Politica di sicurezza

Approvazione ed entrata in vigore

La presente Politica sulla Sicurezza delle Informazioni è in vigore dalla data della firma e fino a quando non sarà sostituita da una nuova Politica.

Missione APTENT

Per raggiungere i propri obiettivi, APTENT assume il proprio impegno per la sicurezza delle informazioni, impegnandosi nella sua corretta gestione, al fine di offrire a tutti i suoi gruppi di interesse le maggiori garanzie in merito alla sicurezza delle informazioni utilizzate.

Tali sistemi devono essere gestiti con diligenza, adottando misure adeguate per proteggerli da danni accidentali o intenzionali che possano compromettere la disponibilità, l’integrità o la riservatezza delle informazioni trattate o dei servizi forniti.

L’obiettivo della sicurezza delle informazioni è garantire la qualità delle informazioni e la continua fornitura di servizi, agendo preventivamente, supervisionando l’attività quotidiana e reagendo rapidamente agli incidenti.

I sistemi ICT devono essere protetti dalle minacce in rapida evoluzione che potrebbero avere un impatto sulla riservatezza, sull’integrità, sulla disponibilità, sull’uso previsto e sul valore delle informazioni e dei servizi. La difesa da queste minacce richiede una strategia che si adatti ai cambiamenti delle condizioni ambientali per garantire la continuità della fornitura del servizio. Ciò implica che i dipartimenti devono applicare le misure minime di sicurezza richieste dal Sistema di Sicurezza Nazionale, nonché monitorare continuamente i livelli di fornitura dei servizi, seguire e analizzare le vulnerabilità segnalate e preparare una risposta efficace agli incidenti per garantire la continuità dei servizi forniti.

I diversi dipartimenti devono garantire che la sicurezza ICT sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione alla sua dismissione, attraverso le decisioni di sviluppo o acquisizione e le attività di sfruttamento. È necessario identificare i requisiti di sicurezza e le esigenze di finanziamento, sia per i prodotti sviluppati e i servizi associati, sia per il software di base acquistato da terze parti.

I dipartimenti devono essere preparati a prevenire, individuare, reagire e recuperare dagli incidenti, in conformità con l’articolo 8 della ENS (Articolo 8. Prevenzione, individuazione, risposta e conservazione).

La politica di sicurezza delle informazioni è l’insieme di linee guida che regolano il modo in cui un’organizzazione gestisce e protegge le informazioni che elabora e i servizi che fornisce. A tal fine, lo strumento che approva detta politica di sicurezza deve contenere, come minimo, i seguenti punti:

a) Gli obiettivi o la missione dell’organizzazione.

b) Il quadro normativo in cui verranno svolte le attività.

c) I ruoli o funzioni di sicurezza, definendo per ciascuno i compiti e le responsabilità, nonché la procedura per la loro nomina e rinnovo.

d) La struttura e la composizione del comitato o dei comitati per la direzione e il coordinamento dell’ sicurezza, dettagliando l’ambito di responsabilità e il rapporto con altri elementi dell’organizzazione.

e) Le linee guida per strutturare la documentazione di sicurezza del sistema, la sua gestione e l’accesso.

f) I rischi derivanti dal trattamento dei dati personali.

La politica di sicurezza è stata stabilita in conformità ai principi fondamentali indicati nel capitolo II e sarà sviluppata applicando i seguenti requisiti minimi:

a) Organizzazione e attuazione del processo di sicurezza.

b) Analisi e gestione del rischio.

c) Gestione del personale.

d) Professionalità.

e) Autorizzazione e controllo degli accessi.

f) Tutela delle strutture.

g) Acquisto di prodotti di sicurezza e contrattazione di servizi di sicurezza.

h) Privilegio minimo.

i) Integrità e aggiornamento del sistema.

j) Protezione delle informazioni archiviate e in transito.

k) Prevenzione contro altri sistemi informativi interconnessi.

l) Registrazione dell’attività e rilevamento di codici dannosi.

m) Incidenti di sicurezza.

n) Continuità dell’attività.

ñ) Continuous improvement of the security process.

Ambito

I sistemi informativi che supportano lo sviluppo, l’implementazione e la consulenza svolta dal dipartimento per l’accessibilità secondo l’attuale categorizzazione.

