Política de Seguretat de la Informació

1. Introducció

La trajectòria de CEDESA com a entitat va començar l'any 2012 com una consultora de direcció de projectes de programari que coordinava externament els treballs de desenvolupament d'equips per tal d'aconseguir l'èxit en l'execució dels sistemes. Posteriorment, l'any 2015, es constitueix la societat CEDESA DIGITAL SL, moment en què s'inicia un creixement de l'equip per començar així una nova línia de serveis amb equip propi. A partir d'aquest moment, CEDESA inicia el seu posicionament en l'àmbit de la transformació digital del sector agroalimentari i de la indústria connectada. Des de l'inici de CEDESA com a empresa, la nostra entitat s'ha centrat en el desenvolupament de programari d'alt rendiment, i ha focalitzat una part important de la nostra activitat en la indústria agroramadera i alimentària. Es tracta d'un sector en què la informatització i la digitalització encara tenen un gran recorregut.

El promotor de l'empresa, fundador i soci únic és Juan Jesús Merino Carretero. Un jove emprenedor de 37 anys. És enginyer superior en informàtica i té el títol de dret informàtic. Té una experiència dilatada com a enginyer de projectes i de seguretat informàtica. Va treballar durant tres anys com a tècnic de suport a la recerca a la Universitat d'Extremadura, concretament al Grup de Xarxes Neuronals i Processament de Senyals, on es van desenvolupar algorismes i estructures de dades que posteriorment es van exposar en treballs amb l'agència aeroespacial NASA i l'agència europea ESA. Després va treballar com a professor d'ensenyament secundari per a la Junta d'Extremadura. El 2012 compaginava la feina de professor amb treballs de consultoria i assessoria tècnica de projectes de programari. Finalment, l'any 2014 va decidir centrar-se exclusivament en la seva faceta d'empresari i va deixar definitivament l'ensenyament. L'any 2015 va constituir CEDESA DIGITAL, i des dels inicis ha centrat la seva activitat en el desenvolupament de programari d'alt rendiment.

El codi ètic que actualment es manté a CEDESA DIGITAL es basa en el codi ètic aprovat per l'ACM (Association for Computing Machinery) i per l'IEEE-CS com a estàndard per a l'ensenyament i la pràctica de l'enginyeria del programari, i hi està alineat.

La informàtica i, concretament, el desenvolupament de programari són un dels pilars fonamentals de la nostra societat i són presents en una part important de la vida de tots els ciutadans. Són els enginyers de programari els qui hi contribueixen de manera directa o indirecta, mitjançant el disseny, el desenvolupament, la certificació, el manteniment o les proves.

A causa del paper que tenen en el desenvolupament dels sistemes, disposen de prou oportunitats per aportar beneficis o causar danys, o per influir d'alguna manera en aquests aspectes. De manera generalitzada, treballen amb informació confidencial i tenen accés a un volum de dades molt elevat, que requereix un alt nivell de compromís i de confidencialitat. Per garantir l'ús que es fa tant de la informació com de l'accés als diferents sistemes, cal que CEDESA disposi d'un codi ètic alineat amb aquestes situacions.

El nostre codi ètic, per tant, es basa en 8 principis:

1. Societat: els enginyers de programari actuaran de manera coherent amb l'interès general.
2. Client i empresari: els enginyers de programari han d'actuar de tal manera que se serveixin els millors interessos dels seus clients i empresaris, i d'acord amb l'interès general.
3. Producte: els enginyers de programari han de garantir que els seus productes i les modificacions corresponents compleixen els estàndards més alts possibles.
4. Judici: els enginyers de programari han de mantenir la integritat i la independència en la seva valoració professional.
5. Gestió: els enginyers de programari gerents i líders promouran un enfocament ètic en l'administració del desenvolupament i el manteniment de programari i s'hi adheriran.
6. Professió: els enginyers de programari han de progressar en la integritat i la reputació de la professió, d'acord amb l'interès general.
7. Companys: els enginyers de programari seran justos amb els seus companys i els donaran suport.
8. Persona: els enginyers de programari han de participar en l'aprenentatge continu de la pràctica de la seva professió i promouran un enfocament ètic en la pràctica de la professió.

2. Objectius

• ▸Donar resposta a les necessitats i les expectatives dels nostres grups d'interès, especialment dels nostres clients.
• ▸Gestionar i controlar de manera eficaç els processos implicats, així com l'anàlisi i la gestió dels riscos existents.
• ▸Compliment de la legislació aplicable en matèria de qualitat i seguretat de la informació que afecti els actius de l'empresa.
• ▸
  Determinar i protegir de manera apropiada els actius relacionats amb la informació de clients, empresa i la resta de grups d'interès per evitar:

  • La pèrdua o el mal ús d'aquests actius.
  • Les pèrdues econòmiques o d'imatge com a empresa.
  • La paralització total o parcial dels processos de negoci.
• ▸Adaptar-se a l'evolució econòmica i tecnològica dels mercats.
• ▸Conscienciar, formar i motivar el personal sobre la importància i el desenvolupament i la implantació d'un Sistema de Gestió integrat.
• ▸Millorar de manera contínua.

3. Marc regulador

El marc normatiu en matèria de seguretat de la informació en què CEDESA desenvolupa la seva activitat és, essencialment, el següent:

• Llei orgànica 3/2018, de 5 de desembre, de protecció de dades de caràcter personal.
• Reial decret 1720/2007, de 21 de desembre, pel qual s'aprova el Reglament de desplegament de la Llei orgànica 15/1999 de protecció de dades de caràcter personal.
• Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades i pel qual es deroga la Directiva 95/46/CE.
• Reial decret 311/2022, de 3 de maig, pel qual es regula l'Esquema Nacional de Seguretat.
• Reial decret 951/2015, de 23 d'octubre, de modificació del Reial decret 3/2010, de 8 de gener, pel qual es regula l'Esquema Nacional de Seguretat en l'àmbit de l'administració electrònica.
• Llei 34/2002, d'11 de juliol, de serveis de la societat de la informació i de comerç electrònic.
• Llei 6/2020, d'11 de novembre, reguladora de determinats aspectes dels serveis electrònics de confiança.
• Reial decret legislatiu 1/1996, de 12 d'abril, pel qual s'aprova el text refós de la Llei de propietat intel·lectual.
• Reial decret 4/2010, de 8 de gener, pel qual es regula l'Esquema Nacional d'Interoperabilitat en l'àmbit de l'administració electrònica.
• Guies CCN-STIC 802, 807, 808, 809 i 825.
• Instruccions tècniques de seguretat de conformitat amb l'Esquema Nacional de Seguretat (Resolució de 13 d'octubre de 2016 de la Secretaria d'Estat d'Administracions Públiques) i d'auditoria de la seguretat dels sistemes d'informació (Resolució de 27 de març de 2018 de la Secretaria d'Estat de Funció Pública).
• UNE-ISO/IEC 27002:2013 Codi de bones pràctiques per a la gestió de la seguretat de la informació.
• UNE-ISO/IEC 27001:2022 Requisits dels sistemes de gestió de la seguretat de la informació.
• UNE-EN ISO 9001:2015 Sistemes de gestió de la qualitat.
• Articles 5, 198 i 199 del Codi penal.

4. Gestió de riscos

CEDESA ha definit el procediment PG14 d'avaluació de riscos per a la detecció, l'avaluació i el tractament de riscos.

5. Modificacions