Política de Seguridad de la Información

1. Introducción

La andadura de CEDESA como entidad comenzó en el año 2012 como una consultora de dirección de proyectos de software que de forma externa coordinaba los trabajos de desarrollo de equipos a fin de conseguir el éxito en la ejecución de los sistemas. Posterior a esto, en el año 2015, se constituye la sociedad CEDESA DIGITAL SL, momento en el que se inicia un crecimiento del equipo para comenzar así una nueva línea de servicios con equipo propio. Desde este momento, CEDESA inicia su posicionamiento en el plano de la transformación digital del sector agroalimentario, y la industria conectada. Desde el inicio de CEDESA como empresa, nuestra entidad se ha centrado en el desarrollo software de altas prestaciones, focalizando una parte importante de nuestra actividad hacia la industria agroganadera y alimentaria. Se trata de un sector donde aún la informatización y la digitalización tiene un gran recorrido.

El promotor de la empresa, fundador y único socio es Juan Jesús Merino Carretero. Un joven emprendedor de 37 años. Es ingeniero superior informático y posee el título de derecho informático. Tiene una experiencia dilatada como ingeniero de proyectos y seguridad informática. Trabajó durante tres años como técnico de apoyo a la investigación en la Universidad de Extremadura, concretamente en el Grupo de Redes Neuronales y Procesamiento de Señales, donde se desarrollaron algoritmos y estructuras de datos que posteriormente se expusieron en trabajos con la agencia aeroespacial NASA y la agencia europea ESA. Posteriormente trabajó como profesor de enseñanza secundaria para la Junta de Extremadura. En 2012 compaginaba su trabajo como profesor con trabajos de consultoría y asesoría técnica de proyectos software. Finalmente, en el año 2014 decidió centrarse exclusivamente en su faceta de empresario, dejando la enseñanza definitivamente. En el año 2015 constituyó CEDESA DIGITAL, y desde sus inicios ha centrado su actividad en el desarrollo software de altas prestaciones.

El código ético que actualmente se mantiene en CEDESA DIGITAL se basa y se encuentra alineado con el código ético aprobado por la ACM (Association for Computing Machinery) y por la IEEE-CS como estándar para la enseñanza y la práctica de ingeniería de software.

La informática y concretamente el desarrollo software son uno de los pilares fundamentales de nuestra sociedad y están involucrados en una parte importante de las vidas de todos los ciudadanos. Son los ingenieros software los que contribuyen de forma directa o indirecta en esto; mediante el diseño, el desarrollo, la certificación, el mantenimiento o las pruebas.

Debido al papel que cumplen en el desarrollo de los sistemas, tienen suficientes oportunidades para aportar beneficios u ocasionar daños o influir de alguna manera en estos aspectos. De forma generalizada, trabajan con información confidencial y tienen acceso a un volumen de datos muy elevado que requiere de un nivel alto de compromiso y confidencialidad. Para garantizar el uso que se hace tanto de la información como del acceso a diferentes sistemas, se hace necesario que CEDESA cuente con un código ético alineado con estas situaciones.

Nuestro código ético, por tanto, se basa en 8 principios:

1. Sociedad: los ingenieros de software actuarán de manera coherente con el interés general.
2. Cliente y empresario: los ingenieros de software deberán actuar de tal modo que se sirvan los mejores intereses para sus clientes y empresarios, y consecuentemente con el interés general.
3. Producto: los ingenieros de software deberán garantizar que sus productos y las modificaciones correspondientes cumplen los estándares más altos posibles.
4. Juicio: los ingenieros de software deberán mantener la integridad e independencia en su valoración profesional.
5. Gestión: los ingenieros de software gerentes y líderes promoverán y se suscribirán a un enfoque ético en la administración del desarrollo y mantenimiento de software.
6. Profesión: los ingenieros de software deberán progresar en la integridad y reputación de la profesión, consecuentemente con el interés general.
7. Compañeros: los ingenieros de software serán justos y serán soporte de sus compañeros.
8. Persona: los ingenieros de software deberán participar en el aprendizaje continuo de la práctica de su profesión y promoverán un enfoque ético en la práctica de la profesión.

2. Objetivos

• ▸Dar respuesta a las necesidades y expectativas de nuestros grupos de interés, en especial de nuestros clientes.
• ▸Gestionar y controlar de forma eficaz los procesos implicados, así como el análisis y gestión de los riesgos existentes.
• ▸Cumplimiento con la legislación aplicable en materia de calidad y seguridad de la información que afecte a los activos de la empresa.
• ▸
  Determinar y proteger de forma apropiada los activos relacionados con la información de clientes, empresa y resto de grupos de interés para evitar:

  • La pérdida o mal uso de los mismos.
  • Las pérdidas económicas o de imagen como empresa.
  • La paralización total o parcial de los procesos de negocio.
• ▸Adaptarse a la evolución económica y tecnológica de los mercados.
• ▸Concienciar, formar y motivar al personal sobre la importancia y el desarrollo e implantación de un Sistema de Gestión integrado.
• ▸Mejorar de forma continua.

3. Marco regulatorio

El marco normativo en materia de seguridad de la información en el que CEDESA desarrolla su actividad, esencialmente, es el siguiente:

• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Carácter Personal.
• Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal.
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
• Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico.
• Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
• Real Decreto Legislativo 1/1996, de 12 de abril, por el que se aprueba el Texto Refundido de la Ley de Propiedad Intelectual.
• Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica.
• Guías CCN-STIC 802, 807, 808, 809 y 825.
• Instrucciones Técnicas de Seguridad de conformidad con el Esquema Nacional de Seguridad (Resolución de 13 de octubre de 2016 de la Secretaría de Estado de Administraciones Públicas) y de Auditoría de la Seguridad de los Sistemas de Información (Resolución de 27 de marzo de 2018 de la Secretaría de Estado de Función Pública).
• UNE-ISO/IEC 27002:2013 Código de buenas prácticas para la Gestión de la Seguridad de la Información.
• UNE-ISO/IEC 27001:2022 Requisitos de los Sistemas de Gestión de la Seguridad de la Información.
• UNE-EN ISO 9001:2015 Sistemas de gestión de la calidad.
• Artículos 5, 198 y 199 del Código Penal.

4. Gestión de riesgos

CEDESA ha definido el procedimiento PG14 de evaluación de riesgos para la detección, evaluación y tratamiento de riesgos.

5. Modificaciones