Sumario

Res. 24 mayo 2005, derogada por la disposici髇 derogatoria de la Res. de 27 de febrero de 2009, de la Secretar韆 de Estado de Hacienda y Presupuestos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado (獴.O.E.� 19 marzo) el 20 de marzo de 2009, sin perjuicio de lo establecido en la disposici髇 transitoria segunda, que establece que, mientras el Comit� de coordinaci髇 de la seguridad de la informaci髇 no apruebe el nuevo procedimiento de control de accesos a la red y a las bases de datos de la Administraci髇 presupuestaria la tramitaci髇 de las solicitudes de acceso se efectuar� de acuerdo con lo dispuesto en la citada Resoluci髇 de 24 de mayo de 2005, de control de accesos a las bases de datos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

El Real Decreto 1552/2004, de 25 de junio, de estructura org醤ica b醩ica del Ministerio de Econom韆 y Hacienda, establece en su art韈ulo 12, apartado 1.i), que la Intervenci髇 General de la Administraci髇 del Estado es el 髍gano encargado de la planificaci髇, dise駉 y ejecuci髇 de la pol韙ica inform醫ica de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, el soporte inform醫ico de las actividades y el asesoramiento, coordinaci髇 e instrumentaci髇 de los proyectos inform醫icos de sus 髍ganos.

Los sistemas de informaci髇 y las bases de datos que en ellos se soportan constituyen un elemento b醩ico para la gesti髇 encomendada a la Secretar韆 General de Presupuestos y Gastos y a la Intervenci髇 General de la Administraci髇 del Estado, por lo que deben ser objeto de una especial protecci髇 a fin de que cumplan los requisitos de disponibilidad, integridad, confidencialidad y autenticidad precisos.

En consecuencia, las funciones que puedan realizarse en los sistemas de informaci髇 han de tratarse de forma que faciliten las elaboraciones espec韋icas y concretas de gesti髇 para las que han sido dise馻das, al mismo tiempo que quedan encuadradas en el marco general del control de accesos a la informaci髇 que salvaguarde la integridad y la confidencialidad de los datos contenidos en los sistemas.

El balance en la aplicaci髇 de la actual Resoluci髇 de la Secretar韆 de Estado de Presupuestos y Gastos, de 8 de julio de 2002, para el control de accesos a las bases de datos, puede calificarse de positivo, teniendo en cuenta que ha sentado las bases organizativas y t閏nicas para la instrumentaci髇 de la seguridad inform醫ica en el 醡bito de la Administraci髇 presupuestaria.

Sin embargo, la experiencia adquirida en su aplicaci髇 ha puesto de manifiesto la necesidad de cambiar el enfoque de alguno de sus apartados, de introducir algunas mejoras sobre determinados aspectos y de adaptar su contenido a la nueva estructura organizativa.

Los objetivos perseguidos en esta nueva Resoluci髇 de control de accesos son fundamentalmente los siguientes:

Incorporar en los procedimientos de control de accesos aquellos elementos que faciliten la adecuaci髇 a la incesante evoluci髇 tecnol骻ica en materia de seguridad inform醫ica.

Flexibilizar la aplicaci髇 de la Resoluci髇 en aquellos extremos en los que se han puesto de manifiesto ciertos rasgos de rigidez, en aras a una mayor agilidad y eficacia, sin detrimento de la seguridad.

Adecuar la Resoluci髇 a la nueva estructura organizativa de la Administraci髇 presupuestaria surgida del Real Decreto 1552/2004 y a la normativa nacional de protecci髇 de datos de car醕ter personal.

Por todo ello, y de conformidad con lo dispuesto en el art韈ulo 45.3 de la Ley 30/1992, de 26 de noviembre, de R間imen Jur韉ico de las Administraciones P鷅licas y del Procedimiento Administrativo Com鷑, se hace preciso establecer los criterios de regulaci髇 de un sistema de control de accesos a los sistemas de informaci髇 de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado que tenga en cuenta las orientaciones antes indicadas.

En su virtud, a propuesta de la Intervenci髇 General de la Administraci髇 del Estado y de la Secretar韆 General de Presupuestos y Gastos, he tenido a bien disponer:

Primero. 羗bito de aplicaci髇.-

La presente Resoluci髇 ser� de aplicaci髇 a toda la informaci髇 contenida en cualquiera de los ficheros, organizados por un sistema gestor de bases de datos o en cualquier otra forma, que fueran objeto de tratamiento a trav閟 de los sistemas de informaci髇 y aplicaciones inform醫icas de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, en adelante bases de datos de la Administraci髇 Presupuestaria, regulando el acceso a dicha informaci髇 con arreglo a las normas de la Ley Org醤ica 15/1999, de 13 de diciembre, del Real Decreto 994/1999, de 11 de junio y de la Ley 47/2003, General Presupuestaria.

No se consideran dentro del 醡bito de aplicaci髇 de esta Resoluci髇 las bases de datos accesibles a trav閟 del sitio web Intranet e Internet de la Administraci髇 Presupuestaria, cuando tengan car醕ter abierto a nivel corporativo de la propia Administraci髇 presupuestaria, as� como las bases de datos generadas a trav閟 de las herramientas corporativas ofim醫icas o an醠ogas a disposici髇 del usuario.

Asimismo, no estar醤 incluidas en el 醡bito de aplicaci髇 de esta Resoluci髇 las bases de datos de incentivos regionales, gestionadas por la Direcci髇 General de Fondos Comunitarios, en tanto se mantenga su gesti髇 inform醫ica aut髇oma.

