Política de Seguretat (ISO 27001)
Última actualització: octubre de 2026
1. Declaració de la Direcció
CertiTrue LLC es compromet a protegir la confidencialitat, la integritat i la disponibilitat de tots els actius d'informació que ens confien els nostres clients, empleats i socis. L'alta direcció avala formalment aquesta Política de Seguretat de la Informació i n'ordena la implantació a tota l'organització.
Aquesta política es revisa almenys un cop a l'any i sempre que es produeixin canvis significatius en el negoci o en el panorama d'amenaces. Tot el personal està obligat a llegir, comprendre i complir aquesta política i els procediments de suport que se'n deriven.
2. Abast del SGSI
El Sistema de Gestió de Seguretat de la Informació (SGSI) de CertiTrue LLC abasta tots els processos, sistemes, persones i instal·lacions implicats en el disseny, el desenvolupament, el lliurament i el suport de serveis de certificació, incloent-hi plataformes basades en el núvol, entorns de treball remot i relacions amb tercers a la cadena de subministrament.
El SGSI està alineat amb la norma ISO/IEC 27001:2022 i s'aplica a tots els empleats fixos, contractistes, consultors i qualsevol altra part que accedeixi als actius d'informació de CertiTrue.
3. Objectius de Seguretat — Tríada CIA
CertiTrue estableix i persegueix els objectius de seguretat següents, revisats anualment per l'alta direcció:
Confidencialitat — Garantir que la informació sigui accessible únicament per a les persones autoritzades. L'accés es concedeix amb base en el principi de mínim privilegi i necessitat de conèixer, i es revisa trimestralment.
Integritat — Salvaguardar l'exactitud i la completesa de la informació i dels mètodes de tractament. Els canvis en sistemes i dades crítics estan subjectes a controls formals de gestió del canvi.
Disponibilitat — Garantir que els usuaris autoritzats tinguin accés fiable i oportú a la informació i als sistemes quan ho necessitin. Els objectius de disponibilitat es defineixen en els acords de nivell de servei i es reforcen amb plans de resiliència i continuïtat.
4. Controls de l'Annex A
CertiTrue implanta un conjunt complet de controls extrets de l'Annex A de la norma ISO/IEC 27001:2022, seleccionats en funció de l'avaluació de riscos i documentats en la Declaració d'Aplicabilitat.
Controls organitzatius (Clàusula 5) — Les polítiques de seguretat de la informació, els rols i responsabilitats, la segregació de funcions, el contacte amb les autoritats, la intel·ligència sobre amenaces i les relacions amb proveïdors es gestionen i documenten de manera formal.
Controls sobre les persones (Clàusula 6) — La conscienciació i la formació en seguretat són obligatòries per a tot el personal en el moment de la incorporació i, posteriorment, amb caràcter anual. Es fa una verificació d'antecedents abans de l'inici de la relació laboral. S'apliquen procediments disciplinaris davant incompliments de la política de seguretat. En cessar la relació laboral, els drets d'accés es revoquen immediatament.
Controls físics (Clàusula 7) — Es mantenen perímetres de seguretat física, controls d'accés i protecció davant amenaces ambientals a totes les instal·lacions. S'apliquen les polítiques de lloc de treball i pantalla nets. Els equips es eliminen o es reutilitzen seguint procediments formals de seguretat.
Controls tecnològics (Clàusula 8) — Els dispositius dels usuaris finals, la gestió d'accessos privilegiats, la restricció d'accés a la informació, l'autenticació, la criptografia, el cicle de vida segur del desenvolupament, la gestió de vulnerabilitats, la seguretat de xarxes i la monitorització es regeixen per estàndards tècnics detallats. Els registres es conserven durant un mínim de 12 mesos.
5. Gestió de Riscos i Declaració d'Aplicabilitat
CertiTrue segueix un procés estructurat de gestió de riscos d'acord amb la norma ISO/IEC 27005. Els riscos s'identifiquen, s'analitzen, s'avaluen i es tracten de manera regular i sempre que es produeixin canvis materials en el negoci o en el seu entorn.
S'assignen propietaris de risc per a cada risc identificat. Els riscos acceptats es documenten formalment i són aprovats per l'alta direcció. El registre de riscos es revisa almenys anualment.
La Declaració d'Aplicabilitat (DA) enumera els 93 controls de l'Annex A de la norma ISO/IEC 27001:2022, indicant quins són aplicables, la justificació de la seva inclusió o exclusió i l'estat d'implantació. La DA és un document controlat, mantingut pel Responsable de Seguretat de la Informació i aprovat pel Director General.
6. Gestió d'Incidents i Notificació de Bretxes de Seguretat
CertiTrue disposa d'un procediment documentat de gestió d'incidents que cobreix la detecció, la classificació, la resposta, la recuperació i la revisió postincident. Tot el personal està obligat a comunicar immediatament els incidents de seguretat sospitosos a l'equip de seguretat a info@certitrue.com.
En cas d'una bretxa de seguretat que afecti dades de caràcter personal, CertiTrue notificarà l'Agència Espanyola de Protecció de Dades (AEPD) en un termini màxim de 72 hores des que en tingui coneixement, quan sigui probable que la bretxa suposi un risc per als drets i les llibertats de les persones físiques, de conformitat amb el RGPD i la normativa espanyola aplicable. Quan sigui factible, els interessats afectats també seran notificats sense dilació indeguda.
Es realitzen revisions postincident per a tots els incidents significatius, i les lliçons apreses s'incorporen al procés de gestió de riscos i a les activitats de millora de controls.
7. Continuïtat del Negoci
CertiTrue integra els requisits de seguretat de la informació en la seva planificació de la continuïtat del negoci. Les anàlisis d'impacte en el negoci identifiquen els processos crítics i els seus objectius de temps i punt de recuperació.
Els plans de continuïtat del negoci i els procediments de recuperació davant desastres es documenten, es proven almenys anualment i s'actualitzen després de qualsevol canvi organitzatiu o tècnic significatiu. Els procediments de còpia de seguretat garanteixen que les dades puguin restaurar-se en els terminis definits. Els plans de continuïtat són responsabilitat de l'alta direcció i estan disponibles per al personal pertinent en tot moment.
8. Auditoria Interna i Revisió per la Direcció
CertiTrue realitza auditories internes del SGSI en intervals planificats, com a mínim anuals, per verificar la conformitat amb la norma ISO/IEC 27001:2022, aquesta política i els requisits legals i reglamentaris aplicables. Els auditors interns són independents de l'àrea auditada.
Les troballes de les auditories es comuniquen a l'alta direcció. Les no conformitats s'aborden mitjançant un procés formal d'accions correctives amb responsables definits i dates objectiu de tancament.
L'alta direcció revisa el SGSI almenys anualment. Les entrades inclouen els resultats de les auditories, l'estat del tractament de riscos, les tendències d'incidents de seguretat, la retroalimentació de les parts interessades i les oportunitats de millora. Les sortides inclouen decisions sobre accions de millora contínua, assignació de recursos i qualsevol canvi necessari en la política.
9. Contacte
Per a consultes o dubtes sobre aquesta política o les pràctiques de seguretat de la informació de CertiTrue, poseu-vos en contacte amb:
CertiTrue LLC
EIN 36-5132620
Miami, FL, Estats Units