Política de Seguridad de la Información

Esta traducción se ofrece únicamente a título informativo; en caso de discrepancia, prevalecerá la versión en inglés.

1. Seguridad de la información – Aspectos generales

La información es un activo que, al igual que otros activos empresariales importantes, tiene valor para la organización y debe protegerse adecuadamente. La seguridad de la información protege la información frente a una amplia variedad de amenazas con el fin de garantizar la continuidad del negocio, minimizar las interrupciones o los perjuicios para la actividad y maximizar el rendimiento de las inversiones y las oportunidades de negocio.

La información puede presentarse de muchas formas. Puede estar impresa o escrita en papel, almacenada en formato electrónico, transmitirse por correo postal o por medios electrónicos, mostrarse por medios audiovisuales o expresarse oralmente en una conversación. Cualquiera que sea la forma que adopte la información, o el medio por el que se comparta o almacene, debe estar siempre adecuadamente protegida.

A los efectos del presente documento, la seguridad de la información se define como la preservación de:

• Confidencialidad: garantizar que la información solo sea accesible para quienes estén autorizados a acceder a ella;
• Integridad: salvaguardar la exactitud y la completitud de la información y de los métodos de tratamiento; y
• Disponibilidad: garantizar que los usuarios autorizados tengan acceso a la información y a los activos asociados cuando lo necesiten.

La seguridad de la información se consigue mediante la implantación de un conjunto adecuado de controles, entre los que pueden figurar políticas, prácticas, procedimientos, estructuras organizativas y funciones de software. Estos controles deben establecerse para garantizar el cumplimiento de los objetivos de seguridad específicos de la organización.

Esta política expresa el compromiso de MinMax con la seguridad de la información y expone nuestro enfoque de gestión de los riesgos de seguridad. El programa de aseguramiento y seguridad de la información de MinMax protege los activos de información de la empresa, cualquiera que sea su forma. Nuestro programa identifica y aborda los riesgos empresariales y de seguridad a los que se enfrenta la organización, lo que nos permite mantener a salvo los datos de los clientes e impulsar el crecimiento de nuestro negocio.

2. Política y finalidad

MinMax (la «Empresa») es una compañía de vídeo como servicio (Video as a Service). Aunque nuestros activos físicos son escasos, los datos son nuestro activo más valioso. Puesto que desarrollamos nuestra actividad en Internet, debemos proteger nuestro código fuente propio, nuestros registros empresariales, la información de nuestros clientes y nuestras comunicaciones corporativas frente a una amplia variedad de amenazas, a fin de hacer crecer nuestro negocio y mantener la seguridad de nuestros clientes.

El presente documento establece la Política de Seguridad de la Información de alto nivel de MinMax, Inc. (junto con las políticas y normas subyacentes que se describan o mencionen en él o en el Anexo A, la «Política»). Esta Política se revisa al menos una vez al año y se actualiza cuando es necesario para reflejar los cambios en los objetivos empresariales o en el entorno de riesgos. Su finalidad es garantizar que toda la información de MinMax (con independencia de la forma que adopte o del medio por el que se comparta o almacene) esté adecuadamente protegida. Esta Política describe los procesos y procedimientos que todos los empleados, contratistas y consultores de MinMax, así como los demás terceros que tengan una necesidad legítima de acceder a la información de la Empresa (conjuntamente, «MinMax y Partes Vinculadas»), deben conocer y cumplir en todo momento.

3. Ámbito de aplicación

Salvo que se indique otra cosa, esta Política es aplicable a escala mundial a MinMax y Partes Vinculadas, que deberán cumplirla en todo momento.

4. Responsabilidades

1. 4.1 Corresponde a los cofundadores de la Empresa establecer y hacer cumplir esta Política y las normas, procedimientos y directrices relacionados con ella.
2. 4.2 MinMax y Partes Vinculadas comparten la responsabilidad de proteger los activos de información de la Empresa. En este apartado de la Política se definen y describen los grupos que tienen responsabilidades específicas a este respecto:
3. 4.3

   Cofundadores, directivos y supervisores de la Empresa

   1. 4.3.1 Los empleados de la Empresa con responsabilidades de dirección deben garantizar que sus equipos hayan recibido la formación e instrucción adecuadas en materia de seguridad de la información, supervisar el cumplimiento de las políticas y procedimientos de MinMax, incluida, sin carácter limitativo, esta Política, y comunicar de inmediato al equipo fundador cualquier incumplimiento de esta Política o de cualquier otra política de la Empresa.
4. 4.4

