Política del Sistema de Gestión Integrado de Inforcopy · Alcance
«Alquiler y venta de equipos informáticos y multifunción. Servicios de asistencia informática.»
Versión 03 · aprobada por la Dirección el 22 de mayo de 2026 Fdo. Marcos Martín Sánchez, director general
Publicamos nuestra política de seguridad de la información explicada para quien tiene que decidir si nos confía sus equipos y sus documentos: su texto literal, lo que significa para ti cada parte, lo que está confirmado y lo que todavía no.
Equipo de Inforcopy · Publicado el 13 de octubre de 2026 · Texto de la política cotejado con su página publicada
La respuesta corta
Una política de seguridad de la información dice qué información protege una empresa, en qué servicios y quién responde. La nuestra, versión 03 aprobada el 22 de mayo de 2026, cubre el alquiler y la venta de equipos informáticos y multifunción y la asistencia informática. Tener política no es estar certificado.
Lo esencial
- El alcance son tres servicios con sus palabras: alquiler y venta de equipos informáticos y multifunción, y asistencia informática.
- La aprobó la Dirección el 22 de mayo de 2026 y la firma el director general.
- Se compromete con cinco propiedades de la información: confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad.
- El análisis de riesgos se repite al menos una vez al año y siempre que hay un incidente grave.
- Una política no es un certificado: el de cualquier proveedor se comprueba por su entidad, su alcance, su versión y su fecha.
Si tienes que homologarnos como proveedor, te enviamos la política y su alcance para tu expediente, sin más trámite que pedirlo.
Confirmado, con su fuente
- Alcance: alquiler y venta de equipos informáticos y multifunción; servicios de asistencia informática.Apartado «Introducción, objeto y alcance» de la política
- Versión 03, aprobada por la Dirección el 22 de mayo de 2026, firmada por Marcos Martín Sánchez, director general.Pie de la política
- Se aprueba «conforme a» las normas ISO 9001:2015, ISO 14001:2015 e ISO 27001:2022, en un único sistema de gestión.Primer párrafo de la política
- Un Responsable de Seguridad de la Información y un Comité de Seguridad de la Información.Apartados «Organización de la seguridad» y «Gestión de riesgos»
- Análisis de riesgos al menos una vez al año; marco legal del RGPD y la Ley Orgánica 3/2018.Apartados «Gestión de riesgos» y «Marco legal y regulatorio»
Pendiente de confirmar
- Entidad, número y fecha de un certificado: en este artículo no los publicamos.
- Si los consumibles y las pantallas interactivas entran en el alcance.
- Si algún contrato con una administración nos exige el Esquema Nacional de Seguridad.
¿Qué es una política de seguridad de la información?
Es el documento en el que una organización dice cómo gestiona y protege la información que trata y los servicios que presta. Lo aprueba la dirección, fija un alcance y nombra quién responde de cada cosa.
La definición más clara en castellano está en el Esquema Nacional de Seguridad, el Real Decreto 311/2022. Su artículo 12 la llama conjunto de directrices y enumera lo mínimo que debe incluir, de los objetivos a los riesgos de los datos personales.
«La política de seguridad de la información es el conjunto de directrices que rigen la forma en que una organización gestiona y protege la información que trata y los servicios que presta.»Real Decreto 311/2022, Esquema Nacional de Seguridad, art. 12.1
Conviene no confundir la política con las políticas. La primera es el documento general, firmado por la dirección; las segundas son normas de detalle que la desarrollan, como una política de impresión para la oficina. La nuestra lo prevé con estas palabras: «se desarrollará por medio de normativa y procedimientos de seguridad».
¿Qué cubre nuestra política?
Tres servicios, con estas palabras: alquiler y venta de equipos informáticos y multifunción, y servicios de asistencia informática. Lo que no esté en esa frase no queda cubierto por ella.
«Esta Política se circunscribe a los servicios incluidos en el alcance en lo relativo a: Alquiler y venta de equipos informáticos y multifunción. Servicios de asistencia informática.»Política v03, «Introducción, objeto y alcance» · el texto completo de la política
Un alcance corto tiene una ventaja para quien lo lee: se comprueba en un minuto. El renting de fotocopiadoras e impresoras entra por «alquiler»; la venta de fotocopiadoras e impresoras, por «venta»; y el mantenimiento informático, por «asistencia informática».
