Formación y perfeccionamiento de los empleados

Todos los empleados son sensibilizados y formados periódicamente en materia de seguridad de la información. Esta formación les sirve para refrescar y actualizar sus conocimientos sobre temas de actualidad. Los nuevos empleados reciben la formación adecuada durante su iniciación. Además, los empleados reciben formación en función de sus necesidades para concienciarlos sobre los objetivos y riesgos de la seguridad de la información.

Gestión de emergencias y auditorías de sistemas

Para poder reaccionar rápidamente ante incidentes de seguridad y limitar los daños potenciales, se han desarrollado conceptos de gestión de emergencias que se recogen en manuales de emergencia. Además, se realizan auditorías anuales de los sistemas para garantizar una evaluación estructurada de la seguridad de todos los servicios informáticos. Aquí se hace hincapié en la evaluación de riesgos, los derechos de acceso y el cifrado.

Protección de datos y gestión de la seguridad de la información

Projektron utiliza un sistema de gestión de protección de datos (DSMS) de acuerdo con el Reglamento General de Protección de Datos de la UE (GDPR de la UE). Un equipo especial formado por responsables del SGSI trabaja activamente en la seguridad de la información y los procesos asociados. Este equipo garantiza el cumplimiento de los objetivos de seguridad de forma permanente. Además, se ha creado en la empresa un equipo de expertos que se ocupa de la seguridad informática actual y de la seguridad en desarrollo.

Distribución centralizada de software y seguridad de los terminales

Distribución centralizada de software

El software necesario se despliega de forma centralizada en los ordenadores de la empresa y se mantiene actualizado.

Software antivirus y antimalware

Los programas antivirus y antimalware de uso constante en todos los dispositivos finales se actualizan periódicamente.

Gestión de parches

Las actualizaciones de seguridad y los parches para sistemas operativos y aplicaciones se aplican con regularidad.

Seguridad de la red y del perímetro

Tecnología de red redundante

La línea de Internet, el cortafuegos y los conmutadores centrales son redundantes.

Cortafuegos

Se utilizan cortafuegos para controlar el tráfico de datos.

Segmentación de redes

Las redes se separan en diferentes segmentos para restringir el acceso a los sistemas críticos y evitar la propagación de ataques.

VPN

Los empleados disponen de acceso VPN para trabajar en movilidad. Las VPN se utilizan para el acceso remoto seguro a los sistemas internos.

Supervisión / control de seguridad

Controles de acceso y autenticación

Principio del menor privilegio

Los derechos de acceso se conceden según el principio de autorización mínima, para que los usuarios sólo puedan acceder a los recursos que realmente necesitan.

Control de acceso basado en roles (RBAC)

Se han implantado controles de acceso basados en funciones para restringir el acceso a información sensible.

Cifrado y seguridad de los datos

Criptografía

Las recomendaciones de las directrices técnicas de BSI (BSI TR-02102) se revisan anualmente.

Autoridad de certificación interna

Los servicios internos están encriptados por nuestra propia autoridad de certificación.

Cifrado durante la transmisión

Se utilizan tecnologías de cifrado para proteger los datos durante la transmisión.

Seguridad del correo electrónico y copias de seguridad

Correo electrónico

El tráfico de correo electrónico entrante se supervisa y, en caso de duda, se pone primero en cuarentena.

Copias de seguridad y recuperación

Diariamente se realizan copias de seguridad de los servicios internos, que pueden restaurarse rápidamente al estado de la última copia. El proceso de restauración se prueba cada seis meses.

Medidas organizativas

Cursos de formación periódicos

Impartimos formación al personal informático y a los usuarios finales sobre las últimas amenazas a la seguridad y las mejores prácticas.

Programas de concienciación sobre seguridad

Llevamos a cabo programas continuos para concienciar a los empleados sobre la seguridad de la información.

Políticas de seguridad documentadas

Las políticas y procedimientos de seguridad se crean, documentan y actualizan periódicamente.

