Política de seguretat
ESOLVO GLOBAL, SL
Document de govern que estableix com ESOLVO GLOBAL, SL dirigeix i protegeix la informació que tracta i els serveis que presta: missió i objectius, principis, organització de la seguretat, documentació, gestió de riscos, protecció de dades i relacions amb tercers, en compliment del Reial decret 311/2022, pel qual es regula l’Esquema Nacional de Seguretat.
| Redactat / Revisat per: | Jordi Llauger Marca | 03/07/2026 |
| Aprovat per: | Raül Ferragut Rosell | 06/07/2026 |
| Versió: | 1 | |
| Estat: | Aprovat | |
| Classificació: | Pública | |
Historial de canvis
| Versió | Canvis | Data | Autor |
| 1 | Creació del document | 03/07/2026 | Jordi Llauger Marca |
1. Introducció
ESOLVO GLOBAL, SL (en endavant, ESOLVO) presta serveis tecnològics a tercers: administra els sistemes d’altres organitzacions, allotja webs, correu i servidors, gestiona plataformes de Google i de Microsoft per compte dels seus clients i desenvolupa i opera ESCIO, la seva aplicació de gestió empresarial. Una part substancial de la informació que ESOLVO custodia no és pròpia, sinó dels clients que li confien credencials, dades i sistemes. Per aquest motiu, la seguretat de la informació és una condició de la prestació del servei i no un afegit.
La Direcció d’ESOLVO aprova aquesta política com a instrument de govern de la seguretat, hi destina els recursos necessaris i n’exigeix el compliment a tota l’organització. La seguretat s’incorpora a totes les etapes del cicle de vida dels sistemes i dels serveis: planificació, desenvolupament o contractació, operació i retirada.
2. Objecte i abast
Aquesta política estableix els objectius i els principis de seguretat d’ESOLVO, el marc normatiu de referència, l’organització de la seguretat amb els seus rols i el seu comitè, les directrius d’estructuració de la documentació, l’enfocament de gestió dels riscos i les pautes de relació amb clients i proveïdors. Es dicta en compliment de l’article 12 i de la mesura org.1 de l’Annex II del Reial decret 311/2022.
S’aplica als cinc serveis que ESOLVO presta com són administració de sistemes, serveis d’Internet, provisió de plataformes de Google i Microsoft, agència de comunicació i ESCIO, als sistemes d’informació que els suporten, a totes les persones de l’organització i al personal extern que accedeix als sistemes. El conjunt es tracta com un sistema d’informació únic, classificat en la categoria MITJANA d’acord amb l’Annex I del Reial decret 311/2022.
3. Missió de l’organització
ESOLVO és una empresa de serveis tecnològics amb seu a Montfullà (Girona) que actua com a departament informàtic extern dels seus clients i com a proveïdor de solucions pròpies. La seva missió és que empreses i entitats públiques treballin amb sistemes d’informació fiables i segurs. La desplega en cinc línies de servei: l’administració de sistemes, amb còpies de seguretat, ciberseguretat, gestió d’incidències i suport; la provisió de serveis d’Internet, que comprèn dominis, allotjament web, correu electrònic i servidors virtuals; la consultoria i la gestió de llicències de Google Workspace i de Microsoft 365; els serveis d’agència de comunicació digital, i ESCIO, l’aplicació de gestió empresarial pròpia, desplegada al núvol de Google.
Entre els clients d’ESCIO hi ha entitats del sector públic local. Aquesta circumstància situa ESOLVO dins de l’àmbit de l’article 2.3 del Reial decret 311/2022, com a operador del sector privat que presta serveis a entitats del sector públic, i comporta l’obligació d’aplicar les mesures de seguretat corresponents a la categoria del sistema. La infraestructura de producció resideix íntegrament al núvol i en centres de dades externs; a la seu no s’hi allotgen servidors de producció.
4. Objectius de seguretat
ESOLVO orienta la seguretat de la informació als objectius següents:
- Protegir la informació, les credencials i els sistemes que els clients confien a ESOLVO amb el mateix rigor que la informació pròpia.
