de Seguridad de la Información que tendrá la responsabilidad de:

• Asegurar el establecimiento de la presente política y los objetivos de la seguridad de la información, y que estos sean compatibles con la estrategia de INTELEQUIA.

• Asegurar la integración y el cumplimiento de los requisitos aplicables del ENS en los procesos de la organización.

• Asegurar que los recursos necesarios para el ENS estén disponibles.

• Comunicar la importancia de una gestión de la seguridad eficaz y conforme con los requisitos del ENS.

• Asegurar que el ENS consigue los resultados previstos.

• Dirigir y apoyar a las personas para contribuir a la eficacia del ENS.

• Promover la mejora continua.

• Apoyar otros roles pertinentes de la Dirección, liderando a sus áreas de responsabilidad en seguridad de la información.

REQUISITOS LEGALES

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 Abril del 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD).

• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

• Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.

• Ley 34/2002 de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

• Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

CLASIFICACIÓN DE LA INFORMACIÓN

La información se clasificará de acuerdo a la sensibilidad requerida en su tratamiento y a los niveles de seguridad y protección exigibles.

ROLES, RESPONSABILIDADES Y DEBERES

La dirección asigna y comunica las responsabilidades, autoridades y roles en lo referente a la seguridad de la información. También se asegurará de que los usuarios conocen, asumen y ejercen las responsabilidades, autoridades y roles asignados.

El Comité de Seguridad TIC estará formado por:

Este comité podrá ser auxiliado de manera esporádica por consultores externos.

El Comité de Seguridad TIC tendrá las siguientes funciones:

• Revisión anual de la política de seguridad.

• Desarrollo del procedimiento de designación de roles.

• Designación de roles y responsabilidades.

• Supervisión y aprobación de las tareas de seguimiento del ENS:

• Tareas de adecuación.

• Análisis de riesgos.

• Auditoría bienal.

• Velar por el cumplimiento de las normativas en materia de seguridad.

• Definición y seguimiento de las iniciativas y los objetivos estratégicos en la seguridad TIC

• Fijar las condiciones para satisfacer los requisitos de seguridad de la información.

• Aprobar los procedimientos de seguridad.

• Velar por la disponibilidad de los recursos necesarios para desarrollar las iniciativas y objetivos estratégicos de seguridad necesarios.

• Impulsar la elaboración de directrices en materia de seguridad de la información.

• Promover la formación y concienciación en materia de seguridad de la información.

• Velar por el correcto cumplimiento de la política de seguridad.

ROLES: FUNCIONES Y RESPONSABILIDADES

El responsable de la información tendrá las siguientes funciones y responsabilidades:

• Establecimiento de los requisitos de seguridad que garanticen el tratamiento de la información.

• Trabajar en colaboración con el Responsable de Seguridad y el Responsable del Sistema en la valoración de la información en las diferentes dimensiones de seguridad y el mantenimiento de los sistemas catalogados según Anexo I ENS.

• Velar por la correcta inclusión de cláusulas sobre seguridad en los contratos con terceras partes y su cumplimiento.

• Valorar las consecuencias de un impacto negativo sobre la seguridad de la información atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.

El responsable del servicio tendrá las siguientes funciones y responsabilidades:

• Establecimiento de los requisitos de los servicios prestados a través de medios electrónicos en materia de seguridad.

• Trabajar en colaboración con el Responsable de Seguridad y el Responsable del Sistema en la valoración de los servicios en las diferentes dimensiones de seguridad y el mantenimiento de los sistemas catalogados según el Anexo I del ENS.

• Valorar las consecuencias de un impacto negativo sobre la seguridad de la información atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos

• Incluir las especificaciones de seguridad en el ciclo de vida de los servicios y sistemas, acompañado de los procedimientos de control.

El responsable de seguridad tendrá las siguientes funciones y responsabilidades:

• Mantener la seguridad de la información correctamente manejada y de los servicios prestados siguiendo las directrices marcadas por el Comité de Seguridad de la Información y de acuerdo con lo establecido en la Política de Seguridad.

• Promover la formación y la concienciación en materia de seguridad siguiendo las directrices marcas por el Comité de Seguridad de la Información.

• Elaborar las propuestas de modificación y actualización de la política de seguridad

• Promover para su aprobación y seguimiento en el Comité de Seguridad las auditorías periódicas que permitan verificar el cumplimiento de las obligaciones en materia de seguridad.

