Política de seguridad

1. INTRODUCCIÓN

La presente política tiene por objeto establecer el marco de trabajo que permita identificar e implantar las medidas técnicas y organizativas para garantizar la seguridad de la información y la continuidad de los servicios de CIMICO.

CIMICO depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para ofrecer sus servicios y cumplir sus objetivos. Tanto la información y los servicios como los sistemas TIC que lo soportan, deben protegerse garantizando la confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad de la información y los servicios prestados. La seguridad de la información es un factor crítico para asegurar la calidad y continuidad de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.

Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir la información y los servicios. Para defenderse de estas amenazas, el personal de CIMICO debe aplicar los siguientes principios básicos:

  • Seguridad como proceso integral
  • Gestión de la seguridad basada en riesgos
  • Prevención, detección, respuesta y conservación
  • Existencia de líneas de defensa
  • Vigilancia continua
  • Reevaluación periódica
  • Diferenciación de responsabilidades

Para asegurarse debe realizarse un seguimiento continuo de los niveles de prestación de servicios, analizar las vulnerabilidades reportadas y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.

CIMICO se compromete a que la seguridad TIC sea una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, incluyendo las decisiones de desarrollo o adquisición y las actividades de explotación.

2. ALCANCE

Esta política se aplica a toda la información, servicios, procesos, sistemas TIC, soportes y personal de CIMICO sin excepciones. La seguridad de la información está en la mano de todos, es un trabajo en equipo.

3. MISIÓN Y VISIÓN DE CIMICO

Nuestra misión es trabajar para hacer accesible al mercado el conocimiento más avanzado, liderando el camino hacia un futuro cada vez más sostenible que garantice la gestión óptima de recursos vitales como el agua.

Somos ciencia avanzada y conocimiento de vanguardia en biología, matemáticas e ingeniería que fluye con éxito hacia el mercado, dando vida a soluciones biotecnológicas innovadoras en el tratamiento de aguas residuales que resultan óptimas tanto para nuestros clientes como para el futuro del planeta.

Diseñamos y creamos soluciones sencillas, funcionales y robustas que mejoran significativamente el rendimiento de los productos y servicios existentes en el mercado, asegurando que nuestros clientes obtengan realmente la solución que necesitan.

4. MARCO NORMATIVO

CIMICO tiene la obligación de cumplir con las leyes y normas aplicables a su naturaleza y actividad, así como con aquellas obligaciones contraídas con terceros. Para garantizar el cumplimiento normativo, CIMICO dispone de un registro en el que se realiza un seguimiento de los requisitos aplicables, con especial atención a los relacionados con:

  • La protección de datos de carácter personal
    • RGPD, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016
    • LOPDGDD, Ley Orgánica 3/2018, de 5 de diciembre
  • La protección intelectual, Ley 2/2019, de 1 de marzo
  • La seguridad de la información (ENS), Real Decreto 311/2022, de 3 de mayo.

Este registro se revisa anualmente por el Comité de Seguridad para asegurar que está actualizado y refleja las normativas vigentes y aplicables. La revisión incluye la incorporación de nuevas leyes y regulaciones, así como la actualización de las existentes para garantizar un cumplimiento continuo y efectivo.

5. ORGANIZACIÓN DE LA SEGURIDAD

5.1 Alta dirección de CIMICO

La alta Dirección de CIMICO será la encargada de:

  • Designar el Comité de Seguridad de la información (Comité de S.I.)
  • Asegurar que se establece la política y los objetivos de seguridad de la información y de que sean compatibles con la dirección estratégica de la empresa.
  • Asegurar la integración de los requisitos del sistema de gestión de seguridad de la información en los procesos de la organización.
  • Asegurar que los recursos necesarios para el sistema de gestión de la seguridad de la información estén disponibles.
  • Comunicar la importancia de una gestión de la seguridad de la información eficaz y conforme con los requisitos del sistema de gestión de la seguridad de la información.
  • Asegurar que el sistema de gestión de la seguridad de la información consigue los resultados previstos.
  • Dirigir y apoyar a las personas, para contribuir a la eficacia del sistema de gestión de la seguridad de la información.
  • Promover la mejora continua.
  • Apoyar al Comité de S.I y otros roles pertinentes de la dirección, para demostrar su liderazgo aplicado a sus áreas de responsabilidad.
  • Aprobar la Normativa de Seguridad de la información.
  • Conocer la legislación vigente en seguridad de la información y apoyar activamente al Comité de S.I para que CIMICO garantice su cumplimiento y mejora.

