Esta tabla recoge un conjunto de medidas de carácter legal/normativo y técnicas que deben tenerse en cuenta a

página web.
La descripción de cada tipología es la siguiente:
* Legal / Normativa: Medida de seguridad relacionada con aspectos sujetos a alguna legislación (LOPD, LSS
aplicable
* Técnica: Medida de seguridad relacionadas con la implantación de controles técnicos en los sistemas de info
autenticación, Firewall, antivirus, etc)

VERIFICACIÓN DE CONTROLES EN PÁGINAS WEB

Tipo ID Medida Hecho

1 La pagina web dispone de un aviso legal.

Si la página web dispone de aviso legal, el aviso legal contempla la información requerida por la
2
LSSI

3 Si la página web dispone de aviso legal, el aviso legal contempla lo requerido por la LOPD

4 Si la página web dispone de aviso legal, el aviso legal contempla una política de cookies

Si la página web dispone de aviso legal, el aviso legal contempla la protección de la propiedad
5
intelectual

Legal y/o
Normativa
Legal y/o 6 Si la página web dispone de aviso legal, el aviso legal contempla las condiciones de uso
Normativa
Si la web esta alojada en un tercero, el contrato con éste contempla aspectos relativas a
7
confidencialidad

Si la web esta alojada en un tercero, el contrato con éste contempla requisitos como encargado
8
de tratamiento

Si la web esta alojada en un tercero, el contrato con éste contempla acuerdos de nivel de
9
servicio

10 Si la web la desarrolla un tercero, el contrato contempla la propiedad del código fuente

Si la web dispone de comercio electrónico, la web dispone de un sello que acredita la seguridad
11
del sitio (Confianza online, WEBTRUST, etc.)

12 Si la web la desarrolla un tercero, el desarrollo contempla aspectos de seguridad

13 Si la web esta alojada en un tercero, el servicio dispone de copias de respaldo

14 Si la web la administra un tercero, existe un registro de la actividad de los administradores

15 Si la web recoge información del usuario, la web dispone de certificado SSL

Si la web recoge información del usuario, se informa al usuario del tratamiento de sus datos
16
personales

Si la web recoge información del usuario, los campos de entrada de datos tienen medidas para
17
impedir que se realicen ataques (SQL Injection, etc.)

18 Los sistemas donde se aloja la web se encuentran en la DMZ corporativa

 Los sistemas donde se aloja la web disponen de medidas de seguridad perimetrales como
19
Firewall, IDS, IPS

20 Los sistemas donde se aloja la web disponen de medidas de seguridad contra malware

21 Los sistemas donde se aloja la web no disponen de servicios innecesarios activos

22 Los servicios y software sobre los que funciona la web se actualizan debidamente

Los servidores web se han configurado con un límite de accesos concurrentes para evitar
23
ataques de Denegación de servicio

24 Se han eliminado los usuarios por defecto de las herramientas y software que soporta la web
Técnica
25 Se han establecido medidas para limitar el acceso a los paneles de administración de la web

Se han establecido medidas para limitar que sea pública información técnica asociada a la web
26
(p.ej. El uso de un gestor de contenidos concreto)

27 Se realizan copias de las BBDD de la web

Se mantiene un registro de administración tanto de la web como del software que soporta la
28
misma

29 Se realizan auditorías de código fuente de la web

30 Se realizan auditorías externas para verificar la seguridad de la web

31 Si la web tiene acceso privado, la web dispone de un sistema de autenticación

 Si la web tiene autenticación, la autenticación de la web requiere el uso de contraseñas seguras
32
(Número mínimo de caracteres, combinación de caracteres)

Si la web tiene autenticación, la autenticación de la web requiere el cambio periódico de

33
contraseñas

Si la web tiene autenticación, se han implantado medidas de seguridad para impedir el robo de
34
credenciales

35 Si la web tiene acceso privado, el alta de usuario requiere el uso de captcha

Si la web dispone de comercio electrónico, se mantiene un registro de todas las transacciones

36
que se realizan desde la web

Si la web dispone de comercio electrónico, la pasarela de pago provista por la entidad bancaria
37
garantiza la seguridad de las transacciones y el cumplimiento del PCI-DSS
ben tenerse en cuenta al poner en marcha una

legislación (LOPD, LSSI, LPI, etc) o normativa

en los sistemas de información (Sistemas de

Comentarios