Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del

Consejo Superior de Informtica

CONSEJO SUPERIOR DE INFORMTICA Y PARA EL IMPULSO DE LA

ADMINISTRACIN ELECTRNICA MINISTERIO DE ADMINISTRACIONES
PBLICAS

CRITERIOS DE SEGURIDAD
Versin 2.2. (Aprobada por Sesin plenaria de la CIABSI de 24
de junio de 2004)
http://www.csi.map.es/csi/pg5c10.htm
Este documento expone los requisitos, criterios y recomendaciones relativos a la
implantacin de un conjunto proporcionado de medidas de seguirdad, tanto organizativas como
tcnicas, en el diseo, desarrollo y explotacin de las aplicaciones cuyo resultado sea utilizado
para el ejercicio de potestades.

Al objeto de conseguir la proteccin adecuada contra la prdida de autenticidad,

confidencialidad, integridad y disponibilidad, es preciso crear un entorno seguro para los datos,
la informacin, las aplicaciones y los sistemas que los sustentan, que permitir, entre otras
cosas:
-identificar y autorizar el acceso a los sistemas de informacin
-identificar fidedignamente a remitente y destinatario de las comunicaciones
electrnicas
-controlar los accesos para restringir el uso a personas no autorizadas a la par que
evitar hipotticas manipulaciones por su parte
-mantener la integridad de la informacin previniendo alteraciones o prdidas de los
datos e informaciones
-prevenir la interceptacin, alteracin y acceso no autorizado a la informacin

A travs de 19 captulos se van tratando todos lo extremos necesarios para tales fines:

1.

Gestin global de la seguridad de la informacin

2.

Poltica de seguridad

3.

Organizacin y planificacin de la seguridad

4.

Anlisis y gestin de riesgos

5.

Identificacin y clasificacin de activos a proteger

6.

Salvaguardas ligadas al personal

7.

Seguridad fsica

8.

Autenticacin

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

9.

Confidencialidad

10.

Integridad

11.

Disponibilidad

12.

Control de acceso

13.

Acceso a travs de redes

14.

Firma electrnica

15.

Proteccin de soportes de informacin y copias de respaldo

16.

Desarrollo y explotacin de sistemas

17.

Gestin y registro de incidencias

18.

Plan de contingencias

19.

Auditora y control de la seguridad

En cada uno de ellos se analizan los siguientes aspectos:

- Requisitos legales que obligan a aplicar distintas medidas de seguridad, en particular
en relacin con la validez de los procedimientos administrativos y con los datos de carcter
personal.
- Criterios mnimos que se deben adoptar para satisfacer los requisitos anteriores, a
partir de los cuales se pueden aadir protecciones adicionales.
- Recomendaciones que completan los criterios.
- Niveles de seguridad definidos por el RD 994/1999, de 11 de junio, de Reglamento
de medidas de seguridad de los ficheros automatizados que contienen datos de carcter
personal
- Ampliacin tcnica: aporta referencias web, bibliogrficas, normativas para
profundizar en los conceptos que subyacen a las medidas de seguridad.

Adicionalmente, en algunos captulos se incluyen unas consideraciones que matizan

el contenido del captulo, as como un apartado denominado conceptos con definicin o
explicacin de trminos, y otro denominado ejemplo de solucin, en el que se incluyen
orientaciones ms concretas.

1. Gestin global de la seguridad de la informacin

Enmarcando la gestin de seguridad de cada aplicacin en un contexto global, se
enumeran aquellos procesos generales estrictamente necesarios para garantizar dicha
seguridad. La planificacin de la seguridad es la consecuencia funcional del anlisis y gestin
de riesgos, premisa fundamental que realizar utilizando preferiblemente la metodologa
MAGERIT (metodologa de anlisis y gestin de riesgos de los sistemas de informacin). Es

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

preciso definir qu hay que proteger y por qu. Ello nos conducir a la adopcin de nuestra
poltica de seguridad.

2. Poltica de seguridad
Es el conjunto de normas, reglas y prcticas que regulan el modo en que los bienes
que contienen informacin sensible son gestionados, protegidos y distribuidos dentro de una
organizacin. Afecta a los subestados de autenticidad, confidencialidad, integridad y
disponibilidad: mediante la restriccin de utilizacin, la prevencin de alteraciones y la
proteccin de procesos informticos.
Su plasmacin puede efectuarse a travs de la elaboracin de un Documento de
seguridad que contemple la tipificacin de los recursos protegidos (activos), los mecanismos de
control de accesos, la gestin de soportes y copias, las obligaciones del personal en
definitiva las medidas que se implanten.

3. Organizacin y planificacin de la seguridad

La funcin de seguridad de sistemas de informacin incluye unos contenidos con
carcter general:
-aplicacin de la poltica de seguridad
-desarrollo de normas, sistemas y procedimientos de deteccin de amenazas
-administracin de la seguridad y de las salvaguardas tanto preventivas como
correctivas
adems de una serie de contenidos ms especficos que los Criterios de Seguridad
detallan.
Como criterios generales, es preciso identificar el papel de los diversos actores
relacionados con los activos, como usuarios, depositarios y propietarios del mismo. Pero
adems habr que delimitar las responsabilidades de cada uno de ellos. En funcin del tamao
de la organizacin, adems del responsable de la aplicacin y del responsable o administrador
de seguridad, se puede instituir un comit de seguridad. Cada uno de ellos tiene su cometido
en la cadena de la garanta de la seguridad.

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

4. Anlisis y gestin de riesgos

Es la primera y ms importante tarea en toda actuacin organizada en materia de
seguridad, dado que permite conocer el estado de seguridad y determinar la valoracin del
riesgo. El anlisis permite identificar las amenazas que acechan a los activos y determina su
vulnerabilidad; la gestin selecciona e implanta las medidas de seguridad o salvaguardas
adecuadas para conocer, prevenir, impedir, reducir o controlar los riesgos y as minimizar sus
posibles perjuicios. Ambas tareas deben ser revisadas peridicamente. MAGERIT, a travs de
tcnicas matriciales, es una buena herramienta para el anlisis cuantitativo de los riesgos.

5. Identificacin y clasificacin de activos a proteger

Es preciso realizar y mantener un inventario de los activos a proteger, identificando a
sus propietarios y documentando en el caso de activos de informacin los usuarios a los que se
autoriza el acceso, especialmente en el caso de ficheros con datos de carcter personal.

6. Salvaguardas ligadas al personal

Los Criterios de Seguridad proponen las siguientes salvaguardas ligadas al personal:
definir y documentar sus funciones, formar y concienciar sobre las mismas, control peridico de
sus obligaciones y firmar acuerdos de confidencialidad en el caso de manejo de datos de
carcter personal por personal temporal.

7. Seguridad fsica
Establece los criterios que permiten asegurar la proteccin de ciertas reas, el control
de los permetros, de las entradas fsicas, de la implantacin de equipamientos de seguridad.
As, repasa cuestiones como la proteccin frente a instalaciones elctricas, incendios, clima,
agua, agentes qumicosAsimismo recomienda la ubicacin de equipos y terminales que
manejen informacin sensible en lugares alejados del trnsito de personal o usuarios. Aconseja
ubicar las copias de seguridad en sitios diferentes. Estos son slo unos ejemplos de entre las
cuestiones que en este campo plantean los Criterios de Seguridad.

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

8. Autenticacin
Se refiere a la capacidad de verificar que un usuario, convenientemente identificado,
que accede a un sistema o aplicacin es quien dice ser; o que un usuario que ha generado un
documento o informacin es quien dice ser (mediante la firma electrnica). Estamos ante la
verificacin del usuario.
Existen diferentes niveles de autenticacin en funcin de los niveles de seguridad
establecidos (baja, normal, alta, crtica). Se establecen una amplia gama de recomendaciones
para tener en cuenta en la asignacin y gestin de contraseas.

9. Confidencialidad
Es la condicin que asegura que los datos o la informacin no estn disponibles, ni se
revelen, a personas, entidades o procesos no autorizados.
Por ello, en este apartado se indican las diferentes clases de cifrado de informacin y
cules deben ser usadas preferentemente. Establecen una amplia gama de recomendaciones
para la asignacin y gestin de claves criptogrficas.

10. Integridad
Es la seguridad de que la informacin, o los datos, estn protegidos contra modificacin
o destruccin no autorizada, y certidumbre de que los datos no han cambiado desde la
creacin a la recepcin. Por ello, por ejemplo, se propone que las copias de los documentos se
efecten en soportes no reescribibles, que se utilice el atributo de slo lectura en los archivos
de informacin, que se analicen los accesos y recursos utilizados documentando qu registros
han sido accedidos por qu usuarios, que se empleen recursos como el fechado electrnico y
la firma electrnica.
En el caso concreto de la firma electrnica, su aplicacin a la integridad viene del
hecho de que est vinculada al firmante de manera nica, permite la identificacin del firmante
y est vinculada a los datos a los que se refiere, de modo que cualquier cambio ulterior es
detectable.

