Aprobada el 19 de febrero de 2026 · Versión 01
AP Interactive Solutions S.L. tiene como misión proporcionar servicios de infraestructura cloud, servicios técnicos de ciberseguridad (auditorías, pentesting, gestión de vulnerabilidades, respuesta a incidentes), desarrollo de software personalizado y servicios gestionados para clientes públicos y privados, así como la operación de plataformas SaaS propias.
El objetivo de AP Interactive es ser un referente en servicios técnicos de ciberseguridad e infraestructura cloud, cumpliendo con los requisitos de las normativas de seguridad como la ISO 27001 y el Esquema Nacional de Seguridad (ENS), estableciendo una mejora continua en el Sistema de Gestión de Seguridad de la Información (SGSI) que minimice riesgos, cumpla con las normativas vigentes y refuerce la confianza de nuestros clientes y socios estratégicos.
Por todo ello, el fin del presente documento es garantizar que se proteja la información, propia y de terceros, a un nivel adecuado. Este documento se aplica a todo el alcance del SGSI; es decir, a todos los tipos de información, independientemente del formato, ya sean documentos en papel o electrónicos, aplicaciones y bases de datos, conocimiento de las personas, etc.
AP Interactive depende de los sistemas TIC (Tecnologías de Información y Comunicaciones) para alcanzar sus objetivos. Estos sistemas deben ser administrados con diligencia, tomando las medidas adecuadas para protegerlos frente a daños accidentales o deliberados que puedan afectar a la disponibilidad, integridad o confidencialidad de la información tratada o los servicios prestados.
Los sistemas TIC deben estar protegidos contra amenazas de rápida evolución con potencial para incidir en la confidencialidad, integridad, disponibilidad, uso previsto y valor de la información y los servicios. Esto implica que la organización debe aplicar las medidas mínimas de seguridad exigidas por el Esquema Nacional de Seguridad, así como realizar un seguimiento continuo de los niveles de prestación de servicios, seguir y analizar las vulnerabilidades reportadas, y preparar una respuesta efectiva a los incidentes para garantizar la continuidad de los servicios prestados.
Disposiciones generales:
La base normativa que afecta al desarrollo de las actividades de AP Interactive, en lo que a seguridad de la información se refiere, está constituida por la siguiente legislación:
El mantenimiento del marco normativo será responsabilidad de la empresa, y se mantendrá en un anexo a este documento, incluidas las instrucciones técnicas de seguridad de obligado cumplimiento a iniciativa del Centro Criptológico Nacional (CCN). Asimismo, la empresa será responsable de identificar las guías de seguridad del CCN que serán de aplicación para mejorar el cumplimiento del Esquema Nacional de Seguridad.
AP Interactive, para lograr el cumplimiento de los artículos del Real Decreto 311/2022, ha implementado diversas medidas de seguridad proporcionales a la naturaleza de la información y los servicios a proteger, teniendo en cuenta la categoría de los sistemas afectados y el tamaño de la organización.
La seguridad constituye un proceso integrado por todos los elementos técnicos, humanos, materiales y organizativos relacionados con el sistema. La aplicación del ENS estará presidida por este principio, que excluye cualquier actuación puntual o tratamiento coyuntural. Se prestará la máxima atención a la concienciación de las personas que intervienen en el proceso y a sus responsables jerárquicos, para que ni la ignorancia, ni la falta de organización y coordinación, ni instrucciones inadecuadas, sean fuente de riesgo. Los sistemas se diseñarán para garantizar la seguridad por defecto:
La empresa ha implementado controles y evaluaciones regulares de la seguridad (incluyendo evaluaciones de los cambios de configuración de forma rutinaria) para conocer en todo momento el estado de la seguridad de los sistemas respecto a las especificaciones de los fabricantes, las vulnerabilidades y las actualizaciones que les afecten, reaccionando con diligencia. Antes de la entrada de nuevos elementos, físicos o lógicos, estos requerirán de una autorización formal. Asimismo, se solicitará la revisión periódica por parte de terceros con el fin de obtener una evaluación independiente.
Todos los miembros de AP Interactive dentro del ámbito del ENS atenderán a una sesión de concienciación en materia de seguridad al menos una vez al año. Se establecerá un programa de concienciación continua, en particular para los de nueva incorporación. Las personas con responsabilidad en el uso, operación o administración de sistemas TIC recibirán formación para el manejo seguro de los sistemas; esta formación será obligatoria antes de asumir una responsabilidad. Dado el tamaño de la empresa, la formación se adaptará al rol específico de cada miembro, siendo más intensiva en desarrollo seguro para desarrolladores y en gestión de riesgos para el Responsable de Seguridad.
