CONTINGUT
- 1. APROVACIÓ I ENTRADA EN VIGOR
- 2. OBJECTIUS, MISSIÓ I VISIÓ DE L’ORGANITZACIÓ
- 3. OBJECTIUS DE LA POLÍTICA DE SEGURETAT
- 4. REVISIÓ DE LA POLÍTICA
- 5. MARC NORMATIU
- 6. ÀMBIT D’APLICACIÓ
- 7. PRINCIPIS DE SEGURETAT TIC
- 8. ORGANITZACIÓ DE LA SEGURETAT TIC
- 9. DESENVOLUPAMENT DE LA POLÍTICA DE SEGURETAT
- 10. CONSCIENCIACIÓ I FORMACIÓ
- 11. ANÀLISI I GESTIÓ DE RISCOS
- 12. SEGURETAT DE LA INFORMACIÓ
- 13. DADES DE CARÀCTER PERSONAL
- 14. OBLIGACIONS DEL PERSONAL
- 15. TERCERES PARTS
1. APROVACIÓ I ENTRADA EN VIGOR
Aquest document ha estat aprovat per la Direcció d’ID WASTE, d’ara endavant l’Organització, el dia 4 de gener de 2021. Aquesta Política de Seguretat de la Informació és efectiva des d’aquesta data i fins que sigui substituïda per una nova Política.
2. OBJECTIUS, MISSIÓ I VISIÓ DE L’ORGANITZACIÓ
L’Organització, per a la gestió dels seus interessos, promou activitats i presta serveis de medi ambient en l’àmbit de la gestió de residus amb la finalitat d’oferir les millors solucions a empreses de recollida de residus, administracions públiques i usuaris / àries dels serveis de recollida que contribueixen a satisfer les necessitats i aspiracions dels clients.
La missió d’ID WASTE és dur a terme amb la màxima qualitat i bon servei les activitats de venda, instal·lació i manteniment de sistemes de gestió de flotes i dades per al servei de recollida de residus i la compravenda de productes per al foment de la recollida selectiva de residus i altres productes relacionats.
La visió d’ID WASTE és contribuir a la millora de la recollida selectiva de residus mitjançant l’ús de productes, equips i tecnologies innovadores que facilitin aquesta tasca als diferents agents que intervenen en el procés.
3. OBJECTIUS DE LA POLÍTICA DE SEGURETAT
La política de seguretat de les tecnologies de la informació i comunicacions de l’Organització, d’ara endavant Política de Seguretat TIC de l’Organització, persegueix la consecució dels objectius següents:
- a) Garantir que les dades allotjades a l’Organització seran gestionades d’acord amb els estàndards i les bones pràctiques en seguretat TIC.
- b) Augmentar el nivell de conscienciació en matèria de seguretat TIC allà on és d’aplicació aquesta Política, tot garantint que el personal al seu servei és conscient de les seves obligacions i responsabilitats.
- c) Establir les bases d’un model integral de gestió de la seguretat TIC a l’Organització, que cobreixi en un cicle continu de millora els aspectes tècnics, organitzatius i procedimentals.
- d) Fer palès el compromís de l’Organització amb la seguretat de la informació mitjançant el seu suport al Comitè de Seguretat, dotant-lo dels mitjans i facultats necessaris per a la realització de les seves funcions.
- e) Definir, desenvolupar i posar en funcionament els controls tècnics, organitzatius i de gestió necessaris per garantir de manera efectiva i mesurable la preservació dels nivells de confidencialitat, disponibilitat i integritat de la informació aprovats per l’Organització.
- f) Garantir la continuïtat dels serveis oferts per l’Organització als clients
- g) Crear i promoure de manera contínua una “cultura de seguretat” tant internament, a tot el personal, com externament, als clients i proveïdors, que permeti assegurar l’eficiència i l’eficàcia dels controls implantats i augmenti la confiança dels clients.
