Source: http://docplayer.es/235406-Boletin-oficial-del-estado.html
Timestamp: 2017-07-23 17:33:56
Document Index: 141161147

Matched Legal Cases: ['artículo 42', 'artículo 42', 'artículo 24', 'Artículo 1', 'artículo 42', 'Artículo 2', 'Artículo 3', 'artículo 2', 'Artículo 4', 'Artículo 5', 'Artículo 6', 'Artículo 7', 'Artículo 8', 'Artículo 9', 'Artículo 10', 'Artículo 11', 'artículo 27', 'Artículo 12', 'Artículo 13', 'Artículo 14', 'Artículo 15', 'Artículo 16', 'Artículo 17', 'Artículo 18', 'artículo 2', 'Artículo 19', 'Artículo 20', 'Artículo 21', 'Artículo 22', 'Artículo 23', 'Artículo 24', 'Artículo 25', 'Artículo 26', 'Artículo 27', 'artículo 43', 'Artículo 28', 'Artículo 29', 'Artículo 30', 'Artículo 31', 'Artículo 32', 'Artículo 33', 'Artículo 34', 'artículo 39', 'Artículo 35', 'Artículo 36', 'Artículo 37', 'artículo 36', 'Artículo 38', 'Artículo 39', 'Artículo 40', 'Artículo 41', 'Artículo 42', 'Artículo 43', 'Artículo 44', 'artículo 43', 'artículo 81', 'artículo 11', 'artículo 18', 'Artículo 19', 'artículo 12', 'artículo 21', 'artículo 149', 'Artículo 1', 'artículo 40', 'Artículo 18', 'artículo 9', 'artículo 9', 'ARTÍCULO 1', 'ARTÍCULO 2', 'Artículo 1', 'Artículo 1', 'Artículo 2', 'Artículo 3', 'artículo 24', 'Artículo 1', 'Artículo 1', 'Artículo 2', 'artículo 43', 'artículo 13', 'Artículo 56']

Amparo Peralta Ramírez
1 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 1330 Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. I La necesaria generalización de la sociedad de la información es subsidiaria, en gran medida, de la confianza que genere en los ciudadanos la relación a través de medios electrónicos. En el ámbito de las Administraciones públicas, la consagración del derecho a comunicarse con ellas a través de medios electrónicos comporta una obligación correlativa de las mismas, que tiene, como premisas, la promoción de las condiciones para que la libertad y la igualdad sean reales y efectivas, y la remoción de los obstáculos que impidan o dificulten su plenitud, lo que demanda incorporar las peculiaridades que exigen una aplicación segura de estas tecnologías. A ello ha venido a dar respuesta el artículo 42.2 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, mediante la creación del Esquema Nacional de Seguridad, cuyo objeto es el establecimiento de los principios y requisitos de una política de seguridad en la utilización de medios electrónicos que permita la adecuada protección de la información. La finalidad del Esquema Nacional de Seguridad es la creación de las condiciones necesarias de confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos, que permita a los ciudadanos y a las Administraciones públicas, el ejercicio de derechos y el cumplimiento de deberes a través de estos medios. El Esquema Nacional de Seguridad persigue fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la información pueda llegar al conocimiento de personas no autorizadas. Se desarrollará y perfeccionará en paralelo a la evolución de los servicios y a medida que vayan consolidándose los requisitos de los mismos y de las infraestructuras que lo apoyan. Actualmente los sistemas de información de las administraciones públicas están fuertemente imbricados entre sí y con sistemas de información del sector privado: empresas y administrados. De esta manera, la seguridad tiene un nuevo reto que va más allá del aseguramiento individual de cada sistema. Es por ello que cada sistema debe tener claro su perímetro y los responsables de cada dominio de seguridad deben coordinarse efectivamente para evitar «tierras de nadie» y fracturas que pudieran dañar a la información o a los servicios prestados. En este contexto se entiende por seguridad de las redes y de la información, la capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles. II El Esquema Nacional de Seguridad tiene presentes las recomendaciones de la Unión Europea (Decisión 2001/844/CE CECA, Euratom de la Comisión, de 29 de noviembre de 2001, por la que se modifica su Reglamento interno y Decisión 2001/264/CE del Consejo, de 19 de marzo de 2001, por la que se adoptan las normas de seguridad del Consejo), la situación tecnológica de las diferentes Administraciones públicas, así como2 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág los servicios electrónicos existentes en las mismas, la utilización de estándares abiertos y, de forma complementaria, estándares de uso generalizado por los ciudadanos. Su articulación se ha realizado atendiendo a la normativa nacional sobre Administración electrónica, protección de datos de carácter personal, firma electrónica y documento nacional de identidad electrónico, Centro Criptológico Nacional, sociedad de la información, reutilización de la información en el sector público y órganos colegiados responsables de la Administración Electrónica; así como la regulación de diferentes instrumentos y servicios de la Administración, las directrices y guías de la OCDE y disposiciones nacionales e internacionales sobre normalización. La Ley 11/2007, de 22 de junio, posibilita e inspira esta norma, a cuyo desarrollo coadyuva, en los aspectos de la seguridad de los sistemas de tecnologías de la información en las Administraciones públicas, contribuyendo al desarrollo de un instrumento efectivo que permite garantizar los derechos de los ciudadanos en la Administración electrónica. La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y sus normas de desarrollo, determinan las medidas para la protección de los datos de carácter personal. Además, aportan criterios para establecer la proporcionalidad entre las medidas de seguridad y la información a proteger. La Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, referente legal imprescindible de cualquier regulación administrativa, determina la configuración de numerosos ámbitos de confidencialidad administrativos, diferentes a la información clasificada y a los datos de carácter personal, que necesitan ser materialmente protegidos. Asimismo determina el sustrato legal de las comunicaciones administrativas y sus requisitos jurídicos de validez y eficacia, sobre los que soportar los requerimientos tecnológicos y de seguridad necesarios para proyectar sus efectos en las comunicaciones realizadas por vía electrónica. La Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público que determina la regulación básica del régimen jurídico aplicable a la reutilización de documentos elaborados en el sector público, que configura un ámbito excepcionado de su aplicación, en el que se encuentra la información a la que se refiere el Esquema Nacional de Seguridad. Junto a las disposiciones indicadas, han inspirado el contenido de esta norma, documentos de la Administración en materia de seguridad electrónica, tales como los Criterios de Seguridad, Normalización y Conservación, las Guías CCN-STIC de Seguridad de los Sistemas de Información y Comunicaciones, la Metodología y herramientas de análisis y gestión de riesgos o el Esquema Nacional de Interoperabilidad, también desarrollado al amparo de lo dispuesto en la Ley 11/2007, de 22 de junio. III Este real decreto se limita a establecer los principios básicos y requisitos mínimos que, de acuerdo con el interés general, naturaleza y complejidad de la materia regulada, permiten una protección adecuada de la información y los servicios, lo que exige incluir el alcance y procedimiento para gestionar la seguridad electrónica de los sistemas que tratan información de las Administraciones públicas en el ámbito de la Ley 11/2007, de 22 de junio. Con ello, se logra un común denominador normativo, cuya regulación no agota las posibilidades de normación, y permite ser completada, mediante la regulación de los objetivos, materialmente no básicos, que podrán ser decididos por políticas legislativas territoriales. Para dar cumplimiento a lo anterior se determinan las de seguridad y sus niveles, la categoría de los sistemas, las medidas de seguridad adecuadas y la auditoría periódica de la seguridad; se implanta la elaboración de un informe para conocer regularmente el estado de seguridad de los sistemas de información a los que se refiere el presente real decreto, se establece el papel de la capacidad de respuesta ante incidentes de seguridad de la información del Centro Criptológico Nacional, se incluye un glosario de términos y se hace una referencia expresa a la formación.3 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág La norma se estructura en diez capítulos, cuatro disposiciones adicionales, una disposición transitoria, una disposición derogatoria y tres disposiciones finales. A los cuatro primeros anexos dedicados a la categoría de los sistemas, las medidas de seguridad, la auditoría de la seguridad, y el glosario de términos, se les une un quinto que establece un modelo de cláusula administrativa particular a incluir en las prescripciones administrativas de los contratos correspondientes. En este real decreto se concibe la seguridad como una actividad integral, en la que no caben actuaciones puntuales o tratamientos coyunturales, debido a que la debilidad de un sistema la determina su punto más frágil y, a menudo, este punto es la coordinación entre medidas individualmente adecuadas pero deficientemente ensambladas. La información tratada en los sistemas electrónicos a los que se refiere este real decreto estará protegida teniendo en cuenta los criterios establecidos en la Ley Orgánica 15/1999, de 13 de diciembre. El presente real decreto se aprueba en aplicación de lo dispuesto en la disposición final octava de la Ley 11/2007, de 22 de junio y, de acuerdo con lo dispuesto en el artículo 42 apartado 3 y disposición final primera de dicha norma, se ha elaborado con la participación de las Administraciones públicas a las que les es de aplicación, ha sido informado favorablemente por la Comisión Permanente del Consejo Superior de Administración Electrónica, la Conferencia Sectorial de Administración Pública y la Comisión Nacional de Administración Local; y ha sido sometido al previo informe de la Agencia Española de Protección de Datos. Asimismo, se ha sometido a la audiencia de los ciudadanos según las previsiones establecidas en el artículo 24 de la Ley 50/1997, de 27 de noviembre, del Gobierno. En su virtud, a propuesta de la Ministra de la Presidencia, de acuerdo con el Consejo de Estado y previa deliberación del Consejo de Ministros en su reunión del día 8 de enero de 2010, Artículo 1. Objeto. DISPONGO: CAPÍTULO I Disposiciones generales 1. El presente real decreto tiene por objeto regular el Esquema Nacional de Seguridad establecido en el artículo 42 de la Ley 11/2007, de 22 de junio, y determinar la política de seguridad que se ha de aplicar en la utilización de los medios electrónicos a los que se refiere la citada ley. 2. El Esquema Nacional de Seguridad está constituido por los principios básicos y requisitos mínimos requeridos para una protección adecuada de la información. Será aplicado por las Administraciones públicas para asegurar el acceso, integridad, disponibilidad, autenticidad, confidencialidad, trazabilidad y conservación de los datos, informaciones y servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competencias. Artículo 2. Definiciones y estándares. A los efectos previstos en este real decreto, las definiciones, palabras, expresiones y términos han de ser entendidos en el sentido indicado en el Glosario de Términos incluido en el anexo IV. Artículo 3. Ámbito de aplicación. El ámbito de aplicación del presente real decreto será el establecido en el artículo 2 de la Ley 11/2007, de 22 de junio.4 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág Están excluidos del ámbito de aplicación indicado en el párrafo anterior los sistemas que tratan información clasificada regulada por Ley 9/1968, de 5 de abril, de Secretos Oficiales y normas de desarrollo. CAPÍTULO II Principios básicos Artículo 4. Principios básicos del Esquema Nacional de Seguridad. El objeto último de la seguridad de la información es asegurar que una organización administrativa podrá cumplir sus objetivos utilizando sistemas de información. En las decisiones en materia de seguridad deberán tenerse en cuenta los siguientes principios básicos: a) Seguridad integral. b) Gestión de riesgos. c) Prevención, reacción y recuperación. d) Líneas de defensa. e) Reevaluación periódica. f) Función diferenciada. Artículo 5. La seguridad como un proceso integral. 