• Desarrollar la política de seguridad mediante la elaboración de la normativa de seguridad.

• Analizar, completar y aprobar toda la documentación relacionada con la seguridad del sistema.

• Monitorizar el estado de seguridad del sistema proporcionado por las herramientas de gestión de eventos de seguridad y mecanismos de auditoria implementados en el sistema.

• Apoyar y supervisar la investigación de los incidentes de seguridad desde su notificación hasta su resolución.

• Proponer para su aprobación y seguimiento en el Comité de Seguridad las líneas de actuación en materia de seguridad de la información,

• Determinar las decisiones de seguridad pertinentes para satisfacer los requisitos establecidos por los responsables de la información y de los servicios. Siendo una persona física, jerárquicamente independiente del Responsable del Sistema.

• Elaborar el documento de Declaración de aplicabilidad.

• Actuar como capacitador de buenas prácticas en seguridad de las redes y sistemas de información, tanto en aspectos físicos como lógicos.

• Constituir el punto de contacto especializado para la coordinación con el CSIRT de referencia.

• Notificar a la autoridad competente, a través del CSIRT de referencia y sin dilación indebida, los incidentes que tengan efectos perturbadores en la prestación de los servicios.

• Recibir, interpretar y aplicar las instrucciones y guías emanadas de la Autoridad Competente, tanto para la operativa habitual como para la subsanación de las deficiencias observadas.

• Recopilar, preparar y suministrar información o documentación a la autoridad competente o el CSIRT de referencia, a su solicitud o por propia iniciativa.

El responsable del sistema tendrá las siguientes funciones y responsabilidades:

• Desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, incluyendo sus especificaciones, instalación y verificación de su correcto funcionamiento.

• Definir la topología y la gestión del sistema de información, estableciendo los criterios de uso y los servicios disponibles en el mismo.

• Cerciorarse de que las medidas de seguridad se integren adecuadamente en el marco general de seguridad.

• El Responsable del Sistema puede proponer la suspensión del tratamiento de una cierta información o la prestación de un determinado servicio si aprecia deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. La decisión final, que será tomada por la dirección de la entidad, debe ser acordada con los responsables de la información y los servicios afectados y el Responsable de la Seguridad.

PROCEDIMIENTOS DE DESIGNACIÓN

El Responsable de Seguridad de la Información será nombrado por a propuesta del Comité de Seguridad TIC. El nombramiento se revisará cada 2 años o cuando el puesto quede vacante.

El Departamento responsable de un servicio que se preste electrónicamente de acuerdo a la Ley 39/2015 designará al responsable del Sistema, precisando sus funciones y responsabilidades dentro del marco establecido por esta Política

RESOLUCIÓN DE CONFLICTOS

Sobre la resolución de conflictos entre los diferentes responsables prevalecerá la decisión de la Dirección que deberá ser comunicada al Comité de Seguridad de la Información.

EVALUACIÓN DE RIESGOS DE SEGURIDAD

Conocer los riesgos y elaborar una estrategia para gestionarlos adecuadamente es primordial para INTELEQUIA, ya que únicamente si se conoce el estado de seguridad podrán tomarse las decisiones adecuadas para mitigar los riesgos a los que se enfrenta.

Se utilizará la metodología Magerit para analizar los riesgos. Por ello, se realizará un análisis detallado de los riesgos que afecten a los activos recogidos en un inventario de activos, que quedará documentado en un documento de Análisis de Riesgos.

La entidad debe determinar los niveles de riesgo a partir de los cuales tomará acciones de tratamiento sobre los mismos. Un Riesgo se considera aceptable cuando implantar más controles de seguridad se estima que consumiría más recursos que el posible impacto asociado.

Una vez llevado a cabo el proceso de evaluación de riesgos, la dirección de INTELEQUIA será responsable de aprobar los riesgos residuales y los planes de tratamiento de riesgo.

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

• regularmente, al menos una vez al año

• cuando cambie la información manejada

• cuando cambien los servicios prestados

• cuando ocurra un incidente grave de seguridad

• cuando se reporten vulnerabilidades graves

Para la armonización de los análisis de riesgos, el Comité de Seguridad TIC establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad TIC dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.

RIESGOS QUE SE DERIVAN DEL TRATAMIENTO DE LOS DATOS PERSONALES

INTELEQUIA realiza un análisis de riesgos de materia de datos personales y aplica los siguientes criterios:

• Transparencia, licitud y lealtad en el tratamiento de datos

• Limitación de la finalidad del tratamiento

• Principio de minimización, recoger solo los datos estrictamente necesarios.

