Política de Seguretat de la Informació

Esta Política de Seguretat de la Informació és efectiva des de la data de signatura i fins que siga substituïda per una nova Política.

Data d'entrada en vigor: 18 de maig de 2026.

JOBFIE, per a assolir els seus objectius, assumix el seu compromís amb la seguretat de la informació, garantint una gestió adequada de la mateixa amb la finalitat d'oferir a tots els seus grups d'interés les màximes garanties pel que fa a la protecció de la informació tractada en el desenvolupament dels seus servicis tecnològics i digitals.

Estos sistemes han d'administrar-se amb diligència, prenent les mesures adequades per a protegir-los davant de danys accidentals o deliberats que puguen afectar la disponibilitat, la integritat o la confidencialitat de la informació tractada o dels servicis prestats.

L'objectiu de la seguretat de la informació és garantir la qualitat de la informació i la prestació continuada dels servicis, actuant preventivament, supervisant l'activitat diària i reaccionant amb promptitud als incidents.

Els sistemes TIC han de protegir-se contra amenaces d'evolució ràpida amb potencial per a incidir en la confidencialitat, la integritat, la disponibilitat, l'ús previst i el valor de la informació i els servicis. Per a defendre's d'estes amenaces, es requerix una estratègia que s'adapte als canvis en les condicions de l'entorn per a garantir la prestació contínua dels servicis. Això implica que els departaments han d'aplicar les mesures mínimes de seguretat exigides per l'Esquema Nacional de Seguretat (ENS), així com fer un seguiment continu dels nivells de prestació de servicis, seguir i analitzar les vulnerabilitats reportades, i preparar una resposta efectiva als incidents per a garantir la continuïtat dels servicis prestats.

Els diferents departaments han d'assegurar-se que la seguretat TIC és una part integral de cada etapa del cicle de vida del sistema, des de la concepció fins a la retirada de servici, passant per les decisions de desenvolupament o adquisició i les activitats d'explotació. Els requisits de seguretat i les necessitats de finançament s'han d'identificar i incloure en la planificació, en la sol·licitud d'ofertes i en els plecs de licitació per a projectes de TIC.

Els departaments han d'estar preparats per a prevenir, detectar, reaccionar i recuperar-se d'incidents, d'acord amb l'article 8 de l'ENS (article 8. Prevenció, detecció, resposta i conservació).

Esta política s'aplica a tots els sistemes TIC de l'entitat i a tots els membres de l'organització implicats en servicis i projectes destinats al sector públic que requerisquen l'aplicació de l'ENS, sense excepcions.

Per tot l'exposat anteriorment, la Direcció establix els objectius següents de seguretat de la informació:

• Proporcionar un marc per a augmentar la capacitat de resistència o resiliència per a donar una resposta eficaç.
• Assegurar la recuperació ràpida i eficient dels servicis davant de qualsevol desastre físic o contingència que es produïsca i pose en risc la continuïtat de les operacions.
• Prevenir incidents de seguretat de la informació en la mesura que siga tècnica i econòmicament viable, així com mitigar els riscos de seguretat de la informació generats per les nostres activitats.
• Garantir la confidencialitat, la integritat, la disponibilitat, l'autenticitat i la traçabilitat de la informació.

Un dels objectius ha de ser el de complir amb els requisits legals aplicables i amb qualsevol altre requisit al qual ens subscribim a més dels compromisos adquirits amb els clients, així com l'actualització contínua dels mateixos. Per a això, el marc legal i reglamentari en el qual desenvolupem les nostres activitats és:

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.
• Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI).
• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
• Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
• Ley 1/2019, de 20 de febrero, de Secretos Empresariales.
• Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
• Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.

Per a poder assolir estos objectius cal:

• Millorar contínuament el nostre sistema de seguretat de la informació.
• Identificar les amenaces potencials, així com l'impacte en les operacions de negoci que estes amenaces, en cas de materialitzar-se, puguen causar.
• Preservar els interessos de les principals parts interessades (clients, accionistes, empleats i proveïdors), la reputació, la marca i les activitats de creació de valor.
• Treballar de forma conjunta amb els nostres proveïdors i subcontractistes amb la finalitat de millorar la prestació de servicis de TI, la continuïtat dels servicis i la seguretat de la informació, la qual cosa reverteix en una major eficiència de la nostra activitat.
• Avaluar i garantir la competència tècnica del personal, així com assegurar la motivació adequada per a la participació en la millora contínua dels nostres processos, proporcionant la formació i la comunicació interna adequades perquè desenvolupen les bones pràctiques definides en el sistema.
• Garantir el correcte estat de les instal·lacions i l'equipament adequat, de manera que estiguen en correspondència amb l'activitat, els objectius i les fites de l'empresa.
• Garantir una anàlisi contínua de tots els processos rellevants, establint les millores pertinents en cada cas en funció dels resultats obtinguts i dels objectius establits.
• Estructurar el nostre sistema de gestió de manera que siga fàcil de comprendre.

