Normativa uso de recursos – Resolución a 23 de septiembre de 2021, del Rector de la Universidad Rey Juan Carlos, por la que se ordena la publicación en el BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID de la normativa de uso de los recursos TIC, aprobada por Acuerdo del Consejo de Gobierno de la Universidad Rey Juan Carlos de 22 de julio de 2021 y publicada en el “Boletín Oficial de la Universidad Rey Juan Carlos” de 6 de agosto de 2021
I. COMUNIDAD DE MADRID C) Otras Disposiciones UNIVERSIDAD REY JUAN CARLOS 25RESOLUCIÓN a 23 de septiembre de 2021, del Rector de la Universidad Rey Juan Carlos, por la que se ordena la publicación en el BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID de la normativa de uso de los recursos TIC, aprobada por Acuerdo del Consejo de Gobierno de la Universidad Rey Juan Carlos de 22 de julio de 2021 y publicada en el “Boletín Oficial de la Universidad Rey Juan Carlos” de 6 de agosto de 2021. En el uso de las competencias atribuidas por el artículo 20 de la Ley Orgánica 6/2001, de 21 de diciembre, y su modificación efectuada mediante Ley Orgánica 4/2007, de 13 de abril; así como por el artículo 81.1.q) de los Estatutos de la Universidad Rey Juan Carlos, aprobados mediante Decreto 22/2003, de 27 de febrero, modificados, a su vez, mediante Decreto 28/2010, de 20 de mayo, y, de conformidad con el acuerdo aprobado por el Consejo de Gobierno de la Universidad Rey Juan Carlos, en sesión celebrada el día 22 de julio de 2021, y publicado en el “Boletín Oficial de la Universidad Rey Juan Carlos” el día 6 de agosto de 2021, este Rectorado ha dispuesto ordenar la publicación a efectos informativos en el BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID la normativa de uso de los recursos TIC de la Universidad Rey Juan Carlos, cuyo texto íntegro se recoge a continuación. ANEXO NORMATIVA DE USO DE LOS RECURSOS TIC DE LA UNIVERSIDAD REY JUAN CARLOS PARTE EXPOSITIVA La Universidad Rey Juan Carlos (en adelante, la URJC o la Universidad) en uso de las atribuciones que le están conferidas, viene manifestando en todo momento su compromiso con el desarrollo y la promoción de las Tecnologías de la Información y la Comunicación (en adelante, TIC), con el objeto de desarrollar su actividad docente, investigadora y de gestión. El desarrollo de la Sociedad de la Información hace que la tecnología esté cada vez más presente en nuestros días. Esta situación plantea diversos retos en los ámbitos de la tecnología, la privacidad y la educación o cultura de su uso. La presente normativa tiene por objeto establecer las normas generales de uso de los recursos y servicios de las TIC de la Universidad Rey Juan Carlos, de conformidad tanto con el Esquema Nacional de Seguridad, en adelante ENS, como con las leyes administrativas vigentes, la normativa en materia de protección de datos, en particular el artículo 87.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales; la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, y el Código Ético de la Universidad Rey Juan Carlos, aprobado por acuerdo del Consejo de Gobierno de 27 de septiembre de 2019. El objetivo no es solo establecer unas normas comunes de uso, sino también que sirva de guía para su utilización, que como conviene recordar, es una de las funciones de las universidades. Saber qué y cómo hacer con las TIC ayudará a la comunidad universitaria a utilizar de forma eficiente y eficaz sus recursos. Asimismo, las normas generales recogidas en la presente normativa servirán de base para el correcto uso de los recursos TIC cuando la plantilla de la Universidad Rey Juan Carlos desempeñe sus funciones en régimen de teletrabajo, de conformidad con lo dispuesto en la legislación estatal y autonómica que regule el trabajo a distancia. Todo ello a fin de garantizar un correcto tratamiento de la información y los datos de carácter personal, en cumplimiento de la legislación aplicable en tales materias. De este modo, las nuevas formas de prestación laboral que ofrecen las TIC podrán desarrollarse en la Universidad Rey Juan Carlos garantizando unos niveles aceptables de seguridad. TÍTULO I Finalidad y ámbito de aplicación Artículo 1 Finalidad 1. La presente normativa regula la seguridad en el uso de los recursos TIC que la Universidad Rey Juan Carlos pone a disposición de las personas usuarias, definidas en el artículo 3 de la presente normativa, a efectos de garantizar, entre otros, los siguientes aspectos: a) El adecuado desarrollo de las actividades vinculadas a la Universidad, y en particular de las funciones docente, investigadora, gestión administrativa y aprendizaje. b) La protección de las personas usuarias y de los distintos niveles de seguridad de la información y de los sistemas dentro del marco de la Política de Seguridad de la Información de la Universidad Rey Juan Carlos. c) La adecuada protección de los datos de carácter personal de los que sea responsable la Universidad. d) La adecuada concienciación y formación de las personas usuarias en materia de seguridad de la información. 2. La presente normativa responde a los siguientes fines: a) Garantizar la seguridad, el rendimiento y la privacidad de los sistemas de información y comunicación de la Universidad y, en su caso, de terceros. b) Garantizar y proteger el tratamiento de los datos personales y los derechos fundamentales de las personas físicas; especialmente, el derecho al honor e intimidad personal y familiar. c) Concienciar a las personas usuarias sobre la importancia y necesidad de hacer un uso responsable de los recursos TIC en orden a la consecución de los fines y principios de actuación de la Universidad recogidos en los artículos 3 y 4 de sus Estatutos y en su Código Ético. d) Proteger la información corporativa, en todas sus dimensiones (confidencialidad, integridad, autenticidad, disponibilidad y trazabilidad). e) Proteger la privacidad de la información y las comunicaciones, incluyendo el trabajo de otros usuarios que utilicen los mismos recursos. f) Minimizar el riesgo reputacional derivado de las amenazas e incidencias que afecten a la información, datos personales y recursos TIC. g) Evitar situaciones que puedan causar a la Universidad algún tipo de responsabilidad. Artículo 2 Ámbito objetivo de aplicación 1. Los recursos TIC, cuyas condiciones de uso regula esta normativa, son los proporcionados por la Universidad. A tal efecto, tienen la consideración de activos de información de la Universidad cualquier componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye: información, datos, servicios, software, hardware y comunicaciones. 2. La Universidad, como propietaria de los recursos TIC, definirá y garantizará los controles mínimos para su adecuada protección con el objeto de garantizar la mejora continua que recoge el ENS. 3. La presente Normativa también será de aplicación al uso de los sistemas de información corporativos, así como al de la red de comunicaciones de la Universidad cuando la misma sea empleada por dispositivos y equipos informáticos propiedad del usuario. Artículo 3 Ámbito subjetivo de aplicación 1. La presente Normativa resulta de aplicación a los usuarios que utilicen los recursos TIC que la Universidad ponga a su disposición. A tal efecto tienen la consideración de usuarios: a) El estudiantado: se considera estudiante cualquier persona que, estando matriculada en alguna de las titulaciones oficiales de grado, másteres oficiales, programas de doctorado, enseñanzas propias u otras enseñanzas no regladas ofertadas por la Universidad, accede a los recursos TIC puestos a su disposición en virtud de dicha condición. b) El personal de administración y servicios (PAS): se considera PAS cualquier miembro del personal de administración y servicios de la Universidad, ya sea funcionario o personal laboral, que accede a los recursos TIC puestos a su disposición en virtud de dicha condición. c) El personal docente e investigador (PDI): se considera PDI la persona que, teniendo la condición de personal docente e investigador conforme a la normativa vigente en la materia, ya sea personal funcionario o laboral, tiene acceso a los recursos TIC puestos a su disposición en virtud de dicha condición. d) El personal investigador predoctoral en formación: se considera personal investigador predoctoral en formación la persona que, conforme a la normativa vigente en la materia, suscribe un contrato de trabajo con la Universidad y accede a sus recursos TIC en virtud de dicha condición. e) El personal investigador postdoctoral: se considera personal investigador postdoctoral la persona que, estando en posesión de la titulación académica correspondiente, suscribe un contrato de trabajo con la Universidad conforme a la normativa vigente en la materia, y accede a sus recursos TIC en virtud de dicha condición. f) Los egresados/as de la Universidad: se considera egresada la persona que ha finalizado en la Universidad los estudios conducentes a la obtención de un título universitario oficial y accede a sus recursos TIC en virtud de dicha condición. g) El personal de proveedores: se considera personal de proveedores a cualquier persona que presta algún tipo de servicio en la Universidad, estando el mismo regulado mediante el oportuno contrato o convenio. h) El personal vinculado, incluyendo las instituciones sociosanitarias y Hospitales en las que se imparta docencia e investigación propia de la Universidad, cuya vinculación con la misma se encuentre regulada mediante un convenio académico. i) El personal no vinculado: se considera personal no vinculado a cualquier persona o entidad que colabora con la Universidad sin tener suscrita relación de servicio ni contractual con la misma, y accede a sus recursos TIC en virtud de dicha condición. j) Cualquier otro colectivo o entidad determinado por la Universidad que haga uso de los recursos TIC puestos por esta a su disposición. 2. Las personas usuarias de los recursos TIC de la Universidad tendrán derecho a: a) Recibir la información o formación indispensable para el empleo adecuado de los recursos TIC según sus funciones o necesidades. b) Recibir información y soporte técnico sobre los incidentes de seguridad que afecten a los recursos TIC puestos a su disposición por parte de la Universidad. c) Ver respetados sus derechos fundamentales, especialmente la dignidad de las personas, el derecho al honor, a la intimidad y a la propia imagen y al secreto de las comunicaciones. d) Expresar su opinión acerca de los servicios TIC corporativos que reciba, y presentar sugerencias y quejas a través del procedimiento habilitado en la Sede Electrónica. 3. Las personas usuarias utilizarán los recursos TIC que la Universidad ponga a su disposición en los términos y condiciones recogidos en esta normativa, en las instrucciones y disposiciones específicas de desarrollo que se adopten y en la legislación vigente. 4. El uso de los recursos TIC que la Universidad pone a disposición de las personas usuarias comporta el conocimiento y plena aceptación por estos de las normas de uso y condiciones recogidas en la presente normativa y en las instrucciones específicas de desarrollo que pudieran adoptarse para su correcta aplicación. 5. La detección, por parte del Responsable de Seguridad, de comportamientos prohibidos indicados en esta normativa o cuando se hayan llevado a cabo actividades contrarias al ordenamiento jurídico, dará lugar a la suspensión inmediata en el uso de los recursos afectados a los usuarios implicados hasta que se subsane el motivo que lo provocó. La Universidad pondrá en conocimiento de la autoridad judicial y de las Fuerzas y Cuerpos de Seguridad del Estado aquellas conductas que puedan ser constitutivas de responsabilidad civil, penal o de otro orden que procedan en cada caso. Artículo 4 Tipos de permisos y privilegios 1. Las personas usuarias utilizarán los recursos TIC que la Universidad ponga a su disposición con los permisos que su rol lleve aparejados. A tal efecto existen dos tipos de permisos básicos: a) Permisos de acceso al activo: permiten al usuario/a acceder a cada activo puesto a su disposición por la Universidad y ejecutar las funciones según el rol asignado. b) Permisos de administrador/a del activo: permiten al usuario/a acceder a cada activo puesto a su disposición por la Universidad y ejecutar sus funciones, así como configurar, comprobar y restaurar su funcionamiento según el rol asignado. 2. Con carácter general, las personas usuarias tendrán únicamente permiso de acceso a los activos que la Universidad ponga a su disposición, debiendo observar las instrucciones de uso recogidas en esta normativa y en las instrucciones y disposiciones específicas de desarrollo que se adopten. 3. Los privilegios de acceso que cada usuario/a tenga en relación con los activos de información que la Universidad ponga a su disposición vendrán determinados por su rol según los siguientes criterios: a) El colectivo al que pertenece de acuerdo con lo dispuesto en el artículo 3 de la presente normativa. b) Las funciones específicas que desarrolle dentro del colectivo al que pertenece. c) Las funciones que tenga formalmente asignadas en un determinado momento. Dichas funciones pueden venir especificadas por las Escuelas, Facultades, Departamentos y servicios administrativos para el correcto desempeño docente, investigador, o de gestión. En el caso de que se soliciten permisos de administrador/a de un activo, la solicitud incluirá la identidad del usuario/a que adquirirá la responsabilidad técnica, el motivo del privilegio o del permiso y su duración, que será temporal. La concesión del permiso se formalizará mediante la firma del correspondiente acuerdo de asunción de responsabilidad. 4. Las personas que tengan la responsabilidad técnica o permisos de administrador/a de un activo tendrán la consideración de responsables del activo y observarán, además de lo dispuesto en la presente normativa, las instrucciones específicas de uso que, como administrador, se adopten en cada caso, incluyendo: a) Gestión de la seguridad, incluyendo, entre otros aspectos, gestión de actualizaciones y parches de seguridad. b) Gestión de incidentes de seguridad, y reporte de los mismos al Área de Tecnologías de la Información y en caso necesario, al Delegado/a de Protección de Datos, incluyendo el envío de información que se le requiera, en un plazo máximo de 24 horas, antes de que se apliquen los controles y medidas cautelares necesarios. c) Notificación de brechas de seguridad ante la Agencia Española de Protección de Datos, comunicando dichas notificaciones al Delegado/a de Protección de Datos. d) Proactividad en el envío de la información pertinente para la gestión de las denuncias ante las Fuerzas y Cuerpos de Seguridad del Estado. TÍTULO II Control de acceso Capítulo I Autenticación de la identidad Artículo 5 Credenciales de acceso 1. Todo/a usuario/a dispondrá de credenciales de acceso que le permitan identificarse para iniciar sesión en los recursos TIC y acceder a los sistemas de información de la Universidad. 2. Las credenciales de acceso consistirán en un identificador de usuario/a y la contraseña asociada al mismo, teniendo tal contraseña carácter personal e intransferible, y podrán complementarse con otros sistemas de identificación corporativos basados en segundo factor y/o certificados digitales o cualquier otro que a futuro se incorpore. 3. La Universidad proporcionará a cada usuario/a, conforme al procedimiento habilitado al efecto, las credenciales de acceso a los recursos TIC y sistemas de información con los permisos y privilegios que aquellas lleven aparejados según el rol que tenga asignado. 4. La Universidad procederá a dar de baja las credenciales de acceso tras el cese en la condición de usuario/a, conforme al procedimiento habilitado al efecto. 