flpi Trabajo, Empleo ^^^ y Seguridad Social

Transcripción

1 ''. 1 ^ ^ Ministri d flpi Trabaj, Empl ^^^ y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Vrsidn: FINAL Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Pdgina: 94 d 125 r.if-j ) dfinir ls prcdimints para: l cntrl d cambis a ls sistmas, la vrificacidn d la sgundad d ls ntrns, platafrmas y bass d dats qu intractiian cn ls sistmas, l ntrl sbr cddig maliis, la dfinicidn d las funcins dl prsnal invlucrad n l prcs d ntrada d dats, cn l Rspnsabl d Infrmdtica y l Rspnsabl Primari, dnd crrspnda, dfinir ls prcdimints d administracidn d clavs. El Rspnsabl d Infrmatica tndrd las siguints rspnsabilidads: prpnr la asignacidn d funcins d implmntadr y d tstadr al prsnal d su ara qu cnsidr adcuad. Dichas funcins s hallan spciflcadas n l Capitul Cntrl: Sparacidn ntr las Instaiacins da Dsarrll, Pruba, Hmlgacidn y Prduccidn), 8 vrifiar l cumplimint d ls cntrls y las mdidas d sguridad a sr incrpradas a ls sistmas, prpnr quidns ralizardn la administracidn d las tcnicas criptgrafias y las clavs. El Rspnsabl dl Ara Administrativa, cn la participacidn dl Rspnsabl dl Ara Lgal, incrprard aspcts rlacinads n l licnciamint, la calidad dl sftwar y la sguridad d la infrmacidn n ls acurds y cntrats pr l dsarrll d sftwar cn rganizacins xtrnas y/ cntratistas. Pliitlca 9.1 Catgna: Rqurimints d Sguridad d ls SBStmas Objtiv Ls prcss prativs dl MTEySS s apyan n una infrastructura tnldgia y d cmunicacins, dand sprt a sistmas y aplicacins infrmdticas prpitarias y a paquts d sftwar adquirids. S db garantizar qu la sguridad sa una part intgral d ls lmnts dscripts Cntrl: Andiisis y Espcificacins d ls Rqurimints d sguridad Ls sistmas infrmdtics prpis y d trcrs, asl cm las mjras actualizacins d ls misms, dbn incrprar cntrls d sguridad n la tapa d dfinicidn d spcificacins. En sta tara dbn participar ls Rspnsabls Primaris, d infrmdtica, d Sguridad d la Infrmacidn y ia Unidad d Auditrfa Intrna. S pdrd rcurrir a crtificacins y valuacins indpndints para ls prducts a utilizar, n cas d sr ncsari. S dbn tnr n cunta las siguints cnsidracins: dfinicidn d rqurimints. Ls rqurimints dl sistma s dfinirdn n las tapas d andiisis y disfi. Mdiant un prcs d valuacidn d risgs, s idntiflcardn ls cntrls y spcificacins d sguridad a incrprar, cntrls autmatics y manuals. S prpndrd a la utilizacidn d cntrls autmatics, prmitinds cntrls manuals cm xcpcidn, rlacidn d ls rqurimints y cntrls cn rspct al bin a prtgr. Ls rqurimints y cntrls d sguridad dfinids dbn sr prprcinals al valr dl activ qu s quir prtgr y al risg qu pudn crrr las actividads dl MTEySS, ' O^ Pliticas d Sguridad d la Infrmacin - Pagina 94 d 125

2 ^Hk Ministri d flb Trabaj, Empi \^^ y Sguridad Scial 1012 " AR d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat] Naval d (Vlntvld" Pliticas d Sguridad d la Infrmacidn w.- r,»,a. Vrsin: FINAL 1 Fcha Emisidn:,, Pdgina: 95 d 125 H'.* \ incrpracidn tmprana d cntrls. S db cnsidrar qu ls cntrls intrducids n la tapa d disfi, tinn un cst d implmntacidn y mantnimint signlficativamnt mnr qu aqulls incluids durant dspuds d la instalacidn. 9.2 Catgria: Sguridad n ls Sistmas d Apiicacin Objtiv Para vitar la pdrdida, mdificacidn us inadcuad d ls dats prtncints a ls sistmas d infrmacidn, s stablrdn cntrls y rgistrs d auditrfa, vrificand: la validacidn fctiva d dats d ntrada, l prcsamint intrn, las intrfacs d ls sistmas y la autnticacidn d mnsajs ntr ls misms, la validacidn d dats d salida, la rvisins d accss, indicand quin l raliza, n qud frma, cn qud mtd y privilgis, a quidns s infrma l rsultad, las altmativas a sguir frnt a rrrs d validacidn n un aplicativ Cntrl: Validacin d Dats d Entrada Ls cntrls dfinids n la tapa d disfi dbrdn asgurar la validz d ls dats ingrsads, y stardn ubicads tan crca dl punt d rign m sa psibl. S dbran vrifiar, asimism, dats prmannts y tablas d pardmtrs Prcdimints d cntrl d dats d ntrada Est prcdimint cnsidrard ls siguints cntrls: validacidn d tips d dats y caractrs ingrsads, cntrl d scuncia, cntrl d ntradas cntralizad, inhibind las xistncia d purtas trasras (backdrs), cntrl d mnt Ifmit pr pracidn y tip d usuari, cntrl dl rang d valrs psibis y su validz, sgtjn critris prdtrminads, cntrl d paridad, ntrl ntra valrs cargads n las tablas d dats. Pr tra part, s llvard a cab l siguint: dfinir rspnsabilidads, cntrls y funcinalidads para l prsnal invlucrad n ls prcss d ntrada y mdificacidn d dats, stablcr cntrls pr psicidn, d frma tal qu quin ingrs un dat n puda autrizad, y vlvrsa, stablcr cntrls para vitar accss pr rutas altmativas n frma dircta, spcialmnt n aplicacins n platafrmas d Intrnt, para aplicacins n platafrmas d Intrnt, stablcr prcdimints para qu la validacidn d ls dats ingrsads s haga dsd l lad dl srvidr, stablcr rvisins priddicas d cntnids d camps clav y/ archivs d dats, dtrminand quin l ralizara, n qud frma, cn qud mdtd, quidns dbn sr infrmads dl rsultad, tc. Plfticas d Sguridad d la Infrmacidn - Pagina 95 d 125

3 1012 ^Hk Ministri d JIPI Trabaj, Empl \ ^ ^ y Sguridad Scial "2014 Aft d Hmnaj al Aimlrant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn w -i tr.k.a, Vrsidn: FINAL 1 i Fcha Emisidn:,, Pagina: 96 d 125 # Cntrl: Cntrls d Prcsamint Intrn En la tapa d disii s dbran incrprar cntrls d validacidn, cn l fin d minimizar ls risgs d failas d prsamint y/ n l manj d rrrs. Para ll s implmntardn: cntrls d validacidn d ls dats gnrads pr l sistma, idntificaidn d funcins d mdificacidn, agrgad y/ liminacidn d dats, intgridad d dats y dl sftwar, funcinalidads d crrccidn d dats pr part d ls usuaris, vrificacins d jcucidn d ls aplicativs n l mmnt adcuad, prvinind l prsamint fura d scuncia, cntrl d la intgridad d rgistrs y archivs. dtncidn y ranudacidn dl prcsamint ant una falla, gnraidn d alrtas para dtctar ualquir anmalia n la jcucidn d las transaccins, rvisidn priddica d ls rgistrs d auditria. prcdimints d finalizacidn prgramada n as d falla, y la dtncidn d las actividads d prcsamint hasta qu l prblma sa rsult Cntrl: Autnticacidn d Mnsajs Transmisldn d mnsajs ntr prgramas Cuand una aplicacidn tnga prvist l nvf d mnsajs qu cntngan infrmacidn clasificada, s implmntardn ls cntrls criptgrdfics dtrminads n l punt "9.3 Catgria: Cntrls Criptgrafis" Intrfacs ntr sistmas S dbrdn stablcr cntrls cmuns n ls sistmas qu stn intrcnctads, tals cm: vrificacins ant failas d prsamint n un sistma, stablcind rutinas d cntingncia n ls aplicativs intrcnctads al mism, rdtuls n las intrfacs, d manra qu s idntifiqu claramnt ls sistmas qu s hallan intrcnctads, vrificacidn d intgridad d ls dats y dl sftwar cargad dscargad ntr cmputadras Cntrl: Validacin d Dats d Salida S stablrdn prcdimints para validar la salida d ls dats d las aplicacins, incluynd: validz d ls dats prsntads, cnciliacidn d cuntas para asgurar l prsamint d tds ls dats, dtrminacidn dl grad d xactitud, ttalidad, prcisidn y clasificacidn d ls dats prsntads ant las saiidas ls sistmas cnctads, dfinicidn d rspnsabilidads y cntrls sbr l prsnal afctad al prcs d salida d dats. Pliticas d Sguridad d la Infrmacin - Pagina 96 d 125

