1.     Aprobación y entrada en vigor

Texto aprobado el día 19-01–2026 por el Comité de Seguridad de Setesur.

Esta “Política de Seguridad de la Información”, en adelante Política, será efectiva desde su fecha de aprobación y hasta que sea reemplazada por una nueva Política.

 

2.     Introducción

SETESUR depende de los sistemas TIC (Tecnologías de la Información y las Comunicaciones) para alcanzar sus objetivos estratégicos y de negocio. Estos sistemas deben ser administrados con la máxima diligencia, adoptando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan comprometer la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información tratada o de los servicios prestados.

Para hacer frente a las amenazas del entorno, SETESUR aplica las medidas de seguridad exigidas por el Esquema Nacional de Seguridad (ENS) y el estándar ISO 27001, realizando un seguimiento continuo de los niveles de prestación de los servicios, monitorizando las vulnerabilidades y manteniendo una capacidad de respuesta efectiva ante ciberincidentes para garantizar la continuidad del negocio.

La seguridad TIC es una parte integral de cada etapa del ciclo de vida de los sistemas, desde su concepción y diseño hasta su retirada de servicio, pasando por las fases de desarrollo, adquisición y explotación. Por tanto, los requisitos de seguridad y sus necesidades de financiación e inversión se identificarán e incluirán explícitamente en la planificación inicial y en los procesos de contratación o compras de proyectos tecnológicos.

De conformidad con el artículo 7 del ENS, el objetivo de la seguridad en SETESUR es actuar de manera preventiva, supervisar la actividad diaria y reaccionar con presteza ante incidentes para recuperar los servicios lo antes posible mediante los siguientes tres pilares:

 

Prevención.

Para evitar que la información o los servicios se vean perjudicados, SETESUR implementa las salvaguardas derivadas del análisis de riesgos. Asimismo, define claramente los roles de seguridad, evalúa regularmente las configuraciones y autoriza formalmente los sistemas antes de su entrada en operación, recurriendo a revisiones periódicas por parte de terceros independientes.

 

Detección.

En cumplimiento de los artículos 8 y 9 del ENS, se establecen controles de operación y monitorización en los sistemas para identificar desviaciones o anomalías significativas en la prestación de los servicios, activando los mecanismos de análisis y reporte oportunos hacia los responsables de seguridad.

 

Recuperación.

Para garantizar la resiliencia y continuidad de la actividad, SETESUR dispone de los medios técnicos, copias de seguridad y planes de contingencia necesarios para asegurar la restauración ágil de sus servicios e información críticos ante un fallo o incidente grave.

 

3.  Misión de SETESUR

SETESUR, para la gestión de sus intereses y de las funciones y competencias que tiene encomendadas, promueve actividades y presta servicios que contribuyen a satisfacer las necesidades y expectativas de todos los grupos de interés, potenciando por otro lado el uso de las nuevas tecnologías.

 

4.  Principios básicos

Los principios básicos son directrices fundamentales de seguridad que han de tenerse siempre presentes en cualquier actividad relacionada con el uso de los activos de información. Se establecen los siguientes:

• Alcance estratégico: La seguridad de la información cuenta con el compromiso explícito de la Alta Dirección, integrándose de forma coherente en los objetivos de negocio de la empresa.
• Responsabilidad determinada: En los sistemas TIC se delimitarán claramente las competencias de cada rol: el Responsable de la Información determina los requisitos de seguridad de los datos tratados; el Responsable del Servicio fija los requisitos de los servicios prestados; el Responsable del Sistema responde de la operación técnica de los mismos; y el Responsable de la Seguridad determina y supervisa las medidas necesarias para satisfacer los requisitos exigidos.
• Seguridad integral: La seguridad se concibe como un proceso continuo constituido por todos los elementos técnicos, humanos, materiales y organizativos relacionados con los sistemas TIC. Debe considerarse como parte de la operativa habitual, estando presente y aplicándose desde el diseño inicial de los sistemas.
• Gestión de Riesgos: El análisis y gestión de riesgos es el eje central del proceso de seguridad para mantener un entorno controlado y minimizar las amenazas hasta niveles aceptables. El despliegue de salvaguardas buscará el equilibrio entre la naturaleza de los datos, el impacto y probabilidad de los riesgos, y el coste de las medidas. Se tendrán especialmente en cuenta los riesgos derivados del tratamiento de datos personales.
• Mínimo privilegio: Los sistemas se configurarán de modo que los usuarios, administradores y procesos solo dispongan de los permisos y accesos estrictamente necesarios para el desempeño de sus funciones específicas.
• Seguridad por defecto: Los sistemas y aplicaciones deben diseñarse, adquirirse y configurarse de forma que garanticen un grado suficiente de seguridad de manera nativa y automatizada desde su puesta en marcha.
• Diferenciación de responsabilidades: Se mantendrá una estricta separación de funciones en la organización, garantizando que la responsabilidad de la seguridad de los sistemas esté diferenciada de la responsabilidad sobre su explotación y operación técnica.
• Mejora continua: Las medidas de seguridad se reevaluarán, revisarán y actualizarán periódicamente para adecuar su eficacia a la constante evolución de las amenazas y los sistemas. El sistema de seguridad será auditado de forma regular por personal cualificado e independiente.