5. El usuario/a custodiará y gestionará diligentemente sus credenciales de acceso, observando para ello los criterios establecidos en la presente normativa y en las instrucciones específicas que resulten de aplicación. 6. Cuando un usuario/a detecte que sus credenciales de acceso han sido utilizadas o manipuladas por un tercero no autorizado, lo pondrá inmediatamente en conocimiento del Responsable de Seguridad a través del procedimiento habilitado para la notificación de incidencias. 7. El/la usuario/a bloqueará la sesión que tuviera abierta en un recurso TIC cuando vaya a ausentarse de su puesto de trabajo, procediendo a cerrar dicha sesión cuando la ausencia se produjera durante un intervalo de tiempo prolongado. Artículo 6 Gestión segura de contraseñas Las personas usuarias aplicarán los siguientes criterios de seguridad en la gestión de sus contraseñas de acceso: a) No utilizar la contraseña asignada por defecto y cambiarla antes de acceder por vez primera a las aplicaciones y los sistemas de información. b) No anotar la contraseña en soportes a los que pueda tener fácil acceso un tercero no autorizado. c) No enviar la contraseña por correo electrónico ni a través de otros sistemas de comunicación. d) Mantener en secreto la contraseña y evitar compartirla. e) No hacer uso del recordatorio de contraseñas. f) Cambiar la contraseña inmediatamente cuando se considere que su seguridad está comprometida. g) Renovar la contraseña al menos con carácter anual. Tal periodicidad podrá verse reducida por la criticidad de la información a la que da acceso la contraseña, así como por los incidentes de seguridad que haya podido sufrir el recurso TIC o el sistema de información a los que da acceso. h) Las contraseñas que den acceso a recursos TIC con permisos de administración, atenderán a los criterios de periodicidad de cambio recogidos en el procedimiento de dicha materia. i) No reutilizar contraseñas antiguas. j) Cualesquiera otros criterios para la gestión segura de contraseñas de acceso que puedan establecerse en el marco de la Política de Seguridad de la Información de la Universidad. Artículo 7 Creación de contraseñas robustas Las contraseñas atenderán los criterios de complejidad establecidos por el Área de Tecnologías de la Información. Entre dichos criterios se encuentran los siguientes: a) Tener una longitud mínima según lo establecido en cada caso dentro del marco de la Política de Seguridad de la Información de la Universidad. b) Utilizar caracteres alfanuméricos, incluyendo letras mayúsculas, minúsculas y números. c) No utilizar el identificador de usuario/a de acceso. d) No utilizar contraseñas con variaciones mínimas respecto a una contraseña anterior. e) Evitar incluir nombres propios, palabras sencillas en cualquier idioma o datos de carácter personal. f) Utilizar una contraseña distinta de la empleada en la Universidad para acceder a servicios prestados por otras instituciones. g) Las contraseñas que den acceso a recursos TIC con permisos de administración atenderán a los criterios de complejidad recogidos en el procedimiento de dicha materia. h) Cualesquiera otros criterios de complejidad para la creación de contraseñas de acceso robustas que puedan establecerse en el marco de la Política de Seguridad de la Información de la Universidad. Capítulo II Control de acceso físico a determinadas áreas Artículo 8 Áreas de acceso restringido 1. El área de acceso restringido es aquella que, albergando recursos TIC de la Universidad con características especiales, queda sujeta a permisos específicos de acceso físico y, en su caso, registro de entrada y salida de usuarios. Tienen la consideración de áreas de acceso restringido las siguientes: a) El Centro de Procesamiento de Datos (CPD). b) Las salas donde se ubican servidores y racks. c) Las salas donde se ubican las infraestructuras eléctricas que dan servicio al sistema de información de la Universidad. d) Los despachos del Área de Tecnologías de la Información. e) Los almacenes del Área de Tecnologías de la Información. f) Las salas específicamente habilitadas donde se ubican recursos TIC que la Universidad pone a disposición del profesorado. g) Cualesquiera otros lugares que, albergando recursos TIC de la Universidad, estén clasificados como áreas de acceso restringido. 2. Las personas usuarias de un área de acceso restringido se ordenarán en los tres grupos siguientes según la duración que tenga su permiso de acceso físico: a) Usuarios/as de acceso permanente: personal que realiza habitualmente sus funciones en áreas de acceso restringido. Aunque cuentan con autorización de acceso permanente, podrán establecerse limitaciones horarias si el sistema de control de acceso lo permite. b) Usuarios/as de acceso temporal: personal que realiza ocasionalmente sus funciones en áreas de acceso restringido, durante un período de tiempo determinado, contando para ello con una autorización de acceso temporal. c) Usuarios/as invitados: la persona invitada accederá a las áreas de acceso restringido previa autorización y siempre acompañada por un miembro responsable de la organización que garantice la seguridad de los recursos TIC y de los distintos niveles de seguridad de la información. 3. El control de acceso físico a las áreas restringidas estará basado en alguno de los sistemas siguientes: a) Credenciales de acceso, con usuaria/o y contraseña. b) Token criptográfico. c) Control biométrico. d) Tarjeta identificativa como personal de la Universidad. e) Cualquier otro sistema de control de acceso establecido dentro del marco de la Política de Seguridad de la Información de la Universidad, que garantice los distintos niveles de seguridad de la información y de los sistemas. 4. La presencia de personas no autorizadas en áreas de acceso restringido se pondrá inmediatamente en conocimiento del Responsable de Seguridad mediante los cauces establecidos para la notificación de incidencias a través del Centro de Atención al Usuario (CAU). 5. En cualquier caso, las personas usuarias observarán las instrucciones específicas de uso que hayan podido adoptarse para cada área concreta de acceso restringido. Artículo 9 Áreas de acceso no restringido 1. El área de acceso no restringido es aquella que, albergando recursos TIC de la Universidad, no queda sujeta a permisos específicos de acceso físico ni a registro de entrada y salida de usuarios y usuarias. Tienen la consideración de áreas de acceso físico no restringido las siguientes: a) Las aulas de la Universidad. b) Los laboratorios de la Universidad. c) Los espacios de la biblioteca de la Universidad. d) Las dependencias de la Universidad donde se presten servicios de atención al público. e) Cualesquiera otras áreas donde se ubiquen recursos TIC de la Universidad y no estén inventariadas como áreas de acceso restringido. 2. El acceso a las áreas de acceso no restringido podrá quedar condicionado a la previa presentación del documento que acredite la identidad de una persona como usuario/a. 3. Las áreas de acceso no restringido permanecerán abiertas dentro del horario de apertura a usuarios/as que se haya establecido para cada una de ellas. 4. Fuera de su horario de apertura, las áreas de acceso no restringido permanecerán cerradas y solo tendrán acceso a ellas personal autorizado de limpieza, mantenimiento y seguridad, y aquel personal de la propia Universidad que por razones del servicio puedan ser autorizadas a tal efecto. 