{"html": "
b)Se emplearán, preferentemente, productos certificados [op.pl.5].
\n

5.5.3 Custodia [mp.si.3]. dimensiones todas categoría básica media alta aplica = = Se aplicará la debida diligencia y control a los soportes de información que permanecen bajo la responsabilidad de la organización, mediante las siguientes actuaciones:

\n
a)Garantizando el control de acceso con medidas físicas ([mp.if.1] y [mp.if.7]) ó lógicas ([mp.si.2]), o ambas.
\n
b)Garantizando que se respetan las exigencias de mantenimiento del fabricante, en especial, en lo referente a temperatura, humedad y otros agresores medioambientales.
\n

5.5.4 Transporte [mp.si.4]. dimensiones todas categoría básica media alta aplica = = El responsable de sistemas garantizará que los dispositivos permanecen bajo control y que satisfacen sus requisitos de seguridad mientras están siendo desplazados de un lugar a otro.

\n

Para ello:

\n
a)Se dispondrá de un registro de salida que identifique al transportista que recibe el soporte para su traslado.
\n
b)Se dispondrá de un registro de entrada que identifique al transportista que lo entrega.
\n
c)Se dispondrá de un procedimiento rutinario que coteje las salidas con las llegadas y levante las alarmas pertinentes cuando se detecte algún incidente.
\n
d)Se utilizarán los medios de protección criptográfica ([mp.si.2]) correspondientes al nivel de calificación de la información contenida de mayor nivel.
\n
e)Se gestionarán las claves según [op.exp.11].
\n

5.5.5 Borrado y destrucción [mp.si.5]. dimensiones C nivel bajo medio alto no aplica aplica = Nivel MEDIO La medida de borrado y destrucción de soportes de información se aplicará a todo tipo de equipos susceptibles de almacenar información, incluyendo medios electrónicos y no electrónicos.

\n
a)Los soportes que vayan a ser reutilizados para otra información o liberados a otra organización serán objeto de un borrado seguro de su anterior contenido.
\n
b)Se destruirán de forma segura los soportes, en los siguientes casos:
\n

1.º Cuando la naturaleza del soporte no permita un borrado seguro.

\n

2.º Cuando así lo requiera el procedimiento asociado al tipo de la información contenida,.

\n
c)Se emplearán, preferentemente, productos certificados [op.pl.5].
\n

5.6 Protección de las aplicaciones informáticas [mp.sw].

\n

5.6.1 Desarrollo de aplicaciones [mp.sw.1]. dimensiones todas categoría básica media alta no aplica aplica = Categoría MEDIA

\n
a)El desarrollo de aplicaciones se realizará sobre un sistema diferente y separado del de producción, no debiendo existir herramientas o datos de desarrollo en el entorno de producción.
\n
b)Se aplicará una metodología de desarrollo reconocida que:
\n

1.º Tome en consideración los aspectos de seguridad a lo largo de todo el ciclo de vida.

\n

2.º Trate específicamente los datos usados en pruebas.

\n

3.º Permita la inspección del código fuente.

\n
c)Los siguientes elementos serán parte integral del diseño del sistema:
\n

1.º Los mecanismos de identificación y autenticación.

\n

2.º Los mecanismos de protección de la información tratada.

\n

3.º La generación y tratamiento de pistas de auditoría.

\n
d)Las pruebas anteriores a la implantación o modificación de los sistemas de información no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
\n

5.6.2 Aceptación y puesta en servicio [mp.sw.2]. dimensiones todas categoría básica media alta aplica + ++ Categoría BÁSICA Antes de pasar a producción se comprobará el correcto funcionamiento de la aplicación.

\n
a)Se comprobará que:
\n

1.º Se cumplen los criterios de aceptación en materia de seguridad.

\n

2.º No se deteriora la seguridad de otros componentes del servicio.

\n
b)Las pruebas se realizarán en un entorno aislado (pre-producción).
\n
c)Las pruebas de aceptación no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
\n

Categoría MEDIA Se realizarán las siguientes inspecciones previas a la entrada en servicio:

\n
a)Análisis de vulnerabilidades.
\n
b)Pruebas de penetración.
\n

Categoría ALTA Se realizarán las siguientes inspecciones previas a la entrada en servicio:

\n
a)Análisis de coherencia en la integración en los procesos.
\n
b)Se considerará la oportunidad de realizar una auditoría de código fuente.
\n

5.7 Protección de la información [mp.info].

\n

5.7.1 Datos de carácter personal [mp.info.1]. dimensiones todas categoría básica media alta aplica = = Cuando el sistema trate datos de carácter personal, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normas de desarrollo, sin perjuicio de cumplir, además, las medidas establecidas por este real decreto.

\n

Lo indicado en el párrafo anterior también se aplicará, cuando una disposición con rango de ley se remita a las normas sobre datos de carácter personal en la protección de información.

\n

5.7.2 Calificación de la información [mp.info.2]. dimensiones C nivel bajo medio alto aplica + = Nivel BAJO 1. Para calificar la información se estará a lo establecido legalmente sobre la naturaleza de la misma.

\n
2.La política de seguridad establecerá quién es el responsable de cada información manejada por el sistema.
\n
3.La política de seguridad recogerá, directa o indirectamente, los criterios que, en cada organización, determinarán el nivel de seguridad requerido, dentro del marco establecido en el artículo 43 y los criterios generales prescritos en el Anexo I.
\n
4.El responsable de cada información seguirá los criterios determinados en el apartado anterior para asignar a cada información el nivel de seguridad requerido, y será responsable de su documentación y aprobación formal.
\n
5.El responsable de cada información en cada momento tendrá en exclusiva la potestad de modificar el nivel de seguridad requerido, de acuerdo a los apartados anteriores.
\n

Nivel MEDIO Se redactarán los procedimientos necesarios que describan, en detalle, la forma en que se ha de etiquetar y tratar la información en consideración al nivel de seguridad que requiere; y precisando cómo se ha de realizar:

\n
a)Su control de acceso.
\n
b)Su almacenamiento.
\n
c)La realización de copias.
\n
d)El etiquetado de soportes.
\n
e)Su transmisión telemática.
\n
f)Y cualquier otra actividad relacionada con dicha información.
\n

5.7.3 Cifrado de la información [mp.info.3]. dimensiones C nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Para el cifrado de información se estará a lo que se indica a continuación:

\n
a)La información con un nivel alto en confidencialidad se cifrará tanto durante su almacenamiento como durante su transmisión. Sólo estará en claro mientras se está haciendo uso de ella.
\n
b)Para el uso de criptografía en las comunicaciones, se estará a lo dispuesto en [mp.com.2].
\n
c)Para el uso de criptografía en los soportes de información, se estará a lo dispuesto en [mp.si.2].
\n

5.7.4 Firma electrónica [mp.info.4]. dimensiones I A nivel bajo medio alto aplica + ++ La firma electrónica es un mecanismo de prevención del repudio; es decir, previene frente a la posibilidad de que en el futuro el signatario pudiera desdecirse de la información firmada.

\n

La firma electrónica garantiza la autenticidad del signatario y la integridad del contenido.

\n

Cuando se emplee firma electrónica:

\n
a)El signatario será la parte que se hace responsable de la información, en la medida de sus atribuciones.
\n
b)Se dispondrá de una Política de Firma Electrónica, aprobada por el órgano superior competente que corresponda.
\n

Nivel BAJO Se empleará cualquier medio de firma electrónica de los previstos en la legislación vigente.

\n

Nivel MEDIO 1. Los medios utilizados en la firma electrónica serán proporcionados a la calificación de la información tratada. En todo caso:

\n
a)Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
\n
b)Se emplearán, preferentemente, certificados reconocidos.
\n
c)Se emplearán, preferentemente, dispositivos seguros de firma.
\n
2.Se garantizará la verificación y validación de la firma electrónica durante el tiempo requerido por la actividad administrativa que aquélla soporte, sin perjuicio de que se pueda ampliar este período de acuerdo con lo que establezca la política de firma electrónica y de certificados que sea de aplicación. Para tal fin:
\n
a)Se adjuntará a la firma, o se referenciará, toda la información pertinente para su verificación y validación:
\n

1.º Certificados.

\n

2.º Datos de verificación y validación.

\n
b)Se protegerán la firma y la información mencionada en el apartado anterior con un sello de tiempo.
\n
c)El organismo que recabe documentos firmados por el administrado verificará y validará la firma recibida en el momento de la recepción, anexando o referenciando sin ambigüedad la información descrita en los epígrafes a) y b).
\n
d)La firma electrónica de documentos por parte de la Administración anexará o referenciará sin ambigüedad la información descrita en los epígrafes a) y b).
\n

Nivel ALTO Se aplicarán las medidas de seguridad referentes a firma electrónica exigibles en la nivel Medio, además de las siguientes:

\n
a)Se usarán certificados reconocidos.
\n
b)Se usarán dispositivos seguros de creación de firma.
\n
c)Se emplearán, preferentemente, productos certificados [op.pl.5].
\n

5.7.5 Sellos de tiempo [mp.info.5]. dimensiones T nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Los sellos de tiempo prevendrán la posibilidad del repudio posterior:

\n
1.Los sellos de tiempo se aplicarán a aquella información que sea susceptible de ser utilizada como evidencia electrónica en el futuro.
\n
2.Los datos pertinentes para la verificación posterior de la fecha serán tratados con la misma seguridad que la información fechada a efectos de disponibilidad, integridad y confidencialidad.
\n
3.Se renovarán regularmente los sellos de tiempo hasta que la información protegida ya no sea requerida por el proceso administrativo al que da soporte.
\n
4.Se utilizarán productos certificados (según [op.pl.5]) o servicios externos admitidos.
\n

Véase [op.exp.10].

\n

5.7.6 Limpieza de documentos [mp.info.6]. dimensiones C nivel bajo medio alto aplica = = En el proceso de limpieza de documentos, se retirará de estos toda la información adicional contenida en campos ocultos, meta-datos, comentarios o revisiones anteriores, salvo cuando dicha información sea pertinente para el receptor del documento.

\n

Esta medida es especialmente relevante cuando el documento se difunde ampliamente, como ocurre cuando se ofrece al público en un servidor web u otro tipo de repositorio de información.

\n

Se tendrá presente que el incumplimiento de esta medida puede perjudicar:

\n
a)Al mantenimiento de la confidencialidad de información que no debería haberse revelado al receptor del documento.
\n
b)Al mantenimiento de la confidencialidad de las fuentes u orígenes de la información, que no debe conocer el receptor del documento.
\n
c)A la buena imagen de la organización que difunde el documento por cuanto demuestra un descuido en su buen hacer.
\n

5.7.7 Copias de seguridad (backup) [mp.info.9]. dimensiones D nivel bajo medio alto no aplica aplica = Nivel MEDIO Se realizarán copias de respaldo que permitan recuperar datos perdidos accidental o intencionadamente con una antigüedad determinada.

\n

Las copias de respaldo disfrutarán de la misma seguridad que los datos originales en lo que se refiere a integridad, confidencialidad, autenticidad y trazabilidad. En particular, se considerará la conveniencia o necesidad de que las copias de seguridad estén cifradas para garantizar la confidencialidad.

\n

Las copias de respaldo deberán abarcar:

\n
a)Información de trabajo de la organización.
\n
b)Aplicaciones en explotación, incluyendo los sistemas operativos.
\n
c)Datos de configuración, servicios, aplicaciones, equipos, u otros de naturaleza análoga.
\n
d)Claves utilizadas para preservar la confidencialidad de la información.
\n

5.8 Protección de los servicios [mp.s].

\n

5.8.1 Protección del correo electrónico (e-mail) [mp.s.1]. dimensiones todas categoría básica media alta aplica = = El correo electrónico se protegerá frente a las amenazas que le son propias, actuando del siguiente modo:

\n
a)La información distribuida por medio de correo electrónico, se protegerá, tanto en el cuerpo de los mensajes, como en los anexos.
\n
b)Se protegerá la información de encaminamiento de mensajes y establecimiento de conexiones.
\n
c)Se protegerá a la organización frente a problemas que se materializan por medio del correo electrónico, en concreto:
\n

1.º Correo no solicitado, en su expresión inglesa «spam».

\n

2.º Programas dañinos, constituidos por virus, gusanos, troyanos, espías, u otros de naturaleza análoga.

\n

3.º Código móvil de tipo «applet».

\n
d)Se establecerán normas de uso del correo electrónico por parte del personal determinado. Estas normas de uso contendrán:
\n

1.º Limitaciones al uso como soporte de comunicaciones privadas.

\n

2.º Actividades de concienciación y formación relativas al uso del correo electrónico.

\n

5.8.2 Protección de servicios y aplicaciones web [mp.s.2]. dimensiones todas categoría básica media alta aplica = = Los subsistemas dedicados a la publicación de información deberán ser protegidos frente a las amenazas que les son propias.

