Aprobación y entrada en vigor
La versión 2.2 de esta Política se publica y comunica por instrucción expresa de Kevin Rentero Déniz. La formalización por la Alta Dirección y las firmas físicas se incorporarán con su fecha real. Esta publicación no constituye una firma de Pablo Juárez del Dago ni acredita por sí sola la ejecución de todos los controles descritos.
El personal debe conocer y cumplir estas instrucciones de seguridad. Se conservan el acta histórica y las aceptaciones de versiones anteriores. La aprobación formal y la entrada en vigor documental se registrarán sin retroactividad.
Introducción
UROINTEC depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad de la información tratada o los servicios prestados.
El objetivo de la seguridad de la información es garantizar la calidad de la información y la continuidad de los servicios, actuando preventivamente, supervisando la actividad diaria y reaccionando con presteza a los incidentes.
Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Para defenderse de estas amenazas, se requiere una estrategia que se adapte a los cambios en las condiciones del entorno para garantizar la prestación continua de los servicios. Esto implica que se deben aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un seguimiento continuo de los niveles de prestación de los servicios, seguir y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.
UROINTEC debe cerciorarse de que la seguridad TIC es una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación. Los requisitos de seguridad y las necesidades de financiación, deben ser identificados e incluidos en la planificación, en la solicitud de ofertas, y en las condiciones de contratación para proyectos donde se traten datos personales, se adquieran servicios TIC o se presten servicios que afecten a los sistemas de información.
UROINTEC debe estar preparada para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo al Artículo 8 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS).
Alcance
Esta Política de seguridad será de obligado cumplimiento para todos los miembros de UROINTEC que dan soporte a las actividades de prestación de los siguientes servicios:
Diseño, desarrollo, despliegue, operación y soporte del servicio web PAOSBrain, accesible en https://www.paosbrain.com, para la gestión clínica y administrativa multicentro, con tratamiento de información de salud y procesos administrativos, sobre la infraestructura y los servicios de soporte identificados en el inventario y el mapa de arquitectura. Los centros, límites y ampliaciones se concretan en SGSI.01-09 v1.1, sujeto a su aprobación formal. No se atribuye homologación de digitalización certificada sin evidencia.
Misión
UROINTEC presta asistencia médico-quirúrgica de alta especialización en urología y andrología. Para ello diseña, desarrolla y opera PAOSBrain, su plataforma de gestión clínica y administrativa multicentro, con la misión de que la información de pacientes, profesionales y centros esté disponible para quien la necesita, sea íntegra y confidencial, y que cada actuación quede trazada, de forma que la tecnología mejore los resultados clínicos y la experiencia del paciente sin poner en riesgo su intimidad.
Marco Normativo
La Dirección de UROINTEC vela por el cumplimiento de los requisitos de la legislación aplicable y reglamentaria en materia de seguridad de la información.
Se toma como referencia básica en materia de Seguridad de la Información la normativa siguiente:
ISO/IEC 27001:2022 y su modificación Amd 1:2024, adoptadas en España como UNE-EN ISO/IEC 27001:2023 y UNE-EN ISO/IEC 27001:2023/A1:2024. Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. Requisitos.
ISO/IEC 27002:2022, adoptada como UNE-EN ISO/IEC 27002:2023. Controles de seguridad de la información.
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, y sus Instrucciones Técnicas de Seguridad vigentes en lo que no se opongan a él.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza.
Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual.
Real Decreto ley 2/2018, de 13 de abril, por el que se modifica el texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril, y por el que se incorporan al ordenamiento jurídico español la Directiva 2014/26/UE del Parlamento Europeo y del Consejo, de 26 de febrero de 2014, y la Directiva (UE) 2017/1564 del Parlamento Europeo y del Consejo, de 13 de septiembre de 2017.
Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSI).
Ley 11/2022, de 28 de junio, General de Telecomunicaciones (deroga la Ley 9/2014).
Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, de Inteligencia Artificial.
Directiva (UE) 2022/2555 (NIS2) y su normativa nacional de transposición, en la medida en que resulte aplicable según el estudio SGSI.07.
Normativa de facturación y de conservación de documentos con trascendencia tributaria que resulte aplicable a la facturación electrónica y a la digitalización de gastos (Ley General Tributaria y su desarrollo reglamentario).
Reglamento (UE) 910/2014 del parlamento europeo y del consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior (Reglamento Europeo eIDAS).
Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.
Principios Básicos
Los principios básicos son las directrices fundamentales de seguridad que han de tenerse siempre presentes en cualquier actividad relacionada con el uso de los activos de información. Se establecen los siguientes:
Alcance estratégico
La seguridad de la información debe contar con el compromiso y apoyo de todos los niveles de la entidad y deberá coordinarse e integrarse con el resto de las iniciativas estratégicas de forma coherente.
Seguridad como proceso integral
La seguridad en UROINTEC se entenderá como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con los sistemas TIC, procurando evitar cualquier actuación puntual o tratamiento coyuntural. UROINTEC considera la seguridad de la información como parte de la operativa habitual, estando presente y aplicándose desde el diseño inicial de los sistemas TIC.
Gestión de la seguridad basada en los riesgos
En UROINTEC el análisis y gestión de riesgos es parte esencial del proceso de seguridad. La gestión de riesgos permitirá a UROINTEC el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza de los datos y los tratamientos, el impacto y la probabilidad de los riesgos a los que estén expuestos y la eficacia y el coste de las medidas de seguridad. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales.
Prevención, detección, respuesta y conservación
Prevención
UROINTEC debe evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean perjudicados por incidentes de seguridad. Para ello implementará las medidas mínimas de seguridad determinadas por el ENS, así como cualquier control adicional identificado a través de una evaluación de amenazas y riesgos. Estos controles, van a estar claramente definidos y documentados.
Para garantizar el cumplimiento de la política, los departamentos deben:
Autorizar los sistemas antes de entrar en operación.
Evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración realizados de forma rutinaria.
Solicitar la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.
Detección
UROINTEC, establece controles de operación de sus sistemas de información con el objetivo de detectar anomalías en la prestación de los servicios y actuar en consecuencia según lo dispuesto en el artículo 10 del ENS (vigilancia continua y reevaluación periódica). Cuando se produce una desviación significativa de los parámetros que se hayan preestablecido como normales (conforme a lo indicado en el artículo 9 del ENS, Existencia de líneas de defensa), se establecerán los mecanismos de detección, análisis y reporte necesarios para que lleguen a los responsables regularmente.
Respuesta
UROINTEC:
Establece mecanismos para responder eficazmente a los incidentes de seguridad.
Designa puntos de contacto para las comunicaciones con respecto a incidentes detectados en otros departamentos o en otros organismos.
Establece protocolos para el intercambio de información relacionada con el incidente. Esto incluye comunicaciones, en ambos sentidos, con los Equipos de Respuesta a Emergencias (CERT).
Conservación
La información gestionada debe mantenerse accesible y utilizable durante el tiempo que sea necesario para cumplir con las obligaciones legales, administrativas o contractuales. Este principio garantiza que la información no se pierda ni se degrade, y que pueda ser recuperada en condiciones adecuadas de calidad, integridad y autenticidad.
Se debe asegurar la continuidad operativa y la trazabilidad de las actuaciones de la organización, permitiendo responder ante auditorías, reclamaciones o revisiones.
Existencia de líneas de defensa
El sistema de información de UROINTEC dispondrá de una estrategia de protección constituida por diferentes capas, de forma que cuando una de las capas sea comprometida, permita desarrollar una acción adecuada frente a los incidentes que no han podido evitarse, reduciendo la probabilidad del que el sistema sea comprometido en su conjunto, minimizando el impacto final sobre el mismo.
Existirán líneas de defensa constituidas tanto por medidas organizativas, físicas y lógicas.
Vigilancia continua y reevaluación periódica
UROINTEC llevará a cabo una vigilancia continua que permita la detección de actividades o comportamientos anómalos y su oportuna respuesta.
La evaluación permanente del estado de la seguridad de los activos permite a UROINTEC medir su evolución, detectando vulnerabilidades e identificando deficiencias de configuración. UROINTEC reevaluará y actualizará periódicamente las medidas de seguridad, adecuando su eficacia a la evolución de los riesgos y los sistemas de protección, pudiendo llegar a un replanteamiento de la seguridad, si fuese necesario.
Seguridad por defecto y desde el diseño
Los sistemas deben estar diseñados y configurados para garantizar la seguridad por defecto. Los sistemas proporcionarán la funcionalidad mínima necesaria para prestar el servicio para el que fueron diseñados.