Segundo. Conceptos y su significado.-

Sistemas de informaci髇: conjunto de datos, documentaci髇, procedimientos y tratamientos inform醫icos, as� como bases de datos, redes de comunicaciones y sistemas de interconexi髇, sistemas de control de accesos, personas, y ordenadores, perif閞icos y terminales instalados en los Servicios centrales y Organizaciones delegadas y territoriales de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

Servicios centrales de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado: los centros directivos que constituyen las mismas.

Organizaciones delegadas y territoriales: las unidades que tengan ese car醕ter y que dependan de los centros directivos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

Administraci髇 presupuestaria: 醡bito funcional de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

Servicios de Inform醫ica Presupuestaria: 醨ea de la Intervenci髇 General de la Administraci髇 del Estado encargada del desarrollo y ejecuci髇 de las actividades inform醫icas de la Administraci髇 presupuestaria.

Red de Inform醫ica Presupuestaria: red corporativa de 醨ea extensa (WAN) de la Administraci髇 presupuestaria.

Acceso a la red: acceso a los servicios de red.

Tercero. Clasificaci髇 de los sistemas de informaci髇 de la Administraci髇 presupuestaria.-

Seg鷑 la responsabilidad funcional de las bases de datos, los sistemas de informaci髇 y aplicaciones inform醫icas de la Administraci髇 presupuestaria se clasificar醤 como:

• a) Centralizadas, cuando la responsabilidad funcional es competencia de alguno de los centros directivos y el acceso a los datos no est� limitado solo a los usuarios destinados en el centro directivo.
• b) Departamentales, cuando la responsabilidad funcional es competencia de un centro directivo, o de una organizaci髇 delegada o territorial, y el acceso a los datos est� limitado a los usuarios destinados en las mismas.
• c) Externas, cuando la responsabilidad funcional est� fuera del 醡bito de competencia de la Administraci髇 presupuestaria.

Cuarto. Objeto.-

El objeto de esta Resoluci髇 es establecer los criterios generales a los que debe responder la administraci髇 de la seguridad de los sistemas de informaci髇 y definir el procedimiento de gesti髇 para el acceso a los mismos en el 醡bito de aplicaci髇 establecido en el apartado primero, tanto desde la propia red corporativa de Inform醫ica Presupuestaria como desde cualquier otro organismo p鷅lico o privado con acceso autorizado. La seguridad cabe entenderla, a efectos de esta Resoluci髇, en su acepci髇 de control de los accesos a la red y a las bases de datos para garantizar la disponibilidad, integridad y confidencialidad de la informaci髇.

Estas instrucciones se aplicar醤 a todo el personal de la Administraci髇 presupuestaria, y a aquellas personas que no perteneciendo a la misma dispongan de acceso a sus bases de datos.

Quinto. Agentes para la administraci髇 de la seguridad de la informaci髇.-

La gesti髇 de la seguridad de accesos a la red y a las bases de datos de la Administraci髇 presupuestaria requiere, adem醩 de la implicaci髇 activa de todos los usuarios de los sistemas de informaci髇, la existencia de un marco organizativo orientado a dicha gesti髇 en el que desempe馻r醤 un papel primordial los siguientes agentes:

• a) Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.
• b) Administrador corporativo de seguridad de la Informaci髇.
• c) Responsables de seguridad en los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, a los que en lo sucesivo esta Resoluci髇 se referir� como responsables de centro.
• d) Responsable de seguridad de los ficheros de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, a los que en lo sucesivo esta Resoluci髇 se referir� como responsables de fichero.
• e) Administradores de la seguridad de acceso a las redes departamentales de cada uno de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, a los que en lo sucesivo esta Resoluci髇 se referir� como Administradores de red.
• f) Administradores de la seguridad de acceso a las bases de datos de la red de Inform醫ica presupuestaria, a los que en lo sucesivo esta Resoluci髇 se referir� como Administradores de base de datos.

En el contexto de esta Resoluci髇, los t閞minos de Administrador de red y de base de datos tienen un car醕ter organizativo, de acuerdo con las funciones encomendadas en los apartados noveno y d閏imo, y no un significado inform醫ico.

Sexto. Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.-

El Comit� de Coordinaci髇 de la Seguridad es un 髍gano colegiado de car醕ter horizontal en materia de seguridad de la informaci髇 para el 醡bito de la Administraci髇 presupuestaria. Estar� formado por:

• a) El Coordinador de los servicios de Inform醫ica presupuestaria, que actuar� como Coordinador del Comit�.
• b) El Subdirector general de Explotaci髇 de los servicios de Inform醫ica presupuestaria.
• c) El Administrador corporativo de seguridad de la informaci髇, cuyas funciones se establecen en el apartado siguiente.
• d) Los responsables de centro, previstos en el apartado octavo, designados por el titular de cada uno de los centros directivos de la Administraci髇 presupuestaria.
• e) Tres Interventores delegados en representaci髇 del conjunto de las Intervenciones delegadas en Ministerios y Organismos aut髇omos, Intervenciones regionales y territoriales, designados por el Interventor general de la Administraci髇 del Estado.

El Comit� de Coordinaci髇 de la Seguridad de la informaci髇 podr� convocar a representantes de Unidades organizativas externas que accedan a bases de datos de la Administraci髇 presupuestaria.

