Tema 69 · Signatura, PRL i llengua

Sistemes d'identificació i signatura electrònica del ciutadà

Sense esquema, expressament

Enunciat oficial. Sistemes de identificació i signatura electrònica per part del ciutadà davant la administració. Nivells de identificació.

Els fonaments criptogràfics, els certificats, la PKI (Public Key Infrastructure) i el detall d'eIDAS són al tema 68. Aquí es tracta l'aplicació concreta a la relació del ciutadà amb l'Administració.

1. La distinció fonamental: identificació ≠ signatura

Aquest és el nucli del tema i la pregunta que es repeteix a cada convocatòria.

Llei 39/2015, art. 11.2 — els casos en què SÍ que cal signatura:

«Con carácter general, para realizar cualquier actuación prevista en el procedimiento administrativo, será suficiente con que los interesados acrediten previamente su identidad a través de cualquiera de los medios de identificación previstos en esta Ley. Las Administraciones Públicas sólo requerirán a los interesados el uso obligatorio de firma para: a) Formular solicitudes. b) Presentar declaraciones responsables o comunicaciones. c) Interponer recursos. d) Desistir de acciones. e) Renunciar a derechos.»

Cinc supòsits, i cap més. Per a tot el que no hi sigui —consultar l'estat d'un expedient, accedir a la carpeta ciutadana, aportar documentació complementària a un expedient ja iniciat, formular al·legacions dins d'un tràmit obert, obtenir una còpia— n'hi ha prou amb la identificació.

Formulació de la pregunta d'examen: «per quin tipus d'actuacions del procediment administratiu NO requereixen les administracions públiques l'ús obligatori de signatura?» → totes les que no siguin sol·licituds, declaracions responsables o comunicacions, recursos, desistiments i renúncies.

Regla mnemotècnica: la signatura només cal quan inicies, impugnes o renuncies.

2. Sistemes d'identificació admesos (Llei 39/2015, art. 9)

Les administracions han de verificar la identitat dels interessats mitjançant la comprovació del nom i cognoms o denominació o raó social, segons consti al DNI, NIE (Número d'Identitat d'Estranger) o document equivalent.

Sistemes admesos:

a) Sistemes basats en certificats electrònics qualificats de SIGNATURA electrònica expedits per prestadors inclosos a la «Llista de confiança de prestadors de serveis de certificació» — el cas del DNIe, l'idCAT o el certificat de la FNMT (Fábrica Nacional de Moneda y Timbre). b) Sistemes basats en certificats electrònics qualificats de SEGELL electrònic — per a persones jurídiques i entitats sense personalitat. c) Sistemes de CLAU CONCERTADA i qualsevol altre sistema que les administracions considerin vàlid, en els termes i condicions que s'estableixin, sempre que comptin amb un REGISTRE PREVI com a usuari que permeti garantir la seva identitat, amb comunicació prèvia a la Secretaria General d'Administració Digital (declaració responsable de compliment i dos mesos d'espera abans d'entrar en vigor).

El punt clau de la lletra c) és el registre previ: el que dona valor a un sistema de clau concertada com Cl@ve PIN (Personal Identification Number) o idCAT Mòbil és que la identitat s'ha verificat abans, presencialment o per un mitjà equivalent.

Principi: els sistemes d'identificació admesos per a la signatura serveixen també per a la identificació (Llei 39/2015, art. 10.2). El revers no és cert: no tot sistema d'identificació serveix per signar.

Interoperabilitat amb l'AGE (Llei 39/2015, art. 9.4): l'acceptació d'un d'aquests sistemes per l'AGE (Administració General de l'Estat) serveix per acreditar la identificació electrònica de l'interessat davant totes les administracions públiques, salvant prova en contra. Per això Cl@ve —acceptat per l'AGE— val per fer tràmits amb qualsevol administració, i no només amb la que el va emetre.

3. Sistemes de signatura admesos (Llei 39/2015, art. 10)

Principi general (art. 10.1) —la formulació literal que ha caigut a examen: «els interessats podran signar a través de qualsevol mitjà que permeti acreditar l'autenticitat de l'expressió de la seva voluntat i consentiment, així com la integritat i la inalterabilitat del document». Els distractors habituals hi afegeixen una exigència d'exclusivitat («emesos exclusivament per l'administració») que la llei no fa.

Concreció (art. 10.2) —els sistemes que es consideren vàlids a efectes de signatura quan la relació és electrònica:

a) Sistemes de signatura electrònica qualificada i avançada basats en certificats electrònics qualificats de signatura expedits per prestadors de la llista de confiança. b) Sistemes de segell electrònic qualificat i de segell avançat basats en certificats qualificats de segell. c) Qualsevol altre sistema que les administracions considerin vàlid, en els termes i condicions que s'estableixin, sempre que compti amb un registre previ com a usuari que permeti garantir la seva identitat, amb comunicació prèvia a la SGAD (Secretaria General d'Administració Digital).

Signatura no criptogràfica amb valor jurídic: la lletra c) empara els sistemes de signatura amb clau concertada (per exemple, signar amb Cl@ve o amb idCAT Mòbil), en què el que acredita la voluntat és la combinació d'identificació prèvia registrada, autenticació en el moment i evidència d'acceptació conservada per l'Administració.

Signatura biomètrica o manuscrita digitalitzada: s'usa en atenció presencial (tauletes de signatura). Ha de complir els requisits de la signatura avançada —vincle únic amb el signant, control exclusiu i detecció de modificacions— i el tractament de dades biomètriques és de categoria especial (RGPD, art. 9), amb les exigències que això comporta.

4. Els nivells d'identificació

Marc europeu — eIDAS: els sistemes d'identificació electrònica notificats es classifiquen en tres nivells de seguretat, definits pel Reglament d'execució (UE) 2015/1502 (UE: Unió Europea):

Cada nivell s'avalua sobre quatre elements: inscripció (sol·licitud, verificació de la identitat), gestió del mitjà d'identificació (característiques, emissió, lliurament, activació, suspensió, renovació), autenticació i gestió i organització del prestador.

Reconeixement mutu: un estat membre està obligat a reconèixer els mitjans d'identificació notificats d'un altre estat quan siguin de nivell igual o superior al que exigeix per als seus propis serveis en línia del sector públic, sempre que aquest nivell sigui substancial o alt.

Correspondència pràctica:

Correspondència amb l'ENS: la mesura op.acc.5 mecanisme d'autenticació exigeix, segons la categoria del sistema, requisits creixents; a categoria ALTA cal doble factor i no n'hi ha prou amb contrasenya. La categoria del servei determina, doncs, el nivell d'identificació exigible al ciutadà.

Principi de proporcionalitat: s'ha d'exigir el nivell adequat al risc del tràmit, ni més ni menys. Exigir certificat qualificat per consultar l'estat d'un expedient és una barrera injustificada; acceptar usuari i contrasenya per a una declaració tributària, una temeritat.

5. Assistència, representació i habilitació

• Assistència en l'ús de mitjans electrònics (Llei 39/2015, art. 12): és un dret del ciutadà i una obligació de l'Administració. Les administracions han d'assistir els interessats no obligats que ho sol·licitin, especialment en la identificació i signatura, la presentació al registre i l'obtenció de còpies.
• Funcionari habilitat: si un interessat no disposa dels mitjans electrònics necessaris, la seva identificació o signatura la pot realitzar vàlidament un funcionari públic habilitat, mitjançant l'ús del sistema de signatura de què estigui dotat, sempre que l'interessat s'identifiqui davant seu i presti el seu consentiment exprés, del qual n'ha de quedar constància. Cada administració ha de mantenir un registre actualitzat de funcionaris habilitats, interoperable amb la resta.
• Representació (Llei 39/2015, art. 5): es pot actuar per mitjà de representant. La representació s'ha d'acreditar per a formular sol·licituds, presentar declaracions responsables o comunicacions, interposar recursos, desistir d'accions i renunciar a drets —els mateixos cinc supòsits de la signatura.
• Registre electrònic d'apoderaments (Llei 39/2015, art. 6): cada administració ha de disposar-ne d'un, interoperable amb els altres. Els poders inscrits tenen una validesa màxima de CINC ANYS des de la data d'inscripció i són revocables en qualsevol moment. Tipus: a) general per a qualsevol actuació davant qualsevol administració; b) per a qualsevol actuació davant una administració o organisme concret; c) per a tràmits específics. Servei de l'AOC (Administració Oberta de Catalunya): Representa.

6. Els sistemes disponibles per al ciutadà

Obtenció: el registre previ es fa presencialment a una oficina de registre (OAC (Oficina d'Atenció al Ciutadà), oficines de la Generalitat, de la Seguretat Social o de l'AEAT (Agència Estatal d'Administració Tributària)), amb vídeoidentificació o amb un certificat que ja es tingui.

El detall criptogràfic del DNIe —l'algorisme de hash, el xifrat simètric i asimètric, la derivació de claus de sessió— és de tema 68; aquí només què és i per a què serveix.

7. Bretxa digital i garanties

• Les persones físiques poden triar el canal (Llei 39/2015, art. 14); l'obligació d'ús de mitjans electrònics només afecta els col·lectius de l'art. 14.2.
• L'ús de mitjans electrònics no pot implicar cap discriminació per als ciutadans que es relacionin amb l'Administració per mitjans no electrònics.
• Accessibilitat obligatòria dels canals digitals: RD (Reial Decret) 1112/2018, WCAG (Web Content Accessibility Guidelines) 2.1 nivell AA, declaració d'accessibilitat i mecanisme de comunicació.
• Assistència presencial a les OAC i, a Barcelona, a l'OAC Digital i al 010.
• Simplicitat: la barrera real de l'administració electrònica no acostuma a ser la tecnologia sinó la complexitat del tràmit; per això la tendència és cap a la clau concertada i, a mitjà termini, cap a la cartera digital.

Claus d'examen

• El DNI 3.0 SÍ que implementa xifratge simètric, amb AES (Advanced Encryption Standard) per a les claus de sessió del canal segur: l'opció «no implementa xifrat simètric» és la trampa que ja ha caigut com a afirmació falsa (TS-TIC 2018, p. 30). La resta del detall criptogràfic —hash, derivació de claus— és de tema 68; aquí basta saber que un xip amb doble interfície combina xifrat simètric i asimètric.
• Identificació ≠ signatura, i la diferència exacta és la que pregunten: identificació acredita qui ets, signatura acredita voluntat i garanteix integritat i inalterabilitat del document (TS-TIC 2025, p. 76).
• L'art. 10.1 SÍ que diu «qualsevol mitjà que permeti acreditar l'autenticitat...»: és la formulació literal i la resposta correcta; el distractor típic hi afegeix una exclusivitat («emesos exclusivament per l'administració») que la llei no exigeix (TS-TIC 2021, p. 23).
• idCAT Mòbil i DNIe no s'exclouen: tots dos serveixen per a tràmits a Catalunya, cadascun amb el seu nivell (TS-TIC 2021, p. 30).
• Els cinc supòsits de signatura obligatòria es pregunten per exclusió («NO requereixen signatura»): tot el que no sigui sol·licitar, declarar/comunicar, recórrer, desistir o renunciar (TS-TIC 2023, p. 23).

Per recordar

• Identificació per a tot; signatura només per a: formular sol·licituds, presentar declaracions responsables o comunicacions, interposar recursos, desistir d'accions i renunciar a drets.
• Regla mnemotècnica: només cal signar quan inicies, impugnes o renuncies.
• Sistemes d'identificació (Llei 39/2015, art. 9): certificat qualificat de signatura, certificat qualificat de segell, i clau concertada amb REGISTRE PREVI.
• Els sistemes vàlids per signar serveixen també per identificar; el revés no.
• Tres nivells d'identificació d'eIDAS: BAIX, SUBSTANCIAL i ALT. El reconeixement mutu és obligatori per als nivells substancial i alt.
• idCAT Mòbil i Cl@ve = substancial; DNIe, certificat qualificat i T-CAT = alt.
• L'ENS exigeix doble factor a categoria alta.
• El funcionari habilitat pot identificar i signar per l'interessat amb el seu consentiment exprés i deixant-ne constància; cal un registre de funcionaris habilitats.
• Els apoderaments inscrits duren un màxim de cinc anys i són revocables en qualsevol moment.

Tema 70 · Signatura, PRL i llengua

Arquitectures de seguretat on-premise

Abast decidit per nosaltres: l'enunciat oficial no acota la matèria

Enunciat oficial. Arquitectures de seguretat on-premise.

1. Principis de disseny

• Defensa en profunditat: múltiples capes de control de manera que el compromís d'una no impliqui el compromís del conjunt. És el quart principi bàsic de l'ENS («existència de línies de defensa»).
• Mínim privilegi i necessitat de conèixer.
• Segregació de funcions.
• Denegació per defecte: el que no està expressament permès, està prohibit.
• Segmentació i compartimentació: limitar el moviment lateral.
• Seguretat per disseny i per defecte.
• Simplicitat: una arquitectura que ningú no entén no es pot operar amb seguretat.
• Assumir el compromís: dissenyar suposant que l'atacant ja és a dins.
• Traçabilitat de tot el que passa.

1.1 Tipologia de mesures segons el moment d'actuació

La ISO (International Organization for Standardization) / IEC (International Electrotechnical Commission) 27002:2022 classifica cada control per tipus, segons quan actua respecte de l'incident: preventiu (l'evita), detectiu (l'identifica) i correctiu (el repara després). L'examen fa servir una versió ampliada amb dos matisos intermedis:

2. El model perimetral clàssic

Zones de seguretat: externa (Internet), DMZ (Demilitarized Zone, zona desmilitaritzada; serveis publicats, mai amb dades sensibles), interna (usuaris i servidors), zona de gestió (fora de banda, sense sortida a Internet) i zones especials (IoT, industrial/OT (Operational Technology, tecnologia operacional), convidats, laboratori).

La DMZ és el patró fonamental: una xarxa perimetral que s'ubica entre la intranet i Internet, allotja els serveis accessibles des de l'exterior i està separada tant d'Internet com de la xarxa interna per controls, de manera que un compromís d'un servei publicat no dona accés directe a la xarxa interna.

S'hi entra pels dos costats. Les connexions a la DMZ estan permeses tant des d'Internet com des de la intranet, i totes dues es controlen i supervisen mitjançant tallafocs. Els servidors publicats van dins de la DMZ, no en una xarxa a continuació: posar-los darrere seria deixar-los a la xarxa interna, que és justament el que la DMZ evita.

Límit del model: el perímetre s'ha dissolt —núvol, mobilitat, teletreball, proveïdors—. D'aquí el Zero Trust (secció 6).

3. Controls de xarxa

3.1 Tallafocs

Regles: denegació per defecte al final, ordre significatiu, documentació de cada regla amb propietari i justificació, i revisió periòdica per eliminar regles obsoletes —la font més freqüent de forats.

3.2 IDS i IPS

• IDS (Intrusion Detection System): detecta i alerta; se situa fora del camí del trànsit (mode passiu, per port mirroring).
• IPS (Intrusion Prevention System): el que fa un IPS és analitzar el trànsit en temps real i, quan detecta un patró d'atac o una activitat maliciosa, BLOQUEJAR-LA activament —descartar el paquet, tallar la sessió o reconfigurar el tallafoc—, a més d'alertar. Entre el que inspecciona hi ha les signatures de virus i programari maliciós dins dels fluxos de dades, no només patrons d'atac de xarxa. Se situa en línia amb el trànsit, típicament entre el tallafoc i l'encaminador d'interconnexió a Internet, de manera que tot el trànsit hi passa.
• Mètodes de detecció: per signatures (coneix l'atac) i per anomalies (desviació del comportament normal).
• Compromís: un IPS en línia introdueix latència i, sobretot, risc de fals positiu que talli trànsit legítim. Per això se sol desplegar primer en mode detecció.
• NDR (Network Detection and Response) i honeypots com a controls complementaris.

