1. Memoria explicativa

KYMOS depende de los sistemas TIC (Tecnologías de la Información y las Comunicaciones) para alcanzar sus objetivos.

Estos sistemas deben gestionarse con diligencia, adoptando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad y confidencialidad de la información tratada o de los servicios prestados.

El objetivo de la seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios, actuando de forma preventiva, supervisando la actividad diaria y reaccionando con rapidez ante los incidentes.

Para defenderse frente a estas amenazas, se requiere una estrategia que se adapte a las condiciones cambiantes del entorno para garantizar la prestación continuada de los servicios.

Esto implica que los departamentos deben implementar las medidas de seguridad exigidas por ISO 27001 y la Directiva NIS 2 (Anexo I, punto 5 “Sector sanitario”, en relación con NACE Rev.2, Sección C, punto 21 “Fabricación de medicamentos”), así como supervisar de forma continua los niveles de prestación del servicio, realizar el seguimiento, analizar y corregir las vulnerabilidades notificadas, y preparar una respuesta eficaz ante incidentes para garantizar la continuidad de los servicios prestados.

Los distintos departamentos deben garantizar que la seguridad TIC sea una parte integral de cada etapa del ciclo de vida del sistema, desde su concepción hasta su retirada, pasando por las decisiones de desarrollo o adquisición y las actividades operativas.

Los requisitos de seguridad y la financiación deben identificarse e incluirse en la planificación, las solicitudes de oferta y los pliegos de licitación de los proyectos TIC. Los departamentos deben estar preparados para prevenir, detectar, reaccionar y recuperarse de incidentes de conformidad con la Directiva NIS2 en su artículo 29.a.

2. Gestión de incidentes de seguridad

2.1 Prevención

Los departamentos deben evitar, o al menos prevenir en la medida de lo posible, que la información o los servicios se vean comprometidos por incidentes de seguridad. Tanto ISO 27001 como la Directiva NIS2 establecen que los sistemas deben diseñarse y configurarse para garantizar la seguridad por defecto, en línea con la política de mínimo privilegio “Need to Know”.

A tal fin, los departamentos deben implementar las medidas mínimas de seguridad determinadas por ISO 27001, de acuerdo con los requisitos establecidos en la Directiva NIS2, así como cualquier control adicional identificado mediante una evaluación de amenazas y riesgos. Estos controles, junto con los roles y responsabilidades de seguridad de todo el personal, deben definirse y documentarse claramente.

Para garantizar el cumplimiento de la política, los departamentos deben:

• Establecer áreas seguras para los sistemas de información críticos o confidenciales.
• Autorizar los sistemas antes de su puesta en funcionamiento.
• Evaluar periódicamente la seguridad, incluidas las evaluaciones de los cambios de configuración realizados a diario.
• Solicitar revisiones periódicas por parte de terceros con el fin de obtener una evaluación independiente.

2.2 Detección

Dado que los servicios pueden degradarse rápidamente debido a incidentes, desde una simple ralentización hasta una paralización, los servicios deben supervisar el funcionamiento de forma continua para detectar anomalías en los niveles de prestación del servicio y actuar en consecuencia, tal y como se establece en ISO 27001 y NIS 2.

La supervisión es especialmente relevante al establecer líneas de defensa. Se establecerán mecanismos de detección, análisis y notificación que lleguen a los responsables de forma periódica y cuando exista una desviación significativa respecto de los parámetros previamente establecidos como normales.

Los sistemas de detección de intrusiones supervisan y auditan principalmente los recursos de la organización, verificando que no se infrinja la política de seguridad e intentando identificar cualquier actividad maliciosa de forma temprana y eficaz.

Deberán establecerse las siguientes clasificaciones según las necesidades:

• Sistemas de detección de intrusiones a nivel de red.
• Sistemas de detección de intrusiones a nivel de sistema.

