Criterios de seguridad para el ejercicio de potestades VI Jornadas Iberoamericanas sobre Tecnología y Mercados de Capitales. SCE - IIMV SCE - IIMV Quito, marzo de 2004 Francisco Javier Nozal Millán Director de Sistemas de Información CNMV. España

Aspectos básicos - Es otro enfoque de la Seguridad. - Orientado a Organismos Públicos que ejercen potestades públicas - Vinculado muy directamente con derechos y obligaciones de los ciudadanos - Los datos de carácter personal y su privacidad son de gran relevancia Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Tres grandes objetivos (1) - Proporcionar el conjunto de medidas organizativas y técnicas que garanticen el cumplimiento de los requisitos legales para la validez y eficacia de los procedimientos administrativos de los organismos Públicos, que utilicen medios electrónicos, informáticos y telemáticos en el ejercicio de sus potestades Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Tres grandes objetivos (2) - Facilitar la adopción generalizada por los Organismos Públicos las medidas que aseguren la protección proporcionada a los riesgos de los sistemas que aplicaciones que manejan Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Tres grandes objetivos (3) - Promover el máximo aprovechamiento de las tecnologías de la información y de las comunicaciones en la actividad administrativa y asegurar a la vez el respeto de las garantías y derechos de los ciudadanos en su relación con las administraciones públicas Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Seguridad - Relativos a la implantación de las medidas de seguridad en el diseño, desarrollo, implantación y explotación de los sistemas y aplicaciones para el ejercicio de potestades Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Normalización - Exponer las pautas para facilitar la compatibilidad técnica y la interoperabilidad de las aplicaciones y sistemas Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Conservación - Relativos a la conservación de los datos y las informaciones en soporte electrónico que intervienen o manejan las aplicaciones para el ejercicio de potestades Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Seguridad - Evitar la pérdida de la autenticidad, confidencialidad, integridad y disponibilidad en la información - Enraizados en la gestión general de la seguridad de los sistemas de la organización Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Seguridad para cada Aplicación. Contenido (1/3) - Política y Gestión de seguridad - Organización y Planificación de la seguridad - Análisis y gestión de riesgos - Identificación y clasificación de activos a proteger -Aspectos de seguridad ligados al personal - Seguridad física Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Seguridad para cada Aplicación. Contenido (2/3) - Autenticación - Confidencialidad - Integridad - Disponibilidad - Control de acceso - Acceso a través de redes Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Seguridad para cada Aplicación. Contenido (2/3) - Firma electrónica - Protección de soportes y copias de respaldo - Desarrollo y explotación de sistemas - Gestión y registro de incidencias - Plan de contingencias - Auditoría y control de la seguridad Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Organización y Planificación de la seguridad (entre otras) - Concienciar al Usuario - Responsable de la Aplicación - Responsable de Seguridad - Comité de Seguridad (en su caso) Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Responsable de la Aplicación - Designar y autorizar a los usuarios - Asignar los acceso, motivados, de usuario - Definir plazos de vigencia administrativa de la información - Promover la formación del personal vinculado con la aplicación y con los activos a proteger Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Responsable de la Seguridad de la Aplicación - Elaborar la política de seguridad de la Ap. - Diseñar, probar e implantar el plan de contingencias de la Ap. - Informar sobre los niveles de seguridad alcanzados - Dirigir la auditoría y control de seguridad - Identificar, analizar e informar sobre los distintos incidentes de seguridad Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Autenticación. Nivel de seguridad * Ligado a la mayor o menor necesidad de formalización, de autorización y de responsabilización probatoria en el conocimiento o la comunicación de la información - Baja, si no se quiere conocer autor ni responsable - Normal, si se quiere conocer autor para evitar repudio de origen - Alta, si se quiere además evitar repudio en destino - Crítica, si se quiere la certificación de autor y de contenido Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Confidencialidad. Nivel de seguridad - Libre, sin