El Encargado, como mínimo, se compromete a implementar las medidas de seguridad indicadas seguidamente:

MEDIDAS ORGANIZATIVAS:

1. Se establecerá una estructura organizativa para la gestión y coordinación de la seguridad de forma documentada. En dicha estructura se definirán roles y funciones, así como los procedimientos y protocolos para la resolución de incidencias y aplicación de mejoras.
2. El Encargado y sus trabajadores solamente podrán tratar y acceder a los tratamientos de datos de carácter personal a los que esté autorizado por RESPONSABLE DEL TRATAMIENTO y que sean necesarios para el desarrollo de las funciones recogidas en el presente acuerdo y de lo dispuesto en el contrato principal, independientemente del dispositivo de tratamiento. Para ello será necesario, a modo enunciativo y no limitativo, que:
   1. Se implementen sistemas de concienciación de los trabajadores respecto a la aplicación de la normativa de protección de datos y de las medidas de seguridad básicas, así como acciones que permitan el conocimiento de las responsabilidades en la aplicación de lo estipulado en la presente Normativa de Seguridad y los procedimientos de Seguridad de la Información;
   2. Se garantice la firma y el compromiso por parte de los trabajadores y el personal respecto a la confidencialidad más estricta necesaria para dar cumplimiento con el presente acuerdo;
   3. Se garantice el conocimiento de los protocolos en caso de violación de seguridad o ejercicio de derechos;
   4. Se establezcan para los trabajadores y personal políticas de uso de los dispositivos y medios proporcionados por la empresa, para usos no propios de su responsabilidad o función. El uso de dispositivos que contengan datos o información que afecte al presente acuerdo deberá ser estrictamente profesional y no personal;
   5. Se asegure que los datos, sistemas de información o recursos sean usados únicamente para el desarrollo de los procesos de negocio definidos de conformidad con la prestación del presente servicio;
   6. Se garantice que los trabajadores no incurran en actividades que puedan ser consideradas ilícitas o ilegales o que infrinjan los derechos de las partes, de sus clientes o de terceros;
   7. Se garantice el cumplimiento de la política de accesos a la información, mediante la observancia de la política contraseñas indicada por la empresa, así como la confidencialidad y salvaguarda de sus propias contraseñas. Los identificadores de usuario serán personales e intransferibles y estarán asignados de forma inequívoca a personas identificables.
   8. Se establezcan designaciones internas de responsables en materia de protección de datos.
   9. Nombrar un Delegado de Protección de datos si fuese necesario. Como mínimo, deberán tener un asesoramiento profesional en materia de protección de datos.

MEDIDAS TÉCNICAS:

Gestión de soportes informáticos:

1. Deberán disponer de un inventario de soportes que indique, como mínimo, la información que contiene cada dispositivo, así como el personal autorizado para acceder a los mismos. Se dispondrá de sistemas de etiquetado que dificulten la identificación de su contenido para aquellas personas que no tengan acceso autorizado a los soportes o documentos.
2. La salida de soportes que contengan datos de carácter personal (ordenadores portátiles, pen drives, cds, carpetas etc.) fuera de los locales deberá estar autorizada y controlada. Deberá existir un registro de entrada y salida de soportes que permite, directa o indirectamente, conocer el tipo de soporte, los datos que contiene, la fecha y hora, el personal que lo traslada, etc.
3. Deberán disponer de medidas de seguridad para la distribución o traslado de soportes fuera de los locales como el cifrado, algún tipo de pseudonimización o cualquier otro mecanismo que evite la sustracción, pérdida o acceso indebido a la información.
4. Se deberá garantizar que el proceso de destrucción, supresión y bloqueo de la información (cualquier soporte o ficheros temporales), adopte las medidas para evitar el acceso a la información contenida en los mismos o su recuperación posterior.
5. Los soportes estarán almacenados en una ubicación segura con el acceso restringido sólo al personal autorizado.
6. La información deberá almacenarse cifrada en los soportes.

Control de acceso a equipos informáticos:

1. Deberán disponer de una política de control de acceso a la información, que contenga, como mínimo:
   1. Inventario de la información.
   2. Departamentos con acceso a la información.
   3. Permisos y privilegios de los departamentos.
2. Las bajas y modificaciones de cuentas de usuario deben realizarse de forma inmediata y deberán revisarse periódicamente las cuentas de usuario con el fin de eliminar aquellas que sean obsoletas.
3. Se deberá garantizar que los Sistemas de Información del Encargado en los que se trate la información, tengan implementados sistemas de protección contra acceso o uso no autorizado, alteración de operaciones, destrucción, mal uso o robo.
4. Deberán existir permisos y privilegios individualizados: Perfiles con derechos de administración para la instalación y configuración del sistema, y usuarios con privilegios o derechos de administración para el acceso a los datos personales.
5. Deberán existir procedimientos para conceder, alterar o anular el acceso autorizado para los recursos de información en remoto:
   1. Procedimiento para habilitar/anular permisos ante un alta/baja de trabajador.
   2. Procedimiento para modificar o revocar los permisos y restricciones a los usuarios y departamentos.
   3. Procedimiento para solicitar accesos extraordinarios.
6. Existe un registro de acceso (usuario, fecha y hora, datos accedidos, tipo de acceso y si ha sido autorizado o denegado). Dicho registro se conservan los datos del registro, al menos, dos (2) años y se revisa el registro como mínimo cada mes.

