Introducción
Este documento expone la Política de Seguridad de la Información de Servicios Avanzados de Opinión, S.L. (en adelante SAO), como el conjunto de principios básicos y líneas de actuación a los que la organización se compromete, en el marco de las Norma ISO 27001.
La información es un activo crítico, esencial y de un gran valor para el desarrollo de la actividad de SAO. Este activo debe ser adecuadamente protegido, mediante las necesarias medidas de seguridad, frente a las amenazas que puedan afectarle, independientemente de los formatos, soportes, medios de transmisión, sistemas, o personas que intervengan en su conocimiento, procesado o tratamiento.
La seguridad de la información es la protección de este activo, con la finalidad de asegurar la calidad de la información y la continuidad del negocio, minimizar el riesgo y permitir maximizar el retorno de las inversiones y las oportunidades de negocio.
La seguridad de la información es un proceso que requiere medios técnicos y humanos y una adecuada gestión y definición de los procedimientos y en el que es fundamental la máxima colaboración e implicación de todo el personal de SAO.
La dirección de SAO, consciente del valor de la información, está profundamente comprometida con la política descrita en este documento.
Definiciones
Sistema de Información: conjunto organizado de recursos para que la información se pueda recoger, almacenar, procesar o tratar, mantener, usar, compartir, distribuir, poner a disposición, presentar o transmitir.
Riesgo: estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización.
Gestión de riesgos: actividades coordinadas para dirigir y controlar una organización con respecto a los riesgos.
Sistema de Gestión de Seguridad de la Información (SGSI): sistema de gestión que, basado en el estudio de los riesgos, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la seguridad de la información. El sistema de gestión incluye la estructura organizativa, las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos.
Disponibilidad: es necesario garantizar que los recursos del sistema se encontrarán disponibles cuando se necesiten, especialmente la información crítica.
Integridad: la información del sistema ha de estar disponible tal y como se almacenó por un agente autorizado.
Confidencialidad: la información sólo ha de estar disponible para agentes autorizados, especialmente su propietario.
Propósito
El propósito de esta Política de la Seguridad de la Información es proteger los activos de información de SAO, asegurando para ello la disponibilidad, integridad y confidencialidad de la información y de las instalaciones, sistemas y recursos que la procesan, gestionan, transmiten y almacenan, siempre de acuerdo con los requerimientos del negocio y la legislación vigente.
Alcance
El alcance del Sistema de Gestión de Seguridad de la Información engloba los sistemas de información que soportan los servicios de investigación social y de mercado (encuestas, estudios a medida y análisis de datos) que se realizan en las sedes de la organización ubicadas en Santa Cruz de Tenerife.
La presente Política de Seguridad de la Información es de aplicación a todas las personas, sistemas y medios que accedan, traten, almacenen, transmitan o utilicen la información conocida, gestionada o propiedad de SAO para los procesos descritos.
El personal sujeto a esta política incluye a todas las personas con acceso a la información descrita, independientemente del soporte automatizado o no en el que se encuentre esta y de si el individuo es empleado o no de SAO. Por lo tanto, también se aplica a los contratistas, clientes o cualquier otra tercera parte que tenga acceso a la información o los sistemas de SAO.
Para garantizar que el proceso de seguridad implantado será actualizado y mejorado de forma continua, se implantará y documentará un Sistema de Gestión de la Seguridad de la Información. De esta forma, el contenido de la Política de Seguridad de la Información será desarrollado en normas y procedimientos complementarios de seguridad.
Objetivos y Fundamentos de esta Política
La información debe ser protegida durante todo su ciclo de vida, desde su creación o recepción, durante su procesamiento, comunicación, transporte, almacenamiento, difusión y hasta su eventual borrado o destrucción. Por ello, se establecen los siguientes principios mínimos:
Principio de confidencialidad: los sistemas de información deberán ser accesibles únicamente para aquellas personas usuarias, órganos y entidades o procesos expresamente autorizados para ello, con respeto a las obligaciones de secreto y sigilo profesional.
Principio de integridad y calidad: se deberá garantizar el mantenimiento de la integridad y calidad de la información, así como de los procesos de tratamiento de la misma, estableciéndose los mecanismos para asegurar que los procesos de creación, tratamiento, almacenamiento y distribución de la información contribuyen a preservar su exactitud y corrección.
Principio de disponibilidad y continuidad: se garantizará un nivel de disponibilidad en los sistemas de información y se dotarán los planes y medidas necesarias para asegurar la continuidad de los servicios y la recuperación ante posibles contingencias graves.
