Colocar al usuario en el centro del SI

Los usuarios están en el centro del SI. Mejor aún, son la esencia. En este capítulo proponemos algunos elementos de análisis y de definición del lugar que ocupan, o deberían ocupar, los usuarios. Estos elementos no están conceptualizados. Se trata de pura experiencia. En este caso, aquí retomamos la idea de fondo del estatuto TIC que hemos redactado en atención a los usuarios de la Sociedad Nacional de los Transportes Urbanos (SNDTU).

Este proceso aspira a definir los derechos y deberes recíprocos de la SNDTU y de los usuarios de las tecnologías de la información y de la comunicación que componen su sistema de información, y especialmente:

Las condiciones de puesta a disposición y de uso de los equipos informáticos.
Las normas que deben respetar los usuarios para garantizar la integridad y la seguridad del sistema de información.
Las obligaciones que derivan de la manipulación de datos protegidos y, más específicamente, de datos sobre personas.
Los límites entre uso profesional y uso personal.
El perímetro de los controles que puede realizar la SNDTU.

El concepto de usuario se extiende en el sentido más amplio, lo que incluye:

Los colaboradores de la SNDTU, ya sean permanentes, ocasionales, sustitutos o estudiantes en prácticas, y sea cual sea su situación...

Identidad digital y responsabilidad personal

Identificadores e identidad digital

El acceso a los recursos informáticos necesita autorizaciones previas que se traducen en la atribución de identificadores, contraseñas, tarjetas, llaves físicas o digitales, o cualquier otro medio de identificación. Estos derechos constituyen la identidad digital del usuario y son los fundamentos de su responsabilidad. En todos los casos, estas atribuciones son nominativas y comprometen la responsabilidad personal del usuario.

La dirección general define los derechos; el servicio informático realiza la aplicación técnica, y los gestiona la dirección de recursos humanos. Se crean durante la instalación de un usuario nuevo y cesan automáticamente cuando se va, o si se produce un cambio de asignación o de misión. Cada usuario debe cuidar de que sus cambios de estado en la organización se traduzcan de manera efectiva en cambios de derechos.

Cada usuario debe elegir su contraseña o sus contraseñas conformes con las normas de construcción en vigor y asegurar la renovación de estas según las frecuencias establecidas. El usuario debe proteger el identificador y la contraseña, y no los puede divulgar. Del mismo modo, el usuario tiene prohibido usar un identificador distinto al suyo, usar su identificador para acceder a aplicaciones, a...

Seguridad y buenas prácticas

El hardware informático (unidades centrales de ordenadores, teclados, ratones, impresoras, fotocopiadoras, etc.) contienen elementos mecánicos (ventiladores, carcasas, etc.), electromecánicos (disco duro, lectores ópticos, etc.), electrónicos (procesadores, memorias, etc.) y electroquímicos (baterías y tintas). Por eso se imponen algunas precauciones de uso (temperatura, humedad, impactos, riesgos eléctricos, protección contra robos, etc.).

Esta vigilancia sirve tanto para el hardware fijo como para el itinerante, con una atención mayor a estos últimos, que están especialmente expuestos a los riesgos de degradación o de robo.

En caso de robo de un equipo itinerante, el usuario debe informar inmediatamente a la DSI (incluso antes de presentar una denuncia o de informar a sus superiores), de manera que se tomen medidas de seguridad de forma inmediata. En efecto, se trata de bloquear lo más rápido posible los derechos de acceso que este equipamiento itinerante puede tener sobre el SI de la empresa.

Uso de los códigos y protección de los derechos de acceso

Los códigos (pareja identificador/contraseña) son la base de la seguridad de los SI. Se poseen a título personal y no deben comunicarse en ningún caso. Preferiblemente deben ser memorizados por el usuario. En caso contrario, no deberían ser escritos en abierto ni conservados cerca del recurso informático al que dan acceso.

Después de haber abierto una sesión de trabajo bajo su identificación, el usuario debe cuidar de que el recurso accesible permanezca bajo su vigilancia. En caso contrario, debe tener cuidado de cerrar o bloquear la sesión abierta a su nombre.

Esta práctica es tanto más esencial cuando se abre un acceso desde un puesto exterior a la red profesional que está accesible para otras personas. Por ejemplo, durante la consulta del correo desde un hardware instalado en un lugar público.

Protección...

Acción y responsabilidad profesional en entorno desmaterializado

Principios de acción en el entorno desmaterializado

Las normas y principios asociados a la responsabilidad profesional general se trasladan igual al entorno desmaterializado. Así, y salvo especificaciones contrarias y procedimientos específicos, los usuarios deben respetar en el entorno del SI las normas de acción profesional resultantes de:

competencias de la empresa;
misiones y responsabilidades asociadas a sus funciones;
su situación;
su posición funcional y jerárquica en la organización;
las delegaciones de firma que se le atribuyen;
consignas y procedimientos en vigor.

