Política de seguridad de la información

Compromiso y objetivos

Quodus.ai, como empresa dedicada a dar servicio a instituciones para la mejora del aprovechamiento de sus espacios e infraestructuras físicas, asume su compromiso con la seguridad de la información, comprometiéndose a la adecuada gestión de la misma, con el fin de ofrecer a todos sus grupos de interés las mayores garantías en torno a la seguridad de la información utilizada. Por todo lo anteriormente expuesto, la Dirección establece los siguientes objetivos de seguridad de la información:

• Proporcionar un marco para aumentar la capacidad de resistencia o resiliencia para dar una respuesta eficaz ante situaciones críticas de seguridad.
• Asegurar la recuperación rápida y eficiente de los servicios, frente a cualquier desastre físico o contingencia que pudiera ocurrir y que pusiera en riesgo la continuidad de las operaciones.
• Prevenir incidentes de seguridad de la información en la medida que sea técnica y económicamente viable, así como mitigar los riesgos de seguridad de la información generados por nuestras actividades.
• Garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.

Para poder lograr estos objetivos es necesario:

• Mejorar continuamente nuestro sistema de seguridad de la información.
• Cumplir con requisitos legales aplicables y con cualesquiera otros requisitos que suscribamos además de los compromisos adquiridos con los clientes, así como la actualización continua de los mismos.

Principios

Para ello asume su compromiso con la seguridad de la información según las normas de referencia ISO/IEC 27001:2022 y RD 311/2022, por lo que la Dirección General establece los siguientes principios:

• Competencia y liderazgo por parte de la dirección como compromiso para desarrollar el sistema de Gestión de la Seguridad de la Información.
• Determinar las partes interesadas internas y externas que son pertinentes para el sistema de gestión de la Seguridad de la Información y cumplir con sus requisitos.
• Entender el contexto de la organización y determinar las oportunidades y los riesgos de la misma respecto a la seguridad de la información como base para la planificación de acciones para abordarlos, asumirlos o tratarlos.
• Velar por garantizar la satisfacción de nuestros clientes, incluyendo las partes interesadas en los resultados de la empresa, en todo lo referente a la realización de nuestras actividades y su repercusión en la sociedad.
• Establecer objetivos y metas enfocados hacia la evaluación del desempeño en materia de Seguridad de la Información, así como a la mejora continua en nuestras actividades, reguladas en el Sistema de Gestión que desarrolla esta política.
• Cumplimiento de los requisitos de la legislación aplicable y reglamentaria a nuestra actividad, los compromisos adquiridos con los clientes y las partes interesadas y todas aquellas normas internas o pautas de actuación a los que se someta la empresa.
• Asegurar la confidencialidad de los datos gestionados por la empresa y la disponibilidad de los sistemas de información, tanto en los servicios ofrecidos a los clientes como en la gestión interna, evitando alteraciones indebidas en la información.
• Asegurar la capacidad de respuesta ante situaciones de emergencia, restableciendo el funcionamiento de los servicios críticos en el menor tiempo posible.
• Establecer las medidas oportunas para el tratamiento de los riesgos derivados de la identificación y evaluación de activos.
• Motivar y formar a todo el personal que trabaja en la organización, tanto para el correcto desempeño de su puesto de trabajo como para actuar conforme a los requisitos impuestos por la Norma de referencia, proporcionando un ambiente adecuado para la operación de los procesos.
• Mantenimiento de una comunicación fluida tanto a nivel interno, entre los distintos estamentos de la empresa, como con clientes.
• Evaluar y garantizar la competencia técnica del personal para el desempeño de sus funciones, así como asegurar la motivación adecuada de éste para su participación en la mejora continua de nuestros procesos.
• Garantizar el correcto estado de las instalaciones y el equipamiento adecuado, de forma tal que estén en correspondencia con la actividad, objetivos y metas de la empresa.
• Garantizar un análisis de manera continua de todos los procesos relevantes, estableciéndose las mejoras pertinentes en cada caso, en función de los resultados obtenidos y de los objetivos establecidos.

Estos principios son asumidos por la Dirección General, quien dispone los medios necesarios y dota a sus empleados de los recursos suficientes para su cumplimiento, plasmándolos y poniéndolos en público conocimiento a través de la presente Política de Seguridad de la Información.

Marco legal y regulatorio

El marco legal y regulatorio en el que desarrollamos nuestras actividades es:

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley de Propiedad Intelectual, regularizando, aclarando y armonizando las disposiciones legales vigentes sobre la materia.
• Real Decreto-ley 2/2018, de 13 de abril, por el que se modifica el texto refundido de la Ley de Propiedad Intelectual.
• REGLAMENTO (UE) 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento Europeo eIDAS).
• Prevención de Riesgos Laborales Ley 31/1995 de 8 de noviembre y Real Decreto 39/1997 de 17 de enero, por el que se aprueba el Reglamento de los Servicios de Prevención.
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE).
• RD-ley 13/2012 de 30 de marzo, ley de cookies.
• Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
• Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

Sistema de gestión

Se ha llevado a cabo una estructuración de nuestro sistema de gestión de forma que sea fácil de comprender.

La gestión de nuestro sistema se encomienda al responsable de Gestión y el sistema estará disponible en nuestro sistema de información en un repositorio, al cual se puede acceder según los perfiles de acceso concedidos según nuestro procedimiento en vigor de gestión de los accesos.

Estos principios son asumidos por la Dirección, quien dispone los medios necesarios y dota a sus empleados de los recursos suficientes para su cumplimiento, plasmándolos y poniéndolos en público conocimiento a través de la presente Política Integrada de Sistemas de Gestión.

Roles y responsabilidades

Los roles o funciones de seguridad definidos en el SGSI son:

Esta definición se completa en los perfiles de puesto y en los documentos del sistema.

El procedimiento para su designación y renovación será la ratificación en el comité de seguridad.

Comité de seguridad

El comité para la gestión y coordinación de la seguridad es el órgano con mayor responsabilidad dentro del sistema de gestión de seguridad de la información, de forma que todas las decisiones más importantes relacionadas con la seguridad se acuerdan por este comité. Los miembros del comité de seguridad de la información son:

• Responsable de la información.
• Responsable de los servicios.
• Responsable de la seguridad.
• Responsable del sistema.
• Dirección Empresa (socios-administradores).

Estos miembros son designados por el comité, único órgano que puede nombrarlos, renovarlos y cesarlos.

El comité de seguridad es un órgano autónomo, ejecutivo y con autonomía para la toma de decisiones y que no tiene que subordinar su actividad a ningún otro elemento de nuestra empresa.

Esta política se complementa con el resto de las políticas, procedimientos y documentos en vigor para desarrollar nuestro sistema de gestión.