Normativa de Seguridad de la Información

1. Objeto

El usuario debe ser consciente de la importancia de la seguridad de la información y disponer de unas normas de obligado cumplimiento respecto al uso de los sistemas informáticos.

Por ello, con el fin de garantizar la correcta gestión del sistema, UROINTEC acuerda aprobar las siguientes normas de utilización del Sistema Informático de la organización para garantizar el buen uso de los medios técnicos puestos a disposición de los usuarios:

2. Alcance

Esta normativa es de aplicación a todo el ámbito de actuación de UROINTEC, y sus contenidos traen causa de las directrices de carácter más general definidas en la Política de Seguridad de la Información.

La presente Normativa es de aplicación y de obligado cumplimiento para todo el personal que, de manera permanente o eventual, preste sus servicios en UROINTEC, incluyendo el personal de proveedores externos, cuando sean usuarios de los Sistemas de Información de UROINTEC

En el ámbito de la presente normativa, se entiende por usuario cualquier usuario perteneciente o ajeno a UROINTEC, así como personal de organizaciones privadas externas, entidades colaboradoras o cualquier otro con algún tipo de vinculación con UROINTEC y que utilice o posea acceso a los Sistemas de Información de UROINTEC.

3. Vigencia

La presente Normativa de Seguridad de la Información de UROINTEC ha sido aprobada por la Dirección de UROINTEC, estableciendo de esta forma las directrices generales para el uso adecuado de los recursos de tratamiento de información que UROINTEC pone a disposición de sus usuarios para el ejercicio de sus funciones y que, correlativamente, asumen las obligaciones descritas, comprometiéndose a cumplir con lo dispuesto en los siguientes epígrafes.

Cualquier modificación posterior entrará en vigor inmediatamente después de su publicación por parte de UROINTEC.

4. Revisión y evaluación

La gestión de esta Normativa de Seguridad de la Información corresponde al Comité de Seguridad de la Información, que es competente para:

• Interpretar las dudas que puedan surgir en su aplicación.
• Proceder a su revisión, cuando sea necesario para actualizar su contenido o se cumplan los plazos máximos establecidos para ello.
• Verificar su efectividad.
• Anualmente (o con menor periodicidad, si existen circunstancias que así lo aconsejen), el Comité de Seguridad revisará la presente Normativa, que se someterá, de haber modificaciones, a la aprobación de la Dirección de UROINTEC
• La revisión se orientará tanto a la identificación de oportunidades de mejora en la gestión de la seguridad de la información, como a la adaptación a los cambios habidos en el marco legal, infraestructura tecnológica, organización general, etc.
• Será el Responsable de Seguridad la persona encargada de la custodia y divulgación de la versión aprobada de este documento.

5. Utilización del equipamiento informático y de comunicaciones

UROINTEC facilita a los usuarios que así lo precisen los equipos informáticos y dispositivos de comunicaciones, tanto fijos como móviles, necesarios para el desarrollo de su actividad profesional. Así pues, los datos, dispositivos, programas y servicios informáticos que UROINTEC pone a disposición de los usuarios deben utilizarse para el desarrollo de las funciones encomendadas, es decir, para fines profesionales. Cualquier uso de los recursos con fines distintos a los autorizados está estrictamente prohibido.

En general, el ordenador personal (PC) será el recurso informático que permitirá el acceso de los usuarios a los Sistemas de Información y servicios informáticos de UROINTEC, constituyendo un elemento muy importante en la cadena de seguridad de los sistemas de información, razón por la que es necesario adoptar una serie de precauciones y establecer normas para su adecuada utilización.

Este apartado concierne específicamente a todos los equipos facilitados por UROINTEC para su utilización por parte de los usuarios, incluyendo equipos de sobremesa, portátiles y dispositivos móviles con capacidades de acceso a los Sistemas de Información de la organización.