Dentro del contexto de la desmaterialización de su actividad profesional, los usuarios deben prestar atención a procesar por igual las demandas de los clientes e interlocutores de la empresa, sea cual sea el canal que han usado para formular su demanda: correo, fax, correo electrónico, teléfono, etc. Para eso, además deben respetar dentro del entorno TIC los protocolos de proceso y seguimiento de las demandas de los clientes en vigor.

Organización administrativa en el entorno desmaterializado

Los usuarios deben cuidar de que la organización de su acción dentro del entorno desmaterializado respete las normas genéricas aplicables a su actividad. Así sucede en los siguientes campos:

La organización y la gestión compartida y transparente de los directorios, carpetas y mensajes.
La continuidad de acceso a los directorios, documentos y mensajes en caso de ausencia, sea cual sea el motivo y la duración.
La incorporación del trabajo colaborativo, de la organización de las suplencias, del derecho...

Uso profesional y personal

Uso profesional/personal de los recursos del SI

Los recursos del sistema de información (informáticos, telefónicos, de edición e impresión, etc.) están a disposición de los usuarios, según el perfil asignado y la organización interna que se les aplica.

Estos recursos están reservados a un uso profesional. Sin embargo, se admite su uso con fines personales mientras se mantenga limitado, lo necesario para una convivencia en armonía entre vida profesional y vida personal, y no recorte el tiempo dedicado a la actividad profesional.

Están estrictamente prohibidos:

Todo uso de los recursos informáticos con fines lucrativos.
Todo uso de los recursos de edición e impresión con fines personales o que exceden el perímetro de las actividades profesionales, funciones y misiones que han motivado la apertura del derecho de acceso a los recursos.
Todo uso contrario a la deontología, a las buenas costumbres y a la ley.

Documentos y directorios profesionales/personales

Todos los documentos y directorios de clasificación se consideran, de manera predeterminada, profesionales, y por lo tanto accesibles dentro del respeto a las prácticas de la organización en vigor en el ámbito de actividad relacionado.

Sin embargo, los usuarios pueden identificar mediante la mención «privado» o «personal»...

Los derechos cívicos digitales y la deontología

Ética de las TIC

Los usuarios del SI de la empresa tienen la obligación de respetar escrupulosamente las normas legales, reglamentarias y de jurisprudencia asociadas al uso de las TIC.

Se recuerda específicamente que la ley prohíbe el almacenamiento y la difusión de mensajes o documentos de naturaleza difamatoria, discriminatoria, pornográfica, que incita a la violencia o al odio. Por lo tanto, está prohibido de manera formal introducir, almacenar o dejar en los ordenadores documentos de esta naturaleza.

Gestión de los datos personales. AEPD. Delegado para la protección de datos (DPO)

Los usuarios están informados de la necesidad de respetar las disposiciones legales sobre procesamiento automático o manual de los datos de carácter personal.

Un usuario no puede poner en práctica ningún tratamiento de datos de carácter personal sin un acuerdo previo de su responsable, consulta al DPO de la empresa y realización de las formalidades previas necesarias para el DPO.

Secreto profesional. Discreción profesional

Dentro del entorno digital desmaterializado, los usuarios deben respetar las normas de secreto y de discreción a las que están sujetos por el hecho de su estado y de su profesión.

Deben identificar los directorios, documentos y correos electrónicos...

Derecho a la desconexión

Ley Orgánica 03/2018 del 5 de diciembre de 2020

La Ley Orgánica 03/2018, de Protección de Datos Personales y garantía de los derechos digitales del 5 de diciembre de 2020 relativa a la protección de las personas físicas en relación con el tratamiento de datos personales entró en vigor el 7 de diciembre de 2018. El Título X de esta ley reconoce el derecho a la desconexión.

Estatuto del derecho a la desconexión

Ningún empleado está obligado a responder correos electrónicos, mensajes o llamadas telefónicas de carácter profesional fuera de su horario habitual de trabajo, durante sus vacaciones pagadas, su tiempo de descanso o ausencia, de cualquier naturaleza.

Para evitar la sobrecarga de información, se recomienda a todos los empleados que:

se pregunten si es el momento oportuno para enviar un correo electrónico, un mensaje o hablar con un colaborador por teléfono;
no pidan una respuesta inmediata si no es necesario;
utilicen con moderación las funciones «CC» o «CCO»;
indiquen un asunto concreto que permita al destinatario identificar inmediatamente el contenido del correo electrónico;
den prioridad a los envíos diferidos cuando escriban un correo electrónico fuera del horario de trabajo;
para las ausencias de más de un día, configuren el administrador...

Acompañar y responsabilizar a los usuarios