Tema 64 · Seguretat, ENS i RGPD

Gestió d'identitats

Elaboració pròpia: la font és de pagament i no es reprodueix

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Gestió d'identitats.

1. Conceptes

IAM (Identity and Access Management): conjunt de polítiques, processos i tecnologies que garanteixen que les persones adequades tinguin l'accés adequat als recursos adequats, en el moment adequat i pels motius adequats.

La sigla té dues meitats: la gestió d'identitats, o IdM (Identity Management), s'ocupa de la identitat en si —crear-la, mantenir-la i donar-la de baixa—, i la gestió d'accessos (Access Management) decideix què pot fer un cop autenticada. Al voltant seu, sigles veïnes que no són sinònimes:

Les tres A i una quarta:

Factors d'autenticació — el factor és el que permet validar la identitat d'un usuari, i n'hi ha de tres categories:

1. Alguna cosa que saps (knowledge): contrasenya, PIN (Personal Identification Number), pregunta secreta.
2. Alguna cosa que tens (possession): targeta criptogràfica, telèfon amb OTP (One-Time Password), clau FIDO2 (Fast IDentity Online 2), certificat.
3. Alguna cosa que ets (inherence): empremta, rostre, iris, veu.

S'hi afegeixen el lloc on ets i el que fas (biometria de comportament), però els tres clàssics són els que cauen.

Nivells d'assegurament (NIST SP (Special Publication) 800-63, Digital Identity Guidelines) — la sèrie que gradua la confiança en cada una de les tres A, amb 3 nivells cadascun (de menys a més exigent):

• IAL (Identity Assurance Level, 800-63A): robustesa de la verificació d'identitat en l'alta.
• AAL (Authenticator Assurance Level, 800-63B): confiança que qui s'autentica controla realment el seu autenticador.
• FAL (Federation Assurance Level, 800-63C): solidesa de les assercions en un escenari federat.

MFA / 2FA: combinació de factors de categories diferents. Contrasenya + pregunta secreta no és MFA: són dos factors de la mateixa categoria. Contrasenya + codi al mòbil sí que ho és, i targeta + PIN també —el caixer automàtic és l'exemple clàssic de doble factor.

No tots els segons factors valen igual, de més feble a més robust: SMS (Short Message Service) i trucada —vulnerables a l'intercanvi de SIM (Subscriber Identity Module)—; OTP de temps (TOTP, Time-based One-Time Password), que encara es pot teclejar en una pàgina falsa; notificació d'aprovació al mòbil, exposada a la fatiga d'MFA; i certificat o FIDO2/WebAuthn, els únics resistents a la suplantació de lloc (phishing) perquè la credencial va lligada criptogràficament al domini.

Principis d'autorització:

• Mínim privilegi: cada usuari, procés o sistema ha de tenir exclusivament els permisos estrictament necessaris per exercir les seves funcions. El que el defineix és l'abast dels permisos, no el nombre de rols ni que caduquin: limitar-los en el temps reforça el principi, però no és la seva definició.
• Necessitat de conèixer (need to know).
• Segregació de funcions (SoD): qui autoritza no executa, qui executa no controla.
• Denegació per defecte.
• Revisió periòdica dels accessos (recertification).

Models de control d'accés: DAC (Discretionary Access Control, discrecional, el propietari decideix) i MAC (Mandatory Access Control, obligatori, per etiquetes de classificació) són els clàssics; els que cauen a l'examen són RBAC i ABAC:

• RBAC (Role-Based Access Control, estandarditzat a l'INCITS (International Committee for Information Technology Standards) 359): els permisos s'assignen a rols, i els rols a les persones usuàries. Estàtic i fàcil d'auditar — el model més usat a les organitzacions.
• ABAC (Attribute-Based Access Control, NIST SP 800-162): la decisió avalua atributs del subjecte, del recurs, de l'acció i de l'entorn (hora, ubicació, dispositiu, sensibilitat) contra una política — més granular i dinàmic que RBAC, però més complex de gestionar.

L'estàndard d'RBAC descriu quatre elements —persones usuàries, rols, permisos i sessions— i tres nivells acumulatius: el model pla, el jeràrquic (un rol n'hereta els permisos d'un altre) i el restringit, que és on viu la segregació de funcions: dos rols incompatibles que la mateixa persona no pot tenir alhora. El seu problema pràctic és l'explosió de rols: quan cada excepció en crea un de nou, el catàleg deixa de ser auditable, i és quan compensa passar a atributs.

Hi ha també PBAC (Policy-Based Access Control) i ReBAC (per relacions), de menys pes a l'examen.

2. El cicle de vida de la identitat

Tres moments, i els noms anglesos amb què apareixen als productes: alta (joiner) → canvis (mover) → baixa (leaver).

• Aprovisionament (provisioning): creació de comptes i assignació de permisos, idealment automàtica des del sistema de RRHH (Recursos Humans), o HCM (Human Capital Management), cap a IAM i als sistemes, amb SCIM (System for Cross-domain Identity Management) com a estàndard.
• Canvis: el problema clàssic és l'acumulació de privilegis (privilege creep) —qui canvia de lloc conserva els antics i n'obté de nous—; el canvi ha de retirar el que ja no cal.
• Baixa (deprovisioning): immediata i completa. Un compte actiu de qui ja no hi és és de les vulnerabilitats més freqüents i greus.
• Comptes especials: genèrics i compartits (a evitar; si són inevitables, amb custòdia i traçabilitat), de servei (contrasenyes llargues, rotació, sense interactivitat), d'emergència (break glass) i externs (amb caducitat obligatòria).
• Certificació d'accessos: revisió periòdica en què els responsables confirmen o retiren els permisos del seu personal.

3. Serveis de directori

Directori: base de dades jeràrquica optimitzada per a la lectura, que emmagatzema informació d'usuaris, grups, equips i serveis. La comparació que cau: un directori es consulta moltíssim més del que es modifica i s'optimitza per llegir; una base de dades convencional ha de servir bé la lectura i l'escriptura alhora, amb transaccions. I el directori guarda objectes jeràrquics amb atributs, definits per un esquema, no taules relacionades.

X.500 és la sèrie d'estàndards de serveis de directori de l'ITU (International Telecommunication Union), del seu sector ITU-T de normalització. Les dades d'un directori X.500 s'estructuren en un arbre jeràrquic anomenat DIT (Directory Information Tree), en què cada node és una entrada identificada pel seu DN (Distinguished Name), format per la concatenació dels RDN (Relative Distinguished Names) des de l'arrel, i pertany a classes d'objecte que determinen quins atributs pot tenir. Aquesta estructura jeràrquica en arbre és la resposta a la pregunta d'examen: ni relacional, ni documental, ni no estructurada.

Nomenclatura: CN (nom comú), OU (unitat organitzativa), DC (component de domini), O (organització) — CN=Joana Puig,OU=Informatica,DC=bcn,DC=cat.

LDAP (Lightweight Directory Access Protocol, RFC (Request for Comments) 4510 a 4519, i 4511 per al protocol): la simplificació de X.500 que s'usa realment, sobre TCP (Transmission Control Protocol) i IP (Internet Protocol). Del model X.500 —definit en l'àmbit de l'OSI (Open Systems Interconnection)— hereta el DIT, el DN i l'esquema, però l'executa sobre TCP/IP i representa noms i filtres com a cadenes de text en comptes de la codificació ASN.1 (Abstract Syntax Notation One) pura. Tres dades que cauen:

• És un protocol de la capa d'aplicació, no de sessió, de transport ni d'IP.
• La versió vigent és la v3; la v2 està obsoleta —és la trampa d'afirmació falsa més repetida del tema.
• Ports 389 i 636 (LDAPS, LDAP Secure). Operacions: bind, search, compare, add, modify, delete.

És, a més, el denominador comú del sector: Active Directory, Novell/NetIQ eDirectory i Red Hat Directory Server són de fabricants diferents, però tots exposen LDAP, i és el que els fa interoperables.

Active Directory, o AD (Active Directory) DS (Domain Services): el servei de directori de Microsoft, basat en LDAP i Kerberos, que centralitza la identitat i les polítiques —usuaris, equips, grups— d'una xarxa basada en Windows. El seu magatzem és orientat a objectes, no relacional: l'esquema defineix classes —usuari, grup, equip, unitat organitzativa— i cada objecte n'és una instància amb els seus atributs i relacions; no depèn de cap gestor relacional. Sobre aquest magatzem ofereix alhora autenticació, inici de sessió únic, Kerberos i LDAP. Elements: boscos, arbres i dominis, unitats organitzatives (OU, Organizational Unit), controladors de domini, les directives de grup, o GPO (Group Policy Object), catàleg global i replicació multimestre. No s'ha de confondre amb SCCM (System Center Configuration Manager, avui ECM, Endpoint Configuration Manager): AD gestiona la identitat; SCCM/ECM desplega i inventaria programari i configuracions sobre els equips ja units al domini — és matèria de gestió d'endpoints, no d'identitats.

Kerberos: protocol d'autenticació de xarxa basat en tiquets i en un tercer de confiança (KDC, Key Distribution Center, amb el servei d'autenticació i el servei de concessió de tiquets). Ofereix autenticació mútua i inici de sessió únic. És extremament sensible a la sincronització horària: una desviació superior a 5 minuts per defecte fa fallar l'autenticació — d'aquí la criticitat del NTP (Network Time Protocol).

Altres directoris: OpenLDAP, FreeIPA, Samba AD i Microsoft Entra ID, que no és un AD al núvol: no fa Kerberos ni GPO, sinó protocols web.

4. Federació i protocols moderns

Federació d'identitats: permet que un usuari s'autentiqui al seu proveïdor d'identitat (IdP) i accedeixi a serveis d'altres organitzacions (SP) sense credencials noves.

SAML enfront de JWT — la comparació que cau, i la clau és què defineix cadascun:

• SAML defineix protocol i format alhora: assercions XML, signades i opcionalment xifrades, transportades per redireccions del navegador, per a SSO web empresarial.
• JWT (JSON Web Token, RFC 7519) defineix només el format: capçalera, càrrega útil de claims i signatura en Base64URL, pensat per ser lleuger i viatjar en capçaleres HTTP (HyperText Transfer Protocol) cap a serveis REST (REpresentational State Transfer). No és un protocol d'autenticació: s'usa dins d'OAuth 2.0 i d'OIDC.
• Falsedats habituals: SAML sí que permet SSO —és precisament per a això—, JWT no és exclusiu d'aplicacions d'escriptori (és el contrari) i JWT admet signatura asimètrica, no només simètrica.
• Un JWT no xifrat és llegible per qualsevol: la signatura garanteix integritat i autenticitat, no confidencialitat. Cal JWE (JSON Web Encryption) per xifrar-lo, i sempre HTTPS (HyperText Transfer Protocol Secure).

Protocols d'autenticació i autorització de xarxa: RADIUS (Remote Authentication Dial-In User Service), TACACS+ (Terminal Access Controller Access-Control System, Plus), 802.1X, Kerberos, LDAP i OAuth. Compte: SMTP (Simple Mail Transfer Protocol) no autentica ni autoritza —és de correu—, i DNS (Domain Name System) tampoc: són les distractores habituals de la pregunta «quin d'aquests no és una opció per a autenticació o autorització».

5. Components d'una solució IAM

Una solució d'IAM no és un producte sinó un conjunt de peces que resolen problemes diferents.

5.1 Inici de sessió únic (SSO)

SSO (Single Sign-On): una sola autenticació dona accés a totes les aplicacions a què la persona ja tingui dret, sense tornar a demanar credencials. El mecanisme és sempre el mateix: qui s'autentica ho fa una vegada davant d'un únic punt —el directori o l'IdP—, que obre una sessió i, a partir d'aquí, emet a cada aplicació una prova d'identitat —un tiquet de Kerberos, una asserció de SAML, un token d'OIDC— que aquella aplicació accepta en comptes de verificar res.

