Skip to main content
QMSQMS
QMS
  • Welcome to your QMS
  • Quality Manual
  • Procedures
  • Records
    • GP-001 Documents and records control
    • GP-002 Quality planning
    • GP-003 Audits
    • GP-004 Vigilance system
    • GP-005 HR and training
    • GP-007 Post-market surveillance
    • GP-009 Sales
    • GP-010 Suppliers
    • GP-011 Provision of service
    • GP-012 Design, Redesign and Development
    • GP-018 Infrastructure and facilities
    • GP-019 Non-product software validation
    • GP-023 Change control management
    • GP-031 Training Data Governance
    • GP-050 Data Protection
    • GP-051 Security violations
    • GP-052 Data Privacy Impact Assessment (DPIA)
    • GP-110 Esquema Nacional de Seguridad
      • General
      • ORG Marco Organizativo
      • OP Marco Operacional
      • MP Medidas de Protección
        • Registro de borrado seguro
        • Píldoras de concienciación ENS
        • R-110-016 Evidencias de Entornos Separados (MP.SW.2)
        • R-110-017 Formación ENS: Configuración Segura de Sistemas AWS y Google Workspace
        • R-110-018 Formación ENS: Detección y Reacción ante Incidentes de Seguridad
        • R-110-019 Formación ENS: Gestión Segura de Información
    • GP-200 Remote Data Acquisition in Clinical Investigations
  • Legit.Health Plus Version 1.1.0.0
  • Legit.Health Plus Version 1.1.0.1
  • Legit.Health Utilities
  • Licenses and accreditations
  • Applicable Standards and Regulations
  • BSI Non-Conformities
  • Pricing
  • Public tenders
  • Records
  • GP-110 Esquema Nacional de Seguridad
  • MP Medidas de Protección
  • R-110-017 Formación ENS: Configuración Segura de Sistemas AWS y Google Workspace

R-110-017 Formación ENS: Configuración Segura de Sistemas AWS y Google Workspace

Material formativo para la primera de las 3 formaciones obligatorias ENS (MP.PER.4), destinada a todo el personal dentro del alcance del ENS.

Datos de la formación​

CampoValor
CódigoENS-FORM-001
Duración2 horas
ModalidadOnline (videoconferencia)
Fecha planificadaJunio 2026
Público objetivoTodo el personal en alcance ENS (7 personas)
ResponsableRSEG / RSIS
Referencia ENSMP.PER.4, OP.EXP.2, OP.EXP.3

Contenido​

Módulo 1: Configuración segura de AWS (45 min)​

1.1 IAM — Gestión de identidades​

  • Principio de mínimo privilegio: asignar solo los permisos estrictamente necesarios
  • Estructura de políticas IAM: Users, Groups, Roles, Policies
  • Nunca usar la cuenta root para operaciones diarias
  • Rotación de access keys: cada 90 días como máximo
  • Revisión de permisos: proceso semestral documentado en OP.ACC.4

1.2 MFA obligatorio​

  • MFA activado para todos los usuarios IAM sin excepción
  • Tipos aceptados: dispositivo virtual (Google Authenticator, Authy), clave hardware (YubiKey)
  • Procedimiento de recuperación si se pierde el segundo factor

1.3 Configuración de red​

  • Security Groups: reglas de entrada restrictivas (solo puertos necesarios)
  • NACLs: defensa en profundidad a nivel de subnet
  • VPC Flow Logs: activados para auditoría de tráfico

1.4 Cifrado​

  • AWS KMS: gestión centralizada de claves (FIPS 140-2 Level 3)
  • S3: cifrado en reposo con SSE-KMS activado por defecto
  • RDS: cifrado de bases de datos en reposo y en tránsito
  • Secrets Manager: rotación automática de credenciales

1.5 Guías CCN-STIC de referencia​

  • CCN-STIC-887: Guía de configuración segura de AWS
  • CCN-STIC-823: Uso de servicios en la nube

Módulo 2: Configuración segura de Google Workspace (45 min)​

2.1 Administración de cuentas​

  • Contraseñas: mínimo 12 caracteres conforme a la Normativa de Seguridad
  • MFA obligatorio para todos los usuarios
  • Bloqueo tras 3 intentos fallidos
  • Suspensión de cuentas inactivas a los 6 meses

2.2 Google Drive​

  • Clasificación de documentos según niveles (ALTO, MEDIO, BAJO) del procedimiento MP.INFO.2
  • Compartición externa: desactivada por defecto, requiere autorización explícita
  • Limpieza de metadatos antes de compartir documentos externamente

2.3 Gmail​

  • SPF, DKIM, DMARC configurados para prevenir suplantación
  • Protección avanzada contra phishing activada
  • Reglas de DLP para detectar envío de datos sensibles

2.4 Guías CCN-STIC de referencia​

  • CCN-STIC-885: Guía de configuración segura de Google Workspace

Módulo 3: Buenas prácticas comunes (30 min)​

3.1 Gestión de contraseñas​

  • Usar contraseñas únicas para cada servicio
  • No reutilizar contraseñas entre servicios personales y profesionales
  • Cambio inmediato ante sospecha de compromiso

3.2 Actualizaciones​

  • Mantener macOS actualizado a la última versión estable
  • No posponer actualizaciones de seguridad más de 7 días
  • WatchGuard EPDR: verificar que está activo y actualizado

3.3 Escritorio despejado​

  • Bloqueo automático de pantalla a los 5 minutos
  • No dejar información sensible visible en pantalla durante reuniones
  • FileVault activado en todos los equipos

Evaluación​

Al finalizar la formación, los asistentes completarán un breve cuestionario de 10 preguntas para verificar la comprensión de los conceptos clave. Puntuación mínima para aprobar: 70%.

Preguntas de ejemplo​

  1. ¿Cuál es la longitud mínima de contraseña según la Normativa de Seguridad ENS?
  2. ¿Con qué frecuencia se revisan los permisos de acceso en la organización?
  3. ¿Qué hacer si sospechas que tu cuenta ha sido comprometida?
  4. ¿Cuántos intentos fallidos de contraseña se permiten antes del bloqueo?
  5. ¿Qué guía CCN-STIC cubre la configuración segura de AWS?

Recursos adicionales​

  • CCN-STIC-887 AWS
  • CCN-STIC-885 Google Workspace
  • AWS Security Best Practices
  • Google Workspace Security Checklist

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

  • Author: Team members involved
  • Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
  • Approver: JD-001 General Manager
ㅤ

Previous
R-110-016 Evidencias de Entornos Separados (MP.SW.2)
Next
R-110-018 Formación ENS: Detección y Reacción ante Incidentes de Seguridad
All the information contained in this QMS is confidential. The recipient agrees not to transmit or reproduce the information, neither by himself nor by third parties, through whichever means, without obtaining the prior written permission of Legit.Health (AI Labs Group S.L.)