Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad

ANEXO I
Categor韆s de seguridad de los sistemas de informaci髇

1. Fundamentos para la determinaci髇 de la categor韆 de seguridad de un sistema de informaci髇

La determinaci髇 de la categor韆 de seguridad de un sistema de informaci髇 se basar� en la valoraci髇 del impacto que tendr韆 sobre la organizaci髇 un incidente que afectase a la seguridad de la informaci髇 tratada o de los servicios prestados para:

• a) Alcanzar sus objetivos.
• b) Proteger los activos a su cargo.
• c) Garantizar la conformidad con el ordenamiento jur韉ico.

Anualmente, o siempre que se produzcan modificaciones significativas en los citados criterios de determinaci髇, deber� re-evaluarse la categor韆 de seguridad de los sistemas de informaci髇 concernidos.

2. Dimensiones de la seguridad

A fin de determinar el impacto que tendr韆 sobre la organizaci髇 un incidente que afectara a la seguridad de la informaci髇 tratada o de los servicios prestados y, en su consecuencia, establecer la categor韆 de seguridad del sistema de informaci髇 en cuesti髇, se tendr醤 en cuenta las siguientes dimensiones de la seguridad, que se identificar醤 por sus correspondientes iniciales en may鷖culas:

• a) Confidencialidad [C].
• b) Integridad [I].
• c) Trazabilidad [T].
• d) Autenticidad [A].
• e) Disponibilidad [D].

3. Determinaci髇 del nivel de seguridad requerido en una dimensi髇 de seguridad

Una informaci髇 o un servicio pueden verse afectados en una o m醩 de sus dimensiones de seguridad. Cada dimensi髇 de seguridad afectada se adscribir� a uno de los siguientes niveles de seguridad: BAJO, MEDIO o ALTO. Si una dimensi髇 de seguridad no se ve afectada, no se adscribir� a ning鷑 nivel.

• a) Nivel BAJO. Se aplicar� cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio limitado sobre las funciones de la organizaci髇, sobre sus activos o sobre los individuos afectados.

  Se entender� por perjuicio limitado:

  • 1.� La reducci髇 de forma apreciable de la capacidad de la organizaci髇 para desarrollar eficazmente sus funciones y competencias, aunque estas sigan desempe襻ndose.
  • 2.� Causar un da駉 menor en los activos de la organizaci髇.
  • 3.� El incumplimiento formal de alguna ley o regulaci髇, que tenga car醕ter de subsanable.
  • 4.� Causar un perjuicio menor a alg鷑 individuo, que pese a resultar molesto, pueda ser f醕ilmente reparable.
  • 5.� Otros de naturaleza an醠oga.
• b) Nivel MEDIO. Se aplicar� cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio grave sobre las funciones de la organizaci髇, sobre sus activos o sobre los individuos afectados.

  Se entender� por perjuicio grave:

  • 1.� La reducci髇 significativa de la capacidad de la organizaci髇 para desarrollar eficazmente sus funciones y competencias, aunque estas sigan desempe襻ndose.
  • 2.� Causar un da駉 significativo en los activos de la organizaci髇.
  • 3.� El incumplimiento material de alguna ley o regulaci髇, o el incumplimiento formal que no tenga car醕ter de subsanable.
  • 4.� Causar un perjuicio significativo a alg鷑 individuo, de dif韈il reparaci髇.
  • 5.� Otros de naturaleza an醠oga.
• c) Nivel ALTO. Se aplicar� cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio muy grave sobre las funciones de la organizaci髇, sobre sus activos o sobre los individuos afectados.

  Se entender� por perjuicio muy grave:

  • 1.� La anulaci髇 efectiva de la capacidad de la organizaci髇 para desarrollar eficazmente sus funciones y competencias.
  • 2.� Causar un da駉 muy grave, e incluso irreparable, de los activos de la organizaci髇.
  • 3.� El incumplimiento grave de alguna ley o regulaci髇.
  • 4.� Causar un perjuicio grave a alg鷑 individuo, de dif韈il o imposible reparaci髇.
  • 5.� Otros de naturaleza an醠oga.

  Cuando un sistema de informaci髇 trate diferentes informaciones y preste diferentes servicios, el nivel de seguridad del sistema en cada dimensi髇 ser� el mayor de los establecidos para cada informaci髇 y cada servicio.

4. Determinaci髇 de la categor韆 de seguridad de un sistema de informaci髇

1. Se definen tres categor韆s de seguridad: B罶ICA, MEDIA y ALTA.

• a) Un sistema de informaci髇 ser� de categor韆 ALTA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad ALTO.
• b) Un sistema de informaci髇 ser� de categor韆 MEDIA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad MEDIO, y ninguna alcanza un nivel de seguridad superior.
• c) Un sistema de informaci髇 ser� de categor韆 B罶ICA si alguna de sus dimensiones de seguridad alcanza el nivel BAJO, y ninguna alcanza un nivel superior.

2. La determinaci髇 de la categor韆 de seguridad de un sistema de informaci髇 sobre la base de lo indicado en el apartado anterior, no implicar� que se altere, por este hecho, el nivel de seguridad de las dimensiones de seguridad que no han influido en la determinaci髇 de la categor韆 de seguridad del mismo.

5. Secuencia de actuaciones para determinar la categor韆 de seguridad de un sistema

1. Identificaci髇 del nivel de seguridad correspondiente a cada informaci髇 y servicio, en funci髇 de las dimensiones de seguridad, teniendo en cuenta lo establecido en el apartado 3 anterior.

2. Determinaci髇 de la categor韆 de seguridad del sistema, seg鷑 lo establecido en el apartado 4 anterior.

Las gu韆s CCN-STIC, del CCN, precisar醤 los criterios necesarios para una adecuada categorizaci髇 de seguridad de los sistemas de informaci髇.

ANEXO II
Medidas de Seguridad

1
Disposiciones generales

1. Para lograr el cumplimiento de los principios b醩icos y requisitos m韓imos establecidos se aplicar醤 las medidas de seguridad indicadas en este anexo, las cuales ser醤 proporcionales a:

• a) Las dimensiones de seguridad relevantes en el sistema a proteger.
• b) La categor韆 de seguridad del sistema de informaci髇 a proteger.

2. Las medidas de seguridad se dividen en tres grupos:

• a) Marco organizativo [org]. Constituido por el conjunto de medidas relacionadas con la organizaci髇 global de la seguridad.
• b) Marco operacional [op]. Formado por las medidas a tomar para proteger la operaci髇 del sistema como conjunto integral de componentes para un fin.
• c) Medidas de protecci髇 [mp]. Se centran en proteger activos concretos, seg鷑 su naturaleza y la calidad exigida por el nivel de seguridad de las dimensiones afectadas.

2
Selecci髇 de medidas de seguridad

1. Para la selecci髇 de las medidas de seguridad se seguir醤 los pasos siguientes:

• a) Identificaci髇 de los tipos de activos presentes.
• b) Determinaci髇 de las dimensiones de seguridad relevantes, teniendo en cuenta lo establecido en el anexo I.
• c) Determinaci髇 del nivel de seguridad correspondiente a cada dimensi髇 de seguridad, teniendo en cuenta lo establecido en el anexo I.
• d) Determinaci髇 de la categor韆 de seguridad del sistema, seg鷑 lo establecido en el anexo I.
• e) Selecci髇 de las medidas de seguridad, junto con los refuerzos apropiados, de entre las contenidas en este anexo, de acuerdo con las dimensiones y sus niveles de seguridad y para determinadas medidas de seguridad, de acuerdo con la categor韆 de seguridad del sistema.

2. A los efectos de facilitar el cumplimiento de lo dispuesto en este anexo, cuando en un sistema de informaci髇 existan subsistemas que requieran la aplicaci髇 de un nivel de medidas de seguridad diferente al del sistema principal, podr醤 segregarse de este 鷏timo, siendo de aplicaci髇 en cada caso el nivel de medidas de seguridad con los refuerzos correspondientes, y siempre que puedan delimitarse la informaci髇 y los servicios afectados.

3. Las gu韆s CCN-STIC, del CCN, podr醤 establecer perfiles de cumplimiento espec韋icos, seg鷑 el art韈ulo 30 de este real decreto, para entidades o sectores concretos, que incluir醤 la relaci髇 de medidas y refuerzos que en cada caso resulten aplicables o los criterios para su determinaci髇.

4. La correspondencia entre los niveles de seguridad exigidos en cada dimensi髇 y las medidas de seguridad con sus refuerzos, es la que se indica en la tabla siguiente:

5. En las tablas del presente anexo se han empleado las siguientes convenciones:

• a) La tercera columna indica si la medida se exige atendiendo al nivel de seguridad de una o m醩 dimensiones de seguridad, o atendiendo a la categor韆 de seguridad del sistema. Cuando se exija por nivel de seguridad de las dimensiones, se indican cuales afectan utilizando sus iniciales.
• b) Para indicar que una determinada medida de seguridad se debe aplicar a una o varias dimensiones de seguridad, en alg鷑 nivel de seguridad determinado, se utiliza la voz 玜plica�.
• c) 玭.a.� significa 玭o aplica� a efectos de cumplimiento normativo, por lo que no es exigible, sin perjuicio de que su implantaci髇 en el sistema pudiera ser beneficioso t閏nicamente.
• d) Para indicar una mayor exigencia se emplean los refuerzos de seguridad (R) que se suman (+) a los requisitos base de la medida pero que no siempre son incrementales entre s�.
• e) Para se馻lar que se puede elegir entre aplicar un refuerzo u otro, se indicar� entre corchetes y separados por 玱� [Rn o Rn+1].
• f) Se han empleado los colores verde, amarillo y rojo con el siguiente c骴igo: verde para indicar que una medida se aplica en sistemas de categor韆 B罶ICA o superior; el amarillo para indicar qu� medidas y refuerzos empiezan a aplicar en categor韆 MEDIA o superior; y el rojo para indicar qu� medidas o refuerzos son solo de aplicaci髇 en categor韆 ALTA o requieren un esfuerzo en seguridad superior al de categor韆 MEDIA.

6. A continuaci髇, se describen individualmente cada una de las medidas organizadas de la siguiente forma:

• a) Primero, una tabla resumen con las exigencias de seguridad de la medida en funci髇 de la categor韆 de seguridad del sistema y de las dimensiones de seguridad afectadas.
• b) A continuaci髇, una descripci髇 con el cuerpo de la medida que desglosa los requisitos de base.
• c) Posteriormente, podr醤 aparecer una serie de refuerzos adicionales que complementan a los requisitos de base, no en todos los casos requeridos o exigidos, y que podr韆n aplicarse en determinados perfiles de cumplimiento espec韋icos.
• d) Adem醩, se indica el conjunto de requisitos y refuerzos exigidos en funci髇 de los niveles de seguridad o de la categor韆 de seguridad del sistema, seg鷑 corresponda. En los casos en los que se pueda elegir entre aplicar un refuerzo u otro, adem醩 de indicarlo entre corchetes [Rm o Rn], se incluir� un diagrama de flujo explicativo.
• e) Por 鷏timo, algunos refuerzos son de car醕ter opcional, no siendo requeridos en todos los sistemas de informaci髇. Se aplicar醤 como medidas adicionales cuando el an醠isis de riesgos as� lo recomiende.

3
Marco organizativo [ORG]

El marco organizativo est� constituido por un conjunto de medidas relacionadas con la organizaci髇 global de la seguridad.

3.1 Pol韙ica de seguridad [org.1].

Requisitos.

La pol韙ica de seguridad, que se aprobar� de conformidad con lo dispuesto en el art韈ulo 12 de este real decreto, se plasmar� en un documento en el que, de forma clara, se precise, al menos, lo siguiente:

– [org.1.1] Los objetivos o misi髇 de la organizaci髇.

– [org.1.2] El marco legal y regulatorio en el que se desarrollar醤 las actividades.

– [org.1.3] Los roles o funciones de seguridad, definiendo para cada uno los deberes y responsabilidades del cargo, as� como el procedimiento para su designaci髇 y renovaci髇.

– [org.1.4] La estructura del comit� o los comit閟 para la gesti髇 y coordinaci髇 de la seguridad, detallando su 醡bito de responsabilidad, las personas integrantes y la relaci髇 con otros elementos de la organizaci髇.

– [org.1.5] Las directrices para la estructuraci髇 de la documentaci髇 de seguridad del sistema, su gesti髇 y acceso.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: org.1.

– Categor韆 MEDIA: org.1.

– Categor韆 ALTA: org.1.

3.2 Normativa de seguridad [org.2].

Requisitos.

Se dispondr� de una serie de documentos que describan:

– [org.2.1] El uso correcto de equipos, servicios e instalaciones, as� como lo que se considerar� uso indebido.

– [org.2.2] La responsabilidad del personal con respecto al cumplimiento o violaci髇 de la normativa: derechos, deberes y medidas disciplinarias de acuerdo con la legislaci髇 vigente.

Refuerzo R1-Documentos espec韋icos.

[org.2.r1.1] Se dispondr� de una documentaci髇 de seguridad, desarrollada seg鷑 lo reflejado en las gu韆s CCN-STIC que resulten de aplicaci髇.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: org.2.

– Categor韆 MEDIA: org.2.

– Categor韆 ALTA: org.2.

3.3 Procedimientos de seguridad [org.3].

Requisitos.

Se dispondr� de una serie de documentos que detallen de forma clara y precisa c髆o operar los elementos del sistema de informaci髇:

– [org.3.1] C髆o llevar a cabo las tareas habituales.

– [org.3.2] Qui閚 debe hacer cada tarea.

– [org.3.3] C髆o identificar y reportar comportamientos an髆alos.

– [org.3.4.] La forma en que se ha de tratar la informaci髇 en consideraci髇 al nivel de seguridad que requiere, precisando c髆o efectuar:

• a) Su control de acceso.
• b) Su almacenamiento.
• c) La realizaci髇 de copias.
• d) El etiquetado de soportes.
• e) Su transmisi髇 telem醫ica.
• f) Cualquier otra actividad relacionada con dicha informaci髇.

Refuerzo R1-Validaci髇 de procedimientos.

[org.3.r1.1] Se requerir� la validaci髇 de los procedimientos de seguridad por la autoridad correspondiente.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: org.3.

– Categor韆 MEDIA: org.3.

– Categor韆 ALTA: org.3.

3.4 Proceso de autorizaci髇 [org.4].

Requisitos.

Se establecer� un proceso formal de autorizaciones que cubra todos los elementos del sistema de informaci髇 concernidos:

– [org.4.1] Utilizaci髇 de instalaciones, habituales y alternativas.

– [org.4.2] Entrada de equipos en producci髇, en particular, equipos que involucren criptograf韆.

– [org.4.3] Entrada de aplicaciones en producci髇.

– [org.4.4] Establecimiento de enlaces de comunicaciones con otros sistemas.

– [org.4.5] Utilizaci髇 de medios de comunicaci髇, habituales y alternativos.

– [org.4.6] Utilizaci髇 de soportes de informaci髇.

– [org.4.7] Utilizaci髇 de equipos m髒iles. Se entender� por equipos m髒iles ordenadores port醫iles, tabletas, tel閒onos m髒iles u otros de naturaleza an醠oga.

– [org.4.8] Utilizaci髇 de servicios de terceros, bajo contrato o convenio, concesi髇, encargo, etc.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: org.4.

– Categor韆 MEDIA: org.4.

– Categor韆 ALTA: org.4.

4
Marco operacional [op]

El marco operacional est� constituido por las medidas a tomar para proteger la operaci髇 del sistema como conjunto integral de componentes para un fin.

4.1 Planificaci髇 [op.pl].

4.1.1 An醠isis de riesgos [op.pl.1].

Requisitos.

Se realizar� un an醠isis de riesgos informal, realizado en lenguaje natural. Es decir, una exposici髇 textual que:

– [op.pl.1.1] Identifique los activos m醩 valiosos del sistema. (Ver op.exp.1).

– [op.pl.1.2] Identifique las amenazas m醩 probables.

– [op.pl.1.3] Identifique las salvaguardas que protegen de dichas amenazas.

– [op.pl.1.4] Identifique los principales riesgos residuales.

Refuerzo R1-An醠isis de riesgos semiformal.

Se deber� realizar un an醠isis de riesgos semiformal, usando un lenguaje espec韋ico, con un cat醠ogo b醩ico de amenazas y una sem醤tica definida. Es decir, una presentaci髇 con tablas que:

– [op.pl.1.r1.1] Valore cualitativamente los activos m醩 valiosos del sistema.

– [op.pl.1.r1.2] Cuantifique las amenazas m醩 probables.

– [op.pl.1.r1.3] Valore las salvaguardas que protegen de dichas amenazas.

– [op.pl.1.r1.4] Valore el riesgo residual.

Refuerzo R2-An醠isis de riesgos formal.

Se deber� realizar un an醠isis formal, usando un lenguaje espec韋ico, con un fundamento matem醫ico reconocido internacionalmente, que:

– [op.pl.1.r2.1] Valore cualitativamente los activos m醩 valiosos del sistema.

– [op.pl.1.r2.2] Cuantifique las amenazas posibles.

– [op.pl.1.r2.3] Valore y priorice las salvaguardas adecuadas.

– [op.pl.1.r2.4] Valore y asuma formalmente el riesgo residual.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.pl.1.

– Categor韆 MEDIA: op.pl.1 + R1.

– Categor韆 ALTA: op.pl.1 + R2.

4.1.2 Arquitectura de seguridad [op.pl.2].

Requisitos.

La seguridad del sistema ser� objeto de un planteamiento integral detallando, al menos, los siguientes aspectos:

– [op.pl.2.1] Documentaci髇 de las instalaciones, incluyendo 醨eas y puntos de acceso.

– [op.pl.2.2] Documentaci髇 del sistema, incluyendo equipos, redes internas y conexiones al exterior, y puntos de acceso al sistema (puestos de trabajo y consolas de administraci髇).

– [op.pl.2.3] Esquema de l韓eas de defensa, incluyendo puntos de interconexi髇 a otros sistemas o a otras redes (en especial, si se trata de internet o redes p鷅licas en general); cortafuegos, DMZ, etc.; y la utilizaci髇 de tecnolog韆s diferentes para prevenir vulnerabilidades que pudieran perforar simult醤eamente varias l韓eas de defensa.

