POLÍTICA DE SEGURIDAD

Esquema Nacional de Seguridad

Índice de Contenidos

  1. Aprobación y entrada en vigor
  2. Términos y definiciones
  3. Introducción

    • 3.1. Prevención
    • 3.2. Detección
    • 3.3. Respuesta
    • 3.4. Conservación
  4. Alcance
  5. Objetivo
  6. Misión
  7. Liderazgo y compromiso de la dirección
  8. Marco normativo
  9. Objetivos de la seguridad de la información y planificación para su ejecución
  10. Establecimiento, implantación, mantenimiento y mejora del ENS de GF-TIC
  11. Organización de la seguridad

    • 11.1. Comités: funciones y responsabilidades
    • 11.2. Roles: funciones y responsabilidades
    • 11.3. Procedimientos de designación
    • 11.4. Política de seguridad
    • 11.5. Resolución de conflictos
  12. Datos de carácter personal
  13. Gestión de riesgos

    • 13.1. Riesgos que se derivan del tratamiento de los datos personales
  14. Desarrollo de la política de seguridad
  15. Obligaciones del personal
  16. Estructuración de la seguridad del sistema, su gestión y acceso. Gestión de la documentación
  17. Terceras partes

1. APROBACIÓN Y ENTRADA EN VIGOR

Documento propuesto por el Comité de Seguridad de la Información, con el visto bueno de la Gerencia, y aprobado y firmado por la Dirección General de GF-TIC.

2. TÉRMINOS Y DEFINICIONES

  • ENS: Son las siglas del Esquema Nacional de Seguridad, regulado por el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, siendo su aplicación en el ámbito de la administración electrónica del sector público. Su objeto es establecer la política de seguridad y crear las condiciones necesarias para la confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones y los servicios electrónicos, que permita el ejercicio de derechos y el cumplimiento de deberes a través de estos medios.
  • Autenticidad: Propiedad de que una persona y/o empresa que ha accedido y utilizado la información es lo que afirma ser.
  • Confidencialidad: Propiedad de la información de no ponerse a disposición o ser revelada a personas y/o empresas no autorizadas.
  • Integridad: Propiedad o característica consistente en que el activo de información no ha sido alterado de manera no autorizada.
  • Trazabilidad: Cualidad que permite que todas las acciones realizadas sobre la información o un sistema de tratamiento de la información sean asociadas de modo inequívoco a una persona y/o empresa.
  • Disponibilidad: Propiedad de la información de estar accesible y utilizable en el momento que se requiera por la persona y/o empresa autorizada.
  • Activo: En relación con la seguridad de la información, se refiere a cualquier información o elemento relacionado con el tratamiento de la misma (sistemas, soportes, edificios, personas…) que tenga valor para la organización.
  • Riesgo: Posibilidad de que una amenaza concreta pueda explotar una vulnerabilidad para causar una pérdida o daño en un activo de información. Suele considerarse como una combinación de la probabilidad de un evento y sus consecuencias.
  • Amenaza: Causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización.
  • Análisis de riesgos: Proceso para comprender la naturaleza del riesgo y determinar el nivel de riesgo.
  • Tratamiento de riesgos: Proceso de modificar el riesgo, mediante la implementación de controles.

3. INTRODUCCIÓN

GF-TIC depende de los sistemas de tecnologías de Información y Comunicaciones para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad de la información tratada o los servicios prestados.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.

Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios. Esto implica que los departamentos deben aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.

Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC.

Los departamentos deben estar preparados para prevenir, detectar, reaccionar y garantizar la conservación ante incidentes, de acuerdo con el Artículo 8 del ENS.

La presente política se desarrollará aplicando los siguientes requisitos mínimos: a) Organización e implantación del proceso de seguridad.

b) Análisis y gestión de los riesgos.

c) Gestión de personal.

d) Profesionalidad.

e) Autorización y control de los accesos.

f) Protección de las instalaciones.

g) Adquisición de productos de seguridad y contratación de servicios de seguridad.

h) Mínimo privilegio.

i) Integridad y actualización del sistema.

j) Protección de la información almacenada y en tránsito.

k) Prevención ante otros sistemas de información interconectados.

l) Registro de la actividad y detección de código dañino.

m) Incidentes de seguridad.

n) Continuidad de la actividad.

o) Mejora continua del proceso de seguridad.