5.1. Normas generales

• Los ordenadores personales deberán utilizarse únicamente para fines corporativos y como herramienta de apoyo a las competencias profesionales de los usuarios autorizados.
• Únicamente el personal autorizado podrá distribuir, instalar o desinstalar software y hardware, o modificar la configuración de cualquiera de los equipos, especialmente en aquellos aspectos que puedan repercutir en la seguridad de los Sistemas de Información de UROINTEC. Cuando se precise instalar dispositivos no provistos por UROINTEC deberá solicitarse autorización previa al Responsable de Seguridad.
• Está prohibido alterar, sin la debida autorización, cualquiera de los componentes físicos o lógicos de los equipos informáticos y dispositivos de comunicación, salvo autorización expresa del Responsable de Seguridad
• Salvo autorización expresa del Responsable de Seguridad, los usuarios no tendrán privilegio de administración sobre los equipos.
• Los usuarios deberán facilitar al personal técnico el acceso a sus equipos para labores de reparación, instalación o mantenimiento. Este acceso se limitará únicamente a las acciones necesarias para el mantenimiento o la resolución de problemas que pudieran encontrarse en el uso de los recursos informáticos y de comunicaciones, y finalizará completado el mantenimiento o una vez resueltos aquellos.
• Los ordenadores personales de la organización deberán mantener actualizados los parches de seguridad de todos los programas que tengan instalados. Se deberá prestar especial atención a la correcta actualización, configuración y funcionamiento de los programas antivirus y cortafuegos.
• Los usuarios deberán notificar a UROINTEC, a la mayor brevedad posible, siempre en un plazo de tiempo no superior a una hora, cualquier comportamiento anómalo de su ordenador personal, especialmente cuando existan sospechas de que se haya producido algún incidente de seguridad en el mismo. El conocimiento y la no notificación de una incidencia por parte de un usuario serán considerados como una falta contra la seguridad de la información de UROINTEC.
• El usuario debe ser consciente de las amenazas provocadas por malware. Muchos virus y troyanos requieren la participación de los usuarios para propagarse, ya sea a través de memorias USB, mensajes de correo electrónico o instalación de programas descargados desde Internet. Es imprescindible, por tanto, vigilar el uso responsable los equipos para reducir este riesgo.
• El cese de actividad de cualquier usuario debe ser comunicada de forma inmediata al Administrador del sistema, con el objeto de que le sean retirados los recursos informáticos que le hubieren sido asignados. Correlativamente, cuando los medios informáticos o de comunicaciones proporcionados por UROINTEC estén asociados al desempeño de un determinado puesto o función, la persona que los tenga asignados tendrá que devolverlos inmediatamente a la unidad responsable cuando finalice su vinculación con dicho puesto o función.

5.2. Usos específicamente prohibidos

Están terminantemente prohibidos los siguientes comportamientos:

• Utilización de cualquier tipo de software dañino.
• Utilización de programas que, por su naturaleza, hagan un uso abusivo de la red.
• Conexión a la red informática corporativa de cualquier equipo o dispositivo no facilitado por UROINTEC, sin la previa autorización del Responsable de Seguridad de UROINTEC.
• Utilización de dispositivos USB, teléfonos móviles u otros elementos, como acceso alternativo a Internet, salvo autorización y solicitud expresa del Responsable de Seguridad de UROINTEC.
• Instalación y/o utilización de programas o contenidos que vulneren la legislación vigente en materia de Propiedad Intelectual. Este comportamiento estará sometido a las previsiones disciplinarias, administrativas, civiles o penales descritas en las leyes.
• Intentar distorsionar o falsear los registros LOG del sistema.
• Intentar descifrar las claves, sistemas o algoritmos de cifrado y cualquier otro elemento de seguridad que intervenga en los procesos telemáticos de UROINTEC.
• Obstaculizar voluntariamente el acceso de otros usuarios a la red mediante el consumo masivo de los recursos informáticos y telemáticos de la empresa, así como realizar acciones que dañen, interrumpan o generen errores en dichos sistemas.

5.3. Normas específicas para equipos portátiles y móviles

• Este tipo de dispositivos estará bajo la custodia del usuario que los utilice, quién deberá adoptar las medidas necesarias para evitar daños o sustracción, así como el acceso a ellos por parte de personas no autorizadas.
• La sustracción de estos equipos se ha de poner inmediatamente en conocimiento del Responsable de Seguridad de UROINTEC para la adopción de las medidas que correspondan y a efectos de baja en el inventario.
• Los equipos portátiles y móviles deberán utilizarse únicamente para fines corporativos, especialmente cuando se usen fuera de las instalaciones de UROINTEC.
• Se prohíbe el uso de equipos portátiles en entornos no controlados:
• Espacios públicos: Cafeterías, aeropuertos, estaciones de tren, etc.
• Espacios públicos: Cafeterías, aeropuertos, estaciones de tren, etc.
• Los usuarios de estos equipos se responsabilizarán de que no serán usados por terceras personas ajenas a UROINTEC o no autorizadas para ello.
• Cuando la tipología de la información tratada así lo requiera, los ordenadores portátiles afectados deberán tener cifrado el disco duro, disponer de software que garantice un arranque seguro, así como mecanismos de auditoría capaces de crear un registro por cada fichero extraído del sistema por cualquier medio (red, dispositivos extraíbles, impresoras, etc.).
• Los usuarios no tendrán privilegio de administración sobre los equipos portátiles, teniendo prohibido realizar cualquier modificación hardware/software sobre los mismos. Corresponderá al personal técnico de UROINTEC llevar a cabo estas modificaciones.
• Los equipos portátiles no deben contener claves de acceso remoto a la organización.

5.4. Uso de memorias/lápices USB (pendrives)

• Como norma general, no se permite el uso de memorias USB como herramienta de transporte de ficheros. Única excepción: el disco externo de trabajo cifrado del equipo técnico, inventariado, custodiado por el Responsable del Sistema y con registro de salida y entrada (PS12, mp.si.4).

