Aprobada por unanimidad por el Consejo de Gobierno de la Universidad de Alicante en la sesión ordinaria del día 26 de septiembre de 2024.

NORMATIVA DE SEGURIDAD Y USO DE LOS SERVIDORES AJENOS AL SERVICIO DE INFORMÁTICA DE LA UNIVERSIDAD DE ALICANTE

Preámbulo

TÍTULO PRELIMINAR

Objeto y ámbito de aplicación

Artículo 1. Objeto

Artículo 2. Ámbito de aplicación

Artículo 3. Revisión y evaluación

Artículo 4. Definiciones

TÍTULO I

Sitios Web Oficiales

Artículo 5. Sistema de información referente a sitios web oficiales

TÍTULO II

Autorizaciones

Artículo 6. Autorización para la conexión de un sistema de información a la infraestructura de la UA

Artículo 7. Autorización para la utilización de un sistema de información en infraestructura externa bajo dominios de la UA

TÍTULO III

Obligaciones

Artículo 8. Obligaciones de la persona titular del sistema de información

Artículo 9. Obligaciones del personal administrador del sistema de información

TÍTULO IV

Responsabilidades y medidas a adoptar

Artículo 10. Responsabilidades

Artículo 11. Incumplimiento

Disposición transitoria

Disposición adicional

Disposición final primera

Disposición final segunda

Anexo I

Anexo II

Preámbulo

La Política de Seguridad de la Universidad de Alicante (UA) que se aprobó el 15 de diciembre del 2022 supone un marco general sobre el tratamiento de la Seguridad de la Información en el ámbito de la UA y establece, en su artículo 12, que se debe desarrollar y complementar con normas, procedimientos e instrucciones más específicas.

Dentro de este marco normativo, la UA aprobó la "Normativa reguladora de los derechos y obligaciones de las personas usuarios de servicios y recursos informáticos" y la "Normativa de uso de los recursos informáticos y de comunicaciones". Los servidores informáticos pueden ser fuente de riesgos y objeto de amenazas desde Internet, sobre todo si no están sujetos a una serie de acciones y buenas prácticas. Por tanto, con el fin de proteger estos recursos y, por extensión, al resto de la infraestructura tecnológica de la UA, se dicta la presente norma para la instalación, puesta en funcionamiento y mantenimiento de servidores y servicios ajenos al Servicio de Informática de la UA que desarrolla y complementa las normas y condiciones anteriormente citadas.

TÍTULO PRELIMINAR

Objeto y ámbito de aplicación

Artículo 1. Objeto

El objeto del presente documento es establecer la normativa que permita a las y los titulares y administradores de los servidores y sistemas de información departamentales, de institutos y/o cualquier otra unidad de la universidad, garantizar los derechos de las personas usuarias de los mismos, proteger la infraestructura TI de la universidad y asegurar el cumplimento de las normativas que afectan a los sistemas de información de la administración pública.

Artículo 2. Ámbito de aplicación

Esta normativa es de aplicación a todo el ámbito de actuación de la Universidad de Alicante. La presente normativa es de aplicación y de obligado cumplimiento para todos las y los titulares y administradores de los servidores y sistemas de información conectados a la red de la  Universidad de Alicante o que se alojen fuera de ella, bien físicamente, bien virtualmente, pero contengan información, servicios o datos de la Universidad de Alicante.

Artículo 3. Revisión y evaluación

1.                  La persona Responsable del Servicio definida en la Política de Seguridad de la Información de la UA es competente para:

·         Interpretar las dudas que puedan surgir en la aplicación de la presente norma.

·         Proceder a su revisión cuando sea necesario para actualizar su contenido o cuando se cumplan los plazos máximos establecidos para ello.

·         Verificar su efectividad.

2.                   Con una periodicidad mínima anual, se revisará la presente normativa con la finalidad de identificar oportunidades de mejora en la gestión de la calidad de los procesos de seguridad de la información o adaptar a los cambios habidos en el marco legal, infraestructura tecnológica, organización general, etc.

Artículo 4. Definiciones

·       Titular del sistema de información. Responsable final del sistema de información y la o el solicitante del mismo.

·       Personal administrador del sistema de información. Personal técnico y, por tanto, encargado de la gestión y supervisión de los servidores y del software desplegado. Su principal responsabilidad es garantizar que los servicios funcionen de manera eficiente, segura y confiable.

·         RSIS. Responsable del Sistema definido en la Política de Seguridad de la Información de la UA

·         RSEG. Responsable de Seguridad de la Información definido en en la Política de Seguridad de la Información de la UA

·       Servidor. Un servidor informático es un sistema de hardware y software diseñado para proporcionar servicios y recursos a otros dispositivos o usuarios en una red.

·       Sistema de información. Un sistema de información es conjunto de componentes software y/o hardware interrelacionados que trabajan juntos para recopilar, almacenar, procesar y distribuir información. También puede estar formado por un único servidor.

·       Sistema de información ajeno al Servicio de Informática. Todo aquel sistema de información no gestionado por el personal del Servicio de Informática de la UA.

