Skip to main content
QMSQMS
QMS
  • Welcome to your QMS
  • Quality Manual
  • Procedures
    • GP-001 Control of documents
    • GP-002 Quality planning
    • GP-003 Audits
    • GP-004 Vigilance system
    • GP-005 Human Resources and Training
    • GP-006 Non-conformity, Corrective and Preventive actions
    • GP-007 Post-market surveillance
    • GP-008 Product requirements
    • GP-009 Sales
    • GP-010 Purchases and suppliers evaluation
    • GP-011 Provision of service
    • GP-012 Design, Redesign and Development
    • GP-013 Risk management
    • GP-014 Feedback and complaints
    • GP-015 Clinical evaluation
    • GP-016 Traceability and identification
    • GP-017 Technical assistance service
    • GP-018 Infrastructure and facilities
    • GP-019 Software validation plan
    • GP-020 QMS Data analysis
    • GP-021 Communications
    • GP-022 Document translation
    • GP-023 Change control management
    • GP-024 Cybersecurity
    • GP-025 Usability and Human Factors Engineering
    • GP-027 Corporate Governance
    • GP-050 Data Protection
    • GP-051 Security violations
    • GP-052 Data Privacy Impact Assessment (DPIA)
    • GP-100 Business Continuity (BCP) and Disaster Recovery plans (DRP)
    • GP-101 Information security
    • GP-200 Remote Data Acquisition in Clinical Investigations
    • GP-026 Market-specific product requirements
    • GP-110 Esquema Nacional de Seguridad
      • ORG Marco organizativo
      • OP Marco operacional
        • OP.PL Planificación
        • OP.ACC Control de acceso
        • OP.EXP Explotación
          • OP.EXP.1 Inventario de activos
          • OP.EXP.10 Protección de los registros de actividad
          • OP.EXP.11 Protección de las claves criptográficas
          • OP.EXP.2 Configuración de seguridad
          • OP.EXP.3 Gestión de la configuración
          • OP.EXP.4 Mantenimiento
          • OP.EXP.5 Gestión de cambios
          • OP.EXP.6 Protección frente a código dañino
          • OP.EXP.7 Gestión de incidentes
          • OP.EXP.8 Registro de la actividad de los usuarios
          • OP.EXP.9 Registro de la gestión de incidentes
        • OP.EXT Servicios externos
        • OP.NUB Servicios en la nube
        • OP.CONT Continuidad del servicio
        • OP.MON Monitorización del sistema
      • MP Medidas de protección
      • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Records
  • Legit.Health Plus Version 1.1.0.0
  • Legit.Health Plus Version 1.1.0.1
  • Licenses and accreditations
  • External documentation
  • Procedures
  • GP-110 Esquema Nacional de Seguridad
  • OP Marco operacional
  • OP.EXP Explotación
  • OP.EXP.5 Gestión de cambios

OP.EXP.5 Gestión de cambios

Documentos de referencia​

  • ISO/IEC 27000
    • 27002:2013:
      • 12.1.2 - Gestión de cambios
      • 14.2.2 - Procedimientos de control de cambios en el sistema
      • 14.2.3 - Revisión técnica de las aplicaciones tras efectuar cambios en el sistema operativo
  • NIST SP 800-53 rev4:
    • [CA-5] Plan of Action and Milestones
    • [CM-4] Security Impact Analysis
    • [CM-5] Access Restrictions for Change
    • [MA-2] Controlled Maintenance
    • [SI-2] Flaw Remediation
    • [SI-7] Software, Firmware, and Information Integrity
  • Otras referencias:
    • SANS - CIS Critical Security Controls - Version 6.1
      • CSC.4 - Continuous Vulnerability Assessment and Remediation

Guía de implantación​

  1. Debe existir un procedimiento para cambiar componentes del sistema que requiere:
  • la aprobación del responsable,
  • la documentación del cambio,
  • pruebas de la seguridad del sistema tras el cambio, en un entorno equivalente que no esté en producción (o se encuentre aislado del mismo)
  • la retención de una copia del componente previo por un tiempo preestablecido
  • copias de seguridad de los componentes software, cubriendo al menos la versión actual y la inmediata anterior
  • se actualiza el inventario de activos
  • se actualizan los procedimientos operativos relacionados con el componente actualizado
  • se actualiza el plan de continuidad de negocio (si existe tal plan; ver [op.cont])
Previous
OP.EXP.4 Mantenimiento
Next
OP.EXP.6 Protección frente a código dañino
  • Documentos de referencia
  • Guía de implantación
All the information contained in this QMS is confidential. The recipient agrees not to transmit or reproduce the information, neither by himself nor by third parties, through whichever means, without obtaining the prior written permission of Legit.Health (AI LABS GROUP S.L.)