Fecha última revisión: 20/01/2026 (Edición 4)
Esta Política de Seguridad de la Información es efectiva desde su aprobación por el Comité de Seguridad y permanecerá vigente hasta que se realicen cambios o se anule.
El Alcance de la presente política es la Gestión de Seguridad de la información asociada a los servicios que presta CIBERLOGIC.
CIBERLOGIC se dedica a la prestación de servicios de consultoría de ciberseguridad. Nuestro objetivo como empresa es proporcionar a nuestros clientes un servicio que aporte valor a su negocio y así crecer con ellos.
Con el fin de alcanzar este objetivo nos hemos propuesto trabajar estos aspectos:
Para mantener en todo momento la seguridad de nuestra información, nuestros sistemas y servicios, se ha desarrollado esta Política.
Para cumplir con lo requerido por el ENS, esta Política:
La Política se revisará al menos anualmente por el Comité de Seguridad.
Está aprobada por la Dirección y difundida para que la conozcan todas las partes afectadas.
Esta Política está desarrollada por medio de nuestras Normativas de Seguridad, a disposición de todos los miembros de la organización que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.
El marco legal en materia de seguridad de la información viene establecido por la legislación recogida en el registro de Evaluación Legal. Entre la normativa más representativa respecto a la seguridad de la información se relaciona:
Entendemos la seguridad como un proceso integral y así está planteado nuestro Sistema de Gestión de Seguridad de la Información, que comprende todos aspectos técnicos, humanos y organizativos para que las distintas medidas que se tomen funcionen coherentemente.
En este sentido, se trabaja en concienciación y formación para que todos los usuarios de nuestros sistemas tengan sensibilidad sobre los riesgos que se corren, las medidas que se han implantado para mitigarlos y su responsabilidad en el éxito de la implantación de estas medidas.
Se han definido las pautas para la gestión de los riesgos en el Procedimiento específico para ello.
Se cuenta con medidas para evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. Para ello implementamos las medidas mínimas de seguridad determinadas en el marco normativo definido, así como cualquier control adicional identificado a través de la evaluación de amenazas y riesgos.
Estos controles, y los roles y responsabilidades de seguridad de todo el personal, están definidos y documentados. Como parte de esta prevención:
Hay establecidos mecanismos para responder eficazmente a los incidentes de seguridad, con un punto de contacto para comunicar eventos e incidentes y protocolos de actuación.
Para garantizar la disponibilidad de los servicios críticos, se han desarrollado planes de contingencia de los sistemas TIC como parte del plan general de continuidad del negocio y actividades de recuperación.
Nuestra estrategia de seguridad cuenta con líneas de defensa que nos permiten reaccionar adecuadamente a los incidentes que inevitablemente ocurran, ganando tiempo en la medida de lo posible, reduciendo la probabilidad de un fallo total y el impacto final del incidente.
Las medidas de seguridad se reevaluarán y actualizarán periódicamente, para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección, llegando incluso a un replanteamiento de la seguridad, si fuese necesario.