TÍTULO I

Sitios Web Oficiales

Artículo 5. Sistema de información referente a sitios web oficiales

Los sitios web de centros, departamentos, unidades, servicios e institutos deberán realizarse con las herramientas y con las infraestructuras facilitadas por el Servicio de Informática y cumpliendo la normativa interna vigente para el desarrollo de estos sitios web.

TÍTULO II

Autorizaciones

Artículo 6. Autorización para la conexión de un sistema de información a la infraestructura de la UA

1.                  El proceso a seguir por el personal de la UA que necesite desplegar un sistema de información en infraestructura de la UA es:

·         La persona titular del sistema de información justificará la imposibilidad de utilizar los recursos TI centralizados disponibles en la UA y gestionados por el Servicio de Informática.

·         La persona titular del sistema de información realizará una solicitud electrónica en la que se recogerá la siguiente información:

-   Justificación de no uso de sistemas centrales

-   Datos necesarios para la conexión a la red

-   Nombre de dominio solicitado, si fuera necesario.

-   Identificación del administrador del sistema.

-   Hardware que soporta el sistema.

-   Software a desplegar y versiones (S.O, servidores de aplicaciones, etc.)

2.                  La autorización o no de esta petición recae en el Vicerrectorado con competencias en Tecnologías de la Información de la Universidad de Alicante.

Artículo 7. Autorización para la utilización de un sistema de información en infraestructura externa bajo dominios de la UA.

1.                  El proceso a seguir por el personal de la UA que necesite desplegar un sistema de información en infraestructura externa a la la UA es:

·         La persona titular del sistema de información justificará la imposibilidad de utilizar los recursos TI centralizados disponibles en la UA y gestionados por el Servicio de Informática.

·         La persona titular del sistema de información realizará una solicitud electrónica en la que se recogerá la siguiente información:

-   Justificación de no uso de sistemas centrales

-   Nombre de dominio solicitado, si fuera necesario.

-   Identificación del administrador de sistemas

-   Software a desplegar y versiones (S.O, servidores de aplicaciones, etc.) 

-   Identificación de la empresa donde se despliega el sistema de información.

2.                  La autorización o no de esta petición recae en el Vicerrectorado con competencias en Tecnologías de la Información de la Universidad de Alicante.

TÍTULO III

Obligaciones

Artículo 8. Obligaciones de la persona titular del sistema de información

1.                  Las obligaciones que debe cumplir la persona titular del sistema cuya solicitud haya sido autorizada son:

a)      Disponer siempre de una persona administradora del sistema y, adicionalmente si fuera necesario, de una persona responsable del software desplegado.

b)      Facilitar a la persona administradora del sistema el cumplimiento de sus obligaciones detalladas en el artículo 9 de la presente normativa.

c)       Garantizar el cumplimiento de lo dispuesto en la legislación europea y española en materia de protección de datos de carácter personal. De forma muy especial:

-   La necesidad de cumplir con el deber de información que recoge la legislación de protección de datos.

-   Si el servidor se encuentra fuera de la infraestructura de la UA y contiene datos personales según el "REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos" se requiere un contrato de encargado de tratamiento con el proveedor de servicios de alojamiento, el cual deberá ser firmado por el Gerente.

d)      En ningún caso, se pueden recabar y/o tratar datos especialmente protegidos (contemplados en el art. 9 del Reglamento UE 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos).

e)      La persona titular debe actuar con diligencia ante los requerimientos que pueda recibir relativos a temas de seguridad o protección de datos personales.

f)        La persona titular deberá mantener informada al RSIS de la UA de los cambios de personal administrador del sistema y/o del personal responsable del software.

g)      Anualmente o cuando el Servicio de Informática lo solicite, la persona titular debe remitir al RSIS de la UA un informe con el software instalado en el sistema, las versiones del mismo y cuáles de los servicios habilitados son accesibles desde Internet.

h)      La persona titular es la responsable de determinar cuándo deja de ser necesario el sistema de información y realizar las gestiones necesarias para su desmantelamiento. Además, debe informar al RSIS de la UA mediante el mecanismo que se indique para tal fin.

2.                   Además de las obligaciones anteriores, la persona titular del sistema deberá cumplir con la normativa aplicable tanto de la Universidad de Alicante, como la autonómica, nacional y europea, con especial atención al Esquema Nacional de Seguridad (Real Decreto 311/2022, de 3 de mayo), Ley de Propiedad Intelectual (Real Decreto Legislativo 1/1996, de 12 de abril), accesibilidad (Real Decreto 1112/2018 sobre accesibilidad de los sitios web y aplicaciones para dispositivos móviles del sector público), a las normativas de la UA y la Comunidad Valenciana referentes al bilingüismo, y cualquier otra que pueda ser de aplicación.

