POLÍTICA INTEGRADA DE CALIDAD, MEDIO AMBIENTE Y DE
SEGURIDAD DE LA INFORMACIÓN

HABBER TEC, organización con espíritu de innovación que lleva más de 20 años de experiencia en el sector y tiene como misión el Diseño, Desarrollo, Venta y Comercialización de Desarrollo de software, ha decidido implantar un Sistema Integrado de Gestión de la Calidad, Medio Ambiente y Seguridad de la Información, basado en las normas ISO 9001, ISO 14001 e ISO 27001, para mejorar el servicio que presta a sus clientes, mejorar el desempeño y eficiencia con el medio ambiente y preservar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información, además de proteger a ésta de un amplio grupo de amenazas y destinado a asegurar la continuidad de las líneas de negocio, minimizar los daños y maximizar el retorno de las inversiones y las oportunidades de negocio.

La Dirección de HABBER TEC, enfoca el Sistema como una manera de organizar el funcionamiento de la organización, gestionar los aspectos ambientales, las emergencias, y los riesgos legales, partiendo de unos pilares básicos como son la Calidad de sus productos, la Sostenibilidad, la Satisfacción del cliente y la mejora continua de la eficacia del Sistema. Consciente además de que la información es un activo que tiene un elevado valor para la Organización y requiere por tanto una protección adecuada.

Para ello, el Sistema Integrado de Gestión de HABBER TEC, se basa en los siguientes principios y compromisos:

• La Calidad, el Medio Ambiente y la Seguridad de la Información, donde su mejora son responsabilidad de todos los integrantes de la organización empezando desde la Alta Dirección.
• La Calidad, la Sostenibilidad y la Seguridad de la Información se obtiene planificando, ejecutando, revisando y mejorando el Sistema de Gestión, teniendo presente en todo momento el contexto de la organización, tanto interno como externo.
• La Calidad está orientada hacia la Satisfacción de todos nuestros clientes (y partes interesadas), mediante el compromiso de toda la organización en cumplir con sus necesidades y requisitos, así como cumplir con la legislación en materia de seguridad de la información y reglamentación medioambiental aplicable, y con otros requisitos que nuestra organización suscriba.
• Intensificar de manera continua nuestra gestión medioambiental para obtener mejoras en el comportamiento global de la empresa, con un enfoque de análisis de ciclo de vida.
• Establecer y revisar regularmente objetivos de calidad, medio ambiente y seguridad de la Información, acordes con los compromisos asumidos en esta declaración. Para la aplicación efectiva de estos principios, es absolutamente necesario el apoyo a los mismos tanto del equipo directivo como de la plantilla.
• Identificar y controlar los aspectos ambientales de la organización y los riesgos, de tal manera
  que establecemos un enfoque preventivo.
• Formar y sensibilizar al personal de la organización, en materia de calidad, desempeño ambiental y en seguridad de la información, estableciendo planes de formación adecuados y adaptados, así como proporcionar los recursos necesarios para el buen funcionamiento del sistema integrado.
• La Calidad y nuestro sector, nos dirige a prestar la máxima atención a la evolución tecnológica y a las posibles mejoras que las nuevas tecnologías pusieran a nuestra disposición.
• La Calidad, el Medio Ambiente y la Seguridad de la Información, se apoyan en la Mejora Continua tanto de los procesos productivos y de prestación del servicio, como de la eficacia del sistema, en el que prevenir los errores sea un aspecto fundamental.
• La protección de los datos de carácter personal y la intimidad de las personas.
• La salvaguarda de los registros de la organización.
• La protección de los derechos de propiedad intelectual.
• La documentación de la política de seguridad de la información.
• La asignación de responsabilidades de seguridad.
• El registro de las incidencias de seguridad.
• La gestión de la continuidad del negocio, desarrollando planes de continuidad conformes a metodologías de reconocido prestigio internacional.
• La gestión de los cambios que pudieran darse en la empresa relativos a la seguridad.
• Prevención y detección de virus y otro software malicioso, mediante el desarrollo de políticas específicas y el establecimiento de acuerdos contractuales con organizaciones especializadas.
• Establecimiento de las consecuencias de las violaciones de la política de seguridad, las cuales serán reflejadas en los contratos firmados con las partes interesadas, proveedores y subcontratistas.
• Actuar en todo momento dentro de la más estricta ética profesional.

