Declaración de protección de datos: medidas organizativas y técnicas
Radius Limited («Radius») se compromete a garantizar la seguridad y la protección de toda la información personal que trata, ya sea información propiedad de la organización, tratada en nombre de sus clientes o de los usuarios de sus servicios. Mediante la aplicación de un enfoque basado en el riesgo en materia de privacidad de datos, se han implementado controles organizativos, procedimentales y técnicos eficaces para cumplir con la legislación vigente y los principios de protección de datos.
Para garantizar esta protección, Radius utiliza el marco del Sistema de Gestión de la Seguridad de la Información (SGSI) de la norma ISO 27001. Gracias a una importante inversión en su infraestructura de TI, Radius cuenta con esta certificación desde 2018 y logró con éxito la certificación según la nueva norma de 2022 en marzo de 2024. Además, Radius también cuenta con la certificación Cyber Essentials Plus desde 2016.
La siguiente información ofrece un desglose detallado de los controles implementados por la organización.
La declaración se revisó y actualizó por última vez el 16 de enero de 2026 – Versión 2.0
Las funciones y responsabilidades organizativas están definidas y documentadas, con un responsable ejecutivo que rinde cuentas, lo que garantiza la asignación de los recursos adecuados para alinearse con la dirección estratégica del Grupo. El SGSI está gestionado de forma centralizada por un equipo especializado de profesionales de Cumplimiento Normativo, Auditoría Interna, Seguridad de la Información y Ciberseguridad.
Los riesgos de seguridad de la información se recogen como parte de un marco de gestión de riesgos basado en el alcance y los criterios definidos del SGSI. Se establecen objetivos internos y se supervisan periódicamente con las partes interesadas de alto nivel.
Existe una política general de seguridad de la información que incluye una declaración ejecutiva. Las políticas principales son obligatorias para todo el personal, mientras que un conjunto de políticas secundarias se clasifica en función de su relevancia para determinadas áreas del negocio, por ejemplo, el desarrollo de software informático. Todo el personal puede acceder a ellas a través de nuestra intranet interna y se imparte formación anualmente a través de nuestro sistema de gestión del aprendizaje.
Toda la información se procesa de acuerdo con las directrices de clasificación de datos del Grupo, con controles adecuados asignados a los datos confidenciales, privados y públicos. Se dispone de un inventario de activos y sistemas, cuya responsabilidad se ha asignado a la dirección correspondiente.
También se ha establecido una política y un procedimiento de notificación de incidentes, con un mecanismo sencillo para que el personal comunique sucesos o incidentes. Los incidentes son registrados y gestionados por los equipos internos de Seguridad de la Información y Ciberseguridad. Se ha documentado un procedimiento de notificación de infracciones, que forma parte del Plan de Continuidad del Negocio de la organización. Los planes se revisan y se someten a pruebas periódicamente (al menos una vez al año). Las lecciones aprendidas se documentan y se difunden a todos los niveles.
Se llevan a cabo evaluaciones de riesgos de seguridad para los proveedores en función de su interacción con los sistemas y datos de Radius. Los contratos, acuerdos y acuerdos de confidencialidad se aplican de acuerdo con una Política de gestión de proveedores formal.
Se han identificado y revisado todos los requisitos legislativos y normativos pertinentes, y se lleva a cabo un análisis prospectivo continuo. Se ha designado a un delegado de protección de datos para garantizar el cumplimiento de la legislación en materia de privacidad de datos a la que está sujeta Radius en sus jurisdicciones. Se realizan evaluaciones de impacto ante cualquier cambio significativo en las actividades de tratamiento para garantizar el cumplimiento continuo.
Se somete a todos los empleados a un proceso de selección acorde con los niveles de riesgo aceptados, y se realizan comprobaciones adicionales del DBS (Servicio de Información Criminal) para el personal directivo y para quienes realizan su trabajo en áreas reguladas. Las responsabilidades y los términos y condiciones de confidencialidad se comunican al personal y este los firma en los contratos de trabajo, con disposiciones que se mantienen vigentes tras la finalización del contrato.