Principio de gestión del riesgo: se deberá articular un proceso continuo de análisis y tratamiento de riesgos como mecanismo básico sobre el que debe descansar la gestión de la seguridad de los sistemas de información.
Principio de proporcionalidad en coste: la implantación de medidas que mitiguen los riesgos de seguridad de los sistemas de información deberá hacerse bajo un enfoque de proporcionalidad en los costes económicos y operativos, sin perjuicio de que se asegurará que los recursos necesarios para el sistema de gestión de seguridad de la información estén disponibles.
Principio de concienciación y formación: se articularán iniciativas que permitan a las personas usuarias conocer sus deberes y obligaciones en cuanto al tratamiento seguro de la información. De igual forma, se fomentará la formación específica en materia de seguridad TIC de todas aquellas personas que gestionan y administran sistemas de información y telecomunicaciones.
Principio de prevención: se desarrollarán planes y líneas de trabajo específicas orientadas a prevenir fraudes, incumplimientos o incidentes relacionados con la seguridad TIC.
Principio de detección y respuesta: los servicios deben monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia respondiendo eficazmente, a través de los mecanismos establecidos al efecto, a los incidentes de seguridad.
Principio de mejora continua: se revisará el grado de cumplimiento de los objetivos de mejora de la seguridad planificados anualmente y el grado de eficacia de los controles de seguridad TIC implantados, al objeto de adecuarlos a la constante evolución de los riesgos y del entorno tecnológico de la Administración Pública.
Principio de seguridad TIC en el ciclo de vida de los sistemas de información: las especificaciones de seguridad se incluirán en todas las fases del ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control.
La Política de Seguridad de la Información es aprobada por la Dirección de SAO y su contenido y el de las normas y procedimientos que la desarrollan es de obligado cumplimiento.
Todos los usuarios con acceso a la información tratada, gestionada o propiedad de SAO tienen la obligación y el deber de custodiarla y protegerla.
La Política y las Normas de Seguridad de la Información se adaptarán a la evolución de los sistemas y de la tecnología y a los cambios organizativos y se alinearán con la legislación vigente y con los estándares y mejores prácticas de la norma ISO/IEC 27001.
Las medidas de seguridad y los controles físicos, administrativos y técnicos aplicables se detallarán en el Documento de Aplicabilidad y SAO deberá establecer una planificación para su implantación y gestión.
Las medidas de seguridad y los controles establecidos serán proporcionales a la criticidad de la información a proteger y a su clasificación.
Los usuarios que incumplan la Política de Seguridad de la Información o las normas y procedimientos complementarios podrán ser sancionados de acuerdo con lo establecido en los contratos que amparen su relación con SAO y con la legislación vigente y aplicable.
Requisitos Legales
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 Abril del 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD).
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.
Ley 34/2002 de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.
Clasificación de la Información
La información se clasificará de acuerdo con la sensibilidad requerida en su tratamiento y a los niveles de seguridad y protección exigibles.
Roles, Responsabilidades y Deberes
La dirección asigna y comunica las responsabilidades, autoridades y roles en lo referente a la seguridad de la información. También se asegurará de que los usuarios conocen, asumen y ejercen las responsabilidades, autoridades y roles asignados.
Usuarios
Toda persona o sistema que acceda a la información tratada, gestionada o propiedad de SAO se considerará un usuario. Los usuarios son responsables de su conducta cuando acceden a la información o utilicen los sistemas informáticos de SAO. El usuario es responsable de todas las acciones realizadas utilizando sus identificadores o credenciales personales.
Los usuarios tienen la obligación de:
Cumplir la Política de Seguridad de la Información y las normas, procedimientos e instrucciones complementarias.
Proteger y custodiar la información de SAO, evitando la revelación, emisión al exterior, modificación, borrado o destrucción accidental o no autorizadas o el mal uso independientemente del soporte o medios por el que haya sido accedida o conocida.
Conocer y aplicar la Política de Seguridad de la Información, las Normas de Uso de los Sistemas de Información y el resto de políticas, normas, procedimientos y medidas de seguridad aplicables.
Dirección
La dirección de SAO está profundamente comprometida con la política descrita en este documento y es consciente del valor de la información y del grave impacto económico y de imagen que puede producir un incidente de seguridad.
La dirección asume las siguientes responsabilidades:
Demostrar liderazgo y compromiso con respecto al sistema de gestión de seguridad de la información.