La gestió del nostre sistema s'encarrega al Responsable de Sistemes Informàtics i el sistema estarà disponible en el nostre sistema d'informació en un repositori al qual es pot accedir segons els perfils d'accés concedits d'acord amb el procediment vigent de gestió dels accessos.

La documentació referida a la seguretat del sistema es troba estructurada en carpetes dins del servidor de fitxers de la companyia, dividida en subcarpetes nomenades per punts de norma i marcs d'operació, les quals recullen els diferents procediments, registres i evidències, amb accés restringit al personal de la companyia, sense que hi puga accedir personal extern no autoritzat.

La documentació de seguretat s'estructura en:

• Política de Seguretat.
• Normativa de seguretat: documents que descriuen l'ús d'equips, servicis i instal·lacions. Descriguen el que es considera ús indegut, la responsabilitat del personal respecte al compliment o violació de la normativa, drets, deures i mesures disciplinàries d'acord amb la legislació vigent.
• Documents específics: documentació de seguretat desenvolupada segons les guies CCN-STIC que resulten d'aplicació.
• Procediments de seguretat: documents que detallen com operar els elements del sistema.

Esta política es complementa amb la resta de polítiques, procediments i documents en vigor per a desenvolupar el nostre sistema de gestió.

La responsabilitat essencial recau sobre la Direcció General de l'organització, puix aquesta és responsable d'organitzar les funcions i responsabilitats i de facilitar els recursos adequats per a assolir els objectius de l'ENS. Els directius també són responsables de donar bon exemple complint les normes de seguretat establides.

Estos principis els assumix la Direcció, que disposa els mitjans necessaris i dota els seus empleats dels recursos suficients per al compliment, plasmant-los i posant-los en coneixement públic mitjançant la present Política Integrada de Sistemes de Gestió.

Els rols o funcions de seguretat definits són:

Esta definició de deures i responsabilitats es completa en els perfils de càrrec i en els documents del sistema Registre de responsables, rols i responsabilitats.

Resolució de conflictes

Les diferències de criteri que poguessen derivar en un conflicte es tractaran en el si del Comité de Seguretat i prevaldrà en tot cas el criteri de la Direcció General.

El procediment per a la seua designació i renovació serà la ratificació en el comité de seguretat.

El comité per a la gestió i coordinació de la seguretat és l'òrgan amb major responsabilitat dins del sistema de gestió de seguretat de la informació, de manera que totes les decisions més importants relatives a la seguretat s'acorden per este comité.

Estos membres són designats pel comité, únic òrgan que els pot nomenar, renovar-los i cessar-los.

El comité de seguretat és un òrgan autònom, executiu i amb autonomia per a la presa de decisions i que no ha de subordinar la seua activitat a cap altre element de la nostra empresa.

L'organització de la seguretat de la informació es desenvolupa en el document complementari d'esta Política d'Organització de la Seguretat.

Esta política es complementa amb la resta de polítiques, procediments i documents en vigor per a desenvolupar el nostre sistema de gestió.

Tots els sistemes subjectes a esta Política hauran de realitzar una anàlisi de riscos, avaluant les amenaces i els riscos als quals estan exposats. Esta anàlisi es revisa regularment:

• almenys una vegada l'any;
• quan canvie la informació gestionada;
• quan canviïn els servicis prestats;
• quan ocurrisca un incident greu de seguretat;
• quan es notifiquen vulnerabilitats greus.

Per a l'armonització de les anàlisis de riscos, el Comité de Seguretat TIC establirà una valoració de referència per als diferents tipus d'informació gestionada i els diferents servicis prestats. El Comité de Seguretat TIC dinamitzarà la disponibilitat de recursos per a atendre les necessitats de seguretat dels diferents sistemes, promovent inversions de caràcter horitzontal.

Per a la realització de l'anàlisi de riscos es tindrà en compte la metodologia d'anàlisi de riscos desenvolupada en el procediment Anàlisi de riscos.

Tots els membres de JOBFIE tenen l'obligació de conèixer i complir esta Política de Seguretat de la Informació i la Normativa de Seguretat, sent responsabilitat del Comité de Seguretat TIC disposar els mitjans necessaris perquè la informació arribi als afectats.

