Política de Seguridad de la Información

1. OBJETO

La presente Política de Seguridad de la Información tiene por objeto establecer los principios, compromisos, directrices y el marco general de actuación en materia de seguridad de la información de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U., con el fin de garantizar la protección de la información, los sistemas de información y los servicios que soportan su actividad.

Esta Política constituye el marco de referencia para la implantación, mantenimiento y mejora continua del Sistema de Gestión de Seguridad de la Información (SGSI), asegurando el cumplimiento de los requisitos del Esquema Nacional de Seguridad (ENS), de la Norma ISO/IEC 27001:2023 y del resto de requisitos legales, reglamentarios, contractuales y organizativos que resulten de aplicación.

Asimismo, esta Política establece el compromiso de la Dirección con la gestión de la seguridad de la información, definiendo los principios generales que deberán regir todas las actuaciones de la organización en esta materia y sirviendo de base para el desarrollo de la normativa interna, los procedimientos y el resto de la información documentada del SGSI.

2. INTRODUCCIÓN

La información, los sistemas de información y los servicios que soportan la actividad de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. constituyen activos esenciales para el cumplimiento de sus objetivos y la prestación de sus servicios.

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. gestiona su seguridad mediante un enfoque basado en riesgos y mejora continua, orientado a preservar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información durante todo su ciclo de vida, conforme al Esquema Nacional de Seguridad (ENS), la Norma UNE-EN ISO/IEC 27001:2023 y los demás requisitos aplicables.

La presente Política establece el marco común de seguridad para el personal, colaboradores y terceros con acceso a la información, los sistemas de información o los activos de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U.

3. ALCANCE

El Sistema de Gestión de Seguridad de la Información (SGSI) de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. comprende las actividades, procesos, personas, información, servicios, sistemas de información, aplicaciones, infraestructuras y demás activos utilizados para la prestación de los siguientes servicios:

• Diseño, desarrollo, implantación, alojamiento, administración, operación, mantenimiento y soporte de productos de software propios y aplicaciones web a medida.
• Desarrollo, gestión y mantenimiento de plataformas de comercio electrónico y proyectos web.
• Diseño y producción de identidad visual, imagen de marca y contenidos multimedia.
• Prestación de servicios de consultoría tecnológica asociados a las actividades anteriores.

También quedan comprendidos los procesos internos y servicios de apoyo necesarios para la prestación, gestión, seguridad y continuidad de dichos  servicios.

Las actividades incluidas en el alcance se coordinan desde la sede situada en Calle Puerto 11, Local 1, 38410 Los Realejos, Tenerife, sin perjuicio de que puedan desarrollarse mediante trabajo remoto o utilizando centros de datos, servicios en la nube e infraestructuras de terceros debidamente autorizados y controlados.

El SGSI tiene como finalidad proteger la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información tratada, de acuerdo con los requisitos legales, reglamentarios, contractuales y de seguridad aplicables.

La presente Política de Seguridad de la Información es de obligado cumplimiento para todo el personal de la organización, así como para colaboradores, proveedores y terceros que tengan acceso a la información, los sistemas o los activos incluidos en el alcance. Las obligaciones aplicables a entidades externas se establecerán mediante los correspondientes contratos, acuerdos de confidencialidad, encargos de tratamiento u otros instrumentos jurídicos.

Quedan fuera del alcance:

• Los sistemas de información cuya titularidad, administración y control correspondan exclusivamente a los clientes, siempre que Echeide no tenga responsabilidades de gestión, mantenimiento, soporte o seguridad sobre ellos.
• Los equipos personales y dispositivos no autorizados ni gestionados por la organización.
• Los procesos, actividades y activos corporativos que no intervengan ni tengan impacto en la prestación, gestión, seguridad o continuidad de los servicios incluidos.
• Los componentes internos de las infraestructuras de terceros sobre los que Echeide no tenga capacidad de administración o control directo, sin perjuicio de la gestión de los riesgos, responsabilidades, dependencias y garantías de seguridad asociadas a dichos proveedores.

Los límites, interfaces, dependencias, ubicaciones, exclusiones justificadas y criterios de aplicabilidad del SGSI y, cuando corresponda, del sistema sujeto al Esquema Nacional de Seguridad (ENS), se desarrollan en el documento DOCSI.00.01.00 – Alcance del Sistema de Gestión de Seguridad de la Información (SGSI).

3.1. Misión y objetivos de la organización

La misión de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. es diseñar, desarrollar, implantar, alojar, administrar, operar, mantener y prestar soporte a productos de software propios, aplicaciones web a medida, plataformas de comercio electrónico y otros proyectos web, así como proporcionar servicios de diseño y producción de identidad visual, imagen de marca y contenidos multimedia, y servicios de consultoría tecnológica asociados.