   Empleados y contratistas

   1. 4.4.1 Todos los empleados y contratistas de MinMax son responsables de proteger los recursos de información de la Empresa a los que tengan acceso, aunque no les corresponda su gestión. Estas responsabilidades abarcan tanto la información en formato electrónico como en cualquier otro formato, así como los dispositivos informáticos que tengan a su cargo o en su poder. Todos los empleados de MinMax deben respetar y cumplir los términos de esta Política, así como las prácticas, normas y protocolos de seguridad de la información, departamentales o de otro tipo, aplicables a sus funciones dentro de la Empresa.
   2. 4.4.2 Todos los empleados y contratistas de la Empresa son responsables de completar las sesiones de formación e instrucción pertinentes en materia de seguridad de la información, de cumplir todas las políticas y procedimientos de MinMax, incluida, sin carácter limitativo, esta Política, y de comunicar de inmediato al equipo fundador cualquier incumplimiento de esta Política o de cualquier otra política de la Empresa.
5. 4.5

   Consultores y otros terceros

   1. 4.5.1 Los consultores y demás terceros que tengan una necesidad legítima de acceder a información de MinMax están obligados a cumplir los requisitos de seguridad aplicables establecidos en esta Política. MinMax y sus empleados y contratistas adoptarán todas las medidas razonables y adecuadas para garantizar que los consultores y demás terceros cumplan los términos de esta Política.
   2. 4.5.2 Todo incumplimiento de los términos de esta Política por parte de un consultor u otro tercero deberá comunicarse de inmediato al supervisor correspondiente o a la persona encargada de supervisar su trabajo, o bien al equipo fundador.

5. Políticas generales y buenas prácticas

1. 5.1

   Además de cumplir los principios generales recogidos en esta Política, todos los empleados y contratistas de MinMax deberán observar las siguientes buenas prácticas y políticas en el marco de su relación laboral o contractual con la Empresa. La elaboración y difusión de cada una de estas políticas y procedimientos corresponde al equipo fundador, y su finalidad es reforzar y garantizar la confidencialidad, la integridad y la debida disponibilidad de la información de MinMax, pilares de esta Política.

   1. (a) Política de Puesto de Trabajo Despejado – Todos los empleados y contratistas deberán preservar la confidencialidad y la seguridad de los documentos sensibles de la Empresa que se encuentren en sus despachos o puestos de trabajo. Al terminar cada jornada, deberán guardar dichos documentos de forma segura antes de abandonar el despacho o puesto de trabajo.
   2. (b) Política de Destrucción de Documentos Sensibles – Todos los empleados y contratistas deberán destruir con trituradora, y no conservar ni desechar de ningún otro modo, los documentos sensibles de la Empresa que obren en su poder y que ya no necesiten para desempeñar las funciones esenciales de su puesto. El equipo fundador de la Empresa podrá comunicar puntualmente a todo el personal que determinados documentos deben conservarse durante un tiempo por motivos legales. Dicha comunicación constituirá una excepción limitada a la Política de Destrucción de Documentos Sensibles.
   3. (c) Política de Clasificación, Tratamiento, Conservación y Eliminación de Datos – Todos los empleados, contratistas y terceros de MinMax tienen la responsabilidad de proteger los datos de MinMax frente a su generación, acceso, modificación, divulgación, transmisión o destrucción no autorizados, y deben conocer y cumplir esta política.
2. 5.2 Todo soporte electrónico que contenga, entre otros, datos sujetos a PCI o HIPAA o información de identificación personal (PII) deberá eliminarse de forma segura.
3. 5.3 Los contenidos multimedia no se conservarán durante más de cuarenta y ocho (48) horas, salvo que se disponga otra cosa en el Contrato de Servicios Creativos y de Uso correspondiente.
4. 5.4 Todos los contratos con proveedores de servicios externos, así como sus modificaciones, deberán ser revisados y aprobados por el equipo fundador.

