Política de seguridad de la información

1. Introducción

La Compañía del Tranvía de San Sebastián (en adelante, CTSS o Dbus) reconoce la importancia que tiene la seguridad de la información para la correcta realización de sus actividades. Por ello, desarrolla esta Política de Seguridad de la Información (en adelante, PSI) donde fija e integra los principios básicos de seguridad con los requerimientos operativos en términos de confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información.

2. Ámbito de aplicación

La presente PSI se aplica a todo el personal de Dbus. Se incluyen también bajo el alcance a personal y terceras organizaciones que temporal o permanentemente presten servicios o que dispongan de acceso a la información o a los activos relacionados con Dbus, como consecuencia del ejercicio de sus funciones o de la ejecución de un contrato.

Se hace por tanto necesario que todas las personas que interactúen de manera directa o indirecta con Dbus y sus unidades de negocio dependientes, conozcan la Política y Normativas de seguridad de la información pertinentes y apliquen sus directrices como tareas propias de las funciones desarrolladas en su vinculación con Dbus.

3. Misión de Dbus

Dbus presta el servicio de transporte público de viajeros la ciudad de San Sebastián.

Su misión fundamental es satisfacer plenamente las necesidades de movilidad de las personas usuarias actuales y futuras, ofreciendo un servicio de alta calidad, información práctica y costes competitivos, al tiempo que se contribuye a la sostenibilidad del nuestro entorno.

Su visión incluye el esfuerzo por ser líder en movilidad dentro de San Sebastián. Implementando diversas medidas para mejorar la percepción que la sociedad tiene de la empresa, con el objetivo de ser una organización socialmente activa, responsable y comprometida con el desarrollo de la ciudad, la sociedad, el medio ambiente, la clientela y nuestro personal, así como con los demás agentes con los que se interactúe.

4. Referencia regulatoria y normativa

La PSI de Dbus ha sido definida para cumplir con la legislación y normativa vigente en relación con el tratamiento de la información, así como para ser conforme con los requisitos establecidos por Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS), así como por toda la normativa que lo desarrolle y complemente en este ámbito.

A continuación, se muestra una relación de las principales leyes y normativas vigentes a fecha de la redacción de este documento. Aunque esta PSI pretende tener un alcance global, deberá ser traspuesta según los requerimientos normativos de cada jurisdicción. Desde el punto de vista de la jurisdicción española son las siguientes:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.
• Resolución de 7 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad.
• Resolución de 27 de marzo de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información.
• Resolución de 13 de abril de 2018, de la Secretaría de Estado de Función Pública, por la que se aprueba la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad.

Protección de datos personales:

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGPD).
• Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD).
• Ley 16/2023, de 21 de diciembre, de la Autoridad Vasca de Protección de Datos (en adelante, LAVPD).

Otros:

• Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) nº 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva NIS 2).
• Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
• Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público.
• Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información.

Del mismo modo, serán de aplicación aquellas normas en vigor que regulen la actividad de Dbus en el ámbito de sus competencias y dirigidas a garantizar la seguridad de la información y la protección de datos de carácter personal.

En el siguiente documento se identifica un listado exhaustivo de la regulación y normativa de seguridad aplicable en Dbus: RN8.14-5-01 Marco regulatorio y normativo aplicable a Dbus.

5. Principios fundamentales

Dbus establece los siguientes principios fundamentales sobre los que se sustentarán todas las actividades relacionadas con la seguridad de la información de Dbus:

1. Seguridad como proceso integral constituido por todos los elementos humanos, materiales, técnicos, jurídicos y organizativos relacionados con los activos de información. Asimismo, se prestará la máxima atención a la concienciación de perfiles que intervienen en el proceso de seguridad para evitar la exposición a fuentes de riesgo de seguridad de la información.
2. Seguridad por defecto y desde el diseño: se contemplarán los aspectos de seguridad en todas las fases del ciclo de vida de los sistemas de información, garantizando su seguridad por defecto. La seguridad debe considerarse como parte de la operativa habitual, estando presente desde el diseño los sistemas de información.
3. Proporcionalidad: el establecimiento de medidas será proporcional en sus costes económicos y operativos, a los potenciales riesgos y a la criticidad, así como el valor de la información y sus servicios.
4. Cumplimiento de los requisitos legales y contractuales aplicables a la información y a los sistemas de la información de Dbus.
5. Gestión de la seguridad basada en los riesgos como actividad continua y permanentemente actualizada. Esta gestión permitirá minimizar los riesgos a niveles aceptables, mediante la aplicación de medidas de seguridad de manera equilibrada y proporcionada a la naturaleza de la criticidad de los activos de información y los riesgos a los que se exponen.
6. Prevención, detección, respuesta y recuperación: se establecerán medidas para reducir la probabilidad de que las amenazas que afectan a los activos de información materialicen un impacto negativo, y en caso de ocurrir, gestionarlo en tiempo y forma adecuados para que no afecten gravemente a los activos de información, manteniendo la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de dichos activos.
7. Existencia de líneas de defensa compuesta por múltiples capas de seguridad de forma que el compromiso de una de las capas no suponga el compromiso del sistema de información en su conjunto o minimice el impacto final. Las líneas de defensa contemplan medidas de naturaleza organizativa, física y lógica.
8. Vigilancia continua y reevaluación periódica para la detección de actividades o comportamientos anómalos y su oportuna respuesta. Así como la evaluación permanente del estado de la seguridad y actualización periódica de las medidas aplicadas.
9. Diferenciación de responsabilidades en los sistemas de información distinguiendo el/la propietario/a del activo, el/la responsable de la seguridad de la información y el/la responsable del sistema. Contemplando la diferenciación de la responsabilidad de la seguridad de los sistemas de información y la responsabilidad sobre su explotación.
10. Principio de concienciación y formación: toda persona usuaria y administradora de los sistemas deberá estar concienciada y capacitada para el buen uso de los sistemas e información.
11. Secreto profesional: quienes intervengan en los tratamientos de datos personales o tengan acceso a información que no esté catalogada oficialmente como de difusión pública estarán obligados/as a guardar el deber de secreto, incluso después de haber finalizado las actividades relacionadas con la organización.

6. Requisitos mínimos de seguridad de la información

Para la aplicación efectiva de la presente PSI y de la Normativa que la desarrolla, Dbus se dotará de los recursos necesarios para su buen desarrollo, tanto en lo referente a las actividades de implantación como de mantenimiento, incluyendo los controles o medidas de seguridad que en cada ámbito se establezcan. Asimismo, Dbus se compromete a cumplir con los requisitos mínimos de seguridad de la información indicados a continuación.

a) Organización e implantación del proceso de seguridad:

1. La seguridad de los sistemas de información deberá comprometer a todas las personas que forman parte de la organización, internas y externas, que participen en las actividades que entran dentro del alcance de la PSI.
2. Se identificarán de forma inequívoca a las figuras de Responsable de la Información, Responsable del Servicio, Responsable de Seguridad de la Información (en adelante CISO) y Responsable del Sistema, con una asignación clara de responsabilidades, segregación de funciones y ubicación jerárquica, de conformidad con las disposiciones del ENS.
3. Se comunicarán las designaciones a todas las personas que forman parte de la organización.
4. Las organizaciones externas que presten servicios a Dbus designarán puntos de contacto para el ámbito de seguridad de la información. Dicha asignación deberá ser asumida por la figura de CISO de la organización externa o estar vinculado a esta.
5. Cuando se identifique la exigencia legal se requerirá la certificación de las figuras de Responsable de Seguridad.

b) Control de activos:

1. Los activos de información se inventariarán y categorizarán de acuerdo a sus características y nivel de seguridad requerido.
2. Las medidas de seguridad aplicadas a los activos tendrán en cuenta su categorización.

c) Análisis y gestión de riesgos:

1. Todos los sistemas de información en el ámbito de la presente PSI están sujetos a un proceso de gestión de riesgos, que deberá seguir una metodología reconocida internacionalmente y adecuada a cada ámbito.
2. El proceso de gestión de riesgos de seguridad de la información deberá realizarse de manera continua conforme a las disposiciones del ENS.
3. En línea de lo anterior, este análisis se repetirá de forma completa o parcial:
   1. Regularmente, al menos una vez al año.
   2. Cuando cambie la información manejada o los servicios en cuestión.
   3. Cuando ocurra un incidente grave de seguridad y/o se reporten vulnerabilidades graves.
4. Las medidas aplicadas como consecuencia de los análisis deberán estar justificadas, y ser proporcionales a los riesgos. Los planes de tratamiento de riesgos deberán ser aprobados según corresponda por la persona Responsable de Sistema y por la persona Responsable de Seguridad.

d) Gestión del personal:

1. El personal, interno o externo, que haga uso de los sistemas de información que soportan los servicios de Dbus o participe en los tratamientos de datos personales derivados de éstos, deberá ser formado e informado de sus deberes, obligaciones, y responsabilidades en materia de seguridad de la información.
2. Las obligaciones y responsabilidades en estos ámbitos quedarán recogidas en una normativa interna aprobada por el Comité de Seguridad de la Información. El cumplimiento de la normativa será supervisado.
3. Se desarrollarán actividades orientadas a la formación y concienciación del personal en los ámbitos de aplicación de la presente PSI.

e) Profesionalidad:

1. La seguridad de los sistemas estará implantada, atendida, revisada y auditada por personal cualificado y formado, que participará en todas las fases del ciclo de vida de los sistemas.

f) Autorización y control de los accesos:

1. El acceso a los activos de información comprendidos en el ámbito de aplicación de la PSI deberá estar limitado a los usuarios, procesos, dispositivos u otros sistemas de información, debidamente autorizados, y exclusivamente a las funciones permitidas.
2. El acceso a información de clientes estará segregado y limitado al personal autorizado, garantizando que la información no será compartida sin la autorización requerida y los controles adecuados.

g) Protección de las instalaciones:

1. Los activos de información deberán permanecer en áreas con un nivel de control y mecanismos de acceso adecuados, proporcionales a los riesgos identificados.

h) Adquisición de productos de seguridad y contratación de servicios de seguridad:

1. Se seleccionarán los productos y servicios que, de forma proporcionada a la magnitud del riesgo de los activos a proteger y nivel de seguridad determinados, tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición o que en su defecto cumplan con los criterios preestablecidos de calidad.

i) Mínimo privilegio:

1. Los sistemas se diseñarán y configurarán para ofrecer las funcionalidades imprescindibles para la consecución de los objetivos por los cuales se requieren, siendo especialmente restrictivo en el acceso a funcionalidades y recursos para la administración y monitorización.

j) Integridad y actualización de los sistemas de información:

1. El desarrollo y mantenimiento de los sistemas de información irán acompañados de las especificaciones de seguridad.
2. Se implantarán procesos de gestión del cambio, configuración, y actualización de los sistemas, acordes a un proceso de autorización, para garantizar la integridad de éstos y la resolución de cualquier debilidad que les afecte.

k) Protección de la información almacenada y en tránsito:

1. Se aplicarán medidas para mantener el nivel de seguridad requerido para la información almacenada o en tránsito hacía dispositivos como equipos portátiles, dispositivos móviles, periféricos y soportes de almacenamiento, considerando por supuesto las comunicaciones sobre redes abiertas.
2. Igualmente se mantendrá el nivel de seguridad estipulado para la documentación física que provenga de información digital catalogada.

l) Prevención ante otros sistemas de información interconectados:

1. Se analizarán las interconexiones con sistemas ajenos al control de Dbus, especialmente si se conectan a través de redes públicas, y se mitigarán los riesgos aplicando las medidas que correspondan según las disposiciones de la normativa aplicable y las buenas prácticas.

m) Registro de la actividad y detección de código dañino:

1. Se registrará la actividad de las personas usuarias, reteniendo la información estrictamente necesaria para monitorizar, analizar, investigar y, en general, gestionar situaciones ilícitas o de riesgo para la seguridad de los activos de información y derechos de las personas afectadas. Para desarrollar correctamente esta labor se establecerán accesos unipersonales siempre que sea posible.

n) Incidentes de seguridad y brechas de seguridad de datos personales:

1. Se implantarán procedimientos de gestión integral de incidentes que afecten a la seguridad de la información y a los datos personales, considerando para ello los criterios de clasificación, los protocolos de notificación y comunicación a partes interesadas, un detalle de actividades a desarrollar en cada fase de gestión de un incidente, la aplicación de medidas de detección, contención, respuesta y recuperación, así como el mantenimiento de un registro de los incidentes ocurridos que facilitará la mejora continua del proceso.
2. Dichos procedimientos serán definidos, de manera no excluyente, de acuerdo con todas las disposiciones aplicables del ENS, la Instrucción Técnica de Seguridad del ENS de Notificación de Incidentes, la Guía Nacional de Notificación y Gestión de Ciberincidentes y la Guía CCN-STIC 817 de Gestión de Ciberincidentes. Asimismo, será tenido en cuenta el procedimiento interno de gestión de brechas de seguridad que, en cumplimiento de lo previsto en el RGPD, tiene definido e implementado Dbus.
3. El proceso considerará una gestión de incidentes a través de soluciones de ventanilla única, la participación de los órganos y roles clave en seguridad, así como la notificación según corresponda (con base en la clasificación del incidente) a los equipos de respuesta a incidentes de seguridad informática (denominados por su acrónimo en inglés Computer Security Incident Response Team, en adelante, CSIRT), las autoridades de control competentes, y a las personas usuarias afectadas.

o) Continuidad de la actividad:

1. Se implantarán medidas de recuperación y se definirán planes para garantizar la continuidad de las operaciones ante eventos disruptivos.

p) Auditoría y mejora continua de los procesos:

1. Los procesos de gestión de la seguridad serán actualizados y mejorados de forma continua, teniendo en consideración los cambios normativos y buenas prácticas en los citados ámbitos.
2. Los sistemas de información serán objeto de una auditoría regular ordinaria, al menos cada año, que verifique el cumplimiento de los requisitos de la presente PSI, y de la normativa asociada.
3. Con carácter extraordinario se realizarán auditorías cuando existan cambios sustanciales en los servicios prestados o en el conjunto de tratamientos de datos personales, o cuando ocurra un incidente de seguridad o incumplimiento grave.
4. Las auditorías serán supervisadas por el/la CISO.

7. Datos de carácter personal

Dbus requiere hacer uso de datos de carácter personal para el desarrollo de sus funciones. Solo recoge datos de carácter personal cuando son adecuados, pertinentes y no excesivos y éstos se encuentran en relación con el ámbito y las finalidades para los que se hayan obtenido.

De igual modo, adopta las medidas de índole técnica y organizativas necesarias para el cumplimiento de la normativa de Protección de Datos vigente en cada caso.

Las personas responsables de tratamiento se responsabilizarán de documentar y mantener actualizado el registro de actividades de tratamiento de datos personales conforme al artículo 30 del RGPD.

8. Organización de la seguridad de la información

La organización de la seguridad de la información en Dbus se establece siguiendo la estructura de comités y roles que se detalla a continuación.

8.1 Estructura de comités para la gestión y coordinación de la seguridad

En el documento RN5-02 Roles y responsabilidades de la SI se definen las funciones y composición de estos comités.

8.2 Roles y funciones de seguridad

En el documento RN5-02 Roles y responsabilidades de la SI se definen las funciones de estos roles.

8.3 Procedimiento de designación y renovación

La creación del Comité de Seguridad de la Información, el nombramiento de sus integrantes y la designación de las personas responsables clave identificadas en esta PSI ha sido validada por el Director Gerente y comunicada a las partes afectadas.

Este mismo órgano podrá revisar los nombramientos de los/as miembros del Comité de Seguridad de la Información, así como del resto de roles considerados por la PSI cuando estime oportuno o con ocasión de vacante.

8.4 Resolución de conflictos

El Comité de Seguridad de la Información se encargará de la resolución de los conflictos y/o diferencias de opiniones, que pudieran surgir entre los roles considerados por la PSI.

9. Desarrollo normativo

Dbus diseña, mantiene e impulsa un cuerpo normativo aplicable al ámbito de la seguridad de la información, y a los órganos de dirección y gestión, empleados/as y proveedores externos. El cuerpo normativo se desarrolla en cinco niveles con diferente ámbito de aplicación, nivel de detalle técnico y obligatoriedad de cumplimiento, estando cada elemento normativo fundamentado o alineado en las normas de nivel superior:

• Primer nivel normativo: la Política de Seguridad de la Información.
• Segundo nivel normativo: normas de seguridad de la información y políticas específicas. Son de obligado cumplimiento en todo Dbus. Determina las obligaciones y reglas que se deben cumplir en relación con el proceso de seguridad que cubre cada norma.
• Tercer nivel normativo: procedimientos relacionados con procesos de seguridad específicos y de aplicación sobre la organización en su conjunto. Atribuye las responsabilidades en relación con el proceso tratado y describe las acciones a realizar para cumplir con las medidas de seguridad establecidas en la capa normativa superior.
• Cuarto nivel normativo: directrices e instrucciones específicas. Describen las acciones a realizar para cumplir un procedimiento de seguridad específico, responsabilidad de una unidad organizativa o dentro de un mismo centro de trabajo, así como en relación con un activo concreto.
• Quinto nivel normativo: informes, registros, evidencias electrónicas y plantillas. Los informes son documentos de carácter técnico que recogen el resultado y las conclusiones de un estudio o de una evaluación. Los registros de actividad o alertas de seguridad son documentos de carácter técnico que recogen amenazas y vulnerabilidades a sistemas de información y son responsabilidad del equipo de seguridad. Las evidencias electrónicas se generan durante todo el ciclo de vida de los sistemas de información, pudiendo abarcar uno o más sistemas en función del aspecto tratado.

El Comité de Seguridad de la Información establecerá los mecanismos necesarios para compartir la documentación derivada del desarrollo normativo con el propósito de normalizarlo, en la medida de lo posible, en todo el ámbito de aplicación de la presente política.

La siguiente tabla resume el marco normativo y la responsabilidad de su propuesta, revisión y aprobación.

10. Gestión de excepciones

Si una persona usuaria no puede cumplir con las obligaciones establecidas en la presente PSI o la normativa asociada, debe ponerse en contacto de forma inmediata a través de la siguiente dirección de correo electrónico: ciso@dbus.eus para que su solicitud sea gestionada. De lo contrario, deberá dejar de hacer uso de la información y servicios TIC de Dbus.

11. Actividades de control y supervisión

En el marco de las facultades de Dbus de autoorganización, dirección y control de la seguridad de la información, de la ordenación y regulación del uso de los dispositivos informáticos de titularidad empresarial, Dbus se reserva la facultad empresarial de vigilancia y control del cumplimiento de las obligaciones relativas a la utilización de los dispositivos en cuestión, pero lo hará siempre con pleno respeto a los derechos fundamentales, el derecho a la protección de datos si se produce un tratamiento de datos personales, y respetándose el principio de indispensabilidad como el de proporcionalidad.

Por un lado, el principio de indispensabilidad en el sentido de que las restricciones deben venir especialmente cualificados por razones de necesidad, de tal suerte que se hace preciso acreditar por parte de quien pretende aquel efecto que no es posible de otra forma alcanzar el legítimo objetivo perseguido, porque no existe medio razonable para lograr una adecuación entre el interés del trabajador o trabajadora y el de la organización en que se integra.

Por otro lado, el principio de proporcionalidad consiste en que la medida restrictiva de derechos fundamentales deberá superar el “triple juicio”; esto es, deberá valorarse si la medida de control:

• Es susceptible de conseguir el objetivo propuesto (juicio de idoneidad).
• Es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual de eficacia (juicio de necesidad).
• Es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto).

Dbus debe informar a las personas trabajadoras de los criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente.