Diferenciación de responsabilidades
UROINTEC diferencia al Responsable de la Información, al Responsable del Servicio, al Responsable de Seguridad y al Responsable del Sistema (art. 11 del RD 311/2022). Seguridad y Sistema recaen en personas distintas. El detalle de atribuciones, supervisión y resolución de conflictos se recoge en el apartado 8.
Requisitos mínimos
Esta política de seguridad de la Información complementa las políticas de seguridad de UROINTEC en materia de protección de datos de carácter personal.
Esta Política de Seguridad de seguridad se desarrollará aplicando los siguientes requisitos mínimos:
Organización e implantación del proceso de seguridad, de acuerdo al marco organizativo definido en el apartado 8 de esta Política.
Análisis y gestión de los riesgos, de acuerdo a lo previsto en el procedimiento PS02 Planificación y en el SGSI.06 Informe de Análisis de Riesgos.
Gestión de personal, de acuerdo a lo previsto en el procedimiento PS09 Gestión de Personal.
Profesionalidad, de acuerdo a lo previsto en el procedimiento PS09 Gestión de Personal.
Autorización y control de los accesos, de acuerdo a lo previsto en el procedimiento PS03 Control de Acceso.
Protección de las instalaciones, de acuerdo a lo previsto en el procedimiento PS08 Protección de instalaciones.
Adquisición de productos de seguridad y contratación de servicios de seguridad, de acuerdo a lo previsto en los procedimientos PS02 Planificación y PS05 Recursos externos y servicios en la nube.
Mínimo privilegio, de acuerdo a lo previsto en los procedimientos PS03 Control de acceso y PS04 Explotación.
Seguridad por defecto, de acuerdo a lo previsto en el procedimiento PS04 Explotación.
Integridad y actualización del sistema, de acuerdo a lo previsto en el procedimiento PS04 Explotación.
Protección de la información almacenada y en tránsito, de acuerdo a lo previsto en los procedimientos PS14 Protección de la información y PS11 Protección de comunicaciones
Prevención ante otros sistemas de información interconectados, de acuerdo a lo previsto en el procedimiento PS05 Recursos externos y servicios en nube.
Registro de la actividad y detección de código dañino, de acuerdo a lo previsto en los procedimientos PS04 Explotación y PS07 Monitorización del sistema.
Incidentes de seguridad, de acuerdo a lo previsto en el procedimiento PS04 Explotación.
Continuidad de la actividad, de acuerdo a lo previsto en el procedimiento PS06 Continuidad del servicio.
Mejora continua del proceso de seguridad, de acuerdo a lo previsto en el procedimiento PG04 Mejora continua.
Organización de la seguridad
La implantación de la Política de Seguridad en UROINTEC requiere que todos los miembros de la organización entiendan sus obligaciones y responsabilidades en función del puesto desempeñado. Como parte de la Política de Seguridad de la Información, cada rol especifico, personalizado en usuarios concretos, debe entender las implicaciones de sus acciones y las responsabilidades que tiene atribuidas, quedando identificadas y detalladas en esta sección, y que se agrupan del modo siguiente:
Comité de Seguridad de la Información
Responsable del Servicio
Responsable de la Información
Responsable de Seguridad de la Información
Responsable del Sistema
Representante de la Dirección
Responsable de Recursos Humanos
En los siguientes apartados se especifican las funciones atribuidas a cada uno de estos roles.
Comité de seguridad de la información
La seguridad de la Información es una responsabilidad organizativa que es compartida con la Alta Dirección . En consecuencia, la Alta Dirección de UROINTEC promueve la composición de un Comité de Seguridad de la Información, en aras de establecer una vida definida y el palpable apoyo a las iniciativas de seguridad.
El Comité de Seguridad de la Información (CSI) coordina la seguridad de la información en UROINTEC.
Lo integran: la Alta Dirección, que lo preside; la Directora, Representante de la Dirección y Responsable de la Información, que actúa como Secretaria y preside en ausencia de la Alta Dirección; el Responsable del Servicio; el Responsable de Seguridad de la Información; el Responsable del Sistema; y la Responsable de Recursos Humanos. El Delegado de Protección de Datos asiste con voz y sin voto cuando el orden del día afecte a datos personales. El CSI se reúne al menos trimestralmente y siempre que lo convoque la Presidencia o lo solicite el Responsable de Seguridad; queda válidamente constituido con la Presidencia (o su suplente), la Secretaría y la mitad de los miembros; sus acuerdos se adoptan por mayoría y constan en acta (PG02 Registro I) con fecha, hora, lugar, asistentes, orden del día y acuerdos, firmada por todos los asistentes.