\n
a)Cuando la información tenga algún tipo de control de acceso, se garantizará la imposibilidad de acceder a la información obviando la autenticación, en particular tomando medidas en los siguientes aspectos:
\n

1.º Se evitará que el servidor ofrezca acceso a los documentos por vías alternativas al protocolo determinado.

\n

2.º Se prevendrán ataques de manipulación de URL.

\n

3.º Se prevendrán ataques de manipulación de fragmentos de información que se almacena en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página, conocido en terminología inglesa como «cookies».

\n

4.º Se prevendrán ataques de inyección de código.

\n
b)Se prevendrán intentos de escalado de privilegios.
\n
c)Se prevendrán ataques de «cross site scripting».
\n
d)Se prevendrán ataques de manipulación de programas o dispositivos que realizan una acción en representación de otros, conocidos en terminología inglesa como «proxies» y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminología inglesa como «cachés».
\n

5.8.3 Protección frente a la denegación de servicio [mp.s.8]. dimensiones D nivel bajo medio alto No aplica aplica + Nivel MEDIO Se establecerán medidas preventivas y reactivas frente a ataques de denegación de servicio (DOS Denial of Service). Para ello:

\n
a)Se planificará y dotará al sistema de capacidad suficiente para atender a la carga prevista con holgura.
\n
b)Se desplegarán tecnologías para prevenir los ataques conocidos.
\n

Nivel ALTO

\n
a)Se establecerá un sistema de detección de ataques de denegación de servicio.
\n
b)Se establecerán procedimientos de reacción a los ataques, incluyendo la comunicación con el proveedor de comunicaciones.
\n
c)Se impedirá el lanzamiento de ataques desde las propias instalaciones perjudicando a terceros.
\n

5.8.4 Medios alternativos [mp.s.9]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se garantizará la existencia y disponibilidad de medios alternativos para prestar los servicios en el caso de que fallen los medios habituales. Estos medios alternativos estarán sujetos a las mismas garantías de protección que los medios habituales.

\n
6.Desarrollo y complemento de las medidas de seguridad Las medidas de seguridad se desarrollarán y complementarán según lo establecido en la disposición final segunda.
\n
7.Interpretación La interpretación del presente anexo se realizará según el sentido propio de sus palabras, en relación con el contexto, antecedentes históricos y legislativos, entre los que figura lo dispuesto en las instrucciones técnicas CCN-STIC correspondientes a la implementación y a diversos escenarios de aplicación tales como sedes electrónicas, servicios de validación de certificados electrónicos, servicios de fechado electrónico y validación de documentos fechados, atendiendo el espíritu y finalidad de aquellas.
\n

Redactado conforme a la corrección de errores publicada en BOE núm. 61, de 11 de marzo de 2010. Ref. BOE-A-2010-4054 ANEXO II Medidas de seguridad 1. Disposiciones generales 1. Para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos, se aplicarán las medidas de seguridad indicadas en este anexo, las cuales serán proporcionales a:

\n
a)Las dimensiones de seguridad relevantes en el sistema a proteger.
\n
b)La categoría del sistema de información a proteger.
\n
2.Las medidas de seguridad se dividen en tres grupos:
\n
a)Marco organizativo [org]. Constituido por el conjunto de medidas relacionadas con la organización global de la seguridad.
\n
b)Marco operacional [op]. Formado por las medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin.
\n
c)Medidas de protección [mp]. Se centran en proteger activos concretos, según su naturaleza y la calidad exigida por el nivel de seguridad de las dimensiones afectadas.
\n
2.Selección de medidas de seguridad 1. Para la selección de las medidas de seguridad se seguirán los pasos siguientes:
\n
a)Identificación de los tipos de activos presentes.
\n
b)Determinación de las dimensiones de seguridad relevantes, teniendo en cuenta lo establecido en el anexo I.
\n
c)Determinación del nivel correspondiente a cada dimensión de seguridad, teniendo en cuenta lo establecido en el anexo I.
\n
d)Determinación de la categoría del sistema, según lo establecido en el Anexo I.
\n
e)Selección de las medidas de seguridad apropiadas de entre las contenidas en este Anexo, de acuerdo con las dimensiones de seguridad y sus niveles, y, para determinadas medidas de seguridad, de acuerdo con la categoría del sistema.
\n
2.A los efectos de facilitar el cumplimiento de lo dispuesto en este anexo, cuando en un sistema de información existan sistemas que requieran la aplicación de un nivel de medidas de seguridad diferente al del sistema principal, podrán segregarse de este último, siendo de aplicación en cada caso el nivel de medidas de seguridad correspondiente y siempre que puedan delimitarse la información y los servicios afectados.
\n
3.La relación de medidas seleccionadas se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de la seguridad del sistema.
\n
4.La correspondencia entre los niveles de seguridad exigidos en cada dimensión y las medidas de seguridad, es la que se indica en la tabla siguiente:
\n

Dimensiones Medidas de seguridad Afectadas B M A org Marco organizativo categoría aplica = = org.1 Política de seguridad categoría aplica = = org.2 Normativa de seguridad categoría aplica = = org.3 Procedimientos de seguridad categoría aplica = = org.4 Proceso de autorización op Marco operacional op.pl Planificación categoría aplica + ++ op.pl.1 Análisis de riesgos categoría aplica + ++ op.pl.2 Arquitectura de seguridad categoría aplica = = op.pl.3 Adquisición de nuevos componentes D n.a. aplica = op.pl.4 Dimensionamiento/Gestión de capacidades categoría n.a. n.a. aplica op.pl.5 Componentes certificados op.acc Control de acceso A T aplica = = op.acc.1 Identificación I C A T aplica = = op.acc.2 Requisitos de acceso I C A T n.a. aplica = op.acc.3 Segregación de funciones y tareas I C A T aplica = = op.acc.4 Proceso de gestión de derechos de acceso I C A T aplica + ++ op.acc.5 Mecanismo de autenticación I C A T aplica + ++ op.acc.6 Acceso local (local logon) I C A T aplica + = op.acc.7 Acceso remoto (remote login) op.exp Explotación categoría aplica = = op.exp.1 Inventario de activos categoría aplica = = op.exp.2 Configuración de seguridad categoría n.a. aplica = op.exp.3 Gestión de la configuración categoría aplica = = op.exp.4 Mantenimiento categoría n.a. aplica = op.exp.5 Gestión de cambios categoría aplica = = op.exp.6 Protección frente a código dañino categoría n.a. aplica = op.exp.7 Gestión de incidentes T aplica + ++ op.exp.8 Registro de la actividad de los usuarios categoría n.a. aplica = op.exp.9 Registro de la gestión de incidentes T n.a. n.a. aplica op.exp.10 Protección de los registros de actividad categoría aplica + = op.exp.11 Protección de claves criptográficas op.ext Servicios externos categoría n.a. aplica = op.ext.1 Contratación y acuerdos de nivel de servicio categoría n.a. aplica = op.ext.2 Gestión diaria D n.a. n.a. aplica op.ext.9 Medios alternativos op.cont Continuidad del servicio D n.a. aplica = op.cont.1 Análisis de impacto D n.a. n.a. aplica op.cont.2 Plan de continuidad D n.a. n.a. aplica op.cont.3 Pruebas periódicas op.mon Monitorización del sistema categoría n.a. aplica = op.mon.1 Detección de intrusión categoría n.a. n.a. aplica op.mon.2 Sistema de métricas mp Medidas de protección mp.if Protección de las instalaciones e infraestructuras categoría aplica = = mp.if.1 Áreas separadas y con control de acceso categoría aplica = = mp.if.2 Identificación de las personas categoría aplica = = mp.if.3 Acondicionamiento de los locales D aplica + = mp.if.4 Energía eléctrica D aplica = = mp.if.5 Protección frente a incendios D n.a. aplica = mp.if.6 Protección frente a inundaciones categoría aplica = = mp.if.7 Registro de entrada y salida de equipamiento D n.a. n.a. aplica mp.if.9 Instalaciones alternativas mp.per Gestión del personal

\n

categoría n.a. aplica = mp.per.1 Caracterización del puesto de trabajo categoría aplica = = mp.per.2 Deberes y obligaciones categoría aplica = = mp.per.3 Concienciación categoría aplica = = mp.per.4 Formación D n.a. n.a. aplica mp.per.9 Personal alternativo mp.eq Protección de los equipos categoría aplica + = mp.eq.1 Puesto de trabajo despejado A n.a. aplica + mp.eq.2 Bloqueo de puesto de trabajo categoría aplica = + mp.eq.3 Protección de equipos portátiles D n.a. aplica = mp.eq.9 Medios alternativos mp.com Protección de las comunicaciones categoría aplica = + mp.com.1 Perímetro seguro C n.a. aplica + mp.com.2 Protección de la confidencialidad I A aplica + ++ mp.com.3 Protección de la autenticidad y de la integridad categoría n.a. n.a. aplica mp.com.4 Segregación de redes D n.a. n.a. aplica mp.com.9 Medios alternativos mp.si Protección de los soportes de información C aplica = = mp.si.1 Etiquetado I C n.a. aplica + mp.si.2 Criptografía categoría aplica = = mp.si.3 Custodia categoría aplica = = mp.si.4 Transporte C aplica + = mp.si.5 Borrado y destrucción mp.sw Protección de las aplicaciones informáticas categoría n.a. aplica = mp.sw.1 Desarrollo categoría aplica + ++ mp.sw.2 Aceptación y puesta en servicio mp.info Protección de la información categoría aplica = = mp.info.1 Datos de carácter personal C aplica + = mp.info.2 Calificación de la información C n.a. n.a. aplica mp.info.3 Cifrado I A aplica + ++ mp.info.4 Firma electrónica T n.a. n.a. aplica mp.info.5 Sellos de tiempo C aplica = = mp.info.6 Limpieza de documentos D aplica = = mp.info.9 Copias de seguridad (backup) mp.s Protección de los servicios categoría aplica = = mp.s.1 Protección del correo electrónico categoría aplica = + mp.s.2 Protección de servicios y aplicaciones web D n.a. aplica + mp.s.8 Protección frente a la denegación de servicio D n.a. n.a. aplica mp.s.9 Medios alternativos En las tablas del presente Anexo se emplean las siguientes convenciones:

\n
a)Para indicar que una determinada medida de seguridad se debe aplicar a una o varias dimensiones de seguridad en algún nivel determinado se utiliza la voz «aplica».
\n
b)«n.a.» significa «no aplica».
\n
c)Para indicar que las exigencias de un nivel son iguales a los del nivel inferior se utiliza el signo «=».
\n
d)Para indicar el incremento de exigencias graduado en función de del nivel de la dimensión de seguridad, se utilizan los signos «+» y «++».
\n
e)Para indicar que una medida protege específicamente una cierta dimensión de seguridad, ésta se explicita mediante su inicial.
\n
f)En las tablas del presente anexo se han empleado colores verde, amarillo y rojo de la siguiente forma: el color verde para indicar que una cierta medida se aplica en sistemas de categoría BÁSICA o superior; el amarillo para indicar las medidas que empiezan a aplicarse en categoría MEDIA o superior; el rojo para indicar las medidas que sólo son de aplicación en categoría ALTA.
\n
3.Marco organizativo [org] El marco organizativo está constituido por un conjunto de medidas relacionadas con la organización global de la seguridad.
\n

3.1 Política de seguridad [org.1]. dimensiones Todas categoría básica media alta aplica = = La política de seguridad será aprobada por el órgano superior competente que corresponda, de acuerdo con lo establecido en el artículo 11, y se plasmará en un documento escrito, en el que, de forma clara, se precise, al menos, lo siguiente:

\n
a)Los objetivos o misión de la organización.
\n
b)El marco legal y regulatorio en el que se desarrollarán las actividades.
\n
c)Los roles o funciones de seguridad, definiendo para cada uno, los deberes y responsabilidades del cargo, así como el procedimiento para su designación y renovación.
\n
d)La estructura del comité o los comités para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, los miembros y la relación con otros elementos de la organización.
\n
e)Las directrices para la estructuración de la documentación de seguridad del sistema, su gestión y acceso.
\n

La política de seguridad debe referenciar y ser coherente con lo establecido en el Documento de Seguridad que exige el Real Decreto 1720/2007, en lo que corresponda.

