1 OBJETO
Este documento tiene por objeto facilitar las directivas y directrices que deben seguirse para proteger la información y la privacidad de los datos de carácter personal que gestiona V2V FACTORY, S.L. respecto a posibles incidentes y una amplia gama de amenazas de seguridad y privacidad, a fin de:
- Garantizar la seguridad de las operaciones realizadas, mediante sus Sistemas de Información.
- Minimizar los riesgos de daño a la información y su posible implicación con los datos de carácter personal.
- Asegurar el cumplimiento de los objetivos de la Organización.
- Asegurar el cumplimiento de la legislación vigente.
V2V FACTORY, S.L. tiene la voluntad de conseguir que los principios de formen parte de la cultura de la Organización, para lo cual ha implementado un Sistema de Gestión de la Seguridad de la Información en base a un estándar reconocido internacionalmente ISO27001 Privacidad ISO27701 (en adelante SGSI).
2 ALCANCE
Todo el personal de V2V FACTORY, S.L. incluyendo colaboradores, proveedores y la dirección, debe conocer y cumplir esta política.
Esta Política se desarrollará mediante normativa, procedimientos, instrucciones operativas, guías, manuales y todos aquellos instrumentos organizativos considerados útiles para alcanzar sus objetivos.
3 MARCO NORMATIVO
Mediante esta política se da cobertura a los requisitos exigidos por la Norma ISO 27001 e ISO 27701, en su apartado N05.2 “Política”
4 DEFINICIONES
A los efectos de una correcta interpretación de la presente Política, se incluyen las siguientes definiciones:
- Información: Datos que poseen significado, en cualquier formato o soporte. Se refiere a toda comunicación o representación de conocimiento.
- Datos de carácter personal: Información que identifica o hace identificable a una persona.
- Sistema de Información: Se refiere a un conjunto de recursos relacionados y organizados para el tratamiento de información, según determinados procedimientos, tanto informáticos como manuales.
5 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
5.1 Objetivos de la política
El objetivo principal de la creación de esta Política de Seguridad de la información y de la Privacidad de los datos de carácter personal tratados, por parte de la Dirección de V2V FACTORY, S.L. , es garantizar a los usuarios de sus servicios el acceso y tratamiento de la información de forma segura y respetando la privacidad con relación a los servicios que se requieren para el desempeño acordado entre las partes, así como evitar serias pérdidas o alteración de la información y accesos no autorizados a la misma;
- Que se desarrollen políticas, normativas, procedimientos y guías operativas para apoyar la Política de Seguridad de la información.
- Que se identifique la información que deba ser protegida.
- Que se establezca y mantenga la gestión del riesgo alineada con los requerimientos de la política del SGSI y la estrategia de V2V FACTORY, S.L.
- Que se establezca una metodología para la apreciación y tratamiento del riesgo.
- Que se establezcan criterios con los que medir el nivel de cumplimiento del SGSI.
- Que se revise el nivel de cumplimiento del SGSI.
- Que se corrijan las no conformidades mediante la implementación de acciones correctivas.
- Que el personal reciba formación y concienciación sobre la seguridad y privacidad de la información.
- Que todo el personal sea informado sobre la obligación de cumplimiento de la Política de Seguridad de la información.
- La asignación de los recursos necesarios para gestionar el SGSI.
- La identificación y cumplimiento de todos los requerimientos legales, regulatorios y contractuales.
- Que se identifiquen y analicen las implicaciones de seguridad de la información y de la privacidad de los datos de carácter personal respecto a los requerimientos de negocio.
- Que se mida el grado de madurez del propio sistema de gestión de la seguridad de la información.
- Que se realice la mejora continua sobre el SGSI.
Se establece un marco para la consecución de los objetivos de seguridad de la información tratados de V2V FACTORY, S.L. Dichos objetivos se alcanzarán a través de una serie de medidas organizativas y de normas concretas y claramente definidas.
Los principios que deben respetarse, en base a las dimensiones básicas de la seguridad, son los SGSI siguientes:
- Confidencialidad: propiedad por la cual únicamente puede acceder a la información gestionada por V2V FACTORY, S.L. quién esté autorizado para ello, previa identificación, en el momento y por los medios habilitados.
- Integridad: propiedad que garantiza la validez, exactitud y completitud de la información gestionada por V2V FACTORY, S.L., siendo su contenido el facilitado por los afectados sin ningún tipo de manipulación y permitiendo que sea modificada únicamente por quién esté autorizado para ello.
- Disponibilidad: propiedad de ser accesible y utilizable en los intervalos acordados. La información gestionada por V2V FACTORY, S.L. es accesible y utilizable por los clientes y usuarios autorizados e identificados en todo momento, quedando garantizada su propia persistencia ante cualquier eventualidad prevista.
- Privacidad: proteger la privacidad de la información personal de los estudiantes, profesores y personal administrativo que gestiona V2V FACTORY, S.L. así como colaboradores externos, asegurando que se cumplan las leyes y regulaciones aplicables en todo momento.
- Legalidad vigente: Cumplir con la legislación vigente.
