ORDEN FORAL 210/2007, DE 4 DE JUNIO, DEL CONSEJERO DE ECONOMÍA Y HACIENDA, POR LA QUE SE ESTABLECEN NORMAS DE SEGURIDAD DE LOS SISTEMAS DE INFORMACIÓN Y LAS COMUNICACIONES EN LA ADMINISTRACIÓN DE LA COMUNIDAD FORAL DE NAVARRA Y SUS ORGANISMOS PÚBLICOS.
La Administración de la Comunidad Foral de Navarra y sus organismos públicos proveen a los usuarios de unos determinados medios técnicos e informáticos, instrumentos de trabajo propiedad de aquélla que garantizan la rapidez y eficacia en la prestación de sus servicios.
Entre estos medios se incluyen los equipos informáticos, programas y sistemas que facilitan el uso de las herramientas informáticas, el acceso a una red interna o intranet y una red externa o Internet, así como la utilización de un buzón de correo electrónico o e-mail y teléfono.
Los sistemas de información y de las comunicaciones deben servir para facilitar y agilizar la tramitación de los procedimientos administrativos, así como para proporcionar información completa, homogénea, actualizada y fiable de la actividad y condiciones de funcionamiento de las unidades administrativas.
El uso constante, habitual, homogéneo y normalizado de tales sistemas debe constituir la regla general de comportamiento de todos los integrantes de la Administración de la Comunidad Foral y sus organismos públicos, no quedando, en consecuencia, tal uso al libre arbitrio o la discrecionalidad y buen criterio de sus usuarios.
En consecuencia, en virtud de las competencias que tengo atribuidas en materia de servicios de informática y telecomunicaciones, por el artículo 1 del Decreto Foral 40/2005, de 24 de febrero, por el que se establece la estructura orgánica del Departamento de Economía y Hacienda,
ORDENO:
1.º Objeto.
La presente Orden Foral tiene por objeto establecer reglas precisas que determinen la mayor eficiencia en la seguridad de los sistemas de información y las comunicaciones, evitando aquellas prácticas que supongan la utilización incorrecta o inadecuada de los sistemas mencionados o de los activos que los sustentan.
2.º Naturaleza y finalidad.
La presente Orden Foral está dirigida a garantizar la seguridad de los sistemas de información y las comunicaciones en la Administración de la Comunidad Foral de Navarra y sus Organismos Públicos y de los activos que la sustentan, y en consecuencia se aplicará al personal a su servicio.
3.º Normas de seguridad.
Se establecen las siguientes normas de seguridad de los Sistemas de Información y las Comunicaciones en la Administración de la Comunidad Foral de Navarra y sus organismos públicos:
1. Medidas físicas para garantizar la confidencialidad.
Cuando se ausenten de su lugar de trabajo habitual, los empleados:
a) Ocultarán aquellos documentos o soportes de información susceptibles de ser sustraídos con facilidad, o que contengan información cuya confidencialidad pueda quedar comprometida.
b) Bloquearán el acceso a su ordenador, procediendo a cerrar todas las sesiones, y a apagar íntegramente el equipo, incluyendo pantalla y procesador, al finalizar su jornada laboral.
2. Uso del Teléfono.
a) La utilización del servicio y del equipamiento telefónico está limitada a los usos que sean acordes con las funciones de cada puesto de trabajo. La Dirección General para la Sociedad de la Información es la responsable de la gestión de todo el sistema telefónico de la Administración de la Comunidad Foral de Navarra y sus Organismos Públicos, debiendo ser notificada de todos los traslados, modificaciones y peticiones de altas y bajas en el servicio telefónico.
b) La Dirección General para la Sociedad de la Información implantará los medios pertinentes para la supervisión y control del gasto en servicios de telefonía. Así, realizará el seguimiento detallado de las cifras de consumo y facturación de todas las líneas y teléfonos al objeto de conocer la cuantía y tendencia del gasto y comprobar su necesidad, informando de todo ello a las unidades afectadas y, en su caso, adoptando las medidas correctoras necesarias.
c) La Dirección General para la Sociedad de la Información establecerá las pautas concretas de uso de los servicios y equipos telefónicos, tanto fijos como móviles y, en concreto, fijará los siguientes extremos:
c.1) Tipos de equipos telefónicos que corresponden a cada tipo de usuario.
c.2) Categorías de tráfico que se autorizan a cada tipo de usuario.
c.3) Límites de consumo telefónico que se autorizan a cada tipo de usuario.