\n

3.2 Normativa de seguridad [org.2]. dimensiones Todas categoría básica media alta aplica = = Se dispondrá de una serie de documentos que describan:

\n
a)El uso correcto de equipos, servicios e instalaciones.
\n
b)Lo que se considerará uso indebido.
\n
c)La responsabilidad del personal con respecto al cumplimiento o violación de estas normas: derechos, deberes y medidas disciplinarias de acuerdo con la legislación vigente.
\n

3.3 Procedimientos de seguridad [org.3]. dimensiones Todas categoría básica media alta aplica = = Se dispondrá de una serie de documentos que detallen de forma clara y precisa:

\n
a)Cómo llevar a cabo las tareas habituales.
\n
b)Quién debe hacer cada tarea.
\n
c)Cómo identificar y reportar comportamientos anómalos.
\n

3.4 Proceso de autorización [org.4]. dimensiones Todas categoría básica media alta aplica = = Se establecerá un proceso formal de autorizaciones que cubra todos los elementos del sistema de información:

\n
a)Utilización de instalaciones, habituales y alternativas.
\n
b)Entrada de equipos en producción, en particular, equipos que involucren criptografía.
\n
c)Entrada de aplicaciones en producción.
\n
d)Establecimiento de enlaces de comunicaciones con otros sistemas.
\n
e)Utilización de medios de comunicación, habituales y alternativos.
\n
f)Utilización de soportes de información.
\n
g)Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, PDA, u otros de naturaleza análoga.
\n
h)Utilización de servicios de terceros, bajo contrato o Convenio.
\n
4.Marco operacional [op] El marco operacional está constituido por las medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin.
\n

4.1 Planificación [op.pl].

\n

4.1.1 Análisis de riesgos [op.pl.1]. dimensiones Todas categoría básica media alta aplica + ++ Categoría BÁSICA Bastará un análisis informal, realizado en lenguaje natural. Es decir, una exposición textual que describa los siguientes aspectos:

\n
a)Identifique los activos más valiosos del sistema.
\n
b)Identifique las amenazas más probables.
\n
c)Identifique las salvaguardas que protegen de dichas amenazas.
\n
d)Identifique los principales riesgos residuales.
\n

Categoría MEDIA Se deberá realizar un análisis semi-formal, usando un lenguaje específico, con un catálogo básico de amenazas y una semántica definida. Es decir, una presentación con tablas que describa los siguientes aspectos:

\n
a)Identifique y valore cualitativamente los activos más valiosos del sistema.
\n
b)Identifique y cuantifique las amenazas más probables.
\n
c)Identifique y valore las salvaguardas que protegen de dichas amenazas.
\n
d)Identifique y valore el riesgo residual.
\n

Categoría ALTA Se deberá realizar un análisis formal, usando un lenguaje específico, con un fundamento matemático reconocido internacionalmente. El análisis deberá cubrir los siguientes aspectos:

\n
a)Identifique y valore cualitativamente los activos más valiosos del sistema.
\n
b)Identifique y cuantifique las amenazas posibles.
\n
c)Identifique las vulnerabilidades habilitantes de dichas amenazas.
\n
d)Identifique y valore las salvaguardas adecuadas.
\n
e)Identifique y valore el riesgo residual.
\n

4.1.2 Arquitectura de seguridad [op.pl.2]. dimensiones Todas categoría básica media alta aplica + + La seguridad del sistema será objeto de un planteamiento integral detallando, al menos, los siguientes aspectos:

\n

Categoría BÁSICA

\n
a)Documentación de las instalaciones:
\n
1.Áreas.
\n
2.Puntos de acceso.
\n
b)Documentación del sistema:
\n
1.Equipos.
\n
2.Redes internas y conexiones al exterior.
\n
3.Puntos de acceso al sistema (puestos de trabajo y consolas de administración).
\n
c)Esquema de líneas de defensa:
\n
1.Puntos de interconexión a otros sistemas o a otras redes, en especial si se trata de Internet o redes públicas en general.
\n
2.Cortafuegos, DMZ, etc.
\n
3.Utilización de tecnologías diferentes para prevenir vulnerabilidades que pudieran perforar simultáneamente varias líneas de defensa.
\n
d)Sistema de identificación y autenticación de usuarios:
\n
1.Uso de claves concertadas, contraseñas, tarjetas de identificación, biometría, u otras de naturaleza análoga.
\n
2.Uso de ficheros o directorios para autenticar al usuario y determinar sus derechos de acceso.
\n

Categoría MEDIA

\n
e)Sistema de gestión, relativo a la planificación, organización y control de los recursos relativos a la seguridad de la información.
\n

Categoría ALTA

\n
f)Sistema de gestión de seguridad de la información con actualización y aprobación periódica.
\n
g)Controles técnicos internos:
\n
1.Validación de datos de entrada, salida y datos intermedios.
\n

4.1.3 Adquisición de nuevos componentes [op.pl.3]. dimensiones todas categoría básica media alta aplica = = Se establecerá un proceso formal para planificar la adquisición de nuevos componentes del sistema, proceso que:

\n
a)Atenderá a las conclusiones del análisis de riesgos: [op.pl.1].
\n
b)Será acorde a la arquitectura de seguridad escogida: [op.pl.2].
\n
c)Contemplará las necesidades técnicas, de formación y de financiación de forma conjunta.
\n

4.1.4 Dimensionamiento / gestión de capacidades [op.pl.4]. dimensiones D nivel bajo medio alto no aplica aplica = Nivel MEDIO Con carácter previo a la puesta en explotación, se realizará un estudio previo que cubrirá los siguientes aspectos:

\n
a)Necesidades de procesamiento.
\n
b)Necesidades de almacenamiento de información: durante su procesamiento y durante el periodo que deba retenerse.
\n
d)Necesidades de comunicación.
\n
e)Necesidades de personal: cantidad y cualificación profesional.
\n
f)Necesidades de instalaciones y medios auxiliares.
\n

4.1.5 Componentes certificados [op.pl.5]. dimensiones Todas categoría básica media alta no aplica no aplica aplica Categoría ALTA Se utilizarán sistemas, productos o equipos cuyas funcionalidades de seguridad y su nivel hayan sido evaluados conforme a normas europeas o internacionales y cuyos certificados estén reconocidos por el Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información.

\n

Tendrán la consideración de normas europeas o internacionales, ISO/IEC 15408 u otras de naturaleza y calidad análogas.

\n

Una instrucción técnica de seguridad detallará los criterios exigibles.

\n

4.2 Control de acceso. [op.acc].

\n

El control de acceso cubre el conjunto de actividades preparatorias y ejecutivas para que una determinada entidad, usuario o proceso, pueda, o no, acceder a un recurso del sistema para realizar una determinada acción.

\n

El control de acceso que se implante en un sistema real será un punto de equilibrio entre la comodidad de uso y la protección de la información. En sistemas de nivel Bajo, se primará la comodidad, mientras que en sistemas de nivel Alto se primará la protección.

\n

En todo control de acceso se requerirá lo siguiente:

\n
a)Que todo acceso esté prohibido, salvo concesión expresa.
\n
b)Que la entidad quede identificada singularmente [op.acc.1].
\n
c)Que la utilización de los recursos esté protegida [op.acc.2].
\n
d)Que se definan para cada entidad los siguientes parámetros: a qué se necesita acceder, con qué derechos y bajo qué autorización [op.acc.4].
\n
e)Serán diferentes las personas que autorizan, usan y controlan el uso [op.acc.3].
\n
f)Que la identidad de la entidad quede suficientemente autenticada [mp.acc.5].
\n
g)Que se controle tanto el acceso local ([op.acc.6]) como el acceso remoto ([op.acc.7]).
\n

Con el cumplimiento de todas las medidas indicadas se garantizará que nadie accederá a recursos sin autorización. Además, quedará registrado el uso del sistema ([op.exp.8]) para poder detectar y reaccionar a cualquier fallo accidental o deliberado.

\n

Cuando se interconecten sistemas en los que la identificación, autenticación y autorización tengan lugar en diferentes dominios de seguridad, bajo distintas responsabilidades, en los casos en que sea necesario, las medidas de seguridad locales se acompañarán de los correspondientes acuerdos de colaboración que delimiten mecanismos y procedimientos para la atribución y ejercicio efectivos de las responsabilidades de cada sistema ([op.ext]).

\n

4.2.1 Identificación [op.acc.1]. dimensiones A T nivel bajo medio alto aplica = = La identificación de los usuarios del sistema se realizará de acuerdo con lo que se indica a continuación:

\n
1.Se podrán utilizar como identificador único los sistemas de identificación previstos en la normativa de aplicación.
\n
2.Cuando el usuario tenga diferentes roles frente al sistema (por ejemplo, como ciudadano, como trabajador interno del organismo y como administrador de los sistemas) recibirá identificadores singulares para cada uno de los casos de forma que siempre queden delimitados privilegios y registros de actividad.
\n
3.Cada entidad (usuario o proceso) que accede al sistema, contará con un identificador singular de tal forma que:
\n
a)Se puede saber quién recibe y qué derechos de acceso recibe.
\n
b)Se puede saber quién ha hecho algo y qué ha hecho.
\n
4.Las cuentas de usuario se gestionarán de la siguiente forma:
\n
a)Cada cuenta estará asociada a un identificador único.
\n
b)Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organización; cuando el usuario cesa en la función para la cual se requería la cuenta de usuario; o, cuando la persona que la autorizó, da orden en sentido contrario.
\n
c)Las cuentas se retendrán durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominará periodo de retención.
\n
5.En los supuestos contemplados en el Capítulo IV relativo a \"Comunicaciones Electrónicas\", las partes intervinientes se identificarán de acuerdo a los mecanismos previstos en la legislación europea y nacional en la materia, con la siguiente correspondencia entre los niveles de la dimensión de autenticidad de los sistemas de información a los que se tiene acceso y los niveles de seguridad (bajo, sustancial, alto) de los sistemas de identificación electrónica previstos en el Reglamento n.º 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE:
\n
–Si se requiere un nivel BAJO en la dimensión de autenticidad (anexo I): Nivel de seguridad bajo, sustancial o alto (artículo 8 del Reglamento n.º 910/2014)
\n
–Si se requiere un nivel MEDIO en la dimensión de autenticidad (anexo I): Nivel de seguridad sustancial o alto (artículo 8 del Reglamento n.º 910/2014)
\n
–Si se requiere un nivel ALTO en la dimensión de autenticidad (anexo I): Nivel de seguridad alto (artículo 8 del Reglamento n.º 910/2014).
\n

4.2.2 Requisitos de acceso [op.acc.2]. dimensiones I C A T nivel bajo medio alto aplica = = Los requisitos de acceso se atenderán a lo que a continuación se indica:

\n
a)Los recursos del sistema se protegerán con algún mecanismo que impida su utilización, salvo a las entidades que disfruten de derechos de acceso suficientes.
\n
b)Los derechos de acceso de cada recurso, se establecerán según las decisiones de la persona responsable del recurso, ateniéndose a la política y normativa de seguridad del sistema.
\n
c)Particularmente se controlará el acceso a los componentes del sistema y a sus ficheros o registros de configuración.
\n

4.2.3 Segregación de funciones y tareas [op.acc.3]. dimensiones I C A T nivel bajo medio alto no aplica aplica = Nivel MEDIO El sistema de control de acceso se organizará de forma que se exija la concurrencia de dos o más personas para realizar tareas críticas, anulando la posibilidad de que un solo individuo autorizado, pueda abusar de sus derechos para cometer alguna acción ilícita.

\n

En concreto, se separarán al menos las siguientes funciones:

\n
a)Desarrollo de operación.
\n
b)Configuración y mantenimiento del sistema de operación.
\n
c)Auditoría o supervisión de cualquier otra función.
\n

4.2.4 Proceso de gestión de derechos de acceso [op.acc.4]. dimensiones I C A T nivel bajo medio alto aplica = = Los derechos de acceso de cada usuario, se limitarán atendiendo a los siguientes principios:

\n
a)Mínimo privilegio. Los privilegios de cada usuario se reducirán al mínimo estrictamente necesario para cumplir sus obligaciones. De esta forma se acotan los daños que pudiera causar una entidad, de forma accidental o intencionada.
\n
b)Necesidad de conocer. Los privilegios se limitarán de forma que los usuarios sólo accederán al conocimiento de aquella información requerida para cumplir sus obligaciones.
\n
c)Capacidad de autorizar. Sólo y exclusivamente el personal con competencia para ello, podrá conceder, alterar o anular la autorización de acceso a los recursos, conforme a los criterios establecidos por su responsable.
\n

4.2.5 Mecanismo de autenticación [op.acc.5]. dimensiones ICAT nivel bajo medio alto aplica + ++ Los mecanismos de autenticación frente al sistema se adecuarán al nivel del sistema atendiendo a las consideraciones que siguen, pudiendo usarse los siguientes factores de autenticación:

\n
–\"algo que se sabe\": contraseñas o claves concertadas.
\n
–\"algo que se tiene\": componentes lógicos (tales como certificados software) o dispositivos físicos (en expresión inglesa, tokens).
\n
–\"algo que se es\": elementos biométricos.
\n

Los factores anteriores podrán utilizarse de manera aislada o combinarse para generar mecanismos de autenticación fuerte.

