1774 GASETA MUNICIPAL DE BARCELONA NÚM. 19 30-6-2009 com ara pèrdues, sospites d'ús indegut, recupe- NORMA TÈCNICA DE SEGURETAT PELS USUA- ració de dades, etc. Aquesta comunicació es fa- RIS DELS SISTEMES D'INFORMACIÓ DE L'A- rà per les vies de Notificació d'Incidències for- JUNTAMENT DE BARCELONA malment establertes, i se n'haurà d'informar immediatament al responsable de Seguretat o al seu superior jeràrquic. 1. OBJECTE I ÀMBIT D'APLICACIÓ Retornar o destruir els suports i documents que continguin dades de caràcter personal un cop a) Aquesta norma té per objecte establir els crite- finalitzades les tasques que han autoritzat el ris tècnics de seguretat específics per a l'ade- seu ús, d'acord amb allò que s'especifica en la quada utilització dels sistemes d'informació i normativa interna o en la Instrucció General- comunicació de l'Ajuntament de Barcelona. Gestió de suports. b) Entenent com a criteris tècnics de seguretat el Eliminar aquells documents amb dades personals conjunt de mecanismes tècnics i organitzatius que hagi estat necessari crear temporalment, que permetin garantir la confidencialitat, inte- com ara fitxers automatitzats i/o còpies paper gritat i disponibilitat dels sistemes d'informació, amb informació temporal, a fi d'impedir qualse- així com la autenticitat, el no repudi i el com- vol tractament posterior d'aquesta informació. pliment legal. Quan els documents que continguin dades de c) Aquesta norma s'aplicarà al personal al servei caràcter personal, tant en suport paper com di- de l'Ajuntament de Barcelona, dels seus orga- gital, hagin de ser extrets de les instal·lacions nismes autònoms i entitats públiques empresa- municipals o dels organismes o entitats afectats rials, així com, del personal de les societats per aquesta norma, a més de comptar amb mercantils que tinguin accés a aquests sistemes l'autorització corresponent del responsable del i mitjans d'informació. Per extensió també serà servei o del fitxer, caldrà adoptar les mesures d'aplicació a tot aquelles persones que sense operatives definides en funció del nivell de pro- tenir la condició de personal municipal amb l'A- tecció propi de cada fitxer. Molt especialment, juntament adquireixin la condició d'usuaris del quan es tracti de dades de caràcter personal que Sistemes d'Informació en virtut d'un contracte requereixin l'establiment de mesures de segure- de prestació de serveis, conveni o altra tipus tat de nivell alt, caldrà assegurar que s'adopten d'acords. les mesures i els mecanismes que siguin neces- d) Aquesta norma no s'aplica als usuaris (ciuta- saris per impedir l'accés o la manipulació de la dans, empreses, representants, professionals, informació que sigui objecte de trasllat. etc.) de portals de tramitació electrònica per En general, tot tractament de dades de caràcter Internet que es regiran per les seves pròpies personal realitzat per les persones a les que es condicions d'ús i prestació del servei. refereix aquesta Norma, ja sigui aquell tracta- ment automatitzat o no, haurà de complir estric- tament amb les mesures de seguretat establer- 2. COMPLEMENTARIETAT D'AQUESTA NORMA tes en el Reglament de desenvolupament de la Llei Orgànica 15/1999, de 13 de desembre, de Aquesta norma ha estat aprovada pel Comitè de protecció de dades de caràcter personal, aprovat Seguretat de l'IMI i té caràcter complementari res- pel reial Decret 1720/2007, de 21 de desembre, pecte a la Instrucció: Sobre l'ús dels sistemes i d'acord amb les indicacions i instruccions que, tecnologies de la informació i comunicació per part respecte a aquest compliment, faci el responsa- del personal al servei de l'Ajuntament de Barcelona ble del Servei o del fitxer corresponent. (Gaseta Municipal, núm. 7, Any XCVI, de data 28 de febrer de 2009). 3. PRINCIPIS GENERALS El Comitè de Seguretat de l'IMI, en exercici de les seves competències, va aprovar en la sessió de Amb independència dels sistemes d'informació l'11 de juny de 2009 la Norma Tècnica de Seguretat seran sempre d'aplicació els següents principis ge- (NTS) com a norma complementària a la Instrucció nerals de seguretat TIC: sobre l'ús dels sistemes i tecnologies de la informa- Principi de propietat. Tots els recursos dels sis- ció i comunicació per part del personal al servei de temes d'informació municipals, així com la informa- l'Ajuntament de Barcelona. ció continguda, són propietat de l'Administració Barcelona, 26 de juny de 2009. La secretària del municipal. No està permès utilitzar els sistemes Comitè de Seguretat de l'IMI, Neus Bellavista i Ari- d'informació de l'Administració municipal amb fina- many. litats privades. NÚM. 19 30-6-2009 GASETA MUNICIPAL DE BARCELONA 1775 Principi del mínim privilegi. Els privilegis d'accés accedir als sistemes d'informació de