Tres confusions que el tribunal explota:

• SSO no és «la mateixa contrasenya a tot arreu». Que deu aplicacions consultin el mateix directori és unificació de credencials: encara te la demanen deu vegades. L'SSO és que no te la tornin a demanar.
• SSO no amplia permisos. No dona accés d'administrador ni de superusuari, ni obre res a què la persona no tingués dret ja: només estalvia l'autenticació. Aquesta és la distractora clàssica de la pregunta que compara directori, gestió d'identitats i SSO.
• SSO i federació no són el mateix. L'SSO és el resultat; la federació és una de les maneres d'aconseguir-lo, la que travessa organitzacions. Dins d'una sola, es fa SSO amb Kerberos sense federar res.

Modalitats: SSO d'empresa dins del domini (Kerberos), SSO web i SSO federat entre organitzacions. El que costa: concentra el risc —el compromís de l'IdP ho compromet tot, i per això és on s'apliquen l'MFA i les polítiques més dures— i obliga a resoldre el tancament de sessió únic.

5.2 Gestió de l'accés privilegiat (PAM)

PAM (Privileged Access Management): la disciplina que custodia i vigila els comptes que poden fer més mal. És una capa a part, i no un IAM més estricte, perquè aquests comptes no encaixen en el cicle de vida normal: sovint no pertanyen a ningú, no cauen amb una baixa i deixen poca traça.

Què és un compte privilegiat: l'administrador de domini i el local, el root d'Unix, els comptes d'administració d'aplicacions i de bases de dades, els comptes de servei, les claus i secrets de desplegament i els comptes d'emergència (break glass).

Les funcions que es pregunten:

• Magatzem de credencials (vault): la contrasenya no la sap ningú; es demana, s'usa i es retorna, amb rotació automàtica després de cada ús.
• Intermediació i gravació de sessions: l'administrador es connecta a un servidor de salt que estableix la connexió per ell i grava la sessió, de manera que en queda evidència.
• Accés just a temps (just-in-time): el privilegi s'atorga per a una finestra concreta i s'esborra tot sol, amb l'objectiu de zero privilegis permanents.
• Elevació controlada a l'estació de treball i gestió de secrets per a aplicacions i contenidors.

Productes habituals: CyberArk, BeyondTrust, Delinea i HashiCorp Vault.

5.3 La resta de peces

• MFA i autenticació adaptativa o basada en risc: exigir un factor addicional només quan el context és sospitós (ubicació nova, dispositiu desconegut, viatge impossible).
• Governança d'identitats, o IGA (Identity Governance and Administration): aprovisionament, fluxos d'aprovació, certificació d'accessos i control de la segregació de funcions. La diferència amb l'IAM és de pregunta: l'IAM respon «deixo entrar?» en temps real; l'IGA, «qui té què i qui ho va aprovar?». SailPoint, Saviynt, midPoint (codi obert).
• Gestió d'identitats de clients, o CIAM (Customer Identity and Access Management), i identitats de màquina (certificats, comptes de servei, càrregues de treball amb SPIFFE, Secure Production Identity Framework For Everyone).
• Gestor de contrasenyes corporatiu.
• Zero Trust (NIST SP 800-207): la confiança no depèn de la ubicació de xarxa; la identitat és el nou perímetre. Cada petició s'autentica, s'autoritza i es xifra, amb avaluació contínua del context.

Contrasenyes — recomanacions actuals (NIST SP 800-63B i CCN, Centre Criptològic Nacional): longitud mínima elevada (12-15 caràcters o més) i frases de pas; comprovació contra llistes de contrasenyes compromeses; no forçar la rotació periòdica sense indici de compromís, perquè indueix contrasenyes pitjors; no exigir regles de composició arbitràries; i eliminar les preguntes de seguretat. El destí és l'autenticació sense contrasenya (FIDO2/passkeys).

6. Identitat al sector públic

La frontera d'aquest apartat. La identitat del ciutadà davant l'Administració —sistemes d'identificació i de signatura de la Llei 39/2015, Cl@ve, idCAT, DNIe, apoderaments i funcionari habilitat— és matèria del tema 69; els certificats qualificats i l'EUDI (European Digital Identity) Wallet, del tema 68. Aquí, la identitat corporativa.

• Identitat del personal: el certificat d'empleat públic —a Catalunya, la T-CAT en targeta criptogràfica i la T-CAT P en programari— identifica la persona i, alhora, el seu vincle i càrrec a l'organisme, que és el que el distingeix d'un certificat de persona física → tema 68.
• ENS: la família op.acc (control d'accés) exigeix identificació única, requisits d'accés, segregació de funcions i tasques, procés de gestió de drets d'accés, mecanisme d'autenticació (amb exigència creixent segons la categoria: a categoria alta, doble factor i credencials no basades només en contrasenya) i accés local i remot controlat. Cada compte s'ha de poder atribuir a una sola persona: els comptes compartits en són l'incompliment més freqüent.
• RGPD: les dades d'identitat i els registres d'accés són dades personals; cal base de licitud, minimització, terminis de conservació dels registres i informació al personal. La biometria és categoria especial (RGPD, art. 9) quan s'usa per identificar de manera unívoca: exigeix una base específica i, normalment, avaluació d'impacte. És la raó per la qual FIDO2 deixa l'empremta al dispositiu i només n'envia una signatura.
• Interoperabilitat entre administracions: la federació evita que cada organisme hagi de donar d'alta el personal dels altres; pren la forma de passarel·les d'autenticació compartides amb SAML. El reconeixement mutu d'identitats electròniques entre estats el regula eIDAS → tema 68.

Claus d'examen

• LDAP: la versió vigent és la v3, no la v2 — trampa d'afirmació falsa que ha caigut literalment; a la mateixa pregunta, «deriva d'X.500/OSI» i «usa cadenes de text en comptes d'ASN.1» són certes (TS-TIC 2018 específic, p. 75). I quan es pregunta la capa, la resposta és aplicació (TS-TIC 2021 específic, p. 18).
• SAML defineix protocol i format (XML); JWT només defineix el format (JSON), no un protocol (TS-TIC 2025 específic, p. 31).
• OAuth = autorització delegada d'accés (a un servei HTTP, o a recursos en nom d'una persona usuària), no autenticació — ha caigut dues vegades al mateix examen amb el mateix enunciat de fons (TS-TIC 2023 pràctica, s3 p. 23; s4 p. 30).
• DNS (Domain Name System) no és un sistema d'autenticació, a diferència de Kerberos, SAML i OpenID, que sí que ho són (TS-TIC 2023 pràctica, s3 p. 30). El distractor equivalent de l'altre examen és SMTP —no SNMP (Simple Network Management Protocol)— enfront de LDAP, OAuth i Kerberos (TS-TIC 2025 pràctica, s2 p. 18).
• Mínim privilegi = permisos estrictament necessaris per a la funció, no «un sol rol per persona» ni «permisos limitats en el temps» (TS-TIC 2025 pràctica, s2 p. 19).
• Quan es comparen directori, gestió d'identitats i SSO, la distractora és dir que l'SSO dona accés en mode de superusuari: l'SSO no amplia permisos, i l'opció que diu que els tres serveis fan el mateix sempre és falsa (TS-TIC 2018 específic, p. 82).

Per recordar

• Identificació → autenticació → autorització → auditoria.
• Tres factors: el que saps, el que tens, el que ets. MFA = factors de categories diferents.
• Mínim privilegi = exclusivament els permisos necessaris per a la funció; limitar-los en el temps és una bona pràctica afegida, no la definició.
• Les sigles veïnes: IdM = la identitat; IAM = identitat més accés; IGA = govern i certificació; PAM = comptes privilegiats; CIAM = identitats de clients.
• SSO = no repetir l'autenticació, no «la mateixa contrasenya a tot arreu» ni més permisos. La federació és una de les maneres d'aconseguir-lo, la que travessa organitzacions.
• IAL, AAL, FAL (NIST SP 800-63): assegurament d'identitat, d'autenticador i de federació, respectivament — 3 nivells cadascun.
• RBAC (INCITS 359, rols) és el model habitual; ABAC (NIST SP 800-162) hi afegeix atributs i context.
• La baixa (deprovisioning) immediata i la revisió periòdica d'accessos són les dues mesures que més fallen. El PAM hi afegeix custòdia, rotació i accés just a temps.
• Un directori s'optimitza per a la lectura; X.500 l'estructura en un arbre jeràrquic (DIT) amb entrades identificades pel DN, i LDAP —capa d'aplicació, v3— n'és el protocol d'accés comú a tots els fabricants.
• Active Directory centralitza identitat i polítiques (GPO) en xarxes Windows, amb magatzem orientat a objectes, i autentica amb Kerberos, que exigeix rellotges sincronitzats (< 5 min). No és SCCM: aquell desplega programari, no gestiona identitat.
• SAML = XML, federació web empresarial; OAuth 2.0 = autorització delegada; OIDC = autenticació sobre OAuth; JWT = format de token JSON compacte, no un protocol — i la seva signatura dona integritat, no confidencialitat.
• Zero Trust: la identitat és el nou perímetre. L'ENS exigeix doble factor a categoria alta.

Tema 65 · Seguretat, ENS i RGPD

Gestió d'incidents de ciberseguretat

Enunciat oficial. Gestió d'Incidents de Ciberseguretat.

1. Conceptes

• Esdeveniment de seguretat: qualsevol succés observable en un sistema o xarxa.
• Incident de seguretat: esdeveniment o sèrie d'esdeveniments no desitjats o inesperats que tenen una probabilitat significativa de comprometre les operacions i d'amenaçar la seguretat de la informació —la confidencialitat, la integritat o la disponibilitat.
• Bretxa de dades personals (RGPD, art. 4): violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals, o la comunicació o accés no autoritzats. Tot incident no és una bretxa, però tota bretxa és un incident.
• Vulnerabilitat, amenaça, explotació (exploit) i compromís (IoC — indicador de compromís).
• Falsos positius i falsos negatius: el gran problema operatiu d'un SOC.

2. Tipus d'atac i codi maliciós

Codi maliciós (malware), classificat sobretot per la seva capacitat de propagar-se:

• Virus: s'autoreplica infectant altres fitxers o programes, però necessita que l'usuari n'executi l'hoste per activar-se.
• Cuc (worm): s'autoreplica sol, sense fitxer hoste ni intervenció de l'usuari, propagant-se directament per la xarxa.
• Troià: es fa passar per programari legítim i NO té capacitat d'autoreplicar-se; depèn que l'usuari l'executi voluntàriament. Aquesta capacitat de replicar-se és la diferència essencial amb el virus: tots dos són malware i tots dos són detectables.
• Ransomware: bloqueja o xifra les dades i exigeix un rescat (habitualment en criptomoneda) per recuperar-les; la resposta operativa es desenvolupa a còpies de seguretat 3-2-1 i ransomware.
• Spyware: recull informació de l'usuari sense el seu consentiment.
• Rootkit: s'oculta al sistema operatiu, amagant la seva pròpia presència i la d'altre programari maliciós.
• Botnet: xarxa de dispositius compromesos (bots o zombis) controlada remotament per un atacant.

DDoS (Distributed Denial of Service, denegació de servei distribuïda): una botnet executa milers de peticions simultànies contra un servei fins a fer-lo inaccessible per a les persones usuàries legítimes. Es diferencia del DoS (Denial of Service, denegació de servei) d'un sol origen precisament per ser distribuït des d'una xarxa de màquines compromeses.

Tècniques d'atac que no són codi maliciós. La majoria d'incidents comencen per una d'aquestes, i el que el tribunal demana és distingir-les entre elles:

• Enginyeria social i phishing: s'enganya la persona, no la màquina. Variants: spear phishing (dirigit a una persona concreta i preparat amb informació seva), smishing (per SMS — Short Message Service), vishing (per veu) i BEC (Business Email Compromise: suplantació del directiu que ordena una transferència).
• Atac de l'intermediari (MITM — Man In The Middle): un sistema que veu la comunicació entre dos altres sistemes i s'imposa en el camí de comunicació entre tots dos, de manera que la pot llegir i alterar sense que cap dels extrems ho noti. Ni satura res ni esgota cap recurs —aquesta és la confusió que cal desfer— i no es detecta fàcilment: es combat amb xifratge en trànsit i autenticació mútua dels extrems.
• Atacs d'esgotament de recursos, que sí que saturen i que sovint s'ofereixen com a distractors de l'anterior: a més del DoS i el DDoS, el SYN (synchronization) flood, una inundació de peticions de sincronització que deixa el servidor sense connexions lliures, i el DHCP (Dynamic Host Configuration Protocol) starvation, en què un dispositiu demana adreces al servidor fins que les esgota.
• Atacs contra credencials: força bruta, diccionari i farciment de credencials (credential stuffing: reutilitzar credencials filtrades en una altra bretxa).
• Desbordament de memòria intermèdia (buffer overflow): escriure més dades de les que caben en un búfer per sobreescriure la memòria adjacent i alterar el flux d'execució del programa.
• Atacs contra aplicacions web —injecció SQL (Structured Query Language), cross-site scripting— i el Top 10 d'OWASP (Open Web Application Security Project): la defensa perimetral i el WAF (Web Application Firewall) es desenvolupen a arquitectures de seguretat on premise.

