• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 鷑ico 燤odificaci髇 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 electr髇ica
• DISPOSICIONES TRANSITORIAS
  • Disposici髇 transitoria 鷑ica 燗decuaci髇 de sistemas
• DISPOSICIONES FINALES
  • Disposici髇 final 鷑ica 燛ntrada en vigor

Art韈ulo 鷑ico Modificaci髇 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 electr髇ica

El Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica queda modificado en el siguiente sentido:

• Uno. El apartado 1 del art韈ulo 11 queda redactado como sigue:

  玊odos los 髍ganos superiores de las Administraciones p鷅licas deber醤 disponer formalmente de su pol韙ica de seguridad que articule la gesti髇 continuada de la seguridad, que ser� aprobada por el titular del 髍gano superior correspondiente. Esta pol韙ica de seguridad, se establecer� de acuerdo con los principios b醩icos indicados y se desarrollar� aplicando los siguientes requisitos m韓imos:

  • a) Organizaci髇 e implantaci髇 del proceso de seguridad.
  • b) An醠isis y gesti髇 de los riesgos.
  • c) Gesti髇 de personal.
  • d) Profesionalidad.
  • e) Autorizaci髇 y control de los accesos.
  • f) Protecci髇 de las instalaciones.
  • g) Adquisici髇 de productos.
  • h) Seguridad por defecto.
  • i) Integridad y actualizaci髇 del sistema.
  • j) Protecci髇 de la informaci髇 almacenada y en tr醤sito.
  • k) Prevenci髇 ante otros sistemas de informaci髇 interconectados.
  • l) Registro de actividad.
  • m) Incidentes de seguridad.
  • n) Continuidad de la actividad.
  • o) Mejora continua del proceso de seguridad.�
  
• Dos. El apartado 3 del art韈ulo 15 queda redactado como sigue:

  �3. Las Administraciones p鷅licas exigir醤, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles id髇eos de gesti髇 y madurez en los servicios prestados.�

  
• Tres. Se modifica el art韈ulo 18, cuyo t韙ulo pasa a ser 獳dquisici髇 de productos de seguridad y contrataci髇 de servicios de seguridad� y sus apartados 1 y 4 quedan redactados como sigue:

  �1. En la adquisici髇 de productos de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones que vayan a ser empleados por las Administraciones p鷅licas se utilizar醤, de forma proporcionada a la categor韆 del sistema y nivel de seguridad determinados, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisici髇, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.�

  �4. Para la contrataci髇 de servicios de seguridad se estar� a lo dispuesto en los apartados anteriores y en el art韈ulo 15.�

  
• Cuatro. El apartado a) del art韈ulo 19 queda redactado como sigue:
  • 玜) El sistema proporcionar� la m韓ima funcionalidad requerida para que la organizaci髇 alcance sus objetivos.�
  
• Cinco. El apartado 2 del art韈ulo 24 queda redactado como sigue:

  �2. Se dispondr� de procedimientos de gesti髇 de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de informaci髇. Estos procedimientos cubrir醤 los mecanismos de detecci髇, los criterios de clasificaci髇, los procedimientos de an醠isis y resoluci髇, as� como los cauces de comunicaci髇 a las partes interesadas y el registro de las actuaciones. Este registro se emplear� para la mejora continua de la seguridad del sistema.�

  
• Seis. Se a馻den dos nuevos apartados 4 y 5 al art韈ulo 27 redactados como sigue:

  �4. La relaci髇 de medidas seleccionadas del Anexo II se formalizar� en un documento denominado Declaraci髇 de Aplicabilidad, firmado por el responsable de seguridad.

  5. Las medidas de seguridad referenciadas en el Anexo II podr醤 ser reemplazadas por otras compensatorias siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos (Anexo I) y se satisfacen los principios b醩icos y los requisitos m韓imos previstos en los cap韙ulos II y III del real decreto. Como parte integral de la Declaraci髇 de Aplicabilidad se indicar� de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan y el conjunto ser� objeto de la aprobaci髇 formal por parte del responsable de seguridad.�

  
• Siete. Se modifica el art韈ulo 29, cuyo t韙ulo pasa a ser 獻nstrucciones t閏nicas de seguridad y gu韆s de seguridad� y queda redactado como sigue:

  �1. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptol骻ico Nacional, en el ejercicio de sus competencias, elaborar� y difundir� las correspondientes gu韆s de seguridad de las tecnolog韆s de la informaci髇 y las comunicaciones.

  2. El Ministerio de Hacienda y Administraciones P鷅licas, a propuesta del Comit� Sectorial de Administraci髇 Electr髇ica previsto en el art韈ulo 40 de la Ley 11/2007, de 22 de junio, y a iniciativa del Centro Criptol骻ico Nacional, aprobar� las instrucciones t閏nicas de seguridad de obligado cumplimiento y se publicar醤 mediante resoluci髇 de la Secretar韆 de Estado de Administraciones P鷅licas. Para la redacci髇 y mantenimiento de las instrucciones t閏nicas de seguridad se constituir醤 los correspondientes grupos de trabajo en los 髍ganos colegiados con competencias en materia de administraci髇 electr髇ica.

  3. Las instrucciones t閏nicas de seguridad tendr醤 en cuenta las normas armonizadas a nivel europeo que resulten de aplicaci髇.�

  
• Ocho. El art韈ulo 35 queda redactado como sigue:

  獷l Comit� Sectorial de Administraci髇 Electr髇ica recoger� la informaci髇 relacionada con el estado de las principales variables de la seguridad en los sistemas de informaci髇 a los que se refiere el presente Real Decreto, de forma que permita elaborar un perfil general del estado de la seguridad en las Administraciones p鷅licas.