Política de Seguridad de la información 

Alcance 

Esta política se aplica a todos los sistemas TIC de la entidad y a todos los miembros de la organización, implicados en Servicios y Proyectos destinados al sector público, que requieran la aplicación de ENS, sin excepciones. 

Objetivos 

Por todo lo anteriormente expuesto, la Dirección establece los siguientes objetivos de seguridad de la información: 

• Proporcionar un marco para aumentar la capacidad de resistencia o resiliencia para dar una respuesta eficaz. 

• Asegurar la recuperación rápida y eficiente de los servicios, frente a cualquier desastre físico o contingencia que pudiera ocurrir y que pusiera en riesgo la continuidad de las operaciones. 

• Prevenir incidentes de seguridad de la información en la medida que sea técnica y económicamente viable, así como mitigar los riesgos de seguridad de la información generados por nuestras actividades. 

• Garantizar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información. 

Marco normativo 

Uno de los objetivos debe ser el de cumplir con requisitos legales aplicables y con cualesquiera otros requisitos que suscribimos además de los compromisos adquiridos con los clientes, así como la actualización continua de los mismos. Para ello, el marco legal y regulatorio en el que desarrollamos nuestras actividades es: 

• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. 

• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. 

• Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual. 

• Ley 2/2019, de 1 de marzo, por la que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017. 

• Real Decreto 311/2022, de 3 de Mayo, por el que se regula el Esquema Nacional de Seguridad. 

• Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). 

• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. 

• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. 

Desarrollo 

Para poder lograr estos objetivos es necesario: 

• Mejorar continuamente nuestro sistema de seguridad de la información. 

• Identificar las amenazas potenciales, así como el impacto en las operaciones de negocio que dichas amenazas, caso de materializarse, puedan causar. 

• Preservar los intereses de sus principales partes interesadas (clientes, accionistas, empleados y proveedores), la reputación, la marca y las actividades de creación de valor. 

• Trabajar de forma conjunta con nuestros suministradores y subcontratistas con el fin de mejorar la prestación de servicios de TI, la continuidad de los servicios y la seguridad de la información, que repercutan en una mayor eficiencia de nuestra actividad. 

• Evaluar y garantizar la competencia técnica del personal, así como asegurar la motivación adecuada de éste para su participación en la mejora continua de nuestros procesos, proporcionando la formación y la comunicación interna adecuada para que desarrollen buenas prácticas definidas en el sistema. 

• Garantizar el correcto estado de las instalaciones y el equipamiento adecuado, de forma tal que estén en correspondencia con la actividad, objetivos y metas de la empresa. 

• Garantizar un análisis de manera continua de todos los procesos relevantes, estableciéndose las mejoras pertinentes en cada caso, en función de los resultados obtenidos y de los objetivos establecidos. 

• Estructurar nuestro sistema de gestión de forma que sea fácil de comprender. Nuestro sistema de gestión tiene la siguiente estructura: 

La gestión de nuestro sistema se encomienda al Responsable de Sistemas Informáticos y el sistema estará disponible en nuestro sistema de información en un repositorio, al cual se puede acceder según los perfiles de acceso concedidos según nuestro procedimiento en vigor de gestión de los accesos. 

La documentación referida a la seguridad del sistema se encuentra estructurada en carpetas dentro del Sharepoint de la compañía, dividido en sub carpetas nombradas por puntos de norma y marcos de operación, las cuales recogen los distintos procedimientos, registros y evidencias, con acceso restringido para el personal de la compañía, no pudiendo acceder personal externo no autorizado. 

La documentación de seguridad se estructura en:  

• Política de Seguridad.  

• Normativa de seguridad: documentos que describen el uso de equipos, servicios e instalaciones.  Describen lo que se considera uso indebido, la responsabilidad del personal con respecto al cumplimiento o violación de la normativa, derechos, deberes y medidas disciplinarias de acuerdo con la legislación vigente.  

• Documentos específicos: documentación de seguridad desarrollada según las guías CCN-STIC que resulten de aplicación.  
• Procedimientos de seguridad: documentos que detallan cómo operar los elementos del sistema. 

Esta política se complementa con el resto de las políticas, procedimientos y documentos en vigor para desarrollar nuestro sistema de gestión. 

Organización de seguridad 

La responsabilidad esencial recae sobre la Dirección General de la organización, ya que esta es responsable de organizar las funciones y responsabilidades y de facilitar los recursos adecuados para conseguir los objetivos del ENS. Los directivos son también responsables de dar buen ejemplo siguiendo las normas de seguridad establecidas. 

