El trámite en línea llevaba dos años operativo y nadie se quejaba. No existía análisis de riesgos, ni categorización del sistema, ni declaración de aplicabilidad, ni declaración de accesibilidad. En el primer expediente que exigió categoría media, no hubo nada que aportar.

Análisis de riesgos, categorización del sistema y declaración de aplicabilidad conforme al Esquema Nacional de Seguridad. Revisión de la sede contra la UNE-EN 301 549 y publicación de la declaración de accesibilidad con método y fecha.

Las copias se ejecutaban cada noche y el informe salía en verde desde hacía tres años. Nadie había intentado restaurar ni una vez, y la única copia accesible vivía en la misma red que el servidor de historia clínica.

Clasificación de los datos de salud como categoría especial del artículo 9 del RGPD, esquema de copias con una réplica desconectada de la red, y prueba de restauración completa con medición del tiempo real de vuelta al servicio.

La red de clientes, el terminal de punto de venta, las cámaras y el servidor de reservas compartían direccionamiento. Cualquier huésped conectado desde su habitación veía el equipo que guardaba las reservas y el registro de viajeros.

Red de huéspedes aislada, con separación también entre los propios clientes. Segmentos independientes para el punto de venta y para las cámaras. Revisión del tratamiento de los datos del registro de viajeros y de su plazo de conservación.