Tots els membres de JOBFIE assistiran a una sessió de conscienciació en matèria de seguretat TIC almenys una vegada l'any. S'establirà un programa de conscienciació contínua per a atendre tots els membres de JOBFIE, en particular els de nova incorporació.

Les persones amb responsabilitat en l'ús, operació o administració de sistemes TIC rebran formació per al maneig segur dels sistemes en la mesura que la necessiten per a fer la seua feina. La formació serà obligatòria abans d'assumir una responsabilitat, tant si és la primera assignació com si es tracta d'un canvi de lloc de treball o de responsabilitats en el mateix.

Esta Política s'aplica a tot el personal de JOBFIE i al personal extern que realitza tasques dins de l'empresa.

RRHH inclourà funcions de seguretat de la informació en les descripcions de treball dels empleats, informarà tot el personal que contracte sobre les seues obligacions respecte al compliment de la Política de Seguretat de la Informació, gestionarà els Compromisos de Confidencialitat amb el personal i coordinarà les tasques de capacitació dels usuaris respecte a esta Política.

El Responsable de Gestió de la Seguretat (RGS) [CISO] és responsable de monitoritzar, documentar i analitzar els incidents de seguretat reportats, així com de comunicar-se amb el Comité de Seguretat de la Informació i amb els propietaris de la informació.

El Comité de Seguretat de la Informació serà responsable d'implementar els mitjans i canals necessaris perquè el Responsable de Gestió de la Seguretat (RGS) [CISO] gestione informes d'incidents i anomalies del sistema. El Comité també estarà al cas, supervisarà la investigació, supervisarà l'evolució de la informació i promourà la resolució d'incidents de seguretat de la informació.

El Responsable de Gestió de la Seguretat (RGS) [CISO] participarà en la preparació del Compromís de Confidencialitat que signaran els empleats i tercers que exercisquen funcions a JOBFIE, en l'assessorament sobre les sancions que s'aplicaran per incompliment d'esta Política i en el tractament d'incidents de seguretat de la informació.

Tot el personal de JOBFIE és responsable d'informar sobre les debilitats i incidents de seguretat de la informació que es detecten oportunament.

Professionalitat dels recursos humans

• Determinar la competència necessària del personal per a dur a terme el treball que afecta la Seguretat de la Informació.
• Assegurar que les persones siguen competents sobre la base de l'educació, la capacitació o l'experiència adequades.
• Demostrar mitjançant la informació documentada que siga necessària la competència del personal en matèria de Seguretat de la Informació.

Els objectius de controlar la seguretat del personal són:

• Reduir els riscos d'error humà, posada en marxa d'irregularitats, ús indegut d'instal·lacions i recursos, i maneig no autoritzat de la informació.
• Explicar les responsabilitats de seguretat en l'etapa de reclutament del personal i incloure-les en els acords a signar i verificar el compliment durant el desenvolupament de les tasques de l'empleat.
• Assegurar-se que els usuaris estiguen al corrent de les amenaces i preocupacions de seguretat de la informació i estiguen capacitats per a donar suport a la Política de Seguretat de la Informació de l'organització en el curs de les seues tasques normals.
• Establir compromisos de confidencialitat amb tot el personal i usuaris fora de les instal·lacions de processament d'informació.
• Establir les eines i els mecanismes necessaris per a promoure la comunicació de les debilitats de seguretat existents, així com els incidents, amb la finalitat de minimitzar-ne els efectes i prevenir-ne la reincidència.

El control de l'accés als sistemes d'informació té per objectiu:

• Evitar l'accés no autoritzat a sistemes d'informació, bases de dades i servicis d'informació.
• Implementar la seguretat en l'accés dels usuaris mitjançant tècniques d'autenticació i autorització.
• Controlar la seguretat en la connexió entre la xarxa de JOBFIE i altres xarxes públiques o privades.
• Revisar els esdeveniments crítics i les activitats portades a terme pels usuaris en els sistemes.
• Conscienciar sobre la responsabilitat per l'ús de contrasenyes i equips.
• Garantir la seguretat de la informació quan s'utilitzen ordinadors portàtils i ordinadors personals per al teletreball.

