Informazioaren segurtasun politika

1. Sarrera

Donostiako Tranbia Konpainiak (aurrerantzean, DTK edo DBus) aitortzen du informazioaren segurtasuna garrantzitsua dela bere jarduerak behar bezala egiteko. Horregatik, Informazioaren Segurtasun Politika (aurrerantzean, ISP) garatu du, eta bertan segurtasunaren oinarrizko printzipioak eta eskakizun operatiboak finkatu eta integratu ditu, informazioaren konfidentzialtasunari, osotasunari, erabilgarritasunari, benetakotasunari eta trazabilitateari dagokienez.

2. Aplikazio eremua

ISP hau Dbuseko langile guztiei aplikatu behar zaie. Politikaren irismenaren barruan sartzen dira, halaber, Dbusen aldi batean edo etengabe zerbitzuak ematen dituzten edo beren funtzioak betetzearen edo kontratu bat gauzatzearen ondorioz DBusekin lotutako informazioa edo aktiboak eskura dituzten langileak eta hirugarren erakundeak.

Beraz, beharrezkoa da DBusekin eta haren mendeko negozio unitateekin zuzenean edo zeharka elkarreragiten duten pertsona guztiek informazioaren segurtasun politika eta araudiak ezagutzea eta politikaren jarraibideak aplikatzea DBusekiko loturan garatutako funtzioen zeregin propio gisa.

3. Dbusen misioa

Dbusek garraio publikoko zerbitzua ematen du Donostia hirian.

Bere funtsezko misioa da egungo eta etorkizuneko erabiltzaileen mugikortasun beharrak erabat asetzea, kalitate handiko zerbitzua, informazio praktiko eta kostu lehiakorrak eskainiz, eta aldi berean gure ingurunearen jasangarritasunean laguntzea.

Bere ikuspegiaren barruan, Donostiako Tranbia Konpainiak mugikortasunaren alorrean liderra izan nahi du Donostia barruan. Hainbat neurri inplementatuko ditu gizarteak gure enpresaren gainean duen irudia hobetze aldera, eta sozialki aktiboa, arduratsua eta hiriaren, gizartearen, ingurumenaren, bezeroen eta langileen garapenarekin eta berarekin elkarreraginean dauden gainerako eragileekin ere konprometitua den erakunde bat izateko.

4. Erreferentziazko erregulazioak eta arauak

DBuseko ISPa informazioaren tratamenduari buruz indarrean dagoen legeria eta araudia betetzeko definitu da, bai eta Segurtasun Eskema Nazionala (aurrerantzean, SEN) arautzen duen maiatzaren 3ko 311/2022 Errege Dekretuak eta errege dekretu hori arlo horretan garatzeko eta osatzeko arau guztiek ere ezarritako baldintzekin bat etortzeko ere.

Jarraian, dokumentu hau idatzi den egunean indarrean zeuden lege eta araudi nagusien zerrenda agertzen da. ISP honek irismen orokorra izan nahi duen arren, jurisdikzio bakoitzaren arau eskakizunen arabera egokitu beharko da. Espainiako jurisdikzioaren ikuspegitik, hauek dira:

• 311/2022 Errege Dekretua, maiatzaren 3koa, Segurtasun Eskema Nazionala arautzen duena.
• 2016ko urriaren 13ko Ebazpena, Administrazio Publikoen Estatu Idazkaritzarena, Segurtasun Eskema Nazionalarekin bat etorriz Segurtasun Jarraibide Teknikoa onartzen duena.
• 2016ko urriaren 7ko Ebazpena, Administrazio Publikoen Estatu Idazkaritzarena, Segurtasunaren Egoerari buruzko Txostenaren Segurtasun Jarraibide Teknikoa onartzen duena.
• 2018ko martxoaren 27ko Ebazpena, Funtzio Publikoko Estatu Idazkaritzarena, Informazio Sistemen Segurtasuna Ikuskatzeko Segurtasun Jarraibide Teknikoa onartzen duena.
• 2018ko apirilaren 13ko Ebazpena, Funtzio Publikoko Estatu Idazkaritzarena, Segurtasun Gertakariak Jakinarazteko Segurtasun Jarraibide Teknikoa onartzen duena.