3.3 Proxies

• Proxy directe (forward proxy): davant dels clients; filtratge d'URL i de categories, memòria cau, control de l'accés a Internet, inspecció TLS i registre.
• Proxy invers (reverse proxy): davant dels SERVIDORS. La seva funció en un escenari de protecció de l'accés remot és rebre les peticions dels clients externs i reenviar-les als servidors interns, de manera que aquests no queden exposats directament a Internet: amaga la topologia i les adreces internes, i actua com a punt únic on aplicar la terminació TLS, l'autenticació prèvia, el balanceig de càrrega, la limitació de ritme, la memòria cau i la inspecció (WAF). Aquesta és la resposta a la pregunta d'examen. Productes: nginx, HAProxy, Apache, Traefik, F5, Azure App Proxy.

3.4 Segmentació

• VLAN (Virtual Local Area Network) i ACL (Access Control List) entre zones; microsegmentació (polítiques a nivell de càrrega de treball) als CPD (Centre de Processament de Dades) i als entorns virtualitzats.
• NAC (Network Access Control): 802.1X i control de compliment del dispositiu abans de donar-li accés → temes 52 i 61.
• Xarxa de gestió fora de banda separada, sense sortida a Internet.
• Separació OT/IT (Information Technology) i models Purdue per a entorns industrials.

3.5 Accés remot

• VPN (Virtual Private Network): IPsec (site-to-site i accés remot) i SSL (Secure Sockets Layer)/TLS (accés remot per navegador o client). Sempre amb MFA (Multi-Factor Authentication). Les seves funcions bàsiques de seguretat són confidencialitat, integritat i autenticació del túnel; NO inclou detecció d'intrusions —això és feina d'un IDS/IPS, no de la VPN: xifrar el trànsit no diu res sobre si el que hi viatja és maliciós.
• Bastió / servidor de salt (jump host) i PAM (Privileged Access Management) amb gravació de sessions per a l'accés administratiu.
• ZTNA (Zero Trust Network Access): substitueix la VPN donant accés a l'aplicació concreta, no a la xarxa.
• RDP (Remote Desktop Protocol) mai exposat directament a Internet: és un dels vectors d'entrada més explotats del ransomware.

4. Seguretat de sistemes i dades

• Enfortiment (hardening): eliminar serveis i comptes innecessaris, canviar credencials per defecte, aplicar línies base de configuració (guies CCN-STIC (Seguretat de les Tecnologies de la Informació i les Comunicacions) de la sèrie 500/600, CIS (Center for Internet Security) Benchmarks, STIG (Security Technical Implementation Guide)), i verificar-les periòdicament.
• Gestió de vulnerabilitats i pedaços amb terminis segons criticitat → tema 54.
• Antimalware i EDR (Endpoint Detection and Response) /XDR (eXtended Detection and Response: la X marca que abasta més capes que l'endpoint) a tots els punts finals i servidors.
• Control d'aplicacions i llistes d'aplicacions permeses.
• Xifratge: en repòs (disc complet, base de dades, cabina) i en trànsit (TLS 1.2/1.3, IPsec). Gestió de claus amb HSM (Hardware Security Module) i separació de funcions.
• Còpies de seguretat immutables i aïllades → tema 57.
• DLP (Data Loss Prevention) per evitar la sortida no autoritzada d'informació.
• Seguretat física del CPD → tema 55.
• Registre i traçabilitat: recollida centralitzada a un SIEM (Security Information and Event Management), amb rellotges sincronitzats (NTP, Network Time Protocol) —sense això, els registres no es poden correlacionar— i protecció dels registres contra la manipulació.

5. Detecció i resposta

L'arquitectura descrita alimenta aquesta capa amb els seus registres i controls (§4); els rols, l'organització i l'operativa de detecció i resposta es desenvolupen al tema 65.

• SIEM per a la correlació; SOAR (Security Orchestration, Automation and Response) per a l'automatització; SOC (Security Operations Center) per a l'operació 24×7 → els seus rols i organització es desenvolupen a tema 65.
• Casos d'ús de detecció definits i mantinguts, no només recollida de registres: un SIEM que només acumula logs no detecta res → el seu disseny i manteniment, a tema 65.
• Caça d'amenaces i intel·ligència d'amenaces → tema 65.
• Pla de resposta a incidents i exercicis → tema 65.
• Deception (honeypots, comptes esquer) com a detecció d'alta fidelitat.
• Proves de penetració (pen test): simulen un atac real, amb permís de la persona propietària del sistema, per trobar i explotar vulnerabilitats i millorar-ne la seguretat → tema 65 ho desenvolupa (caixa negra/grisa/blanca, Red/Blue/Purple Team).

6. Zero Trust

NIST SP (Special Publication) 800-207 — Zero Trust Architecture. Premissa: no es concedeix confiança implícita a cap actiu o compte d'usuari basant-se únicament en la seva ubicació física o de xarxa ni en la propietat de l'actiu.

Els set principis del NIST:

1. Totes les fonts de dades i serveis de còmput es consideren recursos.
2. Tota la comunicació és segura, independentment de la ubicació de la xarxa.
3. L'accés a recursos individuals es concedeix per sessió.
4. L'accés es determina mitjançant polítiques dinàmiques, incloent-hi l'estat observable de la identitat, l'aplicació i l'actiu sol·licitant, i pot incloure altres atributs de comportament i d'entorn.
5. L'organització monitora i mesura la integritat i la postura de seguretat de tots els actius propis i associats.
6. L'autenticació i l'autorització de recursos són dinàmiques i s'apliquen estrictament ABANS de permetre l'accés.
7. L'organització recull tanta informació com pot sobre l'estat actual dels actius, la infraestructura i les comunicacions, i la utilitza per millorar la seva postura.

Components lògics: PDP (punt de decisió de política, amb el motor de polítiques i l'administrador de polítiques) i PEP (Policy Enforcement Point, punt d'aplicació de la política).

Implicació pràctica: es passa de «si ets dins de la xarxa, ets de confiança» a «cada petició s'autentica, s'autoritza i es xifra, i la confiança es reavalua contínuament». La identitat és el nou perímetre → tema 64.

7. Arquitectura i sector públic

• ENS: la família mp.com (protecció de les comunicacions) exigeix perímetre segur, protecció de la confidencialitat i de l'autenticitat i integritat, segregació de xarxes i mitjans alternatius; op.acc el control d'accés; op.exp l'explotació segura; op.mon el monitoratge. La categoria del sistema determina el nivell d'exigència → tema 66.
• Productes certificats: l'ENS, art. 19 exigeix, segons la categoria, l'ús de productes certificats conforme a Common Criteria o inclosos al catàleg CPSTIC: el catàleg de productes i serveis de les tecnologies de la informació i les comunicacions en matèria de seguretat, gestionat pel CCN.
• Guies CCN-STIC de configuració segura i eines del CCN (CLARA, PILAR (Procedimiento Informático y Lógico de Análisis de Riesgos), LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas), microCLAUDIA).
• RGPD, art. 32: les mesures tècniques i organitzatives apropiades al risc.
• RDL 12/2018 (Reial Decret Llei) i NIS2 (Network and Information Security 2): obligacions de gestió de riscos i notificació per a entitats essencials i importants.
• Contractació: en els plecs cal exigir conformitat ENS del proveïdor, requisits de configuració segura, gestió de vulnerabilitats, auditoria i esborrat segur en la retirada.

Claus d'examen

• La taxonomia preventiva / reductiva / detectiva / repressiva / correctiva és una pregunta d'aparellament: ordena mentalment les mesures en la línia del temps de l'incident (abans → durant → després) i encaixen soles (TS-TIC 2018, supòsit 1, p. 18).
• L'IPS se situa típicament entre el tallafoc i l'encaminador d'interconnexió a Internet, i entre el que analitza hi ha les signatures de virus dins dels fluxos de dades, no només patrons d'atac de xarxa (TS-TIC 2023, supòsit 3, p. 27).
• La VPN NO fa detecció d'intrusions: dona confidencialitat, integritat i autenticació del túnel, però no analitza si el que hi viatja és maliciós —la trampa clàssica de l'examen (TS-TIC 2021, supòsit 2, p. 20).