Todos los sistemas afectados por esta Política, así como todos los tratamientos de datos personales, deberán ser objeto de un análisis de riesgos. Este análisis se repetirá:
El Responsable de Seguridad ENS será el encargado de que se realice el análisis de riesgos, así como de identificar carencias y debilidades y ponerlas en conocimiento del Comité de Seguridad de la Información.
AP Interactive ha implementado un proceso integral de detección, reacción y recuperación frente a incidentes de seguridad, mediante procedimientos que cubren los mecanismos de detección, los criterios de clasificación, los procedimientos de análisis y resolución, los cauces de comunicación a las partes interesadas y el registro de las actuaciones, que se empleará para la mejora continua. Cuando se produce una desviación significativa de los parámetros preestablecidos como normales, se activan los mecanismos de detección, análisis y reporte necesarios. Las medidas de reacción incluyen:
La empresa ha implementado una estrategia de protección basada en múltiples capas (organizativas, físicas y lógicas) de tal forma que, cuando una de las capas falle, se gane tiempo para una reacción adecuada, se reduzca la probabilidad de que el sistema sea comprometido en su conjunto y se minimice el impacto final. Esta estrategia protege el perímetro, en particular si se conecta a redes públicas; se analizarán los riesgos derivados de la interconexión con otros sistemas y se controlará su punto de unión.
La empresa ha organizado su seguridad mediante la designación de diferentes roles con responsabilidades claramente diferenciadas, tal y como se recoge en el apartado "Organización de la seguridad".
La empresa ha implementado mecanismos de control de acceso al sistema de información, limitándolos a los estrictamente necesarios y debidamente autorizados.
Dado que AP Interactive opera en modelo 100% remoto, la protección de instalaciones se adapta a este contexto mediante:
Para la adquisición de productos, la empresa tendrá en cuenta que dichos productos tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición, salvo en aquellos casos en que las exigencias de proporcionalidad respecto a los riesgos asumidos no lo justifiquen.
La empresa ha implementado mecanismos para proteger la información almacenada o en tránsito, especialmente en entornos inseguros (portátiles, tablets, soportes de información, redes abiertas, etc.). Los sistemas dispondrán de copias de seguridad y de los mecanismos necesarios para garantizar la continuidad de las operaciones en caso de pérdida de los medios habituales de trabajo.
La empresa ha habilitado registros de la actividad de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa, con la finalidad exclusiva de lograr el cumplimiento del ENS, con plenas garantías del derecho a la intimidad y de acuerdo con la normativa sobre protección de datos personales.
La presente Política responde a las recomendaciones de las mejores prácticas de Seguridad de la Información recogidas en el Estándar Internacional ISO/IEC 27001 y en el Esquema Nacional de Seguridad, así como al cumplimiento de la legislación vigente en materia de protección de datos personales (RGPD). AP Interactive aplica los siguientes principios:
Puesto que la Seguridad de la Información incumbe a toda la empresa, esta Política deberá ser conocida, comprendida y asumida por todos sus miembros, además de cualquier tercero que acceda a los activos de la compañía.
La organización de la Seguridad de la Información en AP Interactive se establece en el documento interno «Descripción de puestos de trabajo». Para garantizar el cumplimiento de las medidas exigidas reglamentariamente, se han creado los siguientes roles o perfiles de seguridad:
También se ha constituido un Comité de Seguridad de la Información, como órgano colegiado, que atiende las solicitudes en materia de Seguridad de la Información, informa regularmente del estado de la seguridad y asesora en la materia.
La gestión de personal se realizará teniendo en cuenta los criterios de seguridad establecidos en esta Política, salvaguardando sus requisitos en todo momento, incluyendo las fases previa a la contratación, de contratación y de desistimiento de contratos.
6.1.1 Formación y concienciación. AP Interactive asegurará que los miembros reciben un nivel de formación y concienciación adecuado en materia de Seguridad de la Información, especialmente en confidencialidad y prevención de fugas de información. Los miembros tienen la obligación de obrar con diligencia respecto a la información.
