Manual de Seguridad S.A - juntadeandalucia.es · Unidad de Gestión de Riesgos Digitales Manual de Seguridad de la Información Corporativa Servicio Andaluz de Salud

Unidad de Gestión de Riesgos Digitales

Manual de Seguridad de la Información Corporativa

Servicio Andaluz de Salud 1

GESTIÓN DE RIESGOS DIGITALES

Manual de Seguridad de la Información

Corporativa

SEPTIEMBRE 2006





Comunidad Autónoma de Andalucía

Consejería de Salud/Servicio Andaluz de Salud

Dirección General/Órgano/Organismo/Entidad

CONTROL DE CAMBIOS

Versión Fecha Descripción de la modificación 1 25-2-2002 Primer Documento de Seguridad consensuado S.A.S.

� Documento de Seguridad Nivel Alto � Documento de Seguridad Nivel Medio � Documento de Seguridad Nivel Básico

2

22-1-2003

Unificación de los tres documentos (alto, medio y básico) Unificación en un solo documento de toda la política de seguridad de la información, sea de carácter personal o no. Revisión de procedimientos:

� Procedimientos de Declaración de Ficheros de Carácter Personal

� Ejercicio de Derechos de acceso, Rectificación, Cancelación y Oposición de Datos de Carácter Personal

� Relaciones contractuales con empresas externas � Registro de Incidencias de Seguridad de la Información � Gestión de Soportes � Copias de Respaldo y Recuperación � Descripción del Sistema de Acceso a la Información

Corporativa � Control de Accesos a la Información Corporativa � Registro de Accesos

Actualización del estado de declaración de ficheros (Anexo C) Actualización seguridad física de C.P.D. (Anexo D) Inclusión guía de consejos de protección de nuestros sistemas contra virus

3

10-5-2004

Revisión de los Formularios para el derecho de Acceso, Rectificación y Cancelación Revisión Jurídica del Documento

4 11-2004 Copias de Seguridad en Centrales 5 12-2004 Manual de comportamiento de los empleados públicos en el uso de

los Sistemas Informáticos y redes de comunicaciones (Anexo F).




6 05-2005 Actualización del Documento de Seguridad del S.A.S 7 09-2006 Actualización del Documento de Seguridad del S.A.S




Índice

1. Política de Seguridad _______________________________________________ 7

2. Objeto del documento. ______________________________________________ 8

3. Ámbito de aplicación._______________________________________________ 9

3.1 Ámbito funcional ___________________________________________________________9

3.2 Ámbito personal ____________________________________________________________9

3.3 Ámbito Material ____________________________________________________________9

4. Definiciones. ______________________________________________________ 9

5. Recursos protegidos._______________________________________________ 11

6. Funciones y obligaciones del personal. ________________________________ 12

6.1 Definición de perfiles._______________________________________________________12

6.2 Organización de Seguridad __________________________________________________13

6.3 Todo el Personal ___________________________________________________________14 6.3.1 Confidencialidad de la Información _________________________________________14 6.3.2 Salvaguarda y protección de las contraseñas personales __________________________14 6.3.3 Puesto de trabajo ________________________________________________________15 6.3.4 Sistema Informático y Telemático de Acceso a la Información ____________________16 6.3.5 Otros Recursos__________________________________________________________16 6.3.6 Gestión de Incidencias____________________________________________________16 6.3.7 Gestión de soportes ______________________________________________________16 6.3.8 Copias de Respaldo y Recuperación _________________________________________17

6.4 Responsable del Fichero_____________________________________________________18 6.4.1 Política de Seguridad de la Información Corporativa ____________________________18 6.4.2 Declaración de Ficheros de Carácter Personal__________________________________18 6.4.3 Ejercicio de derechos de oposición, acceso, rectificación o cancelación de Datos de Carácter Personal _______________________________________________________________18 6.4.4 Gestión de soportes ______________________________________________________18 6.4.5 Controles periódicos de verificación del cumplimiento __________________________19

6.5 Responsable de Seguridad ___________________________________________________20 6.5.1 Política de Seguridad de la Información Corporativa ____________________________20 6.5.2 Declaración de Ficheros de Carácter Personal__________________________________20 6.5.3 Ejercicio de Derechos de Oposición, Acceso, Rectificación y Cancelación de Datos de Carácter Personal _______________________________________________________________20 6.5.4 Gestión de incidencias ____________________________________________________21 6.5.5 Gestión de Soportes______________________________________________________21 6.5.6 Copias de Respaldo y Recuperación _________________________________________21 6.5.7 Descripción del Uso del Sistema de Información Corporativa _____________________21 6.5.8 Control de Accesos ______________________________________________________21 6.5.9 Registro de Accesos______________________________________________________22 6.5.10 Controles Periódicos de Verificación del Cumplimiento _______________________22

6.6 Responsable Sistemas y Tecnologías de la Información ___________________________23 6.6.1 Política de Seguridad de la Información Corporativa ____________________________23 6.6.2 Sistema Informático y Telemático de Acceso a la Información ____________________23




6.6.3 Gestión de Incidencias____________________________________________________23 6.6.4 Descripción del Uso del Sistema de Información Corporativa _____________________23 6.6.5 Control de Accesos ______________________________________________________23 6.6.6 Registro de accesos ______________________________________________________24

6.7 Usuario Responsable de la Aplicación/Fichero __________________________________25 6.7.1 Ejercicio de Derechos de Oposición, Acceso, Rectificación y Cancelación de Datos de Carácter Personal _______________________________________________________________25 6.7.2 Gestión de Soportes______________________________________________________25 6.7.3 Copias de Respaldo y Recuperación _________________________________________26 6.7.4 Control de Accesos ______________________________________________________26 6.7.5 Externalización de Servicios _______________________________________________26

6.8 Encargado del Tratamiento__________________________________________________27

6.9 Administradores de Bases de Datos/Sistemas/Red _______________________________28 6.9.1 Sistema Informático y Telemático de Acceso a la Información ____________________28 6.9.2 Copias de Respaldo y Recuperación _________________________________________28 6.9.3 Descripción del Sistema de acceso a la Información Corporativa___________________29 6.9.4 Control de Accesos ______________________________________________________29 6.9.5 Registro de Accesos______________________________________________________29

Anexo A. Normas y Procedimientos de Seguridad._________________________ 30

1. Seguridad de la Sala de Servidores___________________________________ 31

2. Procedimiento de Declaración de Ficheros de Carácter Personal. _________ 49

2.1 Disposición de creación de los Ficheros ________________________________________49

2.2 Notificación a la Agencia de Protección de Datos ________________________________50

2.3 Relación de Ficheros Declarados______________________________________________50

3. Procedimiento para el Ejercicio de los Derechos de Oposición, Acceso, Rectificación o Cancelación de Datos de Carácter Personal. _________________ 51

3.1 Notificación al Afectado de sus Derechos _______________________________________51 3.1.1 Formularios Web y Escritos _______________________________________________51 3.1.2 Asistencia Sanitaria ______________________________________________________52 3.1.3 Notificación para el Tratamiento de Datos Personales del Profesional S.A.S. _________52

3.2 Forma de Ejercer los Afectados estos Derechos__________________________________53

3.3 Derecho de Acceso _________________________________________________________53

3.4 Derecho de Rectificación ____________________________________________________54

3.5 Derecho de Cancelación_____________________________________________________54

3.6 Derecho de Oposición_______________________________________________________55

3.7 Comunicación al Afectado ___________________________________________________56

4. Procedimiento de Relaciones Contractuales con Empresas Externas con Acceso a Información Corporativa.____________________________________________ 64

4.1 Encargados de Tratamiento _________________________________________________64 4.1.1 Cláusulas a Incorporar en el Contrato ________________________________________64

4.2 Empresas, Prestatarias de Servicios Sanitarios o de otra índole, a las que se les proporcionan determinados datos para que puedan prestar el servicio.____________________66




4.2.1 Cláusulas a Incorporar en el Contrato ________________________________________66

4.3 Otras Empresas que trabajen para el S.A.S. ____________________________________68 4.3.1 Cláusulas a Incorporar en el Contrato ________________________________________68

5. Registro de Incidencias de Seguridad de la Información Corporativa ______ 69

5.1 Incidencias________________________________________________________________69

5.2 Responsable_______________________________________________________________70

5.3 Notificación de Incidencias __________________________________________________70

5.4 Resolución de la Incidencia __________________________________________________70

5.5 Auditoría _________________________________________________________________71

6. Procedimiento de Gestión de Soportes ________________________________ 73

7. Procedimientos de Respaldo y Recuperación. __________________________ 79

7.1 Confidencialidad___________________________________________________________79

7.2 Responsables ______________________________________________________________79

7.3 Realización de Copias de Respaldo y Periodicidad _______________________________80 7.3.1 Entorno sanitario y económico:_____________________________________________80 7.3.2. Entorno Recursos Humanos: _______________________________________________82

7.4 Inventariado de Copias de Seguridad__________________________________________83

7.5 Identificación de Copias de Seguridad _________________________________________84

7.6 Almacenamiento de las copias de seguridad ____________________________________85

7.7 Entradas y Salidas de Copias de Seguridad _____________________________________86

7.8 Verificación de Copias de Seguridad __________________________________________86

7.9 Recuperación de Información ________________________________________________87

7.10 Destrucción de las copias de seguridad_________________________________________90

7.11 Auditoria del Sistema de Copias de Seguridad __________________________________90

8. Descripción del Uso del Sistema de Información Corporativa ____________ 91

8.1 Documentación Técnica _____________________________________________________91

8.2 Documentación de Usuario __________________________________________________91

9. Procedimiento de Acceso al Sistema de Información ____________________ 92

9.1 Identificación y Autenticación________________________________________________92

9.2 Características del Identificador de Usuario y Contraseña ________________________93

9.3 Altas de Usuarios __________________________________________________________97

9.4 Bajas de Usuarios __________________________________________________________99

9.5 Modificación de Permisos ___________________________________________________99

9.6 Almacenamiento de Contraseñas ____________________________________________100

9.7 Auditoría de Permisos de Acceso ____________________________________________101




10. Registro de Accesos ______________________________________________ 102

10.1 Registros normalizados ____________________________________________________102 Relación de Registros Acceso. __________________________ ¡Error! Marcador no definido.

10.2 Acceso a Información de Carácter Personal de Nivel Alto en Base de Datos _________103

11. Controles periódicos de verificación del cumplimiento _________________ 104

Anexo B. Documentos de Notificación y Disposiciones de Carácter General. __ 105

Anexo C. Plan de emergencia y evacuación ____________________________ 106

Anexo D. Sistemas de información del fichero. _________________________ 107

Anexo E. Referencias Legales _________________________________________ 110

Anexo F. BOJA núm. 200 del 13 de octubre de 2004 ______________________ 112

Anexo G. Alta de operadores. Procedimiento de emergencia

Anexo H. Flujo de Gestión de Incidencias. CEGES.




1. Política de Seguridad En el SERVICIO ANDALUZ DE SALUD confluyen aspectos sanitarios, personales, tecnológicos, financieros, de imagen, etc. Todos estos aspectos se materializan en proyectos, ficheros personales, informes, planes estratégicos, edificios, equipos, etc., que constituyen su patrimonio (bienes tangibles e intangibles), el cual es necesario preservar para el óptimo servicio al ciudadano, además de que su quebranto pueda tener graves repercusiones legales, iría contra la buena imagen, la seguridad y el funcionamiento del Sistema Sanitario. Todos estos aspectos se encuentran plasmados en documentos, materiales y equipos, instalaciones, personas, sistemas informáticos, etc. La preservación de todo lo relacionado con la información que genera el conjunto y, en determinados casos, cuyo conocimiento por terceros no es deseado, se denomina Seguridad de la Información, que al corresponder al Servicio Andaluz de Salud, adquiere el nombre de “Seguridad de la Información Corporativa ”. En este documento, que es el Manual de Seguridad de la Información Corporativa d el S.A.S. (en adelante Manual), están definidas las reglas de actuación en el S.A.S., asegurando un adecuado equilibrio entre las necesidades de los usuarios, las exigencias de Seguridad y el respeto a las leyes vigentes. La aplicación de estas reglas permitirá garantizar la protección de la información y forman parte del conjunto de medidas, controles y procedimientos destinados a cumplir con los tres aspectos básicos que son esenciales para el funcionamiento de la empresa, el cumplimiento de la legalidad vigente y la imagen de la propia empresa: confidencialidad, integridad y disponibilidad. Todos los empleados deberán colaborar en el cumplimiento de las reglas de Política de Seguridad de la Información Corporativa que aquí se regulan, y como consecuencia de ello asumen un deber de colaboración con el S.A.S. en el interés de que no se produzcan alteraciones o violaciones de estas reglas. Este documento es conocido por todas las personas que prestan sus servicios en el S.A.S., por lo que todos conocen las obligaciones que asumen respecto del uso correcto de los recursos informáticos de la empresa. Estas normas serán efectivas desde el mes de enero de 2003, hasta la fecha en que puedan ser modificadas parcial o totalmente. Cada una de las modificaciones que se realicen o adendas que se incorporen al presente documento serán comunicadas a todos los empleados, mediante inserción en la Intranet del S.A.S. El Manual actualizado y vigente será el que se encuentre en cada momento en la Intranet del S.A.S.




2. Objeto del documento. El presente documento desarrolla la política de seguridad definida por el Servicio Andaluz de Salud en materia de Sistemas de Información. Además responde a la obligación establecida en el artículo 8 del Real Decreto 994/1999 de 11 de junio en el que se regulan las medidas de seguridad de los ficheros automatizados que contengan datos de carácter personal, así como lo dispuesto en la Ley Orgánica 15/1999 de 13 de diciembre. Y establece los métodos y procedimientos a seguir por parte del personal del S.A.S., tendentes a conseguir una adecuada protección de los Activos de Información (entre ellos los datos personales), así como su obtención, tratamiento, transmisión, etc. La Seguridad de la Información consiste en un conjunto de medidas, controles, procedimientos y acciones destinados a cumplir con los tres aspectos básicos esenciales para el buen servicio al ciudadano, el cumplimiento de la legalidad vigente y la imagen de la propia entidad:

• Confidencialidad: la información debe ser conocida exclusivamente por las personas

autorizadas, en el momento y forma prevista.

• Integridad: la información tiene que ser completa, exacta y válida, siendo su contenido el previsto de acuerdo con unos procesos predeterminados, autorizados y controlados.

• Disponibilidad: la información debe estar accesible y ser utilizable por los usuarios

autorizados en todo momento, debiendo estar garantizada su propia persistencia ante cualquier eventualidad.




3. Ámbito de aplicación.

3.1 Ámbito funcional Este Manual se aplicará en el Servicio Andaluz de Salud respecto de sus recursos de información y conocimiento, en la extensión y detalle que se describen en el mismo. El documento hace especial hincapié en la política de seguridad definida por la organización para los ficheros que contienen datos de carácter personal, aunque dicha política se aplica a todos aquellos ficheros y recursos, protegidos o no, que contengan o traten datos automatizados, sin olvidar que la protección alcanza al tratamiento de datos no automatizados, es decir, que se encuentren en soportes físicos.

3.2 Ámbito personal La Política de Seguridad contenida en el presente Manual es de obligado cumplimiento para todos los empleados del S.A.S. Este Manual se encuentra inserto en la Intranet del S.A.S., debiéndose proceder a su lectura, y en el caso que no entendiesen algunos de los aspectos que en él se regulan, o tuviesen dudas sobre su contenido, deberán ponerlo en conocimiento del Director de su Centro, Área o Servicio a efecto de que estas dudas puedan ser resueltas, y, como consecuencia de ello, se alcance una mayor eficacia en el cumplimiento de las obligaciones que aquí se recogen. Por principio, todo el personal del S.A.S. está obligado a guardar la debida discreción cuando hable con terceros de asuntos relacionados con ella. Todas las personas que tengan acceso a datos de Ficheros de carácter personal, bien a través del sistema informático habilitado para acceder al mismo, o bien a través de cualquier otro medio automatizado de acceso al Fichero, se encuentran obligadas por ley a cumplir lo establecido en este documento, y sujetas a las consecuencias que pudieran incurrir en caso de incumplimiento.

3.3 Ámbito Material Los Sistemas de Información del S.A.S. están compuestos por: el hardware considerado como el continente o soporte informático y los activos de Información considerados como el contenido. En los activos de información se incluye tanto el software como los datos. Las presentes normas de seguridad son de aplicación a todo el conocimiento del S.A.S., se encuentre en formato digital, papel o cualquier otro. Asimismo, estas normas recogen aspectos de seguridad física que deben disponer aquellos lugares, instalaciones, muebles, etc. donde se almacene información sensible del S.A.S.

4. Definiciones. • Información:

Expresión genérica para indicar todos los datos que pueden ser procesados por cualquier medio y que tienen un determinado valor para el S.A.S.




• LOPD: Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

• Dato de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables. (Artículo 3 LOPD).

• Fichero de datos de carácter personal : Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso. (Artículo 3 LOPD). De cara a su aplicación entendemos fichero como la aplicación informática que recoge y transforma los datos para proporcionar información.

• Responsable del Fichero o Tratamiento: Persona física o jurídica, de naturaleza pública o privada, u organismo administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.

• Encargado del tratamiento:

La persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento.

• Declarante: Persona física que cumplimenta la solicitud de preinscripción y actúa como mediador entre la Agencia y el titular/responsable del Fichero. No debe necesariamente coincidir con el titular/responsable.

• Tratamiento de datos : Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, visualización, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. (Artículo 3 LOPD).

• Afectado o interesado :

Persona física titular de los datos que sean objeto del tratamiento. (Artículo 3 LOPD) • Procedimiento de disociación :

Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.

• Bloqueo de datos: La identificación y reserva de los datos con el fin de impedir su tratamiento.

• Soporte informático : Objeto físico susceptible de ser tratado en un sistema de información y sobre el cuál se puede grabar o recuperar datos.

• Incidencia : Cualquier anomalía que afecte o pudiera afectar a la seguridad de los datos.

• Consentimiento del interesado : Es toda manifestación de voluntad, libre inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.(Artículo 3 LOPD).

• Cesión o comunicación de datos : Es toda revelación de datos realizado a una persona distinta del interesado. (Artículo 3 LOPD).




5. Recursos protegidos. La protección de la información corporativa frente a accesos no autorizados, se deberá realizar mediante el control de todas las vías por las que se pueda tener acceso a ella. Los recursos, que por servir de medio directo o indirecto para acceder a la información corporativa, que deberán ser controlados por esta normativa son: 1. El servicio/unidad de informática y locales donde se encuentren ubicados los ficheros o se almacenen los soportes que los contengan. El servicio/unidad de informática deberá disponer de una sala adecuada para ubicar los equipos servidores y los soportes de almacenamiento necesarios, "Sala de Servidores". Su descripción figura en los Anexos A, apartado 1 y Anexo D. 2. Los puestos de trabajo, bien locales o remotos, desde los que se pueda tener acceso al Fichero. 3. Los servidores, si los hubiese, y el entorno de sistema operativo y de comunicaciones en el

que se encuentra ubicado el Fichero, que está descrito en el Anexo D (Sistemas de información del fichero).

4. Los sistemas informáticos, o aplicaciones establecidos para acceder a los datos, descritos en

el Anexo A, apartado 8 (Descripción del Sistema de Acceso a la Información Corporativa).




6. Funciones y obligaciones del personal.

6.1Definición de perfiles. La definición de perfiles que a continuación se describe responde a la exigencia que marca la LOPD, por una parte, y por otra, a la necesidad de implantar en el S.A.S. una política de seguridad que abarque no solo la información de carácter personal, sino toda la información corporativa. El personal afectado por esta normativa queda clasificado en las siguientes categorías:

• Responsable del Fichero , persona física o jurídica de naturaleza pública o privada u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento. (Artículo 3 LOPD). Internamente esta figura se concreta en el titular del centro directivo o representante legal del centro del que dependa el fichero.

• Responsable de Seguridad cuyas funciones serán las de coordinar y controlar las

medidas definidas en el documento, sirviendo al mismo tiempo de enlace con el Responsable del Fichero, sin que esto suponga en ningún caso una delegación de la responsabilidad que corresponde a este último. (Artículo 16 RD 994/1999).

• Responsable de Sistemas y Tecnologías de la Informa ción , será la persona o entidad

administrativa del propio organismo encargada de las tecnologías de la Información y Comunicaciones corporativas. También puede acumular las funciones de Responsable de Seguridad.

• Usuario Responsable de la Aplicación/Fichero 1, persona física u órgano específico

del S.A.S., que por delegación del Responsable del Fichero tiene bajo su responsabilidad todo lo concerniente a la recogida, grabación, conservación, elaboración, modificación, visualización, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Mantiene contacto diario con la aplicación, conoce su funcionamiento, vela por la seguridad de la misma y trabaja en coordinación con el Responsable de Sistemas y Tecnologías de la Información. Los Usuarios Responsables de la Aplicación serán los responsables de los Centros, Áreas o Servicios que tienen bajo su responsabilidad información de carácter personal, cualquiera que sea su formato.

• Encargado del Tratamiento , la persona física o jurídica, autoridad pública, servicio o

cualquier otro organismo que, sólo o conjuntamente con otros, trate datos por cuenta del Responsable del Fichero. (Artículo 3 LOPD).

Figura creada para el caso de contratación a terceros del tratamiento de los datos. Todas las empresas contratadas por el S.A.S. y que dispongan de cualquier base de datos del S.A.S. para el trabajo que tienen que realizar, tienen la consideración de Encargados del Tratamiento.

• Administradores de Bases de Datos/Red/Sistema , encargados de administrar o

mantener el entorno operativo de la información corporativa. Este personal, será dependiente del Área de Sistemas ya que por sus funciones pueden utilizar herramientas de administración que permitan el acceso a los datos protegidos.

1 Esta interpretación es la que se ha recogido en el presente Manual. Algunos tratadistas lo denominan “Responsable Propietario del Fichero”, para indicar a la persona jurídica o física que tenga a su cargo el tratamiento de los datos.




Deberán además atenerse a aquellas normas, más extensas y estrictas, que se

referencian en este documento, y que atañen, entre otras, al tratamiento de los respaldos de seguridad, normas para el alta de usuarios y contraseñas, así como otras normas de obligado cumplimiento en la unidad administrativa a la que pertenece la información.

• Usuarios , o personal que usualmente utiliza el sistema informático de acceso a la

información corporativa.

6.2Organización de Seguridad **El Encargado del Tratamiento depende legalmente, a través del contrato de prestación del servicio correspondiente, del Responsable del Fichero, sin embargo será el Usuario Responsable de la Aplicación correspondiente, quien vele y le exija el estricto cumplimiento de las normas de seguridad sobre los datos que gestiona.

Usuario Responsable

Aplicación

Usuario

Responsable Seguridad

Administrador Sistemas/Red/BD

Responsable Fichero

Responsable Sistemas y Tecnologías

Encargado Tratamiento

(**)




6.3 Todo el Personal

FUNCIONES Y OBLIGACIONES

Todo el personal está obligado a conocer el Manual de Seguridad de la Información Corporativa. Además de lo que se especifica a continuación y, de manera más específica, es de obligado cumplimiento el llevar a cabo la RESOLUCIÓN de 27 de septiembre de 2004, de la Secre taría General para la Administración Pública, por la que se establece el manual de comportamiento de los empleados públicos en el uso de los sistemas informáticos y redes de comunicaciones de la Administración de la Junta de Andalucía , adjuntado en el Anexo F de este manual. Las funciones y obligaciones que afectan a todo el personal son: 6.3.1 Confidencialidad de la Información

1. Guardarán la debida reserva sobre las materias clasificadas a las que hayan tenido acceso en

razón a su puesto de trabajo u otra circunstancia. 2. Impedirán el acceso de personas no autorizadas al conocimiento de información, en cuya gestión,

tramitación o custodia participe. 3. El Responsable del Fichero y quienes intervengan en cualquier fase del tratamiento de los

datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo. (Artículo 10 LOPD)

4. Queda prohibido extraer datos de un fichero de datos de carácter personal ya existente, o

crear un fichero de datos personales aprovechando los datos de un fichero ya existente, sin la autorización del Responsable del Fichero.

5. Queda prohibido utilizar archivos con datos personales que el S.A.S. no haya comunicado y

registrado ante la Agencia de Protección de Datos. 6. Respecto de aquellos archivos que el S.A.S. haya comunicado y registrado en la Agencia de

Protección de Datos, se prohíbe cruzar información relativa a datos de diferentes ficheros o servicios con el fin de establecer perfiles de personalidad, hábitos de consumo o cualquier otro tipo de preferencias, sin la autorización expresa del responsable del fichero.

6.3.2 Salvaguarda y protección de las contraseñas p ersonales

1. Cada usuario será responsable de la confidencialidad de su contraseña y, en caso de que la

misma sea conocida fortuita o fraudulentamente por personas no autorizadas, deberá registrarlo como incidencia y proceder a su cambio o que ésta sea cambiada por el Administrador de Red/Sistemas.

2. Solamente para aquellos casos excepcionales en los que sea necesario continuar con las

funciones que realizaba la persona ausente (debido a una baja o ausencia temporal no prevista), será el responsable del Centro, Área, o en caso de ficheros de carácter personal, el Usuario Responsable de la Aplicación/Fichero, el que podrá solicitar a los administradores el




acceso a sus datos, dejando constancia en la aplicación de Mantenimiento del Sistema de Información.

3. Toda clave cumplirá unas normas mínimas, según detalla en el Anexo A, apartado 9 el

Procedimiento de Acceso al Sistema de Información. 4. En el caso de que el Administrador de Sistemas solicite la contraseña/password para tareas

de mantenimiento, la misma deberá ser cambiada inmediatamente después que se termine con dichas tareas.

6.3.3 Puesto de trabajo

1. El puesto de trabajo estará bajo la responsabilidad de un usuario autorizado que garantizará

que la información que muestran no pueda ser visible por personas no autorizadas.

Esto implica que tanto las pantallas como las impresoras u otro tipo de dispositivos conectados al puesto de trabajo deberán estar físicamente ubicados en lugares que garanticen esa confidencialidad. Cuando el responsable de un puesto de trabajo lo abandone, bien temporalmente o bien al finalizar su turno de trabajo, deberá dejarlo en un estado que impida la visualización de los datos protegidos.

2. Todos los puestos de trabajo estarán configurados de forma que el tiempo máximo que una máquina permanecerá desbloqueada será de 60 minutos a partir del momento en que se usó por última vez. Obsérvese que esto no entra en conflicto con el hecho de que el usuario pueda tener configurado un tiempo menor de bloqueo.

3. En el caso de las impresoras deberá asegurarse de que no quedan documentos impresos en la bandeja de salida que contengan datos protegidos. Si las impresoras son compartidas con otros usuarios no autorizados para acceder a los datos correspondientes, los responsables de cada puesto deberán retirar los documentos conforme vayan siendo impresos.

4. Queda expresamente prohibida la conexión desde los puestos de trabajo en los que se realiza

el acceso a la información corporativa, a redes o sistemas exteriores a través de dispositivos que no estén controlados por el sistema de seguridad de la Red Corporativa de Transmisión de Datos de la Junta de Andalucía. En concreto módem, enlaces de radiofrecuencia, tarjetas inalámbricas, routers o bridges WIFI. La revocación de esta prohibición será autorizada por el Responsable del Fichero, quedando constancia como incidencia.

5. Los puestos de trabajo desde los que se tiene acceso a la información corporativa tendrán una

configuración fija en sus aplicaciones, sistemas operativos que sólo podrá ser cambiada por el Administrador de Sistema, el cual deberá solicitar autorización al Responsable de Sistemas Y Tecnologías, existiendo unas normas de unificación de todos los terminales informáticos.

Por tanto queda prohibida la instalación, por parte del usuario, de cualquier tipo de Aplicaciones/Programas (software) en los puestos de trabajo, así como borrar cualquiera de los programas instalados.

6. Queda prohibido abrir los equipos o máquinas (hardware) para realizar cualquier tarea sobre

ellos sin autorización previa y por escrito del Administrador de Red/Sistemas. Asimismo tampoco se podrán agregar o retirar partes o componentes de los mismos.

7. No se podrán retirar los equipos de cualquier edificio del S.A.S. sin previa autorización escrita.




6.3.4 Sistema Informático y Telemático de Acceso a la Información

. 1. Todos los recursos telemáticos e informáticos del S.A.S., incluido por tanto Internet y el correo

electrónico, serán usados con fines profesionales directamente relacionados con el puesto de trabajo del usuario.

2. Queda estrictamente prohibido el uso de programas informáticos sin la correspondiente

licencia, así como el uso, reproducción, cesión, transformación o comunicación pública de cualquier tipo de obra o invención protegida por la propiedad intelectual o industrial.

6.3.5 Otros Recursos

1. El empleado, en el momento en que finalice su contrato con el S.A.S. deberá entregar a los

responsables de los Centros, Áreas o Servicios cualesquiera dibujos, anotaciones, memorandos, especificaciones, esquemas, fórmulas, y documentos, junto con todas las copias de los mismos, y cualquier otro material que contenga o revele cualquier Invención de la Empresa, Información de Terceras Partes o Información clasificada del S.A.S. Asimismo deberá devolver todos aquellos instrumentos de trabajo que le han sido puestos a disposición por la compañía: teléfono móvil, tarjetas de acceso a edificios y CPD, ordenadores portátiles, etc., que son propiedad del S.A.S.

6.3.6 Gestión de Incidencias

1. Es obligación de todo el personal del S.A.S. notificar cualquier incidencia que afecte a la

seguridad de los datos, o presunción/sospecha de la misma, que se produzca en los sistemas de información a los que tenga acceso y recopilar toda la información posible para optimizar el procedimiento de detección del problema.

2. Es obligación de todo el personal del S.A.S. notificar al Responsable de Seguridad cualquier otra incidencia, de naturaleza no técnica, que atente o pueda atentar contra la seguridad de la información corporativa.

3. El conocimiento y la no notificación de una incidencia por parte de un usuario será considerada como una falta del mismo contra la Seguridad del Fichero por parte de éste.

6.3.7 Gestión de soportes

1. Los soportes que contengan datos, bien como consecuencia de operaciones intermedias

propias de la aplicación que los trata, o bien como consecuencia de procesos periódicos de respaldo o cualquier otra operación esporádica, deberán estar claramente identificados con una etiqueta externa que indique de qué fichero se trata, qué tipo de datos contiene, proceso que los ha originado y fecha de creación.

2. Aquellos medios que sean reutilizables, y que hayan contenido copias de datos no públicos,

deberán ser borrados físicamente antes de su reutilización, de forma que los datos que contenían no sean recuperables.

3. Los soportes que contengan datos no públicos deberán estar almacenados en lugares a los

que sólo tengan acceso personas autorizadas.




4. Cualquier movimiento total o parcial de un fichero de carácter personal, ya sea en soporte físico o transferencia telemática, fuera de los locales donde está ubicado el fichero deberá ser autorizada por el Responsable del Fichero (artículo 13.2 del RD 994/1999).

5. Cuando los datos de un fichero de carácter personal deban ser enviados fuera del recinto

físicamente protegido donde se encuentra ubicado el Fichero, bien sea mediante un soporte físico de grabación de datos o bien sea mediante correo electrónico, deberán ser cifrados de forma que sólo puedan ser leídos e interpretados por el destinatario.

6. Se deberán registrar en el Registro de Entrada/Salida los correos electrónicos o transferencia

de datos de carácter personal por red, de forma que se pueda siempre identificar su origen, tipo de datos, formato, fecha y hora del envío y destinatario de los mismos.

6.3.8 Copias de Respaldo y Recuperación

1. El Administrador de Red/Sistemas/Base de Datos se responsabiliza de realizar las copias de

seguridad de los servidores, y en ningún caso de los ordenadores personales. Esto implica que la información corporativa debe siempre guardarse en el espacio de servidor habilitado para los profesionales y/o Áreas concretas.




6.4 Responsable del Fichero

FUNCIONES

1. El Responsable del Fichero es el encargado jurídicamente de la seguridad del fichero y de las

medidas establecidas en el presente documento, implantará las medidas de seguridad establecidas en él y adoptará las medidas necesarias para que el personal afectado por este documento conozca las normas que afecten al desarrollo de sus funciones. (Artículos 8.1 y 9.2 RD 994/1999).

2. Designará al Responsable de Seguridad. (Artículo 16 RD 994/1999). 3. Notificará a los Usuarios Responsables de Aplicación/Fichero, Responsable de Sistemas y

Tecnologías de la Información, las responsabilidades que asumen al tomar posesión de sus cargos en lo que respecta a la Seguridad de la Información.

4. El Responsable del Fichero se concreta en el titular del centro directivo o representante legal

del centro del que dependa el fichero.

OBLIGACIONES

6.4.1 Política de Seguridad de la Información Corpo rativa

1. Implantar las medidas de seguridad establecidas en este documento y garantizar la difusión

de este Documento, a todo el personal relacionado con la información corporativa. 6.4.2 Declaración de Ficheros de Carácter Personal

1. Solicitará a la Consejería de Salud la creación y publicación en BOJA de los ficheros que

contengan datos de carácter personal y que sean necesarios para el funcionamiento del S.A.S.

2. Notificará a la Agencia de Protección de Datos los ficheros creados mediante Orden de la

Consejería y publicados en el BOJA.

6.4.3 Ejercicio de derechos de oposición, acceso, rectificación o cancelación de Datos de Carácter Personal

1. El Responsable del Fichero habilitará los mecanismos para cumplir el procedimiento de

ejercicio del derecho de oposición, acceso, rectificación y cancelación que la Ley otorga, en los casos que proceda, dejando registro de dicha solicitud.

6.4.4 Gestión de soportes

1. Cualquier movimiento total o parcial de un fichero de carácter personal, ya sea en soporte

físico o transferencia telemática, fuera de los locales donde esta ubicado el fichero deberá ser autorizada por el Responsable del Fichero. (Artículo 13.2 del RD 994/1999).




El Responsable del Fichero delega esta gestión del movimiento en el Responsable de Seguridad.

6.4.5 Controles periódicos de verificación del cump limiento

1. Al menos cada dos años, se realizará una auditoría, externa o interna que dictamine el

correcto cumplimiento y la adecuación de las medidas del presente documento de seguridad o las exigencias del reglamento de seguridad, identificando las deficiencias y proponiendo las medidas correctoras necesarias. Los informes de auditoría serán analizados por el Responsable de Seguridad, quien propondrá al Responsable del Fichero las medidas correctoras correspondientes. (Artículo 17 RD 994/1999).




6.5 Responsable de Seguridad

FUNCIONES

1. Sus funciones serán las de coordinar y controlar las medidas definidas en el documento,

sirviendo al mismo tiempo de enlace con el Responsable del Fichero. (Artículo 16 RD 994/1999).

OBLIGACIONES


1. El Responsable de Seguridad coordinará la puesta en marcha de las medidas de seguridad,

colaborará con el Responsable del Fichero en la difusión y el cumplimiento del Documento de Seguridad.

2. Deberá mantenerlo actualizado siempre que se produzcan cambios relevantes en el sistema

de información o en la organización del mismo.

3. Deberá adecuar en todo momento el contenido del mismo a las disposiciones vigentes en materia de seguridad de datos, y asegurar que el nuevo documento llega a todo el personal afectado .

6.5.2 Declaración de Ficheros de Carácter Personal

1. El responsable de Seguridad analizará la viabilidad de crear un nuevo fichero o solicitar las

modificaciones a ficheros ya declarados. 2. Para la creación del fichero se solicitará:

� Disposición de creación del fichero a la Consejería de Salud � Declaración a la Agencia de Protección de Datos

Según establece el procedimiento de Declaración de Ficheros de Carácter Personal.

3. El Responsable de Seguridad mantendrá siempre actualizado el Anexo B de este documento donde se relacionan los ficheros que contengan datos de carácter personal, con indicación de las referencias: escrito de remisión a la Consejería de Salud, publicación en BOJA, remisión a la Agencia de Protección de datos, etc.

6.5.3 Ejercicio de Derechos de Oposición, Acceso, R ectificación y Cancelación de Datos de Carácter Personal

1. El Responsable de Seguridad vigilará el correcto cumplimiento en cuanto a la notificación del

tratamiento de datos de carácter personal al afectado, según establece el procedimiento para el ejercicio de derechos de oposición, acceso, rectificación y cancelación de datos de carácter personal.

2. En caso de recibir una solicitud para ejercer sus derechos, el responsable del Registro de

Entrada/Salida hará llegar una copia del impreso al Responsable de Seguridad, el cual a su




vez lo reencaminará al Usuario Responsable de la Aplicación/Fichero correspondiente al Centro, Área o Servicio (que tiene a su cargo la manipulación del fichero en cuestión).

3. El Responsable de Seguridad controlará si se están gestionando adecuadamente las

reclamaciones, los tiempos y si pueden ser causa de algún tipo de sanción por parte de la Agencia de Protección de Datos.

6.5.4 Gestión de incidencias

1. El Responsable de Seguridad implantará las medidas necesarias, según el Procedimiento de

Registro de Incidencias de Seguridad de la Información Corporativa, que estarán a disposición de todos los usuarios y administrador de Red/Sistemas/BD con el fin de que se registre, cualquier incidencia que pueda suponer un peligro para la seguridad del mismo.

2. El Responsable de Seguridad, analizará con periodicidad al menos trimestral las incidencias

registradas, para independientemente de las medidas particulares que se hayan adoptado en el momento que se produjeron, adoptar las medidas correctoras que limiten esas incidencias en el futuro.

6.5.5 Gestión de Soportes

1. El responsable de seguridad, verificará, con periodicidad al menos trimestral, el cumplimiento

de lo previsto en el procedimiento de Gestión de Soportes. 6.5.6 Copias de Respaldo y Recuperación

1. Al Responsable de Seguridad le corresponde la supervisión de los soportes de grabación de

las copias de respaldo y de las relaciones con las empresas externas (siempre que éstas lleven a cabo labores de copias de respaldo y desarrollen la labor de custodia y aseguramiento de las copias de respaldo), toda vez que se cumpla con las garantías contractuales y legales necesarias para garantizar la seguridad y confidencialidad de las copias de respaldo, marcando las responsabilidades de cada parte en estas funciones.

2. Participará en la recuperación de los datos en la forma descrita en el procedimiento de

respaldo y recuperación. 3. Realizará la auditoría del sistema de copias de respaldo, según establece el procedimiento

correspondiente, dos veces al año, documentando el resultado. 6.5.7 Descripción del Uso del Sistema de Informació n Corporativa

1. Al menos una vez al trimestre revisará, conjuntamente con el Responsable de Sistemas y

Tecnologías de la Información, que los sistemas estén actualizados según recomendaciones de los fabricantes.

6.5.8 Control de Accesos

1. El Responsable de Seguridad comprobará, con una periodicidad al menos trimestral, que la

lista de usuarios autorizados se corresponde con los usuarios que realmente deben estar autorizados para el acceso a la aplicación.




6.5.9 Registro de Accesos

1. El Responsable de Seguridad y Responsable de Sistemas y Tecnologías de la Información

son los responsables de determinar los registros de accesos que se llevarán a cabo en el S.A.S.

2. El Responsable de Seguridad revisará periódicamente la información registrada elaborando un

informe de incidencias al menos una vez al mes. (Artículo 24.5 RD 994/1999) 6.5.10 Controles Periódicos de Verificación del Cum plimiento

1. Al menos cada dos años, se realizará una auditoría, externa o interna que dictamine el

correcto cumplimiento y la adecuación de las medidas del presente documento de seguridad, identificando las deficiencias y proponiendo las medidas correctoras necesarias. Los informes de auditoría serán analizados por el Responsable de Seguridad, quien propondrá al Responsable del Fichero las medidas correctoras correspondientes. (Artículo 17 RD 994/1999).

2. Los resultados de las auditorías serán documentados.




6.6 Responsable Sistemas y Tecnologías de la Inform ación

FUNCIONES

1. Es el responsable de los sistemas tecnológicos, que dan soporte a la información corporativa,

es decir, de las operaciones y procedimientos técnicos de carácter automatizado que permiten la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, de la información corporativa.

2. Designará a los Administradores del Sistema/Red/Base de datos, y cuya actividad coordinará.

OBLIGACIONES


1. Implantación de todas las medidas recogidas en este Documento y velar por la

confidencialidad, disponibilidad, consistencia e integridad de los datos.


1. Autorizará, a propuesta del Administrador de Sistemas/Red/Base de Datos, los cambios en el

software y en el equipamiento informático y de comunicaciones.

2. Comunicará al Responsable de Seguridad cualquier cambio que se haya realizado en la configuración de hardware o software, procediendo igualmente a la actualización de este documento si procede.

6.6.3 Gestión de Incidencias

1. Se encargará de que se dé solución a las incidencias ocurridas y registradas en la aplicación

de Mantenimiento del Sistema de Información.

6.6.4 Descripción del Uso del Sistema de Informació n Corporativa

1. Velará por el cumplimiento de los requisitos de documentación de los sistemas, establecidos

en el Anexo A, apartado 8 de Descripción del Uso del Sistema de Información Corporativa. 2. Al menos una vez al trimestre revisará, conjuntamente con el Responsable de Seguridad, que

los sistemas estén actualizados según recomendaciones de los fabricantes. 6.6.5 Control de Accesos

1. Se encargará de que los sistemas informáticos tengan su acceso restringido mediante un

código de usuario y una contraseña y con las características que establece en el Anexo A, apartado 9, Procedimiento de Acceso al Sistema de Información.




6.6.6 Registro de accesos

1. El Responsable de Seguridad y Responsable de Sistemas y Tecnologías de la Información

son responsables de determinar los registros de accesos que se llevarán a cabo en el S.A.S.




6.7 Usuario Responsable de la Aplicación/Fichero

FUNCIONES

1. Contacto directo con la explotación diaria de la aplicación y conociendo su funcionamiento

pormenorizado vele por el mantenimiento de seguridad de la misma, trabaje en coordinación con el Responsable de Sistemas y Tecnologías de la Información, siguiendo las pautas de seguridad dictadas por el Responsable de Seguridad.

2. Se corresponde con el responsable, del S.A.S., de la actividad correspondiente.

OBLIGACIONES

6.7.1 Ejercicio de Derechos de Oposición, Acceso, R ectificación y Cancelación de Datos de Carácter Personal

1. El Usuario Responsable de la Aplicación/Fichero estudiará la reclamación y elaborará un

escrito de comunicación al reclamante, en sentido aprobatorio o denegatorio, indicando en este último caso las causas, haciéndole ver que pueden ejercitar el derecho de reclamación ante la Agencia de Protección de Datos. El escrito deberá ir firmado por el Responsable del Fichero. Se deberá tener muy en cuenta los plazos fijados por la normativa a aplicar.

2. En caso de que se proceda a hacer efectivo alguno de los derechos el Usuario Responsable

de la Aplicación/Fichero analizará si existieron cesiones para notificarlo a quien trate los datos cedidos y notificará los cambios al Encargado del Tratamiento en caso de que exista.

3. El Usuario Responsable de la Aplicación/Fichero será el encargado de hacer efectivo el

derecho reclamado en la forma y plazo que establece el procedimiento para el ejercicio de oposición, acceso, rectificación y cancelación de datos de carácter personal.

6.7.2 Gestión de Soportes

1. El Usuario Responsable de la Aplicación/Fichero creará un inventario de soportes y

transferencias donde registrará cada soporte que contenga información de carácter personal o confidencial, o cualquier transferencia telemática de dicha información, según el procedimiento de gestión de soportes

2. La preparación de soportes informáticos para su posterior envío, con información clasificada

como confidencial o personal de nivel alto, ya sea en formato físico (disquete, CDROM, listado, etc.) o en formato electrónico (correo electrónico), será realizada por el Usuario Responsable de la Aplicación/Fichero. La autorización de la salida la llevará a cabo el Responsable del Fichero2. (Artículo 13.2 RD 994/1999).

2 El RD 994/1999 establece en su artículo 13.2 que la autorización será del Responsable del Fichero. Sin embargo para una más ágil operativa se establece en el S.A.S. que la autorización será del Usuario Responsable de la Aplicación/Fichero por ser quien vela en su operativa diaria por el cumplimiento de las normas establecidas sobre la información que trata.





1. Para poder proceder a la recuperación de información, a partir de las copias de respaldo, se

tendrá que recabar la autorización previa del Usuario Responsable de la Aplicación/Fichero3 (Artículo 21.2 RD 994/1999).


1. Proponer las altas y bajas de acceso de usuarios a su aplicación y/o información

correspondiente en la aplicación de Mantenimiento del Sistema de Información, según establece el Anexo A, apartado 9 de Procedimiento de Acceso al Sistema de Información.

Es importante resaltar la obligatoriedad de notificar la baja, en el momento que se conozca, del personal que deba dejar de tener acceso a la información corporativa.

2. El Usuario Responsable de la Aplicación/Fichero comprobará, con una periodicidad al menos

trimestral, que la lista de usuarios autorizados de su Área o Sede se corresponde con la lista de los usuarios realmente autorizados en la aplicación de acceso a la información corporativa, para lo que recabará la lista de usuarios y su identificador de acceso al administrador, notificando toda variación (alta/baja/modificación) según se determina en apartados anteriores.

6.7.5 Externalización de Servicios

1. En caso de externalizar el servicio o tratamiento de su responsabilidad, velar por el

cumplimiento de las obligaciones contractuales del Encargado del Tratamiento que corresponda.

3 El RD 994/1999 establece que la autorización será por parte del Responsable del Fichero. En el S.A.S. se establece que dicha autorización se delega al Usuario Responsable de la Aplicación/Fichero, como persona más en contacto con la operativa diaria.




6.8 Encargado del Tratamiento

FUNCIONES

1. Tratamiento de la información corporativa conforme a las instrucciones que expresamente

figuran en este Manual.

RESPONSABILIDADES

1. El Encargado del Tratamiento adquiere una responsabilidad contractual con el S.A.S. si

menoscaba alguna de las normas que se relacionan en el presente manual.

OBLIGACIONES

1. Cumplir las instrucciones del Usuario Responsable de la Aplicación/Fichero y la finalidad

señalada en el contrato. 2. Preservar que sólo tengan acceso, y a la información correspondiente, las personas

autorizadas para ello, actuando únicamente con el alcance que le haya sido fijado: sólo consulta, modificación, etc.

Para ello propondrá las altas y bajas de acceso de usuarios a su aplicación y/o información correspondiente en la aplicación de Mantenimiento del Sistema de Información, según establece el Anexo A, apartado 9 de Procedimiento de Acceso al Sistema de Información.

Es importante resaltar la obligatoriedad de notificar la baja, en el momento que se conozca, del personal que deba dejar de tener acceso a la información corporativa.

3. Hacer cumplir todas las funciones, obligaciones y recomendaciones que se recogen en el

apartado 6.3 del presente Manual, respecto a todos sus usuarios que traten la información corporativa del S.A.S.

4. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser

destruidos o devueltos al Usuario Responsable de la Aplicación/Fichero, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.




6.9 Administradores de Bases de Datos/Sistemas/Red

FUNCIONES

1. Mantener los sistemas de acceso a la información corporativa.

2. Dispondrán de los máximos privilegios. Tendrán acceso al software (programas y datos) del

sistema, a las herramientas necesarias para su trabajo y a los ficheros o bases de datos necesarios para resolver los problemas que surjan.

OBLIGACIONES


1. Impedirá que existan herramientas o programas de utilidad que permitan accesos no

autorizados a información corporativa.

En la norma anterior se incluye cualquier medio de acceso en bruto, es decir no elaborado o editado, a los datos, como los llamados "queries", editores universales, analizadores de ficheros, etc., que deberán estar bajo el control de los administradores autorizados.

2. Será responsabilidad del Administrador de Red/Sistemas/Base de Datos mantener

completamente actualizados los sistemas, en todo momento, con las actualizaciones que recomiende el fabricante, a fin de eliminar todas aquellas vulnerabilidades, en cuanto a seguridad, que sean posibles.

3. Si la aplicación o sistema de acceso a la información corporativa utilizase usualmente ficheros

temporales, ficheros de "log", o cualquier otro medio en el que pudiesen ser grabados copias de los datos protegidos, el administrador deberá asegurarse de que esos datos no son accesibles posteriormente por personal no autorizado.

4. Se asegurará en todo caso que el sistema de eliminación de ficheros temporales establecido

en el S.A.S. funciona correctamente. 5. Si en un ordenador está ubicada información corporativa no pública, y el ordenador está

integrado en una red de comunicaciones de forma que desde otros ordenadores conectados a la misma sea posible el acceso a la información corporativa, el administrador responsable del sistema deberá asegurarse de que este acceso no se permite a personas no autorizadas.

6. Los Administradores de Red/Sistemas/Base de Datos ejecutarán, previa autorización del

Responsable de Sistema y Tecnologías de la Información y del Usuario Responsable de la Aplicación/Fichero correspondiente, cualquier cambio en la configuración del hardware y software de acceso a la información corporativa, procediendo igualmente a la actualización de la documentación correspondiente.


1. El Administrador de Sistema/Red/BD es el responsable de realizar las copias de respaldo, de

realizar la verificación de que las copias se hayan hecho de forma correcta y de realizar las recuperaciones de la información, así como de tener un registro en el que se anotarán todas




las posibles incidencias que ocurran al realizar las copias y todas las recuperaciones de información que se tengan que hacer.

2. En caso de fallo del sistema con pérdida total o parcial de los datos aplicará los

procedimientos, informáticos o manuales, que partiendo de la última copia de respaldo y del registro de las operaciones realizadas desde el momento de la copia, reconstruya los datos al estado en que se encontraban en el momento del fallo. (Artículo 14.2 RD 994/1999).

3. Al menos con periodicidad trimestral, realizará una recuperación de las copias de respaldo que

permitan la recuperación de la información corporativa, según lo estipulado en el procedimiento de Respaldo y Recuperación.

4. El administrador deberá responsabilizarse de inventariar, identificar, registrar y guardar en

lugar protegido las copias de seguridad y respaldo según establece el procedimiento de respaldo y recuperación.

6.9.3 Descripción del Sistema de acceso a la Inform ación Corporativa

1. Los Administradores de Red/Sistemas/Base de Datos ejecutarán, previa autorización del

Responsable de Sistemas y Tecnologías de la Información y del Usuario Responsable de la Aplicación/Fichero correspondiente, cualquier cambio en la configuración del hardware y software de acceso a la información corporativa, procediendo igualmente a la actualización de la documentación correspondiente.


1. Ejecutará las solicitudes del Usuario Responsable de la Aplicación/Fichero, para el cambio de

permisos de accesos a la información corporativa, altas y bajas, según el Procedimiento de Acceso al Sistema de Información (Anexo A, apartado 9).

2. Las contraseñas se asignarán y se cambiarán mediante el mecanismo y periodicidad que se

determina en el Procedimiento de Acceso al Sistema de Información (Anexo A, apartado 9). Este mecanismo de asignación y distribución de las contraseñas deberá garantizar la confidencialidad de las mismas, y será responsabilidad del administrador del sistema.

3. EL Administrador de Sistemas/Red realizará el seguimiento y control del funcionamiento de la

administración de contraseñas del sistema. 6.9.5 Registro de Accesos

1. El Administrador de Sistemas/Red/Base de Datos designado, será el encargado de activar el

sistema de registro de accesos según establece el procedimiento de Registro de Accesos (Anexo A, apartado 10).

2. Se controlarán los intentos de acceso fraudulento a la información corporativa, limitando el

número máximo de intentos fallidos según determine el Procedimiento de Acceso al Sistema de Información (Anexo A, apartado 9), y, cuando sea técnicamente posible, guardando en un fichero auxiliar la fecha, hora, código y clave erróneas que se han introducido, así como otros datos relevantes que ayuden a descubrir la autoría de esos intentos de acceso fraudulentos.

3. Será necesario también, cuando se autorice el acceso a un fichero con datos de carácter

personal y considerado de nivel alto, guardar la información que permita identificar el registro accedido.




Anexo A. N ORMAS Y PROCEDIMIENTOS DE SEGURIDAD.

1. Seguridad de la Sala de Servidores.

2. Procedimiento de Declaración de Ficheros de Cará cter Personal.

3. Procedimiento para el Ejercicio de los Derechos de Oposición, Acceso, Rectificación o Cancelación de D atos de Carácter Personal.

4. Procedimiento de Relaciones Contractuales con Em presas Externas con Acceso a Información Corporativa.

5. Registro de Incidencias de Seguridad de la Infor mación Corporativa.

6. Procedimiento de Gestión de Soportes.

7. Procedimientos de Respaldo y Recuperación.

8. Descripción del Uso del Sistema de Información Corporativa.

9. Procedimiento de Acceso al Sistema de Informació n.

10. Registro de Accesos.

11. Controles Periódicos de Verificación del Cumpli miento.




Seguridad de la Sala de Servidores

OBJETIVO

Definir los mínimos funcionales y recomendaciones que deben cumplir las Salas de Servidores.

DESCRIPCIÓN

1. Los locales donde se ubiquen los ordenadores, equipos de comunicaciones y soportes que

contengan información corporativa, deben ser objeto de especial protección que garantice la disponibilidad y confidencialidad de los datos protegidos, especialmente en el caso de que estén conectados a red. Previniendo la interrupción de los servicios informáticos, daño físico, difusión de la información no autorizada, pérdida de integridad de los datos y robo.

2. Los locales deberán contar con los medios mínimos de seguridad que eviten los riesgos de

indisponibilidad de los datos, que pudieran producirse como consecuencia de incidencias fortuitas o intencionadas. La información sobre los medios necesarios son:

� Descripción de la ubicación física. � Tipo de control de acceso a locales. � Sistemas contra incendios. � Sistema de continuidad eléctrica. � Control de temperatura y humedad. � Equipamiento: armarios ignífugos, etc. El CTI del SAS se encuentra ubicado en la planta sótano del edificio del Servicio Andaluz de Salud situado en la Calle Américo Vespucio nº 13, 41092 Sevilla. También existen oficinas pertenecientes al CTI del SAS en las plantas cero y segunda de dicho edificio. La sala de servidores se encuentra en el sótano del edificio. Dicha sala esta a su vez dividida en dos salas, una que albergará todos los servidores, y otra donde estarán todos los operadores de la sala de servidores. Para poder acceder a la sala de servidores hay que atravesar la sala de operadores. 3. El acceso a los locales donde se encuentren ordenadores, equipos de comunicaciones y soportes que contengan información corporativa, deberá estar restringido exclusivamente a los administradores de los sistemas que deban realizar labores de mantenimiento para las que sean imprescindibles el acceso físico. Dotando de medidas que limiten el libre acceso y la identificación de los mismos. Cuando deba acceder personal externo para prestar servicios técnicos (instalaciones, mantenimientos ,etc.) su visita deberá estar prevista, avisada con antelación y supervisada. Exclusivamente el personal autorizado en el documento de seguridad podrá tener acceso a los locales donde se encuentren ubicados los sistemas de información con datos de carácter personal(Art. 19 del Reglamento de Medidas de Seguridad) El CTI se encuentra situado en un edificio. Para poder entrar a este edificio es necesario tener una tarjeta dotada con banda magnética y contraseña. Esta tarjeta tiene que ser autorizada por el Jefe de Servicio de Informática del SAS previa solicitud formal para tal efecto, y la da de alta el Responsable de los Operadores del CTI. Si eres una persona que no puede acceder al recinto, en la entrada existe un vigilante de seguridad que se encarga de recoger en un libro - registro todas las entradas realizadas al recinto, apuntando el nombre, apellidos y DNI de la persona que entra, la hora de entrada, la




empresa a la que pertenece y la persona o cargo con el que tiene la entrevista. El encargado de almacenar estos libros con los datos de las personas que acceden al recinto es personal de la empresa AGESA. Para poder entrar a la sala de servidores, solo pueden hacerlo personal autorizado, que en este caso son el responsable y los operadores del CTI. Si otra persona quiere entrar al recinto existe un telefonillo con cámara de vigilancia. Para entrar a las salas donde se encuentran los distintos departamentos del Servicio de Informática del SAS se utiliza la tarjeta con contraseña. 4. Los locales dispondrán de medidas suficientes para el control de incendios . • Sistemas de detección mediante sensores adecuados (detectores de calor/humo). • Conexión a alarma centralizada. • Sistema de extinción automático por desplazamiento de oxígeno. (Fuego Eléctrico) • Sistema de Pulsador de disparo/aviso dentro y fuera de la sala. • Alarma Sonora del sistema de extinción automático. • Sistema de control y gestión POWER OFF/POWER ON para cada Sistema Operativo

(integrando los procesos de desconexión y reconexión de base de datos y usuarios, así como log de la incidencia)

a) Sistemas de detección y alarma

Los sistemas automáticos de detección de incendio y sus características y especificaciones seajustarán a la norma UNE 23.007(apartado 1.1 del apéndice 1 del reglamento de instalaciones de protección contra incendios) Los detectores de incendio necesitarán, antes de su fabricación o importación, ser aprobados acuerdo con lo indicado en el articulo 2 del Reglamento de instalaciones de protección contra incendios, el cual dice lo siguiente: El cumplimiento de las exigencias establecidas en este Reglamento para aparatos, equipos, sistemas o sus componentes deberá justificarse, cuando así se determine, mediante certificación de organismo de control que posibilite la colocación de la correspondiente marca de conformidad a normas. Un sistema de detección automática y alarma de incendios es aquel que es capaz de transmitir una señal automática mediante detectores o manual a través de los pulsadores desde el lugar en el que se produce el incendio hasta una central vigilada y la posterior comunicación de la alarma a los servicios contra -incendios y al personal implicado. Dichos sistemas estarán formados por los siguientes elementos: - La instalación de detectores automáticos de incendios, formado por una serie de detectores,

situados en los locales a proteger, accionados por los fenómenos desencadenados por el incendio. En el CTI del SAS, dichos detectores automáticos se encuentran instalados en tres ambientes diferentes:

1. Ambiente en el falso techo. 2. Ambiente en el suelo. 3. Ambiente entre el falso techo y el suelo.

El equipo es del tipo “direccionable”, permitiendo la identificación individual de cada uno de los puntos de detección, por parte de la central de alarma, situada en el Centro de Control (CECO) .Todos los detectores de humo empleados son del tipo iónico y termovelocimétrico. El sistema se completa por medio del pulsador de alarma, conectado a la central de alarmas, e identificable “punto a punto”




Se realizan revisiones de mantenimiento cada tres meses de los sistemas de detección contra

incendios. - La instalación de pulsadores de disparo/ aviso, integrada por pulsadores manuales de alerta,

los cuáles siempre requerirán la intervención del hombre para su funcionamiento, e informarán de la presencia de un incendio descubierto por los ocupantes del edificio. Los pulsadores de alarma se situarán de modo que la distancia máxima a recorrer, desde cualquier punto hasta alcanzar un pulsador, no supere los 25 metros(apartado 2 del apéndice 1 del reglamento de instalaciones de protección contra incendios)

Dichos pulsadores de disparo/ aviso se encuentran en una caja de mandos situada en la

entrada de la sala de operadores del CTI. Al estar divididas las salas en tres ambientes diferentes, en el cuadro de mandos existirán tanto un pulsador como un inhibidor para cada ambiente. La distancia que un operador de la sala de servidores u otra persona que se encuentre tanto en la sala de operadores como en la sala de servidores tiene que recorrer hasta llegar al pulsador no supera los 25 metros.

- La instalación de alarma, está formada por los indicadores ópticos, acústicos u óptico-

acústicos. Estos suelen ser las sirenas electrónicas y campanas, las luces estroboscópicas y los combinados de ambos.

El sistema de comunicación de la alarma permitirá transmitir una señal diferenciada, generada

voluntariamente desde un puesto de control. La señal será en todo caso, audible, debiendo ser, además, visible cuando el nivel de ruido donde deba ser percibida supere los 60 dB(A) (apartado 3 del apéndice 1 del reglamento de instalaciones de protección contra incendios)

Cuando salta la alarma contra incendios en la sala de servidores, la sirena suena con un nivel

audible bastante alto. Dicha alarma saltará también en el control de seguridad que se encuentra en la entrada principal del recinto.

- La central de incendios, será la encargada de alimentar y supervisar todos los equipos

anteriores, recibir la información de los detectores y pulsadores y dirigir las transmisiones de alarmas al edificio y al exterior.

- Los sistemas de comunicación de alarma, son los encargados de enviar los eventos

aparecidos en el sistema a un centro receptor de alarmas o a los servicios implicados. Estos sistemas disminuyen los tiempos de respuesta a incidentes, e incrementa el nivel de seguridad. Cuando salta la alarma en la sala de servidores, también lo hace en la sala de los vigilantes de seguridad para avisarle que existe un incendio o una avería en la sala de servidores. Los mismos vigilantes de seguridad serán los encargados de avisar a las dotaciones de bomberos en el caso de que el fuego se complicara.

b) Agentes extintores

Los extintores de incendio, sus características y especificaciones se ajustarán al “Reglamento

de Aparatos a Presión” y a su instrucción Técnica Complementaria MIE-AP5. Los extintores de incendio, necesitaran, antes de su fabricación o importación, con independencia de lo establecido por la ITC-MIE.AP5, ser aprobados de acuerdo con lo establecido en el artículo 2 del Reglamento de instalaciones de protección contra incendios, Real Decreto 1942/1993, a efectos de justificar el cumplimiento de lo dispuesto en la norma UNE 23.110.

En todo edificio, se dispondrán extintores y número suficiente para que el recorrido real en

cada planta desde cualquier origen de evacuación hasta un extintor no supere los 15 metros.




En los locales o zonas de riesgo especial que se indica en el artículo 19 se instalarán extintores de eficacia como mínimo 21 A o 55 B, según la clase de fuego previsible, conforme

a los criterios siguientes: Se instalará un extintor en el exterior del local o de la zona y próximo a la puerta de acceso; este extintor podrá servir simultáneamente a varios locales o zonas. En el interior del local o de la zona se instalarán además los extintores suficientes para que la longitud del recorrido real hasta alguno de ellos, incluido el situado en el exterior, no sea mayor que 15 m en locales de riesgo medio o bajo, o que 10 m en locales o zonas de riesgo alto, cuya superficie construida sea menor que 100 m2. Cuando estos últimos locales tengan una superficie construida mayor que 100 m2 los 10 m de longitud de recorrido se cumplirán con

respecto a algún extintor instalado en el interior del local o de la zona.(Art. 20.1 Real Decreto 2177/1996 de 4 de Octubre)

En el CTI del Servicio Andaluz de Salud existen instalados suficientes extintores manuales,

todos ellos con la carga vigente. Hay 4 extintores de 6kg y otros 4 extintores de 12kg, con una separación entre ellos de entre 3 y 4 metros de distancia. La ubicación de cada extintor está señalizada de tal forma que permita una fácil localización de los mismos.

El emplazamiento de los extintores permitirá que sean fácilmente visibles y accesibles, estarán situados próximos a los puntos donde se estime mayor probabilidad de iniciarse el incendio, a ser posible, próximos a las salidas de evacuación y preferentemente sobre soportes fijados a parámetros verticales, de modo que la parte superior del extintor quede, como máximo, a 1.70 metros del suelo. Para evitar que el extintor entorpezca la evacuación, en escaleras y pasillos es recomendable su colocación en ángulos muertos.

Estos extintores están permanentemente presurizados, y cuya presión de impulsión se

consigue con ayuda de un gas propelente, inerte, como el nitrógeno seco, en el caso de los extintores de la sala de servidores.

Todo extintor debe llevar un dispositivo adecuado que pueda interrumpir temporalmente la

salida del agente extintor una vez efectuado el disparo.(Art. 8-1.3 del ITC MIE AP5) Todos los extintores de incendios y botellines deben de proyectarse de forma que permitan la

verificación de su estanqueidad a intervalos regulares. (Art. 8-2 del ITC MIE AP5) Los extintores permanentemente presurizados deben de estar equipados con un manómetro

indicador de presión que debe señalar si la presión interna del extintor no ha caído a un nivel inferior al necesario para un funcionamiento correcto del mismo. Además, deben estar equipados de un dispositivo que permita medir directamente la presión del gas con un aparato de medida independiente, o bien verificar el correcto funcionamiento del manómetro de que está provisto el extintor. (Art. 8-2.3 del ITC MIE AP5).

Todos los extintores de presión incorporada y botellines deben someterse a un ensayo de

estanqueidad cuando son cargados o recargados. (Art. 8-2.4 del ITC MIE AP5) En la sala de servidores los agentes extintores portátiles que se encuentran contienen Polvo

Seco ABCE de 6 y 12 kg, adecuados( según la norma UNE 23.010) para apagar fuegos de materiales sólidos, líquidos y gases. El recipiente que contenga el polvo deberá mantenerse cerrado para evitar que absorba humedad, así como almacenarse en lugar seco. La recarga de extintores deberá hacerse en sitio seco. Las bajas temperaturas no afectan al comportamiento del polvo, pero no se permitirá que la temperatura de almacenamiento alcance los 60 ºC ya que el polvo se inutilizaría.

El extintor irá provisto de una placa de diseño, que llevará grabados los siguientes datos:




• Presión de diseño (presión máxima de servicio) • Numero de la placa de diseño que se asigne a cada aparato, el cuál será exclusivo para

cada extintor.

• Fecha de la primera prueba y sucesivas, y marca de quien la realiza.

• La fijación de esta placa será permanente, bien por remache o soldadura, autorizándose en los extintores que carezcan de soporte para la misma, que la placa sea adherida por otro medio, siempre que se garantice su inamovilidad.

• Dichas placas, que serán facilitadas por los respectivos órganos competentes de la

Administración, serán metálicas, debiendo resistir sin deterioro sensible la acción del los agentes externos, con los que normalmente estén en contacto a lo largo de la vida útil del extintor, de modo que en todo momento sean legibles sus indicaciones.

Dicha placa se muestra en la figura siguiente: Todos los extintores irán, además, provistos de una etiqueta de características que deberá contener como mínimo los siguientes datos:

Figura 1.Placa de diseño de un extintor

• Nombre o razón social del fabricante o importador que ha registrado el tipo al que corresponde al extintor.

• Temperatura máxima y mínima del servicio.

• Productos contenidos y cantidad de los mismos.

• Eficacia para extintores portátiles de acuerdo con la norma UNE 23-110.

• Tipos de fuego para los que no debe utilizarse el extintor.

• Instrucciones de empleo




• Fecha y contraseña correspondiente al registro de tipo

• La placa de diseño y etiqueta de características irán redactadas al menos en castellano.

La empresa mantenedora colocará en todo extintor que haya mantenido y/o recargado fuera de la etiqueta del fabricante del mismo, una etiqueta con su número de autorización, nombre, dirección, fecha en la que se ha realizado la operación fecha en que debe realizarse la próxima revisión, entregando además al propietario del aparato un certificado del mantenimiento realizado en el que conste el agente extintor, el gas propelente, las piezas o componentes sustituidos y las observaciones que estime oportunas.(Disposición Transitoria Única de Orden de 10 de marzo de 1998 para la modificación de ITC MIE AP5)

El RIPCI establece las condiciones mínimas de mantenimiento a las que deben ser sometidos

los extintores instalados como protección, siendo de dos tipos:

• Operaciones a realizar por el personal del titular de la instalación o equipo. a) Cada tres meses:

• Comprobación de la accesibilidad, buen estado aparente de conservación de precintos, inscripciones, manguera, etc.

• Operaciones a realizar por el personal especializado del fabricante o instalador del equipo o sistema, que obligatoriamente deberán estar registrados en la Delegación de Industria de cada Comunidad Autónoma.

b) Anualmente:

• Verificación del estado de la carga, (peso, presión) y en el caso de extintores de polvo con botellín impulsor, estado del agente extintor.

• Comprobación de la presión de impulsión del agente extintor, mediante aparato de comprobación independiente. • Estado de la manguera, boquilla o lanza, válvulas y partes mecánicas.

c) Cada cinco años:

• A partir de la fecha de timbrado del extintor (y por tres veces) se retimbrará el extintor de acuerdo con la ITC MIE-AP5 del Reglamento de Aparatos a presión sobre extintores de incendio. • Verificación del estado de la carga, (peso, presión) y en el caso de extintores de polvo con botellín impulsor, estado del agente extintor. • Comprobación de la presión de impulsión del agente extintor, mediante aparato de comprobación independiente. • Estado de la manguera, boquilla o lanza, válvulas y partes mecánicas.




c) Extinción automática de incendios

Tanto las características de los agentes extintores gaseosos como la utilización de los mismos deberán garantizar la seguridad de los ocupantes y la protección del medio ambiente. .(Art. 20.7 Real Decreto 2177/1996 de 4 de Octubre) Se prohíbe el uso de los halones, en sistemas instalados, a partir del 31 de diciembre de 2002 y se insta a decomisar los sistemas de protección contra incendios que contengan halones antes del 31 diciembre de 2003. Se prescriben fechas de prohibición de la producción de estas sustancias, aunque se permite la fabricación para usos esenciales. De modo explícito cita que los clorufluorocarburos, totalmente halogenados, los halones, el tetracloruro de carbono, el 1-1-1 tricloroetano, los hidrobromofluorocarburos contenidos en: • Aparatos de refrigeración y aire acondicionado. • Aparatos que contengan disolventes • Sistemas de protección contra incendios y extintores • Espumas rígidas. De acuerdo al Reglamento CE 3093/94, se ha elaborado la siguiente tabla incluyendo sólo aquellas sustancias implicadas en el sector de los extintores:

Grupo Nombre genérico Prohibición de la producción

Grupo III Halones

Halon-1211 Halon-1301 Halon-2402

A partir del 01-01-1994

Grupo VIII Hidroclorofluorocarburos

HCFC-22 HCFC-123 HCFC-124

A partir del 01-01-1996

Tabla 1. Sustancias prohibidas en los extintores (Reglamento (CE) nº 3093/94 del Consejo de 15 de diciembre de 1994 relativo a las sustancias que agotan la capa de ozono.) Programa de eliminación: 1. Hasta el 31 de diciembre de 2002, está permitido el uso de halones reciclados o regenerados

en los sistemas de protección contra incendios y en los extintores instalados. Es decir, autorizadas las recargas por actuación y por operaciones de mantenimiento (retimbrados)

2. El 1 de enero de 2003, fin de la autorización de recargas. 3. Entre el 1 de enero de 2003 y el 31 de diciembre de 2003, los sistemas pueden mantenerse

en servicio. En caso de disparo por actuación o por necesidades del mantenimiento, la instalación debería desmantelarse.

El 31 de diciembre de 2003, es la fecha límite para que los sistemas de protección contra incendios, y los extintores que contengan halones, sean retirados del servicio y el halon recuperado. Reglamento (CE) nº 2037/00 sobre las sustancias que agotan la capa de ozono. Hasta mediados del 2004 el gas que se estuvo utilizando fue el gas Halón. Debido al nuevo reglamento sobre las sustancias que agotan la capa de ozono, tuvo que ser sustituido por otro tipo




de gas. Este es el gas FE13, el cuál tiene un tiempo de descarga que no es superior a los diez segundos y es muy eficaz en zonas de bajas temperaturas que tengan los techos altos, como es el caso de la sala de servidores. Este gas es utilizado en los extintores de los tres ambientes existentes tanto en la sala de servidores como en la sala de operadores de la sala de servidores. Los sistemas por agentes extintores gaseosos estarán compuestos, como mínimo, por los siguientes elementos: 1) Mecanismo de disparo 2) Equipos de control de funcionamiento eléctrico o neumático 3) Recipientes para gas a presión 4) Conductos para el agente extintor 5) Difusores de descarga Los mecanismos de disparo serán por medio de detectores de humo, elementos fusibles, termómetro de contacto o termostatos o disparo manual en lugar accesible. La capacidad de los recipientes de gas a presión deberá ser suficiente para asegurar la extinción del incendio y las concentraciones de aplicación se definirán en función del riesgo, debiendo quedar justificados ambos requisitos. Estos sistemas sólo serán utilizables cuando quede garantizada la seguridad o la evacuación. (apartado 13 del apéndice 1 del reglamento de instalaciones de protección contra incendios) d) Salida de emergencia desde la sala de servidor es Las salidas de emergencia que tiene la sala de servidores se encuentran dibujadas de color rojo en el siguiente plano. Tanto la sala de operadores del CTI, como la sala de servidores del CTI y sala de imprenta se encuentran dibujadas en color amarillo.




Figura 2. Vías de evacuación y sectores de incendio. Planta Sótano




Los humos, gases corrosivos y humedades procedentes de otros fuegos del edificio donde se ubiquen estos locales también pueden afectar, por tanto es necesario evaluar la seguridad contra incendios del resto del edificio . El edificio cuenta con una serie de instalaciones de extinción de incendios, que son las siguientes:

e) Hidrantes exteriores El recinto del edificio dispone, en un radio de 200 metros en torno a su perímetro, de un total de 3 hidrantes exteriores.Uno de ellos se encuentra inmediatamente próximo al edificio, a una distancia aproximada de unos 25 metros. En los tres casos, se trata de equipos dotados de dos tomas de 70 mm, con racor tipo Barcelona f) Extintores portátiles En el resto del edificio del CTI del SAS existen instalados suficientes extintores manuales, todos ellos con la carga vigente. Dichos extintores están señalizados con placas de tal forma que se permite una fácil localización de los mismos, cumpliendo con lo dispuesto en el Artículo 20.1 Real Decreto 2177/1996 de 4 de Octubre sobre los extintores portátiles, expuesto en el apartado anterior. La protección por medio de extintores portátiles se ha resuelto por medio de unidades de 6 y 12 Kg de polvo ABCE, distribuidas por los distintos sectores, pasillos y cuartos de maquinaria. La distribución y localización de los extintores en todo el edificio es la siguiente: Planta Semisótano (Nivel -

4,23M.).

Ext. 6 Kg

Ext. lOKg

Ext. 12 Kg

Pasillo y Galería

Pasillo norte

2

Pasillo sur

1

3

Pasillo este

1

1

Reprografía

Sala

3

1

Sala De Maquinas

Sala

3

2

CPD

Sala

4

4

Garaje

Sala

4

1




PLANTA BAJA (Nivel + 0,02 m)

Ext. 6 Kg

Ext. 10 Kg

Ext. 12 Kg

ALA ESTE

6

1

ALA OESTE

6

PLANTA PRIMERA (Nivel + 4,47 m)

Ext. 6 Kg

Ext. 10 Kg

Ext. 12 Kg

ALA ESTE

6

ALA OESTE

6

PLANTA SEGUNDA (Nivel + 8,91 m)

Ext. 6 Kg

Ext. lOKg

Ext. 12 Kg

ALA ESTE

6

ALA OESTE

6

PLANTA CUBIERTA (Nivel + 13,36 m)

Ext. 6 Kg

Ext. 10 Kg

Ext. 12 Kg

ALA ESTE

1

2

ALA OESTE

1

2

El número total de extintores instalados se resume en el siguiente cuadro:

6Kg

10 Kg

12 Kg

PLANTA SEMISOTANO

18

—

—

PLANTA BAJA

ALA ESTE

6

—

1

ALA OESTE

6

—

—

PLANTA PRIMERA

ALA ESTE

6

—

—

ALA OEST

6

—

—

PLANTA SEGUNDA

ALA ESTE

6

—

—

ALA OESTE

6

—

—

PLANTA CUBIERTA




ALA ESTE

6

2

—

ALA OESTE

6

2

—

TOTAL

66 de 6 Kg

4 de 10 Kg

8 de 12 Kg

Tabla 2. Distribución y localización de extintores en el edificio

g) Bocas de incendio equipadas (BIE) El edificio presenta también bocas de incendio equipadas (BIE) dispuestas por todo el edificio. Los sistemas de bocas de incendio equipadas estarán compuestos por una fuente de abastecimiento de agua, una red de tuberías para la alimentación de agua y las bocas de incendio equipadas (BIE) necesarias. Las bocas de incendio equipadas, deberán, antes de su fabricación o importación, ser aprobadas de acuerdo con lo dispuesto en el articulo 2 del Reglamento de instalaciones de protección contra incendios, justificándose el cumplimiento de lo establecido en las normas UNE 23.402 y UNE 23.403. Las BIE deberán montarse sobre un soporte rígido de forma que la altura de su centro quede como máximo a 1.50 m, sobre el nivel del suelo o a más altura, si se trata de BIE de 25mm, siempre que la boquilla y la válvula de apertura manual, si existen, estén situadas a la altura citada. Las BIE instaladas en las instalaciones del SAS cumplen con lo dispuesto en el Artículo 20.3 Real Decreto 2177/1996 de 4 de Octubre sobre la instalación de bocas de incendios equipadas. Dicho articulo se explica a continuación:

Los edificios, los establecimientos y las zonas cuyos usos se indican a continuación deberán estar protegidos por una instalación de bocas de incendio equipadas.

a) Administrativo y Docente, cuya superficie total construida sea mayor que 2.000 m2. b) Locales o zonas de riesgo alto, conforme el apartado 19.1 en los que el riesgo

dominante se deba a la presencia de materias combustibles sólidas. Las bocas de incendio equipadas deben ser del tipo normalizado 25 mm, excepto en los locales citados en el apartado g) anterior, en los que serán del tipo normalizado 45 mm. Una zona diáfana se considera protegida por esta instalación cuando la longitud de manguera y el alcance del agua proyectada, estimado en 5 m, permite alcanzar a todo punto de la misma. Si la zona está compartimentada, bastará que la longitud de la manguera alcance todo origen de evacuación. La separación máxima entre cada BIE y su más cercana será de 50 m. La distancia desde cualquier punto del local protegido hasta la BIE más próxima no deberá exceder de 25m. Se deberá mantener alrededor de cada BIE una zona libre de obstáculos que permita el acceso a ella y su maniobra sin dificultad. El edificio cuenta con una red de bocas de incendio equipadas(BIE). Se trata de BIE de 25 mm de diámetro ubicadas en despachos, pasillos y zonas comunes. Como toma general de agua para la distribución de la red de extinxión de incendios en el edificio se ha utilizado la toma de 4” de diámetro prevista en el proyecto de ejecución del Edificio.




La distribución de los equipos es la siguiente: 1. Planta Semisótano: 4 2. Planta Baja: 6 3. Planta Primera: 6 4. Planta Segunda: 6

TOTAL: 22 En el Edificio donde se alberga el CTI del Servicio Andaluz de Salud existen salidas de emergencia como tales y las puertas de salida del mismo se encuentran señalizadas correctamente. Todo el recorrido de evacuación está señalizado con placas UNE 23 033 y UNE 23 034 y todas las rutas de evacuación están libres de obstáculos, cumpliendo con lo dispuesto en el Artículo 12 Real Decreto 2177/1996 de 4 de Octubre sobre señalización e iluminación que a continuación se detalla: 1. Las salidas de recinto, planta o edificio contempladas en el articulo 7 estarán señalizadas,

excepto en edificios de uso Vivienda y, en otros usos, cuando se trate de salidas de recintos cuya superficie no exceda de 50 m2, sean fácilmente visibles desde todo punto de dichos recintos y los ocupantes estén familiarizados con el edificio.

2. Deben disponerse señales indicativas de dirección de los recorridos que deben seguir desde

todo origen de evacuación hasta un punto desde el que sea directamente visible la salida o la señal que la indica y, en particular, frente a toda salida de un recorrido con ocupación mayor que 100 personas que acceda lateralmente a un pasillo.

En los puntos de los recorridos de evacuación que deban estar señalizados en los que existan alternativas que puedan inducir a error, también se dispondrán las señales antes citadas, de forma tal que quede claramente indicada la alternativa correcta.

En dichos recorridos, las puertas que no sean salida y que puedan inducir a error en la evacuación, deberán señalizarse con la señal correspondiente definida en la norma UNE 23 033 dispuesta en lugar fácilmente visible y próximo a la puerta.

3. Las señales se dispondrán de forma coherente con la asignación de ocupantes a cada salida realizada conforme a las condiciones establecidas en el apartado 7.4. Para indicar las salidas, de uso habitual o de emergencia, se utilizarán las señales definidas en la norma UNE 23 034. El edificio dispone de diversos tipos de alumbrado de emergencia a lo largo de todos los recorridos y en locales de maquinaria. Se trata de aparatos con lámpara de incandescencia de 40 y 60W instalados en los techos y apliques circulares con lámparas de incandescencia de 60W, en paredes. Así mismo, todas las salidas de emergencia disponen de alumbrado de señalización de emergencia. Todos estos puntos de luz están conectados al grupo electrógeno, de manera que en caso de interrupción de suministro eléctrico, queda garantizado un nivel de iluminación suficiente para permitir una evacuación segura y ordenada. h) En todo el edificio, existen diversos medios de comunicación y de transmisión de alarmas.

1) Megafonía: El recinto del Edificio cuenta con un sistema de megafonía interior comandado desde el punto de control situado en el CECO




2) Comunicaciones vía radio: Los miembros de la brigada de seguridad, disponen de un total de 2 transceptores portátiles (walkie-talkies), que permiten la comunicación entre ellos.

3) Telefonía: El edificio cuenta con una red de telefonía interior, así como líneas

exteriores que permiten la comunicación inmediata con el CECO, así como Bomberos, Policía, Ambulancia, etc...

4) Pulsadores de alarma: Existe una red de pulsadores de alarma distribuidos por el

Edificio, conectados a la central de alarmas.

5) Como medios humanos disponemos de cinco personas:

6) Centro de Control (CECO): Atendido por un Vigilante de Seguridad, 24 horas al día, todos los días.

• Equipo de Primera Intervención: Atendido por personal de mantenimiento

durante el día ( no incluida la noche) todos los días y formado por un Oficial de 1ª y de un Ayudante, ubicados en el edificio.

• Equipo de Segunda Intervención: Atendido por un Vigilante de Seguridad 24

horas al día, todos los días, ubicado en el edificio, más el jefe de seguridad durante el horario de oficinas en días lectivos.

En el siguiente plano se indican las medidas de protección y extinción existentes. La parte marcada de amarillo es la correspondiente a la sala de servidores, a la sala de operadores de la sala de servidores y a la sala de imprenta.




Figura 3. Medios de protección y extinción existentes. Planta Sótano




Se recomienda la disponibilidad de: materiales ignífugos, compartimentación de los locales, almacén de papel separado de servidores, suelo técnico registrable. El material con el que esta construido el falso techo y el suelo es incombustible o resistente al fuego. Los consumibles como cintas y cartuchos magnéticos se almacenan en un almacén separado y alejado de la sala de servidores. Los locales dispondrán de medidas suficientes para el aseguramiento de la continuidad del fluido eléctrico. • Sistema SAI On line u Off line con una autonomía mínima de 30 minutos para la potencia

consumida. • Preferiblemente conectado a un grupo electrógeno. • Sistema de control y gestión POWER OFF/POWER ON para cada Sistema Operativo

(integrando los procesos de desconexión y reconexión de base de datos y usuarios, así como log de la incidencia)

• Se deben verificar una vez al mes su correcto funcionamiento. En el diseño de la instalación eléctrica, hay que tener en cuenta lo dispuesto en el Reglamento Electrotécnico para Baja Tensión, e instalar los dispositivos adecuados. La función de estos dispositivos consiste en proteger a las personas que utilizan la instalación eléctrica y a los equipos que están conectados a ella. La disponibilidad y calidad del suministro eléctrico son factores muy importantes para garantizar la seguridad de los sistemas de información, especialmente en el aspecto de la disponibilidad, además de los costes que implican las posibles averías y daños motivados por la falta de calidad de éste suministro. Los problemas más comunes en líneas de potencia incluyen las sobretensiones, microcortes, subidas y bajadas de tensión, caídas de tensión, fallos de suministro y variaciones de frecuencia. En muchas instalaciones eléctricas, de ordenadores y de comunicaciones, la perdida de suministro eléctrico puede ser económica o físicamente catastrófica. La única solución fiable frente a estas perdidas, la constituyen las fuentes de alimentación ininterrumpida o SAI y la utilización de generadores autónomos de energía eléctrica. El CTI del SAS cuenta con una serie de dispositivos para proteger a las personas y equipos que están conectados a la instalación eléctrica. Dichos dispositivos son interruptores magneto- térmicos , que son dispositivos electromecánicos que se colocan en las instalaciones eléctricas con el fin de protegerlas frente a las intensidades excesivas producidas como consecuencia de cortocircuitos o por el excesivo número de elementos de consumo conectados a ellas, e interruptores diferenciales que son unos dispositivos electromecánicos que se colocan en las instalaciones eléctricas con el fin de protegerlas y proteger a las personas de las derivaciones causadas por faltas de aislamiento entre los conductores activos y tierra o masa de los aparatos. El edificio también dispone de fusibles y un transformador para tal efecto. i) Sistema de Alimentación Ininterrumpida(SAI)

Un sistema de alimentación ininterrumpida es un dispositivo que nos ofrece la protección más completa posible, contra la falta de calidad del suministro eléctrico, incluyendo la ausencia de este. El modo de funcionamiento básico de un SAI consiste en cargar un banco de baterías mientras la alimentación de C.A está disponible, de manera que al interrumpirse la alimentación CA la




batería puede proporcionar alimentación a los elementos del sistema de información durante un tiempo limitado que va desde cinco minutos hasta una o dos horas dependiendo de las características del SAI. Los SAI deben incluir protección contra sobrevoltaje y elementos de seguridad, y si no disponen de ellas, deben usarse en unión de otros elementos que si faciliten estas protecciones. Existen dos tipos básicos de SAI, funcionamiento en línea y funcionamiento fuera de línea. En funcionamiento fuera de línea, la posición del conmutador de transferencia es tal que la entrada de CA, procedente de la red de suministro eléctrico, una vez filtrada, es la fuente de potencia primaria, y se produce el cambio a batería/ inversor, como fuente de respaldo, solo en caso de falta de suministro de fuente primaria(de CA). En el modo de funcionamiento en línea, el conmutador de transferencia selecciona el grupo baterías/ inversor como fuente primaria de energía, y se conmuta a entrada de CA como fuente de respaldo en caso de fallo de la fuente primaria( batería/ inversor). Esta diferencia en el modo de funcionamiento es simple, pero importante para entender el correcto funcionamiento de un SAI. El SAI del edificio donde se ubica el CTI del SAS proporciona alimentación ininterrumpida durante 10 minutos. El tipo de funcionamiento es en línea con un bypass interno. Las baterías que componen el SAI se encuentran almacenadas en un lugar refrigerado ya que la temperatura de las baterías afecta a su fiabilidad. La vida de las baterias se reduce en un 10% por cada 5º C de incremento de temperatura j) Grupos Electrógenos

El uso de generadores de energía eléctrica autónomos, conocidos como grupos electrógenos, es necesario para garantizar el suministro eléctrico a nuestras instalaciones, en cualquier circunstancia. El grupo electrógeno instalado en el edificio donde se ubica el CTI del SAS tiene una potencia de 500 kw. El tamaño del grupo es bastante grande. El tipo de combustible que utiliza este grupo es diesel. El grupo está fijo y la capacidad del tanque de combustible es de 1000 litros, lo que le da una autonomía de entre 7 y 10 horas, aunque esta autonomía puede ser ilimitada ya que se puede recargar el tanque de combustible y el grupo seguirá funcionando. El sistema de refrigeración que presenta el grupo es por medio de agua.

k) Los locales dispondrán de medidas suficientes para el aseguramiento de la temperatura y humedad relativa del entorno.

Elementos básicos: • Control de temperatura, máxima y mínima. • Alarma de temperatura excesiva (conectada a la central de alarmas del centro). • Equipos adecuados a las necesidades de refrigeración. • Temperatura de trabajo de 20º y Humedad relativa del 40% al 60%. • Los equipos de refrigeración dispondrán de "Control de Condensación" para el correcto funcionamiento en época invernal. Existe un sistema de climatización adecuado. Cuando falla el aire acondicionado existe un sistema de detección de temperatura. Existe corriente de electricidad para los dos sistemas de aire acondicionado.




También existe un sistema de climatización de emergencia basado en una serie de splits. Todas las maquinas de la sala de servidores disponen de sensores que avisan cuando la temperatura aumenta. La empresa que mantiene el sistema de climatización del CTI del SAS lleva un mantenimiento adecuado del sistema de climatización, con los cambios de filtros y limpieza de conductos correspondientes. La temperatura a la que se encuentra la sala es entre 19-21·C con margen de fluctuación. Las maquinas te avisan cuando existe un aumento excesivo de la temperatura. Existe una humedad relativa del 50%.

l) Control de riesgos externos: goteras, vías de agua, inundaciones, colapsos estructurales.

Se debe evitar el paso de tuberías de agua, gases, etc., sobre locales donde se ubiquen los ordenadores, equipos de comunicaciones y soportes. Se deben controlar las válvulas de corte o control, situarse los equipos a distancia prudencial de las conducciones de agua corriente o de calefacción, canalizaciones, bajantes, etc. No deben rodear a los locales por arriba, por abajo, o a los lados: laboratorios con productos químicos, almacenes de materiales explosivos o inflamables, calderas o depósitos de gases comprimidos, tuberías de fluidos, desagües. Debido a los peligros de las inundaciones no es aconsejable la ubicación en sótanos, se recomienda ubicarse entre la segunda y sexta planta. El techo de la sala donde se encuentran los equipos informáticos es impermeable y esta compuesto de goma ignífuga. Los operadores del CTI conocen exactamente la ubicación de las tuberías del agua del aire acondicionado. No existen en el techo tuberías de agua. Las tuberías del agua del aire acondicionado presentan llaves de paso para poder cerrarlas en caso de rotura o inundación. No existen detectores de fugas de agua y de humedad en el suelo. Solo existen detectores de humos. f) Se debe disponer de medidas de prevención de riesgos físicos a través de una política de

seguridad (Documento de Seguridad de la Información Corporativa del S.A.S.), planes de contingencia, planes de autoprotección (O.M. de 29/11/84, NBE-CPI 96 – RD 2177/96), aplicación de normativas, etc.

