Esta página se ha traducido automáticamente mediante tecnología de traducción automática. Aunque se han realizado esfuerzos razonables para garantizar su exactitud, la versión en inglés es la versión oficial. En caso de discrepancia, ambigüedad o inconsistencia en la interpretación, prevalecerá la versión en inglés.

Política de ciberseguridad (sistemas electrónicos de información y comunicaciones)

Declaración de la política

  1. Nuestros sistemas y equipos de comunicaciones electrónicas están destinados a promover una comunicación y unas prácticas de trabajo eficaces dentro de ComponentSource Group y son fundamentales para el éxito de nuestro negocio. Los delitos informáticos y el robo de datos pueden afectar negativamente a nuestra reputación y al desarrollo de nuestro negocio, y dejar desprotegidos datos como información financiera, documentos comerciales confidenciales, datos de empleados e información de clientes. Esta política establece las normas que exigimos que observen los usuarios de estos sistemas, las circunstancias en las que supervisaremos el uso de dichos sistemas y las medidas que adoptaremos en caso de incumplimiento de estas normas.
  2. Esperamos que todas nuestras instalaciones electrónicas e informáticas se utilicen de forma eficaz y profesional y animamos a todos los empleados a desarrollar las habilidades necesarias para ello. Estas instalaciones son proporcionadas por la Empresa, por cuenta propia y para sus propios fines empresariales, con el fin de ayudar a sus empleados a desempeñar sus funciones eficazmente. Es responsabilidad de cada empleado garantizar que esta tecnología se utilice para fines empresariales adecuados y de una manera que no comprometa de ningún modo a la Empresa ni a sus empleados.
  3. Esta política se aplica al uso de la tecnología de la Empresa durante el trabajo, incluido el trabajo remoto, así como cuando se utiliza tecnología de la Empresa fuera del trabajo, por ejemplo, al conectarse desde casa, utilizar un portátil de la Empresa durante un viaje de negocios o utilizar smartphones o asistentes digitales personales (PDA). Este documento de política debe leerse junto con las Normas Disciplinarias y el Procedimiento Disciplinario. Si tiene alguna pregunta sobre la aplicación de esta política, póngase en contacto con el Chief Technology Officer o con el Financial Director.
  4. El uso indebido de Internet o del correo electrónico puede exponer tanto a usted como a la Empresa a responsabilidades legales o financieras. Por ejemplo, podría celebrar contratos no intencionados, infringir derechos de autor o acuerdos de licencia, incurrir en responsabilidad por difamación o acoso, o introducir virus en el sistema. Esta política está diseñada para proteger tanto a usted como a la Empresa frente a dichas responsabilidades. Es importante que la lea atentamente y se asegure de que cualquier uso de Internet o del correo electrónico cumpla sus términos.
  5. Esta política se aplica a su uso personal del correo electrónico o de Internet cuando se identifique como asociado a ComponentSource. Podemos modificar esta política ocasionalmente para tener en cuenta cambios en la tecnología, la legislación y las mejores prácticas.
  6. El Chief Technology Officer es responsable de la supervisión y aplicación de esta política. Si tiene alguna pregunta sobre el contenido de esta política u otros comentarios, deberá ponerse en contacto con el Chief Technology Officer.
  7. Esta política no forma parte del contrato de trabajo de ningún empleado y puede modificarse en cualquier momento.

¿A quién se aplica la política?

  1. Esta política se aplica a todas las personas que trabajen en todos los niveles, incluidos Managers sénior, directivos, Directors, empleados, consultores, contratistas, becarios, trabajadores desde casa, empleados a tiempo parcial y con contrato de duración determinada, así como personal eventual y de agencias (denominados colectivamente empleados en esta política).
  2. Los terceros que tengan acceso a nuestros sistemas y equipos de comunicaciones electrónicas también están obligados a cumplir esta política.

Ámbito y finalidad de la política

  1. El objetivo de esta política es proteger los datos y la infraestructura de ComponentSource, describir los protocolos y directrices que rigen nuestras medidas de ciberseguridad, definir las normas para el uso empresarial y personal y establecer las consecuencias disciplinarias del incumplimiento.
  2. Esta política trata principalmente del uso (y uso indebido) de equipos informáticos (directamente o mediante acceso remoto), correo electrónico, Internet (incluido el uso personal excesivo de búsquedas en Internet y el uso de redes sociales, salvo en relación con actividades de relaciones públicas autorizadas de ComponentSource), teléfonos, smartphones, memorias USB, asistentes digitales personales (PDA) y buzón de voz, pero se aplica igualmente al uso de máquinas de fax, fotocopiadoras, escáneres, CCTV y llaveros y tarjetas electrónicas.
  3. Se espera que todos los empleados cumplan esta política en todo momento para proteger nuestros sistemas y equipos de comunicaciones electrónicas frente a accesos no autorizados y daños. El incumplimiento de esta política puede tratarse con arreglo a nuestro Procedimiento Disciplinario y, en casos graves, puede considerarse una falta grave que dé lugar a un despido inmediato.