Asegurar que se establecen la política y los objetivos de seguridad de la información y que estos son compatibles con la dirección estratégica de la organización.
Aprobar y comunicar la Política de Seguridad de la Información, las Normas de Uso de los Sistemas de Información y la importancia de su cumplimiento a todos los usuarios, internos o externos, a los clientes y a los proveedores.
Reunirse al menos una vez al año, y cuando cualquier evento o solicitud extraordinaria lo demande, con los Responsables de Seguridad y de Sistemas, para ser informado sobre el SGSI y actualizar la estrategia en materia de Seguridad de la Información.
Fomentar una cultura corporativa de seguridad de la información.
Apoyar la mejora continua de los procesos de seguridad de la información.
Asegurar que están disponibles los recursos necesarios para el cumplimiento de la política de seguridad de la información, de las normas de uso de los sistemas y para el funcionamiento del sistema de gestión de seguridad de la información.
Definir el enfoque para el análisis y la gestión de los riesgos de seguridad de la información y los criterios para asumir los riesgos y asegurar la evaluación de los mismos al menos con una periodicidad anual.
Asegurar que se realizan auditorías internas de seguridad de la información y que se revisan sus resultados para identificar oportunidades de mejora.
Definir y controlar el presupuesto para seguridad de la información.
Aprobar los planes de formación y las mejoras y proyectos relacionados con la Seguridad de la Información.
Aprobar la documentación hasta su segundo nivel de normas y procedimientos.
Determinar las medidas, sean disciplinarias o de cualquier otro tipo, que pudieran aplicarse a los responsables de violaciones de seguridad.
Responsable de Seguridad
La persona con el cargo de Responsable de Seguridad de la Información asumirá las siguientes funciones:
Promover la seguridad de la información manejada y de los servicios electrónicos prestados por los sistemas de información, con la responsabilidad y autoridad para asegurarse de que el Sistema de Gestión de la Seguridad de la Información cumple con los requisitos de la Norma UNE-ISO/IEC 27001.
Supervisar el cumplimiento de la presente Política, de sus normas, procedimientos derivados y de la configuración de seguridad de los sistemas.
Establecer las medidas de seguridad, adecuadas y eficaces para cumplir los requisitos de seguridad establecidos por la Dirección.
Promover las actividades de concienciación y formación en materia de seguridad en su ámbito de responsabilidad.
Realizar la coordinación y seguimiento de la implantación de los proyectos de adecuación a la norma ISO 27001, en colaboración con el Responsable de Sistemas.
Realizar con la colaboración del Responsable del Sistema, los preceptivos análisis de riesgos, de seleccionar las salvaguardas a implantar y de revisar el proceso de gestión del riesgo. Asimismo, junto al Responsable del Sistema, aceptar los riesgos residuales calculados en el análisis de riesgos.
Promover auditorías periódicas para verificar el cumplimiento de las obligaciones en materia de seguridad de la información y analizar los informes de auditoría, elaborando las conclusiones a presentar al Responsable del Sistema para que adopte las medidas correctoras adecuadas.
Coordinar el proceso de Gestión de la Seguridad, en colaboración con el Responsable de Sistemas.
Firmar la Declaración de Aplicabilidad, que comprende la relación de medidas de seguridad seleccionadas para un sistema.
Verificar que las medidas de seguridad son adecuadas para la protección de la información y los servicios.
Preparar los temas a tratar en las reuniones del Comité de Seguridad, en coordinación con el Responsable del Sistema, aportando información puntual para la toma de decisiones.
Responsable de la ejecución directa o delegada de las decisiones de la Dirección, se reunirá con esta y con el Responsable del Sistema, al menos con una frecuencia anual, para asegurar la estrategia.
Respecto a la documentación, y apoyándose en el Responsable del Sistema, son funciones del Responsable de Seguridad:
Proponer a la Dirección y al Responsable de Sistemas para su aprobación la documentación de seguridad de segundo nivel (Normas de Seguridad TIC –STIC– y Procedimientos Generales del Sistema de Gestión de la Seguridad de la Información –SGSI–) y firmar dicha documentación.
Aprobar la documentación de seguridad de tercer nivel (Procedimientos Operativos STIC e Instrucciones Técnicas STIC).
Mantener la documentación organizada y actualizada, gestionando los mecanismos de acceso a la misma.
Para el desarrollo de cualquiera de sus funciones el Responsable de Seguridad podrá recabar la colaboración del Responsable del Sistema.
