POLÍTICA DE SEGURIDAD Y USO DEL CORREO ELECTRÓNICO

En ISLAS SEM, la seguridad de su información es prioritaria. Hemos establecido protocolos rigurosos para nuestras comunicaciones por correo, diseñados para prevenir fraudes y proteger sus datos.

1. Identidad y Confidencialidad

Dominios Corporativos Exclusivos: Todas las comunicaciones oficiales provienen únicamente de dominios con licencia de pago: @islassem.com, @protegesusdatos.com, y @saldelatlantico.com.
Verificación de Identidad (Antifraude):
- Revise Siempre el Dominio: Debe observar cuidadosamente la dirección del remitente. Cualquier mínima errata o variación (ej: tres ‘S’ en lugar de dos, islasssem.com) indica un intento de suplantación de identidad.
- Cuentas Operativas: Solo operamos con los dos correos electrónicos de Gerencia/Administración especificados en el contrato.
Seguridad de la Plataforma: Trabajamos con Google Workspace, que proporciona cifrado avanzado, sistemas antimalware, filtros de spam y doble factor de autenticación (2FA) para proteger la integridad y autenticidad de cada mensaje.

2. Protocolos de Cobro y Phishing

Para su seguridad, ISLAS SEM NUNCA realizará las siguientes acciones por correo electrónico:

Llamadas de Urgencia: Nunca enviaremos correos con llamadas a la acción que soliciten datos o pagos inmediatos bajo una amenaza o situación de supuesta «urgencia».
Solicitud de Datos Sensibles: No solicitaremos datos de tarjetas de crédito, cuentas bancarias, o accesos web/plataformas mediante correo electrónico.
Enlaces de Pago: Nunca le enviaremos un correo electrónico ni un enlace directo para llevar a cabo cobros o pagos. Todos los movimientos económicos se rigen por la domiciliación bancaria establecida contractualmente.

Si recibe un correo electrónico que le resulte sospechoso o que no se alinee con su contrato actual, le rogamos: No haga clic en enlaces ni responda. Comuníquese de inmediato con la Dirección a través del canal de WhatsApp.

3. Gestión Interna de Archivos (Protección Antivirus)

Para garantizar la seguridad de nuestra infraestructura y sus datos:

Apertura Segura: Evitamos la descarga de documentos, imágenes o formatos HTML directamente a nuestros dispositivos. Todos los archivos adjuntos se abren de forma segura en la nube (Google Drive) y se comprueban proactivamente con herramientas de seguridad (ej. VirusTotal) para detectar cualquier malware o contenido sospechoso.
Conexiones Seguras: Para acceder a nuestros correos, siempre utilizamos conexiones de datos seguras, nunca redes Wi-Fi públicas (aeropuertos, hoteles, etc.).

POLÍTICA DE DISPOSITIVOS MÓVILES Y USO TELEFÓNICO

Para mantener la eficiencia operativa y la seguridad de la información, ISLAS SEM gestiona el contacto telefónico de la siguiente manera:

1. Protocolo de Comunicación Telefónica

Prohibición de Llamadas: Por norma interna, nuestros equipos de trabajo no atienden ni realizan llamadas telefónicas para la gestión de proyectos.
Mensajería Instantánea (WhatsApp Corporativo):
- Canal Compartido para Proyectos (Soporte): El número 828 074 620 está dedicado exclusivamente a la mensajería instantánea (WhatsApp de Empresa) y es compartido por el equipo de proyecto.
- Canal Exclusivo de Dirección: El número 626 215 349 está reservado para la comunicación directa y mensajería de la Dirección.
Protocolo de Llamadas: Las llamadas telefónicas a la Dirección solo se atenderán a través del número 626 215 349, bajo las condiciones de agendamiento previo e identificación detalladas en la sección «Gestión de Contacto Telefónico».

POLÍTICA DE ALMACENAMIENTO Y GESTIÓN DE LA INFORMACIÓN

En ISLAS SEM, hemos estandarizado nuestros métodos de almacenamiento para garantizar la máxima seguridad, trazabilidad y protección de sus datos.

1. Prohibición de Dispositivos Extraíbles

Exclusión de Hardware: Por protocolo de seguridad, no utilizamos ni interactuamos con dispositivos de almacenamiento extraíbles (como pendrives, discos duros externos o cualquier otro medio físico externo) para el intercambio o almacenamiento de datos de proyectos.

2. Almacenamiento Seguro en la Nube

Alternativa Segura: Nuestro método exclusivo de almacenamiento se basa en el uso de servidores en la nube con licencias de pago (como Google Drive u otros sistemas homologados).
Medidas de Seguridad Aplicadas: Implementamos medidas rigurosas para el almacenamiento seguro de la información, que incluyen:
- Cifrado de Datos: Para proteger la información confidencial en tránsito y en reposo.
- Sistemas de Copia Redundante: Garantizando la disponibilidad y la recuperación de sus datos ante cualquier eventualidad.
- Autenticación Fuerte: Uso de sistemas de acceso con autenticación robusta y cambios periódicos de contraseñas complejas.

