POLÍTICA DE SEGURIDAD ESQUEMA NACIONAL DE SEGURIDAD

Castellón 25 de enero de 2024

 

CONTENIDO

1.APROBACIÓN Y ENTRADA EN VIGOR
2. INTRODUCCIÓN
3. ALCANCE
4. MARCO NORMATIVO
5. ORGANIZACIÓN DE LA SEGURIDAD
6. DATOS DE CARÁCTER PERSONAL
7. GESTIÓN DE RIESGOS
8. GESTIÓN DOCUMENTAL
9. DESARROLLO DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
10. OBLIGACIONES DEL PERSONAL
11. TERCERAS PARTES
12. PRINCIPIOS SEGURIDAD DE LA INFORMACIÓN

 

1. APROBACIÓN Y ENTRADA EN VIGOR

Texto aprobado el día 25-01-2024 por la Dirección. Esta Política de Seguridad de la Información es efectiva desde dicha fecha y hasta que sea reemplazada por una nueva Política.

2. INTRODUCCIÓN

AKIWIFI (marca comercial de Nostravant SLL) nació con el objetivo de llevar el acceso a Internet a zonas rurales y con carencias de telecomunicaciones, presente en la Comunidad Valenciana desde 2001, y en todo el territorio nacional desde 2012.

En la actualidad el Grupo AKIWIFI está formado por una Sociedad Laboral con sede en Castellón de la Plana, y casi 30 franquicias en 25 provincias españolas, dirigidas por emprendedores locales, que buscan contribuir al desarrollo de sus territorios dotando a los particulares y empresas de su zona de servicios de telecomunicaciones y tecnológicos.

Tras 20 años el Grupo AKIWIFI no solo te ofrece acceso a Internet y telefonía, sino también productos tecnológicos a empresas bajo la marca Nostra, tales como ciberseguridad, manteniemiento de sistemas informáticos, copias de seguridad… y trabaja continuamente para ofrecerte nuevos servicios que contribuyan a facilitarte la vida, siempre desde el trato cercano, de confianza, y buscando relaciones satisfactorias a largo plazo con sus clientes.

NOSTRAVANT SLL, depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad, autenticidad, trazabilidad o confidencialidad de la información tratada o los servicios prestados.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando de forma rápida y eficiente frente a los incidentes.

Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios. Esto implica que los departamentos tienen que aplicar las medidas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir, analizar y corregir las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.

Las diferentes áreas de la organización deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación y en la solicitud de ofertas. Así, éstos, tienen que estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes.

2.1 PREVENCIÓN

La organización debe evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. El ENS a través de su artículo 20 establece que los sistemas tienen que diseñarse y configurarse de forma que garanticen la seguridad por defecto, en línea con la política de mínimo privilegio. De igual forma, el artículo 18 del ENS define que los sistemas se instalarán en áreas separadas, dotadas de un procedimiento de control de acceso.

Para ello los departamentos deben implementar las medidas mínimas de seguridad determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos. Estos controles, y los roles y responsabilidades de seguridad de todo el personal, deben estar claramente definidos y documentados. Para garantizar el cumplimiento de la política, NOSTRAVANT, para la Información y Servicios que entren dentro del alcance del ENS, debe:

• Establecer áreas seguras para los sistemas de información crítica o confidencial.
• Autorizar los   sistemas   antes   de   entrar   en   producción. Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
• Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.

 

2.2 DETECCIÓN

Dado que los servicios se pueden degradar rápidamente debido a incidentes, que van desde una simple desaceleración hasta su detención, los servicios deben monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el Artículo 10 del ENS.

La monitorización es especialmente relevante cuando se establecen líneas de defensa de acuerdo con el Artículo 9 del ENS. Se establecerán mecanismos de detección, análisis y reporte que lleguen a los responsables regularmente y cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales.

2.3 RESPUESTA

La organización debe:

• Establecer mecanismos para responder eficazmente a los incidentes de seguridad.
• Designar punto de contacto para las comunicaciones con respecto a incidentes detectados en otros departamentos o en otros organismos. 
• Establecer protocolos para el intercambio de información relacionada con el Esto incluye comunicaciones, en ambos sentidos, con los Equipos de Respuesta a Emergencias (CERT).

