Política de seguridad de la información

HCLSoftware es una división de HCL Technologies que desarrolla y ofrece una cartera de productos de software de última generación para empresas con modelos de consumo flexibles, que abarca desde el software tradicional en entornos locales hasta PaaS basada en la nube, SaaS y servicios gestionados combinados.

HCLSoftware se compromete a proteger los activos de información esenciales con la implementación y el mantenimiento de un sistema de gestión de seguridad de la información (ISMS) para ayudar a garantizar que se cumplan sus objetivos de seguridad de la información aplicables, y el ISMS es capaz de adaptarse a los cambios internos y externos.

El objetivo del ISMS es la protección de HCLSoftware y los activos de información de sus clientes de amenazas identificadas, ya sean internas o externas, deliberadas o accidentales.

Los objetivos de la seguridad de la información son:

• Mantener la confidencialidad de la información de forma que solo las personas autorizadas tengan acceso a ella.
• Garantizar la integridad de la información.
• Disponer la información de modo que solo las personas autorizadas puedan acceder a ella, a los activos y a los sistemas cuando sea necesario.

El software de HCL se ajusta a la norma ISO/IEC 27001:2022 como norma de seguridad básica y se extiende a otras normas de seguridad, como ISO 27017, ISO 27018, SOC 2 Tipo II, PCI e HIPAA.

El software de HCL cuenta con una estructura de control de seguridad de la información consolidada para gestionar de forma eficiente el ISMS, que incluye:

• La identificación de activos de información.
• La gestión de riesgos a un nivel aceptable mediante el diseño, la implementación y el mantenimiento de los planes de tratamiento de riesgos.
• La comunicación de los objetivos de seguridad de la información y del rendimiento en la consecución de estos objetivos.
• La elaboración de programas de sensibilización y capacitación en materia de seguridad, según proceda.
• El cumplimiento de las leyes y normativas locales, así como de las obligaciones contractuales pertinentes para la seguridad de la información.

Esta política de seguridad de la información está respaldada por políticas internas específicas en los siguientes aspectos de la gestión de la seguridad:

• Gestión de riesgos: los riesgos se gestionan en un ciclo de vida estándar y se informa periódicamente a la alta dirección sobre su estado.
• Recursos humanos: incluye controles en torno a la cultura, formaciones anuales obligatorias, comunicación, proceso de evaluación del rendimiento y proceso de finalización.
• Seguridad física y medioambiental: incluye la seguridad perimetral del edificio, así como mecanismos de protección seguros para oficinas internas, infraestructura, centros de datos y salas de servidores.
• Gestión de proveedores: incluye la evaluación de riesgos de los proveedores y los acuerdos formales con los detalles de los SLA necesarios para el producto o servicio suministrado.
• Gestión de la continuidad del negocio: incluye los detalles utilizados para respaldar las copias de seguridad, la recuperación empresarial y la continuidad.
• Auditoría interna y cumplimiento: un equipo dedicado a gestionar la auditoría interna y la conformidad.
• Gestión de activos: un registro gestionado formalmente para todos los activos de los entornos de HCLSoftware. Cada activo incluye un conjunto estructurado de atributos en su definición.
• Controles de acceso: incluye la definición de ID de usuario únicos y controles de contraseña formales.
• Criptografía: se aplican normas de cifrado.
• Controles de comunicación [Redes y firewalls]: incluye detalles de los niveles de protección establecidos y los controles restringidos para dichos recursos vitales.
• Adquisición, desarrollo y mantenimiento de sistemas: la adquisición, el desarrollo y el mantenimiento de sistemas de productos y entornos se gestionan según la política.
• Gestión de incidentes de seguridad de la información: los incidentes de seguridad se registran y gestionan en un ciclo de vida estructurado.
• Estándar de preparación de seguridad, incorporación y eliminación: se ha establecido un estándar de seguridad mínimo para todos los dispositivos que se incorporan o eliminan de su infraestructura.
• Gestión de parches: los parches se aplican a un período de tiempo en función de la gravedad de la vulnerabilidad.
• Supervisión y registro de seguridad: el equipo del centro de operaciones de seguridad (SOC) dedicado recopila y revisa los registros para identificar alertas de actividad no autorizada.
• Análisis de vulnerabilidades/pruebas de penetración: las pruebas de penetración independientes se realizan como mínimo una vez al año.
• Comprobación de estado de los entornos/dispositivos: se basa en los controles de referencia CIS.

---