4. REVISIÓ DE LA POLÍTICA
Aquesta política serà revisada almenys una vegada l’any i sempre que hi hagi canvis rellevants a l’Organització, amb la finalitat d’assegurar que s’adequa a l’estratègia i a les necessitats de l’Organització.
La Política serà proposada i revisada pel Comitè de Seguretat i aprovada i difosa per la Direcció perquè la coneguin totes les parts implicades.
En cas de conflictes o diferents interpretacions d’aquesta política, es recorrerà al Comitè de Seguretat per resoldre’ls.
5. MARC NORMATIU
Als efectes previstos en aquesta Política, el marc normatiu de referència és el que estipula la legislació vigent en matèria de seguretat TIC.
A causa del caràcter personal i reservat de la informació gestionada i dels serveis posats a disposició de les Administracions Públiques, la ciutadania i les empreses que hi treballen, l’Organització desenvolupa les seves activitats d’acord amb la normativa vigent en aquestes matèries, d’entre la qual actualment cal destacar per la seva especial rellevància:
- a) Reial decret 3/2010, de 8 de gener, pel qual es regula l’Esquema Nacional de Seguretat en l’àmbit de l’Administració Electrònica.
- b) Reial decret 951/2015, de 23 d’octubre, de modificació del Reial decret 3/2010, de 8 de gener, pel qual es regula l’Esquema Nacional de Seguretat en l’àmbit de l’Administració Electrònica.
- c) Reial decret 311/2022, de 3 de maig, pel qual es regula l’Esquema Nacional de Seguretat en l’àmbit de l’Administració Electrònica.
- d) Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d’abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d’aquestes dades i pel qual es deroga la Directiva 95/46/CE (Reglament general de protecció de dades)
- e) Llei 59/2003, de 19 de desembre, de signatura electrònica.
- f) Llei 9/2017, de 8 de novembre, de contractes del sector públic, per la qual es transposen a l’ordenament jurídic espanyol les directives del Parlament Europeu i del Consell 2014/23/UE i 2014/24/UE, de 26 de febrer de 2014.
6. ÀMBIT D’APLICACIÓ
Aquesta Política serà d’aplicació i de compliment obligatori per a tota l’Organització, els seus recursos i els processos afectats per l’ENS i el RGPD, ja siguin interns o externs vinculats a l’Organització mitjançant contractes o acords amb tercers.
7. PRINCIPIS DE SEGURETAT TIC
7.1. Principis bàsics de la política de seguretat TIC
La política de seguretat TIC de l’Organització es desenvoluparà, amb caràcter general, d’acord amb els principis següents:
- a) Principi de confidencialitat: els actius TIC hauran de ser accessibles únicament per a aquelles persones usuàries, òrgans i entitats o processos expressament autoritzats per a això, amb respecte a les obligacions de secret i sigil professional.
- b) Principi d’integritat i qualitat: s’haurà de garantir el manteniment de la integritat i la qualitat de la informació, així com dels processos de tractament d’aquesta, establint els mecanismes per assegurar que els processos de creació, tractament, emmagatzematge i distribució de la informació contribueixen a preservar-ne l’exactitud i la correcció.
- c) Principi de disponibilitat i continuïtat: es garantirà un alt nivell de disponibilitat en els actius TIC i es dotaran dels plans i les mesures necessaris per assegurar la continuïtat dels serveis i la recuperació davant de possibles contingències greus.
- d) Principi de traçabilitat: s’implantaran mesures per assegurar que en tot moment es pugui determinar qui va fer què i en quin moment, amb la finalitat de tenir capacitat d’anàlisi sobre els incidents de seguretat detectats.
- e) Principi d’autenticitat: s’hauran d’articular mesures per garantir la font d’informació de la qual procedeixen les dades i que les entitats on s’origina la informació són qui diuen ser.
