Source: http://noticias.juridicas.com/base_datos/Admin/res080702-hac.html
Timestamp: 2020-08-08 04:33:36+00:00

Document:
Vigencia desde 24 de Julio de 2002. Revisión vigente desde 24 de Julio de 2002
Segundo. Clasificación de los sistemas de información de la Secretaría de Estado de Presupuestos y Gastos.-
Cuarto. Agentes para la administración de la seguridad.-
Quinto. Comité de Coordinación de la Seguridad.-
Sexto. Administrador corporativo de seguridad.-
Décimo. Control de acceso a la red y a las bases de datos.-
Undécimo. Integración de sistemas de los servicios de informática presupuestaria (ISIP).-
Duodécimo. Autorización de acceso a la red.-
Decimotercero. Tramitación de acceso a la red.-
Decimocuarto. Solicitud de acceso a base de datos.-
Decimoquinto. Autorización y tramitación de acceso a base de datos.-
Decimosexto. Acceso a sistemas de información críticos en materia de seguridad.-
Decimoséptimo. Acceso de usuarios externos a la red de informática presupuestaria.-
Decimoctavo. Acceso a bases de datos externas.-
Decimonoveno. Notificación y gestión de las incidencias.-
Vigésimo. Auditoría del procedimiento de control de accesos.-
Vigésimo primero. Confidencialidad de la información.-
Vigésimo tercero. Medios.-
Vigésimo cuarto. Período de adaptación.-
Vigésimo quinto. Aplicación a la Dirección General de Fondos Comunitarios y Financiación Territorial.-
Vigésimo sexto. Desarrollo para su aplicación.-
Vigésimo séptimo. Entrada en vigor.-
R Hacienda y Presupuestos 24 May. 2005 (control de accesos a las bases de datos de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado)
Res. 8 julio 2002, derogada por el apartado vigésimo octavo de la Res. de 24 de mayo de 2005, de la Secretaría de Estado de Hacienda y Presupuestos, de control de accesos a las bases de datos de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado («B.O.E.» 17 junio), el 18 de junio de 2005.
Los sistemas de información y las bases de datos que en ellos se soportan constituyen un elemento básico para la gestión encomendada a la Secretaría de Estado de Presupuestos y Gastos, por lo que deben ser objeto de una especial protección a fin de que cumplan los requisitos de disponibilidad, integridad y confidencialidad precisos.
La presente Resolución será de aplicación a toda la información contenida en cualquiera de los ficheros, organizados por un sistema gestor de bases de datos o en cualquier otra forma, que fueran objeto de tratamiento a través de los sistemas de información y aplicaciones informáticas de la Secretaría de Estado de Presupuestos y Gastos, en adelante bases de datos de la Secretaría de Estado de Presupuestos y Gastos, regulando el acceso a dicha información con arreglo a las normas de la Ley Orgánica 15/1999, de 13 de diciembre, del Real Decreto 994/1999, de 11 de junio, y de la Ley General Presupuestaria.
No se consideran dentro del ámbito de aplicación de esta Resolución las bases de datos accesibles a través del sitio web Intranet e Internet de la Secretaría de Estado de Presupuestos y Gastos, cuando tengan carácter abierto a nivel corporativo de la propia Secretaría de Estado, así como las bases de datos generadas a través de las herramientas corporativas ofimáticas o análogas a disposición del usuario.
Igualmente, a efectos de esta Resolución, se denominará «servicios de Informática Presupuestaria» al área de la Intervención General de la Administración del Estado encargada del desarrollo y ejecución de las actividades informáticas de la Secretaría de Estado de Presupuestos y Gastos.
Asimismo, se utilizará el término «red de Informática Presupuestaria» para hacer referencia a la red corporativa de área extensa (WAN) de la Secretaría de Estado de Presupuestos y Gastos.
Del mismo modo, cuando en esta Resolución se hace uso de la expresión «acceso a la red» se está refiriendo realmente al acceso a los servicios de red.
Según la residencia de las bases de datos, los sistemas de información y aplicaciones informáticas de la Secretaría de Estado de Presupuestos y Gastos se clasificarán como:
b) Departamentales, si se ubican en los centros directivos de la Secretaría de Estado de Presupuestos y Gastos o en organizaciones delegadas y territoriales.
El objeto de esta Resolución es establecer los criterios generales a los que debe responder la administración de la seguridad de los sistemas de información y definir el procedimiento de gestión para el acceso a los mismos en el ámbito de aplicación establecido en el apartado anterior, tanto desde la propia red corporativa de Informática Presupuestaria como desde cualquier otro organismo público con acceso autorizado. Esta seguridad cabe entenderla, a efectos de esta Resolución, en su acepción de control de los accesos a la red y a las bases de datos para garantizar la disponibilidad, integridad y confidencialidad de la información.