Obiettivi

Per tutto quanto sopra la Direzione stabilisce i seguenti obiettivi di sicurezza delle informazioni:

• Fornire un quadro per aumentare la resilienza e fornire una risposta efficace.
• Garantire il ripristino rapido ed efficiente dei servizi, a fronte di qualsiasi disastro fisico o contingenza che possa verificarsi e mettere a rischio la continuità delle operazioni.
• Prevenire gli incidenti relativi alla sicurezza delle informazioni nella misura in cui è tecnicamente ed economicamente fattibile, nonché mitigare i rischi per la sicurezza delle informazioni generati dalle nostre attività.
• Garantire la riservatezza, l’integrità, la disponibilità, l’autenticità e la tracciabilità delle informazioni.

Quadro normativo

Uno degli obiettivi deve essere quello di rispettare i requisiti legali applicabili e qualsiasi altro requisito che sottoscriviamo oltre agli impegni acquisiti con i clienti, nonché il loro continuo aggiornamento. A tal fine, il quadro giuridico e normativo in cui sviluppiamo le nostre attività è:

• REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati.
• Legge organica 3/2018, del 5 dicembre, sulla protezione dei dati personali e la garanzia dei diritti digitali.
• Regio decreto legislativo 1/1996, del 12 aprile, legge sulla proprietà intellettuale.
• Legge 2/2019, del 1° marzo, che modifica il testo unico della Legge sulla Proprietà Intellettuale, approvato dal Regio Decreto Legislativo 1/1996, del 12 aprile, e con il quale la Direttiva 2014/26/UE del Parlamento Europeo e del Consiglio, del 26 febbraio 2014, e la Direttiva (UE) vengono recepite nell’ordinamento giuridico spagnolo. 2017/1564 del Parlamento Europeo e del Consiglio, del 13 settembre 2017.
• Regio decreto 311/2022, del 3 maggio, che regola il regime di sicurezza nazionale.
• Legge 34/2002 dell’11 luglio sui servizi della società dell’informazione e del commercio elettronico (LSSI).
• Legge 40/2015, del 1° ottobre, sul regime giuridico del settore pubblico.
• Legge 39/2015, del 1 ottobre, sulla procedura amministrativa comune delle pubbliche amministrazioni.

Sviluppo

Per raggiungere questi obiettivi è necessario:

• Migliorare continuamente il nostro sistema di sicurezza delle informazioni.
• Identificare le potenziali minacce, nonché l’impatto sulle operazioni aziendali che queste minacce, se si materializzano, potrebbero causare.
• Preservare gli interessi dei suoi principali stakeholder (clienti, azionisti, dipendenti e fornitori), la reputazione, il marchio e le attività di creazione di valore.
• Collaborare con i nostri fornitori e subappaltatori al fine di migliorare la fornitura di servizi IT, la continuità dei servizi e la sicurezza delle informazioni, il che si traduce in una maggiore efficienza nella nostra attività.
• Valutare e garantire la competenza tecnica del personale, nonché assicurare la sua adeguata motivazione per la partecipazione al miglioramento continuo dei nostri processi, fornendo un’adeguata formazione e comunicazione interna in modo che sviluppino le buone pratiche definite nel sistema.
• Garantire la corretta condizione delle strutture e delle attrezzature adeguate, in modo che siano conformi all’attività, agli obiettivi e agli scopi dell’azienda.
• Garantire un’analisi continua di tutti i processi rilevanti, stabilendo di volta in volta i miglioramenti rilevanti, sulla base dei risultati ottenuti e degli obiettivi stabiliti.
• Strutturare il nostro sistema di gestione in modo che sia di facile comprensione. Il nostro sistema di gestione ha la seguente struttura:

La gestione del nostro sistema è affidata al RESPONSABILE DEL SISTEMA e il sistema sarà disponibile nel nostro sistema informativo in un repository, al quale si potrà accedere secondo i profili di accesso concessi secondo la nostra attuale procedura di gestione degli accessi.

Organizzazione per la sicurezza

La responsabilità essenziale ricade sulla Direzione Generale di APTENT, poiché ad essa spetta organizzare le funzioni e le responsabilità e fornire risorse adeguate per raggiungere gli obiettivi dell’ENS. I manager hanno anche la responsabilità di dare il buon esempio seguendo gli standard di sicurezza stabiliti.

Tali principi sono assunti dalla Direzione, che fornisce i mezzi necessari e fornisce ai propri dipendenti risorse sufficienti per il loro rispetto, esprimendoli e rendendoli pubblici attraverso queste Politiche di Sicurezza.

I ruoli o le funzioni di sicurezza definiti sono:

Tale definizione di compiti e responsabilità è completata nei profili professionali e nei documenti del sistema Anagrafe Dirigenti, Ruoli e Responsabilità.

Risoluzione dei conflitti

Le differenze di criteri che potrebbero portare a un conflitto saranno trattate all’interno del Comitato per la Sicurezza e prevarranno in tutti i casi i criteri della Direzione Generale.