A este Comit� de Coordinaci髇, que se reunir� al menos dos veces al a駉, le corresponder� establecer las directrices, normas y actuaciones de orden organizativo y t閏nico que sean precisas en desarrollo de lo dispuesto en esta Resoluci髇, dirigidas a garantizar la disponibilidad, integridad y confidencialidad de la informaci髇 en la red de Inform醫ica presupuestaria, todo ello sin perjuicio del ejercicio de las competencias decisorias por los 髍ganos superiores o directivos del Departamento que las tengan atribuidas.

S閜timo. Administrador corporativo de seguridad de la informaci髇.-

El Administrador corporativo de seguridad de la informaci髇 aplicar� las medidas de seguridad a las bases de datos de la Administraci髇 presupuestaria de acuerdo con las directrices marcadas por el Comit� de Coordinaci髇 de la Seguridad de la Informaci髇. Ser� designado por el Comit� de Coordinaci髇 de la Seguridad de la informaci髇 a propuesta del Coordinador de Inform醫ica Presupuestaria y actuar� de secretario del Comit�.

El dise駉, construcci髇, implantaci髇 y mantenimiento de las instrucciones, procedimientos y herramientas que, en aplicaci髇 de lo dispuesto en esta Resoluci髇, se desarrollen para la administraci髇 de la seguridad de la red y de las bases de datos corresponder� a los servicios de Inform醫ica Presupuestaria bajo la iniciativa y coordinaci髇 del Administrador corporativo de seguridad de la informaci髇, que las pondr� en conocimiento de los Responsables de los centros directivos u organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, de los Administradores de red y de base de datos y, en general, las difundir� a todo el 醡bito de aplicaci髇.

Octavo. Responsables de centro.-

A efectos de esta Resoluci髇 se considera responsable de centro a la persona que designe el titular del centro directivo o al titular de la organizaci髇 delegada o territorial de la Administraci髇 presupuestaria.

Este responsable de centro asumir�, en materia de seguridad de la informaci髇, las funciones y obligaciones que se indican a continuaci髇:

• a) Adoptar� las medidas necesarias para el cumplimiento, en su 醡bito de competencia, de las normas, instrucciones y procedimientos que, en aplicaci髇 de lo establecido en esta Resoluci髇, se desarrollen para la administraci髇 de la red y de las bases de datos de la Administraci髇 presupuestaria.
• b) Adoptar� las medidas necesarias para que el personal de su 醡bito de competencia conozca las normas y procedimientos de seguridad que afecten al desarrollo de sus funciones.
• c) Designar� a un Administrador 鷑ico de red y a los suplentes que considere precisos. No obstante, en el caso de los centros directivos, la designaci髇 del Administrador de red podr� efectuarse, si la estructura as� lo aconseja, a nivel de Subdirecci髇 General o de ubicaciones administrativas diferentes.
• d) Designar� a los Administradores de base de datos de su 醡bito de competencia.
• e) Autorizar� el acceso de usuarios a la red departamental y a las bases de datos de su centro. Asimismo, comunicar� la anulaci髇 de los accesos permitidos a la red departamental y a las bases de datos de su propio centro.

  Qui閚 ostente la funci髇 de autorizaci髇 de accesos a una base de datos actuar� as� mismo como responsable de fichero en los t閞minos del Real Decreto 994/1999 o designar� a dicho responsable.

• f) Solicitar� el acceso de su personal a las bases de datos de la Administraci髇 presupuestaria, distintas de aquellas residentes en su centro, que se requiera para el ejercicio de las funciones encomendadas.
• g) Solicitar� el acceso de su personal a bases de datos externas al 醡bito de la Administraci髇 presupuestaria, cuando se requiera para el ejercicio de las funciones encomendadas.

En los centros directivos, las funciones d), e), f), y g) podr醤 ser desempe馻das por los Subdirectores Generales, asimilados o adjuntos, respecto a las redes, bases de datos y 醡bito de personal de su respectiva competencia. Para tales funciones, y a los efectos de esta Resoluci髇, dichos Subdirectores ser醤 considerados como responsables de centro.

Noveno. Administrador de red departamental.-

Cada Administrador de red ser� el responsable de la aplicaci髇, en su 醡bito de actuaci髇, de la presente Resoluci髇 y de las instrucciones y procedimientos que en materia de gesti髇 de red y del control de accesos a la misma se desarrollen. Para esta misi髇 el Administrador de red actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los servicios de Inform醫ica Presupuestaria.

Las funciones y obligaciones del Administrador en materia de gesti髇 de red y control de accesos a la misma, ser醤:

• a) Instrumentar las solicitudes de acceso a la red de los nuevos usuarios autorizados.
• b) Realizar el mantenimiento y actualizaci髇 del inventario de usuarios con acceso permitido a la red departamental.
• c) Obtener peri骴icamente, a trav閟 de los medios puestos a su disposici髇 por los servicios de Inform醫ica Presupuestaria, estad韘tica de accesos realizados por los usuarios de la red departamental a los sistemas de informaci髇.
• d) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 y denegaci髇 del acceso de cada uno de los usuarios a la red (puesto de trabajo, responsable de la autorizaci髇 y anulaci髇 de los accesos, fecha de autorizaci髇 o denegaci髇,.), al menos durante 2 a駉s.
• e) Informar de los incidentes relativos a la seguridad de control de accesos, seg鷑 los procedimientos establecidos para tal fin.

D閏imo. Administrador de base de datos.-

Cada base de datos, correspondiente a un sistema de informaci髇 o aplicaci髇 inform醫ica, tendr� asignado un Administrador de base de datos cuya designaci髇 corresponder� a:

• a) En caso de base de datos centrales, al responsable del centro directivo al que competa la naturaleza funcional del sistema de informaci髇 o aplicaci髇 inform醫ica. No obstante, si el responsable de centro ha nombrado responsable de fichero de la base de datos, ser� el responsable de fichero el que nombre al administrador de la misma.

