1. Introducción y Objeto 

Para la protección y uso adecuado de la información, el Grupo UAX establece la directriz de que cada entidad que lo conforma implante un Sistema de Gestión de Seguridad de la Información (SGSI) basado en la norma ISO 27001. 

El SGSI proporciona un marco de referencia que permite garantizar el uso adecuado de la información y la gestión segura de los procesos, promoviendo una mejora continua y asegurando el cumplimiento de los requisitos legales, reglamentarios y contractuales aplicables.  

Esta Política representa la base del SGSI y define los principios, normas y procedimientos esenciales para la seguridad de la información dentro del Grupo UAX, con el objetivo de preservar la confidencialidad, integridad, disponibilidad y trazabilidad de la información.

Los requisitos establecidos en esta Política representan el mínimo exigible; sin embargo, cada entidad del Grupo UAX podrá desarrollar una política más detallada o avanzada, según sus necesidades y nivel de madurez en seguridad de la información. 

2. Objetivo 

Esta Política tiene como finalidad establecer los principios y reglas básicas para la gestión de la seguridad de la información, asegurando: 

• Confidencialidad: Acceso exclusivo a los sistemas y activos que contengan información corporativa sólo a personas autorizadas, garantizando mecanismos de control adecuados. 
• Integridad: Precisión y fiabilidad de la información, evitando alteraciones no autorizadas mediante controles, así como registros de auditoría que permitan evidenciar y supervisar la correcta gestión de la información. 
• Disponibilidad: Información accesible para usuarios autorizados cuando así se requiera. 
• Cumplimiento legal: Alineación con la normativa vigente en cada momento, incluyendo la protección de datos de carácter personal. 
• Mejora continua: Evaluación y actualización periódica de políticas, procedimientos y controles para adaptarse a nuevas amenazas, cambios organizativos y tecnológicos o regulatorios. 

La Dirección del Grupo UAX asume el compromiso de apoyar la implementación de las medidas organizativas, técnicas y de control necesarias para cumplir con esta política. 

3. Alcance 

 Esta política es de aplicación a: 

• Todos los empleados del Grupo UAX, proveedores y terceros que manejen información del Grupo UAX. 
• Todos los sistemas, dispositivos y activos de información, sean propios o externos, que procesen datos del Grupo UAX. 

A efectos de la Política, “Grupo UAX” hace referencia a todas aquellas entidades que forman parte, en los términos del artículo 42 del Código de Comercio, del grupo de empresas cuya sociedad matriz es Guadarrama Proyectos Educativos, S.L. 

4. Principios de Seguridad de la Información 

• Compromiso de la organización: Toda la comunidad que forma el Grupo UAX debe estar comprometida con la seguridad de la información. 
• Seguridad integrada: La seguridad debe considerarse en todos los procesos, sistemas y actividades del Grupo UAX, incluyendo proveedores y servicios tercerizados. 
• Gestión de riesgos: Evaluación continua de riesgos mediante metodologías reconocidas (ISO 31000, Magerit o COBIT), aplicando controles adecuados y asegurando el registro, tratamiento y seguimiento documentado. 
• Proporcionalidad: Aplicación de medidas de seguridad acorde al riesgo de los activos. 
• Mejora continua: Revisión y actualización periódica de medidas de seguridad y procedimientos. 
• Seguridad por diseño y por defecto: Consideración de la seguridad desde la concepción de los sistemas y procesos. 
• Responsabilidad compartida: Todos los usuarios deben velar por la seguridad de la información, mediante programas de concienciación y reporte de incidencias. 

5. Roles y Responsabilidades 

• Comité Ejecutivo: Proporciona apoyo y liderazgo en la implementación de la seguridad de la información. 
• Responsable de Seguridad de la Información (CISO): Coordina, verifica y documenta el cumplimiento del SGSI y de las obligaciones legales y regulatorias. 
• Delegado de Protección de Datos (DPD): Garantiza el cumplimiento normativo en materia de protección de datos personales. 
• Usuarios: Cumplir con la política y reportar incidentes. 
• Proveedores y terceros: Asegurar el cumplimiento de los requisitos de seguridad y la normativa aplicable mediante contratos, cláusulas de confidencialidad y acuerdos específicos, garantizando que cumplan con los estándares de seguridad del Grupo UAX. 
• Comité de Seguridad de la Información: Liderar, supervisar y coordinar todas las actividades relacionadas con el SGSI dentro de la organización. 

 6. Gestión del Riesgo 

El análisis y gestión de riesgos es un eje fundamental del SGSI. Para su realización se adoptarán metodologías de reconocido prestigio o ampliamente aceptadas en el mercado, como ISO 31000, Magerit y COBIT,  

Todos los riesgos deben registrarse, evaluarse, tratarse y documentarse, incluyendo criterios de aceptación, responsables y evidencia de seguimiento. 

La revisión del análisis de riesgos se realizará al menos una vez al año o ante incidentes graves o cambios significativos en los sistemas de información.  

7. Formación y Concienciación 

El Grupo UAX implementará un programa continuo de formación y sensibilización en seguridad de la información dirigido a empleados y terceros con acceso a información crítica. 

Se mantendrán registros de asistencia, contenidos y evaluaciones para garantizar evidencia de cumplimiento y efectividad. 

8. Mantenimiento y Revisión de la Política 

La política será revisada anualmente por el CISO, y cada vez que se produzcan cambios regulatorios, tecnológicos o incidentes relevantes. 

Toda revisión será documentada, indicando fecha, responsables y cambios realizados para mantener evidencia de auditoría. 

9. Cumplimiento y Sanciones 

El incumplimiento de esta política puede conllevar sanciones disciplinarias, contractuales o legales según la gravedad de la infracción. 

Las sanciones se aplicarán siguiendo procedimientos documentados, asegurando proporcionalidad y evidencia para auditorías externas e internas. 

10. Aprobación, distribución y actualización 

La presente Política fue aprobada por el Consejo de Administración de Guadarrama Proyectos Educativos en su sesión de fecha 03 de marzo de 2026, entrando en vigor desde el mismo momento de su aprobación. 

Esta Política es un documento de fácil acceso para todos los Miembros del Grupo UAX, disponible en todo momento a través del portal del empleado, en el apartado de documentación corporativa. Además, se enviará por correo electrónico al menos una vez al año, y cada vez que se produzcan actualizaciones. 

El CISO velará por la correcta aplicación de la Política, realizando un seguimiento anual de la misma y efectuando las revisiones y actualizaciones necesarias sobre la misma.