1. La seguridad se entenderá como un proceso integral constituido por todos los elementos técnicos, humanos, materiales y organizativos, relacionados con el sistema. La aplicación del Esquema Nacional de Seguridad estará presidida por este principio, que excluye cualquier actuación puntual o tratamiento coyuntural. 2. Se prestará la máxima atención a la concienciación de las personas que intervienen en el proceso y a sus responsables jerárquicos, para que, ni la ignorancia, ni la falta de organización y coordinación, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad. Artículo 6. Gestión de la seguridad basada en los riesgos. 1. El análisis y gestión de riesgos será parte esencial del proceso de seguridad y deberá mantenerse permanentemente actualizado. 2. La gestión de riesgos permitirá el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza de los datos y los tratamientos, los riesgos a los que estén expuestos y las medidas de seguridad. Artículo 7. Prevención, reacción y recuperación. 1. La seguridad del sistema debe contemplar los aspectos de prevención, detección y corrección, para conseguir que las amenazas sobre el mismo no se materialicen, no afecten gravemente a la información que maneja, o los servicios que se prestan. 2. Las medidas de prevención deben eliminar o, al menos reducir, la posibilidad de que las amenazas lleguen a materializarse con perjuicio para el sistema. Estas medidas de prevención contemplarán, entre otras, la disuasión y la reducción de la exposición. 3. Las medidas de detección estarán acompañadas de medidas de reacción, de forma que los incidentes de seguridad se atajen a tiempo. 4. Las medidas de recuperación permitirán la restauración de la información y los servicios, de forma que se pueda hacer frente a las situaciones en las que un incidente de seguridad inhabilite los medios habituales. 5. Sin merma de los demás principios básicos y requisitos mínimos establecidos, el sistema garantizará la conservación de los datos e informaciones en soporte electrónico.5 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág De igual modo, el sistema mantendrá disponibles los servicios durante todo el ciclo vital de la información digital, a través de una concepción y procedimientos que sean la base para la preservación del patrimonio digital. Artículo 8. Líneas de defensa. 1. El sistema ha de disponer de una estrategia de protección constituida por múltiples capas de seguridad, dispuesta de forma que, cuando una de las capas falle, permita: a) Ganar tiempo para una reacción adecuada frente a los incidentes que no han podido evitarse. b) Reducir la probabilidad de que el sistema sea comprometido en su conjunto. c) Minimizar el impacto final sobre el mismo. 2. Las líneas de defensa han de estar constituidas por medidas de naturaleza organizativa, física y lógica. Artículo 9. Reevaluación periódica. Las medidas de seguridad se reevaluarán y actualizarán periódicamente, para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección, llegando incluso a un replanteamiento de la seguridad, si fuese necesario. Artículo 10. La seguridad como función diferenciada. En los sistemas de información se diferenciará el responsable de la información, el responsable del servicio y el responsable de la seguridad. El responsable de la información determinará los requisitos de la información tratada; el responsable del servicio determinará los requisitos de los servicios prestados; y el responsable de seguridad determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios. La responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios. La política de seguridad de la organización detallará las atribuciones de cada responsable y los mecanismos de coordinación y resolución de conflictos. CAPÍTULO III Requisitos mínimos Artículo 11. Requisitos mínimos de seguridad. 1. Todos los órganos superiores de las Administraciones públicas deberán disponer formalmente de su política de seguridad, que será aprobada por el titular del órgano superior correspondiente. Esta política de seguridad, se establecerá en base a los principios básicos indicados y se desarrollará aplicando los siguientes requisitos mínimos: a) Organización e implantación del proceso de seguridad. b) Análisis y gestión de los riesgos. c) Gestión de personal. d) Profesionalidad. e) Autorización y control de los accesos. f) Protección de las instalaciones. g) Adquisición de productos. h) Seguridad por defecto. i) Integridad y actualización del sistema. j) Protección de la información almacenada y en tránsito. k) Prevención ante otros sistemas de información interconectados.6 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág l) Registro de actividad. m) Incidentes de seguridad. n) Continuidad de la actividad. o) Mejora continua del proceso de seguridad. 2. A los efectos indicados en el apartado anterior, se considerarán órganos superiores, los responsables directos de la ejecución de la acción del gobierno, central, autonómico o local, en un sector de actividad específico, de acuerdo con lo establecido en la Ley 6/1997, de 14 de abril, de organización y funcionamiento de la Administración General del Estado y Ley 50/1997, de 27 de noviembre, del Gobierno; los estatutos de autonomía correspondientes y normas de desarrollo; y la Ley 7/1985, de 2 de abril, reguladora de las bases del Régimen Local, respectivamente. Los municipios podrán disponer de una política de seguridad común elaborada por la Diputación, Cabildo, Consejo Insular u órgano unipersonal correspondiente de aquellas otras corporaciones de carácter representativo a las que corresponda el gobierno y la administración autónoma de la provincia o, en su caso, a la entidad comarcal correspondiente a la que pertenezcan. 3. Todos estos requisitos mínimos se exigirán en proporción a los riesgos identificados en cada sistema, pudiendo algunos no requerirse en sistemas sin riesgos significativos, y se cumplirán de acuerdo con lo establecido en el artículo 27. Artículo 12. Organización e implantación del proceso de seguridad. La seguridad deberá comprometer a todos los miembros de la organización. La política de seguridad según se detalla en el anexo II, sección 3.1, deberá identificar unos claros responsables de velar por su cumplimiento y ser conocida por todos los miembros de la organización administrativa. Artículo 13. Análisis y gestión de los riesgos. 1. Cada organización que desarrolle e implante sistemas para el tratamiento de la información y las comunicaciones realizará su propia gestión de riesgos. 2. Esta gestión se realizará por medio del análisis y tratamiento de los riesgos a los que está expuesto el sistema. Sin perjuicio de lo dispuesto en el anexo II, se empleará alguna metodología reconocida internacionalmente. 3. Las medidas adoptadas para mitigar o suprimir los riesgos deberán estar justificadas y, en todo caso, existirá una proporcionalidad entre ellas y los riesgos. Artículo 14. Gestión de personal. 1. Todo el personal relacionado con la información y los sistemas deberá ser formado e informado de sus deberes y obligaciones en materia de seguridad. Sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos establecidos. 2. El personal relacionado con la información y los sistemas, ejercitará y aplicará los principios de seguridad en el desempeño de su cometido. 3. El significado y alcance del uso seguro del sistema se concretará y plasmará en unas normas de seguridad. 4. Para corregir, o exigir responsabilidades en su caso, cada usuario que acceda a la información del sistema debe estar identificado de forma única, de modo que se sepa, en todo momento, quién recibe derechos de acceso, de qué tipo son éstos, y quién ha realizado determinada actividad. Artículo 15. Profesionalidad. 1. La seguridad de los sistemas estará atendida, revisada y auditada por personal cualificado, dedicado e instruido en las fases de su ciclo de vida: instalación, mantenimiento, gestión de incidencias y desmantelamiento.7 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág El personal de las Administraciones públicas recibirá la formación específica necesaria para garantizar la seguridad de las tecnologías de la información aplicables a los sistemas y servicios de la Administración. 3. Las Administraciones públicas exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con unos niveles idóneos de gestión y madurez en los servicios prestados. Artículo 16. Autorización y control de los accesos. El acceso al sistema de información deberá ser controlado y limitado a los usuarios, procesos, dispositivos y otros sistemas de información, debidamente autorizados, restringiendo el acceso a las funciones permitidas. Artículo 17. Protección de las instalaciones. Los sistemas se instalarán en áreas separadas, dotadas de un procedimiento de control de acceso. Como mínimo, las salas deben estar cerradas y disponer de un control de llaves. Artículo 18. Adquisición de productos de seguridad. 1. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser utilizados por las Administraciones públicas se valorarán positivamente aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición. 2. La certificación indicada en el apartado anterior deberá estar de acuerdo con las normas y estándares de mayor reconocimiento internacional, en el ámbito de la seguridad funcional. 3. El Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información, constituido al amparo de lo dispuesto en el artículo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la orden PRE/2740/2007, de 19 de septiembre, dentro de sus competencias, determinará el criterio a cumplir en función del uso previsto del producto a que se refiera, en relación con el nivel de evaluación, otras certificaciones de seguridad adicionales que se requieran normativamente, así como, excepcionalmente, en los casos en que no existan productos certificados. El proceso indicado, se efectuará teniendo en cuenta los criterios y metodologías de evaluación, determinados por las normas internacionales que recoge la orden ministerial citada. Artículo 19. Seguridad por defecto. Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad por defecto: a) El sistema proporcionará la mínima funcionalidad requerida para que la organización sólo alcance sus objetivos, y no alcance ninguna otra funcionalidad adicional. b) Las funciones de operación, administración y registro de actividad serán las mínimas necesarias, y se asegurará que sólo son accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados. c) En un sistema de explotación se eliminarán o desactivarán, mediante el control de la configuración, las funciones que no sean de interés, sean innecesarias e, incluso, aquellas que sean inadecuadas al fin que se persigue. d) El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilización insegura requiera de un acto consciente por parte del usuario. Artículo 20. Integridad y actualización del sistema. 1. Todo elemento físico o lógico requerirá autorización formal previa a su instalación en el sistema.8 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág Se deberá conocer en todo momento el estado de seguridad de los sistemas, en relación a las especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les afecten, reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de los mismos. Artículo 21. Protección de información almacenada y en tránsito. 1. En la estructura y organización de la seguridad del sistema, se prestará especial atención a la información almacenada o en tránsito a través de entornos inseguros. Tendrán la consideración de entornos inseguros los equipos portátiles, asistentes personales (PDA), dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil. 2. Forman parte de la seguridad los procedimientos que aseguren la recuperación y conservación a largo plazo de los documentos electrónicos producidos por las Administraciones públicas en el ámbito de sus competencias. 