Pol铆tica de seguridad de la informaci贸n
1. INTRODUCCI脫N
La UNIVERSIDAD DE NAVARRA desarrolla, adem谩s de la labor puramente educativa, una importante labor sanitaria y de formaci贸n de alumnos de postgrado. En este sentido, la Universidad de Navarra ha establecido su propia Pol铆tica General de Seguridad de la Informaci贸n, dando cobertura a la propia Universidad y las entidades asociadas.
天美传媒 (天美传媒), como centro perteneciente a Universidad de Navarra, a trav茅s del presente documento y siguiendo las directrices marcadas por la Universidad de Navarra establece su propia Pol铆tica de Seguridad de la Informaci贸n, alineada con la anterior y con sus propias caracter铆sticas debido a su actividad diferenciada, considerando los riegos y amenazas espec铆ficos en materia de seguridad de la informaci贸n.
2. OBJETIVO
La presente pol铆tica tiene como objetivo mostrar el compromiso de la Direcci贸n de 天美传媒, representada por su Comit茅 de Ciberseguridad y Privacidad, respecto a la seguridad de la informaci贸n y la protecci贸n de activos de informaci贸n necesarios para el desempe帽o de las funciones descritas en el alcance, permitiendo as铆 la consecuci贸n de sus objetivos de negocio y estrat茅gicos.
Este compromiso se materializa mediante la implantaci贸n y el mantenimiento de un Sistema de Gesti贸n de la Seguridad de la Informaci贸n (SGSI) en conformidad con el est谩ndar internacional ISO/IEC 27001.
La Pol铆tica de Seguridad de la Informaci贸n tiene el objetivo fundamental de garantizar la seguridad de la informaci贸n y la prestaci贸n continuada de los servicios que proporciona, actuando preventivamente, supervisando la actividad y reaccionando con presteza frente a las incidencias que puedan ocurrir.
Esta Pol铆tica debe sentar las bases para que el acceso, uso, custodia y salvaguarda de los activos de informaci贸n, de los que se sirve el 天美传媒 para desarrollar sus funciones, se realicen, bajo garant铆as de seguridad, en sus distintas dimensiones:
- Disponibilidad: propiedad o caracter铆stica de los activos consistentes en que las entidades o procesos autorizados tengan acceso a los mismos cuando lo
- Integridad: propiedad o caracter铆stica consistente en que el activo de informaci贸n no sea alterado de manera no autorizada.
- Confidencialidad: propiedad o caracter铆stica consistente en que la informaci贸n ni se ponga a disposici贸n, ni se revele a individuos, entidades o procesos no
- Autenticidad: propiedad o caracter铆stica consistente en que una entidad sea quien dice ser o bien que garantice la fuente de la que proceden los datos.
- Trazabilidad: propiedad o caracter铆stica consistente en que las actuaciones de una entidad puedan ser imputadas exclusivamente a dicha entidad.
Bajo estas premisas los objetivos espec铆ficos de la Seguridad de la informaci贸n en 天美传媒 ser谩n:
- Velar por la seguridad de la informaci贸n, en las distintas dimensiones antes
- Gestionar formalmente la seguridad, sobre la base de procesos de an谩lisis de
- Elaborar, mantener y probar los planes de disponibilidad y continuidad de la actividad que se definan para los distintos servicios ofrecidos por la organizaci贸n.
- Realizar una adecuada gesti贸n de incidencias que afecten a la seguridad de la informaci贸n.
- Mantener informado a todo el personal acerca de los requerimientos de seguridad, y difundir buenas pr谩cticas para el manejo seguro de la informaci贸n.
- Proporcionar los niveles de seguridad acordados con terceras partes cuando se compartan o cedan activos de informaci贸n.
- Cumplir con la reglamentaci贸n y normativa vigente.
3. ALCANCE
La presente Pol铆tica de Seguridad de la Informaci贸n se aplicar谩 a todas las 谩reas y departamentos que componen el 天美传媒, a sus sistemas y activos de informaci贸n:
- A todos los departamentos, tanto a sus directivos como a empleados.
- A todos los campus de la instituci贸n.
- A los partners (clientes y proveedores) as铆 como cualquier otra organizaci贸n que tenga acceso a la informaci贸n o los sistemas de la instituci贸n.
- A bases de datos, ficheros electr贸nicos y en soporte papel, tratamientos, equipos, soportes, programas y sistemas.
- A la informaci贸n generada, procesada y almacenada, independientemente de su soporte y formato, utilizada en tareas operativas o administrativas.