3. El cicle de vida segons NIST

NIST SP 800-61 (SP: Special Publication) — Computer Security Incident Handling Guide. Quatre fases, en cicle:

1. Preparació: polítiques i pla de resposta, equip (CSIRT) i rols, eines, formació, inventari d'actius, línies base de comportament normal, canals de comunicació segurs i simulacres. És la fase que més determina l'èxit i la que més s'omet.
2. Detecció i anàlisi: fonts de detecció (SIEM, EDR, IDS/IPS, usuaris, tercers, CERT), triatge, classificació i priorització, anàlisi de l'abast, documentació i notificació inicial.
3. Contenció, eradicació i recuperació: contenció a curt termini (aïllar) i a llarg termini (mesures provisionals per continuar operant), eradicació de la causa i dels artefactes, i recuperació dels sistemes a producció amb monitoratge reforçat.
4. Activitat posterior: lliçons apreses, informe final, actualització de procediments i controls, i mètriques.

Alternativa — el model de SANS (SysAdmin, Audit, Network, and Security): preparació, identificació, contenció, eradicació, recuperació i lliçons apreses (sis fases). És el mateix cicle amb la detecció i la resposta desglossades.

4. El cicle segons ISO/IEC 27035

La norma ISO/IEC 27035 —Gestió d'incidents de seguretat de la informació, publicada per la ISO i la IEC (International Electrotechnical Commission)— estructura la gestió en cinc fases:

1. Planificar i preparar (Plan and prepare).
2. Detecció i informe (Detection and reporting).
3. Avaluació i decisió (Assessment and decision).
4. Respostes (Responses): contenció, eradicació, recuperació i, si escau, anàlisi forense.
5. Lliçons apreses (Lessons learnt).

La darrera fase de la gestió d'un incident de seguretat segons la ISO/IEC 27035 és la de lliçons apreses. Aquesta és la resposta literal a la pregunta d'examen. És la fase que tanca el cicle i que alimenta la millora contínua: sense ella, l'organització repeteix el mateix incident.

5. Classificació i priorització

Criteris: impacte (nombre d'usuaris i sistemes afectats, criticitat del servei, dades compromeses, pèrdua econòmica, dany reputacional) i urgència (propagació, finestra d'actuació).

Taxonomia del CCN-CERT i de la Guia Nacional de Notificació i Gestió de Ciberincidents, amb cinc nivells de perillositat: crític, molt alt, alt, mitjà i baix, i una taxonomia de tipus: contingut abusiu, codi maliciós, obtenció d'informació, intent d'intrusió, intrusió, disponibilitat, compromís de la informació, frau, vulnerable i altres.

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge): el catàleg més conegut que classifica les tàctiques i tècniques de ciberatac, organitzat en tàctiques (l'objectiu de l'adversari: accés inicial, execució, persistència, escalada de privilegis, evasió de defenses, accés a credencials, descobriment, moviment lateral, recol·lecció, comandament i control, exfiltració, impacte) i tècniques i subtècniques (com ho fa). És la resposta a la pregunta sobre el catàleg de tàctiques i tècniques d'atac.

Altres marcs: Cyber Kill Chain de Lockheed Martin (reconeixement, armament, lliurament, explotació, instal·lació, comandament i control, accions sobre l'objectiu), Diamond Model, CVE (Common Vulnerabilities and Exposures) i CVSS (Common Vulnerability Scoring System: identificació i puntuació de vulnerabilitats), CWE (Common Weakness Enumeration: tipus de debilitat), STIX (Structured Threat Information eXpression) / TAXII (Trusted Automated eXchange of Indicator Information) per a l'intercanvi d'intel·ligència, i TLP (Traffic Light Protocol: semàfor per a la compartició d'informació).

6. Organització de la resposta

La resposta la sostenen dues unitats que es confonen amb facilitat i que convé separar des del principi: el SOC vigila i el CSIRT respon. El SOC és una funció contínua de monitoratge que mira què està passant ara i escala el que sembla un incident; el CSIRT és l'equip que se'n fa càrrec un cop l'incident està declarat i el condueix fins al tancament i les lliçons apreses. En una organització petita les fa la mateixa gent, però són funcions diferents: es pot tenir SOC sense CSIRT (es detecta i ningú no sap què fer després) i CSIRT sense SOC (es respon només quan algú avisa, perquè no hi ha vigilància pròpia).

• CSIRT (Computer Security Incident Response Team) / CERT (Computer Emergency Response Team): equip responsable de la resposta. Pot ser intern, extern o mixt; als dos termes se sol donar un ús equivalent.
• SOC (Security Operations Center): unitat de monitoratge i detecció contínua, sovint 24×7, amb nivells L1 (Level 1: triatge), L2 (Level 2: anàlisi) i L3 (Level 3: caça d'amenaces i forense).
• Rols: coordinador d'incidents, analistes, forense, comunicació, jurídic, DPD (Delegat de Protecció de Dades), responsable de seguretat (CISO — Chief Information Security Officer) i direcció per a les decisions de crisi.
• Equips a Espanya: CCN (Centro Criptológico Nacional)-CERT (sector públic i empreses estratègiques), INCIBE (Instituto Nacional de Ciberseguridad)-CERT (ciutadania i empreses), ESPDEF (España Defensa)-CERT (defensa), i a Catalunya l'Agència de Ciberseguretat de Catalunya amb el seu CERT.
• Eines: SIEM (Security Information and Event Management: correlació de registres com Splunk, QRadar, Sentinel, Elastic, Wazuh), SOAR (Security Orchestration, Automation and Response: automatització de la resposta), EDR (Endpoint Detection and Response) / XDR (eXtended Detection and Response), IDS (Intrusion Detection System) / IPS (Intrusion Prevention System), sandbox, TIP (Threat Intelligence Platform, plataforma d'intel·ligència d'amenaces), NDR (Network Detection and Response) i UEBA (User and Entity Behavior Analytics).

Primera notificació interna, davant una sospita d'incident: no es fa directament al DPD ni a l'autoritat de control, sinó pels canals interns establerts (per exemple el SAU — Servei d'Atenció a l'Usuari) al servei o rol responsable de seguretat, que avalua i documenta l'incident en un informe per al responsable executiu del tractament afectat. Només si l'avaluació ho confirma intervenen, ja, el DPD i —dins del termini de 72 hores— l'autoritat de control (secció 7).

7. Obligacions de notificació

Aquest és el punt on més es concentra la normativa i les preguntes:

L'obligació de notificar del sector públic no neix aquí: és l'Esquema Nacional de Seguretat qui la imposa, amb la categoria del sistema i la perillositat de l'incident com a criteris i amb la seva Instrucció Tècnica de Seguretat de notificació d'incidents com a detall. Aquest tema en descriu el procediment de resposta; el marc normatiu que l'obliga és allà.

El responsable ha de DOCUMENTAR totes les violacions de seguretat, les notifiqui o no, amb els fets, els efectes i les mesures correctores (RGPD, art. 33.5). Aquest registre és el que l'autoritat demanarà primer.

Contingut mínim de la notificació (RGPD, art. 33.3): naturalesa de la violació i, si és possible, categories i nombre aproximat d'interessats i de registres afectats; dades de contacte del DPD; conseqüències probables; i mesures adoptades o propostes, incloent-hi les de mitigació.

Escenari d'examen: es produeix un incident de ciberseguretat que afecta dades personals i pot suposar un risc per als drets i llibertats. La resposta correcta és notificar-ho a l'autoritat de control en un màxim de 72 hores i, si el risc és alt, comunicar-ho també als interessats sense dilació indeguda, a més de documentar-ho internament.

8. Anàlisi forense i lliçons apreses

8.1 Anàlisi forense

Objectiu: determinar què ha passat, com, quan, qui i quin ha estat l'abast, preservant les evidències amb valor probatori.

Principis:

• Cadena de custòdia: documentació ininterrompuda de qui ha tingut l'evidència, quan i per què. Sense ella, l'evidència no val al procediment.
• Ordre de volatilitat (RFC 3227, Request for Comments): registres i memòria cau de la CPU (Central Processing Unit) → memòria RAM (Random Access Memory) → estat de la xarxa i connexions → processos en execució → disc → registres remots → suports d'arxiu. Es recull del més volàtil al menys volàtil.
• No treballar mai sobre l'original: es fa una imatge forense bit a bit amb suma de comprovació (hash) i es treballa sobre la còpia.
• No apagar precipitadament un sistema compromès si es vol preservar la memòria volàtil.
• Documentar-ho tot, amb marques de temps fiables.

Eines: Autopsy/Sleuth Kit, FTK (Forensic Toolkit), EnCase, Volatility (memòria), Wireshark, Velociraptor, KAPE (Kroll Artifact Parser and Extractor), plaso/log2timeline.

8.2 Lliçons apreses

És la fase que tanca el cicle en els dos models —la quarta del NIST i la cinquena i última de la ISO/IEC 27035— i la que més sovint s'omet, perquè arriba quan el servei ja torna a funcionar i sembla que no queda feina. Es materialitza en dues coses: una reunió de revisió posterior a l'incident, convocada dies després del tancament i no mesos, amb tots els rols que hi van intervenir; i un informe final que respon sempre les mateixes preguntes.

• Què va passar exactament i en quins moments: la cronologia reconstruïda a partir de les evidències.
• Es va seguir el procediment escrit? I abans que això: n'hi havia, de procediment?
• Quina informació hauria calgut tenir abans i no es tenia (registres inexistents, inventari desactualitzat, contactes il·localitzables).
• Què va endarrerir la contenció o la recuperació, i si la decisió es va prendre al nivell que tocava.
• Quines mesures preventives i detectives eviten que es repeteixi, cadascuna amb persona responsable i data.

El resultat útil no és el document: és el canvi als controls, als procediments i a la formació, i les mètriques que permeten comprovar que la millora existeix —MTTD (Mean Time To Detect, temps mitjà de detecció), MTTR (Mean Time To Respond, temps mitjà de resposta o de contenció), nombre d'incidents per categoria i percentatge d'incidents reincidents—. Un incident que torna amb la mateixa causa arrel és la prova que aquesta fase no s'ha fet.

9. Prevenció i intel·ligència d'amenaces

Tot el que hi ha en aquest apartat actua abans que hi hagi incident, i per tant s'ordena amb el risc: el risc és el marc previ i l'incident és el risc materialitzat. La identificació, l'avaluació i el tractament del risc —i els registres i propietaris que en resulten— es desenvolupen a gestió del risc en ITIL v4; aquí, les mesures concretes de prevenció i intel·ligència.