3.1. PREVENCIÓN

Los departamentos deben evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. Para ello deben implementar las medidas mínimas de seguridad determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos. Estos controles, y los roles y responsabilidades de seguridad de todo el personal, deben estar claramente definidos y documentados.

Para garantizar el cumplimiento de la política, los departamentos deben:

  • Autorizar los sistemas antes de entrar en operación.
  • Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
  • Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.

3.2. DETECCIÓN

Dado que los servicios se pueden degradar rápidamente debido a incidentes, que van desde una simple desaceleración hasta su detención, los servicios deben monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el Artículo 8 del ENS.

La monitorización es especialmente relevante cuando se establecen líneas de defensa de acuerdo con el Artículo 9 del ENS. Se establecerán mecanismos de detección, análisis y reporte que lleguen a los responsables regularmente y cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales.

3.3. RESPUESTA

Los departamentos deben:

  • Establecer mecanismos para responder eficazmente a los incidentes de seguridad.
  • Designar punto de contacto para las comunicaciones con respecto a incidentes detectados en otros departamentos o en otros organismos.
  • Establecer protocolos para el intercambio de información relacionada con el incidente. Esto incluye comunicaciones, en ambos sentidos, con los Equipos de Respuesta a Emergencias (CERT).

3.4. CONSERVACIÓN

Sin merma de los restantes principios básicos y requisitos mínimos establecidos en el ENS, el sistema de información garantizará la conservación de los datos e información en soporte electrónico.

4. ALCANCE

Los sistemas de información que dan soporte a los servicios prestados en materia de soluciones tecnológicas, de acuerdo con la categorización vigente.

5. OBJETIVO

La Política de Seguridad tiene como objetivos:

  1. Establecer las directrices y principios que regirán el modo en que la entidad, GF-TIC, gestionará y protegerá su información y sus servicios, a través de la implantación, mantenimiento y mejora del Real Decreto 311/2022 de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  2. Orientar las acciones sobre la Gestión de Seguridad de la Información que adopte y comprometa a GF-TIC, para que estén alineadas con los objetivos del negocio.

6. MISIÓN

GF-TIC, una empresa de Tenerife que nace en 2015 con el propósito de empoderar al tejido empresarial canario, en el aprovechamiento de soluciones tecnológicas personalizadas con el acompañamiento de un equipo humano que habla «el mismo idioma».

Nuestros valores, cultura y más de 20 años de experiencia se los debemos a Grupo Fedola, corporación familiar canaria con presencia en los principales sectores económicos, a través de las 18 empresas y 32 marcas comerciales que configuramos su holding empresarial.

Los componentes de nuestro equipo son profesionales con experiencia a pie de campo y formación certificada por los principales fabricantes del mercado.

Los años que nos unen tras el sello de GF-TIC han gestado en nosotros una pasión compartida, que avalan nuestros clientes más arraigados, por aportar soluciones óptimas, cercanía y una amplia confianza en cada gestión.

7. LIDERAZGO Y COMPROMISO DE LA DIRECCIÓN

La Dirección de GF-TIC se compromete a facilitar y proporcionar los recursos necesarios para el establecimiento, implantación, mantenimiento y mejora del ENS de la entidad, así como a demostrar liderazgo y compromiso respecto a este, a través de la constitución del Comité de Seguridad de la Información que tendrá la responsabilidad de:

  • Asegurar el establecimiento de la presente política y los objetivos de la seguridad de la información, y que estos sean compatibles con la estrategia de GF-TIC.
  • Asegurar la integración y el cumplimiento de los requisitos aplicables del ENS en los procesos de la organización.
  • Asegurar que los recursos necesarios para el ENS estén disponibles.
  • Comunicar la importancia de una gestión de la seguridad eficaz y conforme con los requisitos del ENS.
  • Asegurar que el ENS consigue los resultados previstos.
  • Dirigir y apoyar a las personas para contribuir a la eficacia del ENS.
  • Promover la mejora continua.
  • Apoyar otros roles pertinentes de la Dirección, liderando a sus áreas de responsabilidad en seguridad de la información.

