Política de Seguridad

Aprobación y Entrada en Vigor

Esta Política de Seguridad de la Información es efectiva desde su entrada en vigor y hasta que sea reemplazada por una nueva Política.

Introducción

SystemPin depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad, confidencialidad, autenticidad o trazabilidad de la información tratada o los servicios prestados.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.

Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios.

Esto implica que deben aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.

SystemPin debe cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación, deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC.

SystemPin debe estar preparado para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo al Artículo 8 del ENS (Artículo 8. Prevención, detección, respuesta y conservación).

Prevención

SystemPin debe evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. Para ello implementará las medidas mínimas de seguridad determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos.Estos controles, y los roles y responsabilidades de seguridad de todo el personal, van a estar claramente definidos y documentados.

Para garantizar el cumplimiento de la política, se debe:

• • Autorizar los sistemas antes de entrar en operación.
  • Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
  • Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.

Detección

Dado que los servicios se pueden degradar rápidamente debido a incidentes, que van desde una simple desaceleración hasta su detención, los servicios deben monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el Artículo 9 del ENS.La monitorización es especialmente relevante cuando se establecen líneas de defensa de acuerdo con el Artículo 8 del ENS. Se establecerán mecanismos de detección, análisis y reporte que lleguen a los responsables regularmente y cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales.

Respuesta de SystemPin

• • Establecerá mecanismos para responder eficazmente a los incidentes de seguridad.
  • Designará un punto de contacto para las comunicaciones con respecto a incidentes detectados en otros departamentos o en otros organismos.
  • Establecerá protocolos para el intercambio de información relacionada con el incidente. Esto incluye comunicaciones, en ambos sentidos, con los Equipos de Respuesta a Emergencias (CERT).

Recuperación

Para garantizar la disponibilidad de los servicios críticos, SystemPin dispondrá de planes de continuidad de los sistemas TIC como parte de su plan general de continuidad del servicio y actividades de recuperación.

Alcance

Esta política se aplica a todos los sistemas TIC de SystemPin y a todos los miembros de este, que dan soporte a las actividades de prestación de los siguientes servicios en el área de la tecnología de la información y las comunicaciones:

• • Suministro Sistemas de Control de presencia, accesos y producción
  • Instalación configuración y soporte on-line
  • Instalación configuración y soporte presencial

Misión

La empresa SystemPin comenzó su actividad en el 2005, dedicándonos exclusivamente a los sistemas de control de presencia de empleados.Durante todo este tiempo hemos suministrados más de 10.000 terminales biométricos y más de 3.000 licencias de nuestro software de control de presencia.

Podemos decir orgullosamente que nuestros clientes dicen estar muy satisfechos con nuestro sistema, tanto por la calidad de los terminales, como por la facilidad de manejo y potencia de nuestro software, así como por el servició post venta que ofrecemos. De hecho la mayor parte de los nuevos contactos que tenemos, nos vienen a través de nuestros actuales clientes.

Nuestro constante deseo de mejorar y las sugerencias de nuestros clientes, han contribuido a que nuestro software mejore día a día, consiguiendo un software muy completo que permite automatizar cualquier tipo de horario, manteniendo su facilidad de manejo e intuitiva interfaz.

Nuestro principal objetivo es que todos nuestros clientes queden totalmente satisfechos con nuestros productos y que le saquen el máximo partido. Es por ello, que junto a nuestros productos ofrecemos, sin cargo, la instalación, puesta en marcha y formación de nuestro software, de este modo nuestros clientes pueden ver la potencia del mismo y de nuestros terminales.

