Source: http://docplayer.es/2300048-Sistemas-de-seguridad-en-relacion-a-aspectos-legales-control-de-accesos-software-una-vision-estrategica.html
Timestamp: 2018-01-20 21:20:29+00:00

Document:
SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA - PDF
SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA
Download "SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA"
José Francisco Toledo Farías
1 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Begoña Arroitajauregi, Jaime Garrido y Aitor Iriarte EUSKAL ESTATISTIKA ERAKUNDEA INSTITUTO VASCO DE ESTADISTICA Donostia-San Sebastián, VITORIA-GASTEIZ Tel.: Fax.:
2 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Begoña Arroitajauregi, Jaime Garrido y Aitor Iriarte Toledo, junio de 2004
3 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Indice INDICE...3 INTRODUCCIÓN...4 IDENTIFICACIÓN DE LOS FICHEROS Y RÉGIMEN JURÍDICO DE LA PROTECCIÓN DE SUS DATOS...5 CLASIFICACIÓN DE LOS DATOS CONFORME AL REGLAMENTO DE SEGURIDAD...8 CONTENIDO BÁSICO DE CADA DOCUMENTO DE SEGURIDAD...10 ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD...13 FUNCIONES Y OBLIGACIONES DEL PERSONAL...13 RECURSOS PROTEGIDOS...15 ENTRADA/SALIDA DE SOPORTES...17 SOPORTES...22 TRATAMIENTO DE FICHEROS TEMPORALES...22 CONTROL PARA VERIFICAR LO DISPUESTO EN EL DOCUMENTO DE SEGURIDAD...23 UTILIZACIÓN DE DATOS PROTEGIDOS EN PRUEBAS...24 CONTROL DE ACCESOS FÍSICOS A LAS DEPENDENCIAS DONDE ESTÁN UBICADOS LOS DATOS PROTEGIDOS...25 ACTUALIZACIÓN DEL DOCUMENTO DE SEGURIDAD...26 NOTIFICACIÓN Y GESTIÓN DE INCIDENCIAS...26 COPIAS DE RESPALDO Y RECUPERACIÓN DE DATOS...27 CREACIÓN, MODIFICACIÓN Y SUPRESIÓN DE FICHEROS QUE CONTENGAN DATOS PROTEGIDOS...28 INDICE 3
4 Capítulo 1 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Introducción La base del trabajo de los diversos Institutos y Servicios Estadísticos está constituida por la recopilación, elaboración y ordenación sistemática de los datos. Teniendo en cuenta que muchos de estos datos son individuales de carácter personal, las diversas leyes que regulan la estadística oficial en sus ámbitos competenciales establecen como uno de los principios básicos de la actividad estadística pública la preservación del secreto estadístico, es decir, el deber de proteger estos datos, los identificables como propios de personas concretas, sean éstas personas físicas o jurídicas. Además de los datos individuales obtenidos para la elaboración de estadística oficial, los Institutos y Servicios Estadísticos disponen para el ejercicio de sus labores administrativas de ficheros con datos de carácter personal que, si bien no se hallan protegidos por el deber de secreto estadístico, si se hallan protegidos por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Por esta razón la seguridad de los datos facilitados para la elaboración de la estadística oficial así como la seguridad de los datos de las personas físicas incorporadas a ficheros administrativos, se revela como un elemento esencial dentro de la organización. INTRODUCCIÓN 4
5 Capítulo 2 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Identificación de los ficheros y régimen jurídico de la protección de sus datos Los ficheros que contienen datos de carácter personal o datos que posibiliten la identificación individual se pueden dividir en dos grandes grupo: los ficheros que sirven a fines exclusivamente estadísticos y los ficheros administrativos. El régimen jurídico de la protección de los datos que contienen está compuesto en el caso de los ficheros administrativos por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo. En el caso de la protección de los datos que posibiliten la identificación individual que obran en los ficheros que sirven a fines exclusivamente estadísticos, su régimen jurídico está compuesto básicamente por la normativa estadística que regula el deber de secreto estadístico y por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal en los supuestos que esta norma lo prevea. En este sentido, el art. 37 m) de esta Ley, al enumerar las funciones de la Agencia Española de Protección de Datos, establece expresamente, tras indicar que la Agencia velará por el cumplimiento de las disposiciones que la Ley de Función estadística Pública establece respecto a la recogida de datos estadísticos y al secreto estadístico, que le corresponderá a la propia Agencia, dictaminar sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos y ejercer la potestad a la que se refiere el artículo 46. En este sentido, el