Última actualización: 05/08/2026
Directrices que rigen cómo Inari GRC gestiona y protege la información que trata y los servicios que presta.
Inari GRC es una consultora especializada en gobierno, riesgo y cumplimiento (GRC) de seguridad de la información y ciberseguridad, constituida como microempresa con sede en Francia y actividad principal en España y Francia. Su trabajo consiste en acompañar a otras organizaciones en la implantación y verificación de marcos, entre otros, como ISO 27001, Esquema Nacional de Seguridad, TISAX o ISO/IEC 42001.
A diferencia de otras entidades, el principal activo de Inari GRC no es un sistema productivo, sino la información que sus clientes le confían: análisis de riesgos, hallazgos de auditoría, vulnerabilidades identificadas, evidencias de cumplimiento y documentación interna de terceros. Una fuga o alteración de esa información no solo dañaría a Inari GRC, sino que podría comprometer la seguridad de sus clientes. La confidencialidad, la integridad, la trazabilidad, autenticidad y disponibilidad son, por tanto, condiciones de existencia del negocio, no meros objetivos formales.
De ahí el principio que vertebra este documento: la ejemplaridad. Una consultora que asesora sobre seguridad de la información debe aplicarse a sí misma, de forma verificable, las exigencias que traslada a sus clientes. Esta Política es la expresión de ese compromiso y el marco del que penderá el resto de la normativa interna de seguridad de INARI.
Nota sobre el ámbito de aplicación del ENS. Inari GRC no queda automáticamente sujeta al ENS por su condición de consultora. La obligación de contar con una política conforme al artículo 12 nace cuando, en virtud de una relación contractual, se prestan servicios o proveen soluciones a entidades del sector público español (art. 2 RD 311/2022). Inari GRC adopta este marco de forma voluntaria y anticipada —por coherencia profesional y como garantía frente a sus clientes—, quedando además preparada para acreditar su cumplimiento cuando un contrato con el sector público lo exija.
El objeto de esta Política es establecer las directrices de alto nivel que rigen la forma en que INARI GRC gestiona y protege la información que trata y los servicios que presta, definiendo los principios, la organización, las responsabilidades y el marco documental de la seguridad.
El alcance comprende:
Misión: Inari GRC existe para ayudar a sus clientes a comprender, gestionar y demostrar la seguridad de su información y el cumplimiento de sus obligaciones regulatorias, aportando criterio experto, independiente y verificable. El sostén de esa misión es la confianza: sin protección efectiva de la información que sus clientes le entregan, Inari GRC no puede prestar su servicio.
Objetivos de seguridad: Con esta Política, Inari GRC se propone:
La toma de decisiones en materia de seguridad en Inari GRC se rige por los principios básicos del ENS y por unos principios propios que expresan la identidad de la entidad.
La actividad de Inari GRC y esta Política se desarrollan en un marco normativo transfronterizo (España y Francia) y europeo. Las principales normas de referencia son:
La relación anterior es enunciativa y se mantendrá actualizada. El marco normativo completo aplicable en cada momento se desarrolla en un registro específico.
La organización de la seguridad en Inari GRC se estructura de acuerdo con el principio de diferenciación de responsabilidades del ENS y con el modelo de la guía CCN-STIC 801, adaptado a la realidad de una microempresa.
La Dirección de Inari GRC es el órgano con las máximas competencias ejecutivas. Le corresponde aprobar esta Política y sus revisiones, dotar de recursos a la seguridad, designar a los responsables de los roles ENS, aceptar formalmente el riesgo residual y resolver los conflictos que no puedan solventarse en un nivel inferior.
Dado el tamaño de Inari GRC, el Comité de Seguridad de la Información no se constituye como órgano colegiado extenso, sino como un mecanismo de gobierno ligero y proporcionado. Está integrado por la Dirección y, por los Responsables de la Información/Servicio, Responsable del Sistema y Responsable de la Seguridad, y podrá incorporar puntualmente asesoramiento técnico externo cuando la materia lo requiera.
Son funciones del Comité: impulsar y revisar la Política y la normativa de seguridad; armonizar los criterios de valoración de la información y de los servicios; supervisar el estado de la seguridad y el tratamiento de los riesgos; realizar el seguimiento de los incidentes; y elevar a la Dirección las decisiones que excedan de su ámbito. El Comité se reúne, al menos, con periodicidad semestral y de forma extraordinaria tras cualquier incidente relevante, dejando constancia mediante acta.
Inari GRC adopta los cuatro roles de seguridad del ENS, que debido a la naturaleza de microempresa de Inari GRC, se encuentran acumulados en la misma persona. Sus cometidos son:
| Rol ENS | Cometido esencial en Inari GRC |
|---|---|
| Responsable de la Información (RINFO) | Determina los requisitos de seguridad de la información tratada y efectúa su valoración en las dimensiones de seguridad. |
| Responsable del Servicio (RSERV) | Determina los requisitos de seguridad de los servicios que Inari GRC presta a sus clientes y participa en su valoración. |
| Responsable de la Seguridad (RSEG) | Determina las decisiones para satisfacer los requisitos de seguridad, supervisa la implantación de las medidas y reporta sobre su estado. Actúa como secretario del Comité. |
| Responsable del Sistema (RSIS) | Desarrolla, opera y mantiene los sistemas de información durante su ciclo de vida, aplicando las medidas de seguridad y supervisando la operación diaria. |
Los deberes y responsabilidades detallados de cada rol se desarrollan en la normativa interna de seguridad, tomando como referencia la guía CCN-STIC 801.
Como microempresa, Inari GRC puede no dispone de personas suficientes para asignar cada rol a un titular distinto. El ENS lo contempla expresamente: la única incompatibilidad obligatoria es que el Responsable de la Seguridad sea distinto del Responsable del Sistema y no exista dependencia jerárquica entre ambos (art. 13.3). Los demás roles pueden concentrarse en las mismas personas.
Cuando la ausencia justificada de recursos impida separar RSEG y RSIS, el propio artículo 13.3 admite que ambas funciones recaigan en la misma persona (o en personas con relación jerárquica), siempre que se apliquen medidas compensatorias que garanticen la finalidad del principio de diferenciación de responsabilidades. Inari GRC documenta esta situación de forma honesta —sin aparentar una independencia que no existe— y aplica, según proceda, las siguientes medidas compensatorias y de vigilancia:
Inari GRC designa un Punto de Contacto para la seguridad, que canaliza las comunicaciones y la gestión de incidentes con el cliente. Este POC será, por defecto, el Responsable de Seguridad de Inari GRC.
Los titulares de los roles de seguridad y los integrantes del Comité son designados por la Dirección de Inari GRC mediante acta formal, que precisa el rol, la persona y la fecha de efecto. La designación se mantiene vigente hasta su renovación o revocación por la Dirección, que revisará su idoneidad al menos con ocasión de la revisión anual de esta Política o ante cambios organizativos relevantes. Los conflictos respecto a la seguridad de la información se elevan al Comité y, si este no puede resolverlos, a la Dirección, cuya decisión es definitiva.
La documentación de seguridad de Inari GRC se organiza en una estructura jerárquica de cuatro niveles, en la que cada nivel desarrolla al anterior y aumenta en concreción:
| Nivel | Instrumento | Contenido y ejemplo |
|---|---|---|
| 1 | Política de seguridad | Documento marco de alto nivel. |
| 2 | Normativa de seguridad | Reglas de obligado cumplimiento sobre el uso correcto de los activos de Inari GRC y sobre responsabilidades del personal. Ejemplo: normativa de uso adecuado de activos de Inari GRC. |
| 3 | Procedimientos de seguridad | Instrucciones paso a paso sobre cómo ejecutar tareas concretas: gestión de accesos, copias de seguridad, etc. |
| 4 | Guías, registros y evidencias | Documentos de apoyo y registros que evidencian las medidas. Ejemplo: análisis de riesgos, actas, registro de incidentes, etc. |
La documentación de seguridad estará a disposición de las personas que necesiten conocerla, en particular de quienes utilicen, operen o administren los sistemas, y se gestionará con control de versiones, control de acceso según el principio de mínimo privilegio y criterios de conservación definidos. Los detalles técnicos se remiten a los niveles 2 a 4, manteniendo esta Política deliberadamente breve y estable.
El análisis de riesgos es la base para determinar las medidas de seguridad que Inari GRC adopta por encima de los mínimos exigibles. Inari GRC se compromete a realizar y mantener actualizado un análisis de riesgos de sus sistemas de información.
El análisis de riesgos y su tratamiento son actividades que se repiten con regularidad y, en todo caso, se revisan y aprueban con periodicidad anual. Las medidas adoptadas para mitigar o suprimir los riesgos deben estar justificadas y guardar proporcionalidad con los riesgos identificados. Los riesgos que superen el umbral asumible, o aquellos que el Responsable de Seguridad o la Dirección decidan incluir por motivos estratégicos se someten a un plan de tratamiento; los que se acepten como riesgo residual son aceptados formalmente por la Dirección.
Inari GRC trata datos personales tanto propios (personal, contactos) como, en su caso, por cuenta de sus clientes. La gestión de la seguridad de Inari GRC integra expresamente los riesgos derivados del tratamiento de datos personales, adoptando medidas técnicas y organizativas proporcionadas conforme al RGPD y a la normativa nacional aplicable en España (LOPDGDD) y en Francia (Loi Informatique et Libertés).