2.3 Respuesta

Los departamentos deben:

• Establecer mecanismos para responder eficazmente a los incidentes de seguridad.
• Designar un punto de contacto para las comunicaciones relativas a incidentes detectados en otros departamentos u otros organismos.
• Establecer protocolos para el intercambio de información relacionada con el incidente.

2.4 Recuperación

Para garantizar la disponibilidad de los servicios críticos, la organización garantizará la existencia de un plan de continuidad y de las actividades de recuperación relacionadas.

3. Alcance

Esta política se aplica a los sistemas de información que respaldan el análisis, el control de calidad y la certificación de productos farmacéuticos, biotecnológicos y cosméticos gestionados por Kymos Group.

4. Misión y servicios prestados

KYMOS, como empresa privada, vela por la gestión de sus intereses y, en el ámbito de la prestación de sus servicios para la Administración Pública y/o Empresas Privadas del sector farmacéutico, sirve con objetividad a los intereses generales prestando servicios que contribuyen a satisfacer las necesidades de los servicios prestados.

5. Marco normativo

El marco legal de la seguridad de la información se establece por lo siguiente:

• ISO/IEC 27001:2022, Seguridad de la información, ciberseguridad y protección de la privacidad.
• Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión (NIS 2) y la legislación local de transposición.

5.1 Protección de datos personales

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).
• Ley 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

5.2 Administración electrónica y firma electrónica

• Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo (Identificación electrónica y servicios de confianza para las transacciones electrónicas en el mercado interior).
• Ley 6/2020, de 11 de noviembre, por la que se regulan determinados aspectos de los servicios electrónicos de confianza.
• COM (2001) 298 – final, de la Comisión Europea – Seguridad de las redes y de la información: Propuesta de un enfoque de política europea.
• Ley 6/2020, de 11 de noviembre, por la que se regulan determinados aspectos de los servicios electrónicos de confianza.

5.3 Seguridad de las redes y de la información

• Directrices de la OCDE para la seguridad de los sistemas y redes de información. Hacia una cultura de seguridad. Como complemento a la legislación vigente, existe actualmente la norma internacional UNE ISO/IEC 27002 “Código de buenas prácticas para la gestión de la seguridad de la información”, que se ha convertido en un estándar para auditar aspectos relacionados con la seguridad de la información en las organizaciones.

6. Organización de la seguridad: Comités, roles y responsabilidades

El Comité de Seguridad es el órgano que coordina la seguridad de la información a nivel organizativo.

Estará compuesto por el Responsable de Seguridad de la Información y representantes de otras áreas afectadas por ISO 27001 y NIS2.

Funciones y responsabilidades asociadas

• Responsabilidades derivadas del tratamiento de datos personales, apoyando al Delegado de Protección de Datos (DPO) en sus funciones.
• Atender las preocupaciones de los órganos superiores competentes y de los distintos departamentos.
• Informar periódicamente sobre el estado de la seguridad de la información a los superiores pertinentes.
• Promover la mejora continua del Sistema de Gestión de la Seguridad de la Información (SGSI).
• Desarrollar la estrategia de la organización para la evolución de la seguridad de la información.
• Coordinar los esfuerzos de las distintas áreas en relación con la seguridad de la información, para garantizar que los esfuerzos sean coherentes, estén alineados con la estrategia decidida en este ámbito y evitar duplicidades.
• Desarrollar (y revisar periódicamente) la Política de Seguridad de la Información.
• Aprobar la normativa interna de seguridad de la información.
• Desarrollar y aprobar los requisitos de formación y cualificación para administradores, operadores y usuarios desde el punto de vista de la seguridad de la información.
• Supervisar los principales riesgos residuales asumidos por la organización y recomendar posibles acciones a adoptar.
• Supervisar el desempeño de los procesos de gestión de incidentes de seguridad y recomendar posibles acciones al respecto. En particular, garantizar la coordinación de las distintas áreas de seguridad en la gestión de incidentes de seguridad de la información.
• Promover auditorías periódicas para verificar el cumplimiento de las obligaciones de seguridad de la organización.
• Aprobar planes para mejorar la seguridad de la información de la organización.
• Garantizar que la seguridad de la información se tenga en cuenta en todos los proyectos desde su especificación inicial hasta su implantación.
• Resolver los conflictos de responsabilidad que puedan surgir entre las distintas personas responsables y/o entre diferentes áreas de la organización, comunicando la situación a los superiores en aquellos casos en los que no tenga autoridad suficiente para decidir.