Marco Normativo

Según la legislación vigente, las leyes aplicables a SystemPin en materia de Seguridad de la Información son:

• • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
  • Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
  • Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el Texto Refundido de la Ley de Propiedad Intelectual.
  • Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de comercio electrónico. LSSI-CE
  • Directiva eprivacy (Ley de cookies)

Organización de la Seguridad

• La implantación de la Política de Seguridad en SystemPin requiere que todos los miembros de la organización entiendan sus obligaciones y responsabilidades en función del puesto desempeñado. Como parte de la Política de Seguridad de la Información, cada rol especifico, personalizado en usuarios concretos, debe entender las implicaciones de sus acciones y las responsabilidades que tiene atribuidas, quedando identificadas y detalladas en esta sección, y que se agrupan del modo siguiente:
• El Comité de Seguridad de la Información
• Responsable del Servicio
• Responsable de la Información
• Responsable de Seguridad de la Información
• Responsable de Sistemas
• En los siguientes apartados se especifican las funciones atribuidas a uno de estos roles.

Comité de seguridad de la información

El Comité de Seguridad de la Información coordina la seguridad de la información en SystemPin. Dicho Comité está compuesto por cada una de las figuras anteriormente mencionadas.

Las funciones del Comité de Seguridad de la Información son las siguientes:

• Atender las inquietudes de la Dirección de la entidad y de los diferentes departamentos.
• Informar regularmente del estado de la seguridad de la información a la Dirección.
• Promover la mejora continua del sistema de gestión de la seguridad de la información.
• Elaborar la estrategia de evolución de la organización en lo que respecta a seguridad de la información.
• Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, para asegurar que los esfuerzos son consistentes, que están alineados con la estrategia decidida en la materia, evitando duplicidades.
• Elaborar (y revisar regularmente) la Política de Seguridad de la Información para su aprobación por la Dirección.
• Aprobar la Normativa de Seguridad de la información.
• Elaborar y aprobar los requisitos de formación y calificación de administradores, operadores y usuarios, desde el punto de vista de seguridad de la información.
• Monitorizar los principales riesgos residuales asumidos por la organización y recomendar posibles actuaciones.
• Monitorizar el desempeño de los procesos de gestión de incidentes de seguridad y recomendar posibles actuaciones respecto de ellos. En particular, velar por la coordinación de las diferentes áreas de seguridad en la gestión de tales incidentes.
• Promover la realización de las auditorías periódicas que permitan verificar el cumplimiento de las obligaciones del organismo en materia de seguridad.
• Aprobar planes de mejora de la seguridad de la información de la organización. En particular velará por la coordinación de distintos planes que puedan realizarse en diferentes áreas.
• Priorizar las actuaciones en materia de seguridad cuando los recursos sean limitados.
• Velar porque la seguridad de la información se tenga en cuenta en todos los proyectos TIC desde su especificación inicial hasta su puesta en operación. En particular, deberá velar por la creación y utilización de servicios horizontales que reduzcan duplicidades y apoyen un funcionamiento homogéneo de todos los sistemas TIC.
• Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables y/o entre diferentes áreas de la organización, elevando aquellos casos en los que no tenga suficiente autoridad para decidir

El Secretario del Comité de Seguridad será el Responsable de Seguridad y tendrá como funciones:

• • Convocar las reuniones del Comité de Seguridad de la Información.
  • Prepara los temas a tratar en las reuniones del Comité, aportando información puntual para la toma de decisiones.
  • Elabora el acta de las reuniones.
  • Es responsable de la ejecución directa o delegada de las decisiones del Comité.

Responsable de la Información

• • Determina los requisitos (de seguridad) de la información tratada, según los parámetros del Anexo I del ENS.
  • Formar parte y tomar decisiones en el Comité de Seguridad de la Información.
  • Aprobación de los niveles de seguridad de la información.
  • Proteger los activos.
  • Cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos.

Responsable del Servicio

• • Determina los requisitos (de seguridad) de los servicios prestados, según los parámetros del Anexo I del ENS.
  • Formar parte y tomar decisiones en el Comité de Seguridad de la Información.
  • Aprobación de los niveles de seguridad de los servicios.
  • Proteger los activos.
  • Cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos.