Hay distintas funciones que estarán diferenciadas para evitar conflictos de interés:
| Rol | Funciones |
| Dirección General | Su titular ostenta la máxima responsabilidad en el desarrollo de las competencias de la entidad, incluyendo las de seguridad de la información. Es el máximo responsable de la implantación del ENS. |
| Comité de Seguridad de la Información | Estará formado por los directores y responsables de área, y se encargará de: Informar regularmente del estado de la seguridad de la información a la Dirección. Elaborar la estrategia y promover la mejora continua de la gestión de la seguridad de la información. Gestionar la elaboración y la aprobación de la documentación necesaria. Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, para asegurar que los esfuerzos son consistentes, alineados con la estrategia decidida en la materia, y evitar duplicidades. Priorizar las actuaciones en materia de seguridad cuando los recursos sean limitados. |
| Responsable de la Información | Determinará los requisitos de seguridad de la información tratada y la función será asumida por el Director General. Sus funciones principales son: Determinar los niveles de seguridad de la información tratada, valorando los impactos de los incidentes de seguridad. Son los encargados, junto a los Responsables del Servicio y contando con la participación del Responsable de la Seguridad, de realizar los preceptivos análisis de riesgos y seleccionar las salvaguardas que se han de implantar. Aceptar los riesgos residuales respecto de la información, calculados en el análisis de riesgos. Para la determinación de los niveles de seguridad de la información, el Responsable de la Información solicitará informe del Responsable de la Seguridad. |
| Responsable de Servicio | Responsable del servicio, determinará los requisitos de los servicios prestados, y la asume el Comité de Seguridad de la Información. Sus funciones principales son: Determinar los niveles de seguridad del servicio, valorando los impactos de los incidentes de seguridad. Son los encargados, junto a los Responsables de la Información y contando con la participación del Responsable de la seguridad, de realizar los preceptivos análisis de riesgos y seleccionar las salvaguardas que se han de implantar. Aceptar los riesgos residuales respecto de los servicios calculados en el análisis de riesgos. Para la determinación de los niveles de seguridad del servicio, el Responsable del Servicio solicitará informe del Responsable de la Seguridad. |
| El Responsable de la Seguridad | Es la persona que determina las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios, asumiendo la función el Responsable de Calidad y Seguridad. Sus funciones principales son: Mantener la seguridad de la información manejada y de los servicios prestados por los sistemas de información en su ámbito de responsabilidad, de acuerdo con lo establecido en la Política de Seguridad de la Información de la organización. Promover la formación y concienciación en materia de seguridad de la información dentro de su ámbito de responsabilidad. |
| Responsable del Sistema | El Responsable del Sistema es la persona que tiene la responsabilidad de desarrollar, operar y mantener el Sistema de Información durante todo su ciclo de vida, de sus especificaciones, instalación y verificación de su correcto funcionamiento, asumiendo la función el Responsable de TI. Sus funciones principales son: Definir la topología y la gestión del sistema de información, estableciendo los criterios de uso y los servicios disponibles en el mismo. Cerciorarse de que las medidas de seguridad se integren adecuadamente en el marco general de seguridad. |
| Delegado de Protección de Datos | Como Delegado de Protección de Datos se ha contratado a una persona externa, atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas la legislación vigente. |
Los cargos serán nombrados por la Dirección a propuesta del Comité de Seguridad, precisando sus funciones y responsabilidades dentro del marco establecido por esta Política. El nombramiento se revisará cada 2 años o cuando el puesto quede vacante.
La coordinación de los responsables recae en la dirección y en caso de conflicto entre los diferentes responsables, éste será resuelto por el superior jerárquico de los mismos. En defecto de lo anterior, prevalecerá la decisión del Director General.
Todos los sistemas sujetos a esta Política se someten a un análisis de riesgos periódico, evaluando las amenazas y los riesgos a los que están expuestos realizado:
La valoración y tratamiento del riesgo se realiza según lo descrito en el procedimiento de Gestión de riesgos.
La valoración del riesgo queda recogida en el Análisis de Riesgos.
Los controles seleccionados para reducir los riesgos se detallan en el Documento de Aplicabilidad.
Las acciones para tratar el riesgo se recogen en el Plan de Gestión.
La aprobación del riesgo residual y el Plan de Gestión se realizan en el marco del Comité de Seguridad, quedando documentadas en las actas de reunión.
Todo el personal relacionado con la información y los sistemas es ser formado e informado de sus deberes y obligaciones en materia de seguridad. Se supervisan las actuaciones para verificar que se siguen los procedimientos establecidos.
El personal relacionado con la información y los sistemas ejercitará y aplicará los principios de seguridad en el desempeño de su cometido.
El significado y alcance del uso seguro del sistema se ha concretado y documentado en la Normativa de Seguridad y los procedimientos asociados.
Los usuarios de los sistemas se identifican de manera unívoca para gestionar correctamente los derechos de acceso y controlar el uso de estos derechos.
La seguridad de los sistemas está atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalación, mantenimiento, gestión de incidencias y desmantelamiento.
El personal recibe la formación específica necesaria para garantizar la seguridad de las tecnologías de la información en uso en la organización.
Los subcontratistas son cuidadosamente seleccionados y se les informa y forma para que presten sus servicios de acuerdo a nuestros niveles de profesionalidad y seguridad.
Los accesos a los sistemas de información están controlados y limitados a los usuarios, procesos, dispositivos y otros sistemas de información, debidamente autorizados, restringiendo el acceso a las funciones permitidas.