La organización desarrolla estas actividades procurando una prestación segura, fiable y continuada de sus servicios, y protegiendo adecuadamente la información, los sistemas, las infraestructuras y los demás recursos que los sustentan.

En el marco de esta misión, E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. establece los siguientes objetivos generales:

• Prestar sus servicios de forma segura, fiable y conforme con los requisitos aplicables y con los compromisos asumidos con clientes y otras partes interesadas.
• Proteger la información, los sistemas y los servicios frente a accesos, alteraciones, pérdidas, destrucciones, indisponibilidades o usos no autorizados.
• Preservar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y de los servicios, de acuerdo con los riesgos y requisitos aplicables.
• Gestionar la seguridad de la información mediante procesos formales de identificación, análisis, evaluación y tratamiento de riesgos.
• Prevenir, detectar, comunicar, gestionar y resolver los incidentes de seguridad, procurando reducir sus efectos y evitar su repetición.
• Mantener, revisar y probar las medidas y planes de contingencia, recuperación y continuidad necesarios para asegurar la prestación de los servicios.
• Garantizar que el personal conozca sus responsabilidades en materia de seguridad y reciba la formación y concienciación necesarias para el manejo adecuado de la información.
• Establecer y exigir las medidas de seguridad correspondientes cuando se comparta información o se permita el acceso a activos de la organización por parte de proveedores, colaboradores u otras entidades externas.
• Cumplir los requisitos legales, reglamentarios, contractuales y de seguridad de la información aplicables, incluidos los derivados del Esquema Nacional de Seguridad cuando corresponda.
• Mantener y mejorar continuamente la seguridad de la información y la eficacia del Sistema de Gestión de Seguridad de la Información.

Estos objetivos generales constituyen el marco para definir los objetivos específicos de seguridad de la información de la organización. Dichos objetivos deberán ser coherentes con esta Política y con los riesgos identificados, contar con responsables y recursos, ser medibles cuando resulte posible y someterse a seguimiento y evaluación periódica.

La definición, planificación, seguimiento y evaluación de los objetivos específicos se documentará en el REGSI.00.06.00.

4. REFERENCIAS

La presente Política se fundamenta en las siguientes referencias:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS).
• UNE-EN ISO/IEC 27001:2023, Sistemas de gestión de la seguridad de la información. Requisitos.
• UNE-EN ISO/IEC 27002:2023, Seguridad de la información, ciberseguridad y protección de la privacidad. Controles de seguridad de la información.
• PSI.02.00.00 – Procedimiento de Cumplimiento Legal y Normativo
• REGSI.02.01.00 – Listado de Requisitos Legales y Normativos.
• Normativa interna del Sistema de Gestión de Seguridad de la Información (SGSI) de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U.

El marco legal, reglamentario, normativo y contractual aplicable a las actividades y sistemas incluidos en el alcance se identifica y mantiene actualizado conforme al PSI.02.00.00 – Cumplimiento Legal y Normativo y al REGSI.02.01.00 – Listado de Requisitos Legales y Normativos.

5. RELACIÓN CON EL ESQUEMA NACIONAL DE SEGURIDAD E ISO/IEC
27001:2023

La presente Política constituye el documento marco del Sistema de Gestión de Seguridad de la Información (SGSI) de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. y establece los principios, compromisos y directrices generales aplicables a la seguridad de la información.

La siguiente tabla identifica sus principales correspondencias con el Esquema Nacional de Seguridad (ENS) y la Norma UNE-EN ISO/IEC 27001:2023:

La trazabilidad detallada entre los requisitos y medidas del ENS, los requisitos y controles de la UNE-EN ISO/IEC 27001:2023 y la información documentada que soporta su implantación se mantiene en el REGSI.02.00.00 – Declaración de Aplicabilidad (SoA) ENS + ISO/IEC 27001.

6. COMPROMISO DE LA DIRECCIÓN

La Dirección de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. asume el liderazgo y compromiso con el Sistema de Gestión de Seguridad de la Información (SGSI) y con la protección de la información, los sistemas de información y los servicios incluidos en su alcance.

La Dirección:

• aprueba y promueve la presente Política y su integración en los procesos de la organización;
• proporciona los recursos necesarios para el establecimiento, mantenimiento y mejora del SGSI;
• asegura la asignación de las funciones, responsabilidades y autoridades necesarias para la gestión de la seguridad;
• promueve la gestión de los riesgos y la aplicación de medidas de seguridad proporcionales a los riesgos identificados y a la categoría de los sistemas;
• promueve la formación, concienciación y participación del personal en la protección de la información;
• asegura el cumplimiento de los requisitos legales, reglamentarios, contractuales y demás requisitos aplicables;
• promueve el seguimiento, evaluación y mejora continua de la eficacia del SGSI.