– [op.pl.2.4] Sistema de identificaci髇 y autenticaci髇 de usuarios, incluyendo el uso de claves concertadas, contrase馻s, tarjetas de identificaci髇, biometr韆, u otras de naturaleza an醠oga, y el uso de ficheros o directorios para autenticar al usuario y determinar sus derechos de acceso.

Refuerzo R1-Sistema de gesti髇.

[op.pl.2.r1.1] Sistema de gesti髇, relativo a la planificaci髇, organizaci髇 y control de los recursos relativos a la seguridad de la informaci髇.

Refuerzo R2-Sistema de gesti髇 de la seguridad con mejora continua.

[op.pl.2.r2.1] Sistema de gesti髇 de la seguridad de la informaci髇, con actualizaci髇 y aprobaci髇 peri骴ica.

Refuerzo R3-Validaci髇 de datos.

[op.pl.2.r3.1] Controles t閏nicos internos, incluyendo la validaci髇 de datos de entrada, salida y datos intermedios.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.pl.2.

– Categor韆 MEDIA: op.pl.2 + R1.

– Categor韆 ALTA: op.pl.2 + R1 + R2 + R3.

4.1.3 Adquisici髇 de nuevos componentes [op.pl.3].

Requisitos.

Se establecer� un proceso formal para planificar la adquisici髇 de nuevos componentes del sistema, proceso que:

– [op.pl.3.1] Atender� a las conclusiones del an醠isis de riesgos ([op.pl.1]).

– [op.pl.3.2] Ser� acorde a la arquitectura de seguridad escogida ([op.pl.2]).

– [op.pl.3.3] Contemplar� las necesidades t閏nicas, de formaci髇 y de financiaci髇, de forma conjunta.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.pl.3.

– Categor韆 MEDIA: op.pl.3.

– Categor韆 ALTA: op.pl.3.

4.1.4 Dimensionamiento / gesti髇 de la capacidad [op.pl.4].

Requisitos.

Con car醕ter previo a la puesta en explotaci髇, se realizar� un estudio que cubrir� los siguientes aspectos:

– [op.pl.4.1] Necesidades de procesamiento.

– [op.pl.4.2] Necesidades de almacenamiento de informaci髇: durante su procesamiento y durante el periodo que deba retenerse.

– [op.pl.4.3] Necesidades de comunicaci髇.

– [op.pl.4.4] Necesidades de personal: cantidad y cualificaci髇 profesional.

– [op.pl.4.5] Necesidades de instalaciones y medios auxiliares.

Refuerzo R1 –Mejora continua de la gesti髇 de la capacidad.

– [op.pl.4.r1.1] Se realizar� una previsi髇 de la capacidad y se mantendr� actualizada durante todo el ciclo de vida del sistema.

– [op.pl.4.r1.2] Se emplear醤 herramientas y recursos para la monitorizaci髇 de la capacidad.

Aplicaci髇 de la medida (por disponibilidad):

– Nivel BAJO: op.pl.4.

– Nivel MEDIO: op.pl.4 + R1.

– Nivel ALTO: op.pl.4 + R1.

4.1.5 Componentes certificados [op.pl.5].

Requisitos.

– [op.pl.5.1]. Se utilizar� el Cat醠ogo de Productos y Servicios de Seguridad de las Tecnolog韆s de la Informaci髇 y Comunicaci髇 (CPSTIC) del CCN, para seleccionar los productos o servicios suministrados por un tercero que formen parte de la arquitectura de seguridad del sistema y aquellos que se referencien expresamente en las medidas de este real decreto.

En caso de que no existan productos o servicios en el CPSTIC que implementen las funcionalidades requeridas, se utilizar醤 productos certificados de acuerdo a lo descrito en el art韈ulo 19.

Una Instrucci髇 T閏nica de Seguridad detallar� los criterios relativos a la adquisici髇 de productos de seguridad.

– [op.pl.5.2] Si el sistema suministra un servicio de seguridad a un tercero bajo el alcance del ENS, el producto o productos que en los que se sustente dicho servicio debe superar un proceso de cualificaci髇 y ser incluido en el CPSTIC, o aportar una certificaci髇 que cumpla con los requisitos funcionales de seguridad y de aseguramiento de acuerdo a lo establecido en el art韈ulo 19.

Refuerzo R1-Protecci髇 de emisiones electromagn閠icas.

[op.pl.5.r1.1] La informaci髇 deber� ser protegida frente a las amenazas TEMPEST de acuerdo con la normativa en vigor.

Refuerzo R2 - Lista de componentes software.

[op.pl.5.r2.1] Cada producto y servicio incluir� en su descripci髇 una lista de componentes software, acorde a lo especificado en [mp.sw.1.r5].

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: op.pl.5.

– Categor韆 ALTA: op.pl.5.

4.2 Control de acceso [op.acc].

El control de acceso comprende el conjunto de actividades preparatorias y ejecutivas tendentes a permitir o denegar a una entidad, usuario o proceso, el acceso a un recurso del sistema para la realizaci髇 de una acci髇 concreta.

Los mecanismos de control de acceso deber醤 equilibrar la facilidad de uso y la protecci髇 de la informaci髇 y los servicios, primando una u otra caracter韘tica atendiendo a la categor韆 de seguridad del sistema.

Cuando se interconecten sistemas en los que la identificaci髇, autenticaci髇 y autorizaci髇 tengan lugar en diferentes dominios de seguridad, bajo distintas responsabilidades, en los casos en que sea necesario, las medidas de seguridad locales se acompa馻r醤 de los correspondientes acuerdos de colaboraci髇 que delimiten mecanismos y procedimientos para la atribuci髇 y ejercicio efectivos de las responsabilidades de cada sistema ([op.ext]).

4.2.1 Identificaci髇 [op.acc.1].

Requisitos.

La identificaci髇 de los usuarios del sistema se realizar� de acuerdo con lo que se indica a continuaci髇:

– [op.acc.1.1] Se podr� utilizar como identificador 鷑ico los sistemas de identificaci髇 previstos en la normativa de aplicaci髇, entre ellos, los sistemas de clave concertada y cualquier otro sistema que las administraciones consideren v醠ido en los t閞minos y condiciones establecidos en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas.

– [op.acc.1.2] Cuando el usuario tenga diferentes roles frente al sistema (como ciudadano o usuario final, como trabajador del organismo o como administrador de los sistemas, por ejemplo) recibir� identificadores singulares para cada perfil, de forma que se recaben siempre los correspondientes registros de actividad, delimit醤dose los privilegios correspondientes a cada perfil.

– [op.acc.1.3] Cada entidad (entidad, usuario o proceso) que accede al sistema, contar� con un identificador singular que permita conocer el destinatario de los mismos y los derechos de acceso que recibe, as� como las acciones realizadas por cada entidad.

– [op.acc.1.4] Las cuentas de usuario se gestionar醤 de la siguiente forma:

• a) Cada cuenta (de entidad, usuario o proceso) estar� asociada a un identificador 鷑ico.
• b) Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organizaci髇; cuando el usuario cesa en la funci髇 para la cual se requer韆 la cuenta de usuario; o, cuando la persona que la autoriz� da orden en sentido contrario.
• c) Las cuentas se retendr醤 durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominar� 玴eriodo de retenci髇�.

– [op.acc.1.5] En los supuestos de comunicaciones electr髇icas, las partes intervinientes se identificar醤 atendiendo a los mecanismos previstos en la legislaci髇 europea y nacional en la materia, con la siguiente correspondencia entre los niveles de la dimensi髇 de autenticidad de los sistemas de informaci髇 a los que se tiene acceso y los niveles de seguridad (bajo, sustancial, alto) de los sistemas de identificaci髇 electr髇ica previstos en el Reglamento (UE) n.^o 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificaci髇 electr髇ica y los servicios de confianza para las transacciones electr髇icas en el mercado interior y por el que se deroga la Directiva 1999/93/CE y sus normas de desarrollo o ejecuci髇 que resulten de aplicaci髇:

• a) Si se requiere un nivel BAJO en la dimensi髇 de autenticidad (anexo I): Nivel de seguridad bajo, sustancial o alto (art韈ulo 8 del Reglamento (UE) n.^o 910/2014).
• b) Si se requiere un nivel MEDIO en la dimensi髇 de autenticidad (anexo I): Nivel de seguridad sustancial o alto (art韈ulo 8 del Reglamento (UE) n.^o 910/2014).
• c) Si se requiere un nivel ALTO en la dimensi髇 de autenticidad (anexo I): Nivel de seguridad alto (art韈ulo 8 del Reglamento (UE) n.^o 910/2014).

Refuerzo R1-Identificaci髇 avanzada.

– [op.acc.1.r1.1] La identificaci髇 del usuario permitir� al Responsable del Sistema, al Responsable de la Seguridad o a sus respectivos administradores delegados, singularizar a la persona asociada al mismo, as� como sus responsabilidades en el sistema.

– [op.acc.1.r1.2] Los datos de identificaci髇 ser醤 utilizados por el sistema para determinar los privilegios del usuario conforme a los requisitos de control de acceso establecidos en la documentaci髇 de seguridad.

– [op.acc.1.r1.3] Se asegurar� la existencia de una lista actualizada de usuarios autorizados y mantenida por el administrador del sistema/de la seguridad del sistema.

Aplicaci髇 de la medida (por trazabilidad y autenticidad).

– Nivel BAJO: op.acc.1.

– Nivel MEDIO: op.acc.1 +R1.

– Nivel ALTO: op.acc.1+ R1.

4.2.2 Requisitos de acceso [op.acc.2].

Requisitos.

– [op.acc.2.1] Los recursos del sistema se proteger醤 con alg鷑 mecanismo que impida su utilizaci髇, salvo a las entidades que disfruten de derechos de acceso suficientes.

– [op.acc.2.2] Los derechos de acceso de cada recurso, se establecer醤 seg鷑 las decisiones de la persona responsable del recurso, ateni閚dose a la pol韙ica y normativa de seguridad del sistema.

– [op.acc.2.3] Particularmente, se controlar� el acceso a los componentes del sistema operativo y a sus ficheros o registros de configuraci髇.

Refuerzo R1-Privilegios de acceso.

– [op.acc.2.r1.1] Todos los usuarios autorizados deben tener un conjunto de atributos de seguridad (privilegios) que puedan ser mantenidos individualmente.

– [op.acc.2.r1.2] Los privilegios de acceso se implementar醤 para restringir el tipo de acceso que un usuario puede tener (lectura, escritura, modificaci髇, borrado, etc.).

Refuerzo R2-Control de acceso a dispositivos.

– [op.acc.2.r2.1] Se dispondr� de soluciones que permitan establecer controles de acceso a los dispositivos en funci髇 de la pol韙ica de seguridad de la organizaci髇.

Aplicaci髇 de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).

– Nivel BAJO: op.acc.2.

– Nivel MEDIO: op.acc.2.

– Nivel ALTO: op.acc.2+ R1.

4.2.3 Segregaci髇 de funciones y tareas [op.acc.3].

Requisitos.

El sistema de control de acceso se organizar� de forma que se exija la concurrencia de dos o m醩 personas para realizar tareas cr韙icas, anulando la posibilidad de que un solo individuo autorizado pueda abusar de sus derechos para cometer alguna acci髇 il韈ita o no autorizada.

– [op.acc.3.1] Siempre que sea posible, las capacidades de desarrollo y operaci髇 no recaer醤 en la misma persona.

– [op.acc.3.2] Siempre que sea posible, las personas que autorizan y controlan el uso ser醤 distintas.

Refuerzo R1-Segregaci髇 rigurosa.

– [op.acc.3.r1.1] Siempre que sea posible, la misma persona no aunar� funciones de configuraci髇 y mantenimiento del sistema.

– [op.acc.3.r1.2] La misma persona no puede aunar funciones de auditor韆 o supervisi髇 con cualquier otra funci髇.

Refuerzo R2-Privilegios de auditor韆.

– [op.acc.3.r2.1] Existir醤 cuentas con privilegios de auditor韆 estrictamente controladas y personalizadas.

Refuerzo R3-Acceso a la informaci髇 de seguridad.

– [op.acc.3.r3.1] El acceso a la informaci髇 de seguridad del sistema estar� permitido 鷑icamente a los administradores de seguridad/sistema autorizados, utilizando los mecanismos de acceso imprescindibles (consola, interfaz web, acceso remoto, etc.).

Aplicaci髇 de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: op.acc.3.

– Nivel ALTO: op.acc.3 + R1.

4.2.4 Proceso de gesti髇 de derechos de acceso [op.acc.4].

Requisitos.

Los derechos de acceso de cada entidad, usuario o proceso se limitar醤 atendiendo a los siguientes principios:

– [op.acc.4.1] Todo acceso estar� prohibido, salvo autorizaci髇 expresa.

– [op.acc.4.2] M韓imo privilegio: los privilegios de cada entidad, usuario o proceso se reducir醤 al m韓imo imprescindible para cumplir sus obligaciones o funciones.

– [op.acc.4.3] Necesidad de conocer y responsabilidad de compartir: los privilegios se asignar醤 de forma que las entidades, usuarios o procesos s髄o acceder醤 al conocimiento de aquella informaci髇 requerida para cumplir sus obligaciones o funciones. La informaci髇 es patrimonio del organismo y toda aquella que resulte necesaria para el usuario estar� a su disposici髇.

– [op.acc.4.4] Capacidad de autorizar: Exclusivamente el personal con competencia para ello podr� conceder, alterar o anular la autorizaci髇 de acceso a los recursos, conforme a los criterios establecidos por su responsable. Los permisos de acceso se revisar醤 de forma peri骴ica.

– [op.acc.4.5] Se establecer� una pol韙ica espec韋ica de acceso remoto, requiri閚dose autorizaci髇 expresa.

Aplicaci髇 de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).

Nivel BAJO: op.acc.4.

Nivel MEDIO: op.acc.4.

Nivel ALTO: op.acc.4.

4.2.5 Mecanismo de autenticaci髇 (usuarios externos) [op.acc.5].

Referente a usuarios que no son usuarios de la organizaci髇.

Las gu韆s CCN-STIC desarrollar醤 los mecanismos y calidades exigibles a cada tipo de factor de autenticaci髇 en funci髇 de los niveles de seguridad requeridos por el sistema de informaci髇 el que se accede y los privilegios concedidos al usuario.

Requisitos.

– [op.acc.5.1] Antes de proporcionar las credenciales de autenticaci髇 a las entidades, usuarios o procesos, estos deber醤 haberse identificado y registrado de manera fidedigna ante el sistema o ante un Prestador Cualificado de Servicios de Confianza o un proveedor de identidad electr髇ica reconocido por las administraciones p鷅licas, de conformidad con lo dispuesto en la Ley 39/2015, de 1 de octubre.

– [op.acc.5.2] Antes de activar el mecanismo de autenticaci髇, el usuario reconocer� que las ha recibido y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, la protecci髇 de su confidencialidad y el deber de notificaci髇 inmediata en caso de p閞dida.

– [op.acc.5.3] Las credenciales estar醤 bajo el control exclusivo del usuario y se activar醤 una vez est閚 bajo su control efectivo.

– [op.acc.5.4] Las credenciales se cambiar醤 con una periodicidad marcada por la pol韙ica de seguridad de la organizaci髇.

– [op.acc.5.5] Las credenciales ser醤 inhabilitadas -pudiendo ser regeneradas, en su caso-, cuando conste o se sospeche su p閞dida, compromiso o revelaci髇 a entidades (personas, equipos o procesos) no autorizadas.

– [op.acc.5.6] Las credenciales ser醤 inhabilitadas cuando la entidad (persona, equipo o proceso) que autentican termina su relaci髇 con el sistema.

– [op.acc.5.7] Antes de autorizar el acceso, la informaci髇 presentada por el sistema ser� la m韓ima imprescindible para que el usuario se autentique, evitando todo aquello que pueda, directa o indirectamente, revelar informaci髇 sobre el sistema o la cuenta, sus caracter韘ticas, su operaci髇 o su estado. Las credenciales solamente se validar醤 cuando se tengan todos los datos necesarios y, si se rechaza, no se informar� del motivo del rechazo.

– [op.acc.5.8] El n鷐ero de intentos permitidos ser� limitado, bloqueando la oportunidad de acceso una vez superado tal n鷐ero, y requiriendo una intervenci髇 espec韋ica para reactivar la cuenta, que se describir� en la documentaci髇.

– [op.acc.5.9] El sistema informar� al usuario de sus derechos u obligaciones inmediatamente despu閟 de obtener el acceso.

Refuerzo R1-Contrase馻s.

– [op.acc.5.r1.1] Se emplear� una contrase馻 como mecanismo de autenticaci髇.

– [op.acc.5.r1.2] Se impondr醤 normas de complejidad m韓ima y robustez frente a ataques de adivinaci髇 (ver gu韆s CCN-STIC).

Refuerzo R2-Contrase馻 + OTP.

– [op.acc.5.r2.1] Se requerir� una contrase馻 de un solo uso (OTP, en ingl閟) como complemento a la contrase馻 de usuario.

Refuerzo R3-Certificados.

– [op.acc.5.r3.1] Se emplear醤 certificados cualificados como mecanismo de autenticaci髇.

– [op.acc.5.r3.2] El uso del certificado estar� protegido por un segundo factor, del tipo PIN o biom閠rico.

– [op.acc.5.r3.3] Las credenciales utilizadas deber醤 haber sido obtenidas tras un registro previo presencial, o bien telem醫ico, usando un certificado electr髇ico cualificado.

Refuerzo R4-Certificados en dispositivo f韘ico.

– [op.acc.5.r4.1] Se emplear醤 certificados cualificados como mecanismo de autenticaci髇, en soporte f韘ico (tarjeta o similar) usando algoritmos, par醡etros y dispositivos autorizados por el CCN.

– [op.acc.5.r4.2] El uso del certificado estar� protegido por un segundo factor, del tipo PIN o biom閠rico.

– [op.acc.5.r4.3] Las credenciales utilizadas deber醤 haber sido obtenidas tras un registro previo presencial, o bien telem醫ico, usando certificado electr髇ico cualificado.

Refuerzo R5-Registro.

– [op.acc.5.r5.1] Se registrar醤 los accesos con 閤ito y los fallidos.

– [op.acc.5.r5.2] Se informar� al usuario del 鷏timo acceso efectuado con su identidad.

Refuerzo R6-Limitaci髇 de la ventana de acceso.

