Leyes y normativa de seguridad de la información

¿Cuál de los siguientes es un acto de acceso no autorizado prohibido por la Ley de Prohibición del Acceso No Autorizado a Computadoras?

1. Sacar sin permiso el know-how de fabricación de la empresa, gestionado como secreto, y revelarlo a un competidor.
2. Operar directamente una PC que no está conectada a ninguna red e iniciar sesión con el ID y la contraseña de un compañero.
3. Introducir sin permiso el ID y la contraseña de otra persona e iniciar sesión en un servidor de la empresa a través de internet desde fuera de la empresa.
4. Crear un virus que hace que una computadora actúe en contra de la intención del usuario y guardarlo en la propia PC sin distribuirlo.

A petición de un compañero que dice estar ocupado, una persona le comunica el ID y la contraseña de su propio sistema de trabajo sin un motivo legítimo. ¿En virtud de qué combinación de ley y disposición plantea un problema este acto?

1. El acto que facilita el acceso no autorizado, prohibido por la Ley de Prohibición del Acceso No Autorizado a Computadoras
2. El delito del Código Penal relativo a los registros electromagnéticos de comandos no autorizados (el llamado delito de virus)
3. La obtención y revelación ilícitas de secretos comerciales, prohibidas por la Ley de Prevención de la Competencia Desleal
4. La infracción del derecho de reproducción y del derecho de transmisión pública según la Ley de Derecho de Autor

Una persona operó directamente, allí mismo, una PC independiente no conectada a la red interna e inició sesión introduciendo el ID y la contraseña de un compañero. ¿Cuál de los siguientes es el motivo adecuado por el que este acto no constituye un acto de acceso no autorizado según la Ley de Prohibición del Acceso No Autorizado a Computadoras?

1. Porque el acto no se realizó a través de una línea de telecomunicaciones
2. Porque esa PC no tenía configurada ninguna función de control de acceso
3. Porque el compañero le había comunicado el ID y la contraseña
4. Porque no se vio ni se sacó ningún archivo

¿Qué ley puede aplicarse a quien creó un programa que hace que una computadora actúe en contra de la intención del usuario y lo guardó en su propia PC sin distribuirlo todavía a nadie?

1. La Ley de Prevención de la Competencia Desleal
2. La Ley de Prohibición del Acceso No Autorizado a Computadoras
3. La Ley Básica de Ciberseguridad
4. El delito del Código Penal relativo a los registros electromagnéticos de comandos no autorizados

¿Cuál de los siguientes delitos puede aplicarse más adecuadamente al acto de introducir en un sitio de compras el número de tarjeta de crédito de otra persona que se ha obtenido y hacer que se compre mercancía y se envíe a uno mismo?

1. La obtención ilícita de datos de suministro limitado según la Ley de Prevención de la Competencia Desleal
2. La infracción del derecho de transmisión pública según la Ley de Derecho de Autor
3. El delito de fraude informático del Código Penal
4. El delito del Código Penal de obstrucción de negocios por daños a computadoras, entre otros

¿Cuál de los siguientes delitos puede aplicarse más adecuadamente al acto de enviar continuamente una avalancha de solicitudes al servidor web de otra empresa, dejarlo sin capacidad de respuesta y detener el negocio de venta en línea de esa empresa?

1. El delito del Código Penal de obstrucción de negocios por daños a computadoras, entre otros
2. El delito del Código Penal relativo a los registros electromagnéticos de comandos no autorizados
3. La obtención ilícita de un secreto comercial según la Ley de Prevención de la Competencia Desleal
4. Un acto de acceso no autorizado según la Ley de Prohibición del Acceso No Autorizado a Computadoras

¿Cuál de los siguientes describe correctamente el contenido de la Ley Básica de Ciberseguridad?

1. Establece las responsabilidades del gobierno nacional y de los gobiernos locales y los esfuerzos que se esperan de los operadores de infraestructuras críticas, y crea un Cuartel General de Estrategia de Ciberseguridad dentro del Gabinete.
2. Contiene disposiciones que tipifican como delito punible iniciar sesión en una computadora con el ID y la contraseña de otra persona sin permiso.
3. Dispone que, al proporcionar datos personales a un tercero, en principio debe obtenerse el consentimiento previo de la persona.
4. Define los tres requisitos (estar gestionado como secreto, utilidad y no ser de conocimiento público) para que algo esté protegido legalmente como secreto comercial.