6.1.2 Política de escritorio limpio.
6.1.3 Trabajo remoto / teletrabajo. Todos los miembros trabajan desde ubicaciones remotas, por lo que se establecen las siguientes medidas:
El equipo utilizado para la conexión en remoto podrá ser propiedad de los socios, pero deberá cumplir: A) capacidad de conexión a través de VPN; B) sistema operativo actualizado con los últimos parches; C) software antivirus instalado; D) firewall/cortafuegos personal instalado. El servicio de teletrabajo se monitorizará y controlará, registrándose tanto la conexión como la actividad. Para más detalle, la organización cuenta con la Política de teletrabajo y dispositivos móviles.
Se mantendrán identificados e inventariados los activos de información necesarios para la prestación de los procesos de negocio, manteniendo el inventario actualizado. Los activos se clasificarán según el tipo de información que traten. Cada activo tendrá un responsable o propietario encargado de su gestión durante todo el ciclo de vida, de mantener un registro formal de accesos autorizados y de asegurar que está inventariado, correctamente clasificado y adecuadamente protegido.
6.2.1 Gestión de dispositivos personales. Los miembros del equipo utilizan equipos personales para el trabajo diario, debiendo cumplir:
6.2.2 Gestión del ciclo de vida de la información. El ciclo de vida de un activo de información consta de las fases de: (1) creación o recolección, (2) distribución, (3) uso o acceso, (4) almacenamiento y (5) destrucción. Los periodos de conservación se basarán en los requisitos normativos, legales y de negocio; cuando no se exija su conservación, la información se desechará mediante medios que garanticen su confidencialidad durante el proceso de destrucción.
6.2.3 Gestión de copias de seguridad.
Se define un modelo de clasificación de la información que permite implantar las medidas técnicas y organizativas necesarias para mantener su disponibilidad, confidencialidad e integridad. El detalle completo figura en el documento interno «Política de clasificación de la información»; a continuación, un resumen.
6.3.1 Tipos de información. La información se clasifica según el soporte: soportes lógicos (medios ofimáticos, correo electrónico o sistemas de información a medida o de terceros).
6.3.2 Niveles de clasificación:
6.3.3 Gestión de información privilegiada. La información confidencial o reservada se tratará con especial cuidado, con medidas de seguridad adicionales, enviándose cifrada y mediante protocolos seguros.
6.3.4 Etiquetado de la información. Se etiquetarán los documentos y materiales (incluidos anexos, copias, traducciones o extractos) según los niveles de clasificación, salvo la información de "Uso público". El etiquetado reflejará el esquema de clasificación, será fácilmente reconocible y se acompañará de orientación sobre su colocación y de las excepciones permitidas.
6.3.5 Manipulación de la información. Se desarrollarán procedimientos adecuados para la correcta manipulación de la información según su clasificación, custodiando la información privilegiada durante todo su ciclo de vida.
6.3.6 Privacidad de la información. AP Interactive se compromete a proteger la privacidad de: datos personales de clientes (RGPD), datos personales de empleados (RGPD) e información confidencial de clientes (acuerdos de confidencialidad, NDA). Para más detalle, ver la Política de Privacidad.
La fuga de información es una salida no controlada (intencionada o no) que provoca que llegue a personas no autorizadas o que su propietario pierda el control sobre el acceso. AP Interactive define procedimientos para evitar estas situaciones y para actuar cuando se notifique una fuga. Todos los miembros reciben formación sobre prevención de fugas, incluyendo: manejo de dispositivos de alta criticidad, monitorización de red (detección de transferencias anómalas), uso del correo electrónico, transmisión oral de información, uso de dispositivos móviles, control de dispositivos extraíbles y uso de Internet.
Todos los sistemas de información contarán con un sistema de control de acceso, enfocado a asegurar el acceso de los usuarios y prevenir accesos no autorizados (incluyendo protección mediante contraseñas). El control de acceso se entiende desde la perspectiva lógica. Para más detalle, la organización cuenta con el documento interno «Política de Control de Acceso».
6.5.1 Derechos de acceso. Se otorgarán únicamente los privilegios necesarios para desempeñar cada función, en base a:
6.5.2 Control de acceso lógico. Se establecerá una política de contraseñas alineada con las buenas prácticas de seguridad, que definirá los requisitos y plazos de mantenimiento de las contraseñas, detallada en el documento interno «Política de uso aceptable», y conocida por todos los miembros.
