Política de Seguridade da Información

1. Introdución

A andaina de CEDESA como entidade comezou no ano 2012 como unha consultora de dirección de proxectos de software que de forma externa coordinaba os traballos de desenvolvemento de equipos a fin de conseguir o éxito na execución dos sistemas. Despois disto, no ano 2015, constitúese a sociedade CEDESA DIGITAL SL, momento no que se inicia un crecemento do equipo para comezar así unha nova liña de servizos con equipo propio. Desde este momento, CEDESA inicia o seu posicionamento no plano da transformación dixital do sector agroalimentario e da industria conectada. Desde o inicio de CEDESA como empresa, a nosa entidade centrouse no desenvolvemento de software de altas prestacións, e focalizou unha parte importante da nosa actividade cara á industria agrogandeira e alimentaria. Trátase dun sector onde a informatización e a dixitalización aínda teñen un gran percorrido.

O promotor da empresa, fundador e único socio é Juan Jesús Merino Carretero. Un mozo emprendedor de 37 anos. É enxeñeiro superior informático e posúe o título de dereito informático. Ten unha experiencia dilatada como enxeñeiro de proxectos e seguridade informática. Traballou durante tres anos como técnico de apoio á investigación na Universidade de Extremadura, concretamente no Grupo de Redes Neuronais e Procesamento de Sinais, onde se desenvolveron algoritmos e estruturas de datos que posteriormente se expuxeron en traballos coa axencia aeroespacial NASA e coa axencia europea ESA. Posteriormente traballou como profesor de ensino secundario para a Xunta de Extremadura. En 2012 compaxinaba o seu traballo como profesor con traballos de consultoría e asesoría técnica de proxectos de software. Finalmente, no ano 2014 decidiu centrarse exclusivamente na súa faceta de empresario e deixou o ensino definitivamente. No ano 2015 constituíu CEDESA DIGITAL e, desde os seus inicios, centrou a súa actividade no desenvolvemento de software de altas prestacións.

O código ético que actualmente se mantén en CEDESA DIGITAL baséase e está aliñado co código ético aprobado pola ACM (Association for Computing Machinery) e pola IEEE-CS como estándar para o ensino e a práctica da enxeñaría de software.

A informática e concretamente o desenvolvemento de software son un dos piares fundamentais da nosa sociedade e están implicados nunha parte importante das vidas de todos os cidadáns. Son os enxeñeiros de software os que contribúen de forma directa ou indirecta a isto: mediante o deseño, o desenvolvemento, a certificación, o mantemento ou as probas.

Dado o papel que cumpren no desenvolvemento dos sistemas, teñen suficientes oportunidades para achegar beneficios ou ocasionar danos ou influír dalgunha maneira nestes aspectos. De forma xeneralizada, traballan con información confidencial e teñen acceso a un volume de datos moi elevado que require un nivel alto de compromiso e confidencialidade. Para garantir o uso que se fai tanto da información como do acceso a diferentes sistemas, faise necesario que CEDESA conte cun código ético aliñado con estas situacións.

O noso código ético, polo tanto, baséase en 8 principios:

1. Sociedade: os enxeñeiros de software actuarán de maneira coherente co interese xeral.
2. Cliente e empresario: os enxeñeiros de software deberán actuar de tal modo que se sirvan os mellores intereses dos seus clientes e empresarios, e consecuentemente co interese xeral.
3. Produto: os enxeñeiros de software deberán garantir que os seus produtos e as modificacións correspondentes cumpren os estándares máis altos posibles.
4. Xuízo: os enxeñeiros de software deberán manter a integridade e a independencia na súa valoración profesional.
5. Xestión: os enxeñeiros de software xerentes e líderes promoverán e subscribirán un enfoque ético na administración do desenvolvemento e mantemento de software.
6. Profesión: os enxeñeiros de software deberán progresar na integridade e reputación da profesión, consecuentemente co interese xeral.
7. Compañeiros: os enxeñeiros de software serán xustos cos seus compañeiros e serán o seu apoio.
8. Persoa: os enxeñeiros de software deberán participar na aprendizaxe continua da práctica da súa profesión e promoverán un enfoque ético na práctica da profesión.

2. Obxectivos

• ▸Dar resposta ás necesidades e expectativas dos nosos grupos de interese, en especial dos nosos clientes.
• ▸Xestionar e controlar de forma eficaz os procesos implicados, así como a análise e xestión dos riscos existentes.
• ▸Cumprimento da lexislación aplicable en materia de calidade e seguridade da información que afecte os activos da empresa.
• ▸
  Determinar e protexer de forma apropiada os activos relacionados coa información de clientes, empresa e resto de grupos de interese para evitar:

  • A perda ou o mal uso destes.
  • As perdas económicas ou de imaxe como empresa.
  • A paralización total ou parcial dos procesos de negocio.
• ▸Adaptarse á evolución económica e tecnolóxica dos mercados.
• ▸Concienciar, formar e motivar o persoal sobre a importancia e o desenvolvemento e implantación dun Sistema de Xestión integrado.
• ▸Mellorar de forma continua.

3. Marco regulador

O marco normativo en materia de seguridade da información no que CEDESA desenvolve a súa actividade é, esencialmente, o seguinte:

• Lei orgánica 3/2018, do 5 de decembro, de protección de datos de carácter persoal.
• Real decreto 1720/2007, do 21 de decembro, polo que se aproba o Regulamento de desenvolvemento da Lei orgánica 15/1999 de protección de datos de carácter persoal.
• Regulamento (UE) 2016/679 do Parlamento Europeo e do Consello, do 27 de abril de 2016, relativo á protección das persoas físicas no que respecta ao tratamento de datos persoais e á libre circulación destes datos e polo que se derroga a Directiva 95/46/CE.
• Real decreto 311/2022, do 3 de maio, polo que se regula o Esquema Nacional de Seguridade.
• Real decreto 951/2015, do 23 de outubro, de modificación do Real decreto 3/2010, do 8 de xaneiro, polo que se regula o Esquema Nacional de Seguridade no ámbito da Administración electrónica.
• Lei 34/2002, do 11 de xullo, de servizos da sociedade da información e de comercio electrónico.
• Lei 6/2020, do 11 de novembro, reguladora de determinados aspectos dos servizos electrónicos de confianza.
• Real decreto lexislativo 1/1996, do 12 de abril, polo que se aproba o texto refundido da Lei de propiedade intelectual.
• Real decreto 4/2010, do 8 de xaneiro, polo que se regula o Esquema Nacional de Interoperabilidade no ámbito da Administración electrónica.
• Guías CCN-STIC 802, 807, 808, 809 e 825.
• Instrucións técnicas de seguridade de conformidade co Esquema Nacional de Seguridade (Resolución do 13 de outubro de 2016 da Secretaría de Estado de Administracións Públicas) e de auditoría da seguridade dos sistemas de información (Resolución do 27 de marzo de 2018 da Secretaría de Estado de Función Pública).
• UNE-ISO/IEC 27002:2013 Código de boas prácticas para a xestión da seguridade da información.
• UNE-ISO/IEC 27001:2022 Requisitos dos sistemas de xestión da seguridade da información.
• UNE-EN ISO 9001:2015 Sistemas de xestión da calidade.
• Artigos 5, 198 e 199 do Código penal.

4. Xestión de riscos

CEDESA definiu o procedemento PG14 de avaliación de riscos para a detección, avaliación e tratamento de riscos.

5. Modificacións