¿Qué combinación enumera correctamente los tres requisitos necesarios para que algo esté protegido como secreto comercial según la Ley de Prevención de la Competencia Desleal?

1. Exactitud, exhaustividad y estar actualizado
2. Confidencialidad, integridad y disponibilidad
3. Ser de suministro limitado, estar acumulado en una cantidad considerable y estar gestionado por medios electromagnéticos
4. Estar gestionado como secreto, utilidad y no ser de conocimiento público

Un empleado que dejó la empresa copió y se llevó una lista de clientes que estaba guardada en una carpeta compartida que podía ver cualquiera en la empresa, sin ninguna indicación como “confidencial, solo para uso interno”. ¿Cuál de los siguientes es el motivo principal por el que sería difícil alegar esto como infracción de un secreto comercial según la Ley de Prevención de la Competencia Desleal?

1. La persona que se la llevó tenía derechos de acceso legítimos mientras trabajaba en la empresa
2. Sería difícil reconocer que estaba gestionada como secreto, por lo que le falta el requisito de gestión como secreto
3. La lista de clientes ya es información de conocimiento público, por lo que le falta el requisito de no ser de conocimiento público
4. No puede decirse que una lista de clientes sea información útil para la actividad empresarial, por lo que le falta el requisito de utilidad

Una empresa acumula y gestiona por medios electromagnéticos un gran volumen de datos de observación meteorológica que proporciona a empresas miembro a cambio de una tarifa, pero no gestiona estos datos como secreto. ¿En qué categoría de la Ley de Prevención de la Competencia Desleal están protegidos estos datos?

1. Un secreto comercial según la Ley de Prevención de la Competencia Desleal
2. Información personal que requiere especial cuidado según la Ley de Protección de la Información Personal
3. Datos de suministro limitado según la Ley de Prevención de la Competencia Desleal
4. Información procesada de forma anónima según la Ley de Protección de la Información Personal

¿Cuál de las siguientes es información personal según la definición de la Ley de Protección de la Información Personal?

1. Una estadística del número de visitantes agregada de modo que no se pueda identificar a ninguna persona concreta
2. El nombre y la última dirección conocida de una persona que ya ha fallecido
3. El número de licencia de conducir de una persona viva
4. La dirección de la sede central y el número de teléfono principal de una persona jurídica

¿Cuál de los siguientes es el objeto respecto del cual una persona puede pedir a un operador comercial que maneja información personal que lo divulgue, corrija su contenido o deje de usarlo?

1. Información procesada con seudónimos
2. Información procesada de forma anónima
3. Una base de datos de información personal, etc.
4. Datos personales conservados

¿Cuál de las siguientes es información personal que requiere especial cuidado según la Ley de Protección de la Información Personal?

1. La dirección de correo electrónico de la empresa de un empleado
2. La información sobre la nacionalidad de un empleado
3. Los ingresos anuales de un empleado durante el último año
4. Los resultados del chequeo médico de un empleado

En cuanto al manejo de la información personal que requiere especial cuidado, ¿cuál de las siguientes afirmaciones es adecuada?

1. Incluso cuando se entrega a un contratista dentro del ámbito necesario para lograr la finalidad de uso, siempre se requiere el consentimiento previo de la persona.
2. Una vez procesada como información procesada con seudónimos, puede proporcionarse a un tercero sin el consentimiento de la persona.
3. Obtenerla requiere en principio el consentimiento previo de la persona, y no se permite el suministro a terceros mediante opt-out.
4. Si es información que la propia persona ha publicado, una vez obtenida ya no es necesario tratarla como información personal que requiere especial cuidado.

¿Cuál de los siguientes es necesario para realizar el suministro a terceros de datos personales mediante opt-out?