• Exactitud, los datos deben ser veraces y estar actualizados

• Plazo de conservación limitado al tiempo necesario para el cumplimiento de la finalidad

• Confidencialidad e integridad de los datos

PROYECTOS

Todos los proyectos relacionados o que afecten a los sistemas de información deberán incluir, en su proceso de análisis, una evaluación de los requisitos de seguridad y definir un modelo de seguridad consensuado con el responsable de seguridad de la información.

En el diseño, desarrollo, instalación y gestión de los sistemas de información y en los proyectos se tendrán en cuenta y aplicarán los conceptos de seguridad desde el diseño, codificación segura y los controles y medidas de seguridad que proceda según el documento de aplicabilidad aprobado por INTELEQUIA.

CONTRATACIÓN Y ADQUISICIONES

Todas las contrataciones y adquisiciones que supongan o requieran acceso o tratamiento de información clasificada como no pública, deberán realizarse amparadas por un contrato que incluya cláusulas destinadas a garantizar la salvaguarda de la confidencialidad, integridad y disponibilidad de información.

En aquellos casos en los que los servicios contratados supongan acceso o tratamiento por el proveedor de datos de carácter personal se deberá incluir en el contrato el clausulado requerido para el cumplimiento de la Ley Orgánica de Protección de Datos de Carácter Personal y sus desarrollos, así como el futuro desarrollo del Reglamento Europeo de Protección de Datos.

Las empresas y personas que con motivo de contrataciones de servicios o adquisiciones de cualquier tipo accedan a información confidencial o de uso interno, deberán conocer la Política de Seguridad de la Información y las normas y procedimientos complementarios que sean de aplicación para el objeto de la contratación.

Las empresas y personas externas que accedan a la información de INTELEQUIA deberán considerar dicha información, por defecto, como confidencial. La única información que podrán considerar como no confidencial es aquella que se haya obtenido a través de los medios de difusión pública.

CONCIENCIACIÓN, DIVULGACIÓN Y FORMACIÓN

La presente Política de Seguridad de la Información debe ser conocida por todos los usuarios internos y externos y por las empresas que accedan, gestionen o traten datos de INTELEQUIA.

El conjunto de Políticas, normas y procedimientos complementarios a esta Política de Seguridad de la Información también deberán ser adecuadamente comunicados y puestos en conocimiento de las personas, empresas e instituciones afectadas o implicadas en cada caso.

Se definirán, periódicamente, programas de comunicación, concienciación y formación y se entregará copia de la normativa correspondiente a los usuarios.

RESPUESTA A INCIDENTES DE SEGURIDAD

Cualquier compromiso de la confidencialidad, integridad o disponibilidad de la información de INTELEQUIA se considera un incidente de seguridad. Esto incluye, entre otros, el acceso, la eliminación, la destrucción, la modificación o la interrupción de la disponibilidad no autorizadas. También se consideran incidentes de seguridad los meros intentos de compromiso de las condiciones anteriores, los de evitar, alterar o modificar las medidas de seguridad o las violaciones o incumplimientos de la Política de Seguridad de la Información o de las normas y procedimientos complementarios.

Los usuarios son responsables de informar, de forma inmediata, de cualquier incidente de seguridad, a través de los canales y procedimientos definidos en la organización para la comunicación de incidencias.

TERCERAS PARTES

Cuando INTELEQUIA preste servicios a otros organismos o maneje información de otros organismos, se les hará partícipes de esta Política de Seguridad, se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad TIC y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.

Cuando INTELEQUIA utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias, para los cuales se considerará al firmante del contrato como el interlocutor en la resolución de incidentes, salvo expresa mención o designación en el contrato. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política. Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.

REVISIÓN Y AUDITORÍAS

El responsable de seguridad revisará esta política anualmente o cuando haya cambios significativos que así lo aconsejen, y la someterá de nuevo a aprobación por la dirección.

Las revisiones comprobarán la efectividad de la política, valorando los efectos de los cambios tecnológicos y de negocio.

La dirección será responsable de aprobar las modificaciones necesarias en el texto cuando se produzca un cambio que afecte a las situaciones de riesgo establecidas en el presente documento.

El sistema de gestión de seguridad se auditará cada año, según un plan de auditorías desarrollado por el responsable de seguridad.