POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN

POLÍTICA INTEGRAL DEL SGI

En TELASIST estamos comprometidos con el cumplimiento de nuestros objetivos de calidad y de seguridad de la información, actuando siempre con enfoque al cliente procurando la integridad, confidencialidad y disponibilidad de la información que es tratada a través de los activos del grupo.  

Entendemos que la calidad y la seguridad de la información son esenciales para cumplir las necesidades del negocio, por lo que; adoptamos normas nacionales e internacionales que resulten en el cumplimiento de las necesidades y expectativas de nuestras partes interesadas.  

Aceptamos nuestro deber cumplir con los requisitos acordados con nuestros clientes apegándonos a lo establecido en estándares nacionales e internacionales que nos competen. 

 En nuestro grupo se establecen procesos y actividades de mejora continua, manteniendo una capacitación y comunicación constante que ayudan a cumplir nuestra visión y misión como empresa y ante la sociedad para además lograr ser una empresa socialmente responsable. 

 1.  DECLARACIÓN DE LA ALTA DIRECCIÓN

La Alta Dirección de Telasist establece esta política y asume la responsabilidad de proteger la información que la organización crea, recibe, procesa y resguarda.

Telasist presta servicios de asistencia —vial, médica, mascotas, funeraria, hogar, viaje y otras— a para sus usuarios finales. Nuestra operación depende de manejar con confianza datos personales, datos personales sensibles (incluida información de salud), información de pólizas y datos de nuestros clientes institucionales, y de estar disponibles las 24 horas, los 365 días del año.

Por ello, la seguridad de la información es parte de nuestra propuesta de valor: protegemos la confidencialidad, la integridad y la disponibilidad de la información para cumplir nuestra promesa de servicio, sostener la confianza de clientes, usuarios y colaboradores, y cumplir con las obligaciones legales, regulatorias y contractuales que nos aplican.

Para lograrlo, la Alta Dirección establece, implementa, mantiene y mejora un Sistema de Gestión de Seguridad de la Información (SGSI) conforme a ISO/IEC 27001:2022, integrado al Sistema de Gestión Integral (SGI) junto con ISO 9001:2015, y provee los recursos necesarios para su operación eficaz.

2.  ALCANCE Y APLICABILIDAD

Esta política aplica a toda la información de Telasist y de sus clientes, en cualquier formato y durante todo su ciclo de vida, dentro del alcance del SGSI definido en el documento de alcance vigente.

Es de cumplimiento obligatorio para:

•       Accionistas, Alta Dirección, gerencias y todo el personal, sin importar su modalidad de contratación o ubicación (oficinas, centro de contacto o trabajo remoto).

•       Proveedores, contratistas, red de prestadores de servicios y terceros que accedan a información o activos de Telasist.

•       Los procesos, instalaciones, plataformas en nube (p. ej., AWS, OCI, Microsoft 365, Salesforce, Amazon Connect), aplicaciones, redes y dispositivos que soportan los servicios de todas las marcas.

Esta política es el documento rector del SGSI. Las políticas específicas, procedimientos y controles del Anexo A, seleccionados en la Declaración de Aplicabilidad (SoA), la desarrollan y deben ser congruentes con ella.

3.  PRINCIPIOS DE SEGURIDAD DE LA INFORMACIÓN

Telasist gestiona la seguridad de la información con base en los siguientes principios:

1.     Enfoque en riesgos. Los controles se seleccionan a partir de la evaluación y el tratamiento de riesgos, según los criterios de aceptación aprobados por la Alta Dirección.

2.     Protección de datos personales. Los datos de asegurados, pacientes y usuarios se tratan conforme a la legislación mexicana de protección de datos personales y a los compromisos contractuales con cada cliente.

3.     Mínimo privilegio y necesidad de saber. El acceso a la información se otorga solo cuando es necesario para la función y se revisa periódicamente.

4.     Continuidad del servicio. Los servicios críticos de asistencia cuentan con capacidades de respaldo, recuperación y continuidad probadas.

5.     Seguridad desde el diseño. Todo cambio, proyecto, desarrollo o adquisición tecnológica incorpora requisitos de seguridad desde su planeación.

6.     Gestión de terceros. Los proveedores y prestadores que acceden a información asumen obligaciones de seguridad equivalentes a las de Telasist.

7.     Respuesta oportuna. Los eventos e incidentes se reportan, atienden y analizan para aprender de ellos y evitar su recurrencia.

8.     Cultura y responsabilidad. Cada persona es responsable de proteger la información que maneja; la organización la forma y concientiza para ello.

4.  OBJETIVOS DE SEGURIDAD DE LA INFORMACIÓN

La Alta Dirección fija objetivos de seguridad de la información anuales, alineados a esta política y a la planeación estratégica de Telasist.

4.1  Marco para establecer los objetivos

Cada objetivo debe:

•       Ser coherente con esta política y con los resultados de la evaluación y el tratamiento de riesgos.

•       Considerar los requisitos de seguridad aplicables: legales, regulatorios, contractuales y de clientes institucionales.

•       Ser medible (o evaluable) y contar con indicador, meta, responsable, recursos, plazo y método de evaluación de resultados (cláusula 6.2).

•       Darse seguimiento al menos trimestralmente, comunicarse a las partes pertinentes y revisarse en la Revisión por la Dirección.

•       Actualizarse cuando cambien el contexto, los riesgos o los requisitos.

Los objetivos detallados, sus indicadores y su avance se mantienen en la Matriz de Objetivos del SGI.

4.2  Objetivos estratégicos de seguridad

Las metas mostradas son propuestas iniciales; la Alta Dirección las valida y ajusta en cada ciclo anual.

