Política de seguridad de la información

Puedes consultar el archivo en este enlace:

POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN 

Nombre del documento
Control de versiones	Versión No.	Fecha	Responsable revisión
	0.1	03/11/24	Sergi Gómez
	1.0	03/03/25	Sergi Gómez
Autor	Sergi Gómez Figueroba - Responsable Departamento Tecnologías de la Información (TIC) y Responsable de Seguridad
Responsable del documento	Sergi Gómez Figueroba - Responsable Departamento Tecnologías de la Información (TIC)
Fecha de aprobación de la última versión por parte de la Junta de Gobierno del COPC	19 de marzo de 2025
Firma de la Secretaría de la Junta de Gobierno del COPC	Teresa Moratalla
Fecha de la próxima revisión	18 de marzo de 2026

Índice

1. INTRODUCCIÓN
2. ALCANCE
3. ROLOS Y RESPONSABILIDADES DE LA SEGURIDAD DE LA INFORMACIÓN  

4. MISIÓN DEL COPC  
5. PRINCIPIOS BÁSICOS  
6. OBJETIVOS DE LA SEGURIDAD DE LA INFORMACIÓN
7. MARCO LEGISLATIVO Y REGULATORIO
8. DATOS DE CARÁCTER PERSONAL
9. OBLIGACIONES Y CONCIENCIACIÓN DEL PERSONAL
10. GESTIÓN DE RIESGOS
11. NOTIFICACIÓN DE INCIDENTES
12. ORGANIZACIÓN DE LA DOCUMENTACIÓN DE SEGURIDAD
13. TERCERAS PARTES
14. MEJORA CONTINUA
15. CUMPLIMIENTO DE LAS POLÍTICAS
16. VIGENCIA, REVISIÓN Y COMUNICACIÓN  

 

1. INTRODUCCIÓN

El Colegio Oficial de Psicología de Cataluña (en adelante COPC) necesita de los sistemas TIC (Tecnologías de la Información y las Telecomunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos ante daños accidentales o deliberados que puedan afectar a la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información tratada y los servicios prestados.

Para hacer frente a estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la continua prestación de los servicios. Esto implica que los departamentos deben aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad (ENS), así como realizar un seguimiento continuo de los niveles de prestación de los servicios, monitorizar y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.

Por ello, la Junta de Gobierno del COPC elabora y aprueba esta Política de alto nivel, con un enfoque estratégico, para definir las bases y marcar las directrices para proteger la información que gestiona el COPC y la continuidad de los servicios ofrecidos, creando una cultura de seguridad de la información y garantizando la implicación y responsabilidad de todos en la protección de la información que se gestiona.

Todas las áreas y el personal del COPC tienen en cuenta que la seguridad de la información es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición, las actividades de explotación, la planificación de ofertas y la gestión de proyectos.

Prevención

Para que la información y/o servicios no se vean perjudicados por incidentes de seguridad, el COPC implementa las medidas de seguridad establecidas por el ENS, así como cualquier otro control adicional, que haya identificado como necesario, a través de una evaluación de amenazas y riesgos. Estos controles, roles y responsabilidades de seguridad de todo el personal, están claramente definidos y documentados.

Para garantizar el cumplimiento de la política, el COPC:

• Autoriza a los sistemas antes de entrar en operación

• Evalúa regularmente la seguridad, incluyendo el análisis de los cambios de configuración realizados de forma rutinaria

• Solicita la revisión periódica por parte de terceros, con el fin de obtener una evaluación independiente

Detección

El COPC establece controles de operación de sus sistemas de información con el objetivo de detectar anomalías en la prestación de los servicios y actuar en consecuencia según lo dispuesto en el artículo 10 del ENS (vigilancia continua y reevaluación periódica). Cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales (conforme a lo indicado en el artículo 9 del ENS, Existencia de líneas de defensa), se establecerán los mecanismos de detección, análisis y reporte necesarios para que lleguen a los responsables regularmente.