• Gestió de vulnerabilitats: descobriment, priorització (CVSS, EPSS (Exploit Prediction Scoring System), explotació activa) i aplicació de pedaços amb terminis segons criticitat → desplegament d'aplicacions amb SCCM.
• Proves de penetració (pen test): el propòsit d'un pen test és simular un atac real i controlat contra els sistemes per identificar i explotar vulnerabilitats, i així avaluar l'eficàcia real de les defenses i l'impacte que tindria una intrusió, amb un abast i unes regles d'enfrontament acordats prèviament per escrit. Es diferencia de l'anàlisi de vulnerabilitats en què aquesta només detecta i llista les vulnerabilitats, sense explotar-les. Tipus: caixa negra, caixa grisa i caixa blanca; i Red Team (simulació d'adversari amb objectius, sense avís), Blue Team (defensa) i Purple Team (col·laboració).
• CTI (Cyber Threat Intelligence, intel·ligència d'amenaces): estratègica, tàctica, operacional i tècnica; IoC i TTP (Tactics, Techniques, and Procedures); compartició amb STIX/TAXII i MISP (Malware Information Sharing Platform).
• Caça d'amenaces (threat hunting): cerca proactiva d'activitat maliciosa que ha eludit els controls.
• Conscienciació: la formació del personal i les campanyes simulades de phishing continuen sent la mesura de més retorn, perquè el vector inicial més freqüent és el correu electrònic.
• Informes de tendències: ENISA (European Network and Information Security Agency, avui European Union Agency for Cybersecurity, mantenint la sigla original) Threat Landscape, CCN-CERT, INCIBE i l'Agència de Ciberseguretat de Catalunya. En les seves conclusions recurrents: el ransomware continua sent l'amenaça de més impacte per a les administracions; el phishing i el compromís de credencials són els vectors d'entrada dominants; i les cadenes de subministrament i els proveïdors, el vector de creixement més ràpid.
• El seu «Top 5 de ciberamenaces» (informe del 1S del 2022), ordenat per nombre d'incidents:

1. Atacs deliberats — programari maliciós, accés no autoritzat, abús de privilegis.
2. Compromís i/o pèrdua d'informació — publicació d'informació o credencials; informació extraviada.
3. Saturació i/o pèrdua de serveis essencials — sistemes inhabilitats o saturats.
4. Coacció, extorsió o corrupció — persuasió il·legítima, intimidació, suborn.
5. Informació errònia o corrupta — contingut mal organitzat o no vàlid.

Dues cauteles. És un top 5 d'un catàleg més gran —remet al Catàleg d'amenaces de l'Agència—, així que una amenaça absent no és falsa per això; i l'ordre canvia amb el període: al 2S del 2020 encapçalava el compromís i/o pèrdua d'informació. «Quina encapçala» exigeix saber el període.

10. Marc de referència

NIST CSF 2.0 (Cybersecurity Framework 2.0), amb sis funcions: GOVERN (Govern), IDENTIFICAR, PROTEGIR, DETECTAR, RESPONDRE i RECUPERAR. La funció Govern és la novetat de la versió 2.0.

NIST SP 800-184 — guia de recuperació davant esdeveniments de ciberseguretat.

ISO/IEC 27001 i 27002 (sistema de gestió i controls de seguretat de la informació), ISO/IEC 27035 (gestió d'incidents, apartat 4) i ISO/IEC 27037 (identificació, recollida i preservació de l'evidència digital, apartat 8) són les normes de la família que aquest tema desenvolupa.

La ISO 22301 (continuïtat de negoci) no: aquí només s'anomena, perquè la recuperació posterior a un incident greu s'emmarca en el pla de continuïtat, que es desenvolupa a DRP i BCP.

Claus d'examen

• La darrera fase de la ISO/IEC 27035 és «lliçons apreses». Els distractors: «notificació a l'autoritat i afectats» (obligació del RGPD i de l'ENS, no una fase de la norma), «neteja» (l'eradicació hi és, però dins de «respostes») i «tancament incident» (concepte de gestió de serveis) (TS-TIC 2025, p. 32).
• El catàleg de tàctiques i tècniques de ciberatac és MITRE ATT&CK, contra COBIT (Control Objectives for Information and Related Technologies), que és govern de les tecnologies de la informació. L'enunciat oficial escriu el nom del catàleg amb una errata que li menja una lletra: la resposta continua sent aquesta (TS-TIC 2025, p. 86).
• Davant una sospita d'incident amb dades personals, la primera notificació és interna: pels canals del SAU al responsable de seguretat (a l'Ajuntament de Barcelona, l'IMI — Institut Municipal d'Informàtica), que avalua i documenta. No s'avisa primer el DPD ni l'APDCAT: intervenen després, i l'autoritat de control només si l'anàlisi confirma bretxa amb risc, dins de les 72 hores (TS-TIC 2023 pràctica, p. 16).
• Les confusions de tipus d'atac cauen tres convocatòries seguides i sempre en el mateix eix. Virus contra troià: la diferència és replicar-se sol, no ser malware ni ser detectable (TS-TIC 2018, p. 71). DDoS: la correcta és la xarxa de màquines que satura amb peticions, i el distractor descriu el ransomware (TS-TIC 2021, p. 77). Ransomware: bloqueig o xifratge amb petició de rescat, i el distractor és la saturació d'amplada de banda (TS-TIC 2025 pràctica, p. 22).
• Un MITM ni satura ni esgota recursos. La pregunta l'envolta de dues denegacions per esgotament —DHCP starvation i SYN flood— i d'una opció que diu que «es detecta fàcilment i no és una amenaça», falsa per definició. Es reconeix perquè escolta i s'interposa (TS-TIC 2021, p. 68).
• Un pen test simula un atac real amb permís de la persona propietària i explota les vulnerabilitats per mesurar l'impacte. Els distractors el confonen amb infectar amb un virus, llançar un DDoS de veritat o monitorar el trànsit, que és el que fa un IDS (TS-TIC 2025, p. 75).

Per recordar

• Cicle NIST: preparació → detecció i anàlisi → contenció, eradicació i recuperació → lliçons apreses.
• ISO/IEC 27035: cinc fases; la darrera és lliçons apreses.
• MITRE ATT&CK és el catàleg de tàctiques i tècniques de ciberatac. La Cyber Kill Chain és el model de fases de l'atac.
• Notificació de bretxa de dades personals: 72 hores a l'autoritat de control (RGPD, art. 33); als interessats només si hi ha alt risc (RGPD, art. 34). Totes s'han de documentar.
• Al sector públic, els incidents rellevants es notifiquen al CCN-CERT (plataforma LUCIA); amb NIS2, alerta en 24 h i notificació en 72 h.
• Ordre de volatilitat: RAM abans que disc; cadena de custòdia i imatge bit a bit amb hash.
• Pen test = simula i explota per mesurar l'impacte real; anàlisi de vulnerabilitats = només detecta i llista.
• NIST CSF 2.0: Govern, Identificar, Protegir, Detectar, Respondre, Recuperar.
• El vector d'entrada dominant continua sent el correu electrònic i el compromís de credencials.

Tema 66 · Seguretat, ENS i RGPD

L'Esquema Nacional de Seguretat (ENS)

Enunciat oficial. L'Esquema Nacional de Seguretat (E.N.S).

Norma: ENS — Reial decret 311/2022, de 3 de maig, pel qual es regula l'Esquema Nacional de Seguretat. Substitueix el RD (Reial Decret) 3/2010. Habilitació legal: Llei 40/2015, art. 156.

1. Objecte i àmbit

Objecte (ENS, art. 1): establir la política de seguretat en la utilització de mitjans electrònics en l'àmbit de la Llei 40/2015, i està constituït pels principis bàsics i requisits mínims que garanteixin adequadament la seguretat de la informació tractada i dels serveis prestats, per assegurar l'accés, la confidencialitat, la integritat, la traçabilitat, l'autenticitat, la disponibilitat i la conservació de les dades, informacions i serveis utilitzats en mitjans electrònics.

Àmbit (ENS, art. 2): totes les administracions públiques —AGE (Administració General de l'Estat), comunitats autònomes i entitats locals— i el sector públic institucional; és a dir, tot el sector públic. I, a més, els proveïdors i els sistemes de les entitats del sector privat que prestin serveis o proveeixin solucions al sector públic, que n'han d'acreditar la conformitat.

Tres límits de l'àmbit que el tribunal converteix en distractors: no hi ha cap llindar de població que eximeixi un ajuntament; la ciutadania no hi està mai subjecta; i una empresa privada no queda obligada per tractar dades sensibles —això és el RGPD— sinó per prestar servei a l'Administració. Queden fora els sistemes que tracten informació classificada, regits per la seva normativa específica (ENS, art. 3).

Les dimensions de la seguretat són cinc: confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat (C, I, T, A, D). L'article 1 esmenta a més l'accés i la conservació entre les garanties de l'esquema, però no són dimensions valorables: no reben nivell i no compten per fixar la categoria.

Pregunta d'examen: quan es demana quin concepte correspon a una de les dimensions de seguretat que estableix l'ENS, la resposta és una d'aquestes: disponibilitat, autenticitat, integritat, confidencialitat o traçabilitat. No ho són la «resiliència», la «privadesa», la «no-repudi» com a tal ni la «robustesa».

2. Els principis bàsics (ENS, art. 5 a ENS, art. 11)

Són sis, no set. L'art. 5 els enumera i els articles 6 a 11 els desenvolupen, un per article. Els requisits mínims i la proporcionalitat no hi són: van a l'apartat 3, i confondre'ls és el que fa fallar la pregunta de «quin dels següents és un principi bàsic».

1. La seguretat com un procés integral (ENS, art. 6): està constituïda per tots els elements humans, materials, tècnics, jurídics i organitzatius; es concedirà la màxima importància al personal i s'evitaran actuacions puntuals o tractaments conjunturals.
2. Gestió de la seguretat basada en els riscos (ENS, art. 7): l'anàlisi i gestió de riscos és part essencial del procés de seguretat i s'ha de mantenir permanentment actualitzada.
3. Prevenció, detecció, resposta i conservació (ENS, art. 8): les mesures han de garantir la prevenció d'incidents, la seva detecció, la resposta i la recuperació, i la conservació de la informació.
4. Existència de línies de defensa (ENS, art. 9): estratègia de protecció en profunditat, amb múltiples capes, de manera que quan una es vegi compromesa n'hi hagi una altra que permeti guanyar temps, reduir la probabilitat i reaccionar.
5. Vigilància contínua i reavaluació periòdica (ENS, art. 10): permet detectar activitats anòmales i mesurar l'evolució de l'estat de seguretat.
6. Diferenciació de responsabilitats (ENS, art. 11): s'han de diferenciar el responsable de la informació, el responsable del servei, el responsable de la seguretat i el responsable del sistema.

La regla de segregació, i la seva excepció (ENS, art. 13.3): la regla general és que el responsable de la seguretat ha de ser distint del responsable del sistema, sense dependència jeràrquica entre tots dos. Però la incompatibilitat no és absoluta: en situacions excepcionals en què la manca justificada de recursos ho exigeixi, les dues funcions poden recaure en la mateixa persona —o en persones amb relació jeràrquica— sempre que s'apliquin mesures compensatòries que en garanteixin la finalitat, documentades a la Declaració d'Aplicabilitat.

Respondre «mai, sota cap concepte» és el distractor, no la norma. I una dependència jeràrquica del responsable del sistema cap al de seguretat no preserva el principi: és justament el que l'article vol evitar.

Compte amb la norma que cita l'enunciat. Sota el RD 3/2010 (art. 10, «funció diferenciada») la parella que s'havia de separar era responsable del servei i responsable de la seguretat; sota el RD 311/2022 la parella exigida és seguretat i sistema.

3. Els requisits mínims (ENS, art. 12)

La política de seguretat s'ha d'establir d'acord amb quinze requisits mínims. No són principis: són el que cal fer per complir-los, i els articles 13 a 27 en desenvolupen un cadascun.

a) Organització i implantació del procés de seguretat b) Anàlisi i gestió dels riscos c) Gestió de personal d) Professionalitat e) Autorització i control dels accessos f) Protecció de les instal·lacions g) Adquisició de productes de seguretat i contractació de serveis de seguretat h) Mínim privilegi i) Integritat i actualització del sistema j) Protecció de la informació emmagatzemada i en trànsit k) Prevenció davant altres sistemes d'informació interconnectats l) Registre d'activitat i detecció de codi maliciós m) Incidents de seguretat n) Continuïtat de l'activitat o) Millora contínua del procés de seguretat

Els requisits mínims s'han de satisfer sempre, i el criteri per aplicar-los és la proporcionalitat: es despleguen segons la categoria del sistema i el nivell de cada dimensió, de manera que l'esforç sigui proporcional al perjudici que caldria evitar (ENS, art. 28, «compliment dels requisits mínims»).