3. Toda información en soporte no electrónico, que haya sido causa o consecuencia directa de la información electrónica a la que se refiere el presente real decreto, deberá estar protegida con el mismo grado de seguridad que ésta. Para ello se aplicarán las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicación a la seguridad de los mismos. Artículo 22. Prevención ante otros sistemas de información interconectados. El sistema ha de proteger el perímetro, en particular, si se conecta a redes públicas. Se entenderá por red pública de comunicaciones la red de comunicaciones electrónicas que se utiliza, en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público, de conformidad a la definición establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. En todo caso se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión. Artículo 23. Registro de actividad. Con la finalidad exclusiva de lograr el cumplimiento del objeto del presente real decreto, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, se registrarán las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa. Artículo 24. Incidentes de seguridad. 1. Se establecerá un sistema de detección y reacción frente a código dañino. 2. Se registrarán los incidentes de seguridad que se produzcan y las acciones de tratamiento que se sigan. Estos registros se emplearán para la mejora continua de la seguridad del sistema. Artículo 25. Continuidad de la actividad. Los sistemas dispondrán de copias de seguridad y establecerán los mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo. Artículo 26. Mejora continua del proceso de seguridad. El proceso integral de seguridad implantado deberá ser actualizado y mejorado de forma continua. Para ello, se aplicarán los criterios y métodos reconocidos en la práctica nacional e internacional relativos a gestión de las tecnologías de la información.9 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág Artículo 27. Cumplimiento de requisitos mínimos. 1. Para dar cumplimiento a los requisitos mínimos establecidos en el presente real decreto, las Administraciones públicas aplicarán las medidas de seguridad indicadas en el Anexo II, teniendo en cuenta: a) Los activos que constituyen el sistema. b) La categoría del sistema, según lo previsto en el artículo 43. c) Las decisiones que se adopten para gestionar los riesgos identificados. 2. Cuando un sistema al que afecte el presente real decreto maneje datos de carácter personal le será de aplicación lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normativa de desarrollo, sin perjuicio de los requisitos establecidos en el Esquema Nacional de Seguridad. 3. Los medidas a las que se refieren los apartados 1 y 2 tendrán la condición de mínimos exigibles, y podrán ser ampliados por causa de la concurrencia indicada o del prudente arbitrio del responsable de la información, habida cuenta del estado de la tecnología, la naturaleza de los servicios prestados y la información manejada, y los riesgos a que están expuestos. Artículo 28. Infraestructuras y servicios comunes. La utilización de infraestructuras y servicios comunes reconocidos en las Administraciones Públicas facilitará el cumplimiento de los principios básicos y los requisitos mínimos exigidos en el presente real decreto en condiciones de mejor eficiencia. Los supuestos concretos de utilización de estas infraestructuras y servicios comunes serán determinados por cada Administración. Artículo 29. Guías de seguridad. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptológico Nacional, en el ejercicio de sus competencias, elaborará y difundirá las correspondientes guías de seguridad de las tecnologías de la información y las comunicaciones. Artículo 30. Sistemas de información no afectados. Las Administraciones públicas podrán determinar aquellos sistemas de información a los que no les sea de aplicación lo dispuesto en el presente de real decreto por tratarse de sistemas no relacionados con el ejercicio de derechos ni con el cumplimiento de deberes por medios electrónicos ni con el acceso por medios electrónicos de los ciudadanos a la información y al procedimiento administrativo, de acuerdo con lo previsto en la Ley 11/2007, de 22 de junio. CAPÍTULO IV Comunicaciones electrónicas Artículo 31. Condiciones técnicas de seguridad de las comunicaciones electrónicas. 1. Las condiciones técnicas de seguridad de las comunicaciones electrónicas en lo relativo a la constancia de la transmisión y recepción, de sus fechas, del contenido integro de las comunicaciones y la identificación fidedigna del remitente y destinatario de las mismas, según lo establecido en la Ley 11/2007, de 22 de junio, serán implementadas de acuerdo con lo establecido en el Esquema Nacional de Seguridad. 2. Las comunicaciones realizadas en los términos indicados en el apartado anterior, tendrán el valor y la eficacia jurídica que corresponda a su respectiva naturaleza, de conformidad con la legislación que resulte de aplicación.10 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág Artículo 32. Requerimientos técnicos de notificaciones y publicaciones electrónicas. 1. Las notificaciones y publicaciones electrónicas de resoluciones y actos administrativos se realizarán de forma que cumplan, de acuerdo con lo establecido en el presente real decreto, las siguientes exigencias técnicas: a) Aseguren la autenticidad del organismo que lo publique. b) Aseguren la integridad de la información publicada. c) Dejen constancia de la fecha y hora de la puesta a disposición del interesado de la resolución o acto objeto de publicación o notificación, así como del acceso a su contenido. d) Aseguren la autenticidad del destinatario de la publicación o notificación. Artículo 33. Firma electrónica. 1. Los mecanismos de firma electrónica se aplicarán en los términos indicados en el Anexo II de esta norma y de acuerdo con lo preceptuado en la política de firma electrónica y de certificados, según se establece en el Esquema Nacional de Interoperabilidad. 2. La política de firma electrónica y de certificados concretará los procesos de generación, validación y conservación de firmas electrónicas, así como las características y requisitos exigibles a los sistemas de firma electrónica, los certificados, los servicios de sellado de tiempo, y otros elementos de soporte de las firmas, sin perjuicio de lo previsto en el Anexo II, que deberá adaptarse a cada circunstancia. Artículo 34. Auditoría de la seguridad. CAPÍTULO V Auditoría de la seguridad 1. Los sistemas de información a los que se refiere el presente real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del presente Esquema Nacional de Seguridad. Con carácter extraordinario, deberá realizarse dicha auditoría siempre que se produzcan modificaciones sustanciales en el sistema de información, que puedan repercutir en las medidas de seguridad requeridas. La realización de la auditoria extraordinaria determinará la fecha de cómputo para el cálculo de los dos años, establecidos para la realización de la siguiente auditoría regular ordinaria, indicados en el párrafo anterior. 2. Esta auditoría se realizará en función de la categoría del sistema, determinada según lo dispuesto en el anexo I y de acuerdo con lo previsto en el anexo III. 3. En el marco de lo dispuesto en el artículo 39, de la ley 11/2007, de 22 de junio, la auditoría profundizará en los detalles del sistema hasta el nivel que considere que proporciona evidencia suficiente y relevante, dentro del alcance establecido para la auditoría. 4. En la realización de esta auditoría se utilizarán los criterios, métodos de trabajo y de conducta generalmente reconocidos, así como la normalización nacional e internacional aplicables a este tipo de auditorías de sistemas de información. 5. El informe de auditoría deberá dictaminar sobre el grado de cumplimiento del presente real decreto, identificar sus deficiencias y sugerir las posibles medidas correctoras o complementarias necesarias, así como las recomendaciones que se consideren oportunas. Deberá, igualmente, incluir los criterios metodológicos de auditoría utilizados, el alcance y el objetivo de la auditoría, y los datos, hechos y observaciones en que se basen las conclusiones formuladas. 6. Los informes de auditoría serán presentados al responsable del sistema y al responsable de seguridad competentes. Estos informes serán analizados por este último que presentará sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas.11 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág En el caso de los sistemas de categoría ALTA, visto el dictamen de auditoría, el responsable del sistema podrá acordar la retirada de operación de alguna información, de algún servicio o del sistema en su totalidad, durante el tiempo que estime prudente y hasta la satisfacción de las modificaciones prescritas. 8. Los informes de auditoría podrán ser requeridos por los responsables de cada organización con competencias sobre seguridad de las tecnologías de la información. CAPITULO VI Estado de seguridad de los sistemas Artículo 35. Informe del estado de la seguridad. El Comité Sectorial de Administración Electrónica articulará los procedimientos necesarios para conocer regularmente el estado de las principales variables de la seguridad en los sistemas de información a los que se refiere el presente real decreto, de forma que permita elaborar un perfil general del estado de la seguridad en las Administraciones públicas. CAPÍTULO VII Respuesta a incidentes de seguridad Artículo 36. Capacidad de respuesta a incidentes de seguridad de la información. El Centro Criptológico Nacional (CCN) articulará la respuesta a los incidentes de seguridad en torno a la estructura denominada CCN-CERT (Centro Criptológico Nacional- Computer Emergency Reaction Team), que actuará sin perjuicio de las capacidades de respuesta a incidentes de seguridad que pueda tener cada administración pública y de la función de coordinación a nivel nacional e internacional del CCN. Artículo 37. Prestación de servicios de respuesta a incidentes de seguridad a las Administraciones públicas. 1. De acuerdo con lo previsto en el artículo 36, el CCN-CERT prestará a las Administraciones públicas los siguientes servicios: a) Soporte y coordinación para el tratamiento de vulnerabilidades y la resolución de incidentes de seguridad que tengan la Administración General del Estado, las Administraciones de las comunidades autónomas, las entidades que integran la Administración Local y las Entidades de Derecho público con personalidad jurídica propia vinculadas o dependientes de cualquiera de las administraciones indicadas. El CCN-CERT, a través de su servicio de apoyo técnico y de coordinación, actuará con la máxima celeridad ante cualquier agresión recibida en los sistemas de información de las Administraciones públicas. Para el cumplimiento de los fines indicados en los párrafos anteriores se podrán recabar los informes de auditoría de los sistemas afectados. b) Investigación y divulgación de las mejores prácticas sobre seguridad de la información entre todos los miembros de las Administraciones públicas. Con esta finalidad, las series de documentos CCN-STIC (Centro Criptológico Nacional-Seguridad de las Tecnologías de Información y Comunicaciones), elaboradas por el Centro Criptológico Nacional, ofrecerán normas, instrucciones, guías y recomendaciones para aplicar el Esquema Nacional de Seguridad y para garantizar la seguridad de los sistemas de tecnologías de la información en la Administración. c) Formación destinada al personal de la Administración especialista en el campo de la seguridad de las tecnologías de la información, al objeto de facilitar la actualización de12 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág conocimientos del personal de la Administración y de lograr la sensibilización y mejora de sus capacidades para la detección y gestión de incidentes. d) Información sobre vulnerabilidades, alertas y avisos de nuevas amenazas a los sistemas de información, recopiladas de diversas fuentes de reconocido prestigio, incluidas las propias. 