Prueba con lo que tienes contratado o piensas contratar. Arrastra cada servicio hasta la frase, o tócalo y toca después la frase: se ilumina la palabra que lo cubre, o vuelve a su sitio con el motivo.
¿Esto entra en el alcance?
Arrastra un servicio hasta la frase, o tócalo y toca después la frase (con teclado: Enter en el servicio y Enter en la frase).Siete servicios que un cliente puede pedirnos. Prueba los que te interesen.
Los servicios del alcance tienen su páginaRenting, venta y asistencia informática.
Renting de multifunciones Alquiler de fotocopiadoras, impresoras y multifunciones con mantenimiento, sin precio en esta página: te lo damos con tu volumen.
Mantenimiento informático Asistencia informática para empresas, en remoto y en tu oficina, dentro del alcance de la política.
Venta de equipos Venta de fotocopiadoras, impresoras y equipos informáticos para la oficina.
Probados: 0 de 7 · Dentro: 0 · Vuelven: 0
- Renting de una multifunción: dentro del alcance. Lo cubren dos palabras de la frase: «Alquiler» y «multifunción».
- Destrucción de documentos: no aparece en el alcance. La destrucción de documentos no está en la frase ni la ofrecemos como servicio en nuestra web: esta política no la cubre.
- Reparación de un portátil: dentro del alcance. La cubre «Servicios de asistencia informática».
- Consumibles: pendiente de confirmar. Ninguna palabra del alcance nombra los consumibles. Hasta que lo confirmemos por escrito, no los damos por cubiertos.
- Venta de un ordenador: dentro del alcance. Lo cubren «venta» y «equipos informáticos».
- Pantallas interactivas: pendiente de confirmar. No aparecen en el alcance. Falta confirmar por escrito quién las presta y con qué política.
- Asistencia en remoto: dentro del alcance. La cubre «Servicios de asistencia informática», igual que la reparación en tu oficina.
Alcance literal de la versión 03 de nuestra política (22-05-2026). Los servicios que salen como pendientes lo están hasta que los confirmemos por escrito. Sin precios: el presupuesto depende de tu volumen y tus equipos.
¿Qué nos comprometemos a proteger?
La información de esos servicios, con cinco propiedades: confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad. Para ello hay un responsable, un comité y un análisis de riesgos que se repite al menos una vez al año.
«Su objetivo a nivel de seguridad de la información es garantizar la calidad de la información y la prestación continuada de los servicios.»Política v03, «Introducción, objeto y alcance»
« para garantizar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información, así como la protección de los datos personales.»Política v03, «Objetivos y misión de la organización»
El Esquema Nacional de Seguridad define las tres primeras en su anexo IV. La confidencialidad es que la información no se revela a quien no está autorizado; la integridad, que no se altera sin autorización; la disponibilidad, que quien tiene permiso accede cuando lo necesita.
«INFORCOPY SISTEMAS S.L. cuenta con un Responsable de Seguridad de la Información » · «el Comité de Seguridad de la Información establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados.»Política v03, «Organización de la seguridad» y «Gestión de riesgos»
«Este análisis se repetirá:Política v03, «Gestión de riesgos»
- regularmente, al menos una vez al año
- cuando cambie la información manejada
- cuando cambien los servicios prestados
- cuando ocurra un incidente grave de seguridad
- cuando se reporten vulnerabilidades graves
- cuando se realice cualquier cambio significativo del sistema o del SGI»
«La información documentada será clasificada en: información de uso público, información de uso interno e información confidencial »Política v03, «Establecimiento, implantación, mantenimiento y mejora del SGI»
Las palabras abstractas se entienden mejor cuando se rompen. Elige un servicio de tu día a día y rompe una de las tres propiedades clásicas: verás qué incidente sería en tu oficina, qué se pierde y qué frase de la política lo cubre.
Rompe una de las tres
Elige un servicio y toca una palabra para romperla. Vuelve a tocarla para recomponerla.Toca confidencialidad, integridad o disponibilidad.
El incidente en tu oficina
Lo que se pierde
Lo que lo cubre en la política
Ejemplo, no un caso real.