Tanto los equipos informáticos y auxiliares como los sistemas de detección deben ser revisados y probados regularmente.




2. Procedimiento de Declaración de Ficheros de Carácte r Personal.

OBJETIVO

Cumplir con la legislación vigente sobre la declaración de ficheros de carácter personal y llevar un control de los mismos.

DESCRIPCIÓN

1. Antes del uso de cualquier aplicación o fichero con datos de carácter personal el responsable

de la actividad que requiera o genere dicho fichero deberá comunicarlo al Responsable de Seguridad facilitándole toda la información que éste requiera sobre el contenido y finalidad del fichero.

2. El responsable de Seguridad analizará la viabilidad de crear un nuevo fichero o solicitar las

modificaciones a ficheros ya declarados. 3. Para la creación del fichero se solicitará:

� Disposición de creación del fichero a la Consejería de Salud � Declaración a la Agencia de Protección de Datos

a. Disposición de creación de los Ficheros 1. El Responsable del Fichero solicitará a la Consejería de Salud la publicación de disposición de

creación del fichero en el Boletín Oficial de la Junta de Andalucía (BOJA) de la siguiente forma:

El artículo 20 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, establece que la creación, modificación o supresión de los ficheros de las Administraciones Públicas sólo podrán hacerse por medio de disposición general publicada, para el ámbito de Andalucía, en el Boletín Oficial de la Junta (BOJA). Con tal motivo se solicita que los ficheros relacionados en los anexos sean ordenados publicar por esa Consejería en el BOJA, al objeto de que posteriormente por el S.A.S. se proceda a su notificación ante la Agencia de Protección de Datos. Los apartados que se recogen de cada fichero son los relacionados en el artículo 20.2 de la citada Ley Orgánica.

ANEXO 4 a) Finalidad del fichero: b) Usos previstos: 4 Se toman como referencias los apartados que el artículo 20.2 de la LOPD relaciona y que todo fichero debe contener.




c) Personas o colectivos sobre los que se pretenda obtener datos de carácter personal o que

estén obligados a suministrarlos: d) Procedimiento de recogida de los datos de carácter personal: e) Estructura básica del fichero y la descripción de los tipos de datos de carácter personal incluidos en el mismo: f) Cesiones de datos de carácter personal: g) Órganos de las Administraciones responsables del fichero: h) Servicios o Unidades ante los que pueden ejercerse los derechos de acceso, rectificación, cancelación y oposición: i) Nivel de Seguridad:

b. Notificación a la Agencia de Protección de Datos 1. El Responsable de Seguridad notificará a la Agencia de Protección de Datos el fichero, según

el procedimiento establecido por ésta.

c. Relación de Ficheros Declarados 1. El Responsable de Seguridad mantendrá siempre actualizado el Anexo B de este documento

donde se relacionan los ficheros que contengan datos de carácter personal, con indicación de las referencias: escrito de remisión a la Consejería de Salud, publicación en BOJA, remisión a la Agencia de Protección de datos, etc.




3. Procedimiento para el Ejercicio de los Derechos de Oposición,

Acceso, Rectificación o Cancelación de Datos de Car ácter Personal.

OBJETIVO

Indicar cuáles son los derechos que los interesados o afectados titulares de los datos tienen, así como establecer un mecanismo para que estos derechos puedan ser ejercitados ante el Responsable del Fichero. La LOPD reconoce los derechos que los ciudadanos pueden ejercitar, acceso, rectificación, cancelación y oposición, respecto de los ficheros automatizados que incluyan datos personales. Esta obligación afecta tanto a los datos contenidos en ficheros automatizados, como a los incluidos en soporte papel, en virtud de la Disposición Adicional Primera.

DESCRIPCIÓN

a. Notificación al Afectado de sus Derechos 1. Previamente a la solicitud de datos de carácter personal a los interesados, se les debe

informar de modo expreso, preciso e inequívoco:

� De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. (Artículo 5.1.d LOPD).

� De la identidad y dirección del Usuario Responsable de la Aplicación/Fichero o, en su caso, de su representante. (Artículo 5.1.e LOPD).

i. Formularios Web y Escritos

1. En cumplimiento del punto anterior, en todas las recogidas de datos de carácter personal que

se realicen, se deberá introducir una cláusula con el siguiente contenido:

En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y demás normativa aplicable, el Servicio Andaluz de Salud le informa que sus datos personales obtenidos mediante la cumplimentación de este documento/formulario/impreso, van a ser incorporados para su tratamiento en un fichero automatizado. Así mismo se le informa que la recogida y tratamiento de dichos datos tienen como finalidad la.................... Si lo desea, puede ejercitar los derechos de acceso, rectificación, cancelación y oposición, previstos por la ley, dirigiendo su escrito a la siguiente dirección:...............

Incluyendo la finalidad que se le darán a los datos recogidos, y que habrán de coincidir con lo declarado previamente a la Agencia de Protección de Datos. (Artículo 5.2 LOPD).




ii. Asistencia Sanitaria

1. Debido a la gravedad de la situación en una demanda de urgencias, no se notificará en el

mismo momento, al afectado, la circunstancia de que se están registrando los datos en una base de datos.

2. Para la notificación se incluirá el siguiente escrito en la "Carta de Deberes y Derechos de los

Pacientes":

En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y demás normativa aplicable, el Servicio Andaluz de Salud le informa que la información obtenida en la asistencia sanitaria a su persona ha sido incorporada para su tratamiento en un fichero automatizado. Así mismo se le informa que la recogida y tratamiento de dichos datos tienen como finalidad la asistencia sanitaria del paciente. Si lo desea, puede ejercitar los derechos de acceso, rectificación, cancelación y oposición, previstos por la ley, dirigiendo su escrito a la siguiente dirección:....

3. Además se incluirá en todo panfleto de información sobre la asistencia sanitaria que ofrece el

S.A.S., con el siguiente párrafo:

En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y demás normativa aplicable, el Servicio Andaluz de Salud le informa que la información obtenida en la asistencia sanitaria a su persona ha sido incorporada para su tratamiento en un fichero automatizado. Así mismo se le informa que la recogida y tratamiento de dichos datos tienen como finalidad la asistencia sanitaria del paciente. Si lo desea, puede ejercitar los derechos de acceso, rectificación, cancelación y oposición, previstos por la ley, dirigiendo su escrito a la siguiente dirección:....

iii. Notificación para el Tratamiento de Datos Pers onales del Profesional S.A.S.

1. Para la notificación del tratamiento automatizado de los datos del profesional S.A.S. se incluirá

en los documentos relacionados el siguiente escrito:

En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y demás normativa aplicable, el Servicio Andaluz de Salud (S.A.S.) le informa que sus datos personales facilitados por Vd. al propio S.A.S., han sido incorporados para su tratamiento en un fichero automatizado. Así mismo se le informa que la recogida y tratamiento de dichos datos tienen como finalidad la gestión interna del personal del S.A.S. Si lo desea, puede ejercitar los derechos de acceso, rectificación, cancelación y oposición, previstos por la ley, dirigiendo su escrito a la siguiente dirección:........




b. Forma de Ejercer los Afectados estos Derechos 1. Para garantizar el ejercicio de los derechos de acceso, rectificación, cancelación y oposición,

el S.A.S. tendrá en todos los centros a disposición de los afectados formularios de petición, por parte de los afectados del S.A.S., para el ejercicio de dichos derechos.

2. Los derechos que tienen los afectados respecto de sus datos personales son de carácter

personal, por lo que deben ser ejercitados por el propio afectado frente al Responsable del Fichero, para ello el afectado debe acreditar su identidad frente al Responsable. Esto sin perjuicio de la actuación del representante legal del afectado cuando proceda (menores, incapacidad...)

3. Los usuarios pueden hacer uso de estos derechos, bien de presente o mediante correo,

recepcionándose en ambos casos en los Registros de Entrada/Salida correspondientes. 4. En los casos de petición por medio de representante, se acompañará fotocopia de su DNI, así

como el documento acreditativo de tal representación. 5. En caso de recibir una solicitud para ejercer sus derechos, el responsable del Registro de

Entrada/Salida hará llegar una copia del impreso al Responsable de Seguridad, el cual a su vez lo reencaminará al Usuario Responsable de la Aplicación/Fichero correspondiente (Centro, Área o Servicio que tiene a su cargo la manipulación del fichero en cuestión).

6. El Responsable de Seguridad controlará si se están gestionando adecuadamente las

reclamaciones, los tiempos y si pueden ser causa de algún tipo de sanción por parte de la Agencia de Protección de Datos.

7. El Usuario Responsable de la Aplicación/Fichero estudiará la reclamación y elaborará un

escrito de comunicación al reclamante, en sentido aprobatorio o denegatorio, indicando en este último caso las causas, haciéndole ver que pueden ejercitar el derecho de reclamación ante la Agencia de Protección de Datos. El escrito deberá ir firmado por el Responsable del Fichero (Gerente). Se deberá tener muy en cuenta los plazos fijados por la normativa a aplicar.

c. Derecho de Acceso Este derecho concede al afectado, por el tratamiento de sus datos, la posibilidad de solicitar y obtener información gratuita de sus datos de carácter personal, el origen y las comunicaciones realizadas o que se prevean realizar de los mismos. 1. Para ejercer el derecho de acceso a los datos personales del afectado se rellenará el

“Formulario para el Ejercicio del Derecho de Acceso”. 2. El Usuario Responsable de la Aplicación/Fichero del fichero debe resolver sobre la solicitud de

acceso en el plazo máximo de un mes, a contar desde la recepción de la misma, resolución que debe producirse aun cuando el S.A.S. no disponga de datos personales del solicitante, en cuyo caso hará constar esta circunstancia en la contestación.

3. En caso de contestación estimatoria el acceso debe hacerse efectivo en el plazo de los 10

días siguientes a la notificación de la contestación. 4. El solicitante puede elegir, de acuerdo con la Instrucción 1/1998 en su norma segunda, 2,

entre uno o varios de los siguientes sistemas de consulta del fichero, siempre que la configuración o implantación material del fichero lo permita:




� Visualización en pantalla.

� Escrito, copia o fotocopia remitida por correo.

� Telecopia.

� Cualquier otro procedimiento que sea adecuado a la configuración o implantación

material del fichero, ofrecido por el responsable del mismo. 5. El derecho de acceso no podrá llevarse a cabo en intervalos inferiores a 12 meses, salvo

causa justificada. 6. La solicitud de derecho de acceso sólo podrá ser denegada por alguna de estas causas:

� Cuando la solicitud sea llevada a cabo por persona distinta del afectado. � En general, podrá denegarse cuando concurran razones de interés general o

intereses de terceros más dignos de protección (siendo necesario en estos casos que se efectúe mediante resolución motivada).

d. Derecho de Rectificación Los datos personales cuyo tratamiento no se ajuste a lo dispuesto en la Ley, los que resulten inexactos o incompletos, pueden ser rectificados o cancelados. (Artículo 16.2 LOPD). 1. Para ejercer el derecho de rectificación de los datos personales del afectado se rellenará el

“Formulario para el Ejercicio del Derecho de Rectificación”. 2. Para revelar el carácter inexacto de los datos que figuran en los ficheros puede ser necesaria

la aportación de copias de documentos que lo acrediten al Responsable del Fichero. 3. Si el S.A.S. ha realizado previamente a la solicitud, cesión de esos datos, debe notificar la

rectificación a quien se hayan comunicado en el caso de que se mantenga el tratamiento por este último, que deberá proceder también a la rectificación.

4. También deberá notificar la rectificación al Encargado del Tratamiento en caso de que exista,

para que éste proceda a la correspondiente rectificación. 5. Estos derechos han de hacerse efectivos por el Usuario Responsable de la Aplicación/Fichero

del fichero dentro de los diez días siguientes al de la recepción de la solicitud. 6. La solicitud de derecho de rectificación sólo podrá ser denegada por alguna de estas causas:

� Cuando la solicitud sea llevada a cabo por persona distinta del afectado. � En general, podrá denegarse cuando concurran razones de interés general o


e. Derecho de Cancelación Los datos personales cuyo tratamiento no se ajuste a lo dispuesto en la Ley, los que resulten inexactos o incompletos, pueden ser rectificados o cancelados. (Artículo 16.2 LOPD).




1. Para ejercer el derecho de cancelación de los datos personales del afectado se rellenará el

“Formulario para el Ejercicio del Derecho de Cancelación”. 2. La cancelación da lugar al borrado físico de los datos, salvo que esto resulte imposible por

razones técnicas o a causa del soporte utilizado, en cuyo caso se procederá al bloqueo de los mismos, a efectos de impedir su posterior proceso o utilización.

La cancelación también da lugar al bloqueo de los datos conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales para la atención de las posibles responsabilidades nacidas del tratamiento durante el plazo de prescripción de éstas. Cumplido este plazo debe procederse a su supresión.

Esta obligación es debida a que los datos deben ser conservados durante los plazos previstos en las disposiciones que sean aplicables, o en las relaciones contractuales entre la persona y la entidad Usuario Responsable de la Aplicación/Fichero.

3. Si el S.A.S. ha realizado previamente a la solicitud, cesión de esos datos, debe notificar la

cancelación a quien se hayan comunicado en el caso de que se mantenga el tratamiento por este último, que deberá proceder también a la cancelación.

4. También deberá notificar la cancelación al Encargado del Tratamiento en caso de que exista,

para que éste proceda a la correspondiente cancelación. 5. Estos derechos han de hacerse efectivos por el Usuario Responsable de la Aplicación/Fichero

del fichero dentro de los diez días siguientes al de la recepción de la solicitud. 6. Los únicos casos en los que el Responsable del Fichero podrá denegar la cancelación son:

� Cuando exista un deber de conservación de los datos para el plazo que se establezca para cada caso por la legislación aplicable y, en todo caso, cuando su cancelación pudiese causar perjuicio al afectado o a terceros.

� Cuando la solicitud sea llevada a cabo por persona distinta del afectado.

� En general, podrá denegarse cuando concurran razones de interés general o


f. Derecho de Oposición En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. 1. En tal supuesto el Usuario Responsable de la Aplicación/Fichero del fichero excluirá del

tratamiento los datos relativos al afectado. 2. En este supuesto se seguirán los mismos trámites formales que en el ejercicio de los derechos

de rectificación o cancelación.




g. Comunicación al Afectado 1. Una vez recabada la información solicitada, se enviará la respuesta al afectado. 2. El S.A.S., mediante el Usuario Responsable de la Aplicación/Fichero, debe contestar la

solicitud que se le dirija, con independencia de que figuren o no datos personales del solicitante en su fichero, debiendo utilizar un medio que acredite el envío y la recepción. (Instrucción 1/1998 de 19 de enero, de la APD sobre el ejercicio de los derechos de acceso, rectificación y cancelación).

3. La comunicación al afectado deberá realizarse de la manera más segura posible debido al

contenido de la información y a las exigencias del Reglamento 994/99 sobre Medidas de Seguridad de datos de carácter personal.

4. Se utilizará cualquier medio que permita acreditar el envío y la recepción, tanto por parte del

S.A.S. como del interesado. 5. El Usuario Responsable de la Aplicación/Fichero puede obligar al solicitante a la subsanación

de los defectos que pueda tener su solicitud cuando ésta no reúna los requisitos que exige la norma.

6. En caso de denegación de las solicitudes, se deberán argumentar los motivos.




Formulario para el Ejercicio del Derecho de Acceso 5 de Datos de Carácter Personal de Ficheros del SAS

DATOS DEL FICHERO Y RESPONSABLE. Nombre del Fichero o Datos: ................................................................................................................... Nombre/razón social:.............................................................................................................................. Dirección de la Oficina/Servicio ante el que se ejercita el derecho de acceso: C/Plaza ....................................................................... nº ........... C. Postal .................. Localidad ..................................... Provincia ................................. Comunidad Autónoma ..............................

C.I.F./D.N.I. .................................

DATOS DEL AFECTADO O REPRESENTANTE LEGAL 6. D./Dª. …………..........................................................................................................., mayor de edad, con domicilio en la C/Plaza ......................................................................................... nº........, Localidad ........................................... Provincia .......................................... C.P. ............... Comunidad Autónoma ............................................ con D.N.I….........................., del que acompaña copia, por medio del presente escrito ejerce el derecho de acceso, de conformidad con lo previsto en el artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en los artículos 12 y 13 del Real Decreto 1332/94, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, vigentes al amparo de la disposición transitoria tercera de la citada Ley Orgánica 15/1999, y en la Norma Segunda de la Instrucción 1/1998, de 19 de enero, relativa al ejercicio de los derechos de acceso, rectificación y cancelación, y en consecuencia,

SOLICITA , Que se le facilite gratuitamente el derecho de acceso a sus datos de carácter personal contenidos en el fichero indicado en el plazo máximo de un mes a contar desde la recepción de esta solicitud, y que se remita por correo la información a la dirección arriba indicada en el plazo de diez días a contar desde la resolución estimatoria de la solicitud de acceso. Asimismo, se solicita que dicha información comprenda, de modo legible e inteligible, los datos de base que sobre mi persona están incluidos en sus ficheros, los resultantes de cualquier elaboración, proceso o tratamiento, así como el origen de los mismos, los cesionarios y la especificación de los concretos usos y finalidades para los que se almacenaron.

En ............................a.........de...........................de 20......

5 Se trata de la petición de información sobre los datos personales incluidos en un fichero. Este derecho se ejerce ante el responsable del fichero (Organismo Público o entidad privada) que es quien dispone de los datos. 6 También podrá ejercerse a través de representación legal, en cuyo caso, además del DNI del interesado, habrá de aportarse DNI y documento acreditativo auténtico de la representación del tercero.




Firmado:




Formulario para el Ejercicio del Derecho de Rectifi cación 7 de Datos de Carácter Personal de Ficheros del SAS

DATOS DEL RESPONSABLE DEL FICHERO. Nombre/razón social:.............................................................................................................................. Dirección de la Oficina/Servicio ante el que se ejercita el derecho de rectificación: C/Plaza ....................................................................... nº ........... C. Postal .................. Localidad ..................................... Provincia ................................. Comunidad Autónoma ..............................

C.I.F./D.N.I. .................................

DATOS DEL AFECTADO O REPRESENTANTE LEGAL 8. D./Dª. .........................................................................................................., mayor de edad, con domicilio en la C/Plaza ......................................................................................... nº........, Localidad ........................................... Provincia .......................................... C.P. ............... Comunidad Autónoma ............................................ con D.N.I.........................., del que acompaña copia, por medio del presente escrito ejerce el derecho de rectificación sobre los datos anexos, aportando los correspondientes justificantes, de conformidad con lo previsto en el artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en el artículo 15 del Real Decreto 1332/94, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, vigentes al amparo de la disposición transitoria tercera de la citada Ley Orgánica 15/1999, y en la Norma Tercera de la Instrucción 1/1998, de 19 de enero, relativa al ejercicio de los derechos de acceso, rectificación y cancelación, y en consecuencia, SOLICITA , Que se proceda a acordar la rectificación de los datos personales sobre los cuales se ejercita el derecho, que se realice en el plazo de diez días a contar desde la recogida de esta solicitud, y que se me notifique de forma escrita el resultado de la rectificación practicada. Que en caso de que se acuerde, dentro del plazo de diez días, que no procede acceder a practicar total o parcialmente las rectificaciones propuestas, se me comunique motivadamente a fin de, en su caso, solicitar la tutela de la Agencia de Protección de Datos, al amparo del artículo 18 de la citada Ley Orgánica 15/1999. Que si los datos rectificados hubieran sido comunicados previamente se notifique al responsable del fichero la rectificación practicada, con el fin de que también éste proceda a hacer las correcciones oportunas para que se respete el deber de calidad de los datos a que se refiere el artículo 4 de la mencionada Ley Orgánica 15/1999.

En ............................a.........de...........................de 20......

7 Consiste en la petición dirigida al responsable del fichero con el fin de que los datos personales respondan con veracidad a la situación actual del afectado. 8 También podrá ejercerse a través de representación legal, en cuyo caso, además del DNI del interesado, habrá de aportarse DNI y documento acreditativo auténtico de la representación del tercero




Firmado:




Formulario para el Ejercicio del Derecho de Rectifi cación de Datos de Carácter Personal de Ficheros del SAS

DATOS DEL FICHERO QUE DEBEN RECTIFICARSE

Nº Dato incorrecto Dato correcto Documento acreditativo

1

2

3

4

5

6

7

8

En................................ a............ de................................ de 20.....




Formulario para el Ejercicio de Derecho de Cancelac ión 9 de Datos de Carácter Personal de Ficheros del SAS

DATOS DEL FICHERO Y RESPONSABLE. Nombre del Fichero o Datos: ................................................................................................................... Nombre/razón social:.............................................................................................................................. Dirección de la Oficina/Servicio ante el que se ejercita el derecho de cancelación: C/Plaza ....................................................................... nº ........... C. Postal .................. Localidad ..................................... Provincia ................................. Comunidad Autónoma .............................. C.I.F./D.N.I. ................................. DATOS DEL AFECTADO O REPRESENTANTE LEGAL 10. D./Dª. .........................................................................................................., mayor de edad, con domicilio en la C/Plaza ......................................................................................... nº........, Localidad ........................................... Provincia .......................................... C.P. ............... Comunidad Autónoma ............................................ con D.N.I.........................., del que acompaña copia, por medio del presente escrito ejerce el derecho de cancelación, de conformidad con lo previsto en el artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en los artículos 15 y 16 del Real Decreto 1332/94, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, vigentes al amparo de la disposición transitoria tercera de la citada Ley Orgánica 15/1999, y en la Norma Tercera de la Instrucción 1/1998, de 19 de enero, relativa al ejercicio de los derechos de acceso, rectificación y cancelación, y en consecuencia, SOLICITA , Que se proceda a acordar la cancelación de los datos personales sobre los cuales se ejercita el derecho, que se realice en el plazo de diez días a contar desde la recogida de esta solicitud, y que se me notifique de forma escrita el resultado de la cancelación practicada. Que en caso de que se acuerde dentro del plazo de diez días que no procede acceder a practicar total o parcialmente las cancelaciones propuestas, se me comunique motivadamente a fin de, en su caso, solicitar la tutela de la Agencia de Protección de Datos, al amparo del artículo 18 de la citada Ley Orgánica 15/1999. Que si los datos cancelados hubieran sido comunicados previamente se notifique al responsable del fichero la cancelación practicada con el fin de que también éste proceda a hacer las correcciones oportunas para que se respete el deber de calidad de los datos a que se refiere el artículo 4 de la mencionada Ley Orgánica 15/1999.

En ............................a.........de...........................de 20......

9 Consiste en la petición de cancelación de un dato que resulte innecesario o no pertinente para la finalidad con la que fue recabado. El dato será bloqueado, es decir, será identificado y reservado con el fin de impedir su tratamiento 10 También podrá ejercerse a través de representación legal, en cuyo caso, además del DNI del interesado, habrá de aportarse DNI y documento acreditativo auténtico de la representación del tercero




Firmado:




4. Procedimiento de Relaciones Contractuales con Empre sas Externas con Acceso a Información Corporativa.

OBJETIVO

Describir las cláusulas que deben inscribirse en todos los contratos que realice el S.A.S. con otras empresas que necesiten acceso a información corporativa para ejercer el servicio contratado.

DESCRIPCIÓN

Se determinan tres clases de empresas que tienen relación contractual con el S.A.S.:

� Empresas que realizan tareas de Encargados de Tratamiento.

� Empresas que prestan servicios sanitarios o de otra índole y a las que se les proporcionan determinados datos para que puedan prestar el servicio.

� Empresas que no tienen relación con información corporativa (limpieza, recogida de

residuos, electricidad, fontanería, etc.).

a. Encargados de Tratamiento 1. La realización de tratamiento por cuenta de terceros deberá estar regulada en un contrato que

deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del Usuario Responsable de la Aplicación/Fichero, que no los aplicará o utilizará con un fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. (Artículo 12.2 LO 15/1999).

2. En el contrato se estipulará, asimismo, las medidas de seguridad que el Encargado del

Tratamiento está obligado a implementar. (Artículo 12.2 LO 15/1999). 3. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los

comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también Usuario Responsable de la Aplicación/Fichero, respondiendo de las infracciones en que hubiera incurrido personalmente. (Artículo 12.4 LO 15/1999).

i. Cláusulas a Incorporar en el Contrato

1. El contratista estará obligado a conocer, respetar y asegurar que se cumplan en el desarrollo

de su trabajo, todas las normas, pautas, procedimientos, recomendaciones, etc., que se fijan en el Manual de Seguridad de la Información Corporativa del S.A.S., que tras la firma del contrato le será proporcionado por el Responsable de Seguridad del S.A.S. (se le proporcionarán los aspectos del Manual que le hagan falta para el desarrollo de su labor).

2. El contratista estará obligado a adoptar las medidas de índole técnica y organizativas

necesarias que garanticen la seguridad de los datos facilitados por el S.A.S. y eviten su




alteración, pérdida, tratamiento o acceso no autorizado, todo ello en consonancia con el nivel de seguridad exigible de acuerdo con la información que trate. Para el caso de una interrupción de los servicios informáticos, el contratista dispondrá de otras instalaciones de características similares en donde podrá realizar, durante el tiempo de avería, el servicio mínimo que se considera imprescindible para el S.A.S

3. El contratista estará obligado a tratar los datos siguiendo las instrucciones que le fije el

Usuario Responsable de la Aplicación/Fichero, para el fichero o los ficheros, con datos de carácter personal u otro tipo de información del S.A.S., que tenga que tratar en el desarrollo de sus funciones.

4. El contratista se compromete a no aplicar, ni utilizar, los datos de carácter personal que se le

hayan proporcionado para el desarrollo de su labor, a un fin distinto al que figura en el contrato.

5. El contratista y todo el personal que trabaje para él estarán sujetos al deber de

confidencialidad en el ejercicio de sus funciones, cuando trabajen para el S.A.S., configurándose este deber como la prohibición de la revelación de datos de las personas que se conocen en virtud del ejercicio de la actividad que desempeñan, respondiendo, en consecuencia, de los perjuicios que del incumplimiento puedan derivarse para el S.A.S.

6. El contratista no comunicará ningún tipo de datos, propiedad del S.A.S., ni siquiera para su

conservación, a otras personas o entidades. 7. Antes de comenzar a ofrecer el Servicio de Información contratado, el contratista deberá

presentar a las Gerencias/Direcciones del S.A.S. los procedimientos que va a emplear, con objeto de comprobar que se cumplen los requisitos de seguridad exigidos en la legislación vigente en materia de protección de datos de carácter personal.

8. Una vez cumplida la prestación contractual, toda la información corporativa del S.A.S. deberá

ser destruida o devuelta al Usuario Responsable de la Aplicación/Fichero, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal u otra información objeto del tratamiento. (Artículo 12.3 LO 15/1999).

9. El S.A.S será el propietario de los datos que se traten en los diferentes servicios contratados. 10. Toda información, de carácter confidencial que el S.A.S conozca, en virtud del contrato,

acerca de las técnicas y metodologías empleadas por el contratista en la ejecución de estos servicios informáticos no podrá comunicarla a terceros ni emplearla en uso propio, respondiendo, en consecuencia, de los prejuicios que del incumplimiento de esta cláusula se pudieran derivar para el contratista.

11. El contratista no podrá trabajar para la competencia ni para quienes realicen actividades

afines. 12. En el caso de los datos de carácter personal serán, de acuerdo con lo dispuesto en la Ley

Orgánica 15/1999, de 13 de diciembre (LOPD), responsables de los datos tanto el responsable del fichero como el encargado del tratamiento.

13. El contratista informará al S.A.S, antes de realizarlas, de todas las modificaciones que se

vayan a hacer en la estructura de los ficheros que contengan datos de carácter personal, así como de la intención de suprimir o crear ficheros que contengan dicha clase de datos a fin de que el S.A.S, como titular de dichos ficheros, pueda notificar con la debida antelación a la Agencia de Protección de Datos dichas variaciones.

14. Si a causa del incumplimiento por parte del contratista de lo regulado por la Ley, el S.A.S

fuese sancionado por la Agencia de Protección de Datos, dicha sanción será inmediatamente




repercutida al contratista, debiendo ser abonada por este. Asimismo, resarcirá al S.A.S por los daños y perjuicios que esta sanción, aparte de la multa, le hubiese ocasionado. En el caso de que no por haber sido debidamente informado fuese sancionado el S.A.S por la Agencia de Protección de Datos, el contratista pagará la sanción que corresponda y asimismo resarcirá al S.A.S por los daños y perjuicios que dicha omisión pudiera causarle.

15. El contratista deberá incluir en los contratos que tenga establecidos con sus trabajadores

una cláusula de confidencialidad por la que estos se comprometan a no revelar ni emplear en uso propio o de terceros la información que conozcan en función de su cometido tanto durante el tiempo que dure su contrato, ya sea laboral o de cualquier otro tipo de los admitidos en derecho, como posteriormente al finalizar dicha relación, especialmente en los casos contemplados en el artículo 10 de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal (LOPD).

16. El S.A.S podrá, si lo considera necesario, ordenar, una vez al año, la realización de una

Auditoria de los Sistemas de Seguridad del Centro Informático del contratista y éste deberá posibilitar el acceso de los auditores informáticos y facilitarles las pruebas que soliciten para cubrir el objetivo de la auditoria. Asimismo los auditores informáticos podrán verificar si se cumplen los estándares de calidad.

