Documentació SGSI

1. Alcance del SGSI

L’abast del sistema de gestió de seguretat de la informació (SGSI) cobreix tots els serveis prestats per Intergrid (Opengea SCCL), incloent:

• Hosting en la Nube, Hosting Dedicado y VPS.
• Registro y gestión de dominios.
• Aplicaciones web en la nube.
• Infraestructura física alojada en Centros de Datos avanzados de Alemania, Finlandia, Estados Unidos y Singapur, y gestionada íntegramente por Intergrid desde Barcelona.

2. Política de seguridad de la información

Intergrid se compromete a proteger la confidencialidad, integridad y disponibilidad de la información propia y de sus clientes, mediante controles técnicos y organizativos adecuados, evaluación continua de los riesgos y mejora continua del SGSI.

3. Metodología de análisis y tratamiento de riesgos

• Identificació d’actius, amenaces i vulnerabilitats.
• Avaluació d’impacte i probabilitat (Alt, Mitjà, Baix, Nul).
• Asignación de medidas y controles para reducir riesgos.
• Documentación del riesgo residual y responsable.

4. Declaració d’aplicabilitat (SoA)

Esta declaración acredita el compromiso y la aplicación real de los requisitos de la norma ISO/IEC 27001:2022 mediante una declaración responsable de la organización.

S’han seleccionat i aplicat controls de l’annex A de la norma ISO/IEC 27001 segons l’avaluació de riscos. Incloent:

• A.5: Polítiques de seguretat
• A.6: Organització de la seguretat
• A.8: Gestió d’actius
• A.9: Control d’accés
• A.12: Seguretat operativa
• A.13: Seguretat de les comunicacions
• A.15: Relacions amb proveïdors
• A.16: Gestió d’incidents de seguretat
• A.17: Continuïtat del negoci

5. Objetivos de seguridad

• Evitar fugas de datos de los servicios web alojados
• Assegurar l’autenticació i accés legítim a sistemes
• Garantizar copias de seguridad íntegras y disponibles
• Asegurar el cumplimiento del RGPD

6. Registros clave

• Registre d’actius i responsabilitats
• Registro de formación en seguridad
• Incidentes de seguridad
• Auditorías internas y revisiones por la dirección

7. Procedimientos específicos

Gestió d’incidents de seguretat

Tots els incidents s’han de reportar immediatament al responsable del SGSI. Es documentaran en el registre d’incidents i es realitzarà una anàlisi per identificar causes, impacte i accions correctives.

Control d’accessos

• Acceso limitado según roles y necesidades
• Autenticación fuerte: claves complejas y 2FA
• Revisión periódica de los permisos

Política de copias de seguridad

• Copias de seguridad automáticas diarias y semanales
• Replicación en múltiples Centros de Datos (ubicaciones físicas independientes)
• Pruebas de restauración regulares

Política d’ús acceptable

Els usuaris i tècnics només poden utilitzar els recursos d’Intergrid per a finalitats autoritzades. Qualsevol ús abusiu, il·legal o que comprometi la seguretat serà objecte de sanció.

Gestión de terceros y proveedores

• Acuerdos de confidencialidad con colaboradores
• Control de l’accés dels proveïdors a sistemes interns
• Revisión periódica de los servicios subcontratados

Continuidad del negocio

• Backups georredundantes y monitoreo constante
• Procedimientos de recuperación ante desastres
• Asignación de roles clave en situaciones de crisis

Auditorías y mejora continua

• Auditorías internas periódicas del SGSI
• Revisión de políticas y procedimientos
• Registre d’accions correctives i de millora

Gestión de dispositivos y equipos

• Inventari actualitzat d’equips i dispositius
• Política de bloqueo de pantalla y cifrado de disco
• Limitació de l’ús de dispositius externs (USB, etc.)

Seguridad del correo electrónico

• Filtrado de correos sospechosos (spam, phishing)
• Configuración de SPF, DKIM y DMARC
• Restriccions d’enviament i revisió de campanyes

Clasificación y manejo de la información

• Etiquetado según sensibilidad (confidencial, interna...)
• Restricciones de distribución según clasificación
• Destrucción segura de la información obsoleta

Formación y sensibilización

• Sesiones periódicas de formación en seguridad
• Campañas de concienciación para todo el personal
• Pruebas puntuales de simulación de phishing

Gestión de registros y evidencias

• Conservación de registros durante el período establecido por la normativa
• Control de acceso a los registros confidenciales
• Integridad y disponibilidad garantizada mediante sistemas redundantes

Políticas específicas para proyectos y clientes

• Asignación de responsables de seguridad por proyecto
• Controles de privacidad y compartición limitados según contratos
• Validación de seguridad antes del despliegue de servicios a clientes

Aquesta documentació és bàsica i extensible segons l’evolució del SGSI. Es recomana revisar-la com a mínim anualment o després d’incidents significatius.

Análisis de riesgos (SGSI - ISO 27001)

Empresa: Intergrid (Opengea SCCL)
Fecha: 15-10-2024
Alcance: Serveis de hosting (cloud, dedicat, VPS), dominis i aplicacions web.

Política de seguridad de la información (SGSI)

Empresa: Intergrid (Opengea SCCL)
Fecha de aprobación: 15-10-2024
Aprobada por: Direcció Tècnica

1. Objetivo: Garantir la confidencialidad, integridad y disponibilidad de la informació, dades de clients i sistemes.
2. Alcance: Tota la infraestructura de hosting i aplicacions desenvolupades o allotjades per Intergrid.
3. Compromiso: Aplicació del marc ISO/IEC 27001.
4. Responsabilidad: Compliment per tot el personal.
5. Medidas clave:
   • Control d'accés per rol i 2FA
   • Copias de seguridad segregadas
   • Monitoreo de incidencias
   • Evaluación de riesgos anual
   • Formación y sensibilización
6. Revisión: Anual.

Declaración de aplicabilidad (SoA) - ISO 27001

Fecha: 15-10-2024
Responsable del SGSI: Jordi Berenguer / Director tècnic

Versión: 4.8 — Última revisión: 15-10-2024