artículo 6.d) del estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 428/1993, de 26 de marzo, establece, en relación con las funciones de la misma relacionadas con los ficheros exclusivamente estadísticos, la función de dictaminar sobre las condiciones de seguridad de los ficheros constituidos con fines exclusivamente estadísticos. A la vista de lo dispuesto en estos dos preceptos, la Agencia Española de Protección de Datos concluye que le corresponde decidir sobre el nivel de seguridad al que deberán someterse los ficheros de datos de carácter personal que sean objeto de tratamiento para fines exclusivamente estadísticos, no encontrándose estos ficheros excluidos del ámbito de aplicación de la Ley Orgánica 15/1999, de 13 de diciembre en lo que se refiere a las medidas de seguridad que sea necesario adoptar sobre los mismos. Asimismo, considera que las medidas de seguridad que se adopten en desarrollo de lo establecido en la Ley Orgánica serán las que efectivamente vendrán a garantizar un adecuado tratamiento de los datos de carácter personal, de forma que, en caso de no adoptarse tales medidas, el tratamiento resultaría contrario a la Ley, por producirse un nivel insuficiente de protección. A la vista de estos argumentos la Agencia española de Protección de Datos considera que cualesquiera ficheros que, en lo referente a la seguridad de los ficheros y tratamientos, no se encuentren expresamente excluidos del ámbito de aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (por ejemplo los enumerados en el artículo 2.2 de la misma) habrán de IDENTIFICACIÓN DE LOS FICHEROS Y RÉGIMEN JURÍDICO DE LA PROTECCIÓN DE SUS DATOS 5
6 someterse a las medidas de seguridad contenidas en el Real Decreto 994/1999, de 11 de junio, dado que sólo en este caso quedará suficientemente garantizada la protección de los datos de carácter personal contenidos en el fichero o tratamiento. Por ello, la Agencia Española de Protección de datos concluye que, sin perjuicio de la aplicación de su legislación específica en otras materias, los ficheros creados para fines exclusivamente estadísticos que contengan datos de carácter personal habrán de implantar las medidas de seguridad a las que se refiere el Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, siendo el nivel de las mismas el que corresponda en atención de lo previsto en el artículo 4 de esta norma. En conclusión, la normativa por la que se regirá la protección de los datos individuales contenidos en los diversos ficheros que obran en Eustat será: Constitución Española - Art. 18: Se garantiza el derecho al honor, a la intimidad personal y familiar. - La Ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos Directiva Europea 95/46/CE - Protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de esos datos L.O.P.D. 15/ Garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas. - Ámbito de aplicación: Objetivo: Datos almacenados en un soporte físico Subjetivo: Personas físicas Territorial: Responsable del fichero en territorio español IDENTIFICACIÓN DE LOS FICHEROS Y RÉGIMEN JURÍDICO DE LA PROTECCIÓN DE SUS DATOS 6
7 L.O.P.D. 15/1999 Ficheros que se rigen por sus disposiciones específicas y, por lo especialmente previsto en la L.O.P.D. Ficheros amparados por la legislación sobre función estadística pública. AEPD Ficheros amparados por la legislación sobre función estadística pública. Reglamento de Medidas de Seguridad 994/1999 Medidas de seguridad de ficheros automatizados que contengan datos de carácter personal Ley De Estadística de la Comunidad Autónoma de Euskadi (Ley 4/1986) Deber de secreto estadístico : protección de datos de personas físicas y jurídicas IDENTIFICACIÓN DE LOS FICHEROS Y RÉGIMEN JURÍDICO DE LA PROTECCIÓN DE SUS DATOS 7
8 Capítulo 3 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Clasificación de los datos conforme al reglamento de seguridad Nivel de seguridad BASICO MEDIO ALTO Naturaleza de la información - Datos Identificativos - Características personales - Datos Académicos - Datos de detalle de empleo - Circunstancias sociales - Datos económico-financieros - Transacciones -Infracciones administrativas - Infracciones penales - Hacienda Pública - Servicios financieros - Solvencia patrimonial y de crédito - Suficientes para evaluar la personalidad del individuo - Ideología, Religión o Creencias - Origen racial - Salud o vida sexual - Fines policiales Medidas de seguridad a adoptar - Documento de seguridad - Definición de funciones del personal - Registro de