2. El CCN desarrollará un programa que ofrezca la información, formación, recomendaciones y herramientas necesarias para que las Administraciones públicas puedan desarrollar sus propias capacidades de respuesta a incidentes de seguridad, y en el que, aquél, será coordinador a nivel público estatal. Artículo 38. Sedes y registros electrónicos. CAPÍTULO VIII Normas de conformidad La seguridad de las sedes y registros electrónicos, así como la del acceso electrónico de los ciudadanos a los servicios públicos, se regirán por lo establecido en el Esquema Nacional de Seguridad. Artículo 39. Ciclo de vida de servicios y sistemas. Las especificaciones de seguridad se incluirán en el ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control. Artículo 40. Mecanismos de control. Cada órgano de la Administración pública o Entidad de Derecho Público establecerá sus mecanismos de control para garantizar de forma real y efectiva el cumplimiento del Esquema Nacional de Seguridad. Artículo 41. Publicación de conformidad. Los órganos y Entidades de Derecho Público darán publicidad en las correspondientes sedes electrónicas a las declaraciones de conformidad, y a los distintivos de seguridad de los que sean acreedores, obtenidos respecto al cumplimiento del Esquema Nacional de Seguridad. Artículo 42. Actualización permanente. CAPÍTULO IX Actualización El Esquema Nacional de Seguridad se deberá mantener actualizado de manera permanente. Se desarrollará y perfeccionará a lo largo del tiempo, en paralelo al progreso de los servicios de Administración electrónica, de la evolución tecnológica y nuevos estándares internacionales sobre seguridad y auditoría en los sistemas y tecnologías de la información y a medida que vayan consolidándose las infraestructuras que le apoyan.13 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág Artículo 43. Categorías. CAPÍTULO X Categorización de los sistemas de información 1. La categoría de un sistema de información, en materia de seguridad, modulará el equilibrio entre la importancia de la información que maneja, los servicios que presta y el esfuerzo de seguridad requerido, en función de los riesgos a los que está expuesto, bajo el criterio del principio de proporcionalidad. 2. La determinación de la categoría indicada en el apartado anterior se efectuará en función de la valoración del impacto que tendría un incidente que afectara a la seguridad de la información o de los servicios con perjuicio para la disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad, como de seguridad, siguiendo el procedimiento establecido en el Anexo I. 3. La valoración de las consecuencias de un impacto negativo sobre la seguridad de la información y de los servicios se efectuará atendiendo a su repercusión en la capacidad de la organización para el logro de sus objetivos, la protección de sus activos, el cumplimiento de sus obligaciones de servicio, el respeto de la legalidad y los derechos de los ciudadanos. Artículo 44. Facultades. 1. La facultad para efectuar las valoraciones a las que se refiere el artículo 43, así como la modificación posterior, en su caso, corresponderá, dentro del ámbito de su actividad, al responsable de cada información o servicio. 2. La facultad para determinar la categoría del sistema corresponderá al responsable del mismo. Disposición adicional primera. Formación. El personal de las Administraciones públicas recibirá, de acuerdo con lo previsto en la disposición adicional segunda de la Ley 11/2007, de 22 de junio, la formación necesaria para garantizar el conocimiento del presente Esquema Nacional de Seguridad, a cuyo fin los órganos responsables dispondrán lo necesario para que la formación sea una realidad efectiva. Disposición adicional segunda. Instituto Nacional de Tecnologías de la Comunicación (INTECO) y organismos análogos. El Instituto Nacional de Tecnologías de la Comunicación (INTECO), como centro de excelencia promovido por el Ministerio de Industria, Turismo y Comercio para el desarrollo de la sociedad del conocimiento, podrá desarrollar proyectos de innovación y programas de investigación dirigidos a la mejor implantación de las medidas de seguridad contempladas en el presente real decreto. Asimismo, las Administraciones públicas podrán disponer de entidades análogas para llevar a cabo dichas actividades u otras adicionales en el ámbito de sus competencias. Disposición adicional tercera. Comité de Seguridad de la Información de las Administraciones Públicas. El Comité de Seguridad de la Información de las Administraciones Públicas, dependiente del Comité Sectorial de Administración electrónica, contará con un representante de cada una de las entidades presentes en dicho Comité Sectorial. Tendrá funciones de cooperación en materias comunes relacionadas con la adecuación e implantación de lo previsto en el Esquema Nacional de Seguridad y en las normas, instrucciones, guías y recomendaciones dictadas para su aplicación.14 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág Disposición adicional cuarta. Modificación del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre. Se modifica la letra b) del apartado 5 del artículo 81 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal aprobado por Real Decreto 1720/2007, de 21 de diciembre, que pasa a tener la siguiente redacción: «b) Se trate de ficheros o tratamientos en los que de forma incidental o accesoria se contengan aquellos datos sin guardar relación con su finalidad.» Disposición transitoria. Adecuación de sistemas. 1. Los sistemas existentes a la entrada en vigor del presente real decreto se adecuarán al Esquema Nacional de Seguridad de forma que permitan el cumplimiento de lo establecido en la disposición final tercera de la Ley 11/2007, de 22 de junio. Los nuevos sistemas aplicarán lo establecido en el presente real decreto desde su concepción. 2. Si a los doce meses de la entrada en vigor del Esquema Nacional de Seguridad hubiera circunstancias que impidan la plena aplicación de lo exigido en el mismo, se dispondrá de un plan de adecuación que marque los plazos de ejecución los cuales, en ningún caso, serán superiores a 48 meses desde la entrada en vigor. El plan indicado en el párrafo anterior será elaborado con la antelación suficiente y aprobado por los órganos superiores competentes. 3. Mientras no se haya aprobado una política de seguridad por el órgano superior competente serán de aplicación las políticas de seguridad que puedan existir a nivel de órgano directivo. Disposición derogatoria única. Quedan derogadas las disposiciones de igual o inferior rango que se opongan a lo dispuesto en el presente reglamento. Disposición final primera. Título habilitante. El presente real decreto se dicta en virtud de lo establecido en el artículo ª de la Constitución, que atribuye al Estado la competencia sobre las bases del régimen jurídico de las Administraciones públicas. Disposición final segunda. Desarrollo normativo. Se autoriza al titular del Ministerio de la Presidencia, para dictar las disposiciones necesarias para la aplicación y desarrollo de lo establecido en el presente real decreto, sin perjuicio de las competencias de las comunidades autónomas de desarrollo y ejecución de la legislación básica del Estado. Disposición final tercera. Entrada en vigor. El presente real decreto entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado». Dado en Madrid, el 8 de enero de La Vicepresidenta Primera del Gobierno y Ministra de la Presidencia, MARÍA TERESA FERNÁNDEZ DE LA VEGA SANZ JUAN CARLOS R.15 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág ANEXOS ANEXO I Categorías de los sistemas 1. Fundamentos para la determinación de la categoría de un sistema. La determinación de la categoría de un sistema se basa en la valoración del impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información o de los sistemas, con repercusión en la capacidad organizativa para: a) Alcanzar sus objetivos. b) Proteger los activos a su cargo. c) Cumplir sus obligaciones diarias de servicio. d) Respetar la legalidad vigente. e) Respetar los derechos de las personas. La determinación de la categoría de un sistema se realizará de acuerdo con lo establecido en el presente real decreto, y será de aplicación a todos los sistemas empleados para la prestación de los servicios de la Administración electrónica y soporte del procedimiento administrativo general. 2. Dimensiones de la seguridad. A fin de poder determinar el impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información o de los sistemas, y de poder establecer la categoría del sistema, se tendrán en cuenta las siguientes de la seguridad, que serán identificadas por sus correspondientes iniciales en mayúsculas: a) Disponibilidad [D]. b) Autenticidad [A]. c) Integridad [I]. d) Confidencialidad [C]. e) Trazabilidad [T]. 3. Determinación del nivel requerido en una dimensión de seguridad. Una información o un servicio pueden verse afectados en una o más de sus de seguridad. Cada dimensión de seguridad afectada se adscribirá a uno de los siguientes niveles: BAJO, MEDIO o ALTO. Si una dimensión de seguridad no se ve afectada, no se adscribirá a ningún nivel. a) Nivel BAJO. Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las de seguridad supongan un perjuicio limitado sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados. Se entenderá por perjuicio limitado: 1.º La reducción de forma apreciable de la capacidad de la organización para atender eficazmente con sus obligaciones corrientes, aunque estas sigan desempeñándose. 2.º El sufrimiento de un daño menor por los activos de la organización. 3.º El incumplimiento formal de alguna ley o regulación, que tenga carácter de subsanable. 4.º Causar un perjuicio menor a algún individuo, que aún siendo molesto pueda ser fácilmente reparable. 5.º Otros de naturaleza análoga.16 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág b) Nivel MEDIO. Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las de seguridad supongan un perjuicio grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados. Se entenderá por perjuicio grave: 1.º La reducción significativa la capacidad de la organización para atender eficazmente a sus obligaciones fundamentales, aunque estas sigan desempeñándose. 2.º El sufrimiento de un daño significativo por los activos de la organización. 3.º El incumplimiento material de alguna ley o regulación, o el incumplimiento formal que no tenga carácter de subsanable. 4.º Causar un perjuicio significativo a algún individuo, de difícil reparación. 5.º Otros de naturaleza análoga. c) Nivel ALTO. Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las de seguridad supongan un perjuicio muy grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados. Se entenderá por perjuicio muy grave: 1.º La anulación de la capacidad de la organización para atender a alguna de sus obligaciones fundamentales y que éstas sigan desempeñándose. 2.º El sufrimiento de un daño muy grave, e incluso irreparable, por los activos de la organización. 3.º El incumplimiento grave de alguna ley o regulación. 4.º Causar un perjuicio grave a algún individuo, de difícil o imposible reparación. 5.º Otros de naturaleza análoga. Cuando un sistema maneje diferentes informaciones y preste diferentes servicios, el nivel del sistema en cada dimensión será el mayor de los establecidos para cada información y cada servicio. 4. Determinación de la categoría de un sistema de información. 1. Se definen tres categorías: BÁSICA, MEDIA y ALTA. a) Un sistema de información será de categoría ALTA si alguna de sus de seguridad alcanza el nivel ALTO. b) Un sistema de información será de categoría MEDIA si alguna de sus de seguridad alcanza el nivel MEDIO, y ninguna alcanza un nivel superior. c) Un sistema de información será de categoría BÁSICA si alguna de sus de seguridad alcanza el nivel BAJO, y ninguna alcanza un nivel superior. 2. La determinación de la categoría de un sistema sobre la base de lo indicado en el apartado anterior no implicará que se altere, por este hecho, el nivel de las de seguridad que no han influido en la determinación de la categoría del mismo. 