El SGSI se orienta a preservar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y de los sistemas, mantener la continuidad de los servicios y alcanzar los objetivos de seguridad establecidos por E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U.

Los objetivos específicos de seguridad se establecen, planifican, siguen y revisan mediante la información documentada del SGSI en REGSI.00.06.00 Objetivos.

7. PRINCIPIOS DE SEGURIDAD

La gestión de la seguridad de la información de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. se fundamenta en los principios básicos establecidos por el Esquema Nacional de Seguridad (ENS), integrados con el enfoque de gestión de riesgos y mejora continua del SGSI.

7.1. Seguridad como proceso integral

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. gestiona la seguridad como un proceso integral que comprende los elementos humanos, materiales, técnicos, jurídicos y organizativos relacionados con los sistemas de información y los servicios incluidos en el alcance del SGSI.

La seguridad se integra en la gestión ordinaria y durante todo el ciclo de vida de los sistemas y servicios, conforme a los procesos y controles establecidos en la información documentada del SGSI.

7.2. Gestión de riesgos

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. gestionará la seguridad de la información sobre la base de la identificación, análisis, evaluación, tratamiento y seguimiento continuo de los riesgos que puedan afectar a la información, los servicios, los sistemas y los demás activos incluidos en el alcance del SGSI.

La gestión de riesgos se realizará mediante una metodología reconocida, coherente con los requisitos del Sistema de Gestión de Seguridad de la Información y del Esquema Nacional de Seguridad cuando resulte aplicable.

La metodología, las escalas de valoración y los criterios para determinar y aceptar el riesgo se establecerán en el PSI.11.00.00 – Procedimiento de Identificación, Análisis, Evaluación y Tratamiento de Riesgos.

El análisis tendrá en consideración, al menos:

• La información, los servicios, los sistemas y los demás activos afectados.
• Las amenazas, vulnerabilidades y escenarios de riesgo relevantes.
• La probabilidad de materialización y sus posibles consecuencias.
• Los requisitos legales, reglamentarios, contractuales y de seguridad aplicables.
• Los riesgos derivados de proveedores, servicios externos y de la cadena de suministro.
• Los riesgos para los derechos y libertades de las personas cuando se traten datos personales.
• Los controles existentes, su eficacia y el riesgo residual resultante.

En los sistemas sujetos al Esquema Nacional de Seguridad, la valoración del impacto y la categorización tendrán en cuenta las dimensiones de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad, así como la naturaleza de la información tratada y de los servicios prestados.

La organización establecerá criterios formales de aceptación del riesgo. Cada riesgo contará con un responsable que realizará su seguimiento y promoverá su tratamiento. La aceptación del riesgo residual corresponderá a la persona u órgano con autoridad suficiente, de acuerdo con las responsabilidades y niveles de aprobación definidos por la organización.

Los riesgos se tratarán mediante alguna de las siguientes opciones: modificación o reducción del riesgo mediante controles; evitación de la actividad que lo origina; compartición o transferencia; o aceptación justificada del riesgo residual. Las medidas adoptadas deberán ser adecuadas y proporcionales al nivel de riesgo identificado.

El análisis y tratamiento de riesgos se revisará con la periodicidad establecida por la organización y, al menos, una vez al año. También se revisará cuando:

• Se produzcan cambios significativos en la información tratada, los servicios prestados, los sistemas, las tecnologías o los procesos.
• Se incorporen nuevos servicios, proveedores o dependencias relevantes.
• Se produzcan incidentes graves o se identifiquen amenazas o vulnerabilidades críticas que alteren el nivel de riesgo.
• Se produzcan cambios relevantes en los requisitos legales, reglamentarios o contractuales.
• Cambien sustancialmente los tratamientos de datos personales o sus riesgos para los derechos y libertades de las personas.
• Los resultados de auditorías, revisiones, pruebas o actividades de vigilancia indiquen que los controles pueden resultar insuficientes.
• Se produzca cualquier otra circunstancia que pueda modificar significativamente el contexto o la valoración de los riesgos.

La categoría de los sistemas sujetos al ENS se reevaluará anualmente y siempre que se produzcan modificaciones significativas en los criterios utilizados para determinarla.

La gestión de riesgos quedará documentada en el REGSI.11.01.00 – Registro de Inventario, Análisis, Evaluación y Tratamiento de Riesgos, junto con las decisiones adoptadas, los responsables, los plazos, el estado de las medidas y la aceptación de los riesgos residuales.