Existe un proceso formal para la incorporación, los traslados y las bajas, con el fin de registrar los criterios de incorporación y salida, y se establecen claramente las medidas disciplinarias para los empleados que incumplan las políticas de seguridad de la información.
La formación en seguridad de la información es obligatoria y se imparte a todo el personal al menos una vez al año a través del sistema de gestión del aprendizaje del Grupo. Se impartirá formación adicional a raíz de cualquier incidente, comentario o cambio en la legislación.
Se llevan a cabo evaluaciones de riesgos en todas las sedes de Radius de acuerdo con los principios de buenas prácticas en materia de seguridad física, y se han implementado numerosos controles, como tarjetas de identificación para el control de acceso, cámaras de CCTV y de reconocimiento automático de matrículas (ANPR), y alarmas de seguridad. El acceso a las zonas seguras se concede según sea necesario y es aprobado y revisado por los responsables de departamento. En las oficinas se realizan inspecciones periódicas para garantizar que los escritorios estén despejados.
Los centros de datos de terceros cumplen estrictos requisitos de seguridad física y se someten a una auditoría anual.
Se lleva a cabo un mantenimiento periódico de los equipos y los servicios públicos, y los equipos al final de su vida útil se registran y se eliminan de acuerdo con el Reglamento RAEE (o su equivalente fuera del Reino Unido) y nuestra Política Medioambiental.
Gestionada por sus equipos internos de Operaciones de TI, Ciberseguridad e Infraestructura, Radius utiliza tecnología puntera para identificar, supervisar y mitigar posibles amenazas dentro de su red segura y sus entornos de servidores, por ejemplo, NDR y EDR, con protección de puntos finales implantada en todos los activos. Las claves criptográficas se gestionan de forma centralizada y de acuerdo con las mejores prácticas.
A todos los usuarios se les asignan cuentas de usuario estándar que incluyen un identificador único, una contraseña y el principio de «privilegio mínimo». Se aplican privilegios elevados y la segregación de funciones al acceso de los administradores. El acceso solo puede concederse mediante tickets de servicio internos con las autorizaciones pertinentes. La autenticación multifactorial (MFA) se utiliza en todo el Grupo y se está adoptando cada vez más el inicio de sesión único (SSO). El acceso se revisa periódicamente para garantizar que se respeten los principios de «necesidad de conocer».
Se llevan a cabo revisiones periódicas de la gestión de la capacidad, con alertas automatizadas para determinar cuándo se alcanza el límite de capacidad. Se realizan copias de seguridad que se prueban periódicamente para garantizar su funcionamiento en una situación «real». Los registros se conservan durante 12 meses.
Se ha implementado la segregación de redes en todo el entorno con numerosos mecanismos de seguridad para detectar e impedir el acceso a los sistemas de información, como cortafuegos y zonas desmilitarizadas (DMZ). También se lleva a cabo la supervisión de la red mediante soluciones NDR y EDR.
Se obtiene una garantía externa mediante pruebas de penetración independientes periódicas, y se llevan a cabo con regularidad evaluaciones de vulnerabilidad de las aplicaciones expuestas al exterior. Asimismo, se realizan auditorías de certificación anuales para las normas ISO 27001 y Cyber Essentials.
La seguridad de la información está integrada en los principios de «seguridad desde el diseño» para el desarrollo de software informático, y se realizan evaluaciones de impacto sobre la protección de datos (DPIA) para todos los cambios obligatorios. Se aplican políticas y procesos seguros del ciclo de vida del desarrollo de software (SDLC), y se llevan a cabo revisiones de código. Las pruebas las realiza un equipo de pruebas interno. El procedimiento de gestión y habilitación de cambios se ajusta a los principios de ITIL v4 y se celebra semanalmente una reunión del Comité Asesor de Cambios para revisar y aprobar los cambios previstos.