Source: https://www.boe.es/buscar/doc.php?lang=es&id=BOE-A-2015-11881
Timestamp: 2020-07-07 07:16:20+00:00

Document:
Artículo único. Modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración electrónica.
Uno. El apartado 1 del artículo 11 queda redactado como sigue:
a) Organización e implantación del proceso de seguridad.
b) Análisis y gestión de los riesgos.
c) Gestión de personal.
d) Profesionalidad.
e) Autorización y control de los accesos.
f) Protección de las instalaciones.
g) Adquisición de productos.
h) Seguridad por defecto.
i) Integridad y actualización del sistema.
j) Protección de la información almacenada y en tránsito.
k) Prevención ante otros sistemas de información interconectados.
l) Registro de actividad.
m) Incidentes de seguridad.
n) Continuidad de la actividad.
o) Mejora continua del proceso de seguridad.»
Dos. El apartado 3 del artículo 15 queda redactado como sigue:
«3. Las Administraciones públicas exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles idóneos de gestión y madurez en los servicios prestados.»
Tres. Se modifica el artículo 18, cuyo título pasa a ser «Adquisición de productos de seguridad y contratación de servicios de seguridad» y sus apartados 1 y 4 quedan redactados como sigue:
«1. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser empleados por las Administraciones públicas se utilizarán, de forma proporcionada a la categoría del sistema y nivel de seguridad determinados, aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.»
«4. Para la contratación de servicios de seguridad se estará a lo dispuesto en los apartados anteriores y en el artículo 15.»
Cuatro. El apartado a) del artículo 19 queda redactado como sigue:
«a) El sistema proporcionará la mínima funcionalidad requerida para que la organización alcance sus objetivos.»
Cinco. El apartado 2 del artículo 24 queda redactado como sigue:
«2. Se dispondrá de procedimientos de gestión de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de información. Estos procedimientos cubrirán los mecanismos de detección, los criterios de clasificación, los procedimientos de análisis y resolución, así como los cauces de comunicación a las partes interesadas y el registro de las actuaciones. Este registro se empleará para la mejora continua de la seguridad del sistema.»
Seis. Se añaden dos nuevos apartados 4 y 5 al artículo 27 redactados como sigue:
«4. La relación de medidas seleccionadas del Anexo II se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de seguridad.
5. Las medidas de seguridad referenciadas en el Anexo II podrán ser reemplazadas por otras compensatorias siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos (Anexo I) y se satisfacen los principios básicos y los requisitos mínimos previstos en los capítulos II y III del real decreto. Como parte integral de la Declaración de Aplicabilidad se indicará de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas del Anexo II que compensan y el conjunto será objeto de la aprobación formal por parte del responsable de seguridad.»
Siete. Se modifica el artículo 29, cuyo título pasa a ser «Instrucciones técnicas de seguridad y guías de seguridad» y queda redactado como sigue:
«1. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptológico Nacional, en el ejercicio de sus competencias, elaborará y difundirá las correspondientes guías de seguridad de las tecnologías de la información y las comunicaciones.
2. El Ministerio de Hacienda y Administraciones Públicas, a propuesta del Comité Sectorial de Administración Electrónica previsto en el artículo 40 de la Ley 11/2007, de 22 de junio, y a iniciativa del Centro Criptológico Nacional, aprobará las instrucciones técnicas de seguridad de obligado cumplimiento y se publicarán mediante resolución de la Secretaría de Estado de Administraciones Públicas. Para la redacción y mantenimiento de las instrucciones técnicas de seguridad se constituirán los correspondientes grupos de trabajo en los órganos colegiados con competencias en materia de administración electrónica.
3. Las instrucciones técnicas de seguridad tendrán en cuenta las normas armonizadas a nivel europeo que resulten de aplicación.»
Ocho. El artículo 35 queda redactado como sigue:
Nueve. En el artículo 36 se añade un segundo párrafo con la siguiente redacción:
Diez. En el artículo 37, el apartado 1.a) queda redactado como sigue:
«a) Soporte y coordinación para el tratamiento de vulnerabilidades y la resolución de incidentes de seguridad que tengan la Administración General del Estado, las Administraciones de las comunidades autónomas, las entidades que integran la Administración Local y las Entidades de Derecho público con personalidad jurídica propia vinculadas o dependientes de cualquiera de las administraciones indicadas.
