Política de Seguridad de la Información

1. APROBACIÓN Y ENTRADA EN VIGOR

Texto aprobado el día 14 de enero de 2026 por la Dirección de Nettaro Consulting, S.L

Esta Política de Seguridad de la Información está vigente desde la fecha de aprobación y hasta que sea reemplazada por una nueva Política.

Este texto deroga al anterior, que fue aprobado el 19 de junio de 2025.

2. INTRODUCCIÓN

nettaro depende de los sistemas de información para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas, en función del riesgo, para protegerlos frente a daños accidentales o deliberados que puedan afectar a la autenticidad, trazabilidad, integridad o confidencialidad de la información tratada o la disponibilidad de los servicios prestados.

El objetivo último de la Seguridad de la Información es garantizar que la entidad pueda cumplir con sus objetivos, desarrollar sus funciones o competencias y prestar los servicios, para la cual se ha sido constituida la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.

Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios. Esto implica que se deben aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.

nettaro debe cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos donde se traten datos personales, se adquieran servicios TIC o se presten servicios que afecten a los sistemas de información.

3. ALCANCE

Esta política se aplica a todos los sistemas de información de nettaro a las personas que conforman la organización y a los prestadores de servicios proveedores de soluciones TIC de nettaro.

4. MISIÓN

Prestación de los Servicios TI: Observabilidad y Monitorización de Aplicaciones (APM), Gestión de Activos de Software (SAM), Ciberseguridad, Arquitectura y Servicios Gestionados CLOUD".

Los objetivos en materia de seguridad que nettaro pretende garantizar con la presente Política serán:

• Garantizar la confidencialidad, integridad, autenticidad de la información y la continuidad en la prestación de los servicios.
• Implementar medidas de seguridad en función del riesgo.
• Formar y concienciar a los integrantes de nettaro respecto a la seguridad de la información. Implementar medidas de seguridad que permitan la trazabilidad de los accesos y respetar, entre otros, el principio de mínimo privilegio, reforzando también el deber de confidencialidad de las personas usuarias en relación con la información que conocen en el desempeño de sus funciones.
• Desplegar y controlar la seguridad física haciendo que los activos de información se encuentren en áreas seguras, protegidos por controles de acceso, atendiendo a los riesgos detectados.
• Establecer la seguridad en la gestión de comunicaciones mediante los procedimientos necesarios, logrando que la información que sea transmita a través de redes de comunicaciones sea adecuadamente protegida.
• Controlar la adquisición, desarrollo y mantenimiento de los sistemas de información en todas las fases del ciclo de vida de los sistemas de información, garantizando su seguridad por defecto.
• Controlar el cumplimiento de las medidas de seguridad en la prestación de los servicios, manteniendo el control en la adquisición e incorporación de nuevos componentes del sistema.
• Gestionar los incidentes de seguridad para la correcta detección, contención, mitigación y resolución de estos, adoptando las medidas necesarias para que los mismos no vuelvan a reproducirse.
• Proteger la información personal, adoptando las medidas técnicas y organizativas en atención a los riesgos derivados del tratamiento conforme a la legislación en materia de protección de datos.
• Supervisar de forma continuada el sistema de gestión de la seguridad, mejorando y corrigiendo las ineficiencias detectadas.

