Política de Seguridad

1. Objeto

La presente Política de Seguridad de la Información tiene como finalidad establecer el marco de referencia para proteger los sistemas y la información de la Asociación Profesional Iberoamericana de Gobierno, Riesgo y Cumplimiento (GRC SIN FRONTERAS), en adelante la Asociación.

2. Aprobación, entrada en vigor y revisiones

El presente documento ha sido aprobado por el Comité de Seguridad de la Información de GRC SIN FRONTERAS en su edición inicial.

Esta Política de Seguridad de la Información es efectiva desde la fecha de su aprobación y hasta que sea reemplazada por una nueva versión.

La Política de Seguridad de la Información, así como el resto de las políticas de la Asociación, se revisará con una periodicidad anual. Tras cada revisión se indicará si ha habido alguna modificación o actualización. No obstante, podrá revisarse en cualquier momento cuando se produzcan cambios significativos en los sistemas, servicios o en el marco normativo aplicable.

3. Introducción

GRC SIN FRONTERAS depende de los sistemas de Tecnologías de la Información y las Comunicaciones (en adelante, TIC) para alcanzar sus objetivos asociativos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños que puedan afectar a la disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad de la información tratada o los servicios prestados.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza ante los incidentes.

Los sistemas TIC deben estar protegidos contra amenazas con potencial para incidir en la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y los servicios. Para ello se requiere una estrategia que se adapte a los cambios del entorno, aplicando las medidas de seguridad exigidas por el Esquema Nacional de Seguridad (ENS) en su nivel Básico, realizando un seguimiento continuo de los niveles de prestación de servicios y preparando una respuesta efectiva ante los incidentes.

La seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio. Los requisitos de seguridad deben ser identificados e incluidos en la planificación y en la contratación de servicios TIC.

Los órganos y responsables de la Asociación deben estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo con el artículo 8 del ENS.

3.1 Prevención

Se deben evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. Para ello se implementarán las medidas mínimas de seguridad determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos. Estos controles, y los deberes y responsabilidades de seguridad de todo el personal, deben estar claramente definidos y documentados.

Para garantizar el cumplimiento de la política se deberá:

• Autorizar los sistemas antes de entrar en operación.
• Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración.
• Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente cuando sea necesario.

3.2 Detección

Dado que los servicios pueden degradarse rápidamente debido a incidentes, se monitorizará su operativa de forma continua para detectar anomalías en los niveles de prestación y actuar en consecuencia, según lo establecido en el artículo 8 del ENS.

Se establecerán mecanismos de detección, análisis y reporte que lleguen a los responsables de forma regular y cuando se produzca una desviación significativa de los parámetros considerados normales.

3.3 Respuesta

En GRC SIN FRONTERAS se deben:

• Establecer mecanismos para responder eficazmente a los incidentes de seguridad.
• Designar un punto de contacto para las comunicaciones relativas a incidentes detectados.
• Establecer protocolos para el intercambio de información relacionada con el incidente.

3.4 Conservación

Para garantizar la disponibilidad de los servicios, se desarrollarán planes de continuidad de los sistemas TIC como parte del plan general de continuidad de las actividades de la Asociación.

4. Alcance

Esta política se aplica a todos los sistemas TIC de GRC SIN FRONTERAS y a todos los miembros de la organización, sin excepciones, incluyendo personal colaborador, voluntarios y terceros que accedan a los sistemas o información de la Asociación.

5. Visión y misión

La misión de GRC SIN FRONTERAS es conectar y fortalecer a profesionales de Iberoamérica dedicados al gobierno corporativo, la gestión de riesgos y el cumplimiento normativo, promoviendo la formación, el intercambio de conocimiento y el networking, con el objetivo de difundir buenas prácticas y fortalecer la cultura GRC en las organizaciones de la región.

La visión de la Asociación en materia de seguridad es operar con los más altos estándares de protección de la información, siendo consecuente con los principios GRC que promueve, y ofreciendo a sus asociados, colaboradores y terceros una gestión de la información basada en la confianza, la transparencia y la responsabilidad proactiva.

