Política de Seguretat de la Informació

Aquesta Política de Seguretat de la Informació és efectiva des de la data de signatura i fins que sigui substituïda per una nova Política.

Data d'entrada en vigor: 18 de maig de 2026.

JOBFIE, per assolir els seus objectius, assumeix el seu compromís amb la seguretat de la informació, garantint una gestió adequada de la mateixa amb la finalitat d'oferir a tots els seus grups d'interès les màximes garanties pel que fa a la protecció de la informació tractada en el desenvolupament dels seus serveis tecnològics i digitals.

Aquests sistemes s'han d'administrar amb diligència, prenent les mesures adequades per protegir-los davant de danys accidentals o deliberats que puguin afectar la disponibilitat, la integritat o la confidencialitat de la informació tractada o dels serveis prestats.

L'objectiu de la seguretat de la informació és garantir la qualitat de la informació i la prestació continuada dels serveis, actuant preventivament, supervisant l'activitat diària i reaccionant amb promptitud als incidents.

Els sistemes TIC s'han de protegir contra amenaces d'evolució ràpida amb potencial per incidir en la confidencialitat, la integritat, la disponibilitat, l'ús previst i el valor de la informació i els serveis. Per defensar-se d'aquestes amenaces, es requereix una estratègia que s'adapti als canvis en les condicions de l'entorn per garantir la prestació contínua dels serveis. Això implica que els departaments han d'aplicar les mesures mínimes de seguretat exigides per l'Esquema Nacional de Seguretat (ENS), així com fer un seguiment continu dels nivells de prestació de serveis, seguir i analitzar les vulnerabilitats reportades, i preparar una resposta efectiva als incidents per garantir la continuïtat dels serveis prestats.

Els diferents departaments han d'assegurar-se que la seguretat TIC és una part integral de cada etapa del cicle de vida del sistema, des de la concepció fins a la retirada de servei, passant per les decisions de desenvolupament o adquisició i les activitats d'explotació. Els requisits de seguretat i les necessitats de finançament s'han d'identificar i incloure en la planificació, en la sol·licitud d'ofertes i en els plecs de licitació per a projectes de TIC.

Els departaments han d'estar preparats per prevenir, detectar, reaccionar i recuperar-se d'incidents, d'acord amb l'article 8 de l'ENS (article 8. Prevenció, detecció, resposta i conservació).

Aquesta política s'aplica a tots els sistemes TIC de l'entitat i a tots els membres de l'organització implicats en serveis i projectes destinats al sector públic que requereixin l'aplicació de l'ENS, sense excepcions.

Per tot l'exposat anteriorment, la Direcció estableix els objectius següents de seguretat de la informació:

• Proporcionar un marc per augmentar la capacitat de resistència o resiliència per donar una resposta eficaç.
• Assegurar la recuperació ràpida i eficient dels serveis davant de qualsevol desastre físic o contingència que es produeixi i posi en risc la continuïtat de les operacions.
• Prevenir incidents de seguretat de la informació en la mesura que sigui tècnica i econòmicament viable, i mitigar els riscos de seguretat de la informació generats per les nostres activitats.
• Garantir la confidencialitat, la integritat, la disponibilitat, l'autenticitat i la traçabilitat de la informació.

Un dels objectius ha de ser el de complir amb els requisits legals aplicables i amb qualsevol altre requisit al qual ens subscrivim a més dels compromisos adquirits amb els clients, així com l'actualització contínua d'aquests. Per a això, el marc legal i reglamentari en què desenvolupem les nostres activitats és:

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.
• Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI).
• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
• Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
• Ley 1/2019, de 20 de febrero, de Secretos Empresariales.
• Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
• Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.

Per poder assolir aquests objectius cal:

• Millorar contínuament el nostre sistema de seguretat de la informació.
• Identificar les amenaces potencials, així com l'impacte en les operacions de negoci que aquestes amenaces, en cas de materialitzar-se, puguin causar.
• Preservar els interessos de les principals parts interessades (clients, accionistes, empleats i proveïdors), la reputació, la marca i les activitats de creació de valor.
• Treballar de forma conjunta amb els nostres proveïdors i subcontractistes per millorar la prestació de serveis de TI, la continuïtat dels serveis i la seguretat de la informació, amb repercussió en una major eficiència de la nostra activitat.
• Avaluar i garantir la competència tècnica del personal, així com assegurar la motivació adequada per a la participació en la millora contínua dels nostres processos, proporcionant la formació i la comunicació interna adequades perquè desenvolupin les bones pràctiques definides en el sistema.
• Garantir el correcte estat de les instal·lacions i l'equipament adequat, de manera que estiguin en correspondència amb l'activitat, els objectius i les fites de l'empresa.
• Garantir una anàlisi contínua de tots els processos rellevants, establint les millores pertinents en cada cas en funció dels resultats obtinguts i dels objectius establerts.
• Estructurar el nostre sistema de gestió de manera que sigui fàcil de comprendre.

