Pág. 198

BOLETÍN OFICIAL DE LA COMUNIDAD DE MADRID
JUEVES 24 DE JUNIO DE 2021

B.O.C.M. Núm. 149

de seguridad en los centros de datos vigila un Circuito Cerrado de TV
(CCTV) de cámaras y todos los sistemas de alarmas. El personal del operativo de seguridad en los centros de datos realiza con regularidad patrullas dentro y fuera del centro de datos.
— Procedimientos de Acceso al Centro de Datos. El Importador de Datos mantiene procedimientos formales de acceso para permitir el acceso físico a los
centros de datos. Los centros de datos se ubican en instalaciones que necesitan tarjetas llave electrónicas, con alarmas que están conectadas al operativo
de seguridad del centro de datos. Todos los que acceden al centro de datos están obligados a identificarse y acreditar su identidad ante el operativo de seguridad del centro de datos. Sólo los empleados, contratistas, y visitantes autorizados tienen permitida la entrada a los centros de datos. Sólo los
empleados y contratistas autorizados pueden solicitar las tarjetas llave electrónicas a esas instalaciones. Las solicitudes de tarjetas llave electrónicas de
los centros de datos deben hacerse a través de e-mail, y necesitan la aprobación del responsable (manager) del solicitante y del director del centro de datos. Cualquier otra persona que necesite acceso temporal al centro de datos
debe: (i) obtener la aprobación previa de los responsables del centro de datos
concreto y de las áreas internas que se desean visitar; (ii) registrarse en el operativo de seguridad del centro de datos; e (iii) indicar un registro aprobado de
acceso a centros de datos que identifique al individuo como autorizado.
— Dispositivos de Seguridad en el Centro de Datos. Los centros de datos del Importador de Datos emplean una tarjeta llave electrónica y un sistema de control de acceso biométrico conectados a un sistema de alarma. El sistema de
control de acceso monitoriza y registra la tarjeta llave electrónica de cada individuo y cuándo acceden a las puertas del perímetro, a envíos y recepciones,
y a otras áreas críticas. Toda actividad no autorizada y los intentos fallidos de
acceso se registran por el sistema de control de acceso y se investigan, conforme sea necesario. El acceso autorizado a zonas de operaciones de negocio
y centros de datos está restringido por zonas y por responsabilidades atribuidas al puesto de cada individuo. Las puertas cortafuegos de los centros de datos tienen alarmas. Hay cámaras CCTV funcionando tanto dentro como fuera de los centros de datos. La colocación de las cámaras ha sido planificada
para cubrir áreas estratégicas, incluyendo, entre otros, el perímetro, las puertas del edificio del centro de datos, y los envíos y recepciones. El personal del
operativo de seguridad del centro de datos controla la monitorización del
CCTV, el sistema de grabación y los equipos de control. Los equipos CCTV
están conectados a lo largo de los centros de datos mediante cables seguros.
Las cámaras graban en el lugar a través de grabaciones digitales de vídeo 24
horas al día, los 7 días a la semana. Las grabaciones de vigilancia se mantienen hasta un máximo de 30 días en función de la actividad.
(b) Control de Acceso.
— Personal de Seguridad de la Infraestructura. El Importador de Datos tiene, y
mantiene, una política de seguridad para su personal, y exige formación en seguridad como parte del plan de formación de su personal. El personal de seguridad de la infraestructura del Importador de Datos es responsable de la supervisión en curso de la infraestructura de seguridad del Importador de Datos,
la revisión de los Servicios y de la respuesta a los incidentes de seguridad.
— Control de Acceso y Gestión de Permisos. Los administradores del Exportador de Datos y los usuarios deben autenticarse a sí mismos para utilizar los
Servicios a través del sistema central de autenticación o a través de una firma
única (single sign on) en el sistema. Cada aplicación comprueba las credenciales para permitir que se muestren los datos a un Usuario autorizado o a un
Administrador autorizado.
— Procedimientos y Políticas de Acceso a Datos Internos - Política de Acceso.
Los procesos y políticas de acceso a datos internos de el Importador de Datos
están diseñadas para evitar que personas y sistemas no autorizados tengan acceso a los sistemas empleados para tratar datos personales. El Importador de
Datos tiene como objetivo diseñar sus sistemas para: (i) permitir sólo el acceso a los datos a las personas autorizadas para acceder, y (ii) asegurarse de que
los datos personales no pueden ser leídos, copiados, alterados o eliminados

BOCM-20210624-33

BOCM