El objeto de este documento es establecer la política que rige cómo la empresa Casmar Electrónica, S.A. gestiona y protege su información, así como los servicios que considera críticos, cumpliendo con las garantías exigidas por el Esquema Nacional de Seguridad (ENS) y la normativa vigente. Esta política se aplicará a todos los sistemas de tecnologías de la información y comunicaciones (TIC) de la organización, así como a todo el personal de la organización, sin excepciones. Abarca las redes, servidores, aplicaciones, bases de datos y cualquier otro activo de información corporativo, incluyendo a empleados, contratistas y terceros que accedan a dichos activos.
Esta política se alinea con estándares internacionales y exige el cumplimiento de la legislación aplicable en materia de seguridad de la información. En particular, se consideran las siguientes referencias:
Estándares y normas:
ISO/IEC 27001: Sistemas de Gestión de Seguridad de la Información (requisitos)
ISO/IEC 27002: Código de buenas prácticas para controles de seguridad de la información
Guías CCN-STIC 801 y 805: Guías del Centro Criptológico Nacional sobre responsabilidades y políticas de seguridad (Esquema Nacional de Seguridad)
Legislación vigente:
Real Decreto 311/2022 (ENS): Reglamento del Esquema Nacional de Seguridad (de aplicación voluntaria en el sector privado como referencia de buenas prácticas)
Reglamento (UE) 2016/679 (RGPD): Reglamento General de Protección de Datos
Ley Orgánica 3/2018 (LOPDGDD): Ley de Protección de Datos Personales y Garantía de Derechos Digitales
Para efectos de esta política, se aplican las definiciones establecidas en la normativa ENS e ISO/IEC 27001. Algunos términos clave incluyen:
La misión de la organización es ofrecer sus servicios de forma eficiente, confiable y segura, satisfaciendo las expectativas de sus clientes y otras partes interesadas. En apoyo a esta misión, la Dirección reconoce que la seguridad de la información es fundamental para generar confianza, asegurar la continuidad del negocio y cumplir con las obligaciones legales. Por ello, la Dirección establece los siguientes objetivos de seguridad de la información, en consonancia con el ENS e ISO/IEC 27001:
Siguiendo el principio de diferenciación de responsabilidades del ENS (artículo 11 del RD 311/2022) y las iniciativas de buen gobierno corporativo, la organización define claramente los siguientes roles de seguridad de la información y sus responsabilidades.
Órgano colegiado encargado de supervisar la estrategia general de seguridad de la organización y dar apoyo ejecutivo a las decisiones clave.
En caso de ser necesario, podrá designarse un/a Responsable de Seguridad Corporativa, quien actuará como Secretario/a del Comité.
Responsable de coordinar y aplicar la política de seguridad de la información, realizar seguimiento de incidentes y riesgos, y apoyar al Responsable de Seguridad en la toma de decisiones técnicas y organizativas.
Este Comité estará compuesto por los siguientes cargos, en línea con el modelo definido en el Sistema de Gestión Integrado (SGI) conforme a la ISO/IEC 27001:
Ambos asumen también las funciones de Responsable de la Información y Responsable del Servicio, conforme a lo definido en el artículo 11 del ENS.
El Responsable de Seguridad en Casmar ejerce como Chief Information Security Officer (CISO). Es la persona encargada de dirigir la implantación, verificación y mejora continua de las medidas de seguridad de la información.
Entre sus responsabilidades clave están:
El Responsable del Sistema se encarga del mantenimiento y operación segura de los sistemas de información de la organización.
Sus funciones incluyen:
Casmar cuenta con una estructura organizativa para la gobernanza de la seguridad de la información, sustentada en dos comités diferenciados que operan de forma complementaria:
Es el órgano de supervisión y coordinación estratégica en materia de seguridad. Su función principal es garantizar la integración de la seguridad de la información dentro de los objetivos generales de la organización, así como respaldar la toma de decisiones relevantes en este ámbito. Funciones principales:
Es el órgano operativo encargado de la gestión diaria de la seguridad de la información. Se encarga de coordinar la implantación de medidas técnicas y organizativas, supervisar riesgos operativos y apoyar al Responsable de Seguridad (CISO) en la ejecución del SGSI. Funciones principales:
Ambos comités mantendrán una relación fluida, coordinando acciones y compartiendo información crítica de seguridad. Mientras que el Comité de Seguridad Corporativa garantiza el alineamiento estratégico, el Comité de Seguridad de la Información se centra en la gestión operativa del día a día.
