Política de Seguridade da Información

Esta Política de Seguridade da Información é efectiva desde a data de sinatura e ata que sexa substituída por unha nova Política.

Data de entrada en vigor: 18 de maio de 2026.

JOBFIE, para alcanzar os seus obxectivos, asume o seu compromiso coa seguridade da información, garantindo unha xestión axeitada da mesma co fin de ofrecer a todos os seus grupos de interese as máximas garantías en relación coa protección da información tratada no desenvolvemento dos seus servizos tecnolóxicos e dixitais.

Estes sistemas deben ser administrados con dilixencia, adoptando as medidas axeitadas para protexelos fronte a danos accidentais ou deliberados que poidan afectar á dispoñibilidade, integridade ou confidencialidade da información tratada ou dos servizos prestados.

O obxectivo da seguridade da información é garantir a calidade da información e a prestación continuada dos servizos, actuando preventivamente, supervisando a actividade diaria e reaccionando con dilixencia aos incidentes.

Os sistemas TIC deben estar protexidos contra ameazas de rápida evolución con potencial de incidir na confidencialidade, integridade, dispoñibilidade, uso previsto e valor da información e dos servizos. Para facerlles fronte, cómpre unha estratexia que se adapte aos cambios nas condicións do entorno para garantir a prestación continuada dos servizos. Isto implica que os departamentos deben aplicar as medidas mínimas de seguridade esixidas polo Esquema Nacional de Seguridade (ENS), así como realizar un seguimento continuado dos niveis de prestación de servizos, seguir e analizar as vulnerabilidades reportadas e preparar unha resposta efectiva aos incidentes para garantir a continuidade dos servizos prestados.

Os distintos departamentos deben asegurarse de que a seguridade TIC é unha parte integral de cada etapa do ciclo de vida do sistema, desde a súa concepción ata a súa retirada de servizo, pasando polas decisións de desenvolvemento ou adquisición e as actividades de explotación. Os requisitos de seguridade e as necesidades de financiamento deben identificarse e incluírse na planificación, na solicitude de ofertas e nos pregos de licitación para proxectos de TIC.

Os departamentos deben estar preparados para previr, detectar, reaccionar e recuperarse de incidentes, de acordo co artigo 8 do ENS (artigo 8. Prevención, detección, resposta e conservación).

Esta política aplícase a todos os sistemas TIC da entidade e a todos os membros da organización implicados en servizos e proxectos destinados ao sector público que requiran a aplicación do ENS, sen excepcións.

Por todo o anteriormente exposto, a Dirección establece os seguintes obxectivos de seguridade da información:

• Proporcionar un marco para aumentar a capacidade de resistencia ou resiliencia de dar unha resposta eficaz.
• Asegurar a recuperación rápida e eficiente dos servizos fronte a calquera desastre físico ou contingencia que se produza e poña en risco a continuidade das operacións.
• Previr incidentes de seguridade da información na medida en que sexa tecnicamente e economicamente viable, así como mitigar os riscos de seguridade da información xerados polas nosas actividades.
• Garantir a confidencialidade, integridade, dispoñibilidade, autenticidade e trazabilidade da información.

Un dos obxectivos debe ser o de cumprir cos requisitos legais aplicables e con calquera outro requisito ao que nos subscribimos ademais dos compromisos adquiridos cos clientes, así como a actualización continuada dos mesmos. Para iso, o marco legal e regulamentario no que desenvolvemos as nosas actividades é:

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.
• Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI).
• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
• Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
• Ley 1/2019, de 20 de febrero, de Secretos Empresariales.
• Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
• Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.

Para poder lograr estes obxectivos é necesario:

• Mellorar continuamente o noso sistema de seguridade da información.
• Identificar as ameazas potenciais, así como o impacto nas operacións de negocio que ditas ameazas, de materializarse, poidan causar.
• Preservar os intereses das principais partes interesadas (clientes, accionistas, empregados e provedores), a reputación, a marca e as actividades de creación de valor.
• Traballar de forma conxunta cos nosos provedores e subcontratistas co fin de mellorar a prestación de servizos de TI, a continuidade dos servizos e a seguridade da información, repercutindo nunha maior eficiencia da nosa actividade.
• Avaliar e garantir a competencia técnica do persoal, así como asegurar a motivación axeitada para a participación na mellora continua dos nosos procesos, proporcionando a formación e a comunicación interna axeitadas para que desenvolvan as boas prácticas definidas no sistema.
• Garantir o correcto estado das instalacións e o equipamento axeitado, de forma que estean en correspondencia coa actividade, obxectivos e metas da empresa.
• Garantir unha análise continua de todos os procesos relevantes, establecendo as melloras pertinentes en cada caso en función dos resultados obtidos e dos obxectivos establecidos.
• Estruturar o noso sistema de xestión de forma que sexa doado de comprender.

