...

La gestión de incidentes que afecten a datos de carácter personal tendrá en cuenta lo dispuesto en el Reglamento Europeo de Protección de Datos (RGPD), en lo que corresponda.

El encargado de tratamiento prestará especial atención a las medidas de protección categorizadas en el ENS relacionadas con la protección de las aplicaciones informáticas (código [mp.sw] en el ENS) y desarrollo de aplicaciones (código [mp.sw.1] en el ENS).

1. El desarrollo de aplicaciones se realizará sobre un sistema diferente y separado del de producción, no debiendo existir herramientas o datos de producción en el entorno de desarrollo.
2. Se usarán pautas de desarrollo documentadas en la plataforma CONFLUENCE de la STIC que:

1. Tome en consideración los aspectos de seguridad a lo largo de todo el ciclo de vida.
2. Trate específicamente los datos usados en desarrollo y pruebas.
3. Permita la inspección del código fuente.

1. Los siguientes elementos serán parte integral del diseño del sistema:

1. Los mecanismos de identificación y autenticación.
2. Los mecanismos de protección de la información tratada.
3. La generación y tratamiento de pistas de auditoría. Las pruebas anteriores a la implantación o modificación de los sistemas de información no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.

Aceptación y puesta en servicio (código [mp.sw.2] en el ENS):

1. Antes de pasar a producción se comprobará el correcto funcionamiento de la aplicación. Se verificará que:

1. Se cumplen los criterios de aceptación en materia de seguridad.
2. No se deteriora la seguridad de otros componentes del servicio.

1. Las pruebas se realizarán en un entorno aislado (pre-producción).
2. Las pruebas de aceptación no se realizarán con datos reales, salvo que se asegure el nivel de seguridad correspondiente.
3. Se realizarán las siguientes inspecciones previas a la entrada en servicio:
1. Análisis de vulnerabilidades.
2. Pruebas de penetración.

Protección de servicios y aplicaciones web (código [mp.s.2] en el ENS):

Los sistemas dedicados a la publicación de información deberán estar protegidos frente a las amenazas que les son propias.

1. Cuando la información tenga algún tipo de control de acceso, se garantizará la imposibilidad de acceder a la información sin autenticación, en particular tomando medidas en los siguientes aspectos:
   1. Se evitará que el servidor ofrezca acceso a los documentos por vías alternativas al protocolo determinado.
   2. Se prevendrán ataques de manipulación de direcciones de recursos de internet (más conocidos por el término URL por sus siglas en inglés).
   3. Se prevendrán ataques de manipulación de fragmentos de información que se almacenan en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página, conocido en inglés como «cookies».
   4. Se prevendrán ataques del tipo inyección de código.
2. Se prevendrán intentos de escalado de privilegios conforme a lo estipulado en la plataforma Confluence de la STIC.
3. Se prevendrán ataques de «cross site scripting».
4. Se prevendrán ataques de manipulación de programas o dispositivos que realizan una acción en representación de otros, conocidos en terminología inglesa como «proxies» y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminología inglesa como «cache».

Firma electrónica [mp.info.4]

La firma electrónica es un mecanismo de prevención del repudio; es decir, previene frente a la posibilidad de que en el futuro el signatario pudiera desdecirse de la información firmada.

La firma electrónica garantiza la autenticidad del signatario y la integridad del contenido. Cuando se emplee firma electrónica solo se utilizarán medios de firma electrónica de los previstos en la legislación vigente.

1. Los medios utilizados en la firma electrónica serán proporcionados a la calificación de la información tratada. En todo caso:
   1. Se emplearán algoritmos acreditados por el Centro Criptológico Nacional
   2. Se emplearán, preferentemente, certificados reconocidos.
   3. Se emplearán, preferentemente, dispositivos seguros de firma.
2. Se adjuntará a la firma, o se referenciará, toda la información pertinente para su verificación y validación:
   1. Datos de verificación y validación.
   2. Se protegerán la firma y la información mencionada en el apartado anterior con un sello de tiempo.
   3. El organismo que recabe documentos firmados por el administrado verificará y validará la firma recibida en el momento de la recepción, anexando o referenciando sin ambigüedad la información descrita en los epígrafes 1) y 2).
   4. La firma electrónica de documentos por parte de la Administración anexará o referenciará sin ambigüedad la información descrita en los epígrafes 1) y 2).

 Datos de carácter personal [mp.info.1]:

Cuando el sistema trate datos de carácter personal, se estará a lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y normas de desarrollo, sin perjuicio de cumplir, además, las medidas establecidas por el Real Decreto 311/2022, de 3 de mayo por el que se regula el Esquema Nacional de Seguridad.

Lo indicado en el párrafo anterior también se aplicará, cuando una disposición con rango de ley se remita a las normas sobre datos de carácter personal en la protección de información.

3.                Propiedad intelectual del resultado de los trabajos

...