Política de Seguridad (ISO 27001)
Última actualización: octubre de 2026
1. Declaración de la Dirección
CertiTrue LLC se compromete a proteger la confidencialidad, integridad y disponibilidad de todos los activos de información que nos confían nuestros clientes, empleados y socios. La alta dirección respalda formalmente esta Política de Seguridad de la Información y ordena su implantación en toda la organización.
Esta política se revisa al menos una vez al año y siempre que se produzcan cambios significativos en el negocio o en el panorama de amenazas. Todo el personal está obligado a leer, comprender y cumplir esta política y los procedimientos de apoyo que se derivan de ella.
2. Alcance del SGSI
El Sistema de Gestión de Seguridad de la Información (SGSI) de CertiTrue LLC abarca todos los procesos, sistemas, personas e instalaciones involucrados en el diseño, desarrollo, entrega y soporte de servicios de certificación, incluyendo plataformas basadas en la nube, entornos de trabajo remoto y relaciones con terceros en la cadena de suministro.
El SGSI está alineado con la norma ISO/IEC 27001:2022 y se aplica a todos los empleados fijos, contratistas, consultores y cualquier otra parte que acceda a los activos de información de CertiTrue.
3. Objetivos de Seguridad — Tríada CIA
CertiTrue establece y persigue los siguientes objetivos de seguridad, revisados anualmente por la alta dirección:
Confidencialidad — Garantizar que la información sea accesible únicamente para quienes estén autorizados a acceder a ella. El acceso se concede con base en el principio de mínimo privilegio y necesidad de conocer, y se revisa trimestralmente.
Integridad — Salvaguardar la exactitud y completitud de la información y los métodos de tratamiento. Los cambios en sistemas y datos críticos están sujetos a controles formales de gestión del cambio.
Disponibilidad — Garantizar que los usuarios autorizados tengan acceso fiable y oportuno a la información y los sistemas cuando lo necesiten. Los objetivos de disponibilidad se definen en los acuerdos de nivel de servicio y se respaldan con planes de resiliencia y continuidad.
4. Controles del Anexo A
CertiTrue implanta un conjunto completo de controles tomados del Anexo A de la norma ISO/IEC 27001:2022, seleccionados en función de la evaluación de riesgos y documentados en la Declaración de Aplicabilidad.
Controles organizativos (Cláusula 5) — Las políticas de seguridad de la información, los roles y responsabilidades, la segregación de funciones, el contacto con las autoridades, la inteligencia sobre amenazas y las relaciones con proveedores se gestionan y documentan de manera formal.
Controles sobre las personas (Cláusula 6) — La concienciación y formación en seguridad son obligatorias para todo el personal en el momento de la incorporación y, posteriormente, con carácter anual. Se realiza verificación de antecedentes antes del inicio de la relación laboral. Se aplican procedimientos disciplinarios ante incumplimientos de la política de seguridad. Al cese de la relación laboral, los derechos de acceso se revocan de inmediato.
Controles físicos (Cláusula 7) — Se mantienen perímetros de seguridad física, controles de acceso y protección frente a amenazas ambientales en todas las instalaciones. Se aplican las políticas de puesto y pantalla limpios. Los equipos se eliminan o reutilizan siguiendo procedimientos formales de seguridad.
Controles tecnológicos (Cláusula 8) — Los dispositivos de los usuarios, la gestión de accesos privilegiados, la restricción de acceso a la información, la autenticación, la criptografía, el ciclo de vida seguro del desarrollo, la gestión de vulnerabilidades, la seguridad de redes y la monitorización se rigen por estándares técnicos detallados. Los registros se conservan durante un mínimo de 12 meses.
5. Gestión de Riesgos y Declaración de Aplicabilidad
CertiTrue sigue un proceso estructurado de gestión de riesgos conforme a la norma ISO/IEC 27005. Los riesgos se identifican, analizan, evalúan y tratan de manera regular y siempre que se produzcan cambios materiales en el negocio o en su entorno.
Se asignan propietarios de riesgo para cada riesgo identificado. Los riesgos aceptados se documentan formalmente y son aprobados por la alta dirección. El registro de riesgos se revisa al menos anualmente.
La Declaración de Aplicabilidad (DoA) enumera los 93 controles del Anexo A de la norma ISO/IEC 27001:2022, indicando cuáles son aplicables, la justificación de su inclusión o exclusión y el estado de implantación. La DoA es un documento controlado, mantenido por el Responsable de Seguridad de la Información y aprobado por el Director General.
6. Gestión de Incidentes y Notificación de Brechas de Seguridad
CertiTrue dispone de un procedimiento documentado de gestión de incidentes que abarca la detección, clasificación, respuesta, recuperación y revisión postincidente. Todo el personal está obligado a comunicar de inmediato los incidentes de seguridad sospechosos al equipo de seguridad en info@certitrue.com.
En caso de una brecha de seguridad que afecte a datos de carácter personal, CertiTrue notificará a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas desde que tenga conocimiento de la misma, cuando sea probable que la brecha suponga un riesgo para los derechos y libertades de las personas físicas, de conformidad con el RGPD y la normativa española aplicable. Cuando sea factible, los interesados afectados también serán notificados sin dilación indebida.
Se realizan revisiones postincidente para todos los incidentes significativos, y las lecciones aprendidas se incorporan al proceso de gestión de riesgos y a las actividades de mejora de controles.
7. Continuidad del Negocio
CertiTrue integra los requisitos de seguridad de la información en su planificación de la continuidad del negocio. Los análisis de impacto en el negocio identifican los procesos críticos y sus objetivos de tiempo y punto de recuperación.
Los planes de continuidad del negocio y los procedimientos de recuperación ante desastres se documentan, se prueban al menos anualmente y se actualizan tras cualquier cambio organizativo o técnico significativo. Los procedimientos de copia de seguridad garantizan que los datos puedan restaurarse en los plazos definidos. Los planes de continuidad son responsabilidad de la alta dirección y están disponibles para el personal pertinente en todo momento.
8. Auditoría Interna y Revisión por la Dirección
CertiTrue realiza auditorías internas del SGSI en intervalos planificados, como mínimo anuales, para verificar la conformidad con la norma ISO/IEC 27001:2022, esta política y los requisitos legales y reglamentarios aplicables. Los auditores internos son independientes del área auditada.
Los hallazgos de auditoría se comunican a la alta dirección. Las no conformidades se abordan mediante un proceso formal de acciones correctivas con responsables definidos y fechas objetivo de cierre.
La alta dirección revisa el SGSI al menos anualmente. Las entradas incluyen los resultados de las auditorías, el estado del tratamiento de riesgos, las tendencias en incidentes de seguridad, la retroalimentación de las partes interesadas y las oportunidades de mejora. Las salidas incluyen decisiones sobre acciones de mejora continua, asignación de recursos y cualquier cambio necesario en la política.
9. Contacto
Para consultas o dudas sobre esta política o las prácticas de seguridad de la información de CertiTrue, póngase en contacto con:
CertiTrue LLC
EIN 36-5132620
Miami, FL, Estados Unidos