POLÍTICA DE GESTIÓN DE SOFTWARE Y ACTUALIZACIONES

Nuestra estrategia tecnológica está basada en la seguridad y la eficiencia, lo que se refleja en nuestra política de uso de software:

1. Uso de Software y Plataforma en la Nube

Licencias de Pago y Cloud Computing: Utilizamos exclusivamente software de pago con uso prioritario en la nube (cloud computing).
Mínima Instalación: Evitamos la instalación de software directamente en nuestros equipos. En caso de ser necesario, solo se utilizan soluciones híbridas estrictamente necesarias.
Mantenimiento del Proveedor: Al ser soluciones «Pago por Uso» en la nube, las actualizaciones de seguridad, funcionalidad y parches son gestionadas e implementadas directamente por el proveedor del servicio, garantizando que siempre trabajamos con la versión más reciente y segura disponible.

2. Actualizaciones del Sistema Operativo

Protocolo de Seguridad: Las únicas actualizaciones que gestionamos de forma manual son las correspondientes al Sistema Operativo (SO) de nuestros equipos.
Activación por Alerta: Estas actualizaciones se realizan de forma inmediata cuando son notificadas por nuestros sistemas de seguridad internos (Antivirus y Firewall), asegurando una rápida respuesta ante cualquier vulnerabilidad detectada.

**POLÍTICA DE COPIAS DE SEGURIDAD (BACKUP) Y RECUPERACIÓN DE DATOS**

En ISLAS SEM, garantizamos la máxima protección, disponibilidad y recuperación de la información de nuestros clientes a través de un riguroso sistema de copias de seguridad en la nube:

1. Frecuencia y Alcance

Frecuencia: Las copias de seguridad (backups) se realizan de forma completa y en tiempo real (continuo), asegurando que la pérdida de datos se minimice al máximo.
Redundancia Geográfica: Trabajamos con la infraestructura de Google, que garantiza la redundancia de la información con un mínimo de cinco (5) copias de seguridad almacenadas en distintos espacios físicos dentro del territorio europeo.

2. Seguridad y Acceso

Cifrado de la Información:
- Toda la información almacenada en la nube está protegida por los protocolos de cifrado nativos del proveedor.
- Cualquier información considerada altamente confidencial recibe un cifrado adicional antes de ser alojada en la nube, garantizando la máxima seguridad.
Control de Acceso: El acceso a las copias de seguridad está estrictamente controlado. Solo el personal autorizado y con credenciales de alta seguridad puede acceder a dichos archivos.

3. Conservación

Vigencia Contractual: Las copias de seguridad de sus proyectos se conservarán activas mientras dure la relación contractual.
Baja del Cliente: Tras la finalización de la relación contractual, los datos y sus copias de seguridad se destruirán de forma segura, respetando los plazos legales de conservación, una vez el Cliente haya confirmado su baja y la recepción final de su información.

POLÍTICA DE SEGURIDAD Y GESTIÓN AVANZADA DE CONTRASEÑAS

En ISLAS SEM, la seguridad de las credenciales es un pilar fundamental para proteger los sistemas del cliente y la información confidencial.

1. Robustez y Ciclo de Vida de las Contraseñas

Contraseñas Robustas: Todas las contraseñas utilizadas por el equipo de ISLAS SEM se eligen cumpliendo las más altas recomendaciones de seguridad, garantizando su complejidad (longitud, combinación de caracteres y diversidad).
Gestión Tecnológica: Utilizamos un sistema de gestión de contraseñas avanzado y con licencia que administra automáticamente todos los aspectos de su ciclo de vida, incluyendo:
- Generación Robusta.
- Actualización Periódica y Habitual.
- Actualización Automatizada en plataformas que lo permitan.
Múltiples Factores de Autenticación (MFA): Incorporamos sistemas de Autenticación Multifactor en todos los accesos a servicios que manejan información altamente sensible.
Prohibición de Valores por Defecto: Siempre se modifican las contraseñas predeterminadas que vienen incluidas con aplicaciones o sistemas.

2. Protocolos de Uso y Almacenamiento

Gestores de Contraseñas Seguros: Para recordar, fabricar y utilizar las contraseñas de forma segura, empleamos gestores de contraseñas especializados y seguros, evitando el uso de plugins de navegador que puedan suponer un riesgo.
Almacenamiento Prohibido: Está estrictamente prohibido guardar o registrar contraseñas en medios inseguros, tales como:
- El navegador web.
- Documentos físicos (papel).
- Dispositivos extraíbles.
Transmisión Prohibida: Las contraseñas nunca se envían a través de canales inseguros como correo electrónico, WhatsApp o cualquier otra mensajería instantánea.