Respuesta

El COPC ha establecido las siguientes medidas:

• Mecanismos para responder eficazmente a los incidentes de seguridad

• Designar un punto de contacto para las comunicaciones respecto a incidentes detectados en otros departamentos o en otros organismos

• Establecer protocolos para el intercambio de información relacionada con el incidente. Esto incluye comunicaciones, en ambos sentidos, con los organismos necesarios y las partes interesadas internos y externos, tales como autoridades competentes, afectados por los incidentes, proveedores de servicios y otras entidades que puedan ser relevantes para la resolución o mitigación de los impactos.

Recuperación

Para garantizar la disponibilidad de los servicios, el COPC dispone de los medios y las técnicas necesarias que permiten garantizar la recuperación de los servicios más críticos.

2. ALCANCE

El alcance de esta Política incluye todos los componentes, activos y servicios de los sistemas que sean propiedad, alquilados, operados, administrados, mantenidos y controlados por o por un tercero en nombre del COPC. También se aplica a cualquier componente, tanto interno como externo, que interactúe con estos sistemas.

Esta Política y los procedimientos asociados son de obligado cumplimiento para todos los integrantes de COPC: miembros de órganos de gobierno, directivos, empleados, colaboradores, becarios, voluntarios, trabajadores de ETT, y, en resumen, cualquier persona vinculada por relación laboral o acuerdos y contratos, así como a sus socios de negocio en todas aquellas actividades que puedan acarrear riesgos relacionados.

3. ROLOS Y RESPONSABILIDAD DE LA SEGURIDAD DE LA INFORMACIÓN

El COPC, en el marco del ENS, ha designado distintos roles y órganos de la Seguridad de la Información, asociando diferentes responsabilidades.

La creación del Comité de Seguridad de la Información, el nombramiento de sus integrantes y la designación de los Responsables identificados en este apartado, será realizada por la Junta de Gobierno. El nombramiento se revisará cada dos años o cuando el puesto quede vacante.

3.1 Comité de Seguridad de la Información

El Comité de Seguridad está formado por los siguientes roles:

• Miembros permanentes:

• Secretario/a del Comité de Seguridad:

• Responsable de Sistema

• Responsable de Seguridad

• Representantes de Información y Servicios

• Asesores que se consideren oportunos para los temas en cuestión

• El Delegado de Protección de datos

• Gerencia

• Dirección

• Miembros no permanentes:

• El Comité de Seguridad podrá invocar la presencia en sus reuniones tanto de otros representantes del COPC como de especialistas externos, en razón de su experiencia o vinculación con los asuntos tratados, sea necesaria o aconsejable.

Los representantes de la información y los servicios serán convocados por la presidencia en función de los temas a tratar, en representación de los distintos ámbitos o áreas de seguridad TIC del COPC. Cada área estará representada por un vocal con voto, sin perjuicio de que acudan varios representantes de la misma.

El Delegado de Protección de Datos participará con voz pero sin voto en las reuniones del Comité de Seguridad cuando en el mismo vayan a abordarse cuestiones relacionadas con el tratamiento de datos de carácter personal, así como siempre que se requiera su participación. En cualquier caso, si un asunto se sometiera a votación, se hará constar siempre en acta la opinión del Delegado de Protección de Datos.

El Secretario/a del Comité realizará las convocatorias y levantará actas de las reuniones del Comité de Seguridad. A las sesiones del Comité de Seguridad podrán asistir en calidad de asesores las personas que en cada caso estime pertinentes la Presidencia.

Atribuciones del Comité

Las funciones del Comité son:

• Estar permanentemente informado de la normativa que regula la Certificación de Conformidad con el ENS, incluyendo sus normas de acreditación, certificación, guías, manuales, procedimientos e instrucciones técnicas.

• Estar permanentemente informado de la relación de Entidades de Certificación acreditadas y organizaciones, públicas y privadas, certificadas.

• Proponer directrices y recomendaciones, que serán recogidas en las correspondientes actas de las reuniones del Comité, a las que su presidente, deberá dar respuesta.

• Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, para asegurar que éstos sean consistentes, alineados con la estrategia decidida en la materia, evitando duplicidades.

• Atender a las inquietudes, en materia de Seguridad de la Información, de las diferentes áreas, informando regularmente del estado de la seguridad de la información a la Dirección.

• Resolver los conflictos de responsabilidad que puedan aparecer entre los distintos responsables y/o entre distintos Departamentos, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.