– [op.acc.5.r6.1] Se definir醤 aquellos puntos en los que el sistema requerir� una renovaci髇 de la autenticaci髇 del usuario, mediante identificaci髇 singular, no bastando con la sesi髇 establecida.

Refuerzo R7-Suspensi髇 por no utilizaci髇.

– [op.acc.5.r7.1] Las credenciales se suspender醤 tras un periodo definido de no utilizaci髇.

Aplicaci髇 de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).

– Nivel BAJO: op.acc.5 + [R1 o R2 o R3 o R4].

– Nivel MEDIO: op.acc.5 + [R2 o R3 o R4] + R5.

– Nivel ALTO: op.acc.5 + [R2 o R3 o R4] + R5.

4.2.6 Mecanismo de autenticaci髇 (usuarios de la organizaci髇) [op.acc.6].

Esta medida se refiere a personal del organismo, propio o contratado, estable o circunstancial, que pueda tener acceso a informaci髇 contenida en el sistema.

Las gu韆s CCN-STIC desarrollar醤 los mecanismos y calidades exigibles a cada tipo de factor de autenticaci髇, en funci髇 de los niveles de seguridad requeridos por el sistema de informaci髇 el que se accede y los privilegios concedidos al usuario.

Requisitos.

– [op.acc.6.1] Antes de proporcionar las credenciales a los usuarios, estos deber醤 conocer y aceptar la pol韙ica de seguridad del organismo en los aspectos que les afecten.

– [op.acc.6.2] Antes de activar el mecanismo de autenticaci髇, el usuario reconocer� que ha recibido las credenciales de acceso y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, la protecci髇 de su confidencialidad y el deber de notificaci髇 inmediata en caso de p閞dida.

– [op.acc.6.3] Las credenciales estar醤 bajo el control exclusivo del usuario y se activar醤 una vez est閚 bajo su control efectivo.

– [op.acc.6.4] Las credenciales se cambiar醤 con una periodicidad marcada por la pol韙ica de seguridad de la organizaci髇.

– [op.acc.6.5] Las credenciales ser醤 inhabilitadas -pudiendo ser regeneradas, en su caso-, cuando conste o se sospeche su p閞dida, compromiso o revelaci髇 a entidades (personas, equipos o procesos) no autorizadas.

– [op.acc.6.6] Las credenciales ser醤 inhabilitadas cuando el usuario que autentican termina su relaci髇 con el sistema.

– [op.acc.6.7] Antes de autorizar el acceso, la informaci髇 presentada por el sistema ser� la m韓ima imprescindible para que el usuario se autentique, evitando todo aquello que pueda, directa o indirectamente, revelar informaci髇 sobre el sistema o la cuenta, sus caracter韘ticas, su operaci髇 o su estado. Las credenciales solamente se validar醤 cuando se tengan todos los datos necesarios y, si se rechaza, no se informar� del motivo del rechazo.

– [op.acc.6.8] El n鷐ero de intentos permitidos ser� limitado, bloqueando la oportunidad de acceso una vez superado tal n鷐ero, y requiriendo una intervenci髇 espec韋ica para reactivar la cuenta, que se describir� en la documentaci髇.

– [op.acc.6.9] El sistema informar� al usuario de sus derechos u obligaciones inmediatamente despu閟 de obtener el acceso.

Refuerzo R1-Contrase馻s.

– [op.acc.6.r1.1] Se emplear� una contrase馻 como mecanismo de autenticaci髇 cuando el acceso se realiza desde zonas controladas y sin atravesar zonas no controladas (v閍se refuerzo R8).

– [op.acc.6.r1.2] Se impondr醤 normas de complejidad m韓ima y robustez frente a ataques de adivinaci髇 (ver gu韆s CCN-STIC).

Refuerzo R2-Contrase馻 + otro factor de autenticaci髇.

– [op.acc.6.r2.1] Se requerir� un segundo factor tal como 玜lgo que se tiene�, es decir, un dispositivo, una contrase馻 de un solo uso (OTP, en ingl閟) como complemento a la contrase馻 de usuario, o 玜lgo que se es�.

Refuerzo R3-Certificados.

– [op.acc.6.r3.1] Se emplear醤 certificados cualificados como mecanismo de autenticaci髇.

– [op.acc.6.r3.2] El uso del certificado estar� protegido por un segundo factor, del tipo PIN o biom閠rico.

Refuerzo R4-Certificados en dispositivo f韘ico.

– [op.acc.6.r4.1] Se emplear醤 certificados cualificados como mecanismo de autenticaci髇, en soporte f韘ico (tarjeta o similar) usando algoritmos, par醡etros y dispositivos autorizados por el CCN.

– [op.acc.6.r4.2] El uso del certificado estar� protegido por un segundo factor, del tipo PIN o biom閠rico.

Refuerzo R5-Registro.

– [op.acc.6.r5.1] Se registrar醤 los accesos con 閤ito y los fallidos.

– [op.acc.6.r5.2] Se informar� al usuario del 鷏timo acceso efectuado con su identidad.

Refuerzo R6-Limitaci髇 de la ventana de acceso.

– [op.acc.6.r6.1] Se definir醤 aquellos puntos en los que el sistema requerir� una renovaci髇 de la autenticaci髇 del usuario, mediante identificaci髇 singular, no bastando con la sesi髇 establecida.

Refuerzo R7-Suspensi髇 por no utilizaci髇.

– [op.acc.6.r7.1] Las credenciales se suspender醤 tras un periodo definido de no utilizaci髇.

Refuerzo R8-Doble factor para acceso desde o a trav閟 de zonas no controladas.

Se denomina 珃ona controlada� aquella que no es de acceso p鷅lico, requiri閚dose que el usuario, antes de tener acceso al equipo, se haya autenticado previamente de alguna forma (control de acceso a las instalaciones), diferente del mecanismo de autenticaci髇 l骻ica frente al sistema. Un ejemplo de zona no controlada es Internet.

– [op.acc.6.r8.1] Para el acceso desde o a trav閟 de zonas no controladas se requerir� un doble factor de autenticaci髇: R2, R3 o R4.

Refuerzo R9-Acceso remoto (todos los niveles).

– [op.acc.6.r9.1] Ser� de aplicaci髇 la ITS de Interconexi髇 de sistemas de informaci髇.

– [op.acc.6.r9.2] El acceso remoto deber� considerar los siguientes aspectos:

• a) Ser autorizado por la autoridad correspondiente.
• b) El tr醘ico deber� ser cifrado.
• c) Si la utilizaci髇 no se produce de manera constante, el acceso remoto deber� encontrarse inhabilitado y habilitarse 鷑icamente cuando sea necesario.
• d) Deber醤 recogerse registros de auditor韆 de este tipo de conexiones.

Aplicaci髇 de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).

– Nivel BAJO: op.acc.6 + [R1 o R2 o R3 o R4] + R8 + R9.

– Nivel MEDIO: op.acc.6 + [R1 o R2 o R3 o R4] + R5 + R8 + R9.

– Nivel ALTO: op.acc.6 + [R1 o R2 o R3 o R4] + R5 + R6 + R7 + R8 + R9.

4.3 Explotaci髇 [op.exp].

4.3.1 Inventario de activos [op.exp.1].

Requisitos.

[op.exp.1.1] Se mantendr� un inventario actualizado de todos los elementos del sistema, detallando su naturaleza e identificando a su responsable; es decir, la persona que toma las decisiones relativas al mismo.

Refuerzo R1-Inventario de etiquetado.

– [op.exp.1.r1.1] El etiquetado del equipamiento y del cableado formar� parte del inventario.

Refuerzo R2-Identificaci髇 peri骴ica de activos.

– [op.exp.1.r2.1] Se dispondr� de herramientas que permitan visualizar de forma continua el estado de todos los equipos en la red, en particular, los servidores y los dispositivos de red y de comunicaciones.

Refuerzo R3-Identificaci髇 de activos cr韙icos.

– [op.exp.1.r3.1] Se dispondr� de herramientas que permitan categorizar los activos cr韙icos por contexto de la organizaci髇 y riesgos de seguridad.

Refuerzo R4-Lista de componentes software.

– [op.exp.1.r4.1] Se mantendr� actualizada una relaci髇 formal de los componentes software de terceros empleados en el despliegue del sistema. Esta lista incluir� librer韆s software y los servicios requeridos para su despliegue (plataforma o entorno operacional). El contenido de la lista de componentes ser� equivalente a lo requerido en [mp.sw.1.r5].

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.1.

– Categor韆 MEDIA: op.exp.1.

– Categor韆 ALTA: op.exp.1.

4.3.2 Configuraci髇 de seguridad [op.exp.2].

Requisitos.

Se configurar醤 los equipos previamente a su entrada en operaci髇, de forma que:

– [op.exp.2.1] Se retiren cuentas y contrase馻s est醤dar.

– [op.exp.2.2] Se aplicar� la regla de 玬韓ima funcionalidad�, es decir:

• a) El sistema debe proporcionar la funcionalidad m韓ima imprescindible para que la organizaci髇 alcance sus objetivos.
• b) No proporcionar� funciones injustificadas (de operaci髇, administraci髇 o auditor韆) al objeto de reducir al m韓imo su per韒etro de exposici髇, elimin醤dose o desactiv醤dose aquellas funciones que sean innecesarias o inadecuadas al fin que se persigue.

– [op.exp.2.3] Se aplicar� la regla de 玸eguridad por defecto�, es decir:

• a) Las medidas de seguridad ser醤 respetuosas con el usuario y proteger醤 a 閟te, salvo que se exponga conscientemente a un riesgo.
• b) Para reducir la seguridad, el usuario tendr� que realizar acciones conscientes.
• c) El uso natural, en los casos que el usuario no ha consultado el manual, ser� un uso seguro.

– [op.exp.2.4] Las m醧uinas virtuales estar醤 configuradas y gestionadas de un modo seguro. La gesti髇 del parcheado, cuentas de usuarios, software antivirus, etc. se realizar� como si se tratara de m醧uinas f韘icas, incluyendo la m醧uina anfitriona.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.2.

– Categor韆 MEDIA: op.exp.2.

– Categor韆 ALTA: op.exp.2.

4.3.3 Gesti髇 de la configuraci髇 de seguridad [op.exp.3].

Requisitos.

Se gestionar� de forma continua la configuraci髇 de los componentes del sistema, de forma que:

– [op.exp.3.1] Se mantenga en todo momento la regla de "funcionalidad m韓ima" ([op.exp.2]).

– [op.exp.3.2] Se mantenga en todo momento la regla de "m韓imo privilegio" ([op.exp.2]).

– [op.exp.3.3] El sistema se adapte a las nuevas necesidades, previamente autorizadas. (Ver [op.acc.4]).

– [op.exp.3.4] El sistema reaccione a vulnerabilidades notificadas. (Ver [op.exp.4]).

– [op.exp.3.5] El sistema reaccione a incidentes. (Ver [op.exp.7]).

– [op.exp.3.6] La configuraci髇 de seguridad solamente podr� editarse por personal debidamente autorizado.

Refuerzo R1-Mantenimiento regular de la configuraci髇.

– [op.exp.3.r1.1] Existir醤 configuraciones hardware/software, autorizadas y mantenidas regularmente, para los servidores, elementos de red y estaciones de trabajo.

– [op.exp.3.r1.2] Se verificar� peri骴icamente la configuraci髇 hardware/software del sistema para asegurar que no se han introducido ni instalado elementos no autorizados.

– [op.exp.3.r1.3] Se mantendr� una lista de servicios autorizados para servidores y estaciones de trabajo.

Refuerzo R2-Responsabilidad de la configuraci髇.

– [op.exp.3.r2.1] La configuraci髇 de seguridad del sistema operativo y aplicaciones, tanto de estaciones y servidores como de la electr髇ica de red del sistema, ser� responsabilidad de un n鷐ero muy limitado de administradores del sistema.

Refuerzo R3-Copias de seguridad.

– [op.exp.3.r3.1] Se realizar醤 copias de seguridad de la configuraci髇 del sistema de forma que sea posible reconstruirlo en parte o en su totalidad tras un incidente.

Refuerzo R4-Aplicaci髇 de la configuraci髇.

– [op.exp.3.r4.1] La configuraci髇 de seguridad del sistema operativo y de las aplicaciones se mantendr� actualizada a trav閟 de una aplicaci髇 o procedimiento manual que permita la instalaci髇 de las correspondientes modificaciones de versi髇 y actualizaciones de seguridad oportunas.

Refuerzo R5-Control del estado de seguridad de la Configuraci髇.

– [op.exp.3.r5.1] Se dispondr� de herramientas que permitan conocer de forma peri骴ica el estado de seguridad de la configuraci髇 de los dispositivos de red y, en el caso de que resulte deficiente, permitir su correcci髇.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.3.

– Categor韆 MEDIA: op.exp.3 + R1.

– Categor韆 ALTA: op.exp.3 + R1 + R2 + R3.

4.3.4 Mantenimiento y actualizaciones de seguridad [op.exp.4].

Requisitos.

Para mantener el equipamiento f韘ico y l骻ico que constituye el sistema, se aplicar� lo siguiente:

– [op.exp.4.1] Se atender� a las especificaciones de los fabricantes en lo relativo a instalaci髇 y mantenimiento de los sistemas, lo que incluir� un seguimiento continuo de los anuncios de defectos.

– [op.exp.4.2] Se dispondr� de un procedimiento para analizar, priorizar y determinar cu醤do aplicar las actualizaciones de seguridad, parches, mejoras y nuevas versiones. La priorizaci髇 tendr� en cuenta la variaci髇 del riesgo en funci髇 de la implantaci髇 o no de la actualizaci髇.

– [op.exp.4.3] El mantenimiento solo podr� realizarse por personal debidamente autorizado.

Refuerzo R1-Pruebas en preproducci髇.

[op.exp.4.r1.1] Antes de poner en producci髇 una nueva versi髇 o una versi髇 parcheada, se comprobar� en un entorno de prueba controlado y consistente en configuraci髇 al entorno de producci髇, que la nueva instalaci髇 funciona correctamente y no disminuye la eficacia de las funciones necesarias para el trabajo diario.

Refuerzo R2-Prevenci髇 de fallos.

[op.exp.4.r2.1] Antes de la aplicaci髇 de las configuraciones, parches y actualizaciones de seguridad se prever� un mecanismo para revertirlos en caso de aparici髇 de efectos adversos.

Refuerzo R3-Actualizaciones y pruebas peri骴icas.

[op.exp.4.r3.1] Se deber� comprobar de forma peri骴ica la integridad del firmware utilizado en los dispositivos hardware del sistema (infraestructura de red, BIOS, etc.). La periodicidad de estas comprobaciones seguir� las recomendaciones de la Gu韆 CCN-STIC que sea de aplicaci髇.

Refuerzo R4 - Monitorizaci髇 continua.

[op.exp.4.r4.1] Se desplegar� a nivel de sistema una estrategia de monitorizaci髇 continua de amenazas y vulnerabilidades. Esta estrategia detallar�:

• 1. Los indicadores cr韙icos de seguridad a emplear.
• 2. La pol韙ica de aplicaci髇 de parches de seguridad de los componentes software relacionados en las listas de [op.exp.1.r4], [op.ext.3.r3] y [mp.sw.1.r5]).
• 3. Los criterios de revisi髇 regular y excepcional de las amenazas sobre el sistema.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.4.

– Categor韆 MEDIA: op.exp.4 + R1.

– Categor韆 ALTA: op.exp.4 + R1 + R2.

4.3.5 Gesti髇 de cambios [op.exp.5].

Requisitos.

Se mantendr� un control continuo de los cambios realizados en el sistema, de forma que:

– [op.exp.5.1] Los cambios se planificar醤 para reducir el impacto sobre la prestaci髇 de los servicios afectados. Para ello, todas las peticiones de cambio se registrar醤 asignando un n鷐ero de referencia que permita su seguimiento, de forma equivalente al registro de los incidentes.

– [op.exp.5.2] La informaci髇 a registrar para cada petici髇 de cambio ser� suficiente para que quien deba autorizarlos no tenga dudas al respecto y permita gestionarlo hasta su desestimaci髇 o implementaci髇.

– [op.exp.5.3] Las pruebas de preproducci髇, siempre que sea posible realizarlas, se efectuar醤 en equipos equivalentes a los de producci髇, al menos en los aspectos espec韋icos del cambio.

– [op.exp.5.4] Mediante un an醠isis de riesgos se determinar� si los cambios son relevantes para la seguridad del sistema. Aquellos cambios que impliquen un riesgo de nivel ALTO deber醤 ser aprobados, expl韈itamente, de forma previa a su implantaci髇, por el Responsable de la Seguridad.

– [op.exp.5.5] Una vez implementado el cambio, se realizar醤 las pruebas de aceptaci髇 convenientes. Si son positivas, se actualizar� la documentaci髇 de configuraci髇 (diagramas de red, manuales, el inventario, etc.), siempre que proceda.

Refuerzo R1-Prevenci髇 de fallos.

– [op.exp.5.r1.1] Antes de la aplicaci髇 de los cambios, se deber� tener en cuenta la posibilidad de revertirlos en caso de la aparici髇 de efectos adversos.

– [op.exp.5.r1.2] Todos los fallos en el software y hardware deber醤 ser comunicados al responsable designado en la organizaci髇 de la seguridad.

– [op.exp.5.r1.3] Todos los cambios en el sistema deber醤 documentarse, incluyendo una valoraci髇 del impacto que dicho cambio supone en la seguridad del sistema.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: op.exp.5.

– Categor韆 ALTA: op.exp.5+ R1.

4.3.6 Protecci髇 frente a c骴igo da駃no [op.exp.6].

Requisitos.

– [op.exp.6.1] Se dispondr� de mecanismos de prevenci髇 y reacci髇 frente a c骴igo da駃no, incluyendo el correspondiente mantenimiento de acuerdo a las recomendaciones del fabricante.

– [op.exp.6.2] Se instalar� software de protecci髇 frente a c骴igo da駃no en todos los equipos: puestos de usuario, servidores y elementos perimetrales.

– [op.exp.6.3] Todo fichero procedente de fuentes externas ser� analizado antes de trabajar con 閘.

– [op.exp.6.4] Las bases de datos de detecci髇 de c骴igo da駃no permanecer醤 permanentemente actualizadas.

– [op.exp.6.5] El software de detecci髇 de c骴igo da駃no instalado en los puestos de usuario deber� estar configurado de forma adecuada e implementar� protecci髇 en tiempo real de acuerdo a las recomendaciones del fabricante.