incidencias - Identificación/autentificación - Control de acceso - Gestión de soportes - Copias de respaldo y recuperación - Medidas del nivel anterior - Responsable de seguridad - Auditoria (mínimo bianual) - Control de acceso físico - Medidas del nivel anterior - Distribución de soportes - Registro de accesos - Cifrado de telecomunicaciones En el reglamento de Seguridad las medidas de seguridad exigibles se clasifican en tres niveles : bajo, medio y alto, atendiendo a la naturaleza de la información tratada. Las medidas de seguridad a adoptar tienen carácter acumulativo debiéndose adoptar, en consecuencia, las medidas correspondientes al nivel del que se trate y las de los niveles inferiores. De esta manera, todos los ficheros deben cumplir con las medidas correspondientes al nivel básico; éstas y las correspondientes al nivel medio han de ser adoptadas en los ficheros que contengan datos relativos a la comisión de infracciones administrativas o penales, Hacienda Pública, servicios financieros, solvencia patrimonial y de crédito y los suficientes para evaluar la personalidad del individuo; y las medidas de nivel alto junto con las de nivel medio y básico han de ser adoptadas en los ficheros que contengan datos sobre ideología, religión, creencias, origen racial, salud o vida sexual o los recabados para fines policiales. CLASIFICACIÓN DE LOS DATOS CONFORME AL REGLAMENTO DE SEGURIDAD 8
9 En este sentido y en lo que a Eustat se refiere, tanto los ficheros que contiene datos de carácter personal y que sirven a fines administrativos como los que tienen información sujeta a secreto estadístico se han clasificado en alguno de los tres niveles indicados en el cuadro anterior en función de la naturaleza de la información que contienen y se han determinado las medidas técnicas y organizativas, articuladas mediante normativas y procedimientos, que garanticen el mantenimiento de un nivel de seguridad acorde con la naturaleza de los datos que sean objeto de tratamiento. Todo esto se ha plasmando en dos documentos de seguridad, uno para los ficheros estadísticos y otro para los ficheros administrativos. Hasta el momento todos los ficheros incluidos en el Documento de Seguridad de ficheros administrativos con datos de carácter personal se han calificado como nivel básico, aunque las medidas de seguridad adoptadas están preparadas para trabajar con ficheros de nivel medio de seguridad. En lo que respecta a los ficheros estadísticos, también se les ha asignado el nivel básico de seguridad, si bien las medidas adoptadas están preparadas para un nivel medio. Además, no se descarta que a algún fichero estadístico se le asigne un nivel de seguridad alto cuando se terminen de inventariar todos los existentes. CLASIFICACIÓN DE LOS DATOS CONFORME AL REGLAMENTO DE SEGURIDAD 9
10 Capítulo 4 SISTEMAS DE SEGURIDAD EN RELACIÓN A ASPECTOS LEGALES, CONTROL DE ACCESOS, SOFTWARE UNA VISIÓN ESTRATÉGICA Contenido básico de cada documento de seguridad El artículo 9 de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal establece cómo el Responsable del Fichero debe adoptar todas aquellas medidas de índole técnica y organizativa necesarias para garantizar la protección de los datos de carácter personal. El legislador fue más allá del concepto de protección y amplió este campo a conceptos como alteración, perdida, tratamiento y/o acceso no autorizado. Este articulo 9 de la Ley Orgánica 15/1999 emplaza a un desarrollo normativo posterior en donde se establezcan los requisitos y condiciones que deben reunir los ficheros y las personas que intervienen en el tratamiento de los datos de carácter personal. Este desarrollo se hizo mediante la promulgación del Real Decreto 994/1999 de 11 de junio. Según el artículo 8 del citado Reglamento, el Responsable del Fichero elaborará e implantará la normativa de seguridad mediante un documento de obligado cumplimiento para el personal con acceso a los datos automatizados con datos de carácter personal y a los sistemas de información. Conforme al artículo 8.3 del Real Decreto 994/1999 de 11 de junio, el documento de seguridad deberá mantenerse en todo momento actualizado y deberá ser revisado siempre que se produzcan cambios relevantes en los sistemas de información o en la organización del mismo. El contenido básico de cada documento es el que a continuación se indica: CONTENIDO BÁSICO DE CADA DOCUMENTO DE SEGURIDAD 10
