Política de Seguridad de la Información

1. Objeto

La finalidad de esta política es facilitar las directivas o directrices que deben seguirse para proteger la información de la Organización de una amplia gama de amenazas.

2. Alcance

El alcance de la Política de Seguridad de la Información coincide con el alcance del SGSI que se establece en el documento “I-TIC-001 Contexto de la organización”.

3. Definiciones y siglas

A los efectos de una correcta interpretación de la presente Política, se incluyen las siguientes definiciones:

• Información: Datos que poseen significado, en cualquier formato o soporte. Se refiere a toda comunicación o representación de conocimiento.
• Sistema de Información: Se refiere a un conjunto de recursos relacionados y organizados para el tratamiento de información, según determinados procedimientos, tanto informáticos como manuales.

4. Especificaciones

4.1. Objetivos de la Política de Seguridad de la Información

Garantizar a los clientes y usuarios del servicio el acceso a la información con la calidad y nivel de servicio requeridos para el desempeño acordado, así como evitar pérdidas o alteración de la información y accesos no autorizados.

Se establece un marco para la consecución de los objetivos de seguridad de la información para la Organización. Dichos objetivos se alcanzarán a través de una serie de medidas organizativas y de normas concretas y claramente definidas.

Esta Política de Seguridad será mantenida, actualizada y adecuada a los fines de la organización.

Los principios que deben respetarse, en base a las dimensiones básicas de la seguridad, son los siguientes:

• Confidencialidad: Propiedad por la cual únicamente puede acceder a la información gestionada por INOXPA quién esté autorizado para ello, previa identificación, en el momento y por los medios habilitados.
• Integridad: propiedad que garantiza la validez, exactitud y completitud de la información gestionada por INOXPA, el contenido facilitado por los afectados sin manipulación y permitiendo que sea modificada solo por quien esté autorizado para ello.
• Disponibilidad: propiedad de ser accesible y utilizable en los intervalos acordados. La información gestionada por INOXPA es accesible y utilizable por los clientes y usuarios autorizados e identificados en todo momento, quedando garantizada su propia persistencia ante cualquier eventualidad prevista.

Adicionalmente, dado que cualquier Sistema de Gestión de la Seguridad de la Información debe cumplir con la legislación vigente, se atenderá al siguiente principio:

• Legalidad: referido al cumplimiento de las leyes, normas, reglamentaciones o disposiciones a las que está sujeta INOXPA, especialmente en materia de protección de datos personales.

4.2. Gestión del riesgo

La gestión de la Seguridad de la Información en INOXPA está basada en el riesgo, de conformidad con la Norma internacional ISO/IEC 27001:2022.

Se generarán proceso de forma periódica para identificar posibles riesgos potenciales que puedan afectar a la Seguridad de la información de los servicios prestados posteriormente se realizara el análisis de los mismos y se evaluara para tomar acciones de tratamiento mediante medidas o controles adecuados.

Dicho proceso es cíclico y debe llevarse a cabo de forma periódica, como mínimo una vez al año. Para cada riesgo identificado se asignará un propietario, pudiendo recaer múltiples responsabilidades en una misma persona o comité.

4.3. Roles, responsabilidades y autoridades

Descritos en el documento “N-TIC-007 Roles responsabilidades y autoridades”.

4.4. Objetivos del SGSI

El SGSI de INOXPA debe garantizar:

• Que se desarrollen políticas, normativas, procedimientos y guías operativas para apoyar la política de seguridad de la información.
• Que se identifique la información que deba ser protegida.
• Que se establezca y mantenga la gestión del riesgo alineada con los requerimientos de la política del SGSI y la estrategia de INOXPA.
• Que se establezca una metodología para la apreciación y tratamiento del riesgo.
• Que se establezcan criterios con los que medir el nivel de cumplimiento del SGSI.
• Que se corrijan las no conformidades mediante la implementación de acciones correctivas.
• Que el personal reciba formación y concienciación sobre la seguridad de la información.
• Que todo el personal sea informado sobre la obligación de cumplimiento de la política de seguridad de la información.
• La asignación de los recursos necesarios para gestionar el SGSI.
• La identificación y cumplimiento de todos los requerimientos legales, regulatorios y contractuales.
• Que se identifiquen y analicen las implicaciones de seguridad de la información respecto a los requerimientos de negocio.
• Que se mida el grado de madurez del propio sistema de gestión de la seguridad de la información.
• Que se realice la mejora continua sobre el SGSI.

4.5. Organización y responsabilidades

• La Dirección General de INOXPA es la responsable de aprobar la presente política.
• El Comité de Gestión de la Seguridad de la Información es responsable de revisar la presente política.
• El Responsable de seguridad del SGSI es el responsable de mantener la presente política.

4.6. Aplicación de la política

INOXPA ha desarrollado este documento que contiene la Política General para la Seguridad de la Información y que ha sido aprobada por la Dirección General y dada a conocer a todo el personal de la empresa.

4.7. Formación y concienciación

El Responsable de Seguridad del Sistema de Gestión de Seguridad de la Información debe garantizar que todo el personal involucrado en el SGSI conoce esta política, sus objetivos y procesos, a través de su divulgación, acciones formativas y acciones de concienciación.

El responsable de comunicación del SGSI debe garantizar la distribución de los documentos que aplican a cada nivel, de acuerdo a los diferentes roles definidos en la compañía.

4.8. Auditoría

La Dirección General de INOXPA debe garantizar y verificar, mediante auditorías internas y externas, el grado de cumplimiento de las directrices de esta Política y que éstas son operadas e implementadas correctamente, responsabilizándose del cumplimiento de las medidas correctivas que hayan podido determinarse con el fin de mantener la mejora continua.

4.9. Validez y actualización

Esta política es efectiva desde el momento de su publicación y se revisa como mínimo una vez al año.

5. Referencias

• I-TIC-001-Contexto de la organización
• N-TIC-007 Roles responsabilidades y autoridades

6. Sanciones

El incumplimiento de la Política de Seguridad de la Información y demás normativas y procedimientos que la desarrollen, llevará a la aplicación de sanciones, según la magnitud y características del aspecto no cumplido, según la legislación laboral vigente.

7. Ratificación

Todos los abajo firmantes asumen y aceptan plenamente el contenido de esta Política y se comprometen a aplicarla en sus respectivas áreas para conseguir el correcto funcionamiento del Sistema de Gestión de la Seguridad de la Información.

ㅤㅤㅤㅤㅤ

Banyoles, 14 de Mayo de 2024

ㅤㅤㅤㅤㅤ

La Dirección General

El responsable del SGSI

ㅤㅤㅤㅤㅤ