Refuerzo R1-Escaneo peri骴ico.

– [op.exp.6.r1.1] Todo el sistema se escanear� regularmente para detectar c骴igo da駃no.

Refuerzo R2-Revisi髇 preventiva del sistema.

– [op.exp.6.r2.1] Las funciones cr韙icas se analizar醤 al arrancar el sistema en prevenci髇 de modificaciones no autorizadas.

Refuerzo R3 - Lista blanca.

– [op.exp.6.r3.1] Solamente se podr醤 ejecutar aquellas aplicaciones previamente autorizadas. Se implementar� una lista blanca para impedir la ejecuci髇 de aplicaciones no autorizadas.

Refuerzo R4-Capacidad de respuesta en caso de incidente.

– [op.exp.6.r4.1] Se emplear醤 herramientas de seguridad orientadas a detectar, investigar y resolver actividades sospechosas en puestos de usuario y servidores (EDR - Endpoint Detection and Response).

Refuerzo R5-Configuraci髇 de la herramienta de detecci髇 de c骴igo da駃no.

– [op.exp.6.r5.1] El software de detecci髇 de c骴igo da駃no permitir� realizar configuraciones avanzadas y revisar el sistema en el arranque y cada vez que se conecte un dispositivo extra韇le.

– [op.exp.6.r5.2] El software de detecci髇 de c骴igo da駃no instalado en servidores y elementos perimetrales deber� estar configurado de forma adecuada e implementar� protecci髇 en tiempo real de acuerdo a las recomendaciones del fabricante.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.6.

– Categor韆 MEDIA: op.exp.6+ R1 + R2.

– Categor韆 ALTA: op.exp.6+ R1 + R2 + R3 + R4.

4.3.7 Gesti髇 de incidentes [op.exp.7].

Requisitos.

– [op.exp.7.1] Se dispondr� de un proceso integral para hacer frente a los incidentes que puedan tener un impacto en la seguridad del sistema, que incluya el informe de eventos de seguridad y debilidades, detallando los criterios de clasificaci髇 y el escalado de la notificaci髇.

– [op.exp.7.2] La gesti髇 de incidentes que afecten a datos personales tendr� en cuenta lo dispuesto en el Reglamento General de Protecci髇 de Datos; la Ley Org醤ica 3/2018, de 5 de diciembre, en especial su disposici髇 adicional primera, as� como el resto de normativa de aplicaci髇, sin perjuicio de los requisitos establecidos en este real decreto.

Refuerzo R1-Notificaci髇.

– [op.exp.7.r1.1] Se dispondr� de soluciones de ventanilla 鷑ica para la notificaci髇 de incidentes al CCN-CERT, que permita la distribuci髇 de notificaciones a las diferentes entidades de manera federada, utilizando para ello dependencias administrativas jer醨quicas.

Refuerzo R2 –Detecci髇 y Respuesta.

El proceso integral para hacer frente a los incidentes que puedan tener un impacto en la seguridad del sistema ([op.exp.7.1]) deber� incluir:

– [op.exp.7.r2.1] Implantaci髇 de medidas urgentes, incluyendo la detenci髇 de servicios, el aislamiento del sistema afectado, la recogida de evidencias y protecci髇 de los registros, seg鷑 convenga al caso.

– [op.exp.7.r2.2] Asignaci髇 de recursos para investigar las causas, analizar las consecuencias y resolver el incidente.

– [op.exp.7.r2.3] Informar del incidente a los responsables de la informaci髇 y servicios afectados y de las actuaciones llevadas a cabo para su resoluci髇.

– [op.exp.7.r2.4] Medidas para:

• a) Prevenir que se repita el incidente.
• b) Incluir en los procedimientos de usuario la identificaci髇 y forma de tratar el incidente.
• c) Actualizar, extender, mejorar u optimizar los procedimientos de resoluci髇 de incidentes.

Refuerzo R3-Reconfiguraci髇 din醡ica.

La reconfiguraci髇 din醡ica del sistema persigue detener, desviar o limitar ataques, acotando los da駉s.

– [op.exp.7.r3.1] La reconfiguraci髇 din醡ica incluye, por ejemplo, cambios en las reglas de los enrutadores (routers), listas de control de acceso, par醡etros del sistema de detecci髇 / prevenci髇 de intrusiones y reglas en los cortafuegos y puertas de enlace, aislamiento de elementos cr韙icos y aislamiento de las copias de seguridad.

– [op.exp.7.r3.2] El organismo adaptar� los procedimientos de reconfiguraci髇 din醡ica reaccionando a los anuncios recibidos del CCN-CERT relativos a ciberamenazas sofisticadas y campa馻s de ataques.

Refuerzo R4-Prevenci髇 y Respuesta Autom醫ica.

– [op.exp.7.r4.1] Se dispondr� de herramientas que automaticen el proceso de prevenci髇 y respuesta mediante la detecci髇 e identificaci髇 de anomal韆s, la segmentaci髇 din醡ica de la red para reducir la superficie de ataque, el aislamiento de dispositivos cr韙icos, etc.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.7.

– Categor韆 MEDIA: op.exp.7+ R1 + R2.

– Categor韆 ALTA: op.exp.7+ R1 + R2 + R3.

4.3.8 Registro de la actividad [op.exp.8].

Requisitos.

Se registrar醤 las actividades en el sistema, de forma que:

– [op.exp.8.1] Se generar� un registro de auditor韆, que incluir�, al menos, el identificador del usuario o entidad asociado al evento, fecha y hora, sobre qu� informaci髇 se realiza el evento, tipo de evento y el resultado del evento (fallo o 閤ito), seg鷑 la pol韙ica de seguridad y los procedimientos asociados a la misma.

– [op.exp.8.2] Se activar醤 los registros de actividad en los servidores.

Refuerzo R1-Revisi髇 de los registros.

– [op.exp.8.r1.1] Se revisar醤 informalmente, de forma peri骴ica, los registros de actividad, buscando patrones anormales.

Refuerzo R2-Sincronizaci髇 del reloj del sistema.

– [op.exp.8.r2.1] El sistema deber� disponer de una referencia de tiempo (timestamp) para facilitar las funciones de registro de eventos y auditor韆. La modificaci髇 de la referencia de tiempo del sistema ser� una funci髇 de administraci髇 y, en caso de realizarse su sincronizaci髇 con otros dispositivos, deber醤 utilizarse mecanismos de autenticaci髇 e integridad.

Refuerzo R3-Retenci髇 de registros.

– [op.exp.8.r3.1] En la documentaci髇 de seguridad del sistema se deber醤 indicar los eventos de seguridad que ser醤 auditados y el tiempo de retenci髇 de los registros antes de ser eliminados.

Refuerzo R4-Control de acceso.

– [op.exp.8.r4.1] Los registros de actividad y, en su caso, las copias de seguridad de los mismos, solamente podr醤 ser accedidos o eliminarse por personal debidamente autorizado.

Refuerzo R5-Revisi髇 autom醫ica y correlaci髇 de eventos.

– [op.exp.8.r5.1] El sistema deber� implementar herramientas para analizar y revisar la actividad del sistema y la informaci髇 de auditor韆, en b鷖queda de comprometimientos de la seguridad posibles o reales.

– [op.exp.8.r5.2] Se dispondr� de un sistema autom醫ico de recolecci髇 de registros, correlaci髇 de eventos y respuesta autom醫ica ante los mismos.

Aplicaci髇 de la medida (por trazabilidad).

– Nivel BAJO: op.exp.8.

– Nivel MEDIO: op.exp.8 + R1 + R2 + R3 + R4.

– Nivel ALTO: op.exp.8 + R1 + R2 + R3 + R4 + R5.

4.3.9 Registro de la gesti髇 de incidentes [op.exp.9].

Requisitos.

Se registrar醤 todas las actuaciones relacionadas con la gesti髇 de incidentes, de forma que:

– [op.exp.9.1] Se registrar醤 los reportes iniciales, intermedios y finales de los incidentes, las actuaciones de emergencia y las modificaciones del sistema derivadas del incidente.

– [op.exp.9.2] Se registrar� aquella evidencia que pueda dirimirse en un 醡bito jurisdiccional, especialmente cuando el incidente pueda comportar acciones disciplinarias sobre el personal interno, sobre proveedores externos o en la persecuci髇 de delitos. En la determinaci髇 de la composici髇 y detalle de estas evidencias, se recurrir� a asesoramiento legal especializado.

– [op.exp.9.3] Como consecuencia del an醠isis de los incidentes, se revisar� la determinaci髇 de los eventos auditables.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.9.

– Categor韆 MEDIA: op.exp.9.

– Categor韆 ALTA: op.exp.9.

4.3.10 Protecci髇 de claves criptogr醘icas [op.exp.10].

Requisitos.

– [op.exp.10.1] Las claves criptogr醘icas se proteger醤 durante todo su ciclo de vida: (1) generaci髇, (2) transporte al punto de explotaci髇, (3) custodia durante la explotaci髇, (4) archivo posterior a su retirada de explotaci髇 activa y (5) destrucci髇 final.

– [op.exp.10.2] Los medios de generaci髇 estar醤 aislados de los medios de explotaci髇.

– [op.exp.10.3] Las claves retiradas de operaci髇 que deban ser archivadas, lo ser醤 en medios aislados de los de explotaci髇.

Refuerzo R1-Algoritmos autorizados.

– [op.exp.10.r1.1] Se emplear醤 algoritmos y par醡etros autorizados por el CCN.

Refuerzo R2-Protecci髇 avanzada de claves criptogr醘icas.

– [op.exp.10.r2.1] Se emplear醤 cifradores que cumplan con los requisitos establecidos en la gu韆 CCN-STIC que sea de aplicaci髇.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.exp.10.

– Categor韆 MEDIA: op.exp.10 + R1.

– Categor韆 ALTA: op.exp.10 + R1.

4.4 Recursos externos [op.ext].

Cuando la organizaci髇 utilice recursos externos (servicios, productos, instalaciones o personal), mantendr� la plena responsabilidad de los riesgos para la informaci髇 tratada o los servicios prestados, debiendo adoptar las medidas necesarias para ejercer su responsabilidad y mantener el control en todo momento.

4.4.1 Contrataci髇 y acuerdos de nivel de servicio [op.ext.1].

Requisitos.

– [op.ext.1.1] Con anterioridad a la efectiva utilizaci髇 de los recursos externos se establecer� contractualmente un Acuerdo de Nivel de Servicio, que incluir� las caracter韘ticas del servicio prestado, lo que debe entenderse como 玸ervicio m韓imo admisible�, as� como, la responsabilidad del prestador y las consecuencias de eventuales incumplimientos.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: op.ext.1.

– Categor韆 ALTA: op.ext.1.

4.4.2 Gesti髇 diaria [op.ext.2].

Requisitos.

Se establecer� lo siguiente:

– [op.ext.2.1] Un sistema rutinario para medir el cumplimiento de las obligaciones de servicio, incluyendo el procedimiento para neutralizar cualquier desviaci髇 fuera del margen de tolerancia acordado ([op.ext.1]).

– [op.ext.2.2] El mecanismo y los procedimientos de coordinaci髇 para llevar a cabo las tareas de mantenimiento de los sistemas comprendidos en el acuerdo, que contemplar醤 los supuestos de incidentes y desastres (ver [op.exp.7]).

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: op.ext.2.

– Categor韆 ALTA: op.ext.2.

4.4.3 Protecci髇 de la cadena de suministro [op.ext.3].

Requisitos.

– [op.ext.3.1] Se analizar� el impacto que puede tener sobre el sistema un incidente accidental o deliberado que tenga su origen en la cadena de suministro.

– [op.ext.3.2] Se estimar� el riesgo sobre el sistema por causa del impacto estimado en el punto anterior.

– [op.ext.3.3] Se tomar醤 medidas de contenci髇 de los impactos estimados en los puntos anteriores.

Refuerzo R1-Plan de contingencia.

– [op.ext.3.r1.1] El plan de continuidad de la organizaci髇 deber� tener en cuenta la dependencia de proveedores externos cr韙icos.

– [op.ext.3.r1.2] Se deber醤 realizar pruebas o ejercicios de continuidad, incluyendo escenarios en los que falla un proveedor.

Refuerzo R2-Sistema de gesti髇 de la seguridad.

– [op.ext.3.r2.1] Se implementar� un sistema de protecci髇 de los procesos y flujos de informaci髇 en las relaciones en l韓ea (online) entre los distintos integrantes de la cadena de suministro.

Refuerzo R3-Lista de componentes software.

– [op.ext.3.r3.1] Se mantendr� actualizado un registro formal que contenga los detalles y las relaciones de la cadena de suministro de los diversos componentes utilizados en la construcci髇 de programas inform醫icos, acorde a lo especificado en [mp.sw.1.r5]. Esta lista ser� proporcionada por el proveedor de la aplicaci髇, librer韆 o producto suministrado.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: no aplica.

– Categor韆 ALTA: op.ext.3.

4.4.4 Interconexi髇 de sistemas [op.ext.4].

Se denomina interconexi髇 al establecimiento de enlaces con otros sistemas de informaci髇 para el intercambio de informaci髇 y servicios.

Requisitos.

– [op.ext.4.1] Todos los intercambios de informaci髇 y prestaci髇 de servicios con otros sistemas deber醤 ser objeto de una autorizaci髇 previa. Todo flujo de informaci髇 estar� prohibido salvo autorizaci髇 expresa.

– [op.ext.4.2] Para cada interconexi髇 se documentar� expl韈itamente: las caracter韘ticas de la interfaz, los requisitos de seguridad y protecci髇 de datos y la naturaleza de la informaci髇 intercambiada.

Refuerzo R1-Coordinaci髇 de actividades.

– [op.ext.4.r1.1] Cuando se interconecten sistemas en los que la identificaci髇, autenticaci髇 y autorizaci髇 tengan lugar en diferentes dominios de seguridad, bajo distintas responsabilidades, las medidas de seguridad locales se acompa馻r醤 de los correspondientes mecanismos y procedimientos de coordinaci髇 para la atribuci髇 y ejercicio efectivos de las responsabilidades de cada sistema.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: op.ext.4.

– Categor韆 ALTA: op.ext.4 + R1.

4.5 Servicios en la nube [op.nub].

4.5.1 Protecci髇 de servicios en la nube [op.nub.1].

Requisitos.

– [op.nub.1.1] Los sistemas que suministran un servicio en la nube a organismos del sector p鷅lico deber醤 cumplir con el conjunto de medidas de seguridad en funci髇 del modelo de servicio en la nube que presten: Software como Servicio (Software as a Service, SaaS), Plataforma como Servicio (Platform as a Service, PaaS) e Infraestructura como Servicio (Infrastructure as a Service, IaaS) definidas en las gu韆s CCN-STIC que sean de aplicaci髇.

– [op.nub.1.2] Cuando se utilicen servicios en la nube suministrados por terceros, los sistemas de informaci髇 que los soportan deber醤 ser conformes con el ENS o cumplir con las medidas desarrolladas en una gu韆 CCN-STIC que incluir�, entre otros, requisitos relativos a:

• a) Auditor韆 de pruebas de penetraci髇 (pentesting).
• b) Transparencia.
• c) Cifrado y gesti髇 de claves.
• d) Jurisdicci髇 de los datos.

Refuerzo R1- Servicios certificados.

– [op.nub.1.r1.1] Cuando se utilicen servicios en la nube suministrados por terceros, estos deber醤 estar certificados bajo una metodolog韆 de certificaci髇 reconocida por el Organismo de Certificaci髇 del Esquema Nacional de Evaluaci髇 y Certificaci髇 de Seguridad de las Tecnolog韆s de la Informaci髇.

– [op.nub.1.r1.2] Si el servicio en la nube es un servicio de seguridad deber� cumplir con los requisitos establecidos en [op.pl.5].

Refuerzo R2-Gu韆s de Configuraci髇 de Seguridad Espec韋icas.

– [op.nub.1.r2.1] La configuraci髇 de seguridad de los sistemas que proporcionan estos servicios deber� realizarse seg鷑 la correspondiente gu韆 CCN-STIC de Configuraci髇 de Seguridad Espec韋ica, orientadas tanto al usuario como al proveedor.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.nub.1.

– Categor韆 MEDIA: op.nub.1 + R1.

– Categor韆 ALTA: op.nub.1+ R1 + R2.

4.6 Continuidad del servicio [op.cont].

4.6.1 An醠isis de impacto [op.cont.1].

Requisitos.

– [op.cont.1.1] Se realizar� un an醠isis de impacto que permita determinar los requisitos de disponibilidad de cada servicio (impacto de una interrupci髇 durante un periodo de tiempo determinado), as� como los elementos que son cr韙icos para la prestaci髇 de cada servicio.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: op.cont.1.

– Nivel ALTO: op.cont.1.

4.6.2 Plan de continuidad [op.cont.2].

Requisitos.

Se desarrollar� un plan de continuidad que establezca las acciones a ejecutar en caso de interrupci髇 de los servicios prestados con los medios habituales. Dicho plan contemplar� los siguientes aspectos:

– [op.cont.2.1] Se identificar醤 funciones, responsabilidades y actividades a realizar.

– [op.cont.2.2] Existir� una previsi髇 para coordinar la entrada en servicio de los medios alternativos de forma que se garantice poder seguir prestando los servicios esenciales de la organizaci髇.

– [op.cont.2.3] Todos los medios alternativos estar醤 planificados y materializados en acuerdos o contratos con los proveedores correspondientes.

– [op.cont.2.4] Las personas afectadas por el plan recibir醤 formaci髇 espec韋ica relativa a su papel en dicho plan.

– [op.cont.2.5] El plan de continuidad ser� parte integral y arm髇ica de los planes de continuidad de la organizaci髇 en otras materias ajenas a la seguridad.

Refuerzo R1-Plan de emergencia y contingencia.

– [op.cont.2.r1.1] Cuando se determine la necesidad de continuidad de los sistemas, deber� existir un plan de emergencia y contingencia en consonancia. En funci髇 del an醠isis de Impacto, se determinar醤 los aspectos a cubrir.

Refuerzo R2-Comprobaci髇 de integridad.

– [op.cont.2.r2.1] Ante una ca韉a o discontinuidad del sistema, se deber� comprobar la integridad del sistema operativo, del firmware y de los ficheros de configuraci髇.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: no aplica.

– Nivel ALTO: op.cont.2.