l'Ajuntament s'assignaran tenint en compte els mínims necessa- de Barcelona. ris per desenvolupar les tasques assignades. El certificats digitals s'utilitzen principalment per a Principi de necessitat de conèixer. El privilegi la signatura electrònica de tràmits i documents, enca- d'accés a la informació no té caràcter general, sinó ra que també es poden utilitzar per a accedir als sis- que l'habilitació per accedir a una informació en temes d'informació a aplicacions d'altres entitats. concret es troba vinculada sempre a la resolució La targeta magnètica de control horari té la con- d'un expedient, tràmit o tasca encomanada. sideració de credencial ja que permet identificar al Principi de no revelació. En el cas que la informa- seu titular com a membre de la Corporació munici- ció no hagi estat classificada o es tinguin dubtes pal i l'identifica en el sistema d'informació de con- sobre la seva classificació, aquesta haurà d'ésser trol horari. considerada com no pública. Com a norma general les credencials són d'ús Principi de no extracció. El privilegi d'accés a la personal e intransferible i s'atorguen amb finalitats informació no pressuposa el dret a extreure-la dels relacionades exclusivament amb el desenvolupa- Sistemes d'Informació. L'extracció de la informació ment de les tasques assignades al lloc de treball. s'haurà de fer sempre de manera controlada i auto- Qualsevol ús fóra d'aquestes finalitats resta prohi- ritzada pel seu responsable. bit. Principi de coresponsabilitat amb la seguretat. El conjunt de credencials que disposi un usuari i Tots els usuaris compleixen una funció essencial els seus privilegis d'accés constitueixen la seva per a garantir la seguretat dels sistemes d'in- identitat digital dins dels sistemes d'informació de formació donat que aquesta es troba condicionada l'Ajuntament de Barcelona. per les seves accions i pel seguiment de les instruc- Cada persona és responsable de l'ús que es faci cions, normes i recomanacions en matèria de segu- de les credencials que tingui, i resta obligada a: retat. Per tant, els usuaris tenen l'obligació de ges- 4.1. Guardar el secret de les seves contrasenyes. tionar tant la informació a la que tenen accés com 4.2. Custodiar els certificats digitats que tingui as- els mitjans emprats per accedir-hi (contrasenyes, signats. certificats digitals, equips informàtics, etc.) de ma- 4.3. Procurar no perdre la targeta magnètica ni els nera diligent i a comunicar qualsevol incidència de suports físics que continguin els certificats com seguretat de la que tinguin coneixement pels canals poden ser disquets o clauers usb. que aquesta norma estableix. 4.4. Comunicar mitjançant el procediment de co- Principi de retorn dels actius d'informació. Una municació d'incidències indicat en la secció 12 vegada finalitzada la relació de servei o quan per d'aquesta norma qualsevol problema amb les una modificació en la mateixa els actius propietat seves credencials que pugui derivar en un risc de la Corporació (informació, credencials, certifi- per a la seguretat dels sistemes d'informació. cats digitals, targeta magnètiques, portàtils, pda's, etc.) ja no el hi siguin necessaris el personal té Contrasenyes l'obligació de retornar-los. En cas de dubte sobre com fer el retorn consultarà al seu departament de La contrasenya és un dels elements fonamentals Recursos Humans i en cas de no ser personal mu- del control d'accés als sistemes: nicipal al responsable del contracte, conveni o ser- 4.5. Els usuaris han de seguir unes bones pràcti- vei. ques de seguretat en la selecció i ús de contra- senyes: No revelar mai la contrasenya sota cap mo- 4. CONTROL D'ACCÉS ALS SISTEMES D'INFOR- tiu. MACIÓ I IDENTITAT DIGITAL Canviar la contrasenya sempre que existeixi un possible indici d'ús incorrecte del siste- Per als sistemes d'informació que així ho reque- ma o de les contrasenyes. reixin, cada persona disposarà d'unes credencials Canviar les contrasenyes provisionals en el d'usuari que, mitjançant un procés tècnic, li perme- primer accés encara que el sistema no obli- tran o denegaran l'accés. Els tipus de credencials gui a fer aquest canvi. d'usuari que es fan servir en l'actualitat a l'Ajun- Canviar les contrasenyes sempre que el sis- tament de Barcelona són: tema ho sol·liciti i evitar reutilitzar o reciclar Identificador d'usuari (p.e.: codi de matrícula) velles contrasenyes. En cas que algun sis- + una contrasenya secreta. tema no tingui inclosa aquesta funcionali- Certificat Digital (p.e.: Certificat de CATCert i tat, l'usuari s'encarregarà de canviar de Certificat IMICAT per accés VPN) + PIN. forma periòdica la seva contrasenya (es re- Targeta Magnètica (p.e.: Targeta aplicació de comana, cada tres mesos, com a mínim). control horari). Seleccionar contrasenyes robustes i de qua- El codi identificador d'usuari i la contrasenya són litat seguint les recomanacions contingudes la credencial utilitzada de manera generalitzada per en aquest document. 