A xestión do noso sistema encoméndase ao Responsable de Sistemas Informáticos e o sistema estará dispoñible no noso sistema de información nun repositorio ao que se pode acceder segundo os perfís de acceso concedidos conforme ao procedemento vixente de xestión dos accesos.

A documentación referida á seguridade do sistema está estruturada en carpetas dentro do servidor de ficheiros da compañía, dividida en subcarpetas nomeadas por puntos de norma e marcos de operación, que recollen os distintos procedementos, rexistros e evidencias, con acceso restrinxido ao persoal da compañía, sen que poida acceder persoal externo non autorizado.

A documentación de seguridade estrúcturase en:

• Política de Seguridade.
• Normativa de seguridade: documentos que describen o uso de equipos, servizos e instalacións. Describen o que se considera uso indebido, a responsabilidade do persoal respecto ao cumprimento ou violación da normativa, dereitos, deberes e medidas disciplinarias de acordo coa lexislación vixente.
• Documentos específicos: documentación de seguridade desenvolvida segundo as guías CCN-STIC que resulten de aplicación.
• Procedementos de seguridade: documentos que detallan como operar os elementos do sistema.

Esta política complétase co resto das políticas, procedimentos e documentos vixentes para desenvolver o noso sistema de xestión.

A responsabilidade esencial recae sobre a Dirección Xeral da organización, xa que é a encargada de organizar as funcións e responsabilidades e de facilitar os recursos axeitados para acadar os obxectivos do ENS. Os directivos tamén son responsables de dar bo exemplo cumprindo as normas de seguridade establecidas.

Estes principios son asumidos pola Dirección, que dispón os medios necesarios e dota os empregados dos recursos suficientes para o cumprimento, plasmándoos e poñéndoos en coñecemento público a través da presente Política Integrada de Sistemas de Xestión.

Os roles ou funcións de seguridade definidos son:

Esta definición de deberes e responsabilidades complétase nos perfís de posto e nos documentos do sistema Rexistro de responsables, roles e responsabilidades.

Resolución de conflitos

As diferenzas de criterio que puideran derivar nun conflito trataranse no seo do Comité de Seguridade e prevalecerá en todo caso o criterio da Dirección Xeral.

O procedemento para a súa designación e renovación será a ratificación no comité de seguridade.

O comité para a xestión e coordinación da seguridade é o órgano con maior responsabilidade dentro do sistema de xestión de seguridade da información, de forma que todas as decisións máis importantes relacionadas coa seguridade acórdanse por este comité.

Estes membros son designados polo comité, único órgano que os pode nomear, renovalos e cesalos.

O comité de seguridade é un órgano autónomo, executivo e con autonomía para a toma de decisións e non ten por que subordinar a súa actividade a ningún outro elemento da nosa empresa.

A organización da seguridade da información desenvolveuse no documento complementario a esta Política de Organización da Seguridade.

Esta política complétase co resto das políticas, procedementos e documentos vixentes para desenvolver o noso sistema de xestión.

Todos os sistemas suxeitos a esta Política deberán realizar unha análise de riscos, avaliando as ameazas e os riscos aos que están expostos. Esta análise revísase regularmente:

• polo menos unha vez ao ano;
• cando cambie a información manexada;
• cando cambien os servizos prestados;
• cando ocorra un incidente grave de seguridade;
• cando se reporten vulnerabilidades graves.

Para a harmonización das análises de riscos, o Comité de Seguridade TIC establecerá unha valoración de referencia para os diferentes tipos de información manexada e os diferentes servizos prestados. O Comité de Seguridade TIC dinamizará a dispoñibilidade de recursos para atender as necesidades de seguridade dos diferentes sistemas, promovendo investimentos de carácter horizontal.

Para a realización da análise de riscos terase en conta a metodoloxía de análise de riscos desenvolvida no procedemento Análise de riscos.

Todos os membros de JOBFIE teñen a obriga de coñecer e cumprir esta Política de Seguridade da Información e a Normativa de Seguridade, sendo responsabilidade do Comité de Seguridade TIC dispor os medios necesarios para que a información chegue aos afectados.