• Asesorar en materia de seguridad de la información, siempre que le sea requerido.

• Revisar la Política de Seguridad de la Información por el Comité de Seguridad previa aprobación por la Junta de Gobierno.

• Aprobar la Norma interna de buen uso de los sistemas para todo el personal.

• Aprobar el marco normativo con la lista de Normativa y Procedimientos de seguridad

Periodicidad de las reuniones y adopción de acuerdos

El Comité de Seguridad se reunirá, al menos, dos veces al año con carácter semestral, sin perjuicio de que, en atención a las necesidades derivadas del cumplimiento de sus fines y atribuciones, requiera mayor frecuencia en las reuniones.

En cualquier caso, las reuniones se convocarán a través del Secretario, en su iniciativa o por mayoría de sus miembros permanentes.

Las decisiones se adoptan por consenso de los miembros permanentes.

 

3.2. Responsable de Seguridad

Sus funciones son:

• Mantener y verificar el adecuado nivel de seguridad de la Información tratada manejada y de los Servicios electrónicos prestados por los sistemas de información.

• Elaborar programas de formación destinados a formar y sensibilizar al personal en materia de seguridad de la información y protección de datos.

• Promover la formación y concienciación en materia de seguridad de la información.

• Designar a responsables de la ejecución del análisis de riesgos, de la Declaración de Aplicabilidad, identificar medidas de seguridad, determinar configuraciones necesarias, elaborar documentación del sistema.

• Realizar un seguimiento de los principales riesgos residuales asumidos y recomendar posibles actuaciones respecto a ellos.

• Proporcionar asesoramiento para la determinación de la Categoria del Sistema, en colaboración con el Responsable del Sistema y/o Comité de Seguridad de la Información.

• Participar en la elaboración e implantación de los planes de mejora de la seguridad y, en su caso, en los planes de continuidad, procediendo a su validación.

• Gestionar las revisiones externas o internas del sistema.

• Gestionar los procesos de certificación.

• Elevar al Comité de Seguridad la aprobación de cambios y otros requisitos del sistema.

• Elaborar (y revisar regularmente) la Política de Seguridad de la Información para su traslado al Comité de Seguridad para su revisión y posterior aprobación de la Junta de Gobierno.

• Participar en elaboración y aprobar la normativa y los procedimientos de Seguridad de la Información, con conocimiento del Comité.

• Promover la mejora continua del sistema de gestión de la seguridad de la información.

 

3.3. Responsables de los Servicios y Responsables de la Información

Sus funciones son:

• Establecer y elevar para su aprobación al Comité de Seguridad de la Información los requisitos de seguridad aplicables a la Información (niveles de seguridad de la Información) ya los Servicios (niveles de seguridad de los servicios), dentro del marco establecido en el Real Decreto del ENS, pudiendo recabar una propuesta al Responsable de Seguridad y teniendo en cuenta la opinión del Responsable del Sistema.

• Dictaminar respecto a los derechos de acceso a la información y los servicios.

• Aceptar los niveles de riesgo residual que afectan a la información y los servicios.

• Poner en comunicación del Responsable de Seguridad cualquier variación respecto a la Información y cuyos Servicios es responsable, especialmente la incorporación de nuevos Servicios o Información a su cargo, que dará traslado de estos cambios al Comité de Seguridad de la Información, en su próxima reunión.

 

3.4. Responsable del Sistema

Sus funciones son:

• Desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, elaborando los procedimientos operativos necesarios.

• Definir la topología y gestión del Sistema de Información estableciendo los criterios de uso y los servicios disponibles en éste.

• Detener el acceso a información o prestación de servicio si tiene el conocimiento de que éstos presentan deficiencias graves de seguridad.

• Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.

• Proporcionar asesoramiento para la determinación de la categoría del sistema, en colaboración con el Responsable de Seguridad y/o Comité de Seguridad de la Información.

• Participar en la elaboración e implantación de los planes de mejora de la seguridad y llegado el caso a los planes de continuidad.

• Llevar a cabo, en su caso, las funciones del administrador de la seguridad del sistema:

• • La gestión, configuración y actualización, en su caso, del hardware y software en los que se basan los mecanismos y servicios de seguridad.