Comitato per la sicurezza

La procedura per la loro nomina e rinnovo sarà sottoposta alla ratifica del comitato di sicurezza.

Il comitato per la gestione e il coordinamento della sicurezza è l’organismo con la maggiore responsabilità all’interno del sistema di gestione della sicurezza delle informazioni, per cui tutte le decisioni più importanti relative alla sicurezza vengono concordate da questo comitato.

I membri del Comitato per la Sicurezza delle Informazioni sono:

• Responsabile delle informazioni
• Responsabile dei servizi
• Responsabile della sicurezza
• Direttore del sistema
• Indirizzo dell’azienda 

Tali membri sono nominati dal comitato, unico organo che può nominarli, rinnovarli e revocarli. 

Il comitato per la sicurezza è un organo esecutivo autonomo, dotato di autonomia decisionale e che non deve subordinare la propria attività a nessun altro elemento della nostra azienda. 

APTENT La Sicurezza delle Informazioni è sviluppata nel documento complementare alla presente Politica di Organizzazione della Sicurezza.

Questa politica è integrata dal resto delle politiche, procedure e documenti in vigore per sviluppare il nostro sistema di gestione.

Gestione del rischio

Tutti i sistemi soggetti a questa Politica devono effettuare un’analisi dei rischi, valutando le minacce e i rischi a cui sono esposti. Questa analisi viene rivista regolarmente:

• almeno una volta all’anno;
• quando le informazioni gestite cambiano;
• quando cambiano i servizi forniti;
• quando si verifica un grave incidente di sicurezza;
• quando vengono segnalate vulnerabilità gravi.

Per armonizzare le analisi dei rischi, il Comitato Sicurezza ICT stabilirà una valutazione di riferimento per le diverse tipologie di informazioni trattate e i diversi servizi forniti. Il Comitato per la Sicurezza ICT aumenterà la disponibilità di risorse per soddisfare le esigenze di sicurezza dei diversi sistemi, promuovendo investimenti orizzontali.

Per effettuare l’analisi dei rischi, verrà presa in considerazione la metodologia di analisi dei rischi sviluppata nella procedura di Analisi dei Rischi.

Gestione del personale

Tutti i membri di APTENT hanno l’obbligo di conoscere e rispettare la presente Politica di Sicurezza delle Informazioni e le Norme di Sicurezza, ed è responsabilità del Comitato per la Sicurezza ICT fornire i mezzi necessari affinché le informazioni raggiungano le persone interessate.

Tutti i membri APTENT parteciperanno a una sessione di sensibilizzazione sulla sicurezza ICT almeno una volta all’anno. Verrà istituito un programma di sensibilizzazione continua per servire tutti i membri APTENT, in particolare i nuovi membri.

Le persone responsabili dell’uso, del funzionamento o dell’amministrazione dei sistemi ICT riceveranno una formazione sulla gestione sicura dei sistemi nella misura in cui ne hanno bisogno per svolgere il loro lavoro. La formazione sarà obbligatoria prima di assumere una responsabilità, sia che si tratti del tuo primo incarico o che si tratti di un cambio di lavoro o di responsabilità al suo interno.

Professionalità e Sicurezza delle risorse umane

La presente Politica si applica a tutto il personale APTENT e al personale esterno che svolge compiti all’interno dell’azienda.

Le risorse umane includeranno funzioni di sicurezza delle informazioni nelle descrizioni delle mansioni dei dipendenti, informeranno tutto il personale assunto dei loro obblighi in merito al rispetto della politica di sicurezza delle informazioni, gestiranno gli impegni di riservatezza con il personale e coordineranno la formazione degli utenti in merito a questa politica.

• Il Security Management Manager (RGS) è responsabile del monitoraggio, della documentazione e dell’analisi degli incidenti di sicurezza segnalati, nonché della comunicazione al Comitato per la Sicurezza delle Informazioni e ai proprietari delle informazioni.
• Il Comitato per la Sicurezza delle Informazioni sarà responsabile dell’implementazione dei mezzi e dei canali necessari affinché il Responsabile della Gestione della Sicurezza (RGS) possa gestire le segnalazioni di incidenti e le anomalie del sistema. Il Comitato sarà inoltre informato, supervisionerà le indagini, monitorerà l’evoluzione delle informazioni e promuoverà la risoluzione degli incidenti legati alla sicurezza delle informazioni.
• Il Responsabile della Gestione della Sicurezza (RGS) parteciperà alla preparazione dell’Impegno di Riservatezza da firmare da parte dei dipendenti e dei terzi che svolgono funzioni presso APTENT, nella consulenza sulle sanzioni che verranno applicate per il mancato rispetto della presente Politica e nel trattamento degli incidenti di sicurezza delle informazioni.
• Tutto il personale di APTENT è responsabile della segnalazione tempestiva delle debolezze e degli incidenti relativi alla sicurezza delle informazioni rilevati.
•  Professionalità delle risorse umane:
• Determinare la competenza necessaria del personale per svolgere attività che incidono sulla sicurezza delle informazioni.
• Garantire che le persone siano competenti sulla base di un’istruzione, formazione o esperienza adeguate.
• Dimostrare attraverso informazioni documentate che è necessaria la competenza del personale in materia di Sicurezza delle Informazioni.

