Prevención ante sistemas de información interconectados. El sistema ha de proteger el perímetro, en particular, si se conecta a redes públicas.
Se entenderá por red pública
de comunicaciones la red de comunicaciones electrónicas que se utiliza,
en su totalidad o principalmente, para la prestación de servicios de
comunicaciones electrónicas disponibles para el público, según
la definición establecida en el apartado 26 del anexo II, de la Ley
32/2003, de 3 de noviembre, General de Telecomunicaciones.
Se analizarán siempre los riesgos derivados de la interconexión del sistema, a
través de redes, con otros sistemas, y se controlará su punto de unión.
Registro de actividad. Con la finalidad exclusiva de lograr acceso y seguridad, con plenas garantías
- del derecho
al honor,
- a la intimidad personal y familiar y
- a la propia imagen de los
afectados,
- y de acuerdo con la normativa sobre protección de datos
personales,
- de función pública
- o laboral,
- y demás disposiciones que
resulten de aplicación,
se registrarán las actividades de los usuarios,
reteniendo la información necesaria para
- monitorizar,
analizar,
investigar y
- documentar actividades indebidas o no autorizadas,
permitiendo identificar en cada momento a la persona que actúa.
Por lo que respecta a Incidentes de seguridad.
1. Se establecerá un sistema de detección y reacción frente a código dañino.
2. Se dispondrá de procedimientos de gestión de
incidentes de seguridad y de debilidades detectadas en los elementos
del sistema de información.
Estos procedimientos cubrirán los
mecanismos de
- detección,
- los criterios de clasificación,
- los
procedimientos de análisis y resolución,
- así como los cauces de
comunicación a las partes interesadas
- y el registro de las actuaciones.
Este registro se empleará para la mejora continua de la seguridad delsistema.
Continuidad de la actividad. Los sistemas dispondrán de copias de seguridad y
establecerán los mecanismos necesarios para garantizar la continuidad de
las operaciones, en caso de pérdida de los medios habituales de
trabajo.
El proceso integral de seguridad implantado deberá ser actualizado y
mejorado de forma continua y para ello, se aplicarán los criterios y
métodos reconocidos en la práctica nacional e internacional relativos a
gestión de las tecnologías de la información.
Cumplimiento de requisitos mínimos. Las Administraciones Públicas
aplicarán las medidas de seguridad teniendo en
cuenta:
a) Los activos que constituyen el sistema.
b) La categoría del sistema.
c) Las decisiones que se adopten para gestionar los riesgos identificados.
Cuando un sistema maneje datos de carácter personal le será de aplicación lo
dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normativa de
desarrollo, sin perjuicio de los requisitos establecidos en el Esquema
Nacional de Seguridad.
Como parte integral de la Declaración de Aplicabilidad
se indicará de forma detallada la correspondencia entre las medidas
compensatorias implantadas, las medidas que compensan, y el
conjunto será objeto de la aprobación formal por parte del responsable
de seguridad.
La utilización de infraestructuras y servicios
comunes reconocidos en las Administraciones Públicas facilitará
- el
cumplimiento de los principios básicos y
- los requisitos mínimos exigidos
en condiciones de mejor eficiencia.
Los
supuestos concretos de utilización de estas infraestructuras y servicios
comunes serán determinados por cada Administración.
Instrucciones técnicas de seguridad y guías de seguridad. Para el mejor cumplimiento de lo establecido en
el Esquema Nacional de Seguridad, el Centro Criptológico Nacional, elaborará y difundirá las
correspondientes guías de seguridad de las tecnologías de la
información y las comunicaciones.
El Ministerio de Hacienda y Administraciones
Públicas, a propuesta del Comité Sectorial de Administración Electrónica
previsto en el artículo 40 de la Ley 11/2007, de 22 de junio, y a
iniciativa del Centro Criptológico Nacional,
- aprobará las instrucciones técnicas de seguridad de obligado cumplimiento
- y se publicarán mediante resolución de la Secretaría de Estado de Administraciones Públicas.
Para la redacción y mantenimiento de las instrucciones técnicas de seguridad se constituirán los correspondientes grupos de trabajo en los órganos colegiados con competencias en materia de administración electrónica.
- aprobará las instrucciones técnicas de seguridad de obligado cumplimiento
- y se publicarán mediante resolución de la Secretaría de Estado de Administraciones Públicas.
Para la redacción y mantenimiento de las instrucciones técnicas de seguridad se constituirán los correspondientes grupos de trabajo en los órganos colegiados con competencias en materia de administración electrónica.
Las instrucciones técnicas de seguridad tendrán en cuenta las normas armonizadas a nivel europeo que resulten de aplicación.