5. Secuencia de actuaciones para determinar la categoría de un sistema: 1. Identificación del nivel correspondiente a cada información y servicio, en función de las de seguridad, teniendo en cuenta lo establecido en el apartado Determinación de la categoría del sistema, según lo establecido en el apartado 4.17 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág ANEXO II Medidas de seguridad 1. Disposiciones generales 1. Para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos, se aplicarán las medidas de seguridad indicadas en este anexo, las cuales serán proporcionales a: a) Las de seguridad relevantes en el sistema a proteger. b) La categoría del sistema de información a proteger. 2. Las medidas de seguridad se dividen en tres grupos: a) Marco organizativo [org]. Constituido por el conjunto de medidas relacionadas con la organización global de la seguridad. b) Marco operacional [op]. Formado por las medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin. c) Medidas de protección [mp]. Se centran en proteger activos concretos, según su naturaleza y la calidad exigida por el nivel de seguridad de las afectadas. 2. Selección de medidas de seguridad 1. Para la selección de las medidas de seguridad se seguirán los pasos siguientes: a) Identificación de los tipos de activos presentes. b) Determinación de las de seguridad relevantes, teniendo en cuenta lo establecido en el anexo I. c) Determinación del nivel correspondiente a cada dimensión de seguridad, teniendo en cuenta lo establecido en el anexo I. d) Determinación de la categoría del sistema, según lo establecido en el Anexo I. e) Selección de las medidas de seguridad apropiadas de entre las contenidas en este Anexo, de acuerdo con las de seguridad y sus niveles, y, para determinadas medidas de seguridad, de acuerdo con la categoría del sistema. 2. A los efectos de facilitar el cumplimiento de lo dispuesto en este anexo, cuando en un sistema de información existan sistemas que requieran la aplicación de un nivel de medidas de seguridad diferente al del sistema principal, podrán segregarse de este último, siendo de aplicación en cada caso el nivel de medidas de seguridad correspondiente y siempre que puedan delimitarse la información y los servicios afectados. 3. La relación de medidas seleccionadas se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de la seguridad del sistema. 4. La correspondencia entre los niveles de seguridad exigidos en cada dimensión y las medidas de seguridad, es la que se indica en la tabla siguiente: Dimensiones Afectadas B M A MEDIDAS DE SEGURIDAD org Marco organizativo categoría org.1 Política de seguridad categoría org.2 Normativa de seguridad categoría org.3 Procedimientos de seguridad categoría org.4 Proceso de autorización op Marco operacional op.pl Planificación categoría n.a op.pl.1 Análisis de riesgos categoría op.pl.2 Arquitectura de seguridad18 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág categoría op.pl.3 Adquisición de nuevos componentes D n.a. aplica = op.pl.4 Dimensionamiento / Gestión de capacidades categoría n.a. n.a. aplica op.pl.5 Componentes certificados op.acc Control de acceso A T op.acc.1 Identificación I C A T op.acc.2 Requisitos de acceso I C A T n.a. aplica = op.acc.3 Segregación de funciones y tareas I C A T op.acc.4 Proceso de gestión de derechos de acceso I C A T aplica + ++ op.acc.5 Mecanismo de autenticación I C A T aplica + ++ op.acc.6 Acceso local (local logon) I C A T aplica + = op.acc.7 Acceso remoto (remote login) op.exp Explotación categoría op.exp.1 Inventario de activos categoría op.exp.2 Configuración de seguridad categoría n.a. aplica = op.exp.3 Gestión de la configuración categoría op.exp.4 Mantenimiento categoría n.a. aplica = op.exp.5 Gestión de cambios categoría op.exp.6 Protección frente a código dañino categoría n.a. aplica = op.exp.7 Gestión de incidencias T n.a. n.a. aplica op.exp.8 Registro de la actividad de los usuarios categoría n.a. aplica = op.exp.9 Registro de la gestión de incidencias T n.a. n.a. aplica op.exp.10 Protección de los registros de actividad categoría aplica = + op.exp.11 Protección de claves criptográficas op.ext Servicios externos categoría n.a. aplica = op.ext.1 Contratación y acuerdos de nivel de servicio categoría n.a. aplica = op.ext.2 Gestión diaria D n.a. n.a. aplica op.ext.9 Medios alternativos op.cont Continuidad del servicio D n.a. aplica = op.cont.1 Análisis de impacto D n.a. n.a. aplica op.cont.2 Plan de continuidad D n.a. n.a. aplica op.cont.3 Pruebas periódicas op.mon Monitorización del sistema categoría n.a. n.a. aplica op.mon.1 Detección de intrusión categoría n.a. n.a. aplica op.mon.2 Sistema de métricas mp Medidas de protección mp.if Protección de las instalaciones e infraestructuras categoría mp.if.1 Áreas separadas y con control de acceso categoría mp.if.2 Identificación de las personas categoría mp.if.3 Acondicionamiento de los locales D aplica + = mp.if.4 Energía eléctrica D mp.if.5 Protección frente a incendios D n.a. aplica = mp.if.6 Protección frente a inundaciones categoría mp.if.7 Registro de entrada y salida de equipamiento D n.a. n.a. aplica mp.if.9 Instalaciones alternativas mp.per Gestión del personal categoría n.a. aplica = mp.per.1 Caracterización del puesto de trabajo categoría mp.per.2 Deberes y obligaciones categoría mp.per.3 Concienciación categoría mp.per.4 Formación D n.a. n.a. aplica mp.per.9 Personal alternativo mp.eq Protección de los equipos categoría aplica + = mp.eq.1 Puesto de trabajo despejado19 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág A n.a. aplica + mp.eq.2 Bloqueo de puesto de trabajo categoría aplica = + mp.eq.3 Protección de equipos portátiles D n.a. aplica = mp.eq.9 Medios alternativos mp.com Protección de las comunicaciones categoría aplica = + mp.com.1 Perímetro seguro C n.a. aplica + mp.com.2 Protección de la confidencialidad I A aplica + ++ mp.com.3 Protección de la autenticidad y de la integridad categoría n.a. n.a. aplica mp.com.4 Segregación de redes D n.a. n.a. aplica mp.com.9 Medios alternativos mp.si Protección de los soportes de información C mp.si.1 Etiquetado I C n.a. aplica + mp.si.2 Criptografía categoría mp.si.3 Custodia categoría mp.si.4 Transporte C n.a. aplica = mp.si.5 Borrado y destrucción mp.sw Protección de las aplicaciones informáticas categoría n.a. aplica = mp.sw.1 Desarrollo categoría aplica + ++ mp.sw.2 Aceptación y puesta en servicio mp.info Protección de la información categoría mp.info.1 Datos de carácter personal C aplica + = mp.info.2 Calificación de la información C n.a. n.a. aplica mp.info.3 Cifrado I A aplica + ++ mp.info.4 Firma electrónica T n.a. n.a. aplica mp.info.5 Sellos de tiempo C mp.info.6 Limpieza de documentos D n.a. aplica = mp.info.9 Copias de seguridad (backup) mp.s Protección de los servicios categoría mp.s.1 Protección del correo electrónico categoría mp.s.2 Protección de servicios y aplicaciones web D n.a. aplica + mp.s.8 Protección frente a la denegación de servicio D n.a. n.a. aplica mp.s.9 Medios alternativos En las tablas del presente Anexo se emplean las siguientes convenciones: a) Para indicar que una determinada medida de seguridad se debe aplicar a una o varias de seguridad en algún nivel determinado se utiliza la voz «aplica». b) «n.a.» significa «no aplica». c) Para indicar que las exigencias de un nivel son iguales a los del nivel inferior se utiliza el signo «=». d) Para indicar el incremento de exigencias graduado en función de del nivel de la dimensión de seguridad, se utilizan los signos «+» y «++». e) Para indicar que una medida protege específicamente una cierta dimensión de seguridad, ésta se explicita mediante su inicial. 3. Marco organizativo [org] El marco organizativo está constituido por un conjunto de medidas relacionadas con la organización global de la seguridad. 3.1 Política de seguridad [org.1]. Todas20 Núm. 25 Viernes 29 de enero de 2010 Sec. I. Pág La política de seguridad será aprobada por el órgano superior competente que corresponda, de acuerdo con lo establecido en el artículo 11, y se plasmará en un documento escrito, en el que, de forma clara, se precise, al menos, lo siguiente: a) Los objetivos o misión de la organización. b) El marco legal y regulatorio en el que se desarrollarán las actividades. c) Los roles o funciones de seguridad, definiendo para cada uno, los deberes y responsabilidades del cargo, así como el procedimiento para su designación y renovación. d) La estructura del comité o los comités para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, los miembros y la relación con otros elementos de la organización. e) Las directrices para la estructuración de la documentación de seguridad del sistema, su gestión y acceso. La política de seguridad debe referenciar y ser coherente con lo establecido en el Documento de Seguridad que exige el Real Decreto 1720/2007, en lo que corresponda. 3.2 Normativa de seguridad [org.2]. Todas Se dispondrá de una serie de documentos que describan: a) El uso correcto de equipos, servicios e instalaciones. b) Lo que se considerará uso indebido. c) La responsabilidad del personal con respecto al cumplimiento o violación de estas normas: derechos, deberes y medidas disciplinarias de acuerdo con la legislación vigente. 3.3 Procedimientos de seguridad [org.3]. Todas Se dispondrá de una serie de documentos que detallen de forma clara y precisa: a) Cómo llevar a cabo las tareas habituales. b) Quién debe hacer cada tarea. c) Cómo identificar y reportar comportamientos anómalos. 3.4 Proceso de autorización [org.4]. Todas Se establecerá un proceso formal de autorizaciones que cubra todos los elementos del sistema de información: a) Utilización de instalaciones, habituales y alternativas. b) Entrada de equipos en producción, en particular, equipos que involucren criptografía. Mostrar más
MINISTERIO DE LA PRESIDENCIA Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (Incluye corrección de errores publicada Más detalles Aspectos prácticos de implementación del Esquema Nacional de Seguridad
Aspectos prácticos de implementación del Esquema Nacional de Seguridad 1 Contenidos Recordatorio rápido de la estructura del ENS Sobre la auditoría de seguridad en el ENS Las guías 800 del Centro Criptológico Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Y PLAN DE ADECUACIÓN AL ESQUEMA NACIONAL DE SEGURIDAD El Pleno de la Corporación, en sesión ordinaria celebrada el día 17 de enero de 2014, adoptó, entre otros, Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UC Exposición de motivos La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos establece el marco de relación entre Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 55 Miércoles 5 de marzo de 2014 Sec. III. Pág. 21241 III. OTRAS DISPOSICIONES MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD 2378 Orden SSI/321/2014, de 26 de febrero, por la que se aprueba Más detalles I. Disposiciones generales
27918 I. Disposiciones generales Consejería de Turismo, Cultura y Deportes 4688 ORDEN de 20 de octubre de 2015, por la que se crea y regula la sede electrónica y registro electrónico del Departamento. Más detalles REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL
13967 REAL DECRETO 994/1999, de 11 de junio, por el que se aprueba el Reglamento de medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal. El artículo 18.4 de la Constitución Más detalles Política de Seguridad de la Información
Política de Seguridad de la Información Índice 1 APROBACIÓN Y ENTRADA EN VIGOR... 3 2 OBJETIVOS Y MISIÓN DEL AYUNTAMIENTO... 3 3 OBJETIVOS Y MISIÓN DE LA POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN. 3 4 ALCANCE... Más detalles MINISTERIO DE JUSTICIA
BOE núm. 151 Viernes 25 junio 1999 24241 Artículo 19. Entrada en vigor y duración. 1. El presente Acuerdo se aplicará provisionalmente a partir de la fecha de su firma y entrará en vigor en la fecha de Más detalles INSHT. REAL DECRETO 179/2005, de 18 de febrero, sobre prevención de riesgos laborales en la Guardia Civil. BOE nº 49 26-02-2005
REAL DECRETO 179/2005, de 18 de febrero, sobre prevención de riesgos laborales en la Guardia Civil. BOE nº 49 26-02-2005 Órgano emisor: Ministerio de la Presidencia Fecha de aprobación: 18-02-2005 Fecha Más detalles INFORMATICA Y TELEMATICA.