  Cuando el contenido de la base de datos central sea el resultado de una gesti髇 descentralizada, el responsable del centro competente, o el responsable de fichero nombrado por 閘, podr� designar responsable delegado de autorizaci髇 de accesos, por cada unidad u oficina de gesti髇 que participe. Estos responsables delegados designar醤 al correspondiente Administrador de base de datos.

  Cuando se trate de productos o aplicaciones inform醫icas de utilizaci髇 general en todo el entorno de la Administraci髇 presupuestaria, sin adscripci髇 funcional, el Administrador de base de datos ser� designado por el Coordinador de los servicios de Inform醫ica Presupuestaria.

• b) En el caso de bases de datos departamentales, al responsable del centro directivo u organizaci髇 delegada o territorial en la que residan.
• c) En el caso de bases de datos externas, al Coordinador de los servicios de Inform醫ica Presupuestaria.

El Administrador de base de datos ser� el responsable de la aplicaci髇 de la presente Resoluci髇 y de las instrucciones y procedimientos que, en materia de control de accesos a las bases de datos, se desarrollen. Para esta misi髇 el Administrador de base de datos actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los servicios de Inform醫ica Presupuestaria.

Por tanto, las funciones y obligaciones del Administrador de base de datos ser醤:

• a) Instrumentar y gestionar las altas, bajas y el mantenimiento de autorizaciones de acceso a los usuarios de las bases de datos y, en algunos casos, de las funciones permitidas (por ejemplo, asignaci髇 de perfiles de acceso).
• b) Instrumentar y gestionar el acceso de los usuarios externos a las bases de datos de la red de Inform醫ica presupuestaria, previa comunicaci髇 a la Unidad de los servicios de Inform醫ica Presupuestaria designada a tal efecto, cuando proceda.
• c) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 o denegaci髇 del acceso de los usuarios a la base de datos, al menos durante 2 a駉s.
• d) Obtener peri骴icamente, mediante los medios puestos a su disposici髇 por los servicios de Inform醫ica Presupuestaria, estad韘tica de los accesos realizados por los usuarios a las bases de datos centrales y departamentales administradas por 閘.

  Cuando se trate de bases de datos o ficheros con datos de car醕ter personal, a los que resulten de aplicaci髇 las medidas de seguridad de nivel alto del Real Decreto 994/1999, el Administrador de base de datos, central o departamental, obtendr� un informe mensual de los accesos y operaciones realizadas por los usuarios del sistema identificando, como m韓imo, el usuario, fecha y hora en que se realiz� el acceso, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.

• e) Informar de los incidentes relativos a la seguridad seg鷑 los procedimientos establecidos para tal fin.

Und閏imo. Control de acceso a la red y a las bases de datos.-

El acceso a la red y los sistemas de informaci髇 de la Administraci髇 presupuestaria se articular� sobre un conjunto de procedimientos integrados que se indican a continuaci髇:

• a) Todas las estaciones de trabajo de la red de inform醫ica presupuestaria, con car醕ter general y sin perjuicio de las excepciones que se autoricen, se configurar醤 de acuerdo con el procedimiento t閏nico de integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP).
• b) Todo usuario de los sistemas de informaci髇 de los servicios de inform醫ica presupuestaria tendr� asignado un perfil de acceso, instrumentado sobre medios inform醫icos, entendiendo como tal el cat醠ogo de sistemas de informaci髇 o aplicaciones inform醫icas a los que puede acceder. La asignaci髇 del perfil de acceso solamente se producir� despu閟 de haber introducido una palabra de paso de identificaci髇 personal (PIP), asociada al c骴igo identificativo del usuario l骻ico que accede al sistema, de forma que todo usuario autorizado a acceder a la red quede debidamente identificado y autenticado.
• c) El perfil de acceso o el escritorio inform醫ico personalizado de cada usuario vendr� determinado por el conjunto de las autorizaciones de acceso otorgadas a un mismo usuario por los Administradores de red o de bases de datos.
• d) Todos los sistemas de informaci髇 que se consideren cr韙icos en materia de seguridad, o que contengan ficheros con datos de car醕ter personal, dispondr醤 de una administraci髇 que permita asignar perfiles espec韋icos de acceso para evitar que se acceda a datos o recursos con derechos distintos de los autorizados.

  Asimismo, los sistemas de informaci髇 que contengan ficheros con datos de car醕ter personal a los que se asigne nivel de seguridad medio o alto, seg鷑 lo establecido en el Real Decreto 994/1999, dispondr醤 de un mecanismo que permita la identificaci髇 de forma inequ韛oca y personalizada de todo aquel usuario que intente acceder al sistema de informaci髇 y la verificaci髇 de que est� autorizado. Adicionalmente se limitar� la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de informaci髇.

• e) La comunicaci髇 de las autorizaciones de acceso a la red y a las bases de datos efectuada por los responsables de centro con destino a los correspondientes Administradores de red y de base de datos, y, en general, las comunicaciones relativas a la administraci髇 de los accesos a la red y a las bases de datos realizadas entre los distintos agentes para la administraci髇 de la seguridad, se establecer醤 mediante un sistema de correo electr髇ico, que permita garantizar la autenticidad del origen y destino del mensaje, as� como la integridad del mismo.