- f) Principi de gestió del risc i de la seguretat integral: s’haurà d’articular un procés continu d’anàlisi i tractament de riscos com a mecanisme bàsic sobre el qual ha de descansar la gestió de la seguretat dels actius TIC.
- g) Principi de proporcionalitat en cost: la implantació de mesures que mitiguin els riscos de seguretat dels actius TIC s’haurà de fer sota un enfocament de proporcionalitat en els costos econòmics i operatius.
- h) Principi de conscienciació i formació: s’articularan iniciatives que permetin a les persones usuàries conèixer els seus deures i obligacions pel que fa al tractament segur de la informació. De la mateixa manera, es fomentarà la formació específica en matèria de seguretat TIC de totes aquelles persones que gestionen i administren sistemes d’informació i telecomunicacions.
- i) Principi de prevenció, reacció i recuperació: es desenvoluparan plans i línies de treball específiques orientades a prevenir fraus, incompliments o incidents relacionats amb la seguretat TIC.
- j) Principi de millora contínua o de reavaluació periòdica: es revisarà el grau d’eficàcia dels controls de seguretat TIC implantats, amb l’objectiu d’adequar-los a la constant evolució dels riscos i de l’entorn tecnològic.
- k) Principi de seguretat en el cicle de vida dels actius TIC o línies de defensa: les especificacions de seguretat s’inclouran en totes les fases del cicle de vida dels serveis i sistemes, acompanyades dels procediments de control corresponents.
- l) Principi de funció diferenciada: la responsabilitat de la seguretat dels sistemes estarà diferenciada de la responsabilitat del servei, així com de la responsabilitat de la informació. Els rols i les responsabilitats de cadascuna d’aquestes funcions hauran de quedar degudament delimitats i reflectits documentalment.
7.2. Requisits mínims de seguretat
Aquesta política de seguretat s’establirà d’acord amb els principis bàsics indicats i es desenvoluparà aplicant els requisits mínims següents:
- a) Organització i implantació del procés de seguretat: l’estructura organitzativa per a la gestió de la seguretat de la informació serà competent per mantenir, actualitzar i fer complir la Política de Seguretat de la Informació a l’Organització, així com per garantir la implantació del procés de seguretat a l’Organització.
- b) Anàlisi i gestió dels riscos: l’anàlisi i la gestió de riscos seran part essencial del procés de seguretat. La gestió de riscos permetrà el manteniment d’un entorn controlat, minimitzant els riscos fins a nivells acceptables. La reducció d’aquests nivells es farà mitjançant el desplegament de mesures de seguretat, que establirà un equilibri entre la naturalesa de les dades i els tractaments, l’impacte i la probabilitat dels riscos als quals estiguin exposats i l’eficàcia i el cost de les mesures de seguretat. En avaluar el risc en relació amb la seguretat de les dades, s’han de tenir en compte els riscos que es deriven del tractament de les dades personals.
- c) Gestió del personal: s’implantaran els mecanismes necessaris perquè qualsevol persona que accedeixi, o pugui accedir, als actius d’informació conegui les seves responsabilitats i d’aquesta manera es redueixi el risc derivat d’un ús indegut d’aquests actius.
- d) Professionalitat: la seguretat dels sistemes serà atesa, revisada i auditada per personal qualificat, dedicat i instruït en totes les fases del seu cicle de vida. El personal que atén, revisa i audita la seguretat dels sistemes rebrà la formació específica necessària per garantir la seguretat de les tecnologies de la informació aplicables. S’exigirà, de manera objectiva i no discriminatòria, que els prestadors de serveis de seguretat comptin amb professionals qualificats i amb uns nivells idonis de gestió i maduresa en els serveis prestats.
- e) Autorització i control dels accessos: es limitarà l’accés als actius d’informació per part d’usuaris, processos i altres sistemes d’informació mitjançant la implantació dels mecanismes d’identificació, autenticació i autorització d’acord amb la criticitat de cada actiu. A més, quedarà registrada la utilització del sistema per tal d’assegurar la traçabilitat de l’accés i auditar-ne l’ús adequat, d’acord amb l’activitat de l’Organització.