 2.4 RECUPERACIÓN

Para garantizar la disponibilidad de los servicios críticos, los departamentos deben desarrollar planes de continuidad de los sistemas TIC como parte de su plan general de continuidad de negocio y actividades de recuperación.

3. ALCANCE

El alcance que aplica a NOSTRAVANT se detalla en la declaración de aplicabilidad de la organización.

Esta política se aplica a todos los sistemas TIC y a todos los miembros de la organización, sin excepciones incluidos dentro del alcance definido por la organización.

4. MISIÓN Y VISIÓN

Misión: Buscamos una relación a largo plazo y de confianza absoluta con nuestros clientes, desarrollando e innovando productos y servicios que les aporte un valor diferencial con respecto a la competencia y sea el motor de nuevas oportunidades de negocio. El objetivo es que nuestros clientes aprovechen las nuevas tecnologías para mejorar en competitividad y asegurar un crecimiento sostenido en el tiempo.

Visión: En un mundo en continua transformación, nuestra visión es aportar a nuestros clientes herramientas y conocimientos que les ayude a adaptarse a los cambios actuales y futuros, proponiéndoles y ayudando a aplicar nuevas soluciones con alto retorno de inversión, que mejoren la productividad y les ayude a ser sostenibles en el tiempo.

5. MARCO NORMATIVO

NOSTRAVANT se encuentra sujeto a una normativa en la provisión de los servicios prestados a sus clientes. Esta normativa se describe y actualiza de forma permanente en el registro: Requisitos legales.

6. ORGANIZACIÓN DE LA SEGURIDAD

6.1 COMITÉ: FUNCIONES Y RESPONSABILIDADES

El Comité de Gestión de la Seguridad de la Información estará formado por el Responsable de la Información, el Responsable del Servicio, el Responsable de Seguridad, y el Responsable del Sistema.

El comité tendrá las siguientes funciones:

• Coordina todas las actividades relacionadas con la seguridad de las TIC
• Es responsable de  la redacción de  la Política de Seguridad
• Es responsable de la creación y aprobación de las normas que enmarcan el uso de los servicios TIC. 
• Aprobará los procedimientos de actuación en lo relativo al uso de los servicios TIC.
• Aprobará los requisitos de formación y calificación de administradores, operadores y usuarios desde el punto de vista de seguridad de las TIC. 

6.2 ROLES: FUNCIONES Y RESPONSABILIDADES

Responsable de la Información

FUNCIONES

• Velar por el buen uso de la información y, por tanto, de su protección.
• Ser responsable último de cualquier error o negligencia que lleve a un incidente de confidencialidad o de integridad. 
• Establecer los requisitos de la información en materia de seguridad. 
• Determinar los niveles de seguridad de la información.
• Aprobar formalmente el nivel de seguridad de la información.
• Promover que el tratamiento de los datos personales efectuados por NOSTRAVANT, se efectúe de forma respetuosa con la normativa.
• Desde el punto de vista de la seguridad y teniendo en cuenta el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables deberá velar por que se garantice una seguridad adecuada de los datos personales y determinar las medidas de seguridad concretas que tendrá que proponer al responsable del tratamiento.

Responsable del Sistema

FUNCIONES

• Gestionar el Sistema de Información durante todo su ciclo de vida, desde la especificación, instalación hasta el seguimiento de su funcionamiento.
• Definir los criterios de uso y los servicios disponibles en el Sistema
• Definir las políticas de acceso de usuarios al Sistema.
• Aprobar los cambios que afecten a la seguridad del modo de operación del Sistema
• Determinar la configuración autorizada de hardware y software a utilizar en el Sistema y aprobar las modificaciones importantes de dicha configuración.
• Realizar el análisis y gestión de riesgos en el Sistema
• Elaborar y aprobar la documentación de seguridad del Sistema.
• Determinar la categoría del sistema según el procedimiento descrito en el Anexo I del ENS y determinar las medidas de seguridad que deben aplicarse según se describe en el Anexo II del ENS.
• Implantar y controlar las medidas específicas de seguridad del
• Establecer planes de contingencia y emergencia, llevando a cabo frecuentes ejercicios para que el personal se familiarice con ellos.
• Suspensión del manejo de cierta información o la prestación de un cierto servicio si detecta deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos.