1. Informar por escrito a la Comisión de Protección de la Información Personal, cada vez que se proporcionen, del contenido de los datos personales proporcionados y del nombre y la dirección del destinatario
2. Procesar los datos personales que se van a proporcionar como información procesada de forma anónima, que no permita identificar a una persona concreta ni pueda restaurarse
3. Notificar a la persona los asuntos prescritos, o ponerlos donde la persona pueda conocerlos fácilmente, y presentar una notificación ante la Comisión de Protección de la Información Personal
4. Obtener de antemano el consentimiento individual de cada persona para cada destinatario al que se proporcionen los datos

¿Cuál de las siguientes describe correctamente la diferencia entre el uso conjunto de datos personales y el suministro a terceros mediante opt-out?

1. El uso conjunto no requiere presentar ninguna notificación ante la Comisión de Protección de la Información Personal, mientras que el opt-out sí la requiere.
2. El uso conjunto no puede abarcar la información personal que requiere especial cuidado, mientras que el opt-out sí puede.
3. El uso conjunto constituye suministro a terceros, mientras que el opt-out está excluido del suministro a terceros.
4. El uso conjunto no requiere ninguna notificación a la persona, mientras que el opt-out requiere notificarla.

¿Cuál de las siguientes describe correctamente la diferencia entre la información procesada con seudónimos y la información procesada de forma anónima?

1. Ambas requieren notificar al destinatario los datos de contacto de la persona cuando se proporcionan a un tercero.
2. La información procesada de forma anónima puede proporcionarse a un tercero sin el consentimiento de la persona, mientras que la información procesada con seudónimos no puede proporcionarse a un tercero salvo en caso de encargo, sucesión empresarial o uso conjunto.
3. Ambas pueden proporcionarse a un tercero con el consentimiento de la persona y no pueden proporcionarse sin él.
4. La información procesada con seudónimos puede proporcionarse a un tercero sin el consentimiento de la persona, mientras que la información procesada de forma anónima no puede proporcionarse a un tercero ni siquiera con el consentimiento de la persona.

Una empresa quiere que solo su departamento interno de marketing analice sus datos de socios. Si se eliminan los nombres y se procesan los datos de modo que no se pueda identificar a las personas salvo que se cotejen con otra información, y se usan así, ¿cuál de las siguientes describe correctamente la condición y las restricciones de la información procesada?

1. Es información procesada con seudónimos y, como deja de ser información personal una vez procesada, queda totalmente fuera del ámbito de la Ley de Protección de la Información Personal.
2. Es información procesada con seudónimos; no debe cotejarse con otra información con el fin de identificar a una persona y, en principio, tampoco puede proporcionarse a un tercero.
3. Es información procesada de forma anónima, y la información procesada puede usarse para contactar a las personas.
4. Es información procesada de forma anónima, y deben atenderse las solicitudes de divulgación o de cese de uso de la persona.

¿Cuál de los siguientes casos no infringe la restricción del suministro a terceros aunque se entreguen datos personales a otro operador comercial sin el consentimiento de la persona?

1. Proporcionarlos tras confirmar que el destinatario es un operador comercial que ha presentado la notificación necesaria ante la Comisión de Protección de la Información Personal
2. Proporcionarlos a otra empresa del mismo grupo empresarial, alegando que pertenecen al mismo grupo
3. Proporcionarlos a un contratista al que se encarga un trabajo, dentro del ámbito necesario para lograr la finalidad de uso, para ese trabajo
4. Proporcionarlos a una empresa con la que se intercambiaron tarjetas de presentación en una feria comercial, con el fin de una actividad de ventas posterior

En cuanto a cuándo se vuelven obligatorios el informe a la Comisión de Protección de la Información Personal y la notificación a las personas afectadas ante una fuga de datos personales, ¿cuál de las siguientes opciones es adecuada?

1. Solo cuando se ha recibido realmente una consulta de una persona afectada
2. Casos como aquellos en que se incluye información personal que requiere especial cuidado, en que hay riesgo de intención ilícita o en que el número de personas afectadas supera 1,000
3. Solo el contratista tiene que informar de una fuga ocurrida en el contratista, y quien encargó el trabajo no tiene obligación de informar a la Comisión de Protección de la Información Personal
4. Todos y cada uno de los casos de fuga, pérdida o daño que ocurran en el operador comercial, independientemente del número de registros o del contenido filtrado

Una lista de clientes confiada por un socio comercial se usó sin permiso para la propia actividad de ventas de la empresa, una finalidad distinta de la especificada en el contrato. ¿Qué ley está implicada más directamente?