Las funciones del Comité de Seguridad de la Información son las siguientes:
Revisión y propuesta de la Política de Seguridad de la Información, para su aprobación por la Dirección.
Revisión y propuesta de la Normativa de Seguridad de la Información para su aprobación por la Dirección.
Informar regularmente del estado de la seguridad de la información a la Dirección.
Promover la mejora continua del sistema de gestión de la seguridad de la información.
Elaborar la estrategia de evolución de la organización en lo que respecta a seguridad de la información.
Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, para asegurar que los esfuerzos son consistentes, que están alineados con la estrategia decidida en la materia, evitando duplicidades.
Definir e impulsar la estrategia y la planificación de la seguridad de la información proponiendo la asignación de presupuesto y los recursos precisos.
Supervisión y control de los cambios significativos en la exposición de los activos de información a las amenazas principales, así como del desarrollo e implantación de los controles y medidas destinados a garantizar la Seguridad de dichos activos;
Aprobación de las iniciativas principales para mejorar la Seguridad de la Información.
Promover mecanismos para asegurar la concienciación, educación y formación en materia de seguridad de todo el personal.
Coordinar y promover las acciones necesarias, relacionadas con el cumplimiento legal y normativo, en temas relacionados con la seguridad de la información.
Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.
Responsable de la Información
Tiene la potestad de establecer los requisitos, en materia de seguridad, de la información gestionada. Si esta información incluye datos de carácter personal, además deberán tenerse en cuenta los requisitos derivados de la legislación correspondiente sobre protección de datos.
Determina los niveles de seguridad de la información, efectuando las valoraciones del impacto que tendría un incidente que afectase a la seguridad de la información, así como posteriores modificaciones que fuesen necesarias.
Es el Propietario del Riesgo de los activos esenciales de información.
Responsable del Servicio
Tiene la potestad de establecer los requisitos, en materia de seguridad, de los servicios prestados.
Determina los niveles de seguridad del servicio, efectuando las valoraciones del impacto que tendría un incidente que afectase este, así como posteriores modificaciones que fuesen necesarias.
Es el Propietario del Riesgo de los activos esenciales de servicios.
Responsable de Seguridad de la Información
Responsable de la definición, coordinación, implantación y verificación de cumplimiento de los requisitos de seguridad de la información definidos de acuerdo a los objetivos estratégicos de la Alta Dirección.
El Responsable de Seguridad será el Punto de Contacto (PoC) en materia de seguridad de la información y tendrá las siguientes funciones:
La determinación de la categoría de seguridad del sistema, con base en las valoraciones de los Responsables de la Información y del Servicio.
Formalizar y aprobar la Declaración de Aplicabilidad, que incluirá las medidas seleccionadas del Anexo II del ENS, incluyendo las medidas compensatorias o complementarias de vigilancia.
Analizar los informes de Auditoria que se refieran a los sistemas de su ámbito competencial, y presentación de sus conclusiones al Responsable del Sistema y, en su caso, al Comité de Seguridad de la Información.
Aprobar explícitamente los cambios que impliquen un riesgo alto, con carácter previo a su implantación.
Velar por que cada activo del inventario tenga asignado un propietario y un propietario del riesgo conforme a los apartados 8.1.5 y 8.1.6.
Preparar y proponer al Comité los asuntos de seguridad, informando, proponiendo y coordinando la ejecución de sus decisiones (no preside sus reuniones).
Coordinar y controlar las medidas de seguridad de la información y de protección de datos de UROINTEC.
Supervisar la implantación, mantener, controlar y verificar el cumplimiento de:
La estrategia de seguridad de la información definida por el Comité de Seguridad.
Las normas y procedimientos contenidos en la Política de Seguridad de la Información de UROINTEC y normativa de desarrollo.
Supervisar (como responsable último) los incidentes de seguridad informática producidas en UROINTEC.
Difundir en UROINTEC las normas y procedimientos contenidos en la Política de Seguridad de la Información de UROINTEC y normativa de desarrollo, así como las funciones y obligaciones de UROINTEC en materia de seguridad de la información.
Supervisar y colaborar en las auditorías internas o externas necesarias para verificar el grado de cumplimiento de la Política de Seguridad, normativa de desarrollo y leyes aplicables tales como el RGPD.