Este borrador es una lista muy completa de medidas internas de seguridad física y lógica, lo cual es excelente para demostrar el compromiso de la empresa. Sin embargo, como política dirigida al cliente, necesita una estructura que agrupe estas medidas en categorías lógicas y utilice un lenguaje más directo y profesional.

Aquí tienes una versión mejorada, concisa y organizada:

POLÍTICA DE PROTECCIÓN FÍSICA Y LÓGICA DEL PUESTO DE TRABAJO

En ISLAS SEM, garantizamos la seguridad de la información de nuestros clientes mediante rigurosos controles en el entorno físico y digital de trabajo, en estricto cumplimiento de la normativa de Protección de Datos (LOPDGDD).

1. Seguridad Digital y Formación del Personal

Formación Continua: Todo nuestro personal está formado y auditado periódicamente en la normativa de Protección de Datos y las políticas internas asociadas (ingeniería social, cifrado, etc.).
Gestión de Credenciales: Aplicamos nuestra Política de Contraseñas Seguras y garantizamos que las credenciales nunca se comparten, publican, anotan en papel ni se transmiten por canales inseguros (correo, mensajería instantánea).
Prevención de Ingeniería Social: Nuestros equipos conocen los peligros de la ingeniería social y tienen prohibido revelar información confidencial a usuarios o entidades no debidamente identificados.
Gestión de Incidentes: Existe la obligación de notificar de inmediato cualquier incidencia de seguridad (detección de virus, pérdida de información, o fallos de seguridad).

2. Controles de Acceso y Dispositivos

Bloqueo de Sesiones: Las sesiones de los equipos se bloquean automáticamente tras un corto periodo de inactividad. Es obligatorio bloquear la sesión antes de ausentarse del puesto de trabajo.
Seguridad de Equipos: Mantenemos permanentemente actualizados el antivirus, firewall y VPN.
Exclusión de Hardware Externo: No utilizamos tecnologías que requieran el uso de puertos USB o dispositivos extraíbles, minimizando el riesgo de malware o fuga de información.
Apagado de Equipos: Los equipos informáticos se apagan completamente al finalizar la jornada laboral.

3. Seguridad Física y Destrucción de Documentación

Entorno de Trabajo Despejado: Las mesas de trabajo se mantienen despejadas, sin documentación confidencial o dispositivos extraíbles al alcance.
Gestión de Impresión: Los documentos sensibles se recogen de la impresora con inmediatez. La información escaneada se guarda directamente en la nube de forma segura.
Destrucción Segura: La información confidencial en papel se destruye de forma inmediata mediante el uso de destructora de papel. Para otros soportes de almacenamiento, aplicamos el método de destrucción apropiado a su naturaleza.

Este borrador es una lista muy completa de tareas de cumplimiento normativo (GDPR/RGPD, LSSI, Propiedad Intelectual), pero carece de la estructura formal de una «Política de Cumplimiento» dirigida al cliente. Mezcla procesos de inicio contractual con obligaciones legales.

Aquí tienes una versión mejorada, organizada por áreas de cumplimiento, con un tono profesional y enfocado en la garantía para el cliente:

POLÍTICA DE CUMPLIMIENTO DE REQUISITOS LEGALES Y CONTRACTUALES

ISLAS SEM se compromete a operar bajo un estricto marco legal, garantizando la seguridad, la protección de datos y el respeto a la propiedad intelectual en todos nuestros servicios.

1. Cumplimiento Contractual y de Términos

Filtros de Contratación: El inicio de cualquier relación comercial se formaliza a través de un protocolo de filtros de seguridad que incluye:
- Firma de contratos explícitos, según el servicio.
- Aceptación de estos Términos y Condiciones (publicados en la web y referenciados en formularios y presupuestos).
- Recopilación del Formulario de Tratamiento de Datos y las Órdenes de Adeudo SEPA (si aplica).

2. Protección de Datos Personales (RGPD y LOPDGDD)

Garantizamos el cumplimiento íntegro del Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

Responsabilidad y Garantías:
- Garantizamos el cumplimiento de los principios del RGPD, la atención de los derechos de los interesados y la formación adecuada del personal que participa en el tratamiento de datos.
- Manejamos tratamientos de alto riesgo (datos de categorías especiales o a gran escala) solo bajo estricta supervisión y análisis de riesgos.
- Cualquier duda sobre protección de datos debe dirigirse a la Persona Responsable de Protección de Datos de ISLAS SEM, SLU.
Gestión de Datos y Seguridad:
- Definimos la ubicación y la criticidad de todos los datos que manejamos, monitorizando el acceso, las políticas de borrado y el cifrado cuando es necesario.
- Garantizamos la confidencialidad, integridad y disponibilidad de todos los tratamientos y datos personales.
Gestión de Brechas: Contamos con procedimientos actualizados para notificar cualquier brecha de seguridad que ponga en riesgo la privacidad. La notificación a las autoridades competentes se realizará en un plazo máximo de 72 horas, y a los interesados sin dilación indebida.