8. MARCO NORMATIVO

GF-TIC se esfuerza en cumplir con toda la legislación aplicable a su actividad, ya sea de carácter general (Código de Comercio, Código Civil, etc.) o específico, como por ejemplo la siguiente:

  • Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
  • Reglamento General de Protección de Datos, RGPD UE 679/2016.
  • Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico.
  • Ley 9/2014, de 9 de mayo, General de Telecomunicaciones.
  • Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
  • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

9. OBJETIVOS DE LA SEGURIDAD DE LA INFORMACIÓN Y PLANIFICACIÓN PARA SU EJECUCIÓN

Los objetivos de seguridad de la información se establecerán en las funciones y niveles pertinentes, enfocados a la mejora y utilizando como marco de referencia:

  • Cambios en las necesidades de las partes interesadas que lleven a una mejora del alcance del sistema.
  • Requisitos de seguridad de la información aplicables y los resultados de la apreciación y del tratamiento de los riesgos para garantizar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información.
  • Factores internos como la aplicación de técnicas organizativas que mejoren el seguimiento de la tramitación y resolución de incidentes de seguridad.
  • Factores externos como los avances tecnológicos, cuya aplicación mejoren la eficacia del tratamiento de los riesgos.
  • La mejora de la eficacia de la formación y concienciación del personal que trabaja en GF-TIC y afecta a su desempeño en seguridad de la información.
Así mismo, la planificación para la consecución de los objetivos de seguridad de la información establecidos se realizará tomando en cuenta los siguientes elementos:

  • Lo que se va a hacer.
  • Los recursos necesarios.
  • El responsable.
  • Plazo de consecución.
  • Indicadores para evaluar el resultado/cumplimiento.

10. ESTABLECIMIENTO, IMPLANTACIÓN, MANTENIMIENTO Y MEJORA DEL ENS DE GF-TIC

El despliegue del ENS en GF-TIC se iniciará a partir del Análisis de Riesgos, que permitirá determinar el nivel de riesgo de seguridad de la información en que se encuentra la entidad e identificar los controles de seguridad necesarios para el tratamiento del riesgo y llevarlo a un nivel aceptable, así como las oportunidades de mejora, considerando las cuestiones internas y externas y los requisitos de las partes interesadas antes indicados.

Los controles de seguridad deberán implantarse, mantenerse y mejorarse continuamente, y estar disponibles como información documentada, mediante procedimientos, normativas, instrucciones técnicas o manuales, revisados y aprobados por el Comité de Seguridad de la Información.

Se deberá comunicar la información documentada de los controles de seguridad al personal que trabaja en la entidad (empleados y proveedores), que tendrá la obligación de aplicarla en la realización de sus actividades laborales, comprometiéndose de ese modo, al cumplimiento de los requisitos del ENS.

11. ORGANIZACIÓN DE LA SEGURIDAD

11.1. COMITÉS: FUNCIONES Y RESPONSABILIDADES

El Comité de Seguridad de la Información estará formado por:

Composición:

  • Presidencia: Dirección General.
  • Secretaría: Responsable de Seguridad de la Información / CISO.
  • Vocales: Gerencia; Responsable del Servicio; Responsable del Sistema (Sistemas); Responsable del Sistema (Redes); Responsable de Administración.
  • Invitados/asesores: Delegado de Protección de Datos y consultores externos de forma esporádica.
(Estructura organizativa: Comité de Seguridad -> Responsable de la información | Responsable del servicio | Responsable del sistema | Responsable de la seguridad)

Este comité podrá ser auxiliado de manera esporádica por consultores externos.