En caso de incidente de seguridad de la información

Aprobará el Plan de Mejora de la Seguridad, con su correspondiente asignación presupuestaria. El Comité de Seguridad de la Información no es un comité técnico, pero recabará periódicamente de su propio personal técnico o externo la información relevante para la toma de decisiones. El Comité de Seguridad de la Información solicitará asesoramiento en las materias sobre las que tenga que decidir o emitir opinión. Este asesoramiento se determinará caso por caso y podrá adoptar diferentes formas y modalidades:

• Grupos de trabajo especializados internos, externos o mixtos.
• Consultoría externa.
• Asistencia a cursos u otros tipos de formación o entornos de intercambio de experiencias.

El Responsable de Seguridad de la Información es el secretario del Comité de Seguridad de la Información y, como tal:

• Convoca las reuniones del Comité de Seguridad de la Información.
• Prepara los temas a tratar en las reuniones del Comité, aportando información oportuna para la toma de decisiones.
• Elabora las actas de las reuniones.
• Es responsable de la ejecución directa o delegada de las decisiones del Comité.

6.1 Definición de roles

La Política de Seguridad debe identificar a los responsables claramente de garantizar el cumplimiento y debe ser conocida por todos los miembros de la organización administrativa.

Se establecen en la organización los siguientes roles relacionados con la Seguridad de la Información.

6.1.1 Responsable de la Información

Corresponde al nivel de un órgano de gobierno de máximo nivel que comprende la misión de la organización, determina los objetivos que pretende alcanzar y es responsable de garantizar que se alcancen.

Sus funciones pueden asignarse a una persona física o al Comité de Seguridad de la Información.

Se identificará a la persona u órgano que lo asuma para cada Información tratada por la organización.

Funciones y responsabilidades asociadas

• Establece los requisitos de seguridad de la información.
• Tiene la responsabilidad última sobre el uso de la información crítica y, por tanto, sobre su protección.
• Determinará los niveles de seguridad en cada dimensión de la información.
• Aunque la aprobación formal de los niveles de información depende del Responsable de la Información, el Responsable de la Información podrá solicitar una propuesta al Responsable de Seguridad de la Información, al Responsable del SGSI y a la Administración de Seguridad de Sistemas, esta última si procede.

Compatibilidad con otros roles

Este rol puede coincidir con el de Responsable del Servicio.

Este rol no coincidirá con el de Responsable de Seguridad de la Información, Responsable del SGSI o Administrador de Seguridad de Sistemas, este último si procede.

6.1.2 Responsable del Servicio

Cuando sea distinto del Responsable de la Información, puede estar al nivel de un órgano de gobierno de máximo nivel, como el Responsable de la Información, o puede estar al nivel de una dirección ejecutiva o gerencia, que comprende lo que hace cada departamento y cómo se coordinan los departamentos entre sí para alcanzar los objetivos establecidos por los órganos superiores pertinentes.

Sus funciones pueden asignarse a una persona física o al Comité de Seguridad de la Información.

Se identificará a la persona u órgano que lo asuma para cada Servicio prestado por la organización.

Funciones y responsabilidades asociadas

• Establece los requisitos de seguridad de los servicios.
• Tiene la responsabilidad última sobre el uso de determinados servicios y, por tanto, sobre su protección. En caso de existir un Proveedor del Servicio, será responsable de gestionar y mitigar los errores o acciones negligentes bajo su control que puedan dar lugar a incidentes de disponibilidad del servicio.
• Determinará los niveles de seguridad en cada dimensión del servicio.
• Aunque la aprobación formal de los niveles depende del Responsable del Servicio, el Responsable del Servicio podrá solicitar una propuesta al Responsable de Seguridad de la Información, al Responsable del SGSI y al Administrador de Seguridad de Sistemas, este último si procede.
• La prestación de un servicio siempre debe cumplir los requisitos de seguridad de la información que maneja, así como los requisitos de seguridad del servicio, añadiendo requisitos de disponibilidad y otros, como accesibilidad e interoperabilidad.