Identificación y autenticación

1. Se deberá establecer una política de contraseñas para todos los empleados. Las contraseñas deberán ser seguras, robustas y se deberán establecer protocolos (preferiblemente de forma automática) para el cambio de estas. Se recomienda modificar cada noventa (90) días.
2. Cuando al mismo dispositivo/ordenador/aplicación/programa accedan distintas personas, por cada persona con acceso a datos personales, se deberá disponer de usuario y contraseña personalizados.
3. Se deberá garantizar la confidencialidad de las contraseñas, evitando que queden expuestas a terceros; y, en ningún caso, se comunican las contraseñas ni se dejarán anotadas en algún lugar común.
4. Se deberá limitar el acceso reiterado de acceso con usuario y contraseña distintos.

Copias de seguridad

1. Se deberán realizar copias de respaldo de los datos del presente acuerdo que traten en sus sistemas de información con periodicidad diaria salvo que el Encargado le indique otra periodicidad, que en ningún caso excederá de semanal.
2. Se deberá documentar el proceso de realización de las copias de seguridad y recuperación de los datos.
3. Se revisa este proceso, al menos, cada seis meses.
4. Se realizan pruebas con datos reales para verificar que el proceso de realización de copias de seguridad y restauración de los datos es efectivo.
5. Utiliza un suministro eléctrico ininterrumpido (p. ej.: UPS, baterías, generadores, etc.) para proteger el suministro de electricidad.
6. Ha definido planes de contingencia empresarial para los procesos críticos para la actividad empresarial y puede ofrecer estrategias de recuperación en caso de desastre para los Servicios críticos para la empresa.
7. Deberá tener habilitado un lugar diferente al de la ubicación de los equipos informáticos para conservar las copias de respaldo.

Protección de equipos y transmisión

1. Los soportes y archivos informáticos deberán ser actualizados de forma periódica.
2. Los sistemas informáticos deberán tener implementado sistemas de antivirus y/o antimalware, firewall, antispam y antiphishing.
3. Deberán filtrar las páginas web y aplicaciones para restringir el acceso por parte de los empleados, así como restricciones de descargas y archivos. Prohibir la descarga de ficheros externos no relacionados con la operativa de negocio.
4. Deberán implementar la gestión de parches de seguridad para proporcionar implementaciones regulares y periódicas de las actualizaciones de seguridad pertinentes.
5. Se deberá restringir el uso de software no autorizado.

Protección de redes propias

1. Se deberán implementar restricciones a determinados elementos red.
2. Se deberán implementar sistemas de monitorización de la actividad de la red.
3. Se ha ocultado la red WiFi a los dispositivos externos a la organización y se ha protegido mediante contraseña (cifrado WPA/WPA2/WEP). Dicha contraseña se actualiza de forma periódica.
4. El acceso remoto total a la red corporativa y a la infraestructura crítica deberá estar protegido mediante una VPN o autenticación sólida.
5. La transmisión de documentación deberá realizarse por canales seguros que garanticen de forma efectiva la confidencialidad, integridad y disponibilidad. En definitiva, deberá asegurar que la transmisión de datos se realiza utilizando sistemas de cifrado, o cualquier otro mecanismo que garantice que la información no sea inteligible ni manipulada por terceros. Este punto aplicará principalmente cuando se transmita por: Redes públicas, ajenas y Redes inalámbricas (por ejemplo, wifi) aunque sea una red restringida al ámbito local de la oficina.

Protección en redes ajenas

1. No se deberá permitir la utilización de redes públicas o ajenas sin que se garantice lo dispuesto en el apartado anterior.

Control de Acceso Físico

1. Los edificios deberán estar asegurados mediante unos sistemas de control de acceso. A modo de ejemplo, se podrá implementar: perfiles de acceso específicos, tarjeta de acceso personalizada a las instalaciones, videovigilancia, sistemas de alarma contra intrusos, y/o edificio controlado por seguridad.
2. Los servidores deberán estar almacenados en una ubicación segura con el acceso restringido sólo al personal autorizado.
3. Se deberán conceder derechos de acceso a las personas autorizadas de forma individual y registros (nombre, fecha y hora, datos accedidos, etc.).
4. Se deberán archivar los documentos por carpetas o archivadoras, de forma que se permita la correcta conservación de los documentos, la localización, consulta y el ejercicio de derechos.
5. Los documentos o carpetas que contengan datos especialmente “sensibles” estarán identificados de forma confidencial, de modo que el etiquetado utilizado o mecanismos similares es comprensible y con significado para los usuarios autorizados e incomprensible para el resto de las personas.
6. Cerrar armarios, cajones con información y puertas al cierre de la oficina.
7. Sólo se realizan copias (impresiones en papel) por el personal autorizado. No se deberá ubicar impresoras, escáneres, faxes, o dispositivos portátiles o removibles (USB’s, discos duros externos, etc.) al alcance de clientes, personas ajenas o personal no autorizado.
8. Mientras la documentación no se encuentre archivada por estar en proceso de revisión o tramitación, la persona que se encuentra a cargo de esta deberá custodiarla e impedir en todo momento que pueda ser accedida por persona no autorizada.
9. Se deberá destruir la documentación en papel mediante máquinas destructoras o contratación de una empresa para ello.
10. Se deberá bloquear las pantallas de los equipos informáticos siempre que sea necesario ausentarse temporalmente del puesto de trabajo.
11. Establecer una política real de mesas limpias.

Actualizaciones de la Normativa de Seguridad

1. Debido a la propia evolución de la tecnología y las amenazas de seguridad, los cambios normativos, contractuales o legales, RESPONSABLE del tratamiento se reserva el derecho a modificar esta Normativa de Seguridad cuando así lo crea conveniente.
2. Se deberán llevar a cabo auditorías periódicas internas para revisar las medidas de seguridad.