  El Centro Criptol骻ico Nacional articular� los procedimientos necesarios para la recogida y consolidaci髇 de la informaci髇, as� como los aspectos metodol骻icos para su tratamiento y explotaci髇, a trav閟 de los correspondientes grupos de trabajo que se constituyan al efecto en el Comit� Sectorial de Administraci髇 Electr髇ica y en la Comisi髇 de Estrategia TIC para la Administraci髇 General del Estado.�

  
• Nueve. En el art韈ulo 36 se a馻de un segundo p醨rafo con la siguiente redacci髇:

  獿as Administraciones P鷅licas notificar醤 al Centro Criptol骻ico Nacional aquellos incidentes que tengan un impacto significativo en la seguridad de la informaci髇 manejada y de los servicios prestados en relaci髇 con la categorizaci髇 de sistemas recogida en el Anexo I del presente real decreto.�

  
• Diez. En el art韈ulo 37, el apartado 1.a) queda redactado como sigue:
  • 玜) Soporte y coordinaci髇 para el tratamiento de vulnerabilidades y la resoluci髇 de incidentes de seguridad que tengan la Administraci髇 General del Estado, las Administraciones de las comunidades aut髇omas, las entidades que integran la Administraci髇 Local y las Entidades de Derecho p鷅lico con personalidad jur韉ica propia vinculadas o dependientes de cualquiera de las administraciones indicadas.
    
    El CCN-CERT, a trav閟 de su servicio de apoyo t閏nico y de coordinaci髇, actuar� con la m醲ima celeridad ante cualquier agresi髇 recibida en los sistemas de informaci髇 de las Administraciones p鷅licas.
    
    Para el cumplimiento de los fines indicados en los p醨rafos anteriores se podr醤 recabar informes de auditor韆 de los sistemas afectados, registros de auditor韆, configuraciones y cualquier otra informaci髇 que se considere relevante, as� como los soportes inform醫icos que se estimen necesarios para la investigaci髇 del incidente de los sistemas afectados, sin perjuicio de lo dispuesto en la Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de car醕ter personal, y su normativa de desarrollo, as� como de la posible confidencialidad de datos de car醕ter institucional u organizativo.�
  
• Once. Se elimina la disposici髇 adicional segunda 獻nstituto Nacional de Tecnolog韆s de la Comunicaci髇 (INTECO) y organismos an醠ogos�, pasando la disposici髇 adicional tercera a ser la disposici髇 adicional segunda y la disposici髇 adicional cuarta a ser la disposici髇 adicional tercera.
• Doce. Se a馻de una nueva disposici髇 adicional cuarta redactada como sigue:

  獶isposici髇 adicional cuarta Desarrollo del Esquema Nacional de Seguridad

  1. Sin perjuicio de las propuestas que pueda acordar el Comit� Sectorial de Administraci髇 Electr髇ica seg鷑 lo establecido en el art韈ulo 29, apartado 2, se desarrollar醤 las siguientes instrucciones t閏nicas de seguridad que ser醤 de obligado cumplimiento por parte de las Administraciones p鷅licas:

  • a) Informe del estado de la seguridad.
  • b) Notificaci髇 de incidentes de seguridad.
  • c) Auditor韆 de la seguridad.
  • d) Conformidad con el Esquema Nacional de Seguridad.
  • e) Adquisici髇 de productos de seguridad.
  • f) Criptolog韆 de empleo en el Esquema Nacional de Seguridad.
  • g) Interconexi髇 en el Esquema Nacional de Seguridad.
  • h) Requisitos de seguridad en entornos externalizados.

  2. La aprobaci髇 de estas instrucciones se realizar� de acuerdo con el procedimiento establecido en el citado art韈ulo 29 apartados 2 y 3.�

  
• Trece. La tabla del apartado 2.4 del anexo II, queda redactada como sigue:

  

  

  

• Catorce. Se modifican los apartados 3.4, 4.1.2, 4.1.5, 4.2.1, 4.2.5, 4.3.3, 4.3.7, 4.3.8, 4.3.9, 4.3.11, 4.4.2, 4.6.1, 4.6.2, 5.2.3, 5.3.3, 5.4.2, 5.4.3, 5.5.2, 5.5.5, 5.6.1, 5.7.4, 5.7.5, 5.7.7 y 5.8.2 del Anexo II del Real Decreto, en los siguientes t閞minos:

  �3.4 Proceso de autorizaci髇 [org.4].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	aplica	=	=

  Se establecer� un proceso formal de autorizaciones que cubra todos los elementos del sistema de informaci髇:

  • a) Utilizaci髇 de instalaciones, habituales y alternativas.
  • b) Entrada de equipos en producci髇, en particular, equipos que involucren criptograf韆.
  • c) Entrada de aplicaciones en producci髇.
  • d) Establecimiento de enlaces de comunicaciones con otros sistemas.
  • e) Utilizaci髇 de medios de comunicaci髇, habituales y alternativos.
  • f) Utilizaci髇 de soportes de informaci髇.
  • g) Utilizaci髇 de equipos m髒iles. Se entender� por equipos m髒iles ordenadores port醫iles, PDA, u otros de naturaleza an醠oga.
  • h) Utilizaci髇 de servicios de terceros, bajo contrato o Convenio.�

  �4.1.2 Arquitectura de seguridad [op.pl.2].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	aplica	+	+

  La seguridad del sistema ser� objeto de un planteamiento integral detallando, al menos, los siguientes aspectos:

  Categor韆 B罶ICA

  a) Documentaci髇 de las instalaciones:

  • 1. 羠eas.
  • 2. Puntos de acceso.

  b) Documentaci髇 del sistema:

  • 1. Equipos.
  • 2. Redes internas y conexiones al exterior.
  • 3. Puntos de acceso al sistema (puestos de trabajo y consolas de administraci髇).

  c) Esquema de l韓eas de defensa:

  • 1. Puntos de interconexi髇 a otros sistemas o a otras redes, en especial si se trata de Internet o redes p鷅licas en general.
  • 2. Cortafuegos, DMZ, etc.
  • 3. Utilizaci髇 de tecnolog韆s diferentes para prevenir vulnerabilidades que pudieran perforar simult醤eamente varias l韓eas de defensa.

  d) Sistema de identificaci髇 y autenticaci髇 de usuarios:

  • 1. Uso de claves concertadas, contrase馻s, tarjetas de identificaci髇, biometr韆, u otras de naturaleza an醠oga.
  • 2. Uso de ficheros o directorios para autenticar al usuario y determinar sus derechos de acceso.