- Mantenir la prestació dels serveis dins dels temps de recuperació valorats i aprovats per a cada
servei. - Complir els requisits del Reial decret 311/2022 per a la categoria MITJANA i mantenir la conformitat al llarg del temps.
- Incorporar la seguretat al desenvolupament i a l’operació d’ESCIO des del disseny, amb separació d’entorns i control dels canvis.
- Detectar els incidents de seguretat, propis o que afectin clients, contenir-los, resoldre’ls i extreure’n aprenentatge.
- Tractar les dades personals d’acord amb la normativa de protecció de dades i amb els contractes d’encàrrec subscrits amb els clients.
- Mantenir el personal format i conscient del seu paper en la seguretat.
5. Principis de seguretat
L’actuació d’ESOLVO en matèria de seguretat es regeix pels principis bàsics del capítol II del Reial decret 311/2022.
La seguretat s’entén com un procés integral (art. 5), que comprèn les vessants tècnica, humana, material i organitzativa i que acompanya els sistemes durant tot el seu cicle de vida. Els sistemes es configuren amb seguretat per defecte: funcionalitat mínima necessària i privilegis imprescindibles per a cada funció.
Les mesures de seguretat es decideixen a partir de l’anàlisi dels riscos (art. 6) i es mantenen proporcionades als riscos que tracten. La protecció es construeix en línies de defensa successives (art. 8), de manera que la fallada d’un element no comprometi el conjunt: l’exposició d’una credencial, per exemple, no ha d’obrir per si sola l’accés als sistemes dels clients.
ESOLVO preveu, detecta i respon (art. 7): redueix les vulnerabilitats abans que s’explotin, vigila l’operació diària per identificar comportaments anòmals i reacciona davant dels incidents per restablir la informació i els serveis tot conservant les evidències. L’estat de la seguretat es vigila de manera contínua i es reavalua periòdicament (art. 10), ajustant les mesures a l’evolució dels riscos i de la tecnologia.
La responsabilitat de la seguretat està diferenciada de la responsabilitat de l’operació (art. 11): qui supervisa les mesures no és qui opera el sistema.
6. Marc normatiu
Les activitats d’ESOLVO es desenvolupen dins del marc següent:
- Reial decret 311/2022, de 3 de maig, pel qual es regula l’Esquema Nacional de Seguretat, aplicable a ESOLVO per la via del seu article 2.3.
- Reglament (UE) 2016/679, general de protecció de dades (RGPD), i Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals.
- Guies CCN-STIC del Centre Criptològic Nacional, com a referència per a la implantació de les mesures de l’Esquema Nacional de Seguretat.
- Contractes, plecs i acords de nivell de servei subscrits amb els clients, en particular amb les entitats del sector públic, i la resta de legislació aplicable a l’activitat.
ESOLVO identifica els requisits legals i contractuals que l’afecten i en manté actualitzada la relació.
7. Organització de la seguretat
7.1. Comitè de Seguretat de la Informació
El Comitè de Seguretat de la Informació coordina la seguretat a ESOLVO. El componen la Direcció, que el presideix, el Responsable de la Informació i dels Serveis, el Responsable de Seguretat, que hi actua com a secretari i documenta les sessions, i el Responsable del Sistema. Quan els assumptes ho requereixen, s’hi convida personal d’altres àrees de l’organització.
Correspon al Comitè: aprovar la normativa de seguretat i les seves revisions; fixar els criteris comuns de valoració de la informació i dels serveis; fer el seguiment dels riscos, dels incidents, dels indicadors i dels resultats de les auditories; impulsar les actuacions del pla de tractament de riscos i verificar-ne l’avanç; resoldre les discrepàncies entre responsables, i elevar a la Direcció les decisions que ultrapassen les seves atribucions. Es reuneix amb una periodicitat planificada i sempre que un incident o un canvi rellevant ho requereix, i deixa constància dels acords en actes.
