Informazioaren Segurtasun Politika

Informazioaren Segurtasun Politika hau sinadura-dataztik aurrera indarrean dago politika berri batek ordeztu arte.

Indarrean sartzeko data: 2026ko maiatzaren 18a.

JOBFIE helburuak lortzeko, informazioaren segurtasunarekin konpromisoa hartzen du eta informazioa modu egokian kudeatzea bermatzen du, interes-talde guztiei teknologia- eta zerbitzu digitaletan tratatutako informazioaren babesari buruzko berme handienak eskain diezazkiekeela.

Sistema haiek zentzuz administratu behar dira, eskuragarritasuna, osotasuna edo konfideltasuna eta emandako zerbitzuak arriskuan jar ditzaketen istripu edo erasoei aurre egiteko neurri egokiak hartuz.

Informazioaren segurtasunaren helburua informazioaren kalitatea eta zerbitzuen etengabeko hornidura bermatzea da, saihestean jardunez, eguneroko jarduera gainbegiratuz eta gertakarietan arin erreakzionatuz.

TIC sistemak mehatxu azkarrei aurre egin behar die, konfideltasuna, osotasuna, eskuragarritasuna, erabilera aurrikusita eta informazioaren eta zerbitzuen balioan eragin dezaketenak. Horiei aurre egiteko, ingurune-baldintzen aldaketara egokitzen den estrategia bat behar da zerbitzuen jarraitasuna bermatzeko. Horrek esan nahi du sailuek Esquema Nacional de Seguridad (ENS) eskatzen dituen segurtasun-neurri minimoak aplikatu behar dituztela, zerbitzu-mailen jarraipen etengabea egin, ahultasun jakinarazpenak jarraitu eta aztertu, eta gertakarietan erantzun eraginkorra prestatu, emandako zerbitzuen jarraitasuna bermatzeko.

Sail desberdinek TIC segurtasuna sistemaren bizitza-zikloaren etapa guztietan atala integrala dela ziurtatu behar dute, diseinutik zerbitzutik kentzera, garapen edo erosketa-erabakietatik eta eragiketa-jardueretatik hasita. Segurtasun-eskakizunak eta finantza-beharrak identifikatu eta plangintzan, eskaintza-eskaeretan eta TIC proiektuetarako lizitazio-dokumentazioan sartu behar dira.

Sailak prest egon behar dira gertakariak saihesteko, hautemateko, erantzuteko eta horietatik berreskuratzeko, ENSaren 8. artikuluarekin bat etorriz (8. art.: saiheskuntza, hautematea, erantzuna eta kontserbazioa).

Politika hau erakundearen TIC sistema guztietara eta sektore publikorako zerbitzu eta proiektuetan parte hartzen duen antolakuntzako kide guztietara aplikatzen da ENSa aplikatu behar denean, salbuespenik gabe.

Horren aurrean, Zuzendaritzak informazioaren segurtasuneko helburu hauek ezartzen ditu:

• Erantzun eraginkorra eman diezaiokeen erresilientzia handitzeko esparru bat eskaintzea.
• Hondamendi fisiko edo gorabehera bat gertatuz gero zerbitzuen azkar eta eraginkorrez berreskurapena bermatzea, eragiketaren jarraitasuna arriskuan jar baitaiteke.
• Informazioaren segurtasun-gertakariak saihestea teknika eta ekonomia moldez posible den heinean, eta gure jarduerek sortutako informazioaren segurtasun-arriskuak murriztea.
• Informazioaren konfideltasuna, osotasuna, eskuragarritasuna, autentikotasuna eta aztarnagarritasuna bermatzea.

Helburuetako bat aplikagarriak diren lege-eskakizunak betetzea eta bezeroekin hartutako konpromisoetatik haratago harpidetzen garen bestelako edozein eskakizunaz gain, haiek etengabe eguneratzea izan behar da. Horretarako, gure jarduerak garatzen ditugun esparru legala eta arautzailea honako hau da:

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.
• Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI).
• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
• Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
• Ley 1/2019, de 20 de febrero, de Secretos Empresariales.
• Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
• Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.