Compatibilidad con otros roles

Este rol puede coincidir con el de Responsable de la Información.

Este rol no coincidirá con el de Responsable de Seguridad de la Información, Responsable del SGSI o Administrador de Seguridad de Sistemas, este último si procede.

6.1.3 Responsable de Seguridad de la Información / CISO

Corresponde al nivel de una Dirección Ejecutiva o Gerencia.

Solo una persona en la organización será designada formalmente como Responsable de Seguridad de la Información, si bien el Responsable de Seguridad de la Información podrá delegar parte de las funciones en otras personas denominadas delegados.

Funciones y responsabilidades asociadas

• Informará directamente al Comité de Seguridad de la Información.
• Actuará como Secretario del Comité de Seguridad de la Información.
• Convocar el Comité de Seguridad de la Información.
• Mantener la seguridad de la información utilizada, los servicios prestados y los sistemas de información.
• Promover la formación y concienciación en seguridad de la información.
• Recopilará los requisitos de seguridad de los Responsables de Información y Servicio junto con el Responsable del SGSI y determinará la criticidad del sistema.
• Realizar el Análisis de Riesgos.
• Elaborar una Declaración de Aplicabilidad basada en las medidas de seguridad requeridas según ISO 27001 y NIS2, y el resultado del Análisis de Riesgos.
• Proporcionar a la dirección y a otros miembros del Comité información sobre el nivel de riesgo residual esperado tras implementar las opciones de tratamiento seleccionadas en el análisis de riesgos y las medidas de seguridad requeridas.
• Coordinará la elaboración de la Documentación de Seguridad del Sistema.
• Participará en la elaboración, en el marco del Comité de Seguridad de la Información, de la Política de Seguridad de la Información, para su aprobación por la dirección.
• Participará en la redacción y aprobación de las políticas, procedimientos y normativa interna de seguridad de la información de la organización en el marco del Comité de Seguridad de la Información
• Desarrollar, mantener y aprobar los procedimientos operativos de seguridad de la información.
• Proporcionará periódicamente al Comité de Seguridad un resumen de las acciones de seguridad, los incidentes de seguridad de la información y el estado de seguridad del sistema.
• Elaborará, junto con el Responsable del SGSI, Planes de Mejora de la Seguridad para su aprobación por el Comité de Seguridad de la Información.
• Promoverá la formación y concienciación, así como elaborará Planes de Formación y Concienciación en Seguridad de la Información para el personal, que serán aprobados por el Comité de Seguridad de la Información.
• Validará los Planes de Continuidad de Sistemas elaborados por el Responsable del SGSI, que serán aprobados por el Comité de Seguridad de la Información y probados periódicamente por el Responsable del SGSI.
• Aprobar las directrices propuestas por el Responsable del SGSI para considerar la Seguridad de la Información a lo largo de todo el ciclo de vida de los activos y procesos: especificación, arquitectura, desarrollo, operación y cambios.

En caso de incidente de seguridad de la información

El Responsable de Seguridad de la Información analizará y propondrá salvaguardas para evitar incidentes similares en el futuro.

Compatibilidad con otros roles

Este rol no podrá coincidir con el de Responsable del SGSI y Administrador de Seguridad de Sistemas, este último si procede.

Delegación de funciones

Para determinados Sistemas de Información que, por su complejidad, distribución, separación física de sus elementos o número de usuarios, requieran personal adicional para desempeñar las funciones del Responsable de Seguridad de la Información, los Responsables de Seguridad Delegados que se consideren necesarios podrán ser nombrados por el Responsable de Seguridad de la Información, previa aprobación del Comité de Seguridad de la Información.