El acceso a las instalaciones se encuentra restringido y controlado por controles de acceso biométricos y tarjetas de acceso. Los sistemas se ubican en salas con acceso restringido y controlado.
Cuando se presten servicios a clientes o se ceda información a terceros se les hará partícipes de la presente Política de Seguridad de la Información y de las normas de seguridad o procedimientos de seguridad relacionados con el servicio o la información afectados.
Se establecerán canales de información y coordinación entre los respectivos responsables de gestión de la seguridad de la información y se establecerán procedimientos de seguridad para la reacción ante incidentes.
En los contratos de adquisición de sistemas o aplicaciones informáticas, de prestación de servicios tecnológicos, y también en el caso de contratos de prestación de servicios de otro tipo que implique el uso de servicios, aplicaciones o sistemas informáticos internos, se considerarán los requisitos y medidas de seguridad aplicables.
Siempre que sea posible y a juicio del Responsable de Seguridad se priorizará a aquellos proveedores que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición.
Los sistemas se han diseñado y configurado de forma que garanticen la seguridad por defecto:
La instalación de cualquier elemento físico o lógico sigue un procedimiento formal con distintos niveles de autorización hasta su puesta en producción.
Se hace un seguimiento riguroso del estado de seguridad de los sistemas y se atiende a las recomendaciones y especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que afecten a los elementos de los sistemas, para impedir o mitigar los riesgos que vayan apareciendo.
Somos rigurosos con la seguridad de la información almacenada en nuestros sistemas, así como la de la que se encuentra en tránsito. Para ello se ha diseñado e implantado las medidas técnicas y organizativas que se recogen en nuestro SGSI para proteger la información en cualquier punto o soporte en el que se encuentre.
En los sistemas de información y comunicaciones se usará la técnica de firma electrónica cuando sea necesario garantizar el no repudio del mensaje o transacción mediante la autenticidad de origen y la integridad de la información.
La Autoridad de Certificación emisora de los certificados digitales utilizados, será la responsable de definir las políticas de gestión de los certificados emitidos, definiendo:
En función del tipo de reconocimiento de la Autoridad de Certificación, se deberá solicitar procedimiento de sistemática y control para la emisión, renovación, revocación y suspensión de certificados y sellos electrónicos, donde se dejará constancia de las garantías de autenticidad e integridad de la información.
Aquellos sistemas de información que precisen gestionar claves criptográficas, deberán disponer del software necesario para gestionarlas y cifrar la información, debiendo permitir:
Las claves de cifrado se considerarán información secreta y, como tal, su acceso deberá estar limitado al propietario de las mismas. Las claves de cifrado se deberán generar por medios que garanticen su fortaleza. Todo programa o archivo que contenga fórmulas, algoritmos u otras especificaciones que se utilicen para la generación de claves debe estar controlado con las máximas medidas de seguridad.
Las claves de cifrado deben ser ininteligibles y no se deben incluir dentro de los programas software. Los ordenadores y sistemas de comunicación deben tener implementados controles que impidan la recuperación de las claves almacenadas.
Se dispone de una estrategia de protección del sistema de información constituida por diferentes capas de seguridad, basada en medidas organizativas, físicas y lógicas, de tal forma que cuando una capa ha sido comprometida permita desarrollar una reacción adecuada frente a los incidentes que no han podido evitarse, reduciendo la probabilidad de que el sistema sea comprometido en su conjunto y minimizar el impacto final sobre el mismo.
En todo caso, se analizarán los riesgos derivados de la interconexión del sistema con otros sistemas y se controlará su punto de unión, especialmente en el caso de Migraciones realizadas a clientes, implementado “Equipos de Salto” que permitan reforzar la seguridad, especialmente en el caso de disponer de información limitada de la red cliente, estableciendo al menos una arquitectura de perímetro APP-5, pudiendo ser superior.
Para la adecuada interconexión entre sistemas se aplicarán los criterios definidos en los acuerdos contractuales realizados con el cliente.
Con el fin de preservar la seguridad de nuestros sistemas, se recogen datos sobre la actividad de los usuarios con plenas garantías legales y de acuerdo con la normativa sobre protección de datos personales. Estos datos serán únicamente los necesarios para monitorizar, detectar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa.