3.                   Si el servicio entra dentro del ámbito del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS):

·         la contratación debe seguir las directrices establecidas en el "Procedimiento para la contratación de suministros y servicios de Tecnologías de la Información de la UA"

·         el o los servidores en los que se aloje deben cumplir los principios y las medidas de seguridad establecidas en dicho RD para el nivel MEDIO

·         y el Centro de Proceso de Datos (CPD) donde se aloje dicho servidor debe disponer, como mínimo, de la certificación de conformidad en la categoría MEDIA (categoría establecida para la Universidad de Alicante).

Artículo 9. Obligaciones del personal administrador del sistema de información

1.                   El personal administrador es el responsable de mantener la infraestructura tecnológica del sistema en condiciones operativas. En el caso de que sea una persona sin vinculación con la UA o un servicio prestado por una empresa externa, el contrato debe recoger las obligaciones indicadas en esta normativa.

2.                   El personal administrador debe mantener el sistema actualizado de forma que sea posible el cumplimiento de las normas establecidas en el punto anterior.

3.                   El personal administrador del sistema debe diseñar y configurar el sistema de forma que garantice un grado suficiente de seguridad por defecto, establecimiento las medidas de protección, detección y recuperación proporcionales a los potenciales riesgos y a la criticidad y valor de la información del sistema. Para ello, salvo motivos debidamente justificados:

·         Se instalarán las herramientas de seguridad que marque la División de Seguridad de la Información de la Universidad de Alicante.

·         Se aplicarán los procedimientos, instrucciones y requisitos publicados por la División de Seguridad de la Información de la Universidad de Alicante.

4.                   El personal administrador debe seguir el procedimiento de Gestión de Incidentes de la UA (https://si.ua.es/es/normativa/normativa/procedimiento-de-gestion-de-incidentes-de-seguridad-ua.pdf) y, además, realizar las acciones que desde la División de Seguridad de la Información de la Universidad de Alicante se le indiquen, estando obligado a participar en la gestión y resolución de cualquier incidencia que surja en este ámbito. En la línea de este procedimiento, en el caso de que el personal administrador detecte un incidente de seguridad deberá comunicarlo inmediatamente, siguiendo el procedimiento de gestión mencionado en este párrafo.

TÍTULO IV

Responsabilidades y medidas a adoptar

Artículo 10. Responsabilidades

1.                  Toda persona miembro de la UA afectada por esta normativa es responsable de conocer las directrices del presente documento, así como de las consecuencias que pudieran incurrir en caso de incumplimiento.

2.                  La persona titular del sistema tiene la responsabilidad de que se cumpla, durante todo el tiempo que el sistema de información esté en funcionamiento:

·         con la presente norma y las obligaciones indicadas en ella.

·         con la normativa aplicable tanto de la Universidad de Alicante, como la autonómica, nacional y europea

3.                  El personal administrador del sistema es el encargado de cumplir con las directrices que se indican en este documento durante todo el tiempo que el sistema de información esté en funcionamiento así como de todas las demás medidas que considere oportunas para su correcta protección, siendo responsable directo de los incidentes ocasionados por el incumplimiento de estas normas y los problemas derivados que puedan afectar a terceras personas, al propio sistema u otros conectados a la infraestructura de la UA.

4.                  En el Anexo I se detallan las responsabilidades del personal.

Artículo 11. Incumplimiento

El Servicio de Informática, atendiendo a los protocolos de seguridad establecidos en la universidad y/o por incumplimiento de las condiciones expresadas en los artículos 8 y 9 de esta normativa, podrá bloquear y/o aislar el acceso a estos sistemas de información. Se notificará al titular y al administrador del sistema y se tomarán las medidas y comprobaciones oportunas antes de volver a conectar el sistema de información con el objeto de prevenir que se repita el incidente.

Disposición transitoria

Los sistemas de información que se encuentren en funcionamiento cuando entre en vigor esta norma y que estén afectados por ella dispondrán de 40 días hábiles, a contabilizar desde el día siguiente de la publicación de esta normativa en el BOUA, para que el titular del sistema solicite la autorización correspondiente tal y como se indica en los artículos 6 y 7 de la presente normativa.

Disposición adicional

Se incluye en Anexo II las normas y los procedimientos presentes de la UA a tener en cuenta en la aplicación de la presente normativa

Disposición final primera

Lo que no esté contemplado en la presente normativa, se está a lo dispuesto en la Política de Seguridad y demás normas aprobadas por la UA y la normativa estatal o autonómica que corresponda.

Disposición final segunda

La presente normativa ha sido revisada por el Comité de Seguridad TI de la Universidad de Alicante en su sesión de 19 de septiembre de 2024 y entrará en vigor al día siguiente de su publicación en el BOUA, una vez aprobada por el Consejo de Gobierno.

Anexo I

En la siguiente tabla se indican las responsabilidades del personal

Tabla 1.- Matriz RACI: Responsable, Aprueba, Consultado o Informado

Anexo II

·         "Política de seguridad de la Información"

·         "Normativa reguladora de los derechos y obligaciones de las personas usuarias de servicios y recursos informáticos de la Universidad de Alicante"

·         "Normativa de seguridad y uso de los recursos y servicios informáticos de la Universidad de Alicante"

·         "Procedimiento de gestión de incidentes de seguridad en la UA"