Titular del sistema: AIRCURY, S.L.
Alcance ENS: Sistemas de información y servicios de AIRCURY, S.L. según su Declaración de Aplicabilidad.
Categoría del sistema: ALTA
Base jurídica: Art. 12 y Anexo II, medida org.1, del Real Decreto 311/2022.
1. Objeto y Finalidad
El presente documento constituye la Política de Seguridad de la Información de AIRCURY, S.L. (en adelante, AIRCURY o la organización), aprobada por su Dirección en cumplimiento de lo dispuesto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS).
Su finalidad es establecer el marco de gobernanza, las directrices estratégicas, la estructura organizativa y las responsabilidades sobre las que se sustenta la protección de la información y de los servicios que AIRCURY presta, garantizando su confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad, así como el cumplimiento del marco normativo aplicable.
Esta Política es el documento de mayor rango del cuerpo normativo de seguridad de la organización. Toda la normativa, procedimientos e instrucciones técnicas de seguridad se subordinan a ella y deben interpretarse conforme a sus principios. AIRCURY se somete voluntariamente al ENS y asume la totalidad de sus obligaciones respecto de los sistemas incluidos en el alcance.
2. Ámbito de Aplicación
2.1. Titular del sistema y alcance organizativo
El titular de los sistemas de información incluidos en el alcance del ENS es AIRCURY, S.L., con domicilio social en Calle Recogidas, 35, 1.º A, 18005 Granada (España). Aunque AIRCURY, S.L. forma parte de un grupo empresarial, el alcance del presente marco ENS se circunscribe exclusivamente a esta sociedad.
2.2. Alcance funcional y técnico
Quedan sometidos a esta Política:
- Los sistemas de información y servicios de AIRCURY, S.L. que dan soporte a las actividades de diseño, desarrollo, implementación y mantenimiento de software y aplicaciones web.
- Toda la información tratada por la organización en el marco de dichos servicios, con independencia de su soporte, formato o ubicación, incluida la residente en servicios en la nube.
- Todo el personal de AIRCURY, S.L., con independencia de su modalidad contractual o ubicación.
- Los colaboradores, proveedores y terceros que accedan, traten, transmitan o custodien información o componentes del sistema, en los términos formalizados contractualmente.
2.3. Actividad y modelo de prestación
AIRCURY desarrolla su actividad en el ámbito del diseño, desarrollo, implementación y mantenimiento de software y aplicaciones web. La totalidad de la infraestructura productiva se soporta sobre servicios de nube pública de máxima seguridad y el trabajo se presta mayoritariamente en régimen de teletrabajo. Estas características condicionan de forma determinante el modelo de seguridad adoptado, que se desarrolla en nuestra normativa interna.
3. Marco Normativo y Regulatorio
La organización identifica, mantiene actualizado y evalúa el marco legal y reglamentario aplicable. Constituyen referencia esencial de esta Política:
- Seguridad e Interoperabilidad: Esquema Nacional de Seguridad (RD 311/2022), Esquema Nacional de Interoperabilidad (RD 4/2010), Instrucciones Técnicas de Seguridad y Guías CCN-STIC.
- Administración y Contratación Pública: Ley 39/2015, Ley 40/2015, Ley 9/2017 (Contratos del Sector Público) y Ley 19/2013 (Transparencia).
- Protección de Datos: Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 (LOPDGDD).
- Otras normas: LSSI-CE, Ley de Propiedad Intelectual, Ley 2/2023 de protección a informantes y el marco de certificación UNE-EN ISO/IEC 27001:2022.
Para los servicios prestados a clientes del Reino Unido, resulta además de aplicación la normativa británica equivalente en materia de protección de datos y ciberseguridad.
4. Principios Básicos de Seguridad
AIRCURY asume como propios los principios básicos del ENS y los traslada a su operativa en los siguientes términos:
- Seguridad como proceso integral: La seguridad se gestiona como un proceso continuo que integra personas, procesos y tecnología.
- Gestión basada en los riesgos: Las decisiones de seguridad se fundamentan en un análisis de riesgos documentado, mantenido y revisado periódicamente.
- Prevención, detección, respuesta y conservación: Se implantan medidas en todos los niveles y mecanismos de conservación de evidencia para la continuidad y reconstrucción de los hechos.
- Líneas de defensa: La protección se articula en capas sucesivas (organizativas, físicas, lógicas y contractuales).
- Vigilancia continua: La organización monitoriza el estado de seguridad, mide su desempeño y reevalúa las medidas al menos anualmente.