4 0 9 J H L Ministri d PPI Trabaj, Empl S^^ y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: FINAL,, Pagina: 97 d 125 \t Cntrl: Mnsajs d Errr Ls mnsajs d rrr dbn manjars n frma cntralizada, dntr dl cntxt d la aplicacidn. Ls rrrs d sistmas n dbn Ilgar d ninguna manra al usuari n frma dircta. Ls aviss d rrr srdn intrptads pr l aplicativ y s ls rmplazard pr cmntaris simpls, adaptads al usuari final. El cntnid d diclis aviss sdl db sr d caractr rintativ, prprcinand la mnr infrmacidn psibl. Pr tra part, para taras d mantnimint y/ dpuraidn dl sistma, s mitirdn mnsajs d rrr cn l mayr dtall psibl, y s almacnardn n un rgistr xclusiv, para acs dl prsnal tcnic qu crrspnda. 9.3 Catgria: Cntrls Criptgrafis Objtiv S utilizardn sistmas y tcnicas criptgrdfias para la prtccidn d la infrmacidn cn l fin d asgurar un adcuad nivl d cnfidncialidad, intgridad, autnticacidn y/ n rpudi, sgcin surja dl rsultad d un analisis d risgs. S db dsarrllar una plftica sbr l us d cntrls criptgrdfics. S db stablcr una gstidn clav para sstnr l us d tcnicas criptgrdfias Cntrl: Plitica d Utilizacin d Cntrls Criptgrafis El MTEySS incrpra una plitica d utilizacidn d cntrls criptgrdfics. La dtrminacidn d ls cass d utilizacidn, asl cm ls prcdimints crrspndints, surgird m rsultad d una valuacidn d risgs fctuada pr l Rspnsabl d Infrmdtica y l Rspnsabl d Sguridad d la Infrmacidn, junt cn ls Rspnsabls Primaris Utilizacidn y prcdimints S tmard n cunta l siguint: 8 us d cntrls criptgrafis n ls siguints cass: para la prtccidn d clavs d acs a sistmas, dats y srvicis, para transmitir infrmacidn clasificada, fura dl ambit dl MTEySS, para rsguard d infrmacidn, cuand crrspnda, cm rqurimint para cass d aplicacidn d firma digital. dsarrll d prcdimints rspct d: la administracidn d clavs, la rcupracidn d infrmacidn cifrada n cas d pdrdida, cmprmis dafi d las clavs, rmplaz d las clavs d ifrad Algritms d Cifrad y Tamafis d Clav S prsnta a cntinuacidn un listad d ls algritms y lngituds d clav cnsidrads sgurs a la fcha. S rcminda vrifiar sta cndicidn priddicamnt, a fin d pdr fctuar las actualizacins qu crrspndan. 1. Cifrad Simdtric Algritm AES Lngitud d Clav n Bits 128/192/256 Plltlcas d Sguridad d la Infrmacidn - Pagina 97 d 125

5 1 \ ^ ^ Ministri d HH Trabaj, Empl S^^ y S^jiridad Scial " Afl d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Vrsidn: FINAL Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Pdgina: 98 d 125 3DES IDEA RC4 RC Cifrad Aslmdtrfc.' 'f jv> Cass d Utilizacidn Algritm Lngitud d Clav n Bits Para crtificads utilizads n srvicis rlacinads a la firma digital (sllad d timp, aimacnamlnt sgur d dcumnts lctrdnics, tc.) RSA DSA EGDSA Para crtificads d siti sgur RSA 1024 Para crtificads d Crtificadr d infrmacidn d stad d crtificads RSA DSA EGDSA Para crtificads d usuari (prsnas ffsicas jurfdicas) RSA DSA Para digst sgur EGDSA SHA Cntrl: Cifrad Sgijn una valuacidn d risgs fctuada pr ls Rspnsabls d infrmdtica y d Sguridad d la infrmacidn, junt cn ls Rspnsabls Primaris, s idntificard l nivl rqurid d prtccidn. S tmard n cunta l cas d us, l tip d algritm d cifrad y la lngitud d las clavs criptgrdfias a utilizar. En tds ls cass s utilizardn ls algntms numrads n l punt Cntrl: Plitica d Utilizacidn d Cntrls Criptgrdfics Cntrl: Firma Digital Las firmas digitals prprcinan un mdi d prtccidn d la autntiidad intgridad d ualquir dcumnt prcsad lctrdnicamnt. La Ly N , d Firma Digital, l Dcrt N 2628/02 y un cnjunt d nrmas cmplmntarias, fijan cmptncias, stablcn prcdimints y dsnbn las cndicins baj las cuals una firma digital s lgalmnt vdiida. A ls fins d rspaldar l us d la firma digital para su gstidn intrna, l MTEySS mitird la nrmativa prtinnt, basada n l cumplimint d l indicad n l pdrraf antrir. En l cas d ajns, l MTEySS pdrd intrvnir, a slicitud d dsts, brindand assramint y vrificand l cumplimint rspct al marc nrmativ aplicabl. Es imprtant cnsidrar ls siguints aspcts:» las clavs criptgrdfias utilizadas para firma digital n dbn utilizars n prcdimints d cifrad d infrmacidn. (C^ Pliticas d Sguridad d la Infrmacin - Pagina 98 d 125