\n

Las guías CCN-STIC desarrollarán los mecanismos concretos adecuados para cada nivel.

\n

Las instancias del factor o los factores de autenticación que se utilicen en el sistema, se denominarán credenciales.

\n

Antes de proporcionar las credenciales de autenticación a los usuarios, estos deberán haberse identificado y registrado de manera fidedigna ante el sistema o ante un proveedor de identidad electrónica reconocido por la Administración. Se contemplan varias posibilidades de registro de los usuarios:

\n
–Mediante la presentación física del usuario y verificación de su identidad acorde a la legalidad vigente, ante un funcionario habilitado para ello.
\n
–De forma telemática, mediante DNI electrónico o un certificado electrónico cualificado.
\n
–De forma telemática, utilizando otros sistemas admitidos legalmente para la identificación de los ciudadanos de los contemplados en la normativa de aplicación.
\n

Nivel BAJO

\n
a)Como principio general, se admitirá el uso de cualquier mecanismo de autenticación sustentado en un solo factor.
\n
b)En el caso de utilizarse como factor \"algo que se sabe\", se aplicarán reglas básicas de calidad de la misma.
\n
c)Se atenderá a la seguridad de las credenciales de forma que:
\n
1.Las credenciales se activarán una vez estén bajo el control efectivo del usuario.
\n
2.Las credenciales estarán bajo el control exclusivo del usuario.
\n
3.El usuario reconocerá que las ha recibido y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, protección de su confidencialidad e información inmediata en caso de pérdida.
\n
4.Las credenciales se cambiarán con una periodicidad marcada por la política de la organización, atendiendo a la categoría del sistema al que se accede.
\n
5.Las credenciales se retirarán y serán deshabilitadas cuando la entidad (persona, equipo o proceso) que autentican termina su relación con el sistema.
\n

Nivel MEDIO

\n
a)Se exigirá el uso de al menos dos factores de autenticación.
\n
b)En el caso de utilización de \"algo que se sabe\" como factor de autenticación, se establecerán exigencias rigurosas de calidad y renovación.
\n
c)Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo:
\n
1.Presencial.
\n
2.Telemático usando certificado electrónico cualificado.
\n
3.Telemático mediante una autenticación con una credencial electrónica obtenida tras un registro previo presencial o telemático usando certificado electrónico cualificado en dispositivo cualificado de creación de firma.
\n

Nivel ALTO

\n
a)Las credenciales se suspenderán tras un periodo definido de no utilización.
\n
b)En el caso del uso de utilización de \"algo que se tiene\", se requerirá el uso de elementos criptográficos hardware usando algoritmos y parámetros acreditados por el Centro Criptológico Nacional.
\n
c)Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo presencial o telemático usando certificado electrónico cualificado en dispositivo cualificado de creación de firma.
\n

4.2.6 Acceso local [op.acc.6]. dimensiones I C A T nivel bajo medio alto aplica + ++ Se considera acceso local al realizado desde puestos de trabajo dentro de las propias instalaciones de la organización. Estos accesos tendrán en cuenta el nivel de las dimensiones de seguridad:

\n

Nivel BAJO

\n
a)Se prevendrán ataques que puedan revelar información del sistema sin llegar a acceder al mismo. La información revelada a quien intenta acceder, debe ser la mínima imprescindible (los diálogos de acceso proporcionarán solamente la información indispensable).
\n
b)El número de intentos permitidos será limitado, bloqueando la oportunidad de acceso una vez efectuados un cierto número de fallos consecutivos.
\n
c)Se registrarán los accesos con éxito, y los fallidos.
\n
d)El sistema informará al usuario de sus obligaciones inmediatamente después de obtener el acceso.
\n

Nivel MEDIO Se informará al usuario del último acceso efectuado con su identidad.

\n

Nivel ALTO

\n
a)El acceso estará limitado por horario, fechas y lugar desde donde se accede.
\n
b)Se definirán aquellos puntos en los que el sistema requerirá una renovación de la autenticación del usuario, mediante identificación singular, no bastando con la sesión establecida.
\n

4.2.7 Acceso remoto [op.acc.7]. dimensiones I C A T nivel bajo medio alto aplica + = Se considera acceso remoto al realizado desde fuera de las propias instalaciones de la organización, a través de redes de terceros.

\n

Nivel BAJO Se garantizará la seguridad del sistema cuando accedan remotamente usuarios u otras entidades, lo que implicará proteger tanto el acceso en sí mismo (como [op.acc.6]) como el canal de acceso remoto (como en [mp.com.2] y [mp.com.3]).

\n

Nivel MEDIO Se establecerá una política específica de lo que puede hacerse remotamente, requiriéndose autorización positiva.

\n

4.3 Explotación [op.exp].

\n

4.3.1 Inventario de activos [op.exp.1]. dimensiones Todas categoría básica media alta aplica = = Se mantendrá un inventario actualizado de todos los elementos del sistema, detallando su naturaleza e identificando a su responsable; es decir, la persona que es responsable de las decisiones relativas al mismo.

\n

4.3.2 Configuración de seguridad [op.exp.2]. dimensiones Todas categoría básica media alta aplica = = Se configurarán los equipos previamente a su entrada en operación, de forma que:

\n
a)Se retiren cuentas y contraseñas estándar.
\n
b)Se aplicará la regla de «mínima funcionalidad»:
\n

1.º El sistema debe proporcionar la funcionalidad requerida para que la organización alcance sus objetivos y ninguna otra funcionalidad, 2.º No proporcionará funciones gratuitas, ni de operación, ni de administración, ni de auditoría, reduciendo de esta forma su perímetro al mínimo imprescindible.

\n

3.º Se eliminará o desactivará mediante el control de la configuración, aquellas funciones que no sean de interés, no sean necesarias, e incluso, aquellas que sean inadecuadas al fin que se persigue.

\n
c)Se aplicará la regla de «seguridad por defecto»:
\n

1.º Las medidas de seguridad serán respetuosas con el usuario y protegerán a éste, salvo que se exponga conscientemente a un riesgo.

\n

2.º Para reducir la seguridad, el usuario tiene que realizar acciones conscientes.

\n

3.º El uso natural, en los casos que el usuario no ha consultado el manual, será un uso seguro.

\n

4.3.3 Gestión de la configuración [op.exp.3]. dimensiones Todas categoría básica media alta no aplica aplica = Categoría MEDIA Se gestionará de forma continua la configuración de los componentes del sistema de forma que:

\n
a)Se mantenga en todo momento la regla de \"funcionalidad mínima\" ([op.exp.2]).
\n
b)Se mantenga en todo momento la regla de \"seguridad por defecto\" ([op.exp.2]).
\n
c)El sistema se adapte a las nuevas necesidades, previamente autorizadas ([op.acc.4]).
\n
d)El sistema reaccione a vulnerabilidades reportadas ([op.exp.4]).
\n
e)El sistema reaccione a incidentes (ver [op.exp.7]).
\n

4.3.4 Mantenimiento [op.exp.4]. dimensiones todas categoría básica media alta aplica = = Para mantener el equipamiento físico y lógico que constituye el sistema, se aplicará lo siguiente:

\n
a)Se atenderá a las especificaciones de los fabricantes en lo relativo a instalación y mantenimiento de los sistemas.
\n
b)Se efectuará un seguimiento continuo de los anuncios de defectos.
\n
c)Se dispondrá de un procedimiento para analizar, priorizar y determinar cuándo aplicar las actualizaciones de seguridad, parches, mejoras y nuevas versiones. La priorización tendrá en cuenta la variación del riesgo en función de la aplicación o no de la actualización.
\n

4.3.5 Gestión de cambios [op.exp.5]. dimensiones todas categoría básica media alta no aplica aplica = Categoría MEDIA Se mantendrá un control continuo de cambios realizados en el sistema, de forma que:

\n
a)Todos los cambios anunciados por el fabricante o proveedor serán analizados para determinar su conveniencia para ser incorporados, o no.
\n
b)Antes de poner en producción una nueva versión o una versión parcheada, se comprobará en un equipo que no esté en producción, que la nueva instalación funciona correctamente y no disminuye la eficacia de las funciones necesarias para el trabajo diario. El equipo de pruebas será equivalente al de producción en los aspectos que se comprueban.
\n
c)Los cambios se planificarán para reducir el impacto sobre la prestación de los servicios afectados.
\n
d)Mediante análisis de riesgos se determinará si los cambios son relevantes para la seguridad del sistema. Aquellos cambios que impliquen una situación de riesgo de nivel alto serán aprobados explícitamente de forma previa a su implantación.
\n

4.3.6 Protección frente a código dañino [op.exp.6]. dimensiones todas categoría básica media alta aplica = = Se considera código dañino: los virus, los gusanos, los troyanos, los programas espías, conocidos en terminología inglesa como «spyware», y en general, todo lo conocido como «malware».

\n

Se dispondrá de mecanismos de prevención y reacción frente a código dañino con mantenimiento de acuerdo a las recomendaciones del fabricante.

\n

4.3.7 Gestión de incidentes [op.exp.7]. dimensiones Todas categoría básica media alta no aplica aplica = Categoría MEDIA Se dispondrá de un proceso integral para hacer frente a los incidentes que puedan tener un impacto en la seguridad del sistema, incluyendo:

\n
a)Procedimiento de reporte de eventos de seguridad y debilidades, detallando los criterios de clasificación y el escalado de la notificación.
\n
b)Procedimiento de toma de medidas urgentes, incluyendo la detención de servicios, el aislamiento del sistema afectado, la recogida de evidencias y protección de los registros, según convenga al caso.
\n
c)Procedimiento de asignación de recursos para investigar las causas, analizar las consecuencias y resolver el incidente.
\n
d)Procedimientos para informar a las partes interesadas, internas y externas.
\n
e)Procedimientos para:
\n
1.Prevenir que se repita el incidente.
\n
2.Incluir en los procedimientos de usuario la identificación y forma de tratar el incidente.
\n
3.Actualizar, extender, mejorar u optimizar los procedimientos de resolución de incidentes.
\n

La gestión de incidentes que afecten a datos de carácter personal tendrá en cuenta lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normas de desarrollo, sin perjuicio de cumplir, además, las medidas establecidas por este real decreto.

\n

4.3.8 Registro de la actividad de los usuarios [op.exp.8]. dimensiones T nivel bajo medio alto aplica + ++ Se registrarán las actividades de los usuarios en el sistema, de forma que:

\n
a)El registro indicará quién realiza la actividad, cuándo la realiza y sobre qué información.
\n
b)Se incluirá la actividad de los usuarios y, especialmente, la de los operadores y administradores en cuanto puedan acceder a la configuración y actuar en el mantenimiento del sistema.
\n
c)Deberán registrarse las actividades realizadas con éxito y los intentos fracasados.
\n
d)La determinación de qué actividades deben registrarse y con qué niveles de detalle se adoptará a la vista del análisis de riesgos realizado sobre el sistema ([op.pl.1]).
\n

Nivel BAJO Se activarán los registros de actividad en los servidores.

\n

Nivel MEDIO Se revisarán informalmente los registros de actividad buscando patrones anormales.

\n

Nivel ALTO Se dispondrá de un sistema automático de recolección de registros y correlación de eventos; es decir, una consola de seguridad centralizada.

\n

4.3.9 Registro de la gestión de incidentes [op.exp.9]. dimensiones Todas categoría básica media alta no aplica aplica = Categoría MEDIA Se registrarán todas las actuaciones relacionadas con la gestión de incidentes, de forma que:

\n
a)Se registrará el reporte inicial, las actuaciones de emergencia y las modificaciones del sistema derivadas del incidente.
\n
b)Se registrará aquella evidencia que pueda, posteriormente, sustentar una demanda judicial, o hacer frente a ella, cuando el incidente pueda llevar a actuaciones disciplinarias sobre el personal interno, sobre proveedores externos o a la persecución de delitos. En la determinación de la composición y detalle de estas evidencias, se recurrirá a asesoramiento legal especializado.
\n
c)Como consecuencia del análisis de los incidentes, se revisará la determinación de los eventos auditables.
\n

4.3.10 Protección de los registros de actividad [op.exp.10]. dimensiones T nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se protegerán los registros del sistema, de forma que:

\n
a)Se determinará el periodo de retención de los registros.
\n
b)Se asegurará la fecha y hora. Ver [mp.info.5].
\n
c)Los registros no podrán ser modificados ni eliminados por personal no autorizado.
\n
d)Las copias de seguridad, si existen, se ajustarán a los mismos requisitos.
\n

4.3.11 Protección de claves criptográficas [op.exp.11]. dimensiones Todas categoría básica media alta aplica + = Las claves criptográficas se protegerán durante todo su ciclo de vida: (1) generación, (2) transporte al punto de explotación, (3) custodia durante la explotación, (4) archivo posterior a su retirada de explotación activa y (5) destrucción final.

