Política de seguretat

OBJECTIU, ABAST I USUARIS 

El propòsit de la Política de Seguretat de la Informació és definir l’objectiu, direcció, principis i regles bàsiques per a la gestió de la seguretat de la informació. 

Aquesta Política s’aplica a tot el sistema de gestió de seguretat de la informació, segons es defineix en el Document de l’Abast del Sistema de Gestió. 

Els usuaris d’aquest document són tots els empleats de Soluciones y Aplicaciones Formativas VAL, S.L, Fundación Treball i Formació TREFOR, RAG Formación e Inserción Laboral, S.L., i Área Vital Sport, S.L., així com també tercers externs a l’organització. 

1. Documents de referència 

• Norma ISO/IEC 27001, capítols 5.2 i 5.3 

• Document sobre l’Abast del SGSI 
• Metodologia d’avaluació i tractament de riscos 
• Declaració d’aplicabilitat 
• Llista d’obligacions legals, normatives i contractuals 
• Política de la Continuïtat del Negoci 

• Procediment per a gestió d’incidents 

2. Terminologia bàsica sobre seguretat de la informació 

• Confidencialitat: característica de la informació per la qual només està disponible per a persones o sistemes autoritzats 
• Integritat: característica de la informació per la qual només que és modificada per persones o sistemes autoritzats i d’una forma permesa 

• Disponibilitat: característica de la informació per la qual només poden accedir les persones autoritzades quan siga necessari 
• Seguretat de la informació: és la preservació de la confidencialitat, integritat i disponibilitat de la informació 
• Sistema de gestió de seguretat de la informació: part dels processos generals de gestió que s’encarrega de planificar, implementar, mantindre, revisar i millorar la seguretat de la informació 

3. Gestió de la seguretat de la informació 

1. Objectius i mesurament 

 
Els objectius generals per al sistema de gestió de seguretat de la informació són els següents: 

• reduir el nombre d’incidents en proporció als usuaris 
• reduir la mitjana de resolució d’incidències 
• crear una millor imatge de mercat 

• minimitzar el mal ocasionat per potencials incidents 
• permetre escalar el volum de negoci incrementant la capacitat del sistema, sense incórrer en un increment de riscos significatiu 

Les metes estan en línia amb els objectius comercials, amb l’estratègia i els plans de negoci de l’organització. El responsable d’IT és el responsable de revisar els objectius generals anuals del SGSI i d’establir-ne, de nous. 

Els objectius per a controls individuals de seguretat o grups de controls són proposats pels directors de l’empresa i són aprovats pel responsable d’IT en la Declaració d’aplicabilitat. 

Tots els objectius es revisen almenys una vegada a l’any. 

Soluciones y Aplicaciones Formativas VAL, S.L, Fundación Treball i Formació TREFOR, RAG Formación e Inserción Laboral, S.L. i Área Vital Sport, S.L. mesuraran el compliment de tots els objectius. El responsable d’IT és el responsable de definir el mètode per a mesurar el compliment dels objectius; el mesurament es realitzarà almenys una vegada a l’any i el responsable d’IT analitzarà i avaluarà els resultats i els reportarà a la Direcció General. 

2. Requisits per a la seguretat de la informació 

Aquesta Política, i tot el SGSI, han de complir els requisits legals i normatius importants per a l’organització en l’àmbit de la seguretat de la informació, confidencialitat de les comunicacions, i protecció de dades personals, com també amb les obligacions contractuals. 

En la Llista d’obligacions legals, normatives i contractuals es detalla una llista de requisits. 

3. Controls de seguretat de la informació 

El procés de triar els controls (protecció) està definit en la metodologia d’avaluació i tractament de riscos. 

Els controls seleccionats i el seu estat d’implementació es detallen en la Declaració d’Aplicabilitat. 

4. Continuïtat del negoci 

La Gestió de la continuïtat del negoci està reglamentada en la Política de gestió de la continuïtat del negoci. 

5. Responsabilitats 

Les responsabilitats per al SGSI són les següents: 

• El responsable d’IT és el responsable de garantir que el SGSI siga implementat i mantingut d’acord amb aquesta Política i de garantir que tots els recursos necessaris estiguen disponibles 
• El responsable d’IT és el responsable de la coordinació operativa del SGSI, com també d’informar sobre el seu acompliment. 
• El Director General ha de revisar el SGSI almenys una vegada per any o cada vegada que es produïsca una modificació significativa; i ha d’elaborar actes d’aquestes reunions. L’objectiu de les verificacions per part de la Direcció és establir la conveniència, adequació i eficàcia del SGSI 
• El responsable d’IT implementarà programes de capacitació i conscienciació d’empleats sobre seguretat de la informació. 

• La protecció de la integritat, disponibilitat i confidencialitat dels actius és responsabilitat del propietari de cada actiu. 
• Tots els incidents o febleses de seguretat han de ser informats al responsable d’IT 
• El responsable d’IT definirà quina informació relacionada amb la seguretat de la informació serà comunicada a quina part interessada (tant interna com externa), per qui i quan. 
• El responsable d’IT és el responsable d’adoptar i implementar el Pla de Capacitació i Conscienciació, que correspon a totes les persones que compleixen una funció en la gestió de la seguretat de la informació 

6. Comunicació de la Política 

El responsable d’IT ha d’assegurar-se que tots els empleats de Soluciones y Aplicaciones Formativas VAL, S.L, Fundación Treball i Formació TREFOR, RAG Formación e Inserción Laboral, S.L., i Área Vital Sport, S.L., com també els participants externs corresponents, estiguen familiaritzats amb aquesta Política. 

Existeix una comunicació pública de la política de seguretat, disponible en https://areaformacionyconsultores.com/politica-de-seguridad/ 

4. Suport per a la implementació del SGSI 

A través del present, el Director General Rubén Ayala Gea declara que en la implementació i millora contínua del SGSI es comptarà amb el suport dels recursos adequats per a aconseguir tots els objectius establits en aquesta Política, com també per a complir amb tots els requisits identificats. 

5. Validesa i gestió de documents 

Aquest document és vàlid mentre no s’aprove una versió posterior. 

El propietari d’aquest document és el Responsable d’IT, que ha de verificar i, si és necessari, actualitzar el document almenys una vegada a l’any. 

En avaluar l’efectivitat i adequació d’aquest document, és necessari tindre en compte els següents criteris: 

• Quantitat d’empleats i participants externs que compleixen una funció en el SGSI però que no estan familiaritzats amb el present document 

• No compliment del SGSI amb les lleis i normes, les obligacions contractuals i amb els altres documents interns de l’organització 
• Ineficàcia de la implementació i manteniment del SGSI 
• Responsabilitats ambigües per a la implementació del SGSI