4. DISTRIBUCI脫N听
Aprobada por la Direcci贸n de 天美传媒, esta Pol铆tica debe ser accesible a todas las personas y organismos afectados, mediante la publicaci贸n en web p煤blica y en la intranet corporativa. De igual modo, la Pol铆tica se encontrar谩 accesible para cualquier parte interesada u 贸rgano competente que lo solicite por v铆a formal.
Todo el personal de 天美传媒, as铆 como los colaboradores externos de la misma, ser谩n responsables de cumplir con la presente Pol铆tica de Seguridad de la Informaci贸n.
5. MARCO NORMATIVO
听El control de la normativa y legislaci贸n de aplicaci贸n de esta pol铆tica de seguridad de la informaci贸n que se incluye dentro del Sistema de Gesti贸n de la Seguridad de la Informaci贸n de 天美传媒; disponible en la 鈥�Normativa en Seguridad de la Informaci贸n鈥�.
6. COMPROMISO DE LA DIRECCI脫N听
La Direcci贸n de 天美传媒 se compromete a facilitar y proporcionar los recursos necesarios para el establecimiento, implantaci贸n, mantenimiento y mejora del SGSI de la instituci贸n, as铆 como a demostrar liderazgo y compromiso respecto a 茅ste, a trav茅s de la constituci贸n del Comit茅 de Ciberseguridad y Privacidad que tendr谩 la responsabilidad de:
- Asegurar el establecimiento de la presente pol铆tica y los objetivos de la seguridad de la informaci贸n, y que 茅stos sean compatibles con la estrategia de 天美传媒.
- Asegurar la integraci贸n y el cumplimiento de los requisitos aplicables del SGSI en los procesos de la instituci贸n.
- Asegurar que los recursos necesarios para el SGSI est茅n
- Facilitar la comunicaci贸n de la importancia de una gesti贸n de la seguridad eficaz y conforme con los requisitos del SGSI.
- Asegurar que el SGSI consigue los resultados
- Apoyar a las personas para contribuir a la eficacia del
- Promover la evoluci贸n y mejora continua en materia de seguridad de la informaci贸n.
- Apoyar otros roles pertinentes de la Direcci贸n, liderando a sus 谩reas de responsabilidad en seguridad de la informaci贸n.
- Supervisar los indicadores para evaluar el resultado/cumplimiento.
- Velar en la adopci贸n de las medidas necesarias para cumplir con las recomendaciones e indicaciones formuladas por las autoridades supervisoras en el ejercicio de su funci贸n, as铆 como hacer seguimiento de las regulaciones en materia de Seguridad y Privacidad.
- Asegurar el desarrollo de medidas de concienciaci贸n y planes de formaci贸n del personal relacionado con la seguridad de la informaci贸n y en los tratamientos de datos personales.
7. FUNCIONES Y RESPONSABILIDADES听
天美传媒 ha establecido una estructura organizativa para el desarrollo de la presente pol铆tica con las siguientes funciones y responsabilidades:
Comit茅 de Seguridad y Privacidad (el 鈥淐omit茅鈥�), facilitar谩 los recursos necesarios para el funcionamiento y mejora del SGSI, asignar las responsabilidades en materia de seguridad de la informaci贸n, aprobar la Pol铆tica de Seguridad de la Informaci贸n en los t茅rminos de la norma ISO 27001, as铆 como promover y apoyar la implantaci贸n de las medidas t茅cnicas y organizativas necesarias, incluyendo auditor铆as, para minimizar los riesgos potenciales a los que se encuentra expuesta la informaci贸n y sus posibles consecuencias.
Comisi贸n de Seguridad, se constituye como un 贸rgano de apoyo al Comit茅 de Ciberseguridad y Privacidad para llevar el d铆a a d铆a primero de la implantaci贸n del Sistema de Gesti贸n de Seguridad de la Informaci贸n y despu茅s coordinar a todas las 谩reas implicadas en la mejora continua y la gesti贸n diaria, apoyando al Comit茅 de manera t茅cnica. Ser谩 funci贸n de esta Comisi贸n de Seguridad, la revisi贸n y aprobaci贸n de todo el cuerpo normativo que emana de la presente Pol铆tica de Seguridad de la Informaci贸n.
CIO (Chief Information Officer) y los Responsables de los activos de informaci贸n (detallados en el An谩lisis de Riesgos del SGSI), definir谩n los requisitos de seguridad, identificando y priorizando la importancia de los distintos activos de modo que los procesos m谩s importantes y/o sensibles reciban mayor protecci贸n, pero procurando al mismo tiempo el equilibrio en la seguridad IT en su conjunto; aprobar los niveles de riesgo residual que se obtengan mediante el proceso de evaluaci贸n de riesgos y aprobar los planes de tratamiento de riesgos necesarios para reducir los riesgos a un nivel aceptable.