1776 GASETA MUNICIPAL DE BARCELONA NÚM. 19 30-6-2009 Contestar negativament quan un formulari El certificat digital per connexió remota, la seva ofereixi la opció de recordar la contrasenya finalitat és proveir accés des de l'exterior a la xarxa o similar. corporativa i als sistemes d'informació interns de No anotar la contrasenya en llocs fàcilment l'Ajuntament de Barcelona (VPN). L'emissió, lliura- accessibles que posin en perill la seu caràc- ment i revocació d'aquests certificats seguirà el ter secret i confidencial. procediment establert en l'IMI, mitjançant el canal Els criteris recomanats per a la construcció de les de peticions establert. contrasenyes, exceptuant els casos en que degut a 4.8. L'ús de certificats digitals pel desenvolupa- la tecnologia o plataforma a emprar es detalli de ment de tasques administratives es realitzarà forma específica, són: de conformitat amb les polítiques i pràctiques No hauran de tenir una longitud inferior a 6 d'ús de certificats establertes per l'IMI. En cap caràcters alfanumèrics, essent recomanable cas el personal utilitzarà certificats digitals l'ús de 7 o més, i a ser possible, es faran que no estiguin establerts i autoritzats per servir majúscules, minúscules i números. l'IMI. No seleccionar com a contrasenya paraules 4.9. El personal que disposi d'un d'aquests certifi- en qualsevol idioma, no utilitzar seqüències cats ha de custodiar el certificat de forma dili- lògiques deduïbles quan es realitzi el canvi gent, prenent les precaucions raonables per de contrasenya, no utilitzar permutacions evitar la seva pèrdua, revelació del PIN o ús senzilles ni seqüències del teclat, etc. no autoritzat. No es faran servir noms de persones o co- 4.10. El personal és responsable de realitzar una ses fàcilment identificables amb un usuari bona utilització del certificat. tals com: nom de la parella, fills, departa- 4.11. Els certificats digitals que es carreguen espe- ment, matrícula del vehicle, dates de nai- cíficament a un navegador, s'han de protegir xement, número d'empleat, etc. amb un clau o PIN. Quan excepcionalment s'hagi de fer servir un certificat digital d'a- Accés als sistemes d'informació mitjançant un codi questa forma, fora de l'estació estàndard, identificador d'usuari i una contrasenya. com per exemple al propi domicili per fer tele- treball o amb ordinadors compartits, s'haurà El codi d'usuari identifica a la persona com a de desinstal·lar el certificat del navegador membre del Sistema (procés d'identificació). La quan ja no es necessiti. garantia que la persona és qui diu ser l'aporta la 4.12. El personal ha de sol·licitar la suspensió/ re- contrasenya, ja que és secreta i només l'usuari la vocació del certificat quan es compleixi algun coneix (procés d'autenticació). dels supòsits de suspensió/revocació de certi- Les consideracions sobre l'accés al Sistemes d'In- ficats o s'hagi produït un incident de seguretat formació es troben indicats en la secció 3 de la intern que pugui posar en perill la seguretat Instrucció sobre l'ús dels sistemes d'informació i de la xarxa de l'Ajuntament de Barcelona. comunicació per part del personal al Servei de l'A- Supòsits de revocació: juntament de Barcelona. Addicionalment: baixa o finalització de la prestació de 4.6. Una persona només pot disposar d'un identifi- servei a l'Administració municipal, cador d'usuari, qualsevol excepció ha de ser canvi de les tasques assignades, aprovada per l'IMI pèrdua o robatori de les credencials d'ac- 4.7. No es farà servir l'usuari i accessos d'un altre cés. usuari, encara que es disposi de l'autorització del seu propietari. Targetes magnètiques de control horari. Certificats digitals. En algunes dependències municipals aquesta tar- ja es fa servir per transitar per portes controlades L'Ajuntament de Barcelona utilitza certificats di- mitjançant lector de tarja magnètica. gitals per realitzar tasques administratives. Els cer- 4.13. En cas de pèrdua o robatori de la tarja ho tificats digitals que disposa per al personal són: heu de comunicar immediatament al vostre El certificat digital de personal de l'Ajuntament, departament de Recursos Humans. certificat d'Administració local de Catcert (EC-AL), lliurat amb suport de targeta digital, és propietat de l'Ajuntament. El seu ús està destinat únicament al 5. SEGURETAT TÈCNICA DE LES OFICINES I personal de l'Ajuntament per a la realització de INFRAESTRUCTURES BÀSIQUES tasques administratives, signatures digitals i per identificar-se i autenticar-se, i signar en altres enti- 5.1. Disposició de les pantalles. El personal de les tats externes a l'Ajuntament. L'emissió, lliurament i oficines d'atenció al públic hauran de preservar revocació d'aquests certificats seguirà el procedi- la confidencialitat de la informació dels ciuta- ment establert en la Direcció de Recursos Humans. dans. Qualsevol reconfiguració de la disposició NÚM. 19 30-6-2009 GASETA MUNICIPAL DE BARCELONA 1777 física dels llocs de treball haurà de respectar venció protegida per la propietat intel·lectual o aquest requisit. industrial. 