Requisitos a proveedores

Política de Seguridad de la Información para Proveedores

ISO/IEC 27001:2013

Estimado Proveedor,

Iberlayer es una Compañía Española de capital privado, constituida en el año 2012 y especializada en la prestación de servicios de Seguridad en la Nube.

Desde una firme convicción en la diferenciación a través de la especialización y el valor añadido, la dirección de Iberlayer enfoca el Sistema de Seguridad de la Información como la manera de organizar su vida empresarial, fundamentándose en unos pilares básicos como son la calidad de sus productos, sus procesos, la mejora continua de la eficacia del Sistema de Gestión de Seguridad de la información y la satisfacción del cliente.

Por ello la Dirección declara el Sistema de Gestión de la Seguridad como objetivo estratégico y prioritario, manteniéndose en la vanguardia del seguimiento de las tendencias sobre la calidad y seguridad de la información, al mismo tiempo que promovemos la calidad en nuestros procesos.

Como parte importante y necesaria de nuestra cadena de suministro le hacemos llegar el siguiente documento, para que lo tome en consideración y estudio, con el fin último de seguir en la línea de calidad que vienen ustedes siguiendo en los últimos años.

Requisitos de calidad y seguridad de la información aplicables al proveedor

Iberlayer tiene implantado un Sistema Integrado de Gestión de Seguridad de la Información, el cual realiza un control de todos los aspectos relacionados con la Seguridad de la Información relacionadas con el personal y empresas que prestan servicios y/o productos a nuestra organización.

Este sistema incluye la comunicación de la Política de los Requisitos de Seguridad de la Información aplicable a nuestros proveedores y subcontratistas, sin cuya colaboración no se podría garantizar la implantación de nuestros principios de Seguridad de la Información en la comercialización de nuestros productos y servicios.

Por ello queremos trasladar a nuestros proveedores la necesidad de que su comportamiento sea consecuente y en la misma línea de actuación que Iberlayer e informarles de la importancia de cumplir tanto los principios descritos en nuestra Política, como los requisitos establecidos en esta comunicación con el fin de garantizar que su comportamiento asegure en todo momento el mayor respeto por la Seguridad.

Los proveedores de bienes y servicios, incluyendo los subcontratistas, se pueden clasificar en las categorías que aparecen en la siguiente lista:

• Proveedores de servicios tecnológicos. Aquellos que nos ofrecen servicios como alojamiento web, emisión de certificados, servicio de pasarelas de pago, servicios de almacenamiento en la nube, servicios de soporte informático (tanto presencial como remoto), etc.
• Proveedores de servicios no tecnológicos pero que acceden a datos corporativos, tales como proveedores de servicios financieros, viajes, transporte, publicidad y marketing, etc.
• Proveedores de servicios no tecnológicos pero que acceden instalaciones con datos corporativos: mantenimiento de instalaciones, electricidad, alarmas, sistemas de vigilancia, etc.
• Suministradores de productos tecnológicos. Incluyen todos aquellos donde adquirimos los dispositivos, los componentes hardware y las aplicaciones informáticas.
• Proveedores generales (materiales de oficina limpieza, otros servicios, etc.)

Teniendo en cuenta el impacto que los productos y servicios que nos suministran pueden tener sobre la Seguridad de la Información, se establecen una serie de requisitos generales y unos requisitos específicos según el tipo de proveedor de que se trate.

A. Requisitos generales de aplicación a todos los proveedores

• Conocer y cumplir la legislación vigente aplicable a sus actividades, productos y servicios tanto de carácter general como en materia de Seguridad de la Información y Protección de datos.
• Comunicar a Iberlayer cualquier información y/o documentación que les pueda ser solicitada sobre los aspectos de seguridad de sus productos y/o servicios.
• Suministrar únicamente materiales que cumplan con los estándares de seguridad y calidad aplicable.
• Facilitar, si les es requerido, los correspondientes certificados de calidad y/o conformidad de los productos suministrados.

B. Requisitos aplicables a proveedores relacionados o afectados por la seguridad de la información

• Cumplir en todo momento con la política de Seguridad de calidad y Seguridad de la información establecida por Iberlayer.
• Observar las normas sobre el uso correcto de dispositivos.
• Cumplir con la política de Iberlayer en relación con:
• Confidencialidad de la información.
• Uso aceptable/apropiado de dispositivos y recursos.
• Control de acceso físico.
• Protección contra malware y medidas de seguridad en la transmisión de datos con Iberlayer.
• Autenticación de las comunicaciones, su origen, destino y finalidad.
• Cumplimiento del RGPD y la LSSI.
• Cumplimento de los derechos de propiedad intelectual.
• Otras normativas aplicables al proveedor por la naturaleza de sus servicios.

C. Requisitos aplicables al personal que presta servicios en las instalaciones de Iberlayer

• Cumplir en todo momento con la política de Seguridad de calidad y Seguridad de la información establecida por Iberlayer.
• Observar las normas sobre el uso correcto de dispositivos.
• Cumplir con la política de Iberlayer en relación con:
• Confidencialidad de la información.
• Uso aceptable/apropiado de dispositivos y recursos.
• Control de acceso físico.

Comunicación a proveedores del seguimiento del desempeño

En lo que respecta al apartado de calidad, les informamos que, en aras de garantizar una prestación de un servicio de calidad, al tiempo que aseguramos la protección de la seguridad de la información y la satisfacción de nuestros clientes, llevamos a cabo el seguimiento sobre el desempeño de nuestros proveedores.

Por todo lo expuesto anteriormente, le comunicamos los factores que consideramos en este seguimiento continuo del desempeño y su reevaluación anual en base a los siguientes parámetros:

• Calidad/precio.
• Capacidad de suministro.
• Referencias.
• Servicio postventa.
• Proveedor homologado cliente.
• Sin No Conformidades (A).
• Con No Conformidades.
• Cumplimiento SLA (si aplica).
• Cumplimiento políticas de acceso (si aplica).
• Cumplimiento uso de dispositivos o recursos.

Por otro lado, en la evaluación anual se tienen en cuenta de forma relevante el seguimiento de las incidencias (No Conformidades) en materia de:

• Calidad del producto/ servicio suministrado.
• Cumplimiento de las fechas de entrega comprometidas y/o SLA.
• Seguridad de la información.

En base a las incidencias existentes, así como a la agilidad y calidad de la respuesta recibida se establecen los criterios para la obtención de la clasificación de nuestros proveedores.

Iberlayer está a su disposición para cualquier aclaración sobre la información indicada en el presente comunicado.

Atentamente.

Pedro David Marco
Director General