5.5. Impresoras en red y fotocopiadoras

• Con carácter general, deberán utilizarse las impresoras en red y las fotocopiadoras corporativas. Excepcionalmente, podrán instalarse impresoras locales, gestionadas por un puesto de trabajo de usuario. En este caso, la instalación irá precedida de la autorización pertinente por parte del responsable del peticionario. En ningún caso el usuario podrá hacer uso de impresoras, fotocopiadoras o equipos de fax que no hayan sido proporcionados por UROINTEC y, en su consecuencia, estén debidamente inventariados.
• Cuando se imprima documentación, deberá permanecer el menor tiempo posible en las bandejas de salida de las impresoras, para evitar que terceras personas puedan acceder a la misma.
• Conviene no olvidar tomar los originales de la fotocopiadora, una vez finalizado el proceso de copia. Si se encontrase documentación sensible, confidencial o protegida abandonada en una fotocopiadora o impresora, el usuario intentará localizar a su propietario para que éste la recoja inmediatamente. Caso de desconocer a su propietario o no localizarlo, lo pondrá inmediatamente en conocimiento del Responsable de Seguridad.

5.6. Digitalización de documentos

• Con carácter general, cuando se digitalicen documentos el usuario deberá ser especialmente cuidadoso con la selección del directorio compartido donde habrán de almacenarse las imágenes obtenidas, especialmente si contienen información sensible, confidencial o protegida.
• Conviene no olvidar tomar los originales del escáner, una vez finalizado el proceso de digitalización. Si se encontrase documentación sensible, confidencial o protegida abandonada en un escáner, el usuario intentará localizar a su propietario para que éste la recoja inmediatamente. Caso de desconocer a su propietario o no localizarlo, lo pondrá inmediatamente en conocimiento del Responsable de Seguridad.

5.7. Protección de equipos y puestos de trabajo

• Los puestos de trabajo del personal deben ubicarse preferentemente en ubicaciones que no queden expuestas al acceso de personas externas.
• Los puestos ubicados en zonas de atención o tránsito de público, deben situarse de forma que las pantallas no puedan ser visualizadas por personas externas.
• Los puestos de trabajo permanecerán despejados, sin más material encima de la mesa que el requerido para la actividad que se está realizando en cada momento.
• Al finalizar la jornada de trabajo, los usuarios deben guardar en un lugar seguro los documentos y medios que contengan información confidencial o de uso interno.
• Cada vez que un usuario se ausente de su lugar de trabajo debe bloquear su puesto de usuario, de forma que se proteja el acceso a las aplicaciones y servicios. Adicionalmente, los puestos de trabajo se configurarán para bloquearse automáticamente tras un periodo de inactividad.

5.8. Telefonía Móvil

• Se debe evitar perder de vista el dispositivo y, en caso de pérdida o robo, informar lo antes posible para proceder a su bloqueo.
• Los dispositivos deberán tener activado el bloqueo por PIN y, siempre que lo permitan, se activará la opción de bloqueo de terminal cada cierto tiempo y la solicitud de una contraseña para desbloquearlo.
• No se permite la modificación del hardware o software del dispositivo móvil sin previa autorización.
• Siempre que sea posible, no se almacenará la información sensible en los dispositivos móviles, asegurándose de limpiar los archivos temporales periódicamente.
• Solo se realizarán conexiones de dispositivos móviles a redes inalámbricas que ofrezcan confianza.
• El bluetooth se desconectará siempre que no se utilice. Estará configurado como oculto y con contraseña. No se permite la conexión a un dispositivo bluetooth de origen desconocido y se evitará realizar emparejamientos en lugares públicos.
• El usuario será responsable de realizar las copias de respaldo de la información almacenada en el dispositivo móvil.

5.9. Cuidado y protección de la documentación impresa

• La documentación impresa que contenga datos sensibles, confidenciales o protegidos, debe ser especialmente resguardada, de forma que sólo tenga acceso a ella el personal autorizado, debiendo ser recogida rápidamente de las impresoras y fotocopiadoras y ser custodiada en armarios bajo llave.
• Cuando concluya la vida útil de los documentos impresos con información sensible, confidencial o protegida, deberán ser eliminados de forma que no sea recuperable la información que pudieran contener.
• Si, una vez impresa, es necesario almacenar tal documentación, el usuario habrá de asegurarse de proteger adecuadamente y bajo llave aquellas copias que contengan información sensible, confidencial o protegida, o crítica para su trabajo.
• Por razones ecológicas y de seguridad, antes de imprimir documentos, el usuario debe asegurarse de que es absolutamente necesario hacerlo.

5.10. Pizarras

• Antes de abandonar las salas o permitir que alguien ajeno entre, se limpiarán adecuadamente las pizarras de las salas de reuniones o despachos, cuidando que no quede ningún tipo de información sensible o que pudiera ser reutilizada.

5.11. Protección de la dignidad de las personas

• Está terminantemente prohibida toda transmisión, distribución o almacenamiento de cualquier material obsceno, difamatorio, amenazador o que constituya un atentado contra la dignidad de las personas.