Delegado de Protección de Datos
Siguiendo lo indicado en el RGPD y en la LOPDGDD, el Delegado de Protección de Datos tendrá como mínimo las siguientes funciones:
Informar y asesorar al responsable del tratamiento y a sus empleados de las obligaciones que les incumben en relación al RGPD y otras disposiciones de protección de datos.
Supervisar el cumplimiento de lo dispuesto en el presente Reglamento, de otras disposiciones de protección de datos de la Unión o de los Estados miembros y de las políticas del responsable o del encargado del tratamiento en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.
Ofrecer el asesoramiento que se le solicite acerca de la evaluación de impacto relativa a la protección de datos y supervisar su aplicación de conformidad con el artículo 35.
Cooperar con la autoridad de control.
Actuar como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento, incluida la consulta previa a que se refiere el artículo 36, y realizar consultas, en su caso, sobre cualquier otro asunto.
Responsable del Sistema
Serán funciones del Responsable del Sistema las siguientes:
Desarrollar, operar y mantener el Sistema de Información durante todo su ciclo de vida, de sus especificaciones, instalación y verificación de su correcto funcionamiento.
Definir la topología y sistema de gestión del Sistema de Información estableciendo los criterios de uso y los servicios disponibles en el mismo.
Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.
Realizar ejercicios y pruebas sobre los procedimientos operativos de seguridad y los planes de continuidad existentes.
Seguimiento del ciclo de vida de los sistemas: especificación, arquitectura, desarrollo, operación, cambios.
Implantar las medidas necesarias para garantizar la seguridad del sistema durante todo su ciclo de vida, de acuerdo con el Responsable de Seguridad.
Aprobar toda modificación sustancial de la configuración de cualquier elemento del sistema.
Suspender el manejo de una determinada información o la prestación de un servicio electrónico si es informado de deficiencias graves de seguridad, previo acuerdo con el Responsable de Seguridad y la Dirección.
Realizar con la colaboración del Responsable de Seguridad, los preceptivos análisis de riesgos, de seleccionar las salvaguardas a implantar y de revisar el proceso de gestión del riesgo. Asimismo, junto al Responsable de Seguridad, aceptar los riesgos residuales calculados en el análisis de riesgos.
Elaborar en colaboración con el Responsable de Seguridad, la documentación de seguridad de tercer nivel (Procedimientos Operativos STIC e Instrucciones Técnicas STIC).
El Administrador de la Seguridad del Sistema
Las funciones que desempeñará son las siguientes:
La implementación, gestión y mantenimiento de las medidas de seguridad aplicables al sistema de información.
La gestión, configuración y actualización, en su caso, del hardware y software en los que se basan los mecanismos y servicios de seguridad de los sistemas de información.
La gestión de las autorizaciones concedidas a los usuarios del sistema en particular, los privilegios concedidos, incluyendo la monitorización de que la actividad desarrollada en el sistema se ajusta a lo autorizado.
La aplicación de los procedimientos operativos de seguridad.
Aplicar los cambios de configuración del sistema de información.
Asegurar que los controles de seguridad establecidos son cumplidos estrictamente, así como asegurar que son aplicados los procedimientos aprobados para manejar el sistema de información.
Supervisar las instalaciones de hardware y software, sus modificaciones y mejoras para asegurar que la seguridad no está comprometida y que en todo momento se ajustan a las autorizaciones pertinentes.
Monitorizar el estado de seguridad del sistema proporcionado por las herramientas de gestión de eventos de seguridad y mecanismos de auditoría técnica implementados en el sistema.
Informar a los respectivos Responsables de cualquier anomalía, compromiso o vulnerabilidad relacionada con la seguridad.
Colaborar en la investigación y resolución de incidentes de seguridad, desde su detección hasta su resolución.
En SAO las responsabilidades del Administrador de la Seguridad del Sistema son ejercidas por el Responsable del Sistema.
Comité de Seguridad de la Información
Compuesto por el responsable de seguridad, el responsable del sistema y la dirección se reúne al menos semestralmente para coordinar la seguridad de la información a nivel de la organización.
Sus funciones son las siguientes:
Atender las inquietudes de la dirección y de sistemas.
Obtener una fotografía del estado de la seguridad de la información.
Promover la mejora continua del SGSI.
Elaborar la estrategia de evolución.
Revisar la Política, Normativa y procedimientos al menos anualmente.
Aprobar los requisitos de formación.
Priorizar actuaciones.
Promover la realización de auditorías del SGSI y técnicas.
Comprobar que la Seguridad de la Información está presente en todos los proyectos.