5. Las personas usuarias serán responsables del correcto uso que hagan de los recursos TIC que la Universidad ponga a su disposición en las áreas de acceso no restringido. En cualquier caso, observarán las instrucciones específicas de uso que hayan podido adoptarse para cada área concreta de acceso no restringido. Capítulo III Registros y auditorías Artículo 10 Registro de actividad Con el fin de dar cumplimiento a los principios del Esquema Nacional de Seguridad, se registrarán las actividades de las personas usuarias en los términos y condiciones establecidos en el artículo 23 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, y en sus disposiciones de desarrollo. Se realizará con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los usuarios y usuarias en cumplimiento del artículo 18 de la Constitución Española, y de acuerdo con la normativa sobre protección de datos personales y demás disposiciones que resulten de aplicación. Artículo 11 Auditorías 1. Con el fin de verificar el cumplimiento de lo dispuesto en la presente normativa se podrán llevar a cabo auditorías de seguridad a nivel técnico y organizativo, en los términos que establece el Esquema Nacional de Seguridad, en cuanto al empleo de los recursos TIC en la Universidad. 2. El informe final de la auditoría será analizado por el/la Responsable de Seguridad a efectos de adoptar, en su caso, las medidas correctoras adecuadas, poniendo su contenido en conocimiento del Comité de Seguridad de la Información para la mejora continua que recoge el Esquema Nacional de Seguridad. TÍTULO III Uso del hardware y del software Capítulo I Uso del hardware Artículo 12 Finalidad del hardware El hardware que la Universidad proporcione se utilizará para el desarrollo de las funciones docente, investigadora, de gestión administrativa o aprendizaje que les son propias en su condición de usuario. Artículo 13 Uso adecuado de los equipos informáticos 1. Las personas usuarias aplicarán los siguientes criterios para un uso adecuado de los equipos informáticos que la Universidad ponga a su disposición: a) Respetar la integridad física de los equipos informáticos. b) Facilitar el acceso del personal técnico del Área de Tecnologías de la Información y del personal autorizado a los equipos informáticos para realizar labores de instalación, mantenimiento y reparación. c) Evitar comportamientos de riesgo que conlleven la instalación de software dañino en los equipos informáticos. d) Bloquear o cerrar la sesión de los equipos informáticos cuando queden fuera del alcance del usuario durante su jornada de trabajo. e) Apagar los equipos informáticos al finalizar la jornada de trabajo, tanto por razones de seguridad como de eficiencia energética, excepto cuando deban permanecer encendidos para dar continuidad a determinadas funciones. f) Vigilar adecuadamente los equipos informáticos portátiles en los lugares públicos para evitar que sean sustraídos o accedidos de forma no autorizada por terceros. g) Devolver los equipos informáticos a la Universidad una vez que los usuarios finalicen la vinculación que determinó su acceso a los mismos; todo ello con el fin de proceder al borrado seguro de la información almacenada y restaurar el equipo a su estado original para ser asignado a un nuevo usuario. h) Cumplir con los criterios establecidos en la presente normativa y en las instrucciones específicas de desarrollo que puedan adoptarse sobre almacenamiento local de información sensible en equipos informáticos. i) Cualesquiera otros criterios que puedan establecerse sobre uso adecuado de equipos informáticos en el marco de la Política de Seguridad de la Información de la Universidad. Artículo 14 Uso adecuado de impresoras y dispositivos similares 1. Las personas usuarias harán un uso responsable de las impresoras y dispositivos similares que la Universidad ponga a su disposición siguiendo sus funciones y observando para ello los principios de economía y sostenibilidad ambiental, que conducen a la aplicación de los siguientes criterios: a) Imprimir un documento cuando sea estrictamente necesario, dando prioridad al trabajo en soporte electrónico. b) Imprimir preferiblemente a doble cara. c) Evitar, siempre que sea posible, la impresión a color. d) Optar por las impresoras en red antes que las locales. e) Digitalizar los documentos, por ejemplo, mediante la opción de reconocimiento de caracteres, para producir documentos tratables electrónicamente. f) Cualesquiera otros criterios que puedan establecerse sobre uso adecuado de impresoras y dispositivos similares en el marco de la Política de Seguridad de la Información de la Universidad. 2. Cuando un usuario/a localice documentación ajena con información sensible en una impresora o dispositivo similar, intentará localizar a su propietario para que la recoja inmediatamente, y si ello no fuera posible, pondrá el hecho en conocimiento del Responsable de Seguridad mediante los cauces establecidos para la notificación de incidencias a través del Centro de Atención al Usuario (CAU). Artículo 15 Uso adecuado de dispositivos electrónicos personales Las personas usuarias aplicarán los siguientes criterios para un uso adecuado de sus equipos informáticos en la red de la Universidad: a) Antes de conectar sus dispositivos electrónicos personales a la red de comunicaciones de la Universidad, deberían comprobar la correcta actualización de la herramienta antivirus que tengan instalada, así como el oportuno parcheado de sus sistemas operativos. b) Quienes utilicen sus dispositivos electrónicos personales en las instalaciones de la Universidad serán los únicos responsables de las licencias de software que utilicen, así como de los contenidos y archivos que almacenen en los mismos. Artículo 16 Uso prohibido del hardware Con el fin de garantizar los distintos niveles de seguridad de la información y de los sistemas de la Universidad quedan expresamente prohibidas las siguientes acciones, salvo si disponen de privilegios según lo establecido en el artículo 4: a) Alterar cualquier componente de los equipos informáticos propiedad de la universidad que ocasione daños o perjuicios en los mismos o en el sistema de información de la misma. b) Alterar, evitar o saltarse las medidas de seguridad configuradas en los equipos informáticos. c) Cualesquiera otras acciones que resulten contrarias a la Política de Seguridad de la Información de la Universidad. Capítulo II Uso del software Artículo 17 Uso adecuado del software 1. La instalación, mantenimiento, reparación y configuración del sistema operativo en los equipos electrónicos de la Universidad corresponde al personal técnico del Área de Tecnologías de la Información o al personal autorizado al efecto. 2. Las personas usuarias que, sin ser personal técnico del Área de Tecnologías de la Información, tengan permisos de administrador/a serán responsables del software que instalen en sus equipos informáticos y de las consecuencias que deriven de resultar malicioso. Artículo 18 Uso prohibido del software Con el fin de garantizar los distintos niveles de seguridad de la información y de los sistemas de la Universidad, quedan expresamente prohibidas las siguientes acciones en el hardware propiedad de la universidad, salvo si disponen de privilegios según lo establecido en el artículo 4: a) Instalar o utilizar un software violando su licencia. b) Instalar o utilizar un software que vulnere la legislación vigente en materia de propiedad intelectual. c) No respetar los términos de uso establecidos en las licencias de software. d) Utilizar a sabiendas cualquier tipo de software dañino. e) Utilizar software que, por su naturaleza, haga un uso abusivo de la red de comunicaciones. f) Eliminar o deshabilitar las aplicaciones instaladas por el Área de Tecnologías de la Información, especialmente las relacionadas con la seguridad, tales como antivirus corporativo, antispam o cortafuegos. g) Cualesquiera otras acciones que vulneren la legislación vigente en materia de software. TÍTULO IV Uso de la red de comunicaciones Capítulo I Red de comunicaciones Artículo 19 Finalidad de la red de comunicaciones 1. La red de comunicaciones de la Universidad facilitará a los usuarios la conexión tanto a los servicios de telefonía como a la red de datos mediante la conexión de los ordenadores y otros dispositivos electrónicos. 2. Las personas usuarias utilizarán la red de comunicaciones para el desarrollo de las funciones docente, investigadora, de gestión administrativa o aprendizaje que les vinculan con la Universidad. 