6. Identificación y autenticación

• Los usuarios dispondrán de un código de usuario y una contraseña, para el acceso a los Sistemas de Información de UROINTEC y son responsables de la custodia de los mismos y de toda actividad relacionada con el uso de su acceso autorizado. El código de usuario es único para cada persona en la organización, intransferible e independiente del PC o terminal desde el que se realiza el acceso.
• Los usuarios no deben revelar o entregar, bajo ningún concepto, sus credenciales de acceso o tarjeta criptográfica a otra persona, ni anotarlas por escrito.
• Los usuarios no deben utilizar ningún acceso autorizado de otro usuario, aunque dispongan de la autorización de su titular.
• Si un usuario tiene sospechas de que sus credenciales están siendo utilizadas por otra persona, debe proceder inmediatamente a comunicar el correspondiente incidente de seguridad.
• Los usuarios deben utilizar contraseñas seguras de acuerdo a la política de calidad de contraseñas que UROINTEC establezca. Las contraseñas no deben estar compuestas únicamente por palabras del diccionario u otras fácilmente predecibles o asociables al usuario (nombres de su familia, direcciones, matrículas de coche, teléfonos, nombres de productos comerciales u organizaciones, identificadores de usuario, de grupo o del sistema, DNI, etc.).
• Las contraseñas de los sistemas de UROINTEC tienen la vigencia que fije la política de contraseñas (PS03 §7.3). El usuario cambiará su contraseña cuando el sistema se lo solicite, no reutilizará contraseñas anteriores ni las empleará en servicios ajenos a UROINTEC, y mantendrá activo el segundo factor de autenticación.
• En PAOSBrain la contraseña tiene al menos 12 caracteres y se rechazan las contraseñas comunes o filtradas y las que contienen datos de identidad del usuario. Tras 5 intentos fallidos la cuenta se bloquea de forma temporal y progresiva (PS03 §7.3).
• El segundo factor es obligatorio en cada inicio de sesión. Solo se recuerda en un navegador marcado como de confianza (30 días como máximo) o en las apps con dispositivo de confianza (90 días), según las excepciones declaradas en el PS03 §7.5.
• Credenciales compartidas. Las credenciales de administración y de consolas de proveedores que deban compartirse (Google Cloud, Google Workspace, DNS, copias de seguridad, proveedores del PS05) y los códigos de recuperación del segundo factor se guardan solo en el gestor corporativo de credenciales, protegido con una frase de paso maestra de 14 caracteres o más y segundo factor (llave FIDO2 o aplicación TOTP, no SMS). Se comparten solo mediante las colecciones del gestor, con mínimo privilegio, y está prohibido exportarlas en claro. La custodia, la compartición y la baja se regulan en el PS09 §8.
• Gestor corporativo de credenciales: Bitwarden Teams en la región UE, elegido por la Dirección (CAM-206). Hasta su implantación completa, medida provisional: app Contraseñas de Apple con grupo compartido entre el Responsable del Sistema y el Responsable de Seguridad.
• Está prohibido guardar o transmitir credenciales en papel, correo, chat, notas, hojas de cálculo o el gestor de contraseñas del navegador. La única copia en papel prevista es el sobre cerrado y firmado con las credenciales de emergencia, custodiado en la caja fuerte con registro (PS09 §8.3, propuesta pendiente de aprobación).
• En cada inicio de sesión en PAOSBrain se muestran al usuario sus derechos y obligaciones y la lista de documentos que ha firmado, que puede volver a leer. Al pulsar «Entrar» queda constancia de que se ha mostrado; no sustituye a la firma de esta Normativa ni de la Política de Seguridad.
• Si, en un momento dado, un usuario recibiera una llamada telefónica solicitándole su nombre de usuario y contraseña, nunca facilitará dichos datos y procederá a comunicar este hecho al Responsable de Seguridad de UROINTEC, de forma inmediata.

7. Acceso de terceros a los edificios

Los terceros ajenos a UROINTEC que, eventualmente, permanecieran en sus edificios, instalaciones o dependencias, deberán observar las siguientes normas:

• El personal ajeno a UROINTEC que temporalmente deba acceder a los Sistemas de Información de UROINTEC, deberá hacerlo siempre bajo la supervisión de algún miembro acreditado de UROINTEC (responsable).
• Cualquier incidente que surja antes o en el transcurso del acceso a UROINTEC deberá ponerlo en conocimiento de su responsable.
• Para los accesos de terceros a los sistemas de información de UROINTEC, siempre que sea posible, se les crearán usuarios temporales que serán eliminados una vez concluido su trabajo en UROINTEC. Si, de manera excepcional, tuvieran que utilizar identificadores de usuarios ya existentes, una vez finalizados dichos trabajos, se procederá al cambio inmediato de las contraseñas de los usuarios utilizados.
• Tales personas, en lo que les sea de aplicación, deberán cumplir puntualmente la presente Normativa General, así como el resto de normativa de seguridad de UROINTEC.
• Para acceder a los edificios, instalaciones o dependencias de UROINTEC deberá estar en posesión de la correspondiente documentación de identificación personal admitida en Derecho (DNI., pasaporte, etc.), debiendo estar incluido en la relación nominal proporcionada previamente por la empresa a la que perteneciere. La primera vez que acceda físicamente deberá identificarse y solicitar la presencia de la persona responsable de UROINTEC, que constituirá su enlace durante su estancia en él.
• Una vez en el interior de los edificios, dependencias o instalaciones de UROINTEC los terceros sólo tendrán autorización para permanecer en el puesto de trabajo que les haya sido asignado y en las zonas de uso común.
• Los terceros atendrán siempre a los requerimientos que le hiciere el personal de seguridad de los edificios, instalaciones o dependencias a los que tuvieren acceso.

