{"id":7383,"date":"2014-06-16T15:35:38","date_gmt":"2014-06-16T15:35:38","guid":{"rendered":"https:\/\/www.vortal.biz\/?p=7383"},"modified":"2021-08-06T15:40:07","modified_gmt":"2021-08-06T15:40:07","slug":"aspectos-normativos-a-tener-en-cuenta-para-la-seleccion-de-un-servicio-cloud-para-el-sector-publico","status":"publish","type":"post","link":"https:\/\/www.vortal.biz\/es\/aspectos-normativos-a-tener-en-cuenta-para-la-seleccion-de-un-servicio-cloud-para-el-sector-publico\/","title":{"rendered":"Aspectos normativos a tener en cuenta para la selecci\u00f3n de un servicio cloud para el sector p\u00fablico"},"content":{"rendered":"

Analizamos en esta entrada los aspectos normativos que se deben tener en cuenta a la hora de realizar la selecci\u00f3n. Este apartado espec\u00edfico tambi\u00e9n es de aplicaci\u00f3n a los desarrollos a medida de este tipo de soluciones, sobre todo en lo referente a la LAECSP, TRLCSP, LFE, ENS y ENI:<\/p>\n

Ley De Acceso Electr\u00f3nico De Los Ciudadanos A Los Servicios P\u00fablicos (LAECSP):<\/strong><\/p>\n

La Administraci\u00f3n Electr\u00f3nica, y en este caso la contrataci\u00f3n p\u00fablica electr\u00f3nica, tiene que mantener en todo momento las mismas garant\u00edas de seguridad jur\u00eddica de las actuaciones administrativas en papel (ver Manual Pr\u00e1ctico de Supervivencia en la Administraci\u00f3n Electr\u00f3nica, realizado por Alberto L\u00f3pez Tall\u00f3n):<\/p>\n

– Identificaci\u00f3n: que no pueda haber ambig\u00fcedad a la hora de establecer la identidad de una persona f\u00edsica o jur\u00eddica. Tema resuelto por la Ley de Firma Electr\u00f3nica (Ley 56\/2007).<\/p>\n

– Autenticaci\u00f3n: la garant\u00eda de conocer fehacientemente la identidad de una persona f\u00edsica o jur\u00eddica. Este concepto guarda una estrecha relaci\u00f3n con el no repudio (imposibilidad de rechazar la autor\u00eda de una determinada acci\u00f3n o documento). La principal herramienta para la autenticaci\u00f3n son sistemas de usuario\/clave y la firma electr\u00f3nica. Ambos mecanismos permiten asimismo el no repudio.<\/p>\n

– Integridad: se refiere a que se puede confiar en que una determinada informaci\u00f3n, por ejemplo, de un documento electr\u00f3nico no fue manipulada y corresponde a su estado original. Lo que se consigue con la imposici\u00f3n de Sellos de Tiempo.<\/p>\n

– Confidencialidad: guardar el secreto frente a terceros sobre una determinada informaci\u00f3n, ya sea un documento, comunicaci\u00f3n, etc. La herramienta principal para lograr este objetivo es la criptograf\u00eda.<\/p>\n

– Disponibilidad: se refiere a la disponibilidad en todo momento de la informaci\u00f3n y\/o servicios. Esto implica servicios de alta disponibilidad 24\u00d77, servidores redundados, centros de respaldo, etc.<\/p>\n

– Trazabilidad: se refiere a la informaci\u00f3n hist\u00f3rica que es importante conocer y conservar, \u00bfqu\u00e9 cambios ha sufrido la informaci\u00f3n?, \u00bfqui\u00e9n ha accedido a ella?, etc.<\/p>\n

– Conservaci\u00f3n: la correcta conservaci\u00f3n y archivo de la informaci\u00f3n de modo que se encuentre disponible e integra a\u00fan despu\u00e9s de que hayan pasado largos periodos de tiempo. En el caso de la contrataci\u00f3n p\u00fablica las Administraciones P\u00fablicas deben custodiar la informaci\u00f3n de los concursos durante 5 a\u00f1os.<\/p>\n

Real Decreto Legislativo 3\/20111 (Por El Que Se Aprueba El Texto Refundido De La Ley De Contratos Del Sector P\u00fablico \u2013 TRLCSP):<\/strong><\/p>\n

La Plataforma seleccionada, o desarrollada a medida si fuese el caso, deber\u00e1 soportar todos los procedimientos de contrataci\u00f3n p\u00fablica prevista por el TRLCSP. En el caso de las soluciones Cloud ser\u00eda recomendable una auditor\u00eda de un tercero que certificase la adecuaci\u00f3n normativa.<\/p>\n

Ley De Firma Electr\u00f3nica (LFE \u2013 Ley 56\/2007):<\/strong><\/p>\n

El sistema deber\u00e1 permitir la firma electr\u00f3nica reconocida, basada en un certificado reconocido y generada mediante un dispositivo seguro de creaci\u00f3n de firma. La firma electr\u00f3nica reconocida, como as\u00ed lo establece la Ley, tendr\u00e1 respecto de los datos consignados en forma electr\u00f3nica el mismo valor que la firma manuscrita en relaci\u00f3n con los consignados en papel.
\nLa plataforma, de acuerdo al principio de no discriminaci\u00f3n, deber\u00e1 admitir cualquier certificado admitido por el Ministerio de Industria, Turismo y Comercio.<\/p>\n