Funciones del Comité de Seguridad de la Información:

  • Revisión anual de la política de seguridad.
  • Desarrollo del procedimiento de designación de roles.
  • Designación de roles y responsabilidades.
  • Supervisión y aprobación de las tareas de seguimiento del ENS:

    • Tareas de adecuación.
    • Análisis de riesgos.
    • Auditoría bienal.
  • Velar por el cumplimiento de las normativas en materia de seguridad.
  • Definición y seguimiento de las iniciativas y los objetivos estratégicos en la seguridad TIC.
  • Fijar las condiciones para satisfacer los requisitos de seguridad de la información.
  • Aprobar los procedimientos de seguridad.
  • Velar por la disponibilidad de los recursos necesarios para desarrollar las iniciativas y objetivos estratégicos de seguridad necesarios.
  • Impulsar la elaboración de directrices en materia de seguridad de la información.
  • Promover la formación y concienciación en materia de seguridad de la información.
  • Velar por el correcto cumplimiento de la política de seguridad.

11.2. ROLES: FUNCIONES Y RESPONSABILIDADES

Responsable de la información:

  • Establecimiento de los requisitos de seguridad que garanticen el tratamiento de la información.
  • Trabajar en colaboración con el Responsable de Seguridad y el Responsable del Sistema en la valoración de la información en las diferentes dimensiones de seguridad y el mantenimiento de los sistemas catalogados según Anexo I ENS.
  • Velar por la correcta inclusión de cláusulas sobre seguridad en los contratos con terceras partes y su cumplimiento.
  • Valorar las consecuencias de un impacto negativo sobre la seguridad de la información atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.

Responsable del servicio:

  • Establecimiento de los requisitos de los servicios prestados a través de medios electrónicos en materia de seguridad.
  • Trabajar en colaboración con el Responsable de Seguridad y el Responsable del Sistema en la valoración de los servicios en las diferentes dimensiones de seguridad y el mantenimiento de los sistemas catalogados según el Anexo I del ENS.
  • Valorar las consecuencias de un impacto negativo sobre la seguridad de la información atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.
  • Incluir las especificaciones de seguridad en el ciclo de vida de los servicios y sistemas, acompañado de los procedimientos de control.

Responsable de seguridad:

  • Mantener la seguridad de la información correctamente manejada y de los servicios prestados siguiendo las directrices marcadas por el Comité de Seguridad de la Información y de acuerdo con lo establecido en la Política de Seguridad.
  • Promover la formación y la concienciación en materia de seguridad siguiendo las directrices marcadas por el Comité de Seguridad de la Información.
  • Elaborar las propuestas de modificación y actualización de la política de seguridad.
  • Promover para su aprobación y seguimiento en el Comité de Seguridad de la Información las auditorías periódicas que permitan verificar el cumplimiento de las obligaciones en materia de seguridad.
  • Desarrollar la política de seguridad mediante la elaboración de la normativa de seguridad.
  • Analizar, completar y aprobar toda la documentación relacionada con la seguridad del sistema.
  • Monitorizar el estado de seguridad del sistema proporcionado por las herramientas de gestión de eventos de seguridad y mecanismos de auditoría implementados en el sistema.
  • Apoyar y supervisar la investigación de los incidentes de seguridad desde su notificación hasta su resolución.
  • Proponer para su aprobación y seguimiento en el Comité de Seguridad de la Información las líneas de actuación en materia de seguridad de la información.
  • Determinar las decisiones de seguridad pertinentes para satisfacer los requisitos establecidos por los responsables de la información y de los servicios, siendo una persona física jerárquicamente independiente del Responsable del Sistema.
  • Elaborar el documento de Declaración de aplicabilidad.
  • Actuar como capacitador de buenas prácticas en seguridad de las redes y sistemas de información, tanto en aspectos físicos como lógicos.
  • Constituir el punto de contacto especializado para la coordinación con el CSIRT de referencia.
  • Notificar a la autoridad competente, a través del CSIRT de referencia y sin dilación indebida, los incidentes que tengan efectos perturbadores en la prestación de los servicios.
  • Recibir, interpretar y aplicar las instrucciones y guías emanadas de la Autoridad Competente, tanto para la operativa habitual como para la subsanación de las deficiencias observadas.
  • Recopilar, preparar y suministrar información o documentación a la autoridad competente o el CSIRT de referencia, a su solicitud o por propia iniciativa.