5. PRINCIPIOS RECTORES DE LA POLÍTICA

• Alcance estratégico: la seguridad de la información debe contar con el compromiso y apoyo de todos los niveles de la entidad y deberá coordinarse e integrarse con el resto de las iniciativas estratégicas de forma coherente.
• Seguridad integral: la seguridad se entenderá como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con los sistemas de la información, procurando evitar cualquier actuación puntual o tratamiento coyuntural. La seguridad de la información debe considerarse como parte de la operativa habitual, estando presente y aplicándose desde el diseño inicial de los sistemas TIC.
• Gestión de la seguridad basada en el riesgo: la gestión de la seguridad basada en los riesgos identificados permitirá el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. Las medidas de seguridad se establecerán en función de los riesgos a que esté sujeta la información y sus sistemas. y serán proporcionales al riesgo que tratan, debiendo estar justificadas. Se tendrán también en cuenta los riesgos identificados en el tratamiento de datos personales.
• Prevención, detección, respuesta y conservación con la implementación de acciones preventivas de incidentes, minimizando las vulnerabilidades detectadas, evitando la materialización de las amenazas y, cuando estas se produzcan, danto una respuesta ágil para restaurar la información o servicios prestados, garantizando una conservación segura de la información.
• Existencia de líneas de defensa: la estrategia de seguridad de la entidad se diseña e implementa en capas de seguridad.
• Vigilancia continua y reevaluación periódica: la entidad implementa medios la detección y respuesta a actividades o comportamientos anómalos. Además, de otros que permitan una evaluación continuada del estado de seguridad de los activos, Existirá, también, un proceso de mejora continua para la revisión y actualización de las medidas de seguridad, de manera periódica, conforme a su eficacia y la evolución de los riesgos y sistemas de protección.
• Seguridad por defecto y desde el diseño: los sistemas deben estar diseñados y configurados para garantizar la seguridad por defecto. Los sistemas proporcionarán la funcionalidad mínima necesaria para prestar el servicio para el que fueron diseñados.
• Diferenciación de responsabilidades: en aplicación de este principio las funciones del Responsable de la Seguridad y del Responsable del Sistema estarán diferenciadas.

6. MARCO NORMATIVO

Las principales normas que afectan a este Política son:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• ISO/IEC 27001:2022 Sistemas de Gestión de la Seguridad de la Información. Requisitos.
• ISO/IEC 27002:2022 Control de la Seguridad de la Información.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• Real Decreto 1720/2007, de 21 de diciembre, Protección de Datos de Carácter Personal.
• Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el Texto Refundido de la Ley de Propiedad Intelectual.

Adicionalmente, nettaro cuenta con el registro R13-A Requisitos Legales, donde se identifican y gestionan todos los requisitos legales aplicables a la organización, asegurando su cumplimiento normativo en materia de seguridad de la información y protección de datos.

7. ORGANIZACIÓN DE LA SEGURIDAD

7.1. Comité de Seguridad

El Comité de Seguridad de la Información estará formado por:

• Dirección (JR)
• Responsable de la Información (JR)
• Responsable de Sistemas (DV)
• Responsable de Servicios (IP)
• Responsable de Seguridad (IP)
• Business Office Manager (CD)

El Comité de Seguridad de la Información tendrá las siguientes funciones

• Promover la mejora continua del Sistema de Gestión de la Seguridad de la Información
• Velar por el cumplimiento de la normativa de aplicación legal, regulatoria y sectorial
• Velar por el alineamiento de las actividades de seguridad y los objetivos de la organización.
• Revisar regularmente la Política de Seguridad de la Información
• Informar regularmente del estado de la seguridad de la información
• Resolver los conflictos de responsabilidad que puedan aparecer

7.2. ROLES: FUNCIONES Y RESPONSABILIDADES

7.2.1. Responsable de la Información:

• Encargado de determinar los requisitos de seguridad de la información tratada, aprobando los niveles de seguridad de la información.
• El desarrollo, implementación y mantenimiento de un Sistema de Gestión de la Seguridad de la Información (SGSI) conforme a lo establecido en el Esquema Nacional de Seguridad.
• La supervisión y evaluación de riesgos de seguridad de la información.
• La coordinación de acciones para garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.
• La colaboración con las autoridades competentes y el punto de contacto del Esquema Nacional de Seguridad.
• Aceptación del riesgo residual.