5.2. No està permesa la manipulació interna dels 6.7. No es permet aturar aplicacions estàndards equips ni de les seves connexions tant a la d'execució automàtica programada com és xarxa de dades com a la xarxa elèctrica per l'antivirus. personal no especialitzat. Una manipulació in- 6.8. Quan per a la resolució d'un problema, es re- correcta pot provocar accidents amb danys per quereixi que es controli l'equip de forma remo- a les persones i pèrdua de dades. ta aleshores l'usuari tancarà totes aquelles 5.3. No està permès treure l'etiqueta de control aplicacions que puguin contenir informació d'inventari dels equips ni manipular les etique- confidencial o sensible i supervisarà les acci- tes dels números de sèrie. ons que s'estiguin realitzant, no podent deixar 5.4. No està permesa la connexió de concentradors desatesa la pantalla. (hubs) a punts de la xarxa corporativa sense la autorització de l'IMI. 5.5. No està permesa la connexió d'equips no in- 7. SEGURETAT TÈCNICA DE LA INFORMACIÓ formàtics als endolls dels SAI (Sistema d'Ali- mentació Ininterrompuda, normalment són La informació junt amb les persones són els ac- endoll de color vermell). tius més valuosos per qualsevol organització. L'A- 5.6. No està permesa la connexió d'encaminadors juntament de Barcelona pren especial consciència (routers) o mòdems a les estacions de treball d'aquest fet i vol desenvolupar una cultura de pro- ni a la xarxa telefònica sense l'autorització de tecció i seguretat de la informació de la que tots els l'IMI. usuaris són part fonamental. 5.7. Al finalitzar la jornada laboral els equips (ordi- Els eixos bàsics de la seguretat de la informació nadors, impressores, etc.) hauran de ser apa- són: gats de forma controlada. Això permet un im- – Seguretat en el control d'accés, ús i tractament. portant estalvi d'energia i minimitzar el risc – Emmagatzemament segur. d'incendi. – Prevenció enfront fuites d'informació i extracci- 5.8. En les zones sense accés al públic o restringi- ons no controlades. des (arxius, sales d'ordinadors, oficines inter- nes, despatxos) es vetllarà per l'eficàcia dels Seguretat en el accés, ús i tractament de la infor- controls d'accés: mantenint les portes tanca- mació. des, requerint passi de visitants, complint amb les normes específiques que cada dependència 7.1. S'accedirà a la informació sempre mitjançant desenvolupi a aquest efecte, etc. els procediments tècnics establerts. Resta ab- solutament prohibit manipular el programari per evitar els processos estàndard de control 6. SEGURETAT TÈCNICA DE L'ESTACIÓ DE d'accés (identificació i autenticació). TREBALL 7.2. El personal accedirà amb els permisos que li han estat atorgats i no intentarà obtenir-ne 6.1. L'usuari iniciarà sessió de manera controlada a d'altres que no siguin els assignats. l'estació de treball amb el seu codi identifica- 7.3. En el cas de les bases de dades corporatives dor d'usuari i contrasenya i seguint les reco- resta absolutament prohibit intentar accedir i manacions que hagi establert l'IMI. accedir a les mateixes directament, és a dir, 6.2. Quan l'usuari s'hagi d'absentar de manera fóra dels sistemes de connexió autoritzats per puntual del lloc de treball utilitzarà el meca- les aplicacions. nisme de bloqueig de pantalla. 7.4. La connectivitat directa entre aplicacions d'o- 6.3. Al finalitzar la jornada laboral apagarà l'equip fimàtica com Excel i Access a les bases de da- de manera controlada. des corporatives haurà d'estar motivada, vali- 6.4. No es permet la realització d'activitats, utilit- dada tècnicament per l'IMI i acceptada pel zació d'equips o aplicacions que no es trobin responsable de la informació que serà informat especificades com a part del programari o pro- dels possibles riscos de seguretat inherents a ductes homologats i acceptats. aquestes funcionalitats. 