Todos os membros de JOBFIE asistirán a unha sesión de concienciación en materia de seguridade TIC polo menos unha vez ao ano. Establécese un programa de concienciación continua para atender a todos os membros de JOBFIE, en particular aos de nova incorporación.

As persoas con responsabilidade no uso, operación ou administración de sistemas TIC recibirán formación para o manexo seguro dos sistemas na medida en que a necesiten para realizar o seu traballo. A formación será obrigatoria antes de asumir unha responsabilidade, tanto se é a súa primeira asignación como se se trata dun cambio de posto de traballo ou de responsabilidades no mesmo.

Esta Política aplícase a todo o persoal de JOBFIE e ao persoal externo que realiza tarefas dentro da empresa.

RRHH incluirá funcións de seguridade da información nas descricións dos traballos dos empregados, informará a todo o persoal que contrate sobre as súas obrigas respecto ao cumprimento da Política de Seguridade da Información, xestionará os Compromisos de Confidencialidade co persoal e coordinará as tarefas de capacitación dos usuarios respecto a esta Política.

O Responsable de Xestión da Seguridade (RGS) [CISO] é o responsable de supervisar, documentar e analizar os incidentes de seguridade reportados, así como de comunicarse co Comité de Seguridade da Información e cos propietarios da información.

O Comité de Seguridade da Información será responsable de implementar os medios e canais necesarios para que o Responsable de Xestión da Seguridade (RGS) [CISO] xestione informes de incidentes e anomalías do sistema. O Comité tamén estará ao tanto, supervisará a investigación, supervisará a evolución da información e promoverá a resolución de incidentes de seguridade da información.

O Responsable de Xestión da Seguridade (RGS) [CISO] participará na preparación do Compromiso de Confidencialidade que asinarán os empregados e terceiros que desempeñen funcións en JOBFIE, no asesoramento sobre as sancións que se aplicarán por incumprimento desta Política e no tratamento de incidentes de seguridade da información.

Todo o persoal de JOBFIE é responsable de informar sobre as debilidades e incidentes de seguridade da información que se detecten oportunamente.

Profesionalidade dos recursos humanos

• Determinar a competencia necesaria do persoal para levar a cabo o traballo que afecta á Seguridade da Información.
• Asegurar que as persoas sexan competentes sobre a base da educación, capacitación ou experiencia axeitadas.
• Demostrar mediante a información documentada que sexa necesaria a competencia do persoal en materia de Seguridade da Información.

Os obxectivos de controlar a seguridade do persoal son:

• Reducir os riscos de erro humano, posta en marcha de irregularidades, uso indebido de instalacións e recursos e manexo non autorizado da información.
• Explicar as responsabilidades de seguridade na etapa de reclutamento do persoal e incluílas nos acordos a asinar e verificar o seu cumprimento durante o desempeño das tareas do empregado.
• Asegurarse de que os usuarios estean ao tanto das ameazas e preocupacións de seguridade da información e estean capacitados para apoiar a Política de Seguridade da Información da organización no curso das súas tarefas normais.
• Establecer compromisos de confidencialidade con todo o persoal e usuarios fóra das instalacións de procesamento da información.
• Establecer as ferramentas e mecanismos necesarios para promover a comunicación das debilidades de seguridade existentes, así como os incidentes, co fin de minimizar os seus efectos e previr a súa reincidencia.

O control do acceso aos sistemas de información ten por obxectivo:

• Evitar o acceso non autorizado a sistemas de información, bases de datos e servizos de información.
• Implementar a seguridade no acceso dos usuarios a través de técnicas de autenticación e autorización.
• Controlar a seguridade na conexión entre a rede de JOBFIE e outras redes públicas ou privadas.
• Revisar os eventos críticos e as actividades levadas a cabo polos usuarios nos sistemas.
• Concienciar sobre a súa responsabilidade polo uso de contrasinais e equipos.
• Garantir a seguridade da información cando se utilizan ordenadores portátiles e ordenadores persoais para o teletraballo.

