1. Introducción
NeuronUP depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad de la información tratada o los servicios prestados.
El personal de NeuronUP debe cerciorarse de que la seguridad es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación.
Los departamentos de NeuronUP de acuerdo al desempeño de las funciones encomendadas deben estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo a la normativa vigente.
Para garantizar el cumplimiento de esta política, el Comité de Seguridad desarrolla y evalúa regularmente los sistemas y se encarga de que todo el personal de NeuronUP conozca y cumpla sus funciones de acuerdo con la seguridad de la información.
2. Ámbito de aplicación
La presente política es de aplicación a todas las personas, procesos, sistemas y activos involucrados en el tratamiento de la información dentro de NeuronUP.
Esto abarca a personal interno, colaboradores externos, proveedores y terceros que tengan acceso a la información o sistemas y todos los activos de información.
El cumplimiento de esta política es obligatorio y constituye la base sobre la cual se establecen las normas, procedimientos y controles del Sistema de Gestión de Seguridad de la Información (SGSI) de la organización.
3. Objetivo de esta política
Esta política tiene como objetivo fijar el marco de actuación para garantizar la seguridad de la información y la prestación continuada de los servicios.
Esta política se desarrolla por medio de la documentación y normativas de seguridad a disposición de todos los miembros de la organización, que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones, a través de procedimientos, procesos, instrucciones técnicas, etc.
La normativa de seguridad está disponible para todos los empleados de la organización en su gestor documental.
4. Marco normativo
NeuronUP se compromete a cumplir con todas las leyes, reglamentos y normativas aplicables en materia de Seguridad de la Información.
5. Organización de la seguridad
La Dirección de la empresa adquiere la responsabilidad de promover y apoyar el establecimiento de medidas técnicas, organizativas y de control que garanticen los niveles de calidad y seguridad necesarios para las operaciones de la empresa, comprometiéndose con la mejora continua del Sistema de Gestión de la Seguridad de la Información.
La responsabilidad de esta tarea se delega en el Comité de Seguridad, creado por NeuronUP como un órgano colegiado transversal compuesto por:
- El Responsable de Seguridad de la Información que a su vez ejerce como Presidente del Comité de Seguridad.
- El Administrador de Sistemas, que a su vez asume el papel de Secretario del Comité de Seguridad.
- El Director de Tecnologías.
Las atribuciones específicas de estos roles quedan incluidas en las fichas de puesto de sus respectivos responsables. El procedimiento para su designación y/o renovación es aprobado por la Dirección.
Los nombramientos se revisarán cada 2 años o cuando un puesto quede vacante, a propuesta del propio Comité de Seguridad.
5.1. Funciones del Comité de Seguridad
La función principal del Comité de Seguridad es la de fijar la Política de Seguridad de la Información y los objetivos del SGSI.
El Comité de Seguridad establecerá los niveles de riesgo considerados aceptables, determinando las acciones oportunas para reducir aquellos riesgos que sobrepasen esos umbrales.
Será misión del Comité de Seguridad la revisión anual de esta política y la propuesta de revisión o mantenimiento de la misma. Asimismo, esta política será complementada por medio de normativas y recomendaciones de seguridad (otras políticas, protocolos, procedimientos, instrucciones técnicas, etc.).
En concreto, los puntos de seguridad a revisar serán:
- El estado de las acciones a desarrollar desde el último control.
- Cambios relevantes para el SGSI.
- Gestión del riesgo, vulnerabilidades y amenazas.
- Tecnologías, productos y servicios para la mejora continua.
6. Gestión de riesgos
PPara la armonización de los análisis de riesgos, el Comité de Seguridad establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados.
El Comité de Seguridad estudiará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas.
Todos los sistemas sujetos a esta política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:
- Regularmente, al menos una vez al año;
- cuando ocurra un incidente grave de seguridad;
- cuando se reporten vulnerabilidades graves.
Para garantizar la disponibilidad de los servicios críticos ante posibles incidencias, la empresa dispone de un Plan de recuperación de desastres que coordina todas las actividades de recuperación de los procesos de negocio que puedan verse afectados.