Mediante la designación de delegados, se delegan funciones. La responsabilidad última sigue recayendo en el Responsable de Seguridad de la Información.

Los Responsables de Seguridad Delegados se encargarán de todas las funciones delegadas por el Responsable de Seguridad de la Información e informarán directamente al Responsable de Seguridad de la Información.

6.1.4 Responsable del SGSI

Corresponde al nivel de una Dirección Operativa.

Se designará formalmente a una persona física como Responsable del SGSI.

Funciones y responsabilidades asociadas

Sus funciones serán las siguientes:

• Establecer, revisar y mantener la política de seguridad de la información de la organización.
• Coordinar la identificación, el análisis y el tratamiento de riesgos.
• Garantizar la aplicación de controles y medidas de seguridad.
• Coordinar las auditorías internas del SGSI y las acciones correctivas resultantes.
• Gestionar la documentación del SGSI, incluida la Declaración de Aplicabilidad (SoA), en colaboración con el Responsable de Seguridad de la Información.
• Colaborar con el Responsable de Seguridad de la Información, el DPO y otros roles clave para garantizar la integración de la seguridad y la privacidad en toda la organización.

En caso de incidente de seguridad de la información

Planificará la implantación de salvaguardas en el sistema e implementará el plan de seguridad aprobado.

Compatibilidad con otros roles

Este rol no coincidirá con el de Administrador de Seguridad de Sistemas y Responsable de Seguridad de la Información.

6.1.5 Administrador de Seguridad de Sistemas

Corresponde al nivel de un empleado cualificado en seguridad de sistemas TI.

El Administrador de Seguridad de Sistemas será nombrado por el Responsable del SGSI, a quien el Administrador de Seguridad de Sistemas informará sobre todos los asuntos relativos a la seguridad de la información de los sistemas gestionados.

Funciones y responsabilidades asociadas

• La implantación, gestión y mantenimiento de las medidas de seguridad aplicables al Sistema de Información.
• Garantizar que los controles de seguridad establecidos se implementen estrictamente.
• Garantizar que las trazas de auditoría y los registros de seguridad requeridos estén habilitados, se conserven y se supervisen de acuerdo con los requisitos de seguridad de la información de la organización.
• Implementar, operar y mantener los procedimientos, mecanismos y controles de seguridad requeridos para sistemas, usuarios y activos internos y externos asociados.
• Garantizar que se apliquen los procedimientos aprobados para la gestión del sistema de información y los mecanismos y servicios de seguridad requeridos.
• La gestión, configuración y actualización, cuando proceda, del hardware y software en los que se basan los mecanismos y servicios de seguridad del Sistema de Información.
• Supervisar las instalaciones, modificaciones y actualizaciones de hardware y software para garantizar que la seguridad no se vea comprometida.
• Aprobar cambios en la configuración actual del Sistema de Información, garantizando que los mecanismos y servicios de seguridad existentes sigan operativos.
• Informar de cualquier anomalía, compromiso o vulnerabilidad relacionada con la seguridad al Responsable del SGSI.
• Supervisar el estado de seguridad del sistema.

En caso de incidente de seguridad de la información

• Registro, contabilización y gestión de incidentes de seguridad en los sistemas bajo su responsabilidad.
• Implementar el plan de seguridad aprobado.
• Aislar el incidente para evitar su propagación a otros elementos no comprometidos por el incidente.
• Tomar decisiones a corto plazo si la información se ha visto comprometida de una manera que pudiera tener consecuencias graves (estas acciones deberán documentarse).
• Garantizar la integridad de los elementos críticos del Sistema si su disponibilidad se ha visto afectada.
• Mantener y recuperar la información almacenada por el Sistema y sus servicios asociados.
• Investigar el incidente: determinar las características, medios, motivos y origen del incidente.

Compatibilidad con otros roles

Este rol no coincidirá con el rol de Responsable del SGSI y Responsable de Seguridad de la Información.

