Ir al contenido
1. APROBACIÓN Y ENTRADA EN VIGOR
La presente Política de Seguridad de la Información corresponde a la versión aprobada por la Dirección General de EUROVALORACIONES, S.A. (EUROVAL) el día 28 de marzo de 2023 y revisada a fecha actual.
Esta política será de aplicación efectiva desde su aprobación y permanecerá vigente hasta que sea revisada o reemplazada por una nueva versión que la sustituya formalmente.
2. ALCANCE
El Alcance General de los sistemas de información asociados a los procesos de negocio que están sujetos a certificación de la norma UNE ISO/IEC 27001 es el siguiente: “Servicios de tasación y valoración de bienes muebles e inmuebles”.
3. INTRODUCCIÓN
EUROVALORACIONES S.A. (en adelante, EUROVAL) depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad de la información tratada o los servicios prestados.
Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere de una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios. Esto implica que los departamentos deben aplicar las medidas mínimas de seguridad exigidas por la norma UNE ISO/IEC 27001, así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.
Los diferentes departamentos deben cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en pliegos de licitación para proyectos de TIC.
Los departamentos deben estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes, de conformidad con la normativa de seguridad.
Para ello, los principios que guían la actuación de EUROVAL en esta materia son:
- Cumplimiento normativo.
- Gestión del riesgo y resiliencia.
- Seguridad integrada.
- Concienciación y responsabilidad.
- Mejora continua.
4. OBJETIVOS DE SEGURIDAD DEL SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN (SGSI)
EUROVAL ha implementado diversas medidas de seguridad proporcionales a la naturaleza de la información y los servicios a proteger y, teniendo en cuenta su análisis de riesgos y su declaración de aplicabilidad, establece y promueve los siguientes objetivos estratégicos:
- Seguridad como un proceso integral y seguridad por defecto.
- Reevaluación periódica e integridad y actualización del sistema.
- Gestión de personal y profesionalidad.
- Gestión de la seguridad basada en los riesgos y análisis y gestión de riesgos.
- Incidentes de seguridad, prevención, reacción y recuperación.
- Líneas de defensa y prevención ante otros sistemas interconectados.
- Función diferenciada y organización e implantación del proceso de seguridad.
- Autorización y control de los accesos.
- Protección de las instalaciones.
- Adquisición de productos de seguridad y contratación de servicios de seguridad.
- Protección de la información almacenada y en tránsito y continuidad de la actividad.
- Registros de actividad.
5. MARCO NORMATIVO
EUROVAL está sujeto, a título enunciativo y no limitativo, a las siguientes normativas y regulaciones:
- Reglamento (UE) 2016/679 (RGPD), del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
- Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE).
- Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el Texto Refundido de la Ley de Propiedad Intelectual.
- Real Decreto-ley 10/2021, de 9 de julio, relativo al trabajo a distancia, junto con la normativa laboral vigente en materia de protección de datos y seguridad de la información.
- Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo.
- Ley 41/2007, de 7 de diciembre, de reforma del sistema hipotecario y financiero.
- Real Decreto 775/1997, de 30 de mayo, sobre homologación de servicios de tasación.
- Orden ECO/805/2003, de 27 de marzo, sobre normas de valoración de bienes inmuebles y de determinados derechos para ciertas finalidades financieras.
- Circulares del Banco de España aplicables a las sociedades de tasación (entre ellas, la Circular 7/2010 y la Circular 3/1998, modificada por las Circulares 5/2003 y 2/2009).
- Reglamento (UE) 2022/2554 (DORA), del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, sobre la resiliencia operativa digital del sector financiero.
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS).
Asimismo, EUROVAL mantiene la coherencia de su SGSI con el marco regulatorio europeo en materia de resiliencia digital, observando las directrices y recomendaciones emanadas de las autoridades europeas de supervisión, incluyendo la Autoridad Bancaria Europea (EBA).
6. ROLES Y RESPONSABILIDADES
Todos los miembros de EUROVALORACIONES S.A. tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad, siendo responsabilidad del Comité de Seguridad disponer los medios necesarios para que la información llegue a los afectados.
Todos los miembros de EUROVALORACIONES S.A. atenderán a una sesión de concienciación en materia de seguridad TIC al menos una vez al año. Se establecerá un programa de concienciación continua para atender a todos los miembros de EUROVALORACIONES S.A., en particular a los de nueva incorporación.
Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.
No obstante lo anterior, se establecen los siguientes roles principales con responsabilidades en el cumplimiento de la Política de Seguridad de la Información:
- Dirección de EUROVAL: Consejero Delegado.
- Responsable de Seguridad y Sistemas.
- Responsable de Organización y Recursos Humanos.
- Dirección de IT.
- Responsable de Cumplimiento Normativo.
Comité de Seguridad: integrado por el Consejero Delegado, el responsable de Seguridad y Sistemas, el responsable de Organización y RRHH, la dirección de IT y la responsable de Cumplimiento Normativo. Este comité tiene la función de coordinar, supervisar y promover la implantación del Sistema de Gestión de Seguridad de la Información (SGSI) en la organización.
7. REVISIÓN DE LA POLÍTICA
EUROVAL mantiene una versión interna ampliada de esta política, de carácter restringido, que desarrolla los procedimientos operativos y controles específicos del SGSI.
La presente Política será revisada, como mínimo, una vez al año o siempre que se produzcan cambios relevantes en la normativa, en la estructura organizativa o en los sistemas tecnológicos, con el fin de garantizar su vigencia, adecuación y eficacia.
La revisión incluirá la evaluación del grado de cumplimiento de los objetivos de seguridad, la eficacia de los controles implantados y la identificación de oportunidades de mejora en el marco del proceso de mejora continua del SGSI.