6. Marco normativo

GRC SIN FRONTERAS se encuentra sujeta a la siguiente normativa en la gestión de sus sistemas y servicios:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS).
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSICE).
• Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
• Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el texto refundido de la Ley de Propiedad Intelectual.
• Real Decreto 255/2025, de 1 de abril, por el que se regula el Documento Nacional de Identidad.
• Ley Orgánica 1/2002, de 22 de marzo, reguladora del Derecho de Asociación.

El marco de referencia que da cobertura legal a esta política en materia de seguridad se establece en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el ENS, en particular:

• Artículo 13. Organización e implantación del proceso de seguridad.
• Anexo II. Medidas de Seguridad — Marco organizativo [org] — Política de seguridad [org.1].

Para el control y seguimiento de la legislación aplicable, la Asociación se suscribirá a los servicios de actualización normativa pertinentes.

7. Organización de la seguridad

7.1 Comité de Seguridad: Funciones y Responsabilidades

El Comité de Seguridad de la Información de GRC SIN FRONTERAS tendrá las siguientes funciones:

• Impulsar las acciones necesarias para la efectiva implantación del ENS en su nivel Básico.
• Velar por el cumplimiento de la normativa de aplicación legal, regulatoria y sectorial.
• Aprobar el nivel de riesgo aceptable, así como el plan de tratamiento de riesgos.
• Reunirse periódicamente para revisar la evolución de la seguridad de la información.
• Informar a la Junta Directiva sobre el desempeño del sistema de seguridad y las necesidades de mejora.
• Revisar al menos anualmente las políticas de seguridad de la información —o siempre que se produzcan cambios significativos— a fin de asegurar su idoneidad, adecuación y eficacia.
• Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables.

El Responsable de Seguridad actuará como secretario del Comité de Seguridad de la Información y como tal:

• Convocará las reuniones del Comité.
• Preparará los temas a tratar, aportando información para la toma de decisiones.
• Elaborará el acta de las reuniones.

El rol de Responsable de Seguridad es incompatible con los roles de Responsable de la Información o del Servicio.

Los nombramientos de los miembros del Comité se recogerán en acta, serán aceptados por los candidatos y comunicados a toda la organización. Todos los nombramientos se revisarán cada dos años, o cuando los puestos queden vacantes.

7.2 Roles: Deberes y Responsabilidades

Las funciones y responsabilidades de los miembros del Comité de Seguridad son las recogidas en la Guía CCN-STIC 801 del Esquema Nacional de Seguridad. A continuación se recogen brevemente las distintas funciones:

1. Nivel de Gobierno

Junta Directiva

Ostenta la máxima responsabilidad en el desarrollo de las competencias de la Asociación, incluyendo las de seguridad de la información, de conformidad con lo dispuesto en el ordenamiento jurídico y los Estatutos de GRC SIN FRONTERAS. Es el máximo responsable de la implantación del ENS en la Asociación.

Responsable del Servicio y de la Información

La Junta Directiva asume también el rol de Responsable del Servicio y de la Información. Determina los requisitos de seguridad de la información tratada y los servicios prestados, según los parámetros del Anexo I del ENS, así como la aprobación de los niveles de seguridad. Sus funciones concretas son:

• Establecer los requisitos del servicio en materia de seguridad.
• Efectuar las valoraciones relativas a las categorías de seguridad (artículo 40 del ENS), así como su posterior modificación.
• Aceptar el riesgo residual.
• Ser informada de los incidentes y de las actuaciones llevadas a cabo para su resolución.
• Determinar los criterios para asignar y modificar a cada información el nivel de seguridad requerido y ser responsable de su documentación y aprobación formal.

2. Nivel de Supervisión

Responsable de la Seguridad

Es la persona designada por el Comité de Seguridad para satisfacer los requisitos de seguridad de la información y de los servicios. Se encarga de mantener la seguridad de la información manejada y de los servicios prestados por los sistemas de información, y de promover la formación y concienciación en materia de seguridad dentro de la Asociación. Sus funciones concretas son:

• Determinar la categoría de seguridad del sistema, con base en las valoraciones de la Junta Directiva como Responsable de la Información y del Servicio.
• Mantener la seguridad de la información manejada y de los servicios prestados, de acuerdo con lo establecido en esta Política.
• Determinar las decisiones para satisfacer los requisitos de seguridad, supervisar la implantación de las medidas necesarias y reportar sobre estas cuestiones.
• Promover la formación y concienciación en materia de seguridad de la información.
• Formalizar y aprobar las medidas seleccionadas del Anexo II del ENS en la Declaración de Aplicabilidad, incluyendo las medidas compensatorias o complementarias.
• Analizar los informes de auditoría y presentar sus conclusiones al Comité de Seguridad.
• Aprobar explícitamente los cambios que impliquen un riesgo de nivel ALTO con carácter previo a su implantación.
• Recoger los requisitos de protección de datos fijados por el responsable del tratamiento, contando con el asesoramiento del DPD, e implementarlos en los sistemas conforme a los artículos 24 y 32 del RGPD.
• Participar en la elaboración y propuesta de esta Política y los procedimientos en aplicación del ENS.
• En la gestión de ciberincidentes, calificar su peligrosidad conforme a la Guía CCN-STIC 817 y actuar como punto de contacto con las autoridades competentes, notificando al CCN-CERT cuando proceda.

Punto de Contacto en materia de Seguridad (POC)

El Responsable de la Seguridad actúa como Punto de Contacto (Point of Contact, POC) de GRC SIN FRONTERAS en materia de seguridad de la información, tanto frente a organismos externos —CCN-CERT, AEPD, autoridades competentes— como frente a terceros, asociados y colaboradores que necesiten comunicar incidentes, vulnerabilidades o consultas de seguridad.

Las comunicaciones dirigidas al POC se canalizarán a través de la dirección de correo electrónico ciso@grcsinfronteras.org.

Esta dirección deberá estar operativa de forma continua y su monitorización es responsabilidad del Responsable de la Seguridad. Cualquier comunicación recibida a través del POC será registrada, clasificada y atendida conforme a los procedimientos de gestión de incidentes de la Asociación.

3. Nivel Operativo

Responsable del Sistema

Se encarga de la operación del sistema de información, atendiendo a las medidas de seguridad determinadas por el Responsable de la Seguridad. Su responsabilidad puede estar situada dentro de la Asociación o estar compartimentada con terceros cuando los sistemas se encuentran externalizados. Sus funciones concretas son:

• Desarrollar, operar y mantener el Sistema de Información durante todo su ciclo de vida.
• Adoptar las medidas correctoras derivadas de las auditorías de seguridad.
• Definir la topología y sistema de gestión del Sistema de Información, estableciendo los criterios de uso y los servicios disponibles.
• Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.
• Acordar la suspensión del manejo de cierta información o la prestación de un servicio si es informado de deficiencias graves de seguridad.
• Elaborar procedimientos operativos de seguridad, planes de mejora y planes de continuidad.
• Planificar la implantación de las salvaguardas en el sistema y ejecutar el plan de seguridad aprobado.

4. Delegado de Protección de Datos (DPD)

Además de las funciones que le atribuye la normativa especial (RGPD, LOPDGDD) y los criterios de las autoridades de control, el DPD asesora al Responsable del Tratamiento en la realización de análisis de riesgos y evaluaciones de impacto, supervisa la implementación de las obligaciones en materia de protección de datos, colabora con las autoridades de control y actúa como garante del derecho a la protección de datos de las personas físicas afectadas por los tratamientos de la Asociación.

El Responsable de la Seguridad contará con la opinión del DPD en relación con los requisitos de la normativa de protección de datos cuando los sistemas traten datos personales.

El DPD deberá ser informado de los incidentes de seguridad que afecten a datos personales para cumplir con las obligaciones de los artículos 33 y 34 del RGPD.

El DPD formará parte del Comité de Seguridad de la Información cuando se traten asuntos relacionados con el tratamiento de datos personales.

El contacto con el DPD de GRC SIN FRONTERAS puede realizarse a través de la dirección de correo electrónico dpd@grcsinfronteras.org.

7.3 Política de seguridad de la información

Será misión del Comité de Seguridad la revisión anual de esta Política de Seguridad de la Información y la propuesta de revisión o mantenimiento de la misma. Esta Política será aprobada por el Comité de Seguridad y firmada por el Responsable de Seguridad, quien supervisará que sea difundida para que la conozcan todas las partes afectadas.

