NORMATIVA DE CALIFICACIÓN Y TRATAMIENTO DE LA INFORMACIÓN

Preámbulo

La información es uno de los principales activos de cualquier organización y, como tal, tenemos que protegerla adecuadamente. La Universidad de Alicante maneja información de diversa índole. Gran parte es de uso interno y puede tener distintos grados de confidencialidad. Para el manejo seguro de ésta, un requisito indispensable es clasificar la información según su naturaleza y su nivel de confidencialidad, afectando al tratamiento de los documentos y sistemas de información (SI) y a los medios de almacenamiento y transferencia de la información.

Artículo 1. Objeto

Conforme a lo dispuesto en el Real Decreto 311/2022, de 3 de mayo por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS), este documento tiene el propósito de normalizar el manejo de la información por parte de la comunidad universitaria cuando accede a ella o la trata.

La presente normativa deberá ser complementada, en su caso y en la medida oportuna, con la aplicación de las medidas de seguridad previstas en el Anexo II del Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica cuando la información contenga datos personales protegidos por la Ley de Protección de Datos de Carácter Personal (en adelante, LOPD).

Artículo 2. Ámbito de aplicación

Esta normativa es de aplicación a todo el ámbito de actuación de la Universidad de Alicante, y sus contenidos traen causa de las directrices de carácter más general definidas en la Política de Seguridad de la Información y en las Normas de Seguridad de la misma.

La presente normativa es de aplicación y de obligado cumplimiento para todo el personal de la Universidad de Alicante. En el ámbito de la presente normativa, se entiende por usuario o usuaria cualquier empleado público perteneciente o ajeno a la Universidad de Alicante, así como personal de organizaciones privadas externas, entidades colaboradoras o cualquier otro con algún tipo de vinculación con la Universidad y que utilice o posea acceso a los Sistemas de Información de la misma.

Esta normativa aplica a la calificación y tratamiento de la información que manejan los sistemas de información de la UA afectados por el ENS. Toda información en soporte no electrónico, que haya sido causa o consecuencia directa de la información electrónica a la que se refiere el ENS deberá estar protegida con el mismo grado de seguridad que ésta. Para ello se aplicarán las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicación a la seguridad de los mismos.

Adicionalmente, si la información en cuestión contiene datos de carácter personal, se actuará conforme a lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que la UA articula a través del Documento de Seguridad.

Artículo 3. Revisión y evaluación

La gestión de esta normativa corresponde al director del Servicio de Informática de la Universidad, que es competente para:

·         Interpretar las dudas que puedan surgir en su aplicación.

·         Proceder a su revisión cuando sea necesario para actualizar su contenido o cuando se cumplan los plazos máximos establecidos para ello.

·         Verificar su efectividad.

Anualmente (o con menor periodicidad, si existen circunstancias que así lo aconsejen), el Comité de Seguridad TI revisará la presente normativa.

La revisión se orientará tanto a la identificación de oportunidades de mejora, como a la adaptación a los cambios habidos en el marco legal, infraestructura tecnológica, organización general, etc.

Será el Responsable de Seguridad de la Información la persona encargada de la custodia y divulgación de la versión aprobada de este documento.

Artículo 4. Calificación y tratamiento de la información

Artículo 4.1 Criterios de calificación de la información

La calificación de la información que maneja la Universidad de Alicante la realizan las personas responsables de cada información.

La valoración de la información debe tener en cuenta las diferentes dimensiones de la seguridad: disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad.

La calificación de la información determina cómo la información se asegura, maneja, retiene y dispone.

La calificación de la información en la Universidad de Alicante, de acuerdo con la medida mp.info.2 del ENS, se corresponde con:

·         Uso no Oficial: información pública

·         Uso oficial, con 2 niveles: Interno y restringido.

La calificación y, en su caso, el nivel, se determinará en función de los siguientes criterios, sin perjuicio de lo señalado en el artículo 40 y los criterios generales señalados en el anexo I del ENS:

-   Valor de la información: según el impacto de esta en la organización

-   Accesibilidad: quién debe acceder a la información

-   Obligaciones: legales y/o contractuales.

En función del valor de la información, la información se clasificará:

·         Uso No Oficial (por tanto, pública): cuando no puede dañar a la organización de ninguna forma.

·         Uso Oficial Interno: cuando el acceso no autorizado a la información podría ser perjudicial para la reputación de la Universidad de Alicante u ocasionar daños materiales a las personas o a la Universidad.