  De todos los env韔s y recepciones de informaci髇 relativa a la administraci髇 de los accesos a la red y a las bases de datos, con el resto de agentes para la administraci髇 de la seguridad, se guardar� una copia en un buz髇 鷑ico, al efecto de constituir un registro hist髍ico de control del acceso a la red y a las bases de datos de la Administraci髇 presupuestaria.

• f) La integridad y actualizaci髇 consistente de este registro hist髍ico de control de accesos, as� como su explotaci髇, estar醤 a cargo del Administrador corporativo de seguridad de la informaci髇.

Duod閏imo. Integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP).-

Con objeto de garantizar una configuraci髇 normalizada de todas las estaciones de trabajo de la red corporativa de inform醫ica presupuestaria, con car醕ter general y sin perjuicio de las excepciones que se autoricen, su instalaci髇 se ajustar� al procedimiento t閏nico de integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP) que garantizar�:

• a) El control normalizado de acceso a la red mediante la identificaci髇 personalizada, en el arranque del puesto de trabajo, a trav閟 del identificativo l骻ico de usuario y de la introducci髇 de una palabra de paso personal (PIP) asociada.
• b) La configuraci髇 del escritorio personalizado del puesto de trabajo, integrado por el conjunto de sistemas de informaci髇 a los que el usuario del mismo puede acceder.
• c) La distribuci髇 del 玸oftware� al puesto de trabajo y, en su caso, al servidor departamental.
• d) Que en los puestos de trabajo y, en su caso en el servidor departamental, el 玸oftware� instalado es el autorizado en los servicios de Inform醫ica presupuestaria.

Decimotercero. Autorizaci髇 de acceso a la red.-

El alta inicial de un nuevo usuario, para acceder a la red departamental que le corresponda, requerir� la autorizaci髇 del responsable del centro directivo u organizaci髇 delegada o territorial, dirigida al Administrador de la red, a quien competer� instrumentar dicha alta. La comunicaci髇 de la autorizaci髇 se realizar� por correo electr髇ico y en ella se indicar�, obligatoriamente, el NIF, el nombre y apellidos de la persona para la que se solicita el acceso, el puesto de trabajo que ocupa y un tel閒ono de contacto.

Asimismo, el responsable del centro directivo u organizaci髇 delegada o territorial, comunicar� puntualmente al Administrador de la red, a trav閟 de correo electr髇ico, las revocaciones de las autorizaciones vigentes a favor del personal que deje de prestar sus servicios en el 醡bito organizativo que corresponde a dicha red departamental o que, continuando prestando servicios en la Organizaci髇, no precisen disponer de acceso a la red.

Decimocuarto. Tramitaci髇 de acceso a la red.-

El Administrador de la red tramitar� la solicitud de acceso a la red. Una vez efectuada el alta de usuario, el Administrador de la red comunicar� al nuevo usuario su identificativo l骻ico y una palabra de paso de identificaci髇 personal (PIP), de car醕ter inicial. Esta PIP deber� ser necesariamente renovada por el usuario, generando otra distinta, al producirse el primer acceso, despu閟 de haber contabilizado un n鷐ero determinado de accesos a la red y, en todo caso, transcurridos el n鷐ero de d韆s que se establezca por la Intervenci髇 General de la Administraci髇 del Estado. Asimismo el usuario podr� generar, en cualquier momento, una nueva PIP que sustituya a la anterior.

El sistema inform醫ico registrar� la PIP de forma criptografiada, de tal manera que no sea posible su lectura.

Asimismo, con la informaci髇 recibida del responsable del centro directivo u organizaci髇 delegada o territorial, el Administrador de la red gestionar�, con puntualidad, las bajas de los correspondientes identificativos l骻icos de usuario.

El Administrador de red ser� responsable del mantenimiento y actualizaci髇 del inventario de usuarios con acceso permitido a la red departamental y de la custodia y almacenamiento de la informaci髇 necesaria para la autorizaci髇 de cada uno de ellos: Identificaci髇 de la persona y puesto de trabajo que ocupa; responsable jer醨quico que concedi� la autorizaci髇 y fecha de la misma; responsable jer醨quico que autoriz� su anulaci髇 y motivo de la misma.

El Administrador de red deber� archivar los correos enviados de notificaci髇 de habilitaci髇 de acceso al responsable del centro directivo, organizaci髇 delegada o territorial y al usuario.

El env韔 y recepci髇 de informaci髇 relativa a la administraci髇 de los accesos a la base de datos, con el resto de agentes para la administraci髇 de la seguridad, y la copia de cada uno de estos intercambios de informaci髇 al buz髇 鷑ico de seguridad se realizar醤, seg鷑 establece el apartado und閏imo e), mediante un sistema de correo electr髇ico.

Decimoquinto. Solicitud de acceso a base de datos.-

La solicitud de acceso a una base de datos ser� dirigida a quien, seg鷑 el apartado octavo, corresponde la autorizaci髇 de acceso, por el responsable jer醨quico superior del usuario para el que se solicita el acceso, que, en el caso de servicios centrales, tendr� categor韆 m韓ima de Subdirector general, asimilado o adjunto y, en el supuesto de tratarse de organizaciones delegadas o territoriales, ser� el m醲imo responsable de la organizaci髇. En esta solicitud se indicar醤 los usuarios, con su identificativo, para los que se propone el acceso, el sistema de informaci髇 a acceder, el perfil de acceso requerido, una justificaci髇 debidamente fundamentada, la ubicaci髇 y una persona de contacto. Asimismo, se indicar� la fecha propuesta para el alta y la fecha de caducidad, en su caso, para dicho acceso.

