1. INTRODUCCIÓN

GECIVAL integra la seguridad de la información en el gobierno y en la prestación de sus servicios de ingeniería civil, redacción de proyectos, dirección de obra y asistencia técnica o control-supervisión. La protección alcanza la información técnica y de gestión de los proyectos, los datos de contacto asociados, las credenciales y los servicios y terceros que soportan la prestación dentro del alcance ENS.

La gestión de la seguridad se establece de forma proporcional a la categoría MEDIA del esquema nacional de seguridad y al estándar ISO 27001 y se articula mediante responsabilidades definidas, gestión basada en riesgos, autorizaciones, documentación controlada, gestión de incidentes, continuidad, control de terceros y mejora. El detalle operativo se desarrolla en la normativa, la arquitectura, los procedimientos y los registros o soportes específicos del sistema.

2. OBJETO, FINALIDAD Y ALCANCE

2.1. OBJETO Y FINALIDAD

GECIVAL establece un marco de gobierno y actuación de alto nivel para proteger la información y los servicios incluidos en el sistema ENS, preservando de forma proporcionada la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Este marco determina los compromisos de la Dirección, los principios de seguridad, las responsabilidades y las reglas generales que desarrollan los restantes documentos del sistema.

La finalidad es asegurar que las decisiones de seguridad sean coherentes con el alcance aprobado, la categoría MEDIA, los riesgos identificados, las obligaciones aplicables y la capacidad real de GECIVAL, evitando que la seguridad dependa de actuaciones aisladas o de decisiones no formalizadas.

2.2. ALCANCE DE APLICACIÓN

El sistema ENS comprende los servicios de ingeniería civil, redacción de proyectos, dirección de obra y asistencia técnica/control-supervisión de proyectos, incluyendo la información, los sistemas, los usuarios y los proveedores TIC que soportan su prestación a clientes y Administraciones Públicas.

• Información en alcance: datos técnicos de los proyectos, situación actual y requisitos de los proyectos, y datos de contactos técnicos, municipales y de proveedores.

• Personas en alcance: usuarios internos, colaboradores que participen en la prestación, administradores autorizados y terceros que intervengan en el soporte de los servicios incluidos.

• Ubicaciones y modalidades: oficina propia, CPD o sala técnica local, instalaciones de clientes y trabajo remoto o móvil cuando resulte necesario para la prestación.

• Servicios y tecnologías de soporte: infraestructura local, servidores y puestos Windows, Microsoft 365 y OneDrive, red corporativa y acceso remoto autorizado mediante VPN con MFA, dentro del uso efectivamente incluido en el alcance.

Los accesos autorizados a sistemas de clientes que resulten necesarios para la prestación se consideran accesos a sistemas externos y no interconexiones de sistemas ENS en el contexto actual. Quedan fuera el desarrollo de software propio y la web informativa como plataforma operativa del servicio principal.

3.COMPROMISOS Y PRINCIPIOS DE SEGURIDAD

3.1 COMPROMISO DE LA DIRECCIÓN

La Dirección asume la responsabilidad de impulsar y supervisar el sistema de seguridad, asegurar su coherencia con la actividad de GECIVAL y establecer las condiciones necesarias para proteger la información y los servicios de acuerdo con la categoría MEDIA y los riesgos aplicables.

• Aprobar el marco de seguridad y mantenerlo alineado con el alcance y los servicios prestados.

• Designar formalmente los roles ENS y facilitar recursos humanos, técnicos, organizativos y económicos proporcionales a los riesgos.

• Velar por el cumplimiento de los requisitos legales, contractuales y de seguridad aplicables.

• Promover una gestión basada en riesgos y el seguimiento de su tratamiento mediante los registros y soportes correspondientes.

• Impulsar la gestión de incidentes, continuidad, dependencias externas y desviaciones de seguridad dentro del sistema.

• Revisar la información relevante de seguimiento y promover acciones de mejora cuando los riesgos, cambios o resultados lo requieran.