\n

Categoría BÁSICA

\n
a)Los medios de generación estarán aislados de los medios de explotación.
\n
b)Las claves retiradas de operación que deban ser archivadas, lo serán en medios aislados de los de explotación.
\n

Categoría MEDIA

\n
a)Se usarán programas evaluados o dispositivos criptográficos certificados conforme a lo establecido en [op.pl.5].
\n
b)Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
\n

4.4 Servicios externos [op.ext].

\n

Cuando se utilicen recursos externos a la organización, sean servicios, equipos, instalaciones o personal, deberá tenerse en cuenta que la delegación se limita a las funciones.

\n

La organización sigue siendo en todo momento responsable de los riesgos en que se incurre en la medida en que impacten sobre la información manejada y los servicios finales prestados por la organización.

\n

La organización dispondrá las medidas necesarias para poder ejercer su responsabilidad y mantener el control en todo momento.

\n

4.4.1 Contratación y acuerdos de nivel de servicio [op.ext.1]. dimensiones todas categoría básica media alta no aplica aplica = Categoría MEDIA Previa a la utilización de recursos externos se establecerán contractualmente las características del servicio prestado y las responsabilidades de las partes. Se detallará lo que se considera calidad mínima del servicio prestado y las consecuencias de su incumplimiento.

\n

4.4.2 Gestión diaria [op.ext.2]. dimensiones Todas categoría básica media alta no aplica aplica = Categoría MEDIA Para la gestión diaria del sistema, se establecerán los siguientes puntos:

\n
a)Un sistema rutinario para medir el cumplimiento de las obligaciones de servicio y el procedimiento para neutralizar cualquier desviación fuera del margen de tolerancia acordado ([op.ext.1]).
\n
b)El mecanismo y los procedimientos de coordinación para llevar a cabo las tareas de mantenimiento de los sistemas afectados por el acuerdo.
\n
c)El mecanismo y los procedimientos de coordinación en caso de incidentes y desastres (ver [op.exp.7]).
\n

4.4.3 Medios alternativos [op.ext.9]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Estará prevista la provisión del servicio por medios alternativos en caso de indisponibilidad del servicio contratado. El servicio alternativo disfrutará de las mismas garantías de seguridad que el servicio habitual.

\n

4.5 Continuidad del servicio [op.cont].

\n

4.5.1 Análisis de impacto [op.cont.1]. dimensiones D nivel bajo medio alto no aplica aplica = Nivel MEDIO Se realizará un análisis de impacto que permita determinar:

\n
a)Los requisitos de disponibilidad de cada servicio medidos como el impacto de una interrupción durante un cierto periodo de tiempo.
\n
b)Los elementos que son críticos para la prestación de cada servicio.
\n

4.5.2 Plan de continuidad [op.cont.2]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se desarrollará un plan de continuidad que establezca las acciones a ejecutar en caso de interrupción de los servicios prestados con los medios habituales. Este plan contemplará los siguientes aspectos:

\n
a)Se identificarán funciones, responsabilidades y actividades a realizar.
\n
b)Existirá una previsión de los medios alternativos que se va a conjugar para poder seguir prestando los servicios.
\n
c)Todos los medios alternativos estarán planificados y materializados en acuerdos o contratos con los proveedores correspondientes.
\n
d)Las personas afectadas por el plan recibirán formación específica relativa a su papel en dicho plan.
\n
e)El plan de continuidad será parte integral y armónica de los planes de continuidad de la organización en otras materias ajenas a la seguridad.
\n

4.5.3 Pruebas periódicas [op.cont.3]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se realizarán pruebas periódicas para localizar y, corregir en su caso, los errores o deficiencias que puedan existir en el plan de continuidad 4.6 Monitorización del sistema [op.mon].

\n

El sistema estará sujeto a medidas de monitorización de su actividad.

\n

4.6.1 Detección de intrusión [op.mon.1]. dimensiones Todas categoría básica media alta no aplica aplica = Categoría MEDIA Se dispondrán de herramientas de detección o de prevención de intrusión.

\n

4.6.2 Sistema de métricas [op.mon.2]. dimensiones Todas categoría básica media alta aplica + ++ Categoría BÁSICA:

\n

Se recopilarán los datos necesarios atendiendo a la categoría del sistema para conocer el grado de implantación de las medidas de seguridad que apliquen de las detalladas en el Anexo II y, en su caso, para proveer el informe anual requerido por el artículo 35.

\n

Categoría MEDIA:

\n

Además, se recopilaran datos para valorar el sistema de gestión de incidentes, permitiendo conocer

\n
–Número de incidentes de seguridad tratados.
\n
–Tiempo empleado para cerrar el 50% de los incidentes.
\n
–Tiempo empleado para cerrar el 90% de las incidentes.
\n

Categoría ALTA Se recopilarán datos para conocer la eficiencia del sistema de seguridad TIC:

\n
–Recursos consumidos: horas y presupuesto.
\n
5.Medidas de protección [mp] Las medidas de protección, se centrarán en proteger activos concretos, según su naturaleza, con el nivel requerido en cada dimensión de seguridad.
\n

5.1 Protección de las instalaciones e infraestructuras [mp.if].

\n

5.1.1 Áreas separadas y con control de acceso [mp.if.1]. dimensiones todas categoría básica media alta aplica = = El equipamiento de instalará en áreas separadas específicas para su función.

\n

Se controlarán los accesos a las áreas indicadas de forma que sólo se pueda acceder por las entradas previstas y vigiladas.

\n

5.1.2 Identificación de las personas [mp.if.2]. dimensiones todas categoría básica media alta aplica = = El mecanismo de control de acceso se atendrá a lo que se dispone a continuación:

\n
a)Se identificará a todas las personas que accedan a los locales donde hay equipamiento que forme parte del sistema de información.
\n
b)Se registrarán las entradas y salidas de personas.
\n

5.1.3 Acondicionamiento de los locales [mp.if.3]. dimensiones todas categoría básica media alta aplica = = Los locales donde se ubiquen los sistemas de información y sus componentes, dispondrán de elementos adecuados para el eficaz funcionamiento del equipamiento allí instalado. Y, en especial:

\n
a)Condiciones de temperatura y humedad.
\n
b)Protección frente a las amenazas identificadas en el análisis de riesgos.
\n
c)Protección del cableado frente a incidentes fortuitos o deliberados.
\n

5.1.4 Energía eléctrica [mp.if.4]. dimensiones D nivel bajo medio alto aplica + = Nivel BAJO Los locales donde se ubiquen los sistemas de información y sus componentes dispondrán de la energía eléctrica, y sus tomas correspondientes, necesaria para su funcionamiento, de forma que en los mismos:

\n
a)Se garantizará el suministro de potencia eléctrica.
\n
b)Se garantizará el correcto funcionamiento de las luces de emergencia.
\n

Nivel MEDIO Se garantizará el suministro eléctrico a los sistemas en caso de fallo del suministro general, garantizando el tiempo suficiente para una terminación ordenada de los procesos, salvaguardando la información.

\n

5.1.5 Protección frente a incendios [mp.if.5]. dimensiones D nivel bajo medio alto aplica = = Los locales donde se ubiquen los sistemas de información y sus componentes se protegerán frente a incendios fortuitos o deliberados, aplicando al menos la normativa industrial pertinente.

\n

5.1.6 Protección frente a inundaciones [mp.if.6]. dimensiones D nivel bajo medio alto no aplica aplica = Nivel MEDIO Los locales donde se ubiquen los sistemas de información y sus componentes se protegerán frente a incidentes fortuitos o deliberados causados por el agua.

\n

5.1.7 Registro de entrada y salida de equipamiento [mp.if.7]. dimensiones todas categoría básica media alta aplica = = Se llevará un registro pormenorizado de toda entrada y salida de equipamiento, incluyendo la identificación de la persona que autoriza de movimiento.

\n

5.1.8 Instalaciones alternativas [mp.if.9]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se garantizará la existencia y disponibilidad de instalaciones alternativas para poder trabajar en caso de que las instalaciones habituales no estén disponibles. Las instalaciones alternativas disfrutarán de las mismas garantías de seguridad que las instalaciones habituales.

\n

5.2 Gestión del personal [mp.per].

\n

5.2.1 Caracterización del puesto de trabajo [mp.per.1]. dimensiones todas categoría básica media alta no aplica aplica = Categoría MEDIA Cada puesto de trabajo se caracterizará de la siguiente forma:

\n
a)Se definirán las responsabilidades relacionadas con cada puesto de trabajo en materia de seguridad. La definición se basará en el análisis de riesgos.
\n
b)Se definirán los requisitos que deben satisfacer las personas que vayan a ocupar el puesto de trabajo, en particular, en términos de confidencialidad.
\n
c)Dichos requisitos se tendrán en cuenta en la selección de la persona que vaya a ocupar dicho puesto, incluyendo la verificación de sus antecedentes laborales, formación y otras referencias.
\n

5.2.2 Deberes y obligaciones [mp.per.2]. dimensiones todas categoría básica media alta aplica = = 1. Se informará a cada persona que trabaje en el sistema, de los deberes y responsabilidades de su puesto de trabajo en materia de seguridad.

\n
a)Se especificarán las medidas disciplinarias a que haya lugar.
\n
b)Se cubrirá tanto el periodo durante el cual se desempeña el puesto, como las obligaciones en caso de término de la asignación, o traslado a otro puesto de trabajo.
\n
c)Se contemplará el deber de confidencialidad respecto de los datos a los que tenga acceso, tanto durante el periodo que estén adscritos al puesto de trabajo, como posteriormente a su terminación.
\n
2.En caso de personal contratado a través de un tercero:
\n
a)Se establecerán los deberes y obligaciones del personal.
\n
b)Se establecerán los deberes y obligaciones de cada parte.
\n
c)Se establecerá el procedimiento de resolución de incidentes relacionados con el incumplimiento de las obligaciones.
\n

5.2.3 Concienciación [mp.per.3]. dimensiones Todas categoría básica media alta aplica = = Se realizarán las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos.

\n

En particular, se recordará regularmente:

\n
a)La normativa de seguridad relativa al buen uso de los sistemas.
\n
b)La identificación de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado.
\n
c)El procedimiento de reporte de incidentes de seguridad, sean reales o falsas alarmas.
\n

5.2.4 Formación [mp.per.4]. dimensiones todas categoría básica media alta aplica = = Se formará regularmente al personal en aquellas materias que requieran para el desempeño de sus funciones, en particular en lo relativo a:

\n
a)Configuración de sistemas.
\n
b)Detección y reacción a incidentes.
\n
c)Gestión de la información en cualquier soporte en el que se encuentre. Se cubrirán al menos las siguientes actividades: almacenamiento, transferencia, copias, distribución y destrucción.
\n

5.2.5 Personal alternativo [mp.per.9]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se garantizará la existencia y disponibilidad de otras personas que se puedan hacer cargo de las funciones en caso de indisponibilidad del personal habitual. El personal alternativo deberá estar sometido a las mismas garantías de seguridad que el personal habitual.

\n

5.3 Protección de los equipos [mp.eq].

\n

5.3.1 Puesto de trabajo despejado [mp.eq.1]. dimensiones todas categoría básica media alta aplica + = Categoría BÁSICA Se exigirá que los puestos de trabajo permanezcan despejados, sin más material encima de la mesa que el requerido para la actividad que se está realizando en cada momento Categoría MEDIA Este material se guardará en lugar cerrado cuando no se esté utilizando.

\n

5.3.2 Bloqueo de puesto de trabajo [mp.eq.2]. dimensiones A nivel bajo medio alto no aplica aplica + Nivel MEDIO El puesto de trabajo se bloqueará al cabo de un tiempo prudencial de inactividad, requiriendo una nueva autenticación del usuario para reanudar la actividad en curso.

\n

Nivel ALTO Pasado un cierto tiempo, superior al anterior, se cancelarán las sesiones abiertas desde dicho puesto de trabajo.

\n

5.3.3 Protección de portátiles [mp.eq.3]. dimensiones Todas categoría básica media alta aplica = + Categoría BÁSICA Los equipos que sean susceptibles de salir de las instalaciones de la organización y no puedan beneficiarse de la protección física correspondiente, con un riesgo manifiesto de pérdida o robo, serán protegidos adecuadamente.