Asesorar en materia de seguridad de la información a las diferentes áreas operativas de UROINTEC.
Responsable del Sistema
Es responsable último de asegurar la ejecución de medidas para asegurar los activos y servicios de los Sistemas de Información, que soportan la actividad UROINTEC, de acuerdo a los objetivos estratégicos de UROINTEC.
Es el Propietario del Riesgo de todos los activos, con excepción de los activos esenciales (Servicios e Información).
Las funciones del Responsable del Sistema de la Información son las siguientes:
Desarrollar la forma concreta de implementar la seguridad en el sistema y de la supervisión de la operación diaria del mismo, pudiendo delegar en administradores u operadores bajo su responsabilidad.
Seleccionar y establecer las funciones y obligaciones a los técnicos informáticos encargados de personificar una gestión de la seguridad de los activos de UROINTEC, conforme a la estrategia de seguridad definida.
Garantizar la actualización del inventario de activos de Sistemas de Información de UROINTEC.
Asegurar que existe el nivel de seguridad informática adecuado para cada uno de los activos inventariados, coordinando el correcto desarrollo, implantación, adecuación y operación de los controles y medidas destinados a garantizar el nivel de protección requerido.
Garantizar que la implantación de nuevos sistemas y de los cambios en los existentes cumple con los requerimientos de seguridad establecidos en UROINTEC.
Establecer los procesos y controles de monitorización del estado de la seguridad que permitan detectar las incidencias producidas y coordinar su investigación y resolución.
Aplicar en el sistema las directrices y la normativa de seguridad que determine el Responsable de Seguridad y proponer su actualización.
Separación de funciones. Hades Otero Trujillo asume Seguridad y Kevin Rentero Déniz asume el Sistema, según la actualización que formalice la Alta Dirección. El Responsable de Seguridad supervisa los controles y reporta al CSI y a la Alta Dirección; el Responsable del Sistema ejecuta y mantiene las medidas. Los accesos privilegiados, cambios de riesgo alto, excepciones y acciones irreversibles requieren revisión independiente y aprobación de Dirección cuando proceda; quien ejecuta no se autoaprueba. La aceptación de riesgos corresponde a sus propietarios con el circuito de aprobación establecido. La ficha MC-05 por acumulación de Seguridad y Sistema se retira al formalizar esta separación. La revisión periódica debe dejar evidencia de su ejecución; esta política no declara realizados controles aún pendientes.
Propietario de Activos
El propietario de un activo, entendiendo por tal al responsable de dicho activo, tendrá las siguientes responsabilidades:
Definir si el activo está afectado por la normativa aplicable en materia de Protección de Datos y aplicar, en su caso, los procedimientos correspondientes.
Asegurarse de que el software que se utiliza tiene licencia.
Definir quiénes pueden tener acceso a la información, cómo y cuándo, de acuerdo con la clasificación de la información y la función a desempeñar.
Asegurarse de que el activo cuenta con el mantenimiento adecuado
Asegurarse de que el personal le informa inmediatamente de cualquier violación de seguridad o mal uso de la información o los sistemas. El propietario del activo deberá informar a su vez al responsable de Seguridad para tratar la incidencia.
Asegurarse de que la plantilla cuenta con la formación adecuada, conoce y comprende la Política de Seguridad y pone en práctica las directrices de seguridad.
Asegurarse de que los soportes y equipos que contengan información sean desechados según lo establecido.
Implementar las medidas de seguridad necesarias en su área para evitar fraudes, robos o interrupción en los servicios.
Mantener documentación actualizada de todas las funciones críticas para asegurar la continuidad de las operaciones en caso de que alguien no esté disponible.
Informar al responsable de Seguridad cuando ocurran cambios de personal que afecten al acceso de la información o los sistemas (cambio de función o departamento, causar baja en la empresa) para que se modifiquen apropiadamente los permisos de acceso.
En los casos que aplique, asegurarse de que el personal y los contratistas tienen cláusulas de confidencialidad en sus contratos y son conscientes de sus responsabilidades.
Propietario del Riesgo
El propietario del riesgo, asociado a uno o varios activos de información, tendrá las siguientes responsabilidades:
Participar en el desarrollo del análisis y evaluación de riesgos realizada al menos con carácter anual
Verificar la conformidad con los niveles de riesgo aceptable y colaborar en la aprobación de los mismos (que le afecten), así como la gestión de los riesgos asociado a los activos de información y los riesgos de los que es responsable.