Once. Se elimina la disposición adicional segunda «Instituto Nacional de Tecnologías de la Comunicación (INTECO) y organismos análogos», pasando la disposición adicional tercera a ser la disposición adicional segunda y la disposición adicional cuarta a ser la disposición adicional tercera.
Doce. Se añade una nueva disposición adicional cuarta redactada como sigue:
«Disposición adicional cuarta. Desarrollo del Esquema Nacional de Seguridad.
1. Sin perjuicio de las propuestas que pueda acordar el Comité Sectorial de Administración Electrónica según lo establecido en el artículo 29, apartado 2, se desarrollarán las siguientes instrucciones técnicas de seguridad que serán de obligado cumplimiento por parte de las Administraciones públicas:
a) Informe del estado de la seguridad.
b) Notificación de incidentes de seguridad.
c) Auditoría de la seguridad.
d) Conformidad con el Esquema Nacional de Seguridad.
e) Adquisición de productos de seguridad.
f) Criptología de empleo en el Esquema Nacional de Seguridad.
g) Interconexión en el Esquema Nacional de Seguridad.
h) Requisitos de seguridad en entornos externalizados.
2. La aprobación de estas instrucciones se realizará de acuerdo con el procedimiento establecido en el citado artículo 29 apartados 2 y 3.»
Trece. La tabla del apartado 2.4 del anexo II, queda redactada como sigue:
org.1 Política de seguridad
org.2 Normativa de seguridad
org.3 Procedimientos de seguridad
org.4 Proceso de autorización
op.pl.1 Análisis de riesgos
op.pl.2 Arquitectura de seguridad
op.pl.3 Adquisición de nuevos componentes
op.pl.4 Dimensionamiento/Gestión de capacidades
op.pl.5 Componentes certificados
op.acc.1 Identificación
op.acc.2 Requisitos de acceso
op.acc.3 Segregación de funciones y tareas
op.acc.4 Proceso de gestión de derechos de acceso
op.acc.5 Mecanismo de autenticación
op.acc.6 Acceso local (local logon)
op.acc.7 Acceso remoto (remote login)
op.exp.1 Inventario de activos
op.exp.2 Configuración de seguridad
op.exp.3 Gestión de la configuración
op.exp.4 Mantenimiento
op.exp.5 Gestión de cambios
op.exp.6 Protección frente a código dañino
op.exp.7 Gestión de incidentes
op.exp.8 Registro de la actividad de los usuarios
op.exp.9 Registro de la gestión de incidentes
op.exp.10 Protección de los registros de actividad
op.exp.11 Protección de claves criptográficas
op.ext.1 Contratación y acuerdos de nivel de servicio
op.ext.2 Gestión diaria
op.ext.9 Medios alternativos
op.cont.1 Análisis de impacto
op.cont.2 Plan de continuidad
op.cont.3 Pruebas periódicas
op.mon.1 Detección de intrusión
op.mon.2 Sistema de métricas
mp.if.1 Áreas separadas y con control de acceso
mp.if.2 Identificación de las personas
mp.if.3 Acondicionamiento de los locales
mp.if.4 Energía eléctrica
mp.if.5 Protección frente a incendios
mp.if.6 Protección frente a inundaciones
mp.if.7 Registro de entrada y salida de equipamiento
mp.if.9 Instalaciones alternativas
mp.per.1 Caracterización del puesto de trabajo
mp.per.2 Deberes y obligaciones
mp.per.3 Concienciación
mp.per.4 Formación
mp.per.9 Personal alternativo
mp.eq.1 Puesto de trabajo despejado
mp.eq.2 Bloqueo de puesto de trabajo
mp.eq.3 Protección de equipos portátiles
mp.eq.9 Medios alternativos
mp.com.1 Perímetro seguro
mp.com.2 Protección de la confidencialidad
mp.com.3 Protección de la autenticidad y de la integridad
mp.com.4 Segregación de redes
mp.com.9 Medios alternativos
mp.si.1 Etiquetado
mp.si.2 Criptografía
mp.si.3 Custodia
mp.si.4 Transporte
mp.si.5 Borrado y destrucción
mp.sw.1 Desarrollo
mp.sw.2 Aceptación y puesta en servicio
mp.info.1 Datos de carácter personal
mp.info.2 Calificación de la información
mp.info.3 Cifrado
mp.info.4 Firma electrónica
mp.info.5 Sellos de tiempo
mp.info.6 Limpieza de documentos
mp.info.9 Copias de seguridad (backup)
mp.s.1 Protección del correo electrónico
mp.s.2 Protección de servicios y aplicaciones web
mp.s.8 Protección frente a la denegación de servicio
mp.s.9 Medios alternativos»
Catorce. Se modifican los apartados 3.4, 4.1.2, 4.1.5, 4.2.1, 4.2.5, 4.3.3, 4.3.7, 4.3.8, 4.3.9, 4.3.11, 4.4.2, 4.6.1, 4.6.2, 5.2.3, 5.3.3, 5.4.2, 5.4.3, 5.5.2, 5.5.5, 5.6.1, 5.7.4, 5.7.5, 5.7.7 y 5.8.2 del Anexo II del Real Decreto, en los siguientes términos:
«3.4 Proceso de autorización [org.4].