Responsable de Seguridad

Responsable de la definición, coordinación y verificación de cumplimiento de los requisitos de seguridad de la información definidos de acuerdo a los objetivos estratégicos.Las funciones del Responsable de Seguridad de la Información son las siguientes:

• • Determina las decisiones de seguridad pertinentes para satisfacer los requisitos establecidos por los responsables de la información y de los servicios.
  • Mantener la seguridad de la información manejada y de los servicios prestados por los sistemas de información en su ámbito de responsabilidad, de acuerdo con lo establecido en la Política de Seguridad de la Información de la organización.
  • Promover la formación y concienciación en materia de seguridad de la información dentro de su ámbito de responsabilidad.
  • Convoca las reuniones del Comité de Seguridad de la Información.
  • Prepara los temas a tratar en las reuniones del Comité, aportando información puntual para la toma de decisiones.
  • Elabora el acta de las reuniones.
  • Es responsable de la ejecución directa o delegada de las decisiones del Comité.
  • Elaborar y proponer para aprobación por la organización las políticas de seguridad, que incluirán las medidas técnicas y organizativas, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información utilizados y para prevenir y reducir al mínimo los efectos de los ciberincidentes que afecten a la organización y los servicios.
  • Desarrollar las políticas de seguridad, normativas y procedimientos derivados de la organización, supervisar su efectividad y llevar a cabo auditorías periódicas de seguridad.
  • Elaborar el documento de Declaración de Aplicabilidad.
  • Actuar como capacitador de buenas prácticas en seguridad de las redes y sistemas de información, tanto en aspectos físicos como lógicos.
  • Constituirse como punto de contacto con la autoridad competente en materia de seguridad de las redes y sistemas de información y responsable ante aquella del cumplimiento de las obligaciones que se derivan del Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información y de su Reglamento de Desarrollo.
  • Constituir el punto de contacto especializado para la coordinación con el CSIRT de referencia.
  • Notificar a la autoridad competente, a través del CSIRT de referencia y sin dilación indebida, los incidentes que tengan efectos perturbadores en la prestación de los servicios.
  • Recibir, interpretar y aplicar las instrucciones y guías emanadas de la Autoridad Competente, tanto para la operativa habitual como para la subsanación de las deficiencias observadas
  • Recopilar, preparar y suministrar información o documentación a la autoridad competente o el CSIRT de referencia, a su solicitud o por propia iniciativa.
  • Definir la topología y política de gestión del Sistema estableciendo los criterios de uso y los servicios disponibles en el mismo.
  • Definir la política de conexión o desconexión de equipos y usuarios nuevos en el Sistema.
  • Aprobar los cambios que afecten a la seguridad del modo de operación del Sistema.
  • Decidir las medidas de seguridad que aplicarán los suministradores de componentes del Sistema durante las etapas de desarrollo, instalación y prueba de este.
  • Determinar la configuración autorizada de hardware y software a utilizar en el Sistema.
  • Aprobar toda modificación sustancial de la configuración de cualquier elemento del Sistema.
  • Llevar a cabo el preceptivo proceso de análisis y gestión de riesgos en el Sistema.
  • Determinar la categoría del sistema según el procedimiento descrito en el Anexo I del ENS y determinar las medidas de seguridad que deben aplicarse según se describe en el Anexo II del ENS.
  • Elaborar y aprobar la documentación de seguridad del Sistema.
  • Delimitar las responsabilidades de cada entidad involucrada en el mantenimiento, explotación, implantación y supervisión del Sistema.
  • Investigar los incidentes de seguridad que afecten al Sistema, y en su caso, comunicación a los organismos según proceda.
  • Establecer planes de contingencia y emergencia, llevando a cabo frecuentes ejercicios para que el personal se familiarice con ellos.
  • Revisar las configuraciones realizadas por el responsable de seguridad y verificar que han sido realizadas según las indicaciones dadas.