Cuando Inari GRC actúe como encargada del tratamiento, respetará las instrucciones del responsable y las obligaciones del contrato de encargo, incluidas las relativas a subencargados, transferencias y notificación de brechas. La coordinación entre la gestión del riesgo de seguridad y la del riesgo para los derechos de las personas se asegura en el seno del Comité
La seguridad de la información afecta a todas las personas de Inari GRC y, más aún, constituye el propio objeto de su trabajo. Coherentemente con la mentalidad de maestro-aprendiz que nos guías, Inari GRC concibe la concienciación y la formación no como un trámite periódico, sino como una cultura de aprendizaje continuo: se comparte el conocimiento y, al mismo tiempo, no se deja de aprender de cada proyecto, cada incidente y cada evolución normativa.
Todas las personas de Inari GRC recibirán, al menos una vez al año, una acción de concienciación en seguridad de la información, y se mantendrá un programa de concienciación continua que atienda especialmente a las nuevas incorporaciones. Mientras la entidad esté formada por una sola persona, esta obligación se satisface mediante su actualización profesional continua y una revisión anual de su propia concienciación, de la que se deja constancia; el programa se ampliará de forma natural a medida que Inari GRC incorpore nuevas personas.
Las personas con responsabilidad en el uso, operación o administración de sistemas recibirán la formación específica necesaria para su manejo seguro. Esta formación será obligatoria antes de asumir la responsabilidad —en una primera asignación o ante un cambio de funciones— sin atajos ni asunción de tareas para las que no se cuente con la preparación adecuada. Dada la actividad de Inari GRC, la actualización técnica y regulatoria continua es, además de un requisito del ENS, una exigencia profesional del negocio.
En aplicación del principio de las personas primero, Inari GRC trata a las personas como la primera línea de defensa y como sujetos a proteger: promueve una cultura de reporte sin miedo, en la que comunicar un error o un posible incidente se valora y nunca se penaliza, y procura que las exigencias de seguridad y formación sean sostenibles y respetuosas con el bienestar y la vida personal.
Cuando Inari GRC preste servicios a otras entidades o maneje información de terceros, les hará partícipes de esta Política en lo que les afecte y establecerá los canales de reporte y coordinación en materia de seguridad e incidentes que correspondan, sin perjuicio de las obligaciones específicas que asuma como encargada del tratamiento.
En la contratación de servicios TIC y en la adquisición de productos (en particular servicios en la nube y herramientas SaaS que traten información de clientes), Inari GRC incorporará requisitos de seguridad proporcionados al riesgo, valorará las garantías del proveedor y mantendrá la supervisión del cumplimiento de dichos requisitos durante la vigencia del contrato.
Inari GRC dispondrá de un procedimiento para la detección, registro, contención, resolución y análisis posterior de los incidentes de seguridad, orientado a minimizar su impacto y a evitar su repetición. Los incidentes que afecten a información o servicios de clientes se comunicarán a estos con la diligencia debida y por los canales acordados. Cuando proceda, se notificarán a las autoridades competentes —en particular, ante brechas de datos personales, a la autoridad de control correspondiente (AEPD en España, CNIL en Francia)— dentro de los plazos legalmente exigibles.
Todas las personas que integran Inari GRC tienen la obligación de conocer y cumplir esta Política y la normativa que la desarrolla. Antes de recibir credenciales de acceso, deberán conocer y aceptar la Política en los aspectos que les afecten. El incumplimiento de las obligaciones de seguridad podrá dar lugar a las medidas disciplinarias o contractuales que correspondan conforme a la legislación laboral y mercantil vigente, y, en su caso, a las responsabilidades legales derivadas. El deber de confidencialidad sobre la información de clientes subsiste tras la finalización de la relación.
Inari GRC se compromete con la mejora continua. Esto significa que supervisa de forma continua el estado de su seguridad y verifica periódicamente el cumplimiento de las medidas, mediante autoevaluación o auditoría, con el alcance y la periodicidad que correspondan a la categoría de sus sistemas. Los resultados alimentan planes de mejora que corrigen las deficiencias detectadas, en aplicación del principio de mejora continua del proceso de seguridad.
Esta Política será revisada, al menos, con periodicidad anual, y siempre que se produzcan cambios normativos u organizativos que la afecten o se detecten incongruencias o ineficiencias. La Política siempre será aprobada por la Dirección y publicada en la página web de Inari GRC. Se dará la publicidad adecuada para que las partes interesadas, internas y externas, puedan conocer el alcance del compromiso adquirido y sus responsables.
Este procedimiento formaliza los puntos de norma o medidas exigidas por:
Este documento se crea para formalizar lo indicado en las siguientes referencias:
| Referencia | Requisito / Control | Evidencia asociada |
|---|---|---|
| ENS | Org.1 Política de seguridad | Política publicada en página web |
| ISO 27001 | 5.1 Políticas para la seguridad de la información | Política publicada en la web |
Firmado por La Dirección de Inari GRC