Gli obiettivi del controllo della sicurezza del personale sono:

• Ridurre i rischi di errore umano, attuazione di irregolarità, uso improprio di strutture e risorse e gestione non autorizzata delle informazioni.
• Spiegare le responsabilità in materia di sicurezza in fase di reclutamento del personale e includerle negli accordi da firmare e verificarne il rispetto durante lo svolgimento delle mansioni. compiti dei dipendenti.
• Garantire che gli utenti siano consapevoli delle minacce e delle preoccupazioni relative alla sicurezza delle informazioni e siano formati per supportare la politica di sicurezza delle informazioni APTENT nel corso delle loro normali mansioni.
• Stabilire impegni di riservatezza con tutto il personale e gli utenti al di fuori delle strutture di elaborazione delle informazioni.
• Stabilire gli strumenti e i meccanismi necessari per promuovere la comunicazione delle debolezze esistenti in materia di sicurezza, nonché degli incidenti, al fine di minimizzarne gli effetti e prevenirne il ripetersi.

Autorizzazione e controllo dell’accesso ai sistemi informativi

Il controllo dell’accesso ai sistemi informativi mira a:

• Prevenire l’accesso non autorizzato ai sistemi informativi, ai database e ai servizi di informazione.
• Implementare la sicurezza nell’accesso degli utenti attraverso tecniche di autenticazione e autorizzazione.
• Controlla la sicurezza della connessione tra la rete APTENT e altre reti pubbliche o private.
• Revisionare gli eventi critici e le attività svolte dagli utenti sui sistemi.
• Aumentare la consapevolezza sulla propria responsabilità per l’uso di password e apparecchiature.
• Garantire la sicurezza delle informazioni quando si utilizzano laptop e personal computer per il lavoro remoto.

Protezione delle strutture

Gli obiettivi di questa politica in materia di protezione delle strutture sono:

Prevenire l’accesso non autorizzato, i danni e le interferenze alle sedi, alle strutture e alle informazioni di APTENT

• Proteggere le apparecchiature critiche per il trattamento delle informazioni APTENT collocandole in aree protette e protette da un perimetro di sicurezza definito, con misure di sicurezza e controlli di accesso adeguati. Allo stesso modo, considera la sua protezione durante il suo trasferimento e resta fuori dalle aree protette, per manutenzione o altri motivi.
• Controllare i fattori ambientali che potrebbero danneggiare il corretto funzionamento dell’attrezzatura informatica che ospita le informazioni APTENT.
• Attuare misure per proteggere le informazioni trattate dal personale negli uffici, nell’ambito del normale svolgimento delle loro mansioni abituali.
• Fornire una protezione proporzionale ai rischi identificati.

La presente Politica si applica a tutte le risorse fisiche relative ai sistemi informativi, alle strutture, alle apparecchiature, ai cavi, ai file, ai supporti di memorizzazione, ecc. APTENT.

Va notato che nel caso di APTENT, tutti gli ambienti di sviluppo, qualità, ecc. si trovano esternamente in hosting sicuro, quindi solo i laptop e le periferiche devono essere protetti localmente.

Il Responsabile della Gestione della Sicurezza (RGS), unitamente ai Titolari delle Informazioni, ove opportuno, definirà le misure di sicurezza fisica e ambientale per la protezione degli asset critici, sulla base di un’analisi dei rischi, e vigilerà sulla loro applicazione. Verificherà inoltre il rispetto delle disposizioni in materia di sicurezza fisica e ambientale.

I responsabili dei diversi reparti definiranno i livelli di accesso fisico del personale APTENT alle aree riservate di loro competenza. I proprietari delle informazioni autorizzeranno formalmente il lavoro fuori sede con le informazioni sulla propria attività ai dipendenti APTENT quando lo riterranno opportuno.