Responsable del sistema

Es responsable de asegurar la ejecución de medidas para asegurar los activos y servicios de los sistemas de información, que soportan la actividad de SystemPin, de acuerdo a los objetivos de la organización.Las funciones del Responsable de Sistemas de la Información son las siguientes:

• • Formar parte y tomar decisiones en el Comité de Seguridad de la Información.
  • Mantener el Sistema informático durante todo su ciclo de vida, de sus especificaciones, instalación y verificación de su correcto funcionamiento según la directrices del responsable de seguridad.
  • Implantar y controlar las medidas específicas de seguridad del Sistema según las indicaciones del Responsable de seguridad.
  • Investigar conjuntamente con el responsable de seguridad los incidentes de seguridad que afecten al Sistema.
  • Puede acordar la suspensión del manejo de una cierta información o la prestación de un cierto servicio si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. Esta decisión debe ser acordada con los responsables de la información afectada, del servicio afectado y el responsable de seguridad, antes de ser ejecutada.
  • Establecer los procesos y controles de monitorización del estado de la seguridad según indicaciones del responsable de seguridad, que permitan detectar las incidencias producidas y coordinar su investigación y resolución.

Procedimiento de Designación

Se designan las siguientes responsabilidades:

• Responsable del Servicio: Alguien de la alta dirección, normalmente el Director General.
• Responsable de la Información: Alguien de la alta dirección, normalmente el Director General.
• Responsable de Seguridad: Alguien de la Dirección Ejecutiva que entienda que hace cada departamento y como los departamentos se coordinan entre sí para alcanzar los objetivos marcados por la Dirección.
• Responsable del Sistema: Alguien de operaciones, Responsable del desarrollo, operación y mantenimiento el Sistema de Información.

Los nombramientos se revisarán cada 2 años o cuando alguno de los puestos quede vacante.

El Responsable de Seguridad de la Información será nombrado por el Director General a propuesta del Comité de Seguridad.

Revisión de la Política de Seguridad de la Información

Será misión del Comité de Seguridad la revisión anual de esta Política de Seguridad de la Información y la propuesta de revisión o mantenimiento de la misma. La Política será aprobada por el Director General y difundida para que la conozcan todas las partes afectadas.

Datos de Carácter Personal

SystemPin trata datos de carácter personal.En aplicación del principio de responsabilidad proactiva establecido en el Reglamento General de Protección de Datos, las actividades de tratamiento de datos de carácter personal se integrarán en la categorización de sistemas del Esquema Nacional de Seguridad, considerando las amenazas y riesgos asociados a este tipo de tratamientos.

Se aplicará, asimismo, cualquier otra normativa vigente en materia de protección de datos de carácter personal.

Gestión de Riesgos

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

• regularmente, al menos una vez al año
• cuando cambie la información manejada
• cuando cambien los servicios prestados
• cuando ocurra un incidente grave de seguridad
• cuando se reporten vulnerabilidades graves

Para la armonización de los análisis de riesgos, el Comité de Seguridad establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.

La gestión de riesgos quedará documentada en el informe de Análisis y gestión de riesgos.

Desarrollo de la Política Seguridad de la Información del Personal

Esta política de seguridad de la Información complementa las políticas de seguridad de SystemPin en materia de protección de datos de carácter personal.Esta Política se desarrollará por medio de normativa de seguridad que afronte aspectos específicos. La normativa de seguridad estará a disposición de todos los miembros de la organización que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.

Obligaciones del Personal

Todos y cada uno de los usuarios de los sistemas de información de SystemPin son responsables de la seguridad de los activos de información mediante un uso correcto de los mismos, siempre de acuerdo con sus atribuciones profesionales y académicas.Todos los miembros de SystemPin tienen la obligación de conocer y cumplir esta política de seguridad de la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad disponer los medios necesarios para que la información llegue a los afectados.

Los miembros de SystemPin recibirán formación en seguridad de la información. Se establecerá un programa de concienciación continua para atender a todos los miembros de SystemPin, en particular a los de nueva incorporación.

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

El incumplimiento de la presente Política de Seguridad de la Información podrá acarrear el inicio de las medidas disciplinarias que procedan, sin perjuicio de las responsabilidades legales correspondientes.

Terceras Partes

Cuando SystemPin preste servicios a otros organismos o maneje información de otros organismos, se les hará partícipe de esta Política de Seguridad de la Información. Se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.Cuando SystemPin utilice servicios de terceros o ceda información a terceros, se les hará partícipe de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.