R-110-019 Formación ENS: Gestión Segura de Información
Material formativo para la tercera de las 3 formaciones obligatorias ENS (MP.PER.4), destinada a todo el personal dentro del alcance del ENS.
Datos de la formación
| Campo | Valor |
|---|---|
| Código | ENS-FORM-003 |
| Duración | 2 horas |
| Modalidad | Online (videoconferencia) |
| Fecha planificada | Noviembre 2026 |
| Público objetivo | Todo el personal en alcance ENS (7 personas) |
| Responsable | RSEG |
| Referencia ENS | MP.PER.4, MP.INFO, MP.SI |
Contenido
Módulo 1: Clasificación de la información (30 min)
1.1 Niveles de clasificación
Conforme al procedimiento MP.INFO.2 Calificación de la información:
| Nivel | Descripción | Ejemplos | Marcado |
|---|---|---|---|
| ALTO | Información cuya divulgación causaría daño grave | Datos clínicos de pacientes, claves criptográficas, credenciales de producción | Etiqueta "CONFIDENCIAL — ALTO" |
| MEDIO | Información cuya divulgación causaría daño moderado | Código fuente, documentación técnica interna, datos financieros | Etiqueta "USO INTERNO — MEDIO" |
| BAJO | Información pública o de impacto mínimo | Documentación de producto publicada, información comercial general | Sin marcado especial |
1.2 Clasificación por defecto
- Toda información sin clasificar explícita se trata como MEDIO hasta que se clasifique formalmente
- El Responsable de la Información (RINFO) es quien autoriza la clasificación
Módulo 2: Almacenamiento seguro (25 min)
2.1 Dónde almacenar cada tipo de información
| Nivel | Almacenamiento permitido | Almacenamiento prohibido |
|---|---|---|
| ALTO | AWS S3 (cifrado KMS), Google Drive (carpeta restringida) | USB, email, dispositivos personales, servicios no autorizados |
| MEDIO | AWS S3, Google Drive, repositorios GitHub privados | USB, servicios cloud no autorizados, dispositivos personales |
| BAJO | Cualquier medio corporativo autorizado | Servicios cloud no autorizados |
2.2 Cifrado
- En reposo: Todo dato ALTO y MEDIO debe estar cifrado (FileVault en Mac, AWS KMS en cloud)
- En tránsito: Siempre TLS 1.2 o superior
- Procedimiento completo: OP.EXP.11 Protección de claves criptográficas
Módulo 3: Transferencia de información (25 min)
3.1 Canales autorizados
| Canal | Nivel ALTO | Nivel MEDIO | Nivel BAJO |
|---|---|---|---|
| Email corporativo (Google) | Solo con cifrado adicional | Sí | Sí |
| Google Drive compartido | Carpeta restringida + permisos explícitos | Sí | Sí |
| GitHub (repositorio privado) | No (excepto código fuente cifrado) | Sí | Sí |
| Videoconferencia (Google Meet) | Con precaución (no compartir pantalla con datos ALTO) | Sí | Sí |
| USB / medio físico | Prohibido | Prohibido | Solo con autorización ORG.4 |
3.2 Transferencia a terceros
- Requiere autorización del Responsable de la Información
- Verificar que el destinatario tiene contrato de confidencialidad
- Limpieza de metadatos obligatoria antes de enviar documentos
- Procedimiento: MP.INFO.5 Limpieza de documentos
Módulo 4: Copias de seguridad (20 min)
4.1 Política de copias
- Frecuencia: Backup automático diario (03:00 CET)
- Retención: 30 días mínimo
- Ubicación: AWS S3 (región eu-west-1)
- Cifrado: SSE-KMS
- Verificación: Pruebas trimestrales de restauración (R-110-014)
4.2 Responsabilidades
- No almacenar información corporativa únicamente en el equipo local
- Los documentos de trabajo deben estar en Google Drive o en el repositorio correspondiente
- FileVault protege los datos locales en caso de pérdida del equipo
Módulo 5: Destrucción segura (20 min)
5.1 Borrado seguro de archivos
- Eliminar archivos del equipo local no es suficiente (la papelera no borra realmente los datos)
- Para borrado definitivo: usar
diskutil secureErase(procedimiento en MP.SI.5) - Todo borrado seguro debe registrarse en R-110-003
5.2 Destrucción de soportes físicos
- Equipos que se retiren del servicio deben pasar por borrado seguro antes de su eliminación
- Si el soporte es irrecuperable (disco dañado), destrucción física certificada por proveedor autorizado
5.3 Información en papel
- Aunque trabajamos sin oficina física, puede haber documentos impresos esporádicos
- Destruir con destructora de corte cruzado (nivel P-4 mínimo)
- No depositar documentos confidenciales en papeleras normales
Evaluación
Cuestionario de 10 preguntas sobre los 5 módulos. Puntuación mínima: 70%.
Preguntas de ejemplo
- ¿Cuál es el nivel de clasificación por defecto de información sin clasificar?
- ¿Está permitido almacenar datos ALTO en una memoria USB?
- ¿Qué herramienta se usa para el borrado seguro en macOS?
- ¿Con qué frecuencia se realizan los backups automáticos?
- ¿Qué debe hacerse antes de enviar un documento a un tercero?
Signature meaning
The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:
- Author: Team members involved
- Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
- Approver: JD-001 General Manager