Asimismo, se mantendrán actualizados el Plan de Tratamiento de Riesgos y la Declaración de Aplicabilidad. Esta última será aprobada por el responsable de la seguridad cuando resulte exigible conforme al ENS, sin perjuicio de su revisión o conocimiento por el Comité de Seguridad.

7.3. Prevención

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. debe evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad.

Para ello se implementarán las medidas mínimas de seguridad determinadas por el ENS, RGPD y la LOPD, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos.

Estos controles, incluyendo la segregación de funciones en tareas críticas y los roles y responsabilidades de seguridad de todo el personal, van a estar claramente definidos y documentados. Para garantizar el cumplimiento de la política,E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. debe:

• Autorizar los sistemas antes de entrar en operación.
• Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
• Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.
• Desarrollo Seguro: Se establecerán directrices para garantizar que el código fuente desarrollado, la gestión de bases de datos y la configuración de contenedores o proxys sigan prácticas de desarrollo seguro. Los pases a producción y la gestión de versiones estarán controlados para evitar vulnerabilidades en los productos entregados a los clientes

7.4. Detección

Dado que los servicios se pueden degradar rápidamente debido a incidentes, que van desde una simple desaceleración hasta su detención, es preciso monitorizar la operación de manera continua, para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el Artículo 10 del ENS y la Cláusula 9.1 de ISO/IEC 27001.

La monitorización es especialmente relevante cuando se establecen líneas de defensa de acuerdo con el Artículo 9 del ENS. Se establecerán mecanismos de detección, análisis y reporte que lleguen a los responsables, tanto regularmente, como cuando se produzca una desviación significativa de los parámetros que se hayan preestablecido como normales.

7.5. Respuesta

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. establecerá las siguientes medidas:

• Mecanismos para responder eficazmente a los incidentes de seguridad asegurando el registro, la preservación de evidencias y el aprendizaje continuo para evitar su reincidencia
• Designar un punto de contacto para las comunicaciones con respecto a incidentes detectados en otros departamentos o en otros organismos, asumiendo las obligaciones de notificación legal ante las autoridades y centros de respuesta competentes (INCIBE-CERT / CCN-CERT).
• Establecerá protocolos de intercambio de información sobre posibles incidentes con clientes y proveedores.

7.6. Recuperación

Para garantizar la disponibilidad de los servicios y la resiliencia de sus sistemas de información, E-CHEIDE dispone de los medios y técnicas necesarios que permiten asegurar la recuperación de los servicios esenciales frente a incidentes.

Esto incluye la gestión rigurosa de copias de seguridad de repositorios de código, bases de datos y recursos gráficos pesados, apoyándose en infraestructuras de almacenamiento redundante (como servidores NAS internos en las instalaciones) y entornos cloud aislados. Estos procesos, planificados mediante el correspondiente análisis de impacto, serán objeto de pruebas y simulacros periódicos para asegurar su efectividad técnica y organizativa.

7.7. Vigilancia continua y reevaluación periódica

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. mantiene mecanismos de vigilancia continua que permiten detectar actividades o comportamientos anómalos y evaluar de forma permanente el estado de seguridad de los sistemas.

La vigilancia y el seguimiento de la seguridad se realizan conforme al PSI.41.00.00 – Procedimiento de Monitorización de la Seguridad y sus resultados se apoyan, cuando corresponda, en el REGSI.42.01.00 – Registro de Métricas e Indicadores de Seguridad.

Las medidas de seguridad se reevalúan y actualizan conforme a la evolución de los riesgos, los sistemas, los servicios y los requisitos aplicables, de acuerdo con el PSI.11.00.00 – Procedimiento de Identificación, Análisis, Evaluación y Tratamiento de Riesgos.

7.8. Líneas de defensa

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. dispone su estrategia de protección mediante múltiples capas de seguridad, constituidas por medidas de naturaleza organizativa, física y lógica, de forma que el fallo de una de ellas no comprometa por sí solo la seguridad del sistema.

Las líneas de defensa se establecen conforme al análisis de riesgos y a la arquitectura de seguridad definida en el DOCSI.12.00.00 – Arquitectura de Seguridad.

7.9. Diferenciación de responsabilidades

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. diferencia las responsabilidades en materia de seguridad conforme a la estructura de gobierno establecida en esta Política y en la NORSI.07.01.00 – Normativa de Roles y Responsabilidades. La asignación de funciones y la segregación aplicada se mantienen de forma coherente con las responsabilidades y autoridades establecidas y se documentan, cuando corresponda, en el REGSI.18.01.00 – Perfiles de Puestos, Roles y Responsabilidades.