3.2. MARCO PARA LOS OBJETIVOS DE SEGURIDAD

Los objetivos de seguridad se establecerán dentro del ciclo de gestión ENS y serán coherentes con la protección de la información, la continuidad de los servicios, la prevención y gestión de incidentes, el control de accesos, la gestión de terceros y la mejora continua. Su seguimiento se apoyará en los indicadores y soportes definidos para el sistema.

Los objetivos se revisarán cuando cambien el alcance, los riesgos, los servicios, la tecnología, las relaciones con proveedores, las obligaciones aplicables o las necesidades de continuidad. Los resultados, umbrales, frecuencias y responsabilidades de medición se gestionarán en los soportes correspondientes, no en esta Política.

3.3. PRINCIPIOS RECTORES

• Seguridad como proceso integral. La protección se considera durante la planificación, prestación, cambio y finalización de los servicios, y no como una actuación aislada.

• Gestión basada en riesgos. Las decisiones de seguridad se fundamentan en el análisis de riesgos y en la criticidad de la información y de los servicios.

• Prevención, detección, respuesta y recuperación. Las medidas se orientan a prevenir incidentes, detectar anomalías, contener sus efectos y recuperar la operación.

• Proporcionalidad. Los controles y recursos se ajustan a la categoría MEDIA, al riesgo, al alcance y a las dependencias tecnológicas y contractuales.

• Necesidad de conocer, responsabilidad y trazabilidad. El acceso a información y recursos debe estar justificado por la función, autorizado y sujeto a la trazabilidad que corresponda.

• Seguridad durante el ciclo de vida. Las adquisiciones, cambios, operación, mantenimiento, retirada y relaciones con terceros deben considerar requisitos de seguridad desde su autorización hasta su cierre.

• Control de dependencias externas. Los servicios de terceros se gestionan atendiendo a responsabilidades, accesos, continuidad, seguridad contractual y evidencias disponibles.

3.4. MÍNIMO PRIVILEGIO

Los permisos y privilegios se limitarán al nivel mínimo necesario para realizar las funciones autorizadas y prestar los servicios incluidos en el alcance. Las capacidades de administración, modificación, eliminación, exportación o acceso a información se concederán únicamente cuando resulten necesarias para la actividad asignada.

Los privilegios estarán sujetos a autorización, necesidad de conocer, revisión y retirada o modificación cuando cese la necesidad que justificó su asignación. Las funciones administrativas se mantendrán diferenciadas de las tareas ordinarias cuando resulte aplicable y técnicamente viable.

3.5. MEJORA CONTINUA DEL PROCESO DE SEGURIDAD

GECIVAL mantendrá un proceso de mejora continua orientado a conservar la adecuación y proporcionalidad del sistema. La mejora se apoyará en el análisis de riesgos, los indicadores, las revisiones internas, los incidentes, las vulnerabilidades, los cambios, la continuidad y la evaluación de terceros.

Las desviaciones y oportunidades de mejora se analizarán mediante actuaciones trazables y, cuando corresponda, sus conclusiones se trasladarán a los riesgos, la arquitectura, los procedimientos y los registros afectados.

4. MARCO NORMATIVO Y DOCUMENTAL

4.1. MARCO NORMATIVO

La gestión de la seguridad de GECIVAL se desarrolla teniendo como referencias normativas expresas, dentro de su ámbito de aplicación, las siguientes disposiciones:

• Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.

• Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.

• Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

• UNE-EN ISO/IEC 27001:2023 Seguridad de la Información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. Requisitos.

También se atenderán las obligaciones contractuales y los requisitos de seguridad asumidos frente a clientes, Administraciones, proveedores y terceros cuando resulten aplicables a los servicios incluidos en el alcance.

4.2. MARCO DOCUMENTAL

La seguridad se desarrolla mediante un conjunto coordinado de documentos y soportes con distinto nivel de detalle. La Política de Seguridad establece el marco general de gobierno; la Normativa de Seguridad desarrolla las reglas internas aplicables; la Arquitectura de Seguridad describe los límites, componentes y elementos relevantes de la arquitectura; y las políticas específicas, procedimientos y demás documentación asociada regulan las actividades de seguridad que correspondan.

