ESQUEMA NACIONAL DE SEGURIDAD
1.MISIÓN Y OBJETIVOS
1.1.La misión de AYSCOM CELULAR DE SERVICIOS, S.L., (en adelante, AYSCOM), es ayudar a sus clientes en el cumplimiento de los objetivos de negocio, a partir de la medición y el análisis riguroso de datos. Se trata de medir, optimizar y asegurar sus entornos apoyándose en nuestra amplia experiencia y la fiabilidad de soluciones tecnológicas.
1.2.Objetivos de AYSCOM:
• Prestar servicios muy flexibles y personalizados para cada cliente.
• Mantenerse continuamente actualizados y contar con la tecnología óptima para su labor.
• Promover una relación directa con sus clientes.
1.3.La Política de Seguridad de la Información de AYSCOM identifica responsabilidades y establece principios y directrices para una protección apropiada y consistente de los servicios y activos de información gestionados por medio de las Tecnologías de la Información y de las Comunicaciones (TIC).
1.4. La Política de Seguridad de la Información es el instrumento en que se apoya AYSCOM para alcanzar
sus objetivos estratégicos utilizando de forma segura los sistemas de información y las comunicaciones.
1.5. La seguridad, concebida como proceso integral, comprende todos los elementos técnicos, humanos, materiales y organizativos relacionados con los sistemas de información y las comunicaciones, y debe
entenderse no como un producto, sino como un continuo proceso de adaptación y mejora, que debe ser controlado, gestionado y monitorizado, implantando la cultura de la seguridad en AYSCOM.
1.6. Los principios a garantizar son:
• Confidencialidad: La información debe ser conocida exclusivamente por las personas autorizadas.
• Integridad: La información debe ser completa, exacta, válida y no sujeta a manipulaciones.
• Disponibilidad: La información debe ser accesible por los usuarios autorizados en todo momento y
garantizar su persistencia ante cualquier eventualidad.
• Trazabilidad: El tratamiento de la información realizado por una persona debe ser trazable hasta dicha persona.
• Autenticidad: Una persona es quien dice ser o garantiza la fuente de la que proceden los datos.
1.7. La organización se apoya en la mejora continua tanto de los procesos productivos como de la eficacia del Sistema de Gestión en el que prevenir los errores sea un aspecto fundamental.
2. Alcance.
2.1. La Política de Seguridad de la Información será de obligado cumplimiento para todos los organismos
participativos y directivos de AYSCOM, así como para terceras partes a las que AYSCOM preste servicios, cedan información, o de las que utilicen servicios o manejen información.
2.2. La Política de Seguridad de la Información estará disponible en la página web corporativa https://ayscom.com/.
3.Marco normativo en el que se desarrollarán las actividades.
El marco normativo de las actividades de AYSCOM en el ámbito de la Política de Seguridad de la Información
está integrado por las siguientes normas:
a) Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
b) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la
protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
c) Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local.
d) Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.e) Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
f) Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
g) Ley 59/2003, de 19 de diciembre, de firma electrónica.
h) Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos.
i) Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y
a las redes públicas de comunicaciones.
j) Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público.
k) Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información.
l) Ley 9/2014, de 9 de mayo, General de Telecomunicaciones.
m) Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
n) Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito
de la Administración Electrónica.
o) Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en
el Ámbito de la Administración Electrónica.
p) Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de
septiembre, de seguridad de las redes y sistemas de información.
q) Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de
confianza.
r) Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana.
s) Reglamento Europeo de Ciberseguridad (NIS).
t) Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal.
u) Legislación consolidada de la Propiedad Intelectual.
4. Principios y directrices para la estructuración de la documentación de seguridad del sistema, su
gestión y acceso.
4.1. Los principios y directrices que deben de contemplarse a la hora de garantizar la seguridad de la
información y asegurar que AYSCOM cumpla sus objetivos utilizando sistemas de información, son los
que se establecen en las siguientes normas:
a) Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el Ámbito
de la Administración Electrónica.
b) Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante,
LOPD) y su reglamento de desarrollo aprobado por Real Decreto 1720/2007, de 21 de diciembre (en
adelante, RLOPD).
c) Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
4.2. Principios y directrices en la Política de Seguridad de la Información:
4.2.1. Seguridad integral. La seguridad se entenderá como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con los sistemas de información.
4.2.2. Gestión de riesgos. El análisis y gestión de riesgos será parte esencial del proceso de seguridad y deberá
mantenerse permanentemente actualizado, permitiendo el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables.
4.2.3. Prevención, reacción y recuperación. La seguridad del sistema debe contemplar aspectos de prevención,
detección, respuesta y recuperación, de manera que las amenazas existentes no se materialicen, o en caso de materializarse no afecten gravemente a la información que maneja, o los servicios que se prestan. AYSCOM debe prevenir, y evitar, en la medida de lo posible, que la información o los servicios
se vean perjudicados por incidentes de seguridad. Para ello, sus órganos directivos deben implementar las medidas mínimas de seguridad determinadas por el ENS y por el RLOPD para tratamientos
automatizados. Así mismo deberán tenerse en cuenta las medidas especificadas en el artículo 32 del Reglamento UE 2016/679, que deberán garantizar un nivel de seguridad adecuado al riesgo para tratamientos automatizados, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos. Estos controles, así como los roles y responsabilidades de seguridad de todo el
personal, deben estar claramente definidos y documentados, en particular:
a) Para garantizar el cumplimiento de la Política de Seguridad de la Información, los órganos
directivos responsables deben:
– Autorizar los sistemas o los servicios antes de entrar en operación.
– Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
– Solicitar la revisión periódica del cumplimiento del ENS por parte de terceros.
b) Dado que los sistemas y servicios pueden degradarse rápidamente debido a incidentes, que pueden ir desde una simple desaceleración hasta su detención, los órganos directivos responsables deben
monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el artículo 9 del ENS. En el supuesto
de que la degradación sea atribuida a incidentes de seguridad, los órganos directivos deberán
establecer mecanismos de reporte que lleguen al responsable de seguridad.
c) Los órganos directivos responsables deben establecer mecanismos para responder eficazmente a los incidentes de seguridad. Con el fin de garantizar la disponibilidad de los servicios críticos, los
órganos directivos responsables deben desarrollar planes de continuidad de los sistemas TIC como
parte de su plan general de continuidad de negocio y actividades de recuperación.
4.2.4. Líneas de defensa. El sistema ha de disponer de una estrategia de protección constituida por múltiples
capas de seguridad, dispuesta de forma que, cuando una de las capas falle, permita:
– Ganar tiempo para una reacción adecuada.
– Reducir la probabilidad de que el sistema sea comprometido en su conjunto.
– Minimizar el impacto final sobre el mismo.
4.2.5. Reevaluación periódica. Las medidas de seguridad se reevaluarán y actualizarán periódicamente, para
adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección, llegando incluso a
un replanteamiento de la seguridad, si fuese necesario.
4.2.6. La seguridad como función diferenciada. La responsabilidad de la seguridad de los sistemas de
información estará diferenciada de la responsabilidad sobre la prestación de los servicios, siendo el Responsable de la Información quien determinará los requisitos de la información tratada, el Responsable
del Servicio quien determinará los requisitos de los servicios prestados, y el Responsable de Seguridad quien determinará las decisiones técnicas para satisfacer los requisitos de seguridad de la información y
de los servicios.
5. Estructura documental.
5.1. La Política de Seguridad de la Información es de obligado cumplimiento y se estructura en los siguientes
niveles relacionados jerárquicamente:
a) Primer nivel: Política de Seguridad de la Información.
b) Segundo nivel: Manual del Sistema.
c) Tercer nivel: Fichas de proceso de Seguridad de la Información.
d) Cuarto nivel: Instrucciones de Seguridad de la Información.
La estructura jerárquica permite adaptar con eficiencia los niveles inferiores a los cambios en los entornos
operativos de AYSCOM, sin necesidad de revisar su estrategia de seguridad.
5.2. El personal de AYSCOM tendrá la obligación de conocer y cumplir, además de la Política de Seguridad de
la Información, todas las Instrucciones y Procedimientos de Seguridad de la Información que puedan afectar a sus funciones. La Política, las Instrucciones y los Procedimientos de Seguridad de la información
estarán disponibles en la aplicación de soporte al sistema TQNET (tqnet.teqnoquality.com).
5.3. Niveles de la Política de Seguridad de la Información:
5.3.1. Primer nivel: Política de Seguridad de la Información. Constituye el primer nivel la Política de Seguridad
de la Información, recogida en el presente texto y aprobada por la Junta Directiva.
5.3.2. Segundo nivel: Manual del Sistema. El segundo nivel desarrolla la Política de Seguridad de la Información
y establece una relación directa entre los apartados del ENS y los documentos desarrollados como respuesta (metodología y evidencias de cumplimiento).
5.3.3. Tercer nivel: Fichas de Proceso de Seguridad de la Información. El tercer nivel desarrolla el Manual del
Sistema mediante la definición de tareas específicas que abarcan un área o aspecto determinado de la
seguridad de la información. Desarrollarán, al menos las siguientes materias:
a) Utilización de recursos TIC corporativos, tales como el correo electrónico, el acceso a Internet, el
equipamiento informático y de comunicaciones.
b) Gestión de activos de información inventariados, categorizados y asociados a un responsable.
c) Mecanismos necesarios para que cualquier persona que acceda, o pueda acceder a los activos de información, conozca sus responsabilidades y de este modo se reduzca el riesgo derivado de un uso
indebido de dichos activos.
d) Seguridad física, de forma que los activos de información serán emplazados en áreas seguras, protegidas por controles de acceso físicos adecuados a su nivel de criticidad. Los sistemas y los activos de información que contienen dichas áreas estarán suficientemente protegidos frente a amenazas
físicas o ambientales.
e) Seguridad en la gestión de comunicaciones y operaciones, de manera que la información que se transmita a través de redes de comunicaciones deberá ser adecuadamente protegida, teniendo en
cuenta su nivel de sensibilidad y de criticidad, mediante mecanismos que garanticen su seguridad.
f) Control de acceso, limitando el acceso a los activos de información por parte de usuarios, procesos y otros sistemas de información mediante la implantación de los mecanismos de identificación, autenticación y autorización acordes a la criticidad de cada activo.
g) Adquisición, desarrollo y mantenimiento de los sistemas de información contemplando los aspectos de seguridad de la información en todas las fases del ciclo de vida de los sistemas de información.
h) Gestión de los incidentes de seguridad implantando los mecanismos apropiados para la correcta identificación, registro y resolución de los incidentes de seguridad.
i) Gestión de la continuidad implantando los mecanismos apropiados para asegurar la disponibilidad de los sistemas de información y manteniendo la continuidad de sus procesos de negocio.
5.3.4. Cuarto nivel: Instrucciones de Seguridad de la Información. El cuarto nivel está constituido por directrices
de carácter técnico o procedimental que se deben observar en tareas o actividades relacionadas con la
seguridad de la información y la protección de la información y de los servicios, y que serán aprobadas por el Responsable de Seguridad de la Información o por los Responsables de la Información o los de los
Servicios, según su ámbito de competencia. Dependiendo del aspecto tratado, se aplicarán a un ámbito específico o a un sistema determinado.
6. Organización, roles y funciones de la seguridad.
La organización de la seguridad en AYSCOM queda establecida mediante la identificación y definición de las diferentes actividades y responsabilidades en la materia, y la implantación de la infraestructura que las soporte.
6.1. Dirección General.
6.1.1. La Dirección General de AYSCOM, mediante la aprobación del presente Acuerdo, asegura el compromiso de las autoridades de AYSCOM en la aplicación del ENS.
6.1.2. Este compromiso se manifiesta mediante la aprobación de la Política de Seguridad de la Información, así como de todas aquellas modificaciones o actualizaciones de la misma que el Comité de Seguridad de la Información pueda proponer, en el ámbito de sus competencias.
6.2. Comité de Seguridad Corporativa y de la Información.
6.2.1. Se trata de un comité de carácter interdepartamental, adjunto a la Dirección General. La coordinación que se pretende con la creación del Comité se orienta a asegurar el carácter armónico e integrador de todas las actuaciones en materia de tecnologías de la información y comunicaciones de la organización,
facilitando las actuaciones conjuntas de los diversos órganos afectados.
6.2.2. El Comité coordina la seguridad de la información en la entidad, y está formado por la Delegada de
Seguridad, la Responsable del Sistema, el Responsable de Seguridad (de la Información), los Responsables del Servicio y la Información y la Dirección General.
6.2.3. Actuar como Comité de Crisis en caso de desastre, coordinando todas las actuaciones relacionadas con
cualquier aspecto de la seguridad de la organización.
6.2.4. El Comité se encarga de elaborar la presente Política de Seguridad de la Información.
6.3. Responsable de Seguridad de la Información.
6.3.1. Corresponde a la persona titular del puesto de Director Técnico, según el organigrama de AYSCOM,
establecer las medidas necesarias para cumplir los requisitos de seguridad establecidos por los
responsables de la información y de los servicios manejados por el sistema.
6.3.2. En el ejercicio de las citadas competencias, el Responsable de Seguridad de la Información desarrollará
las siguientes funciones:
a) Promover la seguridad de la información manejada y de los servicios electrónicos prestados por los sistemas de información.
b) Analizar y elevar al Comité de Seguridad de la Información toda la documentación relacionada con las instrucciones de seguridad de la información para su aprobación.
c) Realizar el seguimiento y control del estado de seguridad de los sistemas de información, verificando
que las medidas de seguridad son adecuadas a través del análisis de riesgos.
d) Apoyar y supervisar la investigación de los incidentes de seguridad desde su notificación hasta su
resolución.
e) Elaborar informes periódicos de seguridad para el Comité de Seguridad de la Información, que incluirán los incidentes más relevantes de cada periodo.
f) Realizar o promover auditorías periódicas para verificar el cumplimiento de las obligaciones en materia de seguridad de la información.
g) Determinar y establecer la metodología y herramientas para llevar a cabo el análisis de riesgo
6.4. Responsables de la Información.
6.4.1. Son responsables de la Información los titulares de los perfiles de Responsable de cada Servicio responsables a su vez de la información afectada por la presente Política de Seguridad de la Información,
en sus respectivos ámbitos de competencia.
6.4.2. Corresponde a los Responsables de la Información establecer los requisitos de la información en materia de seguridad, y en particular:
a) Determinar los niveles de seguridad de la información tratada y mantener estos niveles actualizados,
valorando los impactos de los incidentes que afecten a la seguridad de la información, conforme con lo establecido en el artículo 44 del ENS.
b) Realizar, junto a los Responsables del Servicio y el Responsable de Seguridad de la Información, los preceptivos análisis de riesgos, y seleccionar las salvaguardas que se deban implantar.
c) Aceptar los riesgos residuales respecto de la información calculada en el análisis de riesgos.
d) Realizar el seguimiento y control de los riesgos.
6.5. Responsables del Servicio.
6.5.1. Son Responsables del Servicio los responsables de cada servicio prestado por la organización afecto a la
presente Política de Seguridad de la Información, en sus respectivos ámbitos de competencia.
6.5.2. Corresponde a los Responsables del Servicio establecer los requisitos del servicio en materia de seguridad, y en particular:
a) Determinar los niveles de seguridad del servicio tratado y mantener estos niveles actualizados,
valorando los impactos de los incidentes que afecten a la seguridad de la información, conforme con lo establecido en el artículo 44 del ENS.
b) Realizar, junto a los Responsables de la Información y el Responsable de Seguridad de la
Información, los preceptivos análisis de riesgos, y seleccionar las salvaguardas que se deban implantar.
c) Aceptar los riesgos residuales respecto a los servicios calculados en el análisis de riesgos.
d) Realizar el seguimiento y control de los riesgos.
e) Suspender, de acuerdo con los Responsables de la Información y el Responsable de Seguridad, la prestación de un servicio electrónico.
6.6. Resolución de conflictos.
6.6.1. En caso de conflicto entre los diferentes responsables de información o de servicio que componen la
estructura organizativa de la Política de Seguridad de la Información, éste será resuelto por el Comité de la Seguridad de la Información o por la Dirección General en última instancia.
6.6.2. En la resolución de estas controversias se tendrán siempre en cuenta las exigencias derivadas de la
protección de datos de carácter personal.
7. Datos de carácter personal.
7.1. AYSCOM realiza tratamientos de datos de carácter personal. La política de privacidad y de datos
personales de la organización se encuentra publicada en la página corporativa
https://ayscom.com/es/politica-de-privacidad/.`
7.2. Todos los sistemas de información de AYSCOM se ajustarán a los niveles de seguridad requeridos por la
normativa para la naturaleza y finalidad de los datos de carácter personal detallados en su correspondiente
Documento de Seguridad, de acuerdo con lo exigido por el RLOPD.
7.3. Corresponde al Delegado de Seguridad de la organización implementar las medidas de seguridad TIC
exigidas por la normativa de protección de datos de carácter personal para tratamientos automatizados,
definidas en el documento de seguridad correspondiente, y coordinadas y controladas por el responsable de seguridad de los datos personales de que se trate.