Asegurarse de que el personal le informa inmediatamente de cualquier violación de seguridad o mal uso de la información o los sistemas. El propietario del riesgo deberá informar a su vez al responsable de Seguridad para tratar la incidencia.
Informar al responsable de Seguridad cuando ocurran cambios del personal, la organización, o del resto de los activos de información, que pueda implicar una revisión o actualización del análisis de riesgos, o de los permisos de acceso asignados
Representante de la Dirección
La Directora ejerce la Dirección de UROINTEC por delegación documentada de la Alta Dirección y es la Representante de la Dirección en el Sistema de Gestión: coordina las políticas, las firmas, los nombramientos y las evidencias; decide, con asesoramiento y autoridad delegada, los requisitos de protección de la información; aprueba las decisiones sensibles conforme a la regla de cuatro ojos; acepta el riesgo residual; y responde ante el auditor de la organización, las aprobaciones, la documentación y el seguimiento de los acuerdos. Asume además la función de Responsable de la Información.
Responsable de Recursos Humanos
Es responsable de la seguridad ligada al personal y de la formación: coordina los compromisos de confidencialidad, la aceptación de la Política y de la Normativa de Seguridad, la acogida y la formación y concienciación del personal; comunica al Responsable del Sistema las altas, bajas y cambios de puesto para el ajuste de los accesos; y conserva los registros correspondientes. Responde ante el auditor de las obligaciones del personal, los documentos firmados, la formación y las comunicaciones a IT, con el apoyo del Responsable de Seguridad en los contenidos técnicos.
Procedimientos de designación
Se establecen las siguientes responsabilidades, sujetas a la formalización del acta de actualización y aceptación individual. El acta de 30/09/2026 se conserva como antecedente y no se reescribe retrospectivamente:
Responsable de la Información: Dña. Ana Belén Castro Crespo (Directora, Representante de la Dirección)
Responsable del Servicio: D. Kevin Rentero Déniz (Responsable de Dirección Técnica y Producto)
Responsable de Seguridad de la Información: D. Hades Otero Trujillo (Responsable Técnico)
Responsable del Sistema: D. Kevin Rentero Déniz (Responsable de Dirección Técnica y Producto)
Responsable de Recursos Humanos (seguridad del personal y formación): Dña. Ana Carolina Afonso Trujillo (Directora de Recursos Humanos)
Delegado de Protección de Datos: Analysis Database CRM, S.L. (persona de contacto: D. Carlos Alberto Hernández González), designado por contrato
Los responsables y suplentes son designados por la Alta Dirección a propuesta del Comité, mediante acuerdo en acta, y aceptan el cargo por escrito. Se conservan las suplencias de Información (Pablo Juárez del Dago) y Servicio (Ana Belén Castro Crespo). Las suplencias de Seguridad y Sistema se revisarán y formalizarán para mantener la separación; la antigua suplencia de Seguridad por Kevin no se activará automáticamente. El nombramiento dura dos años y se revisa antes si hay vacante o cambio organizativo. Toda suplencia debe registrar su periodo y controles de supervisión, sin autoaprobación.
El Responsable de Seguridad de la Información es nombrado por la Alta Dirección a propuesta del Comité de Seguridad.
Resolución de conflictos
En caso de conflicto entre los diferentes responsables y/o entre diferentes servicios de UROINTEC, éste será resuelto por el superior jerárquico de los mismos con la mediación del Responsable de Seguridad. En defecto de lo anterior, prevalecerá la decisión del Comité de Seguridad, elevando a la Dirección aquellos casos en los que no tenga suficiente autoridad para decidir.
En la resolución de estas controversias se tendrán siempre en cuenta las exigencias derivadas de la protección de datos de carácter personal.
Datos de carácter personal
UROINTEC trata datos de carácter personal, incluidos datos de salud de pacientes, que son categoría especial del artículo 9 del RGPD. Los riesgos derivados de ese tratamiento se analizan junto con los de seguridad y, cuando el RGPD lo exige, mediante una evaluación de impacto (RGPD-06), con el asesoramiento del Delegado de Protección de Datos. El Registro de Actividades de Tratamiento (RGPD-01) identifica cada tratamiento, su base jurídica y sus plazos de conservación.
Todos los sistemas de información de UROINTEC se ajustarán a los niveles de seguridad requeridos por la normativa vigente en materia de Protección de Datos de Carácter Personal, identificada en el apartado 5. Marco Normativo, de la presente Política de Seguridad de la Información.
