Política de seguretat de la informació
La Política de Seguretat de la Informació de CASA TARRADELLAS té per objectiu establir un seguit de mesures per garantir la seguretat de la informació que es tracta a l’empresa.
1. Objectiu
La informació que es tracta a CASA TARRADELLAS és un actiu amb un gran valor per a l’organització i, en conseqüència, és necessari que estigui degudament protegida. A aquest efecte, cal implementar mesures per garantir els següents aspectes:
- Disponibilitat: assegurar que els usuaris puguin tenir accés a la informació quan la necessitin.
- Integritat: assegurar que la informació sigui completa i exacta.
- Confidencialitat: assegurar que la informació només sigui accessible als usuaris que estiguin autoritzats.
La implementació de mesures de seguretat de la informació protegeix així mateix els següents actius:
- Estratègia del negoci: · la informació és un dels actius més importants per a les empreses, en la mesura que conté dades confidencials de valor estratègic per a l’empresa. En aquest sentit, la informació ha d’estar degudament protegida per garantir la protecció del negoci.
- Compliment de la normativa i contractes: garantir la seguretat de la informació és també essencial per assegurar el compliment dels compromisos contractuals així com de la normativa vigent.
- La seguretat davant d’amenaces: en un entorn cada vegada més amenaçat per atacs als sistemes d’informació, és essencial implementar polítiques que permetin controlar i restringir accessos no autoritzats.
2. Mesures a implementar
A través de la Política de Seguretat de la Informació i de la resta de polítiques que se’n deriven, es pretén implementar un conjunt de mesures amb l’objectiu de garantir aquesta seguretat de la informació. Aquestes mesures estan orientades a una sèrie de principis previstos a la Política de Seguretat de la Informació i que, a tall de resum, són els següents:
- Garantir el compliment de tots els sistemes d’informació amb la normativa aplicable, tant externa com interna.
- Gestionar el risc de manera que assoleixi un nivell acceptable.
- Realitzar tasques de formació i conscienciació del personal.
- Garantir la disponibilitat, integritat i confidencialitat de la informació i les dades de l’empresa.
- Establir mesures que siguin proporcionals als riscos identificats.
- Fer palesa la responsabilitat de tots els integrants i col·laboradors de l’empresa pel que fa a la seguretat de la informació.
- Revisar de manera recurrent el grau d’eficàcia dels controls i establir així un procés de millora contínua.
3. Rols i responsabilitats
La seguretat de la informació és responsabilitat de tothom i, en aquest sentit, tots els que formem part de CASA TARRADELLAS tenim la responsabilitat d’implementar les mesures que siguin necessàries per garantir aquesta seguretat, entre les quals es destaquen les següents:
- Guardar el secret professional respecte de la informació de CASA TARRADELLAS així com respecte de les dades de caràcter personal a les quals es tingui accés.
- No cedir informació confidencial o dades personals a tercers sense l’autorització necessària.
- Comunicar qualsevol incidència que es detecti que afecti la seguretat de la informació.
- Garantir que la informació i les dades personals estiguin correctament emmagatzemades de manera segura, inclosa la informació en suport físic, la qual s’ha de guardar en armaris tancats (procurant, en tot cas, limitar l’ús d’informació en suport físic).
- Utilitzar els dispositius corporatius únicament per a fins professionals i seguint les indicacions d’accés i ús que indiqui l’empresa.
Sense perjudici de l’anterior, a CASA TARRADELLAS s’han definit els següents rols i responsabilitats encarregats de vetllar per la seguretat de la informació:
- Comitè de Seguretat: òrgan responsable de promoure, controlar i fer el seguiment del compliment de les mesures de seguretat necessàries per garantir la seguretat de la informació. Així mateix, actua com a punt de contacte amb les autoritats competents en cas que es detectin incidències.
- Responsable de Seguretat: mantenir la seguretat de la informació tractada i dels serveis prestats, i promoure la formació i conscienciació en matèria de seguretat de la informació.
- Responsable de Sistemes TIC: desenvolupar, operar i mantenir el sistema d’informació i implementar les mesures de seguretat que siguin necessàries.
- Propietari de l’Actiu: vetllar pel compliment de les mesures de seguretat que es vagin implementant, així com comunicar les incidències que es detectin i proposar millores.
- Serveis Jurídics: vetllar pel compliment de la normativa vigent en matèria de protecció de dades i seguretat de la informació.
4. Polítiques específiques
En el marc de la Política de Seguretat de la Informació s’han definit les següents polítiques específiques més rellevants sobre mesures concretes de compliment obligatori per a tots els usuaris:
- Control d’accessos: limitar els accessos als actius i a la informació amb la finalitat d’evitar accessos no autoritzats.
- Classificació de la informació: garantir la correcta protecció de la informació en funció de la seva naturalesa i grau de sensibilitat.
- Seguretat física i ambiental: garantir la prevenció d’accessos no autoritzats així com de pèrdues, danys, robatoris i compromís dels actius físics i digitals de l’empresa.
- Mesures orientades a l’usuari: garantir que hi hagi (i) un ús adequat dels actius, (ii) un lloc de treball net per evitar pèrdues d’informació, (iii) que la informació s’intercanviï de manera segura, (iv) garantir la seguretat en l’ús dels dispositius corporatius, (v) controlar la instal·lació i l’ús del programari adequat per garantir-ne la seguretat.
- Realització de còpies i plans de continuïtat: garantir que l’empresa disposa i manté segures còpies de seguretat de la informació per al cas que sigui necessari recórrer-hi en cas d’incident.
- Prevenció i detecció de virus i altres programes maliciosos: garantir la instal·lació i l’ús de programes per protegir l’organització davant virus o programari maliciós.
- Gestió de vulnerabilitats tècniques: adoptar mesures per fer front a vulnerabilitats tècniques en les seves aplicacions.
- Controls criptogràfics: utilitzar controls criptogràfics per protegir la confidencialitat i la integritat de la informació.
- Seguretat en les comunicacions: protegir la informació que es troba emmagatzemada a la xarxa.
- Privacitat i protecció de la informació personal: garantir el compliment de la normativa de protecció de dades.
- Relació amb proveidors: garantir que totes aquestes mesures també es compleixin respecte dels proveïdors.