6 I 1/ I /".l,,; ^ jl Ministri d flpi Trabaj, Empl ^^^ y Sguridad Scial s " Aft d Hmnaj al Aimlrant Guillrm Brwn, n l Bicntnan dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn w -Ji r.ma, Fcha Emisidn: Vrsidn: FINAL,, Pagina: 99 d 125 las clavs privadas dbn sr rsguardars baj l cntrl xclusiv d su titular. El MTEySS tmard rcauds para prtgr la cnfidncialidad d las mismas, para prtgr la intgridad d la clav ptiblica, l MTEySS utilizard crtificads d clav publica Cntrl: Srvicis d N Rpudi Ests srvicis s utilizaran cuand sa ncsari rslvr disputs acrca d la currncia d un vnt accidn. Su bjtiv s prprcinar hrramintas para vitar qu aqul qu haya riginad una transaccidn lctrdnica nigu habri hch Cntrl: Prtccin d clavs criptgrafias A ls fcts d rspaldar la utilizacidn d tdcnicas criptgrdfias n l ambit dl MTEySS, s implmntardn prcdimints para administrarlas. Existn ds tips d clavs criptgrdfias, a sabr: clav scrta (criptgrafia simtrica). Ds mds actrs cmpartn la misma clav y dsta s utiliza tant para ifrar infrmacidn cm para dscifrarla, clav publica (criptgrafia asimdtrica). Gada usuari tin un par d clavs: una clav publica -cncida pr cualquir prsna- qu s utiliza para ifrar, y una clav privada -qu sdl s cncida pr su titular-, utilizada para dscifrar. El MTEySS dbrd garantizar qu tdas las clavs s prtjan ntra mdificacidn y/ dstruccidn. En l cas d clavs scrtas y/ privadas, s implmntardn prtcins cntra cpia y/ divulgaidn n autrizada. El quipamint utilizad para gnrar, almacnar y archivar clavs, dbrd sr clasifiad m critic 0 d alt risg Cntrl: Prtccin d Clavs criptgrafias: Nrmas y prcdimints Cntrls gnrals Para ls cass qu crrspndan, l MTEySS stablcrd nrmas y prcdimints para: gnrar clavs para difrnts sistmas criptgrdfics y aplicacins,» gnrar y btnr crtificads d clav publica d manra sgura, s distribuir clavs d frma sgura a ls usuaris qu crrspnda, incluynd mtds d activacidn al mmnt d rcibirlas, almacnar clavs, incluynd la frma d acs a las mismas pr part d ls usuans autrizads, cambiar actualizar clavs, stablcind rglas qu indiqun l mmnt y l mdtd d cambi, rvcar clavs, Incluynd cdm dbn archivars y/ dsactivars. S cnsidraran cntingncias tals m un cmprmis d clavs uand un usuari s dsvincula dl Organism, rcuprar clavs prdidas altradas, cm part d ls prcss d cntinuidad d actividads, p. j.: para rcuprar infrmacidn cifrada,» archivar clavs, p. j.: para infrmacidn rsguardada, 0 dstruir clavs, rgistrar y auditar las actividads rlativas a la administracidn d clavs. Plfticas d Sguridad d la Infrmacidn - Pagina 99 d 125

7 «5 ^ H ^ Ministri d jfffm Trabaj, Empl ^^^ y S^uridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: FINAL Pdgina: 100 d Pautas para la Administracidn d Clavs A fin d rducir la prbabilidad d cmprmis, las clavs sdl pdrdn utilizars dntr d un laps stablcid. Admds d la administracidn sgura d las clavs scrts y privadas, db tnrs n cunta la prtccidn d las clavs piiblicas, implmntands, a tal fct, l mpl d crtificads d clav publica. M La gstidn d ls crtificads d clav publica db sr abslutamnt nfiabl. Est prcs s llvad a cab pr una trcra part, dnminada Autridad Crtificant (AG) Crtificadr. 9.4 Catgria: Sguridad d ls Archivs dl Sistma Objtiv S garantizard qu las actividads d dsarrll y sprt sbr ls sistmas prpitaris dl MTEySS s llvn a cab d manra sgura, a travds dl cntrl d accss. Ls dtalls prativs d ls ambints d trabaj pudn vrs n l capitul 7.1 Catgria: Prcdimints y Rspnsabilidads Oprativas Cntrl: Sftwar n l ambint Oprativ Cntrls Gnrals A fin d minimizar l risg d altracidn d ls sistmas, s dfinn ls siguints cntrls a ralizar durant la implmntacidn dl sftwar n l ambint d prduccidn (vr capitul Cntrl: Sparacidn ntr las Instaiacins d Dsarrll, Pruba, Hmlgacidn y Prduccidn): las rspnsabilidads inhrnts a la administracidn dl ambint d Prduccidn stardn a carg dl implmntadr, dpndint dl Rspnsabl d Infrmatica, 0 trs prfils, tals m l Administradr d Bass d Dats, l Rspnsabl d la Infrastructura y td tr prfil qu administr dispsitivs n l ambint prativ, srdn slidariamnt rspnsabls sbr st ambint Cntrls spcifics Dbrdn implmntars ls siguints cntrls para l ambint d prduccidn: s sdl s guardardn archivs d jcucidn, y ls archivs d dats prtinnts, s dfinirdn prcdimints para la implmntacidn d actualizacins, cn las autrizacins y cnfrmidads prtinnts, «s llvard un rgistr d auditrfa sbr las actualizacins ralizadas, B las vrsins prvias dl sistma dbrdn rtnrs, para cass d cntingncia, 8 ningun prgramadr analista d dsarrll qu ralic taras d sprt d aplicacins pdrd accdr a ls ambints d prduccidn, las funcins d implmntacidn y/ administracidn stardn sgrgadas d las dras d dsarrll y d mantnimint d ls sistmas, l implmntadr n pdrd mdificar ls prgramas funt qu s halln baj su custdia Cntrl: Prtccin d ls Dats d Pruba d ls Sistmas Las prubas d ls sistmas s fctuardn sbr dats xtraids dl ambint prativ, stablcidnds ls siguints prcdimints qu cntmpln l siguint (vr capltuls Cntrl: Sparacidn ntr /as Instaiacins d Dsarrll, Pruba, Hmlgacidn y Prduccidn): s fctuard una cpia d la bas prativa cm bas d pruba, mdiant una autrizacidn frmal prvia, s mantndrd un rgistr d auditria d autrizacins y accss, Plfticas d Sguridad dla Infrmacin -Pagina 100 d 125

8 ^t^k Ministri d Hp Trabaj, Empl ^ ^ ^ y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: FINAL Pdgina: 101 d 125 s prhibird l mpl d bass cn dats dl ambint d prduccidn. Sbr l ambint d prubas s implmntard l siguint: s mantndrd una cpia actualizada d la structura d las bass d prduccidn, s implmntardn prcss d dsprsnalizacidn d ls dats prativs, ants d su us, s mantndrdn ls prcdimints d cntrl d acs d prduccidn, cn las autrizacins prtinnts al ambint d prubas, una vz finalizadas las prubas, la infrmacidn utilizada n las mismas dbrd liminars Cntrl: Cambis a Dats n l ambint Oprativ Tda mdificacidn, actualizacidn liminacidn d dats prativs s fctuara a travs d ls sistmas qu prcsan dichs dats, y d aurd al squma d autrizacins y cntrls implmntads sbr lls (vr Capitul Cntrl: Cambis n las Opracins y 9.5.^ Cntrl: Prcdimint d Cntrl d Cambis). S prhibird tda mdificacidn pr fura d ls sistmas, sbr la infrmacidn xistnt n archivs n bass d dats. Las xcpcins a la prcdnt plitica srdn cnsidradas pr l Rspnsabl d Sguridad d la infrmacidn, d acurd n las siguints dfinicins: s gnrard una slicitud frmal para fctuar tda mdificacidn, actualizacidn liminacidn dl dat, l Rspnsabl Primari d la infrmacidn afctada, junt cn ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmdtica aprbardn ia jcucidn dl cambi, valuand ls mtivs d tal slicitud, s cnsidrard la gnraidn d cuntas d usuari d mrgncia, a fin d utilizarlas xclusivamnt para cntingncias. Dichas cuntas stardn prtgidas pr cntrasrias cn nivl d alta criticidad, s habilitardn sdl ant un rqurimint frmal y srdn vdlidas pr l laps qu dur la xcpcidn (vr capltul Cntrl: Administracidn d Cntrasnas Criticas), l implmntadr, quin sa dsignad pr l Rspnsabl d Infrmdtica, srd l ncargad d implmntar ls cambis. S bsrvard l stablcid n l punt Cntrl: Sparacidn d Funcins), s rgistrardn tdas las actividads ralizadas cn las cuntas d mrgncia. El Rspnsabl d Infrmatica fctuard las rvisins d auditria prtinnts Cntrl: Acs a las Biblitcas d Prgramas funts A fin d asgurar la intgridad d ls prgramas funt, s aplicardn ls linamints stablcids n l capitul Cntrl: Sparacidn ntr las Instalaclns d Dsarrll, Pruba, Hmlgacidn y Prduccidn. S stablrdn ls siguints cntrls: l implmntadr administrard las biblitcas d prgrama, dbind: prprcinar al prsnal d dsarrll ls prgramas funt y/ listads d rutinas jcutabls slicitads baj prcdimint frmal, mantnr la rlacidn ntr l prgrama funt y/ rutina vrss la vrsidn jcutabl, mantnr un rgistr actualizad d tds ls funts y rutinas jcutabls n us, indicand nmbr dl prgrama, prgramadr, Rspnsabl qu autrizd, vrsidn, fcha d ultima mdificacidn y fcha/hra d cmpilacidn y stad (n mdificacidn, n prduccidn), administrar las distintas vrsins d una aplicacidn. Plfticas d Sguridad d la Infrmacin - Pagina 101 d 125

