Pág. 188

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
JUEVES 24 DE JUNIO DE 2021

B.O.C.M. Núm. 149

— Dispositivos de seguridad in situ del centro de datos. Los centros de datos de
Google utilizan una llave de tarjeta electrónica y un sistema de control de acceso biométrico que está vinculado a un sistema de alarma. El sistema de control de acceso controla y registra la llave de tarjeta electrónica de cada individuo y cuando acceden a las puertas del perímetro, zona de envío y recepción,
y otras áreas críticas. La actividad y los intentos de acceso no autorizados y
fallidos se registran en el sistema de control de acceso y se investigan, según
corresponda. El acceso autorizado a la zona de actividad comercial y centros
de datos se restringe por zonas y en función de las responsabilidades laborales del individuo. Las puertas contra incendios en los centros de datos están
dotadas de alarmas. Hay cámaras de CCTV en funcionamiento tanto dentro
como fuera de los centros de datos. La ubicación de las cámaras ha sido diseñada para cubrir las áreas estratégicas que incluyen, entre otras, el perímetro,
las puertas del edificio del centro de datos, y la zona de envío/recepción. El
personal del operativo de seguridad in situ se encarga del seguimiento, registro y control de los equipos de CCTV. Los equipos de CCTV están conectados con cables de seguridad por todos los centros de datos. Las cámaras graban in situ con grabadoras de vídeo digital las 24 horas del día, 7 días a la
semana. Las grabaciones de vigilancia se conservan durante al menos 30 días
en función de la actividad.
(b) Control de acceso.
— Personal de seguridad de la infraestructura. Google tiene y mantiene una política de seguridad para su personal, que requiere su capacitación en materia de
seguridad como parte del paquete de capacitación de su personal. El personal
de seguridad de la infraestructura de Google es responsable del control continuo de la infraestructura de seguridad de Google, la revisión de los Servicios
del encargado del tratamiento, y de responder a los incidentes de seguridad.
— Control de acceso y gestión de privilegios. Los administradores de la Consejería y los usuarios deben autenticar su identidad a través de un sistema de autenticación central o por medio de un inicio de sesión único en el sistema con
el fin de usar los Servicios del encargado del tratamiento.
— Procesos y políticas de acceso a datos internos: Política de acceso. Los procesos y las políticas de acceso a datos internos de Google están diseñados para
evitar que personas y/o sistemas no autorizados tengan acceso a los sistemas
utilizados para procesar datos personales. Google diseña sus sistemas para: (i)
que solo permitan a las personas autorizadas acceder a los datos que estén autorizados a acceder; y (ii) asegurarse de que los datos personales no pueden
ser leídos, copiados, modificados o retirados sin autorización durante su tratamiento, uso y después de su grabación. Los sistemas están diseñados para
detectar cualquier acceso indebido. Google emplea un sistema de gestión de
acceso centralizado para controlar el acceso del personal a los servidores de
producción, y solo permite el acceso a un número limitado de personal autorizado. Los sistemas de autenticación y autorización de Google utilizan certificados SSH y claves de seguridad, y están diseñados para proporcionar a
Google mecanismos de acceso seguros y flexibles. Estos mecanismos están
diseñados para otorgar solo derechos de acceso aprobados a los hosts del sitio, registros, datos e información de configuración. Google requiere el uso de
identificaciones de usuario únicas, contraseñas seguras, autenticación de dos
factores y listas de acceso cuidadosamente controladas para minimizar el posible uso no autorizado de cuentas. La concesión o modificación de derechos
de acceso se basa en: las responsabilidades laborales del personal autorizado;
los requisitos de las funciones laborales necesarios para realizar las tareas autorizadas; y se otorgará atendiendo al principio de necesidad de conocimiento de la información; La concesión o modificación de derechos de acceso
debe estar en conformidad con las políticas y capacitación de acceso a datos
internos de Google. Se gestionan las aprobaciones con herramientas de flujo
de trabajo que guardan registros de auditoría de todos los cambios. Se registra el acceso a los sistemas para crear un registro de auditoría para dirimir responsabilidades. Cuando se emplean contraseñas para la autenticación (por
ejemplo, para acceder a las estaciones de trabajo), se implementan, al menos,
políticas de contraseñas que siguen las prácticas estándar de la industria. Es-

BOCM-20210624-33

BOCM