3. Ciberseguridad y Servicios de la Sociedad de la Información (LSSI)

Protocolos de Ciberseguridad: Detallamos procedimientos para el cumplimiento de la legislación aplicable a ciberseguridad, incluyendo:
- Análisis de riesgos para el manejo de información sensible.
- Garantía de seguridad en las comunicaciones comerciales (LSSI).
Transparencia Web: Cumplimos con la LSSI al mostrar la información legal requerida en nuestra web e informar debidamente sobre nuestra Política de Cookies.

4. Propiedad Intelectual e Industrial

Garantía de Derechos: Garantizamos el cumplimiento de los derechos de propiedad intelectual, marcas, patentes y diseños industriales, tanto propios como de terceros.
Uso Legítimo: No utilizamos derechos sobre obras o activos de terceros sin contar con la debida licencia, permiso o compra que legalice su uso.

El borrador es excelente en la descripción de las medidas de control de acceso lógico. Para mejorarlo, vamos a organizarlo bajo títulos claros, utilizar un lenguaje más formal y eliminar las redundancias, enfocándonos en cómo este control beneficia la seguridad del cliente.

Aquí tienes una versión mejorada, concisa y profesional:

POLÍTICA DE CONTROL DE ACCESO LÓGICO Y GESTIÓN DE CUENTAS

La gestión del acceso a la información del cliente se rige por un estricto protocolo de seguridad basado en la necesidad de conocer y el principio de mínimo privilegio.

1. Diseño y Asignación de Accesos

Roles y Grupos Definidos: Implementamos una estructura de control de acceso donde se definen roles de usuarios y grupos en función de la criticidad y el tipo de información a la que se necesita acceder.
Principio de Mínimo Privilegio: Asignamos únicamente los permisos estrictamente necesarios para que cada usuario o grupo pueda realizar sus funciones (crear, modificar o consultar). Esto minimiza el riesgo de exposición o manipulación indebida de datos.
Técnicas de Autenticación: Se definen e implantan las técnicas de autenticación más robustas y apropiadas (incluyendo MFA, según nuestra Política de Contraseñas) para el acceso a la información digital.

2. Gestión y Monitorización del Ciclo de Vida

Protocolo de Gestión de Cuentas: La creación, modificación y eliminación de cuentas de usuario y permisos se realiza siguiendo un procedimiento documentado y controlado.
Gestión de Cuentas Críticas: Las cuentas de administración de sistemas y aplicaciones se gestionan con especial cautela y bajo protocolos reforzados dada su criticidad.
Registro de Eventos (Logging): Mantenemos mecanismos para registrar y monitorizar todos los eventos relevantes relacionados con el manejo de la información (quién accede, cuándo y qué acción se realiza).

3. Revisión y Revocación Periódica

Auditoría de Permisos: Se realiza una revisión periódica de los permisos concedidos a usuarios y grupos para asegurar que se mantienen estrictamente alineados con las responsabilidades actuales.
Eliminación de Cuentas: Se eliminan o revocan de inmediato los permisos de cuentas inactivas. Las cuentas de usuario se eliminan completamente de nuestros sistemas una vez finalizada la relación contractual o laboral del individuo con ISLAS SEM.

POLÍTICA DE RELACIÓN Y SEGURIDAD CON PROVEEDORES

En ISLAS SEM, extendemos nuestros estándares de ciberseguridad a toda nuestra cadena de suministro para garantizar que los servicios de terceros no introduzcan vulnerabilidades en nuestros proyectos.

1. Integración y Requisitos de Seguridad

Requisitos Mínimos Obligatorios: Todos los proveedores de servicios y software, especialmente los tecnológicos, deben cumplir con requisitos de seguridad mínimos obligatorios establecidos por ISLAS SEM.
Acuerdos Contractuales Rigurosos: En nuestros contratos se establecen cláusulas específicas y rigurosas en materia de ciberseguridad y protección de la información.
- Definimos claramente las responsabilidades de cada parte para garantizar la seguridad.
- Firmamos Acuerdos de Nivel de Servicio (ANS/SLA) que incluyen métricas de cumplimiento de seguridad de la información.
Conocimiento de Políticas: Ponemos en conocimiento de nuestros proveedores nuestras políticas de trabajo y el alcance de nuestros compromisos para que puedan alinearse con nuestros estándares.

2. Evaluación y Control Continuo

Controles de Seguridad: Los controles de seguridad definidos son de obligado cumplimiento en la relación con todos nuestros proveedores de servicios tecnológicos.
Garantías y Auditoría:
- Exigimos a los proveedores garantías de seguridad sólidas para los servicios contratados de crítica especialidad.
- Realizamos auditorías y controles periódicos de los servicios críticos contratados y monitorizamos la reputación de nuestros proveedores en el mercado.

