Política de Seguridad

1. Propósito

Establecer el marco general para proteger los activos de información de Juniper Travel Technology S.L., garantizando su confidencialidad, integridad y disponibilidad (C-I-D) y el cumplimiento de las normativas aplicables.

2. Alcance

Esta política aplica a:

Todas las unidades de negocio, procesos, información, sistemas y redes bajo control de Juniper, independientemente de la ubicación geográfica.
Empleados, directivos, becarios, contratistas, proveedores y terceros que accedan o procesen información de la compañía.
Información en cualquier formato: digital, impreso o verbal.

3. Contexto y requisitos

El Sistema de Gestión de Seguridad de la Información (SGSI) considera:

El entorno interno y externo de la organización.
Las expectativas de clientes, empleados, accionistas, reguladores, partners y proveedores.
Obligaciones legales y contractuales aplicables (GDPR, PCI-DSS, LOPDGDD, SOC2, ISO 27001:2022, entre otras).

Los requisitos se revisan al menos una vez al año o cuando se producen cambios relevantes.

4. Compromiso de la Dirección

La Dirección se compromete a:

Cumplir requisitos legales, regulatorios y contractuales.
Proporcionar recursos para implantar y mejorar el SGSI.
Establecer y revisar objetivos de seguridad medibles.
Comunicar la importancia de la seguridad de la información.
Fomentar la mejora continua mediante auditorías y revisiones.

5. Principios generales

Protección de la información según su valor y criticidad.
Acceso basado en el principio de “necesidad de saber”.
Enfoque basado en riesgos para la toma de decisiones.
Cumplimiento obligatorio de políticas y controles del SGSI.
Tolerancia cero al uso indebido de sistemas o información.
Responsabilidad individual de reportar incidentes o debilidades de seguridad.

6. Objetivos de seguridad

Los objetivos de seguridad de la información:

Se alinean con la confidencialidad, integridad y disponibilidad de la información.
Se documentan, supervisan y revisan periódicamente.
Incluyen cumplimiento normativo, confianza del cliente, continuidad del negocio y mejora continua.
Incorporan indicadores de desempeño (KPIs) como incidentes, tiempos de respuesta, formación o cumplimiento de auditorías.

7. Gestión de riesgos

Juniper mantiene un proceso continuo de identificación, análisis y tratamiento de riesgos basado en la metodología MAGERIT adaptada a la organización.
Los planes de tratamiento se alinean con los controles de ISO 27001:2022.

8. Controles de seguridad

La organización implementa controles orientados a:

Gobernanza y estrategia de seguridad.
Protección del personal y control de accesos.
Clasificación, cifrado, respaldo y protección de la información.
Gestión de identidades y accesos.
Seguridad en el ciclo de vida del software.
Gestión de proveedores y cadena de suministro.
Continuidad de negocio y resiliencia.

9. Roles y responsabilidades

Dirección General: aprobar la política y asignar recursos.
Comité de Seguridad: supervisar el SGSI y su cumplimiento.
Propietarios de activos: clasificar información y autorizar accesos.
Equipos de TI y desarrollo: aplicar controles técnicos.
Usuarios: cumplir la política y reportar incidentes.

10. Formación y concienciación

Todo el personal recibe formación inicial y anual en seguridad de la información.
Se conservan registros como evidencia de cumplimiento.

11. Comunicación

La política se comunica internamente y está disponible para clientes y partes interesadas cuando corresponda.

12. Documentación y control

La documentación del SGSI se gestiona con control de versiones en repositorios corporativos.
Los cambios se aprueban conforme a procedimientos establecidos.

13. Monitorización y auditoría

Se establecen indicadores de desempeño y se realizan auditorías internas periódicas para evaluar la eficacia del SGSI y promover mejoras.

14. Gestión de incidentes

Existe un procedimiento formal para la detección, reporte, respuesta y notificación de incidentes de seguridad, incluyendo las obligaciones legales aplicables.

15. Mejora continua

Las no conformidades se analizan y se implementan acciones correctivas.
El SGSI se mejora continuamente mediante revisiones y el ciclo PDCA.

16. Incumplimientos

El incumplimiento de esta política puede derivar en medidas disciplinarias o acciones legales.
En el caso de terceros, puede implicar la terminación contractual.