  • La gestión de las autorizaciones concedidas a los usuarios del sistema, en particular los privilegios concedidos, incluyendo la monitorización de la actividad desarrollada en el sistema y su correspondencia con el autorizado.

  • Aprobar los cambios en la configuración vigente del sistema de información.

  • Asegurar que los controles de seguridad establecidos se cumplen estrictamente.

  • Asegurar que se aplican los procedimientos aprobados para gestionar el Sistema de Información.

  • Supervisar las instalaciones de hardware y software, sus modificaciones y mejoras para asegurar que la seguridad no está comprometida y que en todo momento se ajusten a las autorizaciones pertinentes.

  • Monitorear el estado de seguridad proporcionado por las herramientas de gestión de eventos de seguridad y mecanismos de auditoría técnica.

  • Informar al Responsable de Seguridad de cualquier anomalía, compromiso o vulnerabilidad relacionada con la seguridad.

  • Colaborar en la búsqueda y resolución de incidentes de seguridad, desde su detección hasta su resolución.

Cuando la complejidad del sistema lo justifique, el Responsable del Sistema podrá designar a los responsables de sistema delegados que considere necesarios, que tendrán dependencia funcional directa de aquél y serán responsables en su ámbito de todas aquellas acciones que les delegue el mismo. Asimismo, podrá también delegar en otras personas funciones concretas de las responsabilidades que se le atribuyen.

 

3.5. Delegado de Protección de Datos

Sus funciones son:

• Informar y asesorar al COPC ya los usuarios que se ocupen del tratamiento, de las obligaciones que les incumben en virtud de la normativa vigente en materia de Protección de Datos.

• Supervisar el cumplimiento de lo dispuesto en normativa de seguridad y de las políticas internas del COPC en materia de protección de datos, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.

• Ofrecer el asesoramiento que se le solicite sobre la evaluación de impacto relativa a la protección de datos y supervisará su aplicación.

• Cooperar con la Agencia Española de Protección de Datos cuando ésta lo requiera, actuando como punto de contacto con la misma para cuestiones relativas al tratamiento de datos.

• El Delegado de Protección de datos ejercerá sus funciones prestando atención a los riesgos asociados a las operaciones de tratamiento. Para ello debe ser capaz de:

• • Recabar información para determinar las actividades de tratamiento.

  • Analizar y comprobar la conformidad de las actividades de tratamiento.

  • Informar, asesorar y emitir recomendaciones al responsable o encargado del tratamiento.

  • Recabar información para supervisar el registro de las operaciones de tratamiento.

  • Asesorar en el principio de la protección de datos por diseño y por defecto.

  • Asesorar sobre si se realiza o no las evaluaciones de impacto, metodología, salvaguardas a aplicar, etc.

  • Priorizar actividades en base a los riesgos.

  • Asesorar al Responsable de Tratamiento sobre áreas donde realizar auditorías, actividades de formación a realizar y operaciones de tratamiento a dedicar más tiempo y recursos.

3.6. Departamento de las Tecnologías y la Información

El Departamento de Tecnologías e Información presta servicios de ciberseguridad, desarrollando la capacidad de vigilancia y detección de amenazas en la operación diaria de los sistemas TIC, a la vez que mejora la capacidad de respuesta del sistema frente a cualquier ataque.

Sus funciones son:

• Aplicación de las medidas de seguridad definidas para proteger a los sistemas e infraestructuras.

• Vigilar y monitorizar la seguridad de los sistemas, y de los dispositivos de defensa, mediante interfaces o aplicaciones.

• Análisis y correlación de eventos de seguridad y registros de actividad de los sistemas.

• Operaciones de seguridad sobre los dispositivos de defensa.

• Realizar un seguimiento de la gestión de los incidentes de seguridad y recomendar posibles actuaciones respecto a ellos.

• Servicio de Alerta Temprana de alertas de seguridad en las redes corporativas y en las conexiones a Internet de los sistemas.

• Gestión de vulnerabilidades (análisis y determinación de las acciones de remediación/ instalación de parches) de aplicaciones y servicios.

• Análisis forense digital y de seguridad.

• Servicio de cibervigilancia que posibilite la prospectiva sobre la ciberamenaza.