7.10. Proporcionalidad

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. aplica las medidas de seguridad de forma proporcional a los riesgos, a la naturaleza de la información y los servicios y a la categoría de los sistemas, evitando actuaciones insuficientes o innecesarias.

La determinación y adecuación de las medidas se realiza considerando los resultados de la gestión de riesgos establecida en el PSI.11.00.00 – Procedimiento de Identificación, Análisis, Evaluación y Tratamiento de Riesgos, la categoría del sistema documentada en el REGSI.06.01.00 – Categorización del Sistema y las medidas y controles aplicables identificados en el REGSI.02.00.00 – Declaración de Aplicabilidad (SoA) ENS + ISO/IEC 27001.

7.11. Seguridad desde la concepción y por defecto

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. incorpora la seguridad desde la concepción de los sistemas y servicios y durante todo su ciclo de vida. Los sistemas se configuran por defecto con las funcionalidades y privilegios estrictamente necesarios para su operación y para el cumplimiento de su finalidad.

La aplicación de estos principios se desarrolla mediante el PSI.13.00.00 – Procedimiento de Adquisición de Componentes, Productos y Servicios TIC, el PSI.68.00.00 – Procedimiento de Desarrollo Seguro y Puesta en Producción y el PSI.23.00.00 – Procedimiento de Gestión de la Configuración Segura (Bastionado).

8. ORGANIZACIÓN DE LA SEGURIDAD

8.1. Estructura de gobierno de la seguridad

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. mantiene una estructura de gobierno que asigna las funciones, responsabilidades y autoridades necesarias para gestionar la seguridad de la información y el SGSI.

La estructura comprende la Dirección, el Comité de Seguridad de la Información, el Responsable de la Información, el Responsable del Servicio, el Responsable de Seguridad y el Responsable del Sistema, así como los demás roles que resulten necesarios conforme a la organización y al alcance del sistema.

Las funciones, responsabilidades, autoridades, incompatibilidades, suplencias y mecanismos de coordinación se desarrollan en la NORSI.07.01.00 – Normativa de Roles y Responsabilidades.

8.2. Comité y Organización de la Seguridad de la Información

El Comité de Seguridad de la Información constituye el órgano de coordinación y seguimiento de la seguridad de la información de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U.

Su ámbito de responsabilidad comprende la coordinación de los responsables de seguridad, el seguimiento del estado del SGSI y del cumplimiento del ENS, y la elevación a la Dirección de las decisiones o actuaciones que excedan de sus competencias.

La composición del Comité comprende:

Su composición concreta y las personas designadas se formalizan mediante la ACTSI.07.01.00 – Acta de Constitución y Designación del Comité de Seguridad de la Información. Su funcionamiento y relación con los demás órganos y responsables de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. se desarrollan en la NORSI.07.01.00 – Normativa de Roles y Responsabilidades y sus reuniones y acuerdos se evidencian mediante la ACTSI.07.03.00 – Acta de Reunión del Comité de Seguridad de la Información.

8.3. Roles y responsabilidades

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. establece, al menos, las siguientes responsabilidades en materia de seguridad:

Las funciones y responsabilidades detalladas se establecen en la NORSI.07.01.00 – Normativa de Roles y Responsabilidades.

El Comité de Seguridad tendrá las funciones:

• Promover la mejora continua del Sistema de Gestión de la Seguridad de la Información.
• Elaborar la estrategia de evolución de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. en lo que respecta a seguridad de la información.
• Coordinar los esfuerzos de los diferentes departamentos en materia de seguridad de la información, para asegurar que los esfuerzos son consistentes, alineados con la estrategia decidida en la materia, y evitar duplicidades.
• Elaborar (y revisar regularmente) la Política de Seguridad de la Información para que sea aprobada por la organización.
• Aprobar la normativa de seguridad de la información.
• Elaborar y aprobar los requisitos de formación y calificación de los Responsables de área, técnicos y usuarios desde el punto de vista de seguridad de la información.
• Monitorizar los principales riesgos residuales asumidos por E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. y recomendar posibles actuaciones respecto de ellos.
• Monitorizar el desempeño de los procesos de gestión de incidentes de seguridad y recomendar posibles actuaciones al respecto. En particular, velar por la coordinación de los diferentes departamentos en la gestión de incidentes de seguridad de la información.
• Promover la realización de auditorías periódicas que permitan verificar el cumplimiento de las obligaciones del organismo en materia de seguridad.
• Aprobar planes de mejora de la seguridad de la información de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. En particular, velará por la coordinación de diferentes planes que puedan realizarse en diferentes departamentos.
• Priorizar las actuaciones en materia de seguridad cuando los recursos sean limitados.
• Velar porque la seguridad de la información se tenga en cuenta en todos los proyectos TIC desde su especificación inicial hasta su puesta en operación. En particular, deberá velar por la creación y utilización de servicios horizontales que reduzcan duplicidades y apoyen un funcionamiento homogéneo de todos los sistemas TIC.
• Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.
• Informar regularmente del estado de la seguridad de la información a la Dirección.