Responsable de Seguridad

FUNCIONES

• Adoptar las medidas necesarias para que el personal conozca las normas en materia de seguridad que afectan al desarrollo de sus funciones y de las consecuencias en que pudieran incurrir en caso de incumplimiento.
• Asegurarse que se establezcan las medidas de seguridad que se hayan documentado en el SGSI.
• Coordinar y controlar las medidas definidas en la documentación de gestión del SGSI.
• Analizar los informes de auditoría.
• Controlar y gestionar los mecanismos de seguridad del
• Establecer los criterios para la definición de los derechos de acceso de los usuarios.
• Actualizar la documentación del SGSI.
• Conocer las consecuencias que se pudieran derivar y las responsabilidades en que se pudiera incurrir en caso de incumplimiento de la normativa.
• Elevar a la Gerencia las conclusiones del análisis del informe de auditoría.
• Revisar la información de controles registrada.
• Elaborar informes de las revisiones efecturadas.

Responsable del Servicio

FUNCIONES

• Establecer los requisitos del servicio en materia de seguridad, incluyendo los requisitos de interoperabilidad, accesibilidad y disponibilidad.
• Determinar los niveles de seguridad de los servicios.
• Aprobar formalmente el nivel de seguridad del servicio.

6.3 PROCEDIMIENTOS DE DESIGNACIÓN

Los distintos cargos del Comité serán nombrados por la Dirección a propuesta del Comité de Gestión de la Seguridad de la Información. Los nombramientos se revisarán cada 2 años o cuando alguno o todos los puestos, queden vacantes.

6.4 REVISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Será misión del Comité de Gestión de la Seguridad de la Información la revisión anual de esta Política de Seguridad de la Información y la propuesta de revisión o mantenimiento de la misma. La Política será aprobada por el mismo comité y difundida para que la conozcan todas las partes afectadas.

7. DATOS DE CARÁCTER PERSONAL 

NOSTRAVANT trata datos de carácter personal. Las Políticas y procesos del Sistema de Gestión de Protección de Datos, integradas en el Sistema de Gestión, recoge los ficheros afectados y los responsables correspondientes. Todos los sistemas de información de NOSTRAVANT se ajustarán a los niveles de seguridad requeridos por la normativa vigente para la naturaleza y finalidad de los datos de carácter personal recogidos en el mencionado Documento de Seguridad.

8. GESTIÓN DE RIESGOS

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

• Regularmente, al menos una vez al año.
• Cuando cambie la información manejada,
• Cuando cambien los servicios prestados
• Cuando ocurra un incidente grave de seguridad
• Cuando se reporten vulnerabilidades graves

Para la armonización de los análisis de riesgos, el Comité de Gestión de la Seguridad de la Información establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados.

Se ha establecido una metodología para realizar el análisis de riesgos, dicha metodología se aplica en base la identificación de activos, valoración de activos, dimensiones de seguridad de los activos, amenazas, impacto y riesgo.

9. GESTIÓN DOCUMENTAL

Las directrices para la estructuración de la documentación del sistema, su gestión y acceso se encuentran documentadas en el procedimiento Control Documental del SGSI de la organización.

10. DESARROLLO DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

Esta Política de Seguridad de la Información complementa la normativa de seguridad de NOSTRAVANT en diferentes materias:

• Aspectos organizativos de la seguridad de la información, que establece un marco de gestión para iniciar y controlar la implementación y operación de la seguridad de la información dentro de la organización.
• Seguridad física y ambiental, que establece las directrices para prevenir el acceso físico no autorizado, los daños e interferencia a la información de la organización y a los recursos de tratamiento de la información.
• Gestión de comunicaciones y operaciones, que define las pautas a seguir para asegurar el funcionamiento correcto y seguro de las instalaciones de tratamiento de la información así como de las redes.
• Control de acceso, que define cómo limitar el acceso a los recursos de tratamiento para prevenir el acceso no autorizado, garantiza el acceso de usuarios autorizados y evitar el acceso no autorizado a los sistemas y servicios.
• Adquisición, desarrollo y mantenimiento de los SSII, para garantizar que la seguridad de la información sea parte integral de los sistemas de información a través de todo el ciclo de vida.
• Cumplimiento legal, para evitar incumplimientos de las obligaciones legales, estatutarias, reglamentarias o contractuales relativas a la seguridad de la información o de los requisitos de seguridad.
• Seguridad de los RRHH y Terceros, que asegura que los empleados y contratistas entiendan sus responsabilidades y sean adecuados para desempeñar sus funciones.
• Cifrado, para garantizar un uso adecuado y eficaz de la criptografía para proteger la confidencialidad, autenticidad y/o integridad de la información.
• Gestión de activos, que define como identificar los activos de la organización y definir las responsabilidades de protección adecuadas.

