Política de Seguridad de la Información

• Organización: DISRUPTIVE LABS, S.L. (nombre comercial "Reversa"), CIF B21866249
• Versión: 3, aprobada el 2026-11-03 · Clasificación: Pública
• Traducción al español de la "Information Security Policy" aprobada en la plataforma de cumplimiento de Reversa. En caso de discrepancia prevalece el original en inglés.
• Medidas del ENS: org.1 (RD 311/2022, art. 12) · ISO/IEC 27001:2022: cláusula 5.2, control A.5.1

Al prestar el servicio de Reversa (DISRUPTIVE LABS, S.L.) a sus clientes, el personal y los proveedores de Reversa acceden a información privilegiada y sensible de esos clientes. Cada cliente confía en que sus datos se crean, almacenan, comparten y transmiten de forma segura.

La pérdida de datos o servicios de un cliente por accesos no autorizados, intrusiones, robos, desastres naturales o ciberataques reduce la confianza del cliente y daña gravemente la reputación de Reversa como empresa que ayuda a otras a desarrollar, implantar y mantener sistemas que evitan la pérdida de propiedad intelectual y de otra información confidencial.

Esta política define la dirección, los principios y las reglas básicas de la gestión de la seguridad de la información en Reversa. Describe la visión y el compromiso de la Dirección para proteger la confidencialidad, mantener la integridad y garantizar la disponibilidad de sus activos de información, y para responder a los incidentes de seguridad y recuperarse de ellos.

La seguridad de la información protege tres objetivos principales:

• Confidencialidad: los datos y los activos de información solo están al alcance de las personas autorizadas y no se revelan a otras.
• Integridad: los datos se mantienen intactos, completos y exactos, y los sistemas de información siguen operativos.
• Disponibilidad: la información y los sistemas están a disposición de los usuarios autorizados cuando los necesitan.

Esta política se aplica a todos los empleados, colaboradores y proveedores de Reversa que acceden a datos de la organización o de sus clientes, o que los tratan, almacenan o transmiten. Cubre todos los activos de información, en cualquier formato (electrónico, papel o verbal), que Reversa crea, recibe, almacena o transmite.

Los sistemas y ubicaciones incluidos son: la infraestructura y los servicios en la nube del entorno de producción (Render, AWS, MongoDB Atlas, Neo4j Aura), los repositorios de código y los artefactos de desarrollo en GitHub, las cuentas de Google Workspace (incluidos el correo y Drive) y los dispositivos del personal (portátiles y equipos gestionados por la empresa).

La política se aplica también a los proveedores de servicios SaaS que tratan datos de Reversa, incluidos los de copias de seguridad, monitorización o seguridad, en la medida de los servicios que prestan y según sus contratos.

• Reversa establece, implanta y mantiene un Sistema de Gestión de la Seguridad de la Información (SGSI) completo y sólido. El SGSI es el sistema de gestión, basado en el riesgo para el negocio, que sirve para establecer, implantar, operar, supervisar, revisar, mantener y mejorar la seguridad de la información. Incluye la estructura organizativa, las políticas, la planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos.
• El SGSI cuenta con los medios adecuados para proteger la confidencialidad, mantener la integridad y garantizar la disponibilidad de los activos de información, y para responder a los incidentes de seguridad y recuperarse de ellos.
• Al planificar el SGSI, Reversa tiene en cuenta sus cuestiones internas y externas y los requisitos de las partes interesadas, y determina los riesgos y oportunidades que pueden afectar a la prestación de sus productos y servicios. La Dirección aporta los recursos necesarios y contribuye a que el SGSI logre sus resultados.

La información y la tecnología que la soporta son activos críticos del negocio. Esto incluye la infraestructura de producción en la nube (Render, AWS, MongoDB Atlas, Neo4j Aura), los repositorios de código en GitHub, los servicios de Google Workspace y los dispositivos gestionados por la empresa. La confidencialidad, integridad y disponibilidad de la información que se recoge (datos personales, datos de uso y datos de negocio y operación) son esenciales para cumplir las obligaciones legales, regulatorias (SOC 2, ISO 27001, RGPD) y contractuales.