5.2 Comité de seguridad de la información

El Comité de seguridad de la información será el encargado de coordinar la seguridad de la información en CIMICO y reportará a la organización. Estará formado por los siguientes responsables:

  • Responsable de la información y servicio
  • Responsable de la seguridad
  • Responsable del sistema

Las funciones del Comité de seguridad de la información son:

  • Atender las inquietudes de la Dirección de la entidad y de los diferentes departamentos.
  • Informar regularmente del estado de la seguridad de la información a la Dirección.
  • Promover la mejora continua del sistema de gestión de la seguridad de la información.
  • Elaborar la estrategia de evolución de la organización en lo que respecta a seguridad de la información.
  • Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, para asegurar que los esfuerzos son consistentes, que están alineados con la estrategia decidida en la materia, evitando duplicidades.
  • Elaborar (y revisar regularmente) la Política de Seguridad de la Información para su aprobación por la Dirección.
  • Elaborar la Normativa de Seguridad de la información, lo que incluye políticas, procedimientos, instrucciones, etc.
  • Elaborar y aprobar los requisitos de formación y calificación de administradores, operadores y usuarios, desde el punto de vista de seguridad de la información.
  • Monitorizar los principales riesgos residuales asumidos por la organización y recomendar posibles actuaciones.
  • Monitorizar el desempeño de los procesos de gestión de incidentes de seguridad y recomendar posibles actuaciones respecto de ellos. En particular, velar por la coordinación de las diferentes áreas de seguridad en la gestión de tales incidentes.
  • Promover la realización de las auditorías periódicas que permitan verificar el cumplimiento de las obligaciones del organismo en materia de seguridad.
  • Aprobar planes de mejora de la seguridad de la información de la organización. En particular velará por la coordinación de distintos planes que puedan realizarse en diferentes áreas.
  • Priorizar las actuaciones en materia de seguridad cuando los recursos sean limitados.
  • Velar porque la seguridad de la información se tenga en cuenta en todos los proyectos TIC desde su especificación inicial hasta su puesta en operación. En particular, deberá velar por la creación y utilización de servicios horizontales que reduzcan duplicidades y apoyen un funcionamiento homogéneo de todos los sistemas TIC.
  • Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables y/o entre diferentes áreas de la organización, elevando aquellos casos en los que no tenga suficiente autoridad para decidir
  • Promover la vigilancia continua del sistema con el objetivo de detectar actividades o comportamientos anómalos, así como garantizar una respuesta acorde.
  • Promover la evaluación permanente del estado de la seguridad de los activos con el objetivo de medir su evolución, detectar vulnerabilidades e identificar deficiencias de configuración.
  • Revisar periódicamente la legislación aplicable en materia de seguridad de la información y establecer las acciones necesarias para su cumplimiento.
  • Implantar, mantener y mejorar el sistema de gestión de seguridad de la información

5.3 Funciones y responsabilidades

CIMICO define las siguientes responsabilidades para cada rol designado:

5.3.1 Responsable de la información y del servicio (Rol de especificación):

  • Determina los requisitos de seguridad de la información tratada y de los servicios prestados
  • Debe incluir las especificaciones de seguridad en el ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control.
  • Valora las consecuencias de un impacto negativo sobre la seguridad de la información y los servicios. Se efectuará atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.
  • Propietario de los riesgos de la información y de los servicios. Encargado de aceptar riesgos residuales de la información y de los servicios. Encargado de monitorizar estos riesgos (puede delegar el día a día).