CISO (Chief Information Security Officer), propondr谩 medidas e implantar谩 las seleccionadas para mitigar los riesgos, as铆 como supervisar la seguridad de los activos de informaci贸n y de las medidas de aplicadas.
Responsable de IT Compliance, como responsable del SGSI procurar谩 que esta Pol铆tica de Seguridad de la Informaci贸n y las pol铆ticas, procedimientos y notas t茅cnicas que deriven de la misma, se mantengan actualizadas y en revisi贸n permanente y sean comunicadas a las partes interesadas; supervisar su cumplimiento, asegurar el cumplimiento de las normativas y legislaci贸n aplicable; velar por que se documenten adecuadamente las acciones realizadas y las incidencias que ocurran; sugerir mejoras de los procesos y procedimientos relacionados con el cumplimiento normativo en el 谩mbito IT.
Delegado de Protecci贸n de Datos (DPO) ser谩 el encargado de procurar que los datos personales se traten y se protejan conforme al Reglamento General de Protecci贸n de Datos (RGPD), la Ley Org谩nica de Protecci贸n de Datos Personales y Garant铆a de los Derechos Digitales (LOPDGDD) y las recomendaciones de las Autoridades de Control competentes.
Todo el personal de 天美传媒, as铆 como los colaboradores externos de la misma, ser谩n responsables de cumplir con la presente Pol铆tica de Seguridad de la Informaci贸n.
7.1. OBJETIVOS DE SEGURIDAD
Los objetivos de seguridad de la informaci贸n se establecer谩n, buscando la mejora continua, en base a:
- Requisitos de seguridad de la informaci贸n aplicables y los resultados de la apreciaci贸n y del tratamiento de los riesgos para garantizar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la informaci贸n.
- Factores internos como la aplicaci贸n de t茅cnicas organizativas que mejoren el seguimiento de la tramitaci贸n y resoluci贸n de incidentes de seguridad.
- Factores externos como los avances tecnol贸gicos cuya aplicaci贸n mejoren la eficacia del tratamiento de los riesgos.
- La mejora de la eficacia de la formaci贸n y concienciaci贸n del personal que trabaja en la instituci贸n y afecta a su desempe帽o en seguridad de la informaci贸n.
- Cambios en las directrices en la materia por parte de Universidad de Navarra.
- Cambios en las necesidades de las partes interesadas que lleven a una mejora del alcance del sistema.
As铆 mismo, la planificaci贸n para la consecuci贸n de los objetivos de seguridad de la informaci贸n establecidos se realizar谩 tomando en cuenta los siguientes elementos:
- Lo que se va a hacer.
- Por qu茅 se va a hacer.
- Los recursos necesarios.
- El responsable.
- Plazo de consecuci贸n.
- Indicadores para evaluar el resultado/cumplimiento.
7.2. IMPLANTACI脫N Y MEJORA DEL SGSI
El despliegue del SGSI de 天美传媒 se iniciar谩 a partir del An谩lisis de Riesgos, que permitir谩 determinar el nivel de riesgo de seguridad de la informaci贸n en que se encuentra la instituci贸n e identificar los controles de seguridad necesarios para el tratamiento del riesgo y llevarlo a un nivel aceptable, as铆 como las oportunidades de mejora, considerando las cuestiones internas y externas y los requisitos de las partes interesadas antes indicados.
Los controles de seguridad deber谩n implantarse, mantenerse y mejorarse continuamente, y estar disponibles como informaci贸n documentada, mediante procedimientos, normativas, instrucciones t茅cnicas, manuales, etc., revisados y aprobados por la Comisi贸n de Seguridad, junto con la supervisi贸n del Delegado de Protecci贸n de Datos.
La presente Pol铆tica de Seguridad de la Informaci贸n se desarrolla aplicando los siguientes requisitos m铆nimos y que deben incluirse en la documentaci贸n que soporta el SGSI:
- Organizaci贸n e implantaci贸n del proceso de seguridad.
- An谩lisis y gesti贸n de los riesgos.
- Gesti贸n de personal.
- Autorizaci贸n y control de los accesos.
- Protecci贸n de las instalaciones.
- Adquisici贸n de productos.
- Seguridad por defecto.
- Integridad y actualizaci贸n del sistema.