4.6.3 Pruebas peri骴icas [op.cont.3].

Requisitos.

– [op.cont.3.1] Se realizar醤 pruebas peri骴icas para localizar y, en su caso, corregir los errores o deficiencias que puedan existir en el plan de continuidad.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: no aplica.

– Nivel ALTO: op.cont.3.

4.6.4 Medios alternativos [op.cont.4].

Requisitos.

– [op.cont.4.1] Estar� prevista la disponibilidad de medios alternativos para poder seguir prestando servicio cuando los medios habituales no est閚 disponibles. En concreto, se cubrir醤 los siguientes elementos del sistema:

• a) Servicios contratados a terceros.
• b) Instalaciones alternativas.
• c) Personal alternativo.
• d) Equipamiento inform醫ico alternativo.
• e) Medios de comunicaci髇 alternativos.

– [op.cont.4.2] Se establecer� un tiempo m醲imo para que los medios alternativos entren en funcionamiento.

– [op.cont.4.3] Los medios alternativos estar醤 sometidos a las mismas garant韆s de seguridad que los originales.

Refuerzo R1-Automatizaci髇 de la transici髇 a medios alternativos.

– [op.cont.4.r1.1] El sistema dispondr� de elementos hardware o software que permitan la transferencia de los servicios autom醫icamente a los medios alternativos.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: no aplica.

– Nivel ALTO: op.cont.4.

4.7 Monitorizaci髇 del sistema [op.mon].

El sistema estar� sujeto a medidas de monitorizaci髇 de su actividad y ejecutar� acciones predeterminadas en funci髇 de las situaciones de compromiso de la seguridad que figuren en el an醠isis de riesgos. Esto puede incluir la generaci髇 de alarmas en tiempo real, la finalizaci髇 del proceso que est� ocasionando la alarma, la inhabilitaci髇 de determinados servicios, la desconexi髇 de usuarios y el bloqueo de cuentas.

4.7.1 Detecci髇 de intrusi髇 [op.mon.1].

Requisitos.

– [op.mon.1.1] Se dispondr� de herramientas de detecci髇 o prevenci髇 de intrusiones.

Refuerzo R1-Detecci髇 basada en reglas.

– [op.mon.1.r1.1] El sistema dispondr� de herramientas de detecci髇 o prevenci髇 de intrusiones basadas en reglas.

Refuerzo R2-Procedimientos de respuesta.

– [op.mon.1.r2.1] Existir醤 procedimientos de respuesta a las alertas generadas por el sistema de detecci髇 o prevenci髇 de intrusiones.

Refuerzo R3-Acciones predeterminadas.

– [op.mon.1.r3.1] El sistema ejecutar� autom醫icamente acciones predeterminadas de respuesta a las alertas generadas. Esto puede incluir la finalizaci髇 del proceso que est� ocasionando la alerta, la inhabilitaci髇 de determinados servicios, la desconexi髇 de usuarios y el bloqueo de cuentas.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.mon.1.

– Categor韆 MEDIA: op.mon.1 + R1.

– Categor韆 ALTA: op.mon.1+ R1 + R2.

4.7.2 Sistema de m閠ricas [op.mon.2].

Requisitos.

– [op.mon.2.1] Atendiendo a la categor韆 de seguridad del sistema, se recopilar醤 los datos necesarios para conocer el grado de implantaci髇 de las medidas de seguridad que resulten aplicables y, en su caso, para proveer el informe anual requerido por el art韈ulo 32.

Refuerzo R1-Efectividad del sistema de gesti髇 de incidentes.

– [op.mon.2.r1.1] Se recopilar醤 los datos precisos que posibiliten evaluar el comportamiento del sistema de gesti髇 de incidentes, de acuerdo con la Instrucci髇 T閏nica de Seguridad de Notificaci髇 de Incidentes de Seguridad y con la correspondiente gu韆 CCN-STIC.

Refuerzo R2-Eficiencia del sistema de gesti髇 de la seguridad.

– [op.mon.2.r2.1] Se recopilar醤 los datos precisos para conocer la eficiencia del sistema de seguridad, en relaci髇 con los recursos consumidos, en t閞minos de horas y presupuesto.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.mon.2.

– Categor韆 MEDIA: op.mon.2 + R1+ R2.

– Categor韆 ALTA: op.mon.2 + R1 + R2.

4.7.3 Vigilancia [op.mon.3].

Requisitos.

– [op.mon.3.1] Se dispondr� de un sistema autom醫ico de recolecci髇 de eventos de seguridad.

Refuerzo R1-Correlaci髇 de eventos.

– [op.mon.3.r1.1] Se dispondr� de un sistema autom醫ico de recolecci髇 de eventos de seguridad que permita la correlaci髇 de los mismos.

Refuerzo R2-An醠isis din醡ico.

– [op.mon.3.r2.1] Se dispondr� de soluciones de vigilancia que permitan determinar la superficie de exposici髇 con relaci髇 a vulnerabilidades y deficiencias de configuraci髇.

Refuerzo R3-Ciberamenazas avanzadas.

– [op.mon.3.r3.1] Se dispondr� de sistemas para detecci髇 de amenazas avanzadas y comportamientos an髆alos.

– [op.mon.3.r3.2] Se dispondr� de sistemas para la detecci髇 de amenazas persistentes avanzadas (Advanced Persistent Threat, APT) mediante la detecci髇 de anomal韆s significativas en el tr醘ico de la red.

Refuerzo R4-Observatorios digitales.

– [op.mon.3.r4.1] Se dispondr� de observatorios digitales con fines de cibervigilancia dedicados a la detecci髇 y seguimiento de anomal韆s que pudieran representar indicadores de amenaza en contenidos digitales.

Refuerzo R5-Miner韆 de datos.

Se aplicar醤 medidas para prevenir, detectar y reaccionar frente a intentos de miner韆 de datos:

– [op.mon.3.r5.1] Limitaci髇 de las consultas, monitorizando volumen y frecuencia.

– [op.mon.3.r5.2] Alerta a los administradores de seguridad de comportamientos sospechosos en tiempo real.

Refuerzo R6-Inspecciones de seguridad.

Peri骴icamente, o tras incidentes que hayan desvelado vulnerabilidades del sistema nuevas o subestimadas, se realizar醤 las siguientes inspecciones:

– [op.mon.3.r6.1] Verificaci髇 de configuraci髇.

– [op.mon.3.r6.2] An醠isis de vulnerabilidades.

– [op.mon.3.r6.3] Pruebas de penetraci髇.

Refuerzo R7-Interconexiones.

– [op.mon.3.r7.1] En las interconexiones que lo requieran se aplicar醤 controles en los flujos de intercambio de informaci髇 a trav閟 del uso de metadatos.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: op.mon.3.

– Categor韆 MEDIA: op.mon.3 + R1 + R2.

– Categor韆 ALTA: op.mon.3 + R1 + R2 + R3 + R4 + R5 + R6.

5
Medidas de protecci髇 [mp]

Las medidas de protecci髇 estar醤 dirigidas a proteger activos concretos, seg鷑 su naturaleza, con el nivel requerido en cada dimensi髇 de seguridad.

5.1 Protecci髇 de las instalaciones e infraestructuras [mp.if].

5.1.1 羠eas separadas y con control de acceso [mp.if.1].

Requisitos.

– [mp.if.1.1] El equipamiento del Centro de Proceso de Datos (CPD) se instalar�, en la medida de lo posible, en 醨eas separadas, espec韋icas para su funci髇.

– [mp.if.1.2] Se controlar醤 los accesos a las 醨eas indicadas de forma que s髄o se pueda acceder por las entradas previstas.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.if.1.

– Categor韆 MEDIA: mp.if.1.

– Categor韆 ALTA: mp.if.1.

5.1.2 Identificaci髇 de las personas [mp.if.2].

Requisitos.

[mp.if.2.1] El procedimiento de control de acceso identificar� a las personas que accedan a los locales donde hay equipamiento esencial que forme parte del sistema de informaci髇 del CPD, registrando las correspondientes entradas y salidas.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.if.2.

– Categor韆 MEDIA: mp.if.2.

– Categor韆 ALTA: mp.if.2.

5.1.3 Acondicionamiento de los locales [mp.if.3].

Requisitos.

Los locales donde se ubiquen los sistemas de informaci髇 y sus componentes esenciales dispondr醤 de elementos adecuados para el eficaz funcionamiento del equipamiento all� instalado, y, en especial, para asegurar:

– [mp.if.3.1] Las condiciones de temperatura y humedad.

– [mp.if.3.2] La protecci髇 frente a las amenazas identificadas en el an醠isis de riesgos.

– [mp.if.3.3] La protecci髇 del cableado frente a incidentes fortuitos o deliberados.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.if.3.

– Categor韆 MEDIA: mp.if.3.

– Categor韆 ALTA: mp.if.3.

5.1.4 Energ韆 el閏trica [mp.if.4].

Requisitos.

– [mp.if.4.1] Los locales donde se ubiquen los sistemas de informaci髇 y sus componentes esenciales dispondr醤 de tomas de energ韆 el閏trica, de modo que se garantice el suministro y el correcto funcionamiento de las luces de emergencia.

Refuerzo R1-Suministro el閏trico de emergencia.

– [mp.if.4.r1.1] En caso de fallo del suministro principal, el abastecimiento el閏trico deber� estar garantizado durante el tiempo suficiente para una terminaci髇 ordenada de los procesos y la salvaguarda de la informaci髇.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: mp.if.4.

– Nivel MEDIO: mp.if.4 + R1.

– Nivel ALTO: mp.if.4 + R1.

5.1.5 Protecci髇 frente a incendios [mp.if.5].

Requisitos.

– [mp.if.5.1] Los locales donde se ubiquen los sistemas de informaci髇 y sus componentes esenciales se proteger醤 frente a incendios atendiendo, al menos, a la normativa industrial de aplicaci髇.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: mp.if.5.

– Nivel MEDIO: mp.if.5.

– Nivel ALTO: mp.if.5.

5.1.6 Protecci髇 frente a inundaciones [mp.if.6].

Requisitos.

– [mp.if.6.1] Los locales donde se ubiquen los sistemas de informaci髇 y sus componentes esenciales se proteger醤 frente a incidentes causados por el agua.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: mp.if.6.

– Nivel ALTO: mp.if.6.

5.1.7 Registro de entrada y salida de equipamiento [mp.if.7].

Requisitos.

– [mp.if.7.1] Se llevar� un registro pormenorizado de cualquier entrada y salida de equipamiento esencial, incluyendo la identificaci髇 de la persona que autoriza el movimiento.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.if.7.

– Categor韆 MEDIA: mp.if.7.

– Categor韆 ALTA: mp.if.7.

5.2 Gesti髇 del personal [mp.per].

5.2.1 Caracterizaci髇 del puesto de trabajo [mp.per.1].

Requisitos.

– [mp.per.1.1] Para cada puesto de trabajo, relacionado directamente con el manejo de informaci髇 o servicios, se definir醤 las responsabilidades en materia de seguridad, que estar醤 basadas en el an醠isis de riesgos.

– [mp.per.1.2] Se definir醤 los requisitos que deben satisfacer las personas que vayan a ocupar el puesto de trabajo, en particular, en t閞minos de confidencialidad. Dichos requisitos se tendr醤 en cuenta en la selecci髇 de la persona que vaya a ocupar el puesto, incluyendo la verificaci髇 de sus antecedentes laborales, formaci髇 y otras referencias, de conformidad con el ordenamiento jur韉ico y el respeto a los derechos fundamentales.

Refuerzo R1-Habilitaci髇 Personal de Seguridad.

– [mp.per.1.r1.1] Los administradores de seguridad/sistema tendr醤 una Habilitaci髇 Personal de Seguridad (HPS) otorgada por la autoridad competente, como consecuencia de los resultados del an醠isis de riesgos previo o como requisito de seguridad de un sistema espec韋ico.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: mp.per.1.

– Categor韆 ALTA: mp.per.1.

5.2.2 Deberes y obligaciones [mp.per.2].

Requisitos.

Se informar� a cada persona que trabaje en el sistema de los deberes y responsabilidades de su puesto de trabajo en materia de seguridad, contemplando:

– [mp.per.2.1] Las medidas disciplinarias a que haya lugar.

– [mp.per.2.2] Contemplando tanto el periodo durante el cual se desempe馻 el puesto, como las obligaciones en caso de t閞mino de la asignaci髇, o traslado a otro puesto de trabajo.

– [mp.per.2.3] El deber de confidencialidad respecto de los datos a los que tenga acceso, tanto durante el periodo que est� adscrito al puesto de trabajo, como posteriormente a su terminaci髇.

– [mp.per.2.4] En caso de personal contratado a trav閟 de un tercero:

• [mp.per.2.4.1] Se establecer醤 los deberes y obligaciones de cada parte y del personal contratado.

• [mp.per.2.4.2] Se establecer� el procedimiento de resoluci髇 de incidentes relacionados con el incumplimiento de las obligaciones.

Refuerzo R1-Confirmaci髇 expresa.

– [mp.per.2.r1.1] Se ha de obtener la confirmaci髇 expresa de que los usuarios conocen las instrucciones de seguridad necesarias y obligatorias y su aceptaci髇, as� como los procedimientos necesarios para llevarlas a cabo de manera adecuada.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.per.2.

– Categor韆 MEDIA: mp.per.2 + R1.

– Categor韆 ALTA: mp.per.2 + R1.

5.2.3 Concienciaci髇 [mp.per.3].

Requisitos.

Se realizar醤 las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos. En particular, se recordar� peri骴icamente:

– [mp.per.3.1] La normativa de seguridad relativa al buen uso de los equipos o sistemas y las t閏nicas de ingenier韆 social m醩 habituales.

– [mp.per.3.2] La identificaci髇 de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado.

– [mp.per.3.3] El procedimiento para informar sobre incidentes de seguridad, sean reales o falsas alarmas.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.per.3.

– Categor韆 MEDIA: mp.per.3.

– Categor韆 ALTA: mp.per.3.

5.2.4 Formaci髇 [mp.per.4].

Requisitos.

– [mp.per.4.1] Se formar� regularmente al personal en aquellas materias relativas a seguridad de la informaci髇 que requiera el desempe駉 de sus funciones, en particular en lo relativo a:

• a) Configuraci髇 de sistemas.
• b) Detecci髇 y reacci髇 ante incidentes.
• c) Gesti髇 de la informaci髇 en cualquier soporte en el que se encuentre. Se cubrir醤 al menos las siguientes actividades: almacenamiento, transferencia, copias, distribuci髇 y destrucci髇.

Adem醩, se evaluar� la eficacia de las acciones formativas llevadas a cabo.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.per.4.

– Categor韆 MEDIA: mp.per.4.

– Categor韆 ALTA: mp.per.4.

5.3 Protecci髇 de los equipos [mp.eq].

5.3.1 Puesto de trabajo despejado [mp.eq.1].

Requisitos.

– [mp.eq.1.1] Los puestos de trabajo permanecer醤 despejados, sin que exista material distinto del necesario en cada momento.

Refuerzo R1-Almacenamiento del material.

– [mp.eq.1.r1.1] Una vez usado, y siempre que sea factible, el material se almacenar� en lugar cerrado.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.eq.1.

– Categor韆 MEDIA: mp.eq.1 + R1.

– Categor韆 ALTA: mp.eq.1 + R1.

5.3.2 Bloqueo de puesto de trabajo [mp.eq.2].

Requisitos.

– [mp.eq.2.1] El puesto de trabajo se bloquear� al cabo de un tiempo prudencial de inactividad, requiriendo una nueva autenticaci髇 del usuario para reanudar la actividad en curso.

Refuerzo R1-Cierre de sesiones.

– [mp.eq.2.r1.1] Pasado un cierto tiempo, superior al anterior, se cancelar醤 las sesiones abiertas desde dicho puesto de trabajo.

Una Gu韆 CCN-STIC concretar� la implementaci髇 de la configuraci髇 de seguridad adaptada a la categorizaci髇 del sistema o perfil de cumplimiento asociado.

Aplicaci髇 de la medida (por autenticidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: mp.eq.2.

– Nivel ALTO: mp.eq.2 + R1.

5.3.3 Protecci髇 de dispositivos port醫iles [mp.eq.3].

Requisitos.

Los equipos (ordenadores port醫iles, tabletas, etc.) que sean susceptibles de salir de las instalaciones de la organizaci髇 y no puedan beneficiarse de la protecci髇 f韘ica correspondiente, con un riesgo manifiesto de p閞dida o robo, ser醤 protegidos adecuadamente.

Sin perjuicio de las medidas generales que les afecten, se adoptar醤 las siguientes:

– [mp.eq.3.1] Se llevar� un inventario de dispositivos port醫iles junto con una identificaci髇 de la persona responsable de cada uno de ellos y un control regular de que est� positivamente bajo su control.

– [mp.eq.3.2] Se establecer� un procedimiento operativo de seguridad para informar al servicio de gesti髇 de incidentes de p閞didas o sustracciones.

– [mp.eq.3.3] Cuando un dispositivo port醫il se conecte remotamente a trav閟 de redes que no est醤 bajo el estricto control de la organizaci髇, el 醡bito de operaci髇 del servidor limitar� la informaci髇 y los servicios accesibles a los m韓imos imprescindibles, requiriendo autorizaci髇 previa de los responsables de la informaci髇 y los servicios afectados. Este punto es de aplicaci髇 a conexiones a trav閟 de internet y otras redes que no sean de confianza.

– [mp.eq.3.4] Se evitar�, en la medida de lo posible, que el dispositivo port醫il contenga claves de acceso remoto a la organizaci髇 que no sean imprescindibles. Se considerar醤 claves de acceso remoto aquellas que sean capaces de habilitar un acceso a otros equipos de la organizaci髇 u otras de naturaleza an醠oga.

Refuerzo R1– Cifrado del disco.

– [mp.eq.3.r1.1] Se proteger� el dispositivo port醫il mediante cifrado del disco duro cuando el nivel de confidencialidad de la informaci髇 almacenada en el mismo sea de nivel MEDIO.

Refuerzo R2– Entornos protegidos.

– [mp.eq.3.r2.1] El uso de dispositivos port醫iles fuera de las instalaciones de la organizaci髇 se restringir� a entornos protegidos, donde el acceso sea controlado y a salvo de hurtos y miradas indiscretas.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.eq.3.

– Categor韆 MEDIA: mp.eq.3.

– Categor韆 ALTA: mp.eq.3 + R1 + R2.