Cuando una capacidad la presta un proveedor SaaS (por ejemplo, copias de seguridad, correo o herramientas de productividad), Reversa se apoya en los controles del proveedor, documentados en su contrato y en su modelo de responsabilidad compartida. Los controles internos se centran en la configuración segura, el control de acceso, la protección de datos, la monitorización y la gestión de proveedores.

Diseñar e implantar controles de seguridad exige la participación del personal, los colaboradores y los proveedores relevantes. Las políticas y los controles administrativos complementan los controles técnicos que protegen los datos en desarrollo (GitHub), despliegue y producción (Render, AWS, MongoDB Atlas, Neo4j Aura) y en los entornos de usuario (Google Workspace y dispositivos del personal).

Los objetivos de esta política son:

• Alinear el SGSI con la estrategia de negocio de Reversa como empresa SaaS y con sus objetivos de crecimiento.
• Proteger los datos de clientes y de operación, incluidos los datos personales, tratados en Render, AWS, MongoDB Atlas, GitHub, Google Workspace y en los dispositivos gestionados por la empresa.
• Reducir los riesgos de los servicios en la nube, de los proveedores SaaS y del uso de dispositivos en remoto mediante la gestión de la configuración, la evaluación de proveedores y la protección de los equipos.
• Asegurar que todos los activos de información están inventariados y clasificados, y que se protegen según su riesgo y sensibilidad.
• Asegurar que la información y los sistemas solo son accesibles para usuarios autorizados, con control de acceso basado en roles, mínimo privilegio y autenticación multifactor donde sea posible.
• Dar a los clientes los medios contractuales y operativos para atender los derechos de los interesados (acceso, rectificación y supresión) conforme al RGPD y a los contratos.
• Tratar los datos de los clientes solo según sus instrucciones y los términos del contrato, sin tratamientos independientes de esas instrucciones.
• Cumplir SOC 2, ISO 27001, el RGPD y el resto de requisitos legales y regulatorios sobre la recogida, el almacenamiento, el tratamiento, la transmisión y la comunicación de datos.
• Asignar recursos para establecer, operar, supervisar y mejorar el SGSI.
• Concienciar a la organización para que empleados, colaboradores y proveedores conozcan y cumplan sus responsabilidades de seguridad.
• Desarrollar y mantener procedimientos y controles que reflejen buenas prácticas adecuadas para una empresa SaaS en fase inicial que usa Render, AWS, MongoDB Atlas, GitHub y Google Workspace.
• Revisar y actualizar periódicamente los objetivos de seguridad según los cambios del negocio, la tecnología o los requisitos regulatorios.

• La segregación de funciones reduce el riesgo de uso indebido, accidental o deliberado, de los activos de la organización.
• Al asignar responsabilidades, se separan las funciones y áreas incompatibles para reducir las oportunidades de modificación o uso indebido, autorizado o no, de los activos.
• Se procura que cada persona solo pueda acceder a los activos, modificarlos o usarlos con la debida autorización o con mecanismos de detección. Al diseñar los controles se tiene en cuenta la posibilidad de connivencia.

Cuando haga falta, y tras validar al proveedor, se recurrirá a asesoramiento especializado, por ejemplo un consultor de seguridad con contrato o por consulta. Cuando sea adecuado, Reversa podrá recurrir a grupos del sector especializados en seguridad, a los programas de seguridad de sus proveedores en la nube (por ejemplo, los recursos de seguridad de AWS, Render y MongoDB Atlas) o a servicios de asesoramiento en RGPD o SOC 2.

Cuando sea necesario, la organización mantiene el contacto adecuado con las fuerzas de seguridad, los organismos reguladores, los servicios de emergencia, los proveedores de telecomunicaciones y otros, para poder obtener ayuda durante una crisis. En los incidentes que afecten a datos regulados (por ejemplo, datos personales sujetos al RGPD), el responsable de respuesta a incidentes sigue los plazos legales de notificación y avisa a los reguladores o a las fuerzas de seguridad cuando corresponda.

La seguridad de la información se integra en la gestión de proyectos para identificar y tratar sus riesgos dentro de cada proyecto, sea cual sea su naturaleza: un proceso principal del negocio, TI, instalaciones u otros procesos de apoyo. En los proyectos de desarrollo de software, los requisitos de seguridad se incluyen en los flujos de trabajo de GitHub (revisión de código, protección de ramas y análisis de dependencias). Los despliegues en AWS siguen la arquitectura aprobada y las listas de configuración segura antes de pasar a producción.