  Categor韆 MEDIA

  e) Sistema de gesti髇, relativo a la planificaci髇, organizaci髇 y control de los recursos relativos a la seguridad de la informaci髇.

  Categor韆 ALTA

  f) Sistema de gesti髇 de seguridad de la informaci髇 con actualizaci髇 y aprobaci髇 peri骴ica.

  g) Controles t閏nicos internos:

  • 1. Validaci髇 de datos de entrada, salida y datos intermedios.�

  �4.1.5 Componentes certificados [op.pl.5].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	no aplica	no aplica	aplica

  Categor韆 ALTA

  Se utilizar醤 sistemas, productos o equipos cuyas funcionalidades de seguridad y su nivel hayan sido evaluados conforme a normas europeas o internacionales y cuyos certificados est閚 reconocidos por el Esquema Nacional de Evaluaci髇 y Certificaci髇 de la Seguridad de las Tecnolog韆s de la Informaci髇.

  Tendr醤 la consideraci髇 de normas europeas o internacionales, ISO/IEC 15408 u otras de naturaleza y calidad an醠ogas.

  Una instrucci髇 t閏nica de seguridad detallar� los criterios exigibles.�

  �4.2.1 Identificaci髇 [op.acc.1].

  dimensiones	A T
  nivel	bajo	medio	alto
  �	aplica	=	=

  La identificaci髇 de los usuarios del sistema se realizar� de acuerdo con lo que se indica a continuaci髇:

  • 1. Se podr醤 utilizar como identificador 鷑ico los sistemas de identificaci髇 previstos en la normativa de aplicaci髇.
  • 2. Cuando el usuario tenga diferentes roles frente al sistema (por ejemplo, como ciudadano, como trabajador interno del organismo y como administrador de los sistemas) recibir� identificadores singulares para cada uno de los casos de forma que siempre queden delimitados privilegios y registros de actividad.
  • 3. Cada entidad (usuario o proceso) que accede al sistema, contar� con un identificador singular de tal forma que:
    • a) Se puede saber qui閚 recibe y qu� derechos de acceso recibe.
    • b) Se puede saber qui閚 ha hecho algo y qu� ha hecho.
  • 4. Las cuentas de usuario se gestionar醤 de la siguiente forma:
    • a) Cada cuenta estar� asociada a un identificador 鷑ico.
    • b) Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organizaci髇; cuando el usuario cesa en la funci髇 para la cual se requer韆 la cuenta de usuario; o, cuando la persona que la autoriz�, da orden en sentido contrario.
    • c) Las cuentas se retendr醤 durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominar� periodo de retenci髇.
  • 5. En los supuestos contemplados en el Cap韙ulo IV relativo a "Comunicaciones Electr髇icas", las partes intervinientes se identificar醤 de acuerdo a los mecanismos previstos en la legislaci髇 europea y nacional en la materia, con la siguiente correspondencia entre los niveles de la dimensi髇 de autenticidad de los sistemas de informaci髇 a los que se tiene acceso y los niveles de seguridad (bajo, sustancial, alto) de los sistemas de identificaci髇 electr髇ica previstos en el Reglamento n.^o 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificaci髇 electr髇ica y los servicios de confianza para las transacciones electr髇icas en el mercado interior y por el que se deroga la Directiva 1999/93/CE:
    • – Si se requiere un nivel BAJO en la dimensi髇 de autenticidad (anexo I): Nivel de seguridad bajo, sustancial o alto (art韈ulo 8 del Reglamento n.^o 910/2014)
    • – Si se requiere un nivel MEDIO en la dimensi髇 de autenticidad (anexo I): Nivel de seguridad sustancial o alto (art韈ulo 8 del Reglamento n.^o 910/2014)
    • – Si se requiere un nivel ALTO en la dimensi髇 de autenticidad (anexo I): Nivel de seguridad alto (art韈ulo 8 del Reglamento n.^o 910/2014).�

  �4.2.5 Mecanismo de autenticaci髇 [op.acc.5].

  dimensiones	ICAT
  nivel	bajo	medio	alto
  �	aplica	+	++

  Los mecanismos de autenticaci髇 frente al sistema se adecuar醤 al nivel del sistema atendiendo a las consideraciones que siguen, pudiendo usarse los siguientes factores de autenticaci髇:

  • – "algo que se sabe": contrase馻s o claves concertadas.
  • – "algo que se tiene": componentes l骻icos (tales como certificados software) o dispositivos f韘icos (en expresi髇 inglesa, tokens).
  • – "algo que se es": elementos biom閠ricos.

  Los factores anteriores podr醤 utilizarse de manera aislada o combinarse para generar mecanismos de autenticaci髇 fuerte.

  Las gu韆s CCN-STIC desarrollar醤 los mecanismos concretos adecuados para cada nivel.

  Las instancias del factor o los factores de autenticaci髇 que se utilicen en el sistema, se denominar醤 credenciales.