9 ^If^k Ministri d JHPI Trabaj, Empl \^^ y Sguridad Scial 1012 " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat 1 Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn w -J. ^... 1 Fcha Emisidn: Vrs dn: F NAL,, Pdgina: 102 d 125 asgurar qu un mism prgrama funt n sa mdificad simultdnamnt pr mds d un dsarrlladr. s vitard la funcidn d administradr d prgramas funt y/ rutinas d jcutabls sa jrcida pr prsnal qu prtnzca a ls sctrs d dsarrll y/ mantnimint, s garantizard la cracidn autmdtla dl cddig jcutabl para td prgrama funt y/ rutina qu pas a prduccidn, s prhibird l aimacnamlnt n l ambint d prduccidn d prgramas funt y/ rutinas jcutabls qu n san ls crrspndints a ls prgramas prativs, stard prhibid l acs a ls pradrs y/ usuaris d aplicacins a ls ambints d dsarrll, asi cm a las hrramintas d gnraidn y/ manipulacidn d prgramas funt, ls Rspnsabls Primaris dsignardn a aqulls pradrs y/ usuaris d aplicacins qu accdrdn a ls ambints d pruba stablcids, n l marc dl prcs d acptacidn d un sistma (vr capitul 7.3 Catgria: Planifiacidn y Aprbacidn d Sistmas), s fctuardn cpias d rspald d ls prgramas funt y rutinas jcutabls cumplind ls rquisits d sguridad stabiids n l punt 7.5 Catgria: Rsguard d la infrmacidn dl MTEySS. 9.5 Catgria: Sguridad d ls Prcss d Dsarrll y Sprt Objtiv Esta Plftica stablc las pautas d sguridad a stablcr sbr ls sistmas infrmatics d aplicacidn y la infrmacidn dl MTEySS, vrificand l cntrl d ls ntrns y l sprt dad a ls misms Cntrl: Prcdimint d Cntrl d Cambis A fin d mantnr la intgridad d ls sistmas infrmdtics, s stablcra un strict cntrl d cambis, impnind l cumplimint d prcdimints d sguridad y cntrl y rsptand la divisidn d funcins (vr l punt Cntrl: Cambis n las Opracins, l punt Cntrl: Sparacidn ntr las Instaiacins d Dsan-ll, Pruba, Hmlgacidn y Prduccidn y l punt Cntrl: Sftwar n l ambint Oprativ) Para ll, n ls prcss d cambi s cnsidrardn las siguints pautas: vrifiar qu ls cambis san prpusts pr usuaris autrizads y rsptn ls tdrmins y cndicins qu surjan d la licncia d us qu crrspndan, vrifiar qu haya una autrizacidn dl Rspnsabl Primari prpitari dl sistma y/ la infrmacidn n custidn, mantnr un rgistr d ls nivls d autrizacidn acrdads, td prcs d cambi db incluir un andiisis d risgs, s dtrminardn ls aspcts d sguridad rqurids para l cambi, s analizard l impact d ls cambis sbr ls cntrls d sguridad xistnts, s vrifiard la aprbacidn dl Rspnsabl d Infrmdtica para l cminz d las taras vinculadas a ls cambis, s vrifiard qu l Rspnsabl d Sguridad d la Infrmacidn rvis ls cambis prpusts, a fin d garantizar l cumplimint d ls rqurimints d sguridad, las taras d cnstruccidn d ls cambis s fctuaran n l ambint d dsarrll. j p ( & Plfticas d Sguridad d la Infrmacin - Pcigina 102 d 125

10 ^t^k Ministri d HH Trabaj, Empl \^h^ y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Vrsidn: FINAL Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Pdgina: 103 d 125 /yy / 8 aprbad l dsarrll dl cambi, l tst dl mism s fctuard n l ambint d hmlgacidn, btnidnds alli, d crrspndr, la aprbacidn dl usuari final y l pasaj ultrir a prduccidn, 8 actualizar la dcumntacidn para cada cambi implmntad, tant d ls manuals d usuari cm d la dcumntacidn prativa, 8 mantnr un cntrl d vrsins para tdas las actualizacins d sftwar, 8 l prcdimint d pasaj al ambint d prduccidn dbrd tnr cntrls qu prmitan minimizar la discntinuidad d las actividads y/ la altracidn d ls prcss invlucrads, 8 las dras usuarias rlacinadas dbrdn star infrmadas ants d la implmntacidn d un cambi qu puda afctar su pratria Cntrl: Rvisin Tcnica d ls Cambis n l sistma Oprativ Td cambi n ls sistmas prativs d ls srvidrs y pusts d trabaj dl MTEySS, rqurirdn una rvisidn d ls sistmas y aplicativs instalads, para vitar un impact n l dsmpn la sguridad d la gstidn prativa. Para ll, s stablrdn las siguints pautas: 8 s dbrdn rvisar ls cntrls d intgridad y sguridad, para vrifiar qu l cambi s gnr sin cmprmis sbr ls dats y las aplicacins, 8 s dbrd infrmar n la dbida antlacidn a aqulls usuaris alcanzads pr ls cambis a implmntar sbr ls sistmas prativs, 8 s dbrd asgurar la actualizacidn dl Plan d Cntinuidad d las Actividads dl Organism, cuand crrspnda Cntrl: Rstriccin dl Cambi d Paquts d Sftwar En as d paquts d sftwar suministrads pr rganizacins xtrnas y/ cntratistas, s justificard la ncsidad d ls cambis y s mitird una autrizacidn prvia pr part dl Rspnsabl d Infrmdtica. S dbrd bsrvar l siguint: 8 analizar ls tdrmins y cndicins d la licncia, para dtrminar si las mdificacins s ncuntran autrizadas, 8 vrifiar bligacins cntractuals n uant a qu la mdificacidn sa fctuada pr l MTEySS, pr l rganism xtrn l cntratista, 8 valuar l impact n as qu l MTEySS s haga carg dl sprt, s vrifiar la xistncia d prcss d rtncidn dl sftwar riginal. Ls cambis s fctuardn sbr una cpia prfctamnt idntificada, y cntand cn dcumntacidn xhaustiv, pr si fura ncsari aplicaris a nuvas vrsins Cntrl: Canals Ocults y Cdig Maliis Un canal cult pud xpnr infrmacidn dl MTEySS, utilizand mdis n autrizads, indirts y dscnids. El cddig maliis, pr tra part, std disfiad para afctar a un sistma n frma n rqurida pr l usuari. En st sntid, s stablrdn las siguints pautas: 8 m part dl prcs d prubas y ants d la aprbacidn para la instalacidn n prduccidn, dbn xaminars ls cddlgs funt, simpr qu sa psibl, 8 dbrd xaminars la xistncia d cntrls d sguridad n l cddig, n frma prvia a la pusta n prduccidn. 5^ Pliticas d Sguridad d la Infrmacin - Pagina 103 d 125

