Sede electrónica del Ayuntamiento de Madrid

Por Resolución de 21 de marzo de 2019 del Gerente de la Ciudad se aprueba la instrucción sobre identificación y autenticación en sistemas de información del Ayuntamiento de Madrid y sus organismos públicos.

Desde la entrada en vigor de la instrucción, el panorama normativo y tecnológico en materia de seguridad de la información ha experimentado una notable evolución que hace precisa la revisión de su marco regulador.

Por una parte, la aprobación del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS), obliga a actualizar el marco de referencia formal de este documento. Por otra parte, la consolidación en el Ayuntamiento de Madrid de tecnologías de autenticación multifactor y modernos sistemas de gestión de identidades ha dejado obsoletos determinados controles rígidos temporales, como la caducidad anual indiscriminada de contraseñas, permitiendo una transición hacia políticas de seguridad más dinámicas y eficientes basadas en el riesgo real y el análisis de la actividad maliciosa.

Adicionalmente, se introducen ajustes destinados a refinar la valoración del riesgo en la gestión de excepciones mediante un control más estricto de los sistemas de información que realizan tratamiento de datos personales de categoría especial.

La presente resolución consta de tres apartados. El primero enumera las modificaciones que se concretan en el apartado 1.2, el apartado 4.1, el apartado 4.12, el apartado 4.16, el apartado 5 y la primera definición del anexo de definiciones y acrónimos.

El segundo apartado se refiere a dejar sin efecto cuantas disposiciones se opongan, contradigan o resulten incompatibles con lo establecido en la resolución.

El tercer apartado indica que la resolución surtirá efectos desde el día siguiente al de su publicación en el "Boletín Oficial del Ayuntamiento de Madrid".

En su virtud, de conformidad con lo dispuesto en los apartados 3.º 1.3 y 2.8.h) del Acuerdo de 29 de junio de 2023 de la Junta de Gobierno de la Ciudad de Madrid, de organización y competencias de la Coordinación General de la Alcaldía, a propuesta de la Dirección General de la Oficina Digital,

RESUELVO

PRIMERO.- Modificar la instrucción sobre identificación y autenticación en sistemas de información del Ayuntamiento de Madrid y sus organismos públicos, aprobada mediante Resolución del Gerente de la Ciudad de 21 de marzo de 2019, en los términos que se indican a continuación.

Uno.- El apartado 1, se modifica el punto 1.2, que queda redactado en los siguientes términos:

"1.2. Marco legal y normativo.

Este documento se ha elaborado conforme a lo dispuesto en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS).

Este documento forma parte del esquema normativo del Ayuntamiento de Madrid y sus Organismos Públicos (en adelante, "Ayuntamiento") en lo referente a la Seguridad de la Información, en el que el primer nivel lo constituye la Política de Seguridad de la Información del Ayuntamiento (PSI) y el segundo nivel (al que pertenece este documento) desarrolla dicha política mediante instrucciones específicas que abarcan un área o aspecto determinado de la seguridad de la información.

Este documento se considera de uso interno del Ayuntamiento de Madrid y, por tanto, no podrá ser divulgado salvo autorización del responsable de seguridad".

Dos.- En el apartado 4, se modifican los puntos 1, 12 y 16, que quedan redactados en los siguientes términos:

"1. Todos los sistemas de información del Ayuntamiento que traten información deberán requerir la identificación y autenticación de sus usuarios antes de permitirles acceso, SALVO cuando la información disponible haya sido declarada explícitamente como de USO PÚBLICO o se encuentre en su totalidad afectada por la normativa de Transparencia".

"12. Si el usuario no modifica su contraseña en el plazo máximo de un año desde el último cambio, el sistema le obligará a realizar dicha modificación. Mientras el usuario no cambie su contraseña, no podrá acceder al sistema de información.

En caso de sistemas con autenticación multifactor solo se forzará el cambio de contraseña cuando existan evidencias de compromiso o actividad maliciosa relacionada con la identidad en cuestión".

"16. Teniendo en cuenta que el proceso de recuperación de contraseña podría iniciarlo un atacante, se debe limitar la información que se proporciona, para evitar que se puedan obtener datos útiles para realizar acciones maliciosas".

Tres.- En el apartado 5, se modifica el tercer punto, que queda redactado en los siguientes términos:

"Información que maneja el sistema, detallando si incluye datos de carácter personal y en caso afirmativo, si se trata de datos de categoría especial".

Cuatro.- En el anexo de definiciones y acrónimos, se modifica el primer punto, que queda redactado en los siguientes términos:

"ENS: Esquema Nacional de Seguridad, Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad".

SEGUNDO.- Quedan sin efecto cuantas disposiciones se opongan, contradigan o resulten incompatibles con lo establecido en la presente resolución.

TERCERO.- La presente resolución surtirá efectos desde la fecha de su adopción, sin perjuicio de su publicación en el "Boletín Oficial del Ayuntamiento de Madrid".

Madrid, a 1 de julio de 2026.- La Coordinadora General de la Alcaldía, María Inmaculada Sánchez-Cervera Valdés.