Cualquier empleado, colaborador o tercero que detecte un incidente de seguridad, real o sospechado, debe notificarlo de inmediato al responsable de respuesta a incidentes por el canal designado (el flujo interno de gestión de incidentes y el buzón de seguridad en Google Workspace). La notificación debe incluir el detalle suficiente para evaluar el incidente y responder a tiempo.

• El cumplimiento de esta política y de sus políticas de apoyo se evalúa al menos una vez al año mediante auditorías internas y evaluaciones externas periódicas alineadas con SOC 2 e ISO 27001. Las excepciones detectadas se corrigen según su riesgo y se siguen hasta su cierre.
• La política se revisa una vez al año y, además, cuando hay cambios significativos en la estructura organizativa, los procesos de negocio, la infraestructura de AWS, el uso de servicios de terceros o los requisitos regulatorios.
• La política se revisa y modifica siempre que se identifica un riesgo o un incidente de seguridad grave.

Como mínimo, los siguientes documentos desarrollan esta política:

• 12.1 Política de Seguridad de Recursos Humanos: que empleados y colaboradores entiendan sus responsabilidades y sean adecuados para sus puestos.
• 12.2 Procedimiento de Evaluación y Gestión de Riesgos: pautas para entender y gestionar los riesgos que pueden afectar a la seguridad de la información.
• 12.3 Política de Control de Acceso: limitar el acceso a la información y a los medios que la tratan; garantizar el acceso de usuarios autorizados e impedir el no autorizado a sistemas y servicios; hacer a los usuarios responsables de proteger sus credenciales; impedir el acceso no autorizado a sistemas y aplicaciones; segregar funciones.
• 12.4 Política de Gestión de Activos: identificar los activos de Reversa y sus responsables; dar a la información el nivel de protección que corresponde a su importancia; impedir la revelación, modificación, retirada o destrucción no autorizadas de la información almacenada en soportes.
• 12.5 Política de Seguridad de las Operaciones: proteger la información en las operaciones diarias de prestación de los servicios de Reversa.
• 12.6 Política de Uso Aceptable: que todo el personal conozca el uso aceptable de los activos y las pautas de ciberseguridad; proteger la información de Reversa cuando se accede a ella, se trata o se almacena en teletrabajo.
• 12.7 Política de Cumplimiento: cumplir todos los requisitos legales y regulatorios que afectan al negocio.
• 12.8 Política de Adquisición y Desarrollo de Sistemas: integrar la seguridad en todo el ciclo de vida de los sistemas, incluidos los que prestan servicios a través de redes públicas.
• 12.9 Política de Seguridad Física y Ambiental: impedir el acceso físico no autorizado, los daños y las interferencias en la información y las instalaciones de Reversa.
• 12.10 Política de Continuidad de Negocio: integrar la continuidad de negocio en las operaciones de Reversa.
• 12.11 Política de Gestión de Proveedores: proteger los activos de Reversa a los que acceden los proveedores.
• 12.12 Política de Gestión de Incidentes: gestionar los incidentes de seguridad que puedan comprometer la confidencialidad, integridad o disponibilidad de los datos y servicios de Reversa.

Pública. Se publica una copia sin firmas en reversa.ai para las partes interesadas.

El cumplimiento de esta política se verifica por distintos medios, entre otros informes automáticos, auditorías y comunicaciones al responsable de la política. Cualquier miembro del personal que la incumpla podrá ser objeto de medidas disciplinarias, incluida la extinción de su contrato laboral o de colaboración, según el alcance, la intención y las consecuencias del incumplimiento.

• El Responsable de Seguridad de la Información propone esta política y cada cambio en ella. Los aprueba la Dirección (apartado 17.6).
• En el sistema sujeto al ENS, el Responsable de Seguridad de la Información es el Responsable de la Seguridad definido en el apartado 17.4.
• Tiene autoridad ejecutiva sobre la seguridad de la información y trabaja con la Dirección para publicar toda la documentación, cada documento aprobado según el apartado 17.6.
• Desarrolla y mantiene toda la documentación del SGSI.
• Programa auditorías internas periódicas, con el equipo interno o con consultores externos.
• Junto con el Responsable de Ingeniería, construye un programa de privacidad completo que define, desarrolla, mantiene e implanta políticas y procesos para proteger la confidencialidad de los datos personales, en papel o en formato electrónico.