Personal responsable de la aplicación de la política

  1. El consejo de administración de ComponentSource (el consejo) tiene la responsabilidad general del funcionamiento eficaz de esta política, pero ha delegado la responsabilidad diaria de su aplicación en el Chief Technology Officer. La responsabilidad de supervisar y revisar el funcionamiento de esta política y de formular recomendaciones de cambios para minimizar los riesgos para nuestras operaciones también corresponde al Chief Technology Officer.
  2. El Departamento de TI atenderá las solicitudes de permiso o asistencia conforme a cualquiera de las disposiciones de esta política, con sujeción a sus tareas principales de mantenimiento de nuestros sistemas esenciales, y podrá especificar determinadas normas sobre equipos o procedimientos para garantizar la seguridad y la compatibilidad.
  3. Todos los Managers tienen una responsabilidad específica de actuar dentro de los límites de esta política, garantizar que todos los empleados comprendan las normas de conducta que se esperan de ellos y adoptar medidas cuando la conducta no cumpla sus requisitos.
  4. Todos los empleados son responsables del éxito de esta política y deben asegurarse de dedicar tiempo a leerla y comprenderla. Cualquier uso indebido de nuestros sistemas o equipos de comunicaciones electrónicas deberá comunicarse al Chief Technology Officer o al Financial Director. Las preguntas relativas al contenido o la aplicación de esta política deberán dirigirse al Chief Technology Officer.

Seguridad de los equipos y contraseñas

  1. Los empleados son responsables de la seguridad de los equipos que se les asignen o que utilicen, y no deben permitir que nadie los utilice salvo de conformidad con esta política.
  2. Cuando se les conceda acceso al sistema de correo electrónico o a Internet, los empleados serán responsables de la seguridad de sus terminales. Si dejan un terminal sin supervisión o al abandonar la oficina, deberán asegurarse de bloquearlo o cerrar la sesión para impedir que usuarios no autorizados accedan al sistema en su ausencia.
  3. Los ordenadores de sobremesa y el cableado de teléfonos o equipos informáticos no deben trasladarse ni manipularse sin consultar previamente al Departamento de TI.
  4. Las contraseñas son únicas para cada usuario y deben cambiarse periódicamente para garantizar la confidencialidad. Las contraseñas deben mantenerse confidenciales y no deben facilitarse a ninguna otra persona. Las buenas prácticas exigen elegir contraseñas con un mínimo de 8 caracteres y una combinación de letras mayúsculas y minúsculas, números y, preferiblemente, símbolos. Las contraseñas deben memorizarse y no anotarse, pero si fuera necesario escribirlas, el documento deberá mantenerse confidencial y destruirse cuando deje de ser necesario. Para evitar cualquier duda, al finalizar su relación laboral (por cualquier motivo) deberá proporcionar los datos de sus contraseñas al Chief Technology Officer o al Financial Director y devolver cualquier equipo, llavero o tarjeta.
  5. Si se le ha proporcionado un portátil o smartphone, deberá asegurarse de que se mantenga seguro en todo momento, especialmente durante los viajes. Deben utilizarse contraseñas para proteger el acceso a los datos almacenados en dichos equipos con el fin de garantizar la protección de los datos confidenciales en caso de pérdida o robo. También deberá ser consciente de la posibilidad de que, al utilizar equipos fuera de las instalaciones de ComponentSource, terceros puedan leer documentos, por ejemplo, pasajeros en el transporte público, y deberá adoptar todas las medidas necesarias para evitarlo.

Seguridad de sistemas y datos

  1. No deberá eliminar, destruir ni modificar sistemas, programas, información o datos existentes si ello pudiera perjudicar a nuestro negocio o exponerlo a riesgos.
  2. No deberá descargar ni instalar software de fuentes externas sin autorización del Chief Technology Officer. Esto incluye programas de software, programas de mensajería instantánea, protectores de pantalla, fotografías, videoclips y archivos de música. El Departamento de TI comprobará los archivos y datos entrantes en busca de virus antes de que puedan descargarse. Asimismo, no deberá acceder desde la red a ninguno de los siguientes servicios o similares: radio en línea, streaming de audio y vídeo, mensajería instantánea y correo web (como Hotmail, WhatsApp o Yahoo) o sitios de redes sociales (como Facebook, Instagram, YouTube, Twitter).
  3. Los datos confidenciales incluyen, entre otros:
    • Información financiera no publicada
    • Información de clientes, proveedores, socios y accionistas
    • Información de empleados
    • Listas de clientes, oportunidades de venta y datos relacionados
    • Contraseñas
    • Contratos
    • Registros legales y empresariales

    La transferencia de datos, tanto interna como a destinatarios externos, conlleva riesgos de seguridad adicionales. Por lo tanto, los empleados deberán:

    1. Abstenerse de transferir información confidencial a empleados no autorizados o a terceros externos;
    2. Transferir datos confidenciales únicamente a través de la red de ComponentSource;
    3. Asegurarse de haber obtenido todas las autorizaciones necesarias para la transferencia de datos;
    4. Comprobar que cualquier destinatario externo a la propia Empresa dispone de medidas de seguridad adecuadas;
    5. Cumplir la Política de Protección de Datos de ComponentSource;
    6. Informar inmediatamente al Chief Technology Officer de cualquier infracción real o presunta de la privacidad, intento de hacking, software malicioso y/o estafa.
  4. No deberá conectarse ningún dispositivo o equipo a nuestros sistemas sin la aprobación previa del Departamento de TI. Esto incluye cualquier unidad flash USB, MP3 o dispositivo similar, PDA o teléfono. También incluye el uso del puerto USB, el puerto de conexión por infrarrojos o cualquier otro puerto. Del mismo modo, los empleados no deberán intentar acceder a sistemas y cuentas de ComponentSource desde dispositivos propiedad de terceros, ni prestar sus propios dispositivos de la Empresa a nadie sin la aprobación previa del Chief Technology Officer.
  5. Supervisamos todos los correos electrónicos que pasan por nuestro sistema para detectar virus. Los empleados deben actuar con precaución al abrir correos electrónicos de fuentes externas desconocidas o cuando, por cualquier motivo, un correo electrónico parezca sospechoso (por ejemplo, si su nombre termina en .exe o .ran). El Departamento de TI deberá ser informado inmediatamente si se recibe un posible virus. Nos reservamos el derecho de bloquear el acceso a archivos adjuntos de correos electrónicos con el fin de garantizar el uso eficaz del sistema y el cumplimiento de esta política. También nos reservamos el derecho de no transmitir cualquier mensaje de correo electrónico.
  6. No deberá intentar obtener acceso a áreas restringidas de la red ni a información protegida por contraseña, salvo que esté específicamente autorizado.
  7. 7. Los empleados que utilicen portátiles o equipos con Wi-Fi deberán ser especialmente cuidadosos con su uso fuera de la oficina y adoptar las precauciones que el Departamento de TI exija ocasionalmente para evitar la introducción de virus o comprometer la seguridad del sistema. El sistema contiene información confidencial para nuestro negocio y/o sujeta a legislación sobre protección de datos. Dicha información deberá tratarse con el máximo cuidado y de acuerdo con nuestra Política de Protección de Datos.

Etiqueta y contenido del correo electrónico

  1. El correo electrónico es una herramienta empresarial fundamental, pero constituye un medio de comunicación informal y debe utilizarse con mucho cuidado y disciplina. Siempre deberá considerar si el correo electrónico es el medio adecuado para una comunicación concreta, y la correspondencia enviada por correo electrónico deberá redactarse con el mismo nivel profesional que una carta o un fax. Siempre deberá incluirse nuestro descargo de responsabilidad estándar. Deberán conservarse copias impresas de los correos electrónicos que contengan términos contractuales o modificaciones, o correspondencia relacionada con disputas (entrante o saliente), en el expediente correspondiente.
  2. El correo electrónico, al igual que cualquier otra forma de comunicación, deberá reflejar en todo momento los más altos estándares profesionales. Deberá mantener los mensajes breves y centrados, asegurarse de que se incluya un encabezado apropiado en el campo de asunto y comprobar cuidadosamente la ortografía y la gramática antes de enviarlos. También deberá comprobar dos veces el destinatario antes de pulsar el botón de envío – no solo puede resultar embarazoso enviar un mensaje a la persona equivocada, sino que también puede provocar la divulgación involuntaria de información confidencial sobre la Empresa.
  3. Deberá asegurarse de consultar sus correos electrónicos al menos una vez cada día laborable, mantenerse en contacto mediante acceso remoto cuando viaje y utilizar una respuesta automática de ausencia cuando esté fuera de la oficina durante más de un día. Deberá procurar responder a los correos electrónicos marcados como "alta prioridad" en el plazo de un día laborable.
  4. No deberá enviar correos electrónicos abusivos, obscenos, discriminatorios, racistas, acosadores, despectivos o difamatorios. Si considera que ha sido acosado o intimidado, o se siente ofendido por material recibido de un compañero por correo electrónico, deberá informar a su Manager directo o al Financial Director.
  5. Los correos electrónicos dejan un registro recuperable y siempre deberá tener cuidado con el contenido de los mensajes de correo electrónico. Deberá asumir que los mensajes de correo electrónico pueden ser leídos por otras personas y no incluir nada que pueda ofender o avergonzar a cualquier lector, o a usted mismo, si llegara a hacerse público.
  6. Los mensajes de correo electrónico pueden ser divulgados en procedimientos legales del mismo modo que los documentos en papel. Las declaraciones incorrectas o inapropiadas pueden dar lugar a reclamaciones por discriminación, acoso, difamación, incumplimiento de confidencialidad o incumplimiento contractual. La eliminación de un correo electrónico de la bandeja de entrada o de los archivos de un usuario no significa que no pueda recuperarse a efectos de divulgación, y todos los mensajes de correo electrónico deberán considerarse potencialmente recuperables, ya sea desde el servidor principal o mediante software especializado.
  7. En general, no deberá:
    • enviar o reenviar correos electrónicos privados en el trabajo que no desearía que leyera un tercero;
    • enviar o reenviar cadenas de correo, correo basura, viñetas, chistes o cotilleos;
    • contribuir a la congestión del sistema enviando mensajes triviales o copiando o reenviando innecesariamente correos electrónicos a personas que no tengan una necesidad real de recibirlos;
    • vender o anunciar utilizando nuestros sistemas de comunicación o difundir mensajes sobre objetos perdidos, patrocinios o campañas benéficas sin la aprobación del Financial Director;
    • aceptar términos, asumir compromisos contractuales o realizar declaraciones por correo electrónico salvo que disponga de la autoridad correspondiente o la haya obtenido. Un nombre escrito al final de un correo electrónico constituye una firma del mismo modo que un nombre escrito al final de una carta;
    • descargar o enviar por correo electrónico textos, música u otros contenidos de Internet sujetos a protección por derechos de autor, salvo que esté claro que el propietario de dichas obras lo permite;
    • enviar mensajes desde el ordenador de otro empleado, bajo un nombre supuesto o mediante una red privada virtual (VPN), salvo autorización expresa; o
    • utilizar correos electrónicos, Internet u otros medios de comunicación externa que se sepa que no son seguros para enviar contenido altamente confidencial, sensible o personal.