 

5.  Objetivos de la Seguridad de la Información

SETESUR establece como objetivos de la seguridad de la información los siguientes:

• Asegurar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información tratada.
• Crear la confianza necesaria entre las partes interesadas para el uso de nuevas tecnologías.
• Reconocer la importancia de identificar y proteger sus activos de información, evitando la destrucción, la divulgación, modificación y utilización no autorizada de toda la información de interés.
• Evitar que la información o los servicios se vean perjudicados por incidentes de seguridad.
• Analizar la vulnerabilidad de la información y preparar una respuesta efectiva a los incidentes en seguridad de la información para garantizar la continuidad de los servicios prestados.
• Incluir los requisitos de seguridad de la información pertinentes en las ofertas y contratos correspondientes.
• Cumplir con los requisitos legales y otros requisitos de aplicación.
• Formar y concienciar al personal en seguridad de la información.
• Disponer de un conjunto de controles de aseguramiento y refuerzo de la seguridad.
• Gestionar adecuadamente todas las incidencias que puedan ocurrir.

 

6.  Alcance

La presente Política será de aplicación a todos los sistemas de información, servicios y activos de SETESUR, así como al personal, colaboradores y terceros que tengan acceso autorizado a la información o a los sistemas de la organización.

Todo el personal y usuarios autorizados deberán conocer y cumplir la presente Política de Seguridad de la Información y la normativa interna derivada de la misma, siendo responsabilidad del Comité de Seguridad de la Información promover su difusión y cumplimiento dentro de la organización.

La Política estará disponible en la página web corporativa de Setesur www.setesur.com

 

7.  Compromiso de la dirección

La Dirección de Setesur, consciente de la importancia de la seguridad de la información para llevar a cabo con éxito sus objetivos de negocio, se compromete a:

• Promover en la organización las funciones y responsabilidades en el ámbito de seguridad de la información.
• Facilitar los recursos adecuados para alcanzar los objetivos de seguridad de la información.
• Impulsar la divulgación y la concienciación de la Política de Seguridad de la Información entre los empleados de Setesur.
• Exigir el cumplimiento de la Política, de la legislación vigente y de los requisitos de los reguladores en el ámbito de la seguridad de la información.
• Considerar los riesgos de seguridad de la información en la toma de decisiones.

 

8.  Marco normativo

El Sistema de Gestión de la Seguridad de la Información (SGSI) de SETESUR se fundamenta en el estricto cumplimiento del marco legal, reglamentario, estatutario y de las obligaciones contractuales vigentes que resulten de aplicación a su actividad y que afecten a la seguridad de los activos de información de la organización.