Esta Política se desarrollará por medio de una normativa de seguridad que afronte aspectos específicos. Tanto la política de la seguridad de la información, como la normativa de seguridad y cualquier otra información que se considere conveniente, estarán a disposición de todos los miembros de la organización que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.

11. OBLIGACIONES DEL PERSONAL

Todos los miembros de NOSTRAVANT tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Gestión de la Seguridad de la Información disponer de los medios necesarios para que la información llegue a los afectados.

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

12. TERCERAS PARTES 

Cuando preste servicios a otros organismos o maneje información de otros organismos, se les hará partícipes de esta Política de Seguridad de la Información, se establecerán canales para reporte y coordinación de los respectivos Comités y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.

Cuando NOSTRAVANT utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad, que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.

13. PRINCIPIOS SEGURIDAD DE LA INFORMACIÓN

Como respuesta a un nuevo entorno tecnológico donde la convergencia entre la informática y las comunicaciones están facilitando un nuevo paradigma de productividad para las empresas, NOSTRAVANT está altamente comprometida con mantener un servicio competitivo a través de ofrecer un modelo de negocio responsable, basado en la búsqueda permanente del equilibrio económico, social y ambiental, donde el desarrollo de buenas prácticas en Seguridad de la Información es fundamental para conseguir los objetivos de confidencialidad,  integridad, disponibilidad, autenticidad  y  trazabilidad de  toda  la información gestionada. A continuación, se describen cada una de las dimensiones de seguridad anteriores:

• Confidencialidad: la información tratada por NOSTRAVANT será conocida exclusivamente por las personas autorizadas, previa identificación, en el momento y por los medios habilitados.
• Integridad: la información tratada por NOSTRAVANT será completa, exacta y válida, siendo su contenido el facilitado por los afectados sin ningún tipo de manipulación.
• Disponibilidad: la información tratada por NOSTRAVANT estará accesible y utilizable por los usuarios autorizados e identificados en todo momento, quedando garantizada su propia persistencia ante cualquier eventualidad prevista.
• Trazabilidad: Propiedad consistente en que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad.
• Autenticidad: Propiedad consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los NOSTRAVANT garantizará la autenticidad en las operaciones realizadas por la organización.

En consecuencia, NOSTRAVANT define los siguientes principios asociados al cumplimiento de los requerimientos del Esquema Nacional de Seguridad:

• Seguridad como proceso integral. La seguridad se entiende como un proceso integral constituido por todos los elementos humanos, materiales, técnicos, jurídicos y organizativos relacionados con el sistema de información.
• Gestión de la seguridad basada en los riesgos. El análisis y la gestión de los riesgos es parte esencial del proceso de seguridad, debiendo constituir una actividad continua y permanentemente actualizada.
• Prevención, detección, respuesta y conservación. La seguridad del sistema debe contemplar las acciones relativas a los aspectos de prevención, detección y respuesta, al objeto de minimizar sus vulnerabilidades y lograr que las amenazas sobre el mismo no se materialicen o que, en el caso de hacerlo, no afecten gravemente a la información que maneja o a los servicios que presta.
• Existencia de líneas de defensa. El sistema de información ha de disponer de una estrategia de protección constituida por múltiples capas de Las líneas de defensa han de estar constituidas por medidas de naturaleza organizativa, física y lógica.
• Vigilancia continua. La vigilancia continua permitirá la detección de actividades o comportamientos anómalos y su oportuna respuesta.
• Reevaluación periódica. La evaluación permanente del estado de la seguridad de los activos permitirá medir su evolución, detectando vulnerabilidades e identificando deficiencias de configuración.
• Diferenciación de responsabilidades. En los sistemas de información se diferenciará el responsable de la información, el responsable del servicio, el responsable de la seguridad y el responsable del La responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la explotación de los sistemas de información concernidos.