6. Política Antivirus

1. 6.1 Todos los empleados, contratistas y terceros deberán cumplir la Política Antivirus de MinMax, que regula la protección de los recursos de la Empresa frente a intrusiones de virus y otro software malicioso.
2. 6.2 Sistemas incluidos – Esta política se aplica a todos los servidores, puestos de trabajo, portátiles y máquinas virtuales conectados a la red de MinMax que sean habitualmente vulnerables a virus o malware.
3. 6.3

   MinMax utilizará software antivirus aprobado por MinMax para la detección y la protección. Se mantendrán en vigor los siguientes requisitos mínimos:

   1. 6.3.1 Se instalará y configurará software antivirus en todos los sistemas de MinMax definidos en el apartado 6.2.
   2. 6.3.2 Las definiciones de virus del antivirus se actualizarán cuando sea necesario.
   3. 6.3.3 Los sistemas enumerados en el apartado 6.2 se analizarán periódicamente.
   4. 6.3.4 Todo equipo conectado a la red en el que se detecte una infección será inspeccionado, y el virus se eliminará tan pronto como sea razonablemente posible. Si no es posible repararlo en un plazo razonable, el sistema infectado se retirará de la red de MinMax y no se volverá a conectar hasta que el personal de MinMax haya verificado, mediante herramientas antivirus aprobadas, que está libre de virus.
   5. 6.3.5 Los administradores de MinMax revisarán periódicamente la consola antivirus para verificar que todos los equipos cliente de la red propiedad de MinMax cumplen esta política.

7. Política de Uso Aceptable

1. 7.1 Todos los empleados y contratistas deberán cumplir la Política de Uso Aceptable de MinMax, que regula el uso de los equipos informáticos de la Empresa.
2. 7.2 Esta política tiene por objeto definir el uso aceptable de los sistemas de tecnologías de la información (TI) de MinMax. Su finalidad es proteger a MinMax, a sus empleados y a sus socios frente a actuaciones ilícitas o perjudiciales de cualquier persona, sean intencionadas o involuntarias. El uso inadecuado de los equipos informáticos expone a MinMax a riesgos como ataques de virus, la vulneración de sistemas y servicios de red, y contingencias legales. Todos los usuarios deben conocer y cumplir esta política.
3. 7.3 Una seguridad eficaz exige el esfuerzo de toda la empresa y la participación y el apoyo de cada empleado y colaborador de MinMax que maneje información o sistemas de información. Todo usuario de MinMax tiene la responsabilidad de conocer esta política y de actuar en consecuencia.
4. 7.4 Los sistemas de TI de MinMax están destinados a fines empresariales autorizados, al servicio de los intereses de MinMax y de sus clientes. Todos los datos creados y almacenados en la infraestructura de TI propiedad de MinMax siguen siendo propiedad de MinMax. Los empleados actuarán con la diligencia debida para proteger los datos sensibles o confidenciales de MinMax. Por motivos de seguridad y de mantenimiento de la red, MinMax podrá supervisar en cualquier momento el uso que los empleados hagan de sus sistemas de TI.
5. 7.5

   Los empleados deberán adoptar todas las medidas siguientes para impedir el acceso no autorizado a la información de la empresa:

   1. 7.5.1 Los usuarios autorizados son responsables de la seguridad de sus contraseñas y cuentas. Los usuarios deberán mantener sus contraseñas a salvo y no compartir sus cuentas.
   2. 7.5.2 Cuando vayan a quedar desatendidos, todos los PC, portátiles y puestos de trabajo deberán protegerse con un salvapantallas con contraseña que se active automáticamente en un plazo máximo de 15 minutos, o bien deberá cerrarse la sesión (tecla Windows + L para usuarios de Windows).
   3. 7.5.3 Los empleados deberán extremar la precaución al abrir archivos adjuntos de correo electrónico, especialmente si proceden de remitentes desconocidos, ya que pueden contener código o aplicaciones maliciosos.
   4. 7.5.4 Deberá mantenerse una lista de dispositivos aprobados —en particular, los dispositivos de red y los servidores sujetos a los requisitos de PCI, HIPAA y PII—, que se actualizará cada vez que se incorporen o retiren dispositivos del entorno.
6. 7.6

   Uso inaceptable

   1. 7.6.1 Con carácter general, quedan prohibidas las actividades que se indican a continuación. En ningún caso estarán autorizados los empleados de MinMax a realizar, con recursos propiedad de MinMax, actividades ilícitas con arreglo a la legislación local, estatal, federal o internacional.
   2. 7.6.2