Datu pertsonalen babesa:

• Europako Legebiltzarraren eta Kontseiluaren 2016/679 Erregelamendua (EB), 2016ko apirilaren 27koa, datu pertsonalen tratamenduari dagokionez pertsona fisikoen babesari eta datu horien zirkulazio askeari buruzko arauak ezartzen dituena eta 95/46/CE Zuzentaraua indargabetzen duena (Datuen Babesari buruzko Erregelamendu Orokorra, DBEO).
• 3/2018 Lege Organikoa, abenduaren 5ekoa, Datu Pertsonalak Babestekoa eta Eskubide Digitalak Bermatzekoa (aurrerantzean DPBEDBLO).
• 16/2023 Legea, abenduaren 21ekoa, Datuak Babesteko Euskal Agintaritzari buruzkoa (aurrerantzean, DBEAL).

Beste batzuk:

• Europako Parlamentuaren eta Kontseiluaren 2022/2555 (EB) Zuzentaraua, 2022ko abenduaren 14koa, Batasun osoan zibersegurtasun maila komun handia bermatzeko neurriei buruzkoa, 910/2014 (EB) Erregelamendua eta 2018/1972 (EB) Zuzentaraua aldatzen dituena eta 2016/1148 (EB) Zuzentaraua indargabetzen duena (NIS 2 Zuzentaraua).
• 34/2002 Legea, uztailaren 11koa, informazioaren gizarteko eta merkataritza elektronikoko zerbitzuei buruzkoa.
• 37/2007 Legea, azaroaren 16koa, sektore publikoko informazioa berrerabiltzeari buruzkoa.
• 56/2007 Legea, abenduaren 28koa, Informazioaren Gizartea Bultzatzeko Neurriei buruzkoa.

Era berean, DBusen jarduera arautzen duten eta informazioaren segurtasuna eta datu pertsonalen babesa bermatzera bideratuta dauden indarreko arauak aplikatuko dira.

Dokumentu honetan DBusen aplikatu beharreko segurtasunari buruzko erregulazio eta araudien zerrenda zehatza identifikatzen da:
RN8.14-5-01 DBusi aplikatu beharreko erregulazio eta arau esparrua.

5. Oinarrizko printzipioak

DBusek funtsezko printzipio hauek ezartzen ditu, horiek izango baitira DBuseko informazioaren segurtasunarekin lotutako jarduera guztien oinarria:

1. Segurtasuna informazio aktiboekin lotutako giza elementu, material, tekniko, juridiko eta antolaketa elementu guztiek osatutako prozesu integral gisa. Era berean, segurtasun prozesuan esku hartzen duten profilen kontzientziazioari arretarik handiena eskainiko zaio, informazioaren segurtasun arrisku iturriekiko esposizioa saihesteko.
2. Segurtasuna lehenetsita eta diseinutik: Informazio sistemen bizi zikloaren fase guztietan hartuko dira aintzat segurtasun alderdiak, segurtasuna lehenetsita egongo dela bermatzeko. Segurtasuna ohiko funtzionamenduaren partetzat hartu behar da, eta lehen unetik egongo da eta informazio sistemen diseinutik aplikatuko da.
3. Proportzionaltasuna: Neurriak ezartzeko kostu ekonomikoak eta operatiboak arrisku potentzialen eta kritikotasunaren heinekoak izango dira, bai eta informazioaren eta bere zerbitzuaren balioaren heinekoak ere.
4. DBuseko informazioari eta informazio sistemei aplika dakizkiekeen lege eta kontratu baldintzak betetzea.
5. Segurtasuna kudeatzea, arriskuetan oinarrituta, jarduera jarraitu eta etengabe eguneratu gisa. Gestio horri esker arriskuak minimizatu eta maila onargarrietara eraman ahal izango dira, segurtasun neurriak modu orekatuan eta informazio aktiboen kritikotasunaren eta arriskuen izaeraren arabera aplikatuta.
6. Prebentzioa, detekzioa, erantzuna eta berreskuratzea: Neurriak hartuko dira informazio aktiboei eragiten dieten mehatxuek ondorio negatiboa izateko duten probabilitatea murrizteko, eta, ondorio negatiboa izanez gero, denbora eta modu egokian kudeatu ahal izateko, informazio aktiboetan eragin larririk izan ez dezaten, eta aktibo horien konfidentzialtasuna, osotasuna, erabilgarritasuna, benetakotasuna eta trazabilitatea mantentzeko.
7. Segurtasun geruza anitzez osatutako babes lerroak egotea, hartara geruzetako bat arriskuan egonda ere informazio sistema osoa arriskuan egon ez dadin edo azken inpaktua txikiagoa izan dadin. Babes lerroen barruan antolaketa neurria, neurri fisikoak eta logikoak sartzen dira.
8. Etengabeko zaintza eta aldizkako berrebaluazioa, jarduerak edo portaera anomaloak hautemateko eta horiei erantzuteko. Baita segurtasunaren egoeraren etengabeko ebaluazioa eta aplikatutako neurrien aldizkako eguneratzea ere.
9. Erantzukizunak bereiztea informazio sistemetan, aktiboaren jabea, informazioaren segurtasunaren arduraduna eta sistemaren arduraduna bereiziz. Informazio sistemen segurtasunaren erantzukizuna eta horien ustiapenaren gaineko erantzukizuna bereiztea kontuan hartuta.
10. Kontzientziazio eta formazio printzipioa: Sistemen erabiltzaile eta administratzaile orok sistemak eta informazioa behar bezala erabiltzeko kontzientziatuta eta gaituta egon beharko du.
11. Sekretu profesionala: Datu pertsonalen tratamenduetan esku hartzen dutenek edo ofizialki zabalkunde publikokotzat katalogatuta ez dagoen informazioa eskuratu dezaketenek sekretu betebeharra gorde beharko dute, baita erakundearekin lotutako jarduerak amaitu ondoren ere.