11 ^t^k Ministri d HB Trabaj, Empl \^^ y Sguridad Scial 1012 xi) " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn 1 Fcha Emisidn: Vrsidn: FINAL,, Pdgina: 104 d s dbrdn implmntar prcdimints priddis d valuacidn d sguridad n l cddig instalad, 8 s dbrdn utilizar hrramintas para la prtccidn cntra la infcidn dl sftwar cn cddig maliis, 8 s dbrdn cntrlar ls accss y las mdificacins a td cddig instalad, 8 s dbrdn adquirir paquts d sftwar a prvdrs acrditads, y ls prducts dbn prsntar valuacins prvias Cntrl: Dsarrll Extrn d Sftwar Para ls cass n qu s rcurra a rganizacins xtrnas y/ cntratistas para l dsarrll d sftwar, s stablrdn prcdimints qu cntmpln las siguints pautas: 8 implmntacidn d acurds d licncia, stablcind la prpidad dl cddlg y ls drchs qu s cnfirn (Vr capltul Drchs d Prpidad Intlctual). 8 dfinicidn d rqurimints cntractuals rspct d aspcts d calidad y sguridad dl cddig, y I.a prsncia d garantias, 8 dfinicidn d prcdimints d crtifiacidn d la calidad y prcisidn dl trabaj llvad a cab pr l prvdr, incluynd: auditrias y rvisidn d cddig para dtctar cddig maliis, vrificacidn dl cumplimint d ls rqurimints d sguridad dl sftwar. 8 implmntacidn d acurds para la custdia d ls archivs funt, y tda la dcumntacidn prtinnt, n cas d quibra dl prvdr. 9.6 Catgria: Gstin d vulnrabilidads tcnicas Objtiv S dbrd mantnr un cntrl sbr las vulnrabilidads tdcnicas d ls sistmas prativs y las aplicacins infrmdticas. S dispndrd d un prcs d gstidn sistmdtic y rptibl, cn mdtricas qu prmitan cnfirmar su ftividad (vr capltul 4. Evaluacidn y tratamint d risgs) Cntrl: Vulnrabilidads tcnicas S dbrd dispnr d infrmacidn actualizada acrca d las vulnrabilidads tdcnicas d ls sistmas infrmdtics instalads, asf cm la xpsicidn dl MTEySS y ls risgs mrgnts. S valuardn implmntardn las mdidas d tratamint adcuadas. S dbrd dispnr d un invntari d sftwar dnd s dtall tda la infrmacidn prtinnt, p. j.: vrsins instaladas, Rspnsabls Primaris, prvdr -n cas d paquts d sftwar-, y rspnsabls d dsarrll. El prcs d gstidn d las vulnrabilidads tdcnicas db incluir l siguint: 8 dfinicidn, pr part dl Rspnsabl d Sguridad d la Infrmacidn, d rls y rspnsabilidads asciads cn la gstidn d vulnrabilidads tcnicas, 8 prcdimints d idntificaidn y valuacidn d vulnrabilidads tcnicas ptncials, cnsidrand ls risgs asciads y las acins factibls d llvar a cab, 8 dfinicidn d un prcdimint d tratamint d vulnrabilidads tdcnicas ptncialmnt rlvants, stablcind: ntificacins, timps d rspusta, mdtds d tratamint. ( ^ ^ ^ Plfticas d Sguridad d la Infrmacidn -Pagina 104 d 125

12 1012 /I'V ^i^k Ministri d flm Trabaj, Empl \^5^ y Sguridad Scial " Aft d Hmnaj al Aimlrant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn w ' r,.,.. Vrsin: FINAL 1 Fcha Emisidn:,, dfinicidn d priridads para la atncidn d las actualizacins d sguridad, idntificaidn d ls risgs asciads a la instalacidn d parchs, Pagina: 105 d 125 prcdimints d valuacidn y aprbacidn d ls parchs, ants d su instalacidn, dfinicidn d cntrls cmpnsatris n as d inxistncia d parchs, implmntacidn d prcdimints d auditria, sguimint y valuacidn rgular. \ K Plfticas d Sguridad d la Infrmacin -Pagina 105 d 125

13 ^ jl Ministri d Hp Trabaj, Empl ^^M y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn i r..,a, 1 Fcha Emisidn: Vrsidn: FINAL -,,^0/-,«. >, Pdgina: 106 d 125 IO0 Clausula: Gstin d Incidnts d Sguridad Gnralidads El MTEySS cunta cn activs d infrmacidn qu s hallan xpusts a sufrir un cmprmis a su sguridad. S db cntar, pr nd, cn una capacidad d gstidn tal qu, mpzand pr la dtcidn, s llv a cab un tratamint y una prvncidn futura d amnazas qu, al matrializars, prvqun incidnts qu afctn la sguridad d la infrmacidn. Objtiv S db garantizar qu ls vnts d sguridad d la infrmacidn y las dbilidads asciadas a ls sistmas s dtctn y cmuniqun d tal frma qu s apliqun las accins crrctivs n l mmnt prtun. Alcanc La plftica dfinida n sta cidusula alcanza a tds ls activs d infrmacidn dl MTEySS, incluynd a tds sus usuaris. Rspnsabilidad El Gmitd d Sguridad d ia Infrmacidn dfinird y rcmndard la implmntacidn d mdis y canals ncsaris para qu ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmdtica, dnd crrspnda, gstinn ls rprts d incidnts y anmalias d ls sistmas. Asimism, dich Gmitd tmard cncimint d ls incidnts rlativs a la sguridad, impulsand las acins tndints a su rslucidn. Ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmdtica, dnd crrspnda, tinn a carg l sguimint, la dcumntacidn y l andiisis d ls incidnts d sguridad rprtads, asi cm la invstigacidn d amnazas qu pudan impactar sbr la sguridad d ls dats dl MTEySS. Asimism, db fctuar infrmar y fctuar rcmndacins para tmar accins d rslucidn, tant a ls rspnsabls Primaris y cm al Gmitd d Sguridad d la Infrmacidn. El Rspnsabl d Rcurss Humans clabrard cn l Rspnsabl d Sguridad d la Infrmacidn n la cmunicacidn fhacint al prsnal, rganizacins xtrnas y/ cntratistas, cuand crrspnda, sbr ls prcdimints d gstidn d incidnts d sguridad. El Rspnsabl dl Ara Lgal participard n l tratamint d incidnts d sguridad qu rquiran d su intrvncidn. Td aqul qu utilic activs d infrmacidn dl MTEySS clabrard n la tara d rprtar dbilidads incidnts d sguridad qu prtunamnt s dtctn. Plitica 10.1 Catgria: Infrm d ls vnts y dbilidads d la sguridad d ia infrmacin Objtiv Asgurar qu is vnts y dbilidads d la sguridad d la infrmacidn asciads n ls sistmas d infrmacidn s cmuniqun d tal frma d Ilgar a implmntar acins crrctivas n l mmnt adcuad Cntrl: Rprt d ls vnts d la sguridad d infrmacin Td incidnt rlativ a ia sguridad srd cmunicad a travds d las autridads ls canals qu stas dsignn, tan prnt cm sa psibl, mdiant un prcdimint frmal. S indicard la accidn qu ha d mprndrs al rcibir un infrm sbr incidnts. Td aqul qu haga us d ls rcurss d infrmacidn dl MTEySS tmara cncimint dl prcdimint d cmunicacidn d incidnts d sguridad. Or- Pliticas d Sguridad d la Infrmacin - Pagina 106 d 125