Esquema Nacional De Seguridad (ENS):<\/strong><\/p>\n

La plataforma de contrataci\u00f3n p\u00fablica electr\u00f3nica deber\u00e1 garantizar la adecuaci\u00f3n con los ENS, que tiene por objeto establecer la pol\u00edtica de seguridad en la utilizaci\u00f3n de medios electr\u00f3nicos y est\u00e1 constituido por principios b\u00e1sicos y requisitos m\u00ednimos que permitan una protecci\u00f3n adecuada de la informaci\u00f3n.<\/p>\n

Un tercero deber\u00e1 acreditar su grado de adecuaci\u00f3n. Simplificando, los ENS bajan al terreno los aspectos mencionados por la LAECSP: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Tras la auditor\u00eda pertinente, la adecuaci\u00f3n de la colusi\u00f3n ser\u00e1 catalogada como: B\u00c1SICA, MEDIA O ALTA.<\/p>\n

\u00bfQu\u00e9 se debe analizar? (informaci\u00f3n extra\u00edda de Presentaci\u00f3n de INTECO)<\/strong><\/p>\n

Principios b\u00e1sicos:<\/p>\n

– Seguridad Integral
\n– Gesti\u00f3n de riesgos
\n– Prevenci\u00f3n, reacci\u00f3n y recuperaci\u00f3n
\n– L\u00edneas de defensa
\n– Reevaluaci\u00f3n peri\u00f3dica
\n– La seguridad como funci\u00f3n diferenciada<\/p>\n

Requisitos m\u00ednimos:<\/p>\n

– Organizaci\u00f3n e implantaci\u00f3n del proceso de seguridad
\n– An\u00e1lisis y gesti\u00f3n de los riesgos
\n– Gesti\u00f3n del personal
\n– Autorizaci\u00f3n y control de accesos
\n– Protecci\u00f3n de las instalaciones
\n– Integridad y actualizaci\u00f3n del sistema
\n– Protecci\u00f3n de la informaci\u00f3n almacenada y en tr\u00e1nsito
\n– Prevenci\u00f3n ante otros sistemas de informaci\u00f3n interconectados
\n– Registro de actividad
\n– Incidentes de seguridad
\n– Continuidad en la Actividad
\n– Mejora Continua del Proceso de Seguridad<\/p>\n

Medidas de seguridad:<\/p>\n

– Marco Organizativo
\n– Marco Operacional
\n– Marco de Protecci\u00f3n<\/p>\n

Esquema Nacional De Interoperabilidad (ENI):<\/strong><\/p>\n

Las soluciones contratadas por las Administraciones p\u00fablicas deber\u00e1n usar est\u00e1ndares abiertos, as\u00ed como, en su caso y de forma complementaria, est\u00e1ndares que sean de uso generalizado por los ciudadanos, al objeto de garantizar la independencia en la elecci\u00f3n de alternativas tecnol\u00f3gicas por los ciudadanos y las Administraciones p\u00fablicas y la adaptabilidad al progreso de la tecnolog\u00eda y, de forma que:<\/p>\n

– Los documentos y servicios de administraci\u00f3n electr\u00f3nica que los \u00f3rganos o Entidades de Derecho P\u00fablico emisores pongan a disposici\u00f3n de los ciudadanos o de otras Administraciones p\u00fablicas se encontrar\u00e1n, como m\u00ednimo, disponibles mediante est\u00e1ndares abiertos.<\/p>\n

– Los documentos, servicios electr\u00f3nicos y aplicaciones puestos por las Administraciones p\u00fablicas a disposici\u00f3n de los ciudadanos o de otras Administraciones p\u00fablicas ser\u00e1n, seg\u00fan corresponda, visualizables, accesibles y funcionalmente operables en condiciones que permitan satisfacer el principio de neutralidad tecnol\u00f3gica y eviten la discriminaci\u00f3n a los ciudadanos por raz\u00f3n de su elecci\u00f3n tecnol\u00f3gica.<\/p>\n

Ley Org\u00e1nica De Protecci\u00f3n De Datos (LOPD):<\/strong><\/p>\n

La Plataforma seleccionada deber\u00e1 proteger los datos de car\u00e1cter personal de los usuarios registrados en la Plataforma. El proveedor del servicio deber\u00e1 garantizar que todos los ficheros de datos de car\u00e1cter personal deber\u00e1n estar inscritos y legalizados ante la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos. Asimismo, todos los datos de car\u00e1cter personal recogidos por la empresa, deben contar con el consentimiento del afectado.<\/p>\n

– Ley de Servicios de la Sociedad de la Informaci\u00f3n (LSSI)
\n– Los empresarios o profesionales que presten un servicio de la sociedad de la informaci\u00f3n deben tener accesible la siguiente informaci\u00f3n
\n– Nombre o denominaci\u00f3n social.
\n– Residencia, domicilio o direcci\u00f3n de establecimiento permanente en Espa\u00f1a.
\n– Direcci\u00f3n de correo electr\u00f3nico.
\n– Cualquier otro dato que permita establecer una comunicaci\u00f3n directa y efectiva.
\n– Datos de inscripci\u00f3n en el registro p\u00fablico con efectos constitutivos (R. Mercantil, por ejemplo).
\n– En caso de que corresponda, datos identificativos de la autorizaci\u00f3n administrativa previa necesaria para el ejercicio de la actividad.
\n– N\u00famero de Identificaci\u00f3n Fiscal.
\n– Los c\u00f3digos de conducta a los que, en su caso, est\u00e9 adherido y la manera de consultarlos electr\u00f3nicamente.
\n– Etc.<\/p>\n

Esperamos que este an\u00e1lisis os haya sido \u00fatil.<\/p>\n<\/div><\/div>