  Antes de proporcionar las credenciales de autenticaci髇 a los usuarios, estos deber醤 haberse identificado y registrado de manera fidedigna ante el sistema o ante un proveedor de identidad electr髇ica reconocido por la Administraci髇. Se contemplan varias posibilidades de registro de los usuarios:

  • – Mediante la presentaci髇 f韘ica del usuario y verificaci髇 de su identidad acorde a la legalidad vigente, ante un funcionario habilitado para ello.
  • – De forma telem醫ica, mediante DNI electr髇ico o un certificado electr髇ico cualificado.
  • – De forma telem醫ica, utilizando otros sistemas admitidos legalmente para la identificaci髇 de los ciudadanos de los contemplados en la normativa de aplicaci髇.

  Nivel BAJO

  a) Como principio general, se admitir� el uso de cualquier mecanismo de autenticaci髇 sustentado en un solo factor.

  b) En el caso de utilizarse como factor "algo que se sabe", se aplicar醤 reglas b醩icas de calidad de la misma.

  c) Se atender� a la seguridad de las credenciales de forma que:

  • 1. Las credenciales se activar醤 una vez est閚 bajo el control efectivo del usuario.
  • 2. Las credenciales estar醤 bajo el control exclusivo del usuario.
  • 3. El usuario reconocer� que las ha recibido y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, protecci髇 de su confidencialidad e informaci髇 inmediata en caso de p閞dida.
  • 4. Las credenciales se cambiar醤 con una periodicidad marcada por la pol韙ica de la organizaci髇, atendiendo a la categor韆 del sistema al que se accede.
  • 5. Las credenciales se retirar醤 y ser醤 deshabilitadas cuando la entidad (persona, equipo o proceso) que autentican termina su relaci髇 con el sistema.

  Nivel MEDIO

  a) Se exigir� el uso de al menos dos factores de autenticaci髇.

  b) En el caso de utilizaci髇 de "algo que se sabe" como factor de autenticaci髇, se establecer醤 exigencias rigurosas de calidad y renovaci髇.

  c) Las credenciales utilizadas deber醤 haber sido obtenidas tras un registro previo:

  • 1. Presencial.
  • 2. Telem醫ico usando certificado electr髇ico cualificado.
  • 3. Telem醫ico mediante una autenticaci髇 con una credencial electr髇ica obtenida tras un registro previo presencial o telem醫ico usando certificado electr髇ico cualificado en dispositivo cualificado de creaci髇 de firma.

  Nivel ALTO

  a) Las credenciales se suspender醤 tras un periodo definido de no utilizaci髇.

  b) En el caso del uso de utilizaci髇 de "algo que se tiene", se requerir� el uso de elementos criptogr醘icos hardware usando algoritmos y par醡etros acreditados por el Centro Criptol骻ico Nacional.

  c) Las credenciales utilizadas deber醤 haber sido obtenidas tras un registro previo presencial o telem醫ico usando certificado electr髇ico cualificado en dispositivo cualificado de creaci髇 de firma.�

  �4.3.3 Gesti髇 de la configuraci髇 [op.exp.3].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	no aplica	aplica	=

  Categor韆 MEDIA

  Se gestionar� de forma continua la configuraci髇 de los componentes del sistema de forma que:

  • a) Se mantenga en todo momento la regla de "funcionalidad m韓ima" ([op.exp.2]).
  • b) Se mantenga en todo momento la regla de "seguridad por defecto" ([op.exp.2]).
  • c) El sistema se adapte a las nuevas necesidades, previamente autorizadas ([op.acc.4]).
  • d) El sistema reaccione a vulnerabilidades reportadas ([op.exp.4]).
  • e) El sistema reaccione a incidentes (ver [op.exp.7]).�

  �4.3.7 Gesti髇 de incidentes [op.exp.7].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	no aplica	aplica	=

  Categor韆 MEDIA

  Se dispondr� de un proceso integral para hacer frente a los incidentes que puedan tener un impacto en la seguridad del sistema, incluyendo:

  • a) Procedimiento de reporte de eventos de seguridad y debilidades, detallando los criterios de clasificaci髇 y el escalado de la notificaci髇.
  • b) Procedimiento de toma de medidas urgentes, incluyendo la detenci髇 de servicios, el aislamiento del sistema afectado, la recogida de evidencias y protecci髇 de los registros, seg鷑 convenga al caso.
  • c) Procedimiento de asignaci髇 de recursos para investigar las causas, analizar las consecuencias y resolver el incidente.
  • d) Procedimientos para informar a las partes interesadas, internas y externas.
  • e) Procedimientos para:
    • 1. Prevenir que se repita el incidente.
    • 2. Incluir en los procedimientos de usuario la identificaci髇 y forma de tratar el incidente.
    • 3. Actualizar, extender, mejorar u optimizar los procedimientos de resoluci髇 de incidentes.

  La gesti髇 de incidentes que afecten a datos de car醕ter personal tendr� en cuenta lo dispuesto en la Ley Org醤ica 15/1999, de 13 de diciembre, y normas de desarrollo, sin perjuicio de cumplir, adem醩, las medidas establecidas por este real decreto.�

  �4.3.8 Registro de la actividad de los usuarios [op.exp.8].

  dimensiones	T
  nivel	bajo	medio	alto
  �	aplica	+	++

  Se registrar醤 las actividades de los usuarios en el sistema, de forma que:

  • a) El registro indicar� qui閚 realiza la actividad, cu醤do la realiza y sobre qu� informaci髇.
  • b) Se incluir� la actividad de los usuarios y, especialmente, la de los operadores y administradores en cuanto puedan acceder a la configuraci髇 y actuar en el mantenimiento del sistema.
  • c) Deber醤 registrarse las actividades realizadas con 閤ito y los intentos fracasados.
  • d) La determinaci髇 de qu� actividades deben registrarse y con qu� niveles de detalle se adoptar� a la vista del an醠isis de riesgos realizado sobre el sistema ([op.pl.1]).

  Nivel BAJO

  Se activar醤 los registros de actividad en los servidores.

  Nivel MEDIO

  Se revisar醤 informalmente los registros de actividad buscando patrones anormales.