\n

Sin perjuicio de las medidas generales que les afecten, se adoptarán las siguientes:

\n
a)Se llevará un inventario de equipos portátiles junto con una identificación de la persona responsable del mismo y un control regular de que está positivamente bajo su control.
\n
b)Se establecerá un canal de comunicación para informar, al servicio de gestión de incidentes, de pérdidas o sustracciones.
\n
c)Cuando un equipo portátil se conecte remotamente a través de redes que no están bajo el estricto control de la organización, el ámbito de operación del servidor limitará la información y los servicios accesibles a los mínimos imprescindibles, requiriendo autorización previa de los responsables de la información y los servicios afectados. Este punto es de aplicación a conexiones a través de Internet y otras redes que no sean de confianza.
\n
d)Se evitará, en la medida de lo posible, que el equipo contenga claves de acceso remoto a la organización. Se considerarán claves de acceso remoto aquellas que sean capaces de habilitar un acceso a otros equipos de la organización, u otras de naturaleza análoga.
\n

Categoría ALTA

\n
a)Se dotará al dispositivo de detectores de violación que permitan saber el equipo ha sido manipulado y activen los procedimientos previstos de gestión del incidente.
\n
b)La información de nivel alto almacenada en el disco se protegerá mediante cifrado.
\n

5.3.4 Medios alternativos [mp.eq.9]. dimensiones D nivel bajo medio alto No aplica aplica = Se garantizará la existencia y disponibilidad de medios alternativos de tratamiento de la información para el caso de que fallen los medios habituales. Estos medios alternativos estarán sujetos a las mismas garantías de protección.

\n

Igualmente, se establecerá un tiempo máximo para que los equipos alternativos entren en funcionamiento.

\n

5.4 Protección de las comunicaciones [mp.com].

\n

5.4.1 Perímetro seguro [mp.com.1]. dimensiones todas categoría básica media alta aplica = + Categoría BÁSICA Se dispondrá un sistema cortafuegos que separe la red interna del exterior. Todo el tráfico deberá atravesar dicho cortafuegos que sólo dejara transitar los flujos previamente autorizados.

\n

Categoría ALTA

\n
a)El sistema de cortafuegos constará de dos o más equipos de diferente fabricante dispuestos en cascada.
\n
b)Se dispondrán sistemas redundantes.
\n

5.4.2 Protección de la confidencialidad [mp.com.2]. dimensiones C nivel bajo medio alto no aplica aplica + Nivel MEDIO

\n
a)Se emplearán redes privadas virtuales cuando la comunicación discurra por redes fuera del propio dominio de seguridad.
\n
b)Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
\n

Nivel ALTO

\n
a)Se emplearán, preferentemente, dispositivos hardware en el establecimiento y utilización de la red privada virtual.
\n
b)Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
\n

5.4.3 Protección de la autenticidad y de la integridad [mp.com.3]. dimensiones I A nivel bajo medio alto aplica + ++ Nivel BAJO

\n
a)Se asegurará la autenticidad del otro extremo de un canal de comunicación antes de intercambiar información (ver [op.acc.5]).
\n
b)Se prevendrán ataques activos, garantizando que al menos serán detectados. y se activarán los procedimientos previstos de tratamiento del incidente Se considerarán ataques activos:
\n
1.La alteración de la información en tránsito.
\n
2.La inyección de información espuria.
\n
3.El secuestro de la sesión por una tercera parte.
\n
c)Se aceptará cualquier mecanismo de autenticación de los previstos en normativa de aplicación.
\n

Nivel MEDIO

\n
a)Se emplearán redes privadas virtuales cuando la comunicación discurra por redes fuera del propio dominio de seguridad.
\n
b)Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
\n
c)Se aceptará cualquier mecanismo de autenticación de los previstos en la normativa de aplicación. En caso de uso de claves concertadas se aplicarán exigencias medias en cuanto a su calidad frente a ataques de adivinación, diccionario o fuerza bruta.
\n

Nivel ALTO

\n
a)Se valorará positivamente el empleo de dispositivos hardware en el establecimiento y utilización de la red privada virtual.
\n
b)Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
\n
c)Se aceptará cualquier mecanismo de autenticación de los previstos en normativa de aplicación. En caso de uso de claves concertadas se aplicarán exigencias altas en cuanto a su calidad frente a ataques de adivinación, diccionario o fuerza bruta.
\n

5.4.4 Segregación de redes [mp.com.4]. dimensiones todas categoría básica media alta no aplica no aplica aplica La segregación de redes acota el acceso a la información y, consiguientemente, la propagación de los incidentes de seguridad, que quedan restringidos al entorno donde ocurren.

\n

Categoría ALTA La red se segmentará en segmentos de forma que haya:

\n
a)Control de entrada de los usuarios que llegan a cada segmento.
\n
b)Control de salida de la información disponible en cada segmento.
\n
c)Las redes se pueden segmentar por dispositivos físicos o lógicos. El punto de interconexión estará particularmente asegurado, mantenido y monitorizado (como en [mp.com.1]).
\n

5.4.5 Medios alternativos [mp.com.9]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se garantizará la existencia y disponibilidad de medios alternativos de comunicación para el caso de que fallen los medios habituales. Los medios alternativos de comunicación:

\n
a)Estarán sujetos y proporcionar las mismas garantías de protección que el medio habitual.
\n
b)Garantizarán un tiempo máximo de entrada en funcionamiento.
\n

5.5 Protección de los soportes de información [mp.si].

\n

5.5.1 Etiquetado [mp.si.1]. dimensiones C nivel bajo medio alto aplica = = Los soportes de información se etiquetarán de forma que, sin revelar su contenido, se indique el nivel de seguridad de la información contenida de mayor calificación.

\n

Los usuarios han de estar capacitados para entender el significado de las etiquetas, bien mediante simple inspección, bien mediante el recurso a un repositorio que lo explique.

\n

5.5.2 Criptografía [mp.si.2]. dimensiones I C nivel bajo medio alto no aplica aplica + Esta medida se aplica, en particular, a todos los dispositivos removibles. Se entenderán por dispositivos removibles, los CD, DVD, discos USB, u otros de naturaleza análoga.

\n

Nivel MEDIO Se aplicarán mecanismos criptográficos que garanticen la confidencialidad y la integridad de la información contenida.

\n

Nivel ALTO

\n
a)Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
\n
b)Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
\n

5.5.3 Custodia [mp.si.3]. dimensiones todas categoría básica media alta aplica = = Se aplicará la debida diligencia y control a los soportes de información que permanecen bajo la responsabilidad de la organización, mediante las siguientes actuaciones:

\n
a)Garantizando el control de acceso con medidas físicas ([mp.if.1] y [mp.if.7]) ó lógicas ([mp.si.2]), o ambas.
\n
b)Garantizando que se respetan las exigencias de mantenimiento del fabricante, en especial, en lo referente a temperatura, humedad y otros agresores medioambientales.
\n

5.5.4 Transporte [mp.si.4]. dimensiones todas categoría básica media alta aplica = = El responsable de sistemas garantizará que los dispositivos permanecen bajo control y que satisfacen sus requisitos de seguridad mientras están siendo desplazados de un lugar a otro.

\n

Para ello:

\n
a)Se dispondrá de un registro de salida que identifique al transportista que recibe el soporte para su traslado.
\n
b)Se dispondrá de un registro de entrada que identifique al transportista que lo entrega.
\n
c)Se dispondrá de un procedimiento rutinario que coteje las salidas con las llegadas y levante las alarmas pertinentes cuando se detecte algún incidente.
\n
d)Se utilizarán los medios de protección criptográfica ([mp.si.2]) correspondientes al nivel de calificación de la información contenida de mayor nivel.
\n
e)Se gestionarán las claves según [op.exp.11].
\n

5.5.5 Borrado y destrucción [mp.si.5]. dimensiones D nivel bajo medio alto no aplica + = La medida de borrado y destrucción de soportes de información se aplicará a todo tipo de equipos susceptibles de almacenar información, incluyendo medios electrónicos y no electrónicos.

\n

Nivel BAJO

\n
a)Los soportes que vayan a ser reutilizados para otra información o liberados a otra organización serán objeto de un borrado seguro de su contenido.
\n

Nivel MEDIO

\n
b)Se destruirán de forma segura los soportes, en los siguientes casos:
\n
1.Cuando la naturaleza del soporte no permita un borrado seguro.
\n
2.Cuando así lo requiera el procedimiento asociado al tipo de información contenida.
\n
c)Se emplearán productos certificados conforme a lo establecido en ([op. pl.5]).
\n

5.6 Protección de las aplicaciones informáticas [mp.sw].

\n

5.6.1 Desarrollo de aplicaciones [mp.sw.1]. dimensiones Todas categoría bajo medio alto no aplica aplica = Categoría MEDIA

\n
a)El desarrollo de aplicaciones se realizará sobre un sistema diferente y separado del de producción, no debiendo existir herramientas o datos de desarrollo en el entorno de producción.
\n
b)Se aplicará una metodología de desarrollo reconocida que:
\n

1.º Tome en consideración los aspectos de seguridad a lo largo de todo el ciclo de vida.

\n

2.º Trate específicamente los datos usados en pruebas.

\n

3.º Permita la inspección del código fuente.

\n

4.º Incluya normas de programación segura.

\n
c)Los siguientes elementos serán parte integral del diseño del sistema:
\n

1.º Los mecanismos de identificación y autenticación.

\n

2.º Los mecanismos de protección de la información tratada.

\n

3.º La generación y tratamiento de pistas de auditoría.

\n
d)Las pruebas anteriores a la implantación o modificación de los sistemas de información no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
\n

5.6.2 Aceptación y puesta en servicio [mp.sw.2]. dimensiones todas categoría básica media alta aplica + ++ Categoría BÁSICA Antes de pasar a producción se comprobará el correcto funcionamiento de la aplicación.

\n
a)Se comprobará que:
\n

1.º Se cumplen los criterios de aceptación en materia de seguridad.

\n

2.º No se deteriora la seguridad de otros componentes del servicio.

\n
b)Las pruebas se realizarán en un entorno aislado (pre-producción).
\n
c)Las pruebas de aceptación no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
\n

Categoría MEDIA Se realizarán las siguientes inspecciones previas a la entrada en servicio:

\n
a)Análisis de vulnerabilidades.
\n
b)Pruebas de penetración.
\n

Categoría ALTA Se realizarán las siguientes inspecciones previas a la entrada en servicio:

\n
a)Análisis de coherencia en la integración en los procesos.
\n
b)Se considerará la oportunidad de realizar una auditoría de código fuente.
\n

5.7 Protección de la información [mp.info].

\n

5.7.1 Datos de carácter personal [mp.info.1]. dimensiones todas categoría básica media alta aplica = = Cuando el sistema trate datos de carácter personal, se estará a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normas de desarrollo, sin perjuicio de cumplir, además, las medidas establecidas por este real decreto.

\n

Lo indicado en el párrafo anterior también se aplicará, cuando una disposición con rango de ley se remita a las normas sobre datos de carácter personal en la protección de información.

\n

5.7.2 Calificación de la información [mp.info.2]. dimensiones C nivel bajo medio alto aplica + = Nivel BAJO 1. Para calificar la información se estará a lo establecido legalmente sobre la naturaleza de la misma.

\n
2.La política de seguridad establecerá quién es el responsable de cada información manejada por el sistema.
\n
3.La política de seguridad recogerá, directa o indirectamente, los criterios que, en cada organización, determinarán el nivel de seguridad requerido, dentro del marco establecido en el artículo 43 y los criterios generales prescritos en el Anexo I.
\n
4.El responsable de cada información seguirá los criterios determinados en el apartado anterior para asignar a cada información el nivel de seguridad requerido, y será responsable de su documentación y aprobación formal.
\n
5.El responsable de cada información en cada momento tendrá en exclusiva la potestad de modificar el nivel de seguridad requerido, de acuerdo a los apartados anteriores.
\n

Nivel MEDIO Se redactarán los procedimientos necesarios que describan, en detalle, la forma en que se ha de etiquetar y tratar la información en consideración al nivel de seguridad que requiere; y precisando cómo se ha de realizar:

\n
a)Su control de acceso.
\n
b)Su almacenamiento.
\n
c)La realización de copias.
\n
d)El etiquetado de soportes.
\n
e)Su transmisión telemática.
\n
f)Y cualquier otra actividad relacionada con dicha información.
\n

5.7.3 Cifrado de la información [mp.info.3]. dimensiones C nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Para el cifrado de información se estará a lo que se indica a continuación:

\n
a)La información con un nivel alto en confidencialidad se cifrará tanto durante su almacenamiento como durante su transmisión. Sólo estará en claro mientras se está haciendo uso de ella.
\n
b)Para el uso de criptografía en las comunicaciones, se estará a lo dispuesto en [mp.com.2].
\n
c)Para el uso de criptografía en los soportes de información, se estará a lo dispuesto en [mp.si.2].
\n

5.7.4 Firma electrónica [mp.info.4]. dimensiones I A nivel bajo medio alto aplica + ++ Se empleará la firma electrónica como un instrumento capaz de permitir la comprobación de la autenticidad de la procedencia y la integridad de la información ofreciendo las bases para evitar el repudio.