- f) Protecció de les instal·lacions: els actius d’informació s’ubicaran en àrees segures, protegides per controls d’accés físics adequats al seu nivell de criticitat. Els sistemes i els actius d’informació que contenen aquestes àrees estaran suficientment protegits davant d’amenaces físiques o ambientals.
- g) Adquisició de productes: en l’adquisició de productes de seguretat serà exigible la certificació de la funcionalitat de seguretat relacionada amb l’objecte d’aquesta adquisició, segons el criteri del responsable de seguretat i aplicant el principi de proporcionalitat. Per a la contractació de serveis de seguretat s’estarà al que disposa el principi de professionalitat.
- h) Seguretat per defecte: la seguretat s’entendrà com un procés integral constituït per tots els elements tècnics, humans, materials i organitzatius relacionats amb el sistema. La seguretat de la informació s’ha de considerar part de l’operativa habitual, i ha d’estar present i aplicar-se des del disseny inicial dels sistemes d’informació.
- i) Integritat i actualització del sistema: el sistema informàtic de l’Organització serà dissenyat i mantingut pel responsable de Sistemes d’Informació sota criteris tècnics, d’eficiència i de seguretat. Tot element físic o lògic requerirà autorització formal prèvia a la seva instal·lació en el sistema. També requerirà autorització formal prèvia qualsevol alteració de la configuració de maquinari i programari dels equips o qualsevol desinstal·lació de programes de la plataforma d’ús predefinida. Amb caràcter general, no s’instal·larà programari si no es disposa de la llicència d’ús corresponent, ja sigui perquè l’ha adquirit l’Organització o perquè es tracta de programari lliure amb una llicència aplicable. En tot cas, serà l’administrador del sistema qui instal·li el programari un cop s’autoritzi
- j) Protecció de la informació emmagatzemada i en trànsit: en l’estructura i l’organització de la seguretat del sistema, es prestarà especial atenció a la informació emmagatzemada o en trànsit a través d’entorns insegurs, com els equips portàtils, assistents personals (PDA), dispositius perifèrics, suports d’informació i comunicacions sobre xarxes obertes o amb xifratge feble. També formen part de la seguretat els procediments que assegurin la recuperació i la conservació a llarg termini dels documents electrònics produïts per l’Organització.
- k) Prevenció davant d’altres sistemes d’informació interconnectats: s’establiran els procediments necessaris per aconseguir una gestió adequada de la seguretat, l’operació i l’actualització de les tecnologies de la informació i les comunicacions. La informació que es transmeti a través de xarxes de comunicacions haurà d’estar adequadament protegida, tenint en compte el seu nivell de sensibilitat i de criticitat, mitjançant mecanismes que en garanteixin la seguretat.
- l) Registre d’activitat: es registraran les activitats dels usuaris, i es conservarà la informació necessària per monitorar, analitzar, investigar i documentar activitats indegudes o no autoritzades, permetent identificar en cada moment la persona que actua.
- m) Incidents de seguretat: s’implantaran els mecanismes apropiats per a la correcta identificació, registre i resolució dels incidents de seguretat.
- n) Continuïtat de l’activitat: s’implantaran els mecanismes apropiats per assegurar la disponibilitat dels sistemes d’informació i mantenir la continuïtat dels seus processos de negoci, d’acord amb les necessitats de nivell de servei dels seus usuaris.
- o) Millora contínua del procés de seguretat: les mesures de seguretat es reavaluaran i actualitzaran periòdicament per adequar-ne l’eficàcia a la constant evolució dels riscos i dels sistemes de protecció. La seguretat de la informació serà atesa, revisada i auditada per personal qualificat, instruït i dedicat.
