Política de sistema de gestión de la información

Ofertas Costa Azahar S.L. reconoce que la protección de la información constituye una prioridad estratégica para el desarrollo sostenible de su actividad en el ámbito de los servicios educativos, recreativos y de ocio dirigidos a público infantil, adulto y de la tercera edad. La presente política establece el marco de referencia del Sistema de Gestión de la Seguridad de la Información (SGSI) y expresa la voluntad de la Alta Dirección de preservar

la confidencialidad, la integridad, la disponibilidad, la autenticidad y la trazabilidad de la información en todos los procesos de la organización.

Desde un enfoque de seguridad integral que acompaña la planificación, ejecución y evaluación de cada servicio, la organización fundamenta su actuación en el análisis continuo de riesgos y en el cumplimiento del Esquema Nacional de Seguridad. Esta política orienta las decisiones, la asignación de recursos y la cultura organizativa hacia objetivos de seguridad alineados con las directrices estratégicas, la misión y la visión

empresarial de Ofertas Costa Azahar S.L., al tiempo que respalda la creación de valor en la prestación de servicios a municipios, centros educativos, familias y entidades privadas de la Comunitat Valenciana.

Campo de aplicación

La presente política es de aplicación a todas las actividades, procesos, activos de información y sistemas tecnológicos de Ofertas Costa Azahar S.L. en sus tres sedes: la sede social en C/Santa Marta 10, Vinaròs, Castellón (CP 12500); la oficina operativa en C/ Padre Vela 2E, Castellón de la Plana (CP 12400); y la oficina operativa en C/ Cronista Doñate, 1, Vila-real. Su alcance abarca a todo el personal con independencia de su vinculación contractual (docentes, monitores, coordinadores, personal administrativo), así como a colaboradores externos, consultores y proveedores que accedan a información o a

sistemas de la organización. Ningún proceso ni área funcional queda excluido de su ámbito.

Referencias normativa

• Real Decreto 311/2022
• Reglamento (UE) 2016/679
• Ley Orgánica 3/2018

Términos y definiciones

• Seguridad de la información: conjunto de medidas preventivas y reactivas destinadas a preservar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.
• Disponibilidad: propiedad de la información y los servicios asociados de ser accesibles y utilizables cuando lo requieran los usuarios autorizados.
• Integridad: propiedad de la información de mantenerse exacta y completa, sin alteraciones no autorizadas ni accidentales.
• Confidencialidad: propiedad de la información de no ser puesta a disposición ni revelada a individuos, entidades o procesos no autorizados.
• Autenticidad: propiedad que garantiza que una entidad es quien afirma ser o que la  información procede realmente de la fuente declarada.
• Trazabilidad: propiedad que permite reconstruir quién accedió a la información, qué acciones se realizaron y en qué momento, a fin de atribuir responsabilidades de forma inequívoca.
• Sistema de información: conjunto organizado de recursos dedicados a la recogida, almacenamiento, procesamiento, transmisión y distribución de la información.
• Análisis de riesgos: proceso sistemático de identificación y valoración de los riesgos que afectan a los sistemas de información, orientado a determinar las medidas de seguridad proporcionadas.
• Incidente de seguridad: suceso inesperado o no deseado con probabilidad significativa de comprometer las operaciones o de amenazar la seguridad de la información.
• Categoría de seguridad: nivel asignado a un sistema de información en función del impacto que un incidente provocaría sobre los servicios prestados y la información gestionada.

Roles y responsabilidades

Necesarios para su cumplimiento y valida las decisiones estratégicas en materia de seguridad de la información.

Responsable de Seguridad: impulsa la elaboración y el mantenimiento de esta política, coordina el análisis de riesgos y supervisa la implantación de las medidas de seguridad conforme al Esquema Nacional de Seguridad.

• Responsable del Sistema de Gestión: gestiona la documentación del SGSI, asegura la disponibilidad de esta política en el repositorio corporativo y planifica las actividades de mejora continua.
• Responsable de la Información: determina los requisitos de protección de la información gestionada y aprueba los criterios de acceso y custodia aplicables.
• Responsable del Servicio: establece los requisitos funcionales y de seguridad asociados a los servicios prestados y colabora en la identificación de necesidades de protección.
• Responsable del Sistema: implementa las medidas técnicas de seguridad en los sistemas corporativos y gestiona los accesos de los usuarios conforme al principio de mínimo privilegio.
• Adjunta a Gerencia: verifica que todo el personal ha recibido y acusado recibo de la política y archiva las confirmaciones correspondientes.
• Consultoría ENS: asesora a la organización en la interpretación y aplicación de los requisitos del Esquema Nacional de Seguridad durante la elaboración y revisión de esta política.

Compromiso y objetivos del sistema de gestión

El SGSI de Ofertas Costa Azahar S.L. se sustenta en el compromiso firme de su Alta Dirección, en unos principios de actuación coherentes con el Esquema Nacional de Seguridad y en unos objetivos de seguridad que responden al contexto y a la estrategia de la organización.

Compromiso de la alta dirección

La Alta Dirección de Ofertas Costa Azahar S.L. asume la seguridad de la información como un valor esencial de su modelo de negocio, vinculado a la confianza que depositan en la organización los municipios, centros educativos, familias y entidades con las que colabora. Desde esta convicción, la dirección:

Se compromete a cumplir el Real Decreto 311/2022, la normativa de protección de datos personales y las obligaciones contractuales asumidas con las administraciones públicas y entidades privadas clientes.

Destina los recursos humanos, técnicos y financieros necesarios para crear, implantar, mantener y mejorar el SGSI de forma sostenida.