\n

La integridad y la autenticidad de los documentos se garantizarán por medio de firmas electrónicas con los condicionantes que se describen a continuación, proporcionados a los niveles de seguridad requeridos por el sistema.

\n

En el caso de que se utilicen otros mecanismos de firma electrónica sujetos a derecho, el sistema debe incorporar medidas compensatorias suficientes que ofrezcan garantías equivalentes o superiores en lo relativo a prevención del repudio, usando el procedimiento previsto en el punto 5 del artículo 27.

\n

Nivel BAJO Se empleará cualquier tipo de firma electrónica de los previstos en la legislación vigente.

\n

Nivel MEDIO

\n
a)Cuando se empleen sistemas de firma electrónica avanzada basados en certificados, estos serán cualificados.
\n
b)Se emplearán algoritmos y parámetros acreditados por el Centro Criptológico Nacional.
\n
c)Se garantizará la verificación y validación de la firma electrónica durante el tiempo requerido por la actividad administrativa que aquélla soporte, sin perjuicio de que se pueda ampliar este período de acuerdo con lo que establezca la Política de Firma Electrónica y de Certificados que sea de aplicación. Para tal fin:
\n
d)Se adjuntará a la firma, o se referenciará, toda la información pertinente para su verificación y validación:
\n
1.Certificados.
\n
2.Datos de verificación y validación.
\n
e)El organismo que recabe documentos firmados por el administrado verificará y validará la firma recibida en el momento de la recepción, anexando o referenciando sin ambigüedad la información descrita en los epígrafes 1 y 2 del apartado d).
\n
f)La firma electrónica de documentos por parte de la Administración anexará o referenciará sin ambigüedad la información descrita en los epígrafes 1 y 2.
\n

Nivel ALTO 1. Se usará firma electrónica cualificada, incorporando certificados cualificados y dispositivos cualificados de creación de firma.

\n
2.Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
\n

5.7.5 Sellos de tiempo [mp.info.5]. dimensiones T nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Los sellos de tiempo prevendrán la posibilidad del repudio posterior:

\n
1.Los sellos de tiempo se aplicarán a aquella información que sea susceptible de ser utilizada como evidencia electrónica en el futuro.
\n
2.Los datos pertinentes para la verificación posterior de la fecha serán tratados con la misma seguridad que la información fechada a efectos de disponibilidad, integridad y confidencialidad.
\n
3.Se renovarán regularmente los sellos de tiempo hasta que la información protegida ya no sea requerida por el proceso administrativo al que da soporte.
\n
4.Se utilizarán productos certificados (según [op.pl.5]) o servicios externos admitidos (véase [op.exp.10]).
\n
5.Se emplearán \"sellos cualificados de tiempo electrónicos\" acordes con la normativa europea en la materia.
\n

5.7.6 Limpieza de documentos [mp.info.6]. dimensiones C nivel bajo medio alto aplica = = En el proceso de limpieza de documentos, se retirará de estos toda la información adicional contenida en campos ocultos, meta-datos, comentarios o revisiones anteriores, salvo cuando dicha información sea pertinente para el receptor del documento.

\n

Esta medida es especialmente relevante cuando el documento se difunde ampliamente, como ocurre cuando se ofrece al público en un servidor web u otro tipo de repositorio de información.

\n

Se tendrá presente que el incumplimiento de esta medida puede perjudicar:

\n
a)Al mantenimiento de la confidencialidad de información que no debería haberse revelado al receptor del documento.
\n
b)Al mantenimiento de la confidencialidad de las fuentes u orígenes de la información, que no debe conocer el receptor del documento.
\n
c)A la buena imagen de la organización que difunde el documento por cuanto demuestra un descuido en su buen hacer.
\n

5.7.7 Copias de seguridad (backup) [mp.info.9]. dimensiones D nivel bajo medio alto aplica = = Se realizarán copias de seguridad que permitan recuperar datos perdidos, accidental o intencionadamente con una antigüedad determinada.

\n

Estas copias poseerán el mismo nivel de seguridad que los datos originales en lo que se refiere a integridad, confidencialidad, autenticidad y trazabilidad. En particular, se considerará la conveniencia o necesidad, según proceda, de que las copias de seguridad estén cifradas para garantizar la confidencialidad.

\n

Las copias de seguridad deberán abarcar:

\n
g)Información de trabajo de la organización.
\n
h)Aplicaciones en explotación, incluyendo los sistemas operativos.
\n
i)Datos de configuración, servicios, aplicaciones, equipos, u otros de naturaleza análoga.
\n
j)Claves utilizadas para preservar la confidencialidad de la información.
\n

5.8 Protección de los servicios [mp.s].

\n

5.8.1 Protección del correo electrónico (e-mail) [mp.s.1]. dimensiones todas categoría básica media alta aplica = = El correo electrónico se protegerá frente a las amenazas que le son propias, actuando del siguiente modo:

\n
a)La información distribuida por medio de correo electrónico, se protegerá, tanto en el cuerpo de los mensajes, como en los anexos.
\n
b)Se protegerá la información de encaminamiento de mensajes y establecimiento de conexiones.
\n
c)Se protegerá a la organización frente a problemas que se materializan por medio del correo electrónico, en concreto:
\n

1.º Correo no solicitado, en su expresión inglesa «spam».

\n

2.º Programas dañinos, constituidos por virus, gusanos, troyanos, espías, u otros de naturaleza análoga.

\n

3.º Código móvil de tipo «applet».

\n
d)Se establecerán normas de uso del correo electrónico por parte del personal determinado. Estas normas de uso contendrán:
\n

1.º Limitaciones al uso como soporte de comunicaciones privadas.

\n

2.º Actividades de concienciación y formación relativas al uso del correo electrónico.

\n

5.8.2 Protección de servicios y aplicaciones web [mp.s.2]. dimensiones Todas nivel básica media alta aplica = + Los subsistemas dedicados a la publicación de información deberán ser protegidos frente a las amenazas que les son propias.

\n
a)Cuando la información tenga algún tipo de control de acceso, se garantizará la imposibilidad de acceder a la información obviando la autenticación, en particular tomando medidas en los siguientes aspectos:
\n

1.º Se evitará que el servidor ofrezca acceso a los documentos por vías alternativas al protocolo determinado.

\n

2.º Se prevendrán ataques de manipulación de URL.

\n

3.º Se prevendrán ataques de manipulación de fragmentos de información que se almacena en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página, conocido en terminología inglesa como \"cookies\".

\n

4.º Se prevendrán ataques de inyección de código.

\n
b)Se prevendrán intentos de escalado de privilegios.
\n
c)Se prevendrán ataques de \"cross site scripting\".
\n
d)Se prevendrán ataques de manipulación de programas o dispositivos que realizan una acción en representación de otros, conocidos en terminología inglesa como \"proxies\" y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminología inglesa como \"cachés\".
\n

Nivel BAJO Se emplearán \"certificados de autenticación de sitio web\" acordes a la normativa europea en la materia.

\n

Nivel ALTO Se emplearán \"certificados cualificados de autenticación del sitio web\" acordes a la normativa europea en la materia.

\n

5.8.3 Protección frente a la denegación de servicio [mp.s.8]. dimensiones D nivel bajo medio alto No aplica aplica + Nivel MEDIO Se establecerán medidas preventivas y reactivas frente a ataques de denegación de servicio (DOS Denial of Service). Para ello:

\n
a)Se planificará y dotará al sistema de capacidad suficiente para atender a la carga prevista con holgura.
\n
b)Se desplegarán tecnologías para prevenir los ataques conocidos.
\n

Nivel ALTO

\n
a)Se establecerá un sistema de detección de ataques de denegación de servicio.
\n
b)Se establecerán procedimientos de reacción a los ataques, incluyendo la comunicación con el proveedor de comunicaciones.
\n
c)Se impedirá el lanzamiento de ataques desde las propias instalaciones perjudicando a terceros.
\n

5.8.4 Medios alternativos [mp.s.9]. dimensiones D nivel bajo medio alto no aplica no aplica aplica Nivel ALTO Se garantizará la existencia y disponibilidad de medios alternativos para prestar los servicios en el caso de que fallen los medios habituales. Estos medios alternativos estarán sujetos a las mismas garantías de protección que los medios habituales.

\n
6.Desarrollo y complemento de las medidas de seguridad Las medidas de seguridad se desarrollarán y complementarán según lo establecido en la disposición final segunda.
\n
7.Interpretación La interpretación del presente anexo se realizará según el sentido propio de sus palabras, en relación con el contexto, antecedentes históricos y legislativos, entre los que figura lo dispuesto en las instrucciones técnicas CCN-STIC correspondientes a la implementación y a diversos escenarios de aplicación tales como sedes electrónicas, servicios de validación de certificados electrónicos, servicios de fechado electrónico y validación de documentos fechados, atendiendo el espíritu y finalidad de aquellas.
\n

Se modifican los apartados 2 a 5 por el art. único.13 y 14 del Real Decreto 951/2015, de 23 de octubre. Ref. BOE-A-2015-11881.

\n

Redactado conforme a la corrección de errores publicada en BOE núm. 61, de 11 de marzo de 2010. Ref. BOE-A-2010-4054 ANEXO III Auditoría de la seguridad 1. Objeto de la auditoría 1. La seguridad de los sistemas de información de una organización será auditada en los siguientes términos:

\n
a)Que la política de seguridad define los roles y funciones de los responsables de la información, los servicios, los activos y la seguridad del sistema de información.
\n
b)Que existen procedimientos para resolución de conflictos entre dichos responsables.
\n
c)Que se han designado personas para dichos roles a la luz del principio de «separación de funciones».
\n
d)Que se ha realizado un análisis de riesgos, con revisión y aprobación anual.
\n
e)Que se cumplen las recomendaciones de protección descritas en el anexo II, sobre Medidas de Seguridad, en función de las condiciones de aplicación en cada caso.
\n
f)Que existe un sistema de gestión de la seguridad de la información, documentado y con un proceso regular de aprobación por la dirección.
\n
2.La auditoría se basará en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los puntos mencionados:
\n
a)Documentación de los procedimientos.
\n
b)Registro de incidencias.
\n
c)Examen del personal afectado: conocimiento y praxis de las medidas que le afectan.
\n
2.Niveles de auditoría Los niveles de auditoría que se realizan a los sistemas de información, serán los siguientes:
\n
1.Auditoría a sistemas de categoría BÁSICA.
\n
a)Los sistemas de información de categoría BÁSICA, o inferior, no necesitarán realizar una auditoría. Bastará una autoevaluación realizada por el mismo personal que administra el sistema de información, o en quien éste delegue.
\n

El resultado de la autoevaluación debe estar documentado, indicando si cada medida de seguridad está implantada y sujeta a revisión regular y las evidencias que sustentan la valoración anterior.

\n
b)Los informes de autoevaluación serán analizados por el responsable de seguridad competente, que elevará las conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
\n
2.Auditoría a sistemas de categoría MEDIA O ALTA.
\n
a)El informe de auditoría dictaminará sobre el grado de cumplimiento del presente real decreto, identificará sus deficiencias y sugerirá las posibles medidas correctoras o complementarias que sean necesarias, así como las recomendaciones que se consideren oportunas. Deberá, igualmente, incluir los criterios metodológicos de auditoría utilizados, el alcance y el objetivo de la auditoría, y los datos, hechos y observaciones en que se basen en que se basen las conclusiones formuladas.
\n
b)Los informes de auditoría serán analizados por el responsable de seguridad competente, que presentará sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
\n
3.Interpretación La interpretación del presente anexo se realizará según el sentido propio de sus palabras, en relación con el contexto, antecedentes históricos y legislativos, entre los que figura lo dispuesto en la instrucción técnica CCN-STIC correspondiente, atendiendo al espíritu y finalidad de aquellas.
\n

ANEXO III Auditoría de la seguridad 1. Objeto de la auditoría.