restricciones en su difusión - Restringida, con restricciones normales - Protegida, con restricciones altas - Confidencial, no difundible por su carácter crítico Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Integridad. Nivel de seguridad * Ligado a la mayor o menor facilidad de reobtener el activo con calidad suficiente, o sea completo y no corrupto para el uso que se desea darle - Baja, si se puede reemplazar fácilmente con otro de igual calidad - Normal, si se puede reemplazar con un activo de calidad semejante con una molestia razonable - Alta, si la calidad necesaria es reconstruible difícil y costosamente Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Disponibilidad. Nivel de seguridad * En función del periodo de tiempo máximo de carencia del activo - Menos de una hora, considerado como fácilmente recuperable - Hasta un día laborable, coincidente con un plazo habitual de recuperación con ayuda telefónica de especialistas externos o reposición con existencia local - Hasta una semana, coincidente con un plazo normal de recuperación grave con ayuda presencial de especialistas, de reposición sin existencia o con arranque del centro alternativo - Más de una semana, considerado como interrupción catastrófica Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Control de accesos - Autorización de derechos de acceso - Privilegios especiales innecesarios son causa de vulnerabilidad - Identificar privilegios asociados a cada subsistema - Privilegios a personas físicas, no a colectivos - Reasignación temporal de privilegios Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Ficheros de datos de Carácter Personal. Conceptos - Datos: cualquier información concerniente a personas físicas identificadas o identificables - Fichero: todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Ficheros de datos de Carácter Personal. Niveles de Seguridad - Básico, datos de carácter personal no especiales - Medio, con datos relativos a la comisión de infracciones administrativas o penales, a la Hacienda Pública y a los servicios financieros - Alto, con datos relativos a ideología, creencias, origen racial, salud o vida sexual, o recabados para fines policiales sin consentimiento del afectado Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Ficheros de datos de Carácter Personal. Requisitos para cada Nivel de Seguridad - Básico, los ya indicados de general uso en seguridad. Documento de Seguridad - Medio, además: Responsable de Seguridad, Auditoría, Acceso físico restringido, gestión de soportes y de incidencias. Pruebas no con datos reales - Alto, además: Cifrado en distribución y telecomunicaciones. Registro detallado de accesos. Copias externas seguras Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Normalización - Facilitar la compatibilidad técnica y la interoperabilidad de las aplicaciones y sistemas - Según la cadena de : + Infraestructuras + Servicios + Contenidos + Accesibilidad Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Interoperabilidad - Interconexión de redes administrativas - Protocolos de nivel bajo y medio - Servicios de nombres de dominios (DNS) - Protocolos de transferencia de ficheros - Protocolos de transferencia de hipertexto - Presentación e intercambio de datos Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Diseño de páginas Web - Organización de las páginas - Enlaces hipertextuales - Multimedia - Imágenes, animaciones y mapas - Scripts, applets y plug-ins Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Accesibilidad de páginas Web - Libertad de elección del software con el que se accede o visualiza la información administrativa - Software libre o de fuente abierta - Accesibilidad para personas con discapacidad + motrices + psíquicas + auditivas + visuales Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Criterios de Conservación - La conservación de los datos en soporte electrónico, como una etapa más del ciclo de vida de la información. - Gestión de formatos, soportes y dispositivos de almacenamiento electrónico. Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Conservación de la información. Los documentos administrativos - Función de constancia + Actos con su existencia, sus efectos y sus errores + Derecho de los ciudadanos a su acceso - Función de comunicación + De la Admón: decisión, transmisión, constancia y juicio + Del administrado: Solicitud, Denuncia, Alegación y Recurso Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades

Aspectos de la Conservación - Ciclo de vida de la Información - Los Formatos - Los Códigos y Juegos de caracteres - Los Soportes - La Perdurabilidad y Preservación - Los Archivos físicos. Su jerarquía Criterios de Seguridad, Normalización y Conservación para el ejercicio de Potestades