  Nivel ALTO

  Se dispondr� de un sistema autom醫ico de recolecci髇 de registros y correlaci髇 de eventos; es decir, una consola de seguridad centralizada.�

  �4.3.9 Registro de la gesti髇 de incidentes [op.exp.9].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	no aplica	aplica	=

  Categor韆 MEDIA

  Se registrar醤 todas las actuaciones relacionadas con la gesti髇 de incidentes, de forma que:

  • a) Se registrar� el reporte inicial, las actuaciones de emergencia y las modificaciones del sistema derivadas del incidente.
  • b) Se registrar� aquella evidencia que pueda, posteriormente, sustentar una demanda judicial, o hacer frente a ella, cuando el incidente pueda llevar a actuaciones disciplinarias sobre el personal interno, sobre proveedores externos o a la persecuci髇 de delitos. En la determinaci髇 de la composici髇 y detalle de estas evidencias, se recurrir� a asesoramiento legal especializado.
  • c) Como consecuencia del an醠isis de los incidentes, se revisar� la determinaci髇 de los eventos auditables.�

  �4.3.11 Protecci髇 de claves criptogr醘icas [op.exp.11].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	aplica	+	=

  Las claves criptogr醘icas se proteger醤 durante todo su ciclo de vida: (1) generaci髇, (2) transporte al punto de explotaci髇, (3) custodia durante la explotaci髇, (4) archivo posterior a su retirada de explotaci髇 activa y (5) destrucci髇 final.

  Categor韆 B罶ICA

  a) Los medios de generaci髇 estar醤 aislados de los medios de explotaci髇.

  b) Las claves retiradas de operaci髇 que deban ser archivadas, lo ser醤 en medios aislados de los de explotaci髇.

  Categor韆 MEDIA

  a) Se usar醤 programas evaluados o dispositivos criptogr醘icos certificados conforme a lo establecido en [op.pl.5].

  b) Se emplear醤 algoritmos acreditados por el Centro Criptol骻ico Nacional.�

  �4.4.2 Gesti髇 diaria [op.ext.2].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	no aplica	aplica	=

  Categor韆 MEDIA

  Para la gesti髇 diaria del sistema, se establecer醤 los siguientes puntos:

  • a) Un sistema rutinario para medir el cumplimiento de las obligaciones de servicio y el procedimiento para neutralizar cualquier desviaci髇 fuera del margen de tolerancia acordado ([op.ext.1]).
  • b) El mecanismo y los procedimientos de coordinaci髇 para llevar a cabo las tareas de mantenimiento de los sistemas afectados por el acuerdo.
  • c) El mecanismo y los procedimientos de coordinaci髇 en caso de incidentes y desastres (ver [op.exp.7]).�

  �4.6.1 Detecci髇 de intrusi髇 [op.mon.1].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	no aplica	aplica	=

  Categor韆 MEDIA

  Se dispondr醤 de herramientas de detecci髇 o de prevenci髇 de intrusi髇.�

  �4.6.2 Sistema de m閠ricas [op.mon.2].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	aplica	+	++

  Categor韆 B罶ICA:

  Se recopilar醤 los datos necesarios atendiendo a la categor韆 del sistema para conocer el grado de implantaci髇 de las medidas de seguridad que apliquen de las detalladas en el Anexo II y, en su caso, para proveer el informe anual requerido por el art韈ulo 35.

  Categor韆 MEDIA:

  Adem醩, se recopilaran datos para valorar el sistema de gesti髇 de incidentes, permitiendo conocer

  • – N鷐ero de incidentes de seguridad tratados.
  • – Tiempo empleado para cerrar el 50% de los incidentes.
  • – Tiempo empleado para cerrar el 90% de las incidentes.

  Categor韆 ALTA

  Se recopilar醤 datos para conocer la eficiencia del sistema de seguridad TIC:

  • – Recursos consumidos: horas y presupuesto.�

  �5.2.3 Concienciaci髇 [mp.per.3].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	aplica	=	=

  Se realizar醤 las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos.

  En particular, se recordar� regularmente:

  • a) La normativa de seguridad relativa al buen uso de los sistemas.
  • b) La identificaci髇 de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado.
  • c) El procedimiento de reporte de incidentes de seguridad, sean reales o falsas alarmas.�

  �5.3.3 Protecci髇 de port醫iles [mp.eq.3].

  dimensiones	Todas
  categor韆	b醩ica	media	alta
  �	aplica	=	+

  Categor韆 B罶ICA

  Los equipos que sean susceptibles de salir de las instalaciones de la organizaci髇 y no puedan beneficiarse de la protecci髇 f韘ica correspondiente, con un riesgo manifiesto de p閞dida o robo, ser醤 protegidos adecuadamente.

  Sin perjuicio de las medidas generales que les afecten, se adoptar醤 las siguientes:

  • a) Se llevar� un inventario de equipos port醫iles junto con una identificaci髇 de la persona responsable del mismo y un control regular de que est� positivamente bajo su control.
  • b) Se establecer� un canal de comunicaci髇 para informar, al servicio de gesti髇 de incidentes, de p閞didas o sustracciones.
  • c) Cuando un equipo port醫il se conecte remotamente a trav閟 de redes que no est醤 bajo el estricto control de la organizaci髇, el 醡bito de operaci髇 del servidor limitar� la informaci髇 y los servicios accesibles a los m韓imos imprescindibles, requiriendo autorizaci髇 previa de los responsables de la informaci髇 y los servicios afectados. Este punto es de aplicaci髇 a conexiones a trav閟 de Internet y otras redes que no sean de confianza.
  • d) Se evitar�, en la medida de lo posible, que el equipo contenga claves de acceso remoto a la organizaci髇. Se considerar醤 claves de acceso remoto aquellas que sean capaces de habilitar un acceso a otros equipos de la organizaci髇, u otras de naturaleza an醠oga.