Todo usuario interno o externo que, en virtud de su actividad profesional, pudiera tener acceso a datos de carácter personal, está obligado a guardar secreto sobre los mismos, deber que se mantendrá de manera indefinida, incluso más allá de la relación laboral o profesional con UROINTEC.
Objetivos de seguridad
La Dirección de UROINTEC establecerá objetivos y metas enfocados hacia la evaluación del desempeño en materia de seguridad de la información, así como a la mejora continua en sus actividades, reguladas en el Sistema de Gestión de Seguridad de la Información que desarrolla esta política.
Mejora continua del Sistema de Seguridad de la Información
UROINTEC garantiza un análisis continuo de todos los procesos relevantes, estableciéndose las mejoras pertinentes en cada caso, en función de los resultados obtenidos y de los objetivos establecidos.
La Dirección de UROINTEC se compromete al cumplimiento de mejora continua del Sistema de Gestión de Seguridad de la Información que desarrolla esta política.
Gestión de riesgos
Para todos los sistemas sujetos a esta Política de Seguridad de la Información debe realizarse periódicamente una evaluación de los riesgos a los que están expuestos. Este análisis se repetirá:
Regularmente, al menos una vez al año
Cuando cambie la información gestionada
Cuando cambien los servicios prestados
Cuando ocurra un incidente grave de seguridad
Cuando se reporten vulnerabilidades graves
Para la armonización de los análisis de riesgos, el Comité de Seguridad establecerá una valoración de referencia para los diferentes tipos de información gestionados y los diferentes servicios prestados. El Comité de Seguridad dinamizará la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas, promoviendo inversiones de carácter horizontal.
Los riesgos que superen el nivel de aceptación fijado por el Comité (SGSI.06, apartado 10) se tratan en el Plan de Tratamiento de Riesgos (SGSI.06-03). El riesgo residual lo aceptan formalmente la Responsable de la Información (para la información) y el Responsable del Servicio (para el servicio y los activos de soporte), con la conformidad de la Directora y previo informe del Responsable de Seguridad; nadie acepta un riesgo del que sea el único ejecutor de las medidas.
Estructuración de la documentación
Las directrices para la estructuración, gestión y acceso a la documentación de seguridad del SGSI de UROINTEC, se definen en el procedimiento “PG01 Control de documentación.
Se ha establecido un marco normativo en materia de seguridad de la información estructurado en diferentes niveles, de forma que los principios y los objetivos marcados en la política de seguridad de la institución tengan un desarrollo específico:
Primer nivel: la presente Política de Seguridad de la Información, que debe ser aprobada por la Dirección de UROINTEC a propuesta del Comité de Seguridad.
Segundo nivel: la normativa de seguridad de la información aprobada por la Dirección de UROINTEC. En ella se establecerán unas normas de uso aceptable de los sistemas de información.
Tercer nivel: los procedimientos de seguridad de la información, en los que se detallará la manera correcta de realizar determinados procesos de modo que se proteja en todo momento la seguridad y la información. Estos procedimientos han de ser aprobados por el Comité de Seguridad.
Cuarto nivel: estándares de seguridad, instrucciones técnicas, buenas prácticas, recomendaciones, guías, cursos de formación, presentaciones, etc. Estos documentos han de ser aprobados por el Comité de Seguridad.
Los documentos que integran el SGSI se encuentran, en soporte digital, a disposición de todo el personal al que le sea necesario para el desempeño de las funciones relacionadas con su puesto de trabajo. Estará disponible para su consulta, sin posibilidad de modificación.
Calificación de la información
Para calificar la información de UROINTEC, atenderá a lo establecido legalmente por las leyes y tratados internacionales de los que España es miembro y su normativa de aplicación cuando se trate de materias clasificadas.
Tanto el responsable de cada información manejada por el sistema como los criterios de calificación de la información, que determinarán el nivel de seguridad requerido, se establecen en el procedimiento PS14 Protección de la información.
Obligaciones del personal
Todos los miembros de UROINTEC tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad. La Responsable de Recursos Humanos dispone los medios necesarios para que la información llegue a los afectados, recaba la aceptación de la Política y de la Normativa y conserva su registro, con el apoyo del Responsable de Seguridad de la Información en los contenidos técnicos y la supervisión del Comité de Seguridad.