Estos principios son asumidos por la Dirección, quien dispone los medios necesarios y dota a sus empleados de los recursos suficientes para su cumplimiento, plasmándose y poniéndolos en público conocimiento a través de la presente Política Integrada de Sistemas de Gestión. 

Esta definición de deberes y responsabilidades se completa en los perfiles de puesto y en los documentos del sistema Registro de responsables, roles y responsabilidades. 

Resolución de conflictos 

Las diferencias de criterios que pudiesen derivar en un conflicto se tratarán en el seno del Comité de Seguridad y prevalecerá en todo caso el criterio de la Dirección General.  

Comité de Seguridad 

El procedimiento para su designación y renovación será la ratificación en el comité de seguridad. 

El comité para la gestión y coordinación de la seguridad es el órgano con mayor responsabilidad dentro del sistema de gestión de seguridad de la información, de forma que todas las decisiones más importantes relacionadas con la seguridad se acuerdan por este comité. 

Los miembros del comité de seguridad de la información son: 

• RESPONSABLE DE SEGURIDAD 

• RESPONSABLE DEL SISTEMA 

• RESPONSABLE DEL SERVICIO 

• RESPONSABLE DE INFORMACIÓN 

Estos miembros son designados por el comité, único órgano que puede nombrarlos, renovarlos y cesarlos.  

El comité de seguridad es un órgano autónomo, ejecutivo y con autonomía para la toma de decisiones y que no tiene que subordinar su actividad a ningún otro elemento de nuestra empresa.  

La organización de la Seguridad de la información se desarrolla en el documento complementario a esta Política de Organización de la Seguridad 

Está política se complementa con el resto de las políticas, procedimientos y documentos en vigor para desarrollar nuestro sistema de gestión. 

Gestión de Riesgos 

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se revisa regularmente: 

• al menos una vez al año; 

• cuando cambie la información manejada; 

• cuando cambien los servicios prestados; 

• cuando ocurra un incidente grave de seguridad; 

• cuando se reporten vulnerabilidades graves. 

Para la armonización de los análisis de riesgos, el Comité de Seguridad TIC establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados. El Comité de Seguridad TIC dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal. 

Para la realización del análisis de riesgos se tendrá en cuenta la metodología de análisis de riesgos desarrollada en el procedimiento Análisis de Riesgos. 

Gestión de Personal 

Todos los miembros de HABBER TEC, tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad TIC disponer los medios necesarios para que la información llegue a los afectados. 

Todos los miembros de HABBER TEC, atenderán a una sesión de concienciación en materia de seguridad TIC al menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos los miembros de la HABBER TEC, en particular a los de nueva incorporación. 

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.  

Profesionalidad y seguridad de los recursos humanos 

Esta Política se aplica a todo el personal de HABBER TEC, y el personal externo que realiza tareas dentro de la empresa. 

RRHH incluirá funciones de seguridad de la información en las descripciones de los trabajos de los empleados, informará a todo el personal que contrate sus obligaciones con respecto al cumplimiento de la Política de Seguridad de la Información, gestionará los Compromisos de Confidencialidad con el personal y coordinará las tareas de capacitación de los usuarios con respecto a esta Política. 

• El Responsable de Gestión de la Seguridad (RGS) [CISO], es responsable de monitorear, documentar y analizar los incidentes de seguridad reportados, así como de comunicarse al Comité de Seguridad de la Información y a los propietarios de información. 

• El Comité de Seguridad de la Información será responsable de implementar los medios y canales necesarios para que el Responsable de Gestión de la Seguridad (RGS) [CISO] maneje informes de incidentes y anomalías del sistema. El Comité también estará al tanto, supervisará la investigación, supervisará la evolución de la información y promoverá la resolución de incidentes de seguridad de la información. 

• El Responsable de Gestión de la Seguridad (RGS) [CISO] participará en la preparación del Compromiso de Confidencialidad que firmará los empleados y terceros que desempeñen funciones en HABBER TEC, en el asesoramiento sobre las sanciones que se aplicarán por incumplimiento de esta Política y en el tratamiento de incidentes de seguridad de la información. 

• Todo el personal de HABBER TEC, es responsable de informar sobre las debilidades e incidentes de seguridad de la información que se detectan oportunamente. 

•  Profesionalidad de los recursos humanos: 

• Determinar la competencia necesaria del personal para llevar a cabo el trabajo que afecta a la Seguridad de la Información. 