Per recordar

• Defensa en profunditat, mínim privilegi, denegació per defecte, segmentació i assumir el compromís.
• Mesures preventives, reductives, detectives, repressives i correctives: s'ordenen en la línia del temps de l'incident.
• La DMZ allotja els serveis publicats i impedeix que el seu compromís doni accés directe a la xarxa interna.
• IDS detecta i alerta (passiu); IPS analitza en línia i BLOQUEJA activament el trànsit maliciós.
• El proxy invers està davant dels servidors: amaga la topologia interna, i concentra TLS, autenticació, balanceig i WAF. El proxy directe està davant dels clients.
• NGFW identifica aplicacions i usuaris, no només ports i IP.
• RDP mai exposat a Internet; accés remot sempre amb MFA.
• Els rellotges sincronitzats (NTP) són condició prèvia per correlacionar registres.
• Zero Trust (NIST SP 800-207): cap confiança implícita per ubicació de xarxa; accés per sessió, polítiques dinàmiques i autorització estricta abans de l'accés.
• L'ENS ho articula a mp.com, op.acc, op.exp i op.mon, amb exigència segons la categoria.

Tema 71 · Signatura, PRL i llengua

Arquitectures de seguretat al Cloud

Elaboració pròpia: la font és de pagament i no es reprodueix

Enunciat oficial. Arquitectures de seguretat al Cloud.

1. El model de responsabilitat compartida

Principi rector de tota la seguretat al núvol: la responsabilitat es reparteix entre proveïdor i client segons el model de servei.

Regla: el proveïdor és responsable de la seguretat DEL núvol; el client, de la seguretat EN el núvol. En tots els models, les dades, les identitats i la configuració són sempre del client, i la responsabilitat jurídica com a responsable del tractament no es delega mai (RGPD).

Conseqüència pràctica: la causa número u dels incidents al núvol no és una vulnerabilitat del proveïdor, sinó la configuració incorrecta del client —cubells d'emmagatzematge públics, grups de seguretat oberts, claus a repositoris, permisos excessius.

2. Els quatre C

Model de seguretat en capes concèntriques per a aplicacions natives al núvol: Cloud → Cluster → Container → Code. La capa Cloud és la que aquest tema desenvolupa (apartats 3 a 7: identitat, dades, xarxa, eines i operació); les capes Cluster, Container i Code —pròpies de l'orquestració de contenidors— es desenvolupen a tic/aplicaciones-nativas-en-la-nube, apartat 6.

3. Identitat: el nou perímetre

• IAM (Identity and Access Management) del proveïdor: usuaris, rols, polítiques, identitats de càrrega de treball (service accounts, managed identities, IRSA: IAM Roles for Service Accounts), i federació amb l'IdP corporatiu.
• Mínim privilegi i permisos temporals: assumir rols en lloc de credencials permanents; accés just a temps.
• MFA (Multi-Factor Authentication) obligatori, especialment per als comptes arrel i administratius; el compte arrel no s'usa mai per a l'operació diària.
• Eliminació de claus estàtiques: la fuita de claus d'accés a repositoris és un vector clàssic.
• Revisió d'accessos i detecció de permisos excessius (CIEM).
• Zero Trust (NIST SP (Special Publication) 800-207): cada petició s'autentica i s'autoritza, amb polítiques dinàmiques basades en context; al núvol es reforça amb identitats de càrrega de treball i xarxa Zero Trust (SASE/SSE, apartat 6). Els set principis del model i la seva arquitectura completa (PDP: Policy Decision Point/PEP: Policy Enforcement Point), independents de l'entorn, es desenvolupen a tic/arquitecturas-de-seguridad-on-premise, apartat 6 → tema 70.

4. Protecció de les dades

• Xifratge en repòs per defecte a tots els serveis, i en trànsit amb TLS (Transport Layer Security) 1.2/1.3.
• Gestió de claus: KMS (Key Management Service) del proveïdor, claus gestionades pel client (CMK: Customer Managed Key), BYOK (Bring Your Own Key, portar la pròpia clau) i HYOK (Hold Your Own Key, mantenir la clau fora del proveïdor). Si el proveïdor no té la clau, la dada que li puguin requerir és inintel·ligible → tema 60.
• Confidential computing: xifratge de les dades en ús, dins d'enclavaments segurs.
• Classificació i etiquetatge de la informació abans de decidir on va.
• Prevenció de pèrdua de dades (DLP: Data Loss Prevention) i descobriment de dades sensibles als magatzems.
• Còpies immutables i aïllades, amb bloqueig d'objectes (WORM: Write Once Read Many) i comptes separats → tema 57.
• Residència i sobirania → tema 60.

5. Seguretat de la xarxa al núvol

• Xarxes virtuals (VPC: Virtual Private Cloud/VNet) amb subxarxes públiques i privades, taules d'encaminament i passarel·les NAT (Network Address Translation).
• Grups de seguretat (amb estat, a nivell d'instància) i ACL (Access Control List) de xarxa (sense estat, a nivell de subxarxa).
• Punts finals privats (private endpoints) i PrivateLink per accedir als serveis gestionats sense sortir a Internet.
• WAF (Web Application Firewall) i protecció anti-DDoS gestionats.
• Connectivitat híbrida: VPN (Virtual Private Network) i connexió dedicada (Direct Connect, ExpressRoute, Interconnect).
• Microsegmentació i malla de serveis amb mTLS → tema 47.
• Egress controlat: filtrar també la sortida, no només l'entrada.

6. Les categories d'eines de seguretat al núvol

Aquest és el bloc de sigles que cau a l'examen:

Els avantatges principals d'un CASB —la pregunta d'examen: proporcionar visibilitat i control centralitzats sobre l'ús dels serveis al núvol per part de l'organització, incloent-hi la detecció del shadow IT (aplicacions SaaS usades sense aprovació), l'aplicació uniforme de les polítiques de seguretat i de protecció de dades sobre múltiples serveis SaaS, i la detecció d'usos anòmals o de risc. És exactament la resposta quan l'escenari diu que cal millorar la visibilitat i el control sobre l'ús que fan les persones usuàries de les aplicacions i els serveis al núvol.

Els quatre pilars del CASB: visibilitat, compliment, seguretat de les dades i protecció davant amenaces.

Modes de desplegament del CASB: API (Application Programming Interface; fora de banda, sobre el servei SaaS, sense afectar el trànsit), proxy directe (a l'endpoint o a la xarxa) i proxy invers (per a dispositius no gestionats, integrat amb l'IdP).

7. Operació segura

• Registres i auditoria: activar els registres del pla de control (CloudTrail, Activity Log, Cloud Audit Logs) a tots els comptes i regions, enviar-los a un compte separat i immutable, i integrar-los al SIEM (Security Information and Event Management).
• Monitoratge i detecció gestionats (GuardDuty, Defender for Cloud, Security Command Center).
• Gestió de secrets amb magatzems dedicats (Secrets Manager, Key Vault, HashiCorp Vault); mai secrets al codi ni a les imatges.
• Infraestructura com a codi amb anàlisi de seguretat (Checkov, tfsec, Terrascan) i polítiques com a codi (OPA: Open Policy Agent, Sentinel, Kyverno).
• Estructura de comptes (landing zone): separar producció, preproducció, desenvolupament i seguretat en comptes o subscripcions diferents, amb barreres de protecció (guardrails) a nivell d'organització (SCP: Service Control Policy, Azure Policy). La separació de comptes és el control d'aïllament més fort del núvol.
• Gestió de vulnerabilitats d'imatges i de dependències al pipeline.
• Resposta a incidents al núvol: cal preveure com s'aïlla una instància, com es preserva l'evidència (instantànies) i qui té accés d'emergència.

8. Compliment al sector públic

• ENS: els serveis al núvol han de ser conformes amb l'ENS; el RD (Reial Decret) 311/2022 hi dedica la família op.nub (serveis al núvol) i el CCN (Centro Criptológico Nacional) publica el perfil de compliment específic per a serveis al núvol i la CCN-STIC-823 (Seguridad de las Tecnologías de la Información y las Comunicaciones). Cal verificar la conformitat del proveïdor i assumir la part del client.
• RGPD: el proveïdor és encarregat; cal el contracte de l'RGPD, art. 28, control de subencarregats, ubicació i transferències internacionals (RGPD, art. 44 i següents), i sovint AIPD (Avaluació d'Impacte de Protecció de Dades) → temes 67 i 60.
• NIS2 (Network and Information Security 2) i RDL (Reial Decret Llei) 12/2018: gestió de riscos de la cadena de subministrament i notificació d'incidents.
• LCSP: al plec, conformitat ENS, SLA (Service Level Agreement), auditoria, reversibilitat i portabilitat, propietat de les dades, notificació d'incidents i condicions de sortida.
• Data Act: obligacions de facilitar el canvi de proveïdor.
• Certificacions de referència del proveïdor: ENS, ISO/IEC 27001, ISO/IEC 27017 (seguretat al núvol), ISO/IEC 27018 (dades personals al núvol), SOC (System and Organization Controls) 2, CSA (Cloud Security Alliance) STAR (Security, Trust, Assurance and Risk), basada en la seva CCM (Cloud Controls Matrix), i el futur EUCS (European Union Cybersecurity Certification Scheme for Cloud Services) europeu.