17. El contratista se compromete a implementar las aplicaciones de forma que se puedan realizar

en ellas Auditorias Informáticas, especialmente en aquellos ficheros que contengan datos de carácter personal y que pueden, en su día, ser auditados por los inspectores de la Agencia de Protección de Datos.

b. Empresas, Prestatarias de Servicios Sanitarios o de otra índole, a las que se les proporcionan determinados datos para que puedan prestar el servicio.

Este tipo de empresas, en principio, no representan al Encargado del Tratamiento pero necesitan conocer cierta información para desempeñar el servicio que prestan. Ejemplo: en transporte programado, las ambulancias a las que hay que facilitar el nombre y dirección del paciente.



de su trabajo, todas las normas, pautas, procedimientos, recomendaciones, etc., que se fijan en el Manual de Seguridad de la Información Corporativa del S.A.S., que tras la firma del contrato, le será proporcionado por el Responsable de Seguridad correspondiente del S.A.S. (se le proporcionarán los aspectos del Manual que le hagan falta para el desarrollo de su labor).

2. El contratista y todo el personal que trabaje para él estarán sujetos al deber de

confidencialidad en el ejercicio de sus funciones, cuando trabajen para el S.A.S., configurándose este deber como la prohibición de la revelación de datos de las personas que se conocen en virtud del ejercicio de la actividad que desempeñan, respondiendo, en consecuencia, de los perjuicios que del incumplimiento puedan derivarse para el S.A.S.

3. El contratista se compromete a no aplicar, ni utilizar, los datos personales que se le hayan

proporcionado para el desarrollo de su labor, para un fin distinto al que figura en el contrato.




4. El contratista no comunicará ningún tipo de datos, propiedad del S.A.S., ni siquiera para su conservación, a otras personas o entidades.

5. Si las tareas sanitarias que realiza el contratista , tanto para el S.A.S. como para otras

instituciones sanitarias, las gestiona en una base de datos propia, presentará previamente la creación y notificación del fichero correspondiente ante la Agencia de Protección de Datos al S.A.S., así como las medidas de seguridad que amparan la gestión del citado fichero.

6. El contratista en el ejercicio de la cláusula anterior, tendrá la característica de Responsable

del Fichero a los efectos de la Ley Orgánica de Protección de Datos y al Reglamento de Medidas de Seguridad.

7. El contratista estará obligado a adoptar las medidas de índole técnica y organizativas

necesarias que garanticen la seguridad de los datos de carácter personal, proporcionados por el S.A.S., y eviten su alteración, pérdida, tratamiento o acceso no autorizado, todo ello en consonancia con el nivel de seguridad exigible de acuerdo con los datos que trate.

8. El S.A.S será el propietario de los datos que se traten en los diferentes servicios contratados. 9. Toda información, de carácter confidencial que el S.A.S conozca, en virtud del contrato,

acerca de las técnicas y metodologías empleadas por el contratista en la ejecución de estos servicios no podrá comunicarla a terceros ni emplearla en uso propio, respondiendo, en consecuencia, de los prejuicios que del incumplimiento de esta cláusula se pudieran derivar para el contratista.


afines. 11. El contratista deberá incluir en los contratos que tenga establecidos con sus trabajadores una

cláusula de confidencialidad por la que estos se comprometan a no revelar ni emplear en uso propio o de terceros la información que conozcan en función de su cometido tanto durante el tiempo que dure su contrato, ya sea laboral o de cualquier otro tipo de los admitidos en derecho, como posteriormente al finalizar dicha relación, especialmente en los casos contemplados en el artículo 10 de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal (LOPD).

12. En el caso de los datos de carácter personal serán, de acuerdo con lo dispuesto en la Ley

Orgánica 15/1999, de 13 de diciembre (LOPD), responsables de los datos tanto el responsable del fichero como el encargado del tratamiento.

13. El contratista informará al S.A.S, antes de realizarlas, de todas las modificaciones que se

vayan a hacer en la estructura de los ficheros que contengan datos de carácter personal, así como de la intención de suprimir o crear ficheros que contengan dicha clase de datos a fin de que el S.A.S, como titular de dichos ficheros, pueda notificar con la debida antelación a la Agencia de Protección de Datos dichas variaciones.

14. Si a causa del incumplimiento por parte del contratista de lo regulado por la Ley, el S.A.S

fuese sancionado por la Agencia de Protección de Datos, dicha sanción será inmediatamente repercutida al contratista, debiendo ser abonada por este. Asimismo, resarcirá al S.A.S por los daños y perjuicios que esta sanción, aparte de la multa, le hubiese ocasionado. En el caso de que no por haber sido debidamente informado fuese sancionado el S.A.S por la Agencia de Protección de Datos, el contratista pagará la sanción que corresponda y asimismo resarcirá al S.A.S por los daños y perjuicios que dicha omisión pudiera causarle.




c. Otras Empresas que trabajen para el S.A.S. Consideramos en este apartado a todas aquellas empresas que en principio no tratan información corporativa, pero que por sus características, pueden llegar a tener acceso a ella, como es el caso de empresas de limpieza, mantenimiento, etc.



de su trabajo, todas las normas, pautas, procedimientos, recomendaciones, etc., que se fijan en el Manual de Seguridad de la Información Corporativa, que tras la firma del contrato le será proporcionado por el Responsable de Seguridad correspondiente del S.A.S. (se le proporcionarán los aspectos del Manual que le hagan falta para el desarrollo de su labor).

2. El contratista se compromete a no aplicar, ni utilizar, los datos personales que se le hayan

proporcionados para el desarrollo de su labor, para un fin distinto al que figura en el contrato. 3. El contratista y todo el personal que trabaje para él estarán sujetos al deber de

confidencialidad en el ejercicio de sus funciones, cuando trabajen para el S.A.S., configurándose este deber como la prohibición de la revelación de datos de las personas que se conocen en virtud del ejercicio de la actividad que desempeñan.

4. El contratista no comunicará ningún tipo de datos, propiedad del S.A.S., ni siquiera para su

conservación, a otras personas o entidades. 5. El S.A.S será el propietario de los datos que se traten en los diferentes servicios contratados. 6. Toda información, de carácter confidencial que el S.A.S conozca, en virtud del contrato,

acerca de las técnicas y metodologías empleadas por el contratista en la ejecución de estos servicios no podrá comunicarla a terceros ni emplearla en uso propio, respondiendo, en consecuencia, de los prejuicios que del incumplimiento de esta cláusula se pudieran derivar para el contratista.


afines. 8. El contratista deberá incluir en los contratos que tenga establecidos con sus trabajadores una

cláusula de confidencialidad por la que estos se comprometan a no revelar ni emplear en uso propio o de terceros la información que conozcan en función de su cometido tanto durante el tiempo que dure su contrato, ya sea laboral o de cualquier otro tipo de los admitidos en derecho, como posteriormente al finalizar dicha relación, especialmente en los casos contemplados en el artículo 10 de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal (LOPD).




5. Registro de Incidencias de Seguridad de la Informac ión

Corporativa

OBJETIVO

El presente procedimiento determina la forma de registro de incidencias que atenten contra la seguridad de la información corporativa. El presente procedimiento no detalla la resolución de incidencias de seguridad debido a la diversidad de causas tecnológicas de los diferentes Sistemas de Información que soporta la información corporativa. Explicándose esta operativa en el Procedimiento de Mantenimiento de cada Sistema de Información.

DESCRIPCIÓN

El registro de incidencias cumple una función indispensable para la seguridad de la información corporativa, ya que por un lado permite prever posibles riesgos para la seguridad y por otro permite controlar en todo momento las incidencias que han afectado al tratamiento de los datos personales. Este registro servirá de base para realizar análisis sobre cuáles son las incidencias más usuales y valorar la funcionalidad y adecuación de los procedimientos establecidos como respuesta ante las mismas. La LOPD y el Reglamento de Medidas de Seguridad establecen la obligatoriedad del establecimiento de un registro de incidencias.

a. Incidencias 1. Denominamos Incidencia cualquier anomalía que afecte o pudiera afectar a la seguridad de

los datos. 2. Distinguimos dos tipos de incidencias:

� Técnicas: Aquellas debidas a causas tecnológicas del sistema de información que soporta la información corporativa. Ejemplo: fallo de aplicación. Autorizaciones indebidas a datos.

� Operativas: Aquellas incidencias debidas a causas ajenas al sistema de información que

soporta la información corporativa. Ejemplo: aparición de documentos con información de carácter personal en la basura. Difusión de información.

3. El Registro de Incidencias contendrá, al menos, la siguiente información de cada incidencia:

� Identificador de la incidencia (numérico incremental) � Descripción detallada de la incidencia

� Fecha y hora en la que se produce

� Persona que lo notifica

� Efectos causados por la misma




4. En el registro de incidencias deberá consignarse; los procedimientos realizados para la

recuperación de los datos, la persona que ejecuta el proceso, los datos restaurados, los datos que ha sido necesario grabar manualmente en el proceso de recuperación. (Artículo 21.1 RD 994/1999).

El CTI recoge en la actualidad de tres formas distintas las posibles incidencias que van surgiendo:

� Registro de incidencias de CEGES: En el que se recogen todas las incidencias que pasen por CEGES y que son normalmente las relacionadas con problemas de usuarios, de comunicaciones, de funcionamiento de aplicaciones, etc. Su formato es digital, a través de una aplicación web desarrollada a medida. Para ver los detalles ir al Anexo H.

� Registro de incidencias de administradores: En el que se recogen todas las incidencias que surgen a nivel de administración de servidores, firewalls, routers, BD, principalmente las relacionadas con la realización de copias de seguridad y con las acciones de recuperación de información. Su formato es digital, a través de una aplicación web estándar.

� Registro de incidencias de operadores: En el que se recogen todas las incidencias que

surgen en el día a día de los operadores y relacionadas principalmente con el aspecto físico del CTI: cambio de equipos, caída de fusibles, parada de máquinas, incendios, etc. Su formato es en papel impreso.

b. Responsable 1. Será el Responsable de Seguridad quien habilite el Registro de Incidencias de Seguridad, y

que estará a disposición de todos los usuarios y responsables.

c. Notificación de Incidencias 1. Es obligación de todo el personal del S.A.S. notificar cualquier incidencia, o

presunción/sospecha de incidencia que se produzca y recopilar toda la información posible para optimizar el procedimiento de detección del problema.

2. El conocimiento y la no notificación de una incidencia por parte de un usuario será considerada como una falta contra la Seguridad de la Información Corporativa por parte de éste.

3. Las incidencias de tipo técnico se notificarán en el registro de Mantenimiento del Sistema de

Información, y su gestión se regirá por el Procedimiento de Mantenimiento del Sistema de Información.

4. Las incidencias de tipo operativo se notificarán al Responsable de Seguridad, quien dejará

constancia en el registro de incidencias de seguridad.

d. Resolución de la Incidencia 1. El Responsable de Seguridad, conjuntamente con cualquier persona que tenga relación con la

incidencia, o con la información a la que afecta, determinarán las acciones para eliminar, en la medida de lo posible, el mal causado, y evitar una posible repetición.




2. El Responsable de Seguridad notificará al afectado, en su caso, de las acciones emprendidas.

e. Auditoría 1. El Responsable de Seguridad, analizará con periodicidad al menos trimestral las incidencias

registradas, para independientemente de las medidas particulares que se hayan adoptado en el momento que se produjeron, adoptar las medidas correctoras que limiten esas incidencias en el futuro.




Impreso de notificación de incidencias

Incidencia Nº: |_______| ( Este número será rellenado por el Responsable de seguridad)

Fecha de notificación: /__/__/____/ Tipo de incidencia: Descripción detallada de la incidencia: Fecha y hora en que se produjo la incidencia: Persona(s) a quien(es) se comunica: Efectos que puede producir: (En caso de no subsanación o incluso independientemente de ella) Recuperación de Datos: (A rellenar sólo si la incidencia es de este tipo)

Procedimiento realizado: Datos restaurados: Datos grabados manualmente: Persona que ejecutó el proceso: Firma del Responsable Seguridad del fichero: Fdo ____________________________ Persona que realiza la comunicación: Fdo.:___________________________




6. Procedimiento de Gestión de Soportes

OBJETIVO

En este procedimiento se describe qué pasos debe seguir (notificar entrada, salida, y la baja de soportes, almacenamiento de soportes, etc.) todo el personal relacionado con los soportes que contengan información corporativa confidencial o de carácter personal, bien como consecuencia de operaciones intermedias propias de la aplicación que los trata, o bien como consecuencia de procesos periódicos de respaldo, análisis o cualquier otra operación esporádica. En este procedimiento se trata además la transmisión de datos por red, ya sea por medio de correo electrónico o mediante sistemas de transferencia de ficheros, ya que se está convirtiendo en uno de los medios más utilizados para el envío de datos, hasta el punto de que está sustituyendo a los soportes físicos. Dándose la circunstancia de que pueden ser más vulnerables que los soportes físicos tradicionales. Las copias de seguridad se rigen por el Procedimiento de Copias de Respaldo y Recuperación.

DESCRIPCIÓN

Soportes informáticos son todos aquellos medios de grabación y recuperación de datos que se utilizan para realizar copias o pasos intermedios en los procesos de la aplicación que gestiona la información corporativa. Dado que la mayor parte de los soportes que hoy en día se utilizan, como disquete y CD-ROMs, son fácilmente transportables, reproducibles y/o copiables, es evidente la importancia que para la seguridad de la información corporativa, y en especial para la seguridad de los datos de carácter personal, tiene el control de estos medios.

a. Identificación de Soportes 1. Los soportes que contengan información corporativa, bien como consecuencia de operaciones

intermedias propias de la aplicación que los trata, o bien como consecuencia de procesos periódicos de respaldo o cualquier otra operación esporádica, deberán estar claramente identificados (artículo 13.1 RD 994/1999) con una etiqueta externa que indique:

� Fichero de que se trata � Tipo de datos contiene � Proceso que los ha originado � Fecha de creación.

Los soportes enviados por la Tesorería General de Seguridad Social con los datos del SIL correspondientes a las altas y modificaciones de usuarios de la Seguridad Social vienen identificados con un código, el nombre de la ciudad de donde provienen los datos, la fecha de copia de esos datos y el número de registros que contiene.




b. Inventariado de Soportes y Transferencias 1. El Usuario Responsable de la Aplicación/Fichero creará un inventario de soportes y

transferencias donde registrará cada soporte que contenga información de carácter personal o confidencial, o cualquier transferencia telemática de dicha información, y en el cual indicará:

� Identificador del soporte o transferencia telemática � lugar en el que se encuentra el soporte, o de envío de la transferencia � Formato (disquete, CDROM, correo electrónico, etc.) � Fecha de creación del soporte o de envío � Responsable de la operación � Fecha de baja del soporte � Método para la destrucción de la información cuando se produzca la baja � Responsable de la baja del soporte

c. Almacenamiento de Soportes 1. Los soportes que contengan información corporativa deberán estar almacenados en lugares a

los que solo tengan acceso personas autorizadas a acceder a dicho fichero. El Servicio de Informática del SAS almacena en armarios ignífugos en el CTI y en la segunda planta del Servicio de Informática en formato CD-ROMS, la información del SIL enviada por la Tesorería General de la Seguridad Social.

d. Entrada y Salida de Soportes 1. La salida de soportes informáticos, con información clasificada como confidencial o personal

de nivel alto, ya sea en formato físico (disquete, CDROM, listado, etc.) o en formato electrónico (correo electrónico), fuera de los locales destinados a tal efecto deberá ser expresamente autorizada por el Usuario Responsable de la Aplicación/ Fichero11 (artículo 13.2 RD 994/1999).

2. La distribución de dichos soportes (con información confidencial o personal de carácter alto)

se realizará cifrando los datos, de forma que no sean manipulados durante su transporte (artículo 20.4 RD 994/1999). El Servicio de Informática no realiza ninguna salida de datos en soporte informático. Solo se transmiten a través de redes de telecomunicaciones.

La entrada de datos que recibe el Servicio de Informática viene enviada por la Tesorería General de la Seguridad Social, y contiene los datos del SIL. El destinatario de este envío es el responsable del CTI del Servicio de Informática. La información viene en formato CD, etiquetada y enviada por correo ordinario. Cada envío contiene la información correspondiente a las altas y modificaciones de usuarios de la Seguridad Social de cada una de las provincias de Andalucía.

11 El RD 994/1999 establece en su artículo 13.2 que la autorización será del Responsable del Fichero. Sin embargo para una más ágil operativa se establece en el S.A.S. que la autorización será del Usuario Responsable de la Aplicación/Fichero por ser quien vela en su operativa diaria por el cumplimiento de las normas establecidas sobre la información que trata.




3. La transmisión de datos de carácter personal de nivel alto o información confidencial, a través de redes de telecomunicaciones se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros (artículo 26 RD 994/1999). Los datos que se envían desde el Servicio de Informática del SAS van encriptados en formato zip con contraseña. Se envían a través de redes de telecomunicaciones (correo electrónico corporativo).

4. Toda entrada o salida de soportes con información confidencial o personal, ya sea en formato

físico o electrónico, será registrado en el Registro de Entrada/Salida del centro correspondiente, haciéndose constar la siguiente información (artículo 20.1 y 20.2 RD 994/1999):

� Tipo de soporte � Fecha y hora de entrada o salida � Emisor (entradas) y destinatario (salidas) � Responsable de recepción (entradas) y de entrega (salidas) � Tipo de información que contiene � Forma de envío

Entendiendo por responsable de la recepción (entradas) al receptor que deberá estar debidamente autorizado para acceder a la información correspondiente y se responsabilizará de la custodia, no distribución y seguridad de la información contenida en el soporte. Entendiendo por responsable de entrega (salidas) al remitente que deberá estar debidamente autorizado y se responsabilizará de la custodia, no distribución y seguridad de la información contenida en el soporte hasta su entrega y/ o devolución.

La aplicación donde se registran las entrada/ salida de soportes con información personal o confidencial se denomina REGISTRO ENTRADA/ SALIDA DE SOPORTES INFORMÁTICOS DEL CTI

e. Destrucción de Soportes

1. Aquellos medios que sean reutilizables, y que hayan contenido copias de información corporativa, deberán ser borrados físicamente antes de su reutilización, de forma que los datos que contenían no sean recuperables. (Artículo 20.3 RD 994/1999).

2. Todos aquellos soportes que dejen de tener su utilidad y puedan ser destruidos conforme al

apartado anterior (1) serán dados de baja en el apartado correspondiente del registro de soportes. En el Servicio de Informática del SAS, los soportes recibidos de la Tesorería General del SAS con los datos del SIL se destruyen cada cinco años según el artículo 17 de la Ley 41/2002 de 14 de noviembre. Dichos soportes se llevan a la sala de operadores del CTI y allí son destruidos mediante una maquina trituradora de papel y de CDS.

La información corporativa confidencial o de carácter personal del Sistema Sanitario Público de Andalucía se encuentra centralizada en los servidores de Base de Datos ubicados en el Servicio de Informática de los SSCC del SAS. El acceso a estos datos así como la gestión de los soportes con las copias de seguridad se rigen por los puntos 7, 8 y 9 de este manual, por lo que dentro de este apartado, nos centramos exclusivamente en la entrada y fundamentalmente salida de datos, tanto puntual como periódica que se realizan de los datos que se encuentran centralizados en el CTI (CPD del SAS). El procedimiento para la solicitud al CTI de cualquier conjunto de datos del SSPA será el siguiente:




1. La persona que solicita los datos rellenará el primer recuadro de la solicitud que se adjunta al final de este Anexo (y que podrá encontrar en http://portal-cti.sas.junta-andalucia.es en el apartado "Procedimientos y Formularios"). En él hará constar entre otros su nombre, nif, teléfono de contacto, breve descripción de los datos solicitados, finalidad, etc.

Una vez rellena esta parte, la solicitud se hará llegar (bien personalmente o bien por fax) al Responsable de los Datos del Proyecto. 2. Cuando el Responsable de los Datos del Proyecto reciba la solicitud, decidirá sobre si los

datos se entregan o no. En caso afirmativo, rellenará el segundo recuadro de la solicitud, donde indicará nombre, cargo, fecha, hora y firma y enviará la solicitud a la Unidad de Operaciones y CTI del Servicio de Informática del SAS (fax nº 955017158).

3. Una vez recibida la solicitud en la Unidad de Operaciones, se procederá a la generación y

entrega del correspondiente fichero con los datos solicitados; dicha entrega se realizará como norma general a través del Portal-Cti, pudiendo utilizar otros medios (correo, CD, etc.) cuando por algún motivo excepcional así se decida desde el Servicio de Informática. En caso de ser necesario, los datos irán encriptados con una contraseña, de forma que en todo momento se cumpla la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.

4. Junto al envío de los datos se procederá al correspondiente registro en la aplicación

REGISTRO ENTRADA/SALIDA DE SOPORTES INFORMÁTICOS DEL CTI:

En los botones de Consultar ENTRADAS y Consultar SALIDAS nos muestran en pantalla las diferentes entradas y salidas registradas. En los botones de Informe ENTRADAS e Informe SALIDAS nos permiten imprimir las diferentes entradas y salidas registradas.




El botón REGISTRO nos da acceso a la aplicación para poder dar de alta, modificar, consultar y eliminar registros de entrada y salida:

� Formulario de solicitud de datos: SOLICITUD DE DATOS del Sistema Sanitario Público de Andalucía A rellenar por la persona que solicita los datos

Registro de E/S:




D. _______________________________________________________ NIF: ___________ (Nombre y apellidos) Puesto de trabajo: ____________________________ Tlfno de contacto: ______________ Breve descripción de los datos solicitados: _________________________________________ _________________________________________________________________________ _________________________________________________________________________ Finalidad para la que usarán los datos solicitados: ____________________________________ _________________________________________________________________________ _________________________________________________________________________ He sido informado de mi papel en el uso de los datos a manejar, y conozco y acepto las obligaciones que conlleva dicho acceso, según la legislación vigente. Así mismo, me comprometo a utilizar los datos únicamente para las funciones establecidas en el SSPA y para las que son recogidos; a cumplir las normas básicas de seguridad de acceso y a Mantener el obligado secreto profesional en relación con los datos que pueda manejar. Fecha: _____________________________ Firma: ______________________________

A rellenar por el Responsable de la Aplicación/Dato s del Proyecto Aprobado por: __________________________ Cargo: ______________________________ Fecha: ________________________________ Firma: ______________________________

A rellenar por el Servicio de Informática Aprobado por: __________________________ Cargo: ______________________________ Fecha: _______________________________ Firma: ______________________________

A rellenar por el Técnico del CTI que entrega los d atos Entregado por: __________________________ Medio: ______________________________ (Portal-CTI, Correo, CD,….) Fecha: _______________ Hora: ___________ Firma: ______________________________




7. Procedimientos de Respaldo y Recuperación.

OBJETIVO

La seguridad de la información no sólo supone la confidencialidad de los misma sino que también conlleva su integridad y disponibilidad. Para garantizar estos dos aspectos fundamentales de la seguridad es necesario que existan unos procesos de respaldo y de recuperación que, en caso de fallo del sistema informático, permitan recuperar y en su caso reconstruir la información (Artículo 14.2 RD 994/1999). Este documento describirá los pasos que se deben seguir por todo el personal responsable de realizar copias de respaldo. Se describirá la periodicidad con la que deberán realizarse las copias. También se describirá como debe actuarse en caso de fallo del sistema con pérdida total o parcial de los datos de tal forma que partiendo de la última copia de respaldo y del registro de las operaciones realizadas desde el momento de la copia, reconstruya los datos al estado en que se encontraban en el momento del fallo.

DESCRIPCIÓN

a. Confidencialidad

1. No estará permitido facilitar ninguna información acerca de las medidas de seguridad en vigor, sistema de almacenaje, contenidos, procedimientos de uso normal y emergencia, etc., siendo considerada esta información como confidencial al máximo nivel.

b. Responsables 1. El Administrador de Sistema/Red/BD es el responsable de realizar las copias de respaldo, de

realizar la verificación de que las copias se hayan hecho de forma correcta y de realizar las recuperaciones de la información, así como de tener un registro en el que se anotarán todas las posibles incidencias que ocurran al realizar las copias y todas las recuperaciones de información que se tengan que hacer.

2. Al Responsable de Seguridad le corresponde la supervisión de los soportes de grabación de

las copias de respaldo y de las relaciones con las empresas externas (siempre que éstas lleven a cabo labores de copias de respaldo y desarrollen la labor de custodia y aseguramiento de las copias de respaldo), toda vez que se cumpla con las garantías contractuales y legales necesarias para garantizar la seguridad y confidencialidad de las copias de respaldo, marcando las responsabilidades de cada parte en estas funciones. En el Servicio de Informática del SAS, el encargado de supervisar los soportes es el Responsable de los Operadores del CTI. También se encarga de comunicarse con los trabajadores de las empresas encargadas de administrar los servidores, los cuáles le indicarán a qué información tiene que hacerle copias de respaldo y en qué servidor se encuentra dicha información.

3. Para poder proceder a la recuperación de información, a partir de las copias de respaldo, se

tendrá que recabar la autorización previa del Responsable del Fichero a petición del Usuario Responsable de la Aplicación/Fichero (Artículo 21.2 RD 994/1999).




c. Realización de Copias de Respaldo y Periodicidad Debido a la complejidad y heterogeneidad de los sistemas informáticos existentes en el Servicio Andaluz de Salud, para la realización de copias de respaldo se utilizan distintos equipamientos tanto físicos como lógicos, así como distintas políticas. Las copias de respaldo y periodicidad se realizan en el CTI del SAS. Estas copias son realizadas mediante equipamientos físicos, cuyas características se detallan a continuación. La información se encuentra almacenada en distintos servidores en el CTI. Dependiendo si la información almacenada en los servidores pertenece al entorno Sanitario, dicha información será almacenada por un robot con unas características especificas, y si la información pertenece al entorno de Recursos Humanos u Económico esta información será almacenada por otro robot con otras características específicas. En resumen, tenemos información almacenada en servidores y dependiendo del entorno al que pertenezca dicha información, las copias de respaldo se realizarán por un robot o por otro. Estos robots salvan diariamente la información necesaria para saber que es lo que hay grabado en cada cinta (ya que cada cinta tiene un código de barras que las identifica de manera única), en que fecha se grabó, el nombre de la cinta.... Cada uno de estos robots se salva a si mismo la información necesaria para poder ejecutarse si tuviesen que ser reemplazados por otro robot.

i. Entorno sanitario:

Si la información pertenece al entorno sanitario, las características del equipamiento físico que realiza las copias son las siguientes: Entorno Sun: - El hardware que contienen los datos es un SF15K de Sun con cabina de discos Hitachi

9980V. La capacidad de almacenamiento es de 16 Terabytes. - El hardware de Backup que se utiliza es un Robot L180 de Storagetek. - El software de Backup instalado en el Robot es el NetBackup de Veritas. - El tipo de cinta que se utiliza para almacenar la información es: SDLT. Entorno Fujitsu: - El hardware que contienen los datos es un PrimePower 2500 de Fujitsu con cabina de discos

Ethernus 6000. La capacidad de almacenamiento es de 32 Terabytes. - El hardware de Backup que se utiliza es un Robot LT270 de Fujitsu. - El software de Backup instalado en el Robot es el NetBackup de Veritas. - El tipo de cinta que se utiliza para almacenar la información es: LTO3.




APLICACIONES

Las aplicaciones que pertenecen al entorno sanitario y se almacenan en los servidores que se encuentran en el CTI del SAS son las siguientes:

a) Entorno Transaccional(se pueden realizar operaci ones de actualización, de

modificación y de consulta sobre los datos de las b ases de datos): � DIRAYA: Citación, Prescripciones, Sicomop, Maco, Vacunas, Dispensaciones,

Visados, HS Atención Primaria, HS Única, HS Urgencias, HS Consultas Externas, Derivaciones, Estructura, Sirega, módulo de análisis y módulo de comunicaciones.

� BDU: Gadu, Intersas, Web-Services. � OTRAS APLICACIONES SANITARIAS: Aplicación para la Gestión de la Demanda,

Segunda Opinión Médica, Libre Elección de Médico Especialista y Hospital, Farma, Registro de Voluntades Vitales Anticipadas, Plan Integral Diabetes, Sistema de Información del Fondo de Cohesión, Acta, Sigilum XXI, Sigap, Código Numérico Personal y @goras.

b) Entorno DataWarehouse(solamente se pueden realiz ar operaciones de consulta

sobre los datos de las bases de datos): � SANITARIOS: Facturación, Recetas, Semad, Semi, Inforcoan, MTI-BDU, MTI-Citas,

MTI-Urgencias.

Las distintas políticas que se aplican en la realización de las copias de respaldo son las siguientes:

1) DATOS: Entornos Transaccionales:

� RMAN: Copia diaria completa (full backup en caliente).

� El periodo de retención es el siguiente:

Las copias diarias 28 días en cinta. Una copia semanal con un año en cinta. Una copia mensual con 5 años en cinta.

2) DATOS: Entornos DataWarehouse:

� EXPORT: Diariamente se realiza un export de las estructuras, procedimientos, etc., debido a que los datos no cambian.

� En los entornos de DW se realiza una carga de datos una vez al mes. Después de

dicha carga se para la BD (están en modo NOARCHIVELOG) y se realiza una copia completa de la BD. Esta copia se hace directamente en cinta debido al elevado volumen de GB que ocupan.

� El periodo de retención de las copias es de 1 año. Se dispone de dos juegos de

cintas, el A y el B que se usan alternativamente cada mes.




3) SISTEMAS:

� Se realiza una copia completa cada fin de semana y una incremental diaria donde se guarda la configuración de cada equipo.

� El periodo de retención de las copias es de 1 mes.

