POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN

SOTYSOLAR considera que la información es uno de los activos más importantes que gestiona, por este motivo, ha elaborado la presente política de seguridad de la información. Esta política se desarrolla considerando el análisis del contexto organizacional y los requisitos de las partes interesadas relevantes, como clientes, socios, empleados y organismos públicos.

El Sistema de Gestión de Seguridad de la Información se implementa en alineación con los controles definidos en el Anexo A de la norma ISO/IEC 27001:2022, incluyendo nuevos dominios como inteligencia de amenazas, servicios en la nube y gestión de configuraciones.

Dentro de este marco, SOTYSOLAR desarrolla las medidas para asegurar que la información que se almacena, procesa o transmite por la compañía cumple con los requisitos de:

• Disponibilidad, asegurando que los usuarios autorizados tienen acceso a la información y a sus activos asociados cuando lo requieran
• Confidencialidad, asegurando que sólo quienes estén autorizados puedan acceder a la información.
• Integridad, asegurando que la información y sus métodos de transformación sean exactos y completos.
• Trazabilidad, asegurando el seguimiento de los accesos y actuaciones que afectan a la información.
• Autenticidad, asegurando que los usuarios que tienen acceso a los sistemas de información son quien debe acceder.

Para lograr estos objetivos, SOTYSOLAR ha establecido los siguientes principios de actuación:

• Concienciación: Los empleados, colaboradores y terceras partes deben de ser conscientes de los riesgos de la seguridad de la información, así como conocer y aplicar las prácticas necesarias para proteger la información de la compañía.
• Gestión del Riesgo de la Información: La aplicación de unas medidas básicas, que garanticen un nivel aceptable de seguridad en todos los activos de la compañía, necesita de una adecuada evaluación, gestión y tratamiento del riesgo de seguridad de la información de acuerdo con los objetivos de negocio perseguidos. Además, se establece un proceso para la aceptación explícita de los riesgos residuales por parte de la Dirección.
• Gestión de Incidentes de Seguridad: La gestión conjunta para prevenir, detectar y responder a los incidentes que puedan afectar a la seguridad de la información.
• Cumplimiento: La seguridad de la información permitirá el cumplimiento de las obligaciones legales, regulatorias, sectoriales y contractuales afectadas por el tratamiento de la información que la compañía realiza.
• Seguridad desde el diseño: La incorporación de la seguridad de la información como un elemento esencial en el diseño y desarrollo de soluciones y servicios.
• Mejora continua: La mejora de la eficacia de las medidas de seguridad implantadas de acuerdo con la evolución de los riesgos, a los incidentes que se puedan producir y a las revisiones de los sistemas de información. Se establecen mecanismos de seguimiento y evaluación periódica de la eficacia del SGSI y de las medidas implantadas.

Todos los que formamos SOTYSOLAR, tanto empleados, como colaboradores y terceras partes, somos responsables del cumplimiento de estos principios, así como de todas las políticas y procedimientos de seguridad de la información aprobados que los desarrollan.

La Dirección de la compañía se compromete a liderar el cumplimiento de esta Política de Seguridad de la Información, designando funciones específicas para garantizar su cumplimiento y mejora continua, incluyendo la figura del Responsable de Seguridad de la Información, y a aportar los recursos necesarios, ya que considera que la alineación con estos principios protege el crecimiento y rentabilidad de la empresa y la consecución de las expectativas que las partes interesadas tienen en nuestro negocio.

En línea con este compromiso, SOTYSOLAR ha establecido un Sistema de Gestión de Seguridad de la Información que desarrolla esta Política; estableciendo la organización, las responsabilidades y los procedimientos necesarios para conseguir el cumplimiento de los objetivos en materia de seguridad de la información y su alineación con los objetivos de negocio de la compañía.