No. 1
Objetivo: Proteger la confidencialidad de la información de clientes y usuarios
Indicador: Incidentes con fuga o divulgación no autorizada de datos
Meta propuesta: 0 por año
Responsable: CISO

No. 2
Objetivo: Asegurar la disponibilidad de los servicios críticos de asistencia
Indicador: Disponibilidad de plataformas de atención (telefonía, CRM)
Meta propuesta: ≥ 99.5 % mensual
Responsable: Gerencia de Infraestructura

No. 3
Objetivo: Gestionar oportunamente los incidentes de seguridad
Indicador: Incidentes críticos contenidos dentro del tiempo objetivo
Meta propuesta: ≥ 95 %
Responsable: CISO

No. 4
Objetivo: Tratar los riesgos de seguridad identificados
Indicador: Riesgos altos con plan de tratamiento ejecutado en plazo
Meta propuesta: ≥ 90 %
Responsable: Dueños de riesgo

No. 5
Objetivo: Fortalecer la cultura de seguridad
Indicador: Personal con capacitación anual aprobada / tasa de clic en simulaciones de phishing
Meta propuesta: ≥ 95 % / ≤ 5 %
Responsable: Capital Humano y CISO

No. 6
Objetivo: Cumplir los requisitos de seguridad de clientes y terceros
Indicador: Auditorías y cuestionarios de clientes sin hallazgos mayores
Meta propuesta: 100 %
Responsable: CISO y Coordinación SGI

No. 7
Objetivo: Mejorar continuamente el SGSI
Indicador: No conformidades cerradas en el plazo comprometido
Meta propuesta: ≥ 90 %
Responsable: Coordinación SGI

5.  COMPROMISOS DE LA ALTA DIRECCIÓN 

5.1  Cumplimiento de requisitos aplicables

Telasist se compromete a cumplir los requisitos relacionados con la seguridad de la información que le son aplicables, entre ellos:

•       Legales y regulatorios: Ley Federal de Protección de Datos Personales en Posesión de los Particulares y su Reglamento, normatividad sanitaria aplicable a la telemedicina y al expediente clínico, legislación en materia de comercio electrónico, propiedad intelectual y laboral.

•       Contractuales: requisitos de seguridad, confidencialidad, continuidad y auditoría establecidos por clientes institucionales (aseguradoras y entidades financieras), incluidos los derivados de la regulación que les aplica a ellos.

•       De la norma: requisitos de ISO/IEC 27001:2022 y los demás que la organización suscriba.

El catálogo de requisitos legales y contractuales se mantiene actualizado y se evalúa su cumplimiento periódicamente.

5.2  Mejora continua del SGSI

Telasist se compromete a mejorar continuamente la conveniencia, adecuación y eficacia del SGSI mediante:

•       El seguimiento, la medición y el análisis de los objetivos e indicadores de seguridad.

•       Auditorías internas y externas, y la Revisión por la Dirección al menos una vez al año.

•       La atención de no conformidades con análisis de causa raíz y acciones correctivas eficaces.

•       Las lecciones aprendidas de incidentes, pruebas de continuidad y ejercicios de simulación.

•       La actualización de controles ante cambios tecnológicos, nuevas amenazas o nuevos servicios.

5.3  Liderazgo y recursos

La Alta Dirección asegura la integración de los requisitos del SGSI en los procesos del negocio, provee los recursos humanos, tecnológicos y financieros necesarios, y promueve la responsabilidad de todo el personal en la protección de la información.

6.  ROLES Y RESPONSABILIDADES 

Rol: Alta Dirección (Dirección General)
Responsabilidad principal: Aprobar esta política, fijar objetivos, asignar recursos, aceptar riesgos residuales y presidir la Revisión por la Dirección.

Rol: CISO
Responsabilidad principal: Dirigir el SGSI, coordinar la gestión de riesgos e incidentes, proponer políticas y controles, e informar a la Alta Dirección sobre su desempeño.

Rol: Gerencia de Infraestructura
Responsabilidad principal: Implementar y operar los controles tecnológicos y la continuidad de la infraestructura y plataformas.

Rol: Coordinación del SGI
Responsabilidad principal: Mantener la información documentada, el programa de auditorías internas y el seguimiento de acciones correctivas.

Rol: Dueños de proceso y de activos
Responsabilidad principal: Clasificar su información, identificar riesgos de su proceso y aplicar los controles asignados.

Rol: Capital Humano
Responsabilidad principal: Integrar la seguridad en contratación, capacitación, proceso disciplinario y baja de personal.

Rol: Personal, proveedores y terceros
Responsabilidad principal: Cumplir esta política y reportar de inmediato cualquier evento o debilidad de seguridad.

7.  COMUNICACIÓN, REVISIÓN E INCUMPLIMIENTO

Comunicación y disponibilidad. Esta política se mantiene como información documentada en el repositorio del SGI, se comunica a todo el personal en su inducción y en las campañas anuales de concientización, y se pone a disposición de clientes, proveedores y demás partes interesadas pertinentes cuando corresponda.

Revisión. La política se revisa al menos una vez al año en la Revisión por la Dirección, o antes si hay cambios significativos en el contexto, los servicios, la tecnología, los riesgos o los requisitos aplicables.

Incumplimiento. Cualquier incumplimiento de esta política o de las políticas que de ella derivan será atendido conforme al proceso disciplinario de Telasist o a las cláusulas contractuales aplicables a terceros, sin perjuicio de las acciones legales que procedan.

Vigencia. Esta política entra en vigor a partir de su fecha de aprobación.

última Actualización. 25 de mayo de 2026