Para garantizar la identificación, actualización permanente y control de dichas obligaciones, SETESUR dispone de un registro centralizado de referencia. De este modo:

• Documento de Referencia Obligatoria: Todos los requisitos legales, normativas sectoriales, estándares de obligado cumplimiento y compromisos contractuales con clientes o terceros quedan formalmente identificados, detallados y custodiados en el documento 18.01 – Requisitos Legales y Normativa Aplicable SETESUR
• Gestión y Actualización: El Comité de Seguridad mantendrá dicho documento permanentemente actualizado, revisándolo de forma proactiva ante cualquier cambio legislativo o contractual, asegurando así que los controles técnicos y organizativos implantados en SETESUR se adaptan de manera inmediata a las nuevas exigencias normativas.
• Evaluación del Cumplimiento: La organización evaluará periódicamente, a través de sus procesos de auditoría interna y revisiones por la dirección, el grado de cumplimiento efectivo de los requisitos listados en el citado documento RES.18.01, considerándose cualquier desviación como una oportunidad de mejora o no conformidad en el sistema.

 

9.  Organización de la Seguridad de la Información

9.1 Criterios utilizados para la organización de la Seguridad de la Información

SETESUR, teniendo en cuenta lo establecido en el antedicho Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS) y las pautas establecidas en la Guía CCN-STIC-801 “Responsabilidades y Funciones en el ENS”, para organizar la seguridad de la información emprenderá las siguientes acciones:

1. Designará roles de seguridad: Responsables de los Servicios, Responsables de la Información, Responsable de la Seguridad, Responsable del Sistema y Delegado de Protección de Datos.
2. Constituirá un órgano consultivo y estratégico para la toma de decisiones en materia de Seguridad de la Información. Este órgano se constituirá como un órgano colegiado y se denominará Comité de Seguridad de la Información. Será presidido por una persona física, quien asumirá la responsabilidad formal de sus actos.

 

9.2 Roles y Órganos de la Seguridad de la Información

Para garantizar una gobernanza eficaz y alineada con las exigencias del Esquema Nacional de Seguridad (ENS), la estructura organizativa de SETESUR en materia de seguridad de la información se divide en dos niveles diferenciados: los roles de gestión individualizados y el órgano colegiado de decisión estratégica.

En el primer nivel, la organización define y diferencia las figuras individuales clave para el funcionamiento diario del sistema. Estas figuras corresponden al Responsable del Servicio, el Responsable de la Información, el Responsable de la Seguridad, el Responsable del Sistema y el Delegado de Protección de Datos. La asignación concreta de estos roles a los distintos puestos de la empresa se detalla en el siguiente apartado de esta Política.

En el segundo nivel, la seguridad estratégica se articula a través del Comité de Seguridad de la Información. Este órgano colegiado estará constituido por:

• Presidencia
• Secretaría
• Cuerpo de Vocales compuesto de forma permanente por: el Responsable de la Seguridad, el Responsable del Sistema, Responsable del servicio/Delegado de Protección de Datos, Responsable de la Información.
• Asimismo, se incorporará formalmente a las reuniones un Técnico de Gestión en calidad de Vocal.

Respecto a su funcionamiento, el Comité de Seguridad de la Información se reunirá con carácter ordinario al menos una vez al trimestre. No obstante, podrá celebrar sesiones extraordinarias en periodos inferiores siempre que existan razones de urgencia o causas justificadas que así lo requieran. El desarrollo de estas reuniones quedará formalmente registrado por el Secretario o Secretaria, quien tendrá la función de levantar la correspondiente acta de cada sesión. Finalmente, con el objetivo de asegurar el máximo rigor técnico en sus decisiones, la Presidencia podrá autorizar la asistencia a las sesiones, en calidad de asesores, de aquellas personas del equipo interno o expertos externos que estime pertinentes en cada caso.

 

9.3 Responsabilidades de los roles asociados al Esquema Nacional de Seguridad

9.3.1 RESPONSABLE DE LA INFORMACIÓN / RESPONSABLE SGSI/ PRESIDENTE COMITÉ

En SETESUR, el rol de Responsable de la Información es asumido formalmente por el Responsable de Desarrollo de Negocio. En el ejercicio de este cargo, le corresponderán las siguientes funciones:

• Establecer y determinar los requisitos de la información en materia de seguridad, lo que equivale en el marco del ENS a la potestad de fijar los niveles de seguridad en cada dimensión (Confidencialidad, Integridad, Disponibilidad, Autenticidad y Trazabilidad) dentro de lo establecido en el Anexo I del Real Decreto 311/2022. Aunque la aprobación formal corresponde a este rol, podrá recabar una propuesta al Responsable de Seguridad y tener en cuenta la opinión del Responsable del Sistema.
• Asumir la responsabilidad última ante cualquier error, negligencia o vulnerabilidad que derive en un incidente de seguridad que afecte a la confidencialidad o a la integridad de la información bajo su cargo.
• Dictaminar respecto a los derechos, perfiles y autorizaciones de acceso a la información por parte de los usuarios.
• Analizar y aceptar formalmente los niveles de riesgo residual que afecten a la información tras la evaluación de los controles de seguridad.
• Poner en conocimiento del Responsable de Seguridad cualquier variación o actualización respecto a la Información de la que es responsable (especialmente la incorporación de nuevos flujos o datos), para que este dé traslado al Comité de Seguridad en su próxima reunión.
• Informar sobre el estado de la seguridad en su área de gestión, así como ejercer la potestad de convocar reuniones de la comisión, remitir información y emitir comunicados a los miembros del Comité de Seguridad cuando sea necesario.

 

9.3.2 RESPONSABLE DE SEGURIDAD DE LA INFORMACIÓN / SECRETARIO DEL COMITÉ

En SETESUR, el rol de Responsable de Seguridad de la Información es asumido formalmente por el Coordinador de Proyectos e Innovación. Con el objetivo de optimizar la gobernanza y garantizar que los sistemas respondan eficazmente a los requisitos exigidos, la organización hace coincidir en esta única figura las responsabilidades de velar por la seguridad técnica y actuar como Secretario del Comité de Seguridad de la Información.

Este rol reportará directamente al Comité de Seguridad de la Información y asumirá las siguientes funciones estratégicas y operativas:

• Mantener, verificar y controlar el nivel adecuado de seguridad de la información manejada y de los servicios prestados por los sistemas, coordinando las medidas definidas en la Documentación de Seguridad y velando por el cumplimiento de la normativa vigente en protección de datos (RGPD / LOPDGDD).
• Realizar formalmente el Análisis de Riesgos de la organización y elaborar la Declaración de Aplicabilidad a partir de las medidas requeridas conforme al Anexo II del Real Decreto 311/2022 (ENS) y los objetivos de la ISO 27001.
• Recopilar los requisitos de seguridad aportados por los Responsables de Información y de los Servicios para determinar la Categoría del Sistema, facilitándoles posteriormente información clara sobre el nivel de riesgo residual esperado tras la implantación de las salvaguardas.
• Participar en la elaboración de la Política de Seguridad y su normativa asociada en el marco del Comité, así como elaborar y aprobar de forma directa los Procedimientos Operativos de Seguridad de la Información.
• Aprobar las directrices propuestas por el Responsable del Sistema para integrar la seguridad en todo el ciclo de vida de los activos y procesos (especificación, arquitectura, desarrollo, operación y gestión de cambios).
• Elaborar, en colaboración con el Responsable del Sistema, los Planes de Mejora de la Seguridad. Asimismo, participará en los Planes de Continuidad del Negocio procediendo a su validación técnica antes de ser elevados para su aprobación definitiva.
• Elaborar, promover y coordinar los Planes de Formación y Concienciación periódica del personal en materia de seguridad de la información dentro de la organización.
• Gestionar de extremo a extremo las revisiones y auditorías internas o externas del sistema, así como liderar los procesos de certificación de la ISO 27001 y el Esquema Nacional de Seguridad.
• Facilitar periódicamente al Comité de Seguridad un resumen de las actuaciones realizadas, un informe de los incidentes de seguridad detectados y el estado general del riesgo del sistema.
• Convocar las sesiones del Comité de Seguridad de la Información, recopilar la documentación pertinente para el orden del día y levantar acta formal de los acuerdos alcanzados.

 

9.3.3 RESPONSABLE DEL SISTEMA

En SETESUR, el rol de Responsable del Sistema es asumido formalmente por el Técnico de Sistemas del Departamento Técnico. Este perfil, que se sitúa a nivel operativo, es el encargado directo de la explotación, desarrollo y mantenimiento técnico de los sistemas de información durante todo su ciclo de vida.