Integra los requisitos de seguridad en cada fase de la prestación de los servicios educativos, recreativos y de ocio que conforman su actividad principal.

Fomenta una cultura organizativa en la que la responsabilidad compartida y la concienciación de todo el personal constituyan la primera línea de defensa frente a las amenazas a la información.

Promueve la mejora continua del SGSI a través de la revisión periódica de resultados, la adopción de acciones correctivas y la actualización de objetivos en función de la evolución del contexto organizativo y del panorama de amenazas.

Estos compromisos se despliegan de manera detallada en la POL Política de seguridad de la información y en el conjunto de procedimientos y políticas específicas que conforman el cuerpo documental del SGSI.

Principios rectores

La presente política se fundamenta en los principios que a continuación se exponen, los cuales orientan la actuación de toda la organización en materia de seguridad. La gestión basada en el riesgo constituye el eje vertebrador del SGSI. La organización identifica, analiza y evalúa de forma continua los riesgos que afectan a sus sistemas de información y adopta medidas proporcionadas al nivel de riesgo detectado, conforme a la

metodología descrita en el PRO Procedimiento de gestión de riesgos . Este enfoque permite dimensionar los controles en función del impacto real sobre los servicios y la información gestionada.

La seguridad se concibe como un proceso integral que combina elementos humanos, organizativos, técnicos y normativos, de modo que ninguna medida aislada resulta suficiente por sí sola. El SGSI articula capas sucesivas de prevención, detección, respuesta y conservación, respaldadas por una vigilancia continua sobre el estado de los sistemas.

La gobernanza diferenciada garantiza que las funciones de Responsable de la Información , Responsable del Servicio , Responsable de Seguridad y Responsable

del Sistema se asignen conforme al principio de segregación, evitando conflictos de interés. Un Comité de Seguridad de la Información, integrado por estos cuatro roles, actúa como órgano colegiado de gobierno, tal como desarrolla la POL Política de roles y responsabilidades en materia de seguridad de la información . La clasificación de la información atiende a tres niveles de sensibilidad (público, limitado y confidencial), lo que permite asociar a cada categoría requisitos específicos de protección para el tratamiento, la transmisión y la conservación de los datos, según lo dispuesto en la POL Política de clasificación y etiquetado de la información .

El cumplimiento normativo y la conducta ética vertebran la cultura de seguridad de la organización. Todo el personal, colaboradores y proveedores están sujetos a las normas de comportamiento establecidas en el Código de conducta , cuyo respeto constituye una condición inherente a la relación profesional con Ofertas Costa Azahar S.L.

Objetivos estratégicos de seguridad

La organización define sus objetivos de seguridad en consonancia con las cinco dimensiones establecidas por el Esquema Nacional de Seguridad. La categoría de seguridad del sistema, determinada como MEDIA en el Informe sobre la clasificación y la evaluación del sistema , sirve de base para seleccionar las medidas proporcionadas a cada dimensión:

Estos objetivos se traducen en indicadores medibles, cuyo seguimiento y evaluación se lleva a cabo conforme al PRO Procedimiento de mediciones y monitoreo . La Alta Dirección revisa periódicamente el grado de cumplimiento en el marco de la PRO Gestión de revisión por la dirección , confirmando o actualizando las prioridades de seguridad para el periodo siguiente y formalizando las acciones de mejora que resulten necesarias.

Comunicación y accesibilidad

La organización promueve el conocimiento y la comprensión de esta política entre todas las personas vinculadas a su actividad. En el ámbito interno, cada versión aprobada se pone a disposición del personal a través del repositorio corporativo y se acompaña de una comunicación formal que requiere la lectura y el acuse de recibo, de acuerdo con lo establecido en el PRO Procedimiento gestión de la comunicación . La Adjunta a Gerencia supervisa que la totalidad del personal confirme la recepción.

En el ámbito externo, el Gerente comunica a proveedores, colaboradores y demás partes interesadas los principios y compromisos recogidos en esta política, requiriendo el cumplimiento de las obligaciones legales, contractuales y de seguridad que les resulten aplicables. La política se publica asimismo en el sitio web corporativo, accesible desde el pie de página, de manera que cualquier persona pueda consultarla y descargarla libremente.

Archivo y actualización

La presente política se conserva como información documentada en el repositorio del SGSI, bajo la custodia del Responsable del Sistema de Gestión , quien garantiza su accesibilidad y el control de versiones. La revisión se efectúa al menos una vez al año, o de forma anticipada cuando se produzcan cambios significativos en el contexto organizativo, la infraestructura tecnológica o el panorama de amenazas. Cualquier

modificación requiere la aprobación formal del Gerente , tras la cual se activa el proceso Disponibilidad Asegurar que la información y los servicios de soporte estén accesibles cuando los requieran las actividades educativas, recreativas y de eventos.

Autenticidad Verificar de forma fiable la identidad de los usuarios y el origen de la información en cada interacción con los sistemas corporativos.

Trazabilidad Mantener registros que permitan reconstruir quién accedió a la información, qué acciones se ejecutaron y en qué momento, en respaldo de la rendición de cuentas y la investigación de incidentes.

• Público de comunicación interna y externa descrito en esta política. Las versiones anteriores se archivan para mantener la trazabilidad documental del SGSI.

Documentos de referencia

• POL Política de seguridad de la información
• POL Política de clasificación y etiquetado de la información
• POL Política de roles y responsabilidades en materia de seguridad de la información
• PRO Procedimiento de gestión de riesgos
• PRO Procedimiento de mediciones y monitoreo
• PRO Gestión de revisión por la dirección
• PRO Procedimiento gestión de la comunicación
• Código de conducta
• Informe sobre la clasificación y la evaluación del sistema