Evaluación de Riesgos de Seguridad
Conocer los riesgos y elaborar una estrategia para gestionarlos adecuadamente es primordial para SAO, ya que únicamente si se conoce el estado de seguridad podrán tomarse las decisiones adecuadas para mitigar los riesgos a los que se enfrenta.
Se utilizará la metodología Magerit para analizar los riesgos. Por ello, se realizará un análisis detallado de los riesgos que afecten a los activos recogidos en un inventario de activos, que quedará documentado en un documento de Análisis de Riesgos.
La entidad debe determinar los niveles de riesgo a partir de los cuales tomará acciones de tratamiento sobre los mismos. Un Riesgo se considera aceptable cuando implantar más controles de seguridad se estima que consumiría más recursos que el posible impacto asociado.
Una vez llevado a cabo el proceso de evaluación de riesgos, la dirección de SAO será responsable de aprobar los riesgos residuales y los planes de tratamiento de riesgo.
Proyectos
Todos los proyectos relacionados o que afecten a los sistemas de información deberán incluir, en su proceso de análisis, una evaluación de los requisitos de seguridad y definir un modelo de seguridad consensuado con el responsable de seguridad de la información.
En el diseño, desarrollo, instalación y gestión de los sistemas de información y en los proyectos se tendrán en cuenta y aplicarán los conceptos de seguridad desde el diseño, codificación segura y los controles y medidas de seguridad que proceda según el documento de aplicabilidad aprobado por SAO.
Contratación y Adquisiciones
Todas las contrataciones y adquisiciones que supongan o requieran acceso o tratamiento de información clasificada como no pública, deberán realizarse amparadas por un contrato que incluya cláusulas destinadas a garantizar la salvaguarda de la confidencialidad, integridad y disponibilidad de información.
En aquellos casos en los que los servicios contratados supongan acceso o tratamiento por el proveedor de datos de carácter personal se deberá incluir en el contrato el clausulado requerido para el cumplimiento de la Ley Orgánica de Protección de Datos de Carácter Personal y sus desarrollos, así como el futuro desarrollo del Reglamento Europeo de Protección de Datos.
Las empresas y personas que con motivo de contrataciones de servicios o adquisiciones de cualquier tipo accedan a información confidencial o de uso interno, deberán conocer la Política de Seguridad de la Información y las normas y procedimientos complementarios que sean de aplicación para el objeto de la contratación.
Las empresas y personas externas que accedan a la información de SAO deberán considerar dicha información, por defecto, como confidencial. La única información que podrán considerar como no confidencial es aquella que se haya obtenido a través de los medios de difusión pública.
Concienciación, Divulgación y Formación
La presente Política de Seguridad de la Información debe ser conocida por todos los usuarios internos y externos y por las empresas que accedan, gestionen o traten datos de SAO.
El conjunto de políticas, normas y procedimientos complementarios a esta Política de Seguridad de la Información también deberán ser adecuadamente comunicados y puestos en conocimiento de las personas, empresas e instituciones afectadas o implicadas en cada caso.
Se definirán, periódicamente, programas de comunicación, concienciación y formación y se entregará copia de la normativa correspondiente a los usuarios.
Respuesta a Incidentes de Seguridad
Cualquier compromiso de la confidencialidad, integridad o disponibilidad de la información de SAO se considera un incidente de seguridad. Esto incluye, entre otros, el acceso, la eliminación, la destrucción, la modificación o la interrupción de la disponibilidad no autorizadas. También se consideran incidentes de seguridad los meros intentos de compromiso de las condiciones anteriores, los de evitar, alterar o modificar las medidas de seguridad o las violaciones o incumplimientos de la Política de Seguridad de la Información o de las normas y procedimientos complementarios.
Los usuarios son responsables de informar, de forma inmediata, de cualquier incidente de seguridad, a través de los canales y procedimientos definidos en la organización para la comunicación de incidencias.
Revisión y Auditorías
El responsable de seguridad revisará esta política anualmente o cuando haya cambios significativos que así lo aconsejen y la someterá de nuevo a aprobación por la dirección.
Las revisiones comprobarán la efectividad de la política, valorando los efectos de los cambios tecnológicos y de negocio.
La dirección será responsable de aprobar las modificaciones necesarias en el texto cuando se produzca un cambio que afecte a las situaciones de riesgo establecidas en el presente documento.
El sistema de gestión de seguridad se auditará cada año, según un plan de auditorías desarrollado por el responsable de seguridad.