4. La política de seguretat i els rols

Política de seguretat de la informació (ENS, art. 12 i annex III): és el document de més alt nivell que estableix el conjunt de directrius que regeixen la manera en què una organització gestiona i protegeix la informació i els serveis. Ha de ser aprovada per l'òrgan superior competent —al món local, el Ple o l'òrgan de govern— i ha de contenir:

• els objectius o missió de l'organització;
• el marc legal i regulatori aplicable;
• els rols o funcions de seguretat, amb els deures i responsabilitats de cada lloc i el procediment per a la seva designació i renovació;
• l'estructura del comitè de seguretat de la informació i el procés de resolució de conflictes;
• les directrius per a l'estructuració de la documentació de seguretat del sistema, la seva gestió i accés.

Els quatre rols (ENS, art. 11, el principi, i ENS, art. 13, l'organització del procés de seguretat):

Qui proposa i qui aprova: el responsable de la informació i el del servei fixen requisits (què cal protegir i amb quin nivell); el responsable de la seguretat decideix i proposa les mesures que els satisfan —també les físiques, com el control d'accés a les instal·lacions, als llocs de treball i als sistemes centrals—; el responsable del sistema les implanta. Dins l'organització TIC (Tecnologies de la Informació i la Comunicació), aquesta funció recau en una àrea de seguretat diferenciada de les àrees d'operacions, de serveis generals i de suport a persones usuàries: aquestes executen, l'àrea de seguretat defineix i proposa.

Comitè de seguretat de la informació: òrgan col·legiat que coordina la seguretat entre les diferents àrees, resol conflictes de requisits i eleva les decisions a l'òrgan de govern.

El DPD (delegat de protecció de dades) (RGPD) no és el responsable de la seguretat de l'ENS: són figures diferents i complementàries, encara que han de col·laborar estretament. El DPD supervisa el compliment de la protecció de dades; no decideix les mesures de seguretat ni n'assumeix la responsabilitat.

4.1 La jerarquia normativa: d'objectius a procediments

De les dimensions de seguretat (els objectius, resumides de vegades amb l'acrònim CIA (Confidencialitat, Integritat i Disponibilitat)) es deriva la política de seguretat; d'aquesta, la normativa; i d'aquesta, els procediments i els plans que la porten al dia a dia. És la mateixa jerarquia que estructura el marc organitzatiu de l'annex II (ENS, annex II, apartat 3):

• org.1 Política de seguretat: el document de més alt nivell (vist a dalt), aprovat per l'òrgan superior competent.
• org.2 Normativa de seguretat: regula l'ús correcte d'equips, serveis i instal·lacions, i la responsabilitat del personal en cas d'incompliment.
• org.3 Procediments de seguretat: detallen com fer cada tasca, qui l'ha de fer i com identificar i notificar comportaments anòmals.
• org.4 Procés d'autorització: autoritza formalment l'ús d'instal·lacions, l'entrada en producció d'equips i aplicacions, els enllaços de comunicacions i l'ús de suports, equips mòbils i serveis de tercers.

5. Categorització dels sistemes (ENS, art. 40 i annex I)

5.1 Els nivells de les dimensions

Per a cada dimensió (confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat) s'assigna un nivell: BAIX, MITJÀ o ALT, segons el perjudici que causaria un incident:

• BAIX: perjudici limitat sobre les funcions, els actius o els individus afectats.
• MITJÀ: perjudici greu.
• ALT: perjudici molt greu.

Si una dimensió no es veu afectada, no rep nivell.

5.2 La categoria del sistema

La categoria del sistema es determina a partir de la valoració de les dimensions de seguretat, amb aquesta regla:

• Categoria ALTA si alguna dimensió assoleix el nivell ALT.
• Categoria MITJANA si alguna dimensió assoleix el nivell MITJÀ i cap no és alta.
• Categoria BÀSICA si alguna dimensió assoleix el nivell BAIX i cap no és mitjana ni alta.

És la dimensió més exigent la que arrossega tot el sistema. Aquesta és la regla que es pregunta.

La categoria determina quines mesures de l'annex II són exigibles i amb quin reforç.

6. Les mesures de seguretat (annex II)

Les mesures es divideixen en tres grups — pregunta literal i repetida (2023 i 2025):

Subgrups del marc operacional (op): op.pl planificació · op.acc control d'accés · op.exp explotació · op.ext recursos externs · op.nub serveis al núvol · op.cont continuïtat del servei · op.mon monitoratge del sistema.

Subgrups de les mesures de protecció (mp): mp.if instal·lacions i infraestructures · mp.per gestió del personal · mp.eq equips · mp.com comunicacions · mp.si suports d'informació · mp.sw aplicacions informàtiques · mp.info informació · mp.s serveis.

Aplicació de les mesures: cada mesura indica per a quina categoria és exigible (n.a. no aplicable, aplica, = igual que el nivell anterior, + reforç, ++ reforç addicional) i, en algunes, en funció del nivell de la dimensió afectada. També hi ha mesures de reforç (R) al final de cada mesura.

L'exigència creix amb el nivell, i és gradual. El cas que ha caigut és el mecanisme d'autenticació (op.acc.5): a categoria BÀSICA pot bastar un sol factor —una contrasenya robusta—, i és a partir del nivell MITJÀ que cal un segon factor, reforç que es manté a ALT. Com més amunt la categoria, més exigència, mai menys.

Perfils de compliment específics (ENS, art. 30): permeten adaptar l'ENS a col·lectius o tipus d'entitat. N'hi ha per a entitats locals de població reduïda, per a serveis al núvol i per a altres sectors. Simplifiquen la implantació sense reduir la seguretat exigible.

La contractació pública i les empreses licitadores (ENS, art. 2.3): els plecs dels contractes del sector públic han d'incloure els requisits per assegurar la conformitat amb l'ENS dels sistemes dels contractistes —com la presentació de la Declaració o Certificació de Conformitat—, i aquesta cautela s'estén a la cadena de subministrament d'aquests contractistes segons ho justifiqui l'anàlisi de riscos. És la mesura op.ext.3, protecció de la cadena de subministrament (exigible només a categoria ALTA): estimar el risc que introdueix un proveïdor extern i preveure'l al pla de continuïtat.

Aquesta obligació contractual no s'ha de confondre amb la LCSP (Llei de Contractes del Sector Públic): la LCSP regula el procediment de licitació → tema 3; l'ENS hi afegeix l'exigència de seguretat al proveïdor. I dins d'un procediment de concurs, la fase de recepció d'ofertes és, ella mateixa, un tractament d'informació: noms de persones licitadores i les seves qualificacions, rebuts abans de l'obertura pública, comprometen la confidencialitat —no la integritat (que no es modifiquin), ni la disponibilitat (que s'hi pugui accedir), ni la traçabilitat (qui hi ha accedit)—, perquè el que està en joc és que no es coneguin abans d'hora.

7. Auditoria de la seguretat (ENS, art. 31 i annex III)

Regla que es pregunta literalment:

• Els sistemes de categoria BÀSICA no necessiten auditoria: n'hi ha prou amb una autoavaluació, realitzada pel mateix personal que administra el sistema o en qui aquest delegui, i documentada de la mateixa manera.
• Els sistemes de categoria MITJANA i ALTA han de ser objecte d'una auditoria regular ordinària, almenys cada dos anys, que verifiqui el compliment dels requisits de l'ENS. No cada tres: aquesta és la xifra amb què s'ha construït el distractor.
• Cal fer una auditoria extraordinària sempre que es produeixin modificacions substancials al sistema d'informació que puguin repercutir en les mesures de seguretat requerides. L'auditoria extraordinària reinicia el còmput dels dos anys.
• L'informe d'auditoria ha de dictaminar sobre el grau de compliment, identificar les deficiències i suggerir les mesures correctores o complementàries necessàries, i incloure els criteris metodològics d'auditoria utilitzats, l'abast i l'objectiu, i les dades, fets i observacions en què es basin les conclusions.
• L'auditor ha de tenir independència de l'activitat auditada.
• L'informe s'analitza pel responsable de la seguretat, que n'eleva les conclusions al responsable del sistema perquè adopti les mesures correctores adequades.

Declaració i certificació de conformitat (ENS, art. 38 i Instrucció tècnica de seguretat de conformitat):

• Categoria BÀSICA: declaració de conformitat, feta per la mateixa entitat.
• Categories MITJANA i ALTA: certificació de conformitat, emesa per una entitat de certificació acreditada.
• La conformitat s'ha de publicar a la seu electrònica.

8. Altres previsions

• Les ITS (Instruccions Tècniques de Seguretat): d'obligat compliment, aprovades pel Ministeri competent. N'hi ha d'informe de l'estat de la seguretat, notificació d'incidents, auditoria, conformitat, adquisició de productes, criptologia d'ús, interconnexió i esborrat i destrucció.
• El CCN (Centre Criptològic Nacional) publica les guies CCN-STIC (STIC: Seguretat de les Tecnologies de la Informació i les Comunicacions; sèrie 800): desenvolupen l'ENS. Les bàsiques: CCN-STIC 801 (responsabilitats i funcions), 802 (auditoria), 803 (valoració de sistemes), 804 (guia d'implantació), 806 (pla d'adequació), 808 (verificació del compliment), 809 (declaració i certificació), 823 (serveis al núvol) i 825 (certificacions).
• Eines del CCN, les dues que surten citades a la norma i a les guies: Pilar, per a l'anàlisi de riscos amb la metodologia Magerit, i INES (Informe Nacional de l'Estat de la Seguretat), on es recull l'informe anual.
• Notificació d'incidents (ENS, art. 33): al CCN-CERT (CERT: Computer Emergency Response Team) segons la perillositat, amb la Guia Nacional de Notificació i Gestió de Ciberincidents → tema 65.
• Informe de l'estat de la seguretat (ENS, art. 32): recollida anual d'informació a través d'INES.
• Adquisició de productes (ENS, art. 19): la consideració de productes certificats conforme a normes europees o internacionals —Common Criteria, o el CPSTIC (Catàleg de Productes i Serveis STIC) del CCN— s'exigeix a la categoria ALTA; a mitjana es valora i a bàsica no cal.
• Xifratge (annex II i ITS de criptologia d'ús): l'ús de la criptografia s'ha d'ajustar a aquesta instrucció tècnica i als algorismes aprovats pel CCN.
• Serveis al núvol (op.nub, novetat del RD 311/2022): el proveïdor n'ha d'acreditar la conformitat amb l'ENS. El repartiment de responsabilitats entre proveïdor i client —qui respon de la seguretat del núvol i qui de la seguretat en el núvol— es desenvolupa al tema 59.
• Termini d'adequació: la disposició transitòria del RD 311/2022 va fixar 24 mesos per adequar-se, amb pla d'adequació en cas contrari.

9. Relació amb altres marcs

• RGPD: complementaris, no equivalents. L'ENS protegeix la informació i els serveis de l'Administració; el RGPD protegeix les persones. Les mesures de l'ENS són una manera concreta de complir l'RGPD, art. 32. Un sistema conforme a l'ENS no és automàticament conforme al RGPD, ni a l'inrevés.
• ENI: interoperabilitat; l'ENS, seguretat. Van junts.
• ISO/IEC 27001 (IEC: International Electrotechnical Commission): sistema de gestió de la seguretat de la informació, certificable i voluntari; l'ENS és obligatori per al sector públic. Es poden integrar: hi ha taules de correspondència.
• NIS2 (Network, Information i Systems, directiva 2) i RDL 12/2018 (Reial Decret Llei): seguretat de xarxes i sistemes; obligacions de gestió de riscos i notificació per a entitats essencials i importants.
• Llei 8/2011: infraestructures crítiques.