3. Seguridad a la Finalización del Contrato

Garantía de Cese: Tras la finalización de cualquier relación contractual con un proveedor, garantizamos que se llevan a cabo los procedimientos necesarios para preservar la seguridad de la información, asegurando la devolución o destrucción segura de cualquier dato gestionado por el tercero.

POLÍTICA DE ALMACENAMIENTO Y CLASIFICACIÓN EN RED CORPORATIVA

Esta política asegura el orden, la confidencialidad y la gestión eficiente de la información en nuestros repositorios compartidos (Nube Corporativa, Google Workspace) para todos los proyectos.

1. Organización y Clasificación de la Información

Estructura Organizada: Creamos y mantenemos carpetas organizadas siguiendo una política estricta de clasificación de la información.
Criterios de Almacenamiento: Informamos al personal sobre los criterios de almacenamiento corporativos: qué tipos de datos deben guardarse, quién tiene acceso (según el rol) y el proceso de eliminación de la información.
Cifrado de Datos Críticos: La información crítica o altamente sensible almacenada en nuestros servidores (repositorios) será cifrada para garantizar un nivel superior de protección.

2. Control de Acceso y Permisos

Acceso por Necesidad: Aplicamos el principio de mínimo privilegio. Los empleados solo tienen acceso a los repositorios, carpetas y archivos que son estrictamente necesarios para el desempeño de su trabajo.
Reglas de Acceso Implementadas: Establecemos reglas de acceso específicas que permiten un control granular de quién tiene permiso de acceso y las acciones que pueden realizar sobre los discos o directorios.
Asignación de Permisos: Se asignan los permisos de acceso pertinentes de forma precisa, basados en el perfil y las responsabilidades de cada empleado, en línea con nuestra Política de Control de Acceso.

3. Monitorización y Mantenimiento

Revisión Continua de Servidores: Revisamos periódicamente el estado de los servidores de almacenamiento, incluyendo el uso actual, la capacidad disponible, los registros y las estadísticas de uso.
Cumplimiento de Backup: Esta política se enlaza con nuestra Política de Copias de Seguridad, asegurando que el plan de backup definido (periodicidad, ubicación y tiempo de conservación) se aplica correctamente a la red corporativa.

El borrador es excelente, técnico y muy completo en cuanto a las metodologías de eliminación de datos. Para mejorar, vamos a organizarlo bajo una estructura de Política de Borrado Seguro que garantice al cliente la irreversibilidad de la destrucción de sus datos.

Aquí tienes una versión mejorada, concisa y profesional, organizada por el ciclo de vida de los soportes:

POLÍTICA DE BORRADO SEGURO Y GESTIÓN DE SOPORTES DE ALMACENAMIENTO

ISLAS SEM aplica protocolos rigurosos para la destrucción de datos, asegurando la irreversibilidad del borrado en todos los soportes y dispositivos utilizados, en estricto cumplimiento del RGPD.

1. Inventario y Control de Soportes

Trazabilidad: Mantenemos un inventario y seguimiento de todos los dispositivos de almacenamiento que contienen información corporativa, identificando la persona o el departamento responsable, el tipo de información y su clasificación de criticidad.
Supervisión de Soportes Críticos: Supervisamos especialmente los dispositivos de almacenamiento críticos, como los utilizados para realizar copias de seguridad (backup), documentando cualquier operación realizada (mantenimiento, reparación, sustitución, etc.).

2. Métodos de Destrucción Segura

Utilizamos diferentes métodos de borrado seguro según la naturaleza del soporte:

Tipo de Soporte	Método de Destrucción/Borrado
Soportes No Electrónicos (Papel, Soportes Magnéticos)	Triturado (Destrucción Física): Se utiliza la trituración o destrucción física para inutilizar la información.
Soportes Electrónicos Reutilizables	Sobrescritura: Se opta por el proceso de sobrescritura de datos para garantizar que la información anterior sea irrecuperable si el soporte se va a reutilizar.
Dispositivos Finales (Móviles, Impresoras, GPS)	Eliminación Total: Se eliminan los datos de la memoria y tarjetas de almacenamiento de teléfonos móviles, impresoras, y equipos auxiliares antes de su desecho o sustitución.
Datos Altamente Confidenciales / Contractuales	Servicio Certificado: Se contrata un servicio de destrucción certificada por un tercero cuando es necesario garantizar la destrucción de datos altamente confidenciales o cuando el contrato con el cliente o el RGPD lo exija expresamente.

3. Certificación del Proceso

Documentación de Borrado: Utilizamos herramientas de borrado que permiten la obtención de un documento de trazabilidad que identifica claramente que el proceso de borrado se ha ejecutado de forma correcta, detallando la fecha y el método aplicado.

POLÍTICA DE DESARROLLO SEGURO DE SISTEMAS DE INFORMACIÓN

ISLAS SEM aplica una metodología de Desarrollo Seguro (Secure Development) para garantizar la integridad, la confidencialidad y la calidad del software y los sistemas que creamos o gestionamos, ya sea a nivel interno o a través de terceros.