·         Uso Oficial Restringido: información sensible de la Universidad de Alicante cuya pérdida pudiera tener como consecuencia un menoscabo grave en la reputación, consecuencias legales o en las finanzas de la organización. Se incluyen dentro de este grupo los ficheros de carácter personal con categorías especiales de datos.

En función de su nivel de accesibilidad:

·         Uso No Oficial: información que la organización pone a disposición del público dentro de su página Web, o que la organización haya hecho pública a través de redes sociales o medios de comunicación.

·         Uso Oficial Interno: información que sólo debe ser accesible por miembros de la Universidad de Alicante.

·         Uso Oficial Restringido: información es accesible por la dirección o personal concreto.

La regla general será calificar en el nivel de confidencialidad más bajo garantizando un adecuado nivel de protección.

Los documentos que se califique como Oficial (tanto interno como restringido) se etiquetarán dependiendo del tipo de soporte utilizado y se realizará conforme al "Procedimiento de calificación y tratamiento de la información de la UA".

Artículo 4.2 Tratamiento de la información calificada

Para la correcta protección de la información calificada serán de aplicación todas las normativas, procedimientos, guías, recomendaciones y códigos de buenas prácticas vigentes para los sistemas de información de la Universidad de Alicante.

Artículo 4.2.1 Información de Uso No Oficial

Cualquier información que se publicite a través de los medios que la Universidad de Alicante tenga establecidos para ello, debe haber pasado por una calificación previa que asegure que no se expone información interna o restringida al público en general.

Debido a la gran diversidad de información que la Universidad de Alicante maneja y a la dificultad de calificarla en su totalidad, inicialmente toda la información sin valoración se considerará información de Uso No Oficial, salvo que exista regulación expresa en otro sentido.

El responsable de la publicación de la información se asegurará que la información puede hacerse pública y no debe estar calificada como Uso Oficial Interno o Restringido.

Que una información sea de uso no oficial en un momento determinado no asegura que lo deba ser en todo momento. El responsable de la publicación ha de revisar, sobre todo la que contiene datos personales, si esta información pública ha dejado de ser necesaria y debe ser retirada.

Artículo 4.2.2 Información de Uso Oficial Interno

Los y las responsables de cada aplicación en los que se ubique o trate información de este nivel de clasificación deben gestionar las autorizaciones de acceso a dichas aplicaciones, revisándolas periódicamente. Los usuarios de los Sistemas de Información y los procesos automáticos solo obtendrán el acceso, los privilegios o los permisos que necesiten para realizar su cometido, con el fin de limitar los daños resultantes de accidentes, errores o uso no autorizado de recursos de los Sistemas de Información.

Intercambio de información. Se debe ser especialmente cuidadoso en el envío de esta información por correo electrónico, mediante dispositivos extraíbles o la utilización de almacenamiento en la nube. Siempre que sea posible, se utilizarán sistemas corporativos.

Cualquier incidencia relacionada con la información clasificada como Uso Oficial Interno será puesto en conocimiento del responsable de esa información que realizará los trámites oportunos para gestionar la incidencia a la mayor brevedad posible para poder cumplir con los plazos legales.

Para el tratamiento de esta información se aplicarán las siguientes medidas de seguridad:

·         Respetar de forma escrupulosa las directrices de Protección del puesto de trabajo informático de la Universidad de Alicante, Puesto de trabajo despejado y equipo bloqueado y procedimiento para la limpieza de metadatos y procedimiento para el borrado y destrucción de soportes de almacenamiento de información.

·         Los responsables de cada entorno en los que se ubique o trate información de este nivel de confidencialidad deben gestionar las autorizaciones de acceso a dichos entornos, revisándolas periódicamente, y monitorizando los accesos, conforme a procedimiento de acceso local y remoto de la Universidad de Alicante.

·         La información de este nivel de confidencialidad que deba utilizarse fuera de las dependencias de la Universidad ha de ser mínima y cumplir con las medidas de seguridad establecidas en Procedimiento de acceso local y remoto de la Universidad de Alicante.

Cualquier incidencia asociada con la disponibilidad o confidencialidad de la información deberá ser inmediatamente reportada al responsable de seguridad siguiendo el proceso de gestión de incidentes de seguridad de la información habilitado para tal fin.

Artículo 4.2.3 Información de Uso Oficial Restringido

El personal responsable de cada aplicación en los que se ubique o trate información de este nivel de clasificación deben gestionar las autorizaciones de acceso a dichas aplicaciones, revisándolas periódicamente, y monitorizando los accesos.