8. Uso del correo electrónico corporativo

El correo electrónico corporativo es una herramienta de mensajería electrónica centralizada, puesta a disposición de los usuarios de UROINTEC, para el envío y recepción de correos electrónicos mediante el uso de cuentas de correo corporativas.

Se trata de un recurso compartido por todos los usuarios de la organización, por lo que un uso indebido del mismo repercute de manera directa en el servicio ofrecido a todos.

Por ello, se dictan las siguientes normas de uso.

8.1. Normas generales

• Todos los usuarios que lo precisen para el desempeño de su actividad profesional, dispondrán de una cuenta de correo electrónico, para el envío y recepción de mensajes internos y externos a la organización.
• Únicamente podrán utilizarse las herramientas y programas de correo electrónico suministrados, instalados y configurados por UROINTEC.
• El correo corporativo deberá utilizarse, única y exclusivamente, para la realización de las funciones encomendadas al personal, evitando el uso privado del mismo.
• Se deberá notificar al Responsable de Seguridad de UROINTEC cualquier tipo de anomalía detectada, así como un alto volumen de correos no deseados (spam) que se reciban, a fin de configurar adecuadamente las medidas de seguridad oportunas.
• Se deberá prestar especial atención a los ficheros adjuntos en los correos recibidos. No deben abrirse ni ejecutarse ficheros de fuentes no fiables, puesto que podrían contener virus o código malicioso. En caso de duda sobre la confiabilidad de los mismos, se deberá notificar esta circunstancia al Responsable de Seguridad de UROINTEC.
• Está terminantemente prohibido suplantar la identidad de un usuario de internet, correo electrónico o cualquier otra herramienta colaborativa.

8.2. Usos especialmente prohibidos

Las siguientes actuaciones están explícita y especialmente prohibidas:

• El envío de correos electrónicos con contenido inadecuado, ilegal, ofensivo, difamatorio, inapropiado o discriminatorio por razón de sexo, raza, edad, discapacidad, que contengan programas informáticos (software) sin licencia, que vulneren los derechos de propiedad intelectual de los mismos, de alerta de virus falsos o difusión de virus reales y código malicioso, o cualquier otro tipo de contenidos que puedan perjudicar a los usuarios, identidad e imagen corporativa y a los propios sistemas de información de la organización.
• El acceso a un buzón de correo electrónico distinto del propio y el envío de correos electrónicos con usuarios distintos del propio.
• La difusión de la cuenta de correo del usuario en listas de distribución, foros, servicios de noticias, etc., que no sean consecuencia de la actividad profesional del usuario.
• Responder mensajes de los que se tenga sospechas sobre su autenticidad, confiabilidad y contenido, o mensajes que contengan publicidad no deseada.
• La utilización del correo corporativo como medio de intercambio de ficheros especialmente voluminosos sin autorización, y el envío de información sensible, confidencial o protegida.

9. Acceso a Internet y otras herramientas de colaboración

El acceso corporativo a Internet es un recurso centralizado que UROINTEC pone a disposición de los usuarios, como herramienta necesaria para el acceso a contenidos y recursos de Internet y como apoyo al desempeño de su actividad profesional.

UROINTEC velará por el buen uso del acceso a Internet, tanto desde el punto de vista de la eficiencia y productividad del personal, como desde los riesgos de seguridad asociados a su uso.