8. Resolución de conflictos de interés

Para la resolución de los conflictos de interés que puedan producirse entre los diferentes responsables o áreas de la Asociación, se atenderá a lo que venga establecido en el Reglamento del Comité de Seguridad de la Información de GRC SIN FRONTERAS y, en su defecto, a los Estatutos de la Asociación.

En todo caso, ninguna persona podrá ocupar simultáneamente roles incompatibles conforme a lo establecido en el ENS y en la presente Política. El Comité de Seguridad velará por el mantenimiento de la separación de funciones y la independencia de los roles de supervisión respecto de los roles operativos.

9. Datos de carácter personal

GRC SIN FRONTERAS trata datos de carácter personal de sus asociados, colaboradores, usuarios y terceros. El Registro de Actividades de Tratamiento, al que tendrán acceso únicamente las personas autorizadas, recoge los tratamientos afectados y los responsables correspondientes.

Todos los sistemas de información de la Asociación se ajustarán a los niveles de seguridad requeridos por la normativa para la naturaleza y finalidad de los datos de carácter personal recogidos en el mencionado Registro, de conformidad con el RGPD y la LOPDGDD.

La Política de Privacidad de la Asociación, disponible en el sitio web www.grcsinfronteras.org, regula en detalle el tratamiento de los datos personales.

A efectos de la gestión de incidentes de seguridad, las comunicaciones de carácter técnico-operativo se canalizarán a través del Punto de Contacto de Seguridad (ciso@grcsinfronteras.org). Las comunicaciones relativas a brechas de seguridad con afectación a datos personales deberán dirigirse adicionalmente al Delegado de Protección de Datos (dpd@grcsinfronteras.org), a fin de dar cumplimiento a las obligaciones de notificación establecidas en los artículos 33 y 34 del RGPD.

10. Gestión de riesgos

Todos los sistemas sujetos a esta Política deberán ser objeto de un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos. Este análisis se repetirá:

• Regularmente, al menos una vez al año.
• Cuando cambie la información manejada.
• Cuando cambien los servicios prestados.
• Cuando ocurra un incidente grave de seguridad.
• Cuando se reporten vulnerabilidades graves.

Los resultados del análisis de riesgos serán presentados al Comité de Seguridad para la aprobación del nivel de riesgo aceptable y del correspondiente plan de tratamiento.

11. Desarrollo de la Política de Seguridad de la Información

Esta Política de Seguridad de la Información se complementa con el resto de políticas, procedimientos, normativas e instrucciones técnicas de seguridad de GRC SIN FRONTERAS, las cuales se encuentran referenciadas en el registro de documentación en vigor de la Asociación.

La política de seguridad estará a disposición de todos los miembros que necesiten conocerla, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones.

12. Gestión documental

Las directrices para la estructuración de la documentación del sistema de seguridad, su gestión y acceso se encuentran documentadas en el procedimiento de Control y Gestión de la Documentación de GRC SIN FRONTERAS.

Todos los documentos del sistema de gestión de la seguridad serán versionados, fechados e identificados de forma inequívoca, y su vigencia será controlada por el Responsable de Seguridad.

13. Obligaciones del personal

Todos los miembros de GRC SIN FRONTERAS —incluyendo la Junta Directiva, el personal contratado, los colaboradores y los voluntarios— tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad de la Asociación. Es responsabilidad del Comité de Seguridad disponer los medios necesarios para que la información llegue a todos los afectados.

Todos los miembros atenderán al menos una vez al año a una sesión de concienciación en materia de seguridad TIC. Se establecerá un programa de concienciación continua, prestando especial atención a las personas de nueva incorporación.

Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán la formación necesaria para el manejo seguro de los sistemas antes de asumir dicha responsabilidad, tanto en primera asignación como ante cambios de puesto o de responsabilidades.

14. Terceras partes

Cuando GRC SIN FRONTERAS preste servicios a otros organismos o maneje información de terceros, se les hará partícipes de esta Política de Seguridad de la Información y se establecerán canales para el reporte y coordinación en materia de seguridad, así como procedimientos de actuación ante incidentes.

Cuando GRC SIN FRONTERAS utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política y de la Normativa de Seguridad que atañe a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en esta Política, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Se garantizará que el personal de terceros está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por una tercera parte, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Dicho informe deberá ser aprobado por los responsables de la información y los servicios afectados antes de seguir adelante.