1. Estándares y Técnicas de Programación

Programación Segura: Utilizamos técnicas de programación seguras tanto en desarrollos nuevos como en la reutilización de código, asegurando que las prácticas de desarrollo sean coherentes con los estándares de seguridad actuales.
Criterios Unificados: Estandarizamos los criterios de seguridad y calidad que serán considerados rigurosamente durante cada fase del proceso de desarrollo de sistemas de información.
Diseño con Privacidad: La información se obtiene, se procesa y se almacena en cumplimiento con toda la legislación sobre protección de datos, garantizando la confidencialidad, integridad y disponibilidad de la información sensible.

2. Desarrollo con Terceros y Propiedad Intelectual

Contratos Rigurosos: El desarrollo de sistemas por terceros se formaliza mediante contratos que contienen cláusulas estrictas para resguardar la propiedad intelectual de ISLAS SEM y el Cliente, asegurando los máximos niveles de confidencialidad en los proyectos.
Separación de Funciones: Mantenemos una clara diferenciación entre el personal encargado de celebrar y autorizar los contratos, y aquel que debe fiscalizar su cumplimiento (control de acceso y compliance).

3. Pruebas y Verificaciones de Seguridad

Todos los sistemas de información se someten a un riguroso proceso de verificación antes de su puesta en producción:

Programa de Pruebas Detallado: Implementamos un programa detallado de actividades, entradas y resultados esperados bajo una variedad de condiciones (instalación, volumen, rendimiento, configuración, funcionalidad y seguridad).
Pruebas de Seguridad Obligatorias: Los sistemas accesibles públicamente o la información que requiera un alto nivel de integridad serán sometidos a pruebas exhaustivas contra debilidades y fallas.
Repetibilidad: Dentro de lo posible, las pruebas y los criterios de datos de prueba se almacenan en archivos que permiten la verificación rápida y repetitiva de los resultados.

4. Protección de la Información en Tránsito

Protección en Redes Públicas: La información involucrada en servicios de aplicación que transitan a través de redes públicas se protege mediante mecanismos de cifrado contra actividad fraudulenta, modificación no autorizada y disputas de contratos.
Integridad de Datos: Garantizamos que el ingreso y el procesamiento de la información por el sistema de edición se realizan de forma completa y con exactitud y de manera oportuna.

El borrador es excelente y muy completo, cubriendo la seguridad en el desarrollo, el hosting, la legalidad y el mantenimiento. Para mejorarlo, lo estructuraremos bajo títulos claros que enfaticen la protección del cliente y la robustez técnica.

Aquí tienes una versión mejorada, organizada en tres pilares de seguridad WEB:

POLÍTICA DE SEGURIDAD WEB Y GESTIÓN DE PLATAFORMAS DIGITALES

ISLAS SEM garantiza la seguridad y la integridad de todas las plataformas web y sistemas digitales que desarrolla y gestiona, siguiendo rigurosos protocolos de ciberseguridad, legales y técnicos.

1. Protección de Datos y Comunicaciones

Cifrado Obligatorio (SSL/TLS): Protegemos todos los canales por los que se transmite información sensible (página web y correo electrónico) mediante el cifrado de las comunicaciones, asegurando un certificado web de confianza y actualizado.
Cumplimiento Normativo:
- Aplicamos las normas de seguridad exigidas por el RGPD para proteger los datos personales de los clientes.
- Cumplimos con todos los aspectos legales contemplados en la legislación nacional, incluyendo la LSSI (Ley de Servicios de la Sociedad de la Información) y la LPI (Ley de Propiedad Intelectual).

**2. Seguridad de la Infraestructura y el Alojamiento (*Hosting***)

Alojamiento Seguro: Si el alojamiento es propio, se aplican medidas de seguridad internas robustas. Si se contrata a un proveedor, se exige y se pacta que este disponga de las medidas de seguridad adecuadas (alineadas con nuestra Política de Relación con Proveedores).
Blindaje del Servidor:
- Los servidores web se configuran con un límite de accesos concurrentes para prevenir ataques de denegación de servicio (DDoS).
- Mantenemos un registro de la actividad de los administradores externos (si los hay) para garantizar la trazabilidad.
Control de Acceso: Eliminamos los usuarios y contraseñas por defecto de todas las herramientas y software del servidor, y aseguramos que las claves de acceso al panel de control sean fuertes y cumplan con nuestros criterios de seguridad.