6.5. Es prohibeix intentar destruir, alterar, i en 7.5. L'ús i el tractament de la informació es farà general qualsevol acció malintencionada que sempre de conformitat al principi de legalitat pugui malmetre dades, programes o docu- que regeix l'actuació de les administracions ments electrònics. públiques. És a dir, aquest ús i tractament de 6.6. No està permès l'ús de programes informàtics la informació serà sempre acord a les finalitats sense la corresponent llicència, així com l'ús, de la mateixa i a les competències legítimes de reproducció, cessió, transformació o comuni- l'Administració, tot seguint els procediments cació pública de qualsevol tipus d'obra o d'in- administratius que garanteixen l'eficàcia de 1778 GASETA MUNICIPAL DE BARCELONA NÚM. 19 30-6-2009 l'actuació administrativa i els drets dels ciuta- gués d'extreure informació, realitzar còpies, dans. comunicacions o cessions no incloses en els 7.6. Cas que la informació no estigui classificada procediments, aquesta extracció haurà d'es- respecte a la seva criticitat o privacitat sempre tar autoritzada pel responsable del Servei serà considerada com a confidencial o no pú- Municipal, o responsable del fitxer en cas de blica. En cas de dubte, l'usuari haurà de con- tractar-se de dades de caràcter personal. Es sultar al seu responsable jeràrquic. recorda que la informació enviada per correu 7.7. El personal no intentarà desxifrar claus, siste- electrònic a fora de la organització ja sigui en mes o algoritmes de xifrat o qualsevol altra el propi cos del missatge o en un fitxer annex element de seguretat. Només està permesa la té la consideració d'extracció d'informació i utilització de mecanismes de xifrat de la in- pot requerir d'autorització en funció del tipus formació homologats per l'IMI. d'informació i del procediment que es tracti. 7.8. La signatura electrònica constitueix, entre 7.14. Així mateix, el personal es compromet a no d'altres, un instrument que dona resposta a la divulgar, utilitzar o modificar "la informació", necessitat de la administració electrònica de al marge dels procediments corresponents al conferir confiança, seguretat i validesa jurídica seu lloc de treball o de les directrius dels al ciutadà i a la tramitació electrònica d'ex- seus superiors, fins i tot després de la finalit- pedients, així com a qualsevol altra actuació zació del seu contracte o nomenament. interna de l'Administració. Els documents que 7.15. Política de pantalla bloquejada i taula endre- requereixin signatura digital de l'Ajuntament, çada. Per evitar accessos no controlats a l'es- seguiran els estàndards de l'IMI, i no es gene- tació de treball aquesta sempre s'haurà de raran signatures electròniques fora d'aquests deixar bloquejada quan es deixi desatesa i estàndards i polítiques de signatura establer- apagada en acabar la jornada laboral. Així tes. mateix, s'ha d'evitar deixar informació confi- dencial i/o sensible a sobre de les taules. Emmagatzemament segur. 7.16. Els llistats que no es lliurin en mà, és a dir aquells que es deixen en bústies o taules co- L'emmagatzemament corporatiu garanteix el munes de repartiment de carteria s'hauran compliment legal respecte a l'obligació de tenir de lliurar sempre en sobres tancats. còpies de seguretat i permet recuperar les dades en 7.17. Es recomana recollir el més aviat possible els cas de pèrdua d'informació. També permet garantir llistats de les impressores i faxos per evitar la recuperació i restabliment dels serveis, en un revelacions d'informació no controlades. En termini de temps raonable, de cara al ciutadà (dis- especial quan s'hagi enviat a imprimir infor- ponibilitat de la informació). mació confidencial o sensible. 7.9. Tota la informació automatitzada estarà dipo- 7.18. Els suports tan paper, com disquets i d'altres sitada en els servidors oficials de la xarxa s'han de destruir de manera controlada. Fem corporativa de l'Ajuntament. En cap cas, s'uti- servir destructores de documents o dipòsits litzarà per la gestió corporativa de la informa- controlats per empreses que garanteixen la ció, els discs locals de les estacions de treball seva destrucció. S'haurà de tenir especial cu- (pc's), discos extraïbles, portàtils. ra amb aquells suports que continguin infor- 7.10. Revisar de forma periòdica l'organització de mació confidencial, sensible o dades de ca- les carpetes i els documents, vigilant de no ràcter personal. guardar documents sense causa justificada. 7.19. S'ha de tenir especial cura de no desar fitxers temporals en carpetes de xarxa que tinguin Prevenció enfront de fuites d'informació. caràcter públic més enllà de la dependència o del grup de persones que treballen en un de- 7.11. No està autoritzada l'extracció de la informa- terminat tema. ció fora dels servidors corporatius: ni a dis- 7.20. Els fitxers temporals, com per exemple els de positius locals (discs...), ni a mòbils (USB, office s'han d'esborrar quan ja no siguin ne- portàtils, suports magnètics/òptics o altres), cessaris. ni l'enviament per correu electrònic o a dis- positius d'accés remot. 