4. MISIÓN DEL COPC

Velar por el prestigio, la calidad y la defensa de las intervenciones profesionales, preservar la praxis de cada actuación y apoyar el proceso de ejercerla, garantizar a la ciudadanía la ordenación de la profesión y la calidad óptima de la atención y del servicio. El COPC innova, desarrolla e implementa servicios profesionales competitivos en consonancia con ejercicio de la profesión y fomenta las ventajas derivadas de ser un colectivo. El Colegio Oficial de Psicología de Cataluña se rige por los valores legales y éticos en vigor, por las pautas que las instituciones determinan y por las que la propia deontología dictamina.

4. PRINCIPIOS BÁSICOS

Los principios básicos son directrices fundamentales de seguridad que deben tenerse siempre presentes en cualquier actividad relacionada con el uso de los activos de información.

Se establecen los siguientes principios básicos de seguridad:

• Visión estratégica: la seguridad de la información cuenta con el compromiso y soporte de todos los niveles directivos del COPC, de forma que esté coordinada e integrada con el resto de la estrategia de la entidad para conformar un todo coherente y eficaz.

• Responsabilidad determinada: en los sistemas TIC se identificará al responsable de la información, que determina los requisitos de seguridad de la información tratada; el responsable del servicio, que determina los requisitos de seguridad de los servicios prestados; el responsable del sistema, que tiene responsabilidad sobre la prestación de los servicios y el responsable de la seguridad, que determina las decisiones para satisfacer los requisitos de seguridad.

• Seguridad integral: la seguridad de la información se entiende como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con los sistemas TIC, procurando evitar cualquier actuación puntual y siendo parte de la operativa habitual.

• Líneas de defensa: se dispone de una estrategia de protección constituida por diferentes medidas de tipo organizativo, físico y lógico para estar precavidos ante un posible incidente y minimizar su impacto.

• Gestión de riesgos: el análisis y la gestión de riesgos es parte esencial del proceso de seguridad y permite el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducción de estos niveles se realiza mediante el despliegue de medidas de seguridad, que establecen un equilibrio entre la naturaleza de los datos y los tratamientos, el impacto y la probabilidad de los riesgos a los que estén expuestos y la eficacia y coste de las medidas.

• Proporcionalidad: el establecimiento de medidas de protección, detección y recuperación es proporcional a los potenciales riesgos ya la criticidad y valor de la información y servicios afectados.

• Mejora continua: las medidas de seguridad se evalúan y actualizan periódicamente para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección. La seguridad de la información será atendida, revisada y auditada por personal calificado, instruido y dedicado.

• Seguridad por defecto: los sistemas deben diseñarse y configurarse de forma que garanticen un grado suficiente de seguridad por defecto.

• Protección de los activos: los activos, como elementos de gestión y tratamiento de información, deben ser protegidos con las medidas adecuadas para evitar los riesgos identificados.

5. OBJETIVOS DE LA SEGURIDAD DE LA INFORMACIÓN

El COPC establece estos objetivos de la seguridad de la información:

• Garantizar la calidad y protección de la información gestionada por la entidad.

• Conseguir la plena concienciación de los usuarios respecto a la seguridad de la información

• Gestionar adecuadamente los activos de información, que se encontrarán inventariados y categorizados y estarán asociados a un responsable

• Implementar los mecanismos necesarios para garantizar que cualquier persona que acceda a los activos de información conozca sus responsabilidades y se reduzca el riesgo derivado de un uso indebido.

• Garantizar la seguridad física de los activos, que serán emplazados en áreas seguras, protegidas por controles de acceso físicos adecuados a su nivel de criticidad y con las medidas de protección frente a amenazas físicas o ambientales.

• Garantizar la protección de la información que se transmita a través de redes de comunicaciones, teniendo en cuenta su nivel de sensibilidad y criticidad, mediante mecanismos que garanticen su seguridad.

• Garantizar una adecuada gestión de la seguridad, operación y actualización de los sistemas TIC.

• Controlando el acceso a la información, limitando el acceso a los activos de información por parte de usuarios, procesos y otros sistemas de información mediante la implantación de los mecanismos de identificación, autenticación y autorización adecuados a la criticidad de cada activo.