El nostre sistema de gestió té la següent estructura:

La gestió del nostre sistema s'encarrega al Responsable de Sistemes Informàtics i el sistema estarà disponible en el nostre sistema d'informació en un repositori al qual es pot accedir segons els perfils d'accés concedits d'acord amb el procediment vigent de gestió dels accessos.

La documentació referida a la seguretat del sistema es troba estructurada en carpetes dins del servidor de fitxers de la companyia, dividida en subcarpetes nomenades per punts de norma i marcs d'operació, que recullen els diferents procediments, registres i evidències, amb accés restringit al personal de la companyia, sense que hi pugui accedir personal extern no autoritzat.

La documentació de seguretat s'estructura en:

• Política de Seguretat.
• Normativa de seguretat: documents que descriuen l'ús d'equips, serveis i instal·lacions. Descriuen el que es considera ús indegut, la responsabilitat del personal respecte al compliment o violació de la normativa, drets, deures i mesures disciplinàries d'acord amb la legislació vigent.
• Documents específics: documentació de seguretat desenvolupada segons les guies CCN-STIC que resultin d'aplicació.
• Procediments de seguretat: documents que detallen com operar els elements del sistema.

Aquesta política es complementa amb la resta de polítiques, procediments i documents en vigor per desenvolupar el nostre sistema de gestió.

La responsabilitat essencial recau sobre la Direcció General de l'organització, ja que és responsable d'organitzar les funcions i responsabilitats i de facilitar els recursos adequats per assolir els objectius de l'ENS. Els directius també són responsables de donar bon exemple complint les normes de seguretat establertes.

Aquests principis s'assumeixen per la Direcció, que disposa els mitjans necessaris i dota els seus empleats dels recursos suficients per al compliment, plasmant-se i posant-los en coneixement públic mitjançant la present Política Integrada de Sistemes de Gestió.

Els rols o funcions de seguretat definits són:

Aquesta definició de deures i responsabilitats es completa en els perfils de càrrec i en els documents del sistema Registre de responsables, rols i responsabilitats.

Com gestionem la resolució de conflictes

Les diferències de criteri que poguessin derivar en un conflicte es tractaran en el si del Comitè de Seguretat i prevaldrà en tot cas el criteri de la Direcció General.

El procediment per a la seva designació i renovació serà la ratificació en el comitè de seguretat.

El comitè per a la gestió i coordinació de la seguretat és l'òrgan amb major responsabilitat dins del sistema de gestió de seguretat de la informació, de manera que totes les decisions més importants relatives a la seguretat s'acorden per aquest comitè.

Aquests membres són designats pel comitè, únic òrgan que els pot nomenar, renovar-los i cessar-los.

El comitè de seguretat és un òrgan autònom, executiu i amb autonomia per a la presa de decisions i que no ha de subordinar la seva activitat a cap altre element de la nostra empresa.

L'organització de la seguretat de la informació es desenvolupa en el document complementari d'aquesta Política d'Organització de la Seguretat.

Aquesta política es complementa amb la resta de polítiques, procediments i documents en vigor per desenvolupar el nostre sistema de gestió.

Tots els sistemes subjectes a aquesta Política hauran de realitzar una anàlisi de riscos, avaluant les amenaces i els riscos als quals estan exposats. Aquesta anàlisi es revisa regularment:

• almenys una vegada a l'any;
• quan canviï la informació gestionada;
• quan canviïn els serveis prestats;
• quan es produeixi un incident greu de seguretat;
• quan es reportin vulnerabilitats greus.

Per a l'armonització de les anàlisis de riscos, el Comitè de Seguretat TIC establirà una valoració de referència per als diferents tipus d'informació gestionada i els diferents serveis prestats. El Comitè de Seguretat TIC dinamitzarà la disponibilitat de recursos per atendre les necessitats de seguretat dels diferents sistemes, promovent inversions de caràcter horitzontal.

Per a la realització de l'anàlisi de riscos se tindrà en compte la metodologia d'anàlisi de riscos desenvolupada en el procediment Anàlisi de Riscos.

Tots els membres de JOBFIE tenen l'obligació de conèixer i complir aquesta Política de Seguretat de la Informació i la Normativa de Seguretat, sent responsabilitat del Comitè de Seguretat TIC disposar els mitjans necessaris perquè la informació arribi als afectats.