- El escaneo a una carpeta, confidencialidad: Las nóminas escaneadas van a una carpeta compartida que abre toda la oficina. Se pierde: la reserva de los datos personales de la plantilla. Lo cubre: «La información documentada será clasificada en: información de uso público, información de uso interno e información confidencial».
- El escaneo a una carpeta, integridad: Un contrato se escanea con una página cortada y nadie lo nota: el archivo guardado ya no es el documento firmado. Se pierde: que la copia digital sirva cuando haga falta enseñarla. Lo cubre: «para garantizar la confidencialidad, integridad, disponibilidad, trazabilidad y autenticidad de la información».
- El escaneo a una carpeta, disponibilidad: Tras cambiar el servidor, la carpeta de destino deja de responder y la multifunción no puede dejar ahí los escaneos del día. Se pierde: la mañana de trabajo, que hay que repetir. Lo cubre: «cuando se realice cualquier cambio significativo del sistema o del SGI».
- El renting de la multifunción, confidencialidad: Al acabar el contrato, la máquina sale de la oficina con documentos escaneados todavía en su disco. Se pierde: el control sobre lo que se copió y se escaneó durante años. Lo cubre: «Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos)».
- El renting de la multifunción, integridad: Alguien cambia sin permiso un destino de la libreta de direcciones y los escaneos de facturas empiezan a ir a otro correo. Se pierde: la seguridad de que cada documento llega adonde debe. Lo cubre: «Los controles de seguridad deberán implantarse, mantenerse y mejorarse continuamente, y estar disponibles como información documentada».
- El renting de la multifunción, disponibilidad: La multifunción se para el día del cierre del trimestre, con las facturas por imprimir y escanear. Se pierde: llegar a tiempo con el trimestre. Lo cubre: «garantizar la calidad de la información y la prestación continuada de los servicios».
- La asistencia en remoto, confidencialidad: Llama alguien que dice ser el técnico y pide que le dejes entrar en tu ordenador. Se pierde: el control del equipo y todo lo que hay en él. Lo cubre: «trazabilidad y autenticidad de la información».
- La asistencia en remoto, integridad: En una sesión remota se toca una configuración que nadie había pedido y no queda anotado. Se pierde: saber qué se cambió, y poder deshacerlo. Lo cubre: «la aplicación de técnicas organizativas que mejoren el seguimiento de la tramitación y resolución de incidentes de seguridad».
- La asistencia en remoto, disponibilidad: Un equipo deja de arrancar y no hay forma de conectarse en remoto para arreglarlo. Se pierde: las horas de trabajo de ese puesto hasta que se resuelve. Lo cubre: «cuando ocurra un incidente grave de seguridad».
Ejemplos, no casos reales. Las definiciones son las del anexo IV del Real Decreto 311/2022; nuestra política añade trazabilidad y autenticidad. Los controles concretos de cada servicio no están en el texto público de la política: aquí citamos su compromiso general, literal.
¿Qué debe contener una política de seguridad de la información?
Según el artículo 12.1 del Esquema Nacional de Seguridad, seis cosas como mínimo: objetivos, marco legal, roles, comité, directrices de documentación y riesgos de los datos personales. La nuestra tiene cuatro enteras y dos en parte.
| Lo que pide el art. 12.1 del ENS | Dónde está en la nuestra | Estado |
|---|---|---|
| Objetivos o misión de la organización | «Objetivos y misión de la organización»: nueve principios generales y los objetivos de seguridad. | Está |
| Marco regulatorio | «Marco legal y regulatorio»: RGPD y Ley Orgánica 3/2018, más un registro de la legislación aplicable. | Está |
| Roles de seguridad, con su designación y renovación | «Organización de la seguridad»: el Responsable de Seguridad de la Información y sus funciones. La designación remite al Manual de Organización. | En parte |
| Estructura y composición del comité | «Gestión de riesgos»: el Comité de Seguridad de la Información y dos de sus funciones. Su composición no se publica. | En parte |
| Directrices de la documentación, su gestión y acceso | Clasificación en tres niveles, aprobación por la dirección y alojamiento en los sistemas de la empresa. | Está |
| Riesgos del tratamiento de datos personales | «Gestión de riesgos» y la «protección de los datos personales» entre los objetivos. | Está |
Cómo leer esta tabla: el ENS obliga al sector público y a sus proveedores en esos contratos; aquí lo usamos como vara. Revisado sobre el texto publicado de la versión 03 (22-05-2026). «En parte» quiere decir que el texto público no lo recoge entero.