14 ^ k Ministri d pib Trabaj, Empl \^h^ y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat Vrsidn: FINAL Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Pdgina: 107 d 125 J. * ^. Al rspct, s busard la clabracidn dl Prgrama Nainal d Infrastruturas Griticas d Infrmacidn a ls fins d btnr rspustas ant incidnts d sguridad qu afctn a ls rcurss infrmdtics dl Organism. Ant la dtcidn d un psibl incidnt vilacidn d sguridad, ls usuaris infrmardn frmalmnt a ls Rspnsabls d Sguridad d la Infrmacidn y l Rspnsabl d Infrmatica, dnd crrspnda, quins dbrdn ntmplar l siguint: 8 dfinir ls rcurss ncsaris para la invstigacidn y rslucidn dl incidnt, 8 rcmndar las accins a implmntar, y fctuar mnitr sbr las mismas, 8 infrmar a ls Rspnsabls Primaris y al Gmitd d Sguridad d la Infrmacidn sbr las gstins y ls rsultads btnids Cntrl: Rprt d las dbilidads d la sguridad Ls usuaris d ls rcurss d infrmacidn dl MTEySS dbn cmunicar, rdpidamnt y d manra frmal, sbr las failas d sguridad qu hayan dtctad. Sin prjuii d l antrir, ls usuaris tinn prhibid: 8 la ralizacidn d prubas para dtctar y/ aprvchar una supusta dbilidad falla d sguridad, 8 tda pracidn sbr ls dats y/ l sftwar afctads, hasta tant n s haya rsult l incidnt Cntrl: Cmunicacin d Anmalias dl Sftwar S stablrdn prcdimints para la cmunicacidn d anmalis d sftwar, ls qu dbn ntmplar: 8 la rgistracidn d sfntmas dl prblma y mnsajs qu aparcn n pantalla, 8 la dfinicidn d mdidas d aplicacidn inmdiata ant la prsncia d una anmalia, 8 l alrta inmdiat y frmal a ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmatica, dnd crrspnda, y al Rspnsabl Primari prtinnt Catgria: Gstin d ls Incidnts y mjras d la sguridad d la infrmacin Objtiv S db asgurar qu ls incidnts n la sguridad d la infrmacidn san manjads d manra fctiva y ficint, dsd l mmnt d la dtcidn d vnts, pasand pr la cmunicacidn a las parts invlucradas y finalizand l tratamint para lgrar su rslucidn. S dbn stablcr las rspnsabilidads y ls prcdimints para la gstidn d incidnts d sguridad, aplicand cncpts d mjra cntinua para la dtcidn, la valuacidn, la rspusta y l mnitr Cntrl: Rspnsabilidads y prcdimints Ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmatica, uand crrspnda, stablcrd funcins y prcdimints d tratamint, d frma d garantizar una rspusta rapida, ficaz y sistmdtica a ls incidnts rlativs a sguridad En ls cass qu crrspnda, s slicitara la participacidn dl Rspnsabl dl Ara Lgal. S dbn cnsidrar ls siguints itms: 8 dtrminar, invstigar y vrifiar las amnazas prbabls d crar incidnts d sguridad n l MTEySS, incluynd, ntr trs, ls siguints tips: failas prativas, ^ - Pliticas d Sguridad d la Infrmacin - Pagina 107 d 125

15 1.2 i^d' ^B k Ministri d 9/fk Trabaj, Empl \^M' y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Vrsidn: FINAL Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Pdgina: 108 d 125 cddig maliis, intrusins, fraud infrmdtic, rrr human, atdstrfs naturals. 8 stablcr prcdimints d cmunicacidn frmal y prtuna, a ls Rspnsabls Primaris, al Rspnsabl d Infrmdtica, a las Autridads y usuaris n gnral, dnd crrspnda, utilizand ls canals aprpiads, 8 dfinir plans d cntingncia, dnd s cntmplardn siguints punts: andiisis idntificaidn d la ausa dl incidnt, dfinicidn d las primras mdidas a implmntar, planifiacidn implmntacidn d slucins, cmunicacidn frmal cn las prsnas afctadas, cnvcar a las prsnas afctadas a las taras d rcupracidn, cnd crrspnda, implmntar cntrls acrca d las acins d rcupracidn rspct d las vilacins d la sguridad y d crrccidn d failas dl sistma, garantizand: trgar acs a ls sistmas y dats afctads sdl al prsnal taxativamnt autrizad pr ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmatica, dnd crrspnda, cn l acurd dl Rspnsabl Primari, dcumntar n frma dtallada tdas las accins d mrgncia mprndidas, cmunicar las accins d mrgncia al Rspnsabl Primari d la infrmacidn afctada, fctuar una rvisidn d cumplimint d las accins implmntadas, vrifiar la intgridad d ls sistmas, dats y cntrls rstablcids, n un plaz minim. 8 stablcr prcdimints d rgistr d pistas d auditria y/ vidncia similar para: dispnr d infrmacidn histdrica qu prmita vitar la rptiidn dl mism incidnt, fctuar andiisis d prblmas intrns, dispnr l studi d factibilidad d mjra incrpracidn d nuvs cntrls, dispnr d vidncia n rlacidn cn una psibl vilacidn cntractual, infraccidn nrmativa, n l marc d un prcs judicial (Vr capltul Catgria: Cumplimint d Rquisits Lgals) Cntrl: Aprndind a partir d ls incidnts d sguridad d la infrmacin Ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmdtica stablrdn un prcs qu prmita mnitrar, dcumntar y cuantifiar ls tips vnts y anmalias, d manra d idntificar ls incidnts rcurrnts aqulls qu tngan alt impact. Gn ia infrmacidn btnida s fctuardn valuacins qu dtrminaran la ncsidad d mjrar agrgar cntrls, a fins d limitar la frcuncia, l daii psibl y ls csts d rslucidn d cass futurs, Cntrl: Prcss Disciplinaris Para l as d prsnal dl MTEySS qu vil las pliticas, nrmas, prcss y prcdimints d sguridad d la infrmacidn, s sguiran ls prcdimints disciplinaris frmals qu r Pliticas d Sguridad d la Infrmacin - Pagina 108 d 125

16 1012 IIO Jf^^ Ministri d flb Trabaj, Empl \ ^ ^ y Sguridad Scial " Afl d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: FINAL Pagina: 109 d 125 crrspndan, sgun la nrmativa vignt para las prsnas afctadas a la Administracidn Publica Nainal. ^J \ Plfticas d Sguridad d la Infrmacidn - Pagina 109 d 125

17 ^ L Ministri d flpi Trabaj, Empl \^^ y Sguridad Scial "2014 Afl d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Vrsidn: FINAL Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Pdgina: 110 d Clausula: Gstidn d la Cntinuidad Gnralidads La administracidn d la cntinuidad d las actividads s un prcs critic, y db invlucrar a tds ls nivls d autridad y pracins dl MTEySS. La implmntacidn d plans d cntingncia y cntinuidad garantizard qu las actividads dl MTEySS s rstablzcan n un plaz acptabl para mantnr la gstidn y las pracins qu l cmptn a sta cartra d Estad. Ls plans dbn dsarrllars, nsayars y actualizars n un cntxt d Intgracidn cn l rst d ls prcss d administracidn y gstidn. La gstidn d la cntinuidad db incluir cntrls dstinads a: 8 idntificar y mitigar risgs, 8 atnuar las cnscuncias d vntuals intrrupcins d las actividads dl MTEySS, 8 asgurar la ranudacidn prtuna d las pracins indispnsabls. Objtiv Ls bjtivs d sta cidusula sn: 8 minimizar ls risgs y l impact d las psibis intrrupcins n las actividads nrmals dl MTEySS, 8 prtgr ls prcss critics mdiant una cmbinacidn d cntrls prvntivs y crrctivs, 8 analizar las cnscuncias d la intrrupcidn dl srvici, crrgir las failas y tmar las mdidas crrspndints para la prvncidn d hchs futurs dl mism tnr, 8 maximizar la ftividad d la jcucidn d ls plans d cntingncia dl MTEySS, ls cuals dbn incluir, cm minim, las siguints tapas: Alcanc ntifiaidn/activacidn. Cnsistnt n la dtcidn dl dafi y su impact, asf cm la pusta n marcha d las actividads d cntingncia planificadas, ranudacidn. Cnsistnt n la jcucidn d prcdimints d mrgncia qu prmitan qu i sistma dafiad puda rcuprars dl dafi prducid y s rstablzcan las pracins dl MTEySS, rcupracidn. Cnsistnt n la rstauracldn d la capacidad d prcsamint dl sistma dafiad a las cndicins d pracidn nrmals, asgurar la crdinaidn dl prsnal dl MTEySS n ls cntacts xtrns qu participardn n las stratgias d planifiacidn d cntingncias, cuand crrspnda. S dbrd asignar funcins para cada actividad dfinida. Esta Plitica s aplica a tds ls prcss y dats dl MTEySS clasificads cm critics (vr capltul 4.2 Catgria: Clasificacidn d la infrmacidn). Rspnsabilidad Ls Rspnsabls d Infrmatica, y d Sguridad d la Infrmacidn, participardn activamnt n la dfinicidn, dcumntacidn, pruba y actualizacidn d ls plans d cntingncia y cntinuidad. El Gmitd d Sguridad d la Infrmacidn vrificara y aprbard la gstidn d cntinuidad d las pracins dl MTEySS frnt a intrrupcins imprvistas. Ls Rspnsabls Primaris rvisardn priddicamnt ls plans baj su incumbncia, cm asi tambidn idntiflcardn cambis n las dispsicins rlativas a las actividads dl MTEySS aijn n \ Pliticas d Sguridad d la Infrmacin -Pagina 110 d 125