- Diferenciación de responsabilidades: Se separan las figuras de Responsable de la Información, Responsable del Servicio, Responsable del Sistema y Responsable de Seguridad para garantizar la segregación de funciones.
5. Requisitos Mínimos de Seguridad
La organización aplica todos los requisitos mínimos exigidos por el ENS para sistemas de Categoría ALTA, lo cual incluye:
- Organización e implantación formal del proceso de seguridad con roles designados.
- Análisis y gestión de riesgos abarcando las cinco dimensiones de la seguridad.
- Gestión segura de personal, control de accesos basados en el principio de mínimo privilegio y autenticación robusta.
- Exigencia contractual y verificación de seguridad en proveedores y servicios en la nube.
- Protección de la información en reposo y tránsito mediante mecanismos criptográficos.
- Registro de actividad, detección de código dañino y gestión de incidentes con notificación al INCIBE-CERT.
- Planes de continuidad de negocio y mejora continua del proceso de seguridad mediante auditorías internas y externas.
6. Objetivos y Compromisos de la Dirección
- Misión: Garantizar el desarrollo y la operación segura de soluciones software y servicios digitales, protegiendo la información asociada a los procesos internos, a los clientes y a los activos digitales gestionados.
- Visión: Ser un referente tecnológico con un modelo de gestión de la seguridad robusto, alineado con los estándares más exigentes y capaz de anticipar y responder a los riesgos tecnológicos emergentes.
La Dirección de AIRCURY, S.L. se compromete a cumplir los requisitos normativos (ENS, ISO 27001), proporcionar los recursos necesarios para el mantenimiento del sistema, gestionar adecuadamente los riesgos, garantizar la continuidad de los servicios, y promover la formación continua de su personal.
7. Organización de la Seguridad de la Información
La Dirección ha constituido un Comité de Seguridad de la Información con capacidad decisoria, encargado de coordinar esfuerzos, gestionar riesgos, proponer planes de mejora y velar por la seguridad integral en todos los proyectos.
Asimismo, en cumplimiento del ENS, se han designado formalmente los roles de Dirección, Responsable de la Información, Responsable del Servicio, Responsable de Seguridad, Responsable del Sistema y Responsable de Protección de Datos, garantizando la debida segregación de funciones y la independencia jerárquica necesaria para la supervisión y mantenimiento seguro del sistema.
8. Gestión de los Riesgos
AIRCURY realiza y mantiene actualizado un análisis de riesgos que considera las dimensiones de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Se realiza una revisión ordinaria anual y revisiones extraordinarias ante cambios significativos. El resultado del análisis determina la selección y los refuerzos de las medidas aplicadas para mantener el riesgo residual en niveles aceptables.
9. Datos Personales
AIRCURY aplica las medidas técnicas y organizativas apropiadas al tratamiento de datos personales, integradas en las medidas de seguridad del ENS y de la norma ISO/IEC 27001:2022. La organización cuenta con un Delegado de Protección de Datos (DPD) debidamente designado.
10. Obligaciones del Personal, Formación y Concienciación
Todo el personal, previamente al acceso a la información, suscribe compromisos de confidencialidad y uso aceptable de recursos. La organización mantiene un plan anual de formación y concienciación que incluye capacitación específica para el personal con funciones de seguridad y administración.
11. Prevención, Detección, Respuesta y Continuidad
- Prevención y Detección: Configuración segura, gestión de vulnerabilidades, mínimo privilegio, cifrado, y monitorización continua del sistema con registro de actividades.
- Respuesta: Procedimiento formal de gestión de incidentes y notificación a las autoridades competentes (INCIBE-CERT, AEPD).
- Continuidad: Análisis de impacto en el negocio, planes de continuidad y recuperación, y pruebas periódicas documentadas.
12. Cumplimiento, Auditoría y Mejora Continua
El sistema, al ser de categoría ALTA, se somete a auditorías internas y externas de seguridad al menos cada dos años por entidades acreditadas. El desempeño de la seguridad se evalúa de manera continua mediante indicadores que son revisados por la Dirección, generando acciones correctivas y de mejora continua.
13. Revisión y Actualización de la Política
Esta Política se revisa con carácter ordinario al menos una vez al año por el Comité de Seguridad de la Información y se somete a la aprobación de la Dirección. Procede su revisión extraordinaria cuando se produzcan cambios significativos en el alcance, en el modelo de prestación o en el marco normativo.