    Nunca deberá asumir que los mensajes internos o externos son necesariamente privados y confidenciales, incluso si están marcados como tales. Internet no es un medio de comunicación seguro y terceros pueden acceder o alterar los mensajes enviados o recibidos. Por lo tanto, no envíe por correo electrónico ninguna información que no estaría dispuesto a que fuera públicamente accesible. La confidencialidad de las comunicaciones internas solo puede garantizarse si se envían por correo interno, se entregan personalmente o se incluyen en un documento en línea protegido por contraseña.

  8. Si recibe un correo electrónico entregado por error, deberá devolverlo al remitente en la primera oportunidad y no conservarlo, copiarlo ni divulgarlo de ninguna manera, salvo que el correo electrónico contenga material inapropiado (según lo descrito anteriormente), en cuyo caso deberá informar al Chief Technology Officer.

Uso de Internet

  1. Cuando se visita un sitio web, pueden utilizarse tecnologías como cookies, etiquetas o web beacons para permitir al propietario del sitio identificar y supervisar a los visitantes. Si el sitio web es del tipo descrito en el apartado 10.11.2 a continuación, dicho identificador podría resultar embarazoso tanto para el visitante como para nosotros, especialmente si se ha accedido, descargado, almacenado o reenviado material inapropiado desde el sitio web. En determinadas circunstancias, dichas acciones también pueden constituir un delito penal, por ejemplo, si el material es de naturaleza pornográfica. Esta cuestión se aborda con más detalle en Uso inapropiado de equipos y sistemas, en el apartado 10.11 siguiente.
  2. Por lo tanto, no deberá acceder a ninguna página web ni a ningún archivo (ya sean documentos, imágenes u otros) descargado de Internet que pueda considerarse de cualquier modo ilegal, ofensivo, de mal gusto o inmoral. Aunque el contenido pueda ser legal en el Reino Unido, puede ser lo suficientemente ofensivo como para quedar incluido en esta prohibición. Como regla general, si cualquier persona (estuviera o no prevista como destinataria de la página) pudiera sentirse ofendida por el contenido de una página, o si el hecho de que nuestro software haya accedido a la página o al archivo pudiera resultar embarazoso si se hiciera público, visualizarla constituirá un incumplimiento de esta política.
  3. En ningún caso deberá utilizar los sistemas de ComponentSource para participar en salas de chat de Internet, publicar mensajes en foros de Internet ni crear o registrar texto o información en un blog o wiki, incluso en su tiempo libre. Excepcionalmente, podrán concederse permisos específicos a determinados empleados para acceder y publicar en redes sociales en relación con, y exclusivamente con el fin de, promocionar ComponentSource y su actividad empresarial.

Uso personal de los sistemas

  1. Permitimos el uso ocasional de los sistemas de Internet, correo electrónico y teléfono para enviar correos electrónicos personales, navegar por Internet y realizar llamadas telefónicas personales, sujeto a determinadas condiciones establecidas a continuación. El uso personal es un privilegio y no un derecho. No deberá abusarse de él ni utilizarse en exceso, y nos reservamos el derecho de retirar nuestro permiso en cualquier momento.
  2. Para que continúe permitiéndose el uso personal deberán cumplirse las siguientes condiciones:
    1. el uso deberá ser mínimo y realizarse principalmente fuera del horario laboral normal (es decir, durante la hora del almuerzo, antes de las 9:00 o después de las 17:30), salvo en casos de emergencia;
    2. los correos electrónicos personales deberán marcarse como "personal" en el asunto;
    3. el uso no deberá interferir con compromisos empresariales o de oficina;
    4. el uso no deberá ocasionarnos ningún coste marginal; y
    5. el uso deberá cumplir nuestras políticas, incluida la Política de Igualdad de Oportunidades, la Política contra el Acoso y la Intimidación, la Política de Protección de Datos y el Procedimiento Disciplinario (véase el apartado 10.7 anterior, Etiqueta y contenido del correo electrónico, y el apartado 10.8 anterior, Uso de Internet).
  3. Deberá tener en cuenta que el uso personal de nuestros sistemas puede ser supervisado (véase el apartado 10.9.10 siguiente) y que, cuando se detecten infracciones de esta política, podrán adoptarse medidas conforme a nuestro Procedimiento Disciplinario. Nos reservamos el derecho de restringir o impedir el acceso a determinados números de teléfono o sitios de Internet si consideramos excesivo el uso personal.
  4. No tiene derecho a hacer que se le envíe correo personal a ComponentSource. No tenemos forma de saber si un envío concreto puede no estar relacionado con la actividad de la Empresa y todo el correo entrante se abre de forma rutinaria. Esto se aplica incluso al correo marcado como ‘personal’ y/o ‘privado y confidencial’.
  5. Teléfonos móviles: Si se le proporciona un teléfono móvil o de automóvil, deberá utilizarse principalmente para llamadas telefónicas empresariales. Si el teléfono se utiliza para llamadas privadas, nos reservamos el derecho de exigirle el reembolso del coste de dichas llamadas. Deberá cuidar el teléfono y asegurarse de que esté protegido en todo momento. En caso de robo, deberá informar inmediatamente a su Manager directo o al Financial Director. En ausencia de ambos, deberá adoptar todas las medidas razonables para garantizar que el proveedor de servicios desconecte el teléfono. El teléfono móvil y cualquier accesorio deberán devolverse inmediatamente si así lo solicita su Manager directo o al finalizar su relación laboral.