9. Errors habituals

1. Assumir que el proveïdor ho protegeix tot: el model és compartit.
2. Emmagatzematge exposat públicament per configuració per defecte mal entesa.
3. Credencials i claus al codi o a repositoris públics.
4. Permisos excessius i rols amb comodins.
5. Manca de registre o registres no centralitzats ni protegits.
6. Comptes sense MFA, especialment els administratius.
7. Un únic compte per a tot, sense separació d'entorns.
8. Recursos orfes sense propietari ni actualització.
9. No provar la recuperació.
10. Shadow IT: serveis contractats fora del control de TI (Tecnologies de la Informació), sense contracte d'encarregat ni avaluació de riscos.

Claus d'examen

• CASB és la resposta quan l'escenari parla de visibilitat i control centralitzat sobre l'ús que fan les persones usuàries de les aplicacions i els serveis al núvol —incloent-hi el shadow IT—, no quan parla de correlacionar registres (SIEM), protegir l'endpoint (EDR: Endpoint Detection and Response) o només evitar fuites de dades (DLP), que és una de les quatre capacitats del CASB, no la seva definició (TS-TIC 2023 específic, p. 78).
• El CASB no substitueix el tallafoc ni gestiona identitats: aquestes són les distractores habituals. Gestiona polítiques i visibilitat sobre serveis gestionats i no gestionats; la gestió d'identitats és funció de l'IAM/IdP (TS-TIC 2025 específic, p. 79).

Per recordar

• Responsabilitat compartida: el proveïdor protegeix el núvol; el client, el que hi posa. Dades, identitats i configuració són sempre del client.
• La causa número u dels incidents al núvol és la configuració incorrecta del client.
• CASB = visibilitat i control sobre l'ús dels serveis al núvol, detecció de shadow IT, aplicació de polítiques i protecció de dades. Quatre pilars: visibilitat, compliment, seguretat de les dades i protecció davant amenaces.
• CSPM = configuracions incorrectes; CWPP = càrregues de treball; CIEM = permisos; CNAPP = tot integrat.
• SASE = xarxa + seguretat al núvol; ZTNA substitueix la VPN donant accés a l'aplicació, no a la xarxa.
• BYOK/HYOK: si el proveïdor no té la clau, la dada requerida és inintel·ligible.
• Grups de seguretat = amb estat, per instància; ACL de xarxa = sense estat, per subxarxa.
• Separar comptes per entorn és el control d'aïllament més fort.
• L'ENS hi dedica la família op.nub, i el CCN publica el perfil de compliment per a serveis al núvol.

Tema 72.1 · Signatura, PRL i llengua

Prevenció de riscos laborals: la Llei 31/1995

Enunciat oficial. Llei 31/1995, de 8 de novembre, de prevenció de riscos laborals: objecte, àmbit d'aplicació i definicions. Política en matèria de prevenció de riscos per protegir la seguretat i la salut en el treball. Drets i obligacions. Consulta i participació del personal.

Aquest tema és una meitat. El programa oficial ho diu tot en un sol epígraf, el 72. Aquesta casa el parteix en dos temes perquè són dues matèries que no comparteixen ni una paraula, i cadascun es queda el seu tros literal de l'enunciat: junts són l'epígraf sencer (norma C-34). L'altra meitat és barcelona/reglamento-de-uso-del-catalan.

Norma: LPRL — Llei 31/1995, de 8 de novembre. Desplegament reglamentari principal: RD 39/1997 (Reglament dels serveis de prevenció). Fonament constitucional: art. 40.2 de la CE (Constitució Espanyola), que encomana als poders públics vetllar per la seguretat i higiene en el treball.

1. Objecte, àmbit d'aplicació i caràcter de la llei

Objecte (LPRL, art. 2): promoure la seguretat i la salut dels treballadors mitjançant l'aplicació de mesures i el desenvolupament de les activitats necessàries per a la prevenció de riscos derivats del treball. Estableix els principis generals relatius a la prevenció dels riscos professionals per a la protecció de la seguretat i de la salut, l'eliminació o disminució dels riscos derivats del treball, la informació, la consulta, la participació equilibrada i la formació dels treballadors.

Caràcter: les seves disposicions són de dret necessari mínim indisponible; es poden millorar per conveni col·lectiu, mai empitjorar.

Àmbit d'aplicació (LPRL, art. 3): s'aplica tant en l'àmbit de les relacions laborals regulades per l'Estatut dels Treballadors com en el de les relacions de caràcter administratiu o estatutari del PERSONAL AL SERVEI DE LES ADMINISTRACIONS PÚBLIQUES, amb les peculiaritats que s'hi preveuen. Per tant, s'aplica plenament al personal funcionari municipal —és aquest article, i no cap disposició addicional, el que ho estableix.

Exclusions i particularitats: policia, seguretat i resguard duaner, serveis operatius de protecció civil i peritatge forense en casos de greu risc, catàstrofe i calamitat pública; la llei els inspira però se'n regeixen per la seva normativa específica. Els centres i establiments militars i els establiments penitenciaris tenen adaptacions. En queda exclosa la relació laboral especial del servei de la llar familiar, si bé el titular de la llar té l'obligació de cuidar que el treball es faci en les degudes condicions de seguretat i higiene.

2. Definicions (LPRL, art. 4) — literals

Compte amb la distinció: risc = possibilitat de patir un dany; perill = font potencial de dany; dany = la lesió o malaltia efectivament patida.

3. Política de prevenció (LPRL, art. 5 a LPRL, art. 13)

Objecte de la política (LPRL, art. 5): la promoció de la millora de les condicions de treball dirigida a elevar el nivell de protecció de la seguretat i la salut dels treballadors. S'ha d'articular mitjançant l'ordenació de les actuacions dels poders públics, la participació d'empresaris i treballadors a través de les seves organitzacions representatives, i el foment de la formació en matèria preventiva a tots els nivells educatius.

Òrgans i institucions:

• INSST (Institut Nacional de Seguretat i Salut en el Treball) (LPRL, art. 8): òrgan científic tècnic especialitzat de l'Administració General de l'Estat que té com a missió l'anàlisi i l'estudi de les condicions de seguretat i salut en el treball, així com la promoció i el suport a la seva millora.
• Inspecció de Treball i Seguretat Social (LPRL, art. 9): funció de vigilància i control de la normativa.
• Comissió Nacional de Seguretat i Salut en el Treball (LPRL, art. 13): òrgan col·legiat assessor de les administracions públiques en la formulació de les polítiques de prevenció i òrgan de participació institucional en matèria de seguretat i salut en el treball.

Composició — pregunta literal: està integrada per un representant de cadascuna de les comunitats autònomes i pel mateix nombre de membres de l'AGE (Administració General de l'Estat) i, paritàriament amb tots els anteriors, per representants de les organitzacions empresarials i sindicals més representatives. És a dir, composició quadripartida i paritària: administracions (estatal i autonòmiques) d'una banda, i organitzacions empresarials i sindicals de l'altra, amb el mateix pes.

La seva Secretaria l'exerceix l'INSST. Adopta les seves normes de funcionament intern i pot funcionar en Ple, en Comissió Permanent o en grups de treball.

4. Drets i obligacions

El dret bàsic (LPRL, art. 14) — literal

«Los trabajadores tienen derecho a una protección eficaz en materia de seguridad y salud en el trabajo. El citado derecho supone la existencia de un correlativo deber del empresario de protección de los trabajadores frente a los riesgos laborales. […] los derechos de información, consulta y participación, formación en materia preventiva, paralización de la actividad en caso de riesgo grave e inminente y vigilancia de su estado de salud […] forman parte del derecho de los trabajadores a una protección eficaz.»