Helburu horiek lortzeko honako hau behar da:

• Gure informazioaren segurtasun-kudeaketa sistema etengabe hobetzea.
• Mehatxu potenzialak eta bizibideratze materializatuko balira enpresa-eragiketetan izan litezkeen eragina identifikatzea.
• Nagusi diren aldez laguntzaileen (bezero, akziodun, langile eta hornitzaile), ospea, marka eta balioa sortzeko jarduerak babestea.
• Gure hornitzaile eta azpikontratatuekin elkarlanean aritzea IT zerbitzuen hornidura, zerbitzuen jarraitasuna eta informazioaren segurtasuna hobetzeko, gure jardueraren eraginkortasuna handituz.
• Langileen gaitasun teknikoa ebaluatu eta bermatzea, prozesuen etengabe hobetzeko parte hartzeko motibazio egokia ziurtatuz, sistema definitutako praktika onak garatzen dituzten prestakuntza eta barne-komunikazio egokia emanez.
• Instalazioen eta ekipamendu egokiaren egoera zuzena bermatzea, enpresaren jarduera, helburu eta asmoekin bat etor dadin.
• Prozesu garrantzitsu guztien azterketa etengabea bermatzea, emaitzen eta ezarritako helburuen arabera kasu bakoitzean hobekuntza egokiak ezarriz.
• Gure kudeaketa-sistema modu ulergarrian egituratzea.

Gure sistemaren kudeaketa Sistema Informatikoen Arduradunari entzuten zaio, eta sistema gure informazio-sisteman biltegian egongo da, indarrean dagoen sarbide-kudeaketa-prozeduraren arabera emandako sarbide-profileen arabera atzitu daitekeelarik.

Sistemaren segurtasunari buruzko dokumentazioa enpresako fitxategi-zerbitzarian karpetetan antolatuta dago, arau-gaiak eta eragiketa-esparruak izendatutako azpikarpetetan banatuta, prozedura, erregistro eta frogak biltzen dituena, enpresako langileentzat sarbidea murriztua; kanpoko baimenik gabeko langileek ezin dute atzitu.

Segurtasun-dokumentazioa honela antolatzen da:

• Segurtasun politika.
• Segurtasun-araudia: ekipo, zerbitzu eta instalazioen erabilera deskribatzen duten dokumentuak. Zer den erabilera okerra, araudia betetzearen edo hausteari buruzko langilen erantzukizuna, eskubideak, betebeharrak eta indarrean dagoen legeriaren arabera diziplina-neurriak definitzen dituzte.
• Dokumentu zehatzak: aplika daitezkeen CCN-STIC giden arabera garatutako segurtasun-dokumentazioa.
• Segurtasun-prozedurak: sistema-elementuak nola erabili deskribatzen duten dokumentuak.

Politika hau gure kudeaketa-sistema garatzeko indarrean dauden beste politikak, prozedurak eta dokumentuekin osatzen da.

Erantzukizun nagusia antolakuntzaren Zuzendaritza Nagusiaren esku dago; funtzio eta erantzukizunak antolatu eta ENSaren helburuak lortzeko baliabide egokiak eskaini behar ditu. Kudeatzaileek ere egokitutako segurtasun-arauak betez eredu izan behar dute.

Printzipio horiek Zuzendaritzak bere gain hartzen ditu, beharrezko bitartekoak eskuratzen ditu eta langileei konformetarako baliabide nahikoak ematen dizkie; hori Integratuen Kudeaketa Sistemaren Politika honen bidez jendarteratuta eta ezagutzera emanda dago.

Zehaztutako segurtasun-rol edo -funtzioak hauek dira:

Betekizun eta erantzukizunen definizio hau osatzen dute lanpostu-profilek eta sistemako arduradun, rol eta erantzukizunen erregistroaren dokumentazioak.

Gatazken ebazpena

Desadostasunek gatazkara eraman balute, Segurtasun Batzordearen barne tratatuko dira, eta beti Zuzendaritza Nagusiaren irizpidea nagusituko da.

Designazioa eta berritzea segurtasun batzordean berrestea izango da.