Esta Política de Seguridad de la Información se considera un documento vivo, sujeto a revisión periódica. Como mínimo, se revisará de forma anual para asegurar su vigencia y su adecuación a posibles cambios (en la organización, en las amenazas o en la normativa). La revisión será coordinada por el Comité de Seguridad de la Información (o el órgano equivalente designado al efecto), que evaluará la necesidad de actualizar la política y propondrá las modificaciones pertinentes o su ratificación. Cualquier revisión o nueva versión de la Política deberá ser aprobada por la Dirección de la organización.
Una vez aprobada, la Política (y sus actualizaciones) será difundida adecuadamente para que todos los miembros de la organización y partes afectadas la conozcan. Se utilizarán los canales de comunicación internos apropiados (reuniones informativas, correo electrónico, intranet corporativa, tablones de anuncios, etc.) para compartir la política, y se organizarán sesiones explicativas si es necesario. Asimismo, cuando corresponda, la política o sus aspectos relevantes se compartirán con terceros que presten o reciban servicios de la organización, para asegurar una comprensión común de los compromisos de seguridad.
La versión vigente de la Política de Seguridad de la Información estará siempre accesible para el personal (por ejemplo, publicada en la intranet corporativa o portal del empleado). Todos los empleados deberán confirmar que han leído y entendido la Política vigente (por medio de un registro de lectura, aceptación en la intranet, o mecanismo similar). El Comité de Seguridad llevará un registro de las revisiones realizadas a este documento, incluyendo fechas y aprobaciones, garantizando así un proceso de mejora continua del marco normativo de seguridad.
Además de esta Política de Seguridad, la organización mantiene un conjunto de documentos de seguridad (normativas internas, procedimientos, guías, registros, etc.) que forman parte de su Sistema de Gestión de Seguridad de la Información. Para la gestión y el acceso de toda esta documentación de seguridad, se establecen las siguientes directrices:
La organización adopta un enfoque sistemático de gestión de riesgos para la seguridad de la información, acorde con las mejores prácticas (ENS, ISO/IEC 27005, etc.). Todos los sistemas de información y servicios dentro del alcance de esta Política deben someterse a análisis de riesgos de forma regular, con el objetivo de identificar las amenazas, vulnerabilidades y posibles impactos. Se realizará al menos una evaluación de riesgos al año sobre los sistemas y servicios críticos. Adicionalmente, se repetirán análisis de riesgos de forma extraordinaria cuando ocurra alguna de las siguientes situaciones:
El proceso de gestión de riesgos incluirá: identificación de activos, valoración de su criticidad (de acuerdo con las categorías de seguridad del ENS), identificación de amenazas y vulnerabilidades, cálculo del riesgo (estimando probabilidades e impactos) y definición de tratamientos del riesgo adecuados (ya sea evitar el riesgo, mitigarlo mediante controles, transferirlo o aceptarlo). Los resultados de los análisis de riesgo se documentarán en informes específicos y serán tenidos en cuenta por la Dirección y los Responsables correspondientes para la toma de decisiones informadas.
Para armonizar la evaluación del riesgo en toda la organización, el Comité de Seguridad de la Información establecerá criterios comunes de valoración para los distintos tipos de activos, informaciones y servicios. Por ejemplo, definirá parámetros estandarizados para estimar los impactos como bajos, medios o altos en las diferentes dimensiones de seguridad (confidencialidad, integridad, disponibilidad, autenticidad, trazabilidad), de modo que los análisis realizados por distintas áreas sean comparables. Asimismo, el Comité velará por que la asignación de recursos de seguridad se priorice en función de los niveles de riesgo identificados, promoviendo inversiones que protejan múltiples sistemas de forma transversal cuando sea posible.
Por su parte, el Responsable de Seguridad (CISO) integrará la gestión de riesgos en la planificación de la seguridad: con base en los análisis de riesgos realizados, actualizará la Declaración de Aplicabilidad con las medidas de seguridad pertinentes y desarrollará planes de tratamiento de riesgos. Dichos planes detallarán las medidas a implementar, los responsables de ejecutarlas y los plazos establecidos, buscando reducir los riesgos a niveles aceptables para la organización. Los riesgos residuales (aquellos riesgos que permanecen después de aplicar las medidas) deberán ser aceptados formalmente por el propietario del riesgo correspondiente (es decir, el Responsable de la Información o el Responsable del Servicio afectado) antes de la puesta en producción o la entrada en operación del sistema o servicio. Esta aceptación se documentará, evidenciando la asunción consciente del riesgo por parte de la organización.