Lo que falta en el texto público no se esconde: la política remite al Manual de Organización para las funciones de cada puesto y no publica quién forma el comité. Lo que te contamos aquí es lo que cualquiera puede leer hoy en la página.
¿Es lo mismo tener una política que estar certificado?
No. La política la escribe y la aprueba la propia empresa. El certificado lo emite una entidad externa después de auditar su sistema de gestión, para un alcance y una versión de la norma, y caduca.
«La certificación de sistemas de gestión es una declaración por una tercera parte de que un sistema de gestión de una organización cumple con los requisitos establecidos en una norma de referencia.»ENAC, certificación de sistemas de gestión
La versión también cuenta. La ISO/IEC 27001:2022 sustituyó a la de 2013, y las reglas de transición del foro internacional de acreditación fijaron que los certificados de 2013 caducaran o se retiraran el 31 de octubre de 2025.
Si un proveedor te enseña un certificado, léelo entero antes de archivarlo. Escribe el nombre de la entidad que lo firma y te decimos dónde se comprueba y qué hay que mirar en él.
¿Quién firma el certificado?
Escribe la entidad que firma el certificado ISO de tu proveedor, o toca uno de los nombres.Tres respuestas posibles Certificadora que ofrece la ISO/IEC 27001 en España: se comprueba en el buscador de acreditados de ENAC. Entidad de otro país: en IAF CertSearch. Nombre que no conocemos: pide el certificado y búscalo en los dos.
- EntidadQuién firma y si está acreditada.
- AlcanceQue nombre el servicio que contratas.
- VersiónISO/IEC 27001:2022. La de 2013 caducó o se retiró el 31-10-2025.
- FechaLa de caducidad, y que no haya pasado.
- BuscadorENAC si es española; IAF CertSearch si es de otro país.
Inforcopy. Nuestra política se aprueba «conforme a» la ISO/IEC 27001:2022, como dice su primer párrafo. En este artículo no publicamos entidad, número ni fecha de un certificado: pídenos la documentación y compruébala con estos mismos pasos.
Referencia orientativa: la validez de un certificado la confirma la entidad que lo emite. La lista corta reúne certificadoras que ofrecen la ISO/IEC 27001 en España y un ejemplo de otro país; no dice cuáles están acreditadas para esa norma. El nombre se compara en tu navegador y no se envía a ningún sitio.
¿Qué cambia para quien nos confía sus equipos?
Que puedes pedirnos la política y el alcance para homologarnos, y comprobar con ellos qué parte de lo que contratas queda dentro de su alcance.
Quien trabaja con datos de terceros suele homologar a sus proveedores: asesorías, gestorías, notarías, ayuntamientos y colegios. Para ese expediente se suele pedir la política firmada, el alcance y, si lo hay, el certificado.
Si tratas datos personales, el artículo 32 del RGPD te pide medidas adecuadas al riesgo, también en lo que encargas fuera. La política de tu proveedor no te exime de nada, pero es un papel que conviene tener en el expediente.
La impresora es parte de eso: guarda trabajos, libretas de direcciones y a veces documentos escaneados. Lo contamos en seguridad en las impresoras de empresa y en cómo evitar que los documentos confidenciales se queden en la bandeja.
¿De dónde viene esta versión?
De una política de 2021 dedicada al medio ambiente y la seguridad de la información a la versión 03 de 2026, que une calidad, medio ambiente y seguridad de la información en un único sistema de gestión.
- 8 de abril de 2021Publicamos la política de entonces, de medio ambiente y seguridad de la información.
- 17 de marzo de 2022La política pasa a tener página propia en nuestra web.
- 22 de mayo de 2026La Dirección aprueba la versión 03, integrada en un solo sistema de gestión.
- 28 de julio de 2026Publicamos la versión 03 en la misma página.
- 13 de octubre de 2026Este artículo, que la explica para quien contrata.
Que sea integrada tiene una consecuencia práctica: el mismo documento y la misma dirección responden de la calidad del servicio, del medio ambiente y de la seguridad. Lo ambiental se ve también en los equipos ecológicos del catálogo, y la trayectoria de la empresa, en la evolución de Inforcopy desde 1995.