  Categor韆 ALTA

  a) Se dotar� al dispositivo de detectores de violaci髇 que permitan saber el equipo ha sido manipulado y activen los procedimientos previstos de gesti髇 del incidente.

  b) La informaci髇 de nivel alto almacenada en el disco se proteger� mediante cifrado.�

  �5.4.2 Protecci髇 de la confidencialidad [mp.com.2].

  dimensiones	C
  nivel	bajo	medio	alto
  �	no aplica	aplica	+

  Nivel MEDIO

  a) Se emplear醤 redes privadas virtuales cuando la comunicaci髇 discurra por redes fuera del propio dominio de seguridad.

  b) Se emplear醤 algoritmos acreditados por el Centro Criptol骻ico Nacional.

  Nivel ALTO

  a) Se emplear醤, preferentemente, dispositivos hardware en el establecimiento y utilizaci髇 de la red privada virtual.

  b) Se emplear醤 productos certificados conforme a lo establecido en [op.pl.5].�

  �5.4.3 Protecci髇 de la autenticidad y de la integridad [mp.com.3].

  dimensiones	I A
  nivel	bajo	medio	alto
  �	aplica	+	++

  Nivel BAJO

  a) Se asegurar� la autenticidad del otro extremo de un canal de comunicaci髇 antes de intercambiar informaci髇 (ver [op.acc.5]).

  b) Se prevendr醤 ataques activos, garantizando que al menos ser醤 detectados. y se activar醤 los procedimientos previstos de tratamiento del incidente Se considerar醤 ataques activos:

  • 1. La alteraci髇 de la informaci髇 en tr醤sito.
  • 2. La inyecci髇 de informaci髇 espuria.
  • 3. El secuestro de la sesi髇 por una tercera parte.

  c) Se aceptar� cualquier mecanismo de autenticaci髇 de los previstos en normativa de aplicaci髇.

  Nivel MEDIO

  a) Se emplear醤 redes privadas virtuales cuando la comunicaci髇 discurra por redes fuera del propio dominio de seguridad.

  b) Se emplear醤 algoritmos acreditados por el Centro Criptol骻ico Nacional.

  c) Se aceptar� cualquier mecanismo de autenticaci髇 de los previstos en la normativa de aplicaci髇. En caso de uso de claves concertadas se aplicar醤 exigencias medias en cuanto a su calidad frente a ataques de adivinaci髇, diccionario o fuerza bruta.

  Nivel ALTO

  a) Se valorar� positivamente el empleo de dispositivos hardware en el establecimiento y utilizaci髇 de la red privada virtual.

  b) Se emplear醤 productos certificados conforme a lo establecido en [op.pl.5].

  c) Se aceptar� cualquier mecanismo de autenticaci髇 de los previstos en normativa de aplicaci髇. En caso de uso de claves concertadas se aplicar醤 exigencias altas en cuanto a su calidad frente a ataques de adivinaci髇, diccionario o fuerza bruta.�

  �5.5.2 Criptograf韆 [mp.si.2].

  dimensiones	I C
  nivel	bajo	medio	alto
  �	no aplica	aplica	+

  Esta medida se aplica, en particular, a todos los dispositivos removibles. Se entender醤 por dispositivos removibles, los CD, DVD, discos USB, u otros de naturaleza an醠oga.

  Nivel MEDIO

  Se aplicar醤 mecanismos criptogr醘icos que garanticen la confidencialidad y la integridad de la informaci髇 contenida.

  Nivel ALTO

  a) Se emplear醤 algoritmos acreditados por el Centro Criptol骻ico Nacional.

  b) Se emplear醤 productos certificados conforme a lo establecido en [op.pl.5].�

  �5.5.5 Borrado y destrucci髇 [mp.si.5].

  dimensiones	D
  nivel	bajo	medio	alto
  �	no aplica	+	=

  La medida de borrado y destrucci髇 de soportes de informaci髇 se aplicar� a todo tipo de equipos susceptibles de almacenar informaci髇, incluyendo medios electr髇icos y no electr髇icos.

  Nivel BAJO

  a) Los soportes que vayan a ser reutilizados para otra informaci髇 o liberados a otra organizaci髇 ser醤 objeto de un borrado seguro de su contenido.

  Nivel MEDIO

  b) Se destruir醤 de forma segura los soportes, en los siguientes casos:

  • 1. Cuando la naturaleza del soporte no permita un borrado seguro.
  • 2. Cuando as� lo requiera el procedimiento asociado al tipo de informaci髇 contenida.

  c) Se emplear醤 productos certificados conforme a lo establecido en ([op. pl.5]).�

  �5.6.1 Desarrollo de aplicaciones [mp.sw.1].

  dimensiones	Todas
  categor韆	bajo	medio	alto
  �	no aplica	aplica	=

  Categor韆 MEDIA

  a) El desarrollo de aplicaciones se realizar� sobre un sistema diferente y separado del de producci髇, no debiendo existir herramientas o datos de desarrollo en el entorno de producci髇.

  b) Se aplicar� una metodolog韆 de desarrollo reconocida que:

  • 1.� Tome en consideraci髇 los aspectos de seguridad a lo largo de todo el ciclo de vida.
  • 2.� Trate espec韋icamente los datos usados en pruebas.
  • 3.� Permita la inspecci髇 del c骴igo fuente.
  • 4.� Incluya normas de programaci髇 segura.

  c) Los siguientes elementos ser醤 parte integral del dise駉 del sistema:

  • 1.� Los mecanismos de identificaci髇 y autenticaci髇.
  • 2.� Los mecanismos de protecci髇 de la informaci髇 tratada.
  • 3.� La generaci髇 y tratamiento de pistas de auditor韆.

  d) Las pruebas anteriores a la implantaci髇 o modificaci髇 de los sistemas de informaci髇 no se realizar醤 con datos reales, salvo que se asegure el nivel de seguridad correspondiente.�

  �5.7.4 Firma electr髇ica [mp.info.4].

  dimensiones	I A
  nivel	bajo	medio	alto
  �	aplica	+	++

  Se emplear� la firma electr髇ica como un instrumento capaz de permitir la comprobaci髇 de la autenticidad de la procedencia y la integridad de la informaci髇 ofreciendo las bases para evitar el repudio.