AP Interactive mantendrá una política de trabajo en la nube que establezca las medidas adecuadas para la confidencialidad, integridad y disponibilidad de la información, según el modelo de servicio:
Todos los servicios que procesan o almacenan información propia contarán con las medidas de seguridad oportunas que optimicen su nivel de madurez (monitorización, control de cambios, revisiones, etc.). Las redes se gestionarán, controlarán y monitorizarán adecuadamente para protegerse de las amenazas, incluyendo los controles de acceso a la red.
Se establece el uso obligatorio de VPN corporativa, firewalls para filtrado de datos, IDS/IPS para detección y prevención de intrusiones, cifrado TLS/SSL para comunicaciones y autenticación multifactor (MFA) en servicios críticos. Las comunicaciones se realizarán exclusivamente a través de redes seguras, quedando prohibido el uso de redes públicas sin protección VPN. Todos los miembros utilizarán únicamente canales autorizados y reportarán inmediatamente cualquier anomalía.
Toda la adquisición, desarrollo y mantenimiento de los sistemas contará con unos requisitos mínimos de seguridad acordes con las buenas prácticas del sector, incluyendo la gestión de pruebas, el seguimiento de los cambios y el inventario del software. AP Interactive tendrá en cuenta la seguridad de la información en sus procesos de selección, desarrollo e implementación de aplicaciones, productos y servicios.
Se evaluará la criticidad de todos los servicios susceptibles de subcontratación para identificar los relevantes desde el punto de vista de la seguridad. Se cuidarán los procesos de selección, los requerimientos contractuales (incluida la terminación), la monitorización de los niveles de servicio, la devolución de datos y las medidas de seguridad del proveedor, que serán al menos equivalentes a las de esta Política. Para más detalle, la organización cuenta con el documento interno «Política de compras, gestión de proveedores y terceros».
Los miembros tienen la obligación de identificar y notificar al Responsable de Seguridad cualquier incidente o delito que pudiera comprometer la seguridad de los activos de información. Se definirá un procedimiento de gestión de respuesta ante incidentes, con categorización, análisis de impactos de negocio y escalado. Para más detalle, la organización cuenta con el documento interno «Política de gestión de incidentes».
AP Interactive dispondrá de un Plan de Continuidad de Negocio para garantizar la continuidad de sus servicios esenciales o críticos ante posibles escenarios de crisis. Este Plan se actualizará y probará periódicamente, y se complementará con un Plan de Recuperación ante Desastres alineado con la continuidad de negocio. La empresa formará a sus empleados en materia de Continuidad de Negocio, revisando dicha formación periódicamente.
Se establecen los estándares para asegurar la creación, uso, almacenamiento y destrucción seguros de las claves criptográficas que protegen la información confidencial, abarcando todo su ciclo de vida. La responsabilidad de la gestión de claves recae en el Responsable del Sistema, que asegura que las claves sean accesibles únicamente para usuarios y sistemas autorizados, incluyendo la generación, distribución, almacenamiento, uso, renovación, revocación y destrucción de las claves.
AP Interactive dotará los recursos necesarios para dar cumplimiento a toda la legislación y regulación aplicable a su actividad en materia de seguridad de la información, estableciendo la responsabilidad de dicho cumplimiento sobre todos sus miembros.
Se realizará una identificación periódica de vulnerabilidades técnicas de los sistemas y aplicaciones, según su exposición, aplicando las medidas correctoras necesarias tan pronto como sea posible. La identificación, gestión y corrección se hará conforme a un enfoque basado en riesgos, teniendo en cuenta la criticidad y la exposición de los activos.
Cualquier excepción a esta Política deberá registrarse e informarse al Responsable de Seguridad. Las excepciones se analizarán para evaluar el riesgo que podrían introducir y, en base a su categorización, deberán ser asumidas por el peticionario junto con los responsables de negocio.
Cualquier violación de esta Política puede resultar en las acciones disciplinarias correspondientes de acuerdo con el proceso interno de AP Interactive. Es responsabilidad de todos los miembros notificar al Responsable de Seguridad cualquier evento o situación que pudiera suponer un incumplimiento de las directrices definidas.
Aprobada el 19 de febrero de 2026. Versión 01 · Implantación.
Realizado por el Responsable de Seguridad · Revisado y aprobado por Dirección — AP Interactive Solutions S.L.
Documento original disponible en formato PDF: descargar PDF firmado.