Segurtasuna kudeatzeko eta koordinatzeko batzordea informazioaren segurtasuneko kudeaketa-sisteman erantzukizun handieneko organoa da; beraz, segurtasunari buruzko erabaki garrantzitsuenak batzorde horretan adostuko dira.

Kide horiek batzordeak izendatzen ditu; organo hori bakarrik da haiek izendatu, epea berritu edo kentzeko gai dena.

Segurtasun batzordea autonomoa da, exekutiboa eta erabakietan autonomiaz jarduten du, eta ez du bere jarduera antolakuntzako beste inongo elementuri mendean jarri beharrik.

Informazioaren segurtasunaren antolaketa Segurtasun Antolaketarako Politika hau osatzen duen dokumentuan garatzen da.

Politika hau gure kudeaketa-sistema garatzeko indarrean dauden beste politikak, prozedurak eta dokumentuekin osatzen da.

Politika honen mende dauden sistema guztiek arriskuen azterketa egin behar dute, aurre egiten zaizkien mehatxu eta arriskuak ebaluatuz. Azterketa hori maiztasunez berrikusten da:

• gutxienez urtean behin;
• maneiatutako informazioa aldatzean;
• emandako zerbitzuak aldatzean;
• segurtasun-gertakari larri bat gertatzean;
• ahultasun larriak jakinarazten direnean.

Arriskuen azterketak harmonizatzeko, TIC Segurtasun Batzordeak maneiatutako informazio mota desberdinetarako eta emandako zerbitzuetarako erreferentziazko balorazio bat ezarriko du. TIC Segurtasun Batzordeak sistemek segurtasun-beharretara iristeko baliabideen erabilgarritasuna dinamizatuko du, inbertsio horizontalak sustatuz.

Arriskuen azterketa egiteko Arriskuen Azterketarako prozeduran garatutako metodologia kontuan hartuko da.

JOBFIEko kide guztiek Informazioaren Segurtasun Politika eta Segurtasun Araudia ezagutu eta bete behar dituzte; TIC Segurtasun Batzordeak da, beharrezko bitartekoak eskuratu eta eragindakoengana informazioa iristea bermatzeko erantzulea.

JOBFIEko kide guztiek gutxienez urtean behin TIC segurtasunaren kontzientziazio-saio batean parte hartuko dute. JOBFIEko kide guztiei —batez ere berriak— zuzendutako kontzientziazio-programa etengabe bat ezarriko da.

TIC sistemak erabili, eragin edo administratzeko erantzukizuna duten pertsonak sistemak modu seguruan erabiltzeko prestakuntza jasoko dute betebeharrak betetzeko behar duten neurrian. Prestakuntza derrigorrezkoa da erantzukizun bat hartu aurretik, lehen esleipena edo lanpostu edo erantzukizun-aldaketa izan.

Politika hau JOBFIEko langile guztiei eta enpresan lan egiten duten kanpoko langileei aplikatzen zaie.

RRHHek informazioaren segurtasuneko betebeharrak lanpostuaren deskribapenetan sartuko ditu, kontratatutako langile guztiei Informazioaren Segurtasun Politika betetzeko betebeharrak jakinaraziko die, Konfideltasun Konpromisoak langileekin kudeatuko ditu eta Politika honi lotutako erabiltzaileen prestakuntza-koordinazioa egingo du.

Segurtasun Kudeaketaren Arduraduna (RGS) [CISO] jakinarazitako segurtasun-gertakariak gainbegiratzea, dokumentatzea eta aztertzea da bereak, Informazioaren Segurtasun Batzordearekin eta informazioaren jabeekin komunikatzea barne.

Informazioaren Segurtasun Batzordeak Segurtasun Kudeaketaren Arduradunak (RGS) [CISO] gertakari eta sistema-anomalia jakinarazpenak kudea ditzan beharrezko bitarteko eta kanalak inplementatzearen arduraduna izango da. Batzordeak ikerketak gainbegiratuko ditu, informazioaren bilakaera jarraituko du eta informazioaren segurtasun-gertakarien ebazpena sustatuko du.