• Hay que asegurar que las personas sean competentes sobre la base de la educación, capacitación o experiencia adecuadas. 

• Demostrar mediante la información documentada que sea necesaria la competencia del personal en materia de Seguridad de la Información. 

Los objetivos de controlar la seguridad del personal son: 

• Reducir los riesgos de error humano, puesta en marcha de irregularidades, uso indebido de instalaciones y recursos, y manejo no autorizado de la información. 

• Explicar las responsabilidades de seguridad en la etapa de reclutamiento del personal e incluirlas en los acuerdos a firmar y verificar su cumplimiento durante el desempeño de las tareas del empleado. 

• Asegúrese de que los usuarios estén al tanto de las amenazas y preocupaciones de seguridad de la información y estén capacitados para apoyar la Política de Seguridad de la Información de la organización en el curso de sus tareas normales. 

• Establecer compromisos de confidencialidad con todo el personal y usuarios fuera de las instalaciones de procesamiento de información. 

• Establecer las herramientas y mecanismos necesarios para promover la comunicación de las debilidades de seguridad existentes, así como los incidentes, con el fin de minimizar sus efectos y prevenir su reincidencia. 

Autorización y control de acceso a los Sistemas de Información 

El control del acceso a los sistemas de información tiene por objetivo: 

• Evitar el acceso no autorizado a sistemas de información, bases de datos y servicios de información. 

• Implementar la seguridad en el acceso de los usuarios a través de técnicas de autenticación y autorización. 

• Controlar la seguridad en la conexión entre la red de HABBER TEC y otras redes públicas o privadas. 

• Revisar los eventos críticos y las actividades llevadas a cabo por los usuarios en los sistemas. 

• Concienciar sobre su responsabilidad por el uso de contraseñas y equipos. 

• Garantizar la seguridad de la información cuando se utilizan ordenadores portátiles y ordenadores personales para el trabajo remoto. 

Resolución de conflictos

En caso de conflicto entre los roles establecidos en la presente Política de Seguridad respecto al cumplimiento y desarrollo de las funciones y tareas que tienen asignadas, éste será resuelto por su superior jerárquico común teniendo en consideración aquella decisión que presente un mayor nivel de exigencia respecto a la protección de datos de carácter personal. Si no existiera, deberá resolver el Comité de Seguridad de la Información. 

Protección de datos personales 

En lo referente a los datos personales, que sean objeto de tratamiento por los sistemas de información y comunicación de HABBER TEC, se cumplirá con los principios y obligaciones de la normativa vigente en materia de protección de datos, entre otras, el Reglamento (UE) 679/2016, General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre,  respetando, en todo caso, el derecho fundamental a la protección de datos personales, la intimidad y el resto de los derechos fundamentales reconocidos tanto en la legislación y tratados internacionales como en la Constitución Española. Asimismo, se adoptarán las medidas técnicas y organizativas que corresponda implantar, derivadas de los riesgos generados por el tratamiento, una vez llevado a cabo el análisis de riesgos exigido por el RGPD, y sin perjuicio de aquellas situaciones en las que se requiera con carácter previo realizar una Evaluación de Impacto de la Protección de Datos (EIPD). 

Protección de las instalaciones 

Los objetivos de esta política en materia de protección de las instalaciones son: 

Prevenir el acceso no autorizado, daños e interferencias a la sede, instalaciones e información de HABBER TEC 

• Proteger el equipo de procesamiento de información crítico de HABBER TEC, colocándolo en áreas protegidas y protegido por un perímetro de seguridad definido, con las medidas de seguridad y controles de acceso adecuados. Asimismo, contemplar la protección de esta en su traslado y permanecer fuera de las áreas protegidas, por mantenimiento u otros motivos. 

• Controlar los factores ambientales que podrían perjudicar el buen funcionamiento del equipo de cómputo que alberga la información de HABBER TEC 

• Implementar medidas para proteger la información manejada por el personal en las oficinas, en el marco normal de sus tareas habituales. 

• Proporcionar protección proporcional a los riesgos identificados. 

Esta Política se aplica a todos los recursos físicos relacionados con los sistemas de información de HABBER TEC: instalaciones, equipos, cableado, expedientes, medios de almacenamiento, etc. 

El responsable de Gestión de la Seguridad (RGS) [CISO], junto con los Titulares de la Información, según proceda, definirá las medidas de seguridad física y ambiental para la protección de los activos críticos, sobre la base de un análisis de riesgos, y supervisará su aplicación. También verificará el cumplimiento de las disposiciones de seguridad física y medioambiental. 