La trazabilidad operativa se conserva en los registros y soportes aprobados, incluidos los relativos a activos, riesgos, accesos, incidentes, cambios, copias y restauraciones, proveedores, formación, equipos o soportes, monitorización y continuidad. La documentación normativa establece reglas y no sustituye las evidencias técnicas u operativas de ejecución.

5. ORGANIZACIÓN E IMPLANTACIÓN DEL PROCESO DE SEGURIDAD

La organización de la seguridad se apoya en la Dirección, en los roles ENS definidos funcionalmente y en un Comité de Seguridad de la Información o mecanismo equivalente de coordinación. La asignación de responsabilidades debe permitir coordinar la protección de la información, las necesidades del servicio, la seguridad y la operación del sistema de forma proporcional a GECIVAL.

5.1. COMITÉ DE SEGURIDAD DE LA INFORMACIÓN

GECIVAL establecerá un Comité de Seguridad de la Información o mecanismo equivalente con participación de la Dirección y de los roles ENS que resulten designados. Su función será coordinar las decisiones relevantes de seguridad, revisar riesgos e información de seguimiento, tratar incidentes, cambios significativos, continuidad y dependencias de terceros, y elevar a la Dirección las decisiones que excedan sus competencias o respecto de las que no exista acuerdo.

Las decisiones relevantes del mecanismo de coordinación deberán conservar trazabilidad mediante actas, acuerdos, aprobaciones o evidencias equivalentes, atendiendo a la naturaleza y relevancia de la cuestión tratada.

5.2. ROLES Y RESPONSABILIDADES

Dirección: Aprobar la Política, designar los roles ENS, proporcionar recursos proporcionales, supervisar el sistema y resolver los conflictos elevados.

Responsable de la Información: Determinar los requisitos de protección de la información y participar en las decisiones de riesgo que afecten a dicha información.

Responsable del Servicio: Determinar los requisitos de seguridad y continuidad de los servicios incluidos en el alcance.

Responsable del Sistema: Gestionar la operación del sistema y aplicar las medidas, cambios y autorizaciones aprobadas.

Responsable de Seguridad: Coordinar la seguridad, el análisis de riesgos, el seguimiento de controles, los incidentes, la mejora y el asesoramiento a la Dirección.

Comité de Seguridad de la Información o mecanismo equivalente: Coordinar decisiones, revisar riesgos e información de seguimiento y elevar conflictos o decisiones relevantes a la Dirección.

Personal usuario y administradores: Cumplir la Política, normativa y procedimientos; proteger información y credenciales; operar dentro de las autorizaciones y comunicar incidentes.

Proveedores y terceros: Cumplir los requisitos contractuales y de seguridad, limitar los accesos y colaborar en continuidad, trazabilidad e incidentes.

5.3. DESIGNACIÓN Y RENOVACIÓN DE ROLES

La Dirección designará formalmente a los titulares de los roles ENS mediante nombramiento, acuerdo o evidencia equivalente. La designación identificará el rol asignado y su ámbito de responsabilidad, y deberá conservarse de forma trazable dentro del sistema documental de seguridad.

La asignación se revisará y actualizará ante sustituciones, cambios organizativos, modificaciones del alcance, alteraciones relevantes de funciones o cualquier circunstancia que afecte a la capacidad de ejercer la responsabilidad asignada.

5.4. RESOLUCIÓN DE CONFLICTOS

Los conflictos entre requisitos de protección de la información, necesidades del servicio, seguridad y operación del sistema se tratarán mediante el mecanismo de coordinación de seguridad. La decisión deberá considerar el riesgo, las obligaciones aplicables y la continuidad del servicio.

Cuando no exista acuerdo o la decisión exceda las competencias de los responsables implicados, la resolución corresponderá a la Dirección y quedará documentada mediante la evidencia de decisión que resulte apropiada.