3. Las personas usuarias se asegurarán de cerrar correctamente la sesión tras finalizar su conexión a la red de comunicaciones. Artículo 20 Control de acceso a la red La red de comunicaciones de la Universidad podrá establecer controles de acceso local y remoto a la misma, así como verificar la apropiada configuración de los dispositivos electrónicos conectados cuando resulte necesario para garantizar los distintos niveles de seguridad de la información y de los sistemas, garantizando en todo momento el correcto tratamiento de los datos personales y la protección de los derechos fundamentales. Artículo 21 Navegación segura Se recomienda a las personas usuarias aplicar los siguientes criterios cuando accedan a páginas web desde la red de comunicaciones y demás recursos TIC de la Universidad: a) Asegurar la autenticidad de las páginas web visitadas. b) Borrar los datos de navegación periódicamente y, si fuera necesario, antes de terminar cada sesión. c) Observar las restricciones legales sobre uso de información publicada en páginas web. d) No instalar complementos desconocidos para acceder al contenido de determinadas páginas web. e) No visitar páginas web de contenido ilegal. f) Cualesquiera otros criterios que resulten de aplicación de acuerdo con la Política de Seguridad de la Información de la Universidad. Artículo 22 Uso prohibido de la red de comunicaciones 1. Con el fin de garantizar los distintos niveles de seguridad de la información y de los sistemas de la Universidad quedan expresamente prohibidas las siguientes acciones, salvo si disponen de privilegios según lo establecido en el artículo 4: a) Alojar o utilizar encaminadores de correo electrónico dentro de la red de comunicaciones. b) Alojar servidores en la red de comunicaciones. c) Conectar dispositivos electrónicos a la red de comunicaciones que modifiquen su tipología, los protocolos usados o inyecten nuevos protocolos que puedan generar inconsistencias o desestabilización en las comunicaciones. d) Proporcionar acceso externo a la red de comunicaciones mediante la instalación de dispositivos de acceso remoto. e) Desplegar o alojar servicios que interfieran con la asignación de direccionamiento, resolución de nombres y la autenticación de la red corporativa. 2. Con el fin de garantizar los distintos niveles de seguridad de la información y de los sistemas de la Universidad quedan expresamente prohibidas las siguientes acciones, salvo si disponen de privilegios según lo establecido en el artículo 4: a) Utilizar indebidamente el espectro radioeléctrico de la Universidad. b) Utilizar las vulnerabilidades de seguridad de la red de comunicaciones para atacar los sistemas informáticos ubicados dentro o fuera de ella. c) Alterar o manipular la integridad de los datos que circulan por la red de comunicaciones, así como la información almacenada en la red de comunicaciones o en los dispositivos electrónicos conectados a ella. d) Alterar o manipular el historial de log que registran los dispositivos electrónicos conectados a la red de comunicaciones. e) Aprovechar la capacidad de la red de comunicaciones para la descarga o el intercambio masivo de contenidos ajenos a la actividad universitaria, utilizando para ello programas Peer to Peer (P2P) o similares. f) Facilitar a personas no autorizadas el acceso a la red de comunicaciones. g) Enviar a través de la red de comunicaciones contenidos ilegales o información que contravenga los fines y principios de actuación de la Universidad recogidos en sus Estatutos. A tal efecto, tienen la consideración de contenidos ilegales o inapropiados los de carácter pornográfico, racista, xenófobo, sexista, de apología del terrorismo o que atenten contra los derechos fundamentales de las personas. También tienen la consideración de contenidos ilegales cualesquiera otros que vulneren gravemente los distintos niveles de seguridad de la información y de los sistemas de la Universidad o resulten contrarios a la legalidad vigente. Capítulo II Uso del correo electrónico Artículo 23 Correo electrónico 1. El correo electrónico es un servicio de red que la Universidad ofrece a las personas usuarias para enviar y recibir mensajes, así como para adjuntar ficheros a los mensajes que se envíen y no está concebido como medio para difundir información de forma indiscriminada. 2. Las cuentas de correo electrónico corporativo de la Universidad serán de tres tipos: a) Cuentas de correo electrónico personales: las personas físicas que sean usuarios dispondrán de una única cuenta de correo electrónico personal. b) Cuentas de correo electrónico institucionales: el rectorado, los vicerrectorados, las facultades y escuelas, los departamentos y las unidades organizativas dispondrán de cuenta de correo electrónico institucional. c) Cuentas de correo electrónico genéricas: se podrá solicitar la creación de una cuenta de correo electrónico genérica con ocasión de la constitución de grupos de trabajo, celebración de congresos, organización de eventos o actividades similares. La solicitud irá dirigida al Centro de Atención a Usuarios, especificando las razones que la justifican, su duración prevista y la persona responsable de la misma, que tendrá relación contractual con la Universidad. 3. Los órganos de representación de los trabajadores y trabajadoras y las Secciones Sindicales dispondrán de una cuenta de correo electrónico institucional que podrán utilizar para difundir avisos e información de interés para la plantilla. 4. Los órganos de representación de los estudiantes podrán disponer de una cuenta de correo electrónico institucional que utilizarán para difundir avisos e información de interés para los y las estudiantes. 5. Las personas usuarias podrán acceder a su cuenta de correo electrónico corporativo desde la red de comunicaciones de la Universidad o desde fuera de ella. Artículo 24 Finalidad del correo electrónico 1. Las personas usuarias utilizarán el correo electrónico para el desempeño de las funciones docente, investigadora, de gestión administrativa o aprendizaje que les vinculan con la Universidad. 2. Las personas usuarias no podrán utilizar cuentas de correo electrónico distintas de la corporativa para el desempeño de las funciones que les vinculan con la Universidad. Artículo 25 Uso adecuado del correo electrónico Las personas usuarias aplicarán los siguientes criterios para el uso adecuado del correo electrónico corporativo: a) Revisar la barra de direcciones antes de enviar un mensaje para comprobar que los destinatarios son correctos. b) Asegurarse de que los mensajes recibidos se reenvían únicamente a los destinatarios correctos. c) Utilizar listas de distribución para enviar mensajes a varios usuarios/as de la Universidad de forma simultánea o a grupos de trabajo cuyos miembros comparten una misma tarea. d) Cuando el mensaje se envíe a múltiples destinatarios/as, estos se incluirán en “copia de carbón oculta” (CCO), salvo que todos pertenezcan al mismo ámbito de trabajo y sus direcciones de correo electrónico sean las corporativas y se hayan dado a conocer en dicho ámbito. e) Evitar el envío a través del correo electrónico de información sensible de la Universidad y de carácter personal, tal y como está definido en el artículo 30 de la presente normativa y en caso de tener que hacerlo, será con carácter excepcional, utilizando los mecanismos indicados en el artículo 34. En todo caso se observarán las disposiciones legales sobre tratamiento de categorías especiales de datos personales. f) Asegurarse de la identidad del remitente antes de abrir un mensaje. g) Desactivar la vista previa en los mensajes recibidos. h) Atender regularmente el buzón de correo electrónico, manteniendo su nivel de ocupación por debajo de la cuota máxima de espacio asignada. i) Utilizar los formatos de saludo y despedida recogidos en el “Manual de Identidad Visual Corporativa de la Universidad Rey Juan Carlos”. j) Firmar digitalmente el correo. k) Proporcionar la dirección de correo electrónico únicamente a personas de confianza y del entorno académico que vincula al usuario con la Universidad. l) Informar de inmediato a la persona Responsable de Seguridad mediante los cauces habilitados para la notificación de incidencias sobre la existencia de virus, la detección de un uso indebido o no autorizado en la cuenta de correo electrónico o de cualquier posible incidente de seguridad relacionado con el funcionamiento del servicio. m) Cualesquiera otros criterios que puedan establecerse sobre uso adecuado del correo electrónico corporativo en el marco de la Política de Seguridad de la Información de la Universidad. Artículo 26 Uso inadecuado del correo electrónico 1. Las personas usuarias se abstendrán de realizar las siguientes acciones en el correo electrónico corporativo: a) Abrir y ejecutar ficheros de fuentes no fiables, que puedan contener virus o código malicioso. b) Abrir mensajes de spam. c) Utilizar el buzón del correo electrónico como espacio de almacenamiento. d) Responder a mensajes en los que se soliciten las claves de acceso. e) Enviar o reenviar mensajes de forma indiscriminada. f) Enviar mensajes en cadena. g) Introducir la dirección de correo electrónico en foros de noticias o listas de correo a través de Internet, salvo que resulte necesario y se trate de un proveedor de confianza. 2. La realización de las acciones recogidas en el apartado anterior podrá dar lugar a la desactivación temporal de la cuenta de correo electrónico, así como a la aplicación de las restricciones técnicas que se estimen oportunas, sólo durante el tiempo estrictamente necesario para solventar los problemas causados, con el objeto de garantizar la protección de los usuarios/as y de los distintos niveles de seguridad de la información y de los sistemas de la Universidad. Artículo 27 Uso prohibido del correo electrónico Con el fin de garantizar los distintos niveles de seguridad de la información y de los sistemas de la Universidad quedan expresamente prohibidas las siguientes acciones: a) Difundir contenidos que contravengan los fines y principios de actuación de la Universidad recogidos en sus Estatutos. b) Difundir contenidos ilegales o inapropiados, tales como los de carácter pornográfico, racista, xenófobo, sexista, de apología del terrorismo o que atenten contra los derechos fundamentales de las personas. También tienen la consideración de contenidos ilegales los programas informáticos sin licencia, salvo que se trate de un software libre, y cualesquiera otros contenidos que vulneren gravemente los distintos niveles de seguridad de la información y de los sistemas de la Universidad o resulten contrarios a la legalidad vigente. c) Utilizar el correo electrónico corporativo para enviar mensajes a través de un servidor de correo ajeno a la Universidad sin contar con la autorización previa y expresa del Área de Tecnologías de la Información. d) Participar en estafas piramidales o actividades similares. e) Suscribirse de forma indiscriminada a listas de distribución. f) Manipular la cabecera del correo electrónico para intentar ocultar o falsear las identidades del remitente o del destinatario, la fecha, la línea de asunto o la línea received. g) Enviar mensajes a través de la estafeta de la Universidad con direcciones de correo electrónico que no sean corporativas. h) Enviar mensajes como perteneciente a la Universidad Rey Juan Carlos sin tener vinculación con la institución. i) Cualquier uso del correo electrónico corporativo que pueda ser catalogado como Abuso de Correo Electrónico (ACE) por la Red Académica y de Investigación Española (RedIRIS). Un correo electrónico será catalogado como ACE cuando trascienda los objetivos habituales del servicio de correo y perjudique directa o indirectamente a la Universidad, a sus usuarios o a terceros. Capítulo III Uso de los espacios web Artículo 28 Dominios específicos 1. La Universidad Rey Juan Carlos tiene asociado el dominio urjc.es como dominio corporativo. 2. La creación de dominios alternativos, subdominios bajo urjc.es o asignación de nombres a servicios requerirá autorización previa del Área de Tecnologías de la Información a través del procedimiento habilitado al efecto. TÍTULO V Uso de la información Artículo 29 Uso adecuado de la información 1. Las personas usuarias utilizarán la información a la que accedan a través de los recursos TIC de la Universidad para el desarrollo de las funciones docente, investigadora, de gestión administrativa o aprendizaje que les son propias. Harán un uso responsable de la información, garantizando en todo momento un nivel adecuado de seguridad de acuerdo con lo dispuesto en la presente normativa y en las instrucciones específicas de desarrollo que resulten de aplicación. 2. El Área de Tecnologías de la Información será la encargada de realizar las copias de seguridad y recuperación de los datos contenidos en los servidores de almacenamiento en red y en las herramientas colaborativas de la Universidad. La información almacenada de forma local no será objeto de ningún procedimiento corporativo de copia de seguridad. 3. Se fomentará el uso y almacenamiento de la información en formato electrónico y que permita su posterior tratamiento. El usuario/a utilizará los siguientes sistemas de almacenamiento proporcionados por la Universidad: a) Sistema de almacenamiento en servidores de la red corporativa, mediante las carpetas compartidas habilitadas en los sistemas informáticos. b) Sistema de almacenamiento en las herramientas colaborativas de la Universidad. c) Sistema de almacenamiento local en el disco duro de los equipos informáticos, para aquella información no sensible. Artículo 30 Información sensible 1. A efectos de lo dispuesto en la presente normativa, tiene la consideración de información sensible de la Universidad cualquier información no conocida ni accesible por la generalidad de usuarios, que ha sido objeto de medidas especiales de protección, y cuya divulgación pública puede perjudicar a la finalidad misma de la institución. Dicha información puede incluir información contenida en proyectos de investigación desarrollados dentro del ámbito de la Universidad, invenciones que puedan estar sujetas a patente, datos financieros, organizativos y tecnológicos, así como cualquier otra que esté especialmente restringida o regulada por leyes propias y que no alcancen las exigencias de publicidad e información pública previstas en la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Información Pública y Buen Gobierno, y en la Ley 10/2019, de 19 de abril, de Transparencia y Participación de la Comunidad de Madrid. 2. A efectos de lo dispuesto en la presente normativa, tiene la consideración de información sensible de carácter personal la que pertenece a una categoría especial de datos, que debido a su influencia en la intimidad requieran de una mayor protección que el resto de datos de carácter personal. Esta mayor protección se justifica en el hecho de que, debido a la información a la que se refiere este tipo de datos, el tratamiento indebido de los mismos, además de lesionar el derecho fundamental a la protección de datos, podría dañar otros derechos fundamentales. En concreto, tienen la consideración de información sensible de carácter personal las siguientes categorías especiales de datos personales: a) Ideología u opiniones políticas. b) Afiliación sindical. c) Religión o convicciones religiosas. d) Creencias o convicciones filosóficas. e) Origen racial o étnico. f) Orientación sexual. g) Datos relativos a la vida sexual. h) Datos relativos a la salud. i) Datos genéticos. j) Datos biométricos. k) Cualesquiera otros datos que reciban la consideración de categorías especiales de datos personales conforme a lo dispuesto en la legislación vigente. 