Política de Cookies
ALCANCE
Sistemas de información que proporcionan apoyo interno a los servicios prestados por MR INFORMÁTICA consistentes en la gestión de proyectos, servicios de auditoría y consultoría de procesos, sistemas y seguridad y servicios prestados en modo de asistencias técnicas realizadas sobre los propios sistemas del cliente.
MR INFORMÁTICA (en adelante MR), es una empresa consultora en Tecnologías de la Información, fundada en 1.995 por profesionales con amplia experiencia en el sector público. Nuestra actividad se centra fundamentalmente en la Administración Pública. Nuestra misión fundamental es evolucionar con nuestros clientes, facilitándoles la tecnología más apropiada para el desarrollo de su actividad.
La dirección de la empresa es consciente del valor de la información y está profundamente comprometida con la política descrita en este documento.
MARCO NORMATIVO
Esta política se enmarca en la siguiente legislación, estándares, recomendaciones y guías de buenas prácticas:
- RD 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
- REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (reglamento General de Protección de Datos.
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
- Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE).
- Ley 11/2022, de 28 de junio, General de Telecomunicaciones.
- El convenio colectivo aplicable, correspondiente a “Empresas de consultoría, y estudios de mercado y de la opinión pública”.
- UNE-EN-ISO 9001, UNE-EN-ISO 14001, UNE-ISO-IEC 27001, UNE ISO 20000, CMMI DEV (ML2-CL3) & SVC (ML3-CL3).
- La Directiva 2022/2555 del Parlamento Europeo y del Consejo, conocida como NIS2.
- Ley 9/1968, de 5 de abril, sobre secretos oficiales.
- Guías de Seguridad CCN-STIC.
- Instrucciones Técnicas de Seguridad.
- Abstracts de Seguridad.
- Guías de la Agencia Española de Protección de Datos.
MISIÓN
El propósito de esta Política de Seguridad de la Información es proteger la información, estableciendo el conjunto de directrices que rigen la forma en que MR gestiona y protege la información que trata y los servicios que presta.
La difusión de la versión pública de la Política de Seguridad de la Información de MR se realizará a través de la web corporativa, a saber: www.mrinformatica.es, para que todas las terceras partes tengan acceso a la misma y puedan efectuar el análisis, comprensión y lectura del documento.
Esta política aplica a los Sistemas de Información de MR, para la adecuada prestación de los servicios de asistencia técnica, mediante la asignación de personal cualificado, llevando a cabo su gestión y seguimiento en los ámbitos de:
- Asistencia técnica para el soporte a sistemas.
- Asistencia técnica para la atención y soporte a usuarios/as (Helpdesk).
- Asimismo, realización de consultoría TIC y de seguridad, junto a auditorías técnicas y de cumplimiento, todo ello según las disposiciones del RD 311/2022, ISO/IEC 27001 y la Declaración de Aplicabilidad vigente.
Adicionalmente, MR especifica la misión, visión y los objetivos de la compañía en su página web (Quiénes somos | MR INFORMÁTICA REPONSABLE).
FUNCIONES DE SEGURIDAD.
MR ha nombrado un Comité de Seguridad de la Información, Ciberseguridad y Protección de la Privacidad, con sus Funciones y Responsabilidades.
Puede contactar con el Responsable de Seguridad de la Información de MR a través del correo seguridad.informacion@mrinformatica.es
ORGANIZACIÓN E IMPLANTACIÓN DEL PROCESO DE SEGURIDAD
MR dispone de una Política de Seguridad de la Información, que es revisada por el Responsable de Seguridad de la Información a intervalos planificados, sin exceder el año de duración, o siempre que se produzcan cambios significativos, a fin de asegurar que se mantenga su idoneidad, adecuación y eficacia. Las revisiones de la Política de Seguridad de la Información se aprueban por la Dirección de MR y se comunican tanto al personal interno como a terceras partes.
ANÁLISIS Y GESTIÓN DE LOS RIESGOS
MR realiza un análisis de riesgos, evaluando las amenazas y los riesgos a los que están expuestos sus Sistemas de Información. Este análisis es la base para determinar las medidas de seguridad que se deben adoptar.
GESTIÓN DE PERSONAL
El personal, propio o ajeno, relacionado con los Sistemas de Información de MR, deberá ser formado e informado de sus deberes, obligaciones y responsabilidades en materia de seguridad.
PROFESIONALIDAD
La seguridad de los Sistemas de Información estará atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: planificación, diseño, adquisición, despliegue, explotación, mantenimiento, gestión de incidencias y desmantelamiento.
MR exigirá, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles idóneos de gestión y madurez en los servicios prestados.
MR determinará los requisitos de formación y experiencia necesaria del personal para el desarrollo de su puesto de trabajo.
AUTORIZACIÓN Y CONTROL DE LOS ACCESOS
El acceso controlado a los Sistemas de Información de MR deberá estar limitado a los usuarios/as, procesos, dispositivos u otros sistemas de información, debidamente autorizados, y exclusivamente a las funciones permitidas.
Los privilegios de acceso de un recurso a los Sistemas de Información de MR, quedan restringidos por defecto al mínimo necesario para el desarrollo de sus funciones.
