Aceptación de Políticas, Obligaciones y Credenciales
Todo el personal incluido en el alcance del Esquema Nacional de Seguridad debe leer este documento y confirmar su aceptación como requisito previo al acceso a los sistemas de información.
Objeto
El presente documento tiene por objeto formalizar que el empleado:
- Ha recibido, leído y comprendido la Política de Seguridad de la Información (ORG.1) y la Normativa de Seguridad (ORG.2).
- Conoce y acepta sus obligaciones como usuario de los sistemas de información de la organización.
- Acepta la responsabilidad de custodia de las credenciales de acceso que le han sido asignadas.
Aceptación de políticas de seguridad
El empleado declara haber recibido, leído y comprendido los siguientes documentos:
- Política de Seguridad de la Información (ORG.1) — documento público que establece el marco de seguridad de la organización.
- Normativa de Seguridad (ORG.2) — documento interno que establece las reglas de obligado cumplimiento en materia de seguridad de la información.
- Proceso de Autorización (ORG.4) — documento que define los procesos de autorización para el uso de recursos del sistema de información.
El empleado se compromete a cumplir las disposiciones contenidas en estos documentos y en cualquier actualización posterior que le sea comunicada.
Obligaciones del empleado
Como usuario de los sistemas de información, el empleado se compromete a:
- Uso profesional: utilizar los recursos tecnológicos exclusivamente para el desempeño de las funciones asignadas.
- Confidencialidad: mantener la confidencialidad de toda la información a la que tenga acceso por razón de su puesto, incluso después de finalizada la relación laboral.
- Puesto de trabajo despejado: mantener el puesto de trabajo libre de información sensible, tanto en formato físico como digital, y bloquear el equipo al ausentarse.
- Protección del equipo: proteger el equipo asignado física y lógicamente, manteniéndolo actualizado y con las herramientas de seguridad activas.
- Notificación de incidentes: comunicar de inmediato al Responsable de Seguridad cualquier incidente, vulnerabilidad o sospecha de brecha de seguridad.
- Notificación de pérdida o sustracción: comunicar inmediatamente la pérdida o sustracción de cualquier equipo o dispositivo conforme al protocolo establecido en la Normativa de Seguridad (ORG.2).
- Formación: asistir a las sesiones de concienciación y formación en seguridad programadas por la organización.
- Prohibiciones: respetar las prohibiciones establecidas en la Normativa de Seguridad, incluyendo la prohibición de instalar software no autorizado, conectar dispositivos no autorizados o eludir controles de seguridad.
Custodia de credenciales
El empleado declara haber recibido las credenciales de acceso a los sistemas de información de la organización y se compromete a:
- No compartir las credenciales con ninguna persona, incluso temporalmente.
- No almacenar las credenciales en texto plano, notas adhesivas, documentos no cifrados o cualquier otro medio inseguro.
- Utilizar exclusivamente gestores de contraseñas aprobados por la organización para el almacenamiento de credenciales.
- Cambiar inmediatamente cualquier credencial que se sospeche comprometida y notificarlo al Responsable de Seguridad.
- Cumplir los requisitos de contraseñas establecidos en la Normativa de Seguridad: mínimo 12 caracteres, caducidad máxima de 180 días, sin reutilización.
- No ceder el uso de sesiones autenticadas a terceros.
Las credenciales son personales e intransferibles. El empleado es responsable de todas las acciones realizadas con sus credenciales.
Régimen disciplinario
El empleado es consciente de que el incumplimiento de las obligaciones aquí descritas podrá dar lugar a:
- Suspensión temporal o definitiva del uso de los recursos informáticos.
- Medidas disciplinarias conforme al Real Decreto Legislativo 2/2015 (Estatuto de los Trabajadores) y al convenio colectivo de aplicación.
- Responsabilidades civiles o penales en los casos más graves.
Confirmación de aceptación
Para confirmar la aceptación de este documento, el empleado debe enviar un correo electrónico al Responsable de Seguridad con el siguiente texto:
Para: taig@legit.health
Asunto: Aceptación de Políticas, Obligaciones y Credenciales — ENS
Yo, [nombre completo], con fecha [fecha], declaro haber leído y comprendido la Política de Seguridad de la Información (ORG.1), la Normativa de Seguridad (ORG.2) y el Proceso de Autorización (ORG.4), y acepto las obligaciones y responsabilidades descritas en el documento de Aceptación de Políticas, Obligaciones y Credenciales.
Me comprometo a custodiar las credenciales de acceso que me han sido asignadas y a cumplir con todas las disposiciones de seguridad vigentes.
El correo electrónico del empleado constituye evidencia válida de la aceptación. Estos correos serán archivados por el Responsable de Seguridad como evidencia para auditorías.
Registro de aceptaciones
| Empleado | Puesto | Fecha de aceptación | Evidencia |
|---|---|---|---|
| (Se completará conforme se reciban las confirmaciones) |
Signature meaning
The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:
- Author: Team members involved
- Reviewer: JD-003 Design & Development Manager, JD-004 Quality Manager & PRRC
- Approver: JD-001 General Manager