Claus d'examen

• La confidencialitat és el bé jurídic quan encara no toca conèixer una dada, no quan cal protegir-la de modificació o garantir-hi accés: rebre ofertes i dades de licitadores abans de l'obertura d'un concurs és un cas de manual (TS-TIC 2018, pràctica, supòsit 4, p. 4).
• Sota els objectius (dimensions) hi ha la política; sota la política, la normativa i els procediments/plans que la implanten —org.1 a org.4, en aquest ordre—: no confondre'ls amb els nivells operatius (administració de sistemes, guia per al personal, registres del SGSI (Sistema de Gestió de la Seguretat de la Informació)), que van més avall (TS-TIC 2018, específic, p. 74).
• Qui proposa una mesura de seguretat no és qui l'executa: l'àrea de seguretat defineix i proposa —també la seguretat física—; operacions i serveis generals implanten (TS-TIC 2021, específic, p. 83).
• La regla és que el responsable de la seguretat sigui distint del responsable del sistema; «mai, sota cap concepte» és el distractor. L'art. 13.3 admet acumular-los en situacions excepcionals per manca justificada de recursos, amb mesures compensatòries (TS-TIC 2023, específic, p. 69, i pràctica, p. 23: les dues preguntes van del mateix article).
• Bàsica → autoavaluació; mitjana i alta → auditoria cada dos anys. La categoria BÀSICA no s'audita externament, la trampa més repetida d'aquest bloc; l'altra és canviar els dos anys per tres (TS-TIC 2023, específic, p. 43).
• Sis principis bàsics i quinze requisits mínims: el mínim privilegi i la professionalitat són requisits, no principis (TS-TIC 2023, pràctica, p. 29).

Per recordar

• RD 311/2022. Àmbit: totes les administracions públiques i els proveïdors que els prestin serveis. Ni llindar de població, ni la ciutadania.
• Cinc dimensions: confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat.
• Sis principis bàsics (art. 5, desenvolupats als art. 6 a 11): procés integral · basat en riscos · prevenció, detecció, resposta i conservació · línies de defensa · vigilància contínua i reavaluació · diferenciació de responsabilitats. Els quinze requisits mínims (art. 12) són una altra llista.
• La política de seguretat és el document de més alt nivell i l'aprova l'òrgan superior competent.
• Quatre rols: informació, servei, seguretat i sistema. El de seguretat ha de ser distint del del sistema (explotació) —però l'art. 13.3 ho permet excepcionalment amb mesures compensatòries.
• Nivells BAIX/MITJÀ/ALT per dimensió (perjudici limitat / greu / molt greu); la categoria la marca la dimensió més alta.
• Tres grups de mesures: marc organitzatiu (org), marc operacional (op) i mesures de protecció (mp). L'exigència puja amb la categoria: l'autenticació passa d'un factor a dos a partir de MITJÀ.
• Marc organitzatiu, en ordre: org.1 política, org.2 normativa, org.3 procediments, org.4 autorització. Baixa dels objectius (dimensions) cap a l'operatiu.
• La cadena de subministrament dels contractistes entra a l'ENS via els plecs (art. 2.3) i la mesura op.ext.3, exigible només a categoria ALTA.
• Auditoria: bàsica → autoavaluació; mitjana i alta → auditoria ordinària almenys cada dos anys, i extraordinària en cas de modificació substancial.
• Conformitat: declaració a bàsica, certificació a mitjana i alta, publicada a la seu electrònica.
• ENS i RGPD són complementaris: un no implica l'altre.

Tema 67 · Seguretat, ENS i RGPD

El Reglament General de Protecció de Dades (RGPD)

Enunciat oficial. El Reglament General de Protecció de Dades (RGPD).

Conceptes, principis, bases de licitud, drets i obligacions es desenvolupen al tema 16.2 del bloc comú, que cal estudiar sencer. Aquí s'hi afegeix la vessant tècnica i institucional, i el que ha caigut a les proves específiques.

1. Marc i estructura

• RGPD — Reglament (UE, Unió Europea) 2016/679, aplicable des del 25 de maig de 2018. 99 articles i 173 considerants. En ser un reglament, és directament aplicable sense transposició.
• LOPDGDD — LO 3/2018, que el desenvolupa a Espanya i hi afegeix el títol X de drets digitals.
• Rang constitucional: art. 18.4 CE (Constitució Espanyola) i STC 292/2000 (Sentència del Tribunal Constitucional), que en deriva un dret fonamental autònom —diferent del de la intimitat— amb contingut essencial de poder de disposició i control sobre les pròpies dades; art. 8 de la Carta de Drets Fonamentals de la UE; art. 31 EAC (Estatut d'Autonomia de Catalunya).

2. Definicions clau (art. 4)

El tema 16.2 del bloc comú ja desenvolupa les definicions de l'RGPD, art. 4 més corrents —dada personal, tractament, responsable, encarregat, pseudonimització, perfils—; aquí, les que hi falten i han caigut a examen:

• Fitxer (RGPD, art. 4.6): qualsevol conjunt estructurat de dades personals accessibles d'acord amb criteris determinats, ja sigui centralitzat, descentralitzat o repartit de forma funcional o geogràfica. La mateixa frase sense «personals» no és la del RGPD: és l'adjectiu que delimita l'àmbit del reglament.
• Destinatari (RGPD, art. 4.9): la persona, autoritat, servei o organisme al qual es comuniquen dades personals, sigui o no un tercer. No hi compten les autoritats públiques que rebin dades en el marc d'una investigació concreta.
• Tercer (RGPD, art. 4.10): tota persona o organisme diferent de l'interessat, el responsable, l'encarregat i les persones autoritzades a tractar les dades sota l'autoritat directa d'aquests. Es defineix per exclusió; el destinatari, per rebre la comunicació. Per això un destinatari pot ser un tercer o no ser-ho.

I les tres categories especials que l'RGPD, art. 9 prohibeix tractar però no defineix: les defineix l'art. 4, i és d'aquí que se'n pregunta la lletra.

• Dades relatives a la salut (RGPD, art. 4.15): les relatives a la salut física o mental d'una persona, inclosa la prestació de serveis d'atenció sanitària, que revelin informació sobre el seu estat de salut. No hi ha cap gradació segons el grau d'incapacitat o invalidesa, ni cap limitació als col·lectius sanitaris.
• Dades genètiques (RGPD, art. 4.13): les relatives a les característiques genètiques heretades o adquirides que donin informació única sobre la fisiologia o la salut, obtingudes en particular d'una mostra biològica.
• Dades biomètriques (RGPD, art. 4.14): les obtingudes d'un tractament tècnic específic sobre característiques físiques, fisiològiques o conductuals que permetin o confirmin la identificació única —imatges facials, dades dactiloscòpiques—. És la finalitat identificadora el que les fa categoria especial: una fotografia sola, no.

3. Autoritats de control

**Definició del <abbr title="RGPD, art. 51.

Característiques que estableix el RGPD:

• Independència total en l'exercici de funcions i poders (RGPD, art. 52): no reben instruccions de ningú, disposen de recursos propis i el seu personal té deure de secret.
• Competència al territori del seu estat membre (RGPD, art. 55); no són competents sobre els tribunals en l'exercici de la funció judicial. Per als tractaments transfronterers hi ha el mecanisme de finestreta única i autoritat principal (RGPD, art. 56).
• Funcions (RGPD, art. 57): supervisar i fer aplicar el Reglament, assessorar el parlament i el govern, tractar les reclamacions dels interessats, dur a terme investigacions, promoure la sensibilització i publicar la llista de tractaments que requereixen AIPD (Avaluació d'Impacte relativa a la Protecció de Dades). Publiquen un informe anual d'activitat.
• Poders (RGPD, art. 58), en tres blocs: d'investigació (exigir informació, auditar, accedir a instal·lacions i dades), correctius (de l'advertència a la limitació o prohibició del tractament, la suspensió de transferències i les multes) i d'autorització i consultiu.

A Espanya i a Catalunya:

4. El DPD (delegat de protecció de dades)

Obligatorietat (RGPD, art. 37): sempre que el tractament el faci una autoritat o organisme públic, llevat dels tribunals en l'exercici de la funció judicial —independentment de la mida—; també quan l'activitat principal exigeixi una observació habitual i sistemàtica a gran escala o el tractament a gran escala de categories especials de dades.

Designació (RGPD, art. 37.5 a .7): es tria atenent a les qualitats professionals i als coneixements especialitzats del dret i la pràctica en protecció de dades, sense exigir titulació concreta. Pot ser intern o extern indistintament: el reglament admet que formi part de la plantilla del responsable o de l'encarregat o que exerceixi les funcions en el marc d'un contracte de serveis —sí que hi entra, precisament per deixar les dues portes obertes—. Les dades de contacte s'han de publicar i comunicar a l'autoritat de control.

Posició i garanties (RGPD, art. 38): ha de participar de manera adequada i oportuna en totes les qüestions de protecció de dades; no rep instruccions sobre l'exercici de les seves funcions ni pot ser destituït o sancionat per exercir-les; rendeix comptes directament al més alt nivell jeràrquic del responsable o l'encarregat.

Punt de contacte dels interessats (RGPD, art. 38.4): les persones interessades es poden dirigir al DPD per a totes les qüestions relatives al tractament de les seves dades i a l'exercici dels seus drets. Si algú considera que la seva sol·licitud d'accés, rectificació, oblit, limitació o oposició no s'ha atès correctament, s'adreça al DPD, no al responsable (que a l'Ajuntament és l'Alcaldia) ni directament a l'APDCAT.

Funcions (RGPD, art. 39): informar i assessorar el responsable, l'encarregat i el personal; supervisar el compliment del Reglament; assessorar sobre l'AIPD i supervisar-ne l'execució; cooperar amb l'autoritat de control i actuar-hi com a punt de contacte. El DPD no és el responsable del tractament: assessora i supervisa, però no n'assumeix la responsabilitat.

5. Les avaluacions d'impacte (AIPD/DPIA — Data Protection Impact Assessment)

El nom fidel —el del reglament, l'AEPD i l'APDCAT— és avaluació d'impacte relativa a la protecció de dades; l'abreujada «d'impacte de protecció de dades» circula, però no és la de la norma.

Quan és obligatòria (RGPD, art. 35): quan sigui probable que un tipus de tractament, en particular si utilitza noves tecnologies, comporti un alt risc per als drets i llibertats de les persones físiques, tenint en compte la naturalesa, l'abast, el context i les finalitats. També quan el tractament figuri a la llista que publica l'autoritat de control, o quan el responsable decideixi fer-la discrecionalment arran d'una anàlisi de riscos prèvia.

En tot cas és necessària quan hi ha:

a) avaluació sistemàtica i exhaustiva d'aspectes personals basada en tractament automatitzat, inclosa l'elaboració de perfils, sobre la qual es basin decisions que produeixin efectes jurídics o afectin significativament de manera similar; b) tractament a gran escala de categories especials de dades (RGPD, art. 9) o de dades relatives a condemnes i infraccions penals; c) observació sistemàtica a gran escala d'una zona d'accés públic.

El moment: abans del tractament i com més aviat possible dins del disseny, perquè les conclusions es puguin incorporar. Tres formulacions equivalents del mateix: prèviament a l'inici del tractament, prèviament a la inscripció al registre d'activitats i amb caràcter d'auditoria prèvia. Feta amb el sistema ja en marxa, arriba quan ja no es pot canviar res.

Contingut mínim (RGPD, art. 35.7), quatre punts: descripció sistemàtica de les operacions i les finalitats; avaluació de la necessitat i la proporcionalitat; avaluació dels riscos per als drets i llibertats; i mesures previstes per afrontar-los, amb les garanties i els mecanismes que demostrin la conformitat.

Requisits del procediment: cal l'assessorament del DPD, es pot recollir l'opinió dels interessats i cal revisar-la quan canviï el risc. Un alt risc residual que el responsable no pugui mitigar obliga a la consulta prèvia a l'autoritat de control (RGPD, art. 36), que respon en vuit setmanes (prorrogables sis més).

Llistes i eines: l'APDCAT i l'AEPD publiquen cadascuna la seva llista de tractaments que requereixen AIPD i eines de suport —Gestiona EIPD (Evaluaciones de Impacto en Protección de Datos) i Facilita, de l'AEPD.

Determinació estimativa de l'impacte: ni el <abbr title="RGPD, art. 51.

6. Responsable i encarregat

La distinció fonamental:

• Responsable del tractament (RGPD, art. 4.7): la persona física o jurídica, autoritat pública, servei o altre organisme que, sol o juntament amb d'altres, determina les finalitats i els mitjans del tractament. Decideix el «per què» i el «com».
• Encarregat del tractament (RGPD, art. 4.8): el mateix elenc de subjectes, però que tracta dades personals per compte del responsable. Executa les seves instruccions.

El proveïdor de serveis TIC (Tecnologies de la Informació i la Comunicació) —el que allotja, manté o desenvolupa— és normalment encarregat; l'Administració, responsable, i la responsabilitat davant l'interessat i davant l'autoritat continua sent seva.