5.3.4 Otros dispositivos conectados a la red [mp.eq.4].

Esta medida afecta a todo tipo de dispositivos conectados a la red y que puedan tener en alg鷑 momento acceso a la informaci髇, tales como:

• a) Dispositivos multifunci髇: impresoras, esc醤eres, etc.
• b) Dispositivos multimedia: proyectores, altavoces inteligentes, etc.
• c) Dispositivos internet de las cosas, en ingl閟 Internet of Things (IoT).
• d) Dispositivos de invitados y los personales de los propios empleados, en ingl閟 Bring Your Own Device (BYOD).
• e) Otros.

Requisitos.

– [mp.eq.4.1] Los dispositivos presentes en el sistema deber醤 contar con una configuraci髇 de seguridad adecuada de manera que se garantice el control del flujo definido de entrada y salida de la informaci髇.

– [mp.eq.4.2] Los dispositivos presentes en la red que dispongan de alg鷑 tipo de almacenamiento temporal o permanente de informaci髇 proporcionar醤 la funcionalidad necesaria para eliminar informaci髇 de soportes de informaci髇. (Ver [mp.si.5]).

Refuerzo R1-Productos certificados.

– [mp.eq.4.r1.1] Se usar醤, cuando sea posible, productos o servicios que cumplan lo establecido en [op.pl.5].

Refuerzo R2-Control de dispositivos conectados a la red.

– [mp.eq.4.r2.1] Se dispondr� de soluciones que permitan visualizar los dispositivos presentes en la red, controlar su conexi髇/desconexi髇 a la misma y verificar su configuraci髇 de seguridad.

Aplicaci髇 de la medida (por confidencialidad).

– Nivel BAJO: mp.eq.4.

– Nivel MEDIO: mp.eq.4 + R1.

– Nivel ALTO: mp.eq.4+ R1.

5.4 Protecci髇 de las comunicaciones [mp.com].

5.4.1 Per韒etro seguro [mp.com.1].

Requisitos.

– [mp.com.1.1] Se dispondr� de un sistema de protecci髇 perimetral que separe la red interna del exterior. Todo el tr醘ico deber� atravesar dicho sistema.

– [mp.com.1.2] Todos los flujos de informaci髇 a trav閟 del per韒etro deben estar autorizados previamente.

La Instrucci髇 T閏nica de Seguridad de Interconexi髇 de Sistemas de Informaci髇 determinar� los requisitos establecidos en el per韒etro que han de cumplir todos los componentes del sistema en funci髇 de la categor韆.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.com.1.

– Categor韆 MEDIA: mp.com.1.

– Categor韆 ALTA: mp.com.1.

5.4.2 Protecci髇 de la confidencialidad [mp.com.2].

Requisitos.

– [mp.com.2.1] Se emplear醤 redes privadas virtuales cifradas cuando la comunicaci髇 discurra por redes fuera del propio dominio de seguridad.

Refuerzo R1-Algoritmos y par醡etros autorizados.

– [mp.com.2.r1.1] Se emplear醤 algoritmos y par醡etros autorizados por el CCN.

Refuerzo R2-Dispositivos hardware.

– [mp.com.2.r2.1] Se emplear醤, dispositivos hardware en el establecimiento y utilizaci髇 de la red privada virtual.

Refuerzo R3-Productos certificados.

– [mp.com.2.r3.1] Se usar醤 productos o servicios que cumplan lo establecido en [op.pl.5].

Refuerzo R4-Cifradores.

– [mp.com.2.r4.1] Se emplear醤 cifradores que cumplan con los requisitos establecidos en la gu韆 CCN-STIC que sea de aplicaci髇.

Refuerzo R5-Cifrado de informaci髇 especialmente sensible.

– [mp.com.2.r5.1] Se cifrar� toda la informaci髇 transmitida.

Aplicaci髇 de la medida (por confidencialidad).

– Nivel BAJO: mp.com.2.

– Nivel MEDIO: mp.com.2 + R1.

– Nivel ALTO: mp.com.2 + R1 + R2+ R3.

5.4.3 Protecci髇 de la integridad y de la autenticidad [mp.com.3].

Requisitos.

– [mp.com.3.1] En comunicaciones con puntos exteriores al dominio propio de seguridad, se asegurar� la autenticidad del otro extremo del canal de comunicaci髇 antes de intercambiar informaci髇. (Ver [op.acc.5]).

– [mp.com.3.2] Se prevendr醤 ataques activos garantizando que al ser detectados se activar醤 los procedimientos previstos de tratamiento del incidente. Se considerar醤 ataques activos:

• a) La alteraci髇 de la informaci髇 en tr醤sito.
• b) La inyecci髇 de informaci髇 espuria.
• c) El secuestro de la sesi髇 por una tercera parte.

– [mp.com.3.3] Se aceptar� cualquier mecanismo de identificaci髇 y autenticaci髇 de los previstos en el ordenamiento jur韉ico y en la normativa de aplicaci髇.

Refuerzo R1-Redes privadas virtuales.

– [mp.com.3.r1.1] Se emplear醤 redes privadas virtuales cifradas cuando la comunicaci髇 discurra por redes fuera del propio dominio de seguridad.

Refuerzo R2-Algoritmos y par醡etros autorizados.

– [mp.com.3.r2.1] Se emplear醤 algoritmos y par醡etros autorizados por el CCN.

Refuerzo R3-Dispositivos hardware.

– [mp.com.3.r3.1] Se recomienda emplear dispositivos hardware en el establecimiento y utilizaci髇 de la red privada virtual.

Refuerzo R4-Productos certificados.

– [mp.com.3.r4.1] Se emplear醤 productos certificados conforme a lo establecido en [op.pl.5].

Refuerzo R5-Cifradores.

– [mp.com.3.r5.1] Se emplear醤 cifradores que cumplan con los requisitos establecidos en la gu韆 CCN-STIC que sea de aplicaci髇.

Aplicaci髇 de la medida (por integridad y autenticidad).

– Nivel BAJO: mp.com.3.

– Nivel MEDIO: mp.com.3 + R1 + R2.

– Nivel ALTO: mp.com.3 + R1 + R2 + R3 + R4.

5.4.4 Separaci髇 de flu0jos de informaci髇 en la red [mp.com.4].

La segmentaci髇 acota el acceso a la informaci髇 y, consiguientemente, la propagaci髇 de los incidentes de seguridad, que quedan restringidos al entorno donde ocurren.

Cuando la transmisi髇 de informaci髇 por la red se restringe a ciertos segmentos, se acota el acceso a la informaci髇 y los incidentes de seguridad quedan encapsulados en su segmento.

Requisitos.

Los flujos de informaci髇 se separar醤 en segmentos de forma que:

– [mp.com.4.1] El tr醘ico por la red se segregar� para que cada equipo solamente tenga acceso a la informaci髇 que necesita.

– [mp.com.4.2] Si se emplean comunicaciones inal醡bricas, ser� en un segmento separado.

Refuerzo R1-Segmentaci髇 l骻ica b醩ica.

– [mp.com.4.r1.1] Los segmentos de red se implementar醤 por medio de redes de 醨ea local virtuales (Virtual Local Area Network, VLAN).

– [mp.com.4.r1.2] La red que conforma el sistema deber� segregarse en distintas subredes contemplando como m韓imo:

• Usuarios.

• Servicios.

• Administraci髇.

Refuerzo R2-Segmentaci髇 l骻ica avanzada.

– [mp.com.4.r2.1] Los segmentos de red se implementar醤 por medio de redes privadas virtuales (Virtual Private Network, VPN).

Refuerzo R3-Segmentaci髇 f韘ica.

– [mp.com.4.r3.1] Los segmentos de red se implementar醤 con medios f韘icos separados.

Refuerzo R4-Puntos de interconexi髇.

– [mp.com.4.r4.1] Control de entrada de los usuarios que llegan a cada segmento y control de entrada y salida de la informaci髇 disponible en cada segmento.

– [mp.com.4.r4.2] El punto de interconexi髇 estar� particularmente asegurado, mantenido y monitorizado, (como en [mp.com.1]).

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: mp.com.4+ [R1o R2 o R3].

– Categor韆 ALTA: mp.com.4+[R2 o R3] + R4.

5.5 Protecci髇 de los soportes de informaci髇 [mp.si].

5.5.1 Marcado de soportes [mp.si.1].

Requisitos.

– [mp.si.1.1] Los soportes de informaci髇 (papel impreso, documentos electr髇icos, contenidos multimedia -v韉eos, cursos, presentaciones- etc.) que contengan informaci髇 que seg鷑 [mp.info.2] deba protegerse con medidas de seguridad espec韋icas, llevar醤 las marcas o metadatos correspondientes que indiquen el nivel de seguridad de la informaci髇 contenida de mayor calificaci髇.

Refuerzo R1-Marca de agua digital.

– [mp.si.1.r1.1] La pol韙ica de seguridad de la organizaci髇 definir� marcas de agua para asegurar el uso adecuado de la informaci髇 que se maneja.

– [mp.si.1.r1.2] Los soportes de informaci髇 digital (documentos electr髇icos, material multimedia, etc.) podr醤 incluir una marca de agua seg鷑 la pol韙ica de seguridad.

– [mp.si.1.r1.3] Los equipos o dispositivos a trav閟 de los que se accede a aplicaciones, escritorios remotos o virtuales, datos, etc., presentar醤 una marca de agua en pantalla seg鷑 la pol韙ica de seguridad.

Aplicaci髇 de la medida (por confidencialidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: mp.si.1.

– Nivel ALTO: mp.si.1.

5.5.2 Criptograf韆 [mp.si.2].

Esta medida se aplica, en particular, a todos los dispositivos removibles cuando salen de un 醨ea controlada. Se entender醤 por dispositivos removibles, los CD, DVD, discos extra韇les, pendrives, memorias USB u otros de naturaleza an醠oga.

Requisitos.

– [mp.si.2.1] Se usar醤 mecanismos criptogr醘icos que garanticen la confidencialidad y la integridad de la informaci髇 contenida.

– [mp.si.2.2] Se emplear醤 algoritmos y par醡etros autorizados por el CCN.

Refuerzo R1– Productos certificados.

– [mp.si.2.r1.1] Se emplear醤 productos certificados conforme a lo establecido en [op.pl.5].

Refuerzo R2-Copias de seguridad.

– [mp.si.2.r2.1] Las copias se seguridad se cifrar醤 utilizando algoritmos y par醡etros autorizados por el CCN.

Aplicaci髇 de la medida (por confidencialidad e integridad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: mp.si.2.

– Nivel ALTO: mp.si.2 + R1 + R2.

5.5.3 Custodia [mp.si.3].

Requisitos.

– [mp.si.3.1] Se aplicar� la debida diligencia y control a los soportes de informaci髇 que permanecen bajo la responsabilidad de la organizaci髇, garantizando el control de acceso con medidas f韘icas ([mp.if.1] y [mp.if.7]) o l骻icas ([mp.si.2]).

– [mp.si.3.2] Se respetar醤 las exigencias de mantenimiento del fabricante, en especial, en lo referente a temperatura, humedad y otros agentes medioambientales.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.si.3.

– Categor韆 MEDIA: mp.si.3.

– Categor韆 ALTA: mp.si.3.

5.5.4 Transporte [mp.si.4].

El responsable del sistema garantizar� que los dispositivos permanecen bajo control y que satisfacen sus requisitos de seguridad mientras est醤 siendo desplazados de un lugar a otro, fuera de las zonas controladas por la organizaci髇.

Requisitos.

– [mp.si.4.1] Se dispondr� de un registro de entrada/salida que identifique al transportista que entrega/recibe el soporte.

– [mp.si.4.2] Se dispondr� de un procedimiento rutinario que coteje las salidas con las llegadas y levante las alarmas pertinentes cuando se detecte alg鷑 incidente.

– [mp.si.4.3] Se utilizar醤 los medios de protecci髇 criptogr醘ica ([mp.si.2]) correspondientes al mayor nivel de seguridad de la informaci髇 contenida.

– [mp.si.4.4] Se gestionar醤 las claves seg鷑 [op.exp.10].

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.si.4.

– Categor韆 MEDIA: mp.si.4.

– Categor韆 ALTA: mp.si.4.

5.5.5 Borrado y destrucci髇 [mp.si.5].

La medida de borrado y destrucci髇 de soportes de informaci髇 se aplicar� a todo tipo de equipos y soportes susceptibles de almacenar informaci髇, incluyendo medios electr髇icos y no electr髇icos.

Requisitos.

– [mp.si.5.1] Los soportes que vayan a ser reutilizados para otra informaci髇 o liberados a otra organizaci髇 ser醤 objeto del borrado seguro de su contenido que no permita su recuperaci髇. Cuando la naturaleza del soporte no permita un borrado seguro, el soporte no podr� ser reutilizado en ning鷑 otro sistema.

Las gu韆s CCN-STIC del CCN precisar醤 los criterios para definir como seguro un mecanismo de borrado o de destrucci髇, en funci髇 de la sensibilidad de la informaci髇 almacenada en el dispositivo.

Refuerzo R1-Productos certificados.

– [mp.si.5.r1.1] Se usar醤 productos o servicios que cumplan lo establecido en [op.pl.5].

Refuerzo R2 - Destrucci髇 de soportes.

– [mp.si.5.r2.1] Una vez finalizado el ciclo de vida del soporte de informaci髇, deber� ser destruido de forma segura conforme a los criterios establecidos por el CCN.

Aplicaci髇 de la medida (por confidencialidad).

– Nivel BAJO: mp.si.5.

– Nivel MEDIO: mp.si.5 + R1.

– Nivel ALTO: mp.si.5 + R1.

5.6 Protecci髇 de las aplicaciones inform醫icas [mp.sw].

5.6.1 Desarrollo de aplicaciones [mp.sw.1].

Requisitos.

– [mp.sw.1.1] El desarrollo de aplicaciones se realizar� sobre un sistema diferente y separado del de producci髇, no debiendo existir herramientas o datos de desarrollo en el entorno de producci髇, ni datos de producci髇 en el de desarrollo.

Refuerzo R1-M韓imo privilegio.

– [mp.sw.1.r1.1] Las aplicaciones se desarrollar醤 respetando el principio de m韓imo privilegio, accediendo 鷑icamente a los recursos imprescindibles para su funci髇, y con los privilegios que sean indispensables.

Refuerzo R2-Metodolog韆 de desarrollo seguro.

– [mp.sw.1.r2.1] Se aplicar� una metodolog韆 de desarrollo seguro reconocida que:

• a) Tendr� en consideraci髇 los aspectos de seguridad a lo largo de todo el ciclo de vida.
• b) Incluir� normas de programaci髇 segura, especialmente: control de asignaci髇 y liberaci髇 de memoria, desbordamiento de memoria (overflow).
• c) Tratar� espec韋icamente los datos usados en pruebas.
• d) Permitir� la inspecci髇 del c骴igo fuente.

Refuerzo R3-Seguridad desde el dise駉.

– [mp.sw.1.r3.1] Los siguientes elementos ser醤 parte integral del dise駉 del sistema:

• a) Los mecanismos de identificaci髇 y autenticaci髇.
• b) Los mecanismos de protecci髇 de la informaci髇 tratada.
• c) La generaci髇 y tratamiento de pistas de auditor韆.

Refuerzo R4-Datos de pruebas.

– [mp.sw.1.r4.1] Preferiblemente, las pruebas previas a la implantaci髇 o modificaci髇 de los sistemas de informaci髇 no se realizar醤 con datos reales. En caso de que fuese necesario recurrir a datos reales se garantizar� el nivel de seguridad correspondiente.

Refuerzo R5-Lista de componentes software.

– [mp.sw.1.r5.1] El desarrollador elaborar� y mantendr� actualizada una relaci髇 formal de los componentes software de terceros empleados en la aplicaci髇 o producto. Se mantendr� un hist髍ico de los componentes utilizados en las diferentes versiones del software. El contenido m韓imo de la lista de componentes, que contendr�, al menos, la identificaci髇 del componente, el fabricante y la versi髇 empleada, se concretar� en una gu韆 CCN-STIC del CCN.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: no aplica.

– Categor韆 MEDIA: mp.sw.1 + R1 + R2 + R3 + R4.

– Categor韆 ALTA: mp.sw.1 + R1 + R2 + R3 + R4.

5.6.2 Aceptaci髇 y puesta en servicio [mp.sw.2].

Requisitos.

Antes de pasar a producci髇 se comprobar� el correcto funcionamiento de la aplicaci髇.

– [mp.sw.2.1] Se comprobar� que:

• a) Se cumplen los criterios de aceptaci髇 en materia de seguridad.
• b) No se deteriora la seguridad de otros componentes del servicio.

Refuerzo R1- Pruebas.

– [mp.sw.2.r1.1] Las pruebas se realizar醤 en un entorno aislado (pre-producci髇).

Refuerzo R2-Inspecci髇 de c骴igo fuente.

– [mp.sw.2.r2.1] Se realizar� una auditor韆 de c骴igo fuente.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.sw.2.

– Categor韆 MEDIA: mp.sw.2 + R1.

– Categor韆 ALTA: mp.sw.2 + R1.

5.7 Protecci髇 de la informaci髇 [mp.info].

5.7.1 Datos personales [mp.info.1].

Requisitos.

– [mp.info.1.1] Cuando el sistema trate datos personales, el responsable de seguridad recoger� los requisitos de protecci髇 de datos que sean fijados por el responsable o por el encargado del tratamiento, contando con el asesoramiento del DPD, y que sean necesarios implementar en los sistemas de acuerdo a la naturaleza, alcance, contexto y fines del mismo, as� como de los riesgos para los derechos y libertades de acuerdo a lo establecido en los art韈ulos 24 y 32 del RGPD, y de acuerdo a la evaluaci髇 de impacto en la protecci髇 de datos, si se ha llevado a cabo.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.info.1.

– Categor韆 MEDIA: mp.info.1.

– Categor韆 ALTA: mp.info.1.

5.7.2 Calificaci髇 de la informaci髇 [mp.info.2].

Requisitos.

– [mp.info.2.1] Para calificar la informaci髇 se estar� a lo establecido legalmente por las leyes y tratados internacionales de los que Espa馻 es miembro y su normativa de aplicaci髇 cuando se trate de materias clasificadas. El valor a emplear en el caso de informaci髇 de materias no clasificadas ser韆 USO OFICIAL para informaci髇 con alg鷑 tipo de restricci髇 en su manejo por su sensibilidad y confidencialidad.