7.2.2. Responsable de Seguridad de la Información

• Determina las decisiones de seguridad pertinentes para satisfacer los requisitos establecidos por los responsables de la información y de los servicios.
• Mantener la seguridad de la información manejada y de los servicios prestados por los sistemas de información en su ámbito de responsabilidad, de acuerdo con lo establecido en la Política de Seguridad de la organización.
• El Responsable de Seguridad será el encargado de revisar y validar la correcta aplicación de las medidas de seguridad recogidas en el Anexo II del Esquema Nacional de Seguridad, en función de la categoría del sistema.
• Dicha validación se apoyará en auditorías internas, revisiones técnicas, análisis de riesgos y documentación de control, y se realizará al menos una vez al año o tras cualquier cambio significativo en los sistemas o servicios.
• Esta verificación se documentará como parte del seguimiento del estado de seguridad y será informada al Comité de Seguridad de la Información.
• Determinar la categoría del sistema.
• Elaborar la Declaración de Aplicabilidad.
• Medidas de seguridad adicionales.
• Elaborar el análisis de riesgos.
• Elaborar la configuración de la seguridad.
• Documentación de Seguridad del Sistema.
• Aprobar los procedimientos operativos de seguridad.
• Reporta el estado de la seguridad del sistema.
• Elabora los planes de mejora de la seguridad.
• Elabora planes de concienciación y formación.
• Valida los planes de continuidad.

7.2.3. Responsable de Sistemas

• Desarrollar, operar y mantener el Sistema de Información durante todo su ciclo de vida, de sus especificaciones, instalación y verificación de su correcto funcionamiento.
• Definir la topología y Sistema de Gestión del Sistema de Información estableciendo los criterios de uso y los servicios disponibles en el mismo.
• Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.
• El Responsable del Sistema puede acordar la suspensión del manejo de una cierta información o la prestación de un cierto servicio si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. Esta decisión debe ser acordada con los responsables de la información afectada, del servicio afectado y el Responsable de la Seguridad, antes de ser ejecutada.
• Elaborar los procedimientos operativos de seguridad.
• Elaborar los planes de mejora de la seguridad y los planes de continuidad.
• Suspensión temporal del servicio.
• Elabora el ciclo de vida.

7.2.4. Responsable de Servicios

• Valora las consecuencias de un impacto negativo sobre la seguridad de los servicios. Esta valoración se efectúa atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos.
• Coordinar la planificación, ejecución y seguimiento de los servicios prestados en la organización
• Garantizar que los servicios prestados cumplen con los estándares de seguridad establecidos por el Esquema Nacional de Seguridad
• Colaborar con el Responsable de Seguridad de la Información en la gestión de riesgos y la respuesta a incidentes relacionados con los servicios
• Determinación de los niveles de seguridad requeridos en cada dimensión
• Aceptación del riesgo residual

7.3. Procedimiento de Designación

Los miembros del Comité de Seguridad de la Información serán designados por el Director.

• Responsable de la Información será designado a propuesta por el Comité de Seguridad por la Dirección.
• Responsable de Seguridad, será designado a propuesta por el Comité de Seguridad por la Dirección.
• Responsable de Sistemas, será designado a propuesta por el Comité de Seguridad por la Dirección.
• Responsable de Servicios, será designado a propuesta por el Comité de Seguridad por la Dirección.

Los nombramientos podrán ser revisados cada dos años, pudiendo realizarse antes cuando el puesto quede vacante o por un incumplimiento reiterado de sus funciones, previo apercibimiento. La entidad debe disponer de un mecanismo que permita la sustitución de los responsables designados en caso de ausencias de larga duración o aquellas de menor duración pero que puedan provocar ineficiencias en las funciones de cada uno de ellos que afecten al sistema.

7.4.Resolución de Conflictos

En el caso de conflictos entre los diferentes responsables, el Comité de Seguridad de la Información podrá dirimir las discrepancias. En caso de que el Comité no alcance un acuerdo, la resolución definitiva corresponderá a la Dirección de nettaro.