3. La información sensible gestionada y tratada en la Universidad tendrá asignado un responsable encargado de conceder, modificar o retirar los permisos de acceso a los usuarios. 4. Las personas usuarias que tengan acceso a información sensible aplicarán los criterios específicos de tratamiento, almacenamiento, comunicación y transmisión recogidos en la presente normativa, en las instrucciones específicas que puedan adoptarse para su desarrollo y en la legislación vigente que resulte de aplicación. Artículo 31 Tratamiento de la información sensible de carácter personal 1. Los datos personales relativos a la ideología u opiniones políticas, afiliación sindical, religión o convicciones religiosas, creencias o convicciones filosóficas, origen racial o étnico y orientación sexual no podrán ser objeto de tratamiento salvo que la persona interesada preste su consentimiento claro y expreso y concurra alguno de los supuestos recogidos en las letras b) a j) del artículo 9.2 del Reglamento General de Protección de Datos. 2. Los datos personales relativos a la vida sexual y la salud así como los datos genéticos y biométricos podrán ser objeto de tratamiento cuando la persona interesada preste su consentimiento claro y expreso o cuando concurra alguno de los supuestos recogidos en las letras b) a j) del artículo 9.2 del Reglamento General de Protección de Datos teniendo en cuenta, en su caso, lo dispuesto en el artículo 9.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. 3. Antes del tratamiento de categorías especiales de datos personales se realizará una Evaluación de Impacto en la Protección de Datos, que determine los riesgos derivados del tratamiento. 4. En el tratamiento de categorías especiales de datos personales se aplicarán, al menos, las siguientes medidas de seguridad: a) Cifrar los datos en su almacenamiento, comunicación y transmisión. b) Llevar un registro de acceso a los datos, con indicación de la fecha de acceso y del usuario que accedió. c) Elaborar una lista de personas autorizadas para el tratamiento. d) Habilitar un procedimiento seguro para el tratamiento. Artículo 32 Almacenamiento de información sensible 1. Las personas usuarias que tengan acceso a información sensible podrán almacenarla en soporte informático cuando resulte estrictamente necesario y por el tiempo imprescindible para el desarrollo de sus funciones, utilizando para ello mecanismos de cifrado y los sistemas de almacenamiento siguientes: a) Sistema de almacenamiento en servidores de la red corporativa, mediante las carpetas compartidas habilitadas en los sistemas informáticos: el usuario utilizará prioritariamente este sistema de almacenamiento. b) Sistema de almacenamiento en las herramientas colaborativas de la Universidad: el usuario/a podrá utilizar este sistema siempre que se garantice su seguridad adecuada mediante el establecimiento de permisos de acceso, segundos factores de autenticación y cifrado cuando sean de aplicación. c) Sistema de almacenamiento local en equipos de trabajo: el usuario/a podrá almacenar la información sensible en el equipo de trabajo puesto a su disposición por la Universidad cuando resulte imprescindible para el desarrollo de las funciones, cuente con autorización expresa para ello y siga el procedimiento habilitado al efecto. 2. Una vez finalice la vida útil de la información sensible almacenada en soporte informático, y de acuerdo con la Política de Gestión Documental y los requisitos legales en materia de preservación de la misma, los usuarios se asegurarán de borrar de forma segura la misma, comunicando tal hecho por los cauces habilitados para la notificación de incidentes. Artículo 33 Información sensible documentada en papel u otro soporte físico 1. Con el objeto de garantizar la seguridad de los distintos niveles de la información y de los sistemas de la Universidad, los documentos en papel que contengan información sensible se ajustarán a los siguientes criterios. a) Los documentos estarán custodiados bajo llave fuera de la jornada de trabajo. Las llaves que den acceso a los lugares donde se guardan los documentos estarán igualmente custodiadas. Los lugares donde se utilicen o almacenen los documentos se cerrarán con llave cuando el usuario/a se ausente, con independencia de la duración de la ausencia. b) Los documentos, cuando no sean utilizados, estarán almacenados en lugares seguros que permitan su correcta conservación, localización y custodia. c) Los documentos, cuando estén siendo utilizados, no se dejarán en mesas, mostradores u otro tipo de mobiliario donde queden a la vista de personas que no deban tener acceso a su contenido. d) Los documentos serán trasladados de un lugar de almacenamiento a otro garantizando en todo momento su debida custodia durante el traslado, evitando que terceros no autorizados accedan a su contenido o lo modifiquen. e) Los documentos recibidos a través de un fax colectivo, o enviados a impresoras colectivas para su impresión, se retirarán de inmediato, y el usuario se asegurará de haber recogido íntegramente el documento recibido en la bandeja de salida. f) Los documentos serán fotocopiados o impresos solo cuando resulte imprescindible para el correcto desempeño de las funciones que el usuario o usuaria tiene encomendadas. g) Los documentos que tengan que enviarse a terceros ajenos a la Universidad irán en sobre cerrado y por correo certificado con acuse de recibo. h) Los documentos serán utilizados por el usuario autorizado en los lugares de la Universidad habilitados al efecto, y solo podrán extraerse fuera de la Universidad previa autorización. i) Los documentos serán desechados de forma segura una vez finalice su vida útil para evitar que terceros recuperen o accedan a su contenido. A tal efecto, los documentos no podrán depositarse en papeleras o contenedores, debiendo desecharse mediante máquinas trituradoras de papel que la Universidad ponga a disposición de los usuarios. 2. La pizarra o el flipchart donde se haya plasmado información sensible durante el transcurso de una reunión serán limpiados adecuadamente antes de abandonar la sala o de permitir que entre en ella alguien sin autorización de acceso a dicha información. Artículo 34 Transmisión de información sensible En caso de necesidad de transmisión por vía telemática de información sensible a terceros que tengan autorización de acceso, se utilizarán mecanismos que asegure que sólo la persona destinataria autorizada dispone de la información (utilizando, por ejemplo, para ello un sistema de cifrado para garantizar que la información no sea legible y/o preferentemente cuando sea posible enlaces a la información cifrada que se encuentre almacenada en los servicios de almacenamiento en nube de la Universidad con permisos específicos para el destinatario/a) y observando en todo momento el cumplimiento de las exigencias legales en materia de protección de datos de carácter personal. Artículo 35 Uso prohibido de la información sensible 1. Con el fin de garantizar los distintos niveles de seguridad de la información y de los sistemas de la Universidad quedan expresamente prohibidas las siguientes acciones: a) Acceder a información sensible sin contar con autorización previa. b) Almacenar información sensible en dispositivos USB, discos duros externos y en servicios de almacenamiento en nube ajenos a la Universidad que no aseguran la privacidad de la información y el cumplimiento legal, tales como Dropbox, Google Drive u otros similares. c) Compartir archivos que contengan información sensible, salvo que todas las personas usuarias tengan autorización de acceso a ella y esté debidamente cifrada. d) Comunicar información sensible a terceros no autorizados. e) Difundir o publicar información sensible sin autorización previa o incumpliendo lo dispuesto en la legislación vigente. f) Extraer fuera de la Universidad información sensible, salvo que resulte necesario para el desarrollo de las funciones y el usuario cuente con autorización previa. 