1. OBJETO 2. ALCANCE Cumplimiento del artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, y el artículo 21 del Real Decreto 1720/2007 (LOPD). Todos Más detalles GUÍA de Seguridad de Datos 1
GUÍA de Seguridad de Datos 1 Indice GUÍA MODELO DEL DOCUMENTO DE SEGURIDAD INTRODUCCIÓN MODELO DE DOCUMENTO DE SEGURIDAD 1. ÁMBITO DE APLICACIÓN DEL DOCUMENTO 2. MEDIDAS, NORMAS, PROCEDIMIENTOS, REGLAS Más detalles GUÍA TÉCNICA PARA LA ELABORACIÓN DEL PLAN DE PREVENCION Y PROCEDIMIENTOS DE GESTIÓN DE LA PREVENCIÓN DE RIESGOS LABORALES.
ADMINISTRACIÓN DE LA JUNTA DE ANDALUCÍA GUÍA TÉCNICA PARA LA ELABORACIÓN DEL PLAN DE PREVENCION Y PROCEDIMIENTOS DE GESTIÓN DE LA PREVENCIÓN. Edición: 1 Fecha: 13.11.2012 Página 1 de 37 GUÍA TÉCNICA PARA Más detalles Tenemos que tener en cuenta que los principales objetivos del ENS son:
Plan de Adecuación al Esquema Nacional de Seguridad en el Servicio de Modernización Administrativa y Nuevas Tecnologías de la Información de la La Ley 11/2007, de 22 de junio, de acceso electrónico de Más detalles Qué tengo que hacer para cumplir con el Esquema Nacional de Seguridad? Qué puedo hacer si el plazo ya se ha pasado?
Qué tengo que hacer para cumplir con el Esquema Nacional de Seguridad? Qué puedo hacer si el plazo ya se ha pasado? 1 Introducción ENS 2 Introducción El objetivo de la presentación es explicar en qué consiste Más detalles SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN
SISTEMA DE GESTIÓN DEL SERVICIO (SGS) REQUISITOS GENERALES POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN Vicerrectorado de TIC, Calidad e Innovación Centro de Informática y Comunicaciones Título Entregable Nombre Más detalles mope SEGURIDAD INFORMÁTICA
Núm. 178 Jueves 26 de julio de 2012 Sec. III. Pág. 53776 III. OTRAS DISPOSICIONES MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS 10048 Resolución de 28 de junio de 2012, de la Secretaría de Estado Más detalles -determinados aspectos esenciales del procedimiento para la convalidación de estudios extranjeros por estudios parciales universitarios españoles.
BORRADOR DE PROYECTO DE REAL DECRETO POR EL QUE SE REGULAN LAS CONDICIONES DE HOMOLOGACIÓN Y CONVALIDACIÓN DE TÍTULOS Y ESTUDIOS EXTRANJEROS DE EDUCACIÓN SUPERIOR El artículo 149.1.30 de la Constitución Más detalles Contratación Productos y Servicios de Seguridad
SEGURIDAD DE LAS TEC. DE INFORMACIÓN Contratación Productos y Servicios de Seguridad 2012 Centro Criptológico Nacional C/Argentona 20, 28023 MADRID Índice 1 2 CCN Funciones Catálogo de Patrimonio y ENS Más detalles BOLETÍN OFICIAL DEL ESTADO UNIVERSIDADES
Núm. 84 Sábado 7 de abril de 2012 Sec. I. Pág. 28363 I. DISPOSICIONES GENERALES UNIVERSIDADES 4784 Resolución de 21 de febrero de 2012, de la Universidad Rey Juan Carlos, por la que se publica el Reglamento Más detalles Adaptación de la Ley 31/1995 al ámbito de los centros y establecimientos militares
Adaptación de la Ley 31/1995 al ámbito de los centros y establecimientos militares REAL DECRETO 1932/1998, de 11 de septiembre, de adaptación de los capítulos III y V de la Ley 31/1995, de 8 de noviembre, Más detalles POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL
Aprobado por Consejo de Gobierno de la Universidad de Almería en fecha 17 de diciembre de 2012 POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DE LA UAL 1. INTRODUCCIÓN La Política de Seguridad de la Información Más detalles REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL CAPÍTULO I.- DISPOSICIONES GENERALES
REGLAMENTO DE MEDIDAS DE SEGURIDAD DE LOS FICHEROS AUTOMATIZADOS QUE CONTENGAN DATOS DE CARÁCTER PERSONAL CAPÍTULO I.- DISPOSICIONES GENERALES Artículo 1.- Ámbito de aplicación y fines. El presente Reglamento Más detalles DOCUMENTO DE POLITICA DE GESTIÓN DE DOCUMENTOS ELECTRÓNICOS (Aprobado en Consejo de Gobierno de 13 de febrero de 2014)
DOCUMENTO DE POLITICA DE GESTIÓN DE DOCUMENTOS ELECTRÓNICOS (Aprobado en Consejo de Gobierno de 13 de febrero de 2014) Índice 1. INTRODUCCIÓN 2. OBJETO Y ÁMBITO DE APLICACIÓN 3. DATOS IDENTIFICATIVOS DE Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 182 Sábado 30 de julio de 2011 Sec. III. Pág. 87138 III. OTRAS DISPOSICIONES MINISTERIO DE POLÍTICA TERRITORIAL Y ADMINISTRACIÓN PÚBLICA 13173 Resolución de 19 de julio de 2011, de la Secretaría de Más detalles (17-11-2014) MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS
MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS (17-11-2014) REF.: REF.C.M.: PROYECTO DE REAL DECRETO /, de, MODIFICACIÓN DEL REAL DECRETO 3/2010 DE 8 DE ENERO POR EL QUE SE REGULA EL ESQUEMA NACIONAL Más detalles Guía: Controles de Seguridad y Privacidad de la Información
Guía: Controles de Seguridad y Privacidad de la Información Guía Técnica HISTORIA VERSIÓN FECHA CAMBIOS INTRODUCIDOS 1.0.0 15/12/2010 Versión inicial del documento 2.0.0 30/09/2011 Restructuración de forma Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 31 Jueves 5 de febrero de 2009 Sec. I. Pág. 12297 I. DISPOSICIONES GENERALES MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO 1964 Real Decreto 2060/2008, de 12 de diciembre, por el que se aprueba el Reglamento Más detalles Sindicato de Trabajadores de la Administración Riojana
Decreto 129/2007, de 9 de noviembre, de adaptación de la legislación de Prevención de Riesgos Laborales a la Administración de la Comunidad Autónoma de La Rioja El artículo 40.2 de la Constitución Española Más detalles PROYECTO DE REAL DECRETO POR EL QUE SE REGULAN LOS REQUISITOS BÁSICOS DE LOS CENTROS INTEGRADOS DE FORMACIÓN PROFESIONAL.
