1. APROVACIÓ I ENTRADA EN VIGOR

Aquesta Política de Seguretat de la Informació és efectiva des de la data de signatura i fins que sigui substituïda per una nova Política.

2. MISSIÓ DE L’ORGANITZACIÓ

MICROBLAU SL, per assolir els seus objectius, assumeix el seu compromís amb la seguretat de la informació, comprometent-se a una gestió adequada d’aquesta, amb la finalitat d’oferir a tots els seus grups d’interès les màximes garanties pel que fa a la seguretat de la informació utilitzada. A MICROBLAU SL som una companyia de serveis integrats d’informàtica empresarial amb una veritable vocació per la nostra feina. Ens ocupem de gestionar les teves infraestructures IT per tal que puguis centrar-te en el teu negoci. Més que un simple proveïdor de serveis, som un autèntic partner digital. Ens impliquem en la teva empresa i aportem solucions tecnològiques que milloraran notablement el teu dia a dia.

Aquests sistemes han de ser administrats amb diligència, prenent les mesures adequades per protegir-los davant de danys accidentals o deliberats que puguin afectar la disponibilitat, la integritat o la confidencialitat de la informació tractada o dels serveis prestats.

L’objectiu de la seguretat de la informació és garantir la qualitat de la informació i la prestació continuada dels serveis, actuant de manera preventiva, supervisant l’activitat diària i reaccionant amb rapidesa davant dels incidents.

Els sistemes TIC han d’estar protegits contra amenaces d’evolució ràpida amb potencial per incidir en la confidencialitat, la integritat, la disponibilitat, l’ús previst i el valor de la informació i dels serveis. Per defensar-se d’aquestes amenaces, cal una estratègia que s’adapti als canvis en les condicions de l’entorn per garantir la prestació contínua dels serveis. Això implica que els departaments han d’aplicar les mesures mínimes de seguretat exigides per l’Esquema Nacional de Seguretat, així com fer un seguiment continu dels nivells de prestació de serveis, seguir i analitzar les vulnerabilitats reportades, i preparar una resposta efectiva davant dels incidents per garantir la continuïtat dels serveis prestats.

Els diferents departaments han d’assegurar-se que la seguretat TIC és una part integral de cada etapa del cicle de vida del sistema, des de la seva concepció fins a la seva retirada de servei, passant per les decisions de desenvolupament o adquisició i les activitats d’explotació. Els requisits de seguretat i les necessitats de finançament han de ser identificats i inclosos en la planificació, en la sol·licitud d’ofertes i en els plecs de licitació per a projectes TIC.

Els departaments han d’estar preparats per prevenir, detectar, reaccionar i recuperar-se d’incidents, d’acord amb l’Article 8 de l’ENS (Article 8. Prevenció, detecció, resposta i conservació).

3. ABAST

Aquesta política s’aplica a tots els sistemes TIC de l’entitat i a tots els membres de l’organització implicats en serveis i projectes destinats al sector públic que requereixin l’aplicació de l’ENS, sense excepcions.

4. OBJECTIUS

Per tot l’exposat anteriorment, la Direcció estableix els següents objectius de seguretat de la informació:

• Proporcionar un marc per augmentar la capacitat de resistència o resiliència per donar una resposta eficaç.
• Assegurar la recuperació ràpida i eficient dels serveis davant de qualsevol desastre físic o contingència que pugui produir-se i que posi en risc la continuïtat de les operacions.
• Prevenir incidents de seguretat de la informació en la mesura que sigui tècnicament i econòmicament viable, així com mitigar els riscos de seguretat de la informació generats per les nostres activitats.
• Garantir la confidencialitat, la integritat, la disponibilitat, l’autenticitat i la traçabilitat de la informació.

5.  MARC NORMATIU

Un dels objectius ha de ser complir els requisits legals aplicables i qualsevol altre requisit que subscrivim, a més dels compromisos adquirits amb els clients, així com la seva actualització contínua. Per això, el marc legal i regulador en què desenvolupem les nostres activitats és:

• REGLAMENT (UE) 2016/679 DEL PARLAMENT EUROPEU I DEL CONSELL, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades.
• Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals.
• Reial decret legislatiu 1/1996, de 12 d’abril, Llei de propietat intel·lectual.
• Llei 2/2019, d’1 de març, per la qual es modifica el text refós de la Llei de propietat intel·lectual, aprovat pel Reial decret legislatiu 1/1996, de 12 d’abril, i per la qual s’incorporen a l’ordenament jurídic espanyol la Directiva 2014/26/UE del Parlament Europeu i del Consell, de 26 de febrer de 2014, i la Directiva (UE) 2017/1564 del Parlament Europeu i del Consell, de 13 de setembre de 2017.
• Reial decret 311/2022, de 3 de maig, pel qual es regula l’Esquema Nacional de Seguretat.
• Llei 34/2002, d’11 de juliol, de serveis de la societat de la informació i de comerç electrònic (LSSI).
• Llei 39/2015, d’1 d’octubre, del procediment administratiu comú de les administracions públiques.
• Llei 40/2015, d’1 d’octubre, de règim jurídic del sector públic.
• Resolució de 7 d’octubre de 2016, de la Secretaria d’Estat d’Administracions Públiques, per la qual s’aprova la Instrucció Tècnica de Seguretat d’Informe de l’Estat de la Seguretat.
• Resolució de 13 d’octubre de 2016, de la Secretaria d’Estat d’Administracions Públiques, per la qual s’aprova la Instrucció Tècnica de Seguretat de conformitat amb l’Esquema Nacional de Seguretat.
• Resolució de 27 de març de 2018, de la Secretaria d’Estat de Funció Pública, per la qual s’aprova la Instrucció Tècnica de Seguretat d’Auditoria de la Seguretat dels Sistemes d’Informació.
• Resolució de 13 d’abril de 2018, de la Secretaria d’Estat de Funció Pública, per la qual s’aprova la Instrucció Tècnica de Seguretat de Notificació d’Incidents de Seguretat.

6. DESENVOLUPAMENT

Per poder assolir aquests objectius és necessari:

• Millorar contínuament el nostre sistema de seguretat de la informació.
• Identificar les amenaces potencials, així com l’impacte en les operacions de negoci que aquestes amenaces, en cas de materialitzar-se, puguin causar.
• Preservar els interessos de les principals parts interessades (clients, accionistes, empleats i proveïdors), la reputació, la marca i les activitats de creació de valor.
• Treballar conjuntament amb els nostres subministradors i subcontractistes per tal de millorar la prestació de serveis de TI, la continuïtat dels serveis i la seguretat de la informació, de manera que assolim una millor eficiència de la nostra activitat.
• Avaluar i garantir la competència tècnica del personal, així com assegurar-ne la motivació adequada per a la seva participació en la millora contínua dels nostres processos, proporcionant la formació i la comunicació interna adequades perquè desenvolupin bones pràctiques definides en el sistema.
• Garantir el correcte estat de les instal·lacions i l’equipament adequat, de manera que estiguin en correspondència amb l’activitat, els objectius i les metes de l’empresa.
• Garantir una anàlisi continuada de tots els processos rellevants, establint les millores pertinents en cada cas, en funció dels resultats obtinguts i dels objectius establerts.
• Estructurar el nostre sistema de gestió de manera que sigui fàcil d’entendre. El nostre sistema de gestió té l’estructura següent:

La gestió del nostre sistema correspon al Responsable de Sistemes Informàtics i el sistema estarà disponible al nostre sistema d’informació en un repositori, al qual es pot accedir segons els perfils d’accés concedits d’acord amb el nostre procediment vigent de gestió dels accessos.

La documentació referida a la seguretat del sistema es troba estructurada en carpetes dins del servidor de fitxers de la companyia, organitzat en subcarpetes, classificades per punts de norma i marcs d’operació, les quals recullen els diferents procediments, registres i evidències, amb accés restringit per al personal de la companyia, i sense que hi pugui accedir personal extern no autoritzat.

La documentació de seguretat s’estructura en:

• Política de Seguretat.
• Normativa de seguretat: documents que descriuen l’ús d’equips, serveis i instal·lacions. Descriuen què es considera ús indegut, la responsabilitat del personal respecte al compliment o la vulneració de la normativa, els drets, deures i mesures disciplinàries d’acord amb la legislació vigent.
• Documents específics: documentació de seguretat desenvolupada segons les guies CCN-STIC que resultin d’aplicació.
• Procediments de seguretat: documents que detallen com operar els elements del sistema.

Aquesta política es complementa amb la resta de polítiques, procediments i documents vigents per desenvolupar el nostre sistema de gestió.

7. ORGANITZACIÓ DE SEGURETAT

La responsabilitat essencial recau sobre la Direcció General de l’organització, ja que aquesta és responsable d’organitzar les funcions i responsabilitats i de facilitar els recursos adequats per aconseguir els objectius de l’ENS. Els directius també són responsables de donar bon exemple seguint les normes de seguretat establertes.