9.1. Normas generales

• Usar Internet para fines profesionales. Internet es una herramienta más de las utilizadas por los usuarios de UROINTEC. Por ello, debe usarse de manera responsable y exclusivamente para fines profesionales (docencia, investigación, formación y uso administrativo). Si en algún caso fuese necesario realizar un uso personal (Por ejemplo, acceso a nóminas o gestión de vacaciones), se deberá utilizar un navegador web diferente al utilizado habitualmente para uso profesional, de forma que se separen las cookies almacenadas y se evite la contaminación entre uso personal y uso organizativo.
• No visitar páginas de contenido poco ético, ofensivo o ilegal. No está permitido el acceso a páginas cuyo contenido pueda resultar ofensivo o atentar contra la dignidad humana. Análogamente, no se permite el acceso a páginas de contenido no adecuado, ilegal o poco ético.
• No visitar páginas no fiables o sospechosas. Para evitar posibles incidentes de seguridad, es aconsejable no visitar páginas que se consideren sospechosas de contener código malicioso.
• Cuidar la información que se publica en Internet. No se debe proporcionar información sobre la organización en foros, chats, etc., ya que podría ser utilizada de forma fraudulenta. En este sentido, está prohibido difundir sin autorización cualquier tipo de información no pública sobre el funcionamiento interno de UROINTEC, sus recursos, estructura, etc.
• Observar las restricciones legales que sean de aplicación. Antes de utilizar una información obtenida de Internet, los usuarios deberán comprobar en qué medida se halla sujeta a los derechos derivados de la Propiedad Intelectual o Industrial.
• Realizar descargas sólo si se tiene autorización. Las descargas indiscriminadas o sin autorización son uno de los orígenes más usuales de infección por código malicioso. Aunque UROINTEC decida no limitar técnicamente la capacidad para descargar archivos de audio o vídeo, los usuarios deberán tener en consideración que la descarga de estos archivos puede ir en detrimento del rendimiento de los recursos informáticos y, por ello, limitarán su descarga y reproducción al ámbito estrictamente profesional.
• No descargar código o programas no confiables. Es necesario asegurar la confiabilidad del sitio desde el cual se descargan los programas, utilizando siempre las páginas oficiales. Además, es necesario comprobar si es preciso el uso de licencia para utilizar las aplicaciones descargadas. Conviene que tales actividades sean acometidas, de manera exclusiva, por el Servicio de Tecnologías de la Información y las Comunicaciones (STIC).
• Asegurar la autenticidad de la página visitada. Cuando se vayan a realizar intercambios de información o transacciones es importante asegurar que la página que se visita es realmente la que dice ser. Es recomendable acceder a las páginas escribiendo y comprobando la dirección en la barra de direcciones del navegador y no a través de vínculos externos. Muchas suplantaciones de páginas Web muestran una página que es virtualmente idéntica a la página conocida por el usuario, incluso evidenciando un falso nombre en la barra de direcciones. Cuando la página web se encuentre autenticada mediante certificado digital, el usuario verificará su autenticidad.
• Comprobar la seguridad de la conexión. En general, la información transmitida por Internet no circula de manera cifrada. Sin embargo, en la transmisión de información sensible, confidencial o protegida es importante asegurar su cifrado. Una manera de asegurar la confidencialidad es comprobar que se utiliza protocolo HTTPS en la comunicación en vez del protocolo estándar HTTP (examinando la barra de direcciones). También debería aparecer un icono representando un candado en la barra del navegador. A través de dicho candado se puede obtener información sobre el certificado digital de identidad del sitio web visitado.
• Cerrar las sesiones al terminar la conexión. Es muy conveniente cerrar las sesiones al terminar la conexión o el intercambio de información (siempre que se haya autenticado en la página web), ya que en muchas ocasiones la conexión permanece abierta por defecto y no es suficiente con cerrar el navegador. Esto puede hacer que otros usuarios tengan acceso a las cuentas de los usuarios que no hubieren cerrado correctamente las sesiones. La mayoría de los sitios web disponen de una opción de “desconexión”, “logout” o similar que conviene utilizar.
• Utilizar herramientas contra código dañino. El volumen de código dañino que circula en el ciberespacio es muy elevado y presenta multitud de aspectos diferentes. Por tanto, es necesario disponer del adecuado abanico de herramientas que permitan una adecuada protección. El uso de un antivirus permanentemente actualizado es la primera medida de protección contra este tipo de ataques. Además de ello, es necesario configurar y usar adecuadamente cortafuegos, software específico contra programas espía (spyware), etc.
• Mantener actualizado el navegador y las herramientas de seguridad. Es imprescindible actualizar las herramientas de acceso a Internet (navegadores) y de seguridad (antivirus, cortafuegos, etc.) a las últimas versiones estables, siempre de conformidad con lo indicado y aprobado por el Responsable de Seguridad. Puesto que el código dañino se genera incesantemente, es muy importante actualizar las firmas de virus con la mayor frecuencia posible. Los sistemas deben estar configurados para realizar esta tarea de forma automática. Asimismo, es muy importante informar sobre cualquier problema que se detecte en este proceso.
• Utilizar los niveles de seguridad del navegador. Los navegadores Web permiten configuraciones con diferentes niveles de seguridad. Lo idóneo es mantener el nivel de seguridad “alto”, no siendo recomendable utilizar niveles por debajo de “medio”. Esto puede hacerse usando las herramientas disponibles en el navegador.
• Desactivar las cookies. Las cookies son pequeños programas fragmentos de texto que emplean los servidores Web para almacenar y recuperar información acerca de sus visitantes (Por ejemplo, quién, cuándo y desde dónde se ha conectado un usuario). Estos programas fragmentos de texto se almacenan en el ordenador del usuario al visitar una página Web, pudiendo ser desactivados usando las herramientas disponibles en el navegador.
• Eliminar la información privada. Los navegadores Web almacenan información privada durante su utilización, tal como el historial de navegación, cookies aceptadas, contraseñas, etc., información a la que podría acceder un atacante que se hubiera introducido en el sistema. Por tanto, es recomendable borrar esta información de manera periódica, usando las herramientas disponibles en el navegador.
• No instalar complementos desconocidos. Cuando se cargan ciertas páginas web, se muestra un mensaje comunicando la necesidad de instalar en el ordenador del usuario un complemento (plug-in, add-on, etc.) para poder acceder al contenido. Es muy recomendable analizar primero la conveniencia de instalar tal complemento y hacerlo, en cualquier caso, siempre desde la página del distribuidor o proveedor oficial del mismo.
• Limitar y vigilar la ejecución de Applets y Scripts. Los scripts son un conjunto de instrucciones que permiten la automatización de tareas. Los applets son pequeñas aplicaciones (componentes de aplicaciones) que se ejecutan en el contexto del navegador Web. A pesar de que, en general, resultan útiles, pueden ser usados para ejecutar código malicioso y, por tanto, es recomendable limitar su ejecución.
• Uso del navegador con PAOSBrain. Se usa un navegador admitido y actualizado. Propuesta de navegadores admitidos (T08 §9.1, para el NS01 Anexo III v1.1): Google Chrome y Microsoft Edge en la versión estable vigente o la anterior, con actualizaciones automáticas; Safari con soporte de seguridad de Apple (versión 17 o superior); Firefox, tolerado. No se usan Internet Explorer, Edge heredado ni navegadores sin actualizaciones; el navegador interno de PAOSBrain no se usa para la actividad clínica mientras esté en beta.
• Cookies y extensiones. Ante un aviso de cookies se elige «Rechazar» o «Solo necesarias». Solo se instalan las extensiones autorizadas por el Responsable de Seguridad. La configuración de los navegadores corporativos, el filtrado y el registro de la navegación se fijan en el NS01 Anexo III «Política ejecutiva de navegación web y control de cookies» (v1.0).