Supervisión del uso de los sistemas

  1. Nuestros sistemas nos permiten supervisar las comunicaciones telefónicas, de correo electrónico, buzón de voz, Internet y otras comunicaciones. Por razones empresariales y para cumplir nuestras obligaciones legales como empleador, el uso de nuestros sistemas, incluidos los sistemas telefónicos e informáticos, así como cualquier uso personal de los mismos, puede ser supervisado de forma continua. La supervisión solo se realizará en la medida permitida o exigida por la ley y cuando sea necesaria y justificable para fines empresariales.
  2. Los sistemas CCTV supervisan el exterior de nuestros edificios las 24 horas del día. Estos datos se registran.
  3. Nos reservamos el derecho de recuperar el contenido de mensajes o comprobar búsquedas realizadas en Internet para los siguientes fines (esta lista no es exhaustiva):
    • supervisar si el uso del sistema de correo electrónico o de Internet es legítimo y cumple nuestras políticas;
    • encontrar mensajes perdidos o recuperar mensajes perdidos debido a un fallo informático;
    • ayudar en la investigación de actos indebidos; o
    • cumplir cualquier obligación legal.

Uso inapropiado de equipos y sistemas

  1. El acceso a Internet, teléfonos y otros sistemas electrónicos se concede únicamente para fines empresariales legítimos. Se permite un uso personal ocasional siempre que cumpla plenamente nuestras normas, políticas y procedimientos (incluida esta política, la Política de Igualdad de Oportunidades, la Política contra el Acoso y la Intimidación, la Política de Protección de Datos y el Procedimiento Disciplinario). Véase el apartado 9.9 anterior, Uso personal de los sistemas.
  2. El uso indebido, excesivo o abusivo de nuestro sistema telefónico o de correo electrónico, o el uso inapropiado de Internet en incumplimiento de esta política, se tratará conforme a nuestro Procedimiento Disciplinario. El uso indebido de Internet puede, en determinadas circunstancias, constituir un delito penal. En particular, el uso indebido del sistema de correo electrónico o el uso inapropiado de Internet mediante la participación en juegos de azar en línea o cadenas de mensajes, o mediante la creación, visualización, acceso, transmisión o descarga de cualquiera de los siguientes materiales, constituirá una falta grave (esta lista no es exhaustiva):
    • material pornográfico (es decir, textos, imágenes, películas y videoclips de naturaleza sexualmente explícita o excitante);
    • material ofensivo, obsceno o delictivo, o material susceptible de causarnos vergüenza a nosotros o a nuestros clientes;
    • una declaración falsa y difamatoria sobre cualquier persona u organización;
    • material discriminatorio, ofensivo, despectivo o que pueda causar vergüenza a terceros;
    • información confidencial sobre nosotros o cualquiera de nuestros empleados o clientes (a la que no tenga autorización para acceder);
    • cualquier otra declaración susceptible de generar responsabilidad (ya sea penal o civil, para usted o para nosotros); o
    • material que infrinja derechos de autor.
  3. Cualquier acción de este tipo se tratará con gran seriedad y probablemente dará lugar a un despido inmediato.
  4. Cuando se encuentren pruebas de uso indebido, podremos llevar a cabo una investigación más detallada de conformidad con nuestro Procedimiento Disciplinario, incluida la revisión y divulgación de los registros de supervisión a las personas designadas para realizar la investigación y a cualquier testigo o Manager implicado en el Procedimiento Disciplinario. Si fuera necesario, dicha información podrá entregarse a la policía en relación con una investigación penal.

Supervisión y revisión de esta política

  1. El Chief Technology Officer, junto con el Financial Director, es responsable de revisar periódicamente esta política para garantizar que cumple los requisitos legales y refleja las mejores prácticas.
  2. El Financial Director es responsable de garantizar que cualquier persona que pueda participar en la administración o investigaciones realizadas conforme a esta política tenga o reciba la formación y/o las instrucciones adecuadas para poder desempeñar estas funciones.
  3. Se invita a los empleados a realizar comentarios sobre esta política y sugerir formas de mejorarla poniéndose en contacto con el Chief Technology Officer o el Financial Director.