5.3.2 Responsable de la seguridad (Rol de supervisión):

  • Determina las decisiones de seguridad pertinentes para satisfacer los requisitos establecidos por los responsables de la información y de los servicios
  • Supervisa la implantación de las medidas necesarias para garantizar que se satisfacen los requisitos y reporta sobre estas cuestiones.
  • Se asegura que en la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones se tendrán en cuenta productos cuya funcionalidad de seguridad relacionada con el objeto de su adquisición esté certificada revisándolo en el catálogo CPSTIC o las guías CCN STIC 140 o la valoración de otras certificaciones, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a su juicio.
  • Se asegura de que se aplican las medidas necesarias para garantizar el adecuado tratamiento de datos personales y ampliarlas, si es necesario, según los cambios del estado de la tecnología, la naturaleza de los servicios prestados, la información manejada y los riesgos a que están expuestos.
  • Analiza los informes de autoevaluación y/o los informes de auditoría que eleva las conclusiones al Responsable del Sistema para que adopte las medidas correctoras adecuadas
  • Propone indicadores para el seguimiento de riesgos y los define junto a sus propietarios.

El responsable de seguridad es una figura que es jerárquicamente independiente del Responsable del Sistema y es, además, el Secretario/a del Comité de Seguridad de la Información. Como tal:

  • Convoca las reuniones del Comité de Seguridad de la Información.
  • Prepara los temas a tratar en las reuniones del Comité, aportando información puntual para la toma de decisiones.
  • Elabora el acta de las reuniones.
  • Es responsable de la ejecución directa o delegada de las decisiones del Comité.

 5.3.3 Responsable del sistema (Rol de operación):

El Responsable del Sistema se apoya en el conocimiento y la experiencia del proveedor de servicios TIC para garantizar que las funciones bajo su responsabilidad se ejecutan conforme a los requisitos establecidos. El Responsable del Sistema:

  • Diseña el sistema de información, atendiendo a las medidas de seguridad determinadas por el Responsable de la Seguridad.
  • Se coordina con terceros cuando los sistemas de información se encuentran externalizados.
  • Supervisa la operación diaria del sistema.
  • Analiza los informes de autoevaluación y/o los informes de auditoría que eleva las conclusiones al Responsable de Seguridad para que adopte las medidas correctoras adecuadas.
  • Visto el dictamen de auditoría, podrá acordar la retirada de operación de alguna información, de algún servicio o del sistema en su totalidad, durante el tiempo que estime prudente y hasta la satisfacción de las modificaciones prescritas.

5.4 Procedimiento de designación

Es función de la alta Dirección de la entidad designar:

  • Al Responsable de la Información
  • Al Responsable del Servicio, que puede ser el mismo que el Responsable de la Información
  • Al Responsable de la Seguridad, que debe reportar directamente a la Dirección
  • Al Responsable del Sistema, escuchando la opinión de los responsables de las informaciones y los servicios afectados. En materia de seguridad reportará al Responsable de la Seguridad

El nombramiento se revisará cada año o cuando algún puesto quede vacante.

 5.5 Resolución de conflictos

CIMICO establece un mecanismo claro y definido para la resolución de conflictos relacionados con la seguridad de la información. Este mecanismo incluye los siguientes pasos:

  • Identificación del conflicto: Cualquier conflicto relacionado con la seguridad de la información debe ser reportado inmediatamente al Responsable de Seguridad de la Información.
  • Evaluación inicial: El Responsable de Seguridad de la Información evaluará el conflicto para determinar su naturaleza, impacto y urgencia. Esto incluye la recopilación de información relevante y la consulta con las partes implicadas.
  • Mediación interna: Se convocará una reunión con todas las partes involucradas, incluyendo el Comité de seguridad de la información, para intentar resolver el conflicto mediante mediación. En esta fase se buscan soluciones que satisfagan a todas las partes implicadas.
  • Decisión del Comité de seguridad de la información: Si la mediación interna no resuelve el conflicto, el Comité de Seguridad de la información tomará una decisión final basándose en los principios y políticas de CIMICO, así como en las leyes y normativas aplicables.
  • Documentación y comunicación: Todas las decisiones y acciones tomadas durante el proceso de resolución de conflictos serán documentadas y comunicadas a las partes implicadas. Esta documentación se mantendrá como registro para futuras referencias.
  • Seguimiento y Revisión: Tras la resolución del conflicto, se llevará a cabo un seguimiento para asegurar que las soluciones implementadas son efectivas y sostenibles. El Comité de seguridad de la información revisará el caso para identificar posibles mejoras en los procesos y políticas de seguridad.