11 Documento de seguridad de Ficheros con Datos de Carácter Personal Se refiere a ficheros creados mediante una disposición de carácter general publicada en el diario oficial correspondiente, que son: Control de distribución horaria por tareas Control de peticiones externas de información Proveedores (Gestión de expedientes de contratación) Gestión de personal Registro de entradas y salidas Becarios Seminarios Sistema de mensajería Directorio para distribución de publicaciones Estos ficheros deben estar registrados en la Agencia de Protección de Datos. Se indican las medidas de obligado cumplimiento. Se definen las medidas, normas, procedimientos, reglas y estándares encaminados a garantizar el nivel de seguridad exigido. Funciones y obligaciones del personal Supone una superación de los niveles de seguridad exigidos por la legislación vigente (generalización de medidas para todos los niveles de seguridad) Documento de seguridad de ficheros estadísticos Se refiere a ficheros para fines estadísticos que contienen datos de personas físicas o jurídicas. De momento únicamente se ha trabajado sobre dos ficheros: Subsistema de población Directorio de actividades económicas Se indican las medidas de seguridad de obligado cumplimiento (Reglamento de Seguridad) No contiene normas derivadas directamente de la LOPD (ejercicio de derechos de acceso, rectificación y cancelación de los interesados) Procedimientos comunes semejantes Adecuación a niveles y medidas de seguridad establecidos para los datos de carácter personal Procedimientos específicos: cesión de información sujeta a secreto estadístico. CONTENIDO BÁSICO DE CADA DOCUMENTO DE SEGURIDAD 11
12 El listado completo y actualizado de los ficheros protegidos y toda la información relacionada con el contenido de los ficheros y los recursos empleados en su tratamiento se gestiona mediante una aplicación desarrollada con MS Excel. CONTENIDO BÁSICO DE CADA DOCUMENTO DE SEGURIDAD 12
13 Capítulo 5 Estructura de los documentos de seguridad Funciones y obligaciones del personal El personal con acceso a ficheros con datos de carácter personal y ficheros estadísticos individualizados deberá conocer sus deberes y obligaciones hacia el tratamiento y las medidas de seguridad que versan sobre dichos ficheros. El Documento de Seguridad distingue las siguientes figuras: Responsable del Fichero Responsable de Seguridad Administradores del Sistema Usuarios del Fichero Funciones y obligaciones del Responsable del Fichero Aprobación y Difusión del Documento de Seguridad (Asesorado por el Responsable de Seguridad) Nombrar formalmente al responsable de Seguridad Notificar los cambios en los ficheros con DCP para su inscripción en la Agencia de Protección de Datos Emitir las autorizaciones precisas Autorizar las altas, bajas y modificaciones de acceso a los usuarios Autorizar los envíos o recepciones de soportes con datos protegidos Autorizar a los usuarios que vayan a asumir funciones específicas (gestión de soportes) Adoptar medidas para que los usuarios conozcan las normas de seguridad que afectan al desarrollo de sus funciones Aprobar la creación, modificación o supresión de los ficheros ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 13
14 Resolver las peticiones de los interesados para el ejercicio de derechos de acceso, rectificación y cancelación de los datos Procurar la inclusión en los formularios de toda la información acerca de la protección de DCP que deba tener el titular Funciones y obligaciones del Responsable de Seguridad Mantener actualizado el Documento de Seguridad Verificar el cumplimiento del Documento de Seguridad Colaborar en las auditorías de seguridad Solicitar al Responsable del Fichero autorizaciones: - acceso de usuarios - entrada y salida de soportes - cesión de datos - recuperación de datos Analizar las incidencias en los ficheros Verificar la realización de copias de respaldo Controlar el registro de accesos físicos a locales Identificar, junto con el responsable del fichero, las medidas de seguridad para cada aplicación Funciones y obligaciones de los Administradores del Sistema Realización de copias de seguridad Gestión de soportes - Custodia - Identificación/Inventariado - Reutilización/Desechado ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 14