La dirección de V2V FACTORY, S.L. se compromete a poner todos los recursos necesarios para abordar con éxito la consecución de dichos objetivos. Así como llevar a cabo de forma periódica, la revisión y seguimiento de estos.
5.2 Alcance de la política
El alcance de la Política de Seguridad de la Información, coincide con el alcance del SGSI :
“Sistemas de seguridad de la información para la consultoría sobre el desarrollo de proyectos y aplicaciones para el comercio minorista, micro markets y distribución automática o vending, venta de equipos electrónicos relacionados con las tecnologías de la información según la declaración de plicabilidad vigente.”
Esta ha sido aprobada por la Dirección General y se ha comunicado dentro de la organización y está disponible para las partes interesada en la Web corporativa.
5.3 Roles y responsabilidades
V2V FACTORY, S.L. ha definido los roles y responsabilidades de las personas involucradas en la gestión de la seguridad de la información personal en la universidad, desde la alta dirección hasta el personal de apoyo:
- La Dirección General de V2V FACTORY, S.L. es la responsable de aprobar la presente política.
- El CSO es el responsable de mantener la presente política.
5.4 Gestión del riesgo
El Sistema de Gestión de la Seguridad (SGSI) en V2V FACTORY, S.L. , se articula mediante un proceso general de apreciación y tratamiento del riesgo, que potencialmente pueden afectar a la seguridad de la información los servicios prestados, consistente en:
- Identificar las amenazas, que aprovecharán vulnerabilidades de los Sistemas de Información que soportan, o de los que depende, la seguridad y privacidad de la información.
- Analizar el riesgo, en base a la consecuencia de materializarse la amenaza y de la probabilidad de ocurrencia.
- Evaluar el riesgo, según un nivel previamente establecido y aprobado de riesgo ampliamente aceptable, tolerable e inaceptable.
- Tratar el riesgo inaceptable, mediante los controles o salvaguardas adecuadas.
Dicho proceso es cíclico y debe llevarse a cabo de forma periódica, como mínimo una vez al año. Para cada riesgo identificado se asignará un propietario, pudiendo recaer múltiples responsabilidades en una misma persona o comité.
5.5 Formación y concienciación
Desde V2V FACTORY, S.L. y con el fin de apoyar las partes interesadas y acompañarlas en su crecimiento personal para mejorar la Seguridad se dispone de un plan de formación en Seguridad, así como de píldoras de concienciación.
5.6 Auditoría
La Dirección General de V2V FACTORY, S.L. garantiza y verifica, mediante auditorías internas y externas, el grado de cumplimiento de las directrices de esta Política y que éstas son operadas e implementadas correctamente, responsabilizándose del cumplimiento de las medidas correctivas que hayan podido determinarse con el fin de mantener la mejora continua.
5.7 Sanciones
El incumplimiento de esta Política de Seguridad de la información y demás normativas y procedimientos que la desarrollan tendrá como consecuencia la aplicación de sanciones, conforme a la magnitud y características del aspecto no cumplido, de acuerdo con la legislación laboral vigente.
5.8 Validez y actualización
Esta política es efectiva desde el momento de su publicación y se revisa como mínimo una vez al año.
El objetivo de las revisiones periódicas es adecuarla a los cambios en el contexto de la organización, con atención a las cuestiones externas e internas, analizándose las incidencias acaecidas de seguridad y las no conformidades encontradas en el SGSI. Todo ello armonizado con los resultados de los diferentes procesos de apreciación del riesgo.
Al revisar la Política también se revisará todas las Normas y demás documentos que la desarrollan, siguiendo un proceso de actualización periódica sujeto a los cambios relevantes que pudieran acontecer a nivel organizacional, de nuevos servicios o de infraestructura.
V2V FACTORY, S.L., dispone de una clasificación de la información y se protege según su importancia y sensibilidad.
El Comité de Seguridad y de Privacidad debe garantizar que todo el personal involucrado en el SGSI conoce esta política, sus objetivos y procesos, a través de su divulgación, acciones formativas y acciones de concienciación.
También debe garantizar la distribución de los documentos que aplican a cada nivel, de acuerdo con los diferentes roles definidos en la compañía.
5.9 Ratificación
Don Francesc Güell Isern en representación de V2V FACTORY, S.L. acepta plenamente el contenido de esta Política y se compromete a aplicarla.
CUADRO DE CONTROL
| Título | Política de Seguridad de la información |
| Tipo de documento | Política |
| Nombre del fichero | N05-POL-SGSI Política de Seguridad de la informaciónn-PUB.docx |
| Clasificación | Pública |
| Estado | Aprobado |
| Autor | V2V Factory, S.L. |
LISTADO DE DISTRIBUCIÓN
| Corporativa | Todos los colaboradores de la empresa |
CONTROL DE CAMBIOS
| Versión | Fecha | Autor | Descripción del cambio |
|---|---|---|---|
LA MODIFICACIÓN DE ESTE DOCUMENTO REQUIERE LA NOTIFICACIÓN AL RESPONSABLE DEL SGSI.
