Política de seguridad de la información ENS

1. Objeto

El presente documento define la política de seguridad de la información de la información de Linube conforme al ENS.

2. Alcance

Este documento aplica a todas las partes interesadas y activos de información de Linube.

3. Desarrollo

Linube depende de los activos de información para alcanzar sus objetivos.

Estos activos son administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad, autenticidad y trazabilidad de la información tratada o los servicios prestados.

A continuación, se presentan los principales objetivos de seguridad de la información de Linube.

3.1. Prevención

Las personas deben evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad de la información de seguridad de la información.

Para ello, Linube implementa las medidas mínimas de seguridad de la información determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos. Estos controles, y los roles y responsabilidades de seguridad de la información de todas las personas, están claramente definidos y documentados.

Para garantizar el cumplimiento de la política, Linube:

Autoriza los activos de información antes de entrar en operación.
Evalúa regularmente la seguridad de la información, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
Solicita la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.

3.2. Detección

Dado que los servicios y los activos se pueden degradar rápidamente debido a incidentes de seguridad de la información, que van desde una simple desaceleración hasta su detención, se monitoriza la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia.

La monitorización es especialmente relevante cuando se establecen líneas de defensa.

Se han establecido mecanismos de detección, análisis y reporte que lleguen a las personas responsables regularmente y cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales.

3.3. Respuesta

Linube ha establecido:

Mecanismos para responder eficazmente a los incidentes de seguridad de la información.
Un punto de contacto para las comunicaciones con respecto a incidentes de seguridad de la información detectados.
Protocolos para el intercambio de información relacionada con el incidente.

3.4. Recuperación

Para garantizar la disponibilidad de los servicios críticos, Linube ha desarrollado planes de continuidad de los servicios como parte de su plan general de continuidad de negocio y actividades de recuperación.

4. Marco normativo

Linube está sujeta a las siguientes leyes, reglamentos y otra normativa, nacional e internacional en materia de seguridad de la información:

Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 (vigente en aquellos artículos que no contradigan el RGPD)
Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico
Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley de Propiedad Intelectual.
REGLAMENTO (UE) 910/2014 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento Europeo eIDAS).
Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.

5. Organización de la seguridad de la información

En Linube los roles relevantes en materia de seguridad de la información son los siguientes (se definen en el documento “Categorización de los sistemas de información”):

El comité de seguridad de la información es la máxima autoridad y responsable en materia de seguridad de la información de Linube, coordina la gestión del cumplimiento de todos los requisitos de cliente, legales y reglamentarios en esta materia, y gestiona los potenciales conflictos. En el caso de Linube está formado por el responsable de seguridad y el CTO.
El responsable de la información determina los requisitos de seguridad de la información tratada, según los parámetros del Anexo I del ENS.
El responsable del servicio determina los requisitos de seguridad de la información tratada, según los parámetros del Anexo I del ENS.
El responsable de seguridad determina las decisiones de seguridad pertinentes para satisfacer los requisitos establecidos por los responsables de la información y de los servicios, siendo jerárquicamente independiente del responsable del sistema.
El responsable del sistema se encarga de la operación del sistema de información, atendiendo a las medidas de seguridad determinadas por el responsable de la seguridad.
El punto de contacto (POC) de Linube es la dirección de correo electrónico .

6. Revisión, aprobación y comunicación de la política de seguridad de la información

El comité de seguridad de la información aprueba la política de seguridad de la información, y la revisa al menos anualmente.

La política de seguridad de la información está publicada en la página Web corporativa.

7. Datos de carácter personal

Linube trata datos de carácter personal conforme a la legislación vigente en materia de protección de datos de carácter personal.

8. Análisis y gestión de riesgos de seguridad de la información

De todos los activos de información de Linube se ha realizado un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos.

Este análisis se revisa y, si procede actualiza:

regularmente, al menos una vez al año.
cuando cambia la información manejada.
cuando cambian los servicios prestados.
cuando ocurre un incidente grave de seguridad de la información.
cuando se reportan vulnerabilidades graves.

9. Principios

Esta política de seguridad de la información se basa en los siguientes principios:

Organización e implantación del proceso de seguridad.
Análisis y gestión de los riesgos.
Gestión de personal.
Profesionalidad.
Autorización y control de los accesos.
Protección de las instalaciones.
Adquisición de productos de seguridad y contratación de servicios de seguridad.
Mínimo privilegio.
Integridad y actualización del sistema.
Protección de la información almacenada y en tránsito.
Prevención ante otros sistemas de información interconectados.
Registro de la actividad y detección de código dañino.
Incidentes de seguridad.
Continuidad de la actividad.
Mejora continua del proceso de seguridad.

10. Documentación

Linube dispone de un sistema de gestión de seguridad de la información que tiene la siguiente estructura documental:

Política de seguridad de la información: Documento de alto nivel que expresa el compromiso de la dirección con la seguridad de la información. Establece los objetivos generales y directrices.
Normativa de seguridad de la información. Documento de alto nivel que define qué está permitido y qué no en materia de seguridad de la información.
Política de seguridad de la información para un tema específico. Documento que define qué se debe hacer en algún aspecto concreto del sistema de gestión.
Procedimiento de seguridad de la información. Documento que describe de manera detallada cómo se deben llevar a cabo determinadas actividades o procesos relacionados con la seguridad de la información.

11. Obligaciones de las personas

Todas las personas, propias y subcontratadas, de Linube tienen la obligación de conocer y cumplir esta política de seguridad de la información de la información y el resto de documentación que la desarrolla.

Todas las personas son concienciadas regularmente, en particular a los de nueva incorporación.

Las personas con responsabilidad en el uso, operación o administración de los sistemas de información recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

12. Terceras partes

Cuando Linube presta servicios o trate información de otras organizaciones:

Se les hace partícipes de esta política de seguridad de la información.
Se establecen canales para reporte y coordinación al comité de seguridad de la información.
Se establecen procedimientos de actuación para la reacción ante incidentes de seguridad de la información de seguridad.

Cuando Linube utiliza servicios de terceros o ceda información a terceros:

Se les hace partícipes de esta política y de la normativa de seguridad de la información que ataña a dichos servicios o información.
Dicha tercera parte queda sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla.
Se establecen procedimientos específicos de reporte y resolución de incidencias.
Se requiere que el personal de terceros esté adecuadamente concienciado en materia de seguridad de la información, al menos al mismo nivel que el establecido en esta política.
Cuando algún aspecto de la política no pueda ser satisfecho por una tercera parte según se requiere en los párrafos anteriores, se requiere un informe del responsable de seguridad de la información que precisa los riesgos en que se incurre y la forma de tratarlos. Se requiere la aprobación de este informe por los responsables de la información y los servicios afectados antes de seguir adelante.

Aprobado por el Director General a 12 de mayo de 2025
Descargar