Plan de recuperación ante desastres

  1. El Chief Technology Officer (CTO) es responsable de crear, implementar y mantener un Plan de Recuperación ante Desastres adecuado para las actividades de la Empresa, concretamente la capacidad de restaurar el acceso y la funcionalidad de la infraestructura de TI de la Empresa tras un desastre, ya sea natural o causado por acciones o errores humanos, con el fin de garantizar que las funciones empresariales críticas vuelvan a estar operativas lo antes posible después de que se produzca un incidente disruptivo.
  2. El mantenimiento requiere la correcta replicación y copia de seguridad de los datos y la infraestructura de TI en puntos de restauración específicos con el fin de recuperar la funcionalidad y el control de los sistemas que resulten infectados, comprometidos o inoperativos por cualquier motivo.
  3. El CTO realiza periódicamente pruebas de recuperación ante desastres para ayudar a identificar posibles debilidades o deficiencias en el Plan de Recuperación ante Desastres de la Empresa y garantizar que los procesos estratégicos existentes restauren eficazmente los sistemas y datos críticos en caso de incidente, permitiendo a la Empresa recuperar el control de sus sistemas de TI.
  4. La ciberseguridad es un ámbito cada vez más habitual en el que la recuperación ante desastres es fundamental para gestionar amenazas. Puede adoptar muchas formas, incluidos phishing, hacking, ransomware, malware, interrupción o denegación de servicio y ataques internos. ComponentSource ha desarrollado un Procedimiento de Respuesta ante Ciberataques como parte integrante de su Plan de Recuperación ante Desastres. Este Procedimiento aborda la detección, evaluación y respuesta a ciberataques que amenacen la confidencialidad, integridad o disponibilidad de sus sistemas y datos, y tiene como objetivo garantizar que todos estos incidentes se gestionen de forma rápida, legal y transparente, minimizando los daños para el negocio, sus clientes y los interesados.

Procedimiento de respuesta ante ciberataques

  1. Este Procedimiento se aplica a todos los empleados, contratistas y terceros con acceso a sistemas de TI, redes, plataformas en la nube o datos de ComponentSource (incluidos datos personales).
  2. Además de sus repercusiones operativas y comerciales, los ciberataques también pueden generar obligaciones en virtud de diversas leyes y normativas aplicables, incluidos, por ejemplo, los GDPR de la UE y del Reino Unido, legislación sobre uso indebido de sistemas informáticos, legislación contra el blanqueo de capitales, leyes de privacidad del consumidor de California (CCPA) y el EU-US Data Privacy Framework, incluida la UK Extension to the DPF.
  3. ComponentSource mantendrá sólidas medidas de defensa para minimizar el riesgo de ciberataques, incluidos firewalls de red, sistemas de detección de intrusiones, programas de gestión de parches y vulnerabilidades, autenticación multifactor, pruebas periódicas de penetración y formación de concienciación del personal.
  4. La detección oportuna y la notificación precisa de posibles ciberataques son esenciales para limitar los daños, y todos los empleados, contratistas u otras partes que trabajen en nombre de la Empresa deben permanecer atentos a señales de comportamiento inusual del sistema, de la red o de los usuarios y notificar inmediatamente cualquier indicio sospechoso al CIO. Los indicios de un posible ciberataque incluyen comportamiento anómalo del sistema y de la red, apagados, bloqueos o reinicios repentinos o inexplicables del sistema, tráfico de red inusualmente elevado (especialmente fuera del horario laboral normal), cambios de configuración no autorizados o ajustes del firewall desactivados, archivos bloqueados o inaccesibles con extensiones desconocidas o eliminación o modificación inexplicable de registros o configuraciones del sistema.

    Otros indicios pueden incluir múltiples intentos fallidos de inicio de sesión, inicios de sesión desde ubicaciones geográficas inesperadas, creación de nuevas cuentas inesperadas, correos electrónicos no solicitados o sospechosos, contenido de sitios web desfigurado o modificado, clientes que informan de ventanas emergentes o redireccionamientos, eliminaciones de datos inexplicables y un rendimiento persistentemente lento, sobrecalentamiento, picos de uso de recursos o conexión de dispositivos no autorizados a sistemas corporativos.

  5. Si un empleado, contratista u otra parte que trabaje en nombre de la Empresa sospecha de un ciberataque, deberá dejar de utilizar los sistemas de la Empresa y NO intentar realizar una investigación independiente sin autorización previa expresa e instrucciones del CIO. Cualquier prueba deberá conservarse y no eliminarse, y deberán realizarse capturas de pantalla cuando sea posible.


    Los informes de posibles ciberataques deberán incluir una descripción clara de lo observado, la fecha y hora del incidente, los sistemas y/o aplicaciones y/o datos afectados, así como cualquier acción reciente realizada por el usuario (por ejemplo, descargas, correos electrónicos abiertos, sitios web visitados).