- Protecci贸n de la informaci贸n almacenada y en tr谩nsito.
- Prevenci贸n ante otros sistemas de informaci贸n interconectados.
- Registro de actividad.
- Incidentes de seguridad.
- Continuidad de la actividad.
- Mejora continua del proceso de seguridad.
Se deber谩 comunicar la informaci贸n documentada de los controles de seguridad al personal de la instituci贸n (empleados/staff y proveedores), que tendr谩 la obligaci贸n de aplicarla en la realizaci贸n de sus actividades laborales, comprometi茅ndose de ese modo, al cumplimiento de los requisitos del SGSI.
Se realizar谩n auditor铆as que revisen y verifiquen el cumplimiento del SGSI basados en la norma ISO/IEC 27001, por lo que, en caso necesario, el personal afectado por el alcance deber谩 colaborar en 茅stas, as铆 como en la aplicaci贸n de las acciones correctivas que se deriven para el mejoramiento continuo.
7.3 RESOLUCI脫N DE CONFLICTOS
En caso de conflicto entre los diferentes responsables que componen la estructura organizativa de la Pol铆tica de Seguridad de la Informaci贸n, 茅ste ser谩 resuelto por la Direcci贸n de 天美传媒, y prevalecer谩n las mayores exigencias derivadas de la protecci贸n de datos de car谩cter personal.
7.4 CLASIFICACI脫N DE LA INFORMACI脫N
La informaci贸n documentada ser谩 clasificada en: p煤blica, interna y confidencial, dando el uso adecuado de acuerdo con dicha clasificaci贸n y seg煤n el criterio que se establezca en el procedimiento de clasificaci贸n, etiquetado y protecci贸n de la informaci贸n.
7.5 REVISI脫N DE LA POL脥TICA DE SEGURIDAD DE LA INFORMACI脫N
La presente Pol铆tica de Seguridad de la Informaci贸n ser谩 examinada en las revisiones del sistema por la Direcci贸n, a trav茅s de la Comisi贸n de Seguridad que propondr谩 su continuidad o cambios al Comit茅 de Ciberseguridad y Privacidad, siempre que se produzcan cambios significativos y como m铆nimo, una vez al a帽o.
- Revisiones peri贸dicas sistem谩ticas: Deber谩n realizarse cuando se detecten incidencias o cambios en el marco legal que puedan cuestionar la validez de dicha Pol铆tica.
- Revisiones no planificadas: Estas revisiones deber谩n realizarse en respuesta a cualquier evento o incidente de seguridad que pudiera suponer un incremento significativo del nivel de riesgo actual o haya causado un impacto en la seguridad de la informaci贸n de 天美传媒.
La revisi贸n de la Pol铆tica de Seguridad de la Informaci贸n deber谩 garantizar que 茅sta se encuentra alineada con la estrategia, la misi贸n y visi贸n de 天美传媒 en materia de seguridad de la informaci贸n y que asegura el cumplimiento de los objetivos de control establecidos.
7.6 GESTI脫N DE RIESGOS
Todos los sistemas sujetos a esta Pol铆tica deber谩n ser sometidos a un an谩lisis y gesti贸n de riesgos, evaluando los activos, amenazas y vulnerabilidades a los que est谩n expuestos y proponiendo las contramedidas adecuadas para mitigar los riesgos. Aunque se precisa un control continuo de los cambios realizados en los sistemas, este an谩lisis se repetir谩:
- al menos una vez al a帽o (mediante revisi贸n y aprobaci贸n formal)
- cuando cambie la informaci贸n manejada
- cuando cambien los servicios prestados
- cuando ocurra un incidente grave de seguridad
- cuando se reporten vulnerabilidades graves
Para la armonizaci贸n de los an谩lisis de riesgos, se establecer谩 una valoraci贸n de referencia para los diferentes tipos de informaci贸n manejados y los diferentes servicios prestados.
7.7 INSTRUMENTOS DE DESARROLLO
Se establece un marco normativo en materia de seguridad de la informaci贸n estructurado por diferentes niveles de forma que los objetivos marcados por el presente documento tengan un desarrollo espec铆fico.
La pol铆tica de seguridad de la informaci贸n estructurar谩 su marco normativo en los siguientes niveles:
- La presente Pol铆tica de Seguridad de la Informaci贸n que establece los requisitos y criterios de protecci贸n de car谩cter global.
