Política de seguretat de la informació

Abast
Aquesta política s’aplica a tots els sistemes TIC de l’entitat i a tot el personal de EASY TECH GLOBAL i el personal extern que fa tasques dins de l’empresa, implicats en serveis i projectes, sense excepcions. És a dir: Els sistemes de la informació que donen suport a les activitats de desenvolupament, manteniment i implantació de serveis informàtics en aplicacions mòbils i web.

Missió i objectius de l’organització

EASY TECH GLOBAL, per a aconseguir els seus objectius assumeix el seu compromís amb la seguretat de la informació, comprometent-se a l’adequada gestió d’aquesta, amb la finalitat d’oferir a tots els seus grups d’interès les majors garanties entorn de la seguretat de la informació utilitzada.

Aquests sistemes han de ser administrats amb diligència, prenent les mesures adequades per a protegir-los enfront de danys accidentals o deliberats que puguin afectar la disponibilitat, integritat o confidencialitat de la informació tractada o els serveis prestats.

L’objectiu fonamental de EASY TECH GLOBAL respecte a la seguretat de la informació és garantir la qualitat de la informació i la prestació continuada dels serveis, actuant preventivament, supervisant l’activitat diària i reaccionant amb prestesa als incidents.

Per això l’organització estableix objectius generals:

• Establir i generar mesures de control concordes per a garantir el compliment dels requisits exigits per l’Esquema Nacional de Seguretat o legals que siguin necessaris a conseqüència de l’activitat desenvolupada, especialment pel que fa a la protecció de dades de caràcter personal i a la prestació de serveis a través de mitjans electrònics o telemàtics.
• Millorar contínuament el nostre sistema de seguretat de la informació.
• Identificar les amenaces potencials, així com l’impacte en les operacions de negoci que aquestes amenaces, cas de materialitzar-se, puguin causar.
• Preservar els interessos de les seves principals parts interessades (clients, accionistes, empleats i proveïdors), la reputació, la marca i les activitats de creació de valor.

• Treballar de manera conjunta amb els nostres subministradors i subcontractistes amb la finalitat de millorar la prestació de serveis de TI, la continuïtat dels serveis i la seguretat de la informació, que repercuteixin en una major eficiència de la nostra activitat.
• Garantir el correcte estat de les instal·lacions i l’equipament adequat, de manera tal que estiguin en correspondència amb l’activitat, objectius i metes de l’empresa.
• Assegurar una anàlisi de manera contínua de tots els processos rellevants, establint-se les millores pertinents en cada cas, en funció dels resultats obtinguts i dels objectius establerts.
• Avaluar i garantir la competència tècnica del personal, així com assegurar la motivació adequada d’aquest per a la seva participació en la millora contínua dels nostres processos, proporcionant la formació i la comunicació interna adequada perquè desenvolupin bones pràctiques definides en el sistema.
• Els departaments han d’estar preparats per a prevenir, detectar, reaccionar i recuperar-se d’incidents, d’acord amb l’Article 8 del Reial decret 311/2022, de 3 de maig, pel qual es regula l’Esquema Nacional de Seguretat (ENS) (Article 8. Prevenció, detecció, resposta i conservació).
• Realitzar un seguiment continu dels nivells de prestació de serveis, seguir i analitzar les vulnerabilitats reportades, i preparar una resposta efectiva als incidents per a garantir la continuïtat dels serveis prestats.

Marc normatiu

L’organització (EASY TECH GLOBAL) té la responsabilitat de complir els requisits legals aplicables i qualssevol altres requisits que subscrivim a més dels compromisos adquirits amb els clients, així com l’actualització contínua d’aquests. Per a això, el marc legal i regulador en el qual desenvolupem les nostres activitats és:

• REGLAMENT (UE) 2016/679 DEL PARLAMENT EUROPEU I DEL CONSELL de 27 d’abril de 2016 relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades.
• Llei orgànica 3/2018, de 5 de desembre, de Protecció de Dades Personals i garantia dels drets digitals.
• Reial decret legislatiu 1/1996, de 12 d’abril, Llei de Propietat Intel·lectual.
• Llei 2/2019, d’1 de març, per la qual es modifica el text refós de la Llei de Propietat Intel·lectual, aprovat pel Reial decret legislatiu 1/1996, de 12 d’abril, i pel qual s’incorporen a l’ordenament jurídic espanyol la Directiva 2014/26/UE del Parlament Europeu i del Consell, de 26 de febrer de 2014, i la Directiva (UE) 2017/1564 del Parlament Europeu i del Consell, de 13 de setembre de 2017.
• Reial decret 311/2022, de 3 de maig, pel qual es regula l’Esquema Nacional de Seguretat.
• Llei 34/2002 d’11 de juliol de Serveis de la Societat de la Informació i de Comerç Electrònic (LSSI).
• Llei 40/2015, d’1 d’octubre, de Règim Jurídic del Sector Públic.
• Llei 39/2015, d’1 d’octubre, del Procediment Administratiu Comú de les Administracions Públiques.
• Norma ISO/IEC 27001, d’implementació efectiva de la seguretat de la informació empresarial, desenvolupada en les normes ISO 27001 i ISO 27002.

Organització de seguretat de la Informació

La seguretat de la informació és el conjunt de mesures preventives i reactives que permeten resguardar i protegir la informació. És a dir, són totes aquelles polítiques d’ús i mesures que afecten el tractament de les dades que s’utilitzen en una organització. En aquest cas la responsabilitat essencial recau sobre la Direcció General de l’organització, ja que aquesta és responsable d’organitzar les funcions i responsabilitats i de facilitar els recursos adequats per a aconseguir el resguard, protecció i compliment dels objectius. Els directius són també responsables de donar bon exemple seguint les normes de seguretat establertes.

Aquests principis són assumits per la Direcció, qui disposa els mitjans necessaris i dota els seus empleats dels recursos suficients per al seu compliment, plasmant-se i fent-los públics a través de la present Política de Seguretat.

Els rols o funcions de seguretat definits són:

Com a part de l’organització de Seguretat de la informació s’establen els següents objectius:

• Garantir la confidencialitat, integritat, disponibilitat, autenticitat i traçabilitat de la informació.
• Proporcionar un marc per a augmentar la capacitat de resistència o resiliència per a donar una resposta eficaç.
• Resguardar els actius d’informació d’EASY TECH GLOBAL i la tecnologia que els suporta enfront de qualsevol amenaça, intencionada o accidental, interna o externa, amb la finalitat d’assegurar la confidencialitat, integritat i disponibilitat d’aquests.
• Assegurar la recuperació ràpida i eficient dels serveis, enfront de qualsevol desastre físic o contingència que pogués ocórrer i que posés en risc la continuïtat de les operacions.
• Prevenir incidents de seguretat de la informació en la mesura que sigui tècnica i econòmicament viable, així com mitigar els riscos de seguretat de la informació generats per les nostres activitats.
  

Comitè de Seguretat

El Comitè de Seguretat de la Informació és l’entitat que agrupa la gestió de la seguretat de la informació en l’organització, s’encarrega de la gestió i coordinació de la seguretat i és l’òrgan amb major responsabilitat dins del sistema de gestió de seguretat de la informació (SGSI), de manera que totes les decisions més importants relacionades amb la seguretat s’acorden per aquest comitè.

El comitè de seguretat de la informació està constituït per:

• Responsable de la Informació.
• Responsable dels Serveis.
• Responsable de la Seguretat.
• Responsable del Sistema.
• Direcció Empresa.
  

Aquests membres són designats pel comitè, únic òrgan que pot nomenar-los, renovar-los i cessar-los.

El Comitè de Seguretat de la Informació serà responsable d’implementar els mitjans i canals necessaris perquè el responsable de seguretat (RSEG) manegi informes d’incidents i anomalies del sistema. El Comitè també estarà al corrent, supervisarà la recerca, supervisarà l’evolució de la informació i promourà la resolució d’incidents de seguretat de la informació.

El comitè de seguretat és un òrgan autònom, executiu i amb autonomia per a la presa de decisions i que no ha de subordinar la seva activitat a cap altre element de la nostra empresa. 

Aquesta política es complementa amb la resta de les polítiques, normes, procediments i instruccions en vigor per a desenvolupar el nostre sistema de gestió.

Resolució de conflictes

Les diferències de criteris que poguessin derivar en un conflicte es tractaran en el si del Comitè de Seguretat i prevaldrà en tot cas el criteri de la Direcció General. 

Classificació de la informació 

EASY TECH GLOBAL classificarà i inventariarà els actius de la informació segons la seva naturalesa. El nivell de protecció i les mesures a aplicar es basaran en el resultat d’aquesta classificació.