Los usuarios o usuarias de los Sistemas de Información y los procesos automáticos solo obtendrán el acceso, los privilegios o los permisos que necesiten para realizar su cometido, con el fin de limitar los daños resultantes de accidentes, errores o uso no autorizado de recursos de los Sistemas de Información.

Toda la información restringida que contenga datos personales con categorías especiales de datos se deberá cifrar tanto en su almacenamiento como en su transmisión, mediante uno de los algoritmos autorizados para tal fin y con la fortaleza requerida en la Guía CCN-STIC 807 Criptología de empleo en el Esquema Nacional de Seguridad.

No podrá publicarse en Internet sin restricciones de acceso la información catalogada como información de Uso Oficial Restringido.

Intercambio de información. Se debe ser especialmente cuidadoso en el envío de esta información por correo electrónico, mediante dispositivos extraíbles o la utilización de almacenamiento en la nube. Siempre que sea posible, se utilizarán sistemas corporativos y la información se transmitirá y almacenará cifrada mediante uno de los algoritmos autorizados para tal fin y con la fortaleza requerida en la Guía CCN-STIC 807 Criptología de empleo en el Esquema Nacional de Seguridad.

Cualquier incidencia asociada con la disponibilidad o confidencialidad de la información deberá ser inmediatamente reportada al responsable de seguridad siguiendo el proceso de gestión de incidentes de seguridad de la información habilitado para tal fin a la mayor brevedad posible para poder cumplir con los plazos legales.

Para el tratamiento de esta información se aplicarán las siguientes medidas de seguridad:

·         Respetar de forma escrupulosa las directrices de Protección del puesto de trabajo informático de la Universidad de Alicante, Puesto de trabajo despejado y equipo bloqueado y procedimiento para la limpieza de metadatos y procedimiento para el borrado y destrucción de soportes de almacenamiento de información.

·         Los responsables de cada entorno en los que se ubique o trate información de este nivel de confidencialidad deben gestionar las autorizaciones de acceso a dichos entornos, revisándolas periódicamente, y monitorizando los accesos, conforme a procedimiento de acceso local y remoto de la Universidad de Alicante.

·         La información de este nivel de confidencialidad que deba utilizarse fuera de las dependencias de la Universidad ha de ser mínima y cumplir con las medidas de seguridad establecidas en Procedimiento de acceso local y remoto de la UA.

·         Cuando la información ya no sea necesaria se procederá a su borrado y destrucción segura teniendo en cuenta que se han cumplido los requerimientos de retención de datos en cada Sistema de Información de cara a la realización de acciones administrativas, disciplinarias, civiles o penales. Para esto se debe seguir el procedimiento para el borrado y la destrucción de soportes de almacenamiento de información.

La información de uso oficial restringido de la Universidad de Alicante deberá utilizarse exclusivamente durante el desempeño de las tareas de la Universidad. Se prohíbe su uso para otros propósitos que estén fuera del interés de la organización.

Artículo 5. Responsabilidades

Cada miembro de la Universidad de Alicante velará, dentro de su ámbito, por el cumplimiento de la normativa y revisará su correcta implantación o cumplimiento.

El uso inadecuado de información de uso oficial restringido está prohibido en la Universidad. Los usuarios o usuarias autorizados no utilizarán los sistemas de información para uso no apropiado, teniendo en cuenta los siguientes puntos:

·         Se prohíbe el acceso no autorizado a cualquier información de naturaleza restringida.

·         Se prohíbe a los usuarios o usuarias tener acceso a la información, de cualquier naturaleza o medio, salvo que dispongan de autorización.

·         Se prohíbe compartir información de uso oficial restringido de cualquier índole con personas que no estén autorizadas a conocer dicha información.

·         Los usuarios o usuarias autorizados tienen la responsabilidad de saber que si hacen un uso inapropiado de la confidencialidad de la información universitaria, puede negárseles el acceso futuro a la información y estarán sujetos a las sanciones disciplinarias establecidas.

DISPOSICIÓN FINAL. Aprobación y entrada en vigor

El presente documento ha sido revisado por la Comisión de seguridad TI de la UA con fecha 3 de noviembre de 2022, estableciendo de esta forma las directrices generales para el uso adecuado de los recursos de tratamiento de información que la UA pone a disposición de sus usuarios para el ejercicio de sus funciones y que, correlativamente, asumen las obligaciones descritas, comprometiéndose a cumplir con lo dispuesto en los siguientes epígrafes.

Entrará en vigor al día siguiente de su publicación en el BOUA, previa aprobación por el Consejo de Gobierno de la Universidad de Alicante. Esta Normativa es efectiva desde esta fecha de publicación y hasta que sea reemplazada por una nueva.