 5.6 Documentación

La documentación sobre la que se soporta esta política estará compuesta por un conjunto de normas, guías y procedimientos que ayudarán a las personas usuarias en el desarrollo de sus tareas.

Esta documentación está disponible en el gestor de ficheros.

Toda esta documentación debe contar con una cabecera que incluya:

  • Logo
  • Código y título de la política
  • Número de revisión
  • Fecha de la revisión (y por lo tanto, fecha en la que comienza su aplicación)
  • Categoría de la información
  • Número de hoja de total de hojas

Además, debe contar con un espacio al inicio con el detalle y fecha de las revisiones y debe estar aprobada y firmada por el Comité de Seguridad de la Información.

Todos los documentos nuevos se clasificarán y etiquetarán mediante metadatos y/o marca de agua según la categoría de la información establecida en CIMICO.

 5.7 Datos de carácter personal

CIMICO trata datos de carácter personal. Para garantizar la adecuada protección de estos datos, existe la Política de Privacidad que refleja la postura de CIMICO respecto de estos. Existen medidas y procedimientos específicos adoptados para asegurar la protección y el tratamiento adecuado de los datos personales, cumpliendo con las normativas vigentes en materia de protección de datos.

Todos los sistemas de información que traten datos de carácter personal en CIMICO se ajustarán a los niveles de seguridad requeridos por la normativa de protección de datos de carácter personal y la finalidad especificada en Registro de Actividades de Tratamiento.

 6. CONCIENCIACIÓN Y FORMACIÓN

CIMICO, tiene como objetivo que el personal tenga una plena conciencia de la seguridad de la información en todas las actividades que realizan. Por ello, CIMICO se compromete a disponer los medios necesarios para asegurar que todas las personas que intervienen en los procesos y sus responsables desarrollen una sensibilidad y comprensión adecuadas hacia los riesgos asociados a la seguridad de la información y la disponibilidad de los servicios.

Para alcanzar este objetivo, CIMICO implementará las siguientes acciones:

  • Programas de concienciación:
    • Realización de sesiones de concienciación obligatorias para todo el personal al menos una vez al año.
    • Programas continuos de concienciación para mantener a todos los miembros de la organización actualizados sobre los riesgos y mejores prácticas en seguridad de la información.
  • Formación continua:
    • Formación específica para el personal con responsabilidades en el uso, operación o administración de los sistemas TIC, asegurando que reciban la capacitación necesaria antes de asumir sus responsabilidades.
    • Actualización periódica de la formación para reflejar los cambios en las amenazas y las mejores prácticas en seguridad.

7. GESTIÓN DE RIESGOS

El Comité de Seguridad de la Información realizará un análisis de riesgos de los sistemas de información, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá regularmente, al menos una vez al año, cuando cambie la información manejada, cuando cambien los servicios prestados, cuando ocurra un incidente grave de seguridad, o cuando se reporten vulnerabilidades graves.

Para la armonización de los análisis de riesgos, el Comité de seguridad de la información establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. También se encargará de poner a los recursos necesarios para atender a las necesidades de seguridad de los diferentes sistemas.

8. COMPROMISO CON LA MEJORA CONTINUA

CIMICO garantiza la mejora continua en seguridad de la información mediante el establecimiento de forma periódica de objetivos de seguridad. Estos objetivos son propuestos por el Comité de seguridad de la información y/o la alta dirección de CIMICO basados en los requisitos de seguridad y los resultados del análisis de riesgos. La alta dirección debe además asegurar que estos objetivos están alineados con la estrategia de la empresa. Una vez establecidos son comunicados a la plantilla, monitorizados por el Comité de seguridad de la información y reportados a la alta dirección.

9. APROBACIÓN Y ENTRADA EN VIGOR

Esta política de seguridad es aprobada el 17 de noviembre de 2025 por la Dirección de CIMICO. Es efectiva desde dicha fecha y permanecerá vigente hasta su reemplazo por una nueva política. Se revisará anualmente y se actualizará si es necesario, indicándolo en el cuadro de revisiones.

Ines Larrea

Consejera Delegada de Cimico