7.12. Ningú pot realitzar còpies, transmissions, 8. SEGURETAT DELS DISPOSITIUS MÒBILS I comunicacions ni cessions de la informació DE LA INFORMACIÓ CONTINGUDA municipal dipositada en els sistemes informà- tics que no estiguin inclosos en els procedi- La proliferació de dispositius mòbils com els por- ments establerts i en exercici de les funcions tàtils, pda's, telèfons mòbils, memòries usb o de que li han estat encomanades. qualsevol altre tipus, constitueix un important repte 7.13. En el cas que per motius directament relacio- per a la seguretat de la informació, donat que per si nats amb el lloc de treball el treballador ha- mateixos tenen uns riscos majors de pèrdua o ro- NÚM. 19 30-6-2009 GASETA MUNICIPAL DE BARCELONA 1779 batori que els dispositius tradicionals com els ordi- aquests procediments són els únics que poden nadors de sobretaula. garantir la recuperació de la informació en cas A més, aquests dispositius pel seu caràcter "nò- de corrupció de les claus. mada", canvien de lloc constantment, no es poden 8.8. L'emmagatzemament d'informació corporativa beneficiar de les mesures de protecció basades en a cd's, pendrives, etc. haurà de comptar amb perímetres segurs. l'autorització del responsable del fitxer LOPD o Les mesures de seguretat bàsiques per aquests el responsable del servei de l'Ajuntament. La dispositius són les següents: seva finalitat serà només el transport o lliura- 8.1. Els dispositius mòbils de l'Administració muni- ment de la informació. Mentre no existeixin cipal hauran d'estar convenientment inventari- procediments formals de xifrat per aquests ats i controlats per garantir que disposen de dispositius, l'usuari xifrarà la informació amb les mesures de seguretat que a tal efecte hagi el programari homologat que consideri oportú, establert l'IMI. com per exemple, winzip, la custòdia de les 8.2. Resta absolutament prohibit modificar, actua- claus restarà sota la responsabilitat de l'usuari. litzar o manipular el software dels dispositius 8.9. Quan es facin servir dispositius mòbils i en mòbils de la Corporació municipal sense el especial ordinadors portàtils en llocs públics, consentiment de la dependència que s'hagi fet fora de les oficines municipals o en trànsit du- responsable de les polítiques de seguretat que rant un viatge, caldrà augmentar les mesures s'hagin establert per aquest dispositius. de seguretat físiques amb les recomanacions 8.3. L'usuari haurà de seguir les recomanacions de següents: seguretat que en cada moment es publiquin No deixar desatesos els equips. L'usuari per a aquest tipus de dispositius. L'IMI és l'en- haurà de prestar especial atenció a l'ús carregat d'elaborar i publicar les guies d'utilit- de l'equip portàtil o dispositiu mòbil en zació segura de dispositius mòbils. També serà llocs públics. l'encarregat per als equips estàndards que tin- No deixar l'ordinador portàtil de l'Ajun- gui al seu càrrec, de la instal·lació i el mante- tament o dispositiu mòbil en el maleter niment del seu software base, a l'igual que fa del cotxe, en el seu interior o en consig- amb les estacions de treball de sobretaula. nes d'estacions o aeroports. 8.4. Els usuaris són responsables de la seguretat En cas de desplaçaments aeris, els de la informació municipal que contenen els equips portàtils o dispositius mòbils hau- dispositius mòbils així com de la informació ran d'endur-se com a equipatge de mà. municipal a la qual aquests tenen accés. No està autoritzada la seva facturació 8.5. La disposició de dispositius portàtils de la Ad- com a equipatge. L'usuari sempre el tin- ministració municipal per part de determinats drà sota la seva vigilància. empleats resta sempre condicionada al seu ús En cas que l'ordinador portàtil o disposi- professional. Per tant, encara que es facin ser- tiu mòbil sigui utilitzat en dependències vir fora de les oficines municipals, incloent-hi externes a l'Administració municipal el domicili particular per aquells que fan tele- s'hauran d'aplicar mesures mínimes de treball. No s'hauran de permetre l'ús i l'accés a seguretat com per exemple tancar amb personal aliè a l'Administració municipal o sen- clau la sala o fer servir dispositius de ca- se la deguda autorització. ble de seguretat per lligar l'equip si és 8.6. La utilització de les unitats locals del portàtil o possible; i sempre bloquejar la pantalla altres dispositius mòbils per emmagatzemar de l'ordinador. Si l'absència és perllonga- dades de l'administració municipal ha d'ésser da l'equip s'haurà de deixar apagat. excepcional. En cas que sigui necessari s'ha de No posar identificacions de l'Organisme tenir en compte que: en el dispositiu, excepte els estrictament Resta absolutament prohibit l'emmagat- necessaris. zemament de dades de caràcter personal No posar dades de contacte tècnic o als dispositius portàtils o mòbils. Excep- claus en el dispositiu. cionalment es podrà fer sempre i quan es Si pel tipus de feina l'usuari fa servir