Cumplimiento

Garantizamos el cumplimiento de los requisitos legales y reglamentarios pertinentes, así como de las directrices internas de seguridad.

Medidas relacionadas con los procesos

Respuesta a incidentes y gestión de emergencias

Disponemos de planes de emergencia que incluyen medidas para restaurar los sistemas en caso de incidente. Para prepararnos ante incidentes de seguridad, realizamos ejercicios periódicos y comprobamos la eficacia de los planes de emergencia.

Gestión de riesgos y vulnerabilidades

Realizamos periódicamente evaluaciones de riesgos para identificar y evaluar posibles amenazas. Hemos implantado un proceso para reconocer, evaluar y eliminar las vulnerabilidades de la infraestructura informática.

Portal de asistencia y gestión de la configuración

Portal de soporte

El portal de soporte para clientes se utiliza para el intercambio seguro de información y la transferencia de datos. La comunicación se realiza a través de tickets con un repositorio interno del sistema para el intercambio de datos.

Servicio de versiones de configuración (KVD)

El servicio de versionado de configuraciones (KVD) es un almacén central de configuraciones para clientes y para el propio Projektron. Las configuraciones se gestionan dentro de un repositorio SVN.

Autenticación y control de acceso

Autorización de acceso

Las personas de contacto del cliente disponen de un acceso personalizado al portal de soporte.

Autenticación segura

Se utiliza la autenticación de dos factores (2FA) para acceder al portal de asistencia.

Control de acceso basado en roles (RBAC)

Los derechos de acceso se asignan en función de los roles de los usuarios para restringir el acceso a información sensible.

Políticas de contraseñas seguras

Hemos implementado directrices para contraseñas seguras, incluyendo longitud mínima, complejidad y cambios regulares.

Cifrado y protección de datos

Cifrado

El acceso al portal de asistencia sólo es posible mediante acceso cifrado.

Minimización de datos

Sólo se recogen y almacenan en el sistema los datos del cliente necesarios para la tramitación del pedido.

Cifrado de extremo a extremo

Se garantiza el cifrado de los datos durante toda la comunicación entre los clientes y el personal de asistencia a través del portal de asistencia.

Procesos conformes con la protección de datos

Se han implementado procesos de acuerdo con el Reglamento General de Protección de Datos (RGPD) y otras leyes pertinentes de protección de datos. Estos procesos se cumplen sistemáticamente.

Formación de los empleados e información sobre seguridad

Información de seguridad para clientes

Proporcionamos regularmente información relevante para la seguridad a los clientes en el portal de asistencia.

Formación continua para nuestros empleados

Nuestros empleados del servicio de asistencia reciben formación periódica y adaptada a sus necesidades sobre la seguridad del software utilizado y las interfaces con sistemas de terceros que pueden conectarse a Projektron BCS.

Cursos de formación regulares

El personal de soporte recibe regularmente formación y sensibilización sobre los temas de la seguridad de la información, la protección de datos y el tratamiento seguro de los datos de los clientes.

Programas de concienciación

Realizamos continuamente programas para fomentar la concienciación sobre la seguridad y el cumplimiento de las directrices de seguridad.

Medidas relacionadas con los procesos y gestión de emergencias

Registro y supervisión

Todas las actividades del portal de asistencia se registran detalladamente y los registros se comprueban periódicamente para detectar actividades sospechosas.

Políticas y procedimientos de seguridad

Las políticas y procedimientos de seguridad de la información en el portal de asistencia se aplican de forma coherente y se adaptan continuamente. Además, se realizan comprobaciones y auditorías de seguridad periódicas para garantizar el cumplimiento de las normas de seguridad.

Respuesta a incidentes y planes de contingencia

Seguimos un proceso claro de notificación, análisis y resolución de incidentes de seguridad. En caso de incidente de seguridad, existen planes de emergencia que se actualizan periódicamente.

Gestión de datos de clientes y anonimización

Para aumentar la protección de los datos de los clientes, los anonimizamos o seudonimizamos siempre que es posible.