Information security policy

• a) Implantar y mantener un SGSI conforme a la norma ISO/IEC 27001, integrando sus requisitos en los procesos de negocio.
• b) Establecer objetivos e indicadores de seguridad de la información alineados con la dirección estratégica de la organización, y realizar su seguimiento.
• c) Dotar los recursos humanos y materiales necesarios para su consecución.
• d) Proteger la confidencialidad, la integridad y la disponibilidad de la información, con especial exigencia en la que pertenece a nuestros clientes.
• e) Asumir la responsabilidad de la seguridad en nuestras instalaciones, en los servicios en la nube que utilizamos y en los proyectos que ejecutamos para terceros, garantizando la respuesta ante incidentes y la continuidad del servicio.
• f) Implicar, formar y apoyar a las personas para que contribuyan a la eficacia del SGSI.
• g) Mejorar de forma continua el SGSI a partir del análisis del desempeño, las auditorías y las revisiones por la Dirección.
• h) Colaborar con nuestra cadena de suministro para elevar sus estándares de seguridad de la información.

Para materializar estos compromisos, la organización adopta los siguientes procesos:

• • Desarrollo seguro. La seguridad se incorpora en todas las fases del ciclo de vida de nuestras aplicaciones, con separación de los entornos de desarrollo, pruebas y producción, y gestión controlada de los cambios y de las vulnerabilidades.
• • Cumplimiento legal. Nos comprometemos a cumplir los requisitos legales y reglamentarios aplicables en materia de seguridad de la información y privacidad, los requisitos de seguridad acordados contractualmente con nuestros clientes y cualquier otro requisito relacionado con la seguridad de la información que la organización suscriba, garantizando en particular la protección de los datos personales que tratamos.
• • Control de la información. Implantamos los sistemas de control, custodia y comunicación necesarios para proteger la información en su tratamiento, tanto interno como externo.
• • Uso responsable de las TI. Comunicamos a todo el personal pautas claras de uso de los sistemas de información, aplicables también al trabajo en remoto y en instalaciones de cliente. Cada persona asume la responsabilidad sobre la información que se le encomienda.
• • Gestión del riesgo. Las decisiones se adoptan en función de los riesgos y oportunidades identificados, con un seguimiento continuo que permite actuar cuando el riesgo deja de ser aceptable.