6. Informazioaren segurtasuneko gutxieneko baldintzak

ISP hau eta hura garatzen duen Araudia eraginkortasunez aplikatzeko, DBus hura behar bezala garatzeko beharrezkoak diren baliabideez hornituko da, ezarpen jarduerei zein mantentze jarduerei dagokienez, esparru bakoitzean ezartzen diren kontrolak edo segurtasun neurriak barne. Era berean, DBusek jarraian adierazten diren informazioaren segurtasuneko gutxieneko baldintzak betetzeko konpromisoa hartzen du.

a) Segurtasun prozesua antolatzea eta ezartzea:

1. Informazio sistemen segurtasunak ISPren irismenean sartzen diren jardueretan parte hartzen duten erakundeko kide guztiak inplikarazi beharko ditu.
2. Zalantzarik gabe identifikatuko dira Informazioaren Arduraduna, Zerbitzuaren Arduraduna, Informazioaren Segurtasunaren Arduraduna (aurrerantzean CISO) eta Sistemaren Arduraduna, erantzukizunak modu argian esleituta, funtzioak bereizita eta hierarkikoki kokapen bereizia ezarrita, SENen xedapenekin bat etorriz.
3. Izendapenak erakundeko kide guztiei jakinaraziko zaizkie.
4. DBusi zerbitzuak ematen dizkioten kanpoko erakundeek informazioaren segurtasunaren arloko harremanetarako guneak izendatuko dituzte. Esleipen hori kanpoko erakundeko CISOk hartu beharko du bere gain edo hari lotuta egon beharko du.
5. Lege eskakizuna identifikatzen denean, Segurtasun Arduradunaren figurak egiaztatzeko eskatuko da.

b) Aktiboen kontrola:

1. Informazioko aktiboak beren ezaugarrien eta eskatutako segurtasun mailaren arabera inbentariatu eta kategorizatuko dira.
2. Aktiboei aplikatutako segurtasun neurriek aktiboen kategorizazioa kontuan hartuko dute.

c) Arriskuak aztertzea eta kudeatzea:

1. ISP honen eremuko informazio sistema guztiak arriskuak kudeatzeko prozesu bati lotuta daude, eta nazioartean aitortuta dagoen eta esparru bakoitzerako egokia den metodologiari jarraitu beharko diote.
2. Informazioaren segurtasun arriskuak kudeatzeko prozesua etengabe egin beharko da, SENen xedapenen arabera.
3. Aurrekoaren ildotik, azterketa hori osorik edo partzialki errepikatuko da:
   1. Aldizka, gutxienez urtean behin.
   2. Erabilitako informazioa edo zerbitzuak aldatzen direnean.
   3. Segurtasun gertakari larri bat gertatzen denean eta/edo ahultasun larriak antzematen direnean.
4. Analisien ondorioz aplikatutako neurriek justifikatuta egon beharko dute, eta arriskuekiko proportzionalak izan beharko dute. Arriskuak tratatzeko planak Sistema Arduradunak eta Segurtasun Arduradunak onartu beharko dituzte, dagokionaren arabera.

d) Langileen kudeaketa:

1. Barneko edo kanpoko langileek, DBuseko zerbitzuak jasaten dituzten informazio sistemak erabiltzen badituzte edo horietatik eratorritako datu pertsonalen tratamenduetan parte hartzen badute, informazioaren segurtasunaren arloko eginbehar, betebehar eta erantzukizunei buruzko prestakuntza eta informazioa jaso beharko dute.
2. Arlo horietako betebeharrak eta erantzukizunak Informazioaren Segurtasun Batzordeak onartutako barne araudi batean jasoko dira. Araudia betetzen dela gainbegiratuko da.
3. Langileak prestatzeko eta kontzientziatzeko jarduerak egingo dira ISP honen aplikazio esparruetan.

e) Profesionaltasuna:

1. Sistemen segurtasuna langile kualifikatuek eta trebatuek ezarri, artatu, berrikusi eta ikuskatuko dute, eta sistemen bizi zikloaren fase guztietan parte hartuko dute.

f) Sarbideen baimena eta kontrola:

1. ISPren aplikazio eremuko informazio aktiboetara soilik behar bezala baimendutako erabiltzaile, prozesu, gailu edo beste informazio sistema batzuk sartu ahal izango dira, eta soilik baimendutako funtzioetara sartuko dira.
2. Bezeroen informaziora sartzeko ahalmena bereizita egongo da eta soilik baimendutako langileak sartu ahal izango dira bertara, informazioa eskatutako baimenik eta kontrol egokirik gabe partekatuko ez dela bermatzeko.

g) Instalazioen babesa:

1. Informazio aktiboak kontrol maila eta sarbide mekanismo egokiak eta identifikatutako arriskuekiko proportzionalak direnak dituzten eremuetan egon beharko dira.

h) Segurtasun produktuak erostea eta segurtasun zerbitzuak kontratatzea:

1. Babestu beharreko aktiboen arriskuaren magnitudearen eta segurtasun maila zehatzen arabera, erosketaren xedearekin lotutako segurtasun funtzionaltasuna ziurtatuta duten edo, halakorik ezean, aurrez ezarritako kalitate irizpideak betetzen dituzten produktu eta zerbitzuak hautatuko dira.

i) Pribilegio minimoa:

1. Sistemak diseinatuko eta konfiguratuko dira behar diren helburuak lortzeko ezinbestekoak diren funtzionaltasunak eskaintzeko, eta bereziki murriztailea izango da administraziorako eta monitorizaziorako funtzionaltasun eta baliabideetarako sarbidean.

j) Informazio sistemen osotasuna eta eguneratzea:

1. Informazio sistemen garapena eta mantentzea segurtasun zehaztapenekin batera joango dira.
2. Sistemen aldaketa, konfigurazioa eta eguneratzea kudeatzeko prozesuak ezarriko dira, baimen prozesu batekin bat etorrita, horien osotasuna eta eragiten dien edozein ahultasun konpontzea bermatzeko.

k) Gordetako informazioa eta iragaitzazkoa babestea:

1. Gordetako informaziorako edo gailuetara, hala nola ekipo eramangarrietara, gailu mugikorretara, periferikoetara eta biltegiratzeko euskarrietara igarotzeko eskatzen den segurtasun maila mantentzeko neurriak aplikatuko dira, sare irekiei buruzko komunikazioak kontuan hartuta, noski.
2. Era berean, katalogatutako informazio digitaletik datorren dokumentazio fisikorako ezarritako segurtasun mailari eutsiko zaio.

l) Elkar konektatutako beste informazio sistema batzuen aurrean prebentzioa:

1. DBus kontroletik kanpoko sistemekiko interkonexioak aztertuko dira, bereziki sare publikoen bidez konektatzen badira, eta arriskuak arinduko dira aplikatu beharreko araudiaren xedapenen eta jardunbide egokien arabera dagozkion neurriak aplikatuz.

m) Jarduera erregistratzea eta kode kaltegarria detektatzea:

1. Erabiltzaileen jarduera erregistratuko da, eta monitorizatzeko, aztertzeko, ikertzeko eta, oro har, informazio aktiboen eta kaltetuen eskubideen segurtasunerako zilegi ez diren edo arriskutsuak diren egoerak kudeatzeko behar-beharrezkoa den informazioa atxikiko da. Lan hori behar bezala egiteko, pertsona bakarreko sarbideak ezarriko dira ahal den guztietan.

n) Datu pertsonalen segurtasun gertakariak eta segurtasun arrakalak:

1. Informazioaren segurtasunari eta datu pertsonalei eragiten dieten gertakariak kudeatzeko prozedurak ezarriko dira, horretarako sailkapen irizpideak, alderdi interesdunei jakinarazteko eta komunikatzeko protokoloak, gertakari bat kudeatzeko fase bakoitzean garatu beharreko jardueren xehetasuna, detekzio, euste, erantzun eta berreskuratzeko neurrien aplikazioa eta prozesuaren etengabeko hobekuntza erraztuko duen gertaeren erregistroaren mantentzea kontuan hartuta.
2. Prozedura horiek definituko dira, modu ez-baztertzailean, SENren xedapen aplikagarri guztiekin, Gertakariak Jakinarazteko SENren Segurtasun Jarraibide Teknikoarekin, Zibergertakariak Jakinarazteko eta Kudeatzeko Gida Nazionalarekin eta Zibergertakariak Kudeatzeko CCN-STIC 817 Gidarekin bat etorriz. Era berean, segurtasun arrakalak kudeatzeko Dbusek, DBEOn aurreikusitakoa betez, definituta eta inplementatuta duen barne prozedura kontuan hartuko da.
3. Prozesuak gertakarien gestioa hartuko du kontuan leihatila bakarreko soluzioen bidez, bai eta segurtasuneko organo eta rol giltzarrien parte hartzea eta, kasuan-kasuan (gertakariaren sailkapenean oinarrituta) segurtasun informatikoko gertakariei erantzuteko ekipoei (
   Computer Security Incident Response Team, aurrerantzean, CSIRT), kontrol agintari eskudunei eta kaltetutako erabiltzaileei jakinaraztea ere.

o) Jardueraren jarraitutasuna:

1. Errekuperazio neurriak ezarriko dira eta gertaera disruptiboen aurrean eragiketen jarraitutasuna bermatzeko planak zehaztuko dira.

p) Prozesuen auditoria eta etengabeko hobekuntza:

1. Segurtasuna kudeatzeko prozesuak etengabe eguneratu eta hobetuko dira, aipatutako esparruetako araudi aldaketak eta jardunbide onak kontuan hartuta.
2. Informazio sistemei ikuskaritza arrunta egingo zaie aldizka, gutxienez urtero, ISP honetako eta lotutako araudiko baldintzak betetzen direla egiaztatzeko.
3. Ohiz kanpoko auditoriak egingo dira emandako zerbitzuetan edo datu pertsonalen tratamendu guztietan aldaketa nabarmenak daudenean, edo segurtasun gertakari edo ez-betetze larri bat gertatzen denean.
4. CISOk gainbegiratuko ditu auditoriak.

7. Datu pertsonalak

DBusek datu pertsonalak erabili behar ditu bere funtzioak garatzeko. Soilik aproposak eta egokiak direnean eta gehiegizkoak ez direnean jasotzen ditu datu pertsonalak, eta datu bilketaren xede diren esparru eta helburuekin lotuta daudenean.

Era berean, kasu bakoitzean Datuak Babesteko indarrean dagoen araudia betetzeko beharrezkoak diren neurri teknikoak eta antolakuntzakoak hartzen ditu.

Tratamenduaren arduradunen zeregina izango da datu pertsonalak tratatzeko jardueren erregistroa dokumentatzea eta beti eguneratuta izatea, DBEOko 30. artikuluaren arabera.