En el ejercicio de sus competencias, reportará técnicamente al Responsable de Seguridad y asumirá las siguientes funciones:

• Desarrollar, operar y mantener los sistemas de información durante todo su ciclo de vida (especificaciones, instalación, configuración y verificación), elaborando los procedimientos operativos necesarios y asegurando que se aplican estrictamente las directrices aprobadas.
• Definir la arquitectura, topología y el sistema de gestión de los sistemas de información, estableciendo con claridad los criterios técnicos de uso y los servicios que estarán disponibles en los mismos.
• Cerciorarse y validar que las medidas específicas de seguridad tecnológica se integren de forma adecuada y funcional dentro del marco general de seguridad de SETESUR.
• Acordar la suspensión temporal del manejo de una determinada información o la prestación de un servicio si se detectan deficiencias graves de seguridad que pongan en riesgo la organización. Esta decisión de parada técnica deberá ser coordinada y acordada previamente con los Responsables de la Información y del Servicio afectados, así como con el Responsable de Seguridad, antes de ser ejecutada.
• Llevar a cabo las tareas propias de la administración técnica de la seguridad del sistema, incluyendo:
• La gestión, configuración, parcheo y actualización del hardware y software en los que se basan los mecanismos de seguridad.
• El despliegue técnico de las autorizaciones y privilegios concedidos a los usuarios, garantizando el principio de mínimo privilegio.
• Monitorizar de forma continua el estado de seguridad a través de herramientas de gestión de eventos (SIEM/mecanismos de auditoría técnica) e informar de inmediato al Responsable de Seguridad ante cualquier anomalía, compromiso o vulnerabilidad detectada.
• Supervisar las instalaciones, modificaciones o mejoras de hardware y software, aprobando los cambios en la configuración técnica vigente para asegurar que la seguridad del sistema no se vea comprometida.
• Elaborar los Planes de Continuidad de los Sistemas de Información para su posterior validación por el Responsable de Seguridad y aprobación por el Comité. Asimismo, será el encargado de ejecutar los ejercicios y pruebas periódicas para mantener dichos planes actualizados y efectivos.
• Elaborar las directrices técnicas para considerar la seguridad de la información en todo el ciclo de vida de los activos (especificación, arquitectura, desarrollo, operación y cambios) y facilitarlas al Responsable de Seguridad para su aprobación definitiva.
• Colaborar activamente con el Responsable de Seguridad en la investigación, contención y resolución técnica de los incidentes de seguridad, desde el momento de su detección hasta su cierre.
• Cuando la complejidad tecnológica de SETESUR lo justifique, el Responsable del Sistema podrá delegar funciones concretas o designar responsables de sistemas delegados en el ámbito de su departamento, quienes mantendrán una dependencia funcional directa con él.

 

9.3.4 RESPONSABLE DEL SERVICIO / RESPONSABLE DEL TRATAMIENTO / RESPONSABLE DE PROTECCIÓN DE DATOS (DPO)

En SETESUR, los roles de Responsable del Servicio y de Delegado de Protección de Datos (DPO) son asumidos formalmente por el Responsable de Operaciones. Al unificar estas figuras, esta posición se convierte en el nexo clave entre la explotación del negocio, el cumplimiento legal y la privacidad de los datos.

En el ejercicio de sus funciones, coordinará sus decisiones con el Responsable de Seguridad y asumirá las siguientes competencias divididas en sus dos ámbitos de actuación:

A. Funciones como Responsable del Servicio (ENS / ISO 27001)

• Determinar y establecer las necesidades y requisitos de disponibilidad, confidencialidad y seguridad de los servicios prestados por la organización, elevando al Comité de Seguridad la propuesta de sus niveles de seguridad. Para ello, podrá recabar asesoramiento del Responsable de Seguridad y del Responsable del Sistema.
• Valorar las consecuencias de un impacto negativo sobre la seguridad de los servicios, teniendo en cuenta la repercusión en la capacidad de SETESUR para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones y los derechos de los usuarios.
• Incluir las especificaciones de seguridad en el ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control y vigilar el cumplimiento de las normas de seguridad dentro de su área.
• Colaborar activamente en la elaboración de los planes de recuperación, estrategias de continuidad y políticas de copias de seguridad para garantizar la resiliencia del negocio.
• Supervisar la efectividad de las políticas de seguridad en su área de operaciones, realizar controles periódicos e informar al Responsable de la Información del cumplimiento de la normativa aprobada.