12. Incumplimientos

Ninguna persona usuaria deberá atender a solicitudes, instrucciones u órdenes contrarias a la normativa de seguridad de la información de Dbus, ni podrá ampararse en ellas como justificación de cualquier incumplimiento. Únicamente por motivos excepcionales y debidamente justificados como los requerimientos de autoridades administrativas, inspectoras o judiciales, cabe la posibilidad de incumplir lo establecido en ella.

Cualquier incidencia o acción relacionada con esta política se deberá comunicar a través de la dirección de correo: ciso@dbus.eus

Los incumplimientos de la presente política y la normativa de seguridad de la información asociada podrán ser sancionadas con la suspensión del acceso a la información y los sistemas TIC de la organización. Asimismo, pueden dar lugar a medidas disciplinarias con arreglo a la normativa laboral aplicable, las normas de uso y otra normativa interna como el Código de Conducta de Dbus, sin perjuicio de otras responsabilidades en el que la persona infractora hubiera podido concurrir.

13. Procedimiento de revisión y mejora continua

Será misión del Comité de seguridad de la información la revisión anual de esta PSI y la propuesta de revisión o mantenimiento de la misma, así como promover la mejora continua en la gestión de la seguridad de la información reevaluando y actualizando periódicamente el SGSI de Dbus para adecuar su eficacia.

Si procediera la elaboración y propuesta de una modificación y/o actualización, la Política será remitida por la persona Responsable de Seguridad de la Información a la Dirección General, y tras su aprobación será difundida por el Comité para que la conozcan todas las partes afectadas.

14. Aprobación y entrada en vigor

Texto aprobado el día 14 de mayo de 2025 por el Comité de Seguridad de la Información.

Esta Política de Seguridad de la Información es efectiva desde dicha fecha y hasta que sea reemplazada por una nueva.

La entrada en vigor de la presente política deroga cualquier política anterior que existiera en la organización.

15. Anexo 1: Glosario de términos

Activo: componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye: información, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos físicos y recursos humanos.

Autenticidad: propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos.

Categoría de seguridad de un sistema: es un grado, dentro de la escala Básica-Media-Alta, con el que se adjetiva un sistema de información a fin de seleccionar las medidas de seguridad necesarias para el mismo. La categoría de seguridad del sistema recoge la visión holística del conjunto de activos como un todo armónico, orientado a la prestación de unos servicios.

Confidencialidad: propiedad o característica consistente en que la información ni se pone a disposición, ni se revela a personas, entidades o procesos no autorizados.

Disponibilidad: propiedad o característica de los activos consistente en que las entidades o procesos autorizados tienen acceso a los mismos cuando lo requieren.

Incidente de seguridad (ciberincidente o incidente): suceso inesperado o no deseado con consecuencias en detrimento de la seguridad de las redes y sistemas de información.

Integridad: propiedad o característica consistente en que el activo de información no ha sido alterado de manera no autorizada.

Naturaleza de la información: conjunto de cualidades de la información que determinan su grado de criticidad para la organización.

Principios básicos de seguridad: fundamentos que deben regir toda acción orientada a asegurar la información y los servicios.

Proceso de seguridad: método que se sigue para alcanzar los objetivos de seguridad de la organización. El proceso se diseña para identificar, medir, gestionar y mantener bajo control los riesgos a que se enfrenta el sistema en materia de seguridad.

Seguridad de la información: preservación de la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información y de los sistemas de los que esta depende.

Servicio: organización, procesos, sistemas de información y personal destinados a cubrir unas necesidades con la entidad beneficiaria.

Sistema de información: cualquiera de los elementos siguientes:

–  Las redes de comunicaciones electrónicas que utilice la organización sobre las que posea capacidad de gestión.

–  Todo dispositivo o grupo de dispositivos interconectados o relacionados entre sí, en el que uno o varios de ellos realicen, mediante un programa, el tratamiento automático de datos digitales.

–  Los datos digitales almacenados, tratados, recuperados o transmitidos mediante los elementos contemplados en los puntos anteriores, incluidos los necesarios para el funcionamiento, utilización, protección y mantenimiento de dichos elementos.

Trazabilidad: propiedad o característica consistente en que las actuaciones de una entidad (persona o proceso) pueden ser trazadas de forma indiscutible hasta dicha entidad.