A l'Ajuntament de Barcelona (Instrucció de protecció de dades GM_2019_17437): el responsable és l'Alcaldia; cada tractament del Registre de Tractaments té assignada una gerència designada responsable executiva, que és qui el crea i en garanteix el compliment ordinari i qui designa els referents de protecció de dades de la unitat; i el DPD ho supervisa amb independència. Els papers no s'acumulen: el DPD no pot ser alhora responsable —seria jutge i part—, i que una gerència executi el tractament no desplaça la responsabilitat de l'Alcaldia.

El contracte de l'RGPD, art. 28 és obligatori i per escrit (o en forma electrònica) i fixa l'objecte, la durada, la naturalesa i la finalitat del tractament, el tipus de dades, les categories d'interessats i les obligacions i drets del responsable. L'encarregat s'hi compromet, com a mínim, a tractar les dades únicament seguint instruccions documentades, a garantir-ne la confidencialitat, a adoptar les mesures de seguretat de l'RGPD, art. 32, a no subcontractar sense autorització prèvia, a assistir el responsable en els drets dels interessats i en la seguretat, les bretxes, l'AIPD i la consulta prèvia, a suprimir o retornar dades i còpies en acabar, i a permetre'n les auditories.

Subcontractació a un tercer (RGPD, art. 28.2 i .4): cal l'autorització prèvia (específica o general) del responsable, un contracte d'encàrrec amb el subencarregat que li imposi les mateixes obligacions, i que aquest ofereixi garanties suficients de seguretat. El consentiment de la persona interessada no és un requisit: la relació és entre responsable, encarregat i subencarregat, i la persona titular hi és aliena.

Responsables conjunts (RGPD, art. 26): quan dos o més determinen conjuntament finalitats i mitjans, i han de repartir-se les responsabilitats de manera transparent. I si l'encarregat arriba a determinar-les pel seu compte, es converteix en responsable (RGPD, art. 28.10) i respon com a tal.

7. Seguretat i bretxes

Violació de la seguretat de les dades personals (RGPD, art. 4.12): tota violació de la seguretat que ocasioni la destrucció, pèrdua o alteració accidental o il·lícita de dades personals, o bé la comunicació o l'accés no autoritzats a aquestes dades.

Incident i violació no són sinònims, i la relació va en un sol sentit, de gènere a espècie: un incident de seguretat és qualsevol esdeveniment que afecti la seguretat de la informació —una caiguda del servei, una intrusió sense dades personals—, i la violació (o bretxa) és el subconjunt d'incidents en què s'han compromès dades de caràcter personal. No cal que hi hagi fuga: n'hi ha prou amb la pèrdua de disponibilitat. Només les violacions disparen els deures de notificació que segueixen.

• RGPD, art. 32: mesures apropiades al risc, ateses l'estat de la tècnica, els costos i la naturalesa, abast, context i finalitats del tractament. Inclou, si escau: pseudonimització i xifratge; confidencialitat, integritat, disponibilitat i resiliència permanents dels sistemes; capacitat de restaurar ràpidament la disponibilitat i l'accés en cas d'incident; i un procés de verificació i avaluació regulars de l'eficàcia.
• Què ha de fer el responsable davant una violació (RGPD, art. 33 i RGPD, art. 34): notificar-la a l'autoritat de control competent sense dilació indeguda i, de ser possible, en un termini màxim de 72 hores des que en tingui constància —no des que es produeix l'incident—, tret que sigui improbable que suposi un risc; comunicar-la als afectats si el risc és alt; documentar-la en tot cas, també si no la notifica; i adoptar mesures per mitigar-ne els efectes. Qui notifica és el responsable, no el DPD, i el deure no depèn de si el dany és material o immaterial.
• A les administracions públiques la seguretat s'implementa via ENS → tema 66.

8. Règim sancionador

Multes administratives (RGPD, art. 83):

• Fins a 10.000.000 € o el 2 % del volum de negoci total anual global de l'exercici anterior, la quantia que sigui superior: infraccions dels arts. 8 (menors), 11, 25 a 39 (obligacions del responsable i l'encarregat, incloses seguretat, notificació, AIPD i DPD), 42 i 43.
• Fins a 20.000.000 € o el 4 %: infraccions dels principis bàsics (arts. 5, 6, 7 i 9), dels drets dels interessats (arts. 12 a 22), de les transferències internacionals (arts. 44 a 49) i de l'incompliment d'una ordre de l'autoritat.

A Espanya, les administracions públiques no reben multa (LOPDGDD, art. 77): l'autoritat dicta una resolució que declara la infracció amb les mesures i el termini per esmenar-la, la notifica al responsable i al seu superior jeràrquic, la comunica al Defensor del Poble o al Síndic de Greuges, la publica al butlletí oficial i pot proposar actuacions disciplinàries.

Prescripció (LOPDGDD, art. 72–LOPDGDD, art. 74): infraccions molt greus 3 anys, greus 2 anys, lleus 1 any.

9. Punts de contacte amb la vessant tècnica

• Privadesa des del disseny i per defecte (RGPD, art. 25): garanties en la fase de disseny i per defecte, només les dades necessàries per a cada finalitat. Es cobra en arquitectura, model de dades i configuració predeterminada.
• Registre d'activitats de tractament (RGPD, art. 30): obligatori per a totes les autoritats i organismes públics, sense excepció per mida.
• Decisions automatitzades i perfils (RGPD, art. 22): dret a no ser objecte d'una decisió basada únicament en el tractament automatitzat amb efectes jurídics, i a intervenció humana. Connecta amb l'RIA (Reglament d'Intel·ligència Artificial) i amb l'actuació administrativa automatitzada (Llei 40/2015, art. 41) → temes 29 i 30.
• Transferències internacionals (RGPD, art. 44 a RGPD, art. 49) i el núvol → tema 60.
• Dades de prova: no es poden usar dades personals reals en entorns de desenvolupament o proves sense base de licitud i garanties → tema 49. Els registres de traçabilitat també en contenen: cal finalitat, termini i control d'accés.
• Els identificadors tècnics són dades personals. L'RGPD, art. 4.1 hi inclou l'identificador en línia, amb criteri d'identificabilitat indirecta: n'hi ha prou que la dada, combinada amb informació addicional a l'abast raonable d'algú, permeti arribar a la persona. El cas resolt és l'adreça IP (Internet Protocol) —el TJUE (Tribunal de Justícia de la Unió Europea) ho va confirmar per a la IP dinàmica a la sentència Breyer—, i el mateix val per a cookies, identificadors de dispositiu i adreces MAC (Media Access Control). No ho són el número del Registre Mercantil, l'adreça d'un centre de treball per si sola, ni unes dades ja anonimitzades.
• Anonimització vs pseudonimització: només l'anonimització irreversible treu les dades de l'àmbit del RGPD. Les pseudonimitzades continuen sent dades personals —són reidentificables amb la informació guardada a part—: són una mesura de seguretat, no una sortida del reglament.
• Dret de supressió o «dret a l'oblit» (RGPD, art. 17): un dels drets de la persona interessada (arts. 12-22) que permet suprimir les seves dades personals en determinades circumstàncies —no és absolut—: quan ja no siguin necessàries, es retiri el consentiment o s'hagin tractat il·lícitament. Ni és una «visió parcial» de les dades, ni serveix per eludir responsabilitats pròpies. Amb arquitectures immutables (data lakes, blockchain, còpies) és un requisit tècnic que s'ha de dissenyar → temes 32 i 57.

Claus d'examen

• Fitxer cau com un joc de trobar les diferències: dues opcions idèntiques paraula per paraula excepte una, «conjunt estructurat de dades» contra «de dades personals». La bona és la que porta «personals» (TS-TIC 2021, p. 88).
• Tres papers contraposats, i cada pregunta en vol un. Qui respon dels tractaments de l'Ajuntament és l'Alcaldia (TS-TIC 2018, p. 73); qui atén els drets mal atesos és el DPD (TS-TIC 2018, p. 88); qui garanteix el compliment d'un tractament del Registre és la gerència responsable executiva (TS-TIC 2021, p. 70; TS-TIC 2023 pràctica, p. 17). El parany constant és posar el DPD al lloc del responsable (TS-TIC 2021, p. 71).
• Risc = Probabilitat × Impacte ha caigut dues vegades amb els mateixos distractors: sumatori de salvaguardes, cost de pòlisses i valors taxats en taules europees (TS-TIC 2018 pràctica, p. 25; TM-TIC 2021-OP pràctica, p. 12). Cap dels tres estima un risc.
• El moment de l'AIPD també ha caigut dues vegades, i sempre és «abans»; les opcions falses l'ajornen a la posada en producció, al primer any o a l'auditoria de l'ENS (TS-TIC 2018 pràctica, p. 27; TS-TIC 2023, p. 73).
• De la bretxa, la trampa és l'opció que inverteix la relació —«l'incident és un tipus de violació»— (TM-TIC 2021-OP, p. 69); i del termini, que són 72 hores des que se'n té constància, no des de l'incident, i que notifica el responsable, no el DPD (TS-TIC 2025, p. 74; TS-TIC 2025 pràctica, p. 23).
• A subcontractació, la resposta és el requisit que sobra: contracte, informació al responsable i garanties sí; consentiment de la persona titular, no (TS-TIC 2023 pràctica, p. 9). I al DPD intern o extern, l'opció temptadora és «el reglament no hi entra»: hi entra (TM-TIC 2021-OP, p. 63).

Per recordar

• Les autoritats de control són independents, no reben instruccions i tenen poders d'investigació, correctius i d'autorització; no supervisen els tribunals en la funció judicial. La competent per a l'Ajuntament de Barcelona és l'APDCAT.
• Fitxer (art. 4.6): conjunt estructurat de dades personals —no de «dades» a seques—. Destinatari és qui rep la comunicació; tercer es defineix per exclusió. Dades de salut (art. 4.15): salut física o mental, inclosa la prestació de serveis sanitaris.
• El DPD és el punt de contacte dels interessats (art. 38.4): si un dret no s'ha atès bé, la petició va al DPD, no al responsable ni a l'autoritat. Pot ser intern o extern (art. 37.6).
• Una bretxa és una espècie d'incident, no al revés: només ho és quan hi ha dades personals compromeses.
• L'adreça IP i els altres identificadors en línia són dades personals per identificabilitat indirecta; les pseudonimitzades també ho són, i només l'anonimització irreversible surt del RGPD.
• AIPD obligatòria en perfils amb efectes jurídics, categories especials a gran escala i observació sistemàtica a gran escala d'espais públics; abans del tractament i amb assessorament del DPD. Es quantifica amb Risc = Probabilitat × Impacte, i un alt risc residual obliga a la consulta prèvia.
• Responsable = determina finalitats i mitjans; encarregat = tracta per compte del responsable. El contracte de l'art. 28 és obligatori. Per subcontractar cal autorització prèvia, contracte amb el subencarregat i garanties; mai el consentiment de l'interessat.
• Bretxa: 72 hores a l'autoritat, comunicació als interessats només si hi ha alt risc, documentació sempre.
• Multes: 10 M€/2 % i 20 M€/4 %. Les administracions espanyoles no paguen multa: se'ls declara la infracció i es poden proposar actuacions disciplinàries.
• El registre d'activitats és obligatori per a totes les administracions, i la privadesa des del disseny i per defecte és una obligació jurídica amb conseqüències d'arquitectura.

Tema 68 · Seguretat, ENS i RGPD

Certificats digitals i autenticació electrònica

Enunciat oficial. Certificats digitals i autentificació electrònica. eIDAS 2.0, idCAT, T-CAT.

1. Fonaments criptogràfics

Criptografia simètrica: la mateixa clau xifra i desxifra. Ràpida i eficient per a grans volums. Algorismes: AES (Advanced Encryption Standard; 128/192/256), ChaCha20; obsolets: DES, 3DES, RC4 (Rivest Cipher 4). Problema: la distribució de la clau.