  La integridad y la autenticidad de los documentos se garantizar醤 por medio de firmas electr髇icas con los condicionantes que se describen a continuaci髇, proporcionados a los niveles de seguridad requeridos por el sistema.

  En el caso de que se utilicen otros mecanismos de firma electr髇ica sujetos a derecho, el sistema debe incorporar medidas compensatorias suficientes que ofrezcan garant韆s equivalentes o superiores en lo relativo a prevenci髇 del repudio, usando el procedimiento previsto en el punto 5 del art韈ulo 27.

  Nivel BAJO

  Se emplear� cualquier tipo de firma electr髇ica de los previstos en la legislaci髇 vigente.

  Nivel MEDIO

  a) Cuando se empleen sistemas de firma electr髇ica avanzada basados en certificados, estos ser醤 cualificados.

  b) Se emplear醤 algoritmos y par醡etros acreditados por el Centro Criptol骻ico Nacional.

  c) Se garantizar� la verificaci髇 y validaci髇 de la firma electr髇ica durante el tiempo requerido por la actividad administrativa que aqu閘la soporte, sin perjuicio de que se pueda ampliar este per韔do de acuerdo con lo que establezca la Pol韙ica de Firma Electr髇ica y de Certificados que sea de aplicaci髇. Para tal fin:

  d) Se adjuntar� a la firma, o se referenciar�, toda la informaci髇 pertinente para su verificaci髇 y validaci髇:

  • 1. Certificados.
  • 2. Datos de verificaci髇 y validaci髇.

  e) El organismo que recabe documentos firmados por el administrado verificar� y validar� la firma recibida en el momento de la recepci髇, anexando o referenciando sin ambig黣dad la informaci髇 descrita en los ep韌rafes 1 y 2 del apartado d).

  f) La firma electr髇ica de documentos por parte de la Administraci髇 anexar� o referenciar� sin ambig黣dad la informaci髇 descrita en los ep韌rafes 1 y 2.

  Nivel ALTO

  • 1. Se usar� firma electr髇ica cualificada, incorporando certificados cualificados y dispositivos cualificados de creaci髇 de firma.
  • 2. Se emplear醤 productos certificados conforme a lo establecido en [op.pl.5].�

  �5.7.5 Sellos de tiempo [mp.info.5].

  dimensiones	T
  nivel	bajo	medio	alto
  �	no aplica	no aplica	aplica

  Nivel ALTO

  Los sellos de tiempo prevendr醤 la posibilidad del repudio posterior:

  • 1. Los sellos de tiempo se aplicar醤 a aquella informaci髇 que sea susceptible de ser utilizada como evidencia electr髇ica en el futuro.
  • 2. Los datos pertinentes para la verificaci髇 posterior de la fecha ser醤 tratados con la misma seguridad que la informaci髇 fechada a efectos de disponibilidad, integridad y confidencialidad.
  • 3. Se renovar醤 regularmente los sellos de tiempo hasta que la informaci髇 protegida ya no sea requerida por el proceso administrativo al que da soporte.
  • 4. Se utilizar醤 productos certificados (seg鷑 [op.pl.5]) o servicios externos admitidos (v閍se [op.exp.10]).
  • 5. Se emplear醤 "sellos cualificados de tiempo electr髇icos" acordes con la normativa europea en la materia.�

  �5.7.7 Copias de seguridad (backup) [mp.info.9].

  dimensiones	D
  nivel	bajo	medio	alto
  �	aplica	=	=

  Se realizar醤 copias de seguridad que permitan recuperar datos perdidos, accidental o intencionadamente con una antig黣dad determinada.

  Estas copias poseer醤 el mismo nivel de seguridad que los datos originales en lo que se refiere a integridad, confidencialidad, autenticidad y trazabilidad. En particular, se considerar� la conveniencia o necesidad, seg鷑 proceda, de que las copias de seguridad est閚 cifradas para garantizar la confidencialidad.

  Las copias de seguridad deber醤 abarcar:

  • g) Informaci髇 de trabajo de la organizaci髇.
  • h) Aplicaciones en explotaci髇, incluyendo los sistemas operativos.
  • i) Datos de configuraci髇, servicios, aplicaciones, equipos, u otros de naturaleza an醠oga.
  • j) Claves utilizadas para preservar la confidencialidad de la informaci髇.�

  �5.8.2 Protecci髇 de servicios y aplicaciones web [mp.s.2].

  dimensiones	Todas
  nivel	b醩ica	media	alta
  �	aplica	=	+

  Los subsistemas dedicados a la publicaci髇 de informaci髇 deber醤 ser protegidos frente a las amenazas que les son propias.

  a) Cuando la informaci髇 tenga alg鷑 tipo de control de acceso, se garantizar� la imposibilidad de acceder a la informaci髇 obviando la autenticaci髇, en particular tomando medidas en los siguientes aspectos:

  • 1.� Se evitar� que el servidor ofrezca acceso a los documentos por v韆s alternativas al protocolo determinado.
  • 2.� Se prevendr醤 ataques de manipulaci髇 de URL.
  • 3.� Se prevendr醤 ataques de manipulaci髇 de fragmentos de informaci髇 que se almacena en el disco duro del visitante de una p醙ina web a trav閟 de su navegador, a petici髇 del servidor de la p醙ina, conocido en terminolog韆 inglesa como "cookies".
  • 4.� Se prevendr醤 ataques de inyecci髇 de c骴igo.

  b) Se prevendr醤 intentos de escalado de privilegios.

  c) Se prevendr醤 ataques de "cross site scripting".

  d) Se prevendr醤 ataques de manipulaci髇 de programas o dispositivos que realizan una acci髇 en representaci髇 de otros, conocidos en terminolog韆 inglesa como "proxies" y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminolog韆 inglesa como "cach閟".