Els drets que integren el dret a una protecció eficaç són, doncs: INFORMACIÓ, CONSULTA I PARTICIPACIÓ, FORMACIÓ en matèria preventiva, PARALITZACIÓ de l'activitat en cas de risc greu i imminent, i VIGILÀNCIA DE L'ESTAT DE SALUT. Aquesta és la resposta literal a la pregunta d'examen.

Altres regles de l'art. 14: l'empresari ha de garantir la seguretat i la salut en tots els aspectes relacionats amb el treball; el cost de les mesures NO ha de recaure en cap cas sobre els treballadors; l'empresari ha de desenvolupar una acció permanent de seguiment de l'activitat preventiva.

Els nou principis de l'acció preventiva (LPRL, art. 15) — l'ordre importa

a) Evitar els riscos. b) Avaluar els riscos que no es puguin evitar. c) Combatre els riscos en el seu origen. d) Adaptar el treball a la persona, en particular pel que fa a la concepció dels llocs de treball, l'elecció dels equips i els mètodes de treball i de producció, amb vista, en particular, a atenuar el treball monòton i repetitiu i a reduir-ne els efectes en la salut. e) Tenir en compte l'evolució de la tècnica. f) Substituir el que sigui perillós pel que comporti poc perill o cap. g) Planificar la prevenció, buscant un conjunt coherent que hi integri la tècnica, l'organització del treball, les condicions de treball, les relacions socials i la influència dels factors ambientals. h) Adoptar mesures que anteposin la protecció COL·LECTIVA a la INDIVIDUAL. i) Donar les degudes instruccions als treballadors.

Dues idees que cauen: primer evitar, després avaluar; i la protecció col·lectiva té prioritat sobre l'individual (l'EPI és l'últim recurs).

Obligacions de l'empresari

• Pla de prevenció de riscos laborals, avaluació dels riscos i planificació de l'activitat preventiva (LPRL, art. 16): la prevenció s'ha d'integrar en el sistema general de gestió de l'empresa, tant en el conjunt de les seves activitats com en tots els nivells jeràrquics, mitjançant el pla de prevenció. Els seus instruments essencials són l'avaluació de riscos i la planificació de l'activitat preventiva. L'avaluació s'ha d'actualitzar quan canviïn les condicions i, en tot cas, quan s'hagin produït danys per a la salut.
• Equips de treball i mitjans de protecció (LPRL, art. 17) i EPI, que s'han de facilitar gratuïtament.
• Informació, consulta i participació (LPRL, art. 18).
• Formació (LPRL, art. 19): teòrica i pràctica, suficient i adequada, en el moment de la contractació i quan canviïn les funcions o s'introdueixin tecnologies noves. S'ha d'impartir dins de la jornada de treball o, si no, descomptant-ne el temps, i el seu cost no ha de recaure en cap cas sobre els treballadors.
• Mesures d'emergència (LPRL, art. 20): primers auxilis, lluita contra incendis i evacuació, amb designació de personal i comprovació periòdica.

La llei obliga a tenir-ho preparat i no diu com s'actua; això ho posa la pràctica de primers auxilis amb la conducta PAS (Protegir, Avisar, Socórrer), i l'ordre és tota la resposta: primer protegir el lloc —evitar una segona víctima, i la primera candidata és qui socorre—, després avisar els serveis d'emergència (112) i socórrer l'accidentat només llavors. Socórrer sense protegir és com es multipliquen les víctimes, i per això els distractors juguen amb l'ordre i no amb les paraules. - Risc greu i imminent (LPRL, art. 21): informar el més aviat possible; adoptar mesures perquè els treballadors puguin interrompre l'activitat i abandonar el lloc; i el dret dels treballadors a paralitzar l'activitat i a no reprendre-la mentre persisteixi el risc. Els representants dels treballadors poden acordar la paralització per majoria dels seus membres si l'empresari no adopta les mesures. - Vigilància de la salut (LPRL, art. 22): l'empresari ha de garantir als treballadors la vigilància periòdica de l'estat de salut en funció dels riscos. És VOLUNTÀRIA per al treballador, i només és obligatòria —previ informe dels representants— en tres supòsits: quan sigui imprescindible per avaluar els efectes de les condicions de treball sobre la salut, quan calgui verificar si l'estat de salut del treballador pot constituir un perill per a ell mateix, per als altres treballadors o per a terceres persones, o quan estigui establert en una disposició legal per a la protecció de riscos específics i activitats d'especial perillositat. S'ha de fer respectant el dret a la intimitat i a la dignitat i la confidencialitat de tota la informació; l'accés a la informació mèdica de caràcter personal es limita al personal mèdic, i no es pot facilitar a l'empresari, a qui només s'informa de les conclusions d'aptitud. - Documentació (LPRL, art. 23) i coordinació d'activitats empresarials (LPRL, art. 24). - Protecció de treballadors especialment sensibles (LPRL, art. 25), protecció de la maternitat (LPRL, art. 26), menors (LPRL, art. 27) i relacions de treball temporals i ETT (Empresa de Treball Temporal) (LPRL, art. 28).

Obligacions dels treballadors (LPRL, art. 29)

Correspon a cada treballador vetllar, segons les seves possibilitats i mitjançant el compliment de les mesures de prevenció, per la seva pròpia seguretat i salut i per la d'aquelles altres persones a les quals pugui afectar la seva activitat professional. En particular:

1. Usar adequadament màquines, aparells, eines, substàncies perilloses, equips de transport i, en general, qualssevol altres mitjans.
2. Utilitzar correctament els mitjans i equips de protecció facilitats.
3. No posar fora de funcionament i utilitzar correctament els dispositius de seguretat.
4. Informar immediatament el seu superior jeràrquic directe i els treballadors designats o el servei de prevenció sobre qualsevol situació que consideri que pot presentar un risc.
5. Contribuir al compliment de les obligacions establertes per l'autoritat competent.
6. Cooperar amb l'empresari perquè aquest pugui garantir unes condicions de treball segures.

L'incompliment d'aquestes obligacions té la consideració d'incompliment laboral o de falta, segons el règim aplicable.

5. Organització de la prevenció (LPRL, art. 30 a LPRL, art. 32bis)

Modalitats d'organització, aplicables igual a l'empresa privada que a una entitat local (RD 39/1997): assumpció personal per l'empresari (només en empreses de menys de 10 treballadors i sense activitats de l'annex I), designació de treballadors, servei de prevenció propi, servei de prevenció mancomunat i servei de prevenció aliè.

Servei de prevenció propi obligatori: empreses de més de 500 treballadors, o de 250 a 500 si desenvolupen activitats de l'annex I, o quan ho decideixi l'autoritat laboral.

Especialitats o disciplines preventives (quatre): seguretat en el treball, higiene industrial, ergonomia i psicosociologia aplicada i medicina del treball.

6. Consulta i participació (LPRL, art. 33 a LPRL, art. 40)

Consulta (LPRL, art. 33): l'empresari ha de consultar els treballadors, amb la deguda antelació, l'adopció de les decisions relatives a: la planificació i organització del treball i la introducció de noves tecnologies; l'organització i el desenvolupament de les activitats de protecció i prevenció; la designació de treballadors i el recurs a un servei de prevenció aliè; els procediments d'informació i documentació; el projecte i l'organització de la formació; i qualsevol altra acció que pugui tenir efectes substancials sobre la seguretat i la salut.

Delegats de prevenció (LPRL, art. 35): són els representants dels treballadors amb funcions específiques en matèria de prevenció de riscos en el treball. Es designen PER I ENTRE ELS REPRESENTANTS DEL PERSONAL (delegats de personal o membres del comitè d'empresa o junta de personal) —a l'Ajuntament, doncs, entre els representants sindicals del personal municipal, no per elecció directa dels treballadors.

Escala (LPRL, art. 35.2):

A les empreses de fins a 30 treballadors el delegat de prevenció és el delegat de personal; de 31 a 49, n'hi ha un, elegit pels i entre els delegats de personal.