Criptografia asimètrica o de clau pública: parell de claus matemàticament relacionades —clau privada (secreta, només la té el titular) i clau pública (que es pot difondre)—. El que es xifra amb una només es pot desxifrar amb l'altra. Algorismes: RSA (Rivest-Shamir-Adleman), ECC (Elliptic Curve Cryptography)/ECDSA (Elliptic Curve Digital Signature Algorithm)/EdDSA, Diffie-Hellman (intercanvi de claus). És molt més lenta que la simètrica.

Les dues aplicacions oposades —cal no confondre-les:

El tipus de xifratge que s'utilitza principalment en la signatura electrònica per garantir l'autenticitat del signant és el CRIPTOGRAFIA ASIMÈTRICA o DE CLAU PÚBLICA: el signant xifra amb la seva clau privada el resum del document, i qualsevol pot verificar-ho amb la seva clau pública. Com que només ell té la clau privada, queda acreditat que ha estat ell. Aquesta és la resposta a la pregunta d'examen.

Funció resum (hash): funció unidireccional que produeix una empremta de longitud fixa d'un missatge. Propietats: resistència a la preimatge i a col·lisions. SHA-2 (SHA-256, SHA-384, SHA-512) i SHA-3 són els vigents; MD5 (Message Digest 5) i SHA-1 estan trencats i no s'han d'usar.

Com funciona realment una signatura: es calcula el hash del document, es xifra el hash amb la clau privada del signant (això és la signatura) i s'adjunta al document juntament amb el certificat. El verificador recalcula el hash, desxifra la signatura amb la clau pública i compara. Si coincideixen: el document no s'ha alterat i l'ha signat el titular de la clau.

Criptografia híbrida: el que fan realment TLS (Transport Layer Security) i S/MIME (Multipurpose Internet Mail Extensions) — asimètrica per acordar una clau de sessió, i simètrica per xifrar les dades.

Criptografia postquàntica, PQC (Post-Quantum Cryptography): els algorismes asimètrics actuals seran trencables per ordinadors quàntics. El NIST ha estandarditzat ML-KEM (Kyber), ML-DSA (Dilithium) i SLH-DSA (SPHINCS+) —SLH (Stateless Hash-Based), DSA (Digital Signature Algorithm)—. Risc actual: «recol·lecta ara, desxifra després».

2. Certificats digitals i PKI

Certificat digital: document electrònic signat per una autoritat de certificació que vincula una clau pública amb la identitat del seu titular, i que en garanteix l'autenticitat.

Estàndard: X.509 v3. Contingut: versió, número de sèrie, algorisme de signatura, emissor (CA), període de validesa, subjecte (titular), clau pública, extensions (ús de la clau, noms alternatius, punts de distribució de CRL (Certificate Revocation List), accés OCSP (Online Certificate Status Protocol), polítiques) i signatura de la CA.

PKI (Public Key Infrastructure) — components:

Revocació: CRL (llista publicada periòdicament) i OCSP (consulta en temps real, amb OCSP stapling per eficiència). Un certificat es revoca per compromís de la clau, canvi de dades o cessament del vincle.

Serveis de validació: a Catalunya, el PSIS (Plataforma de Serveis d'Identificació i Signatura) / Validador del Consorci AOC (Administració Oberta de Catalunya) és el servei que permet a les administracions validar certificats i signatures de múltiples prestadors sense haver d'integrar-los un a un. És la resposta quan es demana un servei de validació de certificats i signatures de confiança. A l'Estat, la plataforma @firma i Valide.

Autenticar-se amb un certificat, no només signar: un certificat també és el mecanisme habitual per autenticar-se davant un servidor, típicament amb TLS mutu: en la negociació, el client demostra que posseeix la clau privada corresponent al certificat que presenta, sense signar cap document. És així com un navegador amb el DNIe o un certificat instal·lat identifica l'usuari davant una seu electrònica.

Autenticar ≠ signar: autenticar-se prova qui ets en el moment de la connexió —una prova efímera, lligada a la sessió—; signar genera una evidència permanent, vinculada a un document concret, amb valor probatori i no-repudi. Per això molts certificats (com el DNIe) separen la clau d'autenticació de la clau de signatura: la primera es fa servir amb poca fricció; la segona exigeix un control més estricte en cada ús perquè les seves conseqüències jurídiques són majors.

3. eIDAS: el marc jurídic europeu

eIDAS — Reglament (UE) 910/2014 (UE: Unió Europea), relatiu a la identificació electrònica i els serveis de confiança per a les transaccions electròniques al mercat interior. És l'estàndard europeu que regula la identificació electrònica i els serveis de confiança en sistemes TIC, i és la resposta a la pregunta d'examen sobre quin estàndard europeu ho regula.

Dos blocs:

1. Identificació electrònica (eID): reconeixement mutu obligatori entre estats membres dels sistemes d'identificació notificats de nivell Substancial o Alt. Tres nivells de seguretat, els criteris dels quals fixa el Reglament d'execució (UE) 2015/1502:

Obligacions del prestador qualificat i règim del certificat qualificat (arts. 20, 24 i 28 eIDAS):

• Auditoria: el QTSP s'audita al seu càrrec i com a mínim cada 24 mesos —dos anys— per un organisme d'avaluació de la conformitat. Ni cada any ni cada cinc.
• Període de validesa: eIDAS no en fixa cap límit. El termini el marca la política de certificació del prestador, així que «no pot superar un any» és una afirmació falsa, no una regla del reglament.
• Suspensió: un certificat qualificat pot estar suspès durant la seva vigència, i mentre ho estigui perd la validesa en aquest període.
• Pseudònim: el reglament preveu expressament que el certificat identifiqui la persona física amb un pseudònim en lloc del nom.

Els tres nivells de signatura electrònica — pregunta segura:

Signatura vs segell: la signatura electrònica és de persones físiques; el segell electrònic és de persones jurídiques i garanteix l'origen i la integritat del document. L'Administració fa servir el segell d'òrgan per a l'actuació automatitzada (Llei 40/2015, art. 42).

Formats de signatura: CAdES (binari, sobre CMS, Cryptographic Message Syntax), XAdES (XML, eXtensible Markup Language), PAdES (PDF) i ASiC (contenidor). Perfils de longevitat: -T (amb segell de temps), -LT (Long Term, amb la informació de validació) i -LTA (Long Term Archive) o -A (arxiu, amb segells encadenats) → tema 44.

Segell de temps qualificat: acredita la data i l'hora i gaudeix de presumpció d'exactitud i d'integritat de les dades en aquell instant.

4. eIDAS 2 i la cartera europea d'identitat digital

eIDAS 2 — Reglament (UE) 2024/1183, que modifica el 910/2014 i estableix el marc europeu d'identitat digital.

La novetat central és l'EUDI Wallet (European Digital Identity Wallet): la cartera d'identitat digital europea que cada estat membre ha d'oferir als seus ciutadans, residents i empreses, de manera gratuïta i voluntària, i que ha de permetre:

• emmagatzemar i presentar la identitat i els atributs electrònics verificables (títols acadèmics, permís de conduir, receptes, certificats professionals, dades de naixement o d'empadronament);
• identificar-se i autenticar-se davant serveis públics i privats de tota la UE;
• signar amb signatura electrònica qualificada gratuïta per a ús no professional;
• fer-ho amb control de l'usuari sobre les dades que comparteix (divulgació selectiva), sense que l'emissor pugui rastrejar-ne l'ús.

El reglament que incorpora el concepte d'EUDI (European Union Digital Identity) i que proporciona a la ciutadania de la Unió una cartera d'identitat digital és eIDAS 2, el Reglament (UE) 2024/1183. Aquesta és la resposta literal a la pregunta d'examen.

Obligacions: els estats han d'oferir la cartera; els serveis privats de sectors regulats (banca, transport, energia, telecomunicacions, plataformes molt grans) han d'acceptar-la quan es requereixi autenticació forta del client. Terminis d'aplicació escalonats.

Altres serveis de confiança nous que hi afegeix eIDAS 2 (no existien al 910/2014 original): atestacions electròniques d'atributs, qualificades o no —diplomes, permisos, partides de naixement en format electrònic verificable—, i registres electrònics qualificats (llibres majors), que estableixen una presumpció legal d'ordre cronològic i integritat de les dades. El marc d'arquitectura i referència, l'ARF (Architecture and Reference Framework), en defineix la implementació tècnica de la cartera. Els certificats qualificats d'autenticació de llocs web, o QWAC (Qualified Website Authentication Certificate), en canvi, ja existien al Reglament de 2014 (art. 3.39 i 45-47); eIDAS 2 no els crea, només ajusta el seu règim.

5. idCAT, T-CAT i els prestadors qualificats

Els sistemes concrets d'identificació i signatura del ciutadà —Cl@ve, el DNIe, el certificat de la FNMT (Fábrica Nacional de Moneda y Timbre), idCAT Mòbil— i el seu ús en el procediment administratiu (quan cal identificar-se, quan cal signar, l'actuació automatitzada amb segell d'òrgan o CSV (Codi Segur de Verificació)) es desenvolupen als temes Sistemes d'identificació i signatura electrònica del ciutadà i Administració electrònica i serveis digitals. Aquí, el fonament tècnic que aquells apliquen, i els dos sistemes que l'enunciat d'aquest tema anomena expressament.

Prestadors qualificats a Catalunya i Espanya: Consorci AOC (idCAT, T-CAT), FNMT-RCM (Real Casa de la Moneda), ANF AC, Camerfirma, Firmaprofesional, Izenpe, Uanataca.

Marc normatiu espanyol: la Llei 6/2020, reguladora de determinats aspectes dels serveis electrònics de confiança, complementa eIDAS a Espanya. La Llei 59/2003 de signatura electrònica va quedar derogada en la major part.

Claus d'examen

• eIDAS no fixa cap límit de validesa per als certificats qualificats: el període el marca la política de certificació de cada prestador, no el reglament — trampa d'afirmació falsa (TS-TIC 2023 pràctica, s2 p. 8).
• Un prestador qualificat de serveis de confiança s'audita com a mínim cada 24 mesos (2 anys), no anualment ni cada 5 anys (TS-TIC 2023 pràctica, s2 p. 7).
• El reglament que regula íntegrament els serveis de confiança és eIDAS (910/2014), no la Llei 6/2020 espanyola, que només el complementa a Espanya (TS-TIC 2023 pràctica, s2 p. 27).
• El mètode de xifratge que garanteix l'autenticitat del signant és l'asimètric, no el simètric ni cap altre (TS-TIC 2025 específic, p. 77).
• eIDAS incorpora identificació i serveis de confiança; eIDAS 2 (Reglament (UE) 2024/1183) hi afegeix l'EUDI Wallet: quan la pregunta demana quin reglament incorpora el concepte d'EUDI, la resposta és eIDAS 2, no l'eIDAS original (TS-TIC 2023 específic, p. 30).

Per recordar

• Confidencialitat: es xifra amb la clau PÚBLICA del destinatari. Signatura: es xifra amb la clau PRIVADA del signant.
• La signatura electrònica es basa en criptografia asimètrica i garanteix autenticitat, integritat i no-repudi; es firma el hash, no el document sencer.
• Certificat X.509 = vincula clau pública i identitat, signat per una CA dins d'una PKI. La RA verifica la identitat; la CA emet; la VA valida.
• Revocació: CRL i OCSP. A Catalunya, el servei de validació és el PSIS/Validador de l'AOC; a l'Estat, @firma.
• eIDAS = Reglament (UE) 910/2014: identificació electrònica (nivells Baix, Substancial i Alt, definits pel Reglament d'execució 2015/1502) i serveis de confiança.
• Un certificat autentica (TLS mutu, prova de possessió de la clau, efímera) o signa (evidència permanent sobre un document); el DNIe en separa la clau d'autenticació de la de signatura.
• Signatura avançada: vinculada de manera única, identifica el signant, sota control exclusiu i detecta qualsevol modificació. Qualificada = avançada + QSCD + certificat qualificat, i equival a la manuscrita.
• Signatura = persones físiques; segell = persones jurídiques.
• eIDAS 2 = Reglament (UE) 2024/1183, que crea l'EUDI Wallet: gratuïta, voluntària, amb atributs verificables i divulgació selectiva.
• idCAT = certificat qualificat de ciutadà del Consorci AOC; T-CAT = certificat qualificat del personal de les administracions catalanes, en targeta criptogràfica (T-CAT P, en programari).