Tabla de contenidos
1. Organización e implementación del proceso de seguridad (art.13)
Esta “Política de Seguridad de la Información” es efectiva desde su entrada en vigor el día 06 de octubre de 2025 por Soterguard.
La Política es revisada por el responsable de Seguridad de la Información a intervalos planificados, sin exceder el año de duración, o siempre que se produzcan cambios significativos, a fin de asegurar que se mantenga su idoneidad, adecuación y eficacia.
La seguridad de los sistemas de información deberá comprometer a todos los miembros de la organización, comunicándose de forma efectiva.
Los cambios sobre la Política de Seguridad de la Información serán aprobados por la Dirección de Soterguard. Cualquier cambio sobre la misma deberá ser difundido para conocimiento de toda la organización.
La dirección de la empresa es consciente del valor de la información y está profundamente comprometida con la política descrita en este documento.
2. Marco normativo
El marco normativo en materia de seguridad de la información en el que Soterguard desarrolla su actividad, esencialmente, es el siguiente:
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
• Esquema Nacional de Seguridad (ENS), artículo 12: Organización e implantación del proceso de seguridad.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos), de aplicación al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
• Guía de Seguridad de las TIC CCN-STIC 805 (ENS): Política de seguridad de la información.
• Guía de Seguridad de las TIC CCN-STIC 801 (ENS): Responsabilidades y funciones.
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE).
• UNE-ISO/IEC 27001.
3. Responsabilidades
4. Localización de los Procedimiento de Seguridad
De acuerdo con lo establecido anteriormente se ha desarrollado un documento denominado Inventario de Procedimientos de Seguridad “SG_Inventario de Procedimientos_v1” donde se encuentran desarrollados la mayoría de los procedimientos que se usan actualmente.
5. Uso correcto de los Equipos
6. Normas específicas para equipos portátiles
7. Uso eficiente de equipos y recursos informáticos
8. Instalación de Software
Únicamente el personal técnico autorizado por el Responsable de Sistemas podrá instalar software en los equipos informáticos o de comunicaciones de los usuarios. La solicitud de instalación habrá de hacerse al Responsable de Sistemas a través de la creación de un Ticket en la plataforma expresamente habilitada.
En los casos en que un usuario esté autorizado a ser el propio administrador de su PC, éste sólo se podrá instalar/desinstalar las aplicaciones acordadas en su solicitud inicial. Cualquier otro tipo de software que necesite debe solicitarlo igualmente al Responsable de Sistemas.
No se podrá instalar o utilizar software que no disponga de la licencia correspondiente o cuya utilización no sea conforme con la legislación vigente en materia de Propiedad Intelectual.
Se prohíbe terminantemente la reproducción, modificación, transformación, cesión, comunicación o uso fuera del ámbito de Soterguard de los programas y aplicaciones informáticas instaladas en los equipos que pertenecen a Soterguard.
En ningún caso se podrán eliminar o deshabilitar las aplicaciones informáticas instaladas por el área de TI, especialmente aquellas relacionadas con la seguridad.
9. Acceso a los sistemas de información y a los datos tratados
10. Identificación y autenticación
11. Confidencialidad de las contraseñas
Cada identificador y contraseña debe ser tratado por los usuarios como información confidencial, personal e intransferible y no podrán ser revelados a terceras personas, ni siquiera a compañeros de trabajo.
En caso de que la confidencialidad de una contraseña pudiera verse comprometida, se deberá poner esta circunstancia en conocimiento del Responsable de Seguridad.
Si un usuario necesita acceder a datos o correos electrónicos a los que no tenga acceso, debe comunicarlo al Responsable de Sistemas, quien, si lo considera justificado, podrá facilitarle el acceso, bajo la supervisión del Responsable de Seguridad. En ningún caso dos usuarios podrán compartir sus contraseñas para acceder de manera conjunta a los datos de carácter personal.
12. Almacenamiento de las contraseñas
13. Renovación periódica de contraseñas
14. Limitación de intentos reiterados de acceso al sistema
15. Uso del correo electrónico corporativo
16. Acceso a internet y otras herramientas de colaboración
17. Uso indebido de los equipos
Las siguientes actuaciones están explícita y especialmente prohibidas:
El envío de correos electrónicos con contenido inadecuado, ilegal, ofensivo, difamatorio, inapropiado o discriminatorio por razón de sexo, raza, edad, discapacidad, que contengan programas informáticos (software) sin licencia, que vulneren los derechos de propiedad intelectual de los mismos, de alerta de virus falsos o difusión de virus reales y código malicioso, o cualquier otro tipo de contenidos que puedan perjudicar a los usuarios, identidad e imagen corporativa y a los propios sistemas de información de Soterguard.
El acceso a un buzón de correo electrónico distinto del propio y el envío de correos electrónicos con usuarios distintos del propio.
La difusión de la cuenta de correo del usuario en listas de distribución, foros, servicios de noticias, etc., que no sean consecuencia de la actividad profesional del usuario.
Responder mensajes de los que se tenga sospechas sobre su autenticidad, confiabilidad y contenido, o mensajes que contengan publicidad no deseada.
La utilización del correo corporativo como medio de intercambio de ficheros especialmente voluminosos sin autorización, y el envío de información sensible, confidencial o protegida.