Tots els membres de JOBFIE assistiran a una sessió de conscienciació en matèria de seguretat TIC almenys una vegada a l'any. S'establirà un programa de conscienciació contínua per atendre tots els membres de JOBFIE, en particular els de nova incorporació.

Les persones amb responsabilitat en l'ús, operació o administració de sistemes TIC rebran formació per al maneig segur dels sistemes en la mesura que la necessitin per a realitzar la seva feina. La formació serà obligatòria abans d'assumir una responsabilitat, tant si és la primera assignació com si es tracta d'un canvi de lloc de treball o de responsabilitats en el mateix.

Aquesta Política s'aplica a tot el personal de JOBFIE i al personal extern que realitza tasques dins de l'empresa.

RRHH inclourà funcions de seguretat de la informació en les descripcions de treball dels empleats, informarà tot el personal que contracti sobre les seves obligacions respecte al compliment de la Política de Seguretat de la Informació, gestionarà els Compromisos de Confidencialitat amb el personal i coordinarà les tasques de capacitació dels usuaris respecte a aquesta Política.

El Responsable de la Seguretat (RSEG) és responsable de monitoritzar, documentar i analitzar els incidents de seguretat reportats, així com de comunicar-se amb el Comitè de Seguretat de la Informació i amb els propietaris de la informació.

El Comitè de Seguretat de la Informació serà responsable d'implementar els mitjans i canals necessaris perquè el Responsable de la Seguretat (RSEG) gestioni informes d'incidents i anomalies del sistema. El Comitè també estarà al cas, supervisarà la investigació, supervisarà l'evolució de la informació i promourà la resolució d'incidents de seguretat de la informació.

El Responsable de la Seguretat (RSEG) participarà en la preparació del Compromís de Confidencialitat que signaran els empleats i tercers que exerceixin funcions a JOBFIE, en l'assessorament sobre les sancions que s'aplicaran per incompliment d'aquesta Política i en el tractament d'incidents de seguretat de la informació.

Tot el personal de JOBFIE és responsable d'informar sobre les debilitats i incidents de seguretat de la informació que es detectin oportunament.

Professionalitat dels recursos humans

• Determinar la competència necessària del personal per dur a terme el treball que afecta la Seguretat de la Informació.
• Cal assegurar que les persones siguin competents sobre la base de l'educació, la capacitació o l'experiència adequades.
• Demostrar mitjançant la informació documentada que sigui necessària la competència del personal en matèria de Seguretat de la Informació.

Els objectius de controlar la seguretat del personal són:

• Reduir els riscos d'error humà, posada en marxa d'irregularitats, ús indegut d'instal·lacions i recursos, i maneig no autoritzat de la informació.
• Explicar les responsabilitats de seguretat en l'etapa de reclutament del personal i incloure-les en els acords a signar i verificar el compliment durant el desenvolupament de les tasques de l'empleat.
• Assegureu-vos que els usuaris estiguin al corrent de les amenaces i preocupacions de seguretat de la informació i estiguin capacitats per donar suport a la Política de Seguretat de la Informació de l'organització en el curs de les seves tasques normals.
• Establir compromisos de confidencialitat amb tot el personal i usuaris fora de les instal·lacions de processament d'informació.
• Establir les eines i els mecanismes necessaris per promoure la comunicació de les debilitats de seguretat existents, així com els incidents, amb la finalitat de minimitzar-ne els efectes i prevenir-ne la reincidència.

El control de l'accés als sistemes d'informació té per objectiu:

• Evitar l'accés no autoritzat a sistemes d'informació, bases de dades i serveis d'informació.
• Implementar la seguretat en l'accés dels usuaris mitjançant tècniques d'autenticació i autorització.
• Controlar la seguretat en la connexió entre la xarxa de JOBFIE i altres xarxes públiques o privades.
• Revisar els esdeveniments crítics i les activitats portades a terme pels usuaris en els sistemes.
• Conscienciar sobre la responsabilitat per l'ús de contrasenyes i equips.
• Garantir la seguretat de la informació quan s'utilitzen ordinadors portàtils i ordinadors personals per al teletreball.