4) COPIAS PARA FUERA DEL EDIFICIO:

� Diariamente, sacaremos una copia diaria de todos las bds para trasladar a una ubicación diferente, la ubicación actual es una caja fuerte en los Servicios Centrales del SAS, en la Avenida de la Constitución. Este juego de cintas tendrá una rotación semanal, el pool de cintas al que pertenece es denominado “Productivos”

� Mensualmente, sacaremos una copia histórica (5 años) de todos los datos para trasladar a una ubicación diferente, la ubicación actual es una caja fuerte en los Servicios Centrales del SAS, en la Avenida de la Constitución. Este juego de cintas tendrá una rotación quinquenal, el pool de cintas al que pertenece es denominado “Productivos_Historicos”

7.3.2. Entorno Recursos Humanos y Económico:

Si la información pertenece al entorno de recursos humanos y económico, las características del equipamiento físico que realiza las copias son las siguientes: - El hardware que contienen los datos es un NovaScale de Bull con cabina de discos CX400 - El hardware de Backup que se utiliza es un Robot L180 de Storagetek. - El software de Backup instalado en el Robot es el Open Save de Bull. - El tipo de cinta que se utiliza para almacenar la información es la DLT.

APLICACIONES Las aplicaciones que pertenecen al entorno de Recursos Humanos y se almacenan en los servidores que se encuentran en el CTI del SAS son las siguientes:

� ENTORNO TRANSACCIONAL(se pueden realizar operaciones de actualización, de modificación y de consulta sobre los datos de las bases de datos): Nóminas, Expedientes, Turnos, Concurso de Traslado, Control Rendimiento Profesional, Axon, Pasarela, Control Presupuestario, Ciclo del Dinero, Bolsa.

� GESTIÓN ECONÓMICA: Consulta Documento Pago, Control Financiero Permanente, Intereses de Demora, Transdata, Gestión del Presupuesto.

c) ENTORNO DATAWAREHOUSE(solamente se pueden realizar operaciones de

consulta sobre los datos de las bases de datos): Control Analítico del Gasto, Cuadro de Mando, Estadísticas sobre Turnos y Absentismo, Plantilla.

� GESTIÓN ECONÓMICA: Presupuesto de Gasto, Control Financiero y modelo de

compras.




1) DATOS:

� Copia completa mensual cuyo periodo de retención es de 2 meses, existiendo 2 juegos en CTI.

2) SISTEMAS:

� Se realiza una copia mensual de todo el sistema, tanto Windows como GCOS.

3) ADEMÁS A PETICIÓN DE LOS EQUIPOS FUNCIONAL Y DE DESARROLLO: � Copia completa diaria cuyo periodo de retención es de 15 días. � Copia completa quincenal cuyo periodo de retención es indefinido. � Copia completa mensual antes y después de cada cálculo de nóminas con un

periodo de retención indefinido.

4) COPIAS PARA FUERA DEL EDIFICIO:

� Existe una copia de las últimas copias de Datos y de Sistemas, en SSCC.

d. Inventariado de Copias de Seguridad El inventario facilita un acceso rápido a los soportes de datos, proporcionando información sobre su lugar de almacenamiento y otras informaciones de gestión necesarias. En el CTI del Servicio de Informática del SAS, el inventario de las copias de seguridad es gestionado por los robots que realizan las copias de seguridad. En el software que gestiona dichos robots viene detallado cuando se dio de alta la cinta, su identificador, lugar donde se encuentra almacenada...

� Identificador de la cinta � Lugar en el que se encuentra ubicada la cinta

� Fecha de alta de la cinta

� Fecha de baja de la cinta




En la siguiente pantalla vemos un ejemplo de dicho inventario:

e. Identificación de Copias de Seguridad 1. Las cintas serán etiquetadas por los Administradores de Sistemas, realizando un registro con

la siguiente información:

� Identificador de la cinta � Nombre del servidor

� Información guardada (base de datos, etc.) � Tipo de copia (incremental, diferencial, completa...) � Juego de cintas

� Responsable de copia de seguridad

� Fecha de realización de la copia (dd/mm/aaaa)

El etiquetado externo de los soportes facilita su rápida identificación. Las copias de seguridad gestionadas por el CTI del SAS se identifican mediante el nombre del pool, del job o proceso o también con el nombre del servidor( cuando se hace una copia completa de ese servidor) , dependiendo de la copia que se haga. También vienen identificadas de forma única mediante un código de barras impreso en el lateral del soporte donde se almacena la copia de seguridad.




En la siguiente pantalla vemos un ejemplo de la información que obtenemos de cada cinta:

f. Almacenamiento de las copias de seguridad 1. Cualquier localización donde se almacenen copias de respaldo deberá cumplir con los más

severos requerimientos de seguridad física (protección contra incendios, contra inundación, controles de temperatura y humedad, control de accesos, vigilancia, etc.), de acuerdo con lo establecido en las normas de seguridad física del edificio en el que se encuentra. El CTI del Servicio de Informática del SAS y las instalaciones que el SAS tiene en la Avenida de la Constitución son las ubicaciones donde actualmente se almacenan las copias de respaldo. Dichas localizaciones cumplen los requisitos de seguridad física necesarios. Los requerimientos de seguridad física que se cumplen en el CTI del SAS vienen descritos en el anexo A.1 Seguridad en la Sala de Servidores. Las copias de seguridad que se encuentran en el CTI del SAS se encuentran alojadas en armarios ignífugos bajo llave.

2. Deberá existir al menos una copia de respaldo en un lugar diferente de aquél en que se

encuentren los equipos informáticos y protegido del acceso de personal no autorizado (caja fuerte del centro de trabajo). Una vez al dia, personal de la empresa de seguridad OMEGA se encargan de transportar una copia de seguridad de toda la información almacenada en los servidores del CTI del SAS a las instalaciones que el SAS tiene en Avenida de la Constitución. Dicha copia se guarda en un armario bajo llave en una sala custodiada por los vigilantes de seguridad de dichas instalaciones. Solo personal autorizado puede entrar a esta sala. En un futuro, se pretende que las copias de seguridad que tienen que estar en un lugar diferente al




del CTI sean trasladadas al centro de respaldo de Málaga, en vez de llevarlas a las instalaciones de Avenida de la Constitución.

3. Las cintas se almacenarán en condiciones adecuadas de temperatura entre 18º C y 26º C, y

humedad alrededor 40% H. R. La sala de servidores y la sala de operadores del CTI del SAS, tal y como explicamos en el anexo A.1 Seguridad en la sala de servidores poseen la temperatura y humedad adecuada para almacenar copias de seguridad.

4. Será obligatoria la utilización de una autorización escrita, por parte del Responsable de

Sistemas y Tecnologías de la Información para retirar alguna copia fuera de las cámaras de seguridad. Solamente están autorizados a retirar copias de seguridad el responsable del CTI del SAS y el Responsable de la Sala de Operadores del SAS. Si otra persona necesita retirar una copia de seguridad tiene que tener una autorización escrita por parte del Jefe del Servicio de Informática y por parte del Responsable del CTI del SAS.

g. Entradas y Salidas de Copias de Seguridad 1. Toda entrada o salida de copias de seguridad, será registrado en el Registro de

Entrada/Salida del centro correspondiente, haciéndose constar la siguiente información (artículo 20.1 y 20.2 RD 994/1999):

� Tipo de soporte

� Fecha y hora

� Emisor (entradas) o destinatario (salidas)

� Responsable de recepción (entradas) o de entrega (salidas)

� Tipo de información que contiene

� Forma de envío

Toda la información de entrada/ salida de copias de seguridad queda registrado en el software que gestiona los robots donde se realizan las copias de seguridad. Las características de dichos robots viene descrita en el apartado 7.3 Realización de Copias de Respaldo y Periodicidad.

h. Verificación de Copias de Seguridad

1. Cuando termine el proceso de copia, el Administrador de Sistemas comprobará que la copia se ha realizado correctamente.

2. El Administrador de Sistemas verificará las copias al menos dos veces por año (acorde con la

frecuencia de actualización y la importancia de la información), para comprobar (contenido y calidad) que continúan siendo legibles, así como que existen medios para procesarlas. No se realiza verificación de copias de seguridad ya que el proceso que se sigue para realizar copias de seguridad hace que las cintas donde se realizan las copias, se utilicen constantemente tal y como viene explicado en el apartado 7.3 Realización de Copias de Respaldo y Periodicidad, con lo que las copias son comprobadas de una forma reiterada, comprobándose si son legibles, si funcionan bien...




i. Recuperación de Información La Recuperación de Información contempla la recuperación de ficheros, tablas u otras estructuras de almacenamiento desde las copias de salvaguardia sólo ante una incidencia, y utilizando procesos específicos no planificados. 1. Recibida una incidencia (según el procedimiento habilitado para ello), el Responsable de

Seguridad, conjuntamente con el Administrador de Sistemas y, si la incidencia lo requiere, los Responsables del Tratamiento y los responsables Informáticos afectados, analizarán la misma y decidirán, si es preciso, qué ficheros o tablas se recuperarán y a partir de qué copias de salvaguardia, para garantizar la reconstrucción y coherencia de los datos de los aplicativos.

2. Será necesaria la autorización por escrito del Responsable del Fichero para la ejecución de

los procedimientos de recuperación de los datos. (Artículo 21.2 RD 994/1999).

En el S.A.S. esta función será delegada al Usuario Responsable de la Aplicación/ Fichero. La autorización se realizará a través de la aplicación de Mantenimiento del Sistema de Información, dando el Usuario Responsable de la Aplicación/ Fichero su visto bueno (“OK del responsable”) a una incidencia generada a tal efecto.

3. El Administrador del Sistema/Red/Base de Datos será el encargado de recuperar la

información requerida. 4. En el registro de incidencias deberá consignarse; los procedimientos realizados para la

recuperación de los datos, la persona que ejecuta el proceso, los datos restaurados, los datos que ha sido necesario grabar manualmente en el proceso de recuperación. (Artículo 21.1 RD 994/1999).

La solicitud formal de petición de una recuperación de datos que se utiliza es la siguiente:




SERVICIO DE INFORMÁTICA - UNIDAD DE OPERACIONES SOLICITUD DE RESTAURACIÓN DE DATOS

(A rellenar por Desarrollo)

PROYECTO: _____________________________ MÓDULO: _____________________________ URGENTE (SI/NO): ___________

DATOS A RESTAURAR: ___________________________________________________________________________________________

__________________________________________________________________________________________________________________

__________________________________________________________________________________________________________________

DESTINO DE LOS DATOS RESTAURADOS: _________________________________________________________________________

__________________________________________________________________________________________________________________

MOTIVO QUE CAUSA LA RESTAURACIÓN: ________________________________________________________________________

__________________________________________________________________________________________________________________

__________________________________________________________________________________________________________________

SOLICITADO POR: __________________________________________________________TLFNO: _____________________________

CARGO: _________________________________________ FECHA: _________________ FIRMA: _____________________________




(A rellenar por Responsable del Proyecto)

AUTORIZADO POR: ________________________________________ CARGO: RESPONSABLE DEL PROYECTO ____________

FECHA PROPUESTA RESTAURACIÓN DE DATOS: _____/_____/_____ HORA: _________ FIRMA: ______________________

(A rellenar por Unidad de Operaciones y CTI)

APROBADO POR: _______________________________________ CARGO: RESPONSABLE CTI _____________________________

FECHA: ______/______/______ FIRMA: ___________________________________________________________________________

TÉCNICO CTI: __________________________________________ FECHA: ______/______/______ HORA: _____________________

FIRMA: ___________________________________________________________________________________________________________

(A rellenar por Desarrollo, Responsable de Proyecto o CTI)

OBSERVACIONES:

En un entorno de pruebas , en la primera semana de cada mes se realizará la recuperación de una aplicación, comprobando que todo se realiza correctamente. Estas aplicaciones irán rotando secuencialmente. En el CTI del SAS no se realizan entorno de pruebas de las aplicaciones.




j. Destrucción de las copias de seguridad

1. Cuando un soporte vaya a ser desechado o reutilizado, se adoptarán las medidas necesarias para impedir cualquier recuperación posterior de la información almacenada en él, previamente a que se proceda a su baja en el inventario (Artículo 20.3 RD 994/1999).

2. Asimismo el Administrador de Sistemas hará constar la baja correspondiente en la inscripción

efectuada en el inventario de copias de seguridad.

3. El sistema de desechado de cintas es totalmente manual. La destrucción de las cintas se hace de modo que sea materialmente imposible la recuperación de sus datos:

� Antes de desechar la cinta se graba encima de los datos personales, otros de carácter

general (y por tanto no protegidos) y que no suponga ningún tipo de infracción su recuperación (sistemas de borrado seguro a base de cadencias de texto o de caracteres sin sentido).

� Destrucción física de la cinta de forma manual.

k. Auditoria del Sistema de Copias de Seguridad 1. Dada su gran importancia, las normas y procedimientos descritos serán auditados dos veces

al año por el Responsable de Seguridad, documentando en un informe los resultados.

� Fichero maestro de requerimientos de seguridad para cada activo de información.

� Sistema de planificación de copias.

� Sistema de ejecución de copias.

� Registro de ejecución de copias.

� Seguridad física de cada cámara de almacenaje.

� Procedimientos de transporte y almacenaje de copias.

� Procedimientos de retirada de copias y recuperación de ficheros.

� Procedimiento de eliminación de soportes. Procedimiento de registros de entrega/recepción de soportes en caso de servicio de destrucción por parte de terceros. Además, revisión del servicio practicado por dicha empresa.




8. Descripción del Uso del Sistema de Información Corp orativa

Toda aplicación o sistema que facilite el acceso a información corporativa, con datos de carácter personal o no, tendrá disponible y actualizada documentación técnica y de usuario. Dichos manuales, tanto técnico como de usuario, estará siempre disponible, y exclusivamente, para el personal técnico o usuario que le afecte.

a. Documentación Técnica En la documentación técnica se explicará, al menos:

� Control de versiones.

� Modelo de datos.

� Si se trata de un paquete o producto estándar del mercado o de un desarrollo propio.

� Código de programa, en el caso de un desarrollo propio.

� Control de acceso a la información.

� Plataforma hardware y software que lo soporta.

� Entorno de comunicaciones (tipo de red, ámbito, conexión con otras redes, controles de acceso, etc.)

b. Documentación de Usuario En la documentación para el usuario se explicará:

� Todas y cada una de las funcionalidades de la aplicación o sistema

� Diccionario de datos. En caso de existir distintos perfiles de usuario para una misma aplicación o sistema, se dispondrá de un manual específico por cada uno de los perfiles adecuándose según los permisos de acceso que se dispongan. Toda la documentación tecnica y de usuario de cada una de las aplicaciones del S.A.S declaradas ante la Agencia Española de Protección de Datos, se encuentran en la siguiente dirección del servidor sc-sas-6: \\sc-sas-6\SSCC\ServicioInformatica\CarpetasServicio\CTI\Software También se puede acceder a la documentación relativa a la aplicación DIRAYA a través de la siguiente URL:

http://10.234.22.105/dirayainforma/




9. Procedimiento de Acceso al Sistema de Información

OBJETIVO

Describir el control de acceso a la información corporativa implantado, garantizando que los usuarios tendrán acceso autorizado únicamente a aquellos datos y recursos que precisen para el desarrollo de sus funciones. (Artículo 12 RD 994/1999).

DESCRIPCIÓN

a. Identificación y Autenticación El responsable del fichero establecerá un mecanismo que permita la identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado (Artículo 18.1 RD 994/1999). 1. El Sistema de Información, que facilita el acceso a información corporativa, tendrá su acceso

restringido mediante un código de usuario y una contraseña.

La contraseña es una serie arbitraria y secreta de caracteres que hay que suministrar para poder acceder a sistemas, subsistemas, aplicaciones, programas, funciones, etc. Las contraseñas personales constituyen uno de los componentes básicos de la seguridad de los datos, y deben por tanto estar especialmente protegidas. Como llaves de acceso al sistema, las contraseñas deberán ser estrictamente confidenciales y personales, y cualquier incidencia que comprometa su confidencialidad deberá ser inmediatamente comunicada al Administrador de Red/Sistemas y subsanada en el menor plazo de tiempo posible.

2. Todos los usuarios autorizados para acceder a determinada información corporativa, deberán

tener un código de usuario que será único, y que estará asociado a su contraseña individual correspondiente, que sólo será conocida por el propio usuario.

3. Cada usuario será responsable de la confidencialidad de su contraseña y, en caso de que la

misma sea conocida fortuita o fraudulentamente por personas no autorizadas, deberá registrarlo como incidencia y proceder a su cambio o que ésta sea cambiada por el Administrador de Red/Sistemas.

4. Solamente, para aquellos casos excepcionales en los que sea necesario continuar con las

funciones que realizaba la persona ausente (debido a una baja o ausencia temporal no prevista), el Director del Centro, Área o Servicio o en caso de ficheros de carácter personal el Usuario Responsable de la Aplicación/Fichero, podrá solicitar a los administradores el acceso a sus datos, dejando constancia en el registro de Mantenimiento del Sistema de Información.

5. En el caso de que el Administrador de Sistemas solicite la contraseña/password para tareas

de mantenimiento, la misma deberá ser cambiada inmediatamente después que se termine con dichas tareas.

6. Cada usuario tiene un perfil determinado. Introduciendo su usuario y contraseña podrá acceder al Sistema de Información del S.A.S. donde estarán aquellas aplicaciones a las que tiene acceso en virtud del perfil asignado.

7. Tras tres intentos de acceso fallidos, por equivocación del usuario al introducir su clave, se




bloqueará su cuenta durante un periodo de una hora. En caso de ser necesaria su activación inmediata se solicitará el desbloqueo al Administrador de Red/Sistemas/Base de Datos, por parte del propio usuario.

Se limitará la posibilidad de intentar reiteradamente el acceso no autorizado al sistema de información (Artículo 18.2 RD 994/1999).

b. Características del Identificador de Usuario y C ontraseña Dependerá de las restricciones técnicas de los sistema operativos y de las restricciones funcionales de cada aplicación. El identificador de usuario y contraseña que tiene el conjunto de aplicaciones DIRAYA consiste en lo siguiente: - Cada identificador está compuesto de cuatro atributos:

1. Permiso\ No permiso (si se le concede permiso o no se le concede permiso para acceder como usuario)

2. Perfil: Es el perfil del usuario: Puede ser medico, enfermero..

. 3. Ámbito: Donde el usuario puede trabajar

4. Aplicación: Dependiendo del perfil de cada usuario, este podrá

acceder a una aplicación u otra.

El mecanismo de identificación es el siguiente: Un usuario que quiera acceder a la Historia Digital de Salud del Ciudadano (DIRAYA), tendrá que autenticarse introduciendo su login y password. Una vez introducido estos datos son encriptados mediante el algoritmo de encriptación MD5 y enviados para su procesamiento a MACO. En MACO dichos datos son procesados. Los siguientes ficheros se validan contra MACO (Módulo de Administración Centralizada de Operadores), que es una aplicación que se encarga de la gestión de los usuarios del DIRAYA: Nombre del Proyecto: BDU

• Gadu • Webservices 2.2

Nombre del Proyecto: DIRAYA3 • Atención Especializada- CAE • Historia de la Salud Digital- CAP • Historia de la Salud- HSMINI • Historia de Salud Única • Visados • Receta XXI • Sicomop • Vacunas

Nombre del Proyecto: DIRAYA4 • Citación Web • Derivaciones • Estructura




• Gestor Impresión • HS Única • HS Atención Primaria- CAP • HS Consultas Externas- CAE • HS Urgencias-CAP y CAE • Historia de Salud- HSMINI • Pruebas Funcionales • Receta XXI • Sirega • Vacunas • Visados • Maco • Pruebas Diagnósticas por Imagen • Análisis • Diraya Informa

Nombre del Proyecto: Consejería • Registro de Voluntades Vitales • Sigilum XXI

Nombre del Proyeco: Varias aplicaciones • PID • Sigesom

Nombre del Proyecto: Sircata • IRC

Dichos ficheros tienen unas características especificas de usuario y contraseña que son las siguientes: a) Para el nombre de usuario se sigue la siguiente nomenclatura: Se cogen las dos primeras

letras del nombre, las dos primeras letras del primer apellido y las dos primeras letras del segundo apellido más un numero secuencial que va desde el 001 hasta 999 en el caso de que existan 999 personas que posean el mismo nombre y apellidos. Si por ejemplo existen dos usuarios registrados en MACO que tengan el mismo nombre y apellidos (José López Ruiz), el nombre de usuario para ambos será: joloru001 y joloru002.

b) El usuario es el encargado de escribir la contraseña la primera que entra en el sistema. Dicha

contraseña tiene que estar formada por seis caracteres alfanuméricos como mínimo. c) El usuario tiene hasta nueve intentos para poder acceder al sistema. Si el usuario no ha

podido acceder al sistema tras estos nueve intentos, el sistema bloqueará la cuenta y solamente podrá ser restablecida por el administrador de sistemas.

d) El usuario tiene que cambiar la contraseña cada seis meses.

e) Los usuarios del sistema mandan una solicitud para acceder al sistema. El administrador del

sistema les manda a cada usuario una carta personalizada, en la que se le mandan el nombre de usuario y una clave, la cuál tienen que cambiarla obligatoriamente la primera vez que se conectan al sistema.

Para los siguientes ficheros, las características del identificador de usuario y contraseña son: Nombre del Proyecto: BDU

• MTI- BDU




Nombre del Proyecto: DIRAYA4

• MTI- Citas • MTI- Urgencias

Nombre del Proyecto: FARMACIA • MTI- Recetas 7i • MTI- Semad • MTI- Facturación7

Nombre del Proyecto: RRHH • MTI- Analítica del Gasto • MTI- Turnos y Absentismo • MTI- Plantilla • MTI- Cuadro de Mando

Nombre del Proyecto: Consejería • MTI- SigilumXXI

Las características son las siguientes:

a) Para el nombre de usuario se sigue la siguiente nomenclatura: Se escribe la primera letra del nombre y el primer apellido completo.

b) Para la contraseña, se escribe el dni del usuario que se quiere dar de alta pero sin la

letra. Dicha contraseña tiene que ser cambiada obligatoriamente la primera vez que el usuario accede a la aplicación.

c) Posteriormente, tendrá que cambiar la contraseña porque así lo requiere el sistema,

cada 90 días.

d) El usuario puede autenticarse en el sistema cuantas veces quiera ya que no tiene control de bloqueo de acceso al sistema.

Para los ficheros:

• Correo • Web SAS • Intranet SAS • Central Logística de Compra • Seguimiento Implantación Terminales Atención Especial

las características del identificador de usuario y contraseña son las siguientes:

e) Para el nombre de usuario se sigue la siguiente nomenclatura: Se escriben las iniciales del nombre y apellidos y tres dígitos de manera secuencial a continuación.

f) Para la contraseña, cada una de las aplicaciones tiene un script el cuál te genera las

claves de forma aleatoria. El usuario puede cambiar dicha clave.

g) El usuario tiene tres veces como máximo para autenticarse en el sistema antes de que el sistema se bloquee.

h) Para la aplicación Correo, los datos con el usuario y contraseña son enviados al

responsable de informática de cada centro, quien será el encargado de configurar, con esos datos, las cuentas de correo de cada uno de los usuarios.

Para el fichero Registro de Implantes Quirúrgicos, las características son las siguientes:




i) La aplicación utiliza base de datos Oracle y SQL, luego la metodología de asignación

de nombre de usuario y contraseña a usuarios es la que se utiliza en Oracle. j) Los datos son mandados por correo electrónico o por correo ordinario.

Para el fichero LÉMEH, las características del identificador de usuario y contraseña son:

k) Para el nombre de usuario, el primer dígito corresponde a un numero del 1 al 8 que se corresponde con una provincia. Estos números se corresponden con cada una de las ocho provincias andaluzas ordenadas por orden alfabético. En este caso a la provincia de Almería le correspondería el 1, a Cádiz el 2...El segundo dígito corresponde a una letra. Dependiendo de si es un hospital, le correspondería una h, si es un distrito le correspondería una d y si es un centro de salud, le correspondería cs. A continuación vienen otros dos dígitos con las dos primeras iniciales de la provincia donde se encuentra y hasta completar ocho dígitos se escriben números de forma creciente comenzando en el 001.

l) Para la contraseña, se escribe el mismo numero de usuario pero quitándole el primer

dígito.

m) La primera vez que entra se le dice al usuario que cambie la contraseña, pero no es obligatorio.

n) Cada tres meses el usuario tiene que cambiar la contraseña.

o) La contraseña no tiene un número mínimo de caracteres alfanuméricos a introducir

pero si un máximo de 20.

p) El usuario puede realizar tantos intentos de conexión a la aplicación ya que la aplicación no cuenta con el sistema de bloqueo.

q) El procedimiento para que el usuario se de alta en la aplicación es el siguiente:

Rellena un formulario de solicitud de alta, el cual se encuentra en el Portal CTI. Dicha solicitud la manda a CEGES y CEGES se la manda al operador de la aplicación LÉMEH como si fuera una incidencia y este la tramita.

r) Posteriormente, el operador de la aplicación le manda los datos al usuario por via

telefónica. Para el fichero INTERSAS la identificación del usuario y contraseña para poder entrar en la aplicación se realiza mediante certificados digitales.

Para las siguientes aplicaciones del proyecto RRHH: • Gerhonte • Cnp • Bolsa de empleo

Las características del identificador de usuario y contraseña son:

s) Para el nombre de usuario, el primer dígito corresponde a un numero del 1 al 8 que se corresponde con una provincia. Estos números se corresponden con cada una de las ocho provincias andaluzas ordenadas por orden alfabético. En este caso a la provincia de Almería le correspondería el 1, a Cádiz el 2...El segundo dígito corresponde a una letra. Dependiendo de si es un hospital, le correspondería una h, si es un distrito le correspondería una d. Los dos siguientes dígitos son para identificar el centro dentro de la provincia, por ejemplo, si es el Hospital Virgen del Rocío, los dos dígitos serán




VR. Los otros dígitos son cuatro dígitos numéricos secuenciales dentro de cada centro.

t) La contraseña no requiere un mínimo de caracteres para ser válida. El usuario al

iniciar en la aplicación puede cambiar la contraseña si lo desea. Si no la cambia, esta le caducará a los tres meses. El usuario puede cambiar la contraseña en el momento que quiera.

u) El usuario puede realizar tantos intentos de conexión a la aplicación ya que la

aplicación no cuenta con el sistema de bloqueo.

v) El usuario le solicita el alta a su jefe de servicio y este la tramita al coordinador provincial y este, a su vez, lo tramita al encargado de personal, que a su vez lo reenvía al técnico de gestión de usuarios. Una vez realizada el alta, se reenvían los datos al jefe de servicio que ha solicitado el alta vía fax.

c. Altas de Usuarios 1. La solicitud de alta de un nuevo usuario en los Sistemas del S.A.S. se realizará a través de la

página de la intranet del S.A.S.:

http://portal-cti.sas.junta-andalucia.es/alta_usuarios.htm

Aquí están todos los formularios requeridos para dar de alta a los usuarios en las distintas aplicaciones del S.A.S. y el procedimiento que se ha de seguir. En particular, disponemos de altas para:

Procedimiento para solicitar datos del SSPA

Solicitud datos

Solicitud de cambios al CTI

Formulario de Solicitud de cambios al CTI

Procedimiento para solicitar acceso a través de VPN al SSPA

Solicitud de la empresa externa para acceder a través de VPN al SSPA

Procedimiento para solicitar altas de usuarios

Solicitud Administrador Delegado Diraya ATENCION PRIMARIA

Solicitud Administrador Delegado Diraya ATENCION ESPECIALIZADA

Solicitud Administrador Delegado Diraya MÓDULO VISADOS

Solicitud Administrador Delegado Diraya OTROS MÓDULOS




Información para Administradores Delegados de Diraya

Solicitud Usuario Diraya

Información sobre Módulos y Perfiles de Diraya

Solicitudes BDU

Solicitud Usuario Receta XXI

Solicitud Usuario Visados

Solicitud Usuario Genérico

Solicitud Usuario Recursos Humanos

Solicitud Usuario Gestión Económica

Solicitud Usuario MTI Bdu y Citas

Solicitud Usuario otros MTI

Solicitud Usuario Intranet/Correo

Nunca, bajo ningún concepto, se dará de alta a un usuario mediante una solicitud telefónica.

2. La solicitud de alta de un nuevo usuario no perteneciente al S.A.S. (personal subcontratado) se realizará a través de los registros de Mantenimiento del Sistema de Información, por parte del responsable correspondiente (subcontrata).

Nunca, bajo ningún concepto, se dará de alta a un usuario mediante una solicitud telefónica.

3. En la solicitud deberán aparecer como mínimo los siguientes datos:

� Nombre � Primer apellido � Segundo apellido � DNI � Centro de Trabajo � Permisos de acceso específicos � Fecha efectiva del alta

4. La primera contraseña de un usuario que va a ser dado de alta, la concederá el Administrador

de Red/Sistemas/Base de Datos. 5. Dicha contraseña, junto a su identificador de usuario, se le comunicará en persona, mediante

correo certificado de valija interna. Inmediatamente después de lo cual el usuario deberá cambiar dicha contraseña.

6. Al dar de alta a un nuevo usuario se le asignarán, o darán acceso a los siguientes recursos:

� Espacio individual en el servidor de su centro de trabajo correspondiente. � Cuenta de correo individual � Acceso al Sistema de Información del S.A.S. con permisos a la Información y

aplicaciones correspondientes. 7. En caso excepcionales en los que no se puedan ejecutar los circuitos ordinarios, se llevará a

cabo un circuito especial. Ver Anexo G.




d. Bajas de Usuarios 1. Será función del Área de Recursos Humanos comunicar las bajas del personal del S.A.S., a

través de los registros de Mantenimiento del Sistema de Información, a fin de anular todos los permisos de acceso a la información corporativa.

Nunca se aceptará una notificación telefónica de baja de usuario.

2. Será función del responsable del personal subcontratado comunicar las bajas de su personal que presta servicios para el S.A.S., a través de los registros de Mantenimiento del Sistema de Información, a fin de anular todos los permisos de acceso a la información corporativa.