a) Utilización de instalaciones, habituales y alternativas.
b) Entrada de equipos en producción, en particular, equipos que involucren criptografía.
c) Entrada de aplicaciones en producción.
d) Establecimiento de enlaces de comunicaciones con otros sistemas.
e) Utilización de medios de comunicación, habituales y alternativos.
f) Utilización de soportes de información.
g) Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, PDA, u otros de naturaleza análoga.
h) Utilización de servicios de terceros, bajo contrato o Convenio.»
«4.1.2 Arquitectura de seguridad [op.pl.2].
a) Documentación de las instalaciones:
1. Áreas.
2. Puntos de acceso.
b) Documentación del sistema:
1. Equipos.
2. Redes internas y conexiones al exterior.
3. Puntos de acceso al sistema (puestos de trabajo y consolas de administración).
c) Esquema de líneas de defensa:
1. Puntos de interconexión a otros sistemas o a otras redes, en especial si se trata de Internet o redes públicas en general.
2. Cortafuegos, DMZ, etc.
3. Utilización de tecnologías diferentes para prevenir vulnerabilidades que pudieran perforar simultáneamente varias líneas de defensa.
d) Sistema de identificación y autenticación de usuarios:
1. Uso de claves concertadas, contraseñas, tarjetas de identificación, biometría, u otras de naturaleza análoga.
2. Uso de ficheros o directorios para autenticar al usuario y determinar sus derechos de acceso.
e) Sistema de gestión, relativo a la planificación, organización y control de los recursos relativos a la seguridad de la información.
f) Sistema de gestión de seguridad de la información con actualización y aprobación periódica.
g) Controles técnicos internos:
1. Validación de datos de entrada, salida y datos intermedios.»
«4.1.5 Componentes certificados [op.pl.5].
«4.2.1 Identificación [op.acc.1].
1. Se podrán utilizar como identificador único los sistemas de identificación previstos en la normativa de aplicación.
2. Cuando el usuario tenga diferentes roles frente al sistema (por ejemplo, como ciudadano, como trabajador interno del organismo y como administrador de los sistemas) recibirá identificadores singulares para cada uno de los casos de forma que siempre queden delimitados privilegios y registros de actividad.
3. Cada entidad (usuario o proceso) que accede al sistema, contará con un identificador singular de tal forma que:
a) Se puede saber quién recibe y qué derechos de acceso recibe.
b) Se puede saber quién ha hecho algo y qué ha hecho.
4. Las cuentas de usuario se gestionarán de la siguiente forma:
a) Cada cuenta estará asociada a un identificador único.
b) Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organización; cuando el usuario cesa en la función para la cual se requería la cuenta de usuario; o, cuando la persona que la autorizó, da orden en sentido contrario.
c) Las cuentas se retendrán durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominará periodo de retención.
