BOLETÍN OFICIAL DEL ESTADO
Lunes 25 de octubre de 2021

Sec. I. Pág. 129058

b) Gestión de activos de información: Los activos de información del Departamento
se encontrarán inventariados y categorizados y estarán asociados a un responsable.
c) Seguridad ligada a las personas: se implantarán los mecanismos necesarios
para que cualquier persona que acceda o pueda acceder a los activos de información
conozca sus responsabilidades y, de este modo, se reduzca el riesgo derivado de un uso
indebido de aquellos.
d) Seguridad física: Los activos de información serán emplazados en áreas
seguras, protegidas por controles de acceso físicos adecuados a su nivel de criticidad.
Los sistemas y los activos de información que contienen dichas áreas estarán
suficientemente protegidos frente a amenazas físicas o ambientales.
e) Seguridad en la gestión de comunicaciones y operaciones: se establecerán los
procedimientos necesarios para lograr una adecuada gestión de la seguridad, operación
y actualización de las Tecnologías de la Información y Comunicaciones. La información
que se transmita a través de redes de comunicaciones deberá ser adecuadamente
protegida, teniendo en cuenta su nivel de sensibilidad y de criticidad, mediante
mecanismos que garanticen su seguridad.
f) Control de acceso: se limitará el acceso a los activos de información por parte de
usuarios, procesos y otros sistemas de información mediante la implantación de los
mecanismos de identificación, autenticación y autorización acordes a la criticidad de
cada activo. Además, quedará registrada la utilización del sistema con objeto de
asegurar la trazabilidad del acceso y auditar su uso adecuado, conforme a la actividad
de la organización.
g) Adquisición, desarrollo y mantenimiento de los sistemas de información: se
contemplarán los aspectos de seguridad de la información en todas las fases del ciclo de
vida de los sistemas de información, garantizando su seguridad por defecto.
h) Gestión de los incidentes de seguridad: se implantarán los mecanismos
apropiados para la correcta identificación, registro y resolución de los incidentes de
seguridad.
i) Gestión de la continuidad: se implantarán los mecanismos apropiados para
asegurar la disponibilidad de los sistemas de información y mantener la continuidad de
sus procesos de negocio, de acuerdo a las necesidades de nivel de servicio de sus
usuarios.
j) Cumplimiento: se adoptarán las medidas técnicas, organizativas y
procedimentales necesarias para el cumplimiento de la normativa legal vigente en
materia de seguridad de la información.
k) Derechos y deberes de los empleados públicos: el personal empleado público
que presta servicio al Departamento tiene el derecho y el deber de conocer y aplicar esta
PSI y todas las directrices generales, normas y procedimientos de seguridad de la
información que puedan afectar a sus funciones, así como de participar en acciones de
difusión y formación orientadas a mejorar el estado de la seguridad de la información y
las medidas de seguridad para la protección de datos de carácter personal.
3. Aplicabilidad de los principios y requisitos mínimos marcados en el Esquema
Nacional de Seguridad.
Sin perjuicio de lo establecido en los apartados 1 y 2 de este artículo, esta PSI se
establecerá asimismo sobre la base de los principios básicos y se desarrollará aplicando
los requisitos mínimos contemplados en los artículos 4 y 11 del Real Decreto 3/2010,
de 8 de enero.

cve: BOE-A-2021-17277
Verificable en https://www.boe.es

Núm. 255