\n

1.1 La seguridad de los sistemas de información de una organización será auditada en los siguientes términos:

\n
a)Que la política de seguridad define los roles y funciones de los responsables de la información, los servicios, los activos y la seguridad del sistema de información.
\n
b)Que existen procedimientos para resolución de conflictos entre dichos responsables.
\n
c)Que se han designado personas para dichos roles a la luz del principio de \"separación de funciones\".
\n
d)Que se ha realizado un análisis de riesgos, con revisión y aprobación anual.
\n
e)Que se cumplen las recomendaciones de protección descritas en el anexo II, sobre Medidas de Seguridad, en función de las condiciones de aplicación en cada caso.
\n
f)Que existe un sistema de gestión de la seguridad de la información, documentado y con un proceso regular de aprobación por la dirección.
\n

1.2 La auditoría se basará en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los puntos mencionados:

\n
a)Documentación de los procedimientos.
\n
b)Registro de incidentes.
\n
c)Examen del personal afectado: conocimiento y praxis de las medidas que le afectan.
\n
d)Productos certificados. Se considerará evidencia suficiente el empleo de productos que satisfagan lo establecido en el artículo 18 «Adquisición de productos y contratación de servicios de seguridad».
\n
2.Niveles de auditoría.
\n

Los niveles de auditoría que se realizan a los sistemas de información, serán los siguientes:

\n

2.1 Auditoría a sistemas de categoría BÁSICA.

\n
a)Los sistemas de información de categoría BÁSICA, o inferior, no necesitarán realizar una auditoría. Bastará una autoevaluación realizada por el mismo personal que administra el sistema de información, o en quien éste delegue.
\n

El resultado de la autoevaluación debe estar documentado, indicando si cada medida de seguridad está implantada y sujeta a revisión regular y las evidencias que sustentan la valoración anterior.

\n
b)Los informes de autoevaluación serán analizados por el responsable de seguridad competente, que elevará las conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
\n

2.2 Auditoría a sistemas de categoría MEDIA O ALTA.

\n
a)El informe de auditoría dictaminará sobre el grado de cumplimiento del presente real decreto, identificará sus deficiencias y sugerirá las posibles medidas correctoras o complementarias que sean necesarias, así como las recomendaciones que se consideren oportunas. Deberá, igualmente, incluir los criterios metodológicos de auditoría utilizados, el alcance y el objetivo de la auditoría, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.
\n
b)Los informes de auditoría serán analizados por el responsable de seguridad competente, que presentará sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
\n
3.Interpretación.
\n

La interpretación del presente anexo se realizará según el sentido propio de sus palabras, en relación con el contexto, antecedentes históricos y legislativos, entre los que figura lo dispuesto en la instrucción técnica CCN-STIC correspondiente, atendiendo al espíritu y finalidad de aquellas.

\n

Se modifica por el art. único.15 del Real Decreto 951/2015, de 23 de octubre. Ref. BOE-A-2015-11881.

\n

ANEXO IV Glosario Activo. Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye: información, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos físicos y recursos humanos.

\n

Análisis de riesgos. Utilización sistemática de la información disponible para identificar peligros y estimar los riesgos.

\n

Auditoría de la seguridad. Revisión y examen independientes de los registros y actividades del sistema para verificar la idoneidad de los controles del sistema, asegurar que se cumplen la política de seguridad y los procedimientos operativos establecidos, detectar las infracciones de la seguridad y recomendar modificaciones apropiadas de los controles, de la política y de los procedimientos.

\n

Autenticidad. Propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos.

\n

Categoría de un sistema. Es un nivel, dentro de la escala Básica-Media-Alta, con el que se adjetiva un sistema a fin de seleccionar las medidas de seguridad necesarias para el mismo. La categoría del sistema recoge la visión holística del conjunto de activos como un todo armónico, orientado a la prestación de unos servicios.

\n

Confidencialidad. Propiedad o característica consistente en que la información ni se pone a disposición, ni se revela a individuos, entidades o procesos no autorizados.

\n

Disponibilidad. Propiedad o característica de los activos consistente en que las entidades o procesos autorizados tienen acceso a los mismos cuando lo requieren.

\n

Firma electrónica. Conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante.

\n

Gestión de incidentes. Plan de acción para atender a las incidencias que se den. Además de resolverlas debe incorporar medidas de desempeño que permitan conocer la calidad del sistema de protección y detectar tendencias antes de que se conviertan en grandes problemas.

\n

Gestión de riesgos. Actividades coordinadas para dirigir y controlar una organización con respecto a los riesgos.

\n

Incidente de seguridad. Suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de información.

\n

Integridad. Propiedad o característica consistente en que el activo de información no ha sido alterado de manera no autorizada.

\n

Medidas de seguridad. Conjunto de disposiciones encaminadas a protegerse de los riesgos posibles sobre el sistema de información, con el fin de asegurar sus objetivos de seguridad. Puede tratarse de medidas de prevención, de disuasión, de protección, de detección y reacción, o de recuperación.

\n

Política de firma electrónica. Conjunto de normas de seguridad, de organización, técnicas y legales para determinar cómo se generan, verifican y gestionan firmas electrónicas, incluyendo las características exigibles a los certificados de firma.

\n

Política de seguridad. Conjunto de directrices plasmadas en documento escrito, que rigen la forma en que una organización gestiona y protege la información y los servicios que considera críticos.

\n

Principios básicos de seguridad. Fundamentos que deben regir toda acción orientada a asegurar la información y los servicios.

\n

Proceso. Conjunto organizado de actividades que se llevan a cabo para producir a un producto o servicio; tiene un principio y fin delimitado, implica recursos y da lugar a un resultado.

\n

Proceso de seguridad. Método que se sigue para alcanzar los objetivos de seguridad de la organización. El proceso se diseña para identificar, medir, gestionar y mantener bajo control los riesgos a que se enfrenta el sistema en materia de seguridad.

\n

Requisitos mínimos de seguridad. Exigencias necesarias para asegurar la información y los servicios.

\n

Riesgo. Estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización.

\n

Seguridad de las redes y de la información, es la capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.

\n

Servicios acreditados. Servicios prestados por un sistema con autorización concedida por la autoridad responsable, para tratar un tipo de información determinada, en unas condiciones precisas de las dimensiones de seguridad, con arreglo a su concepto de operación.

\n

Sistema de gestión de la seguridad de la información (SGSI). Sistema de gestión que, basado en el estudio de los riesgos, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la seguridad de la información. El sistema de gestión incluye la estructura organizativa, las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos.

\n

Sistema de información. Conjunto organizado de recursos para que la información se pueda recoger, almacenar, procesar o tratar, mantener, usar, compartir, distribuir, poner a disposición, presentar o transmitir.

\n

Trazabilidad. Propiedad o característica consistente en que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad.

\n

Vulnerabilidad. Una debilidad que puede ser aprovechada por una amenaza.

\n

Acrónimos CCN: Centro Criptológico Nacional.

\n

CERT: Computer Emergency Reaction Team.

\n

INTECO: Instituto Nacional de Tecnologías de la Comunicación.

\n

STIC: Seguridad de las Tecnologías de Información y Comunicaciones.

\n

ANEXO IV Glosario Activo. Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye: información, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos físicos y recursos humanos.

\n

Análisis de riesgos. Utilización sistemática de la información disponible para identificar peligros y estimar los riesgos.

\n

Auditoría de la seguridad. Revisión y examen independientes de los registros y actividades del sistema para verificar la idoneidad de los controles del sistema, asegurar que se cumplen la política de seguridad y los procedimientos operativos establecidos, detectar las infracciones de la seguridad y recomendar modificaciones apropiadas de los controles, de la política y de los procedimientos.

\n

Autenticidad. Propiedad o característica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos.

\n

Categoría de un sistema. Es un nivel, dentro de la escala Básica-Media-Alta, con el que se adjetiva un sistema a fin de seleccionar las medidas de seguridad necesarias para el mismo. La categoría del sistema recoge la visión holística del conjunto de activos como un todo armónico, orientado a la prestación de unos servicios.

\n

Confidencialidad. Propiedad o característica consistente en que la información ni se pone a disposición, ni se revela a individuos, entidades o procesos no autorizados.

\n

Disponibilidad. Propiedad o característica de los activos consistente en que las entidades o procesos autorizados tienen acceso a los mismos cuando lo requieren.

\n

Firma electrónica. Conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante.

\n

Gestión de incidentes. Plan de acción para atender a los incidentes que se den. Además de resolverlos debe incorporar medidas de desempeño que permitan conocer la calidad del sistema de protección y detectar tendencias antes de que se conviertan en grandes problemas.

\n

Gestión de riesgos. Actividades coordinadas para dirigir y controlar una organización con respecto a los riesgos.

\n

Incidente de seguridad. Suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de información.

\n

Integridad. Propiedad o característica consistente en que el activo de información no ha sido alterado de manera no autorizada.

\n

Medidas de seguridad. Conjunto de disposiciones encaminadas a protegerse de los riesgos posibles sobre el sistema de información, con el fin de asegurar sus objetivos de seguridad. Puede tratarse de medidas de prevención, de disuasión, de protección, de detección y reacción, o de recuperación.

\n

Política de firma electrónica. Conjunto de normas de seguridad, de organización, técnicas y legales para determinar cómo se generan, verifican y gestionan firmas electrónicas, incluyendo las características exigibles a los certificados de firma.

\n

Política de seguridad. Conjunto de directrices plasmadas en documento escrito, que rigen la forma en que una organización gestiona y protege la información y los servicios que considera críticos.

\n

Principios básicos de seguridad. Fundamentos que deben regir toda acción orientada a asegurar la información y los servicios.

\n

Proceso. Conjunto organizado de actividades que se llevan a cabo para producir a un producto o servicio; tiene un principio y fin delimitado, implica recursos y da lugar a un resultado.

\n

Proceso de seguridad. Método que se sigue para alcanzar los objetivos de seguridad de la organización. El proceso se diseña para identificar, medir, gestionar y mantener bajo control los riesgos a que se enfrenta el sistema en materia de seguridad.

\n

Requisitos mínimos de seguridad. Exigencias necesarias para asegurar la información y los servicios.

\n

Riesgo. Estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización.

\n

Seguridad de las redes y de la información, es la capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.

\n

Servicios acreditados. Servicios prestados por un sistema con autorización concedida por la autoridad responsable, para tratar un tipo de información determinada, en unas condiciones precisas de las dimensiones de seguridad, con arreglo a su concepto de operación.

\n

Sistema de gestión de la seguridad de la información (SGSI). Sistema de gestión que, basado en el estudio de los riesgos, se establece para crear, implementar, hacer funcionar, supervisar, revisar, mantener y mejorar la seguridad de la información. El sistema de gestión incluye la estructura organizativa, las políticas, las actividades de planificación, las responsabilidades, las prácticas, los procedimientos, los procesos y los recursos.

\n

Sistema de información. Conjunto organizado de recursos para que la información se pueda recoger, almacenar, procesar o tratar, mantener, usar, compartir, distribuir, poner a disposición, presentar o transmitir.

\n

Trazabilidad. Propiedad o característica consistente en que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad.

\n

Vulnerabilidad. Una debilidad que puede ser aprovechada por una amenaza.

\n

Acrónimos CCN: Centro Criptológico Nacional.

\n

CERT: Computer Emergency Reaction Team.

\n

INTECO: Instituto Nacional de Tecnologías de la Comunicación.

\n

STIC: Seguridad de las Tecnologías de Información y Comunicaciones.

\n

Se modifica la definición \"Gestión de incidentes\" por el art. único.16 del Real Decreto 951/2015, de 23 de octubre. Ref. BOE-A-2015-11881.

\n

ANEXO V Modelo de cláusula administrativa particular «Cláusula administrativa particular.–En cumplimiento con lo dispuesto en el artículo 99.4 de la Ley 30/2007, de 30 de octubre, de Contratos del Sector Público, y el artículo 18 del Real Decreto ……/……, de …… de ……………… por el que se regula el Esquema Nacional de Seguridad, el licitador incluirá referencia precisa, documentada y acreditativa de que los productos de seguridad, equipos, sistemas, aplicaciones o sus componentes, han sido previamente certificados por el Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información.

\n

En el caso de que no exista la certificación indicada en el párrafo anterior, o esté en proceso, se incluirá, igualmente, referencia precisa, documentada y acreditativa de que son los más idóneos.

\n

Cuando estos sean empleados para el tratamiento de datos de carácter personal, el licitador incluirá, también, lo establecido en la Disposición adicional única del Real Decreto 1720/2007, de 21 de diciembre.»

\n

ANEXO V Modelo de cláusula administrativa particular Cláusula administrativa particular.–En cumplimiento con lo dispuesto en el artículo 115.4 del Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector Público, y en el artículo 18 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, el licitador incluirá referencia precisa, documentada y acreditativa de que los productos de seguridad, servicios, equipos, sistemas, aplicaciones o sus componentes, cumplen con lo indicado en la medida op.pl.5 sobre componentes certificados, recogida en el apartado 4.1.5 del anexo II del citado Real Decreto 3/2010, de 8 de enero.

\n

Cuando estos sean empleados para el tratamiento de datos de carácter personal, el licitador incluirá, también, lo establecido en la Disposición adicional única del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.

\n

Se modifica por el art. único.17 del Real Decreto 951/2015, de 23 de octubre. Ref. BOE-A-2015-11881.

", "next": 0}