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

11. Disponibilidad
Es el grado en el que un dato est en el lugar, momento y forma en que es requerido
por el usuario autorizado. Ello tiene implicaciones en la gestin del software, en las
instalaciones fsicas (necesidad de disponer de suministro elctrico duplicado, por ejemplo), en
el control de soportes circulantes (disquetes, CDs), control de virus, etc.

12. Control de acceso

Es el servicio de seguridad que previene el uso de un recurso salvo en los casos y en
la manera autorizados.
Es una funcin de seguridad esencial para proteger los datos y los tratamientos de
posibles manipulaciones no autorizadas. Intervienen diversos componentes: identificacin y
autenticacin de usuarios, autorizacin de derechos de acceso a distintos recursos del sistema,
acceso a redes, sistemas, aplicaciones y datos, y el control y auditora del acceso.
Su importancia es clave en el control de la seguridad. Por ello, los Criterios le dedican
una amplia atencin. Partiendo del anlisis de las necesidades reales que tiene la Organizacin
y sus componentes, se decidirn, aplicarn y verificarn los niveles de acceso de cada usuario.
Es pertinente mantener y revisar dichos niveles peridicamente, con el fin de evitar distorsiones
en nuestro sistema, prestando especial atencin a los accesos ms privilegiados. El criterio de
necesidad de uso es el que debe regir la asignacin de dichos privilegios. Restricciones
horarias, restricciones contra la copia, mantener un registro de eventos relativos al control de
acceso, interrumpir la sesin automticamente despus de un perodo de tiempo sin que el
usuario haya realizado ninguna accin son otras posibles medidas encaminadas al control de
accesos, que es una de las piedras angulares de la gestin de la seguridad.
Adems, se adoptarn medidas excepcionales para los equipos porttiles y el acceso
de terceras personas.

13. Acceso a travs de redes

Se entiende por acceso a travs de redes cualquier tipo de comunicacin, con los
sistemas informticos o de comunicaciones de una organizacin, realizada mediante enlaces
de telecomunicaciones.

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

Para ello es oportuno introducir mecanismos protectores como los cortafuegos, cifrar la
informacin transmitida a travs de redes, establecer procesos de gestin de redes que
faciliten estas tareas (como la segregacin de redes).

14. Firma electrnica

El empleo de sistemas basados en criptografa de clave pblica ha demostrado ser una
de las mejores alternativas para asegurar la autenticidad, integridad y confidencialidad de los
sistemas. Su uso est cada vez ms extendido y tambin la legislacin en la materia.

CONCEPTOS
Las definiciones estn recogidas de la Ley 59/2003, de 19 de diciembre, de firma electrnica:
*Firma electrnica: es el conjunto de datos en forma electrnica, consignados junto a otros o
asociados con ellos, que pueden ser utilizados como medio de identificacin del firmante.
*Firma electrnica avanzada: es la firma electrnica que
- permite la identificacin del firmante y detectar cualquier cambio ulterior de los datos
firmados
- est vinculada al firmante de manera nica y a los datos que se refiere
- ha sido creada por medios que el firmante puede mantener bajo su exclusivo control
*Firma electrnica reconocida: es la firma electrnica avanzada basada en un certificado
reconocido y generada mediante un dispositivo seguro de creacin de firma. Tiene validez
respecto de los datos consignados de forma electrnica.
*Documento electrnico: es el redactado en soporte electrnico que incorpore datos que
estn firmados electrnicamente. Puede ser soporte tanto de documentos pblicos como
privados.
*Prestador de servicios de certificacin: la entidad o persona fsica o jurdica que expide
certificados o presta otros servicios en relacin con la firma electrnica. Estn obligados a
formular una Declaracin de prcticas de certificacin en el marco de la ley.
*Certificado electrnico: documento firmado electrnicamente por un prestador de servicios
de certificacin, que vincula unos datos de verificacin de firma a un firmante y confirma su
identidad.
*Certificado reconocido: los certificados electrnicos expedidos por un prestador de servicios
de certificacin que cumpla los requisitos establecidos en la Ley en cuanto a la comprobacin
de la identidad y dems circunstancias de los solicitantes y a la fiabilidad y las garantas de los
servicios de certificacin que presten. Incluirn obligatoriamente una serie de elementos:
cdigo identificativo, identificacin del prestador de servicios, firma electrnica avanzada,
identificacin del firmante, perodo de validez del certificadoentre otros que indica la ley.