5. En los supuestos contemplados en el Capítulo IV relativo a "Comunicaciones Electrónicas", las partes intervinientes se identificarán de acuerdo a los mecanismos previstos en la legislación europea y nacional en la materia, con la siguiente correspondencia entre los niveles de la dimensión de autenticidad de los sistemas de información a los que se tiene acceso y los niveles de seguridad (bajo, sustancial, alto) de los sistemas de identificación electrónica previstos en el Reglamento n.º 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE:
– Si se requiere un nivel BAJO en la dimensión de autenticidad (anexo I): Nivel de seguridad bajo, sustancial o alto (artículo 8 del Reglamento n.º 910/2014)
– Si se requiere un nivel MEDIO en la dimensión de autenticidad (anexo I): Nivel de seguridad sustancial o alto (artículo 8 del Reglamento n.º 910/2014)
– Si se requiere un nivel ALTO en la dimensión de autenticidad (anexo I): Nivel de seguridad alto (artículo 8 del Reglamento n.º 910/2014).»
«4.2.5 Mecanismo de autenticación [op.acc.5].
– "algo que se sabe": contraseñas o claves concertadas.
– "algo que se tiene": componentes lógicos (tales como certificados software) o dispositivos físicos (en expresión inglesa, tokens).
– "algo que se es": elementos biométricos.
– Mediante la presentación física del usuario y verificación de su identidad acorde a la legalidad vigente, ante un funcionario habilitado para ello.
– De forma telemática, mediante DNI electrónico o un certificado electrónico cualificado.
– De forma telemática, utilizando otros sistemas admitidos legalmente para la identificación de los ciudadanos de los contemplados en la normativa de aplicación.
a) Como principio general, se admitirá el uso de cualquier mecanismo de autenticación sustentado en un solo factor.
b) En el caso de utilizarse como factor "algo que se sabe", se aplicarán reglas básicas de calidad de la misma.
c) Se atenderá a la seguridad de las credenciales de forma que:
1. Las credenciales se activarán una vez estén bajo el control efectivo del usuario.
2. Las credenciales estarán bajo el control exclusivo del usuario.
3. El usuario reconocerá que las ha recibido y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, protección de su confidencialidad e información inmediata en caso de pérdida.
4. Las credenciales se cambiarán con una periodicidad marcada por la política de la organización, atendiendo a la categoría del sistema al que se accede.
5. Las credenciales se retirarán y serán deshabilitadas cuando la entidad (persona, equipo o proceso) que autentican termina su relación con el sistema.
a) Se exigirá el uso de al menos dos factores de autenticación.
b) En el caso de utilización de "algo que se sabe" como factor de autenticación, se establecerán exigencias rigurosas de calidad y renovación.
c) Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo:
1. Presencial.
2. Telemático usando certificado electrónico cualificado.
3. Telemático mediante una autenticación con una credencial electrónica obtenida tras un registro previo presencial o telemático usando certificado electrónico cualificado en dispositivo cualificado de creación de firma.
a) Las credenciales se suspenderán tras un periodo definido de no utilización.
b) En el caso del uso de utilización de "algo que se tiene", se requerirá el uso de elementos criptográficos hardware usando algoritmos y parámetros acreditados por el Centro Criptológico Nacional.
c) Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo presencial o telemático usando certificado electrónico cualificado en dispositivo cualificado de creación de firma.»
«4.3.3 Gestión de la configuración [op.exp.3].
a) Se mantenga en todo momento la regla de "funcionalidad mínima" ([op.exp.2]).
b) Se mantenga en todo momento la regla de "seguridad por defecto" ([op.exp.2]).
c) El sistema se adapte a las nuevas necesidades, previamente autorizadas ([op.acc.4]).
d) El sistema reaccione a vulnerabilidades reportadas ([op.exp.4]).
e) El sistema reaccione a incidentes (ver [op.exp.7]).»
