Política de seguridad de la información

Actian es una división de HCLSoftware que desarrolla y ofrece una cartera de productos de software de última generación para empresas con modelos de consumo flexibles, que abarca desde el software tradicional instalado en las propias instalaciones hasta PaaS basado en la nube, SaaS y servicios gestionados combinados.

Actian se compromete a proteger los activos de información críticos mediante la implementación y el mantenimiento de un Sistema de Gestión de Seguridad de la Información (SGSI) para ayudar a garantizar que se cumplan los objetivos de seguridad de la información aplicables y que el SGSI sea capaz de adaptarse a los cambios internos y externos.

El objetivo del SGSI es proteger los activos de información de Actian y sus clientes frente a amenazas identificadas, ya sean internas o externas, deliberadas o accidentales.

Los objetivos de la seguridad de la información son:

  • Mantenga la confidencialidad de la información de tal manera que solo las personas autorizadas tengan acceso a ella.
  • Garantizar la integridad de la información.
  • Organizar la disponibilidad de la información de tal manera que solo las personas autorizadas puedan acceder a la información, los activos y los sistemas cuando sea necesario.

Actian se ajusta a la norma ISO/IEC 27001:2022 como estándar de seguridad básico y se extiende a otros estándares de seguridad, por ejemplo, SOC 2 Tipo II.

Actian cuenta con una estructura de gobernanza de la seguridad de la información establecida para gestionar de forma eficaz y eficiente el SGSI, que incluye:

  • Identificación de los activos de información.
  • Gestión de riesgos a un nivel aceptable mediante el diseño, la implementación y el mantenimiento de planes de tratamiento de riesgos.
  • Comunicación de los objetivos de seguridad de la información y del rendimiento en la consecución de dichos objetivos.
  • Desarrollo de programas y formación sobre concienciación en materia de seguridad, según proceda.
  • Cumplimiento de las leyes y normativas locales y de las obligaciones contractuales pertinentes en materia de seguridad de la información.

Esta Política de Seguridad de la Información está respaldada por políticas internas específicas en los siguientes aspectos de la gestión de la seguridad:

  • Gestión de riesgos: los riesgos se gestionan en un ciclo de vida estándar y se informa de su estado a la alta dirección a intervalos regulares.
  • Recursos humanos: incluye controles relacionados con la cultura, las formaciones anuales obligatorias, la comunicación, el proceso de evaluación del rendimiento y el proceso de despido.
  • Seguridad física y ambiental: incluye la seguridad del perímetro del edificio, así como mecanismos de protección seguros para oficinas internas, infraestructura, centros de datos y salas de servidores.
  • Gestión de proveedores: incluye la evaluación de riesgos de los proveedores y acuerdos formales con detalles de cualquier acuerdo de nivel de servicio (SLA) requerido para el producto o servicio suministrado.
  • Gestión de la continuidad del negocio: incluye detalles utilizados para respaldar las copias de seguridad, la recuperación del negocio y la continuidad.
  • Auditoría interna y cumplimiento normativo: un equipo especializado en la gestión de la auditoría interna y el cumplimiento normativo.
  • Gestión de activos:un registro gestionado formalmente para todos los activos en los entornos de HCLSoftware. Cada activo tiene un conjunto estructurado de atributos como definición.
  • Controles de acceso: incluye la definición de identificadores de usuario únicos y controles formales de contraseñas.
  • Criptografía: se aplican estándares de cifrado.
  • Controles de comunicación [redes y cortafuegos]: incluye detalles sobre los niveles de protección establecidos y los controles restringidos para dichos recursos vitales.
  • Adquisición, desarrollo y mantenimiento de sistemas: la adquisición, el desarrollo y el mantenimiento de sistemas de productos y entornos se gestionan según la política.
  • Gestión de incidentes de seguridad de la información: los incidentes de seguridad se registran y gestionan en un ciclo de vida estructurado.
  • Gestión de parches: los parches se aplican en un plazo determinado en función de la gravedad de la vulnerabilidad.
  • Supervisión y registro de seguridad: el equipo especializado del Centro de Operaciones de Seguridad (SOC) recopila y revisa los registros para identificar alertas de actividades no autorizadas.
  • Análisis de vulnerabilidades/pruebas de penetración: se realizan pruebas de penetración independientes al menos una vez al año.
  • Comprobación del estado de los entornos y dispositivos: se basa en los controles de CIS Benchmark.