 

B. Funciones como Delegado de Protección de Datos (DPO – Art. 39 RGPD / LOPDGDD)

• Informar y asesorar a SETESUR y al personal que se ocupe de los tratamientos de datos personales sobre las obligaciones que les incumben en virtud de la normativa vigente en materia de Privacidad y Protección de Datos.
• Supervisar la conformidad con las leyes de protección de datos y las políticas internas de SETESUR, incluyendo la asignación de responsabilidades, la concienciación y formación del personal implicado, y la promoción de auditorías periódicas.
• Ofrecer el asesoramiento técnico y metodológico que se le solicite acerca de las Evaluaciones de Impacto relativas a la Protección de Datos, recomendando salvaguardas a aplicar y supervisando su correcta ejecución.
• Priorizar sus actividades prestando especial atención a los riesgos asociados a las operaciones de tratamiento, asesorando sobre la aplicación práctica de los principios de protección de datos por diseño y por defecto.
• Actuar como el punto de contacto único y cooperar directamente con la Agencia Española de Protección de Datos (AEPD) para cuestiones relativas al tratamiento, incluyendo la realización de consultas previas cuando sea necesario.
• Analizar y comprobar la conformidad de las actividades de tratamiento, recabar información para supervisar el registro de actividades de tratamiento (RAT) y recomendar a la Dirección las áreas que deben someterse a auditorías específicas.

 

9.4 Comité de Seguridad de la Información

Serán funciones del Comité de Seguridad de la Información:

• Aprobar y coordinar las propuestas de los Responsables de la Información y los Servicios sobre los niveles de seguridad de la información y de los servicios y asumir las funciones de los Responsables de la Información y los Servicios en las actuaciones en que se considere necesario.
• Atender las inquietudes, en materia de Seguridad de la Información, de la organización y de las diferentes áreas, informando regularmente del estado de la seguridad de la información a la Dirección.
• Asesorar en materia de seguridad de la información, siempre y cuando le sea requerido.
• Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables y/o entre diferentes Departamentos, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.
• Promover la mejora continua del sistema de gestión de la Seguridad de la Información. Para ello se encargará de:
• Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, para asegurar que estos sean consistentes, alineados con la estrategia decidida en la materia, y evitar duplicidades.
• Proponer planes de mejora de la seguridad de la información, con su dotación presupuestaria correspondiente, priorizando las actuaciones en materia de seguridad cuando los recursos sean limitados.
• Velar porque la seguridad de la información se tenga en cuenta en todos los proyectos desde su especificación inicial hasta su puesta en operación. En particular deberá velar por la creación y utilización de servicios horizontales que reduzcan duplicidades y apoyen un funcionamiento homogéneo de todos los sistemas TIC.
• Realizar un seguimiento de los principales riesgos residuales asumidos y recomendar posibles actuaciones respecto de ellos.
• Realizar un seguimiento de la gestión de los incidentes de seguridad y recomendar posibles actuaciones respecto de ellos.
• Elaborar (y revisar regularmente) la Política de Seguridad de la Información para su aprobación por el Órgano Superior.
• Elaborar la normativa de Seguridad de la Información para su aprobación por el Órgano Superior.
• Verificar los procedimientos de seguridad de la información y demás documentación para su aprobación.
• Elaborar programas de formación destinados a formar y sensibilizar al personal en materia de seguridad de la información y protección de datos.
• Elaborar y aprobar los requisitos de formación y calificación de administradores, operadores y usuarios desde el punto de vista de seguridad de la información.
• Promover la realización de las auditorías periódicas ENS y RGPD que permitan verificar el cumplimiento de las obligaciones de SETESUR en materia de seguridad de la Información y protección de datos.

 

9.5 Procedimientos de designación

La creación del Comité de Seguridad de la Información, el nombramiento de sus integrantes y la designación de los Responsables identificados en esta Política, se realizará por el órgano superior de SETESUR.

El nombramiento de los miembros del Comité, así como la revisión de su composición, se realizarán con una periodicidad obligatoria de cada dos (2) años.