«4.3.7 Gestión de incidentes [op.exp.7].
a) Procedimiento de reporte de eventos de seguridad y debilidades, detallando los criterios de clasificación y el escalado de la notificación.
b) Procedimiento de toma de medidas urgentes, incluyendo la detención de servicios, el aislamiento del sistema afectado, la recogida de evidencias y protección de los registros, según convenga al caso.
c) Procedimiento de asignación de recursos para investigar las causas, analizar las consecuencias y resolver el incidente.
d) Procedimientos para informar a las partes interesadas, internas y externas.
e) Procedimientos para:
1. Prevenir que se repita el incidente.
2. Incluir en los procedimientos de usuario la identificación y forma de tratar el incidente.
3. Actualizar, extender, mejorar u optimizar los procedimientos de resolución de incidentes.
«4.3.8 Registro de la actividad de los usuarios [op.exp.8].
a) El registro indicará quién realiza la actividad, cuándo la realiza y sobre qué información.
b) Se incluirá la actividad de los usuarios y, especialmente, la de los operadores y administradores en cuanto puedan acceder a la configuración y actuar en el mantenimiento del sistema.
c) Deberán registrarse las actividades realizadas con éxito y los intentos fracasados.
d) La determinación de qué actividades deben registrarse y con qué niveles de detalle se adoptará a la vista del análisis de riesgos realizado sobre el sistema ([op.pl.1]).
«4.3.9 Registro de la gestión de incidentes [op.exp.9].
a) Se registrará el reporte inicial, las actuaciones de emergencia y las modificaciones del sistema derivadas del incidente.
b) Se registrará aquella evidencia que pueda, posteriormente, sustentar una demanda judicial, o hacer frente a ella, cuando el incidente pueda llevar a actuaciones disciplinarias sobre el personal interno, sobre proveedores externos o a la persecución de delitos. En la determinación de la composición y detalle de estas evidencias, se recurrirá a asesoramiento legal especializado.
c) Como consecuencia del análisis de los incidentes, se revisará la determinación de los eventos auditables.»
«4.3.11 Protección de claves criptográficas [op.exp.11].
a) Los medios de generación estarán aislados de los medios de explotación.
b) Las claves retiradas de operación que deban ser archivadas, lo serán en medios aislados de los de explotación.
a) Se usarán programas evaluados o dispositivos criptográficos certificados conforme a lo establecido en [op.pl.5].
b) Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.»
«4.4.2 Gestión diaria [op.ext.2].
a) Un sistema rutinario para medir el cumplimiento de las obligaciones de servicio y el procedimiento para neutralizar cualquier desviación fuera del margen de tolerancia acordado ([op.ext.1]).
b) El mecanismo y los procedimientos de coordinación para llevar a cabo las tareas de mantenimiento de los sistemas afectados por el acuerdo.
c) El mecanismo y los procedimientos de coordinación en caso de incidentes y desastres (ver [op.exp.7]).»
«4.6.1 Detección de intrusión [op.mon.1].
«4.6.2 Sistema de métricas [op.mon.2].
«5.2.3 Concienciación [mp.per.3].
a) La normativa de seguridad relativa al buen uso de los sistemas.
b) La identificación de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado.
c) El procedimiento de reporte de incidentes de seguridad, sean reales o falsas alarmas.»
«5.3.3 Protección de portátiles [mp.eq.3].
a) Se llevará un inventario de equipos portátiles junto con una identificación de la persona responsable del mismo y un control regular de que está positivamente bajo su control.
b) Se establecerá un canal de comunicación para informar, al servicio de gestión de incidentes, de pérdidas o sustracciones.
c) Cuando un equipo portátil se conecte remotamente a través de redes que no están bajo el estricto control de la organización, el ámbito de operación del servidor limitará la información y los servicios accesibles a los mínimos imprescindibles, requiriendo autorización previa de los responsables de la información y los servicios afectados. Este punto es de aplicación a conexiones a través de Internet y otras redes que no sean de confianza.
d) Se evitará, en la medida de lo posible, que el equipo contenga claves de acceso remoto a la organización. Se considerarán claves de acceso remoto aquellas que sean capaces de habilitar un acceso a otros equipos de la organización, u otras de naturaleza análoga.
a) Se dotará al dispositivo de detectores de violación que permitan saber el equipo ha sido manipulado y activen los procedimientos previstos de gestión del incidente.
b) La información de nivel alto almacenada en el disco se protegerá mediante cifrado.»