Nunca se aceptará una notificación telefónica de baja de usuario.

3. En la solicitud de baja deberán aparecer los siguientes datos:

� Nombre � Primer apellido � Segundo apellido � DNI � Login � Centro de trabajo � Fecha efectiva de la baja

Dejando registro histórico de los mismos. 4. En caso de usuarios que causen bajas temporales, o personal contratado por periodos,

quedará a decisión del Administrador de Sistemas/Red/Base de Datos, dar de baja definitiva o bloquear la cuenta hasta la nueva alta del profesional.

5. Tras una baja de un usuario se guardará en CDROM la información del usuario (espacio

individual en servidor y correo electrónico) a fin de liberar espacio en los sistemas. Dicho CDROM se guardará en lugar seguro donde no pueda acceder personal no autorizado.

e. Modificación de Permisos

1. Cualquier modificación en los permisos de acceso de un usuario a información corporativa deberá ser solicitado, por el responsable correspondiente de la información a la que afecte, en los registros de Mantenimiento del Sistema de Información.

2. En la solicitud de modificación de permisos deberán aparecer los siguientes datos:

� Nombre � Primer apellido � Segundo apellido � DNI � Login � Centro de Trabajo � Aplicación o recurso al que se requiere/deniega acceso � Fecha efectiva en la que se requiere/deniega el acceso




3. En el caso de que la administración de algún recurso compartido (carpetas públicas, carpetas compartidas, etc.) esté delegada a su correspondiente responsable funcional (Usuario Responsable de la Aplicación/Fichero) no hará falta el registro de la incidencia correspondiente haciéndose responsable de la correcta asignación de permisos al propio responsable.

f. Almacenamiento de Contraseñas 1. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un

procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad (Artículo 11.2 RD 994/1999).

2. Las contraseñas se cambiarán con la periodicidad que se determine en el documento de

seguridad y mientras estén vigentes se almacenarán de forma ininteligible (Artículo 11.3 RD 994/1999).

3. El Administrador de Sistemas/Red realizará el seguimiento y control del funcionamiento de la

administración de contraseñas del sistema.

• Para las aplicaciones que se ejecutan sobre MACO (apartado b de este anexo) el tiempo que tienen los usuarios de dichas aplicaciones para poder cambiar la contraseña es de seis meses.

• Para la aplicaciones MTI, las contraseñas tiene que ser cambiada

obligatoriamente la primera vez que el usuario accede a la aplicación. Posteriormente, el usuario tendrá que cambiar la contraseña porque así lo requiere el sistema, cada 90 días.

• Para los ficheros:

a. Correo b. Web SAS c. Intranet SAS d. Central Logística de Compras e. Seguimiento Implantación Terminales Atención Especial

Las contraseñas no hace falta que sean cambiadas.

• Para el fichero LÉMEH la primera vez que entra se le dice al usuario que cambie la contraseña, pero no es obligatorio. Cada tres meses el usuario tiene que cambiar la contraseña.

• Para las siguientes aplicaciones del proyecto RRHH:

f. Gerhonte g. Cnp h. Bolsa de empleo

El usuario al iniciar en la aplicación puede cambiar la contraseña si lo desea. Si no la cambia, esta le caducará a los tres meses. El usuario puede cambiar la contraseña en el momento que quiera.




g. Auditoría de Permisos de Acceso 1. El Usuario Responsable de la Aplicación/Fichero comprobará, con una periodicidad al menos

trimestral, que la lista de usuarios autorizados de su Área o Sede se corresponde con la lista de los usuarios realmente autorizados en la aplicación de acceso a la información corporativa, para lo que recabará la lista de usuarios y sus códigos de acceso al administrador, notificando toda variación (alta/baja/modificación) según se determina en apartados anteriores.

2. El Responsable de Seguridad comprobará, con una periodicidad al menos trimestral, que la

lista de usuarios autorizados se corresponde con los usuarios que realmente deben estar autorizados para el acceso a la aplicación




10. Registro de Accesos

OBJETIVO

Describe las acciones establecidas para el registro de accesos a la información corporativa de obligado cumplimiento por la LOPD y aquellas necesarias para un correcto control de seguridad.

DESCRIPCIÓN

a. Registros normalizados 1. Existirá un registro de accesos/uso para controlar los recursos de información corporativa. 2. El Responsable de Seguridad y el Responsable de Sistemas y Tecnologías de la Información

son responsables de determinar los registros de accesos que se llevarán a cabo en cada sistema del S.A.S.

3. El Administrador de Sistemas/Red/Base de Datos designado, será el encargado de activar el

sistema de registro de accesos. 4. El Responsable de Seguridad revisará periódicamente la información registrada elaborando un

informe de incidencias al menos una vez al mes (Artículo 24.5 RD 994/1999). 5. Cualquiera de los registros no podrán ser desactivados en ningún caso. (Artículo 24.3 RD

994/1999). 6. El período mínimo de conservación de la información de los registros será de dos años

(Artículo 24.4 RD 994/1999). 7. Los servicios y accesos a Red Corporativa tendrán registros equivalente a los de la LSSI.

b. Relación de Registros de Acceso A continuación se detallarán Aplicaciones y Servicios que están auditados. Para cada uno de ellos se especificará la información recogida. 1. El registro guardará la siguiente información (Artículo 24.1 RD 994/1999): de cada acceso se

guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. Cada una de las aplicaciones que contienen datos de carácter personal contienen en sus base de datos procesos mediante los cuales almacenan los registros que guardan la información de cada acceso que se realiza a dichas aplicaciones, guardando en cada uno de los registros la identificación del usuario que accedió a la base de datos, la fecha y la hora en la que accedió, el nombre del fichero accedido, el tipo de acceso que realizó y si ha sido autorizado o denegado dicho acceso.




c. Acceso a Información de Carácter Personal de Niv el Alto en Base de Datos

1. El registro guardará la siguiente información (Artículo 24.2 RD 994/1999):

� Usuario � Fecha y hora de conexión � Nombre del fichero de carácter personal al que accede � Registro accedido � Tipo de operación realizada en el registro

2. En el caso de accesos masivos se procederá al registro de las condiciones de selección

ejecutadas en donde viene implícito el registro accedido y el tipo de operación realizada. Es decir se registrará:

� Usuario � Fecha y hora � Nombre del fichero de carácter personal al que accede � Condición de selección (sentencia SQL)

d. Relación de Aplicaciones/Fichero A continuación se deben detallar los registros de nivel alto en cada Aplicación o Fichero afectado por este documento: 1. Los registros de la Aplicación "....." guardará la siguiente información: 2. Los registros de la Aplicación "....." guardará la siguiente información:




11. Controles periódicos de verificación del cumplimien to 1. Al margen de todas las auditorías establecidas en cada uno de los procedimientos, se realizará una

auditoría al menos cada dos años, externa o interna, que dictamine el correcto cumplimiento y la adecuación de las medidas del presente documento de seguridad, identificando las deficiencias y proponiendo las medias correctoras necesarias. Los informes de auditoría serán analizados por el Responsable de Seguridad, quien propondrá al Responsable del Fichero las medidas correctoras correspondientes.

2. Los resultados de dichas auditorías serán documentados.




ANEXO B. DOCUMENTOS DE NOTIFICACIÓN Y DISPOSICIONES DE CARÁCTER GENERAL . Previa notificación a la Consejería de Salud, en el BOJA núm. 164 del 27 de agosto de 2003 se publica la siguiente: “ORDEN de 11 de agosto de 2003, por la que se crean, modifican y suprimen ficheros automatizados de datos de carácter personal del Servicio Andaluz de Salud” Una vez remitido el escrito a la Agencia Española de Protección de Datos se nos notifican los códigos de inscripción de los ficheros: ACCIÓN FICHERO CÓDIGO AEPD

Inscripción FARMA 2041800101 Inscripción GESTIÓN DE PERSONAL 2041800102 Inscripción BASE DE DATOS DE USUARIOS-BDU 2041800103 Inscripción ENCUESTA DE SATISFACCIÓN A USUARIOS 2041800104 Inscripción PROGRAMA ACTA 2041800105 Inscripción APODERADOS 2041800106 Inscripción RECLAMACIONES ASESORÍA JURÍDICA 2041800107 Inscripción CONTABILIDAD 2041800108 Inscripción ACTIVIDAD CONTENCIOSA DEL ORGANISMO 2041800109 Inscripción USUARIOS DE SISTEMA DE INFORMACIÓN 2041800111 Inscripción PATOLOGÍAS DE ATENCIÓN URGENTE 2041800112 Inscripción PLAN DE VACUNACIÓN DE ANDALUCÍA 2041800113 Inscripción LIBRE ELECCIÓN DE MÉDICO Y HOSPITAL 2041800114 Modificación DE PARTOS Y RECIÉN NACIDOS 1970630004 Modificación GESTIÓN PRESTACIONES FARMACÉUTICAS 1970630007 Modificación C.M.B.D. 1970630008 Modificación INSUFICIENCIA RENAL CRÓNICA (PACIENTES) 1970630009 Modificación METABOLOPATÍAS 1970630011 Modificación HISTORIAS CLÍNICAS CENTROS DE SALUD 1970630015 Modificación USUARIOS DEL SISTEMA SANIT. CENTROS HOSPITALARIOS 1970630016 Modificación HISTORIAS CLÍNICAS CENTROS HOSPITALARIOS 1970630017 Modificación SISMA 1970630019 Supresión REGISTRO DE PERSONAL. DICCIONARIO RETRIBUCIONES. 1970630005 Supresión GESTALON 1970630006 Supresión CITA PREVIA EN CENTROS ESPECIALIZADOS PERIFÉRICOS 1970630010 Supresión REGISTRO DE TRANSPLANTE DE MÉDULA ÓSEA 1970630012 Supresión USUARIOS DEL SISTEMA SANITARIO CENTROS DE SALUD 1970630014




ANEXO C. PLAN DE EMERGENCIA Y EVACUACIÓN Manual de Autoprotección para el desarrollo del plan de emergencia contra incendios y de evacuación en locales y edificios aprobado por O.M. de 29/11/84, NBE-CPI 96 (RD 2177/96) Se detallan a continuación las medidas de seguridad relativas a los centros donde se alberga la información corporativa del S.A.S. En él se incluirá:

• Plan de emergencias del centro • Plan de señalización y evacuación • Personas y teléfonos de contacto en el plan de emergencias




ANEXO D. SISTEMAS DE INFORMACIÓN DEL FICHERO . Se detalla a continuación la descripción del los Sistemas de Información donde se aplica el Fichero, así como los componentes Software y Hardware implicados. Descripción detallada de la estructura del Fichero o la Base de Datos La descripción contendrá al menos los siguientes aspectos: Ubicación física del Fichero, tipo de soporte, servidor, nombre del área o directorio etc.… Descripción lógica, archivos o tablas, registros o tuplas, campos o columnas, así como el formato, descripción y relaciones entre los mismos. Si se realizan pruebas con datos reales, se relacionaran estos ficheros de prueba, indicando el nombre y descripción de los mismos y procedimiento previsto para el borrado físico de estos datos. Gestor de base de datos. Descripción del sistema informático de acceso al fi chero El sistema informático o aplicación de acceso al fichero es el conjunto de programas, específicamente diseñados para el caso o de propósito general, con los que normalmente se accede para consultar o actualizar los datos del Fichero. La descripción deberá al menos contener los siguientes datos: Nombre de la aplicación Si se trata de un paquete o producto estándar del mercado o de unos programas expresamente diseñados para ese propósito. Quién y en que fecha se programó. Responsables del mantenimiento. Entorno de Sistema Operativo y de Comunicaciones del Fichero (a ser cumplimentado por el administrador del sistema) Deberá contener al menos los siguientes datos y aspectos: Sistema operativo Nombre y versión Fabricante Características generales (monopuesto, multiusuario, compartición de ficheros u otros recursos, etc..) Control de acceso, características Archivos de logging y procedimientos de recuperación propios del sistema. Responsables del mantenimiento Entorno de comunicaciones (si lo tuviese) Tipo de red local (Ethernet, otras), ámbito y extensión. Si existe conexión con otras redes locales o WAN, indicar el tipo de conexión (permanente, esporádica,

etc.), a través de redes públicas como Internet o con conexiones privadas etc..




¿Hay compartición de recursos y archivos ?. Si es así indicar que tipo de sistema de red se ha utilizado, sus límites y alcance. Controles de acceso desde la red al sistema del Fichero. Descripción de los Sistemas de Información del S.A. S Los diferentes sistemas de información que componen DIRAYA, se encuentran diferenciados en tres bloques. Los diferentes bloques con las aplicaciones que los componen se detallan a continuación: a) Bloque de Centralizada Las BBDD de estos ficheros están ubicados fisicamente en el CTI del SAS. Se encuentran almacenados en dos servidores de Sun Microsystem 15k. Cada uno de estos servidores tiene cinco dominios, simulando cada uno de ellos una maquina virtual. El gestor de base de datos de dichas aplicaciones es Oracle 9i. El sistema operativo que utilizan los 15k es Solaris versión 9.

• Citaweb • Derivaciones

• Pruebas Funcionales

• Pruebas Diagnósticas por Imagen

• Buzón

• Maco

• Estructura

• Web Services

• Gestor de Impresión

• Historia Única

• Vacunas

• Historia Salud

• Sirega

• Diábaco

• Diraya Informa

• Visados • Receta XXI




b) Bloque de Primaria Las BBDD de estos ficheros están ubicados fisicamente en el CTI del SAS. Se encuentran almacenados en cuatro servidores, (conectados dos a dos en un cluster, de los cuáles dos están conectados en Sevilla y los otros dos en Málaga) de Fujitsu, los Prime Power. El gestor de base de datos de dichas aplicaciones es Oracle 9i. El sistema operativo que utilizan los 15k es Solaris versión 9.

• CAP • URG

• CCAP

• CURG

c) Bloque de Especializada Las BBDD de estos ficheros están ubicados fisicamente en cada uno de los hospitales, en servidores, cuyas características son:

• CAE • CCAE

• URG

• CURG




ANEXO E. REFERENCIAS LEGALES En el presente Anexo se relacionan las Leyes, Reales Decretos, Sentencias del Tribunal Constitucional, Instrucciones de la Agencia de Protección de Datos y cuantas normas se publiquen para el desarrollo de todos los aspectos contemplados en la Ley Orgánica 15/1999 (LOPD), de 13 de diciembre, de Protección de Datos de Carácter Personal. En la actualidad todo el proceso normativo se encuentra en sus inicios, por lo que en los próximos años se desarrollarán, con normas de diferentes rangos, los aspectos de la LOPD anteriormente citados. La publicación de las diferentes normas, en el futuro, podrá dar lugar a modificaciones en el presente Manual.

RELATIVA A LA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL

� Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

� Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que declara la

inconstitucionalidad de algunos incisos correspondientes a los apartados del artículo 21.1 y 24.1 de la LOPD.

� Real Decreto 994/1999, de 11 de junio, por el que se aprueba el Reglamento de Medidas de

Seguridad de los ficheros automatizados que contengan datos de carácter personal.

� Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos.

� Real Decreto 156/1996, de 2 de febrero, por el que se modifica el Estatuto de la Agencia de

Protección de Datos, aprobado por Real Decreto 428/1993, de 26 de marzo, para designar a la Agencia de Protección de Datos como representante español en el grupo de protección de personas previsto en la Directiva 95/46/CE de 24 de octubre.

� Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la

Ley Orgánica 5/1992, de 29 de octubre, de regulación del tratamiento automatizado de los datos de carácter personal.

� Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a

la Protección de las personas físicas en lo que respecta al Tratamiento de Datos Personales y a la libre circulación de estos datos.

� Instrucción 1/1996, de 1 de marzo, de la Agencia de Protección de Datos, sobre ficheros

automatizados establecidos con la finalidad de controlar el acceso a los edificios.

� Instrucción 1/1998, de 19 de Enero, de La Agencia de Protección de Datos, relativa al Ejercicio de los Derechos de Acceso, Rectificación y Cancelación.

� Instrucción 1/2000, de 1 de diciembre, de la Agencia de Protección de Datos, relativa a las

normas por las que se rigen los movimientos internacionales de datos. � RESOLUCION de 27 de septiembre de 2004, de la Secretaría General para la Administración

Pública, por la que se establece el manual de comportamiento de los empleados públicos en el uso de los sistemas informáticos y redes de comunicaciones de la Administración de la Junta de Andalucía.




RELATIVO A LA LEGISLACIÓN SOBRE LA SALUD

� Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y derechos y

obligaciones en materia de información y documentación clínica. � Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Seguridad Pública. � Ley 14/1986, de 25 de abril, General de Sanidad. � Ley 2/1998, de 15 de junio, de Salud de Andalucía. � Ley 8/1986, de 6 de mayo, de creación del Servicio Andaluz de Salud (en los aspectos vigentes). � Ley 2/1994, de 24 de marzo, de creación de la Empresa Pública de Emergencias Sanitarias de

Andalucía. � Decreto 88/1994, de 19 de abril. Empresa Pública de Emergencias Sanitarias. Estatutos.




ANEXO F BOJA NÚM. 200 DEL 13 DE OCTUBRE DE 2004 Con la extensión de las nuevas tecnologías en la Administración de la Junta de Andalucía, se ha puesto a disposición de sus trabajadores una serie de recursos informáticos, cuyo uso ha de ser realizado de forma ordenada y enfocado al desempeño de su actividad laboral. Por ello, es necesario poner en conocimiento de los empleados públicos cuál es el modo correcto de utilización de las nuevas tecnologías en el ámbito de la Junta de Andalucía, con el fin de que obtengan un uso más eficiente de las mismas en el desarrollo de sus tareas, lo que repercutirá positivamente en la gestión administrativa y en los servicios prestados al ciudadano, además de prevenir las prácticas abusivas que de una utilización particular de los medios informáticos públicos se pudieran producir, y sobre todo de aquéllas que puedan poner en riesgo la seguridad de los sistemas informáticos. Considerando, igualmente, que se ha de garantizar la legalidad, eficacia y eficiencia de la utilización de los sistemas de información y la fluidez de las comunicaciones informáticas, internas y externas en la Administración de la Junta de Andalucía, así como la protección de las bases de datos que contengan datos personales de las ciudadanas y ciudadanos, para la gestión de los distintos procedimientos administrativos, y aquellos otros archivos sensibles para el funcionamiento de la Administración Andaluza, resulta necesario establecer las pautas de comportamiento de utilización de los sistemas y equipos informáticos por los empleados públicos. Finalmente, también se ha de asegurar que el uso de los distintos programas informáticos se haga respetando las condiciones establecidas en sus licencias de uso, garantizando de esta manera los derechos de los proveedores que participan en el desarrollo informático de la Junta de Andalucía. En virtud de las competencias atribuidas en el artículo7 del Decreto 200/2004, de 11 de mayo, por el que se establece la Estructura Orgánica de la Consejería de Justicia y Administración Pública, se aprueban las instrucciones contenidas en el Manual para usuarios de los sistemas informáticos y redes de comunicaciones de la Administración de la Junta de Andalucía que se adjunta como Anexo a la presente Resolución. Sevilla, 27 de septiembre de 2004.-El Secretario General para la Administración Pública, Pedro José Pérez González-Toruño. ANEXO MANUAL DE COMPORTAMIENTO DE LOS EMPLEADOS PUBLICOS EN EL USO DE LOS SISTEMAS INFORMATICOS Y REDES DE COMUNICACIONES DE LA ADMINISTRACION DE LA JUNTA DE ANDALUCIA. 1. Objeto.

1.1. Facilitar el máximo aprovechamiento de los medios informáticos en la actuación de la Administración de la Junta de Andalucía.

1.2. Asegurar la protección de los derechos de los ciudadanos en sus relaciones con la

Administración, de las personas que tienen acceso a los recursos informáticos y de la propia Junta de Andalucía.

1.3. Mejorar los servicios que la Administración de la Junta de Andalucía presta a los

ciudadanos, propiciando una gestión eficiente de los procesos incluidos en sus sistemas de información y redes de comunicaciones con las que opera.

1.4. Prevenir a los sistemas de información y a los datos a ellos incorporados de los

riesgos o daños que puedan deberse a la acción humana, referente a conductas incorrectas o inadecuadas.




2.Definiciones. A los efectos del presente Manual se entenderá por:

2.1. Administración de la Junta de Andalucía. Todos los servicios dependientes de la Administración de la Junta de Andalucíay de sus Organismos Autónomos. Asimismo, se consideran incluidas las empresas y otras entidades contempladas en los artículos 6 y 6 bis de la Ley 5/1983, de 19 de julio, General de la Hacienda Pública de la Comunidad Autónoma de Andalucía, cuando utilicen sistemas de información y/o redes de comunicación propiedado bajo supervisión de la Administración de la Junta de Andalucía, como quedan definidas en este punto.

2.2. Redes de comunicación. Infraestructura de telecomunicación accesible por los

usuarios, tanto de accesoa red interna o intranet como de accesoa red externa o extranet, correo electrónicoo e-mail o cualquier otro instrumento de transmisión telemática o acceso a la información, mediante la conexión de medios informáticos, que sean propiedad o estén bajo supervisión de la Administración de la Junta de Andalucía.

2.3. Usuarios. Será toda persona física que tenga autorizado el acceso a los sistemas de

información o redes de comunicaciones de la Administración de la Junta de Andalucía. 2.4. Recursos informáticos. Todos los medios de cualquier naturaleza, físicos, lógicoso

humanos, que intervienen en los sistemas de informacióny en las redes de comunicaciones. 2.5. Aplicación informática. Programa o conjunto de programas informáticos que tienen por

objeto el tratamiento electrónico de la información. 3. Ambito de aplicación.

3.1. Las reglas que comprenden este Manual serán de aplicacióna todas los usuarios, cualquiera que sea el nivel o función que ejerza.

3.2. Las reglas que comprenden este Manual serán de aplicación para todo uso de los

sistemas de información y redes de comunicación de la Administración de la Junta de Andalucía.

4. Utilización de los equipos informáticos.

4.1. La Administración de la Junta de Andalucía será quién ponga a disposición de los usuarios los medios y equipos informáticos para el cumplimiento de sus obligaciones laborales. En consecuencia, dichos equipos informáticos no están destinados al uso personal o extraprofesional de los usuarios, por tanto, éstos deben conocer que no gozan del uso privativo de los mismos.

4.2. Los usuarios deberán destinar los equipos informáticos de que sean proveídos,a usos

compatibles con la finalidad de las funciones del servicio al que se encuentren adscritos y que correspondan a su trabajo.

4.3. Los usuarios deberán cuidar los equipos informáticos que les sean facilitados, no

procediendo a alterarlos o modificarlos. 4.4. Los usuarios no tienen permitido conectar a los equipos informáticos que se les

provea, otros equipos distintos de los que tengan instalados.




4.5. Los usuarios en ningún caso podrán acceder físicamente al interior de los PC’s que tengan asignados para el ejercicio de sus funciones, sólo personal autorizado podrá realizarlo para labores de reparación, instalación o mantenimiento.

4.6. Los usuarios sólo podrán usar equipos que estén directamente especificados por la

Administración de la Junta de Andalucía. 4.7. Los usuarios deberán abstenerse de manipular los mecanismos de seguridad

instalados en los PC’s. 5. Utilización de las aplicaciones informáticas.

5.1. Los usuarios deben hacer uso exclusivamente de las aplicaciones informáticas o

versiones de software instalados en sus equipos por la Administración de la Junta de Andalucía. Además, están obligados a seguir las instrucciones o normas que la misma establezca para su empleo. En todo caso, la utilización de las aplicaciones informáticas tiene una finalidad profesional, es decir, destinadas a satisfacer las obligaciones laborales y con el propósito para el que fueron diseñadas e implantadas, por lo que no son idóneas para un uso personal o privado.

5.2. La Administración de la Junta de Andalucía será la responsable de configurar el

sistema operativo, definir las aplicaciones informáticas de uso estandarizado y proceder a su instalación o desinstalación. Sólo tras autorización expresa, dada las características o naturaleza de las aplicaciones informáticas, podrán los usuarios efectuar directamente su instalación.

5.3. Los usuarios en ningún caso podrán borrar o desinstalar las aplicaciones informáticas

legalmente instaladas por la Administración de la Junta de Andalucía. 5.4. Los usuarios se limitarána ejecutar las aplicaciones informáticas para las que estén

autorizados, que les serán facilitadas por la Administración de la Junta de Andalucía. 5.5. Queda prohibido expresamente la instalación de aplicaciones informáticas sin la

correspondiente licencia o no adecuándose a la legislación vigente. 5.6. Las aplicaciones informáticas están protegidas por la propiedad intelectual, por lo

tanto, queda terminantemente prohibido el uso, reproducción, modificación, transformación, cesión o comunicación sin la debida autorización, con finalidad externa a la propia de la Administración de la Junta de Andalucía.

5.7. Queda prohibida cualquier actuación que pueda tener consideración de provocadora o

intimidatoria en el trabajo, de tal manera, que debe excluirse la instalación o visualización de salvapantallas, fotos, vídeos, comunicaciones u otros medios con contenidos ofensivos, violentos, amenazadores, obscenos o, en general, aquellos que agredan la dignidad de la persona.

5.8. Los usuarios están obligados a cumplir las medidas de seguridad diseñadas por la

Administración de la Junta de Andalucía, así como las prevenciones que al efecto se establezcan. Por tanto, no podrán desactivar los programas antivirus ni sus actualizaciones. Tampoco podrán introducir voluntariamente programas, virus, macros o cualquier otro dispositivo lógico o secuencia de caracteres, que causen o sean susceptibles de causar alteración o daño en los recursos informáticos de la Administración de la Junta de Andalucía o en los de terceros.

5.9. Los usuarios están obligados a utilizar exclusivamente los programas antivirusy sus

respectivas actualizaciones u otros sistemas de seguridad, destinados a la prevención de la entrada en los Sistemas de Información de cualquier elemento destinado a alterar o dañar los recursos informáticos, que sean instalados por la Administración de la Junta de Andalucía.




6. Utilización de la información incorporadaa los s istemas.

6.1. Toda la información albergada en los servidores de la Administración de la Junta de

Andalucía,o que circule a través de su red mediante elementos de comunicación o transmisión, que sean de su propiedad o le hayan sido confiada, tiene carácter confidencial.

6.2. Los usuarios están obligados a proteger la información, evitando el envío no

autorizado al exterior, incluyendo esta noción tanto el acceso como la visualización de la misma. Una especial consideración de confidencialidad corresponde a ficheros o información que contenga datos de carácter personal.

6.3. El conocimiento por los usuarios de la información reseñada en el punto 6.1, no

confiere derecho alguno en cuanto a posesión, titularidad o derecho de copia de la misma, por lo que su uso debe ser estrictamente oficial y profesional.

6.4. Los usuarios con acceso a información y datos deben usarlos únicamente para las

operaciones para las que fueron generados e incorporados, sin destinarlos a otros fines o incurrir en actividades que puedan considerarse ilícitas o ilegales. Asimismo, sólo deben accedera aquellos datos y recursos que precisen para el ejercicio de las funciones que les correspondan, y efectuar sólo los tratamientos que sean precisos para el cumplimiento de los fines del servicio al que estén adscritos. Para ello, se dispondrá de perfiles de acceso y una segmentación conveniente, tanto de los usuarios como de las necesidades de información.

6.5. Los usuarios están obligados a proteger la informacióny los datos a los que tienen

acceso. Esta protección debe prevenir el empleo de operaciones que puedan producir una alteración indebida, inutilización o destrucción, robo o uso no autorizado, en definitiva, cualquier forma que pueda dañar los datos, aplicaciones informáticas y documentos electrónicos propios de la Administración de la Junta de Andalucía.

6.6. Los usuarios, conforme a las instrucciones que reciban, utilizarán los medios o

programas de salvaguarda que les facilite la Administración de la Junta de Andalucía, con la finalidad de garantizar la integridad y seguridad de los equipos informáticos, de las aplicaciones informáticas y de la información que contengan. En cualquier caso, no intentarán descifrar claves, sistemas o algoritmos de cifrado y cualquier otro elemento de seguridad que intervengan en los procesos telemáticos.

6.7. Los usuarios están obligados a notificar cualquier incidenciao anomalía en el uso de

los medios informáticos que detecten: pérdida de información, de listados o de disquetes, acceso no autorizado, uso de su identificador de usuario o de su contraseña, introducción de virus, recuperación de datos, desaparición de soportes informáticos y, en general, toda situación que pueda comprometer el buen uso y funcionamiento de los sistemas de información.

6.8. Cualquier fichero que se introduzca en la red corporativa o en el puesto de trabajo del

usuario a través de soporte automatizados, internet, correo electrónico o cualquier otro medio, deberá cumplir los requisitos establecidos en estas normas y, en especial, las referidas a la propiedad intelectual, el control antivirus y la protección de datos de carácter personal.

6.9. En aquellos casos en que sea posible se evitará la ubicación de ficheros que

contengan datos de carácter personal en los PC’s de usuarios. 6.10. Los usuarios sólo podrán crear ficheros temporales que contengan datos de carácter

personal, cuando sean necesarios para el desempeño de sus funciones, en todo caso, deberán ser eliminados cuando hayan dejado de ser útiles para la finalidad para la que fueron creados.

6.11. Toda salida de información que contenga datos de carácter personal, sea en:

soportes informáticos, correo electrónico, portátiles, etc., sólo podrá realizarse por personal




autorizado formalmente por el responsable del fichero, siempre cumpliendo la normativa vigente que garantiza los niveles de protección. Existirá un registro donde quede anotado las salidas y entradas de estos soportes.

6.12. Los usuarios autorizados a manejar soportes que contengan datos de carácter

personal deben guardarlos en lugar seguro, especialmente finalizada la jornada laboral. En todo caso, una vez concluida la finalidad de las tareas a las que estaban destinados estarán obligados a su devolución inmediata.