3. Uso del correo electrónico e Internet.
a) El correo electrónico y el acceso a Internet constituyen parte de los medios puestos a disposición del personal dependiente de la Administración de la Comunidad Foral de Navarra y sus Organismos Públicos para el adecuado desempeño de sus funciones, por lo que su utilización está exclusivamente encaminada a la función propia de su puesto de trabajo.
b) La cuenta de correo electrónico, propiedad de la Administración, está asignada a una persona o grupo de personas para el desempeño de su función profesional. El usuario tiene acceso al correo electrónico suministrado por la Administración durante el período de vigencia de su relación profesional con la misma, por lo que en el caso de que la relación se extinga o se suspenda, se interrumpirá el acceso a su buzón de correo electrónico. En este caso, los servicios técnicos podrán acceder al buzón de correo electrónico, para reenviar los mensajes profesionales a los usuarios que se determinen.
c) Los usuarios son los únicos responsables de todas las actividades realizadas con las cuentas de correo electrónico a ellos asignadas, por lo que deberán velar por el cumplimiento de las directrices y normas que se emitan en este sentido.
d) Queda prohibida:
d.1) Toda transmisión o puesta a disposición de contenidos susceptibles de ser considerados delictivos, atentatorios contra la dignidad, el honor, la imagen o la intimidad de las personas o vulneradores de derechos de terceros, incluidos los de propiedad intelectual e industrial, así como cualesquiera otros inadecuados o no relacionados con el desempeño de las funciones propias del puesto de trabajo.
d.2) Toda utilización de contenidos provenientes de Internet cuyo régimen de explotación y, en su caso, otorgamiento de los oportunos derechos de utilización a favor de un órgano de la Administración de la Comunidad Foral de Navarra o de un organismo público dependiente de ella, no se haya comprobado.
d.3) Toda conexión remota desde el exterior de la Administración de la Comunidad Foral de Navarra o de un organismo público de ella dependiente que no haya sido autorizada, con la salvedad de los servicios corporativos que sean habilitados para su uso remoto. Esta autorización sólo se concederá cuando la función asignada al puesto de trabajo afectado lo requiera, y tras tener garantías suficientes de que no se verán afectados los niveles de seguridad de los sistemas de la Administración de la Comunidad Foral de Navarra y sus Organismos Públicos.
4. Uso de hardware y software.
a) La utilización de los medios y equipos informáticos que la Administración de la Comunidad Foral y sus organismos públicos puestos a disposición de sus empleados para el adecuado desempeño de sus funciones ha de encaminarse exclusivamente a la función propia de su puesto de trabajo.
b) Los medios y equipos informáticos a utilizar serán directamente provistos e instalados por las unidades de administración de sistemas informáticos y comunicaciones o por los proveedores de servicios, como parte del acuerdo de prestación que se establezca, con conocimiento y autorización de las unidades técnicas encargadas a tal efecto.
c) Se prohíbe extraer de su ubicación cualquier elemento hardware, salvo autorización expresa, excepto aquellos que por su característica de portátil o móvil sean dedicados a aplicaciones de movilidad, tales como los ordenadores personales, los asistentes personales o los teléfonos móviles.
d) Con carácter general los usuarios no podrán instalar software en sus equipos.
e) El usuario será responsable de la pérdida de documentos guardados en el disco duro de su ordenador. Para evitar pérdidas, cada usuario debe realizar copias de seguridad o bien ubicar esta información en el entorno de red, dentro de una carpeta con el nivel de seguridad adecuado.
f) Se prohíbe la deshabilitación por los usuarios de medidas técnicas de seguridad implantadas en los distintos sistemas de información.
g) En el supuesto de que se produjera cualquier situación que pudiera poner en riesgo la seguridad de los sistemas de información de la Administración, el usuario deberá notificar la incidencia producida a la mayor brevedad y empleando los protocolos establecidos.
h) La Administración de la Comunidad Foral de Navarra y sus Organismos Públicos podrá disponer de medidas preventivas y de controles tendentes a la identificación de los responsables de la vulneración de estas normas.
5. Utilización de contraseñas.
Con el fin de evitar los problemas de seguridad derivados de un incorrecto manejo de las contraseñas, se seguirán estas pautas básicas:
a) Todo usuario deberá mantener su contraseña en secreto, asumiendo la responsabilidad de las consecuencias derivadas de su revelación a otra persona.
b) El usuario deberá cambiar la contraseña inicial que se le asigne, en el primer acceso que realice al sistema.
c) Se prohíbe la entrada en las aplicaciones informáticas utilizando un identificador y contraseña de otro usuario, salvo autorización puntual y expresa, determinada en el tiempo, del superior jerárquico del empleado.
d) Cualquier incidencia que comprometa la confidencialidad de las contraseñas deberá ser inmediatamente comunicada mediante los canales establecidos y subsanada en el menor plazo de tiempo posible.
e) Deben seguirse las siguientes cautelas sobre el uso de contraseñas:
e.1) Utilizar longitudes iguales o superiores a 8 caracteres alfanuméricos.
e.2) Combinar de letras, números, mayúsculas y minúsculas, signos especiales, etc.
e.3) No incluir palabras, fechas o términos relacionados directamente con el empleado.
e.4) Cambiar periódicamente las contraseñas.
e.5) No comunicarlas o anotarlas en lugares visibles y fácilmente accesibles.
f) La Dirección General para la Sociedad de la Información podrá bloquear el acceso si sospecha que existe un riesgo en la seguridad del sistema o si tiene constancia del incumplimiento de las normas de seguridad.
4.º Seguimiento.
La Dirección General para la Sociedad de la Información velará por la correcta aplicación y efectivo cumplimiento de estas normas.
5.º Publicación y traslado.
La presente Orden Foral se publicará en el BOLETÍN OFICIAL de Navarra. Asimismo, se trasladará a los Secretarios Generales Técnicos de los Departamentos para su general difusión.