Aquests principis són assumits per la Direcció, que disposa dels mitjans necessaris i dota els seus empleats dels recursos suficients per al seu compliment, deixant-ne constància i posant-los en coneixement públic a través d’aquesta Política Integrada de Sistemes de Gestió.

Els rols o funcions de seguretat definits són:

Aquesta definició de deures i responsabilitats es completa en els perfils de lloc i en els documents del sistema Registre de responsables, rols i responsabilitats.

RESOLUCIÓ DE CONFLICTES

Les diferències de criteri que puguin derivar en un conflicte es tractaran en el si del Comitè de Seguretat i prevaldrà en tot cas el criteri de la Direcció General.

8. COMITÈ DE SEGURETAT

La designació i la renovació d’aquests càrrecs es formalitzaran mitjançant la seva ratificació pel Comitè de Seguretat.

El comitè per a la gestió i coordinació de la seguretat és l’òrgan amb més responsabilitat dins del sistema de gestió de seguretat de la informació, de manera que totes les decisions més importants relacionades amb la seguretat s’acorden en aquest comitè.

Els membres del comitè de seguretat de la informació són:

• RESPONSABLE DE SEGURETAT
• RESPONSABLE DEL SISTEMA
• RESPONSABLE DEL SERVEI
• RESPONSABLE DE LA INFORMACIÓ

Aquests membres són designats pel comitè, únic òrgan que pot nomenar-los, renovar-los i cessar-los.

El Comitè de Seguretat és un òrgan autònom, executiu i amb autonomia per a la presa de decisions, i no ha de subordinar la seva activitat a cap altre element de la nostra empresa.

L’organització de la seguretat de la informació es desenvolupa en el document complementari d’aquesta Política d’Organització de la Seguretat.

Aquesta política es complementa amb la resta de polítiques, procediments i documents vigents per desenvolupar el nostre sistema de gestió.

9. GESTIÓ DE RISCOS

Tots els sistemes subjectes a aquesta Política hauran de realitzar una anàlisi de riscos, avaluant les amenaces i els riscos als quals estan exposats. Aquesta anàlisi es revisa regularment:

• almenys una vegada l’any;
• quan canviï la informació gestionada;
• quan canviïn els serveis prestats;
• quan es produeixi un incident greu de seguretat;
• quan es reportin vulnerabilitats greus.

Per a l’harmonització de les anàlisis de riscos, el Comitè de Seguretat TIC establirà una valoració de referència per als diferents tipus d’informació gestionada i els diferents serveis prestats. El Comitè de Seguretat TIC, també impulsarà la disponibilitat de recursos per atendre les necessitats de seguretat dels diferents sistemes i promourà inversions de caràcter horitzontal.

Per a la realització de l’anàlisi de riscos es tindrà en compte la metodologia d’anàlisi de riscos desenvolupada en el procediment Anàlisi de Riscos.

10. GESTIÓ DE PERSONAL

Tots els membres de MICROBLAU SL tenen l’obligació de conèixer i complir aquesta Política de Seguretat de la Informació i la Normativa de Seguretat. Correspon al Comitè de Seguretat TIC garantir que aquesta informació arribi a totes les persones afectades

Tots els membres de MICROBLAU SL assistiran a una sessió de conscienciació en matèria de seguretat TIC almenys una vegada l’any. S’establirà un programa de conscienciació contínua per atendre tots els membres de MICROBLAU SL, en particular els de nova incorporació.

Les persones amb responsabilitat en l’ús, l’operació o l’administració de sistemes TIC rebran formació per a l’ús segur dels sistemes en la mesura que la necessitin per dur a terme la seva feina. La formació serà obligatòria abans d’assumir una responsabilitat, tant si és la seva primera assignació com si es tracta d’un canvi de lloc de treball o de responsabilitats dins del mateix.

11. PROFESSIONALITAT I SEGURETAT DELS RECURSOS HUMANS

Aquesta Política s’aplica a tot el personal de MICROBLAU SL i al personal extern que realitza tasques dins de l’empresa.

RRHH inclourà funcions de seguretat de la informació en les descripcions dels llocs de treball dels empleats, informarà tot el personal que contracti de les seves obligacions respecte al compliment de la Política de Seguretat de la Informació, gestionarà els Compromisos de Confidencialitat amb el personal i coordinarà les tasques de formació dels usuaris respecte a aquesta Política.