Responsable del sistema:

  • Desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, incluyendo sus especificaciones, instalación y verificación de su correcto funcionamiento.
  • Definir la topología y la gestión del sistema de información, estableciendo los criterios de uso y los servicios disponibles en el mismo.
  • Cerciorarse de que las medidas de seguridad se integren adecuadamente en el marco general de seguridad.
  • El Responsable del Sistema puede proponer la suspensión del tratamiento de una cierta información o la prestación de un determinado servicio si aprecia deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. La decisión final, que será tomada por la dirección de la entidad, debe ser acordada con los responsables de la información y los servicios afectados y el Responsable de la Seguridad.

11.3. PROCEDIMIENTOS DE DESIGNACIÓN

El Responsable de Seguridad de la Información será nombrado por la Dirección General, a propuesta del Comité de Seguridad de la Información. El nombramiento se revisará cada 2 años o cuando el puesto quede vacante.

El Departamento responsable de un servicio que se preste electrónicamente de acuerdo a la Ley 39/2015 designará al responsable del Sistema, precisando sus funciones y responsabilidades dentro del marco establecido por esta Política.

11.4. POLÍTICA DE SEGURIDAD

Será misión del Comité de Seguridad TIC la revisión anual de esta Política de Seguridad y la propuesta de revisión o mantenimiento de la misma. La Política será aprobada y difundida para que la conozcan todas las partes afectadas.

11.5. RESOLUCIÓN DE CONFLICTOS

Sobre la resolución de conflictos entre los diferentes responsables prevalecerá la decisión de la Dirección, que deberá ser comunicada al Comité de Seguridad de la Información.

12. DATOS DE CARÁCTER PERSONAL

GF-TIC trata datos de carácter personal. El documento de seguridad, al que tendrán acceso sólo las personas autorizadas, recoge los ficheros afectados y los responsables correspondientes. Todos los sistemas de información de la organización se ajustarán a los niveles de seguridad requeridos por la normativa para la naturaleza y finalidad de los datos de carácter personal recogidos en el mencionado Documento de Seguridad.

13. GESTIÓN DE RIESGOS

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

  • Regularmente, al menos una vez al año.
  • Cuando cambie la información manejada.
  • Cuando cambien los servicios prestados.
  • Cuando ocurra un incidente grave de seguridad.
  • Cuando se reporten vulnerabilidades graves.
Para la armonización de los análisis de riesgos, el Comité de Seguridad de la Información establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad de la Información dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.

13.1. Riesgos que se derivan del tratamiento de los datos personales

GF-TIC realiza un análisis de riesgos en materia de datos personales y aplica los siguientes criterios:

  • Transparencia, licitud y lealtad en el tratamiento de datos.
  • Limitación de la finalidad del tratamiento.
  • Principio de minimización: recoger solo los datos estrictamente necesarios.
  • Exactitud: los datos deben ser veraces y estar actualizados.
  • Plazo de conservación limitado al tiempo necesario para el cumplimiento de la finalidad.
  • Confidencialidad e integridad de los datos.

14. DESARROLLO DE LA POLÍTICA DE SEGURIDAD

Esta Política se desarrollará por medio de normativa de seguridad que afronte aspectos específicos. La normativa de seguridad estará a disposición de todos los miembros de la organización que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.

La normativa de seguridad estará disponible a las partes interesadas de la organización.

15. OBLIGACIONES DEL PERSONAL

Todos los miembros de GF-TIC tienen la obligación de conocer y cumplir esta Política de Seguridad y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad de la Información disponer los medios necesarios para que la información llegue a los afectados.

Todos los miembros de GF-TIC asistirán a una sesión de concienciación en materia de seguridad TIC al menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos los miembros de la organización, en particular a los de nueva incorporación.