7. Obligaciones del personal
Todos los miembros de NeuronUP tienen la obligación de conocer y cumplir la Política de Seguridad de la Información y la normativa de seguridad, siendo responsabilidad del Comité de Seguridad disponer de los medios necesarios para que la información llegue a los afectados.
El incumplimiento de esta Política de Seguridad y las normas que lo desarrollan, podrá derivarse en sanciones disciplinarias conforme a lo establecido en el Estatuto de los Trabajadores y el convenio colectivo de aplicación.Las directrices concretas para los trabajadores se desarrolla en la Política de seguridad para trabajadores.
7.1. Concienciación y formación
De acuerdo con la Política de formación y concienciación en Seguridad de la Información, todos los miembros de NeuronUP recibirán formación en materia de seguridad de la información al menos una vez al año. Asimismo, se establecerá un programa de concienciación continua para asegurar que todos los interesados comprendan y cumplan con la Política de Seguridad de la Información.
Las personas con responsabilidad en el uso, operación o administración de sistemas recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.
7.2. Directrices básicas de SGSI
Las directrices básicas para el tratamiento seguro de la información y la estructuración de la documentación de seguridad del sistema, su gestión y acceso, se desarrollan en los manuales, políticas, normativas y procedimientos del SGSI.
Estas directrices son las siguientes:
- La información debe clasificarse en las siguientes categorías: Pública, Uso Interno, Confidencial o Reservada.
- Los soportes físicos que almacenan información no pública deben almacenarse en lugar seguro.
- El acceso a los sistemas de información se permitirá en base al principio de necesidad de conocer (need-to-know), asegurando que cada persona acceda únicamente a la información necesaria para el desempeño de sus funciones.
- Los accesos físicos a las instalaciones de la empresa se restringen únicamente al personal autorizado.
- Todos los empleados deben registrar sus entradas y salidas a través del sistema de control de horario y fichaje.
- El acceso de personas externas a la empresa debe registrarse en los casos establecidos por NeuronUP.
- Se seguirá la Política de gestión de contraseñas indicada por NeuronUP.
- Los ordenadores están configurados para que tras un período de inactividad, se bloqueen de modo automáticamente con un salvapantallas protegido con contraseña. Sin embargo, queda en manos del usuario bloquearlo de modo manual cada vez que se abandone el puesto.
- Siempre que un empleado cause baja de la empresa se desactivarán sus derechos de acceso.
- Los usuarios dispondrán de correo electrónico corporativo para el desarrollo de su trabajo.
- En los contratos con terceras partes se incluirán las cláusulas de seguridad oportunas.
- Los usuarios nunca deben desactivar los programas de antivirus ni cualquier otra herramienta o control instalado con el objetivo de mejorar la seguridad.
- Los usuarios no deben tener expectativas de privacidad cuando accedan a los sistemas de información de la empresa, ya que ésta (dentro del marco legal establecido y con el fin de dirigir los sistemas y hacer cumplir la seguridad) puede revisar cualquier información almacenada en sus sistemas.
- Cualquier consulta en materia de seguridad puede ser dirigida a [email protected].
- Ante la detección de una situación que afecte a la seguridad de la información de NeuronUP cualquier usuario (empleado o externo) debe comunicarlo al responsable del departamento y/o responsable de seguridad.
8. Datos de carácter personal
NeuronUP solo recogerá y tratará datos de carácter personal cuando sea necesario y de acuerdo con la normativa de protección de datos, por ello dispone de una Política de protección de datos personales, que se ajusta a los niveles de seguridad requeridos por la normativa vigente.
Se adoptarán las medidas técnicas y organizativas necesarias para garantizar la protección de datos de carácter personal.
9. Terceras partes
Cuando NeuronUP preste servicios a otras organizaciones o maneje información de terceras partes, se les hará partícipes de esta Política de Seguridad de la Información y de las normas e instrucciones derivadas. Se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad y se establecerán procedimientos de actuación para la reacción ante incidentes de seguridad.
Cuando NeuronUP utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política y de la normativa de seguridad que atañe a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en la normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecerán procedimientos específicos de reporte y resolución de incidencias. Se garantizará que el personal de terceros esté adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.
Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.
Fecha de última revisión: 22 de noviembre de 2025