8. Informazioaren segurtasunaren antolaketa

DBusen, jarraian zehazten diren batzorde eta rolen egiturari jarraitzen zaio informazioaren segurtasuna antolatzeko.

8.1 Segurtasuna kudeatzeko eta koordinatzeko batzordeen egitura

Batzorde horien funtzioak eta osaera definitzen dira RN5-02 ISren rolak eta erantzukizunak dokumentuan.

8.2 Segurtasun rolak eta funtzioak

Rol horien funtzioak RN5-02 ISren rolak eta erantzukizunak dokumentuan definitzen dira.

8.3 Izendatzeko eta berritzeko prozedura

Informazioaren Segurtasun Batzordearen sorrera, kideen izendapena eta ISP honetan identifikatutako funtsezko arduradunen izendapena zuzendari gerenteak baliozkotu ditu, eta kaltetutako aldeei jakinarazi ere jakinarazi die.

Organo horrek berak berrikusi ahal izango ditu Informazioaren Segurtasun Batzordeko kideen izendapenak, bai eta ISPk egokitzat jotzen dituen gainerako rolak ere, egokia iruditzen zaionean edo kide posturen bat hutsik geratzen denean.

8.4 Gatazkak ebaztea

Informazioaren Segurtasun Batzordea arduratuko da ISPk aintzat hartzen dituen rolen artean sor daitezkeen gatazkak eta/edo iritzi desberdintasunak konpontzeaz.

9. Araudi garapena

Dbusek informazioaren segurtasunaren esparruan eta zuzendaritza eta kudeaketa organoei, enplegatuei eta kanpoko hornitzaileei aplikatu beharreko araudi sorta bat diseinatu, mantendu eta bultzatzen du. Arau multzoa bost mailatan garatzen da, aplikazio eremu, xehetasun tekniko eta derrigortasun desberdinekin, eta arau elementu bakoitza goi mailako arauetan oinarrituta edo lerrokatuta dago:

• Lehen maila arautzailea: Informazioaren Segurtasun Politika.
• Bigarren araudi maila: Informazioaren segurtasuneko arauak eta politika espezifikoak. Dbus osoan nahitaez bete beharrekoak dira. Arau bakoitzak estaltzen duen segurtasun prozesuari dagokionez bete beharreko betebeharrak eta arauak zehazten ditu.
• Hirugarren araudi maila: Segurtasun prozesu espezifikoekin eta erakunde osoan aplikatu beharreko prozesuekin lotutako prozedurak. Tratatutako prozesuarekin lotutako erantzukizunak esleitzen ditu eta goiko arau geruzan ezarritako segurtasun neurriak betetzeko egin beharreko ekintzak deskribatzen ditu.
• Laugarren maila arautzailea: Ildo eta jarraibide espezifikoak. Segurtasun espezifikoko prozedura bat betetzeko egin beharreko ekintzak deskribatzen dituzte, antolaketa unitate baten erantzukizun edo lantoki beraren barruan, bai eta aktibo jakin batekin lotutakoak ere.
• Bosgarren araudi maila: Txostenak, erregistroak, ebidentzia elektronikoak eta txantiloiak. Txostenak dokumentu teknikoak dira, eta azterketa edo ebaluazio baten emaitza eta ondorioak jasotzen dituzte. Jarduera erregistroak edo segurtasun alertak dokumentu teknikoak dira, eta informazio sistemetarako mehatxuak eta ahultasunak jasotzen dituzte. Segurtasun ekipoa arduratzen da dokumentu horietaz. Ebidentzia elektronikoak informazio sistemen bizi ziklo osoan sortzen dira, eta sistema bat edo gehiago har ditzakete tratatutako alderdiaren arabera.

Informazioaren Segurtasun Batzordeak araudia garatzetik eratorritako dokumentazioa partekatzeko beharrezkoak diren mekanismoak ezarriko ditu, ahal den neurrian politika honen aplikazio eremu osoan normalizatzeko.

Hurrengo taulak arau esparrua eta bere proposamenaren, berrikuspenaren eta onarpenaren erantzukizuna laburbiltzen ditu.

10. Salbuespenen kudeaketa

Erabiltzaile batek ezin baditu ISP honetan eta ISPri elkartutako araudian ezarritako betebeharrak bete, berehala jarri beharko da harremanetan bere eskaera kudeatu dezaten. Posta elektronikoko helbide honen bitartez jarriko da harremanetan: ciso@dbus.eus Bestela, DBuseko informazioa eta IKT zerbitzuak erabiltzeari utzi beharko dio.

11. Kontrol eta gainbegiratze jarduerak

Informazioaren segurtasuna norberak antolatu, zuzendu eta kontrolatzeko eta enpresa titularra den gailu informatikoen erabilera antolatu eta arautzeko Dbusek dituen ahalmenen esparruan, DBusek berak du gailu horiek erabiltzeari buruzko betebeharrak betetzen direla zaintzeko eta kontrolatzeko enpresa ahalmena, baina beti oinarrizko eskubideak eta, datu pertsonalak tratatzen badira, datuen babeserako eskubidea erabat errespetatuta egingo ditu zeregin horiek, bai eta nahitaezkotasunaren zein proportzionaltasunaren printzipioak errespetatuta.

Alde batetik, nahitaezkotasunaren printzipioa, murrizketak bereziki beharrizan arrazoiengatik datozela justifikatu behar delako, eta, beraz, efektu hori lortu nahi duenak egiaztatu behar du ezinezkoa dela lortu nahi den helburu legitimoa lortzea, ez baitago langilearen eta integratzen den erakundearen interesen arteko egokitzapena lortzeko zentzuzko bitartekorik.

Bestalde, proportzionaltasunaren printzipioa, hau da, oinarrizko eskubideak murrizten dituen neurriak “judizio hirukoitza” gainditu beharko duela; beste era batera esanda, kontrol neurria baloratu beharko da, eta hau ikusi:

• Ea proposatutako helburua lortzeko balioko duen (egokitasunaren judizioa).
• Ea beharrezkoa den, hau da, ea helburu hori eraginkortasun berarekin lortzeko beste neurri moderatuago bat ez ote dagoen (beharrezkotasunaren judizioa).
• Ea haztatua edo orekatua den, neurriak interes orokorrerako ematen dituen onura edo abantailak gatazkan dauden beste ondasun edo balio batzuei eragiten dizkien kalteak baino gehiago direlako (proportzionaltasunaren judizioa, zentzu hertsian).

DBusek gailu digitalak erabiltzeko irizpideen berri eman behar die langileei, betiere bere intimitatea babesteko gutxieneko estandarrak errespetatuz, erabilera sozialen eta Konstituzioan eta legez aitortutako eskubideen arabera.

12. Ez-betetzeak

Erabiltzaile batek ere ez die erantzun beharko DBuseko informazioaren segurtasun araudiaren aurkako eskaera, jarraibide edo aginduei, eta ezingo da horietan babestu edozein ez-betetze justifikatzeko. Soilik salbuespenezko eta behar bezala justifikatutako arrazoiengatik, hala nola agintari administratibo, ikuskatzaile edo judizialen errekerimenduengatik urratu daiteke bertan ezarritakoa.

Politika honekin lotutako edozein intzidentzia edo ekintza jakinarazi egin beharko da posta elektronikoko helbide honen bitartez: ciso@dbus.eus

Politika hau eta politikarekin lotutako informazioaren segurtasuneko araudia ez-betetzeak erakundearen informaziorako eta IKT sistemetarako sarbidea etetearekin zigortu ahal izango dira. Era berean, diziplina neurriak eragin ditzakete, aplikatu beharreko lan araudiaren, erabilera arauen eta beste barne araudi baten arabera, hala nola DBuseko Jokabide Kodearen arabera, arau hausleak izan zitezkeen beste erantzukizun batzuei kalterik egin gabe.

13. Berrikuspen prozedura eta etengabeko hobekuntza

Informazioaren Segurtasun Batzordearen eginkizuna izango da ISPa urtero berrikustea eta ISPa berrikusteko edo mantentzeko proposamena egitea, bai eta informazioaren segurtasunaren kudeaketan etengabeko hobekuntza sustatzea ere, DBusen SGSIa berrebaluatuz eta aldian-aldian eguneratuz, eraginkortasuna egokitzeko.