La gestión de la seguridad de las bases de datos de la Secretaría de Estado de Presupuestos y Gastos requiere, además de la implicación activa de todos los usuarios de los sistemas de información, la existencia de un marco organizativo orientado a dicha gestión en el que desempeñarán un papel primordial los siguientes agentes:
a) Comité de Coordinación de la Seguridad.
d) Administradores de la seguridad de acceso a las redes departamentales de cada uno de los centros directivos, organizaciones delegadas o territoriales de la Secretaría de Estado de Presupuestos y Gastos, a los que en lo sucesivo esta Resolución se referirá como Administradores de red.
El Comité de Coordinación de la Seguridad estará formado por:
El Administrador corporativo de seguridad aplicará las medidas de seguridad a las bases de datos de la Secretaría de Estado de Presupuestos y Gastos de acuerdo con las directrices marcadas por el Comité de Coordinación de la Seguridad. Será designado por el Comité de Coordinación de la Seguridad a propuesta del Coordinador de Informática Presupuestaria.
A efectos de esta Resolución se considera responsable de centro a la persona que designe el titular del centro directivo o al titular de la organización delegada o territorial de la Secretaría de Estado de Presupuestos y Gastos.
f) Solicitará el acceso de su personal a las bases de datos de la Secretaría de Estado de Presupuestos y Gastos, distintas de aquéllas residentes en su centro, que se requiera para el ejercicio de las funciones encomendadas.
Cada Administrador de red será el responsable de la aplicación, en su ámbito de actuación, de la presente Resolución y de las instrucciones y procedimientos que en materia de gestión de red y del control de accesos a la misma se desarrollen. Para esta misión el Administrador de red actuará de acuerdo con las instrucciones, procedimientos y herramientas de carácter técnico que establezcan los servicios de Informática Presupuestaria.
d) Mantener y custodiar la información necesaria sobre la autorización y denegación del acceso de cada uno de los usuarios a la red (puesto de trabajo, responsable de la autorización y anulación de los accesos, fecha de autorización o denegación, ...).
b) Instrumentar y gestionar el acceso de los usuarios externos a las bases de datos de la red de Informática presupuestaria, previa comunicación a la Unidad de los servicios de Informática Presupuestaria designada a tal efecto.
El acceso a la red y los sistemas de información de la Secretaría de Estado de Presupuestos y Gastos se articulará sobre un conjunto de procedimientos integrados que se indican a continuación:
c) El perfil de acceso o el escritorio informático personalizado de cada usuario vendrá determinado por el conjunto de las autorizaciones de acceso otorgadas a un mismo usuario por los Administradores de bases de datos.
Con objeto de garantizar una configuración normalizada de todas las estaciones de trabajo de la red corporativa de informática presupuestaria, con carácter general y sin perjuicio de las excepciones que se autoricen, su instalación se ajustará al procedimiento técnico de integración de sistemas de los servicios de informática presupuestaria (ISIP) que garantizará:
c) La distribución de «software» al puesto de trabajo y, en su caso, al servidor departamental.
El alta inicial de un nuevo usuario, para acceder a la red departamental que le corresponda, requerirá la autorización del responsable del centro directivo u organización delegada o territorial, dirigida al Administrador de la red, a quien competerá instrumentar dicha alta. La comunicación de la autorización se realizará por correo electrónico y en ella se indicará, al menos, el nombre y apellido de la persona para la que se solicita el acceso, el puesto de trabajo que ocupa y un teléfono de contacto.
El Administrador de la red tramitará la solicitud de acceso a la red. Una vez efectuada el alta de usuario, el Administrador de la red comunicará al nuevo usuario su identificativo lógico y una palabra de paso de identificación personal (PIP), de carácter inicial. Esta PIP deberá ser necesariamente renovada por el usuario, generando otra distinta, al producirse el primer acceso, después de haber contabilizado un número determinado de accesos a la red y, en todo caso, transcurridos el número de días que se establezca por la Intervención General de la Administración del Estado. Asimismo el usuario podrá generar, en cualquier momento, una nueva PIP que sustituya a la anterior.
La solicitud de acceso a una base de datos será dirigida a quien, según el apartado séptimo, corresponde la autorización de acceso, por el responsable jerárquico superior del usuario para el que se solicita el acceso, que, en el caso de servicios centrales, tendrá categoría mínima de Subdirector general o asimilado y, en el supuesto de tratarse de organizaciones delegadas o territoriales, será el máximo responsable de la organización. En esta solicitud se indicarán los usuarios, con su identificativo, para los que se propone el acceso, el sistema de información a acceder, el perfil de acceso requerido, una justificación debidamente fundamentada, la ubicación y una persona de contacto. Asimismo se indicará la fecha propuesta para el alta y la fecha de caducidad para dicho acceso.