8. ORGANITZACIÓ DE LA SEGURETAT TIC
8.1. Responsabilitat general
La preservació de la seguretat TIC serà considerada un objectiu comú de totes les persones al servei de l’Organització, les quals seran responsables de l’ús correcte dels actius de tecnologies de la informació i comunicacions posats a la seva disposició.
En cas d’incompliment de les directrius i normatives de seguretat indicades en aquesta política i de les obligacions que se’n deriven, l’Organització es reserva el dret d’aplicar les accions disciplinàries.
Per la seva importància dins de la implementació de la seguretat, queden desenvolupades en aquesta política algunes de les funcions dels òrgans que l’Organització considera necessaris per a la correcta gestió de la seguretat.
8.2. Comitè de Seguretat TIC de l’Organització
- a) Es crea el Comitè de Seguretat TIC a l’Organització, com a òrgan col·legiat de caràcter transversal per a la coordinació i el govern en matèria de seguretat en l’àmbit de l’Organització.
- b) El Comitè estarà format per cadascun dels representants de l’Àrea d’Informàtica i el Responsable de Seguretat.
- c) Seran funcions pròpies del Comitè:
- 1. Definició, aprovació i seguiment dels objectius, iniciatives i plans estratègics en seguretat TIC.
- 2. Vetllar per la disponibilitat dels recursos necessaris per desenvolupar les iniciatives i els plans estratègics definits.
- 3. Elevació de propostes de revisió del marc normatiu de seguretat TIC a l’òrgan competent per a la seva tramitació reglamentària.
- 4. Establiment de directrius comunes i supervisió del compliment de la normativa en matèria de seguretat TIC.
- 5. Supervisió i aprovació del nivell de risc i de la presa de decisions en la resposta a incidents de seguretat que afectin els actius TIC.
- d) El Comitè es reunirà almenys una vegada l’any i es regirà per aquesta política.
- e) El Comitè nomenarà entre els seus membres un grup de resposta a incidents TIC, anomenat “Comitè de Crisi”, la funció del qual serà la presa urgent de decisions en cas de contingència greu que afecti la seguretat de sistemes d’informació crítics de l’Organització.
- f) Les tasques de suport i assessorament al Comitè les faran el Responsable de Seguretat TIC i l’Oficina de Seguretat TIC.
8.3. Responsable de seguretat TIC
- a) El nomenament del Responsable de Seguretat serà potestat del Comitè de Seguretat de l’Organització.
- b) La persona Responsable de Seguretat TIC tindrà les funcions següents, dins del seu Departament:
- 1. Definició i seguiment de les actuacions relacionades amb la seguretat TIC dels actius d’informació de l’Entitat i la gestió del risc.
- 2. Assessorament i suport sobre temes de seguretat.
- 3. Coordinació en matèries de seguretat TIC.
- 4. Proposta i seguiment de programes de formació i conscienciació.
- 5. Informe periòdic al Comitè de Seguretat sobre l’estat de la Seguretat TIC i les activitats relacionades.
- c) Assumpció de les funcions incloses en els articles 10, 27.3, 34.6, annex II (apartat 2.3) i annex III (apartats 2.1.b i 2.2.b) del Reial decret 3/2010, de 8 de gener, pel qual es regula l’Esquema Nacional de Seguretat en l’àmbit de l’Administració Electrònica.
- d) Assumpció de les funcions incloses en el Reglament UE 2016/679 que regula la protecció de dades de caràcter personal, aprovat el 25 de maig de 2016 i que va entrar en vigor el 25 de maig de 2017.
8.4. Oficina de Seguretat TIC
- a) L’Oficina de Seguretat TIC estarà composta pels Responsables d’Àrea de l’Organització, si bé es poden convocar aquelles persones que l’Oficina consideri necessàries per al desenvolupament dels treballs encomanats.
- b) En aquesta Oficina de Seguretat TIC hi haurà també el Responsable de Seguretat de l’Organització, que tindrà funcions sobre la revisió i l’elaboració de propostes per ser presentades i debatudes al Comitè de Seguretat TIC.