No obstante lo anterior, cuando el usuario que requiere el acceso a la base de datos pertenezca al mismo Centro al que compete la administraci髇 funcional de la base de datos, la solicitud de acceso ser� dirigida directamente al correspondiente Administrador de base de datos por el responsable jer醨quico superior del usuario, para el que se requerir� la misma categor韆 indicada en el p醨rafo anterior.

Decimosexto. Autorizaci髇 y tramitaci髇 de acceso a base de datos.-

La autorizaci髇, en su caso, de la solicitud de acceso a la base de datos ser� dirigida por el responsable de centro o por el responsable de fichero al que corresponda la administraci髇 funcional de la base de datos al Administrador de base de datos. Esta comunicaci髇 se realizar� por correo electr髇ico, sin perjuicio de la remisi髇 adicional de la documentaci髇 constitutiva de la solicitud.

Corresponde al Administrador de base de datos la instrumentaci髇 de la autorizaci髇 o denegaci髇 de acceso y su notificaci髇 al usuario.

No obstante, conforme a lo se馻lado en el apartado anterior, cuando la solicitud se refiera a un usuario que pertenezca al mismo Centro al que compete la administraci髇 funcional de la base de datos, no ser� precisa la expresa autorizaci髇 del responsable de centro correspondiente, actuando el Administrador de base de datos conforme a los criterios generales de autorizaci髇 que establezca el responsable de centro.

Por tanto, se responsabilizar� el Administrador de base de datos de la gesti髇 del alta, baja y mantenimiento de autorizaciones de acceso al sistema de informaci髇, as� como de la asignaci髇 de perfiles de acceso, cuando seg鷑 el apartado siguiente haya de efectuarse, que deber醤 corresponderse con las necesidades concretas de gesti髇. Asimismo dicho Administrador proceder�, a iniciativa propia, a la depuraci髇 de las autorizaciones de acceso al sistema de informaci髇, habilitando los procedimientos necesarios para disponer la caducidad de las autorizaciones de acceso cuando fuera procedente a juicio del Administrador, o cuando se dieran las circunstancias que aconsejaran tal medida, notificando dicha actuaci髇 al responsable jer醨quico del usuario afectado.

El Administrador de base de datos deber� archivar, al menos durante dos a駉s, el correo recibido, en su caso, del responsable de centro, junto con la documentaci髇 constitutiva de la solicitud, as� como los correos de notificaci髇 de habilitaci髇 de acceso enviados a dicho responsable de centro, al responsable jer醨quico superior del usuario y al usuario afectado.

El env韔 y recepci髇 de informaci髇 relativa a la administraci髇 de los accesos a la base de datos, con el resto de agentes para la administraci髇 de la seguridad, y la copia de cada uno de estos intercambios de informaci髇 al buz髇 鷑ico de seguridad se realizar醤, seg鷑 establece el apartado und閏imo e), mediante un sistema de correo electr髇ico.

Decimos閜timo. Acceso a sistemas de informaci髇 cr韙icos en materia de seguridad.-

En aquellos sistemas de informaci髇 cr韙icos en materia de seguridad, o que contengan ficheros con datos de car醕ter personal, el respectivo Administrador de base de datos podr� requerir en el formulario de solicitud, las funciones o/y el dominio de datos a los que se propone acceder por parte del usuario para el que se formula la misma.

En estos casos, el usuario autorizado acceder� exclusivamente a las funciones y al dominio de datos expresamente indicados por el correspondiente Administrador de base de datos.

Asimismo, cuando as� se precise, y en todo caso, cuando se acceda a ficheros que contengan datos de car醕ter personal a los que se asignen nivel medio o alto de seguridad, se requerir� la introducci髇 de una palabra de paso adicional, espec韋ica para el sistema de informaci髇. No obstante, con el objeto de seguir reforzando la seguridad en los accesos a los mismos, la medida mencionada podr� ser sustituida por otras, como por ejemplo, el uso de certificados en tarjeta criptogr醘ica.

Decimoctavo. Acceso de usuarios externos a la red de inform醫ica presupuestaria.-

El acceso de usuarios ajenos a la red de inform醫ica presupuestaria, en los t閞minos se馻lados en esta Resoluci髇, a los sistemas de informaci髇 de la Administraci髇 presupuestaria se ajustar� a los criterios anteriormente expuestos con las adaptaciones que se indican a continuaci髇.

Con car醕ter general, estos usuarios, cuando sean autorizados para acceder a bases de datos de la Administraci髇 presupuestaria no precisar醤 que sus estaciones de trabajo est閚 configuradas bajo el procedimiento t閏nico de integraci髇 de sistemas de los servicios de inform醫ica presupuestaria (ISIP).

La solicitud de acceso a la base de datos deber� ser enviada por el usuario de acuerdo con el procedimiento t閏nico que establezcan los Servicios de Inform醫ica presupuestaria.

El destinatario de la solicitud ser� el responsable del centro al que corresponda la administraci髇 funcional de la base de datos, o en caso de que se haya nombrado responsable del fichero, 閟te 鷏timo. En el supuesto de autorizar el acceso solicitado, el responsable de centro o el responsable del fichero, comunicar� dicha autorizaci髇 y los t閞minos de la misma al correspondiente Administrador de base de datos, quien, con car醕ter previo a su instrumentaci髇, la comunicar�, cuando proceda, a la unidad designada de los servicios de inform醫ica presupuestaria qui閚 coordinar� con el Administrador de base de datos anteriormente indicado la operatividad del acceso concedido.