l'or- tingui l'autorització expressa del respon- dinador en llocs públics es recomana fer sable del fitxer i s'apliquin les mesures servir filtres de privacitat. de seguretat que estableix la LOPD i el 8.10. En el cas de dispositius que interaccionen amb seu Reglament (RD 1720/2007). els sistemes d'informació municipals: ordina- 8.7. L'emmagatzemament d'informació corporativa dors portàtils, PDA o blackberries s'ha de pro- a l'ordinador portàtil haurà de comptar amb tegir el dispositiu amb una contrasenya de l'autorització del responsable del fitxer LOPD o bloqueig físic amb un temps que en el cas del el responsable del servei de l'Ajuntament. Es l'ordinador portàtil no ha d'esser superior a 15 realitzarà de forma xifrada fent servir els pro- minuts i en el cas de PDA i blackberries no ha cediments estàndards establerts, ja que de ser superior a 5 minuts. 1780 GASETA MUNICIPAL DE BARCELONA NÚM. 19 30-6-2009 8.11. Si es compromet per qualsevol causa la in- descarregat un fitxer s'ha de tenir especial cura formació de l'Administració municipal es co- d'esborrar-ho del disc dur i buidar la paperera. municarà mitjançant l'obertura d'una incidèn- Cas d'haver visualitzat el fitxer s'ha de verificar cia pels procediments formals establerts en la que no hagi quedat desat en la carpeta de fit- secció 12 d'aquesta norma. xers temporals. Cas d'haver carregat certificat al navegador, s'ha d'eliminar. 9.8. No fer servir simultàniament durant la connexió 9. TELETREBALL (ACCÉS MITJANÇANT XARXES als sistemes d'informació municipal altres pro- PRIVADES VIRTURALS "VPN") grames potencialment perillosos en quan a la seguretat de la informació com són: els pro- Té la consideració de teletreball la connexió amb grames de missatgeria instantània i els pro- els sistemes d'informació de l'Ajuntament de Barce- grames d'intercanvi de fitxers. lona des de fora de la xarxa corporativa. La forma estàndard de connexió remota es rea- litza mitjançant xarxes privades virtuals (VPN) i 10. ÚS ACURAT DELS RECURSOS I MEDI AM- VPN-SSL que porten, a més a més, associada la BIENT utilització de certificats digitals per identificar-se i autenticar-se. La majoria dels recursos informàtics són compar- La sol·licitud de connexió via VPN es fa mitjan- tits pels usuaris (ample de banda de la xarxa cor- çant un procediment documentat que es troba pu- porativa i accés a Internet, espai d'emmagat- blicat a la Intranet. En el moment del lliurament del zemament en disc, impressores, etc.) i per tant cal certificat digital i del programari necessari per rea- fer un ús eficient dels mateixos. litzar la connexió es lliuren en paper les condicions En aquest sentit cal tenir en compte les següents de prestació del servei i les recomanacions específi- recomanacions: ques de seguretat per aquest tipus de connexió. – Revisar de forma periòdica l'organització de les A més de les consideracions definides en l'estació carpetes i els documents, vigilant de no guardar de treball estàndard i del dispositiu mòbil, les me- documents sense causa justificada. sures de seguretat bàsiques pel teletreball són: – Imprimir els documents només quan sigui re- 9.1. No descarregar informació municipal a les es- alment necessari i fer servir quan sigui possible tacions remotes que accedeixen a sistemes d'- la impressió a dues cares. Els llistats constituei- informació municipals. xen un risc de fuita d'informació que s'ha d'evi- 9.2. Quan es connecti des del domicili particular es tar. recomana tenir el programari del sistema ope- – Fer servir els contenidors de paper reciclat si es- ratiu actualitzat i fer servir un antivirus actua- tan disponibles a la vostra dependència. Aquest litzat així com tenir activat el tallafocs. contenidors garanteixen la confidencialitat amb 9.3. S'ha d'evitar connectar-se des de sales de una destrucció controlada i la protecció del medi prestació d'ordinadors (locutoris, cibercafés, ambient mitjançant el procés de reciclatge. biblioteques, etc.). – Apagar els equips (ordinadors, impressores, 9.4. S'ha de tenir especial cura de tancar les sessi- escàners) quan no es necessitin i al finalitzar la ons que s'hagin obert de manera controlada. jornada laboral. 9.5. Mai s'ha d'assenyalar la opció de recordar con- trasenya en el formulari d'inici de sessió dels programes. 