- c) L’Oficina de Seguretat TIC tindrà les atribucions següents:
- 1. Definició del plantejament tècnic i operatiu dels objectius, iniciatives i plans estratègics en seguretat TIC, d’acord amb les directrius del Comitè de Seguretat TIC.
- 2. Elaboració de propostes relatives a la revisió del marc normatiu de seguretat TIC.
- 3. Elaboració d’informes i propostes de compliment legal i normatiu.
- 4. Elaboració d’informes sobre el nivell de seguretat TIC dels actius.
- 5. Informes periòdics al Comitè de Seguretat TIC sobre l’estat de la Seguretat TI de l’Organització.
- d) L’Oficina de Seguretat TIC es regirà per aquesta Política.
8.5. Responsables
El responsable de la Informació determina els requisits de seguretat respecte a la informació tractada a l’Organització.
El responsable del Servei determina la infraestructura de maquinari i programari del sistema d’informació, els criteris d’ús, els serveis oferts, els formats i qualsevol altre aspecte del funcionament del sistema d’informació de l’Organització.
El responsable de Seguretat determina com satisfer els requisits de seguretat, tant de la informació com dels serveis oferts, incloent-hi la definició de procediments de seguretat i, si escau, l’adopció de mesures d’urgència davant de possibles deficiències o amenaces a l’Organització.
L’administrador del sistema desenvolupa, opera i manté el sistema d’informació de l’Organització.
Les discrepàncies en matèria de seguretat es resoldran atenent el criteri de més jerarquia.
Les atribucions de cada responsable, així com els mecanismes de coordinació i resolució de conflictes, s’expliciten a la Normativa de Rols i Responsabilitats de Seguretat i a la Normativa de la Seguretat.
9. DESENVOLUPAMENT DE LA POLÍTICA DE SEGURETAT
9.1. Instruments del desenvolupament
La Política de Seguretat de la Informació de l’Organització es desenvoluparà per mitjà d’instruccions de servei i circulars que tractin aspectes específics. Aquestes instruccions i circulars podran adoptar alguna de les modalitats següents:
S’utilitzaran els instruments següents:
Normes de seguretat: uniformitzen l’ús d’aspectes concrets del sistema. Indiquen l’ús correcte i les responsabilitats dels usuaris. Són de caràcter obligatori.
Procediments: concreten fluxos de treball per a la realització de tasques, indicant el que cal fer, pas a pas, però sense entrar en detalls (de proveïdors, marques comercials o ordres tècniques). Són útils en tasques repetitives.
Instruccions tècniques (IT): desenvolupen els Procediments fins al màxim nivell de detall (indicant proveïdors, marques comercials i ordres tècniques emprades per a la realització de les tasques).
La normativa de seguretat estarà disponible a la intranet a disposició de tots els membres de l’Organització que l’hagin de conèixer.
9.2. Aprovació de les normatives
A tota l’Organització, l’aprovació de les normes de seguretat es farà d’acord amb el que disposa aquesta política i les normatives específiques que s’hi desenvolupin a l’Organització.
9.3. Sancions previstes per incompliment
De l’incompliment de la Política de Seguretat de la Informació i de les normes que la desenvolupen se’n podran derivar les responsabilitats disciplinàries corresponents, que se substanciaran d’acord amb el que estableix la normativa sobre règim disciplinari vigent en cada moment.
10. CONSCIENCIACIÓ I FORMACIÓ
Amb la conscienciació i la formació es busca assolir diversos objectius. D’una banda, i com a element fonamental, la plena consciència que la seguretat de la informació afecta tots els membres de l’Organització i totes les activitats i serveis que la componen.
D’altra banda, i seguint el Principi de Seguretat Integral, l’articulació dels mitjans necessaris perquè totes les persones que intervenen en el dia a dia de l’Organització i els seus responsables jeràrquics tinguin la sensibilitat adequada envers la responsabilitat que comporta gestionar informació dels clients.