En la solicitud de acceso dirigida al responsable de centro, o al responsable funcional, se indicar� obligatoriamente el NIF, el usuario o usuarios para los que se propone el acceso, el sistema de informaci髇 a acceder, el perfil de acceso requerido, una justificaci髇 debidamente fundamentada, la ubicaci髇 y una persona de contacto, con su tel閒ono y direcci髇 de correo electr髇ico. Asimismo, se har� constar la fecha propuesta para el alta y la fecha de caducidad, en su caso, para dicho acceso.

El identificativo l骻ico de usuario asignado a un usuario externo tendr� una vigencia m醲ima de doce meses, debiendo ser expresamente renovado una vez transcurrido dicho per韔do, a instancia del 髍gano en que preste servicio el usuario.

Los usuarios externos que fueran autorizados a acceder a sistemas de informaci髇 de la Administraci髇 presupuestaria se dotar醤 a s� mismos con los medios t閏nicos y cumplimentar醤 y respetar醤 los procedimientos establecidos en esta Resoluci髇.

En caso de incumplimiento de esta normativa sobre accesos, el Administrador de base de datos podr� proponer la revocaci髇 de las autorizaciones concedidas a las que se refiere este apartado.

Decimonoveno. Acceso a bases de datos externas.-

Cuando la base de datos a la que se desea acceder resida fuera del entorno de la red corporativa de Inform醫ica presupuestaria (base de datos de la AEAT; de la Seguridad Social,.), facilit醤dose a trav閟 de dicha red la conexi髇 a la base de datos externa, sin perjuicio de observar los requerimientos de seguridad y control de accesos espec韋icos del dominio externo al que se accede, actuar� como Administrador de acceso a dicha base de datos, a efectos de esta Resoluci髇, la persona que designe el Coordinador de los servicios de Inform醫ica presupuestaria.

Vig閟imo. Notificaci髇 y gesti髇 de las incidencias.-

Los Administradores de red y de base de datos comunicar醤 inmediatamente cualquier anomal韆 o irregularidad detectados en los mecanismos adoptados para garantizar la seguridad en el control de accesos, a trav閟 del sistema de informaci髇 establecido para la notificaci髇 y gesti髇 de incidencias.

Todas las anomal韆s o irregularidades detectadas en el control de accesos se considerar醤 玦ncidentes de seguridad�, por tanto:

• a) Se registrar� la incidencia en el sistema de informaci髇 citado, aplicando el procedimiento desarrollado al efecto.
• b) El Administrador corporativo de seguridad de la informaci髇 generar� correo de notificaci髇 de la incidencia detectada en el control de accesos, dirigido al responsable del centro directivo u organizaci髇 delegada o territorial del cual depende el Administrador de red o base de datos que detectara la incidencia en cualquiera de los mecanismos adoptados para garantizar la seguridad en el control de accesos.
• c) El Administrador corporativo de seguridad de la informaci髇 realizar� un seguimiento exhaustivo de la incidencia hasta su resoluci髇.
• d) Tras la resoluci髇 de la incidencia se proceder� al cierre de la misma por el Administrador corporativo de seguridad de la informaci髇. La incidencia pasar� a formar parte del registro hist髍ico de incidencias de seguridad.
• e) El Administrador corporativo de seguridad de la informaci髇 generar� correos de notificaci髇 de cierre de la incidencia, dirigidos al Administrador de red o base de datos que detectara la incidencia en cualquiera de los mecanismos adoptados para garantizar la seguridad en el control de accesos y al responsable del centro directivo u organizaci髇 delegada o territorial del cual dependa.

Vig閟imo primero. Auditor韆 del procedimiento de control de accesos.-

El Administrador corporativo de seguridad de la informaci髇 promover� la realizaci髇 de auditor韆s sobre la aplicaci髇 del procedimiento de control de accesos y acerca del propio procedimiento, al menos, cada dos a駉s.

El informe de auditor韆 deber� dictaminar sobre la adecuaci髇 de las medidas y controles al Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de car醕ter personal ( Real Decreto 994/1999), identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deber�, igualmente, incluir los datos, hechos y observaciones en que se basen los dict醡enes alcanzados y recomendaciones propuestas.

La auditor韆 verificar� cada uno de los ficheros de datos de car醕ter personal, soportados dentro de la red de inform醫ica presupuestaria, a los que correspondan la aplicaci髇 de medidas de seguridad de niveles medio o alto.

Vig閟imo segundo. Confidencialidad de la informaci髇.-

Los datos e informaciones contenidas en las bases de datos de la Administraci髇 presupuestaria, cualquiera que sea su soporte, ser醤 de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jur韉ico.

Las autoridades, funcionarios p鷅licos y dem醩 personal al que resulte de aplicaci髇 esta Resoluci髇 y que por raz髇 de su cargo o funci髇 tuviesen conocimiento de los datos o informaciones a que se refiere el p醨rafo anterior, est醤 obligados a guardar sigilo riguroso y observar estricto secreto respecto de los mismos.

El personal autorizado s髄o deber� acceder a las bases de datos cuando deba conocer determinada informaci髇 por razones del servicio, debiendo abstenerse de hacerlo por cualquier otra motivaci髇.

La salida de soportes inform醫icos que contengan informaci髇 de las bases de datos de la Administraci髇 presupuestaria, 鷑icamente podr� ser autorizada por el responsable de centro.

Vig閟imo tercero. Responsabilidades.