6. TRATAMIENTO DE DATOS PERSONALES E INFORMACIÓN DE CLIENTES

La información de clientes y los datos personales tratados dentro del alcance se protegerán de acuerdo con su finalidad, necesidad de acceso, confidencialidad, integridad, conservación y uso autorizado. La protección alcanza la documentación de los proyectos y los datos de contacto técnicos, municipales y de proveedores tratados para la prestación de los servicios.

El acceso se limitará a las personas que lo necesiten para la prestación. El almacenamiento, transferencia y puesta a disposición de información se realizará mediante ubicaciones, servicios y canales autorizados, manteniendo la trazabilidad necesaria y evitando la divulgación, modificación o reutilización no autorizadas.

Los incidentes que afecten a datos personales o información de clientes se integrarán en el proceso general de gestión de incidentes y se coordinarán con las obligaciones contractuales y normativas que resulten aplicables.

7. ANÁLISIS Y GESTIÓN DE RIESGOS

7.1. ENFOQUE DE GESTIÓN

Las decisiones de seguridad se fundamentan en el análisis de riesgos del sistema que relaciona los escenarios identificados con los activos o servicios afectados, las amenazas, las salvaguardas, el tratamiento y el riesgo residual. Este soporte sirve de base para priorizar actuaciones y revisar controles.

El análisis se revisará ante cambios relevantes de alcance, tecnología, proveedores, servicios, incidentes, vulnerabilidades o requisitos aplicables. Las valoraciones, tratamientos y decisiones de aceptación se conservarán en el soporte específico y no se sustituirán por declaraciones generales de cumplimiento.

7.2. MEDIDAS COMPENSATORIAS

Cuando una limitación objetiva impida aplicar una medida ordinaria en los términos previstos y exista una alternativa proporcional vinculada a un riesgo y a un control, GECIVAL podrá establecer una medida compensatoria formalmente justificada, con alcance, responsabilidad, evidencia, criterio de eficacia y revisión definidos.

En el sistema actual no se incorporan medidas compensatorias concretas. Cualquier medida futura deberá ser evaluada y aprobada conforme al análisis de riesgos y al marco de seguridad antes de considerarse parte del sistema.

8. DESARROLLO DOCUMENTAL DE LA POLÍTICA

El marco de seguridad se desarrolla y mantiene mediante documentación y soportes específicos, de forma coordinada y evitando duplicar innecesariamente el detalle operativo.

Documentos finales relacionados: Arquitectura de Seguridad; Análisis de Impacto en el Negocio (BIA); Categorización del Sistema; Estudio de Capacidades; Normativa de Seguridad de la Información; Política de Control de Acceso; Política de Protección de Datos y/o Seguridad de la Información; Política de Firma Electrónica y de Certificados; Proceso de Gestión de Derechos de Acceso; Proceso de Adquisición de Nuevos Componentes y Gestión de Proveedores; Proceso de Autorización; Procedimiento de Autorización de Nuevas Herramientas y Aplicaciones; Procedimiento de Copias de Seguridad y Restauración; Procedimiento de Gestión del Cambio; Procedimiento de Gestión de Criptografía, Certificados, Claves y Secretos; Procedimiento de Gestión de la Configuración de Seguridad; Procedimiento de Gestión de la Información; Procedimiento de Gestión de Equipos, Dispositivos y Soportes; Proceso de Tratamiento de Incidentes; y Procedimiento de Registro, Monitorización y Verificación de Actividad y Métricas.

Cada documento conservará su identificación, versión, etiquetado, responsabilidad y ámbito de aplicación. El nivel de detalle se mantendrá en el documento o soporte al que corresponda, evitando trasladar configuraciones técnicas, resultados de auditoría o datos operativos a documentos de gobierno de alto nivel.

9. GESTIÓN DE PERSONAL

La seguridad asociada al personal se gestionará desde la incorporación o asignación hasta la modificación o finalización de sus funciones, atendiendo a las responsabilidades, requisitos de seguridad y confidencialidad, necesidad de formación y modificación o revocación de accesos cuando corresponda.