Segurtasun Kudeaketaren Arduradunak (RGS) [CISO] JOBFIE zereginetan dabiltzan langile eta hirugarrenekin sinatuko den Konfideltasun Konpromisoaren prestaketan parte hartuko du, Politika hau betetzeak dakartzan zigorrei buruzko aholkularitzan eta informazioaren segurtasun-gertakariak tratatzean.

JOBFIEko langile guztiek ahultasunak eta informazioaren segurtasun-gertakariak modu egokian hautematen direnean jakinaraztea dagokie.

Langileen etika profesionala

• Informazioaren Segurtasunari eragiten dion lana egiteko behar den langileen gaitasuna zehaztea.
• Pertsonak hezkuntza, prestakuntza edo esperientzia egokiaren arabera gaituak direla bermatzea.
• Informazioaren Segurtasunean langileen gaitasuna beharrezkoa den heinean dokumentazioarekin frogatzea.

Langileen segurtasuna kontrolatzeko helburuak honako hauek dira:

• Errore informatiko, irregularitateak, instalazio eta baliabideen erabilera okerra eta informazioaren agintea gabeko maneiatzearen arriskuak murriztea.
• Segurtasunerako erantzukizunak kontratazio-fasean azaltzea eta sinatu beharreko hitzarmenetan sartu eta langilearen betebeharrak betetzean egiaztatzea.
• Erabiltzaileak informazioaren segurtasunari buruzko mehatxuez eta kezkaz jabetuta egotea eta eragiketa arruntetan antolakuntzaren Informazioaren Segurtasun Politika babesteko gai izatea bermatzea.
• Konfideltasun-konpromisoak langile eta erabiltzaile guztiekin ixteak, informazioa prozesatzen den instalazioetatik kanpo daudenekin ere.
• Dauden segurtasun-ahultasunak eta gertakariak jakinarazten sustatzeko beharrezko tresnak eta mekanismoak ezartzea, haien eragina gutxitu eta errepikapena saihesteko.

Informazio-sistemak atzitzeko kontrolaren helburuak honako hauek dira:

• Sistema, datu-base eta informazio-zerbitzuetan baimenik gabeko sarbidea saihestea.
• Erabiltzaileen sarbidean segurtasuna autentifikazio eta baimen tekniken bidez inplementatzea.
• JOBFIE sarearen eta sare publiko edo pribatuen arteko konexioaren segurtasuna kontrolatzea.
• Gertaera kritikoak eta erabiltzaileen jarduera sistematan berrikustea.
• Pasahitz eta ekipoen erabileraren erantzukizunaz kontzientziatzea.
• Erlojupeko eta ordenagailu pertsonalak urrutiko lanean erabiltzean informazioaren segurtasuna bermatzea.

Instalazioen babesaren inguruko politika honen helburuak honako hauek dira:

• Baimenik gabeko sarbidea, kalteak eta JOBFIEko egoitza, instalazio eta informazioan interferentziak saihestea.
• JOBFIEren informazio-kritikoa prozesatzen duen ekipamendua babestea, eremu babesuetan kokatuz eta segurtasun-perimetro definitu batez babestuz, segurtasun-neurri eta sarbide-kontrol egokiekin. Mantentze edo beste arrazoi batzuengatik eremu babesuetatik kanpo dagoenean ere babesa kontuan hartu behar da.
• JOBFIEren informazioa ostatzen duen konputazio-ekipoaren funtzionamendua kaltetu dezaketen ingurune-faktoreak kontrolatzea.
• Langileek bulegoetan eguneroko zereginetan maneiatzen duten informazioa babesteko neurriak inplementatzea.
• Identifikatutako arriskuen arabera proportzionatutako babesa ematea.

Politika hau JOBFIEren informazio-sistemei lotutako baliabide fisiko guztietara aplikatzen da: instalazioak, ekipoak, kableak, artxiboak, biltegiratze-euskarriak, etab.

Segurtasun Kudeaketaren arduradunak (RGS) [CISO], Informazio titularrekin batera behar izanez gero, arrisku-azterketan oinarrituta oinarri-babes eta ingurune-segurtasun neurriak zehaztuko ditu jabe kritikoentzat eta haien aplikazioa gainbegiratuko du. Segurtasun fisiko eta ingurumeneko xedapenen betearpena ere egiaztatuko du.