Delegación de funciones

Para determinados Sistemas de Información que, por su complejidad, distribución, separación física de sus elementos o número de usuarios, requieran personal adicional para desempeñar las funciones del Administrador de Seguridad de Sistemas, los Administradores de Seguridad de Sistemas Delegados que se consideren necesarios podrán ser nombrados por el Administrador de Seguridad de Sistemas, previa aprobación del Comité de Seguridad de la Información.

Mediante la designación de delegados, se delegan funciones. La responsabilidad última sigue recayendo en el Administrador de Seguridad de Sistemas.

Los Administradores de Seguridad de Sistemas Delegados se encargarán de todas las funciones delegadas por el Administrador de Seguridad de Sistemas e informarán directamente al Administrador de Seguridad de Sistemas.

6.1.6 Delegado de Protección de Datos

El Delegado de Protección de Datos es un rol contemplado por el RGPD (Reglamento General de Protección de Datos) y la aplicable Ley Orgánica española 3/2018 de Protección de Datos Personales.

Dicho rol será asumido por una persona física.

Funciones y responsabilidades asociadas

• Informar directamente al máximo nivel jerárquico de recomendaciones, evaluaciones o asesoramiento en materia de protección de datos personales.
• Colaborar con el Responsable de Seguridad de la Información en caso de incidentes de seguridad que puedan afectar a datos personales.
• Supervisar el cumplimiento de la normativa de privacidad aplicable, tanto interna como externamente respecto de los proveedores.
• Asistir en la evaluación de riesgos relacionados con los datos personales y sus salvaguardas.
• Participar en actividades de concienciación y formación relacionadas con materias de protección de datos.

6.2 Responsabilidades en virtud de ISO 27001 y NIS 2

A continuación se muestran las principales responsabilidades en correlación con las medidas de seguridad:

A este respecto, véase el siguiente documento: “REG-03 RACI”.

7. Datos personales

KYMOS trata datos personales; por tanto, la organización dispone del correspondiente Registro de Actividades de Tratamiento de acuerdo con las disposiciones del RGPD.

Todos los sistemas de información de KYMOS Group deberán cumplir los niveles de seguridad exigidos por la normativa, a los efectos de la naturaleza y finalidad de los datos personales recabados.

8. Gestión de riesgos

8.1 Justificación

Todos los sistemas sujetos a esta Política deberán realizar un análisis de riesgos, evaluando las amenazas y riesgos a los que están expuestos.

El análisis de riesgos será la base para determinar las medidas de seguridad a adoptar, que se detallarán en el Análisis de Riesgos y su Declaración de Aplicabilidad.

8.2 Criterios de evaluación de riesgos

Para la armonización de la metodología de análisis de riesgos, el Comité de Seguridad de la Información establecerá una evaluación de referencia para los distintos tipos de información tratada y los distintos servicios prestados.

Los criterios detallados de evaluación de riesgos se especificarán en la metodología de evaluación de riesgos que desarrollará la organización, basada en normas y prácticas reconocidas.

Se abordarán todos los riesgos que puedan impedir gravemente la capacidad operativa de la organización o el logro de la misión de la organización.

Se dará prioridad especial a los riesgos que impliquen una interrupción de la prestación de los servicios.

8.3 Directrices de tratamiento

El Comité de Seguridad de la Información agilizará la disponibilidad de recursos para satisfacer las necesidades de seguridad de los distintos sistemas, promoviendo inversiones horizontales.

8.4 Proceso de aceptación del riesgo residual

Los riesgos residuales serán determinados por el Responsable de Seguridad de la Información.

Los niveles de Riesgo residual esperados en cada Información tras la implementación de las opciones de tratamiento (incluida la implementación de las medidas de seguridad previstas en ISO 27002 y en la Directiva NIS2) serán aceptados por el Comité de Seguridad de la Información.

Los niveles de Riesgo residual serán presentados por el Responsable de Seguridad de la Información al Comité de Seguridad de la Información (ISC), que evaluará, aprobará o rectificará las opciones de tratamiento propuestas según proceda.