15 Mantenimiento del registro de incidencias Gestión del registro de entradas/salidas Control de accesos Funciones y obligaciones de los Usuarios del Fichero Proteger la confidencialidad de los datos Devolver los soportes utilizados y guardarlos en las dependencias del CPD bajo llave Notificar al Responsable de Seguridad cualquier incidencia que pueda afectar a la seguridad de los datos No revelar su identificador y contraseña No utilizar identificadores ajenos No guardar datos protegidos en discos locales Utilizar únicamente software autorizado Salvaguardar el puesto de trabajo Datos identificativos y direcciones de personas sólo se introducirán en Outlook (declarado en la APD) Recursos protegidos Los puestos de trabajo desde los que se puede acceder a los ficheros Los puestos de trabajo estarán bajo la responsabilidad de algún usuario autorizado que garantizará que la información que muestran no pueda ser visible por personas no autorizadas. Esto implica que tanto las pantallas como las impresoras u otro tipo de dispositivos conectados al puesto de trabajo deberán estar físicamente ubicados en lugares que garanticen esa confidencialidad. Cuando el responsable de un puesto de trabajo lo abandone, bien temporalmente o bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la visualización de los datos protegidos. Esto podrá realizarse a través de un protector de pantalla que impida la visualización de los datos. La reanudación del trabajo implicará la desactivación de la pantalla protectora con la introducción de la contraseña correspondiente. ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 15
16 En el caso de las impresoras deberá asegurarse de que no quedan documentos impresos en la bandeja de salida que contengan datos protegidos. Si las impresoras son compartidas con otros usuarios no autorizados para acceder a los datos de Fichero, los responsables de cada puesto deberán retirar los documentos conforme vayan siendo impresos. Queda expresamente prohibida la conexión a redes o sistemas exteriores de los puestos de trabajo desde los que se realiza el acceso al fichero. La revocación de esta prohibición será autorizada por el responsable del fichero, quedando constancia de esta modificación en el Registro de Incidencias. Los puestos de trabajo desde los que se tiene acceso al fichero tendrán una configuración fija en sus aplicaciones y sistemas operativos que sólo podrá ser cambiada por los administradores autorizados del anexo F previa de la Dirección (Dirección General y Subdirecciones). Control de accesos físicos a las dependencias donde están ubicados los datos protegidos Se establecerá un sistema de control de acceso físico a las dependencias de los CPDs y otras dependencias donde se ubican ficheros con datos protegidos, de modo que se impida el acceso al personal no autorizado por el Responsable del Sistema. Cuando las personas con permisos temporales de acceso se encuentren en dependencias del CPD, estarán, en todo momento, acompañadas de personal del CPD. Las puertas de acceso al CPD deberán estar permanentemente cerradas. Se reducirá, dentro de lo razonablemente posible, el número de personas autorizadas para acceder al CPD. Se tendrá especial diligencia en anular con prontitud las autorizaciones de acceso a las dependencias de los CPDs a las personas que, habiendo estado autorizadas, ya no necesiten el acceso al mismo. Existirá una relación actualizada de personas autorizadas para acceder al CPD. Cuando se detecte la presencia, en las dependencias del CPD, de una persona no autorizada o indicios de que se ha producido un acceso no autorizado, se hará constar este hecho como incidencia de seguridad. Administración de usuarios Para controlar que los usuarios sólo acceden a los datos y recursos protegidos que necesitan para su trabajo cotidiano es necesario definir las siguientes normas: Perfiles de usuarios - El Responsable del Sistema, en colaboración con el Responsable de Seguridad y los administradores del sistema, creará unos perfiles de usuarios donde se ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 16
17 especificarán con detalle las opciones y modo de acceso (actualización o consulta) a los recursos protegidos. - Todos los usuarios estarán asignados a un perfil concreto, que les permita acceder única y exclusivamente a los datos y recursos protegidos determinados. Administración de usuarios - Cualquier modificación o nueva necesidad detectada dentro del área de administración de usuarios debe ser comunicada al Responsable de Seguridad. - Es el Responsable del Sistema quien tiene la potestad de conceder, anular o modificar los accesos autorizados a los recursos protegidos. - Control de accesos. Existe un sistema de control de accesos que permite identificar al usuario que accede al sistema, de tal forma que le permita o