      Actividades relacionadas con sistemas, redes e Internet

      1. (a) Se prohíbe acceder a sitios web impropios de un entorno laboral (p. ej., sitios de pornografía, de apuestas o relacionados con drogas ilegales).
      2. (b) No se utilizará Internet para vulnerar derechos de propiedad intelectual o industrial de terceros. Estos comprenden los derechos de autor, las marcas, las patentes, los secretos empresariales y los derechos de imagen y a la intimidad. Se prohíbe a los empleados interferir en los mecanismos antipiratería u otras medidas técnicas habituales que utilizan los titulares de derechos de autor para proteger o identificar sus obras, o intentar desactivarlos.
      3. (c) El acceso a recursos de Internet está reservado a los usuarios autorizados de los sistemas de destino y debe limitarse a fines legítimos conformes con la legislación local. Queda terminantemente prohibido atacar de cualquier forma sistemas o redes informáticos en Internet, así como escanearlos, sondearlos o penetrar en ellos.
      4. (d) MinMax se reserva el derecho de bloquear el acceso a los sitios de Internet que considere inadecuados. Los intentos deliberados de acceder a dichos sitios podrán dar lugar a medidas disciplinarias.
      5. (e) Queda terminantemente prohibida la copia no autorizada de material protegido por derechos de autor, lo que incluye, entre otros, la digitalización y distribución de fotografías procedentes de revistas, libros u otras fuentes protegidas, los contenidos multimedia protegidos y la instalación de cualquier software protegido para el que ni MinMax ni el usuario final dispongan de una licencia en vigor.
      6. (f) La exportación de software, de información técnica o de software o tecnología de cifrado que infrinja la normativa internacional o regional de control de exportaciones es ilegal. Antes de exportar cualquier material dudoso, deberá consultarse a la dirección competente.
      7. (g) Se prohíbe introducir programas maliciosos en la red o en los servidores (p. ej., virus, gusanos, troyanos, bombas de correo electrónico, etc.).
      8. (h) Los empleados no revelarán a terceros las contraseñas de sus cuentas de MinMax ni permitirán que otras personas, incluidos sus familiares y demás miembros de su hogar, utilicen sus cuentas.
      9. (i) Los empleados no podrán utilizar los recursos informáticos de MinMax para obtener o transmitir activamente material que infrinja la legislación sobre acoso sexual o entorno laboral hostil aplicable en la jurisdicción local del usuario.
      10. (j) Se prohíbe utilizar los sistemas de TI de MinMax para realizar ofertas fraudulentas de productos, artículos o servicios.
      11. (k) Los empleados no intentarán acceder a datos para los que no estén autorizados ni eludir los controles de acceso de ningún sistema, salvo autorización previa de la dirección de TI para probar los controles de seguridad de la información.
      12. (l) Se prohíbe realizar cualquier tipo de monitorización de la red que intercepte datos no destinados al equipo del empleado, salvo autorización previa de la dirección de TI para probar los controles de seguridad de la información.
      13. (m) Se prohíbe utilizar, en cualquier entorno, dispositivos capaces de grabar audio, vídeo o imágenes para registrar información. Esto incluye, entre otros, los teléfonos inteligentes y las cámaras que puedan utilizarse para obtener copias no autorizadas de información de un monitor, de documentación o de cualquier otra fuente.
   3. 7.6.3

      Correo electrónico y comunicaciones

      1. (a) Se permite el uso personal, ajeno a la actividad profesional, siempre que no consuma recursos significativos ni interfiera en el desempeño de las funciones laborales de los empleados.
      2. (b) Los números de la seguridad social, los PAN de tarjetas de crédito y los informes de solvencia nunca deberán enviarse por correo electrónico salvo que estén cifrados mediante un método de cifrado aprobado por MinMax. Corresponderá al equipo fundador designar los métodos de cifrado aprobados.
      3. (c) Los empleados no enviarán mensajes de correo electrónico no solicitados, como «correo basura» u otro material publicitario dirigido a personas que no lo hayan solicitado expresamente (spam).
      4. (d) Se prohíbe participar en cualquier forma de acoso por correo electrónico, teléfono o buscapersonas, ya sea por el lenguaje, la frecuencia o el tamaño de los mensajes.
      5. (e) Los empleados no utilizarán el correo electrónico ni los recursos informáticos de MinMax para crear o reenviar «cadenas de mensajes», esquemas «Ponzi» u otros sistemas «piramidales» de ningún tipo.
      6. (f) Se prohíbe enviar en un mismo correo electrónico contraseñas junto con los nombres de usuario correspondientes u otros atributos de autenticación.