Las personas que intervengan en el alcance deberán conocer sus obligaciones de seguridad y mantener la diligencia, confidencialidad y responsabilidad exigibles en el uso de información, equipos, credenciales, servicios y plataformas. El uso de dispositivos BYOD quedará sujeto a autorización y a las reglas internas de seguridad aplicables.

9.1. OBLIGACIONES DEL PERSONAL

• Cumplir esta Política, el Procedimiento de registro, monitorización y verificación de actividad y métricas y los procedimientos aplicables a su actividad.

• Utilizar únicamente recursos, cuentas, servicios, equipos y accesos autorizados.

• Proteger las credenciales y la información, evitando su comunicación, almacenamiento o exposición fuera de la finalidad autorizada.

• Respetar los criterios de mínimo privilegio, necesidad de conocer y separación de funciones cuando resulte aplicable.

• Comunicar sin demora incidentes, pérdidas, accesos no reconocidos, anomalías o sospechas de compromiso que puedan afectar al sistema.

• Participar en las actividades de formación y concienciación establecidas y respetar las reglas de correo, navegación, equipos y puesto de trabajo definidas en NOR-SEG-001.

10. TERCERAS PARTES, PERSTADORES Y PROVEEDORES

Los terceros que intervengan en el alcance deberán quedar sujetos a requisitos de seguridad proporcionales al servicio prestado, a la información tratada, a los accesos concedidos y a la dependencia que generen para la continuidad. Las responsabilidades, autorizaciones, condiciones de acceso, confidencialidad, trazabilidad y comunicación de incidentes se definirán en los contratos, acuerdos, procedimientos y soportes que correspondan.

La gestión de proveedores y servicios externos deberá considerar su seguimiento, las condiciones de seguridad y continuidad y la delimitación de responsabilidades. El detalle se regula mediante el Proceso de Adquisición de Nuevos Componentes y Gestión de Proveedores, sin que la participación de un tercero suponga el traslado automático de las responsabilidades de gobierno, supervisión y autorización que corresponden a GECIVAL.

11. PROFESIONALIDAD

Las funciones que puedan afectar a la seguridad del sistema se encomendarán a personas o proveedores autorizados con conocimientos y capacidad acordes con la responsabilidad asignada. Los requisitos de competencia se definirán por función, riesgo y necesidad operativa.

La formación inicial, la concienciación y la actualización de conocimientos se integrarán en la gestión del personal. Las actuaciones administrativas o técnicas con impacto relevante quedarán reservadas a perfiles autorizados y se realizarán dentro del marco de responsabilidades y autorizaciones definido por el sistema.

12. PROTECCIÓN DE LAS INSTALACIONES

Las instalaciones y ubicaciones en las que se encuentren equipos, soportes o información del sistema deberán protegerse frente al acceso o manipulación no autorizados y frente a circunstancias que puedan afectar a la disponibilidad o integridad de los recursos. El nivel de protección física se establecerá de forma proporcional al riesgo, al tipo de activo y al contexto de uso.

El CPD o sala técnica local declarado por GECIVAL mantendrá el acceso restringido a personal autorizado. Las intervenciones, traslados, mantenimientos y actuaciones sobre equipos o soportes se someterán a autorización y trazabilidad cuando su relevancia lo requiera, conforme a la Arquitectura de Seguridad y al Procedimiento de Gestión de Equipos, Dispositivos y Soportes.

13. ADQUISICIÓN DE PRODUCTOS DE SEGURIDAD Y CONTRATACIÓN DE SERVICIOS DE SEGURIDAD

La incorporación de productos, componentes, herramientas o servicios que puedan afectar al sistema deberá someterse a una evaluación previa y proporcional de seguridad. La decisión considerará su finalidad, compatibilidad con la arquitectura, riesgos, soporte, actualización, trazabilidad y garantías del proveedor relevantes para el uso previsto.

Las adquisiciones e incorporaciones se gestionarán mediante el Proceso de Adquisición de Nuevos Componentes y Gestión de Proveedores y las autorizaciones previstas en el Proceso de Autorización y en el Procedimiento de Autorización de Nuevas Herramientas y Aplicaciones. No se presumirá que un producto está cualificado, certificado o formalmente evaluado sin la evidencia que corresponda.