La utilización del correo corporativo para recoger correo de buzones que no pertenezcan a Soterguard o el reenvío automático del correo corporativo a buzones ajenos a Soterguard. Para ello se necesitará la autorización expresa del responsable de seguridad.
Los mensajes espontáneos dirigidos a todos los miembros de Soterguard. De nuevo, la interferencia en el tráfico de correo de Soterguard justifica esta medida, así como evitar la generación de un encadenamiento de respuestas. Si se considera que el asunto merece y exige la difusión general, el responsable de seguridad analizará previamente la pertinencia del envío masivo.
También quedan prohibidas las siguientes actuaciones:
- La descarga de programas informáticos sin la autorización previa del responsable de sistemas o ficheros con contenido dañino que supongan una fuente de riesgos para Soterguard. En todo caso debe asegurarse que el sitio Web visitado es confiable.
- El acceso a recursos y páginas-web, o la descarga de programas o contenidos que vulneren la legislación en materia de Propiedad Intelectual.
- La utilización de aplicaciones o herramientas (especialmente, el uso de programas de intercambio de información, P2P) para la descarga masiva de archivos, programas u otro tipo de contenido (música, películas, etc.) que no esté expresamente autorizada por el responsable de sistemas
Asimismo, están terminantemente prohibidos los siguientes comportamientos:
- Utilización de cualquier tipo de software dañino.
- Conexión a la red informática corporativa de cualquier equipo o dispositivo no facilitado por Soterguard, sin la previa autorización del Responsable de Sistemas.
- Utilización de conexiones y medios inalámbricos con tecnologías WiFi, Bluetooth o infrarrojos que no estén debidamente autorizados por el Responsable de Sistemas.
- Utilización de dispositivos USB, teléfonos móviles u otros elementos, como acceso alternativo a Internet, salvo autorización expresa del Responsable de Sistemas.
- Instalación y/o utilización de programas o contenidos que vulneren la legislación vigente en materia de Propiedad Intelectual. Este comportamiento estará sometido a las previsiones disciplinarias, administrativas, civiles o penales descritas en las leyes.
- El uso de Internet, del correo electrónico y el acceso al resto de los servicios y sistemas de Soterguard estará debidamente controlado para todos los usuarios. Si se hiciese un uso abusivo o inapropiado de estos servicios, Soterguard podrá adoptar las medidas disciplinarias que considere oportunas, sin perjuicio de las acciones civiles o penales a las que hubiere lugar.
- El uso abusivo de los accesos a Internet es otra de las principales preocupaciones de Soterguard por eso quedan prohibidas:
- Acceso a otras redes, con el propósito de violar su integridad o seguridad.
Acceso a contenidos no relacionados con los fines profesionales del usuario, tales como:
- Acceder, recuperar o visualizar textos o gráficos que excedan los límites de la ética.
- Almacenar en el puesto de trabajo del usuario o en los servidores de Soterguard archivos personales, salvo autorización previa del Responsable de Sistemas.
- Utilizar Internet para el uso de mensajería instantánea para fines no profesionales.
- Transferencia de ficheros no relativa a las actividades profesionales del usuario (tales como juegos, ficheros de sonido, fotos, videos o películas, etc.).
- Realizar cualquier actividad de promoción de intereses personales.
- Publicación o envío de información no solicitada, o sensible, confidencial, protegida o propiedad de Soterguard, a personas, empresas o sistemas de información externos no autorizados. En este sentido, los usuarios se comprometen a garantizar la privacidad de estos datos y contraseñas de acceso, así como a evitar la difusión de estos.
- Publicación o envío de mensajes a través de Internet que contengan amenazas, ofensas o imputación de hechos que puedan lesionar la dignidad personal y, en general, la utilización del servicio de Internet de manera ilegal o infringiendo cualquier norma interna que pudiera resultar de aplicación.
Asimismo, se considera incorrecto utilizar el correo electrónico para fines distintos a los derivados de las actividades profesionales del usuario, especialmente:
- Intercambiar contenidos (textos o gráficos) que excedan los límites de la ética.
- Transferencia de ficheros ajena a las actividades profesionales del usuario (como: software sin licencia, ficheros de sonido, fotos y videos, gráficos, virus, código malicioso, etc.).
- Realizar cualquier actividad con intereses personales.
- Usar la cuenta de correo de Soterguard para enviar mensajes o cartas en cadena y/o correos basura o spam (correo electrónico no solicitado).
- Usar cualquier cuenta de correo de Soterguard para enviar mensajes que contengan amenazas, ofensas o imputación de hechos que puedan lesionar la dignidad personal y, en general, la utilización del correo electrónico de manera ilegal o infringiendo cualquier norma que pudiera resultar de aplicación.
- Revelar a terceros el contenido de cualquier dato reservado o confidencial propiedad de Soterguard o de terceros, salvo que tal actuación fuera realizada en cumplimiento de fines estrictamente profesionales con el previo consentimiento de los afectados.
- En general, se considera inapropiado tener acceso a servicios y/o contenidos de Soterguard con el propósito de violar su integridad o seguridad, así como las acciones realizadas desde una cuenta de usuario o desde una cuenta de correo electrónico de usuario son responsabilidad de su titular.
Soterguard implantará los sistemas de protección de acceso a los sistemas que considere necesario, para evitar que se produzcan incidentes relacionados con el abuso de estos servicios.
18. Compromisos de los usuarios
19. Incumplimiento de la normativa
20. Referencia documental
21. Aprobación del documento
