Política de Seguridad y Resiliencia

Medusa Servicios Empresariales reconoce la importancia de la seguridad de la información para proteger sus activos, garantizar la continuidad del negocio y cumplir con las obligaciones legales y contractuales. Esta política se basa en los principios de las normas ISO 27001 y ISO 22301 estableciendo un marco para gestionar y proteger la información de la organización, garantizar la continuidad del negocio y proporcionar un entorno confiable.

1. Alcance Esta política se aplica a:

Toda la información generada, recibida o gestionada por Medusa Servicios Empresariales.
Los sistemas de información, recursos tecnológicos y procesos relacionados.
Todos los empleados, contratistas, proveedores y terceras partes que accedan o gestionen información de Medusa Servicios Empresariales.
Todos los procesos clave identificados en el sistema de gestión integrado de Medusa Servicios Empresariales

Toda la información generada, recibida o gestionada por Medusa Servicios Empresariales.
Los sistemas de información, recursos tecnológicos y procesos relacionados.
Todos los empleados, contratistas, proveedores y terceras partes que accedan o gestionen información de Medusa Servicios Empresariales.
Todos los procesos clave identificados en el sistema de gestión integrado de Medusa Servicios Empresariales.

2. Objetivo

El objetivo principal de esta política es garantizar la protección de la confidencialidad, integridad y disponibilidad de la información de Medusa Servicios Empresariales mediante la implementación de un Sistema de Gestión de Seguridad de la Información (SGSI) basado en ISO 27001. Además, busca asegurar la continuidad de las operaciones clave de la organización mediante un Sistema de Gestión de Continuidad de Negocio (SGCN) basado en ISO 22301, con los siguientes objetivos específicos:

Identificar y gestionar los riesgos que puedan afectar la continuidad de las operaciones.
Desarrollar planes de respuesta eficaces para asegurar la recuperación de las actividades críticas en plazos aceptables.
Garantizar la resiliencia organizacional frente a interrupciones, minimizando su impacto sobre los servicios.
Proteger los intereses de las partes interesadas y salvaguardar la reputación de Medusa Servicios Empresariales.
Establecer un marco para la mejora continua en materia de continuidad del negocio.

3. Principios

3.1 Confidencialidad: Garantizar que la información sea accesible solo para las personas autorizadas.

3.2 Integridad: Asegurar que la información y sus métodos de procesamiento sean precisos y completos.

3.3 Disponibilidad: Asegurar que los usuarios autorizados tengan acceso a la información y activos asociados cuando lo requieran.

3.4 Continuidad del Negocio: Garantizar que Medusa Servicios Empresariales pueda operar de manera continua frente a interrupciones o crisis, minimizando el impacto sobre los servicios críticos y protegiendo los intereses de las partes interesadas.

3.5 Resiliencia Organizacional: Fortalecer la capacidad de Medusa Servicios Empresariales para anticiparse, responder y adaptarse a interrupciones o crisis.

4. Compromisos

Cumplir con las leyes, regulaciones y requisitos contractuales aplicables.
Identificar, evaluar y tratar los riesgos de seguridad de la información y de continuidad del negocio de manera continua.
Promover una cultura de seguridad y resiliencia entre todos los empleados y partes interesadas.
Garantizar la formación y concienciación en seguridad de la información y continuidad del negocio.
Cumplir con los requisitos del Esquema Nacional de Seguridad (ENS), implementando las medidas necesarias según su clasificación y nivel de seguridad.
Diseñar, implementar y mantener un marco de resiliencia que incluya:

Planes de continuidad: Planificación adaptada que defina las acciones necesarias para responder ante interrupciones.
Pruebas y simulacros: Realización periódica de ejercicios para verificar la eficacia de los planes.
Gestión de crisis: Procedimientos para manejar situaciones críticas y restaurar las operaciones lo antes posible.
Revisión y mejora: Revisión continua del SGCN para asegurar su adecuación y efectividad.

Dirección: Liderar e impulsar el SGSI y el SGCN, asignando los recursos necesarios y revisando periódicamente su efectividad.
Responsable de Seguridad de la Información (RSI): Gestionar la implementación, operación y mejora del SGSI.
Responsable de Seguridad de la Información (RSI): Gestionar la implementación, operación y mejora del SGSI.
Empleados y Colaboradores: Cumplir con esta política y los procedimientos relacionados, reportando incidentes de seguridad y apoyando las acciones de

resiliencia y continuidad del negocio.

5. Gestión de Riesgos: Medusa Servicios Empresariales identificará y evaluará los riesgos relacionados con la seguridad de la información y la continuidad del negocio, aplicando controles adecuados para mitigarlos según el contexto organizacional. Adicionalmente, se asegurará el cumplimiento de los principios del ENS relacionados con la gestión de riesgos y resiliencia.

6. Gestión de Incidentes y Continuidad del Negocio Todos los incidentes relacionados con la seguridad de la información deben ser reportados al RSI de manera inmediata. Medusa Servicios Empresariales garantiza una respuesta adecuada para mitigar el impacto y prevenir futuras ocurrencias. El tratamiento de incidentes también seguirá las directrices establecidas por el ENS.

Adicionalmente, Medusa Servicios Empresariales implementará su plan de continuidad del negocio que permite garantizar la operatividad de los procesos críticos ante interrupciones manteniendo una revisión y puesta a prueba periódica para asegurar su eficacia.

7. Cumplimiento y Revisión: Esta política será revisada anualmente o cuando haya cambios significativos en la organización, el entorno legal o los requisitos del SGSI y SGCN. Se realizarán auditorías periódicas para garantizar el cumplimiento, incluyendo las auditorías específicas requeridas por el ENS y la ISO 22301.

8. Comunicación y efectividad: La presente política será comunicada a todos los empleados, colaboradores y partes interesadas relevantes, estando disponible en los canales internos de comunicación de Medusa Servicios Empresariales.

9. Aprobación Esta política ha sido aprobada por la Dirección de Medusa Servicios Empresariales y entra en vigor desde su publicación

La Dirección

Madrid, a 18 de Marzo de 2025