Gestió de Riscos

Tots els sistemes subjectes a aquesta Política hauran de realitzar una anàlisi de riscos, avaluant les amenaces i els riscos als quals estan exposats. Aquesta anàlisi es revisa regularment:

• Almenys una vegada a l’any;
• Quan canviï la informació manejada;
• Quan canviïn els serveis prestats;
• Quan ocorri un incident greu de seguretat;
• Quan es reportin vulnerabilitats greus
  

Per a l’harmonització de les anàlisis de riscos, el Comitè de Seguretat TIC establirà una valoració de referència per als diferents tipus d’informació manejats i els diferents serveis prestats. El Comitè de Seguretat TIC dinamitzarà la disponibilitat de recursos per a atendre les necessitats de seguretat dels diferents sistemes, promovent inversions de caràcter horitzontal.

Per a la realització de l’anàlisi de riscos es tindrà en compte la metodologia d’anàlisi de riscos desenvolupada en el procediment Anàlisi de Riscos.

 Dades de caràcter personal

Tots els sistemes d’informació d’EASY TECH GLOBAL s’ajustaran als nivells de seguretat requerits per la normativa per a la naturalesa i finalitat de les dades de caràcter personal, li serà aplicable el que es disposa en Reglament Europeu 679/2016 de protecció de dades i en la Llei orgànica 3/2018, del 5 de desembre, de Protecció de Dades de Caràcter Personal i les seves normes de desenvolupament, sense perjudici dels requisits establerts en el marc regulador de l’Esquema Nacional de Seguretat en l’àmbit de l’Administració Electrònica.

Compromisos del responsable de Seguretat:

• El responsable de la seguretat (RSEG) és responsable de monitorar,
  documentar i analitzar els incidents de seguretat reportats, així com de comunicar-los al Comitè de Seguretat de la Informació i als propietaris d’informació.
• El responsable de seguretat (RSEG) participarà en la preparació del Compromís de Confidencialitat que signaran els empleats i tercers que exerceixin funcions en EASY TECH GLOBAL, en l’assessorament sobre les sancions que s’aplicaran per incompliment d’aquesta Política i en el tractament d’incidents de seguretat de la informació.
• Assegurar que els usuaris estiguin al corrent de les amenaces i preocupacions de seguretat de la informació i estiguin capacitats per a donar suport a la Política de Seguretat de la Informació de l’organització en el curs de les seves tasques normals.
• Garantir la seguretat de la informació quan s’utilitzen ordinadors portàtils i ordinadors personals per al treball remot.
• Reduir els riscos d’error humà, posada en marxa d’irregularitats, ús indegut d’instal·lacions i recursos, i maneig no autoritzat de la informació.
• El responsable de la seguretat (RSEG), juntament amb els titulars de la Informació, segons sigui procedent, definirà les mesures de seguretat física i ambiental per a la protecció dels actius crítics, sobre la base d’una anàlisi de riscos, i supervisarà la seva aplicació. També verificarà el compliment de les disposicions de seguretat física i mediambiental.
• Amb l’objectiu de fomentar la ‘Cultura de la seguretat’, el Comitè de Seguretat de la Informació promourà un programa de conscienciació contínua per formar tot el personal. 
• Implantar aquestes normatives i supervisar que es compleixin.
• Establir plans per a l’assegurament de la continuïtat d’operacions.
• Impulsar el disseny i implementació de DRP (pla de recuperació davant desastres).
• Impulsar i col·laborar amb les àrees de negoci per al disseny i implementació de pla de continuïtat del negoci (BCP).

Responsabilitats de RH

• RH inclourà funcions de seguretat de la informació en les descripcions dels treballs dels empleats, informarà tot el personal que contracti de les seves obligacions respecte al compliment de la Política de Seguretat de la Informació, gestionarà els Compromisos de Confidencialitat amb el personal i coordinarà les tasques de capacitació dels usuaris respecte a aquesta Política.
• Tot el personal d’EASY TECH GLOBAL és responsable d’informar sobre les febleses i incidents de seguretat de la informació que es detecten oportunament.
• Determinar la competència necessària del personal per a dur a terme el treball que afecta la Seguretat de la Informació.
• Cal assegurar que les persones siguin competents sobre la base de l’educació, capacitació o experiència adequades.
• Demostrar mitjançant la informació documentada que sigui necessària la competència del personal en matèria de Seguretat de la Informació.
• Explicar les responsabilitats de seguretat en l’etapa de reclutament del personal i incloure-les en els acords a signar i verificar el seu compliment durant l’acompliment de les tasques de l’empleat.