8. TRATAMIENTO DE DATOS PERSONALES EN LA ENTIDAD

Nettaro trata datos de carácter personal, según se describe en el Registro de Actividades del Tratamiento. Nettaro deberá evaluar los riesgos relacionados con los datos personales tratados proponiendo un plan de actuación para la corrección de aquellos riesgos que superen el umbral autorizado.

El análisis de riesgos será reevaluado de forma periódica, contando con el asesoramiento y supervisión que realice el Responsable de Protección de Datos, y, en todo caso, cuando se detecte un tratamiento de alto riesgo, debiendo realizar, en su caso, una evaluación de impacto. La implementación del plan de tratamiento del riesgo se coordinará con el del ENS, así como el resto de los procedimientos o normas de seguridad con las derivadas de las obligaciones en materia de protección de datos, especialmente en el control de los prestadores de servicios o la respuesta a incidentes y/o brechas de datos personales.

9. GESTIÓN DE RIESGOS

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

• Regularmente, al menos una vez al año.
• Cuando cambie la información manejada.
• Cuando se produzcan cambios en los servicios prestados.
• Cuando ocurra un incidente grave de seguridad.
• Cuando se reporten vulnerabilidades graves.
• Cuando se produzcan modificaciones en el análisis de riesgos de protección de datos o en las evaluaciones de impacto.

Para la armonización de los análisis de riesgos, el Comité de Seguridad de la Información establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.

La evaluación del riesgo residual se realiza durante las reuniones del Comité de Seguridad de la Información, donde se revisan los informes de análisis de riesgos presentados por el Responsable de Seguridad.

Si el riesgo residual se considera dentro del umbral asumible por la organización, se documenta su aceptación en el acta del comité.

Dicha acta queda firmada por el Responsable de Seguridad y por la Dirección, quienes formalizan la aceptación del riesgo residual.

Cuando el riesgo no es aceptable, el comité podrá proponer medidas adicionales de mitigación antes de su aprobación.

Se tendrán en cuenta los riesgos en protección de datos, contando con la opinión del Responsable de Protección de Datos, además se coordinarán los planes del tratamiento del riesgo.

10. DESARROLLO DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

La documentación del sistema de gestión está estructurada de forma piramidal, en cuya parte superior se encuentra esta política.

Un Manual, que describe cómo se da cumplimiento a los diferentes puntos del Esquema Nacional de Seguridad y que referencia a los documentos que desarrollan cada apartado.

Instrucciones Técnicas de Seguridad, que describen las políticas de seguridad aplicadas a los sistemas de la organización.

Por último, los registros que sirven como evidencia para demostrar el cumplimiento de los requisitos establecidos en el Esquema Nacional de Seguridad.

Los documentos se encuentran compartidos con los miembros pertinentes de la organización a través de las carpetas de red a las que pueden acceder en modo solo lectura y que administra el responsable de sistemas de seguridad.

Esta Política de Seguridad de la Información complementa/se integra junto con otras políticas de nettaro en diferentes materias:

• POL-01 Política de Seguridad de la Información (ISO 27001)
• POL-02 Política de Privacidad y Cookies
• POL-03 Política de Contraseñas
• POL-05 Política de Dispositivos Móviles
• POL-06 Política de Relación con Proveedores
• POL-13 Política de Eliminación de Metadatos
• POL-14 Política de Copias de Seguridad
• POL-16 Política de Gestión de Logs

Esta Política se desarrollará por medio de normativa de seguridad que aborde aspectos específicos. La normativa de seguridad estará a disposición de todos los miembros de la entidad que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.

La normativa de seguridad estará disponible por diversos medios a disposición de los usuarios en:

• Página web: Https://www.nettaro.com
• SharePoint / Sistema de Gestión
• Impresa en la Cartelera Informativa en las oficinas de la organización

11. OBLIGACIONES DEL PERSONAL

Todos los miembros de nettaro tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y las normas, procedimientos o guías que la desarrollen, siendo responsabilidad de la nettaro a través del Comité de Seguridad y del área de personal de disponer los medios necesarios para que la información llegue a los afectados.