PROYECTO DE REAL DECRETO POR EL QUE SE REGULAN LOS REQUISITOS BÁSICOS DE LOS CENTROS INTEGRADOS DE FORMACIÓN PROFESIONAL. La Ley Orgánica 5/2002, de 19 de junio, de las Cualificaciones y de la Formación Más detalles Política de Seguridad de la Información de la Universidad de Sevilla
Política de Seguridad de la Información de la Universidad de Sevilla 0. Aprobación y entrada en vigor Texto aprobado por Acuerdo del Consejo de Gobierno de fecha 26 de febrero de 2014. Esta Política de Más detalles Boletín Oficial de Castilla y León I. COMUNIDAD DE CASTILLA Y LEÓN
Boletín Oficial de Castilla y León Núm. 249 Lunes, 30 de diciembre de 2013 Pág. 83661 I. COMUNIDAD DE CASTILLA Y LEÓN A. DISPOSICIONES GENERALES CONSEJERÍA DE HACIENDA DECRETO 80/2013, de 26 de diciembre, Más detalles ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID
ANEXO CRITERIOS DE IMPLANTACIÓN, ORGANIZACIÓN Y USO DE LA FIRMA ELECTRÓNICA EN EL AYUNTAMIENTO DE MADRID 1 - Cuestiones generales: la firma electrónica en el Ayuntamiento de Madrid. 1.1 - Certificados Más detalles Leopoldo Simó Ruescas Sbdi Subdirector General ladjunto de If Infraestructuras y Sistemas
Cumplimiento de requisitos legales Ministerio de Trabajo e Inmigración Subdirección General de Proceso de Datos Leopoldo Simó Ruescas Sbdi Subdirector General ladjunto de If Infraestructuras y Sistemas Más detalles ACUERDO DE ACCESO A DATOS DE CARÁCTER PERSONAL POR CUENTA DE TERCEROS ENTRE XXXXX Y XXXXXXX. En Barcelona a X de XXXX de 2008 REUNIDOS
ACUERDO DE ACCESO A DATOS DE CARÁCTER PERSONAL POR CUENTA DE TERCEROS ENTRE XXXXX Y XXXXXXX En Barcelona a X de XXXX de 2008 REUNIDOS DE UNA PARTE BARCELONA DE SERVEIS MUNICIPALS, S.A. (en adelante BSM) Más detalles (BOE, de 19 de diciembre de 2002)
Orden ECO/3235/2002, de 5 de diciembre, por la que se desarrollan las especialidades aplicables a los mercados secundarios oficiales de futuros y opciones sobre el aceite de oliva (modificada por la orden Más detalles Borrador nº 1 (08/05/2015) CONSEJERÍA DE AGRICULTURA, PESCA Y DESARROLLO RURAL PREÁMBULO
Borrador nº 1 (08/05/2015) CONSEJERÍA DE AGRICULTURA, PESCA Orden por la que se crea el Comité de Seguridad de las Tecnologías de la Información y las Comunicaciones (TIC) de la Consejería de Agricultura, Más detalles REGISTRO NORM@DOC: 33837 BOMEH: 6/2013 PUBLICADO EN: BOE n.º 32 de 6 de febrero de 2013. Disponible en:
TÍTULO: Orden HAP/149/2013, de 29 de enero, por la que se regulan los servicios de automovilismo que prestan el Parque Móvil del Estado y las Unidades del Parque Móvil integradas en las Delegaciones y Más detalles MINISTERIO DE LA PRESIDENCIA
BOE núm. 162 Sábado 7 julio 2007 29351 Artículo 18. De los Grupos de trabajo. El Pleno y las Subcomisiones podrán constituir grupos de trabajo para el mejor desempeño de sus funciones, a los que se podrá Más detalles LEGISLACIÓN CONSOLIDADA
Real Decreto 285/2004, de 20 de febrero, por el que se regulan las condiciones de homologación y convalidación de títulos y estudios extranjeros de educación superior. Ministerio de Educación, Cultura Más detalles AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD Versión 1.0 Abril 2005 INTRODUCCIÓN El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Más detalles Real Decreto 691/1991, de 12 de abril, sobre cómputo reciproco de cuotas entre Regímenes de Seguridad Social. (BOE núm. 104, de 1 de mayo de 1991)
Real Decreto 691/1991, de 12 de abril, sobre cómputo reciproco de cuotas entre Regímenes de Seguridad Social. (BOE núm. 104, de 1 de mayo de 1991) Última actualización: 20 de septiembre de 2013 La disposición Más detalles AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD
AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS MODELO DE DOCUMENTO DE SEGURIDAD Versión 1.0 Abril 2005 INTRODUCCIÓN El artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Más detalles GRANADA ES PROVINCIA 2012-2015
CONVENIO MARCO GRANADA ES PROVINCIA 2012-2015 PREÁMBULO La autonomía provincial está al servicio de la autonomía municipal, por ello, la Diputación de Granada debe estar al servicio de los ayuntamientos Más detalles REGLAMENTO INTERNO DE CONDUCTA EN EL ÁMBITO DEL MERCADO DE VALORES DEL INSTITUTO DE CRÉDITO OFICIAL
REGLAMENTO INTERNO DE CONDUCTA EN EL ÁMBITO DEL MERCADO DE VALORES DEL INSTITUTO DE CRÉDITO OFICIAL Texto aprobado por el Consejo General de 24 de febrero de 2012. 1 ÍNDICE PREAMBULO- DEFINICIONES TÍTULO Más detalles ORDENANZA REGULADORA DE LA ADMINISTRACIÓN ELECTRÓNICA DEL AYUNTAMIENTO DE CHESTE
ORDENANZA REGULADORA DE LA ADMINISTRACIÓN ELECTRÓNICA DEL AYUNTAMIENTO DE CHESTE ÍNDICE DE ARTÍCULOS TÍTULO I. ÁMBITO DE APLICACIÓN Y PRINCIPIOS GENERALES ARTÍCULO 1. Objeto ARTÍCULO 2. Ámbito de Aplicación Más detalles ÁMBITO DE APLICACIÓNI DEL REGISTRO GENERAL DE ENTIDADES DE VOLUNTARIADO DE ANDALUCÍA Artículo 1. Objeto. El presente Reglamento tiene por objeto la
DECRETO 3/2007 DE 9 DE ENERO POR EL QUE SE REGULA LA ORGANIZACIÓN Y FUNCIONAMIENTO DEL REGISTRO GENERAL DE ENTIDADES DE VOLUNTARIADO DE ANDALUCÍA Y EL SEGURO DE LAS PERSONAS VOLUNTARIAS. La Constitución Más detalles POLITICA SEGURIDAD DE LA UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA (ULPGC)
POLITICA SEGURIDAD DE LA UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA (ULPGC) INDICE 0 PRÓLOGO... 3 1 INTRODUCCIÓN... 4 2 ÁMBITO DE APLICACIÓN... 4 3 POLÍTICA DE SEGURIDAD... 6 3.1 Organización... 6 3.2 Planificación... Más detalles LA AUDITORÍA DE SEGURIDAD DEL ENS
LA AUDITORÍA DE SEGURIDAD DEL ENS La auditoría de Seguridad en el Esquema Nacional de Seguridad Índice Dónde se regula la auditoría del ENS Qué es una auditoría Cuál es la finalidad de la auditoría Quién Más detalles BOLETÍN OFICIAL DEL ESTADO
1 RD 1488-1998 de 10 de julio, (adapt de la legislación de prevención de riesgos laborales a la Admón Gral del Estado) Sumario: Artículo 1. Objeto. Artículo 2. Ámbito de aplicación. Artículo 3. Participación Más detalles MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013
1 MODELOS DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN MADRID, 27 DE MAYO DE 2013 Qué es la Seguridad de la 2 Información? La información es un activo que, como otros activos importantes del negocio, tiene Más detalles LEY DE ESTADISTICA. SANCIONO Y PROMULGO la presente Ley reguladora de la actividad estadística en la República de Guinea Ecuatorial.
LEY DE ESTADISTICA Ley Nº 3 /2.001 de fecha 17 de Mayo, reguladora de la actividad en la República de Guinea Ecuatorial.------------------------------------------------------ El Gobierno de Guinea Ecuatorial, Más detalles MODELO DOCUMENTO DE SEGURIDAD
MODELO DOCUMENTO DE SEGURIDAD Responsable del Fichero...... Nombre del Fichero...... Nº de Inscripción... Nº de la Versión... Fecha... ÍNDICE 1. Objeto del documento 2. Ámbito de aplicación 3. Recursos Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 269 Sábado 9 de noviembre de 2013 Sec. I. Pág. 90156 I. DISPOSICIONES GENERALES MINISTERIO DE SANIDAD, SERVICIOS SOCIALES E IGUALDAD 11728 Real Decreto 870/2013, de 8 de noviembre, por el que se regula Más detalles 171/2004, de 30 de enero, por el que se desarrolla el artículo 24 de la Ley
Núm. 270 Viernes 7 de noviembre de 2014 Sec. I. Pág. 91819 I. DISPOSICIONES GENERALES MINISTERIO DE EDUCACIÓN, CULTURA Y DEPORTE 11494 Real Decreto 894/2014, de 17 de octubre, por el que se desarrollan Más detalles MINISTERIO DE ECONOMÍA Y HACIENDA
Núm. 36 Viernes 11 de febrero de 2011 Sec. I. Pág. 14592 I. DISPOSICIONES GENERALES MINISTERIO DE SANIDAD, POLÍTICA SOCIAL E IGUALDAD 2618 Real Decreto 106/2011, de 28 de enero, por el que se crea y regula Más detalles Hacia el Esquema Nacional de Seguridad
Hacia el Esquema Nacional de Seguridad "Plan Director de Seguridad en las Administraciones Públicas" Miguel Álvarez Rodríguez: miguel.alvarez@map.es Jefe de Área de Cooperación Ministerio de Administraciones Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 264 Miércoles 4 de noviembre de 2015 Sec. I. Pág. 104246 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 11881 Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, Más detalles ESQUEMA NACIONAL DE SEGURIDAD ENS. Estado de situación y retos próximos
ESQUEMA NACIONAL DE SEGURIDAD ENS. Estado de situación y retos próximos 6 de marzo de 2012 Miguel A. Amutio Gómez Jefe de Área de Planificación y Explotación Ministerio de Hacienda y Administraciones Públicas Más detalles FORMACIÓN PROFESIONAL. Regula los requisitos básicos de los Centros integrados de formación profesional.
FORMACIÓN PROFESIONAL. Regula los requisitos básicos de los Centros integrados de formación profesional. MINISTERIO PRESIDENCIA BOE 30 diciembre 2005, núm. 312, [pág. 43141] ; rect. BOE 24 enero 2006, Más detalles Uno. El párrafo sexto de la exposición de motivos queda redactado del siguiente modo:
Y APOYO A LA EMPRESA Sleg6016 10/05/2013 Audiencia Pública ANTEPROYECTO DE LEY XX/2013, DE XX DE XXXX, POR LA QUE SE MODIFICAN LA LEY 5/2005, DE 22 DE ABRIL, DE SUPERVISIÓN DE LOS CONGLOMERADOS FINANCIEROS Más detalles GUÍA PRÁCTICA. para la utilización de muestras biológicas en Investigación Biomédica
GUÍA PRÁCTICA para la utilización de muestras biológicas en Investigación Biomédica IV. GESTIÓN DE BASES DE DATOS 1. La creación de ficheros y su notificación 2. El responsable y el encargado del tratamiento Más detalles 5. Elementos básicos de gestión de la prevención de riesgos
5. Elementos básicos de gestión de la prevención de riesgos Organismos públicos relacionados con la seguridad y salud en el trabajo En Seguridad y Salud Laboral son de especial importancia algunos organismos Más detalles 4. Asimismo, los medios materiales no quedan determinados. Qué medios materiales se le van a exigir para tal fin?