6.13. Si un usuario finaliza su relación funcionarial o laboral, con la Administración de la

Junta de Andalucía o se traslada de puesto de trabajo, deberá dejar sin perjudicar todas las aplicaciones informáticas, ficheros, información, datos y documentos electrónicos que haya utilizado en su actividad profesional.

6.14. Finalizada la relación funcionarial o laboral del usuario con la Administración de la

Junta de Andalucía, dejará de tener acceso a los equipos informáticos y a la información incorporada a los mismos, debiendo devolver aquellos que se encuentren en su posesión. Seguirá obligado a mantener la máxima reserva y confidencialidad, no sólo de la información y documentos, sino también de las claves, análisis y aplicaciones informáticas.

6.15. Se dará a conocera los usuarios los Documentos de Seguridad e instrucciones que

fijen las normas de seguridad físicas y lógicas, donde se recojan las funciones y obligaciones de aquellos que tengan acceso a datos de carácter personal y, en todo caso, las consecuencias que conllevan su incumplimiento. 7. Acceso a la información.

7.1. Todo usuario con acceso a un sistema de información dispondrá de una única

autorización de acceso, personal e intransferible, compuesta al menos de identificador de usuario y contraseña. Estos permitirán una identificación individual, evitándose registros duplicados o múltiples.

7.2. Los usuarios deben custodiar convenientemente su identificador de usuario y/o

contraseña, sin proceder a su revelación o puesta al alcance de terceros. Serán responsables de toda la actividad relacionada con el uso de su acceso personal autorizado.

7.3. Las contraseñas tendrán plazo de vigencia, los usuarios procederán, siguiendo las

instrucciones del responsable del sistema, a cambiarlas antes de cumplirse el mismo. Si transcurrido dicho plazo no se hubiesen cambiado caducarán denegándose el acceso, de oficio serán modificada, comunicándose la nueva posteriormente al usuario. El plazo de vigencia en ningún caso podrá ser superiora los 9 meses.

7.4. Si los usuarios sospechan que su acceso autorizado (identificador de usuario y/o

contraseña) está siendo utilizado por otra persona, deberá proceder inmediatamente al cambio de contraseña y notificar la correspondiente incidencia.

7.5. Los usuarios no deben intentar obtener otros derechos de acceso al suyo personal, ni

utilizar ningún otro acceso autorizado que correspondaa otro usuario, aunque disponga de la autorización de éste, salvo en los supuestos permitidos por la Ley o conforme a las instrucciones que imparta la Administración de la Junta de Andalucía. 8. Acceso a las redes de comunicación.

8.1. La conexión de los usuarios a las redes de comunicación será facilitada por la

Administración de la Junta de Andalucía.




8.2. Queda prohibido conectarse a la red corporativa de comunicaciones por otros medios

distintosa los definidos y administrados por la Administración de la Junta de Andalucía. 8.3. Queda prohibido conectarse a la red corporativa de comunicaciones con cualquier

equipo informático distinto a los instalados para tal fin por la Administración de la Junta de Andalucía. El personal externo que deba conectarse a los entornos corporativos desde sus equipos requerirá la autorización y, en su caso, la supervisión del responsable de los sistemas de información pertinente.

8.4. Los usuarios tienen prohibido intentar obtener otros derechos o acceso distintos a los

que tienen asignados. Asimismo, no deben intentar distorsionar o falsear los registros «logs» de los sistemas de información. 9. Acceso a internet.

9.1. El acceso a internet por los usuarios se realizará únicamente empleando los medios y

a través de la red establecida a estos efectos por la Administración de la Junta de Andalucía. Por lo que no está permitido su acceso llamando directamente a un proveedor de servicio de acceso y usando un navegador, o con otras herramientas de internet conectándose mediante un módem.

9.2. Las conexiones a internet que se produzcan a través de la red corporativa tendrán

una finalidad profesional. En este sentido, cada usuario autorizado empleará estas conexiones exclusivamente para el ejercicio de las tareas y actividades que corresponden a las funciones de su puesto de trabajo.

9.3. No deberá accederse en ningún caso a direcciones de internet que tengan un

contenido ofensivo o atentatorio de la dignidad humana.A estos efectos,la Administración de la Junta de Andalucía podrá restringir el acceso a determinados servidores de contenidos en internet.

9.4. Las autorizaciones de acceso a internet se concederán acordes con las funciones del

puesto que desempeñe el usuario, produciéndose una segmentación de perfiles que habilite las conexiones.

9.5. La Administración de la Junta de Andalucía regulará y controlará los accesos a

internet. Se podrá proceder a monitorizar las direcciones de acceso y el tiempo de conexión de los usuarios a internet, así como la limitación de su uso en razón de las funciones que ejerza, por motivos de seguridad o rendimiento de la red.

9.6. La Administración de la Junta de Andalucía registrará todos los accesos a servidores

de la red, incluyendo al menos la información de: direcciones de páginas visitadas, fecha y hora, ficheros descargados, usuario y puesto desde el que se ha efectuado la conexión.

9.7. Queda terminantemente prohibida la instalación de proxys por los usuarios. 9.8. Las transferencias de datos desde o a internet se realizarán exclusivamente cuando lo

exija el ejercicio de las funciones del puesto de trabajo. En todo caso, los usuarios deberán tener en cuenta, antes de utilizar la información proveniente de la red, si dicho uso es conforme a las normas que protegen la propiedad intelectual e industrial. 10. Correo electrónico.

10.1. La Administración de la Junta de Andalucía suministrará a cada usuario una

dirección individual de correo electrónico, procediéndole a instalar y configurar una cuenta de correo. El acceso a dicha cuenta de correo se efectuará mediante una clave personal.




10.2. Los usuarios tienen prohibido terminantemente el uso en las redes de comunicación

de otras cuentas de correo electrónico distintas a las facilitadas por la Administración de la Junta de Andalucía.

10.3. El uso por los usuarios del correo electrónico habilitado por la Administración de la

Junta de Andalucía es estrictamente profesional, es decir, para el ejercicio de las funciones que corresponde al puesto de trabajo que desempeñe.

10.4. Los usuarios tienen prohibido expresamente el acceso a cuentas de correos que no

le hayan sido asignadas. Para que un usuario distinto pueda acceder a una cuenta de correo será preciso que el titular de ésta lo autorice por escrito, salvo los supuestos de cuentas de correo asociadas a puestos singulares.

10.5. Los usuarios no pueden interceptar, leer, borrar, copiar o modificar el correo

electrónico dirigido a otros usuarios. 10.6. Queda prohibido para todos los usuarios el uso abusivo del correo electrónico,

utilizando mensajes con contenidos ofensivos o atentatorios a la dignidad humana. Asimismo, queda prohibido el envío deliberado de cualquier clase de programa o virus que puedan causar perjuicios en los sistemas de información de la Administración de la Junta de Andalucía o a terceros.

10.7. Los usuarios tienen prohibido el uso abusivo del sistema de listas de correos para el

envío de mensajes de forma masiva o piramidal. 10.8. Con la finalización de la relación funcionarial o laboral se interrumpirá el acceso a la

cuenta de correo del usuario. 11. Del personal con responsabilidades en los siste mas de información. Se encontrarán exceptuados de aplicar las instrucciones precedentes que interfieran en su cometido aquellas personas adscritas a puestos de trabajo que tienen funciones de diseño, desarrollo, operación o administración de los sistemas de información y de las redes de comunicación. Sólo se entenderán autorizados para el ejercicio de tales funciones cuando sigan estrictamente las directrices de los responsables de la Administración de la Junta de Andalucía. Además, deberán tener especial consideración con:

11.1. No acceder a la información o datos aprovechando sus privilegios de administración.

Sólo podrán acceder previa autorización del responsable del fichero para el ejercicio de las funciones que le corresponda.

11.2. Custodiar con especial cuidado identificadores y contraseñas que den acceso a los

sistemas con privilegio de administrador. 11.3. Procurar que la información almacenada y tratada por los sistemas de información

sea salvaguardada mediante copias de seguridad y para la recuperación de datos periódicamente, al menos con carácter semanal, salvo que en dicho período no se haya producido actualización de los datos.

11.4. Que los soportes informáticos que contengan datos de carácter personal estén

convenientemente registrados en un inventario actualizado, donde figure el tipo de información que contienen y las personas autorizadas a su manejo. Que se cumpla escrupulosamente el control de acceso restringido a personal autorizado en los locales, edificios o recintos en que se




encuentren los sistemas de almacenamiento y servidores con información confidencial o con datos de carácter personal.

11.5. Notificar cualquier violación de las normas de seguridad o de vulnerabilidad de los

sistemas de información que detecten, no revelando en ningún caso a terceros estas debilidades, excepto a la persona autorizada que reciba en el encargo de realizar los trabajos para su corrección. 12. El uso de certificados digitales. Se recomienda, para garantizar la validez y eficacia de la emisión y recepción de comunicaciones y documentos producidos telemáticamente, el uso de la firma electrónica. 13. La comprobación de los sistemas de información y de las redes de comunicación. La Administración de la Junta de Andalucía, mediante los mecanismos formales y técnicos que considere oportunos, podrá comprobar, de forma periódica o cuando resulte conveniente por razones específicas de seguridad o del servicio, la correcta utilización de todos los sistemas de información y redes de comunicación. 14. Las exigencias de responsabilidades. La Administración de la Junta de Andalucía cuando detectare en el uso de los medios informáticos actuaciones irregulares, ilícitas o ilegales, procederá al ejercicio de las acciones pertinentes para las exigencias de las responsabilidades legales que correspondan. 15. Sobre el conocimiento de las instrucciones. Todos los usuarios de los sistemas de informacióny redes de comunicaciones que sean propiedad o estén bajo la supervisión de la Administración de la Junta de Andalucía están obligados al conocimiento y cumplimiento de las presentes instrucciones.




ANEXO G PROCEDIMIENTO DE EMERGENCIA Y REQUISITOS FUNCIONALES DEL MÓDULO NECESARIO PARA LA GESTIÓN DE OPERADORES (ALTA DE OPERADORES Y RESTABLECIMIENTO DE CONTRASEÑAS DE DIRAYA) A TRAVÉS DE LA FIGURA DEL “TERCERO DE CONFIANZA” Y DE LA PROPIA APLICACIÓN “DIRAYA”

Introducción

En este documento se recoge el procedimiento especial de gestión de usuarios del Sistema de Información Diraya, en sus diferentes módulos, que seguirá CEGES en el caso de no ser posible completar el procedimiento habitual a travé s de los “Administradores Delegados”. Es estos casos el operador de CEGES actuará como “Administrador Delegado con Restricciones”. Se contemplan dos situaciones:

1.- El usuario no puede contactar o no puede realizar la gestión con el Administrado

Delegado, al que inicialmente se le dirigirá desde CEGES. Previsiblemente esta situación se producirá en horario especial (noches, festivos y fines de semana) y ante la indisponibilidad del Administrador Delegado.

2.- El Administrador Delegado sufre alguna incidencia técnica que le impide realizar la gestión

y lo solicita a CEGES.

La ejecución de este procedimiento especial de alta o restablecimiento/desbloqueo de contraseñas en el Módulo de Acceso Centralizado de Operadores (en adelante MACO) para Diraya requerirá de:

1.- La intervención de un “tercero de confianza” en el propio centro de salud, con acceso

a la aplicación Diraya; es decir, ya registrado en el sistema por el procedimiento habitual, que actuará como intermediario a la hora de responder ante el sistema de la identidad del solicitante y a la hora de comunicarle los datos temporales de acceso.

2.- La utilización de una nueva opción de mantenimiento de usuarios dentro de Diraya

que permita utilizar esta vía como medio seguro de registrar la petición de alta/restablecimiento/desbloqueo de operador y de comunicar los datos de acceso (usuario y contraseña).

3.- El registro por parte del operador de CEGES que act úa como Administrador

Delegado temporal, de todas las actuaciones realiza das en la base de datos de incidencias de CEGES, debiendo quedar reflejado al menos:

• La petición expresa por parte del usuario/operador final a través llamada de teléfono

o correo electrónico corporativo a CEGES y los datos proporcionados por este del profesional del centro, ya con acceso a Diraya, que actuará como “tercero de confianza”.

• El contacto desde CEGES con el “tercero de confianza” a través del teléfono para

comunicarle que le ha habilitado temporalmente el acceso a la “opción de mantenimiento de contraseñas” de Diraya e informarle del procedimiento a seguir.




• La habilitación por parte de CEGES de usuario y contraseña tras la recepción de petición a través de la nueva “opción de mantenimiento de contraseñas” de Diraya que realiza el “tercero de confianza” en nombre del usuario/operador final afectado.

• El contacto final que debe realizase desde CEGES con el usuario/operador final

afectado confirmando que el “tercero de confianza” le ha proporcionado los datos de acceso. Desde CEGES se le informará que el sistema le obligará a cambiar la contraseña en el primer acceso y que su vigencia es de 72 horas.

• La comunicación a través de correo electrónico que CEGES debe realizar al

Administrador Delegado de la zona, para que este proceda a ratificar o anular el acceso.

El ámbito técnico de ejecución de este procedimient o será el de Aplicaciones Diraya en Producción a través del MACO y de la “opción de mantenimiento de contraseñas”, no contemplándose por el momento su aplicación en los entornos de “Pre-producción” o “Formación”. Dados los requisitos técnicos de la plataforma Diraya que requiere que el usuario/operador final tenga también permisos de acceso en el Dominio Windows 2000 – Citrix, CEGES deberá también disponer de los privilegios suficientes en este dominio.

En la siguiente tabla se refleja el ámbito técnico de ejecución del presente procedimiento especial.

Diraya Producción Diraya Formación Diraya Pre-producción Perfil MACO W2K-Citrix MACO W2K-Citrix MACO W2K-Citrix Administrador Delegado CEGES (procedimiento especial)

SI SI NO NO NO NO

Así mismo este documento recoge los requisitos funcionales del la “opción de mantenimiento de contraseñas” a incorporar a Diraya y sobre la que se basa el procedimiento. Para este caso, el procedimiento consistirá en la solicitud de alta o desbloqueo para un operador sin acceso, por parte un operador con usuario activo en alguno de los módulos Diraya y que en el momento de la solicitud se encuentre en el mismo centro donde está la persona que necesita acceder al sistema. Para ello el operador en el que se confía, denominado “Tercero”, deberá identificarse en un módulo diseñado para tal fin, mediante el cual tendrá acceso a un formulario que deberá cumplimentar. Este procedimiento será aplicable únicamente para alta de operadores o restablecimiento de contraseñas en el entorno de producción, en los casos en los que no ha sido posible contactar con el Administrador Delegado, o bien este Administrador Delegado no puede acceder a MACO por alguna imposibilidad técnica. Para el resto de entornos (Formación y Preproducción) no será aplicable este procedimiento.

Características del módulo a desarrollar Los pasos recogidos en el procedimiento especial de alta de operador o restablecimiento de contraseña a través del “tercero de confianza” requerirá las siguientes funcionalidades de la “opción de mantenimiento de contraseñas” a implementar.




a) Opción/ventana para habilitar/deshabilitar el ac ceso al módulo de mantenimiento de contraseñas para el operador ident ificado como “Tercero de Confianza”.

Este apartado del módulo solo será accesible por los Administradores y Administradores Delegados de Emergencia, que serán los que realicen el alta efectiva en la aplicación MACO tras recibir la solicitud a través de Diraya del operador que realiza las funciones de “Tercero de Confianza”. Consistirá en una ventana de búsqueda, mediante la cual se podrá identificar al operador denominado “Tercero de Confianza”, y una vez localizado se le podrá activar el campo que le permitirá acceder al formulario de solicitud de “Alta o Desbloqueo de Operador Temporal” de la “opción de mantenimiento de contraseñas”.

La búsqueda del operador “Tercero de Confianza”, una vez localizado el centro en el que está activo, se deberá realizar mediante el D.N.I., siendo este el dato que deberá proporcionar el usuario/operador final que realizará la solicitud. Esta búsqueda quedará restringida al centro desde donde se realiza la petición.

Una vez localizado el operador “Tercero de Confianza”, deberá poder activarse el campo que le permitirá acceder al formulario de solicitud de “Alta o Desbloqueo de Operador Temporal”. Esta opción deberá poder ser desactivada por el Administrador y/o Administrador Delegado de Emergencia en el momento que se confirme el correcto acceso a Diraya de la persona para la que se realiza la solicitud.

b) Opción/ventana de “Registro del formulario de so licitud”. El acceso a este módulo se realizará mediante un navegador, pudiendo incluso ser una extensión específica de MACO o directamente puede ser una “opción de mantenimiento de contraseñas” en Diraya, requiriendo siempre la validación del operador “Tercero de Confianza” con los mismos datos de acceso recogidos en MACO. Constará de dos opciones:

1.- En una de ellas, el “Tercero de Confianza” tendrá acceso al formulario de solicitud que

deberá cumplimentar para realizar la petición. El formulario deberá contener los siguientes campos con los datos del operador para el que se solicita el alta o cambio de contraseña:

• Nombre y Apellidos • D.N.I. • Puesto de trabajo • Centro de Trabajo • Teléfono de contacto • Módulo para el que solicita el acceso • Perfil que se solicita • Ámbito organizativo • Alta o Restablecimiento de contraseña • Otros campos que se consideren necesarios.

Es importante señalar que en el Procedimiento de Emergencia no se contempla la

solicitud de operadores con perfil Administrador de Módulo o Administrador Delegado, tan solo operador.

2.- En la otra opción de menú, el “Tercero de Confianza” podrá consultar el estado de su

solicitud, mostrándose los datos de la persona para la que realizó la solicitud, así como el usuario y contraseña que le ha sido asignado a la persona para la que realiza la petición,




en el momento en el que se haga efectiva por parte del Administrador Delegado de Emergencia.

c) Opción/ventana para el “Procesamiento de la soli citud”. Cuando el formulario haya sido completado y grabado, los datos de la solicitud quedarán almacenados en una base de datos, donde quedarán guardadas todas las solicitudes realizadas mediante este Procedimiento de Emergencia.

El Administrador Delegado de Emergencia tendrá acceso mediante el navegador a todas las peticiones solicitadas por el Procedimiento de Urgencia que estén pendientes de hacer efectivas. Con los datos correspondientes a cada solicitud accederá al Módulo de Acceso Centralizado de Operadores (MACO), donde podrá completar la petición solicitada de alta de operador o restablecimiento de contraseña.

El alta del operador o el restablecimiento de la contraseña que sea realizado por un Administrador Delegado de Emergencia tendrá una validez de 72 horas. Finalizado este plazo, el operador correspondiente dejará de estar activo de forma automática. Simultáneamente a este alta o restablecimiento, se remitirá de forma automática un correo electrónico al Administrador Delegado correspondiente a la ubicación desde donde se realiza la petición, con los datos suministrados en el formulario, junto con los datos administrativos del operador “Tercero de confianza” que ha actuado de intermediario.

Será el administrador delegado quien en un plazo de 72 horas deberá confirmar la validez del nuevo operador, eliminándose en este caso la inactivación automática del operador.

d) Opción/ventana para la “Notificación de Usuario y Contraseña”. Una vez completada la solicitud, el “Tercero de Confianza” podrá consultar accediendo al

estado de la petición, el usuario y contraseña establecidos. La contraseña deberá ser cambiada en el primer acceso que se realice a la aplicación.




e) Actuaciones del operador CEGES en el procedimien to mediante “TERCERO DE CONFIANZA”

Actuación CEGES (a realizar por el operador de CEGES que quedará identificado en la BD de Incidencias).

Excepciones al procedimiento (a reflejar por el operador CEGES en la BD durante el tratamiento de la incidencia).

1.- Registra la incidencia en BD CEGES (tipificación: “Alta/baja Operador Diraya”). Esta BD es accesible por Responsables SAS a través de webCEGES. 2.- Solicita al usuario afectado la persona de referencia (deberá ser operador activo en Diraya en su mismo centro de trabajo), que actuará como “Tercero de Confianza” y que actuará de intermediario en la solicitud de alta de operador o restablecimiento de contraseña y en la notificación de los datos de acceso. (este paso es imprescindible para poder completar el Procedimiento). 3.- Habilita al “Tercero de Confianza” el acceso Web al módulo para el Procedimiento de Emergencia. Comunica por teléfono con el “Tercero de Confianza” para informarle de su papel en el procedimiento y confirmar su acceso al módulo correspondiente. 4.- Comprueba que se ha registrado una solicitud por parte del “Tercero de Confianza”. Si es así procede a realizar la actuación en MACO (y si es procedente en el Dominio W2K-Citrix) mediante el usuario Administrador Delegado de Emergencia disponible en CEGES. 5.- Notifica al Tercero de Confianza que la solicitud ha sido realizada. Una vez que el Tercero de Confianza haya facilitado al interesado su usuario y contraseña deberá comunicar a CEGES el cierre de la petición. 5.- Verifica con el usuario a través de TELEFONO el correcto acceso a la aplicación. Procede al cierre de la incidencia en BD CEGES y deshabilita el acceso al Tercero de Confianza al módulo para el Procedimiento de Emergencia.

Para este procedimiento no se contemplan excepciones. En el caso de que no se pueda identificar en el centro una persona con un operador activo en alguno de los módulos Diraya NO SE PODRA ACEPTAR LA SOLICITUD DE ALTA de OPERADOR O RESTABLECIMIENTO DE CONTRASEÑA por este procedimiento.




ANEXO H. PROCEDIMIENTOS DE ATENCIÓN A USUARIOS. FLUJO DE GESTIÓN DE INCIDENCIAS.

Descripción del Proceso

El siguiente diagrama de contexto refleja las diferentes entidades del modelo de Gestión de Incidencias:

Incidencia

Notificaciónestado

Asignación

Resolución

NIVEL1NIVEL1NIVEL 1 NIVEL

2NIVEL2NIVEL 2Usuari

oUsuarioUsuario

Resolutores ExternosResolutores ExternosResolutores

PartedeResolutor

Parte resoluciónResolutor

CEGES

Servicio de Informática

(SAS)

Peticiones/Reclamaciones

Diagrama de Contexto Gestión de Incidencias




La relación entre “Usuario” y “NIVEL 1 Centro de Gestión” será la siguiente:

• El Usuario se pone en contacto con el personal del NIVEL 1, que se ubicará en el Centro de Gestión, a través de un número de teléfono único (línea 900).

• El personal de NIVEL 1 es el responsable de recepcionar, registrar y resolver en primer nivel

las incidencias reportadas por los usuarios. Caso contrario las escalará a Segundo Nivel o al resolutor adecuado.

• El personal de NIVEL 1 es el responsable de notificar el estado y cierre de la incidencia al

usuario. La relación entre “NIVEL 1 Centro de Gestión” y “Resolutores Externos” será la siguiente:

• El personal de NIVEL 1 asigna la incidencia a Resolutores Externos cuando esta no quede dentro del alcance del Centro de Gestión o no pueda ser resuelta en primer nivel.

• El Resolutor Externo notifica a NIVEL 1 el estado de la incidencia a través de los mecanismos

establecidos (WebCeges, correo electrónico,..). La relación entre “NIVEL 1 Centro de Gestión” y “Servicio de Informática” será la siguiente:

• El personal de NIVEL 1 asigna las peticiones especiales/solicitudes/reclamaciones al Servicio de Informática para que sean tramitadas.

• Gestión de Aprovisionamiento valida la peticiones especiales/solicitudes/reclamación y

notifica a CEGES la situación. La relación entre el “NIVEL 1” y “NIVEL 2” será:

• NIVEL 1: los operadores de Nivel 1 reciben las llamadas y tratan de resolverlas. Si no pueden resolver una incidencia que queda dentro del alcance del Centro de Gestión, la escalan al NIVEL 2.

• NIVEL 2: los técnicos del NIVEL 2 analizan y resuelven los problemas, y posteriormente

documentan los métodos de resolución. Los puntos clave del diagrama de contexto anterior son los siguientes:

• La herramienta utilizada por las personas involucradas en la Gestión de Incidencias será CA Unicenter ServicePlus ServiceDesk (USD).

• La asignación de incidencias a resolutores externos se realizará a través de partes de

incidencias (órdenes).

En base a lo expuesto anteriormente, el proceso general propuesto para la Gestión de Incidencias y sus Interfaces con las demás áreas queda reflejado en el diagrama de la siguiente página.




CENTRO DE GESTIÓNCENTRO DE GESTIÓNCENTRO DE GESTIÓN

SUPERVISIÓ

N Y CONTROL

SUPERVISIÓ

N Y CONTROL

SUPERVISIÓ

N Y CONTROL

10

Direccióndel

Proyecto

Direccióndel

Proyecto

Direccióndel

Proyecto

1

ResoluciónResoluciónResolución

IncidenciaIncidenciaIncidencia

NotificaciónNotificaciónNotificación

DiagnósticoDiagnósticoDiagnóstico

Sí

No

Registro deincidenciaRegistro deincidenciaRegistro deincidenciaCierreCierreCierre Notificación

usuarioNotificación

usuarioNotificación

usuario

No

¿ Resolución1º nivel ?



NIVEL 2NIVEL 2NIVEL 2

B.D Incidencias2

3

4

5

7

89

No¿ ResponsableCentro deGestión ?

¿ ResponsableCentro deGestión ?

¿ ResponsableCentro deGestión ?

ReasignaciónReasignaciónReasignación¿ Resoluble ?¿ Resoluble ?¿ Resoluble ?

Si

6

A

Si

AsignaciónproblemaAsignaciónproblemaAsignaciónproblemaB

NIVEL 2NIVEL 2NIVEL 1

10

Recepciónincidencia

NoCrear parte avería ¿ Resoluble ?¿ Avería HW ?

Si

¿Garantía? Resoluciónincidencia

No¿ Reparaciónequipo ?

Si

ReasignaciónReasignaciónAsignar aproveedor B

11

12

15

17

Si

No

RESOLUTORES EXTERNOS

GESTION DE APROVISIONAMIENTO

A

CENTRO DE GESTIÓN (NIVEL 1)

13

14

B

Notificación NIVEL 1

Procedimientos internos

Modelo Lógico de Procesos de la Gestión de Incidencias




1. Incidencia. El usuario final reporta la incidencia al Centro de Gestión vía teléfono. En el Centro se

recepciona la incidencia por parte de los Operadores de primer nivel (NIVEL 1) que utilizan la aplicación de gestión de incidencias basada en AHD.

2. Registro de Incidencia. Esta actividad incluye la introducción manual de los datos básicos de la

incidencia necesarios para su resolución posterior: descripción, usuario que la reporta, recurso afectado, etc. Esta tarea puede realizarse por los Operadores de primer nivel o de forma automática por parte del sistema de monitorización.

Durante el proceso de registro de la incidencia es posible que el NIVEL 1 sea capaz de resolverla (resolución en primer nivel). En ese caso se notifica al usuario los pasos a ejecutar para su resolución y se procede al cierre de la incidencia según se describe en los pasos 8 y 9.

Si NIVEL 1 no resuelve la incidencia se da de alta un nuevo problema con una determinada prioridad y tipificación (categoría/tipo/subtipo).

3. Asignación Incidencia. A partir del tipo de problema, la aplicación de Gestión de Incidencias

asigna automáticamente un responsable de resolución (realizador). Esta asignación puede ser modificada de forma manual por los Operadores de primer nivel. El Supervisor arbitra la asignación del problema en caso de que la tipificación del mismo no esté clara.

4. Notificación. El realizador recibe la notificación correspondiente a dicha asignación. El Supervisor

realizará un seguimiento de todos los problemas abiertos y/o escalados. En caso que se alcance la fecha de expiración asignada a un problema, el Supervisor se lo notificará al encargado de solucionar el problema para que adopte las medidas oportunas.

5. Diagnóstico. El realizador efectúa un diagnóstico del problema utilizando todos los medios a su

alcance (B.D. de conocimientos, Monitorización, etc.). En caso que éste no sea de su competencia, se notifica al Supervisor para su reasignación.

6. Reasignación. El Supervisor analizará los motivos por los que se ha rechazado la asignación de

la incidencia por el realizador para, si procede, realizar la nueva asignación al resolutor adecuado. 7. Resolución. Se documenta la solución del problema, así como los procedimientos de verificación.

El Supervisor es notificado para iniciar los pasos de certificación de la solución. 8. Notificación Usuario. Se contrasta con el usuario final la validez de la solución. Si la anomalía

persiste, se reabre el problema, repitiéndose el flujo de gestión.

9.Cierre. Cuando el usuario confirma la solución, se deja constancia de ello en la base de datos cerrando la incidencia (especificación de la fecha de cierre, correcciones al diario de trabajo, etc.).

10.Supervisión y Control . El proceso es controlado mediante la generación de indicadores de

rendimiento de Soporte a Usuarios, notificándose a los diferentes responsables del nivel de servicio proporcionado.

11.Crear Parte Resolutor . Si se trata de una incidencia para escalar a un Resolutor, se creará un

parte que será enviado al resolutor externo correspondiente, según el mecanismo acordado.

12.Recepción Incidencia. El resolutor recibe la incidencia que se le ha asignado.

13.Notificación a Nivel 1. El resolutor externo envía notificación a CEGES de la resolución de la incidencia, por el mecanismo acordado previamente (WEBCEGES, correo, electrónico, fax,.).Esta solución será registrada posteriormente en la base de datos de incidencias.




14.Asignar a proveedor. Si un equipo hardware averiado no está en garantía y tiene reparación, el Servicio de Informática de SAS determinará el resolutor externo al que se asignará la reparación del equipo para que NIVEL 1 cree el parte de avería apropiado.

15.Procedimientos Internos. Si el equipo no tiene reparación, Servicio de Informática ejecutará el

procedimiento interno adecuado (baja de equipo, donación, etc.) notificando al Centro de Gestión del estado de la incidencia.

Documents

Manual de Seguridad S.A - juntadeandalucia.es · Unidad de Gestión de Riesgos Digitales Manual de Seguridad de la Información Corporativa Servicio Andaluz de Salud