• a) Cada usuario deber� conocer y aplicar, en su 醡bito de actuaci髇, la presente Resoluci髇, as� como las normas, instrucciones y procedimientos que en materia de control de accesos a la red y bases de datos de la Administraci髇 presupuestaria se establezcan.
• b) Cada usuario, debidamente autorizado, adquiere el compromiso de utilizaci髇 de las bases de datos con los fines exclusivos de gesti髇 para los que ha sido autorizado. Asimismo, ser� responsable de todos los accesos que se realicen mediante el uso de su c骴igo de identificaci髇 l骻ica de usuario y su correspondiente palabra de identificaci髇 personal. A tal fin deber� mantener la custodia y secreto de la indicada PIP, as� como vigilar posibles usos ajenos, denunciando cualquier trasgresi髇.

  En ning鷑 caso deber� facilitarse el c骴igo de usuario ni la palabra de identificaci髇 personal a otra personas, ni deber� accederse a las bases de datos utilizando c骴igos y PIP ajenos, incluso mediando el consentimiento del usuario titular.

• c) El cese de un usuario en el puesto de trabajo por cualquier causa determinar� el cese autom醫ico como usuario, a cuyo efecto, tan pronto como se produzca el cese en el puesto, el responsable jer醨quico superior que, en el caso de servicios centrales, tendr� categor韆 m韓ima de Subdirector general, asimilado o adjunto y, en el supuesto de tratarse de organizaciones delegadas o territoriales, ser� el m醲imo responsable de la organizaci髇, lo comunicar� al Administrador de la red y, a trav閟 de 閟te, a los Administradores de base de datos que corresponda seg鷑 su perfil.

  Cuando se trate de un usuario externo al 醡bito de la Administraci髇 presupuestaria, su cese ser� comunicado, por el responsable jer醨quico que efectu� la solicitud, al Administrador de base de datos, quien coordinar� con la unidad designada de los servicios de inform醫ica presupuestaria la instrumentaci髇 de la baja correspondiente.

• d) El acceso a la informaci髇 de las bases de datos de la Administraci髇 presupuestaria por un usuario no autorizado, la realizaci髇 de transacciones inform醫icas que no est閚 relacionadas con un objetivo concreto de gesti髇, la asignaci髇 de perfiles de utilizaci髇 a otras personas para el uso de transacciones no necesarias para la gesti髇 que tengan encomendada, o la revelaci髇 o falta de diligencia en la custodia y secreto de su c骴igo de usuario y palabra de identificaci髇 personal dar醤 lugar a la exigencia de las responsabilidades administrativas o de otra naturaleza en que se hubiese podido incurrir.

En el supuesto en que las actuaciones se馻ladas en el p醨rafo anterior hubiesen sido cometidas por un funcionario p鷅lico, las mismas podr醤 dar lugar a la incoaci髇 del oportuno expediente disciplinario a tenor de lo previsto en los art韈ulos 6, 7 y 8 del Reglamento de R間imen Disciplinario de los Funcionarios de la Administraci髇 del Estado, aprobado por Real Decreto 33/1986, de 10 de enero.

De igual modo, las conductas se馻ladas en los p醨rafos anteriores dar醤 lugar a la supresi髇 de las autorizaciones previamente concedidas por quien las hubiera otorgado en su momento.

Vig閟imo cuarto. Medios.-

Los servicios de inform醫ica presupuestaria de la Intervenci髇 General de la Administraci髇 del Estado establecer醤, en el 醡bito de la Administraci髇 presupuestaria, los procedimientos, aplicaciones, programas, utilidades y medios necesarios para facilitar el cumplimiento de la presente Resoluci髇.

Vig閟imo quinto. Per韔do de adaptaci髇.-

La adaptaci髇 de los procedimientos, aplicaciones, programas, utilidades y medios a lo dispuesto en esta Resoluci髇 se llevar� a cabo en el per韔do de doce meses desde la entrada en vigor de la misma.

Vig閟imo sexto. Desarrollo para su aplicaci髇.-

Se faculta a la Intervenci髇 General de la Administraci髇 del Estado para resolver cuantas consultas de 韓dole espec韋ica puedan plantearse en la aplicaci髇 de la presente Resoluci髇, as� como para dictar normas internas para su aplicaci髇.

Vig閟imo s閜timo. Disposici髇 transitoria.-

Mientras no est� disponible el nuevo procedimiento mediante el que un usuario externo pueda directamente solicitar autorizaci髇 o revocaci髇 de acceso a las bases de datos de la Administraci髇 Presupuestaria, seguir� en vigor el apartado Decimos閜timo, relativo al acceso de usuarios externos a la red de inform醫ica presupuestaria, de la Resoluci髇 de la Secretar韆 de Estado de Presupuestos y Gastos, de 8 de julio de 2002. Las solicitudes de acceso que se tramiten durante este periodo transitorio, utilizando los formularios publicados en la direcci髇 de Internet de la Administraci髇 Presupuestaria, se gestionar醤 seg鷑 se indicaba en el mencionado apartado decimos閜timo.

Vig閟imo octavo. Derogaci髇 normativa.-

Queda derogada la Resoluci髇 de 8 de julio de 2002, de la Secretar韆 de Estado de Presupuestos y Gastos, para el control de accesos a las bases de datos de la Secretar韆 de Estado.

Vig閟imo noveno. Entrada en vigor.-

La presente Resoluci髇 entrar� en vigor el d韆 siguiente de su publicaci髇 en el 獴olet韓 Oficial del Estado�.