Política de seguridad analizable

Resumen

El presente documento describe los requisitos de seguridad de la información de Parsable, Inc. (Parsable) para todos los empleados. La dirección de Parsable se ha comprometido a cumplir estas políticas de seguridad con el fin de proteger la información que utiliza la empresa para alcanzar sus objetivos comerciales. Parsable ha elaborado este conjunto de políticas de seguridad para dar a conocer los requisitos para el uso seguro de los recursos de la empresa y las operaciones de nuestra oferta de productos SaaS, y representa la estrategia de Parsable sobre cómo aplicará los principios y las tecnologías de seguridad de la información.

Objetivo

El objetivo de esta política es establecer un marco de seguridad diseñado para proteger la confidencialidad, la integridad y la disponibilidad de los activos de información tanto de Parsable como de los clientes frente al acceso no autorizado, ya sea accidental o intencionado, así como frente a la modificación, el daño o la eliminación de los mismos, con el fin de ayudar a Parsable a alcanzar sus objetivos empresariales. Este documento define las medidas de protección de la seguridad de la información a alto nivel dentro de la organización, incluyendo definiciones, funciones, responsabilidades, procedimientos y rendimiento, así como métricas y mecanismos de información. Las normas y procedimientos relacionados con esta política se publican por separado y se actualizan según sea necesario.

Ámbito de aplicación

Esta política se aplica a todos los usuarios de los sistemas de información y los datos de la organización, lo que incluye tanto a los empleados como a los contratistas externos, así como a cualquier parte externa que entre en contacto con los sistemas y la información controlados por la organización (en lo sucesivo, «usuarios»). Los requisitos se aplican a los sistemas informáticos empresariales de Parsable y a los productos SaaS, salvo que se indique expresamente lo contrario.

Definiciones

Las siguientes definiciones se aplican a esta política y a todas las subpolíticas.

Confidencialidad: característica dela información o de los sistemas de información por la que dicha información o dichos sistemas solo están disponibles para entidades autorizadas.
Integridad: característica de la información o de los sistemas de información por la que dicha información o dichos sistemas solo pueden ser modificados por entidades autorizadas y de una manera aprobada.
Disponibilidad: característica de la información o de los sistemas de información por la que las entidades autorizadas pueden acceder a dicha información o a dichos sistemas siempre que sea necesario.
Seguridad de la información: el acto de preservar la confidencialidad, la integridad y la disponibilidad de la información y los sistemas de información.
Norma: comportamientoesperado del usuario al interactuar con los activos de información, basado en la clasificación de seguridad y los requisitos de tratamiento de la información.
Procedimiento: especificacionestécnicas , metodologías e instrucciones específicas relativas a los datos (formato, estructuración, etiquetado, almacenamiento, transmisión, manipulación y generación de informes), así como al uso de los datos.

Objetivos

Los objetivos de la organización en materia de seguridad de la información están en consonancia con sus objetivos empresariales, su estrategia y sus planes. Los objetivos de esta política de seguridad son los siguientes:

Funciones

Responsable de Seguridad de la Información

Esta política exige el nombramiento de un responsable de seguridad de la información (CISO), que se encargue de gestionar el programa de seguridad de la información, el cual incluye procedimientos y políticas diseñados para reducir el riesgo operativo de la empresa mediante la protección de las comunicaciones, los sistemas de información y los activos de la empresa frente a amenazas tanto internas como externas. Entre las funciones generales del CISO se incluyen:

El cargo de CISO no tiene por qué ser necesariamente un puesto independiente, sino que puede recaer en un miembro ya existente del equipo directivo o de gestión operativa, siempre y cuando dicho empleado cuente con la autoridad necesaria para desempeñar una función directiva, así como con los recursos y las capacidades para dedicarse a dicho cargo.

Responsable de Privacidad

Esta política exige el nombramiento de un responsable de privacidad (CPO), que dirija la estrategia de privacidad de Parsable y guíe a su empresa a través del complejo entramado de normativas de protección de datos que afectan a su organización. Entre las funciones generales del CPO se incluyen:

El cargo de responsable de protección de datos no tiene por qué ser necesariamente un puesto independiente, sino que puede recaer en un miembro ya existente del equipo directivo o de gestión operativa, siempre y cuando dicho empleado tenga la autoridad necesaria para desempeñar una función directiva, así como los recursos y las capacidades para dedicarse a dicho cargo.

Equipo de seguridad de la información

Esta política prevé la creación de un equipo de seguridad de la información integrado por miembros del departamento de tecnología:

Este equipo se encarga de velar por el cumplimiento de las normas, responder a los incidentes y aprobar las excepciones.

Comité Directivo de Seguridad de la Información y Privacidad

Esta política prevé la creación del equipo de Seguridad de la Información y Privacidad, que representa diversas funciones de la empresa fundamentales para la protección de los activos de información de Parsable. Este equipo estará compuesto siempre por el CISO y el CPO, así como por representantes de los siguientes departamentos:

Estos miembros del equipo deberán ser nombrados por el departamento por un período de un año y podrán desempeñar sus funciones durante más de un mandato. En caso de que un miembro del equipo abandone el cargo, el departamento deberá nombrar a otro miembro para que asuma sus funciones. Este equipo deberá elegir anualmente a un responsable que no sea el CISO ni el CPO para gestionar el ritmo operativo hasta que haya un empleado a tiempo completo dedicado a dicha tarea. Este equipo es responsable de reunirse dos veces al año para evaluar los riesgos actuales y revisar los indicadores clave de rendimiento.

Responsable de negocio

Cada sistema de información corporativo será propiedad de un único responsable de negocio, que asumirá las responsabilidades presupuestarias y de gobernanza del sistema. Este responsable podrá delegar la administración de todo o parte del sistema al departamento de TI, pero será el responsable de negocio quien rinda cuentas de la aplicación de esta política y de otras relacionadas con los sistemas, los datos y demás recursos de información que gestione.

Responsables de datos de los departamentos

Cada departamento podrá nombrar a uno o varios responsables de datos, que se encargarán de aplicar esta política y otras relacionadas a los sistemas, datos y demás recursos de información que estén bajo su cuidado o control.

Administradores de sistemas

Los administradores de sistemas son responsables de la aplicación de esta política y de otras relacionadas a los sistemas, la información y demás recursos de información que tienen a su cargo, siguiendo las instrucciones de los responsables de datos.

Subpolíticas

Parsable mantiene subpolíticas independientes en subdocumentos separados para los temas de seguridad específicos:

Aplicación

El equipo de seguridad de la información y/o el equipo ejecutivo se encargarán de hacer cumplir este conjunto de políticas. Las infracciones podrán dar lugar a medidas disciplinarias, que podrán incluir la suspensión, la restricción del acceso o sanciones más graves, que pueden llegar a incluir el despido. En caso de que se sospeche de actividades ilegales o del robo de bienes de la empresa (físicos o intelectuales), Parsable podrá denunciar dichas actividades ante las autoridades competentes. Los proveedores externos que incumplan esta política podrán incurrir en responsabilidades económicas, además de la rescisión del contrato. Solo se permitirán excepciones a la política si el CISO las aprueba previamente y por escrito.