 

10.  Datos personales

SETESUR se compromete a tratar los datos de carácter personal en estricto cumplimiento de lo dispuesto en el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). En este sentido, solo se recogerán y tratarán datos personales que sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.

Asimismo, SETESUR adoptará de forma continua las medidas de índole técnica, organizativa y jurídica necesarias para garantizar un nivel de seguridad adecuado al riesgo, evitando su alteración, pérdida, tratamiento o acceso no autorizado.

Para asegurar la máxima transparencia con sus clientes, empleados y proveedores, SETESUR mantendrá publicada y permanentemente actualizada su Política de Privacidad en su página web corporativa.

 

11.  Obligaciones del personal

Todo el personal de SETESUR participará en el programa de concienciación en materia de seguridad de la información y protección de datos, mediante las acciones formativas y materiales que la organización establezca periódicamente.

El personal con responsabilidades en la utilización, operación o administración de sistemas de información deberá recibir formación específica en seguridad antes de asumir dichas funciones, ya sea en su incorporación inicial o en caso de cambio de puesto o de responsabilidades. Dicha formación será adecuada al rol desempeñado y deberá garantizar el conocimiento suficiente para el uso seguro de los sistemas y el cumplimiento de las políticas, normas y procedimientos del SGSI.

Asimismo, todo el personal tiene la obligación de reportar de manera inmediata cualquier incidente, evento o sospecha que pueda comprometer la seguridad de la información (como accesos no autorizados, pérdida o robo de dispositivos/información, fallos en sistemas o vulnerabilidades detectadas). Para ello, los empleados deberán:

• Notificar el suceso de forma inmediata al Responsable de Seguridad de la Información a través del canal designado.
• Proporcionar la información disponible que sea de utilidad (fecha, hora, sistemas afectados y evidencias relevantes).
• Abstenerse de intentar corregir el incidente por cuenta propia, evitando cualquier acción que pueda alterar o destruir evidencias informáticas.
• Cooperar plenamente en las investigaciones internas derivadas del incidente.

El incumplimiento de estas obligaciones se considerará una violación de la normativa interna de seguridad y estará sujeto a las medidas disciplinarias establecidas por la organización.

 

12.  Gestión de riesgos

Todos los sistemas afectados por esta Política están sujetos a un análisis de riesgos con el objetivo de evaluar las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá: 

• Al menos una vez al año.
• Cuando se modifique la información y/o los servicios manejados de manera significativa.
• Cuando ocurra un incidente grave de seguridad o se detecten vulnerabilidades graves.

El Responsable de Seguridad de la Información será el encargado de que se realice el análisis de riesgos, así como de identificar carencias y debilidades y ponerlas en conocimiento del Comité de Seguridad de la Información. El Comité de Seguridad asegurará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo las inversiones de carácter horizontal que sean necesarias.

El proceso de análisis de riesgos comprenderá las siguientes fases:

• Identificación de escenarios de riesgo.
• Análisis de riesgos.
• Tratamiento: El Responsable de Seguridad de la Información seleccionará las medidas de seguridad que se deben aplicar, las cuales deberán ser proporcionales a los riesgos y estar debidamente justificadas, para su aprobación por el Comité de Seguridad. El riesgo se deberá mitigar o eliminar.

 

Las fases de este proceso se realizarán según lo dispuesto en los anexos I y II del Real Decreto 311/2022, de 3 de mayo (ENS), y siguiendo las normas, instrucciones, guías CCN-STIC y recomendaciones para la aplicación del mismo elaboradas por el Centro Criptológico Nacional. 

En particular, para realizar el análisis de riesgos se utiliza la metodología MAGERIT (metodología de análisis y gestión de riesgos elaborada por el Consejo Superior de Administración Electrónica, la cual figura en el inventario de métodos de análisis y gestión de riesgos de ENISA).

 

13. Notificación de incidentes

De conformidad con lo dispuesto en el artículo 36 del Real Decreto 311/2022, de 3 de mayo, SETESUR notificará al Centro Criptológico Nacional (CCN-CERT) aquellos incidentes que tengan un impacto significativo en la seguridad de la información manejada y de los servicios prestados.