14. INTEGRIDAD Y ACTUALIZACIÓN DEL SISTEMA

La configuración, modificación y actualización de los componentes del sistema se realizará bajo responsabilidad de personal autorizado y conforme a los procedimientos aplicables. Los cambios, configuraciones, actualizaciones, parches, software autorizado y medidas frente a código dañino deberán gestionarse de forma controlada.

Los cambios relevantes serán autorizados y trazables en función de su impacto. La gestión de vulnerabilidades, actualizaciones, parches, software autorizado y retirada de componentes se coordinará conforme al Procedimiento de Gestión de la Configuración de Seguridad, al Procedimiento de Gestión del Cambio y al Procedimiento de Autorización de Nuevas Herramientas y Aplicaciones, sin que esta Política constituya evidencia del estado técnico de los equipos.

15. PREVENCIÓN ANTE OTROS SISTEMAS DE INFORMACIÓN INTERCONECTADOS

En el contexto actual del sistema no se consideran existentes interconexiones ENS con sistemas de clientes. Los accesos o túneles VPN autorizados a sistemas externos se gestionan como accesos necesarios para la prestación y no como interconexiones de sistemas.

La incorporación futura de una interconexión real requerirá evaluación, autorización, delimitación de responsabilidades, análisis de riesgos, definición de mecanismos de protección y actualización de la arquitectura y documentación aplicables antes de su puesta en servicio.

16. REGISTRO DE LA ACTIVIDAD Y DETECCIÓN DE CÓDIGO DAÑINO

GECIVAL mantendrá la trazabilidad necesaria sobre accesos, actuaciones administrativas y eventos de seguridad relevantes mediante las fuentes y soportes autorizados. La monitorización se apoyará, cuando corresponda, en los registros disponibles de Windows o Active Directory, firewall, VPN y Microsoft 365, de acuerdo con el Procedimiento de gestión, monitorización, verificación de actividad y métricas.

Los equipos y servicios deberán disponer de mecanismos de prevención y detección de código dañino adecuados a su función y exposición. Las alertas o indicios de compromiso se integrarán en la gestión de incidentes. Esta Política no presupone la existencia de un SIEM centralizado ni una periodicidad concreta de revisión de registros.

17. GESTIÓN DE INCIDENTES DE SEGURIDAD

Los incidentes de seguridad se identificarán, comunicarán, clasificarán, registrarán, escalarán, tratarán y cerrarán de forma coordinada. El personal y los terceros autorizados deberán comunicar los hechos que puedan comprometer la información o los servicios, conforme al Proceso de Tratamiento de Incidentes.

La gestión de cada incidente mantendrá la relación que proceda con activos, servicios, cambios, proveedores, continuidad y riesgos afectados. La trazabilidad se conservará en las evidencias asociadas, sin incorporar al presente documento incidentes o resultados concretos.

18. CONTINUIDAD DE LA ACTIVIDAD

La continuidad se gestionará atendiendo a la criticidad de los servicios, la información, las dependencias tecnológicas y humanas, la capacidad disponible y las relaciones con proveedores. El análisis de impacto y los criterios de recuperación se mantendrán coordinados con el Análisis de Impacto en el Negocio (BIA), así como con la gestión de copias de seguridad, restauraciones, incidentes y riesgos.

Las actuaciones de recuperación serán proporcionales al escenario de interrupción y estarán sujetas a las pruebas y revisiones que correspondan. Los resultados de las copias de seguridad y restauraciones se documentarán y conservarán conforme al Procedimiento de Copias de Seguridad y Restauración.

19. GESTIÓN DOCUMENTAL, REVISIÓN Y COMUNICACIÓN

La documentación de seguridad se mantendrá identificada, controlada, disponible para las personas que deban conocerla y protegida frente a modificaciones no autorizadas. Su gestión deberá permitir conocer la versión vigente, la autoridad de aprobación, el ámbito de aplicación y los documentos o soportes que desarrollan cada materia.