La monitorización continua del riesgo será responsabilidad de los propietarios del riesgo (Responsables de la Información o del Servicio), con el apoyo del Responsable de Seguridad. Se pueden emplear indicadores clave de riesgo (KRI) para aquellos riesgos críticos, estableciendo umbrales de alerta de modo que, si un riesgo aumenta por encima de cierto nivel tolerable, se active una respuesta o notificación inmediata a la dirección. La organización revisará periódicamente su apetito y tolerancia al riesgo en seguridad, asegurando que se mantienen alineados con los objetivos de negocio y adaptándolos si fuera necesario en función de la evolución del entorno de amenazas.
Por último, la gestión de riesgos de seguridad contemplará expresamente los riesgos derivados del tratamiento de datos personales, en línea con los principios del RGPD y la LOPDGDD. Cuando un sistema o proceso involucre datos personales, se evaluarán también los riesgos para los derechos y libertades de las personas. Si del análisis se deduce que existe un riesgo alto para la privacidad, se llevará a cabo un Análisis de Impacto en la Protección de Datos (DPIA) conforme a lo previsto en la normativa de protección de datos, con la participación del Delegado de Protección de Datos (DPO) si la organización cuenta con esta figura. Las medidas de seguridad adicionales o específicas que se adopten en estos casos seguirán tanto las directrices de gestión de riesgos del ENS e ISO 27005 como los requisitos legales de privacidad, asegurando una protección adecuada de la información personal tratada.
La seguridad de la información es responsabilidad de todos los miembros de la organización. Cada usuario de los sistemas de información (empleados, becarios, colaboradores, etc.) debe proteger los activos de información con los que trabaja, mediante un uso correcto de los mismos. Esto implica seguir en todo momento las políticas, normas y procedimientos de seguridad establecidos, actuando de forma diligente para prevenir incidentes. En particular, todos los miembros de la organización tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la normativa interna asociada; la ignorancia de los requisitos de seguridad no exime de su cumplimiento.
Para facilitar lo anterior, CASMAR ELECTRÓNICA, S.A. –a través del Comité de Seguridad de la Información– dispondrá de los medios necesarios (formación, difusión de guías, recordatorios periódicos) para que la información y las pautas de seguridad lleguen a todos los empleados. Adicionalmente, todo el personal deberá observar, de manera no exhaustiva, las siguientes obligaciones específicas en materia de seguridad:
Estas obligaciones se desarrollan con mayor detalle en la normativa interna de seguridad (procedimientos, códigos de conducta, manuales del empleado, etc.). La organización proporcionará la formación y concienciación necesarias para que el personal pueda cumplir con sus responsabilidades de seguridad. En particular, la formación en seguridad será obligatoria antes de asumir un nuevo puesto de trabajo o una responsabilidad relevante (ya sea en la incorporación inicial del empleado o en caso de movilidad interna a un puesto que conlleve mayores requerimientos de seguridad). Además, se impartirán sesiones periódicas de reciclaje o actualización para todos los empleados, con el fin de mantener un nivel adecuado de conocimiento sobre buenas prácticas, políticas y procedimientos de seguridad. La participación en estas actividades formativas forma parte de las obligaciones de cada empleado.
El incumplimiento de esta Política de Seguridad o de las normas derivadas de la misma podrá acarrear medidas disciplinarias por parte de la organización, de acuerdo con el régimen sancionador previsto en los convenios laborales y la legislación vigente. Según la gravedad de la infracción, dichas medidas podrían ir desde amonestaciones verbales o por escrito, sesiones de formación adicional obligatoria, hasta sanciones laborales más severas e incluso el despido en casos de negligencia grave o incumplimientos dolosos. Adicionalmente, la organización se reserva el derecho de emprender acciones legales contra cualquier persona (interna o externa) que, mediante la violación de las normas de seguridad, cause daños significativos a los activos de información; ello sin perjuicio de las responsabilidades legales en las que dicha persona pudiera incurrir a título individual.
En resumen, la colaboración y el compromiso de todo el personal son indispensables para lograr los objetivos de seguridad de la información. La organización fomentará una cultura en la que la seguridad sea parte integral del trabajo diario y en la que todos se sientan responsables de proteger la información, conscientes de que la seguridad es un objetivo común.
La presente política de seguridad de la información se extiende también a las relaciones de la organización con terceras partes (proveedores, socios, clientes u organismos externos) en todo aquello que afecte a la seguridad de la información o de los servicios. Esto aplica tanto cuando la organización presta servicios a terceros o maneja información de terceros, como cuando utiliza servicios externos o comparte información propia con otras entidades. A tal efecto, se establecen los siguientes lineamientos:
Mª Montserrat Castro Roca CEO
Barcelona, a 31 de marzo de 2025