Los responsables de los diferentes departamentos definirán los niveles de acceso físico del personal de HABBER TEC a las áreas restringidas bajo su responsabilidad. Los Propietarios de Información autorizará formalmente el trabajo fuera del sitio con información sobre su negocio a los empleados de HABBER TEC, cuando lo consideren apropiado. 

Todo el personal de HABBER TEC es responsable del cumplimiento de la política de pantalla limpia y escritorio, para la protección de la información relacionada con el trabajo diario en las oficinas. 

Adquisición de productos 

Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC. 

Por otro lado, se tendrá en cuenta la seguridad de la información en la adquisición y mantenimiento de los sistemas de información, limitando y gestionando el cambio. 

La política de desarrollo y adquisición de sistemas de información se desarrolla en el documento: Política Adquisición, Desarrollo y Mantenimiento de Sistemas. 

Seguridad por defecto 

HABBER TEC considera estratégico para la entidad que los procesos integren la seguridad de la información como parte de su ciclo de vida. Los sistemas de información y los servicios deben incluir la seguridad por defecto desde su creación hasta su retirada, incluyéndose la seguridad en las decisiones de desarrollo y/o adquisición y en todas las actividades en explotación estableciéndose la seguridad como un proceso integral y transversal. 

Integridad y actualización del sistema 

HABBER TEC se compromete a garantizar la integridad del sistema mediante un proceso de gestión de cambios que permita el control de la actualización de los elementos físicos o lógicos mediante la autorización previa a su instalación en el sistema. Dicha evaluación será llevada a cabo principalmente por la dirección de sistemas que evaluará el impacto en la seguridad del sistema antes de realizar los cambios y controlará de forma documentada aquellos cambios que se evalúen como importantes o con implicaciones en la seguridad de los sistemas. 

Mediante revisiones periódicas de seguridad se evaluará el estado de seguridad de los sistemas, en relación con las especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les afecten, reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de estos. 

Protección de la información almacenada y en tránsito 

HABBER TEC establece medidas de protección para la Seguridad de la Información almacenada o en tránsito a través de entornos inseguros. Tendrán la consideración de entornos inseguros los equipos portátiles, asistentes personales (PDA), dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.  

Prevención de sistemas de información interconectados

HABBER TEC, establece medidas de protección para la Seguridad de la Información especialmente para proteger el perímetro, en particular, si se conecta a redes públicas, especialmente si se utilizan en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público. 

En todo caso se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión. Conexiones electrónicas disponibles para el público. 

Registros de actividad 

HABBER TEC, registrará las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa. 

Los objetivos principales de la Gestión de incidentes son los de: 

• Establecer un sistema de detección y reacción frente a código dañino 

• Disponer de procedimientos de gestión de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de información. 

• Estos procedimientos cubrirán los mecanismos de detección, los criterios de clasificación, los procedimientos de análisis y resolución, así como los cauces de comunicación a las partes interesadas y el registro de las actuaciones. 

• Este registro se emplea para la mejora continua de la seguridad del sistema. 

• Garantizar que los servicios de IT vuelvan a tener un desempeño óptimo. 

• Reducir los posibles riesgos e impactos que pueda causar el incidente. 

•  Velar por la integridad de los sistemas en el caso de un incidente de seguridad. 

• Comunicar el impacto de un incidente tan pronto como se detecte para activar la alarma; y poner en práctica un plan de comunicación empresarial adecuado. 

• Promover la eficiencia empresarial. 

Continuidad de la actividad 

HABBER TEC, con el objetivo de garantizar la continuidad de las actividades, establece medidas para que los sistemas dispongan de copias de seguridad y establece mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo. 

Mejora continua del proceso de seguridad 

HABBER TEC establece un proceso de mejora continua de la seguridad de la información aplicando los criterios y metodología establecida en normas internacionales, ISO 27001, 9001 y 14001, así como el Esquema Nacional de Seguridad.

La aplicación efectiva de estos principios de Calidad, Medio Ambiente y Seguridad de la Información, requiere de la participación y colaboración de todos, tanto del equipo directivo como de la plantilla, por lo que esta Política es difundida a todo el personal de la organización para su conocimiento y comprensión, siendo revisada al menos una vez al año para su adecuación, estando a disposición del público en general. 

En Madrid,  27 de mayo de 2026