Sail-buruak JOBFIEko langileen eremu murriztuetarako sarbide fisikoaren mailak zehaztuko ditu beren erantzukizunpean. Informazio-jabeek JOBFIEko langileengan beren negozioari buruzko informazioa egoitzatik kanpo lana egiteko baimen formalak eman ditzakete dagokionean.

JOBFIEko langile guztiek pantaila garbi eta mahaigarbi politika betetzeari dagokionez erantzule dira bulegoetako eguneroko lanari lotutako informazioa babesteko.

Sail desberdinek TIC segurtasuna sistemaren bizitza-zikloaren etapa guztietan atala integrala dela ziurtatu behar dute, diseinutik zerbitzutik kentzera. Segurtasun-eskakizunak eta finantza-beharrak identifikatu eta plangintzan, eskaintza-eskaeretan eta TIC proiektuetarako lizitazio-dokumentazioan sartu behar dira.

Bestalde, informazio-sistemak erosi eta mantentzean informazioaren segurtasuna kontuan hartuko da, aldaketa murriztuz eta kudeatuz.

Sistemak garatzeko eta eskuratzeko politika honako dokumentuan garatzen da: Sistemak eskuratzea, garatzea eta mantentzea politikaren dokumentua.

JOBFIErentzat estrategikoa da prozesuek informazioaren segurtasuna beren bizitza-zikloko atala moduan integratzea. Informazio-sistemen eta zerbitzuen segurtasun lehenetsia sortutik zerbitzutik kentzera sartu behar da, garapen edo erosketa-erabakietan eta eragiketa guztietan integratuz; segurtasun prozesu integrala eta zeharkakoa da.

JOBFIE sistemaren osotasuna aldaketa-kudeaketa prozesu baten bidez bermatzea konprometzen da, elementu fisiko edo logikoak sisteman instalatu aurretik baimenduta eguneratzea kontrolatzen duena. Ebaluazio hori batez ere sistemaren kudeaketak egingo du, aldaketak egin aurretik sistemaren segurtasunean eragina ebaluatuko du eta sistemaren segurtasunean eragina duten edo garrantzitsuak direla ebaluatutako aldaketak dokumentatuta kontrolatuko ditu.

Segurtasun berrikusketa periodikoek sistemaren segurtasun-egoera ebaluatuko dute fabrikatzaileen espezifikazioekin, ahultasunekin eta aplika daitezkeen eguneraketekin alderatuta, eta egokitasunez erreakzionatuko dute arriskua kudeatzeko sistemaren segurtasun-egoeraren arabera.

JOBFIE ingurune ez-seguruetan gordetako edo transmititzen den informazioaren Segurtasunerako babes-neurriak ezartzen ditu. Ingurune ez-segurtzat joko dira eramangarriak, PDA laguntzaile pertsonalak, periferikoak, informazio-euskarriak eta sare irekietan edo zifratu ahuleko komunikazioak.

JOBFIE informazioaren Segurtasunerako babes-neurriak ezartzen ditu, batez ere perimetroa babesteko, batez ere sare publikoetara konektatzean, batez ere herritarrentzat eskuragarri dauden komunikazio elektronikoen zerbitzuak hornitzeko gehienbat edo osorik erabiltzen direnean.

Edozein kasutan, sistemaren sareen bidez beste sistema batzuekin elkarketak sortzen dituen arriskuak aztertuko dira eta elkarketa-puntua kontrolatuko da.

JOBFIE jardueraren jarraitasuna bermatzeko, sistemek babeskopia izan ditzaten neurriak ezartzen ditu eta ohiko lan-baliabideak galtzen badira eragiketaren jarraitasuna bermatzeko beharrezko mekanismoak ezartzen ditu.

JOBFIE informazioaren segurtasunaren etengabeko hobekuntzarako prozesu bat ezartzen du, ISO 27001 bezalako nazioarteko arauetan ezarritako irizpideei eta metodologiari jarraituz.