Competències i facultats (LPRL, art. 36): col·laborar amb la direcció en la millora de l'acció preventiva; promoure i fomentar la cooperació dels treballadors; ser consultats amb caràcter previ; exercir una labor de vigilància i control sobre el compliment de la normativa. Poden acompanyar els tècnics en les avaluacions i els inspectors de treball, tenir accés a la informació i documentació, ser informats dels danys produïts, rebre informació dels òrgans encarregats de la protecció, fer visites als llocs de treball, recaptar mesures de l'empresari i proposar al comitè d'empresa la paralització de l'activitat en cas de risc greu i imminent. El temps utilitzat és crèdit horari retribuït.

Comitè de Seguretat i Salut (LPRL, art. 38): òrgan PARITARI i COL·LEGIAT de participació destinat a la consulta regular i periòdica de les actuacions de l'empresa en matèria de prevenció de riscos. Es constitueix a totes les empreses o centres de treball que comptin amb 50 o més treballadors. Està format pels delegats de prevenció, d'una banda, i per l'empresari i/o els seus representants en NOMBRE IGUAL al dels delegats, de l'altra. Es reuneix trimestralment i sempre que ho sol·liciti alguna de les representacions. Entre les seves facultats (LPRL, art. 39) hi ha la de conèixer i analitzar els danys produïts a la salut o a la integritat física dels treballadors, en qualsevol moment i no només arran d'un accident.

Sigil professional (LPRL, art. 37.3): els delegats de prevenció estan subjectes al deure de sigil respecte de la informació a què accedeixin.

7. Responsabilitats (LPRL, art. 42 a LPRL, art. 54)

L'incompliment pot generar responsabilitat administrativa (infraccions lleus, greus i molt greus del RDL 5/2000 —Reial Decret Legislatiu—, que aprova el text refós de la LISOS (Llei sobre Infraccions i Sancions en l'Ordre Social)), penal, civil i de Seguretat Social (recàrrec de prestacions del 30 % al 50 %). Les responsabilitats administrativa, penal i civil són compatibles, però no es poden sancionar dos cops els mateixos fets amb el mateix fonament (principi non bis in idem).

A les administracions públiques, en lloc de sanció administrativa s'aplica el procediment d'imposició de mesures correctores (LPRL, art. 45.1, paràgraf tercer), amb responsabilitat disciplinària del personal responsable.

8. Riscos del lloc de treball TIC

Els riscos rellevants per a un lloc de les TIC (Tecnologies de la Informació i la Comunicació), d'oficina i de PVD (pantalla de visualització de dades), regulats pel RD 488/1997:

• Riscos ergonòmics: trastorns musculoesquelètics per postures forçades i estàtiques; disseny del lloc (altura de la pantalla a nivell dels ulls, avantbraços horitzontals, peus recolzats), cadira regulable, pauses periòdiques.
• Fatiga visual: il·luminació adequada, evitar reflexos, distància de 40-70 cm, i reconeixements oftalmològics dins de la vigilància de la salut, amb dret a mitjans correctors especials si escau.
• Riscos psicosocials: càrrega mental, tecnoestrès, ritme, autonomia, i el dret a la desconnexió digital (LOPDGDD, art. 88).
• Riscos elèctrics i d'incendi als CPD (Centres de Processament de Dades), i treballs en alçada o en espais confinats en instal·lacions tècniques.
• Teletreball: Llei 10/2021 de treball a distància, que exigeix acord per escrit, avaluació de riscos del lloc a distància, dotació de mitjans i compensació de despeses; a l'Administració, el TREBEP, art. 47bis regula el teletreball del personal públic.

Claus d'examen

• Comissió Nacional de Seguretat i Salut en el Treball: la composició és quadripartida i paritària —comunitats autònomes i AGE d'una banda, organitzacions empresarials i sindicals de l'altra, amb el mateix pes—, no «dos membres per cada comunitat autònoma» ni «un membre per organització» (TS-TIC 2023, p. 80).
• Dret a interrompre l'activitat i abandonar el lloc de treball: només quan el treballador consideri que hi ha un risc greu i imminent per a la seva vida o salut; no val «qualsevol risc», ni «l'accident d'un company el mateix dia» (TS-Enginyeria 2023, p. 73).
• Els drets que integren la protecció eficaç (art. 14): informació, formació preventiva, paralització en risc greu i imminent, consulta i participació, i vigilància de la salut. El parany: la consulta i participació és de tots els treballadors, no només dels membres del Comitè de Seguretat i Salut (TS-TIC 2018, p. 80).
• El mateix bloc de drets torna a caure preguntant quina opció és correcta en comptes de quina és falsa: el distractor típic hi afegeix una condició que la llei no posa, com restringir-los «només als llocs de treball amb risc alt» (TS-TIC 2025, p. 80).
• PAS és un ordre, no una llista: Protegir, Avisar, Socórrer (Comu-A1 2017, p. 83). Els distractors barregen la seqüència o hi posen «Socórrer» al davant, que és precisament el que no s'ha de fer.

Per recordar

• La LPRL s'aplica plenament al personal de les administracions públiques (art. 3, no una disposició addicional).
• Risc laboral = possibilitat que un treballador pateixi un dany derivat del treball; es valora per probabilitat i severitat.
• El dret a una protecció eficaç comprèn informació, consulta i participació, formació, paralització en cas de risc greu i imminent, i vigilància de la salut.
• Principis de l'acció preventiva: primer evitar, després avaluar el que no s'ha pogut evitar; la protecció col·lectiva té prioritat sobre la individual.
• El cost de les mesures preventives i de la formació no recau en cap cas sobre els treballadors.
• La vigilància de la salut és voluntària, amb tres excepcions taxades; la informació mèdica no es facilita a l'empresari.
• Comitè de Seguretat i Salut: òrgan paritari i col·legiat, a partir de 50 treballadors, reunions trimestrals; els seus Delegats de prevenció es designen per i entre els representants del personal (de 50 a 100 treballadors, 2 delegats).
• Comissió Nacional de Seguretat i Salut en el Treball: un representant per comunitat autònoma, igual nombre de l'AGE i, paritàriament amb tots ells, representants de les organitzacions empresarials i sindicals més representatives. La Secretaria l'exerceix l'INSST.

Tema 72.2 · Signatura, PRL i llengua

El Reglament d'ús de la llengua catalana de l'Ajuntament de Barcelona

Sense esquema, expressament

Enunciat oficial. El Reglament d'ús de la llengua catalana de l'Ajuntament de Barcelona.

Aquest tema és una meitat. El programa oficial ho diu tot en un sol epígraf, el 72. Aquesta casa el parteix en dos temes perquè són dues matèries que no comparteixen ni una paraula, i cadascun es queda el seu tros literal de l'enunciat: junts són l'epígraf sencer (norma C-34). L'altra meitat és barcelona/prevencion-de-riesgos-laborales.

Norma: Reglament d'ús de la llengua catalana. Marc superior: art. 3 de la Constitució espanyola, EAC, art. 6 (el català és la llengua pròpia de Catalunya i és, com el castellà, llengua oficial; l'aranès és oficial a Catalunya), EAC, art. 33 i EAC, art. 34 (drets lingüístics), i la Llei 1/1998 (Llei 1/1998, de política lingüística).

1. Àmbit d'aplicació i principis

Àmbit d'aplicació (Reglament, art. 1): abasta l'Ajuntament de Barcelona i els organismes i entitats que en depenen. També hi queden subjectes les empreses que gestionen indirectament serveis locals (per concessió o una altra forma de gestió indirecta), que ho han de preveure en els plecs i contractes, i les empreses amb un concert o conveni de col·laboració amb l'Ajuntament, o beneficiàries d'ajuts o subvencions, que han d'emprar almenys el català en la retolació, els avisos i la documentació adreçats al públic quan estiguin vinculats a l'objecte de l'ajut o el conveni.