– [mp.info.2.2] La pol韙ica de seguridad establecer� qui閚 es el responsable de cada informaci髇 manejada por el sistema.

– [mp.info.2.3] La pol韙ica de seguridad recoger�, directa o indirectamente, los criterios que, en cada organizaci髇, determinar醤 el nivel de seguridad requerido, dentro del marco establecido en el art韈ulo 40 y los criterios generales se馻lados en el anexo I.

– [mp.info.2.4] El responsable de cada informaci髇 seguir� los criterios determinados en el apartado anterior para asignar a cada informaci髇 el nivel de seguridad requerido, y ser� responsable de su documentaci髇 y aprobaci髇 formal.

– [mp.info.2.5] El responsable de cada informaci髇 en cada momento tendr� en exclusiva la potestad de modificar el nivel de seguridad requerido, de acuerdo a los apartados anteriores.

Aplicaci髇 de la medida (por confidencialidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: mp.info.2.

– Nivel ALTO: mp.info.2.

5.7.3 Firma electr髇ica [mp.info.3].

Requisitos.

– [mp.info.3.1] Se emplear� cualquier tipo de firma electr髇ica de los previstos en el vigente ordenamiento jur韉ico, entre ellos, los sistemas de c骴igo seguro de verificaci髇 vinculados a la Administraci髇 P鷅lica, 髍gano, organismo p鷅lico o entidad de derecho p鷅lico, en los t閞minos y condiciones establecidos en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Com鷑 de las Administraciones P鷅licas, y en la Ley 40/2015, de 1 de octubre.

Refuerzo R1-Certificados cualificados.

– [mp.info.3.r1.1] Cuando se empleen sistemas de firma electr髇ica avanzada basados en certificados, estos ser醤 cualificados.

Refuerzo R2-Algoritmos y par醡etros autorizados.

– [mp.info.3.r2.1] Se emplear醤 algoritmos y par醡etros autorizados por el CCN o por un esquema nacional o europeo que resulte de aplicaci髇.

El CCN determinar� los algoritmos criptogr醘icos que hayan sido autorizados nominalmente para su uso en el Esquema Nacional de Seguridad conforme a la Instrucci髇 T閏nica de Seguridad Criptolog韆 de empleo en el ENS.

Refuerzo R3-Verificaci髇 y validaci髇 de firma.

– [mp.info.3.r3.1] Cuando proceda, se garantizar� la verificaci髇 y validaci髇 de la firma electr髇ica durante el tiempo requerido por la actividad administrativa que aqu閘la soporte, sin perjuicio de que se pueda ampliar este per韔do de acuerdo con lo que establezca la Pol韙ica de Firma Electr髇ica y de Certificados que sea de aplicaci髇. Para tal fin se adjuntar� a la firma, o se referenciar�, toda la informaci髇 pertinente para su verificaci髇 y validaci髇, incluyendo certificados o datos de verificaci髇 y validaci髇.

Refuerzo R4-Firma electr髇ica avanzada basada en certificados cualificados.

– [mp.info.3.r4.1] Se usar� firma electr髇ica avanzada basada en certificados cualificados complementada por un segundo factor del tipo 玜lgo que se sabe� o 玜lgo que se es�.

Refuerzo R5-Firma electr髇ica cualificada.

– [mp.info.3.r5.1] Se usar� firma electr髇ica cualificada, empleando productos certificados conforme a lo establecido en [op.pl.5].

Aplicaci髇 de la medida (por integridad y autenticidad).

– Nivel BAJO: mp.info.3.

– Nivel MEDIO: mp.info.3 + R1 + R2 + R3.

– Nivel ALTO: mp.info.3 + R1 + R2 + R3 + R4.

5.7.4 Sellos de tiempo [mp.info.4].

Requisitos.

La utilizaci髇 de sellos de tiempo exigir� adoptar las siguientes cautelas:

– [mp.info.4.1] Los sellos de tiempo se aplicar醤 a aquella informaci髇 que sea susceptible de ser utilizada como evidencia electr髇ica en el futuro.

– [mp.info.4.2] Los datos pertinentes para la verificaci髇 posterior de la fecha ser醤 tratados con la misma seguridad que la informaci髇 fechada a efectos de disponibilidad, integridad y confidencialidad.

– [mp.info.4.3] Se renovar醤 regularmente los sellos de tiempo hasta que la informaci髇 protegida ya no sea requerida por el proceso administrativo al que da soporte, en su caso.

– [mp.info.4.4] Se emplear醤 "sellos cualificados de tiempo electr髇icos" atendiendo a lo dispuesto en el Reglamento (UE) n.^o 910/2014 y normativa de desarrollo.

Refuerzo R1-Productos certificados.

– [mp.info.4.r1.1.] Se utilizar醤 productos certificados seg鷑 [op.pl.5].

– [mp.info.4.r1.2] Se asignar� una fecha y hora a un documento electr髇ico, conforme a lo establecido en la gu韆 CCN-STIC Criptolog韆 de empleo en el ENS.

Aplicaci髇 de la medida (por trazabilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: no aplica.

– Nivel ALTO: mp.info.4.

5.7.5 Limpieza de documentos [mp.info.5].

Requisitos.

– [mp.info.5.1] En el proceso de limpieza de documentos, se retirar� de estos toda la informaci髇 adicional contenida en campos ocultos, metadatos, comentarios o revisiones anteriores, salvo cuando dicha informaci髇 sea pertinente para el receptor del documento.

Esta medida es especialmente relevante cuando el documento se difunde ampliamente, como ocurre cuando se ofrece al p鷅lico en un servidor web u otro tipo de repositorio de informaci髇.

Aplicaci髇 de la medida (por confidencialidad).

– Nivel BAJO: mp.info.5.

– Nivel MEDIO: mp.info.5.

– Nivel ALTO: mp.info.5.

5.7.6 Copias de seguridad [mp.info.6].

Requisitos.

– [mp.info.6.1] Se realizar醤 copias de seguridad que permitan recuperar datos perdidos, accidental o intencionadamente. La periodicidad y los plazos de retenci髇 de estas copias de seguridad se determinar醤 en la normativa interna de la organizaci髇 relativa a copias de seguridad.

– [mp.info.6.2] Los procedimientos de respaldo establecidos indicar醤:

• a) Frecuencia de las copias.
• b) Requisitos de almacenamiento en el propio lugar.
• c) Requisitos de almacenamiento en otros lugares.
• d) Controles para el acceso autorizado a las copias de respaldo.

Refuerzo R1-Pruebas de recuperaci髇.

– [mp.info.6.r1.1] Los procedimientos de copia de seguridad y restauraci髇 deben probarse regularmente. Su frecuencia depender� de la criticidad de los datos y del impacto que cause la falta de disponibilidad.

Refuerzo R2-Protecci髇 de las copias de seguridad.

– [mp.info.6.r2.1] Al menos, una de las copias de seguridad se almacenar� de forma separada en lugar diferente, de tal manera que un incidente no pueda afectar tanto al repositorio original como a la copia simult醤eamente.

– Nivel BAJO: mp.info.6.

– Nivel MEDIO: mp.info.6+ R1.

– Nivel ALTO: mp.info.6+ R1 + R2.

5.8 Protecci髇 de los servicios [mp.s].

5.8.1 Protecci髇 del correo electr髇ico [mp.s.1].

Requisitos.

El correo electr髇ico se proteger� frente a las amenazas que le son propias, actuando del siguiente modo:

– [mp.s.1.1] La informaci髇 distribuida por medio de correo electr髇ico se proteger�, tanto en el cuerpo de los mensajes como en los anexos.

– [mp.s.1.2] Se proteger� la informaci髇 de encaminamiento de mensajes y establecimiento de conexiones.

Se proteger� a la organizaci髇 frente a problemas que se materializan por medio del correo electr髇ico, en concreto:

– [mp.s.1.3] Correo no solicitado, en su expresi髇 inglesa 玸pam�.

– [mp.s.1.4] C骴igo da駃no, constituidos por virus, gusanos, troyanos, esp韆s, u otros de naturaleza an醠oga.

– [mp.s.1.5] C骴igo m髒il de tipo micro-aplicaci髇, en su expresi髇 inglesa 玜pplet�.

Se establecer醤 normas de uso del correo electr髇ico para el personal. (Ver [org.2]). Estas normas de uso contendr醤:

– [mp.s.1.6] Limitaciones al uso como soporte de comunicaciones privadas.

– [mp.s.1.7] Actividades de concienciaci髇 y formaci髇 relativas al uso del correo electr髇ico.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.s.1.

– Categor韆 MEDIA: mp.s.1.

– Categor韆 ALTA: mp.s.1.

5.8.2 Protecci髇 de servicios y aplicaciones web [mp.s.2].

Requisitos.

Los sistemas que prestan servicios web deber醤 ser protegidos frente a las siguientes amenazas:

– [mp.s.2.1] Cuando la informaci髇 requiera control de acceso se garantizar� la imposibilidad de acceder a la informaci髇 obviando la autenticaci髇, en particular, tomando medidas en los siguientes aspectos:

• a) Se evitar� que el servidor ofrezca acceso a los documentos por v韆s alternativas al protocolo determinado.
• b) Se prevendr醤 ataques de manipulaci髇 del localizador uniforme de recursos (Uniform Resource Locator, URL).
• c) Se prevendr醤 ataques de manipulaci髇 de fragmentos de informaci髇 que se almacena en el disco duro del visitante de una p醙ina web a trav閟 de su navegador, a petici髇 del servidor de la p醙ina, conocido en terminolog韆 inglesa como cookies.
• d) Se prevendr醤 ataques de inyecci髇 de c骴igo.

– [mp.s.2.2] Se prevendr醤 intentos de escalado de privilegios.

– [mp.s.2.3] Se prevendr醤 ataques de cross site scripting.

Refuerzo R1-Auditor韆s de seguridad.

– [mp.s.2.r1.1] Se realizar醤 auditor韆s continuas de seguridad de 玞aja negra� sobre las aplicaciones web durante la fase de desarrollo y antes de la fase de producci髇.

– [mp.s.2.r1.2] La frecuencia de estas auditor韆s de seguridad quedar� definida en el procedimiento de auditor韆.

Refuerzo R2-Auditor韆s de seguridad avanzada.

– [mp.s.2.r2.1] Se realizar醤 auditor韆s de seguridad de 玞aja blanca� sobre las aplicaciones web durante la fase de desarrollo.

– [mp.s.2.r2.2] Se emplear醤 metodolog韆s definidas y herramientas autom醫icas de detecci髇 de vulnerabilidades en la realizaci髇 de las auditor韆s de seguridad sobre las aplicaciones web.

– [mp.s.2.r2.3] Una vez finalizada una auditor韆 de seguridad, se analizar醤 los resultados y se solventar醤 las vulnerabilidades encontradas mediante los procedimientos definidos [op.exp.5].

Refuerzo R3-Protecci髇 de las cach閟.

– [mp.s.2.r3.1] Se prevendr醤 ataques de manipulaci髇 de programas o dispositivos que realizan una acci髇 en representaci髇 de otros, conocidos en terminolog韆 inglesa como "proxies" y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminolog韆 inglesa como "cach閟".

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.s.2 + [R1 o R2].

– Categor韆 MEDIA: mp.s.2 + [R1 o R2].

– Categor韆 ALTA: mp.s.2 + R2 + R3.

5.8.3 Protecci髇 de la navegaci髇 web [mp.s.3].

Requisitos.

El acceso de los usuarios internos a la navegaci髇 por internet se proteger� frente a las amenazas que le son propias, actuando del siguiente modo:

– [mp.s.3.1] Se establecer� una normativa de utilizaci髇, definiendo el uso que se autoriza y las limitaciones de uso personal. En particular, se concretar� el uso permitido de conexiones cifradas.

– [mp.s.3.2] Se llevar醤 a cabo regularmente actividades de concienciaci髇 sobre higiene en la navegaci髇 web, fomentando el uso seguro y alertando de usos incorrectos.

– [mp.s.3.3] Se formar� al personal encargado de la administraci髇 del sistema en monitorizaci髇 del servicio y respuesta a incidentes.

– [mp.s.3.4] Se proteger� la informaci髇 de resoluci髇 de direcciones web y de establecimiento de conexiones.

– [mp.s.3.5] Se proteger� a la organizaci髇 en general y al puesto de trabajo en particular frente a problemas que se materializan v韆 navegaci髇 web.

– [mp.s.3.6] Se proteger� contra la actuaci髇 de programas da駃nos tales como p醙inas activas, descargas de c骴igo ejecutable, etc., previniendo la exposici髇 del sistema a vectores de ataque del tipo spyware, ransomware, etc.

– [mp.s.3.7] Se establecer� una pol韙ica ejecutiva de control de cookies, en particular, para evitar la contaminaci髇 entre uso personal y uso organizativo.

Refuerzo R1 - Monitorizaci髇.

– [mp.s.3.r1.1] Se registrar� el uso de la navegaci髇 web, estableciendo los elementos que se registran, el periodo de retenci髇 de estos registros y el uso que el organismo prev� hacer de ellos.

– [mp.s.3.r1.2] Se establecer� una funci髇 para la ruptura de canales cifrados a fin de inspeccionar su contenido, indicando qu� se analiza, qu� se registra, durante cu醤to tiempo se retienen los registros y qu� uso prev� hacer el organismo de estas inspecciones. Todo ello sin perjuicio de que se puedan autorizar accesos cifrados singulares a destinos de confianza.

– [mp.s.3.r1.3] Se establecer� una lista negra de destinos vetados.

Refuerzo R2-Destinos autorizados.

– [mp.s.3.r2.1] Se establecer� una lista blanca de destinos accesibles. Todo acceso fuera de los lugares se馻lados en la lista blanca estar� vetado, salvo autorizaci髇 singular expresa.

Aplicaci髇 de la medida.

– Categor韆 B罶ICA: mp.s.3.

– Categor韆 MEDIA: mp.s.3.

– Categor韆 ALTA: mp.s.3 + R1.

5.8.4 Protecci髇 frente a la denegaci髇 de servicio [mp.s.4].

Requisitos.

Se establecer醤 medidas preventivas frente a ataques de denegaci髇 de servicio y denegaci髇 de servicio distribuido (Denial of Service, DoS y Distributed Denial of Service, DDoS). Para ello:

– [mp.s 4.1] Se planificar� y dotar� al sistema de capacidad suficiente para atender con holgura a la carga prevista.

– [mp.s.4.2] Se desplegar醤 tecnolog韆s para prevenir los ataques conocidos.

Refuerzo R1-Detecci髇 y reacci髇.

– [mp.s.4.r1.1] Se establecer� un sistema de detecci髇 y tratamiento de ataques de denegaci髇 de servicio (DoS y DDoS).

– [mp.s. 4.r1.2] Se establecer醤 procedimientos de reacci髇 a los ataques, incluyendo la comunicaci髇 con el proveedor de comunicaciones.

Refuerzo R2-Ataques propios.

– [mp.s.4.r2.1] Se detectar� y se evitar� el lanzamiento de ataques desde las propias instalaciones perjudicando a terceros.

Aplicaci髇 de la medida (por disponibilidad).

– Nivel BAJO: no aplica.

– Nivel MEDIO: mp.s.4.

– Nivel ALTO: mp.s.4+ R1.

6
Valoraci髇 de la implantaci髇 de las medidas de seguridad

Es habitual el empleo de niveles de madurez para caracterizar la implementaci髇 de un proceso. El modelo de madurez de capacidad (Capability Maturity Model, CMM) permite describir las caracter韘ticas que hacen un proceso efectivo, midiendo el grado o nivel de profesionalizaci髇 de la actividad.

Un proceso es una colecci髇 de actividades o tareas relacionadas y estructuradas que, en una secuencia espec韋ica, proporciona un servicio para la organizaci髇.

Para la valoraci髇 de la implantaci髇 de las medidas de seguridad, est醩 se analizar醤 como procesos y se estimar� su nivel de madurez usando el modelo de madurez de capacidad (CMM).

Se identifican cinco "niveles de madurez", de modo que una organizaci髇 que tenga institucionalizadas todas las pr醕ticas incluidas en un nivel y sus inferiores, se considera que ha alcanzado ese nivel de madurez:

a) L0-Inexistente.

No existe un proceso que soporte el servicio requerido.

b) L1 - Inicial. Ad hoc.

Las organizaciones en este nivel no disponen de un ambiente estable para la prestaci髇 del servicio requerido. Aunque se utilicen t閏nicas correctas de ingenier韆, los esfuerzos se ven minados por falta de planificaci髇. El 閤ito de los proyectos se basa la mayor韆 de las veces en el esfuerzo personal, aunque a menudo se producen fracasos y casi siempre retrasos y sobrecostes. El resultado es impredecible. A menudo las soluciones se implementan de forma reactiva a los incidentes.

Los procedimientos de trabajo, cuando existen, son informales, incompletos y no se aplican de forma sistem醫ica.

c) L2-Reproducible, pero intuitivo.

En este nivel las organizaciones disponen de unas pr醕ticas institucionalizadas de gesti髇, existen unas m閠ricas b醩icas y un razonable seguimiento de la calidad.

Existen procedimientos de trabajo, pero no est醤 suficientemente documentados o no cubren todos los aspectos requeridos.

d) L3-Proceso definido.

Adem醩 de una buena gesti髇, a este nivel las organizaciones disponen de normativa y procedimientos detallados y documentados de coordinaci髇 entre grupos, formaci髇 del personal, t閏nicas de ingenier韆, etc.

e) L4-Gestionado y medible.

Se caracteriza porque las organizaciones disponen de un conjunto de m閠ricas de efectividad y eficiencia, que se usan de modo sistem醫ico para la toma de decisiones y la gesti髇 de riesgos. El servicio resultante es de alta calidad.

f) L5 - Optimizado.

La organizaci髇 completa est� volcada en la mejora continua de los procesos. Se hace uso intensivo de las m閠ricas y se gestiona el proceso de innovaci髇.

Para cada medida de seguridad que sea de aplicaci髇 al sistema de informaci髇 se exigir� un determinado nivel de madurez. Los niveles m韓imos de madurez requeridos por el ENS en funci髇 de la categor韆 del sistema son:

7
Desarrollo y complemento de las medidas de seguridad

Las medidas de seguridad se desarrollar醤 y complementar醤 seg鷑 lo establecido en la disposici髇 final segunda.

