Política de seguridad de la información
1.POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
1.1 Objetivos
El objetivo principal de la presente Política de Seguridad de la Información de GRUPO VÉRTICE es la definición de las medidas organizativas, técnicas, físicas y legales, necesarias para proteger los activos de información (entendidos como datos de los Sistemas de información de necesarios para el buen funcionamiento de la compañía o especialmente sensibles que requieran de ser protegidos) contra actuaciones no autorizadas (entendidas como accesos, divulgación, duplicación, interrupción de sistemas, modificación, destrucción, pérdida, robo, o mal uso), que se puedan producir de forma intencional o accidental.
1.2 Alcance
La presente Política es aplicable a todos los empleados del grupo GRUPO VÉRTICE, así como colaboradores, contratistas y proveedores externos que tengan acceso a los activos de la información propiedad de la Organización.
1.3 Cumplimiento
El cumplimiento de la Política de Seguridad de la Información es obligatorio. Si los empleados, colaboradores, contratistas o proveedores externos violan esta Política, la Organización se reserva el derecho de tomar las medidas correspondientes.
1.4 Aprobación y Revisiones
La aprobación de la Política de Seguridad de la Información, así como de sus modificaciones corresponde al departamento TI. La Política deberá ser revisada, como mínimo, una vez al año o cuando se produzcan cambios significativos en los sistemas de información.
2.DESCRIPCIÓN DE LA POLÍTICA
2.1 Introducción
A través de esta Política se difunden los objetivos de seguridad de la información de Grupo Vértice, que se consiguen a través de la aplicación de controles de seguridad, para gestionar un nivel de riesgo aceptable. Este documento tiene el objetivo de garantizar la continuidad de los servicios, minimizar la probabilidad de explotar las amenazas, y asegurar el eficiente cumplimiento de los objetivos de negocio y de las obligaciones legales conforme al ordenamiento jurídico vigente y los requisitos de seguridad destinados a impedir infracciones y violaciones de seguridad en GRUPO VÉRTICE.
2.2 Organización de Seguridad
La Dirección de TI es responsable de definir, coordinar y controlar la gestión necesaria para mitigar los riesgos asociados a la seguridad de la información en GRUPO VÉRTICE.
2.3 Seguridad de la información
El término “Seguridad de la Información” se refiere a la protección de los activos de información contra la revelación, modificación o destrucción no autorizada, ya sea ocasionada de forma accidental o intencionada. Los atributos de seguridad asociados a los activos de información son:
- Confidencialidad: Propiedad por la que la información se pone a disposición o se revela únicamente a individuos, entidades o procesos autorizados.
- Integridad: Propiedad de salvaguardar la exactitud y completitud de los activos de información.
- Disponibilidad: Propiedad de ser accesible y, utilizable por entidad o personal autorizado en el momento requerido
2.4 Directrices de la Política
La Dirección de GRUPO VÉRTICE considera que la consecución de los objetivos del grupo se encuentra sujeta al cumplimiento de diversos requerimientos encaminados a garantizar la Seguridad de la Información dentro de la Organización. De esta manera, se considera que la Seguridad de la Información debe ser una prioridad y para ello, la presente Política establece las siguientes directrices:
- El acceso: Nuestros clientes pueden acceder de una forma segura a la información que generamos en su nombre al prestarle servicio, además el acceso a los recursos de información estará basado en el principio de mínimo privilegio, lo cual será llevado a cabo mediante una correcta definición de roles y perfiles, garantizando una adecuada segregación de funciones, tanto en los sistemas como en la gestión de la seguridad.
- Confianza: Mantener la confianza con todos nuestros clientes, así como las demás partes implicadas en la funcionalidad de la entidad.
- Mejora cultura: Promover y Fortalecer la cultura de la Seguridad en los empleados.
- La integridad: Trabajamos para evitar que la información pueda ser manipulada o incompleta. Salvaguardamos la exactitud y completitud de la información.
- La confidencialidad: Únicamente las personas autorizadas por nuestros clientes pueden acceder a la información.
- La Organización deberá cumplir con todos aquellos requerimientos legales, regulatorios y estatuarios que le sean de aplicación, así como los requerimientos contractuales.
- La confidencialidad de la información deberá garantizarse en todo momento.
- La integridad de la información deberá asegurarse a través de todos los procesos que la gestionan, procesan y almacenan.
- La disponibilidad de la información deberá garantizarse mediante las adecuadas medidas de respaldo y continuidad de negocio.
- GRUPO VÉRTICE garantizará que todo el personal dentro del alcance de la Política dispondrá de la adecuada formación y concienciación en materia de Seguridad de la Información.
- Todo incidente o debilidad que pueda comprometer o haya comprometido la confidencialidad, integridad y/o disponibilidad de la información, deberá ser registrado y analizado para aplicar las correspondientes medidas correctivas y/o preventivas.
2.5 Comité de Seguridad de la Información
Se constituye un Comité de Seguridad compuesto, al menos, por:
- La Dirección General Corporativa
- Personal del departamento TI, al menos el responsable del sistema de seguridad.
El Comité se reunirá periódicamente para tratar cualquier incidente en seguridad o cambios en la política o procedimientos.
2.6 Cumplimiento Legal
La presente Política establece la necesidad de cumplir con todos los requerimientos legislativos, normativos y contractuales que le sean de aplicación a GRUPO VÉRTICE y los activos de información gestionados.
Toda solución de servicios o infraestructura tecnológica debe garantizar que su selección está de acuerdo con las condiciones contractuales, de legislación y regulación externa e interna, para el debido cumplimiento de los regímenes legales a los cuales está sometida la Organización.
2.6.1 Protección de Datos
Los estándares de seguridad son de obligatorio cumplimiento para los empleados y los colaboradores con acceso a los datos de carácter personal y a los sistemas de información.
Los requisitos definidos por la normativa vigente aplicable relacionados con el tratamiento de datos de carácter personal tienen que ser difundidos y entendidos por el personal.
2.7 Compromiso de la Dirección
El compromiso de la Dirección de GRUPO VÉRTICE con lo establecido en la Política de Seguridad de la Información para apoyar el cumplimiento de los objetivos del negocio es firme, este compromiso se refleja en la aprobación, difusión y revisión de la propia Política.
Las Políticas de Seguridad de la Información serán aprobadas por la Dirección de GRUPO VÉRTICE, reflejando claramente su compromiso, apoyo e interés en el desarrollo de una cultura de Seguridad de la Información.
2.8 Referencias
Los estándares y mejores prácticas referenciados son los siguientes:
- ISO/IEC 27002: Proporciona recomendaciones de las mejores prácticas en la gestión de la seguridad de la información para los responsables de iniciar, implantar o mantener sistemas de gestión de seguridad de la información.
- ISO 27001:2022: Norma de referencia y en torno a la que gira todo nuestro sistema de gestión y documentación.