18 «"Vi ^ ^ Ministri d flpi Trabaj, Empl ^^^ y Sguridad Scial " Aft d Hmnaj al Almirant Guiilrm Brwn, n l Bicntnan dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrs dn: FINAL,, Pagina: 111 d 125 l».'j rfljadas n ls plans d cntinuidad. Asimism, dbran vrifiar l cumplimint d ls prcdimints implmntads para llvar a cab las acins cntmpladas n ada plan. Ls Rspnsabls Primaris, junt n l Rspnsabl d Sguridad d la Infrmacidn, cumplirdn las siguints funcins: 8 idntificar las amnazas qu pudan casinar intrrupcins d ls prcss y/ las actividads dl MTEySS, 8 valuar ls risgs, a fin d cncr l impact d las intrrupcins, 8 idntificar ls cntrls prvntivs xistnts, 8 labrar ls plans d cntingncia ncsaris para garantizar la cntinuidad d las actividads dl MTEySS, 8 cnsidrar l nfqu glbal cn l qu s abrdard la cntinuidad d las actividads dl MTEySS, d frma d intgrar ls distints plans. Plitica 11.1 Catgria: Gstin d cntinuidad di Organism Objtiv S implmntardn accins qu prmitan mitigar ls fcts d failas dsastrs sbr ls activs d infrmacidn, asgurand la ranudacidn d las actividads criticas dl MTEySS Cntrl: Prcs d Administracin d la cntinuidad dl Organism El Gmitd d Sguridad d la Infrmacidn, srd l rspnsabl d la crdinaidn dl dsarrll d ls prcss qu garanticn la cntinuidad d las actividads dl MTEySS. Ls Rspnsabls d Infrmdtica y d Sguridad d la Infrmacidn infrmardn al Cmitd d Sguridad sbr la gstidn d las pracins d cntinuidad y/ cntingncia frnt a intrrupcins imprvistas. La gstidn d cntinuidad dbrd incluir l siguint: 8 idntificaidn d ls prcss y activs d infrmacidn dl MTEySS clasificads cm critics, 8 labracidn d plans d cntinuidad y cntingncia sbr la gstidn dl MTEySS, junt n ls Rspnsabls Primaris prtinnts, incluynd actividads d cncintizacidn a ls usuaris, 6 intgracidn d ls distints plans d cntingncia y cntinuidad xistnts n l MTEySS n funcidn d una stratgia cmun, 8 labracidn d un crngrama d prubas priddicas d ada un d ls plans d cntingncia y cntinuidad, prpnind una asignacidn d funcins para su cumplimint, 8 implmntacidn d actualizacins priddicas d ls plans y prcss implmntads, 8 mpl d srvicis d rganizacins xtrnas cntratistas, cm ls sgurs la guarda xtrna d mdis d rsguard, a ls fins d la intgracidn cn ls prcdimints d cntinuidad y cntingncia Cntrl: Cntinuidad d las Actividads y Analisis d ls impacts La planifiacidn d la cntinuidad d las actividads, asf m l andiisis dl impact pr intrrupcins a ls srvicis dl MTEySS, srdn llvads a cab pr ls Rspnsabls d Sguridad d la Infrmacidn y d Infrmdtica, cuand crrspnda, cn la activa participacidn d ls Rspnsabls Primaris, ls Rspnsabls d Sguridad Ffsica y dl dra Administrativa, sgun crrspnda. Pliticas d Sguridad d la Infrmacin - Pagina 111 d 125

19 ^ ^ Ministri d HP Trabaj, Empl ^^^ y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnan dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: F NAL,, Pdgina: 112 d 125 Tmand cm bas l stablcid n l capitul 3. Evaluacidn y tratamint d risgs, n la labracidn d ls plans d gstidn d cntinuidad y cntingncia s dbn ntmplar ls siguints punts: 8 idntificaidn d vnts y/ amnazas qu pudan casinar intrrupcins n ls prcss, p. j.: failas n l quipamint, cmisidn d ilfits, intrrupcidn dl suministr d nrgfa ldctrica, inundaidn y/ incndi, dsastrs naturals, dstruccidn dilicia y trrrism, ntr trs, 8 valuacidn d risgs, a fin d dtrminar l impact d ls crts, tant n trmins d magnitud d dafi cm d timps rqurids para la rcupracidn. Dicha valuacidn idntifiara ls rcurss critics, l impact prducid pr una intrrupcidn, ls timps d intrrupcidn acptabls prmitids, y las priridads d rcupracidn, 8 idntificar cntrls prvntivs, tals m: sistmas d suprsidn d fug, dtctrs d hum y fug, cntndrs rsistnts al calr y a pruba d agua para ls mdis d rsguard, rgistrs d auditria, cntrls d acs, ntr trs Cntrl: Elabracin implmntacin d ls plans d cntinuidad d ias Actividads dl Organism El Rspnsabl d Sguridad d la Infrmacidn, l Rspnsabl d Sguridad Fisica, l Rspnsabl d Rcurss Humans, y ls Rspnsabls Primaris, dnd crrspnda, labrardn ls plans d cntingncia ncsaris para garantizar la cntinuidad d las actividads dl MTEySS. Ls plans srdn rvisads y crdinads pr l Gmitd d Sguridad d la infrmacidn. La gstidn d cntinuidad y rslucidn d cntingncias cnsidrard ls siguints punts: 8 idntificar y acrdar rspct a tdas las funcins y prcdimints d mrgncia rqurids, 8 analizar ls psibis scnaris d cntingncia y dfinir las accins crrctivas a implmntar n cada cas, cnsidrand: srvicis y rcurss dispnibls para la ranudacidn d las actividads, dtrminacidn d plazs d ranudacidn adcuads a ls bjtivs d gstidn sprads, frmacidn d ls quips tcnics asignads a las taras d ranudacidn y/ rcupracidn, acurds para ranudacidn d mrgncia n sitis d prsamint altrnativs. 8 implmntar prcdimints d mrgncia para prmitir la rcupracidn y rstablcimint n ls plazs rqurids. S db cnsidrar muy spcialmnt la dpndncia ntr srvicis, para dtrminar las priridads y l rdn adcuad d rstablcimint d ls srvicis, 8 s db ddiar spcial atncidn a la rlacidn ntr actividads xtrnas intrnas dl MTEySS, asi m ls cntrats y/ acurds vignts, 8 dcumntar ls prcdimints y prcss acrdads, 8 capacitar adcuadamnt al prsnal, n matria d manj d mrgncias y crisis, asi cm n la ranudacidn y la rcupracidn d ls sistmas afctads, cnsidrand: bjtiv dl plan d cntingncias y cntinuidad, mcanisms d crdinaidn y cmunicacidn ntr las dras invlucradas, prcss spcifics para l prsnal invlucrad, prcdimints d divulgaidn al prsnal y usuaris dl MTEySS, rspnsabilidads individuals. --T Plfticas d Sgundad dla Infrmacin -Pagina 112 d 125