Els objectius d'aquesta política en matèria de protecció de les instal·lacions són:

• Prevenir l'accés no autoritzat, danys i interferències a la seu, les instal·lacions i la informació de JOBFIE.
• Protegir l'equip de processament d'informació crític de JOBFIE, col·locant-lo en àrees protegides i dins d'un perímetre de seguretat definit, amb les mesures de seguretat i els controls d'accés adequats. Així mateix, contemplar la protecció d'aquest equip en el seu trasllat i quan roman fora de les àrees protegides per manteniment o altres motius.
• Controlar els factors ambientals que podrien perjudicar el bon funcionament de l'equip de còmput que allotja la informació de JOBFIE.
• Implementar mesures per protegir la informació gestionada pel personal a les oficines, en el marc normal de les seves tasques habituals.
• Proporcionar protecció proporcional als riscos identificats.

Aquesta Política s'aplica a tots els recursos físics relacionats amb els sistemes d'informació de JOBFIE: instal·lacions, equips, cablejat, expedients, mitjans d'emmagatzematge, etc.

El responsable de la Seguretat (RSEG), juntament amb els Titulars de la Informació, segons procedeixi, definirà les mesures de seguretat física i ambiental per a la protecció dels actius crítics sobre la base d'una anàlisi de riscos i en supervisarà l'aplicació. També verificarà el compliment de les disposicions de seguretat física i mediambiental.

Els responsables dels diferents departaments definiran els nivells d'accés físic del personal de JOBFIE a les àrees restringides sota la seva responsabilitat. Els Propietaris d'Informació autoritzaran formalment el treball fora del lloc amb informació sobre el seu negoci als empleats de JOBFIE quan ho considerin oportú.

Tot el personal de JOBFIE és responsable del compliment de la política de pantalla neta i escriptori net per a la protecció de la informació relacionada amb la feina diària a les oficines.

Els diferents departaments han d'assegurar-se que la seguretat TIC és una part integral de cada etapa del cicle de vida del sistema, des de la concepció fins a la retirada de servei, passant per les decisions de desenvolupament o adquisició i les activitats d'explotació. Els requisits de seguretat i les necessitats de finançament s'han d'identificar i incloure en la planificació, en la sol·licitud d'ofertes i en els plecs de licitació per a projectes de TIC.

D'altra banda, es tindrà en compte la seguretat de la informació en l'adquisició i el manteniment dels sistemes d'informació, limitant i gestionant el canvi.

La política de desenvolupament i adquisició de sistemes d'informació es desenvolupa en el document: Política Adquisició, Desenvolupament i Manteniment de Sistemes.

JOBFIE considera estratègic per a l'entitat que els processos integren la seguretat de la informació com a part del seu cicle de vida. Els sistemes d'informació i els serveis han d'incloure la seguretat per defecte des de la creació fins a la retirada, incloent-hi la seguretat en les decisions de desenvolupament i/o adquisició i en totes les activitats en explotació, establint la seguretat com un procés integral i transversal.

JOBFIE es compromet a garantir la integritat del sistema mitjançant un procés de gestió de canvis que permeti el control de l'actualització dels elements físics o lògics mitjançant l'autorització prèvia a la instal·lació en el sistema. Aquesta avaluació serà duta a terme principalment per la direcció de sistemes, que avaluarà l'impacte en la seguretat del sistema abans de realitzar els canvis i controlarà de forma documentada aquells canvis que s'avaluïn com a importants o amb implicacions en la seguretat dels sistemes.

Mitjançant revisions periòdiques de seguretat s'avaluarà l'estat de seguretat dels sistemes en relació amb les especificacions dels fabricadors, les vulnerabilitats i les actualitzacions que els afectin, reaccionant amb diligència per gestionar el risc a la vista de l'estat de seguretat d'aquests.

JOBFIE estableix mesures de protecció per a la Seguretat de la Informació emmagatzemada o en trànsit a través d'entorns insegurs. Tindran consideració d'entorns insegurs els equips portàtils o de sobretaula, assistents personals (PDA), dispositius perifèrics, suports d'informació i comunicacions sobre xarxes obertes o amb xifrat feble.

JOBFIE estableix mesures de protecció per a la Seguretat de la Informació especialment per protegir el perímetre, en particular si es connecta a xarxes públiques, especialment si s'utilitzen en la seva totalitat o principalment per a la prestació de serveis de comunicacions electròniques disponibles per al públic.

En tot cas s'analitzaran els riscos derivats de la interconnexió del sistema mitjançant xarxes amb altres sistemes, i es controlarà el seu punt d'unió.

JOBFIE, amb l'objectiu de garantir la continuïtat de les activitats, estableix mesures perquè els sistemes disposin de còpies de seguretat i estableix els mecanismes necessaris per garantir la continuïtat de les operacions en cas de pèrdua dels mitjans habituals de treball.

JOBFIE estableix un procés de millora contínua de la seguretat de la informació aplicant els criteris i la metodologia establerta en normes internacionals com ISO 27001.