2. Las prohibiciones recogidas en el apartado anterior se harán extensibles a toda información que contenga datos de carácter personal, aun cuando no se trate de categorías especiales de datos personales. Artículo 36 Datos de carácter personal 1. Las personas usuarias que en el desempeño de sus funciones tengan acceso a datos de carácter personal, incluidas las categorías especiales de datos personales, observarán los siguientes criterios: a) Estar debidamente formadas para garantizar que su intervención en alguna de las fases del tratamiento se ajuste a lo dispuesto en la presente normativa, en las instrucciones específicas que puedan adoptarse para su desarrollo y en la legislación vigente en materia de protección de datos de carácter personal. b) Cumplir con los deberes de confidencialidad, sigilo y secreto respecto a los datos de carácter personal de los que se tenga conocimiento. Los deberes de confidencialidad, sigilo y secreto subsistirán aun cuando finalice la vinculación del usuario o usuaria con la Universidad. c) Notificar inmediatamente cualquier posible incidente de seguridad del que tenga conocimiento y que pueda comportar violación de la seguridad de datos personales. 2. El/La Delegado/a de Protección de Datos, designada por la Universidad como interlocutor/a ante la Agencia Española de Protección de Datos y la autoridad autonómica de protección de datos, supervisará el correcto cumplimiento de la legislación vigente en materia de protección de datos cuando los usuarios utilicen los recursos TIC que la Universidad ponga a su disposición, pudiendo emprender las acciones que correspondan en el ámbito de sus competencias, incluida la emisión de recomendaciones y propuestas de mejora continua. TÍTULO VI Incidentes de seguridad Artículo 37 Identificación del incidente 1. Los recursos TIC que la Universidad pone a disposición de las personas usuarias y la seguridad del sistema de información pueden sufrir un detrimento a causa de un suceso inesperado o no deseado que será registrado como incidente de seguridad. 2. Tienen la consideración de incidentes de seguridad, entre otros, los siguientes: a) Acceso físico o remoto no autorizado a un recurso TIC o al sistema. b) Pérdida o robo de equipamiento TIC. c) Distribución no autorizada, pérdida o robo de información. d) Infección única o extendida por ejecución de código malicioso. A tal efecto tienen la consideración de código malicioso, entre otros, los virus, los gusanos, los troyanos, las bombas lógicas, los programas espía o los rootkits. e) Daños o cambios físicos no autorizados en los recursos TIC y en el sistema. f) Abuso de permisos, de privilegios o de política de seguridad de la información. g) Uso no autorizado de la marca “Universidad Rey Juan Carlos” para realizar ataques de phishing. h) Cualesquiera otros sucesos inesperados o no deseados que puedan ser considerados como incidentes de seguridad en el marco del Esquema Nacional de Seguridad. Artículo 38 Detección y reparación 1. Identificado un incidente de seguridad, se adoptarán las medidas necesarias para tratar de contenerlo y mitigar sus efectos dañinos. 2. Se habilitarán los procedimientos para reparar cada tipo de incidente, incluyendo, al menos, las siguientes acciones: a) Identificar el vector de fuga de la información. b) Recoger las evidencias, manteniendo la cadena de custodia para garantizar su integridad. c) Realizar un análisis forense cuando resulte necesario. d) Estimar el tiempo de resolución del incidente. e) Ejecutar las acciones concretas para tratar de reparar el incidente. Artículo 39 Notificación 1. Sin perjuicio de la existencia de mecanismos para la detección automática de incidentes de seguridad y de los sistemas de alertas que informen en tiempo real sobre ello, las personas usuarias que detecten un posible incidente de seguridad lo pondrán inmediatamente en conocimiento del Responsable de Seguridad mediante los cauces establecidos para la notificación de incidencias, con el fin de identificarlo, detenerlo y mitigar sus efectos, y recuperar el sistema de la forma más rápida y eficiente posible. 2. La Universidad notificará al Centro Criptológico Nacional aquellos incidentes que tengan un impacto significativo en la seguridad de la información manejada y de los servicios prestados en relación con la categorización de sistemas recogida en el Anexo I del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. 3. Los incidentes de seguridad que comporten violación de la seguridad de datos personales serán notificados, en todo caso, al Responsable de Seguridad y al Delegado/a de Protección de Datos. 4. La Universidad notificará a la Agencia Española de Protección de Datos aquellos incidentes de seguridad que comporten violación de la seguridad de datos personales con riesgo para los derechos y libertades de las personas físicas, siguiendo la normativa de aplicación existente. La notificación se articulará en los términos establecidos en el artículo 33 del Reglamento General del Protección de Datos. 5. Cuando un incidente de seguridad comporte violación de la seguridad de datos personales con alto riesgo para los derechos y libertades de las personas físicas, la Universidad lo notificará, además de a la Agencia Española de Protección de Datos, al interesado. La notificación se articulará en los términos establecidos en el artículo 34 del Reglamento General del Protección de Datos. Artículo 40 Registro y mejora continua 1. El/la Responsable de Seguridad se encargará de gestionar el registro de incidentes de seguridad. 2. Cada incidente de seguridad será registrado conforme al procedimiento habilitado al efecto, incluyendo, al menos, la siguiente información: a) Fecha y hora de detección del incidente. b) Categorización del incidente según su gravedad y prioridad de tratamiento. c) Recursos TIC afectados por el incidente. d) Posible causa del incidente. e) Estado actual del incidente. f) Acciones realizadas para resolver el incidente e identificación del personal técnico que las ejecutó. g) Fecha y hora de resolución y cierre del incidente. 3. El registro de incidentes de seguridad se empleará para la mejora continua de la Política de Seguridad de la Información de la Universidad. 4. Se adoptarán las medidas necesarias para incorporar formación y concienciación en materia de seguridad de la información, y especialmente en la línea de los incidentes encontrados. DISPOSICIONES ADICIONALES Primera Denominación 1. Las referencias a “la Universidad” se entienden hechas a la Universidad Rey Juan Carlos. 2. Las referencias a la “red de comunicaciones” se entienden hechas a la red de comunicaciones de la Universidad Rey Juan Carlos. 3. Las referencias al “Reglamento General del Protección de Datos” se entienden hechas al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Segunda Modificación y desarrollo 1. El contenido de la presente normativa podrá modificarse y actualizarse a la vista de la evolución de la tecnología y de los cambios normativos que acontezcan con posterioridad a su publicación y entrada en vigor. Para realizar dicha modificación y actualización se contará con los representantes de los trabajadores en los mismos términos que los referidos a su elaboración primera, y contenidos en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales. 2. Los procedimientos, instrucciones y directrices para el correcto desarrollo y aplicación de la presente normativa serán adoptados en los términos establecidos por la Política de Seguridad de la Información de la Universidad. Tercera Entrada en vigor La presente normativa entrará en vigor al día siguiente de su publicación en el “Boletín Oficial de la Universidad de Rey Juan Carlos” quedando derogadas cuantas normas de igual o inferior rango se opongan a la presente normativa. Móstoles, a 23 de septiembre de 2021..El Rector, Javier Ramos López. (03/27.952/21)
Boletín Oficial de la Comunidad de Madrid