  Nivel BAJO

  Se emplear醤 "certificados de autenticaci髇 de sitio web" acordes a la normativa europea en la materia.

  Nivel ALTO

  Se emplear醤 "certificados cualificados de autenticaci髇 del sitio web" acordes a la normativa europea en la materia.�

• Quince. El anexo III titulado 獳uditor韆 de la seguridad�, queda redactado como sigue:

  �1. Objeto de la auditor韆.

  1.1 La seguridad de los sistemas de informaci髇 de una organizaci髇 ser� auditada en los siguientes t閞minos:

  • a) Que la pol韙ica de seguridad define los roles y funciones de los responsables de la informaci髇, los servicios, los activos y la seguridad del sistema de informaci髇.
  • b) Que existen procedimientos para resoluci髇 de conflictos entre dichos responsables.
  • c) Que se han designado personas para dichos roles a la luz del principio de "separaci髇 de funciones".
  • d) Que se ha realizado un an醠isis de riesgos, con revisi髇 y aprobaci髇 anual.
  • e) Que se cumplen las recomendaciones de protecci髇 descritas en el anexo II, sobre Medidas de Seguridad, en funci髇 de las condiciones de aplicaci髇 en cada caso.
  • f) Que existe un sistema de gesti髇 de la seguridad de la informaci髇, documentado y con un proceso regular de aprobaci髇 por la direcci髇.

  1.2 La auditor韆 se basar� en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los puntos mencionados:

  • a) Documentaci髇 de los procedimientos.
  • b) Registro de incidentes.
  • c) Examen del personal afectado: conocimiento y praxis de las medidas que le afectan.
  • d) Productos certificados. Se considerar� evidencia suficiente el empleo de productos que satisfagan lo establecido en el art韈ulo 18 獳dquisici髇 de productos y contrataci髇 de servicios de seguridad�.

  2. Niveles de auditor韆.

  Los niveles de auditor韆 que se realizan a los sistemas de informaci髇, ser醤 los siguientes:

  2.1 Auditor韆 a sistemas de categor韆 B罶ICA.

  a) Los sistemas de informaci髇 de categor韆 B罶ICA, o inferior, no necesitar醤 realizar una auditor韆. Bastar� una autoevaluaci髇 realizada por el mismo personal que administra el sistema de informaci髇, o en quien 閟te delegue.

  El resultado de la autoevaluaci髇 debe estar documentado, indicando si cada medida de seguridad est� implantada y sujeta a revisi髇 regular y las evidencias que sustentan la valoraci髇 anterior.

  b) Los informes de autoevaluaci髇 ser醤 analizados por el responsable de seguridad competente, que elevar� las conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.

  2.2 Auditor韆 a sistemas de categor韆 MEDIA O ALTA.

  a) El informe de auditor韆 dictaminar� sobre el grado de cumplimiento del presente real decreto, identificar� sus deficiencias y sugerir� las posibles medidas correctoras o complementarias que sean necesarias, as� como las recomendaciones que se consideren oportunas. Deber�, igualmente, incluir los criterios metodol骻icos de auditor韆 utilizados, el alcance y el objetivo de la auditor韆, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.

  b) Los informes de auditor韆 ser醤 analizados por el responsable de seguridad competente, que presentar� sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.

  3. Interpretaci髇.

  La interpretaci髇 del presente anexo se realizar� seg鷑 el sentido propio de sus palabras, en relaci髇 con el contexto, antecedentes hist髍icos y legislativos, entre los que figura lo dispuesto en la instrucci髇 t閏nica CCN-STIC correspondiente, atendiendo al esp韗itu y finalidad de aquellas.�

  
• Diecis閕s. Se modifica el anexo IV titulado: 獹losario�. La definici髇 de Gesti髇 de incidentes queda como sigue:

  獹esti髇 de incidentes. Plan de acci髇 para atender a los incidentes que se den. Adem醩 de resolverlos debe incorporar medidas de desempe駉 que permitan conocer la calidad del sistema de protecci髇 y detectar tendencias antes de que se conviertan en grandes problemas.�

• Diecisiete. El anexo V relativo al Modelo de cl醬sula administrativa particular, queda redactado como sigue:

  獵l醬sula administrativa particular.–En cumplimiento con lo dispuesto en el art韈ulo 115.4 del Real Decreto Legislativo 3/2011, de 14 de noviembre, por el que se aprueba el texto refundido de la Ley de Contratos del Sector P鷅lico, y en el art韈ulo 18 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica, el licitador incluir� referencia precisa, documentada y acreditativa de que los productos de seguridad, servicios, equipos, sistemas, aplicaciones o sus componentes, cumplen con lo indicado en la medida op.pl.5 sobre componentes certificados, recogida en el apartado 4.1.5 del anexo II del citado Real Decreto 3/2010, de 8 de enero.

  Cuando estos sean empleados para el tratamiento de datos de car醕ter personal, el licitador incluir�, tambi閚, lo establecido en la Disposici髇 adicional 鷑ica del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal.�

  

Disposici髇 transitoria 鷑ica Adecuaci髇 de sistemas

Las entidades incluidas dentro en el 醡bito de aplicaci髇 del presente real decreto dispondr醤 de un plazo de veinticuatro meses contados a partir de la fecha de la entrada en vigor del presente real decreto, para la adecuaci髇 de sus sistemas a lo dispuesto en el mismo.

Disposici髇 final 鷑ica Entrada en vigor

El presente real decreto entrar� en vigor el d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.