9.2. Usos específicamente prohibidos

Quedan prohibidas las siguientes actuaciones:

• La descarga de archivos muy voluminosos, especialmente en horarios coincidentes con la atención al público, salvo autorización expresa.
• La descarga de programas informáticos o ficheros con contenido dañino que supongan una fuente de riesgos para la organización.
• El acceso a recursos y páginas-web, o la descarga de programas o contenidos que vulneren la legislación en materia de Propiedad Intelectual.
• La utilización de aplicaciones o herramientas (especialmente, el uso de programas de intercambio de información, P2P) para la descarga masiva de archivos, programas u otro tipo de contenido (música, películas, etc.).

10. Normas específicas de PAOSBrain, Google Workspace y dispositivos personales

Estas normas concretan las anteriores para los medios realmente utilizados en el alcance (SGSI.01-09).

• PAOSBrain: el acceso es personal e intransferible, con doble factor obligatorio. Está prohibido compartir credenciales, códigos o sesiones. Antes de usar la plataforma cada persona acepta la versión vigente de la Política de Seguridad. En cada inicio de sesión se muestra el aviso de derechos y obligaciones (apartado 6).
• Datos de pacientes: solo pueden tratarse dentro de PAOSBrain y de los sistemas autorizados. Está prohibido copiarlos a correo personal, mensajería no corporativa, servicios de IA no aprobados o almacenamiento externo. Tampoco se guardan en el almacenamiento local del equipo o del navegador (descargas, ficheros, notas o capturas).
• Equipos compartidos. PAOSBrain guarda en el navegador una caché temporal de consulta (hasta 72 horas) que se borra al cerrar sesión. En equipos compartidos se cierra siempre la sesión con la opción de salida de la aplicación antes de dejar el puesto; cerrar la ventana no basta. Los borradores locales de informes y de correo todavía no se borran al cerrar sesión: no se dejan borradores con datos de pacientes en equipos compartidos (corrección planificada, T08 §8).
• Asistente con IA: solo se usa el asistente integrado en PAOSBrain con los proveedores aprobados por el Responsable de Seguridad; sus propuestas de acción requieren confirmación de la persona usuaria.
• Google Workspace: el correo y los documentos corporativos se gestionan en Google Workspace con verificación en dos pasos obligatoria. No se reenvía correo corporativo a cuentas personales.
• Equipos macOS del alcance: disco cifrado (FileVault), bloqueo automático a los 5 minutos de inactividad, actualizaciones automáticas del sistema y sin cuentas de administrador para el uso diario.
• Dispositivos personales (apps PAOSBrain y PaosChat): solo en móviles con bloqueo de pantalla (código o biometría) y sistema actualizado; no se hacen capturas de datos de pacientes; al perder el dispositivo se comunica de inmediato para cerrar sus sesiones a distancia.
• Incidentes: cualquier anomalía o sospecha se comunica de inmediato por el módulo de Incidencias de PAOSBrain o al Responsable de Seguridad.

11. Incidentes de seguridad

• Se entiende por incidente de seguridad cualquier suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de información.
• Cuando un usuario detecte cualquier anomalía o incidencia de seguridad que pueda comprometer el buen uso y funcionamiento de los Sistemas de Información de UROINTEC o su imagen, deberá informar inmediatamente a UROINTEC, que lo registrará debidamente y elevará, en su caso.