• Contemplar los aspectos de seguridad de la información en todas las fases del ciclo de vida de los sistemas de información, garantizando su seguridad por defecto.

• Gestionar adecuadamente los incidentes de seguridad, implementando los mecanismos apropiados para su correcta identificación, registro y resolución.

• Garantizar la prestación continua de los servicios, implementando los mecanismos apropiados para asegurar la disponibilidad de los sistemas de información y mantener la continuidad de los procesos de negocio.

• Garantizar el cumplimiento legislativo y normativo, adoptando las medidas técnicas, organizativas y procedimentales necesarias para el cumplimiento de la normativa legal vigente en materia de seguridad de la información y privacidad.

6. MARCO LEGISLATIVO Y REGULATORIO

El marco en el que se desarrollan las actividades del COPC está integrado por un conjunto de normativas reguladoras y legislaciones, que se encuentran identificadas en un documento específico, revisado y actualizado periódicamente.

El COPC está comprometido con el cumplimiento de la legislación vigente aplicable y dispone de las herramientas y controles para asegurar su adecuado cumplimiento.

7. DATOS DE CARÁCTER PERSONAL

El COPC trata datos de carácter personal y sólo los recoge y trata cuando son adecuados, pertinentes y no excesivos y éstos se encuentran en relación con el ámbito y las finalidades por las que se hayan obtenido. De igual modo, adopta las medidas técnicas y organizativas necesarias para el cumplimiento de la normativa de protección de datos.

El COPC dispone de una Política de Privacidad, que es pública, y que regula la gestión de los datos personales recogidos.

8. OBLIGACIONES Y CONCIENCIACIÓN DEL PERSONAL

Todo el personal del COPC está obligado a conocer y cumplir con esta Política de Seguridad de la Información y la normativa de seguridad, siendo el Comité de Seguridad el responsable de facilitar los medios necesarios.

El COPC ha establecido un programa de sensibilización continua para atender a todo el personal, en particular al de nueva incorporación, basado en las directrices definidas internamente. Aparte de otras acciones que se llevarán a cabo, todo el personal asistirá o recibirá, al menos, una sesión de sensibilización en materia de seguridad y protección de datos.

Las personas con responsabilidad en el uso, operación o administración de sistemas de información recibirán formación para la gestión segura de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, ya sea su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

9. GESTIÓN DE RIESGOS

Todos los sistemas afectados por la presente Política están sujetos a un análisis de riesgos con el objetivo de evaluar las amenazas y riesgos a los que están expuestos.

Este análisis se repetirá:

• Al menos una vez al año.

• Cuando se produzcan cambios en la información y/o servicios gestionados de forma significativa.

• Cuando ocurra un incidente grave de seguridad o se detecten vulnerabilidades graves.

El Responsable de la Seguridad será el encargado de que se lleve a cabo el análisis de riesgos, así como de identificar carencias y debilidades y ponerlas en conocimiento del Comité de Seguridad de la Información.

El Comité de Seguridad de la Información dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los distintos sistemas, promoviendo inversiones de carácter horizontal.

El proceso de gestión de riesgos se lleva a cabo siguiendo unos procedimientos definidos específicos y utilizando una metodología reconocida por el análisis y gestión de riesgos

10. NOTIFICACIÓN DE INCIDENTES

Según lo dispuesto en el artículo 33 del Real Decreto 311/2022, de 3 de enero, el COPC notificará al Centro Criptológico Nacional aquellos incidentes que tengan un impacto significativo en la seguridad de la información gestionada y de los servicios prestados, en relación con la clasificación de sistemas recogida en el Anexo I de la normativa.

El COPC dispone de una Política de gestión de incidentes, así como procedimientos específicos, herramientas y medidas técnicas y organizativas para su detección, tratamiento y respuesta.

 

11. ORGANIZACIÓN DE LA DOCUMENTACIÓN DE SEGURIDAD

La presente Política de Seguridad de la Información se complementa con diversa normativa de seguridad que trata aspectos específicos.

El cuerpo normativo sobre seguridad de la información se desarrollará en tres niveles por ámbito de aplicación, nivel de detalle técnico y obligatoriedad de cumplimiento, de forma que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior.