Asimismo, en caso de que un incidente constituya una brecha de seguridad de datos personales, se notificará a la Agencia Española de Protección de Datos (AEPD) en los términos y plazos establecidos por la normativa vigente.

 

14.  Desarrollo de la Política de Seguridad de la Información

La presente Política de Seguridad de la Información se complementa y desarrolla a través de la Normativa de Seguridad de la Información y la Política de Seguridad Aplicable al Personal. Estos documentos, junto con los protocolos, procedimientos operativos e instrucciones técnicas que se deriven de ellos, constituyen el marco normativo de SETESUR y se mantienen identificados en el RS.06 – Listado de documentación vigente. El marco documental se encuentra documentada en el directorio ‘1. Sistema integrado ISO 27001 y ENS dentro de Google drive: G:\Unidades compartidas\2. ADMINISTRACIÓN E INTERNO\Certificaciones y Sistemas – ISOs, ENS\ISO 27001 y ENS – SEGURIDAD INFORMACIÓN\1. Sistema integrado ISO 27001 y ENS

Corresponde al órgano superior de SETESUR la aprobación de esta Política de Seguridad de la Información, siendo el Comité de Seguridad de la Información el encargado de revisar todo el marco documental anualmente y proponer a la Dirección las actualizaciones o mejoras necesarias. Por su parte, la aprobación de los procedimientos operativos específicos e instrucciones técnicas corresponderá al Responsable de Seguridad de la Información.

Asimismo, la presente Política de Seguridad de la Información complementa las políticas de seguridad de SETESUR en materia de protección de datos de carácter personal.

Toda la normativa de seguridad estará a disposición de los miembros de la organización que necesiten conocerla para su consulta, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.

 

  15. Clasificación de la información

SETESUR clasificará la información que gestione en función de su sensibilidad, valor, criticidad y requisitos legales, regulatorios y contractuales aplicables.

La clasificación de la información permitirá determinar las medidas de protección adecuadas para garantizar su confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad durante todo su ciclo de vida.

Los responsables de la información velarán por que esta sea correctamente clasificada, etiquetada cuando proceda y tratada de acuerdo con las normas y procedimientos internos establecidos por la organización.

 

16.  Terceras partes

Cuando SETESUR preste servicios a otras entidades o maneje información de clientes y colaboradores, se les hará partícipe de la presente Política de Seguridad de la Información. Asimismo, se establecerán los canales adecuados para el reporte, la coordinación entre las partes y los procedimientos de actuación conjunta para la reacción ante incidentes de seguridad.

Cuando SETESUR utilice servicios de terceros (proveedores) o ceda información a los mismos, se les comunicará formalmente esta Política de Seguridad y la normativa específica que afecte a dichos servicios o información. Dichas terceras partes quedarán sujetas a las obligaciones establecidas en este marco normativo, sin perjuicio de que puedan desarrollar sus propios procedimientos operativos para darles cumplimiento. De igual modo, se estipularán canales específicos de reporte y resolución de incidencias, y se garantizará mediante acuerdos contractuales que el personal de estos terceros cuenta con la concienciación adecuada en materia de seguridad.

Cuando algún aspecto de esta Política de Seguridad de la Información no pueda ser satisfecho por una tercera parte, se requerirá de forma obligatoria un informe emitido por el Responsable de Seguridad de la Información que precise los riesgos en que se incurre y las medidas de mitigación propuestas. Dicho informe deberá contar con la aprobación formal de la Dirección y del Responsable del Servicio afectado antes de continuar con la relación comercial o el tratamiento de los datos.

 

17.  Mejora continua

La gestión de la seguridad de la información es un proceso sujeto a permanente actualización. Los cambios en la organización, las amenazas, las tecnologías y/o la legislación son un ejemplo en los que es necesaria una mejora continua de los sistemas. Por ello, es necesario implantar un proceso permanente que comportará, entre otras acciones:

1. Revisión de la Política de Seguridad de la Información.
2. Revisión de los servicios e información y su categorización.
3. Ejecución con periodicidad anual del análisis de riesgos.
4. Realización de auditorías internas o, cuando procedan, externas.
5. Revisión de las medidas de seguridad.
6. Revisión y actualización de las normas y procedimientos.