• El català és la llengua pròpia de l'Ajuntament de Barcelona i, per tant, la llengua d'ús normal i general de l'organització municipal, en les actuacions internes i en la relació amb els ciutadans, sens perjudici dels drets lingüístics d'aquests.
• Drets dels ciutadans (Llei 1/1998, art. 4): dret a conèixer les dues llengües oficials, a expressar-se en qualsevol de les dues, oralment i per escrit, en les relacions i els actes públics i privats, a ser atesos en qualsevol de les dues i a no ser discriminats per raó de la llengua oficial que utilitzin.
• Deure de disponibilitat lingüística de l'Administració: ha de poder atendre en totes dues llengües oficials.
• Cap requisit de traducció: els documents presentats en qualsevol de les dues llengües oficials són vàlids i no se'n pot exigir traducció.

2. Ús en l'organització municipal i relacions amb els administrats

• Actuacions internes (informes, actes, comunicacions entre òrgans, retolació, aplicacions informàtiques): en català.
• Documentació adreçada als ciutadans: en català, i en castellà si la persona interessada ho sol·licita. En els procediments amb persones interessades que ho demanin, cal lliurar la documentació en la llengua sol·licitada.
• Documents que han de tenir efectes fora del territori de Catalunya: en castellà, sens perjudici de la versió catalana.
• Impresos, formularis i models normalitzats: cal oferir-los en totes dues llengües oficials.
• Atenció oral: el personal ha d'atendre en la llengua oficial que triï el ciutadà.
• Registres (Reglament, art. 18): els assentaments dels registres administratius municipals s'han de fer en català.
• Retolació, senyalització i publicitat institucional: en català, amb les excepcions de la senyalització de trànsit i les que exigeixin la seguretat o la normativa.
• Contractació i subvencions: els contractistes i les entitats beneficiàries han de respectar els drets lingüístics i emprar el català en les seves relacions amb l'Ajuntament i amb la ciutadania en l'execució del contracte; els plecs hi han d'incorporar la clàusula corresponent.
• Aranès i altres llengües: respecte de l'aranès com a llengua oficial i atenció a la diversitat lingüística.
• Òrgans: la Direcció de Serveis Lingüístics o l'Oficina del Català dona suport, assessorament, traducció i formació.

3. Relacions institucionals (Reglament, arts. 9 a 11)

• Amb administracions dins de l'àmbit lingüístic català: la documentació que l'Ajuntament els adreça es redacta en català; en aquesta mateixa llengua es redacten també les comunicacions adreçades a l'Administració General de l'Estat i als òrgans judicials radicats dins d'aquest àmbit.
• Amb administracions de fora de l'àmbit lingüístic català: la documentació oficial es redacta en català i en castellà i, si escau, també en l'altra llengua oficial de l'administració receptora.
• Còpies de documents originals en català que s'enviïn a administracions de fora de l'àmbit lingüístic català: es trameten en català, acompanyades de la traducció a la llengua oficial del territori de destinació.

4. Selecció, provisió i formació del personal (Reglament, arts. 19 a 22)

• Acreditació en l'accés: en tot procés de selecció per accedir a una plaça de l'Ajuntament, inclòs el personal laboral, cal acreditar el coneixement de la llengua catalana —oral i, si escau, escrit— en el grau adequat a les funcions de la plaça; les bases de cada convocatòria han de fixar el nivell exigit, que sol ser el nivell C1 (Certificat de nivell de suficiència) per als grups A1 i A2 —ambdós amb titulació universitària—.
• Tribunals: un membre del Centre de Normalització Lingüística de Barcelona, o de l'entitat que determini la convocatòria, forma part dels tribunals qualificadors com a assessor per valorar els coneixements de català.
• Formació: l'Ajuntament ha de facilitar la formació de català a tot el personal funcionari i laboral, i la formació professional interna s'ha de fer normalment en català.

5. Sistemes d'informació

Aquest és el punt de contacte amb la vessant TIC (tecnologies de la informació i la comunicació) del temari:

• Els ordinadors i els serveis de telefonia mòbil han d'estar adaptats per funcionar en català (Reglament, art. 3.5), i també els programes, l'ofimàtica i les aplicacions dissenyades o adaptades per a usos específics de l'Ajuntament, «en la màxima mesura possible».
• Les aplicacions i els serveis digitals municipals —seu electrònica, tràmits, apps, formularis, missatges d'error, correus automàtics i notificacions— han d'estar en català, amb la versió en castellà disponible per als ciutadans que ho sol·licitin.
• La contractació de programari i de serveis TIC ha d'exigir la disponibilitat en català i la possibilitat de localització, i la terminologia s'ha d'ajustar als criteris del TERMCAT (Centre de Terminologia Catalana).
• L'accessibilitat i la llengua van juntes: WCAG (Web Content Accessibility Guidelines) 2.1 AA i llenguatge clar.
• Els conjunts de dades obertes i les seves metadades s'han de publicar en català → tema 33.

6. Compliment i seguiment (Reglament, arts. 23 i 24)

• Comissió interdepartamental de seguiment: en formen part, com a mínim, l'alcalde o alcaldessa (o la persona en qui delegui la presidència), els regidors o regidores que designi, el secretari o secretària general, el cap o la cap de personal, el responsable del Centre de Normalització Lingüística de Barcelona, i un representant del comitè d'empresa i un altre de la junta de personal.
• Es reuneix almenys un cop l'any —i extraordinàriament quan la convoqui l'alcalde o alcaldessa— per analitzar el compliment i el desplegament del Reglament, i pot proposar-ne l'actualització, l'ampliació o la revisió.
• Sota la seva dependència hi ha una comissió tècnica amb funcions d'informació, seguiment i impuls de la normalització lingüística.

7. Impuls institucional, toponímia i empreses (Reglament, arts. 25 a 29)

L'últim capítol no regula com parla l'Ajuntament cap endins, sinó què fa l'Ajuntament perquè es parli català a la ciutat. És la diferència que el temari pregunta: els capítols anteriors són ús, aquest és foment.

• Foment de l'ús: l'Ajuntament promou el català en la publicitat de la via pública i en les activitats laborals, professionals, mercantils, culturals, associatives, esportives i lúdiques d'àmbit municipal, a través del Centre de Normalització Lingüística de Barcelona o en col·laboració amb ell. Cada organisme municipal ha d'impulsar la normalització en el seu àmbit, amb el suport tècnic d'aquest centre.
• Toponímia (art. 26.2 i 27.2): l'Ajuntament garanteix l'ús de la toponímia oficial catalana —inclosa la forma catalana del nomenclàtor de carrers i vies— i la creació de denominacions genuïnes per a la toponímia nova que surti de l'expansió o la remodelació de l'espai urbà. En la senyalització i en qualsevol suport municipal, la toponímia sempre és la forma catalana: no admet excepció.
• Senyalització viària (art. 27.1): la retolació i la senyalització viària, provisional o fixa, que depengui de l'Ajuntament o que instal·lin les seves adjudicatàries i concessionàries, figura preferentment en català, sens perjudici de la normativa de trànsit i seguretat viària.
• Incentius (art. 28): l'Ajuntament pot establir subvencions, bonificacions i exempcions fiscals per a les actuacions de normalització i foment del català al municipi.
• Empreses concessionàries (art. 29): les empreses municipals i les concessionàries que exploten un servei concedit han d'emprar normalment el català en la documentació interna i en la retolació, i les instruccions d'ús, l'etiquetatge i l'embalatge dels productes o serveis que ofereixen han de ser com a mínim en català (Llei 1/1998, art. 30 i art. 26 de la Llei 3/1993, de l'estatut del consumidor).

Per recordar

• El català és la llengua pròpia i d'ús normal de l'Ajuntament; el ciutadà té dret a ser atès i a rebre la documentació en la llengua oficial que triï i a no ser discriminat per aquest motiu.
• Amb altres administracions dins l'àmbit lingüístic català, sempre en català; fora d'aquest àmbit, en català i castellà.
• L'accés a la funció pública municipal exigeix acreditar coneixement de català (habitualment nivell C1 per als grups A1 i A2, ambdós amb titulació universitària); la Comissió interdepartamental de seguiment es reuneix almenys un cop l'any.
• Els sistemes d'informació municipals han d'estar en català, i la contractació TIC ha d'exigir-ne la disponibilitat.
• La toponímia en la senyalització municipal és sempre la forma catalana (sense excepció); la senyalització viària, en canvi, és preferentment en català, perquè cedeix davant la normativa de trànsit. Les dues estan a l'article 27 i és on es confonen.