20 1012 ' -V Ministri d Trabaj, Empl y Sguridad Scial " Aft d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: FINAL Pagina: 113 d 125 rquisits d sguridad fisica, d ls rcurss humans y dl quipamint infrmdtic. 8 nsayar y actualizar ls plans, guardand vidncia frmal d las prubas y sus rsultads Cntrl: IVIarc para la Planifiacidn d la cntinuidad d las Actividads dl Organism Si bin pdrdn dfinirs varis plans d cntinuidad, s mantndrd un ijni marc d rfrncia, d manra qu, ant un vnt, haya una adcuada crdinacin ntr dras dl MTEySS y s prmita una crrcta idntificaidn d priridads y linas d accidn. Gada plan d cntinuidad spcificard claramnt las cndicins para su pusta n marcha, asi cm las prsnas a carg d jcutar ada cmpnnt dl mism. Guand s idntifiqun nuvs rqurimints, s mdificardn ls prcdimints stablcids, p. j.: ls plans d vacuacidn ls rcurss d mrgncia xistnts. El Rspnsabl d Sguridad d la Infrmacidn, junt n l Gmitd d Sguridad, analizara la frmulacidn d cada plan, vrificand qu haya una rrlacidn cmun ntr tds. A su vz, ada Rspnsabl Primari dsignard a un administradr para l plan d cntinuidad a su carg, sind dst l ncargad d crdinar las taras dfinidas n l mism. El marc para la planifiacidn d la cntinuidad d las actividads dl Organism, dbrd cnsidrar ls siguints punts: 8 prvr ls rquisits qu prmitan dscribir l prcs a sguir, ants d pnr n marcha l plan, p. j.: cdm valuar la situacidn, qud prsnas staran invlucradas, cn qud rcurss s unta. 8 dfinir ls prcdimints para implmntar las accins d mrgncia a mprndr una vz currid un incidnt qu pnga n pligr las pracins dl MTEySS y/ la vida humana. S dbn cnsidrar aspcts cm: la gstidn d las rlacins publicas y ls vfncuis n rganisms tals m, p,. j.: plicia, bmbrs y/ autridads lcals, sgtjn crrspnda, 8 dcumntar ls prcdimints qu dscribn: las acins d mrgncia a mprndr n cas d traslad d actividads y srvicis critics a ubiacins transitrias altrnativs, ls plazs rqurids para l adcuad rstablcimint d ls prcss d gstidn dl MTEySS. dcumntar ls prcdimints qu dscribn las acins d rcupracidn a mprndr n ls sitis d prcsamint dl MTEySS, 8 stablcr un crngrama qu spcifiqu cdm y cudnd srd prbad l plan, 8 stablcr un prdimint d mantnimint y mjra dl plan, 8 dcumntar las rspnsabilidads y funcins d las prsnas invlucradas n l plan. S indicard l siguint: dfinir ls difrnts plans d cntingncia, y administradrs, rgistrar a ls rspctivs dscribir a ls rspnsabls d la jcucidn d cada un d ls cmpnnts dl plan, stablcr vfas y priridads para stablcr cntact cn ls invlucrads, dsignar al rspnsabl d dclarar l stad d cntingncia, dand asi inii al plan qu crrspnda. Plltlcas d Sgundad d la Infrmacidn - Pagina 113 d 125

21 1012 jfvjhfc ^t^k Ministri d flb Trabaj, Empl \^^ y Sguridad Scial " AR d Hmnaj al Almirant Guillrm Brwn, n l Bicntnari dl Cmbat Naval d Mntvid" Pliticas d Sguridad d la Infrmacidn Fcha Emisidn: Vrsidn: FINAL,, Pdgina: 114 d fctuar actividads d capacitacidn al prsnal invlucrad, d frma d prpiciar la cmprnsidn d ls prcss d cntinuidad y garantizar su ficacia Cntrl: Ensay, Mantnimint y Rvaluacin d ls Plans d cntinuidad dl MTEySS Ls plans d cntinuidad d las actividads dl MTEySS dbn sr rvisads y actualizads priddicamnt, para garantizar su ficacia prmannt. En tal sntid, s ncsari fctuar prubas y rvisins d funcinamint d ls plans d cntinuidad (vr capitul 10.2 Catgria: Gstidn d ls Incidnts y mjras d la sguridad d ta infrmacidn), a fin d prvr failas rrrs qu, n la jcucidn d dichs plans, prduzcan un impact sbr la prtccidn d ls dats dl MTEySS Rspnsabilidads S stablrdn las siguints rspnsabilidads: 8 ls administradrs d ls plans d cntinuidad y cntingncia, junt n l Rspnsabl d Sguridad d la Infrmacidn, tndran a su carg las rvisins priddicas d cada un d ls plans d su incumbncia, 8 ls administradrs d ls plans d cntinuidad y cntingncia dbran idntificar ls aqulls cambis n las actividads dl MTEySS qu dban rfljars n cada un d ls plans d su incumbncia,, 8 l Rspnsabl d Sguridad d la infrmacidn, junt cn ls administradrs, prsntard al Cmitd d Sguridad d la Infrmacidn un crngrama d prubas priddicas para cada un d ls plans d cntingncia y cntinuidad, 8 ls administradrs gstinardn la ralizacidn d las prubas, indicand quidns sn ls rspnsabls d llvarias a cab y prsntand ls rsultads btnids al Rspnsabl Primari cmptnt, al Rspnsabl d Sguridad d la Infrmacidn y al Gmitd d Sguridad Vrificacidn dl funcinamint d is plans d cntinuidad Db garantizars qu ls plans d cntingncia funcinn ant un hch ral, para l cual dbn stablcrs nsays y vrificacins priddicas. Ls prcdimints d vrificacidn dbn ntmplar la dcumntacidn d las prubas, asi m l rsguard d la vidncia frmal d la jcucidn y d ls rsultads btnids. S dbn cnsidrar, cm mfnim, las siguints tdcnicas: 8 prubas d discusidn: prpnind distints scnaris d cntingncia, s discutiran y valuardn, n frma tdrica, las mdidas d rcupracidn y prubas a fctuar ant psibis jmpls d intrrupcins, 8 simulaclns: l prsnal invlucrad analizard rutinas y rls n la gstidn d rcupracidn, n ssins d practica, a fins d valuar l grad d prparacidn dl prsnal para nfrntar un incidnt un dsastr simulad. 8 prubas d rcupracidn tdcnlca: las mismas prmitirdn mdir l grad d ficacia n las acins d rstablcimint d un sistma, 8 nsay cmplt: plantand una supusta situacidn d crisis, td l prsnal invlucrad jcutara l plan d cntingncias, jrcind l rl qu cupard n una mrgncia. Est nsay pud incluir una intrrupcidn parcial ttal d ls srvicis. Para las pracins criticas dl Organism s tmardn n cunta, admds, ls siguints mcanisms: 8 prubas d rcupracidn n parall. S jcutan las prubas dl plan n parall a las actividads, travds d nsays d rcupracidn n un siti altrnativ, d sr psibl, Pliticas d Sguridad d la Infrmacin -Pagina 114 d 125