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

16. ESTRUCTURACIÓN DE LA SEGURIDAD DEL SISTEMA, SU GESTIÓN Y ACCESO. GESTIÓN DE LA DOCUMENTACIÓN

La estructuración eficaz de la seguridad del sistema, su gestión y acceso es esencial para garantizar la integridad, confidencialidad y disponibilidad de la información; por ello, GF-TIC tiene gestionado el acceso dependiendo del perfil de trabajador/a a los documentos del sistema.

La documentación del Esquema Nacional de Seguridad de GF-TIC se organiza en una estructura jerárquica de cuatro niveles, en la que cada nivel desarrolla y concreta al inmediatamente superior:

  • Nivel 1 – Política de Seguridad de la Información (el presente documento, org.1): Establece los principios básicos, los objetivos, el alcance, la organización de la seguridad y las directrices generales. Es aprobada y firmada por la Dirección General de GF-TIC a propuesta del Comité de Seguridad de la Información y con el visto bueno de la Gerencia, y su cumplimiento es obligatorio.
  • Nivel 2 – Normativa de Seguridad: Desarrolla la Política mediante normas de obligado cumplimiento que regulan el uso adecuado de los sistemas, los servicios y la información (uso aceptable, obligaciones del personal, clasificación de la información). Es propuesta por el Comité de Seguridad de la Información, con el visto bueno de la Gerencia, y aprobada por la Dirección General.
  • Nivel 3 – Procedimientos de Seguridad: Describen de forma detallada cómo se ejecutan las tareas y los controles derivados de la Normativa (gestión de accesos, gestión de incidentes, copias de seguridad, gestión de cambios entre otros). Son aprobados por el Comité de Seguridad de la Información a propuesta del Responsable de Seguridad.
  • Nivel 4 – Instrucciones técnicas, guías de configuración y registros: Recogen las configuraciones concretas, las instrucciones operativas de bajo nivel y las evidencias y registros que demuestran la aplicación efectiva de las medidas de seguridad.

Nomenclatura y organización

Los documentos se codifican conforme a las medidas del Anexo II del ENS (Real Decreto 311/2022), agrupados por marcos: Marco Organizativo [org], Marco Operacional [op] y Medidas de Protección [mp] (por ejemplo, org.1 Política de Seguridad u op.pl.2 Arquitectura de seguridad).

Gestión documental

Toda la documentación de seguridad se custodia en el repositorio documental corporativo del ENS, que constituye la fuente única y autorizada. El control de versiones queda reflejado en la tabla de cada documento; la aprobación corresponde al órgano competente para cada nivel y toda modificación relevante genera una nueva versión. La Política de Seguridad se revisa al menos anualmente, o ante cambios significativos: el Responsable de Seguridad elabora la propuesta, el Comité de Seguridad de la Información la eleva, la Gerencia la valida y la Dirección General la aprueba y firma; la Normativa y los Procedimientos se revisan con la misma periodicidad o cuando cambien las condiciones que los motivaron.

Acceso a la documentación

El acceso a la documentación de seguridad se rige por su clasificación y por el principio de mínimo privilegio. La Política de Seguridad tiene clasificación pública; el resto de la documentación se etiqueta y protege según su nivel de sensibilidad (por ejemplo, uso interno para toda la organización). La documentación relevante se pone a disposición del personal afectado a través del repositorio y se comunica y difunde conforme a lo previsto en el apartado Concienciación, Divulgación y formación de esta Política.

17. TERCERAS PARTES

Cuando GF-TIC preste servicios a otros organismos o maneje información de otros organismos, se les hará partícipes de esta Política de Seguridad, se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad TIC y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.

Igualmente cuando GF-TIC utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias, para los cuales se considerará al firmante del contrato como el interlocutor en la resolución de incidentes, salvo expresa mención o designación en el contrato. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.
 
Organización: GF-TIC
Edición: 02
Fecha: 18/09/2026
Scroll al inicio