Por lo que respecta a las condiciones técnicas de seguridad de las comunicaciones electrónicas, en lo relativo a la constancia de la
transmisión y recepción,
- de sus fechas,
- del contenido integro de las
comunicaciones
- y la identificación fidedigna del remitente y
destinatario de las mismas,
según lo establecido en la Ley 11/2007, de
22 de junio, serán implementadas de acuerdo con lo establecido en el
Esquema Nacional de Seguridad.
Requerimientos técnicos de notificaciones y publicaciones electrónicas. Las notificaciones y publicaciones electrónicas de
resoluciones y actos administrativos se realizarán de forma que
cumplan determinadas exigencias técnicas. Que:
a) Aseguren la autenticidad del organismo que lo publique.
b) Aseguren la integridad de la información publicada.
c) Dejen constancia de la fecha y hora de la puesta a
disposición del interesado de la resolución o acto objeto de
publicación o notificación, así como del acceso a su contenido.
d) Aseguren la autenticidad del destinatario de la publicación o notificación.
Firma electrónica. La política de firma electrónica y de certificados
concretará los procesos de
- generación,
- validación y
- conservación de
firmas electrónicas,
- así como las características y requisitos exigibles
a:
- los sistemas de firma electrónica,
- los certificados,
- los servicios de sellado de tiempo,
- y otros elementos de soporte de las firmas.
En cuanto a la Auditoría de la seguridad. Los sistemas de información electrónica serán objeto de una auditoría regular
ordinaria, al menos cada 2 años, que verifique el cumplimiento de los
requerimientos del Esquema Nacional de Seguridad.
Con carácter extraordinario, deberá realizarse dicha
auditoría siempre que se produzcan modificaciones sustanciales en el
sistema de información, que puedan repercutir en las medidas de
seguridad requeridas.
La realización de la auditoria extraordinaria
determinará la fecha de cómputo para el cálculo de los dos años,
que se establecen para la realización de la siguiente auditoría regular
ordinariar.
Esta auditoría se realizará en función de la
categoría del sistema.
En el marco de lo dispuesto en el artículo 39, de
la ley 11/2007, de 22 de junio, la auditoría profundizará en los
detalles del sistema hasta el nivel que considere que proporciona
evidencia suficiente y relevante, dentro del alcance establecido para la
auditoría.
En la auditoría se utilizarán
- los criterios,
- métodos de trabajo y de conducta generalmente
reconocidos,
- así como la normalización nacional e internacional
aplicables a este tipo de auditorías de sistemas de información.
El informe de auditoría deberá
- identificar deficiencias y
- sugerir las posibles medidas correctoras o
complementarias necesarias,
- así como las recomendaciones que se
consideren oportunas.
- Deberá incluir:
- los criterios metodológicos de auditoría utilizados,
- el alcance y
- el objetivo de la auditoría, y
- los datos, hechos y observaciones en que se basen las conclusiones formuladas.
Los informes de auditoría serán presentados
- al
responsable del sistema y
- al responsable de seguridad competentes.
Estos
informes serán analizados por el responsablede seguridad competente, que presentará sus
conclusiones al responsable del sistema para que adopte las medidas
correctoras adecuadas.
En el caso de los sistemas de categoría ALTA,
visto el dictamen de auditoría, el responsable del sistema podrá acordar
la retirada
- de operación de alguna información,
- de algún servicio o
- del
sistema en su totalidad,
durante el tiempo que estime prudente y hasta
la satisfacción de las modificaciones prescritas.
Los informes de auditoría podrán ser requeridos
por los responsables de cada organización con competencias sobre
seguridad de las tecnologías de la información.
En cuanto al Informe del estado de la seguridad. El Comité Sectorial de Administración Electrónica
recogerá la información relacionada con el estado de las principales
variables de la seguridad en los sistemas de información, de forma que permita elaborar un
perfil general del estado de la seguridad en las Administraciones Públicas.
El Centro Criptológico Nacional articulará
- los
procedimientos necesarios para la recogida y consolidación de la
información,
- así como los aspectos metodológicos para su tratamiento y
explotación, a través de los correspondientes grupos de trabajo que se
constituyan al efecto en el Comité Sectorial de Administración
Electrónica y en la Comisión de Estrategia TIC para la Administración
General del Estado.
Capacidad de respuesta a incidentes de seguridad de la información. El Centro Criptológico Nacional (CCN) articulará la
respuesta a los incidentes de seguridad en torno a la estructura
denominada CCN-CERT (Centro Criptológico Nacional-Computer Emergency
Reaction Team), que actuará sin perjuicio de las capacidades de
respuesta a incidentes de seguridad que pueda tener cada administración
pública y de la función de coordinación a nivel nacional e internacional
del CCN.
Las Administraciones Públicas notificarán al Centro
Criptológico Nacional aquellos incidentes que tengan un impacto
significativo en
- la seguridad de la información manejada y
- de los
servicios prestados en relación con la categorización de sistemas.