Obligacions del personal

• Acceptació d’acords de confidencialitat amb tot el personal i usuaris fora de les instal·lacions de processament d’informació.
• Establir les eines i mecanismes necessaris per a promoure la comunicació de les febleses de seguretat existents, així com els incidents, amb la finalitat de minimitzar els seus efectes i prevenir la seva reincidència.
• Tots els membres d’EASY TECH GLOBAL tenen l’obligació de conèixer i complir aquesta Política de Seguretat de la Informació i les altres normatives de seguretat de la informació, sent responsabilitat del Comitè de Seguretat TIC disposar els mitjans necessaris perquè la informació arribi als afectats
• Tots els membres d’EASY TECH GLOBAL assistiran a una sessió de conscienciació en matèria de seguretat TIC almenys una vegada a l’any. S’establirà un programa de conscienciació contínua per atendre tots els membres d’EASY TECH GLOBAL, en particular als de nova incorporació.
• Les persones amb responsabilitat en l’ús, operació o administració de sistemes TIC rebran formació per al maneig segur dels sistemes en la mesura en què la necessitin per a fer el seu treball. La formació serà obligatòria abans d’assumir una responsabilitat, tant si és la seva primera assignació o si es tracta d’un canvi de lloc de treball o de responsabilitats en aquest.
• Tot el personal amb responsabilitat en l’ús, operació, o administració de sistemes de tecnologies de la informació i les comunicacions tenen l’obligació de conèixer i complir aquesta Política de Seguretat de la Informació i la normativa de seguretat derivada, independentment del tipus de relació jurídica que els vinculi amb l’organització.
• L’incompliment de la Política de Seguretat i la seva normativa de desenvolupament donarà lloc a l’establiment de mesures preventives i correctives encaminades a salvaguardar i protegir les xarxes i sistemes d’informació, sense perjudici de la corresponent exigència de responsabilitat disciplinària.
• Els usuaris són responsables de les seves credencials i de no divulgar-les ni compartir-les.
• Tots els usuaris tenen l’obligació i responsabilitat de notificar al responsable de Seguretat en cas de tenir sospita o ser víctima d’un incident de seguretat de la informació.

Instrument de desenvolupament

S’ha establert un marc normatiu de seguretat de la informació l’estructura del qual està segregada en diferents nivells de manera tal que els objectius marcats en aquest document tinguin un desenvolupament específic:

Les normes són proposades pel responsable de seguretat i les aprova el Comitè de seguretat de la Informació mentre que els procediments i instruccions la seva aprovació dependrà del seu àmbit d’aplicació, que podrà ser en un àmbit específic o en un sistema d’informació determinat.

Relacions amb tercers 

EASY TECH GLOBAL com a prestador de serveis o quan cedeixi informació a terceres parts, se’ls farà partícips d’aquesta Política de Seguretat de la Informació i de les normes, procediments i instruccions derivades. 

D’igual forma, quan EASY TECH GLOBAL utilitzi serveis de tercers o cedeixi informació a tercers se’ls farà igualment partícips d’aquesta Política de Seguretat de la Informació i de la normativa, procediments i instruccions de seguretat que concerneixi aquests serveis o informació. Els tercers quedaran subjectes a les obligacions i mesures de seguretat establertes en aquesta normativa i instruccions, podent desenvolupar els seus propis procediments operatius per a satisfer-la. S’establiran procediments específics de detecció i resolució d’incidències. Es garantirà que el personal de tercers està adequadament conscienciat en matèria de seguretat de la informació, almenys al mateix nivell que l’establert en aquesta Política de Seguretat de la Informació. 

En concret, els tercers hauran de garantir el compliment de la política de seguretat de la informació basada en estàndards auditables que permetin verificar el compliment d’aquestes polítiques.

Quan algun aspecte de la Política de la Seguretat de la Informació no pugui ser satisfet per una tercera part, es requerirà un informe del responsable de Seguretat de la Informació que precisi els riscos en què s’incorre i la manera de tractar-los. Es requerirà l’aprovació d’aquest informe pel responsable de la Informació i dels Serveis afectats.