8.5 Necesidad de realizar o actualizar evaluaciones de riesgos

El análisis de riesgos y su tratamiento deben ser una actividad regular, tal y como exigen ISO 27001 y la Directiva NIS2. Este análisis se repetirá:

• Regularmente, al menos una vez al año.
• Cuando haya cambios significativos en la información tratada.
• Cuando haya cambios significativos en los servicios prestados.
• Cuando se produzcan cambios significativos en los sistemas que tratan información y están implicados en la prestación de servicios.
• Cuando se produzca un incidente de seguridad grave.
• Cuando se notifiquen vulnerabilidades graves.

9. Obligaciones del personal

Todos los miembros de la organización están obligados a conocer y cumplir esta Política de Seguridad de la Información y la Normativa de Seguridad que les sea aplicable, y es responsabilidad del Comité de Seguridad de la Información proporcionar los medios necesarios para garantizar que la información llegue a los afectados.

El cumplimiento de esta Política de Seguridad es obligatorio para todo el personal interno y externo implicado en los procesos de la organización, y su incumplimiento constituye una falta grave a efectos laborales, de acuerdo con el convenio colectivo.

A este respecto, la organización dispone del documento “IT-REGU-04 Normativa de Seguridad de Deberes y Roles del Personal”.

10. Formación y concienciación del personal

La Dirección está comprometida con la Formación Profesional y la Concienciación del Personal de KYMOS Group.

El objetivo de KYMOS es concienciar continuamente a los empleados sobre la ciberseguridad y, para ello, la organización lleva a cabo:

• Entrega puntual de píldoras informativas sobre ciberseguridad, en respuesta a situaciones de riesgo.
• Formación anual de reciclaje en ciberseguridad para todo el personal.
• Campañas esporádicas de simulación de phishing, al menos cada dos años.

11. Terceros

Cuando los servicios sean prestados o la información sea gestionada por otras organizaciones, se les dará a conocer esta Política de Seguridad de la Información, se establecerán canales de notificación y coordinación para los respectivos Comités de Seguridad de la Información, y se establecerán procedimientos para reaccionar ante incidentes de seguridad.

Cuando se utilicen servicios de terceros o se facilite información a terceros, se les dará a conocer esta Política de Seguridad y los Roles y Deberes del Personal que se aplican a estos servicios o información. Este tercero estará sujeto a las obligaciones establecidas en esta política y podrá desarrollar sus propios procedimientos operativos para cumplir dichas obligaciones.

Se establecerán procedimientos específicos de notificación y resolución de incidentes. Se garantizará que el personal de terceros tenga una concienciación adecuada en materia de seguridad, al menos al mismo nivel que el establecido en esta Política.

Cuando algún aspecto de la Política no pueda ser satisfecho por un tercero según lo requerido en los párrafos anteriores, se requerirá un informe del Responsable de Seguridad de la Información que especifique los riesgos implicados y cómo se abordarán. Dicho informe será revisado por el Comité de Seguridad de la Información y aprobado por los Responsables de Información y Servicio, junto con la Dirección.

12. Revisión y aprobación de la Política de Seguridad

La Política de Seguridad de la Información será revisada por el Comité de Seguridad de la Información a intervalos planificados, no superiores a un año, o siempre que se produzcan cambios significativos, con el fin de garantizar que se mantengan su idoneidad, adecuación y eficacia.

Cualquier cambio en la Política de Seguridad de la Información será revisado por el Comité de Seguridad de la Información y aprobado por la Dirección.

La Dirección garantizará que todo el personal comprenda y cumpla sus responsabilidades en materia de seguridad de la información, así como promoverá el cumplimiento de las políticas, procedimientos y controles de seguridad de la información y proporcionará el apoyo y los recursos necesarios para su implementación.

Por último, la Política de Seguridad de la Información se comunicará y se pondrá a disposición de todo el personal y las partes interesadas de KYMOS Group.