Opinión de Inforcopy, separada del dato
Lo que haríamos nosotros
Pediríamos a cualquier proveedor que toque nuestros documentos dos papeles: su política firmada y su certificado. En la política miraríamos el alcance; en el certificado, que ese alcance cubra el servicio contratado, que sea de la versión 2022 y que siga vigente.
Y no daríamos por buena una política sin alcance ni fecha. Es lo primero que preguntaríamos a otro, y por eso lo hemos dejado a la vista en la nuestra, junto a lo que aún no podemos confirmar.
Con lo que no estamos de acuerdo
Con la idea, bastante extendida, de que publicar la política basta para dar confianza. Muchas de las que se publican están escritas para dentro: repiten la lista de requisitos de la norma y no dicen a qué servicios se aplican ni qué cambia para el cliente.
Lo que no sabemos
Este artículo no dice si el Esquema Nacional de Seguridad nos obliga en algún contrato con una administración. Depende de cada contrato, y lo contaremos aquí cuando lo tengamos revisado por escrito.
Preguntas frecuentes sobre la política de seguridad de la información
Según el artículo 12.1 del Esquema Nacional de Seguridad, como mínimo los objetivos o la misión de la organización, el marco legal, los roles de seguridad, el comité que la coordina, las directrices para su documentación y los riesgos del tratamiento de datos personales. Conviene que diga también su alcance, su versión y quién la aprueba.
La dirección. La norma ISO/IEC 27001 encarga a la alta dirección establecer la política de seguridad de la información. La nuestra la aprobó la Dirección el 22 de mayo de 2026 y la firma el director general.
No. Las reglas de transición del foro internacional de acreditación (IAF MD 26:2023) fijaron que todos los certificados de la versión de 2013 caducaran o se retiraran al acabar la transición, el 31 de octubre de 2025. Desde entonces solo vale la ISO/IEC 27001:2022.
Pide el certificado y mira cinco cosas: la entidad que lo firma, el alcance, que sea de la versión 2022, la fecha de caducidad y qué organismo lo acredita. Después búscalo en el buscador de acreditados de ENAC si la entidad está acreditada en España, o en IAF CertSearch si es de otro país. Ante la duda, pregunta a la entidad que lo emitió.
En general, no. Su artículo 2.3 lo aplica al sector privado cuando presta servicios o provee soluciones a entidades del sector público en virtud de un contrato, e incluye la obligación de contar con política de seguridad. Si es tu caso, confírmalo con quien te asesore y con el propio contrato.
El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo para proteger los datos personales, entre ellas la capacidad de garantizar la confidencialidad, integridad y disponibilidad de los sistemas. La política es el documento en el que una empresa dice cómo se organiza para hacerlo. La nuestra cita el RGPD y la Ley Orgánica 3/2018 en su marco legal.
Es una norma de detalle que pide dejar la mesa sin papeles a la vista y la pantalla bloqueada al levantarse. Es una de las normas que desarrollan la política general. Hablamos del orden en la mesa al contar cómo optimizar el espacio de la oficina.
Sí. La política es un documento de uso público y está publicada en nuestra web. Si necesitas una copia para tu expediente o una aclaración sobre el alcance, escríbenos desde la página de contacto o llámanos al 911 805 705.
Cuéntanos qué equipos o servicios necesitas y te decimos qué parte cubre nuestra política. Te enviamos también la política y el alcance para tu expediente de proveedores.
Para seguir leyendo
- Si tu equipo se averíaCómo responde nuestro soporte técnico
- Mantenimiento periódicoPor qué revisar los equipos antes de que fallen
- La copia de la impresoraGuardar su configuración y su libreta de direcciones
- El firmware de la impresoraCuándo y cómo se actualiza
- La impresora en la redEl punto ciego de la ciberseguridad de una pyme
- El espacio de la oficinaOrden, archivo y escritorio despejado
Equipo de Inforcopy. Somos INFORCOPY SISTEMAS, S.L., con renting, alquiler, venta y mantenimiento de fotocopiadoras, impresoras y equipos multifunción desde 1995, y sedes en Alcorcón (Madrid), Toledo, Ciudad Real y Cuenca. Quiénes somos.