3. Mantenimiento, Desarrollo y Monitoreo

Desarrollo Seguro: Aplicamos criterios de seguridad en todos los desarrollos llevados a cabo, tanto internos como por terceros, integrándonos con nuestra Política de Desarrollo Seguro.
Actualización Periódica: Mantenemos actualizado periódicamente el gestor de contenidos (CMS), sus complementos (plugins) y el software del servidor, utilizando servicios de avisos de seguridad del fabricante para una respuesta inmediata.
Copias de Seguridad: Realizamos copias de seguridad periódicas de la web y sus bases de datos, conforme a nuestra Política de Copias de Seguridad.
Auditorías y Monitoreo:
- Realizamos auditorías de seguridad externas para verificar la robustez de la plataforma.
- Guardamos un registro de cualquier interacción con la página web durante un período de tiempo conveniente para fines de seguridad y trazabilidad.

Este borrador es una excelente lista de verificación de actividades internas. Para convertirlo en una Política de Concienciación y Formación profesional para el cliente, hay que estructurar las medidas en áreas lógicas y enfatizar la obligatoriedad y el alcance de estos programas.

Aquí tienes una versión mejorada, concisa y organizada:

POLÍTICA DE CONCIENCIACIÓN Y FORMACIÓN EN CIBERSEGURIDAD

ISLAS SEM considera que el factor humano es el pilar de la ciberseguridad. Por ello, invertimos continuamente en la formación de nuestros equipos para garantizar que sus proyectos se gestionen con la máxima responsabilidad y conocimiento técnico.

1. Marco Documental y Difusión

Documentación de Normas: Mantenemos la documentación de todas las normas y políticas de ciberseguridad de la empresa de forma centralizada y permanentemente accesible para todos los empleados.
Alcance: Promovemos una cultura de seguridad de la información que no solo abarca a toda la plantilla interna, sino que también se extiende a nuestros proveedores y clientes (a través de estas políticas).

2. Programas de Formación Continua

Planificación Estratégica: Elaboramos, revisamos y ejecutamos un Plan de Formación que tiene como objetivo elevar continuamente el nivel de seguridad de nuestra plantilla.
Formación Especializada: Desarrollamos e implementamos programas de formación en ciberseguridad que son adecuados y específicos para los distintos puestos de trabajo y responsabilidades, asegurando la relevancia del conocimiento.
Frecuencia: Los equipos participan activamente en cursos y charlas de concienciación de forma periódica y obligatoria para mantenerse actualizados sobre las últimas amenazas y mejores prácticas.

3. Evaluación y Garantía de Conocimiento

Verificación: No solo impartimos formación, sino que comprobamos la asimilación del conocimiento adquirido por nuestros empleados mediante pruebas y ejercicios prácticos.
Garantía de Nivel: Esta evaluación asegura que la plantilla de ISLAS SEM no solo conoce las normas, sino que es capaz de aplicarlas de forma efectiva para la protección de la información del cliente.

POLÍTICA DE CONTINUIDAD DE NEGOCIO Y RECUPERACIÓN ANTE DESASTRES

ISLAS SEM ha implementado un riguroso Plan de Continuidad de Negocio (PCN) para garantizar que los servicios críticos al cliente se mantengan disponibles y que la recuperación de datos sea rápida y efectiva ante cualquier interrupción o desastre.

1. Planificación y Estrategia

Análisis de Procesos Críticos: Realizamos un análisis detallado del impacto en el negocio (BIA) para determinar y documentar los activos y procesos clave cuya continuidad debe estar garantizada para mantener el servicio al cliente.
Estrategia de Respaldo: Hemos seleccionado la estrategia de continuidad óptima, que incluye, en caso de ser necesario, la implantación de un Centro de Respaldo que permita la reanudación rápida de las operaciones.
Asignación de Responsabilidades: Hemos determinado claramente las responsabilidades del personal clave que debe ejecutar el Plan de Continuidad en caso de aparición de un desastre.

2. Ejecución y Procedimientos

Procedimientos de Respuesta: Detallamos los procedimientos y controles específicos que deben ejecutarse inmediatamente ante la aparición de un desastre o incidente grave.
Comunicaciones de Crisis: Hemos definido previamente los tipos de mensajes y canales que nuestra empresa utilizará para informar a los clientes y stakeholders en caso de un desastre, asegurando la transparencia.

3. Pruebas y Mantenimiento

Pruebas Anuales: El Plan de Continuidad de Negocio es probado y evaluado anualmente para verificar su efectividad, identificar puntos débiles y asegurar la preparación del equipo.
Actualización Periódica: Mantenemos el PCN actualizado, revisando sus componentes de forma periódica para reflejar cualquier cambio en nuestra infraestructura o procesos operativos.

POLÍTICA DEL SISTEMA DE GESTIÓN INTEGRADO (SGI)

El Sistema de Gestión Integrado (SGI) de ISLAS SEM es el marco operativo que garantiza la seguridad, calidad y cumplimiento en todos nuestros procesos.