12. Compromiso de los usuarios

Es responsabilidad directa del usuario:

• Custodiar las credenciales que se le proporcionen y seguir todas las recomendaciones de seguridad fijadas por UROINTEC, para garantizar que aquellas no puedan ser utilizadas por terceros. Deberá cerrar su cuenta al terminar la sesión o bloquear el equipo cuando lo deje desatendido.
• En el caso de que su equipo contenga información sensible, confidencial o protegida, esta deberá cumplir todos los requisitos legales aplicables y las medidas de protección que la normativa de UROINTEC establezca al respecto.
• Además de lo anterior, no se podrá acceder a los recursos informáticos y telemáticos de UROINTEC para desarrollar actividades que persigan o tengan como consecuencia:
• El uso intensivo de recursos de proceso, memoria, almacenamiento o comunicaciones, para usos no profesionales.
• La degradación de los servicios.
• La destrucción o modificación no autorizada de la información, de manera premeditada.
• La violación de la intimidad, del secreto de las comunicaciones y del derecho a la protección de los datos personales.
• El deterioro intencionado del trabajo de otras personas.
• El uso de los sistemas de información para fines ajenos a los de UROINTEC, salvo aquellas excepciones que contempla la presente Normativa.
• Dañar intencionadamente los recursos informáticos de UROINTEC o de otras organizaciones.
• Incurrir en cualquier otra actividad ilícita, del tipo que sea.

13. Monitorización y aplicación de esta normativa

UROINTEC, por motivos legales, de seguridad y de calidad del servicio, y cumpliendo en todo momento los requisitos que al efecto establece la legislación vigente:

• Revisará periódicamente el estado de los equipos, el software instalado, los dispositivos y redes de comunicaciones de su responsabilidad.
• Monitorizará los accesos a la información contenida en sus sistemas.
• Auditará la seguridad de las credenciales y aplicaciones.
• Monitorizará los servicios de internet, correo electrónico y otras herramientas de colaboración.
• Registrará los intentos de acceso a sus sistemas, correctos y fallidos, con los datos indicados en el PS03 §7.6 (usuario, fecha y hora, dirección IP, navegador o app, centro, resultado y motivo), con fines de seguridad y de forma proporcionada, conforme a los principios de la guía CCN-STIC 831.
• Registrará la navegación desde los equipos corporativos con fines de seguridad (equipo o usuario, dominio, fecha y hora, categoría y resultado), con una conservación mínima de 12 meses, según el NS01 Anexo III.

UROINTEC llevará a cabo esta actividad de monitorización sin utilizar sistemas o programas que pudieran atentar contra los derechos constitucionales de los usuarios, tales como el derecho a la intimidad personal y al secreto de las comunicaciones, manteniéndose en todo momento la privacidad de la información manejada, salvo que, por requerimiento legal e investigación sobre un uso ilegitimo o ilegal, sea necesario el acceso a dicha información, salvaguardando en todo momento los derechos fundamentales de los usuarios.

Los sistemas en los que se detecte un uso inadecuado o en los que no se cumplan los requisitos mínimos de seguridad, podrán ser bloqueados o suspendidos temporalmente. El servicio se restablecerá cuando la causa de su inseguridad o degradación desaparezca. El Responsable de Seguridad, con la colaboración de las restantes unidades de UROINTEC, velará por el cumplimiento de la presente Normativa General e informará al Comité de Seguridad sobre los incumplimientos o deficiencias de seguridad observados, al objeto de que se tomen las medidas oportunas.

El sistema que proporciona el servicio de correo electrónico podrá, de forma automatizada, rechazar, bloquear o eliminar parte del contenido de los mensajes enviados o recibidos en los que se detecte algún problema de seguridad o de incumplimiento de la presente Normativa. Se podrá insertar contenido adicional en los mensajes enviados con objeto de advertir a los receptores de los mismos de los requisitos legales y de seguridad que deberán cumplir en relación con dichos correos.

El sistema que proporciona el servicio de navegación podrá contar con filtros de acceso que bloqueen el acceso a páginas web con contenidos inadecuados, programas lúdicos de descarga masiva o páginas potencialmente inseguras o que contengan virus o código dañino. Igualmente, el sistema podrá registrar y dejar traza de las páginas a las que se ha accedido, así como del tiempo de acceso, volumen y tamaño de los archivos descargados. El sistema permitirá el establecimiento de controles que posibiliten detectar y notificar sobre usos prolongados e indebidos del servicio.

14. Incumplimiento de la normativa

Todos los usuarios de UROINTEC están obligados a cumplir lo prescrito en la presente Normativa de Seguridad de la Información.

En el supuesto de que un usuario no observe alguna de los preceptos señalados en la presente Normativa, sin perjuicio de las acciones disciplinarias y administrativas que procedan y, en su caso, las responsabilidades legales correspondientes, se podrá acordar la suspensión temporal o definitiva del uso de los recursos.

Control de cambios

Versión 1.2 aprobada por la Dirección de UROINTEC, S.L.U. a propuesta del Responsable de Seguridad y del Responsable del Sistema. El original firmado se conserva en el expediente del SGSI.