Os obxectivos desta política en materia de protección das instalacións son:

• Previr o acceso non autorizado, danos e interferencias na sede, instalacións e información de JOBFIE.
• Protexer o equipo de procesamento de información crítico de JOBFIE, colocándoo en áreas protexidas e protexido por un perímetro de seguridade definido, coas medidas de seguridade e controis de acceso axeitados. Así mesmo, contemplar a protección deste no seu traslado e cando permaneza fóra das áreas protexidas por mantemento ou outros motivos.
• Controlar os factores ambientais que poderían prexudicar o bo funcionamento do equipo de computación que alberga a información de JOBFIE.
• Implementar medidas para protexer a información manexada polo persoal nas oficinas, no marco normal das súas tarefas habituais.
• Proporcionar protección proporcional aos riscos identificados.

Esta Política aplícase a todos os recursos físicos relacionados cos sistemas de información de JOBFIE: instalacións, equipos, cableado, expedientes, medios de almacenamento, etc.

O responsable de Xestión da Seguridade (RGS) [CISO], xunto cos Titulares da Información, segundo proceda, definirá as medidas de seguridade física e ambiental para a protección dos activos críticos sobre a base dunha análise de riscos e supervisará a súa aplicación. Tamén verificará o cumprimento das disposicións de seguridade física e medioambiental.

Os responsables dos diferentes departamentos definirán os niveis de acceso físico do persoal de JOBFIE ás áreas restrinxidas baixo a súa responsabilidade. Os Propietarios da Información autorizarán formalmente o traballo fóra do sitio con información sobre o seu negocio aos empregados de JOBFIE cando o consideren oportuno.

Todo o persoal de JOBFIE é responsable do cumprimento da política de pantalla limpa e escritorio limpo para a protección da información relacionada co traballo diario nas oficinas.

Os diferentes departamentos deben asegurarse de que a seguridade TIC é unha parte integral de cada etapa do ciclo de vida do sistema, desde a súa concepción ata a súa retirada de servizo, pasando polas decisións de desenvolvemento ou adquisición e as actividades de explotación. Os requisitos de seguridade e as necesidades de financiamento deben identificarse e incluírse na planificación, na solicitude de ofertas e nos pregos de licitación para proxectos de TIC.

Por outra banda, terase en conta a seguridade da información na adquisición e mantemento dos sistemas de información, limitando e xestionando o cambio.

A política de desenvolvemento e adquisición de sistemas de información desenvolveuse no documento: Política de adquisición, desenvolvemento e mantemento de sistemas.

JOBFIE considera estratexico para a entidade que os procesos integren a seguridade da información como parte do seu ciclo de vida. Os sistemas de información e os servizos deben incluír a seguridade por defecto desde a súa creación ata a súa retirada, incluída a seguridade nas decisións de desenvolvemento e/ou adquisición e en todas as actividades en explotación; establécese a seguridade como un proceso integral e transversal.

JOBFIE comprométese a garantir a integridade do sistema mediante un proceso de xestión de cambios que permita o control da actualización dos elementos físicos ou lóxicos mediante a autorización previa á súa instalación no sistema. Dita avaliación será levada a cabo principalmente pola dirección de sistemas que avaliará o impacto na seguridade do sistema antes de realizar os cambios e controlará de forma documentada aqueles cambios que se avalíen como importantes ou con implicacións na seguridade dos sistemas.

Mediante revisións periódicas de seguridade avaliarase o estado de seguridade dos sistemas en relación coas especificacións dos fabricantes, as vulnerabilidades e as actualizacións que lles afecten, reaccionando con dilixencia para xestionar o risco á vista do estado de seguridade destes.

JOBFIE establece medidas de protección para a Seguridade da Información almacenada ou en tránsito a través de contornos inseguros. Terán a consideración de contornos inseguros os equipos portátiles, asistentes persoais (PDA), dispositivos periféricos, soporte de información e comunicacións sobre redes abertas ou con cifrado débil.

JOBFIE establece medidas de protección para a Seguridade da Información especialmente para protexer o perímetro, en particular se se conecta a redes públicas, especialmente se se utilizan na súa totalidade ou principalmente para a prestación de servizos de comunicacións electrónicas dispoñibles para o público.

En todo caso analizaranse os riscos derivados da interconexión do sistema mediante redes con outros sistemas e controlarase o seu punto de unión.

JOBFIE, co obxectivo de garantir a continuidade das actividades, establece medidas para que os sistemas teñan copias de seguranza e establece os mecanismos necesarios para garantir a continuidade das operacións en caso de perda dos medios habituais de traballo.

JOBFIE establece un proceso de mellora continua da seguridade da información aplicando os criterios e metodoloxía establecidos en normas internacionais como ISO 27001.