«5.4.2 Protección de la confidencialidad [mp.com.2].
a) Se emplearán redes privadas virtuales cuando la comunicación discurra por redes fuera del propio dominio de seguridad.
b) Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
a) Se emplearán, preferentemente, dispositivos hardware en el establecimiento y utilización de la red privada virtual.
b) Se emplearán productos certificados conforme a lo establecido en [op.pl.5].»
«5.4.3 Protección de la autenticidad y de la integridad [mp.com.3].
a) Se asegurará la autenticidad del otro extremo de un canal de comunicación antes de intercambiar información (ver [op.acc.5]).
b) Se prevendrán ataques activos, garantizando que al menos serán detectados. y se activarán los procedimientos previstos de tratamiento del incidente Se considerarán ataques activos:
1. La alteración de la información en tránsito.
2. La inyección de información espuria.
3. El secuestro de la sesión por una tercera parte.
c) Se aceptará cualquier mecanismo de autenticación de los previstos en normativa de aplicación.
c) Se aceptará cualquier mecanismo de autenticación de los previstos en la normativa de aplicación. En caso de uso de claves concertadas se aplicarán exigencias medias en cuanto a su calidad frente a ataques de adivinación, diccionario o fuerza bruta.
a) Se valorará positivamente el empleo de dispositivos hardware en el establecimiento y utilización de la red privada virtual.
b) Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
c) Se aceptará cualquier mecanismo de autenticación de los previstos en normativa de aplicación. En caso de uso de claves concertadas se aplicarán exigencias altas en cuanto a su calidad frente a ataques de adivinación, diccionario o fuerza bruta.»
«5.5.2 Criptografía [mp.si.2].
a) Se emplearán algoritmos acreditados por el Centro Criptológico Nacional.
«5.5.5 Borrado y destrucción [mp.si.5].
a) Los soportes que vayan a ser reutilizados para otra información o liberados a otra organización serán objeto de un borrado seguro de su contenido.
b) Se destruirán de forma segura los soportes, en los siguientes casos:
1. Cuando la naturaleza del soporte no permita un borrado seguro.
2. Cuando así lo requiera el procedimiento asociado al tipo de información contenida.
c) Se emplearán productos certificados conforme a lo establecido en ([op. pl.5]).»
«5.6.1 Desarrollo de aplicaciones [mp.sw.1].
a) El desarrollo de aplicaciones se realizará sobre un sistema diferente y separado del de producción, no debiendo existir herramientas o datos de desarrollo en el entorno de producción.
b) Se aplicará una metodología de desarrollo reconocida que:
c) Los siguientes elementos serán parte integral del diseño del sistema:
d) Las pruebas anteriores a la implantación o modificación de los sistemas de información no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.»
«5.7.4 Firma electrónica [mp.info.4].
a) Cuando se empleen sistemas de firma electrónica avanzada basados en certificados, estos serán cualificados.
b) Se emplearán algoritmos y parámetros acreditados por el Centro Criptológico Nacional.
c) Se garantizará la verificación y validación de la firma electrónica durante el tiempo requerido por la actividad administrativa que aquélla soporte, sin perjuicio de que se pueda ampliar este período de acuerdo con lo que establezca la Política de Firma Electrónica y de Certificados que sea de aplicación. Para tal fin:
d) Se adjuntará a la firma, o se referenciará, toda la información pertinente para su verificación y validación:
1. Certificados.
2. Datos de verificación y validación.
e) El organismo que recabe documentos firmados por el administrado verificará y validará la firma recibida en el momento de la recepción, anexando o referenciando sin ambigüedad la información descrita en los epígrafes 1 y 2 del apartado d).
f) La firma electrónica de documentos por parte de la Administración anexará o referenciará sin ambigüedad la información descrita en los epígrafes 1 y 2.
1. Se usará firma electrónica cualificada, incorporando certificados cualificados y dispositivos cualificados de creación de firma.
2. Se emplearán productos certificados conforme a lo establecido en [op.pl.5].»
«5.7.5 Sellos de tiempo [mp.info.5].
1. Los sellos de tiempo se aplicarán a aquella información que sea susceptible de ser utilizada como evidencia electrónica en el futuro.
2. Los datos pertinentes para la verificación posterior de la fecha serán tratados con la misma seguridad que la información fechada a efectos de disponibilidad, integridad y confidencialidad.