• El Responsable de Gestió de la Seguretat (RGS) [CISO] és responsable de supervisar, documentar i analitzar els incidents de seguretat reportats, així com de comunicar-se amb el Comitè de Seguretat de la Informació i amb els propietaris de la informació.
• El Comitè de Seguretat de la Informació serà responsable d’implementar els mitjans i canals necessaris perquè el Responsable de Gestió de la Seguretat (RGS) [CISO] gestioni informes d’incidents i anomalies del sistema. El Comitè també n’estarà al corrent, supervisarà la investigació, supervisarà l’evolució de la informació i promourà la resolució d’incidents de seguretat de la informació.
• El Responsable de Gestió de la Seguretat (RGS) [CISO] participarà en la preparació del Compromís de Confidencialitat que signaran els empleats i tercers que exerceixin funcions a MICROBLAU SL, en l’assessorament sobre les sancions que s’aplicaran per incompliment d’aquesta Política i en el tractament d’incidents de seguretat de la informació.
• Tot el personal de MICROBLAU SL és responsable d’informar sobre les debilitats i els incidents de seguretat de la informació que es detectin oportunament.

Professionalitat dels recursos humans:

• Determinar la competència necessària del personal per dur a terme el treball que afecta la Seguretat de la Informació.
• Cal garantir que les persones siguin competents mitjançant una formació, una preparació o una experiència adequades.
• Demostrar mitjançant la informació documentada que sigui necessària la competència del personal en matèria de Seguretat de la Informació.

Els objectius de controlar la seguretat del personal són:

• Reduir els riscos d’error humà, irregularitats, ús indegut d’instal·lacions i recursos, i tractament no autoritzat de la informació.
• Explicar les responsabilitats de seguretat en l’etapa de reclutament del personal i incloure-les en els acords a signar, i verificar-ne el compliment durant l’exercici de les tasques de l’empleat.
• Assegurar que els usuaris siguin conscients de les amenaces i preocupacions de seguretat de la informació i que estiguin formats per donar suport a la Política de Seguretat de la Informació de l’organització en el curs de les seves tasques habituals.
• Establir compromisos de confidencialitat amb tot el personal i usuaris fora de les instal·lacions de processament de la informació.
• Establir les eines i mecanismes necessaris per promoure la comunicació de les debilitats de seguretat existents, així com dels incidents, amb la finalitat de minimitzar-ne els efectes i prevenir-ne la reincidència.

12. AUTORITZACIÓ I CONTROL D’ACCÉS ALS SISTEMES D’INFORMACIÓ

El control de l’accés als sistemes d’informació té per objectiu:

• Evitar l’accés no autoritzat a sistemes d’informació, bases de dades i serveis d’informació.
• Implementar la seguretat en l’accés dels usuaris mitjançant tècniques d’autenticació i autorització.
• Controlar la seguretat en la connexió entre la xarxa de MICROBLAU SL i altres xarxes públiques o privades.
• Revisar els esdeveniments crítics i les activitats dutes a terme pels usuaris en els sistemes.
• Fer prendre consciència als usuaris sobre la seva responsabilitat en l’ús de contrasenyes i equips.
• Garantir la seguretat de la informació quan s’utilitzen ordinadors portàtils i ordinadors personals per al treball remot.

13. PROTECCIÓ DE LES INSTAL·LACIONS

Els objectius d’aquesta política en matèria de protecció de les instal·lacions són:

Prevenir l’accés no autoritzat, els danys i les interferències a la seu, les instal·lacions i la informació de MICROBLAU SL:

• Protegir l’equip de processament d’informació crític de MICROBLAU SL, situant-lo en àrees protegides i emparat per un perímetre de seguretat definit, amb les mesures de seguretat i controls d’accés adequats. Així mateix, cal preveure la protecció d’aquest equip durant el seu trasllat i quan romangui fora de les àrees protegides, per manteniment o altres motius.
• Controlar els factors ambientals que podrien perjudicar el bon funcionament de l’equipament informàtic que allotja la informació de MICROBLAU SL.
• Implementar mesures per protegir la informació gestionada pel personal a les oficines, en el marc normal de les seves tasques habituals.
• Proporcionar una protecció proporcional als riscos identificats.

Aquesta Política s’aplica a tots els recursos físics relacionats amb els sistemes d’informació de MICROBLAU SL: instal·lacions, equips, cablejat, expedients, suports d’emmagatzematge, etc.