8
Interpretaci髇

La interpretaci髇 de este anexo se realizar� seg鷑 el sentido propio de sus palabras, en relaci髇 con el contexto, antecedentes hist髍icos y legislativos, entre los que figura lo dispuesto en las instrucciones t閏nicas de seguridad y en las gu韆s CCN-STIC que sean de aplicaci髇 a la implementaci髇 y a los diversos escenarios de aplicaci髇 tales como sedes electr髇icas, servicios de validaci髇 de certificados electr髇icos, servicios de fechado electr髇ico y validaci髇 de documentos fechados, atendiendo el esp韗itu y finalidad de aquellas.

ANEXO III
Auditor韆 de la seguridad

1. Objeto de la auditor韆

1.1 La seguridad de los sistemas de informaci髇 de una organizaci髇 ser� auditada en los siguientes t閞minos, al objeto de constatar:

• a) Que la pol韙ica de seguridad define los roles y funciones de los responsables del sistema, la informaci髇, los servicios y la seguridad del sistema de informaci髇.
• b) Que existen procedimientos para resoluci髇 de conflictos entre dichos responsables.
• c) Que se han designado personas para dichos roles a la luz del principio de 玠iferenciaci髇 de responsabilidades�.
• d) Que se ha realizado un an醠isis de riesgos, con revisi髇 y aprobaci髇 anual.
• e) Que se cumplen las recomendaciones de protecci髇 descritas en el anexo II, sobre Medidas de Seguridad, en funci髇 de las condiciones de aplicaci髇 en cada caso.
• f) Que existe un sistema de gesti髇 de la seguridad de la informaci髇, documentado y con un proceso regular de aprobaci髇 por la direcci髇, tomando como base la Declaraci髇 de Aplicabilidad regulada en el art韈ulo 28 de este real decreto.

1.2 La auditor韆 se basar� en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los siguientes puntos:

• a) Documentaci髇 de los procedimientos.
• b) Registro de incidentes.
• c) Examen del personal afectado: conocimiento y praxis de las medidas que le afectan.
• d) Productos certificados. Se considerar� evidencia suficiente el empleo de productos que satisfagan lo establecido en art韈ulo 19 獳dquisici髇 de productos de seguridad y contrataci髇 de servicios de seguridad�.

1.3 Se dispondr� de un programa o plan de auditor韆s documentado. Las actividades de auditor韆 que impliquen comprobaciones en los sistemas operativos deber醤 ser planificadas y acordadas previamente.

2. Niveles de auditor韆

Los niveles de auditor韆 que se realizan a los sistemas de informaci髇 ser醤 los siguientes:

• 2.1 Auditor韆 a sistemas de categor韆 B罶ICA.
  • a) Los sistemas de informaci髇 de categor韆 B罶ICA no necesitar醤 realizar una auditor韆. Bastar� una autoevaluaci髇 realizada por el mismo personal que administra el sistema de informaci髇 o en quien 閟te delegue.

    El resultado de la autoevaluaci髇 debe estar documentado, indicando si cada medida de seguridad est� implantada y sujeta a revisi髇 regular, as� como las evidencias que sustentan la valoraci髇 anterior.

  • b) Los informes de autoevaluaci髇 ser醤 analizados por el responsable de la seguridad competente, que elevar� las conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
• 2.2 Auditor韆 a sistemas de categor韆 MEDIA O ALTA.
  • a) El informe de auditor韆 dictaminar� sobre el grado de cumplimiento de este real decreto e identificando los hallazgos de conformidad y no conformidad. Deber�, igualmente, incluir los criterios metodol骻icos de auditor韆 utilizados, el alcance y el objetivo de la auditor韆, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.
  • b) Los informes de auditor韆 ser醤 analizados por el responsable de la seguridad competente, que presentar� sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.

3. Interpretaci髇

La interpretaci髇 de este anexo se realizar� seg鷑 el sentido propio de sus palabras, en relaci髇 con el contexto, antecedentes hist髍icos y legislativos, entre los que figura lo dispuesto en la Instrucci髇 T閏nica de Seguridad de Auditor韆 de la Seguridad de los sistemas de informaci髇 y en la gu韆 CCN-STIC que sea de aplicaci髇, atendiendo al esp韗itu y finalidad de aquellas.

ANEXO IV
Glosario

• – Activo: componente o funcionalidad de un sistema de informaci髇 susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organizaci髇. Incluye: informaci髇, datos, servicios, aplicaciones (software), equipos (hardware), comunicaciones, recursos administrativos, recursos f韘icos y recursos humanos.
• – Administrador del sistema/de la seguridad del sistema: persona encargada de la instalaci髇 y el mantenimiento de un sistema de informaci髇, implantando los procedimientos y la configuraci髇 de seguridad que se haya establecido en el marco de la pol韙ica de seguridad del organismo.
• – An醠isis de riesgos: estudio de las consecuencias previsibles de un posible incidente de seguridad, considerando su impacto en la organizaci髇 (en la protecci髇 de sus activos, en su misi髇, en su imagen o reputaci髇, o en sus funciones) y la probabilidad de que ocurra.
• – 羠ea controlada: zona o 醨ea en la que una organizaci髇 considera cumplidas las medidas de seguridad f韘icas y procedimentales requeridas para la protecci髇 de la informaci髇 y los sistemas de informaci髇 ubicados en ella.
• – Arquitectura de seguridad: conjunto de elementos f韘icos y l骻icos que forman parte de la arquitectura del sistema y cuyo objetivo es la protecci髇 de los activos dentro del sistema y en las interconexiones con otros sistemas.
• – Auditor韆 de la seguridad: es un proceso sistem醫ico, independiente y documentado que persigue la obtenci髇 de evidencias objetivas y su evaluaci髇 objetiva para determinar en qu� medida se cumplen los criterios de auditor韆 en relaci髇 con la idoneidad de los controles de seguridad adoptados, el cumplimiento de la pol韙ica de seguridad, las normas y los procedimientos operativos establecidos, y detectando desviaciones a los antedichos criterios.
• – Autenticaci髇: ratificaci髇 de la identidad de un usuario, proceso o dispositivo.
• – Autenticaci髇 multifactor: exigencia de dos o m醩 factores de autenticaci髇 para ratificar una autenticaci髇 como v醠ida.
• – Autenticador: algo, f韘ico o inmaterial, que posee el usuario bajo su exclusivo control y que le distingue de otros usuarios.
• – Autenticidad: propiedad o caracter韘tica consistente en que una entidad es quien dice ser o bien que garantiza la fuente de la que proceden los datos.
• – Biometr韆 (factor de autenticaci髇): reconocimiento de los individuos en base a sus caracter韘ticas biol骻icas o de comportamiento.
• – Cadena de suministro: conjunto relacionado de recursos y procesos que comienza con la provisi髇 de materias primas y se extiende a trav閟 de la entrega de productos o servicios al usuario final a trav閟 de los modos de transporte. Incluye a los proveedores (primer, segundo y tercer nivel), los almacenes de materia prima (directa o indirecta), las l韓eas de producci髇, los almacenes de productos terminados y los canales de distribuci髇 (mayoristas y minoristas), hasta llegar al cliente final.
• – Categor韆 de seguridad de un sistema: es un grado, dentro de la escala B醩ica-Media-Alta, con el que se adjetiva un sistema de informaci髇 a fin de seleccionar las medidas de seguridad necesarias para el mismo. La categor韆 de seguridad del sistema recoge la visi髇 hol韘tica del conjunto de activos como un todo arm髇ico, orientado a la prestaci髇 de unos servicios.
• – Certificado de firma electr髇ica (factor de autenticaci髇): una declaraci髇 electr髇ica que vincula los datos de validaci髇 de una firma con una persona f韘ica o jur韉ica y confirma, al menos, el nombre o el seud髇imo de esa persona.
• – Certificado cualificado de firma electr髇ica: un certificado de firma electr髇ica que ha sido expedido por un prestador cualificado de servicios de confianza y que cumple los requisitos establecidos en el anexo I del Reglamento (UE) 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificaci髇 electr髇ica y los servicios de confianza para las transacciones electr髇icas en el mercado interior.
• – Ciberamenaza: amenaza a los sistemas y servicios presentes en el ciberespacio o alcanzables a trav閟 de 閟te.
• – Ciberataque: cualquier conducta dolosa de individuos u organizaciones, conocidos o no, desarrollada a trav閟 del ciberespacio contra sistemas de informaci髇, con el prop髎ito de sustraer, alterar, abusar, desestabilizar, inutilizar, destruir o eliminar activos.
• – Ciberespacio: dominio global y din醡ico compuesto por infraestructuras de tecnolog韆 de la informaci髇 -incluyendo internet-, redes de telecomunicaciones y sistemas de informaci髇 que configura un 醡bito virtual.
• – Ciberincidente: Incidente relacionado con la seguridad de las tecnolog韆s de la informaci髇 y las comunicaciones que se produce en el ciberespacio.
• – Ciberseguridad (seguridad de los sistemas de informaci髇): la capacidad de las redes y sistemas de informaci髇 de resistir, con un nivel determinado de fiabilidad, toda acci髇 que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de informaci髇 o accesibles a trav閟 de ellos.
• – Compromiso de la seguridad: incidente de seguridad en el que, debido a una violaci髇 de las medidas t閏nicas u organizativas de seguridad, una informaci髇 o un servicio quedan expuestos, o potencialmente expuestos, a un acceso no autorizado.
• – Confidencialidad: propiedad o caracter韘tica consistente en que la informaci髇 ni se pone a disposici髇, ni se revela a individuos, entidades o procesos no autorizados.
• – Contrase馻: un secreto memorizado por el usuario, compuesto por varios caracteres seg鷑 unas reglas de complejidad frente a ataques de adivinaci髇 o fuerza bruta.
• – Contrase馻 de un solo uso (OTP - One-Time Password): contrase馻 generada din醡icamente y que solamente se puede usar una vez y durante un periodo limitado.
• – Disponibilidad: propiedad o caracter韘tica de los activos consistente en que las entidades o procesos autorizados tienen acceso a los mismos cuando lo requieren.
• – Dispositivo de autenticaci髇 (token): autenticador f韘ico.
• – Distintivo de Certificaci髇 de Conformidad con el ENS: documento electr髇ico, en formato PDF-A, firmado electr髇icamente por la Entidad de Certificaci髇 responsable de la evaluaci髇 de los sistemas de informaci髇 concernidos, incluyendo un enlace a la Certificaci髇 de Conformidad con el ENS que, mientras se mantenga su vigencia, permanecer� accesible a trav閟 de la sede electr髇ica o p醙ina web de la entidad p鷅lica o privada, respectivamente, de que se trate.
• – Distintivo de Declaraci髇 de Conformidad con el ENS: documento electr髇ico, en formato PDF-A, firmado o sellado electr髇icamente por la entidad bajo cuya responsabilidad se encuentre el sistema de informaci髇 en cuesti髇, incluyendo un enlace a la Declaraci髇 de Conformidad con el ENS que, mientras se mantenga su vigencia, permanecer� accesible a trav閟 de la sede electr髇ica o p醙ina web de la entidad p鷅lica o privada de que se trate.
• – Dominio de seguridad: colecci髇 de activos uniformemente protegidos, t韕icamente bajo una 鷑ica autoridad. Los dominios de seguridad se utilizan para diferenciar entre zonas en el sistema de informaci髇. Por ejemplo:
  • a) Instalaciones centrales, sucursales, comerciales trabajando con port醫iles.
  • b) Servidor central (host), frontal Unix y equipos administrativos.
  • c) Seguridad f韘ica, seguridad l骻ica.
• – Evento de seguridad: ocurrencia identificada de un sistema, servicio o estado de red que indica un posible incumplimiento de la pol韙ica de seguridad de la informaci髇, una falla de los controles o una situaci髇 desconocida que puede ser relevante para la seguridad.
• – Factor de autenticaci髇: hay 3 tipos de factores de autenticaci髇: (1) algo que se sabe, un secreto; (2) algo que se tiene, un autenticador; y (3) algo que se es, biometr韆.
• – Firma electr髇ica: los datos en formato electr髇ico anejos a otros datos electr髇icos o asociados de manera l骻ica con ellos que utiliza el firmante para firmar.
• – Firma electr髇ica avanzada: la firma electr髇ica que cumple los requisitos contemplados en el art韈ulo 26 del Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificaci髇 electr髇ica y los servicios de confianza para las transacciones electr髇icas en el mercado interior.
• – Firma electr髇ica cualificada: una firma electr髇ica avanzada que se crea mediante un dispositivo cualificado de creaci髇 de firmas electr髇icas y que se basa en un certificado cualificado de firma electr髇ica.
• – Gesti髇 de incidentes: procedimientos seguidos para detectar, analizar y limitar un incidente y responder ante 閟te.
• – Gesti髇 de riesgos: actividades coordinadas para dirigir y controlar a una organizaci髇 con respecto a los riesgos.
• – Incidente de seguridad (ciberincidente o incidente): suceso inesperado o no deseado con consecuencias en detrimento de la seguridad de las redes y sistemas de informaci髇.
• – Integridad: propiedad o caracter韘tica consistente en que el activo de informaci髇 no ha sido alterado de manera no autorizada.
• – Lista de componentes software: documento que detalla los componentes software utilizados para construir algo, sea una aplicaci髇 o un servicio.
• – Medidas de seguridad: conjunto de disposiciones encaminadas a proteger al sistema de informaci髇 de los riesgos a los que estuviere sometido, con el fin de asegurar sus objetivos de seguridad. Puede tratarse de medidas de prevenci髇, de disuasi髇, de protecci髇, de detecci髇 y reacci髇, o de recuperaci髇.
• – M韓imo privilegio: principio que determina que el dise駉 de la arquitectura de seguridad de un sistema garantiza el uso de los servicios y permisos m韓imos necesarios para su correcto funcionamiento.
• – Monitorizaci髇 continua: proceso de gesti髇 din醡ica de la seguridad basado en el seguimiento de indicadores cr韙icos de seguridad y parcheo de las vulnerabilidades descubiertas en los componentes del sistema de informaci髇.
• – Observatorio Digital: un observatorio digital, en su prop髎ito de conocer realidades de la informaci髇 que se transmite a trav閟 de medios digitales, es un conjunto de capacidades para la toma de decisiones dedicado a la detecci髇 y seguimiento de anomal韆s en el origen, definici髇 o diseminaci髇 de contenidos digitales, las cuales pudieran representar indicadores de amenaza.
• – Perfil de cumplimiento espec韋ico: conjunto de medidas de seguridad, comprendidas o no en el anexo II de este real decreto, que, como consecuencia del preceptivo an醠isis de riesgos, resulten de aplicaci髇 a una entidad o sector de actividad concreta y para una determinada categor韆 de seguridad, y que haya sido habilitado por el CCN.
• – PIN: un secreto memorizado por el usuario, compuesto por unos pocos caracteres, siguiendo unas ciertas reglas frente a ataques de adivinaci髇.
• – Pol韙ica de firma electr髇ica, sello electr髇ico y certificados: conjunto de normas de seguridad, de organizaci髇, t閏nicas y legales para determinar c髆o se generan, verifican y gestionan firmas electr髇icas y sellos electr髇icos, incluyendo las caracter韘ticas exigibles a los certificados de firma o sello electr髇icos.
• – Pol韙ica de seguridad (Pol韙ica de seguridad de la informaci髇): conjunto de directrices plasmadas en un documento, que rigen la forma en que una organizaci髇 gestiona y protege la informaci髇 que trata y los servicios que presta.
• – Principios b醩icos de seguridad: fundamentos que deben regir toda acci髇 orientada a asegurar la informaci髇 y los servicios.
• – Proceso: conjunto organizado de actividades que se llevan a cabo para producir un producto o prestar un servicio, que tiene un principio y fin delimitados, que implica recursos y da lugar a un resultado.
• – Proceso de seguridad: m閠odo que se sigue para alcanzar los objetivos de seguridad de la organizaci髇. El proceso se dise馻 para identificar, medir, gestionar y mantener bajo control los riesgos a que se enfrenta el sistema en materia de seguridad.
• – Proceso TIC: conjunto de actividades llevadas a cabo para la concepci髇, elaboraci髇, suministro y mantenimiento de un producto o servicio TIC.
• – Producto TIC: elemento o grupo de elementos de las redes o los sistemas de informaci髇.
• – Requisitos m韓imos de seguridad: exigencias m韓imas necesarias para asegurar la informaci髇 tratada y los servicios prestados.
• – Secreto memorizado (factor de autenticaci髇): algo que solamente sabe el usuario autorizado. T韕icamente, se concreta en una contrase馻 o un PIN.
• – Sistema de informaci髇: cualquiera de los elementos siguientes:
  • 1.� Las redes de comunicaciones electr髇icas que utilice la entidad del 醡bito de aplicaci髇 de este real decreto sobre las que posea capacidad de gesti髇.
  • 2.� Todo dispositivo o grupo de dispositivos interconectados o relacionados entre s�, en el que uno o varios de ellos realicen, mediante un programa, el tratamiento autom醫ico de datos digitales.
  • 3.� Los datos digitales almacenados, tratados, recuperados o transmitidos mediante los elementos contemplados en los n鷐eros 1.� y 2.� anteriores, incluidos los necesarios para el funcionamiento, utilizaci髇, protecci髇 y mantenimiento de dichos elementos.
• – TEMPEST: t閞mino que hace referencia a las investigaciones y estudios de emanaciones comprometedoras (emisiones electromagn閠icas no intencionadas, producidas por equipos el閏tricos y electr髇icos que, detectadas y analizadas, puedan llevar a la obtenci髇 de informaci髇) y a las medidas aplicadas a la protecci髇 contra dichas emanaciones.
• – Trazabilidad: propiedad o caracter韘tica consistente en que las actuaciones de una entidad (persona o proceso) pueden ser trazadas de forma indiscutible hasta dicha entidad.
• – USO OFICIAL: designa informaci髇 con alg鷑 tipo de restricci髇 en su manejo por su sensibilidad y confidencialidad.
• – Usuarios de la organizaci髇: personal del organismo, propio o contratado, estable o circunstancial, que acceden al sistema para desarrollar las funciones o actividades que les han sido encomendadas por la organizaci髇.
• – Usuarios externos: usuarios con acceso al sistema que no entran en el conjunto de usuarios de la organizaci髇. En particular, los ciudadanos administrados.