1. Integración de Políticas

Nuestro SGI se fundamenta en la integración sistemática de los tres pilares de gestión:

Componente del SGI	Base de Integración	Objetivo Principal
Gobernanza y Cumplimiento	Normativa Interna y Externa (RGPD, LPRL, etc.)	Asegurar la legalidad y la responsabilidad corporativa.
Factor Humano	Concienciación y Formación Continua	Minimizar el riesgo por error humano y fomentar una cultura de seguridad.
Control y Mejora	Auditorías y Buenas Prácticas	Verificar el cumplimiento, medir la efectividad y garantizar la mejora continua de la seguridad.

2. Principio Central de Operación

La política de ISLAS SEM establece que la mejor protección y práctica de trabajo es la aplicación rigurosa de esta normativa interna. Buscamos activamente que la actuación consciente y formada del factor humano sea la barrera más efectiva frente a los riesgos tecnológicos y operacionales.

3. Beneficio para el Cliente

Mediante este sistema integrado, aseguramos que todas las políticas de ciberseguridad, prevención de riesgos psicosociales y calidad técnica se aplican de manera coherente, proporcionando un sistema de trabajo robusto, seguro y responsable en el uso de las diferentes tecnologías para su proyecto.

El borrador es una mezcla de una declaración de valor sobre la información confidencial y una descripción de la implementación de la política de mínimo privilegio. Para ser una Política de Intercambio de Información dirigida al cliente, necesita ser más concisa, formal y centrarse en la garantía que ofrece la empresa al cliente sobre el manejo de sus datos.

Aquí tienes una versión mejorada, concisa y profesional:

POLÍTICA DE INTERCAMBIO DE INFORMACIÓN Y CONFIDENCIALIDAD

El respeto por la información confidencial y el secreto profesional de nuestros clientes es un activo fundamental para ISLAS SEM. Nuestra política de intercambio se centra en la minimización de riesgos y el control estricto de la divulgación.

1. Declaración de Confidencialidad

Activo Valioso: Reconocemos que el mayor valor de cualquier empresa reside en su información. Por ello, la excelencia en el manejo de este activo es crucial para la continuidad de nuestra relación comercial.

Acuerdo de Confidencialidad (NDA): Toda información susceptible de ser compartida con un alto valor estratégico está sujeta, y será tratada bajo los términos legales establecidos en un Acuerdo de Confidencialidad o No Divulgación (NDA), formalizado entre ambas partes.

2. Principio del Mínimo Privilegio

Implementamos el principio de Mínimo Privilegio para minimizar el riesgo de compromiso de la información:

Limitación de Acceso: Limitamos el acceso a la información confidencial. Cuantas menos personas accedan a ella, menor es el riesgo de que esta se vea comprometida.

Acceso Estrictamente Necesario: Un usuario solo tendrá acceso a la información estrictamente necesaria para realizar sus funciones dentro del proyecto contratado.

Control de Acceso Riguroso:

Hemos definido y clasificado los tipos de información que manejamos (Clientes, Contabilidad, Producción, etc.).

Designamos quién puede acceder y cómo puede autorizar el acceso a dicha información.

3. Integración de Políticas de Seguridad

La garantía de esta política se sustenta en la aplicación coherente de nuestros protocolos de seguridad:

Control Integral: El cumplimiento de esta política se refuerza mediante nuestra Política de Control de Acceso, Política de Contraseñas Seguras, Política de Correo Electrónico, Política de Copias de Seguridad, y el resto de protocolos de ciberseguridad.

POLÍTICA DE CLASIFICACIÓN DE LA INFORMACIÓN

La clasificación de la información es el proceso fundamental en ISLAS SEM para asignar el nivel de protección adecuado a los datos y activos de nuestros clientes.

1. Proceso de Clasificación

Inventario Detallado: Mantenemos un inventario exhaustivo de todos los activos de información manejados por la empresa.

Criterios de Seguridad: Determinamos criterios de seguridad claros y documentados (ej. Confidencial, Restringido, Público) para clasificar cada activo en función de su criticidad, su impacto en el negocio y las exigencias del RGPD.

Etiquetado y Trazabilidad: Los activos de información se etiquetan según los criterios de seguridad establecidos.

2. Aplicación de Controles

Asignación de Tratamientos: Una vez clasificada la información, se aplica el tratamiento de seguridad que le corresponde (cifrado, control de acceso, permisos, backup, etc.), seleccionándolo de nuestro listado de controles de seguridad disponibles.

Garantía de Protección: Esta política asegura que la información de nuestros clientes (datos personales, contabilidad, estrategias, etc.) recibe el nivel de protección lógico y físico exacto que requiere su clasificación.

3. Revisión y Auditoría

Auditoría Anual: Realizamos auditorías de comprobación de forma anual para verificar la efectividad de la clasificación y la correcta aplicación de los tratamientos de seguridad.

El borrador es una lista de procedimientos técnicos esenciales para la gestión de logs. Para convertirlo en una Política de Gestión de Logs dirigida al cliente, debemos estructurarlo para enfatizar la trazabilidad, la seguridad y la capacidad de respuesta que este sistema proporciona.