Serán funciones y responsabilidades del Responsable del Servicio:

• Establecer los requisitos del servicio en materia de seguridad, incluyendo los requisitos de interoperabilidad, accesibilidad y disponibilidad.
• Determinar los niveles de seguridad de los servicios.
• Aprobar formalmente el nivel de seguridad del servicio y aceptar el riesgo residual sobre la prestación del mismo.

Responsable de la Información:

• Velar por el buen uso de la información y por su adecuada protección.
• Establecer los requisitos de la información en materia de seguridad (confidencialidad, integridad y trazabilidad).
• Determinar los niveles de seguridad de la información y aprobarlos formalmente.
• Asumir la propiedad de los riesgos sobre la información y la aceptación formal del riesgo residual en su ámbito de competencia.

Responsable de Seguridad:

• Determinar las medidas de seguridad que deben aplicarse según el Anexo II del ENS, para satisfacer los requisitos establecidos por los Responsables de la Información y del Servicio.
• Promover, realizar y supervisar el Análisis y Gestión de Riesgos.
• Mantener el nivel adecuado de seguridad de la información manejada y de los servicios prestados.
• Realizar o promover las auditorías periódicas de seguridad que exige el ENS.
• Gestionar la formación y concienciación en materia de seguridad TIC.
• Revisar, completar y aprobar la documentación normativa relacionada con la seguridad del sistema (incluyendo la Declaración de Aplicabilidad).
• Apoyar y supervisar la gestión e investigación de los incidentes de seguridad, emitiendo informes periódicos al Comité.

Responsable del Sistema:

• Desarrollar, operar y mantener el Sistema de Información durante todo su ciclo de vida, desde su especificación e instalación hasta su retirada.
• Implantar, configurar y controlar las medidas específicas de seguridad del Sistema dictaminadas por el Responsable de Seguridad.
• Implantar y administrar los mecanismos de control de acceso técnico de usuarios según las directrices aprobadas por los Responsables de Información y Servicio.
• Aprobar los cambios técnicos que afecten al modo de operación del Sistema.
• Determinar la configuración autorizada de hardware y software a utilizar en la
  infraestructura y aprobar las modificaciones de dicha configuración.
• Elaborar la documentación técnica y operativa del Sistema (procedimientos operativos, manuales de instalación y mantenimiento).
• Establecer y ejecutar técnica y operativamente los planes de contingencia y continuidad, llevando a cabo ejercicios y simulacros periódicos.
• Determinar la suspensión temporal del manejo de cierta información o la prestación de un servicio si detecta deficiencias graves de seguridad o ante ciberincidentes graves, notificándolo de inmediato al Responsable de Seguridad y a la Dirección.
• Notificar inmediatamente al Responsable de Seguridad cualquier deficiencia grave o incidente de seguridad detectado en la infraestructura.

8.4. Designación, renovación y resolución de conflicto

Los responsables y miembros de los órganos de gobierno de la seguridad se designan formalmente por el órgano competente de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. Las designaciones identifican a la persona, función asignada, fecha de efectos y, cuando corresponda, aceptación.

Las designaciones se mantienen vigentes hasta su sustitución, cese o modificación y se actualizan cuando se producen cambios en las personas, funciones o estructura organizativa.

La designación y sus modificaciones se documentan mediante la ACTSI.07.01.00 – Acta de Constitución y Designación del Comité de Seguridad de la Información o mediante el correspondiente acto o resolución de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U.

Los conflictos entre responsables se resuelven conforme al mecanismo establecido en la NORSI.07.01.00 – Normativa de Roles y Responsabilidades, elevándose al órgano superior competente cuando no puedan resolverse en el nivel correspondiente.

9. GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

9.1. Estructura y gestión de la documentación

La presente Política constituye el marco de referencia del SGSI y se desarrolla mediante políticas, normativas, procedimientos, instrucciones técnicas, planes, registros y demás información documentada necesaria para su funcionamiento.

La documentación se identifica, aprueba, revisa, mantiene, distribuye y controla conforme al PSI.01.00.00 – Procedimiento de Control de la Información Documentada. El acceso se limita conforme a su clasificación y a las autorizaciones establecidas.

La documentación vigente del SGSI y su estado de control se mantienen identificados en el REGSI.01.01.00 – Listado de Información Documentada.