deniegue el acceso según disponga o no de la autorización oportuna y registra el acceso de forma que quede constancia del mismo. - El sistema de control de accesos contabiliza el número de intentos de accesos fallidos. El número máximo para estos intentos es tres. Identificador de usario y contraseñas - El usuario y contraseña son personal e intransferibles. - Los usuarios temporales tendrán una vida útil determinada, desactivándose tras cumplir este periodo. - La contraseña tendrá una longitud mínima de cinco caracteres, y estará compuesta por una combinación de letras y números que no sean fácilmente identificables. - Las contraseñas de los usuarios se almacenan cifradas en el sistema. - Al realizar un nuevo alta de un usuario se le asignará una contraseña temporal que tendrá que cambiar obligatoriamente al acceder por primera vez al sistema. - La comunicación de esta contraseña temporal se realizará de forma personal al usuario por el responsable correspondiente. - Las contraseñas tienen un tiempo de vida de cuatro meses, a partir del cual es necesario realizar un cambio obligatorio. - El usuario tiene la posibilidad de cambiar su contraseña de acceso en cualquier momento. Entrada/salida de soportes Distinguimos las siguientes fases: Emisión de autorización ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 17
18 Inscripción en el Registro Entrada o Salida del soporte Gestión del soporte Emisión de autorización Anualmente, el Responsable del Sistema emitirá un escrito elaborado por el Responsable de Seguridad que contendrá las autorizaciones para Entradas o Salidas de soportes programadas durante el periodo considerado solicitadas previamente por los usuarios. Este escrito contendrá los siguientes aspectos: - Autorizaciones para enviar/recibir soportes. Por cada operación se establecerán uno o varios técnicos autorizados. - Destino del soporte. En el caso de operaciones de entrada de soportes, se recogerá el destino del soporte una vez se carguen los datos (inventariarlo, devolverlo al origen, desecharlo, reutilizarlo) Si fuera necesario, el Responsable del Sistema podrá emitir autorizaciones complementarias de entradas o salidas programadas que modifiquen la anterior. El Responsable del Sistema autorizará para cada operación considerada las entradas o salidas de soportes excepcionales. La determinación de las personas autorizadas para la entrada o salida de carácter excepcional podrá derivarse a las subdirecciones. Con carácter general, serán técnicos estadísticos las personas autorizadas para recibir o enviar soportes con datos protegidos. Podrá excepcionalmente autorizarse a técnicos informáticos, siempre que la naturaleza de la operación así lo aconseje (pruebas de aplicaciones,...) Las autorizaciones que se emitan serán comunicadas al CPD. La relación de personas autorizadas para proceder a la recepción o envío de soportes con datos protegidos constará en un anexo de este Documento de Seguridad. Inscripción en el Registro El CPD será la unidad encargada de la gestión del Registro de entrada y salida de soportes. Cuando un técnico vaya a recibir/enviar un soporte lo comunicará inmediatamente al CPD y esperará la confirmación de la autorización y del registro del envío/recepción del soporte facilitando para ello la información que sea necesaria. ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 18
19 Si la recepción/envío de ficheros con datos protegidos se produce a través de correo electrónico, o de otro medio telemático que no conste en soporte físico, se informará al CPD e igualmente esperará la confirmación de la autorización y del registro del envío/recepción facilitando para ello la información que sea necesaria. El CPD comprobará que existe la autorización precisa, anotará la operación, si procede, en el Registro la E/S y se lo comunicará al técnico. Entrada o Salida del Soporte Producida la inscripción en el Registro, la persona autorizada procederá al envío o la recepción. Si el CPD verificase la inexistencia de autorización para la operación solicitada, comunicará esta circunstancia al solicitante, así como la persona autorizada para la operación de que se trate. La persona encargada de recepcionar todos los envios en Eustat, Secretaria de Dirección, trasladará al CPD todos los soportes recibidos que estén dentro del ámbito de este procedimiento para su registro. El CPD comunicará al técnico estadístico correspondiente la llegada de los soportes. En el caso de envío de soportes, el técnico correspondiente