Nuestros sistemas de información cuentan con un sistema de detección y reacción frente a código dañino.
Estos y cualquier otro tipo de incidentes de seguridad se gestionan con las herramientas y procedimientos implantados al efecto, quedando registro de los mismos y de las actuaciones realizadas para resolverlos, Esta información se utiliza para evitar futuros incidentes, resolver antes lo que no se pueda evitar y tomar acciones de mejora.
Si el usuario de un equipo de información no se encuentra en su puesto de trabajo, se debe quitar toda la información sensible de la pantalla y escritorio y se debe denegar el acceso a todos los sistemas para los cuales la persona tiene autorización. En el caso de una ausencia corta (hasta 20 minutos), la política de pantalla limpia se implementa finalizando la sesión en todos los sistemas o bloqueando la pantalla con una clave.
Si la persona se ausenta por un período más prolongado (superior a 30 minutos), la política de pantalla limpia se implementa finalizando la sesión en todos los sistemas y apagando el puesto de trabajo, así como todos los documentos impresos, como también los soportes de almacenamiento de datos, deben ser retirados del escritorio o de otros lugares (impresoras, fotocopiadoras, etc.) para evitar el acceso no autorizado a los mismos. Este tipo de documentos y soportes deben ser archivados de forma segura, de acuerdo a lo establecido en la Política de Clasificación de la Información.
Todos los equipos que permitan la característica, deben tener habilitados métodos de bloqueo automático después de cierto tiempo de inactividad, pudiendo desbloquear de nuevo el equipo utilizando algún método de autenticación de usuario. Esta característica debe funcionar de forma adecuada en los momentos en que se deja el equipo desatendido. En el caso que un equipo no tenga esta característica, no puede ser utilizado para manejar información confidencial de la organización, siendo obligatorio:
Los sistemas disponen de copias de seguridad y se han establecido los mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo.
Se dispone de protección de la integridad del software y de la información ante amenazas concretas de tipo lógico (malware en general). Para ello se dispone de un proceso de securización que incluirá la instalación y configuración del software necesario para la detección de intrusiones en el sistema.
También, deberán controlarse de una manera segura los accesos remoto, con el fin de evitar accesos no autorizados, debiéndose proteger con un mecanismo de seguridad adecuado y permaneciendo sólo accesibles a solicitud de las personas encargadas del mantenimiento del hardware o del software.
La implantación de la configuración segura será llevada a cabo únicamente por las personas autorizadas.
El proceso integral de seguridad implantado se actualiza y mejora en el marco de las normas que le aplican. Para esta finalidad se utilizan métricas e indicadores que permitan medir la eficacia de las medidas de seguridad para verificar el cumplimiento de los requisitos de seguridad.
Una vez conocido el estado en que se encuentra en materia de seguridad se estará en disposición de tomar las decisiones oportunas, antes que se produzcan situaciones y/o escenarios no deseados sobre la seguridad de la información.
Se aplican las medidas técnicas y organizativas para fortalecer la seguridad de los sistemas informáticos, reduciendo sus vulnerabilidades y protegiéndolos contra ciberataques, considerando los siguientes principios:
CIBERLOGIC trata datos de carácter personal. El Documento de Seguridad recoge los tratamientos que se realizan y los responsables correspondientes. Todos los sistemas de información están protegidos en base a los requisitos definidos en la normativa de Protección de Datos, así como con las medidas aplicadas para reducir los riesgos identificados. El Documento de Seguridad de Protección de Datos y la documentación relacionada están ubicados en el repositorio documental de la empresa.
Todos los empleados de CIBERLOGIC tienen la obligación de conocer y cumplir esta Política de seguridad de la Información y la Normativa de Seguridad, el incumplimiento de esta obligación será sometido a las sanciones establecidas en nuestro convenio. Es responsabilidad de la Dirección disponer los medios necesarios para que la información llegue a los afectados.
Todos los empleados recibirán formación en seguridad de la información. Se establecerá un programa de concienciación continua para atender a todos los empleados de CIBERLOGIC en particular a los de nueva incorporación.
Cuando prestamos servicios a otras organizaciones o manejamos información de otros, se les hace partícipes de esta Política de Seguridad de la Información, estableciendo canales para reporte y coordinación de los respectivos Comités de Seguridad TIC y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.