Este documento se revisa al menos una vez al año y, además, cuando hay cambios significativos en la tecnología (por ejemplo, en la arquitectura de AWS, los procesos de GitHub o la configuración de Google Workspace), en los proveedores, en los requisitos regulatorios (SOC 2, ISO 27001, RGPD) o tras un incidente de seguridad grave.

Esta sección adapta la política al Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS). Se aplica al sistema de información incluido en el alcance del ENS: el sistema de información que da soporte al diseño, desarrollo, implementación, mantenimiento, soporte técnico y operaciones de la plataforma SaaS de cumplimiento regulatorio alojada en la nube de Reversa, incluyendo las actividades de incorporación y soporte de clientes que procesan datos de clientes. El sistema es de categoría MEDIA. Para ese sistema, si esta sección y el resto de la política difieren, prevalece esta sección.

17.1 Misión y objetivos

DISRUPTIVE LABS, S.L. (Reversa) desarrolla y opera una plataforma SaaS en la nube que empresas y organismos públicos usan para seguir la normativa y cumplirla. Su misión en seguridad de la información es proteger la información que trata y los servicios que presta, para que sus clientes, también los del sector público, puedan confiar en su confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad. Los objetivos del apartado 5 se aplican a estas cinco dimensiones.

17.2 Marco legal y regulatorio

Reversa desarrolla sus actividades conforme a:

• El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, sus instrucciones técnicas de seguridad y las guías CCN-STIC que le sean de aplicación.
• El Reglamento (UE) 2016/679, General de Protección de Datos, y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
• La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
• La Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, en los servicios que presta a organismos públicos.
• Los contratos y acuerdos de encargo del tratamiento firmados con clientes y proveedores.
• La norma ISO/IEC 27001:2022, con la que está certificado el sistema de gestión de la seguridad de la información de Reversa.

La Política de Cumplimiento describe cómo Reversa identifica y sigue estos requisitos.

17.3 Principios básicos

Reversa aplica los principios básicos del artículo 5 del ENS:

• Seguridad como proceso integral. La seguridad abarca personas, tecnología, procesos y proveedores. Todo el personal tiene obligaciones según esta política.
• Gestión de la seguridad basada en los riesgos. El análisis de riesgos, hecho según la Política de Evaluación y Gestión de Riesgos y sobre las cinco dimensiones del ENS, decide qué medidas se aplican y con qué intensidad.
• Prevención, detección, respuesta y conservación. Las políticas de apoyo fijan las medidas preventivas. Los servicios de detección de amenazas y la monitorización detectan los incidentes. La Política de Gestión de Incidentes regula la respuesta. Las copias de seguridad y la Política de Continuidad de Negocio y Recuperación ante Desastres conservan la información y el servicio.
• Existencia de líneas de defensa. Varias capas independientes protegen el sistema: el cortafuegos de aplicaciones web en el perímetro, las restricciones de red en las bases de datos, el inicio de sesión único con autenticación multifactor, la autorización dentro de la aplicación y el cifrado en tránsito y en reposo.
• Vigilancia continua. Los sistemas y los controles se supervisan de forma continua, incluidas las comprobaciones automáticas de la plataforma de cumplimiento.
• Reevaluación periódica. El análisis de riesgos y las medidas de seguridad se revisan al menos una vez al año y siempre que hay un cambio significativo o un incidente grave.
• Diferenciación de responsabilidades. Los roles del apartado 17.4 separan quién fija los requisitos, quién decide sobre la seguridad y quién opera el sistema.

17.4 Roles de seguridad

En esta política, la Dirección son los socios fundadores de la empresa como equipo directivo: el CPTO, el COO y el CRO.

Designación y renovación. La Dirección nombra por escrito a cada titular, y el nombramiento consta en el acta del Comité de Seguridad. Los nombramientos se revisan cada año en la revisión por la Dirección, y se renuevan cuando un titular deja la empresa, cambia de puesto o surge un conflicto de intereses. Una misma persona puede ser Responsable de la información y Responsable del servicio.