9.2. Gestión de incidentes de seguridad

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. identifica, comunica, registra, analiza y gestiona los incidentes de seguridad, adoptando las medidas de respuesta, recuperación y mejora correspondientes y realizando las comunicaciones o notificaciones exigibles.

La gestión de incidentes se realiza conforme al PSI.28.00.00 – Procedimiento de Gestión de Incidentes de Seguridad de la Información y se documenta en el REGSI.30.01.00 – Registro de Incidentes de Seguridad.

9.3. Continuidad y recuperación

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. mantiene las capacidades necesarias para asegurar la continuidad y recuperación de los servicios y sistemas incluidos en el alcance, de acuerdo con su criticidad, los riesgos identificados y los requisitos de disponibilidad aplicables.

La continuidad y recuperación se gestionan conforme al PSI.38.00.00 – Procedimiento de Gestión de la Continuidad y al PLSI.38.01.00 – Plan de Continuidad, y se soportan mediante el REGSI.37.01.00 – Registro de Análisis de Impacto en el Negocio (BIA), el REGSI.39.01.00 – Registro / Informe de Pruebas de Continuidad y el REGIS.40.01.00 – Inventario de Medios Alternativos.

9.4. Protección de datos personales

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. garantizará la protección de los datos personales que trate en calidad de responsable o encargado del tratamiento, de conformidad con el Reglamento (UE) 2016/679, General de Protección de Datos; la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales; y el resto de requisitos legales, reglamentarios y contractuales que resulten aplicables.

Los requisitos aplicables en materia de protección de datos se identificarán, actualizarán y evaluarán conforme al PSI.02.00.00 – Procedimiento de Cumplimiento Legal y Normativo, y se registrarán en el REGSI.02.01.00 – Listado de Requisitos Legales y Normativos.

Los tratamientos de datos personales se realizarán respetando los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva.

• La organización establecerá y mantendrá las medidas necesarias para:
• Identificar y documentar las finalidades y las bases jurídicas de los tratamientos.
• Mantener actualizado el registro de actividades de tratamiento en los términos establecidos por la normativa.
• Facilitar a las personas interesadas la información correspondiente y garantizar el ejercicio de sus derechos.
• Aplicar la protección de datos desde el diseño y por defecto.
• Determinar los plazos de conservación y efectuar la supresión o anonimización de los datos cuando dejen de ser necesarios.
• Analizar los riesgos que los tratamientos puedan ocasionar para los derechos y libertades de las personas.
• Realizar una evaluación de impacto relativa a la protección de datos antes de iniciar aquellos tratamientos que probablemente entrañen un alto riesgo.
• Implantar medidas técnicas y organizativas apropiadas al nivel de riesgo identificado.
• Seleccionar encargados del tratamiento que ofrezcan garantías suficientes y formalizar los contratos correspondientes.
• Controlar las comunicaciones de datos y, cuando proceda, las transferencias
  internacionales.
• Detectar, gestionar, documentar y comunicar las violaciones de seguridad de los datos personales conforme a los requisitos aplicables.
• Designar un Delegado de Protección de Datos cuando resulte obligatorio o cuando la organización lo considere conveniente.

Las medidas de protección de datos se coordinarán con los controles, procesos de gestión de riesgos y mecanismos de tratamiento de incidentes establecidos en el Sistema de Gestión de Seguridad de la Información, evitando duplicidades y garantizando una respuesta coherente.

La documentación de cumplimiento se mantendrá actualizada y deberá permitir acreditar la aplicación efectiva de las medidas adoptadas.

9.5. Terceros y proveedores

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. identificará y gestionará los riesgos de seguridad de la información asociados a clientes, proveedores, colaboradores y otras entidades externas que accedan a su información, sistemas o instalaciones, o que participen en la prestación de sus servicios.

Los requisitos de seguridad aplicables se determinarán en función de la naturaleza del servicio, la información tratada, los accesos concedidos, las dependencias existentes y los riesgos asociados. Estos requisitos se gestionarán durante todo el ciclo de vida de la relación, desde la selección y contratación de la tercera parte hasta la finalización del servicio y la retirada de los accesos.

La gestión de proveedores y servicios externos se realizará conforme al PSI.32.00.00 – Procedimiento de Gestión de Proveedores y Servicios Externos, y sus resultados se documentarán en el REGSI.32.01.00 – Registro de Proveedores, Evaluación y Seguimiento.