11. MONITORITZACIÓ I REGISTRES D'ACTIVI- 9.6. Resta absolutament prohibit accedir a informa- TAT ció confidencial o sensible des d'Internet i des d'ordinadors públics. Aquesta prohibició s'estén Els sistemes d'informació i les infraestructures a la informació d'aquest tipus que pugui estar tecnològiques que els hi donen suport disposen de inclosa en missatges de correu electrònic o en mecanismes de monitorització i registres d'activitat. els fitxers annexes als mateixos. El personal L'explotació d'aquests mecanismes tenen com a que hagi d'accedir a aquest tipus d'informació finalitat garantir el manteniment i la continuïtat del ho haurà de fer mitjançant connexions segures serveis informàtics de conformitat amb els nivells (VPN i VPN-SSL) i des d'ordinadors propietat de de qualitat dels serveis acordats; gestionar els ris- l'Ajuntament de Barcelona, o des de l'ordinador cos i problemes, així com, facilitar la resolució de del seu domicili particular si ha estat expres- problemes de rendiment i/o de seguretat. sament autoritzat i disposa del certificat digital L'ús dels mecanismes de monitorització i registre i connexió VPN. d'activitats resta subjecte en tot moment al principi 9.7. Així mateix, s'ha d'evitar descarregar o accedir de legalitat i principis tècnics resumits a la secció 3 des d'ordinadors públics a qualsevol tipus de d'aquesta norma. fitxer propietat de l'Ajuntament de Barcelona Les eines de monitorització i els registres d'acti- encara que no siguin confidencials. Cas d'haver vitat, anomenats logs en general, són un element NÚM. 19 30-6-2009 GASETA MUNICIPAL DE BARCELONA 1781 clau per avaluar i respondre a les incidències, pro- tenció a l'Usuari) per al seu correcte registre i blemes i esdeveniments que es puguin produir dins resolució. de les xarxes i sistemes d'informació, que afectin a Per comunicar les incidències de seguretat es pèrdues de rendiment i a la seva disponibilitat, faran servir els mecanismes estàndards de confidencialitat i integritat. comunicació incidències establerts: En la majoria de casos, es tracta d'informació Trucant al SAU (Servei d'Aten- tècnica que registren els sistemes d'informació au- ció a Usuaris) 93 291 (7) 82 34 tomàticament i que es conserven al llarg del temps En funció del tipus d'incidència el SAU deriva- d'acord a les seves especificitats. rà la incidència a l'equip especialitzat en segu- La seva explotació és duta a terme pel personal retat de l'IMI o la resoldrà directament. especialitzat, específicament autoritzat per l'oficina Alguns exemples d'incidències de seguretat de seguretat TIC de l'IMI, que només podrà accedir són els següents: i visualitzar la informació mínima necessària per a) Sol·licitud de restabliment de contrase- realitzar les tasques encomanades amb l'objectiu nya. de donar resposta a incidències tècniques, que po- b) Sospita que un tercer està accedint amb sin en perill la finalitat de manteniment abans el nostre codi d'usuari i contrasenya. enunciada, o per a la detecció de riscos i la preven- c) Esborrat accidental de dades i sol·licitud ció de futurs problemes. de recuperació de còpies de seguretat. Aquestes incidències, poden ser produïdes, per d) Recepció de llistats amb el precinte de errors en el propi sistema, per causes externes seguretat trencat. (micro tall subministrament elèctric, etc.), per in- e) Pèrdua i/o robatori de llistats. tents d'intrusió a la xarxa municipal o per accions f) Pèrdua i/o robatori de suports (disquets, errònies o malintencionades de qualsevol usuari de cintes, etc.) la xarxa. g) Pèrdua i/o robatori de dispositius (ordi- Quan l'explotació del logs impliqui la identificació nadors, pda's, telèfons mòbils, etc.) d'usuaris, aquesta serà realitzada directament per h) Pèrdua i/o robatori de targetes magnèti- tècnics qualificats de l'Oficina de Seguretat TIC, ques, certificats digitals, etc. d'acord a un procediment formal i sota la tutela de Recursos Humans de l'Ajuntament de Barcelona que garantirà en tot moment els drets dels usuaris. 13. DIFUSIÓ I CONSCIENCIACIÓ EN MATÈRIA DE SEGURETAT 12. COMUNICACIÓ D'INCIDÈNCIES DE SEGU- L'Organització promourà el coneixement d'aques- RETAT ta norma i la conscienciació en matèria de segure- tat de la informació. 12.1. Els usuaris dels sistemes d'informació de l'A- Aquesta norma serà publicada a la Intranet mu- juntament de Barcelona tenen l'obligació de nicipal per donar-li la màxima difusió. comunicar les incidències de seguretat de les La norma s'anirà revisant i actualitzat per garan- que tingui sospita o coneixement. tir la seva adequació als avanços tècnics que s'im- Qualsevol persona que pertanyi o treballi per plantin a l'Ajuntament de Barcelona, així com per a l'Ajuntament de Barcelona , que detecti una establir les recomanacions necessàries conforme incidència o anomalia que posi o pugui posar vagin apareixent noves vulnerabilitats i amenaces en perill la seguretat dels sistemes d'informa- per als sistemes d'informació. ció, haurà de comunicar aquesta incidència o L'IMI comunicarà mitjançant correu electrònic (IMI: anomalia a través de línies de comunicació Informa) la publicació de noves versions d'aquesta establertes amb aquest propòsit (Servei d'A- norma i alhora la publicarà a la web municipal.