Responsable de la seguridad y Responsable del sistema. Como regla, son personas distintas, sin dependencia jerárquica entre ellas (art. 13.3). Mientras el tamaño del equipo no lo permita, una misma persona ocupa ambos roles, como admite el art. 13.3 por falta justificada de recursos, con estas medidas compensatorias:

• El Responsable de la información y del servicio, que no depende de esa persona, revisa sus decisiones de seguridad en el Comité de Seguridad y puede elevarlas a la Dirección.
• Todo cambio en el código de producción necesita la aprobación de otro ingeniero, y nadie puede aprobar su propio cambio.
• Las acciones de administración en las plataformas principales quedan registradas: AWS CloudTrail, el registro de actividad de MongoDB Atlas y el registro de auditoría de GitHub.
• Una auditoría interna y una auditoría externa independiente revisan las medidas de seguridad cada año.

El Comité de Seguridad revisa esta excepción cada año y la termina cuando el equipo pueda separar los dos roles.

Conflictos. Los desacuerdos entre titulares se plantean en el Comité de Seguridad. Si el Comité no los resuelve, decide la Dirección.

17.5 Comité de Seguridad

• Miembros: el COO, que lo preside, los cuatro titulares de los roles del ENS y el Representante de Protección de Datos. Una misma persona puede participar en más de una condición.
• Funciones: coordinar la seguridad de la información en toda la empresa; aprobar la normativa de seguridad (apartado 17.6); seguir el análisis de riesgos, los incidentes, los resultados de las auditorías y las acciones de mejora; proponer recursos a la Dirección; resolver los conflictos entre titulares.
• Reuniones: al menos una vez al año, junto con la revisión por la Dirección, y tras cualquier incidente grave o cambio significativo en el sistema. El acta recoge los asistentes, las decisiones y las acciones con su responsable.
• Relación con el resto de la empresa: el Comité informa a la Dirección. Sus decisiones obligan a todo el personal y se ejecutan a través de ingeniería, operaciones y la gestión de proveedores.

17.6 Documentación de seguridad

La documentación de seguridad tiene cuatro niveles:

1. Política de seguridad: este documento. La aprueba la Dirección.

2. Normativa de seguridad: la Política de Uso Aceptable, la Política de Código de Conducta y las políticas temáticas. Dicen qué está permitido y qué no. La aprueba el Comité de Seguridad.

3. Procedimientos de seguridad: cómo se hacen tareas concretas. Los aprueba el Responsable de la seguridad.

4. Registros y evidencias: lo que demuestra que se cumplen la normativa y los procedimientos.

La plataforma de cumplimiento es el sistema de referencia de las políticas y los procedimientos: guarda todas las versiones, registra quién aprobó cada una y controla la aceptación por el personal. Los borradores de trabajo y las evidencias se guardan en Google Workspace y en el repositorio de cumplimiento de la empresa. El acceso se limita al personal que lo necesita, y cada documento se clasifica según la Política de Clasificación de Datos. Todos los documentos se revisan al menos una vez al año.

17.7 Riesgos del tratamiento de datos personales

El sistema trata datos de contacto profesional de los usuarios de los clientes (nombre, correo profesional, cargo, preferencias), eventos de uso seudonimizados, el contenido que introducen los usuarios y las solicitudes de soporte. No pide categorías especiales de datos, aunque los usuarios podrían incluirlas en los documentos o preguntas que introducen. Los riesgos principales son el acceso no autorizado a las cuentas y al contenido de los clientes, las categorías especiales de datos que introduzcan los usuarios, la comunicación de datos personales a proveedores de modelos de IA o de otros servicios, las transferencias fuera de la Unión Europea y la conservación de datos más tiempo del necesario.

Reversa los trata mediante el Registro de Actividades de Tratamiento, los análisis previos de la necesidad de evaluación de impacto, la Política de Protección de Datos, la Política de Conservación de Datos, el tratamiento en la Unión Europea siempre que el proveedor lo permite, con cláusulas contractuales tipo para los proveedores que tratan datos personales fuera de ella, según consta en el Registro de Actividades de Tratamiento, modelos de IA que no se entrenan con datos de clientes y acuerdos de encargo del tratamiento con los proveedores que tratan datos personales por su cuenta. Estos riesgos forman parte del análisis de riesgos del sistema y se revisan con el Registro de Actividades de Tratamiento cada trimestre.

17.8 Requisitos mínimos de seguridad

Los requisitos mínimos del artículo 12.6 del ENS se desarrollan en estos documentos: