1. OBJETIVO DE LA POLÍTICA

El objetivo de la Seguridad de la Información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes. Los sistemas de información deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la disponibilidad, integridad, confidencialidad, autenticidad, trazabilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios

2. ALCANCE

Por su carácter de política general es de obligado conocimiento y cumplimiento por parte de todas las áreas de la compañía, tanto en sus relaciones internas como con otras organizaciones. Esta política abarca toda la información utilizada por Seitech Solutions S.L. (en adelante Seitech) para el desarrollo de sus actividades.

3. ESPECIFICACIONES

3.1 PRINCIPIOS GENERALES DE SEGURIDAD DE LA INFORMACIÓN

Seitech concede un interés prioritario y el máximo apoyo a la protección de la información por su carácter estratégico y como medio para asegurar la continuidad del negocio. Esta Política, por tanto, persigue la adopción, implantación y operatividad continuada de protocolos y procedimientos que consideren la preservación, al menos, de los tres componentes básicos de la seguridad de la información:

• Confidencialidad: Garantizar que sólo accedan a los datos y a los sistemas las personas debidamente autorizadas.
• Integridad: Garantizar la exactitud de la información y de los sistemas contra la alteración, pérdida o destrucción, ya sea de forma accidental o intencionada.
• Disponibilidad: Garantizar que la información y los sistemas pueden ser utilizados en la forma y tiempo requeridos.

Esta Política será considerada en la ejecución de todas las fases del ciclo de vida de la información: generación, distribución, almacenamiento, procesamiento, transporte, consulta y destrucción, y de los sistemas que los procesan (análisis, diseño, desarrollo, implantación, operación y mantenimiento). La seguridad de la información incumbe a todo el personal de la Organización por lo que está Política debe ser conocida, comprendida y asumida por todos los niveles de la Organización. La Política debe ser comunicada a toda la Organización y estar a disposición de las partes interesadas./

La alta dirección es la responsable de que este documento sea accesible y conocido por todas las partes interesadas.

Las relaciones con terceras empresas colaboradoras deben de estar amparadas siempre por las debidas garantías en el uso y tratamiento de la información.

3.2 ORGANIZACIÓN Y RESPONSABILIDADES.

La función de Seguridad de la Información se establecerá bajo las siguientes estructuras:

▪ Estructura de Supervisión: Se encarga de verificar la correcta implantación y operación de los requisitos de seguridad que se hayan establecido, de cara a mantener la alineación con los objetivos y de cumplir con las normas y legislación aplicable. Forman parte de esta estructura: – La Dirección General – El/La Responsable de Seguridad de la Información. – El Comité de Seguridad de la Información.

▪ Estructura de Operación: La estructura de operación de la seguridad debe asumir la administración operativa de la seguridad de los sistemas de información, implantando en dichos sistemas las medidas necesarias para satisfacer los requisitos de seguridad establecidos por la estructura de supervisión. Forman parte de esta estructura: – El/la Responsable del Sistema de Información – Los usuarios de los sistemas

Todo usuario de los sistemas de información es responsable del uso adecuado que haga de los mismos y de cumplir con los controles y recomendaciones establecidas en los correspondientes protocolos elaborados de manera alineada a esta Política.

3.3 OBJETIVOS DE LA SEGURIDAD DE LA INFORMACIÓN.

Con el objetivo de contribuir a minimizar y controlar los riesgos de la Organización, se definirán una serie de objetivos reales y medibles.

Dichos objetivos deberán ser medidos, al menos, semestralmente y revisados anualmente con el fin de encontrarse alineados con la estrategia de Seitech.

3.4 APLICACIÓN DE LA POLÍTICA DE SEGURIDAD.

Con objetivo de aplicar los principios expuestos en esta Política, se precisa la definición, elaboración, implantación y mantenimiento de planes de actuación o de acciones de mejora continua.

La elaboración de estos Planes y Acciones deberá basarse en procesos formales de análisis de riesgos, criterios de evaluación y gestión de riesgos o necesidades objetivas de negocio, que permitan implantar las soluciones idóneas.

A nivel operativo, se desarrollarán los propios procedimientos, estándares y guías de seguridad, que garanticen la integridad, confidencialidad y disponibilidad de la información. Así mismo, se definirán las normas de gestión de seguridad de la información necesarias, acordes con estándares internacionales reconocidos, para asegurar el seguimiento efectivo y eficiente de las acciones en seguridad, así como de los procesos de revisión y mejora continua de la seguridad.