3. Se renovarán regularmente los sellos de tiempo hasta que la información protegida ya no sea requerida por el proceso administrativo al que da soporte.
4. Se utilizarán productos certificados (según [op.pl.5]) o servicios externos admitidos (véase [op.exp.10]).
5. Se emplearán "sellos cualificados de tiempo electrónicos" acordes con la normativa europea en la materia.»
«5.7.7 Copias de seguridad (backup) [mp.info.9].
g) Información de trabajo de la organización.
h) Aplicaciones en explotación, incluyendo los sistemas operativos.
i) Datos de configuración, servicios, aplicaciones, equipos, u otros de naturaleza análoga.
j) Claves utilizadas para preservar la confidencialidad de la información.»
«5.8.2 Protección de servicios y aplicaciones web [mp.s.2].
a) Cuando la información tenga algún tipo de control de acceso, se garantizará la imposibilidad de acceder a la información obviando la autenticación, en particular tomando medidas en los siguientes aspectos:
b) Se prevendrán intentos de escalado de privilegios.
c) Se prevendrán ataques de "cross site scripting".
d) Se prevendrán ataques de manipulación de programas o dispositivos que realizan una acción en representación de otros, conocidos en terminología inglesa como "proxies" y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminología inglesa como "cachés".
Quince. El anexo III titulado «Auditoría de la seguridad», queda redactado como sigue:
«1. Objeto de la auditoría.
1.1 La seguridad de los sistemas de información de una organización será auditada en los siguientes términos:
a) Que la política de seguridad define los roles y funciones de los responsables de la información, los servicios, los activos y la seguridad del sistema de información.
b) Que existen procedimientos para resolución de conflictos entre dichos responsables.
c) Que se han designado personas para dichos roles a la luz del principio de "separación de funciones".
d) Que se ha realizado un análisis de riesgos, con revisión y aprobación anual.
e) Que se cumplen las recomendaciones de protección descritas en el anexo II, sobre Medidas de Seguridad, en función de las condiciones de aplicación en cada caso.
f) Que existe un sistema de gestión de la seguridad de la información, documentado y con un proceso regular de aprobación por la dirección.
1.2 La auditoría se basará en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los puntos mencionados:
a) Documentación de los procedimientos.
b) Registro de incidentes.
c) Examen del personal afectado: conocimiento y praxis de las medidas que le afectan.
d) Productos certificados. Se considerará evidencia suficiente el empleo de productos que satisfagan lo establecido en el artículo 18 «Adquisición de productos y contratación de servicios de seguridad».
2. Niveles de auditoría.
2.1 Auditoría a sistemas de categoría BÁSICA.
a) Los sistemas de información de categoría BÁSICA, o inferior, no necesitarán realizar una auditoría. Bastará una autoevaluación realizada por el mismo personal que administra el sistema de información, o en quien éste delegue.
b) Los informes de autoevaluación serán analizados por el responsable de seguridad competente, que elevará las conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
2.2 Auditoría a sistemas de categoría MEDIA O ALTA.
a) El informe de auditoría dictaminará sobre el grado de cumplimiento del presente real decreto, identificará sus deficiencias y sugerirá las posibles medidas correctoras o complementarias que sean necesarias, así como las recomendaciones que se consideren oportunas. Deberá, igualmente, incluir los criterios metodológicos de auditoría utilizados, el alcance y el objetivo de la auditoría, y los datos, hechos y observaciones en que se basen las conclusiones formuladas.
b) Los informes de auditoría serán analizados por el responsable de seguridad competente, que presentará sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.
3. Interpretación.
Dieciséis. Se modifica el anexo IV titulado: «Glosario». La definición de Gestión de incidentes queda como sigue:
Diecisiete. El anexo V relativo al Modelo de cláusula administrativa particular, queda redactado como sigue:
Disposición transitoria única. Adecuación de sistemas.

References: Real Decreto 
 artículo 11
 artículo 15
 artículo 18
 artículo 15
 artículo 19
 artículo 24
 artículo 27
 artículo 29
 artículo 40
 resolución 
 artículo 35
 artículo 36
 artículo 37
 resolución 
 artículo 29
 artículo 29
 resolución 
 resolución 
 artículo 18