En contestación a escrito de un particular, formulando consulta sobre diversas cuestiones derivadas de las últimas modificaciones normativas en materia de seguridad privada, en relación con la posibilidad Más detalles Artículo 1. Lefebvre-El Derecho, S.A. 1
EDL 1983/8761 Comunidad Autónoma de la Región de Murcia Ley de 7 de octubre de 1983, de descentralización territorial y colaboración entre la Comunidad Autónoma de la Región de Murcia y las entidades locales. Más detalles DOG Núm. 28 Viernes, 8 de febrero de 2013 Pág. 3691
DOG Núm. 28 Viernes, 8 de febrero de 2013 Pág. 3691 I. DISPOSICIONES GENERALES CONSELLERÍA DE TRABAJO Y BIENESTAR DECRETO 19/2013, de 17 de enero, por el que se crea el Consejo Gallego del Trabajo Autónomo Más detalles BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID I. COMUNIDAD DE MADRID. A) Disposiciones Generales. Presidencia de la Comunidad
B.O.C.M. Núm. 52 MARTES 3 DE MARZO DE 2015 Pág. 13 I. COMUNIDAD DE MADRID A) Disposiciones Generales Presidencia de la Comunidad 1 LEY 1/2015, de 24 de febrero, del Voluntariado en la Comunidad de Madrid. Más detalles LEGISLACIÓN CONSOLIDADA. TEXTO CONSOLIDADO Última modificación: 2 de octubre de 2015
Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos. Ministerio de la Presidencia Más detalles FORMACIÓN PROFESIONAL PARA EL EMPLEO. Regula los certificados de profesionalidad.
FORMACIÓN PROFESIONAL PARA EL EMPLEO. Regula los certificados de profesionalidad. MINISTERIO TRABAJO Y ASUNTOS SOCIALES BOE 31 enero 2008, núm. 27, [pág. 5682] SUMARIO - Sumario - Parte Expositiva - Artículo Más detalles AYUNTAMIENTO DE POZOBLANCO
ORDENANZA REGULADORA DEL USO DE MEDIOS ELECTRÓNICOS PARA LA GESTIÓN Y RESOLUCIÓN DE PROCEDIMIENTOS ADMINISTRATIVOS EN EL AYUNTAMIENTO DE POZOBLANCO Por acuerdo adoptado por el Excmo. Ayuntamiento Pleno Más detalles CONVENIO DE COLABORACIÓN ENTRE LA AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID Y LA UNIÓN INTERPROFESIONAL DE LA COMUNIDAD DE MADRID
CONVENIO DE COLABORACIÓN ENTRE LA AGENCIA DE PROTECCIÓN DE DATOS DE LA COMUNIDAD DE MADRID Y LA UNIÓN INTERPROFESIONAL DE LA COMUNIDAD DE MADRID En Madrid, a de dos mil dos. REUNIDOS De una parte, D. Luís Más detalles ESQUEMA NACIONAL DE SEGURIDAD EN EL ÁMBITO DE LA
ESQUEMA NACIONAL DE SEGURIDAD EN EL ÁMBITO DE LA ADMINISTRACIÓN ELECTRÓNICA PRINCIPALES RETOS DE LA ADMINISTRACIÓN ELECTRÓNICA Garantizar el derecho de la ciudadanía a la Administración Electrónica (alguna Más detalles LEY DE PROTECCIÓN DE DATOS: EMPRESA PRIVADA
LEY DE PROTECCIÓN DE DATOS: EMPRESA PRIVADA DOCUMENTO DE SEGURIDAD Módulo 2/ Unidad 3 ÍNDICE DE CONTENIDOS 1.- INTRODUCCIÓN... 3 2.- OBJETIVOS... 3 3.- JUSTIFICACIÓN... 5 4.- CONTENIDO... 6 5.- FORMA DEL Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 153 Jueves 24 de junio de 2010 Sec. I. Pág. 55026 I. DISPOSICIONES GENERALES MINISTERIO DE INDUSTRIA, TURISMO Y COMERCIO 9994 Real Decreto 750/2010, de 4 de junio, por el que se regulan los procedimientos Más detalles AJUNTAMENT D ALMUSSAFES
REGLAMENTO DEL REGISTRO ELECTRÓNICO DEL AYUNTAMIENTO DE ALMUSSAFES EXPOSICIÓN DE MOTIVOS El presente Reglamento se elabora como desarrollo de la legislación que ha acontecido desde la Constitución de 1978 Más detalles PROYECTO de Orden de la Consejería de Educación, Juventud y Deporte, por la que se regulan en la Comunidad de Madrid las enseñanzas de Formación
PROYECTO de Orden de la Consejería de Educación, Juventud y Deporte, por la que se regulan en la Comunidad de Madrid las enseñanzas de Formación Profesional en régimen a distancia. La Ley Orgánica 2/2006, Más detalles (BOE núm. 114, de 13 de mayo) Artículo único.-
REAL DECRETO 620/1987, DE 14 DE ABRIL, POR EL QUE SE APRUEBA EL REGLA- MENTO DE LOS MUSE- OS DE TITULARIDAD ESTATAL Y DEL SISTE- MA ESPAÑOL DE MU- SEOS (BOE núm. 114, de 13 de mayo) La Ley 16/1985, de Más detalles BOLETÍN OFICIAL DEL ESTADO
Núm. 36 Miércoles 10 de febrero de 2010 Sec. I. Pág. 12169 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 2161 Real Decreto 67/2010, de 29 de enero, de adaptación de la legislación de Prevención Más detalles BOLETÍN OFICIAL DEL ESTADO MINISTERIO DE FOMENTO
Núm. 190 Viernes 6 de agosto de 2010 Sec. I. Pág. 68564 I. DISPOSICIONES GENERALES MINISTERIO DE FOMENTO 12620 Real Decreto 1001/2010, de 5 de agosto, por el que se establecen normas de seguridad aeronáutica Más detalles MINISTERIO DE SANIDAD Y CONSUMO. 14550 REAL DECRETO 894/2005, de 22 de julio, por el
BOE núm. 204 Viernes 26 agosto 2005 29625 Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Disposición adicional segunda. Más detalles REGLAMENTO PARA EL USO Y OPERACIÓN DE LA FIRMA ELECTRÓNICA AVANZADA EN EL INSTITUTO FEDERAL ELECTORAL.
1 REGLAMENTO PARA EL USO Y OPERACIÓN DE LA FIRMA ELECTRÓNICA AVANZADA EN EL INSTITUTO FEDERAL CAPÍTULO I DISPOSICIONES GENERALES Artículo. 1. El presente Reglamento tiene por objeto regular: a) La emisión, Más detalles REAL DECRETO 1740/2003, DE 19 DE DICIEMBRE, SOBRE PROCEDIMIENTOS RELATIVOS A ASOCIACIONES DE UTILIDAD PÚBLICA.
REAL DECRETO 1740/2003, DE 19 DE DICIEMBRE, SOBRE PROCEDIMIENTOS RELATIVOS A ASOCIACIONES DE UTILIDAD PÚBLICA. Sumario: Artículo 1. Objeto. Artículo 2. Solicitud de declaración de utilidad pública. Artículo Más detalles BORRADOR DEL DECRETO POR EL QUE SE REGULAN LAS UNIDADES Y ÁREAS DE GESTIÓN CLÍNICA DEL SERVICIO DE SALUD DE CASTILLA Y LEON.
BORRADOR DEL DECRETO POR EL QUE SE REGULAN LAS UNIDADES Y ÁREAS DE GESTIÓN CLÍNICA DEL SERVICIO DE SALUD DE CASTILLA Y LEON. En el marco del artículo 43 de la Constitución Española, el artículo 13 del Más detalles Directiva 2001/42/CE del Parlamento Europeo y del Consejo, de 27 de junio de 200...
Página 1 de 7 Directiva 2001/42/CE del Parlamento Europeo y del Consejo, de 27 de junio de 2001 relativa a la evaluación de los efectos de determinados planes y programas en el medio ambiente (DOCE núm. Más detalles I. COMUNIDAD DE MADRID
Pág. 4 MARTES 29 DE MAYO DE 2007 B.O.C.M. Núm. 126 I. COMUNIDAD DE MADRID 1972 A) Disposiciones Generales Consejería de Educación DECRETO 22/2007, de 10 de mayo, del Consejo de Gobierno, por el que se Más detalles La Agencia Española de Protección de Datos regula con una Instrucción la captación y el tratamiento de imágenes mediante videovigilancia
Nota informativa La Instrucción 1/ 2006, de 8 de noviembre de 2006, de la Agencia Española de Protección de Datos entrará en vigor mañana tras ser Publicada hoy en el BOE La Agencia Española de Protección Más detalles Artículo 56. Pérdida y recuperación de los beneficios fiscales de la Zona Especial Canaria.
3062 Miércoles 16 enero 2008 BOE núm 14 2 La tasa anual de permanencia en el Registro Oficial de Entidades de la Zona Especial Canaria se liquidará, previo acuerdo del Consejo Rector, mediante impreso Más detalles HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD
HERRAMIENTA PILAR ESQUEMA NACIONAL DE SEGURIDAD Madrid, Abril de 2010 Presentación FORO: VIII Foro de seguridad de Red IRIS SESIÓN: CCN MAGERIT- Herramienta PILAR. Ejemplo aplicación ENS OBJETIVO: Presentación Más detalles 1. Disposiciones generales
Núm. 29 página Boletín Oficial de la Junta de Andalucía 11 de febrero 2013 1. Disposiciones generales Consejería de Educación Orden de 11 de enero de 2013, por la que se regula la organización y el funcionamiento Más detalles REGLAMENTO DE FUNCIONAMIENTO DEL COMITÉ INSULAR DE SEGURIDAD Y SALUD DE CENTROS EDUCATIVOS DE GRAN CANARIA