19.1. AUTORIZACIÓN Y CONTROL DE ACCESOS

El acceso a información, servicios, equipos y funciones administrativas requerirá autorización conforme a la necesidad del servicio, necesidad de conocer y mínimo privilegio. Las altas, modificaciones, privilegios, revisiones y bajas se mantendrán trazables.

El acceso remoto estará sujeto a autorización y a las medidas definidas para dicho acceso; en la arquitectura declarada se utiliza VPN con MFA. El uso de BYOD quedará sujeto a autorización y a las condiciones de seguridad internas. La existencia de una cuenta, dispositivo o relación contractual no implicará autorización automática.

19.2. CONTROL DOCUMENTAL

Los documentos del sistema deberán mantener identificación, código o denominación, versión, etiquetado, fecha de emisión cuando corresponda, autoridad de aprobación y estado de vigencia. GECIVAL conservará la trazabilidad de sus revisiones, evitará el uso no controlado de versiones obsoletas y limitará la modificación a personas autorizadas.

Los registros de ejecución y las evidencias técnicas se conservarán en los soportes definidos para cada proceso. La documentación de gobierno no se utilizará como sustituto de las evidencias de funcionamiento, configuración, revisión o ejecución que deban existir para demostrar la aplicación de las medidas.

19.3. PROTECCIÓN DE LA INFORMACIÓN ALMACENADA Y EN TRÁNSITO

La información del alcance se almacenará, transferirá y pondrá a disposición mediante ubicaciones, servicios y canales autorizados, aplicando criterios de necesidad de conocer, confidencialidad, integridad y trazabilidad acordes con su uso. Las transferencias se limitarán a la información necesaria y a destinatarios y finalidades autorizados.

La protección podrá apoyarse en infraestructura local, Microsoft 365 o OneDrive y en comunicaciones autorizadas mediante VPN, HTTPS o TLS, según corresponda. Los mecanismos técnicos concretos se desarrollan en la Arquitectura de Seguridad, el Procedimiento de Gestión de la Información y el Procedimiento de Gestión de Criptografía, Certificados, Claves y Secretos. Esta Política no presupone la aplicación de cifrado universal ni la existencia de configuraciones que no se encuentren debidamente evidenciadas.

19.4. COMUNICACIÓN Y APLICACIÓN

Esta Política y las normas aplicables se comunicarán o pondrán a disposición del personal, administradores, colaboradores y terceros que deban conocerlas. La comunicación de las reglas deberá preceder o acompañar al acceso cuando resulte aplicable.

Las evidencias de comunicación, formación o aceptación que correspondan se conservarán en los soportes aplicables. Las condiciones contractuales y de acceso de terceros deberán ser coherentes con este marco y con los procedimientos específicos de proveedores, accesos, información, continuidad e incidentes.

19.5. REVISIÓN Y MANTENIMIENTO

La Dirección revisará este marco en intervalos planificados y, adicionalmente, cuando existan cambios relevantes en el alcance, los servicios, la información, la tecnología, los proveedores, los riesgos, los incidentes o los requisitos aplicables. La revisión comprobará que responsabilidades, principios y referencias documentales siguen siendo adecuados y coherentes con la realidad de GECIVAL.

Los cambios aprobados se incorporarán bajo control de versión, conservarán trazabilidad documental y se comunicarán a las personas afectadas cuando modifiquen obligaciones, responsabilidades o condiciones de uso.

19.6. APROBACIÓN Y ENTRADA EN VIGOR

La aprobación de esta Política corresponde a la Dirección de GECIVAL. La versión aprobada entrará en vigor desde la formalización de dicha aprobación y mantendrá su vigencia hasta que sea sustituida por una revisión posterior o se acuerde expresamente su retirada.

GECIVAL conservará la evidencia formal de aprobación, la versión vigente y la trazabilidad de su publicación o puesta a disposición. Cualquier modificación seguirá el mismo criterio de control, aprobación y comunicación.