- Las normas de seguridad que definen qu茅 hay que proteger y los requisitos de seguridad El conjunto de todas las normas de seguridad debe cubrir la protecci贸n de todos los entornos de los sistemas de informaci贸n de la organizaci贸n. Establecen un conjunto de expectativas y requisitos que deben ser alcanzados para poder satisfacer y cumplir cada uno de los objetivos de seguridad establecidos en la pol铆tica.
- Las propone el responsable del SGSI y aprueba el CISO. La Comisi贸n de Seguridad se encarga de garantizar la correcta implementaci贸n.
- Los procedimientos de seguridad en los que describir谩 de forma concreta c贸mo proteger lo definido en las normas y las personas o grupos responsables de la implantaci贸n, mantenimiento y seguimiento de su nivel de Son documentos que especifican c贸mo llevar a cabo las tareas habituales, qui茅n debe hacer cada tarea y c贸mo identificar y reportar comportamientos an贸malos.
- Su aprobaci贸n depender谩 de su 谩mbito de aplicaci贸n, que podr谩 ser en un 谩mbito espec铆fico o en un sistema de informaci贸n determinado.
Adem谩s, se podr谩n establecer gu铆as con recomendaciones y buenas pr谩cticas.
En la medida de lo posible, toda la documentaci贸n ser谩 gestionada seg煤n establece el procedimiento vigente de Control de documentos y registros en 天美传媒, que tendr谩 como objetivo establecer los criterios para el control de la documentaci贸n y registros de seguridad utilizados en el Sistema de Gesti贸n de la Seguridad de la Informaci贸n.
7.8 OBLIGACIONES DEL PERSONAL
Todo el personal con responsabilidad en el uso, operaci贸n, o administraci贸n de sistemas de la informaci贸n y las comunicaciones tienen la obligaci贸n de conocer y cumplir esta Pol铆tica de Seguridad de la Informaci贸n.
La Pol铆tica de Seguridad de la Informaci贸n estar谩 accesible para todo el personal que preste sus servicios en los 贸rganos y entidades a que se refiere el punto relativo al 'Alcance'.
Con el objetivo de fomentar la 'Cultura de la seguridad', el Comit茅 promover谩 un programa de concienciaci贸n en seguridad dirigido al personal de la instituci贸n.
El incumplimiento de la Pol铆tica de Seguridad de la Informaci贸n y su normativa de desarrollo dar谩 lugar al establecimiento de medidas preventivas y correctivas encaminadas a salvaguardar los sistemas de informaci贸n, sin perjuicio de la correspondiente exigencia de responsabilidad disciplinaria.
7.9 RELACIONES CON TERCEROS
Cuando 天美传媒 preste servicios o ceda informaci贸n a terceras partes, se les har谩 part铆cipe de esta Pol铆tica de Seguridad de la Informaci贸n y de las normas e instrucciones derivadas.
Asimismo, cuando 天美传媒 utilice servicios de terceros o ceda informaci贸n a terceros se les har谩 igualmente part铆cipe de esta Pol铆tica de Seguridad de la Informaci贸n y de la normativa e instrucciones de seguridad que ata帽a a dichos servicios o informaci贸n. Todos los partners (internos y externos) quedar谩n sujetos a las obligaciones y medidas de seguridad establecidas en dicha normativa e instrucciones, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se establecer谩n procedimientos espec铆ficos de detecci贸n y resoluci贸n de incidencias. Se garantizar谩 que el personal de terceros est谩 adecuadamente concienciado en materia de seguridad de la informaci贸n, al menos al mismo nivel que el establecido en esta Pol铆tica de Seguridad de la Informaci贸n.
En concreto, los terceros deber谩n garantizar el cumplimiento de la pol铆tica de seguridad de la informaci贸n basadas en est谩ndares auditables que permitan verificar el cumplimiento de estas pol铆ticas. Asimismo, se garantizar谩 mediante auditor铆a o certificado de destrucci贸n/borrado que el partner cancela y elimina los datos pertenecientes a 天美传媒 a la finalizaci贸n del contrato.
Cuando alg煤n aspecto de la Pol铆tica de la Seguridad de la Informaci贸n no pueda ser satisfecho por una tercera parte, se requerir谩 un informe del CISO que precise los riesgos en que se incurre y la forma de tratarlos.
8. APROBACI脫N DE LA POL脥TICA听
La presente 鈥淧ol铆tica de Seguridad de la Informaci贸n鈥� queda aprobada en acta con fechas 12 de diciembre del 2023 del Comit茅 de Ciberseguridad y Privacidad.
Puedes descargar nuestra Pol铆tica de Seguridad de la Informaci贸n 补辩耻铆.