7.2. Rols de seguretat
L’Esquema Nacional de Seguretat diferencia les responsabilitats sobre la informació, els serveis, la seguretat i el sistema. A ESOLVO, la responsabilitat de la informació i la dels serveis recauen en una única persona, atesa la dimensió de l’organització; les responsabilitats de seguretat i del sistema s’assignen a persones diferents, sense dependència jeràrquica entre elles.
| Rol | Funcions |
Responsable de la Informació i dels Serveis | Estableix els requisits de la informació tractada i dels serveis prestats, n’aprova la valoració en les dimensions de seguretat i fixa els nivells de prestació exigibles. |
Responsable de Seguretat | Determina la categoria del sistema a partir de les valoracions aprovades, elabora i manté la política, la normativa i els procediments de seguretat, dirigeix l’anàlisi i el tractament dels riscos, supervisa la implantació de les mesures, aprova la declaració d’aplicabilitat, coordina la resposta als incidents i promou la formació i la conscienciació. |
Responsable del Sistema | Desenvolupa, opera i manté els sistemes d’informació durant el seu cicle de vida, aplica les mesures de seguretat aprovades i en planifica la implantació tècnica. |
Direcció | Exerceix la responsabilitat última de la seguretat, aprova aquesta política, dota l’organització dels recursos necessaris i accepta formalment el risc residual. |
7.3. Designació i renovació
La Direcció designa cada responsable per escrit, mitjançant un nomenament que recull les funcions assignades i que la persona designada accepta de manera expressa. Els nomenaments mantenen la vigència mentre no es revoquen o se substitueixen, i es revisen quan la persona deixa el lloc, quan les funcions canvien de manera substancial o quan la Direcció ho considera necessari. Davant d’una absència que pugui afectar l’operació o la seguretat, la Direcció designa temporalment una persona substituta amb les mateixes funcions.
7.4. Resolució de conflictes
Les discrepàncies entre responsables es plantegen al Comitè de Seguretat de la Informació, que les resol. Si el desacord persisteix, la decisió correspon a la Direcció. En l’exercici de les seves funcions, el Responsable de Seguretat actua amb independència del Responsable del Sistema.
8. Documentació de seguretat
La documentació de seguretat s’estructura en quatre nivells. Aquesta política n’és el primer i estableix el marc general. La normativa de seguretat, d’obligat compliment, concreta l’ús correcte dels recursos i les obligacions de les persones. Els procediments operatius descriuen com s’executen les tasques amb incidència en la seguretat. Els registres i les evidències documenten que el sistema funciona tal com està previst.
El Responsable de Seguretat elabora i manté la documentació. La Direcció aprova la política; el Comitè de Seguretat de la Informació aprova la normativa, i el Responsable de Seguretat aprova els procediments. Cada document identifica la versió, l’estat, la data i l’historial de canvis. La documentació resideix al repositori documental corporatiu, ordenada per matèries, i s’hi accedeix segons la necessitat de cada funció. Aquesta política és pública i es facilita als clients i als tercers que la sol·liciten.
9. Personal: obligacions, conscienciació i formació
Totes les persones d’ESOLVO coneixen i compleixen aquesta política i la normativa que la desplega; el desconeixement no eximeix del compliment. El personal accepta la normativa de seguretat en el moment de la incorporació i cada vegada que s’hi introdueixen canvis substancials.
ESOLVO manté un programa de conscienciació que recorda periòdicament al personal els riscos i les pautes d’actuació, amb atenció específica a les noves incorporacions. Les persones que administren sistemes propis o de clients, o que desenvolupen ESCIO, reben formació de seguretat adequada a les seves funcions abans d’assumir-les. El personal extern amb accés als sistemes queda subjecte a les mateixes obligacions a través dels contractes corresponents.
10. Gestió de riscos
ESOLVO analitza els riscos que afecten la informació i els serveis amb una metodologia basada en MAGERIT i amb els criteris comuns de valoració que fixa el Comitè de Seguretat de la Informació. L’anàlisi es revisa com a mínim un cop l’any, i també quan canvien els serveis o els sistemes que els suporten, quan es produeix un incident greu de seguretat o quan es coneixen vulnerabilitats o amenaces que alteren el nivell de risc.
