Skip to main content
QMSQMS
QMS
  • Welcome to your QMS
  • Quality Manual
  • Procedures
    • GP-001 Control of documents
    • GP-002 Quality planning
    • GP-003 Audits
    • GP-004 Vigilance system
    • GP-005 Human Resources and Training
    • GP-006 Non-conformity, Corrective and Preventive actions
    • GP-007 Post-market surveillance
    • GP-009 Sales
    • GP-010 Purchases and suppliers evaluation
    • GP-011 Provision of service
    • GP-012 Design, redesign and development
    • GP-013 Risk management
    • GP-014 Feedback and complaints
    • GP-015 Clinical evaluation
    • GP-016 Traceability and identification
    • GP-017 Technical assistance service
    • GP-018 Infrastructure and facilities
    • GP-019 Non-product software validation
    • GP-020 QMS Data analysis
    • GP-021 Communications
    • GP-022 Document translation
    • GP-023 Change control management
    • GP-024 Predetermined Change Control Plan
    • GP-025 Usability and Human Factors Engineering
    • GP-027 Corporate Governance
    • GP-028 AI Development
    • GP-029 Software Delivery and Commissioning
    • GP-030 Cyber Security Management
    • GP-050 Data Protection
    • GP-051 Security violations
    • GP-052 Data Privacy Impact Assessment (DPIA)
    • GP-100 Business Continuity (BCP) and Disaster Recovery plans (DRP)
    • GP-101 Information security
    • GP-200 Remote Data Acquisition in Clinical Investigations
    • GP-026 Market-specific product requirements
    • GP-110 Esquema Nacional de Seguridad
      • General
      • ORG Marco organizativo
      • OP Marco operacional
        • OP.PL Planificación
        • OP.ACC Control de acceso
          • OP.ACC.1 Identificación
          • OP.ACC.2 Requisitos de acceso
          • OP.ACC.3 Segregación de funciones y tareas
          • OP.ACC.4 Proceso de gestión de derechos de acceso
          • OP.ACC.5 Mecanismo de autenticación
          • OP.ACC.6 Acceso local
          • OP.ACC.7 Acceso remoto
        • OP.EXP Explotación
        • OP.EXT Servicios externos
        • OP.NUB Servicios en la nube
        • OP.CONT Continuidad del servicio
        • OP.MON Monitorización del sistema
      • MP Medidas de protección
      • Sin asignar
      • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Records
  • Legit.Health Plus Version 1.1.0.0
  • Legit.Health Plus Version 1.1.0.1
  • Legit.Health Utilities
  • Licenses and accreditations
  • Applicable Standards and Regulations
  • BSI Non-Conformities
  • Pricing
  • Public tenders
  • Procedures
  • GP-110 Esquema Nacional de Seguridad
  • OP Marco operacional
  • OP.ACC Control de acceso
  • OP.ACC.5 Mecanismo de autenticación

OP.ACC.5 Mecanismo de autenticación

Finalidad​

Este documento define los mecanismos de autenticación conforme al control OP.ACC.5 del Anexo II del Real Decreto 311/2022, aplicable a un sistema de categoría ALTO. El mecanismo de autenticación permite validar la identidad de un usuario, lo cual es crítico porque la identificación del usuario es, en general, fácilmente accesible.

Factores de autenticación​

Los mecanismos de autenticación recurren a uno o varios de los siguientes factores:

  • Algo que se conoce: un secreto (contraseña, PIN).
  • Algo que se tiene: un objeto (tarjeta, token, dispositivo).
  • Algo que es propio del usuario: características biométricas.

Para categoría ALTO, el ENS establece los siguientes requisitos por factor:

Factor de autenticaciónEjemplosRequisito para categoría ALTO
Algo que se sabeContraseñas, PINUso con cautela; debe combinarse con otro factor
Algo que se tieneTokens, tarjetasElementos criptográficos acreditados por el CCN
Algo que se esBiometríaAceptable como factor complementario

En categoría ALTO se requiere autenticación de doble factor para todos los accesos.