Els objectius d'esta política en matèria de protecció de les instal·lacions són:

• Prevenir l'accés no autoritzat, danys i interferències a la seu, les instal·lacions i la informació de JOBFIE.
• Protegir l'equip de processament d'informació crític de JOBFIE, col·locant-lo en àrees protegides i dins d'un perímetre de seguretat definit, amb les mesures de seguretat i els controls d'accés adequats. Així mateix, contemplar la protecció d'este equip en el seu trasllat i quan roman fora de les àrees protegides per manteniment o altres motius.
• Controlar els factors ambientals que podrien perjudicar el bon funcionament de l'equip de còmput que allotja la informació de JOBFIE.
• Implementar mesures per a protegir la informació gestionada pel personal a les oficines, en el marc normal de les seues tasques habituals.
• Proporcionar protecció proporcional als riscos identificats.

Esta Política s'aplica a tots els recursos físics relacionats amb els sistemes d'informació de JOBFIE: instal·lacions, equips, cablejat, expedients, mitjans d'emmagatzematge, etc.

El responsable de Gestió de la Seguretat (RGS) [CISO], juntament amb els Titulars de la Informació, quan corresponga, definirà les mesures de seguretat física i ambiental per a la protecció dels actius crítics sobre la base d'una anàlisi de riscos i en supervisarà l'aplicació. També verificarà el compliment de les disposicions de seguretat física i mediambiental.

Els responsables dels diferents departaments definiran els nivells d'accés físic del personal de JOBFIE a les àrees restringides sota la seua responsabilitat. Els propietaris d'informació autoritzaran formalment el treball fora del lloc amb informació sobre el seu negoci als empleats de JOBFIE quan ho consideren oportú.

Tot el personal de JOBFIE és responsable del compliment de la política de pantalla neta i escriptori net per a la protecció de la informació relacionada amb la feina diària a les oficines.

Els diferents departaments han d'assegurar-se que la seguretat TIC és una part integral de cada etapa del cicle de vida del sistema, des de la concepció fins a la retirada de servici, passant per les decisions de desenvolupament o adquisició i les activitats d'explotació. Els requisits de seguretat i les necessitats de finançament s'han d'identificar i incloure en la planificació, en la sol·licitud d'ofertes i en els plecs de licitació per a projectes de TIC.

D'altra banda, es tindrà en compte la seguretat de la informació en l'adquisició i el manteniment dels sistemes d'informació, limitant i gestionant el canvi.

La política de desenvolupament i adquisició de sistemes d'informació es desenvolupa en el document: Política d'adquisició, desenvolupament i manteniment de sistemes.

JOBFIE considera estratègic per a l'entitat que els processos integren la seguretat de la informació com a part del seu cicle de vida. Els sistemes d'informació i els servicis han d'incloure la seguretat per defecte des de la creació fins a la retirada, incloent-hi la seguretat en les decisions de desenvolupament i/o adquisició i en totes les activitats en explotació, establint la seguretat com un procés integral i transversal.

JOBFIE es compromet a garantir la integritat del sistema mitjançant un procés de gestió de canvis que permeta el control de l'actualització dels elements físics o lògics mitjançant l'autorització prèvia a la instal·lació en el sistema. Esta avaluació serà duta a terme principalment per la direcció de sistemes, que avaluarà l'impacte en la seguretat del sistema abans de realitzar els canvis i controlarà de forma documentada aquells canvis que s'avaluen com a importants o amb implicacions en la seguretat dels sistemes.

Mitjançant revisions periòdiques de seguretat s'avaluarà l'estat de seguretat dels sistemes en relació amb les especificacions dels fabricants, les vulnerabilitats i les actualitzacions que els afecten, reaccionant amb diligència per a gestionar el risc a la vista de l'estat de seguretat d'estos.

JOBFIE establix mesures de protecció per a la Seguretat de la Informació emmagatzemada o en trànsit a través d'entorns insegurs. Tindran consideració d'entorns insegurs els equips portàtils, assistents personals (PDA), dispositius perifèrics, suports d'informació i comunicacions sobre xarxes obertes o amb xifrat feble.

JOBFIE establix mesures de protecció per a la Seguretat de la Informació especialment per a protegir el perímetre, en particular si es connecta a xarxes públiques, especialment si s'utilitzen en la seua totalitat o principalment per a la prestació de servicis de comunicacions electròniques disponibles per al públic.

En tot cas s'analitzaran els riscos derivats de la interconnexió del sistema mitjançant xarxes amb altres sistemes, i es controlarà el seu punt d'unió.

JOBFIE, amb l'objectiu de garantir la continuïtat de les activitats, establix mesures per a garantir que els sistemes compten amb còpies de seguretat i amb els mecanismes necessaris per a mantenir la continuïtat de les operacions en cas de pèrdua dels mitjans habituals de treball.

JOBFIE establix un procés de millora contínua de la seguretat de la informació aplicant els criteris i la metodologia establida en normes internacionals com ISO 27001.