Tutto il personale di APTENT è responsabile del rispetto della policy clean screen e desktop, per la protezione delle informazioni relative al lavoro quotidiano negli uffici.

Acquisizione del prodotto

I diversi dipartimenti devono garantire che la sicurezza ICT sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione alla sua dismissione, attraverso le decisioni di sviluppo o acquisizione e le attività di sfruttamento. I requisiti di sicurezza e le esigenze di finanziamento devono essere identificati e inclusi nella pianificazione, nelle richieste di offerte e nei documenti di gara per i progetti ICT.

D’altra parte, la sicurezza delle informazioni sarà presa in considerazione nell’acquisizione e nella manutenzione dei sistemi informativi, limitando e gestendo il cambiamento.

Sicurezza predefinita

APTENT ritiene strategico per l’entità che i processi integrino la sicurezza delle informazioni come parte del loro ciclo di vita. I sistemi e i servizi informativi devono includere la sicurezza di default dalla loro creazione fino al loro ritiro, inclusa la sicurezza nelle decisioni di sviluppo e/o acquisizione e in tutte le attività operative, stabilendo la sicurezza come processo integrale e trasversale.

Integrità e aggiornamento del sistema

APTENT si impegna a garantire l’integrità del sistema attraverso un processo di gestione delle modifiche che consente il controllo dell’aggiornamento di elementi fisici o logici tramite autorizzazione prima della loro installazione nel sistema. Tale valutazione sarà effettuata principalmente dalla direzione tecnica che valuterà l’impatto sulla sicurezza del sistema prima di apportare modifiche e controllerà in modo documentato quelle modifiche che saranno valutate importanti o con implicazioni sulla sicurezza dei sistemi.

Attraverso revisioni periodiche di sicurezza, lo stato di sicurezza dei sistemi sarà valutato in relazione alle specifiche, alle vulnerabilità e agli aggiornamenti dei produttori che li riguardano, reagendo diligentemente per gestire il rischio in considerazione del loro stato di sicurezza.

Protezione delle informazioni archiviate e in transito

APTENT stabilisce misure di protezione per la Sicurezza delle Informazioni archiviate o in transito attraverso ambienti non sicuri. Le apparecchiature portatili, i dispositivi periferici, i mezzi di informazione e comunicazione su reti aperte o con cifratura debole saranno considerati ambienti non sicuri.

Prevenzione dei sistemi informativi interconnessi

APTENT, stabilisce misure di protezione per la Sicurezza delle Informazioni soprattutto per proteggerne il perimetro, in particolare, se connesse a reti pubbliche, soprattutto se utilizzate, in tutto o principalmente, per la fornitura di servizi di comunicazione elettronica accessibili al pubblico.

In ogni caso verranno analizzati i rischi derivanti dall’interconnessione del sistema, attraverso reti, con altri sistemi, e ne verrà controllato il punto di connessione. Connessioni elettroniche a disposizione del pubblico.

Registri delle attività

APTENT registrerà le attività dell’utente, conservando le informazioni necessarie per monitorare, analizzare, indagare e documentare attività improprie o non autorizzate, consentendo di identificare in ogni momento la persona che agisce.

Gli obiettivi principali dell’Incident Management sono:

• Stabilire un sistema di rilevamento e reazione contro il codice dannoso.
• Disporre di procedure per la gestione degli incidenti di sicurezza e delle debolezze rilevate negli elementi del sistema informativo.
• Tali procedure riguarderanno i meccanismi di rilevazione, i criteri di classificazione, le procedure di analisi e risoluzione, nonché i canali di comunicazione alle parti interessate e la registrazione delle azioni.
• Questo registro viene utilizzato per il miglioramento continuo della sicurezza del sistema.
• Garantire che i servizi IT ritornino a prestazioni ottimali.
• Ridurre i possibili rischi e impatti che l’incidente potrebbe causare.
•  Garantire l’integrità dei sistemi in caso di incidente di sicurezza.
• Comunicare l’impatto di un incidente non appena viene rilevato per attivare l’allarme; e implementare un piano di comunicazione aziendale adeguato.
• Promuovere l’efficienza aziendale.

Continuità di attività

APTENT, con l’obiettivo di garantire la continuità delle attività, stabilisce misure affinché i sistemi dispongano di copie di backup e stabilisce i meccanismi necessari per garantire la continuità delle operazioni, in caso di perdita dei consueti mezzi di lavoro.

Miglioramento continuo del processo di sicurezza

APTENT stabilisce un processo di miglioramento continuo della sicurezza delle informazioni applicando i criteri e la metodologia stabiliti nel sistema di sicurezza nazionale.

A Leganés, il 17 gennaio 2025