Jul 14, 2020

Prevención Ante Otros Sistemas De Información Interconectados Y Mejora Continua De La Seguridad

 Resultado de imagen de seguridad informatica

Prevención ante sistemas de información interconectados. El sistema ha de proteger el perímetro, en particular, si se conecta a redes públicas. 

Se entenderá por red pública de comunicaciones la red de comunicaciones electrónicas que se utiliza, en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público, según la definición establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. 

Se analizarán siempre los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión.

Registro de actividad. Con la finalidad exclusiva de lograr acceso y seguridad, con plenas garantías 

- del derecho al honor, 
- a la intimidad personal y familiar y 
- a la propia imagen de los afectados, 
- y de acuerdo con la normativa sobre protección de datos personales, 
- de función pública 
- o laboral, 
- y demás disposiciones que resulten de aplicación, 

se registrarán las actividades de los usuarios, reteniendo la información necesaria para 

- monitorizar, 
 analizar, 
 investigar y
- documentar actividades indebidas o no autorizadas, 

permitiendo identificar en cada momento a la persona que actúa.

Por lo que respecta a Incidentes de seguridad.

1. Se establecerá un sistema de detección y reacción frente a código dañino.
2. Se dispondrá de procedimientos de gestión de incidentes de seguridad y de debilidades detectadas en los elementos del sistema de información. 

Estos procedimientos cubrirán los mecanismos de 

- detección, 
- los criterios de clasificación, 
- los procedimientos de análisis y resolución, 
- así como los cauces de comunicación a las partes interesadas 
- y el registro de las actuaciones. Este registro se empleará para la mejora continua de la seguridad delsistema.

Continuidad de la actividad. Los sistemas dispondrán de copias de seguridad y establecerán los mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo.

El proceso integral de seguridad implantado deberá ser actualizado y mejorado de forma continua y para ello, se aplicarán los criterios y métodos reconocidos en la práctica nacional e internacional relativos a gestión de las tecnologías de la información.

Cumplimiento de requisitos mínimos. Las Administraciones Públicas aplicarán las medidas de seguridad teniendo en cuenta:

a) Los activos que constituyen el sistema.
b) La categoría del sistema.
c) Las decisiones que se adopten para gestionar los riesgos identificados.

Cuando un sistema maneje datos de carácter personal le será de aplicación lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y normativa de desarrollo, sin perjuicio de los requisitos establecidos en el Esquema Nacional de Seguridad.

La relación de medidas seleccionadas se formalizará en un documento denominado Declaración de Aplicabilidad, que debe estar firmado por el responsable de seguridad.

Como parte integral de la Declaración de Aplicabilidad se indicará de forma detallada la correspondencia entre las medidas compensatorias implantadas, las medidas que compensan, y el conjunto será objeto de la aprobación formal por parte del responsable de seguridad.

La utilización de infraestructuras y servicios comunes reconocidos en las Administraciones Públicas facilitará 

- el cumplimiento de los principios básicos y 
- los requisitos mínimos exigidos en condiciones de mejor eficiencia. 

Los supuestos concretos de utilización de estas infraestructuras y servicios comunes serán determinados por cada Administración.

Instrucciones técnicas de seguridad y guías de seguridad. Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptológico Nacional, elaborará y difundirá las correspondientes guías de seguridad de las tecnologías de la información y las comunicaciones.

El Ministerio de Hacienda y Administraciones Públicas, a propuesta del Comité Sectorial de Administración Electrónica previsto en el artículo 40 de la Ley 11/2007, de 22 de junio, y a iniciativa del Centro Criptológico Nacional,

- aprobará las instrucciones técnicas de seguridad de obligado cumplimiento
- y se publicarán mediante resolución de la Secretaría de Estado de Administraciones Públicas.

Para la redacción y mantenimiento de las instrucciones técnicas de seguridad se constituirán los correspondientes grupos de trabajo en los órganos colegiados con competencias en materia de administración electrónica.
Las instrucciones técnicas de seguridad tendrán en cuenta las normas armonizadas a nivel europeo que resulten de aplicación.


More information

Posted by at