Los niveles de desarrollo normativo son los siguientes:

• Primer nivel normativo: constituido por la presente Política de Seguridad de la Información, la Norma interna de buen uso de los sistemas y directrices generales de seguridad aplicables a las diferentes áreas del COPC.

• Segundo nivel normativo: constituido por las normas de seguridad derivadas de las anteriores.

• Tercer nivel normativo: constituido por procedimientos, guías e instrucciones técnicas. Son documentos que, cumpliendo con lo expuesto en la Política de Seguridad de la Información, determinan las acciones o tareas a realizar en el desarrollo de un proceso.

Corresponde a la Junta de Gobierno la aprobación de la política de seguridad de la información. El resto de políticas serán aprobadas por el Comité de Seguridad. Los documentos de segundo y tercer nivel normativo serán aprobados por el Responsable de Seguridad y, si se considera necesario, podrá consultarlo con el Comité de Seguridad antes de su aprobación.

El cuerpo normativo de seguridad y, muy especialmente, la Política de Seguridad de la Información y la Norma interna de buen uso de los sistemas, será conocido y estará a disposición de todas las personas trabajadoras y, en particular, por quienes utilicen, operan o administren los sistemas de información y comunicaciones.

12. TERCERAS PARTES

Cuando la COPC preste servicios a otros organismos o manipule información de otros organismos, se les hará partícipe de esta Política de Seguridad de la Información. Se establecerán canales para el reporte y coordinación de los respectivos órganos de la Seguridad de la Información y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.

Cuando el COPC haga uso de servicios de terceros o cese información a terceros, se les hará partícipe de esta Política de Seguridad y de la normativa de seguridad que alcance estos servicios o información. Esta tercera parte quedará sujeta a las obligaciones establecidas en esta normativa, pudiendo desarrollar sus propios procedimientos operativos para su satisfacción. Se establecerán procedimientos específicos de reporte y resolución de incidencias. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política de Seguridad.

Cuando algún aspecto de esta Política de Seguridad de la Información no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.

13. MEJORA CONTINUA

La gestión de la seguridad de la información es un proceso sujeto a una permanente actualización. Los cambios en la organización, las amenazas, las tecnologías y/o la legislación son un ejemplo de casos en los que es necesaria una mejora continua de los sistemas.

Por eso, es necesario implantar un proceso permanente que comportará, entre otras acciones:

• Revisión de la Política de Seguridad de la Información

• Revisión de los servicios e información y su categorización

• Ejecución con periodicidad anual del análisis de riesgos

• Realización de auditorías internas o, cuando procedan, externas.

• Revisión de las medidas de seguridad

• Revisión y actualización de las normas y procedimientos

Estas acciones permitirán garantizar que los sistemas de información están protegidos frente a las amenazas actuales y futuras.

Es importante que este proceso sea implementado y mantenido por un equipo de profesionales calificados en seguridad de la información.

14. CUMPLIMIENTO DE LAS POLÍTICAS

El Comité de Seguridad verificará el cumplimiento de esta política a través de varios métodos, incluyendo pero no limitado a, informes de herramientas de negocio, auditorías internas y externas, y retroalimentación al propietario de la política.

Cualquier excepción a la política deberá ser previamente aprobada por el Comité de Seguridad.

El incumplimiento de esta política, además de las sanciones penales que puede acarrear para la empresa y sus directivos y empleados, está sujeta a las sanciones administrativas y/o laborales correspondientes que sean de aplicación por la normativa laboral o convenio colectivo vigente, así como a la aplicación de las cláusulas penales previstas en los contratos suscritos con clientes.

15. VIGENCIA, REVISIÓN Y COMUNICACIÓN

Esta política y sus documentos relacionados deben estar a disposición y accesibles por el personal y colaboradores del COPC.

Esta Política de Seguridad de la Información es efectiva desde la fecha indicada como aprobación por parte de Junta de Gobierno y estará vigente hasta que sea reemplazada por una nueva Política.

La Política será revisada y, en su caso, actualizada, al menos una vez al año o cuando se produzcan cambios en el contexto interno o externo que así lo aconsejen, así como en el caso de modificaciones legales que incidan en la misma.

Texto aprobado el día 19/03/2025 por la Junta de Gobierno del COPC.