 

NOSTRAVANT para el correcto desempeño de sus funciones de negocio se basa y ayuda del tratamiento de diferentes tipos de datos e información, sustentados por los sistemas, programas, infraestructuras de comunicaciones, ficheros, bases de datos, archivos, etc., constituyendo estos, uno de los activos principales de NOSTRAVANT. De tal manera que el daño o pérdida de los mismos inciden en la realización de sus servicios y pueden poner en peligro la continuidad de la organización. Para que esto no suceda, se ha diseñado una Política de Seguridad de la Información cuyos fines principales son:

• Proteger, mediante controles/medidas, los activos frente a amenazas que puedan derivar en incidentes de seguridad.
• Paliar los efectos de los incidentes de seguridad.
• Establecer un sistema de clasificación de la información y los datos con el fin de proteger los activos críticos de información.
• Definir las responsabilidades en materia de seguridad de la información generando la estructura organizativa correspondiente.
• Elaborar un conjunto de reglas, estándares y procedimientos aplicables a los órganos de dirección, empleados, socios, proveedores de servicios externos, etc.
• Especificar los efectos que conlleva el incumplimiento de la Política de Seguridad en el ámbito laboral.
• Evaluar los riesgos que afectan a los activos con el objeto de adoptar las medidas/controles de seguridad oportunos.
• Verificar el funcionamiento de las medidas/controles de seguridad mediante auditorías de seguridad internas realizadas por auditores independientes.
• Formar a los usuarios en la gestión de la seguridad y en tecnologías de la información y las comunicaciones de cara a disponer de una profesionalidad en proceso de mejora continua en todos sus empleados.
• Controlar el tráfico de información y de datos a través de infraestructuras de comunicaciones o mediante el envío de soportes de datos ópticos, magnéticos, en papel,, etc.
• Observar y cumplir la legislación en materia de protección de datos, propiedad intelectual, laboral, de servicios de la sociedad de la información, penal, , que afecte a los activos de NOSTRAVANT.
• Proteger el capital intelectual de la organización para que no se divulgue ni se utilice ilícitamente.
• Reducir las posibilidades de indisponibilidad a través del uso adecuado de los activos de la organización.
• Defender los activos ante ataques internos o externos para que no se transformen en incidentes de seguridad.
• Realizar una eficiente autorización y control de los accesos de la organización.
• Proteger adecuadamente las instalaciones.
• En el proceso de adquisición de productos aplicar controles de seguridad de la información, en función de la gestión del riesgo de la entidad.
• Aplicar el principio de seguridad por defecto.
• Realizar una gestión adecuada al riesgo de la entidad en función de la integridad y actualización del sistema.
• Realizar una eficiente protección de la información almacenada y en tránsito.
• Aplicar medidas de prevención ante otros sistemas de información interconectados.
• Realizar un adecuado registro de la actividad de los Sistemas de Información.
• Llevar a cabo acciones para garantizar la continuidad de la actividad de la organización ante posibles contingencias.
• Controlar el funcionamiento de las medidas de seguridad averiguando el número de incidencias, su naturaleza y efectos.

La Dirección de NOSTRAVANT asume la responsabilidad de apoyar y promover el establecimiento de las medidas organizativas, técnicas de control necesarias para el cumplimiento de la presente Política de Seguridad de la Información. Así como, de proveer aquellos recursos que sean necesarios para resolver con la mayor rapidez y eficacia posible, las no conformidades e incidentes de seguridad de la información que pudiesen surgir, y la puesta en funcionamiento de las medidas necesarias para que estas no vuelvan a ocurrir.

Esta Política será mantenida, actualizada y adecuada a los fines de la organización, alineándose con el contexto de gestión de riesgos de la organización. A este efecto se revisará de forma planificada o siempre que se produzcan cambios significativos, a fin de asegurar que se mantenga su idoneidad, adecuación y eficacia de tal forma que se aplique mejora continua en todo el proceso de seguridad de la información.

Por su parte, todas las políticas y procedimientos incluidos en el SGSI serán revisados, aprobados e impulsados por la Dirección de NOSTRAVANT.

Firmado Dirección.

Castellón a 25 de enero del 2024

 

 

 

 

El presente Documento es propiedad exclusiva de NOSTRAVANT, quedando prohibida su reproducción sin el consentimiento del Responsable del Sistema