PROTECCIÓN DE LAS INSTALACIONES
Los sistemas de información y su infraestructura de comunicaciones asociada deberán permanecer en áreas controladas y disponer de los mecanismos de accesos adecuados y proporcionales en función del análisis de riesgos.
ADQUISICIÓN DE PRODUCTOS DE SEGURIDAD Y CONTRATACIÓN DE SERVICIOS DE SEGURIDAD
En la adquisición de productos de seguridad o contratación de servicios de seguridad de las tecnologías de la información y la comunicación que vayan a ser empleados en MR, se priorizará el uso de aquellos que cuenten con certificación LINCE, certificación CICLON, certificación EUCC, certificación Common Criteria o similares.
Para su instalación, configuración y uso seguro, se seguirán las Guías CCN-SITC que resulten de aplicación, así como las indicaciones del fabricante.
MÍNIMO PRIVILEGIO
Los Sistemas de Información deben diseñarse y configurarse otorgando los mínimos privilegios necesarios para su correcto desempeño, lo que implica incorporar los siguientes aspectos:
- El sistema proporcionará la funcionalidad imprescindible para que MR alcance sus objetivos competenciales o contractuales.
- Las funciones de operación, administración y registro de actividad serán las mínimas necesarias, y se asegurará que sólo son desarrolladas por las personas autorizadas, desde emplazamientos o equipos asimismo autorizados.
- Se eliminarán o desactivarán, mediante el control de la configuración, las funciones que sean innecesarias o inadecuadas al fin que se persigue. El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilización insegura requiera de un acto consciente por parte del usuario/a.
- Se aplicarán guías de configuración de seguridad para las diferentes tecnologías, adaptadas a la categorización del sistema, al efecto de eliminar o desactivar las funciones que sean innecesarias o inadecuadas.
INTEGRIDAD Y ACTUALIZACIÓN DEL SISTEMA
La inclusión de cualquier elemento físico o lógico en el catálogo actualizado de activos del sistema, o su modificación, requerirá autorización formal previa.
La evaluación y monitorización permanentes permitirán adecuar el estado de seguridad de los sistemas atendiendo a las deficiencias de configuración, las vulnerabilidades identificadas y las actualizaciones que les afecten, así como la detección temprana de cualquier incidente que tenga lugar sobre los mismos.
PROTECCIÓN DE LA INFORMACIÓN ALMACENADA Y EN TRÁNSITO
En MR, en la implantación de la seguridad prestará especial atención a la información almacenada o en tránsito a través de los equipos o dispositivos portátiles o móviles y las comunicaciones sobre redes abiertas, que deberán analizarse especialmente para lograr una adecuada protección.
Se aplicarán procedimientos que garanticen la recuperación y conservación a largo plazo de los documentos electrónicos producidos por los Sistemas de Información de MR.
PREVENCIÓN ANTE OTROS SISTEMAS DE INFORMACIÓN INTERCONECTADOS
Se protegerá el perímetro del sistema de información, especialmente, si se conecta a redes públicas, tal y como se definen en la Ley 11/2022, de 28 de junio, General de Telecomunicaciones, reforzándose las tareas de prevención, detección y respuesta a incidentes de seguridad.
REGISTRO DE LA ACTIVIDAD Y DETECCIÓN DE CÓDIGO DAÑINO
- Se registrarán las actividades de los/as usuarios/as, reteniendo la información estrictamente necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa vigente sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación.
- Para preservar la seguridad de los Sistemas de Información, garantizando y de conformidad con lo dispuesto en el Reglamento General de Protección de Datos y el respeto a los principios de limitación de la finalidad, minimización de los datos y limitación del plazo de conservación allí enunciados, MR podrá, en la medida estrictamente necesaria y proporcionada, analizar las comunicaciones entrantes o salientes, y únicamente para los fines de seguridad de la información, de forma que sea posible impedir el acceso no autorizado a las redes y sistemas de información, detener los ataques de denegación de servicio, evitar la distribución malintencionada de código dañino así como otros daños a redes y sistemas de información.
- Para corregir o, en su caso, exigir responsabilidades, cada usuario/a que acceda al sistema de información deberá estar identificado de forma única, de modo que se sepa, en todo momento, quién recibe derechos de acceso, de qué tipo son éstos, y quién ha realizado una determinada actividad.
INCIDENTES DE SEGURIDAD
MR dispone de mecanismos de detección, criterios de clasificación, procedimientos de análisis y resolución de Incidentes de Seguridad, así como de los cauces de comunicación a las partes interesadas y el registro de las actuaciones. Este registro se empleará para la mejora continua de la seguridad del sistema.
CONTINUIDAD DE LA ACTIVIDAD
Los sistemas dispondrán de copias de seguridad y se establecerán los mecanismos necesarios para garantizar la continuidad de las operaciones en caso de pérdida de los medios habituales.
MEJORA CONTINUA DEL PROCESO DE SEGURIDAD.
El proceso integral de seguridad implantado deberá ser actualizado y mejorado de forma continua. Para ello, se aplicarán los criterios y métodos reconocidos en la práctica nacional e internacional relativos a la gestión de la seguridad de las tecnologías de la información.
MODIFICACIÓN DE LA POLÍTICA DE PRIVACIDAD
Actualizada en Octubre de 2026.