8. Política de Autenticación de Usuarios

1. 8.1 Todos los empleados y contratistas deberán cumplir la Política de Autenticación de Usuarios de MinMax, que establece un marco seguro para el acceso a la red informática y a los demás recursos técnicos de la Empresa.
2. 8.2 Esta política se aplica a todas las cuentas de MinMax, Inc.
3. 8.3

   Gestión de cuentas

   1. (a) El acceso a las cuentas de los usuarios que causen baja se revocará tan pronto como sea razonablemente posible.
   2. (b) Los cambios de puesto de los empleados deberán seguir el procedimiento de bajas y altas de usuarios. A las cuentas de los usuarios que cambien de puesto se les retirarán todos los accesos, que se volverán a configurar conforme a las indicaciones del nuevo responsable del empleado.
   3. (c) Se revisarán periódicamente las cuentas de usuario inactivas.
   4. (d) Las cuentas creadas para contratistas solo estarán activas y supervisadas durante el tiempo necesario para finalizar el trabajo.
   5. (e) Las cuentas de dominio se bloquearán durante 10 minutos tras más de seis intentos fallidos de inicio de sesión.
   6. (f) Se revisarán periódicamente las cuentas de nueva creación y se cotejarán con la lista de nuevas incorporaciones.
   7. (g) Los derechos de acceso de los identificadores de usuario privilegiados se limitan a los privilegios mínimos necesarios para el desempeño de las funciones del puesto.
   8. (h) Los controles de acceso deberán implantarse mediante un sistema automatizado de control de acceso.
4. 8.4

   Bloqueo de pantalla

   1. (a) Si una sesión permanece inactiva durante más de 15 minutos, se exigirá al usuario que vuelva a introducir la contraseña para reactivar el terminal
   2. (b) Cuando un usuario se ausente de su mesa o puesto de trabajo, deberá bloquear su equipo
5. 8.5

   Responsabilidad del usuario

   1. 8.5.1 Toda cuenta que se utilice en un equipo personal deberá ajustarse a esta política. Corresponde al usuario o empleado seguir los procedimientos adecuados de gestión de contraseñas y cuentas.
6. 8.6

   Control del cumplimiento

   1. 8.6.1 El cumplimiento de esta política se garantiza mediante auditorías y acciones de formación y concienciación en materia de seguridad. Todo equipo de sobremesa, portátil o máquina virtual que incumpla esta política podrá ser desconectado de la red de MinMax sin previo aviso.

9. Excepciones

El equipo fundador de la Empresa podrá autorizar excepciones a esta Política en determinados supuestos limitados. Toda excepción a esta Política deberá quedar debidamente documentada y aprobada.

10. Cumplimiento

El cumplimiento de los términos y disposiciones de esta Política es obligatorio y será objeto de supervisión periódica. Los empleados y contratistas de la Empresa que incumplan esta Política serán objeto de medidas disciplinarias, que podrán llegar hasta el despido o la resolución del contrato. Asimismo, la Empresa exigirá un cumplimiento estricto a sus consultores y demás terceros sujetos a esta Política. Si dichas partes incumplen los términos aquí establecidos, la Empresa adoptará las medidas correctoras oportunas, que podrán llegar hasta la terminación de la relación.

11. Contactos en materia de seguridad de la información

1. 11.1 Todos los empleados y contratistas, con independencia de su cargo, categoría o situación, están obligados a comunicar de inmediato cualquier brecha de seguridad de la información de la que tengan conocimiento, incluido, sin carácter limitativo, cualquier incumplimiento de los términos y disposiciones de esta Política. Todas estas comunicaciones deberán dirigirse al equipo fundador.
2. 11.2 A título meramente ilustrativo, constituyen brechas de seguridad la pérdida o el robo de ordenadores u otros equipos de la Empresa, las brechas que afecten a información de empleados o contratistas, las que afecten a información de clientes —incluida, sin carácter limitativo, la información de tarjetas de crédito— y los casos sospechosos de phishing u otros fraudes similares contra la seguridad de la información.
3. 11.3 Si tiene alguna pregunta o necesita alguna aclaración sobre esta Política o sobre cualquiera de los términos aquí descritos, póngase en contacto con el equipo fundador: anthony@minmax.co.