La autorización, en su caso, de la solicitud de acceso a la base de datos será dirigida por el responsable de centro al que corresponda la administración funcional de la base de datos al Administrador de base de datos. Esta comunicación se realizará por correo electrónico, sin perjuicio de la remisión adicional de la documentación constitutiva de la solicitud.
En aquellos sistemas de información críticos en materia de seguridad, o que contengan ficheros con datos de carácter personal, el respectivo Administrador de base de datos podrá requerir en el formulario de solicitud, las funciones o/y el dominio de datos a los que se propone acceder por parte del usuario para el que se formula la misma.
El acceso de usuarios ajenos a la red de informática presupuestaria, en los términos señalados en esta Resolución, a los sistemas de información de la Secretaría de Estado de Presupuestos y Gastos se ajustará a los criterios anteriormente expuestos con las adaptaciones que se indican a continuación.
Con carácter general, estos usuarios, sin perjuicio de lo que se establece en el apartado siguiente, cuando sean autorizados para acceder a bases de datos de la Secretaría de Estado de Presupuestos y Gastos no precisarán que sus estaciones de trabajo estén configuradas bajo el procedimiento técnico de integración de sistemas de los servicios de informática presupuestaria (ISIP).
Cuando la base de datos a la que se desea acceder resida fuera del entorno de la red corporativa de informática presupuestaria (base de datos de la AEAT; de la Seguridad Social, ...), facilitándose a través de dicha red la conexión a la base de datos externa, sin perjuicio de observar los requerimientos de seguridad y control de accesos específicos del dominio externo al que se accede, actuará como Administrador de acceso a dicha base de datos, a efectos de esta Resolución, la persona que designe el Coordinador de los servicios de informática presupuestaria.
Los Administradores de red y de base de datos comunicarán inmediatamente al responsable de seguridad cualquier anomalía o irregularidad detectados en los mecanismos adoptados para garantizar la seguridad en el control de accesos, a través del sistema de información establecido para la notificación y gestión de incidencias.
Todas las anomalías o irregularidades detectadas en el control de accesos se considerarán «incidentes de seguridad», por tanto:
b) El Administrador corporativo de seguridad generará correo de notificación de la incidencia detectada en el control de accesos, dirigido al responsable del centro directivo u organización delegada o territorial del cual depende el Administrador de red o base de datos que detectara la incidencia en cualquiera de los mecanismos adoptados para garantizar la seguridad en el control de accesos.
d) Tras la resolución de la incidencia se procederá al cierre de la misma por el Administrador corporativo de seguridad. La incidencia pasará a formar parte del registro histórico de incidencias de seguridad.
El Administrador corporativo de seguridad promoverá la realización de auditorías sobre la aplicación del procedimiento de control de accesos y acerca del propio procedimiento, al menos, cada dos años.
El informe de auditoría deberá dictaminar sobre la adecuación de las medidas y controles al Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal ( Real Decreto 994/1999), identificar sus deficiencias y proponer las medidas correctoras o complementarias necesarias. Deberá, igualmente, incluir los datos, hechos y observaciones en que se basen los dictámenes alcanzados y recomendaciones propuestas.
Los datos e informaciones contenidas en las bases de datos de la Secretaría de Estado de Presupuestos y Gastos, cualquiera que sea su soporte, serán de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jurídico.
d) El acceso a la información de las bases de datos de la Secretaría de Estado de Presupuestos y Gastos por un usuario no autorizado, la realización de transacciones informáticas que no estén relacionadas con un objetivo concreto de gestión, la asignación de perfiles de utilización a otras personas para el uso de transacciones no necesarias para la gestión que tengan encomendada, o la revelación o falta de diligencia en la custodia y secreto de su código de usuario y palabra de identificación personal darán lugar a la exigencia de las responsabilidades administrativas o de otra naturaleza en que se hubiese podido incurrir.
Los servicios de informática presupuestaria de la Intervención General de la Administración del Estado establecerán, en el ámbito de la Secretaría de Estado de Presupuestos y Gastos, los procedimientos, aplicaciones, programas, utilidades y medios necesarios para facilitar el cumplimiento de la presente Resolución.
La Dirección General de Fondos Comunitarios y Financiación Territorial adaptará el contenido de esta Resolución para los sistemas de información y bases de datos del área de financiación territorial cuya gestión informática asume directamente.
Se faculta a la Intervención General de la Administración del Estado para resolver cuantas consultas de índole específica puedan plantearse en la aplicación de la presente Resolución, así como para dictar normas internas para su aplicación.

References: Resolución 
 Real Decreto 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 resolución 
 Real Decreto 
 Resolución