8. Concienciación y formación.
8.1. Se prestará la máxima atención a la concienciación de las personas que intervienen en el proceso de seguridad y a sus responsables jerárquicos, para que, ni la ignorancia, ni la falta de organización y
coordinación, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad de los sistemas de información.
8.2. Todo el personal relacionado con la información y los sistemas deberá ser formado e informado de sus deberes y obligaciones en materia de seguridad. Sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos de seguridad establecidos. El personal de AYSCOM recibirá la formación
e información específica necesaria para garantizar la seguridad de las tecnologías de la información aplicables a los sistemas y servicios que se prestan.
8.3. La seguridad de los sistemas estará atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalación, mantenimiento, gestión de incidencias y desmantelamiento.
9. Gestión de riesgos.
9.1. El análisis y gestión de riesgos, evaluando las amenazas y los riesgos a los que están expuestos la
información, los servicios y sistemas de AYSCOM, será la base para determinar las medidas de seguridad
que se deben adoptar.
9.2. El análisis de riesgos se realizará:
a) Regularmente, al menos una vez al año.
b) Cuando cambie la información manejada.
c) Cuando cambien los servicios prestados.
d) Cuando ocurra un incidente de seguridad que ocasione un perjuicio grave, entendiéndose como tal lo especificado en el Anexo I del Real Decreto 3/2010, de 8 de enero.
e) Cuando se reporten vulnerabilidades que pudieran ocasionar perjuicios perjuicios graves, entendiéndose como
tal lo especificado en el Anexo I del Real Decreto 3/2010, de 8 de enero.
9.3. Para la armonización de los análisis de riesgos, el Comité de Seguridad de la Información establecerá una
valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios
prestados. El Comité de Seguridad de la Información, asimismo, dinamizará la disponibilidad de recursos
para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de
carácter horizontal.
10. Terceras partes.
10.1. Cuando AYSCOM utilice servicios o maneje información de terceros, les hará partícipes de esta Política
de Seguridad de la Información. El Comité de Seguridad de la Información establecerá procedimientos de
actuación para la reacción ante incidentes de seguridad.
10.2. Cuando AYSCOM preste servicios a otros organismos o ceda información a terceros, les hará partícipes
de esta Política de Seguridad de la Información y de las Instrucciones y Procedimientos que atañan a dichos servicios o información, quedando sujetos a las obligaciones que en ellos se establezcan, sin perjuicio de que puedan desarrollar sus propios procedimientos operativos para satisfacerla. Se
establecerán procedimientos específicos de reporte y resolución de incidencias y se exigirá que el personal
esté adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido
en esta Política. Tratándose de cesiones o comunicaciones de datos de carácter personal a terceros, aun cuando sean Administraciones Públicas, se estará a lo dispuesto en la LOPD, requiriéndose que la
concienciación se realice también en lo relativo al adecuado cumplimiento de la normativa sobre protección
de datos de carácter personal.
10.3. Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte, de conformidad con lo
dispuesto en los párrafos anteriores, será necesario que el Responsable de Seguridad emita un informe en el que se precisen los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de
este informe por los Responsables de la Información y los Servicios afectados para poder continuar con la utilización del servicio o el manejo de la información.
11. Revisión.
El Comité de Seguridad de la Información revisará anualmente la Política de Seguridad de la Información o cuando exista un cambio significativo que obligue a ello. La revisión será aprobada por la Dirección de AYSCOM y
difundida para que la conozcan todas las partes afectadas.
12. Aplicabilidad y ámbito de utilización de la Política.
Esta política de seguridad de la información es obligatoria dentro de su ámbito de aplicación. Los trabajadores,
colaboradores, subcontratistas y proveedores de la compañía deben de conocer y cumplir esta política de acuerdo
con su rol cuando traten con información de la compañía o sus clientes.
Esta política establece los requisitos mínimos para asegurar la continuidad de las operaciones. Una seguridad de
la información efectiva es un esfuerzo conjunto que requiere la participación de todos los trabajadores y colaboradores de la compañía que trabajan con los activos de información. La política de seguridad de la información es de aplicación en todos los activos de la información: los servicios prestados, las personas, la
tecnología, los proveedores y las infraestructuras.
Madrid, a 8 de enero de 2024