3.5 CUMPLIMIENTO NORMATIVO.

Seitech tiene el compromiso de velar por el cumplimiento de la legislación vigente devenida de la protección y seguridad de la información considerando su objeto, razón social y finalidad de negocio, así como por razón de los servicios de tecnologías de la información que presta o pudiera prestar.

Se identificarán los requerimientos de las leyes aplicables en el tratamiento y seguridad de la información y se establecerán los mecanismos y medidas adecuadas y razonables para su cumplimiento.

Se velará en todo momento por el cumplimiento de normas de rango superior (leyes, normas y disposiciones legales) que sean de aplicación por la naturaleza y objeto de negocio, teniendo prevalencia, cuando apliquen, sobre las directrices contenidas en esta Política de Seguridad de la información e incluso sobre requerimientos de Clientes asociados a la prestación de servicios contratados.

Se considerarán también las normas que provengan de organismos supranacionales de los que España sea miembro y la normativa comunitaria y/o extracomunitaria, en razón a las áreas de prestación de servicios por parte de Seitech Solutions S.L.

3.6 CLASIFICACIÓN Y TRATAMIENTO DE LA INFORMACIÓN.

La información deberá estar clasificada en virtud de su importancia para la organización y ha de ser tratada según dicha clasificación, acorde a lo dispuesto en la normativa sobre clasificación y tratamiento de la información.

3.7 FORMACIÓN Y CONCIENCIACIÓN.

El método más efectivo de mejorar la seguridad es mediante la formación continuada y su incorporación a la actividad laboral.

Dentro de los planes de formación se incluirán cursos específicos sobre seguridad de la información acorde con el área destinataria y público objetivo según se considere necesario. Así mismo, se realizarán campañas periódicas de concienciación sobre seguridad dirigidas a todo el personal a través del medio que se considere más efectivo.

Se contará con los mecanismos adecuados que garanticen la disponibilidad de la información para que esta pueda ser utilizada cuando sea necesario y en aquellos términos y condiciones que se consideren.

3.8 TERCERAS PARTES.

Cuando Seitech utilice servicios o maneje información de terceros, les hará partícipes de esta Política de Seguridad de la Información.

El Comité de Seguridad de la Información establecerá canales para reporte y coordinación de los respectivos Comités de Seguridad y establecerá procedimientos de actuación para la reacción ante incidentes de seguridad.

Cuando Seitech preste servicios a otros organismos o ceda información a terceros, les hará partícipe de esta Política de Seguridad de la Información y de las Instrucciones y Procedimientos que atañan a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias.

Se exigirá que el personal de terceros esté adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.

3.9 GESTIÓN DE LA CONTINUIDAD DE NEGOCIO.

Seitech dispondrá de los mecanismos adecuados que garanticen la disponibilidad de la información para que esta pueda ser utilizada cuando sea necesario en actividades asociadas a asegurar la continuidad de negocio, en aquellos términos y condiciones que se consideren.

3.10 DESARROLLO DE LA POLITICA DE SEGURIDAD DE LA INFORMACIÓN Y ESTRUCTURA DOCUMENTAL.

Esta Política de Seguridad de la Información se desarrollará mediante la elaboración de otras políticas o normativas de seguridad que aborden aspectos específicos. A raíz de dichas políticas y normativas se podrán desarrollar procedimientos, instrucciones o registros que describan con mayor detalle la forma de llevarlas a cabo.

3.11 AUDITORÍA.

Los sistemas de información, de manera total o parcial se someterán periódicamente a auditorías internas y externas con la finalidad de verificar su correcto funcionamiento, determinando grados de cumplimiento y recomendando medidas correctoras para una mejora continua.

3.12 INCUMPLIMIENTO.

Las desviaciones y excepciones de incumplimiento de alguno de los principios o directrices definidas en la presente política, deberán justificarse por motivos de negocio y deben ser consensuadas con el Responsable de Seguridad de la Información. En caso contrario, el incumplimiento total o parcial de lo recogido en este documento tendrá como resultado los apercibimientos que se consideren, conforme a la magnitud, impacto y características de lo no cumplido, independientemente del perfil del infractor conforme régimen sancionador establecido según convenio y estatuto de los trabajadores.

3.13 MEJORA CONTINUA.

Se considera fundamental velar por la mejora continua, por ello, definirá acciones que permitan mejorar el desempeño de la organización en cuanto a la disponibilidad, integridad y confidencialidad de la información.

3.14 VIGENCIA, REVISIÓN Y APROBACIÓN

La Política de Seguridad de la Información entrará en vigor desde el mismo día de su publicación. Así mismo, dicha política deberá ser revisada al menos una vez al año. Política Aprobada por la Dirección Seitech Solutions S.L. el 18 de Julio de 2024