Aldaketa eta/edo eguneratzea egin eta proposatu behar bada, Informazioaren Segurtasuneko arduradunak Zuzendaritza Nagusiari bidaliko dio Politika, eta onartu ondoren Batzordeak zabalduko du, kaltetutako alderdi guztiek ezagutu dezaten.

14. Onartzea eta indarrean jartzea

Informazioaren Segurtasun Batzordeak 2025eko maiatzaren 14an onartutako testua.

Informazioaren Segurtasun Politika hau data horren sartu da indarrean, eta indarrean egongo da beste politika batekin ordezkatzen den arte.

Politika hau indarrean jartzeak erakundean zegoen aurreko edozein politika indargabetzen du.

15. 1. eranskina: Terminoen glosarioa

Aktiboa: informazio sistema baten osagaia edo funtzionaltasuna, nahita edo ustekabean erasotu dezaketena, eraso horiek erakundearentzat ondorioak eraginda. Aktiboaren barruan daude: informazioa, datuak, zerbitzuak, aplikazioak (softwarea), ekipoak (hardwarea), komunikazioak, baliabide administratiboak, baliabide fisikoak eta giza baliabideak.

Autentikotasuna: propietatea edo ezaugarria, entitate bat berak esaten duena dela edo datuen iturria bermatzean datzana.

Sistema baten segurtasun kategoria: informazio sistema bat adjektibatzeko gradu bat da, Oinarrizkoa-Ertaina-Altua eskalaren barrukoa, zeinarekin beharrezkoak diren segurtasun neurriak hautatuko diren. Sistemaren segurtasun kategoriak aktibo multzoaren ikuspegi holistikoa jasotzen du, aktibo multzoa osotasun harmoniko gisa hartuta, zerbitzu batzuk ematera bideratuta.

Konfidentzialtasuna: propietatea edo ezaugarria, berez hau esan nahi duena: informazioa ez zaie baimenik ez duten gizabanakoei, erakundeei edo prozesuei ematen edo jakinarazten.

Erabilgarritasuna: aktiboen propietatea edo ezaugarria, berez hau esan nahi duena: baimena duten entitateek edo prozesuek datuak eskuratu ditzaketela, hala eskatzen dutnean.

Segurtasuneko gertakaria (zibergertakaria edo gertakaria): ustekabeko edo nahi gabeko gertaera, informazio sare eta sistemen segurtasunari kalteak eragiten diona.

Osotasuna: propietatea edo ezaugarria, berez hau esan nahi duena: informazio aktiboa ez da baimenik gabe aldatu.

Informazioaren izaera: Informazioaren ezaugarri multzoa, erakundearentzat zenbateraino kritikoa den zehazten duena.

Segurtasuneko oinarrizko printzipioak: informazioa eta zerbitzuak ziurtatzera bideratutako ekintza oro gidatu behar duten oinarriak.

Segurtasun prozesua: erakundearen segurtasun helburuak lortzeko jarraitzen den metodoa. Sistemak segurtasunaren alorrean dituen arriskuak identifikatzeko, neurtzeko, kudeatzeko eta kontrolpean mantentzeko diseinatzen da prozesua.

Informazioaren Segurtasuna: Informazioaren eta informazio horren mende dauden sistemen konfidentzialtasuna, osotasuna, erabilgarritasuna, benetakotasuna eta trazabilitatea zaintzea.

Zerbitzua: Erakunde onuradunarekin behar batzuk asetzeko antolaketa, prozesuak, informazio sistemak eta langileak.

Informazio sistema: elementu hauetako edozein:

–  Erakundeak erabiltzen dituen eta berak kudeatu ditzakeen komunikazio sare elektronikoak.

–  Elkarri konektatutako edo lotutako gailu edo gailu talde oro, horietako batek edo batzuek, programa baten bidez, datu digitalen tratamendu automatikoa egiten dutenean.

–  Aurreko puntuetan jasotako elementuen bidez biltegiratu, tratatu, berreskuratu edo transmititutako datu digitalak, elementu horien funtzionamendurako, erabilerarako, babeserako eta mantentze lanetarako beharrezkoak direnak barne.

Trazabilitatea: propietatea edo ezaugarria, berez hau esan nahi duena: erakunde (pertsona edo prozesu) baten jarduketak erakunde horretaraino modu eztabaidaezinean trazatu daitezke.