Todos los miembros de nettaro atenderán a una sesión de concienciación en materia de seguridad de la información al menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos los miembros de nettaro en particular a los de nueva incorporación.

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.

12. TERCERAS PARTES / PRESTADORES DE SERVICIOS / PROVEEDORES DE SOLUCIONES.

Cuando nettaro preste servicios a otras entidades o maneje información de otras, se les hará partícipes de esta Política de Seguridad de la Información, sin perjuicio de respetar las obligaciones de la normativa de protección de datos si actúa como encargado del tratamiento en la prestación de los citados servicios, y se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad y procedimientos de actuación para la reacción ante incidentes de seguridad. Además, el Responsable de Seguridad (o persona en quien delegue) será el Punto de Contacto (POC).

Cuando nettaro utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información, sin perjuicio del cumplimiento de otras obligaciones en materia de protección de datos. En la contratación de prestadores de servicios o adquisición de productos se tendrá en cuenta la obligación del adjudicatario de cumplir con el ENS.

En la adquisición de derechos de uso de activos en la nube tendrá en cuenta los requisitos establecidos en las medidas de seguridad del Anexo II y las Guía de desarrollo.

Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla, de modo que la entidad pueda supervisarlos o solicitar evidencias del cumplimiento de estos, incluso auditorías de segunda o tercera parte. Se establecerán procedimientos específicos de reporte y resolución de incidencias que deberán ser canalizadas por el POC de los terceros implicados y, además, cuando se afecte a datos personales por el Delegado de Protección de Datos. Los terceros garantizarán que su personal está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política o el que específicamente se pueda exigir en el contrato.

Cuando algún aspecto de la Política no pueda ser satisfecho por un tercero según se requiere en los párrafos anteriores, el Responsable de la Seguridad emitirá un informe que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes del inicio de la contratación o, en su caso, de la adjudicación. El informe se trasladará al representante de la entidad que deberá autorizar la continuación con la tramitación de contratación del tercero, asumiendo los riesgos detectados.

Cuando la entidad adquiera, desarrolle o implante un sistema de Inteligencia Artificial, además de cumplir con lo establecido en la normativa vigente en la materia, deberá contar con el informe del Responsable de la Seguridad, que consultará al Responsable de la Información y del Servicio y, cuando sea necesario, al del Sistema, debiendo también el Delegado de Protección de Datos emitir su parecer.

13. GESTIÓN DE INCIDENTES DE SEGURIDAD

La entidad dispondrá de un procedimiento para la gestión ágil de los eventos e incidentes de seguridad que supongan una amenaza para la información y los servicios.

Este procedimiento se integrará con otros relacionados con los incidentes de seguridad de otras normas sectoriales como la de protección de datos personales u otra que afecte al organismo para coordinar la respuesta desde los diferentes enfoques y comunicar a los diferentes organismos de control sin dilaciones indebidas y, cuando sea preciso, a las Fuerzas y Cuerpos de Seguridad el Estado o los juzgados.

14. APROBACIÓN DE LA POLÍTICA Y ENTRADA EN VIGOR / EFECTIVIDAD

Las modificaciones de la presente Política que supongan cambios o adaptaciones ante ineficiencias las realizará el Comité de Seguridad de la Información, que deberá revisarla anualmente.

En caso de que los cambios supongan una modificación sustancial o de los principios o responsabilidades designadas, el Comité de Seguridad propondrá los cambios que deberán ser aprobados, en su caso, por la persona u órgano con las debidas competencias.

La sustitución de la Política será instada por el Comité de Seguridad de la Información y ratificada por la persona u órgano con las debidas competencias, de lo que se informará adecuadamente a los interesados por los mismos canales usados para su difusión.