11. ANÀLISI I GESTIÓ DE RISCOS
Tots els sistemes subjectes a aquesta Política s’hauran de sotmetre a una anàlisi i gestió de riscos, avaluant els actius, les amenaces i les vulnerabilitats a què estan exposats i proposant les contramesures adequades per mitigar els riscos. Tot i que cal un control continu dels canvis fets en els sistemes, aquesta anàlisi es repetirà:
- a) Almenys una vegada l’any (mitjançant revisió i aprovació formal).
- b) Quan es produeixi un incident greu de seguretat.
Per a l’anàlisi i la gestió de riscos s’utilitzarà la metodologia MAGERIT (Metodologia d’Anàlisi i Gestió de Riscos dels Sistemes d’Informació), elaborada pel Consell Superior d’Administració Electrònica.
12. SEGURETAT DE LA INFORMACIÓ
Es desenvoluparà una Classificació de la Informació de l’Organització de manera que s’identifiquin els diferents tipus d’informació, en funció de la seva sensibilitat, s’estableixi com etiquetar els suports que la continguin i es determini què es pot i què no es pot fer amb cada nivell de classificació.
13. DADES DE CARÀCTER PERSONAL
Serà d’aplicació el que preveu el RGPD i el que disposa la legislació nacional a aquest efecte.
Cada àrea s’encarregarà de gestionar i mantenir la seguretat referent a les dades de caràcter personal incloses en les operacions de tractament que siguin responsabilitat seva.
Tots els sistemes d’informació de l’Organització s’ajustaran als nivells de seguretat requerits per aquesta normativa.
14. OBLIGACIONS DEL PERSONAL
Tots els membres de l’Organització i els tercers que prestin serveis de qualsevol mena contractats per l’Organització o que d’alguna manera es prestin sota el control i/o la direcció de l’Organització tenen l’obligació de conèixer i complir aquesta Política de Seguretat de la Informació i la Normativa de Seguretat, que es traslladarà a les persones afectades.
S’establirà un programa de conscienciació continu adreçat a tots els membres de l’Organització, en particular als de nova incorporació.
El personal haurà d’utilitzar els procediments de notificació d’incidents de seguretat habilitats a aquest efecte, en cas de detectar un possible incident.
Les persones amb responsabilitat en l’ús, l’operació o l’administració de sistemes d’informació rebran formació per a la gestió segura dels sistemes.
15. TERCERES PARTS
Quan l’Organització presti serveis a altres organismes o gestioni informació d’altres organismes, se’ls farà partícips d’aquesta Política de Seguretat de la Informació, s’establiran canals per a la comunicació i la coordinació dels respectius Comitès de Seguretat de la Informació i s’establiran procediments d’actuació per a la reacció davant d’incidents de seguretat.
Quan l’Organització utilitzi serveis de tercers o cedeixi informació a tercers, se’ls farà partícips d’aquesta Política de Seguretat i de la Normativa de Seguretat que afecti aquests serveis o informació. Aquesta tercera part haurà d’acceptar quedar subjecta a les obligacions establertes en aquesta normativa, i podrà desenvolupar els seus propis procediments operatius per satisfer-la. S’establiran procediments específics de comunicació i resolució d’incidències. Es garantirà que el personal de tercers està adequadament conscienciat en matèria de seguretat, almenys al mateix nivell que l’establert en aquesta Política.
Quan algun aspecte de la Política no pugui ser satisfet per una tercera part segons es requereix als paràgrafs anteriors, caldrà un informe del Responsable de Seguretat que precisi els riscos en què s’incorre i la manera de tractar-los. Caldrà l’aprovació d’aquest informe per part dels responsables de la informació i dels serveis afectats, així com del responsable del tractament previst en el RGPD, abans de continuar.
A Barcelona, 22 de maig de 2023
Frederic Puig
Director General