Del resultat de l’anàlisi en deriva un pla de tractament que prioritza les actuacions segons el risc i que assigna responsables i terminis. La Direcció accepta formalment el risc residual. Els riscos que afecten dades personals es valoren de manera coordinada amb les obligacions de protecció de dades.
11. Protecció de dades de caràcter personal
ESOLVO tracta dades personals en una doble condició. Com a responsable del tractament, respecte de les dades del seu personal, dels contactes comercials i dels destinataris de les seves comunicacions. Com a encarregat del tractament, respecte de les dades que els clients li confien en el marc dels serveis: la informació continguda a ESCIO, les bústies i els allotjaments administrats i els sistemes gestionats per compte de tercers, incloses les entitats del sector públic.
ESOLVO manté el registre de les activitats de tractament, subscriu amb els clients els contractes d’encàrrec del tractament previstos a l’article 28 del RGPD i trasllada les obligacions corresponents als proveïdors que actuen com a subencarregats. Els riscos per als drets i les llibertats de les persones s’integren a l’anàlisi de riscos i, quan un tractament pot comportar un alt risc, se’n fa l’avaluació d’impacte prèvia. Davant d’una violació de la seguretat de les dades, ESOLVO actua segons la seva condició: com a responsable, la notifica a l’autoritat de control i, quan escau, la comunica a les persones afectades; com a encarregat, la comunica sense dilació al client responsable del tractament i li presta el suport necessari.
12. Relacions amb tercers
Quan ESOLVO presta serveis a entitats del sector públic, opera d’acord amb la política de seguretat de l’entitat contractant en allò que afecta el servei, segons preveu l’article 2.3 del Reial decret 311/2022. ESOLVO designa un punt de contacte de seguretat per a cada client que ho requereix, manté canals de comunicació i de notificació d’incidents i facilita les evidències de conformitat que els clients sol·liciten.
Quan ESOLVO contracta a tercers, com per exemple, la infraestructura de núvol, centres de dades, eines de servei o col·laboradors, selecciona proveïdors que acrediten un nivell de seguretat coherent amb la categoria del sistema: conformitat amb l’Esquema Nacional de Seguretat o, quan no és possible, certificació ISO/IEC 27001 o garanties contractuals equivalents. Els contractes traslladen als proveïdors les obligacions de seguretat i de confidencialitat, preveuen la comunicació dels incidents que afectin el servei i permeten a ESOLVO sol·licitar evidències del compliment.
Si un proveïdor no pot satisfer algun requisit d’aquesta política, el Responsable de Seguretat documenta els riscos que se’n deriven i la manera de tractar-los, i el Responsable de la Informació i dels Serveis els accepta abans de la contractació.
13. Gestió d’incidents de seguretat
ESOLVO gestiona els esdeveniments i els incidents de seguretat a través del sistema de tiquets d’ESCIO, on cada incidència queda registrada, marcada quan afecta la seguretat i valorada segons la importància i la urgència. El Responsable de Seguretat coordina la resposta amb l’objectiu de detectar aviat, contenir el dany, restablir el servei i evitar la repetició.
Quan un incident afecta serveis o dades de clients, ESOLVO els n’informa pels canals de contacte establerts i col·labora en la resposta. Les notificacions a les autoritats i als organismes competents es fan quan la normativa o els contractes ho requereixen, inclosa la notificació de les violacions de dades personals. L’experiència de cada incident rellevant s’incorpora a l’anàlisi de riscos i a la millora de les mesures.
14. Aprovació, vigència i revisió
La Direcció d’ESOLVO aprova aquesta política, que entra en vigor en la data de la seva aprovació i manté la vigència fins que una nova versió la substitueix. Es difon a tot el personal, es publica als canals corporatius i es facilita als clients que la sol·liciten.
El Comitè de Seguretat de la Informació la revisa com a mínim un cop l’any i proposa a la Direcció les modificacions necessàries quan canvien l’organització, els serveis, la normativa o el nivell de risc. Cada nova versió es comunica pels mateixos canals que la versió inicial.
Direcció d’ESOLVO GLOBAL, SL
Raül Ferragut Rosell
Montfullà, 22 de Juliol de 2026