    Si se considera que un incidente supone un riesgo operativo o normativo, también deberá notificarse al DPM.

  6. El procedimiento de respuesta tras la identificación de un ciberataque confirmado o sospechoso es:
    1. Clasificar el incidente como bajo, medio, alto o crítico de la siguiente forma:
      Clasificación Descripción Ejemplos habituales
      Bajo Interrupción menor o localizada, contenida rápidamente y sin compromiso de datos Malware localizado, intento aislado de phishing
      Medio Interrupción con posible exposición de datos o impacto operativo; se requiere un análisis adicional Credenciales comprometidas, acceso no autorizado a datos no personales
      Alto Violación de datos confirmada o sospechosa, infección por ransomware o interrupción operativa significativa Brote de malware en todo el sistema, infiltración de datos, ataque de denegación de servicio
      Crítico Incidente grave que afecta a sistemas esenciales, pérdida de datos a gran escala o impacto normativo nacional Interrupción catastrófica del servicio, violación confirmada de datos personales con alto riesgo para las personas
    2. Para incidentes clasificados como Medios o superiores, el CIO iniciará medidas de contención, que pueden incluir aislar los sistemas o dispositivos afectados de la red, revocar credenciales comprometidas, bloquear IPs o dominios maliciosos conocidos, deshabilitar el acceso remoto o las integraciones si se sospecha que han sido comprometidos y garantizar que no se destruya ninguna prueba durante esta fase de contención.
    3. Realizar una investigación inicial para determinar aspectos como la cronología, los sistemas afectados, la naturaleza y sensibilidad de los datos implicados, recopilando pruebas y copias de registros, imágenes y artefactos para su almacenamiento seguro con referencia al número único del incidente.
    4. Escalar el incidente a los responsables sénior correspondientes, incluidos el CFO y el CEO, quienes determinarán (con asesoramiento legal si fuera necesario) si son necesarias notificaciones externas, como al UK Information Commissioner’s Office, a las autoridades policiales y según lo exigido contractualmente. Si se ha producido una violación de datos personales, el DPM evaluará y documentará el incidente en el Registro de Violaciones de Datos de la Empresa. Si existe un alto riesgo para los derechos de las personas afectadas, el DPM informará a dichas personas sin demora indebida conforme a los GDPR de la UE y del Reino Unido. Toda comunicación externa se documentará con números de referencia, fechas de presentación y personal responsable.
    5. Tras la contención y la investigación, el CIO gestionará una fase de Erradicación para garantizar que se elimine todo código malicioso, puertas traseras o cuentas no autorizadas.


      La recuperación restaurará las operaciones normales mediante la verificación de la integridad de los sistemas y la aplicación de parches, la restauración desde copias de seguridad limpias y verificadas, pruebas de validación para confirmar que los sistemas son seguros antes de volver a conectarlos a la red y la supervisión continua para detectar recurrencias durante un periodo definido posterior al incidente (por ejemplo, 30 días).

    6. El CIO realizará una Revisión posterior al incidente, convocando una reunión de Revisión, para evaluar la eficacia de la respuesta y la comunicación, identificar deficiencias procedimentales o técnicas, acordar acciones de mejora y asignación de responsabilidades y actualizar las políticas y la formación pertinentes según sea necesario.
    7. La información relacionada con cualquier ciberataque o investigación es estrictamente confidencial y su divulgación se limita al personal autorizado y, cuando sea necesario, a organismos reguladores y fuerzas del orden. La difusión no autorizada de detalles de incidentes, tanto interna como externamente, se tratará como una cuestión disciplinaria.
    8. La siguiente tabla describe el mantenimiento de registros que deberá establecerse y conservarse, según corresponda a cada incidente de ciberseguridad:
      Tipo de registro Finalidad/Descripción Periodo mínimo de conservación Equipo/Rol responsable Método de eliminación o revisión
      Informes y notificaciones de incidentes Informes iniciales y de seguimiento presentados mediante el Procedimiento de Notificación de Ciberataques, incluidas alertas internas y notificaciones externas a organismos reguladores, aseguradoras o fuerzas del orden. 6 años desde el cierre o el último contacto. Por ejemplo, CIO o DPM Destrucción segura o anonimización tras el periodo de conservación; ampliar si continúan los procedimientos.
      Informes de respuesta a incidentes y expedientes de casos Documentación completa de incidentes de ciberseguridad o seguridad de datos. 6 años desde la fecha del incidente o su cierre. Por ejemplo, DPM Destrucción segura o anonimización tras el periodo de conservación; conservar durante más tiempo si existen acciones legales en curso.
      Registros de contención y recuperación Registros de medidas inmediatas de contención, aislamiento y recuperación (por ejemplo, segmentación de red, restablecimiento de credenciales, aplicación de parches). 6 años desde el cierre del incidente. Por ejemplo, CIO Eliminación segura después de la revisión; ampliar cuando se requieran análisis o seguimiento.
      Notas de investigación y análisis Materiales de investigación forense, cronologías y notas de analistas que documenten el vector de ataque, el alcance y el impacto. 6 años Por ejemplo, CIO Destrucción segura o anonimización después del periodo de conservación.
      Artefactos forenses e imágenes de pruebas Imágenes de disco, capturas de paquetes, muestras de malware y otros artefactos probatorios conservados para un posible uso legal o normativo. 6 años o hasta que finalicen todos los asuntos (lo que sea más largo). Por ejemplo, DPM Borrado criptográfico bajo supervisión de la cadena de custodia; destrucción registrada.
      Registro de incidentes Registro maestro de todos los incidentes, clasificaciones, acciones, decisiones y resultados. Registro permanente (conservar indefinidamente o archivar después de 10 años). Por ejemplo, DPM Almacenamiento seguro en archivo; revisión periódica cada 5 años.
      Comunicaciones externas (Clientes, Organismos reguladores, Aseguradoras, Fuerzas del orden) Avisos oficiales, correspondencia y comunicados de prensa relacionados con el incidente. 6 años. Por ejemplo, DPM Destrucción segura tras el periodo de conservación; ampliar si continúan los procedimientos.
      Comunicaciones y contratos con terceros Correspondencia con proveedores y socios, SLA y documentación de proveedores de reparación o análisis forense. 6 años después de la resolución del incidente / terminación del contrato. Por ejemplo, Asesor Jurídico Eliminación segura o anonimización después del periodo de conservación.
      Informes de revisión posterior al incidente y planes de mejora Documentación de lecciones aprendidas, actas de revisión y seguimiento de acciones correctivas tras el cierre del incidente. 6 años. Por ejemplo, DPM Eliminación segura o anonimización después del periodo de conservación; archivar un resumen para la pista de auditoría.
      Informes de auditoría y cumplimiento (Seguridad, Técnicos, Gobernanza) Informes de auditoría independientes o internos que confirmen la eficacia de controles o medidas correctivas. 6 años desde la fecha del informe. Por ejemplo, DPM Destrucción segura o anonimización después del periodo de conservación.
      Registros del sistema y de red Registros que acrediten actividad del sistema, detección de intrusiones y reconstrucción forense. Mínimo 12 meses (ampliar para investigaciones). Por ejemplo, CIO Eliminación segura o anonimización después de la revisión y cierre.
      Registros de control de acceso y autenticación Inicios de sesión de usuarios, cambios de privilegios e intentos de acceso para verificar responsabilidades. 12 meses. Por ejemplo, CIO Eliminación segura o anonimización; ampliar cuando sea necesario para análisis.
      Registros de copias de seguridad y recuperación Confirmación del éxito, integridad y pruebas de restauración de copias de seguridad. 6–12 meses según la criticidad del sistema. Por ejemplo, CIO Eliminación segura / sobrescritura después de la rotación programada.
      Registros de formación y concienciación en ciberseguridad Prueba de finalización de programas de formación y concienciación para todo el personal y contratistas. Duración del empleo + 6 años. Por ejemplo, CFO Destrucción segura después del periodo de conservación; ampliar para asuntos legales / disciplinarios.
      Registros disciplinarios y de investigaciones de empleados (Relacionados con ciberseguridad) Investigaciones de empleados sobre uso indebido, negligencia o incumplimiento de políticas. Duración del empleo + 6 años. Por ejemplo, CFO Destrucción segura o anonimización después del periodo de conservación; ampliar si existe un caso activo.
      Pruebas de concienciación de seguridad y simulaciones de phishing Resultados de pruebas al personal para medir la concienciación y resiliencia frente a amenazas cibernéticas. 3 años. Por ejemplo, CFO, DPM, CIO Eliminación segura o anonimización después del periodo de conservación.
      Resultados de simulaciones Registros de simulaciones de respuesta a incidentes o ejercicios de preparación. 3 años. Por ejemplo, CIO Eliminación segura después del periodo de conservación; conservar resúmenes para registros de formación.
      Reclamaciones de seguros y correspondencia Notificaciones, formularios de reclamaciones y comunicaciones de aseguradoras derivadas de un incidente cibernético. 6 años desde el cierre de la reclamación. Por ejemplo, Asesor Jurídico Destrucción segura después del periodo de conservación; ampliar si continúa una disputa.
      Comprobaciones financieras y de sanciones (SAMLA 2018) Prueba de comprobaciones de sanciones y AML realizadas antes de autorizar pagos (por ejemplo, pagos de ransomware o tarifas de proveedores). 6 años. Por ejemplo, Asesor Jurídico Destrucción segura después del periodo de conservación; conservar confirmación de auditoría.
      Informes de Terrorism Act 2000 / Proceeds of Crime Act 2002 Registros de Suspicious Activity Reports o comunicaciones con la NCA conforme a legislación sobre terrorismo o productos del delito. 6 años desde la presentación o cierre. Por ejemplo, Asesor Jurídico Almacenamiento seguro en archivo; destrucción tras el periodo de conservación con autorización de la NCA.
      Asesoramiento y opiniones jurídicas Asesoramiento jurídico externo o interno obtenido durante la respuesta al incidente. 6 años desde el cierre. Por ejemplo, Asesor Jurídico Destrucción segura después del periodo de conservación; conservar copias protegidas con acceso seguro

CSCSP 10/2025