BOLETÍN OFICIAL DEL ESTADO
Núm. 223

Sábado 14 de septiembre de 2024

Sec. III. Pág. 113919

c. Identidad de los destinatarios de los datos.
d. Plazo de conservación de los datos.
e. Identidad del Responsable ante el que pueden solicitar la rectificación, supresión
y oposición al tratamiento.
f. Datos de contacto del Delegado de Protección de Datos.
C.3)

Medidas de seguridad técnicas para la identificación.

El Encargado implantará como mínimo las siguientes medidas técnicas para
garantizar la identificación y autenticación de los usuarios con acceso a los datos:
1. No se permitirá el uso para fines particulares de aquellos ordenadores y
dispositivos destinados al tratamiento de los datos personales.
2. Se recomienda disponer de perfiles con derechos de administración para la
instalación y configuración del sistema y usuarios sin privilegios o derechos de
administración para el acceso a los datos personales. Esta medida evitará que en caso
de ataque de ciberseguridad puedan obtenerse privilegios de acceso o modificar el
sistema operativo.
3. Se garantizará la existencia de contraseñas (o mecanismos equivalentes) para el
acceso a los datos personales almacenados en sistemas electrónicos. La contraseña
tendrá los menos 8 caracteres, mezcla de números y letras, caracteres especiales, etc. y
se renovarán periódicamente.
4. Cuando a los datos personales accedan distintas personas, para cada una de
ellas, se dispondrá de un usuario y contraseña específicos (identificación inequívoca).
5. Se debe garantizar la confidencialidad de las contraseñas, evitando que queden
expuestas a terceros. En ningún caso se compartirán las contraseñas ni se dejarán
anotadas en lugar común y el acceso de personas distintas del usuario.
C.4)

Medidas de seguridad técnicas para salvaguardar los datos.

1. Actualización de ordenadores y dispositivos. Los dispositivos y ordenadores
utilizados para el almacenamiento y el tratamiento de los datos personales deberán
mantenerse actualizados.
2. Malware. En los ordenadores y dispositivos donde se realice el tratamiento de los
datos personales se dispondrá de un sistema de antivirus que garantice en la medida de
lo posible el robo y destrucción de la información y tales datos personales. El sistema de
antivirus deberá estar actualizado permanentemente y gestionado de forma central.
3. Cortafuegos. Para evitar accesos remotos indebidos a los datos personales se
velará para garantizar la existencia de un cortafuego activado en aquellos sistemas en
los que se realice el almacenamiento y/o tratamiento de los mismos.
4. Cifrado de datos. Cuando se precise utilizar datos personales fuera del recinto
donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, se
deberá valorar la posibilidad de utilizar un método de cifrado para garantizar su
confidencialidad.
5. Copia de seguridad. Periódicamente se realizará una copia de seguridad en un
segundo soporte distinto del que se utiliza para el trabajo diario. La copia se almacenará
en un lugar seguro, distinto de aquél en que esté ubicado el equipo con los ficheros
originales, con el fin de permitir la recuperación de los datos personales en caso de
pérdida de la información.
C.5) Verificación, evaluación y valoración periódica de las medidas de seguridad.
El Encargado implantará un procedimiento periódico que le permita verificar, evaluar
y valorar, la eficacia de las medidas técnicas y organizativas implantadas en los sistemas
de tratamiento, centros de trabajo y usuarios bajo su control.

cve: BOE-A-2024-18468
Verificable en https://www.boe.es

A continuación, se exponen las medidas técnicas mínimas para garantizar la
salvaguarda de los datos personales: