Skip to main content
QMSQMS
QMS
  • Welcome to your QMS
  • Quality Manual
  • Procedures
    • GP-001 Control of documents
    • GP-002 Quality planning
    • GP-003 Audits
    • GP-004 Vigilance system
    • GP-005 Human Resources and Training
    • GP-006 Non-conformity, Corrective and Preventive actions
    • GP-007 Post-market surveillance
    • GP-009 Sales
    • GP-010 Purchases and suppliers evaluation
    • GP-011 Provision of service
    • GP-012 Design, redesign and development
    • GP-013 Risk management
    • GP-014 Feedback and complaints
    • GP-015 Clinical evaluation
    • GP-016 Traceability and identification
    • GP-017 Technical assistance service
    • GP-018 Infrastructure and facilities
    • GP-019 Non-product software validation
    • GP-020 QMS Data analysis
    • GP-021 Communications
    • GP-022 Document translation
    • GP-023 Change control management
    • GP-024 Predetermined Change Control Plan
    • GP-025 Usability and Human Factors Engineering
    • GP-027 Corporate Governance
    • GP-028 AI Development
    • GP-029 Software Delivery and Commissioning
    • GP-030 Cyber Security Management
    • GP-050 Data Protection
    • GP-051 Security violations
    • GP-052 Data Privacy Impact Assessment (DPIA)
    • GP-100 Business Continuity (BCP) and Disaster Recovery plans (DRP)
    • GP-101 Information security
    • GP-200 Remote Data Acquisition in Clinical Investigations
    • GP-026 Market-specific product requirements
    • GP-110 Esquema Nacional de Seguridad
      • General
      • ORG Marco organizativo
      • OP Marco operacional
        • OP.PL Planificación
        • OP.ACC Control de acceso
          • OP.ACC.1 Identificación
          • OP.ACC.2 Requisitos de acceso
          • OP.ACC.3 Segregación de funciones y tareas
          • OP.ACC.4 Proceso de gestión de derechos de acceso
          • OP.ACC.5 Mecanismo de autenticación
          • OP.ACC.6 Acceso local
          • OP.ACC.7 Acceso remoto
        • OP.EXP Explotación
        • OP.EXT Servicios externos
        • OP.NUB Servicios en la nube
        • OP.CONT Continuidad del servicio
        • OP.MON Monitorización del sistema
      • MP Medidas de protección
      • Sin asignar
      • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Records
  • Legit.Health Plus Version 1.1.0.0
  • Legit.Health Plus Version 1.1.0.1
  • Legit.Health Utilities
  • Licenses and accreditations
  • Applicable Standards and Regulations
  • BSI Non-Conformities
  • Pricing
  • Public tenders
  • Procedures
  • GP-110 Esquema Nacional de Seguridad
  • OP Marco operacional
  • OP.ACC Control de acceso
  • OP.ACC.3 Segregación de funciones y tareas

OP.ACC.3 Segregación de funciones y tareas

Finalidad​

Este documento establece la segregación de funciones y tareas conforme al control OP.ACC.3 del Anexo II del Real Decreto 311/2022, aplicable a un sistema de categoría ALTO. La segregación tiene dos objetivos:

  • Prevenir errores.
  • Impedir el abuso de privilegios por parte de los usuarios autorizados.

Principios de segregación​

Se documenta un esquema de funciones y tareas en el que se contemplan las que son incompatibles en una misma persona. La incompatibilidad garantiza que para llevar a cabo un proceso o actividad crítica se requieren al menos dos personas.

Reglas generales:

  • Nadie puede autorizarse a sí mismo.
  • Los desarrolladores no pueden modificar datos de explotación, ni pasar software a explotación, ni configurar software en explotación.
  • Los operadores no desarrollan software ni pueden modificar los desarrollos.
  • Los usuarios no desarrollan ni configuran los sistemas.
  • Las personas que trabajan en auditoría o supervisión no participan en ninguna otra función.
  • El número de personas con derechos de administración es el mínimo necesario.

Funciones incompatibles​

FunciónFunciones incompatiblesJustificación
Desarrollo de softwareDespliegue a producción, administración de producciónPrevenir cambios no autorizados
Administración de sistemasAuditoría, desarrollo, aprobación de cambiosEvitar auto-aprobación
AuditoríaCualquier función operativaIndependencia del auditor
Control de calidadDesarrollo, despliegueIndependencia de la verificación

Procesos con control dual​

Los siguientes procesos críticos requieren la participación de al menos dos personas:

ProcesoRol que iniciaRol que aprueba
Despliegue a producciónDesarrolladorResponsable del Servicio
Cambios en configuración de seguridadResponsable del SistemaResponsable de Seguridad
Modificación de algoritmos clínicosEquipo de desarrolloResponsable de la Información
Eliminación de datosSolicitante autorizadoResponsable de la Información

Controles compensatorios​

Cuando la segregación completa no sea posible por el tamaño de la organización, se aplican controles compensatorios:

  • Auditoría detallada de todas las acciones realizadas por personas con funciones acumuladas.
  • Revisión periódica de los registros de actividad por parte del Responsable de Seguridad.
  • Alertas automáticas ante patrones de actividad que indiquen posible abuso de privilegios.

Toda excepción a la segregación debe estar documentada y aprobada formalmente por el Responsable de Seguridad.

Responsabilidades​

Rol ENSResponsabilidad
Responsable de SeguridadDefinir el esquema de segregación, aprobar excepciones, supervisar el cumplimiento
Responsable del SistemaImplementar los controles técnicos de segregación, generar informes
Responsable del ServicioGarantizar la segregación en los procesos de su competencia
Responsable de la InformaciónValidar la segregación en el acceso a la información

Documentos de referencia​

  • Real Decreto 311/2022, Anexo II, OP.ACC.3
  • Guía CCN-STIC-801 - ENS Responsables y funciones
  • ISO/IEC 27002:2013, 6.1.2 - Segregación de tareas
  • NIST SP 800-53 rev. 4: AC-5 (Separation of Duties)

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

  • Author: Team members involved
  • Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
  • Approver: JD-001 General Manager
ㅤ

Previous
OP.ACC.2 Requisitos de acceso
Next
OP.ACC.4 Proceso de gestión de derechos de acceso
  • Finalidad
  • Principios de segregación
  • Funciones incompatibles
  • Procesos con control dual
  • Controles compensatorios
  • Responsabilidades
  • Documentos de referencia
All the information contained in this QMS is confidential. The recipient agrees not to transmit or reproduce the information, neither by himself nor by third parties, through whichever means, without obtaining the prior written permission of Legit.Health (AI Labs Group S.L.)