Política de contrasenas​

La organización aplica la siguiente política de contrasenas, diferenciando entre usuarios estándar y usuarios con privilegios de administración:

ParámetroUsuario estándarUsuario con privilegios
Longitud mínima12 caracteres16 caracteres
ComplejidadMayúsculas, minúsculas, números y caracteres especialesMayúsculas, minúsculas, números y caracteres especiales
HistorialNo repetir las últimas 12No repetir las últimas 24
Caducidad90 días60 días
Intentos fallidos antes de bloqueo33
Duración del bloqueo30 minutosDesbloqueo manual por el Responsable del Sistema

Las contrasenas se verifican contra diccionarios de contrasenas comprometidas y se rechazan si contienen patrones predecibles o información personal obvia.

Gestión de credenciales​

  • Las credenciales se activan una vez estén bajo control efectivo del usuario (por ejemplo, contrasena temporal de un solo uso).
  • Las credenciales son únicas y exclusivas para cada usuario; queda prohibida su divulgación o uso compartido.
  • El usuario reconoce la recepción de sus credenciales y acepta el deber de custodia diligente, protección de su confidencialidad e información inmediata en caso de pérdida.
  • Las credenciales caducan con la periodicidad marcada por la política, aunque la entidad haga uso habitual de ellas.
  • Las credenciales se retiran cuando la entidad termina su relación con el sistema o tras un período definido de no utilización.

Suspensión por inactividad​

Para categoría ALTO, las credenciales de cualquier usuario que no acceda al sistema durante un período continuado de 6 meses se suspenden automáticamente. Este control se aplica a todos los servicios del alcance (AWS IAM, Google Workspace, GitHub, etc.).

Proceso de verificación:

  1. El Responsable del Sistema revisa trimestralmente los registros de último acceso de todas las cuentas.
  2. Las cuentas con más de 5 meses de inactividad reciben un aviso preventivo al usuario y a su responsable directo.
  3. Cumplidos los 6 meses sin acceso, la cuenta se suspende (no se elimina) y se notifica al Responsable de Seguridad.

Proceso de reactivación:

  1. El usuario o su responsable solicita la reactivación justificando la necesidad.
  2. El Responsable de la Información o del Servicio autoriza la reactivación.
  3. El Responsable de Seguridad valida que la solicitud es coherente con la política vigente.
  4. El Responsable del Sistema reactiva la cuenta y fuerza un cambio de contraseña en el primer acceso.
  5. Se registra la reactivación en el log de auditoría.
Distinción con el bloqueo por intentos fallidos

La suspensión por inactividad es independiente del bloqueo por intentos fallidos de autenticación. El bloqueo por intentos fallidos protege contra ataques de fuerza bruta y se desbloquea tras el período definido o por intervención del administrador. La suspensión por inactividad protege contra cuentas huérfanas y requiere un proceso formal de reactivación.

Gestión de sesiones​

ParámetroUsuario estándarUsuario con privilegios
Timeout por inactividad30 minutos15 minutos
Duración máxima de sesión8 horas4 horas
Sesiones concurrentesMáximo 3Máximo 1

El sistema informa al usuario del último acceso exitoso (fecha y hora) tras la autenticación, permitiendo detectar posibles suplantaciones.

Responsabilidades​

Rol ENSResponsabilidad
Responsable de SeguridadDefinir la política de autenticación, aprobar métodos y tecnologías
Responsable del SistemaImplementar y mantener los mecanismos de autenticación
Responsable del ServicioGarantizar que los usuarios del servicio cumplen la política
Responsable de la InformaciónGarantizar que los usuarios de la información cumplen la política

Documentos de referencia​

  • Real Decreto 311/2022, Anexo II, OP.ACC.5
  • Guía CCN-STIC-807 - Criptología de empleo en el ENS
  • Guía CCN-STIC-436 - Herramientas de análisis de contrasenas
  • ISO/IEC 27002:2013: 9.2.4, 9.3.1, 9.4.3
  • NIST SP 800-53 rev. 4: IA-2, IA-5, IA-7
  • NIST SP 800-63B - Digital Identity Guidelines

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

  • Author: Team members involved
  • Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
  • Approver: JD-001 General Manager
ㅤ

Previous
OP.ACC.4 Proceso de gestión de derechos de acceso
Next
OP.ACC.6 Acceso local
  • Finalidad
  • Factores de autenticación
  • Política de contrasenas
  • Gestión de credenciales
    • Suspensión por inactividad
  • Gestión de sesiones
  • Responsabilidades
  • Documentos de referencia
All the information contained in this QMS is confidential. The recipient agrees not to transmit or reproduce the information, neither by himself nor by third parties, through whichever means, without obtaining the prior written permission of Legit.Health (AI Labs Group S.L.)