Cuando resulte aplicable, los contratos, acuerdos de nivel de servicio u otros instrumentos jurídicos deberán establecer, entre otros aspectos:

• Los requisitos y responsabilidades de seguridad de las partes.
• Las condiciones de acceso, uso, conservación, devolución y eliminación de la información y de los activos.
• Las obligaciones de confidencialidad y protección de datos personales.
• Los niveles de servicio y los requisitos de disponibilidad y continuidad.
• Los procedimientos y plazos para comunicar, coordinar y resolver incidentes de seguridad.
• Los requisitos de formación, competencia y concienciación del personal que participe en la prestación del servicio.
• Las condiciones de subcontratación y los requisitos aplicables a la cadena de suministro.
• Los mecanismos de supervisión, revisión y acreditación del cumplimiento.
• Las actuaciones necesarias al finalizar o modificarse sustancialmente la relación.

Cuando Echeide preste servicios a clientes o trate información bajo su responsabilidad, se establecerán los mecanismos de comunicación y coordinación necesarios para gestionar los requisitos de seguridad y responder conjuntamente ante incidentes. Estos mecanismos deberán adaptarse a la naturaleza y organización de cada parte, sin exigir necesariamente la existencia de comités de seguridad específicos.

Los proveedores y terceros serán evaluados antes de su contratación y posteriormente con la periodicidad que corresponda a su nivel de riesgo. Los cambios relevantes en el servicio, los incumplimientos y los incidentes podrán dar lugar a una nueva evaluación.

Cuando un tercero no pueda cumplir un requisito de seguridad aplicable, la situación deberá documentarse y someterse a un análisis de riesgos. La aceptación de la excepción corresponderá al responsable autorizado conforme al modelo de gobierno de la seguridad, que deberá determinar las medidas alternativas, el riesgo residual, el periodo de validez y las condiciones para su revisión.

Echeide se reserva la facultad de solicitar evidencias razonables de cumplimiento y de adoptar las medidas contractuales o correctivas correspondientes cuando se detecten incumplimientos.

9.6. Formación, competencia y concienciación

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. asegura que las personas que desempeñan funciones relacionadas con la seguridad disponen de la competencia necesaria y mantiene actividades de formación y concienciación adecuadas a sus funciones y responsabilidades.

Estas actividades se gestionan conforme al PSI.51.00.00 – Procedimiento de Seguridad del Personal y se planifican y evidencian mediante el REGSI.53.01.00 – Plan y Registro de Formación y Concienciación.

9.7. Seguimiento, auditoría y mejora

E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. realiza el seguimiento y evaluación del SGSI mediante los mecanismos de medición, auditoría, revisión y mejora establecidos, incluyendo el tratamiento de las desviaciones, no conformidades y acciones correctivas que correspondan.

El seguimiento del desempeño se realiza mediante el REGSI.42.01.00 – Registro de Métricas e Indicadores de Seguridad, y las actividades de auditoría interna, tratamiento de no conformidades, acciones correctivas y mejora continua se gestionan conforme al PSI.03.00.00 – Auditorías internas y Mejora continua.

Los resultados obtenidos se utilizan para mantener la adecuación y eficacia del SGSI y mejorar de forma continua la seguridad de la información.

10. APROBACIÓN, DIFUSIÓN, ENTRADA EN VIGOR Y REVISIÓN

La presente Política de Seguridad de la Información es aprobada por la Dirección de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U. y entra en vigor en la fecha de su aprobación, permaneciendo vigente hasta su sustitución por una nueva versión aprobada.

La Política se comunica y pone a disposición del personal y, cuando corresponda, de las partes interesadas pertinentes, de forma que resulte accesible y conocida por quienes deban aplicarla.

Su comunicación se gestiona conforme al PSI.04.00.00 – Comunicación y, cuando corresponda, se planifica y registra mediante el REGSI.04.01.00 –  Plan de Comunicaciones.

La Política se revisa cuando se producen cambios significativos en la organización, el alcance o contexto del SGSI, los sistemas o servicios, los riesgos, los requisitos aplicables o cuando los resultados de auditorías, incidentes, revisiones por la Dirección u otras actividades de seguimiento evidencian la necesidad de actualizarla.

La aprobación, revisión, control de versiones, distribución y conservación de la Política se gestionan conforme al PSI.01.00.00 – Procedimiento de Control de la Información Documentada.

APROBACIÓN

Texto aprobado por la Alta Dirección / Gerencia de E-CHEIDE SOLUCIONES EN COMUNICACIÓN Y NUEVAS TECNOLOGÍAS S.L.U., el día 14 de Octubre de 2026. Esta Política de Seguridad de la Información es efectiva desde dicha fecha y estará vigente hasta que sea reemplazada por una nueva revisión formal aprobada.

El presente documento entra en vigor con carácter inmediato desde la fecha de su firma y mantendrá su validez de forma continua hasta que una revisión formal anual por la Dirección o tras cambios significativos determine su actualización o sustitución.