La Política se comunica a terceros mediante su publicación en https://paosbrain.com/politica-de-seguridad y al personal mediante la pantalla de aceptación obligatoria de PAOSBrain, que registra la persona, la fecha, la versión y la huella del texto aceptado, y vuelve a solicitarse con cada nueva versión. Las nuevas incorporaciones y quien no acceda a la plataforma web la aceptan por escrito en la acogida (PS09).
Los miembros de UROINTEC recibirán formación en materia de seguridad de la información al menos una vez al año. La Responsable de Recursos Humanos elabora y ejecuta el plan de formación y el programa de concienciación continua para atender a todos los miembros de UROINTEC, en particular a los de nueva incorporación, y evalúa su eficacia (PS09 Gestión de personal).
Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo. La formación será obligatoria antes de asumir una responsabilidad, tanto si es su primera asignación o si se trata de un cambio de puesto de trabajo o de responsabilidades en el mismo.
Terceras partes, prestadores de servicios y proveedores de soluciones
Cuando UROINTEC preste servicios a otras entidades o maneje información de otras, se les hará partícipes de esta Política de Seguridad de la Información, sin perjuicio de respetar las obligaciones de la normativa de protección de datos si actúa como encargado del tratamiento en la prestación de los citados servicios, y se establecerán canales para reporte y coordinación de los respectivos Comités de Seguridad y procedimientos de actuación para la reacción ante incidentes de seguridad. Además, el Responsable de Seguridad (o persona en quien delegue) será el Punto de Contacto (POC).
Cuando UROINTEC utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad y de la Normativa de Seguridad que ataña a dichos servicios o información, sin perjuicio del cumplimiento de otras obligaciones en materia de protección de datos. En la contratación de prestadores de servicios o adquisición de productos se tendrá en cuenta la obligación del adjudicatario de cumplir con el ENS.
Dichas terceras partes quedarán sujetas a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla, de modo que la UROINTEC pueda supervisarlos o solicitar evidencias del cumplimiento de estos, incluso auditorías de segunda o tercera parte. Se establecerán procedimientos específicos de reporte y resolución de incidencias que deberán ser canalizadas por el POC de los terceros implicados y, además, cuando se afecte a datos personales por el Delegado de Protección de Datos. Los terceros garantizarán que su personal está adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta Política o el que específicamente se pueda exigir en el contrato.
Cuando algún aspecto de la Política no pueda ser satisfecho por un tercero según se requiere en los párrafos anteriores, el Responsable de Seguridad emitirá un informe que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por los responsables de la información y los servicios afectados antes del inicio de la contratación o, en su caso, de la adjudicación. El informe se trasladará al representante de la entidad que deberá autorizar la continuación con la tramitación de contratación del tercero, asumiendo los riesgos detectados
Cuando la entidad adquiera, desarrolle o implante un sistema de Inteligencia Artificial, además de cumplir con lo establecido en la normativa vigente en la materia, deberá contar con el informe del Responsable de la Seguridad, que consultará al Responsable de la Información y del Servicio y, cuando sea necesario, al del Sistema, debiendo también el Delegado de Protección de Datos emitir su parecer.
Gestión de incidentes de seguridad
UROINTEC dispondrá de un procedimiento para la gestión ágil de los eventos e incidentes de seguridad que supongan una amenaza para la información y los servicios. Este procedimiento se integrará con otros relacionados con los incidentes de seguridad de otras normas sectoriales como la de protección de datos personales u otra que afecte al organismo para coordinar la respuesta desde los diferentes enfoques y comunicar a los diferentes organismos de control sin dilaciones indebidas y, cuando sea preciso, a las Fuerzas y Cuerpos de Seguridad del Estado o los juzgados.
Incumplimiento
El incumplimiento de la presente Política de Seguridad de la Información podrá acarrear el inicio de las medidas disciplinarias que procedan, sin perjuicio de las responsabilidades legales correspondientes.
Revisión de la política de Seguridad de la Información
El Comité de Seguridad revisa esta Política al menos una vez al año, en la revisión por la dirección, y siempre que haya cambios significativos en la organización, el alcance, la normativa o los riesgos. El Responsable de Seguridad prepara la propuesta, el Comité la eleva y la aprueba la Alta Dirección. Cada nueva versión se publica en la web, se comunica al personal mediante la pantalla de aceptación de PAOSBrain y se registra en el Listado de documentos en vigor (PG01 Registro I).