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

*Documento nacional de identidad electrnico: es el DNI que acredita electrnicamente la

identidad personal de su titular y permite la firma electrnica de documentos.
*Datos de creacin de firma: son los datos nicos (cdigos, claves criptogrficas) que el
firmante utiliza para crear la firma electrnica.
*Dispositivo seguro de creacin de firma: programa o sistema informtico que sirve para
aplicar los datos de creacin de firma y que ofrece una serie de garantas.
*Datos de verificacin de firma: son los datos nicos que se utilizan para verificar la firma
electrnica.
*Dispositivo seguro de verificacin de firma: programa o sistema informtico que sirve para
aplicar los datos de verificacin de firma con una serie de garantas.

La firma electrnica en las comunicaciones administrativas ser al menos firma

electrnica avanzada con certificado reconocido y con una serie de requisitos mnimos.
Existe abundante normativa tcnica aplicable.

15. Proteccin de soportes de informacin y de copias de respaldo

La proteccin de los soportes de informacin (discos duros, disquetes, cd-rom, cintas,
ordenadores porttiles, etc.) debe incluir un conjunto equilibrado de medidas proporcionado a la
naturaleza de los datos y documentos que contengan.
Adems de las medidas concretas contra el deterioro fsico, es preciso establecer
procedimientos de realizacin, recuperacin y pruebas de las copias de respaldos que
contemplen copias de los programas, aplicaciones, documentacin, bases de datos, sistemas
operativos, logos; debe definirse la periodicidad con que se realizan las copias (diaria, semanal,
mensual), nmero de copias que se realizan, etc. Los procedimientos de realizacin de copias
sern automticos y peridicos, y se emplearn en su elaboracin formatos no propietarios que
garanticen su accesibilidad en el tiempo. Se establecern mecanismos de comprobacin de
presencia fsica y contenido de las copias de respaldo. El borrado de datos preferente ser
cualquiera que est basado en ciclos de reescritura de ficheros. .
Los soportes electrnicos transportables estarn etiquetados con el mximo nivel de
seguridad de la informacin que contengan.

16. Desarrollo y explotacin de sistemas

Se debe tener en cuenta los aspectos de seguridad de la aplicacin en todas las fases
de su ciclo de desarrollo. Desde la planificacin hasta la implantacin y el mantenimiento,

Resumen del documento Criterios de seguridad de las

aplicaciones utilizadas para el ejercicio de potestades del
Consejo Superior de Informtica

incorporando las funciones de salvaguarda antes de su puesta en explotacin. El anlisis y

gestin de riesgos se har previamente, con el fin de incorporar las salvaguardas antes de
completar el desarrollo.

17. Gestin y registro de incidencias

Es otra funcin esencial para el anlisis de los problemas informticos y en especial de
los incidentes de seguridad. Se trata de implantar un registro de incidencias que permita reflejar
tipo de incidencia, momento, persona que realiza la notificacin de la incidencia y efectos de la
misma. Los usuarios deben conocer los mecanismos para comunicar las incidencias y estar
formados para saber cmo reaccionar ante ellas.
El registro de incidencias permitir a la organizacin investigar los incidentes o
intrusiones para averiguar las causas, autores y daos que ha conllevado; tambin permitir
detectar problemas de software.

18. Plan de contingencias

Es la forma detallada en que la organizacin debe reaccionar para asegurar que las
aplicaciones sigan activas ante determinados eventos, accidentales o deliberados.
Partiendo del anlisis y gestin de riesgos, debemos desarrolla un plan de
contingencias que permita restaurar el servicio en el menor tiempo posible tras una incidente.
Dicho plan identificar acciones y personas concretas con el fin de limitar al mximo la toma de
decisiones durante el perodo de recuperacin tras el incidente. El plan1 deber ser mantenido
y actualizado.

19. Auditora y control de la seguridad

Como en todo proceso, tambin la seguridad debe ser auditada con un proceso
sistemtico, independiente y documentado que permita evaluar con objetividad.

Los Criterios de Seguridad detallan los elementos que deben conformar el plan de
contingencias.