El responsable de Gestió de la Seguretat (RGS) [CISO], juntament amb els Titulars de la Informació, segons correspongui, definirà les mesures de seguretat física i ambiental per a la protecció dels actius crítics, sobre la base d’una anàlisi de riscos, i en supervisarà l’aplicació. També verificarà el compliment de les disposicions de seguretat física i mediambiental.

Els responsables dels diferents departaments definiran els nivells d’accés físic del personal de MICROBLAU SL a les àrees restringides sota la seva responsabilitat. Els Propietaris de la Informació autoritzaran formalment el treball fora de les instal·lacions amb informació del seu negoci als empleats de MICROBLAU SL quan ho considerin oportú.

Tot el personal de MICROBLAU SL és responsable del compliment de la política de pantalla neta i escriptori net, per a la protecció de la informació relacionada amb el treball diari a les oficines.

14. ADQUISICIÓ DE PRODUCTES

Els diferents departaments han d’assegurar-se que la seguretat TIC és una part integral de cada etapa del cicle de vida del sistema, des de la seva concepció fins a la seva retirada de servei, passant per les decisions de desenvolupament o adquisició i les activitats d’explotació. Els requisits de seguretat i les necessitats de finançament han de ser identificats i inclosos en la planificació, en la sol·licitud d’ofertes i en els plecs de licitació per a projectes TIC.

D’altra banda, en l’adquisició i el manteniment dels sistemes d’informació també es tindrà en compte la seguretat de la informació, així com el control i la gestió dels canvis.

La política de desenvolupament i adquisició de sistemes d’informació es desenvolupa en el document: Política d’Adquisició, Desenvolupament i Manteniment de Sistemes.

15. SEGURETAT PER DEFECTE

MICROBLAU SL considera estratègic per a l’entitat que els processos integrin la seguretat de la informació com a part del seu cicle de vida. Els sistemes d’informació i els serveis han d’incloure la seguretat per defecte des de la seva creació fins a la seva retirada, incorporant la seguretat en les decisions de desenvolupament i/o adquisició i en totes les activitats operatives, establint la seguretat com un procés integral i transversal.

16. INTEGRITAT I ACTUALITZACIÓ DEL SISTEMA

MICROBLAU SL es compromet a garantir la integritat del sistema mitjançant un procés de gestió de canvis que permeti el control de l’actualització dels elements físics o lògics mitjançant l’autorització prèvia a la seva instal·lació en el sistema. Aquesta avaluació serà duta a terme principalment per la direcció de sistemes, que avaluarà l’impacte en la seguretat del sistema abans de realitzar els canvis, documentant aquells canvis que s’avaluïn com a importants o amb implicacions en la seguretat dels sistemes.

Mitjançant revisions periòdiques de seguretat s’avaluarà l’estat de seguretat dels sistemes, en relació amb les especificacions dels fabricants, les vulnerabilitats i les actualitzacions que els afectin, reaccionant amb diligència per gestionar el risc tenint en compte el seu estat de seguretat.

17.       PROTECCIÓ DE LA INFORMACIÓ EMMAGATZEMADA I EN TRÀNSIT

MICROBLAU SL estableix mesures de protecció per a la seguretat de la informació emmagatzemada o en trànsit a través d’entorns insegurs. Tindran la consideració d’entorns insegurs els equips portàtils, els assistents personals (PDA), els dispositius perifèrics, els suports d’informació i les comunicacions sobre xarxes obertes o amb xifratge feble.

18. PREVENCIÓ DE SISTEMES DE INFORMACIÓ INTERCONNECTATS

MICROBLAU SL estableix mesures per protegir el perímetre de seguretat de la informació, especialment quan el sistema es connecta a xarxes públiques o a xarxes utilitzades totalment o principalment per prestar serveis de comunicacions electròniques disponibles per al públic.

En tot cas, s’analitzaran els riscos derivats de la interconnexió del sistema amb altres sistemes a través de xarxes.
També es controlarà el punt d’unió amb aquests sistemes, especialment quan es tracti de connexions electròniques disponibles per al públic.

19. CONTINUÏTAT DE L’ACTIVITAT

MICROBLAU SL, amb l’objectiu de garantir la continuïtat de les activitats, estableix mesures perquè els sistemes disposin de còpies de seguretat i estableix els mecanismes necessaris per garantir la continuïtat de les operacions, en cas de pèrdua dels mitjans habituals de treball.

20. MILLORA CONTÍNUA DEL PROCÉS DE SEGURETAT

MICROBLAU SL impulsa un procés de millora contínua de la seguretat de la informació basat en els criteris i la metodologia definits per normes internacionals com la ISO 27001.

Signat:

La Direcció