entregará los soportes objeto de envío al CPD, quien los registrará y trasladará a la Secretaria de Dirección para su envío efectivo. Si el envío se produjera por correo electrónico o por cualquier otro medio telemático que no conste en soporte físico, será el técnico quien proceda a su envío una vez reciba del CPD comunicación de haberse procedido a la inscripción. El escrito que contenga las autorizaciones de entrada, determinará el destino correspondiente a los distintos soportes. La persona responsable de la recepción entregará el soporte a la unidad o persona que corresponda para proceder según se haya indicado en el escrito de autorización. Recibido el soporte y cargados, en su caso, los datos, el soporte podrá recibir uno de los siguientes tratamientos: - Inventariarlo - Devolverlo al origen - Desecharlo - Reutilizarlo ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 19
20 Organigrama de Emisión de Autorizaciones Técnico Estadístico Petición autorización Responsable de Seguridad Remisión pet. autorización Responsable del Fichero Autorizaciones Responsable de Seguridad Comunicación autorizaciones Técnico Estadístico ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 20
21 Organigrama de Entrada de Soportes Exterior Recepción soportes No Correo electrónico? Sí Recepción correo-e Secretaria Dirección Técnico Estadístico Entrega soportes Autorizaciones Comunicación correo-e CPD CPD Registro E/S No Autorización OK? Sí No Autorización OK? Sí Comunicación autoriz. negativa Entrega soportes Comunicación autoriz. negativa Comunicación autoriz. afirm. Técnico Estadístico Técnico Estadístico Técnico Estadístico Técnico Estadístico Petición autorización Carga datos Devolución soportes Petición autorización Carga datos Autorizaciones CPD Registro E/S Destrucción correo-e Inventariar Destino? Entrega soportes Archivo Desechar Reutilizar Secretaria Dirección Envío exterior Exterior ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 21
22 Soportes Identificación e inventariado El Responsable del Sistema emitirá una autorización en favor del CPD para la identificación, inventariado, reutilización y desechado de soportes que contengan datos protegidos, dejando a las subdirecciones la determinación de las personas. Los soportes que vayan a ser utilizados para contener datos protegidos deberán ser debidamente etiquetados. Todos los soportes que contengan datos protegidos serán inventariados y almacenados en un lugar seguro de acceso restringido al personal autorizado. En el CPD existirá un inventario de soportes que contienen los backups, que facilite su control, almacenamiento y localización. Se mantendrá un inventario de soportes que contienen datos protegidos. Cuando un soporte se prepare para ser reutilizado, la información que contiene será eliminada. Si el soporte va a ser desechado, se borrará la información contenida y se destruirá físicamente. Además, en ambos casos: a) Para soportes propios inventariados, se actualizará el inventario. b) Para soportes recibidos y no inventariados (porque no se almacenan), se actualizará el registro de entrada de soportes marcándolos con el indicador apropiado. c) Para soportes recibidos e inventariados (porque se han guardado para su tratamiento posterior), se actualizarán el registro de entrada y el inventario. Reutilización y desechado de soportes Cuando la información que contiene un soporte ya no sea necesaria para el fin para el que se guardó, el soporte será desechado o, en su caso, preparado para ser reutilizado. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas necesarias para impedir cualquier recuperación posterior de la información. Cuando finalice la vida útil de un soporte, éste no podrá ser reutilizado. El Responsable del Sistema emitirá una autorización en favor del CPD para la reutilización y desechado de soportes que contengan datos protegidos, dejando a las subdirecciones la determinación de las personas. Tratamiento de ficheros temporales Los ficheros temporales que se creen tendrán las mismas medidas de seguridad que correspondan a los ficheros maestros de los que proceden sus datos. Las unidades usuarias sólo podrán generar ficheros temporales cuando sean para su uso exclusivo en procesos específicos y relacionados con el trabajo de la unidad. Estos ESTRUCTURA DE LOS DOCUMENTOS DE SEGURIDAD 22

References: artículo 46
 artículo 6
 Real Decreto 
 artículo 2
 Real Decreto 
 Real Decreto 
 artículo 4
 artículo 9
 Real Decreto 
 artículo 8
 artículo 8
 Real Decreto