1. La Ley de Protección de la Información Personal
2. El delito del Código Penal relativo a los registros electromagnéticos de comandos no autorizados
3. La Ley de Derecho de Autor
4. La Ley de Prohibición del Acceso No Autorizado a Computadoras

¿Cómo se llama la ley que entró en vigor el 1 de abril de 2025 (Reiwa 7), resultado de la reforma de la antigua Ley de Limitación de la Responsabilidad de los Proveedores?

1. La Ley de Mejora de la Transparencia de las Plataformas Digitales Específicas
2. La Ley de Prevención de la Vulneración de Derechos en Internet
3. La Ley de Divulgación de Información de los Operadores de Telecomunicaciones
4. La Ley de Medidas sobre las Plataformas de Distribución de Información

¿Cuál de las siguientes es una obligación que la Ley de Medidas sobre las Plataformas de Distribución de Información impone a un proveedor a gran escala de servicios de telecomunicaciones especificados?

1. Publicar la información del emisor de una publicación sospechosa de vulnerar derechos, incluso sin una solicitud de la víctima
2. Publicar el método para recibir solicitudes de retirada, investigar cada solicitud y notificar el resultado dentro de un plazo determinado, y establecer y publicar los criterios de retirada
3. Cumplir una orden de retirada emitida individualmente por un organismo administrativo sobre una publicación respecto de la cual se ha alegado una vulneración de derechos, y eliminar inmediatamente esa publicación
4. Revisar el contenido de cada información publicada antes de su publicación y abstenerse de publicar todo lo que tenga riesgo de vulnerar derechos

¿Qué ley dispone que un operador de telecomunicaciones no debe divulgar el secreto de las comunicaciones de otras personas que llegue a conocer en el curso de su tratamiento?

1. La Ley de Prohibición del Acceso No Autorizado a Computadoras
2. La Ley de Protección de la Información Personal
3. El delito del Código Penal de creación ilícita de registros electromagnéticos privados
4. La Ley de Actividades de Telecomunicaciones

¿Qué ley establece el principio de que los correos electrónicos enviados con fines publicitarios o promocionales solo pueden enviarse a quienes hayan dado su consentimiento previo?

1. La Ley de Protección de la Información Personal
2. La Ley de Regulación del Envío de Correos Electrónicos Específicos
3. La Ley de Prohibición del Acceso No Autorizado a Computadoras
4. La Ley de Derecho de Autor

Según la Ley de Regulación del Envío de Correos Electrónicos Específicos, ¿cuál de las siguientes debe hacer un remitente al enviar correos publicitarios y promocionales?

1. Avisar previamente a cada destinatario al menos tres días antes de enviar el correo publicitario.
2. Mostrar el nombre o la denominación del remitente, junto con los datos de contacto para recibir el aviso de que el destinatario no desea recibir más correos.
3. Indicar, al principio del cuerpo, el número de registro recibido al presentar de antemano una notificación ante la Comisión de Protección de la Información Personal.
4. Cambiar la dirección de correo remitente cada vez y no reutilizar nunca la misma dirección.

¿Cuál de las siguientes describe correctamente el contenido de la Ley de Firmas Electrónicas y Servicios de Certificación?

1. En un registro electromagnético con una firma electrónica, no solo se garantiza legalmente que el creador es auténtico, sino también la veracidad de su contenido.
2. Se presume que un registro electromagnético con una firma electrónica que cumple ciertos requisitos y que solo la propia persona pudo haber realizado se ha constituido auténticamente.
3. El certificado utilizado para una firma electrónica solo puede ser uno emitido directamente por el gobierno.
4. Para usar una firma electrónica, debe obtenerse de antemano el consentimiento por escrito de la otra parte.

Un software de venta comercial se instaló y usó sin autorización en las PC de la empresa, superando el número de licencias compradas. ¿Qué ley está implicada más directamente?

1. La Ley de Prevención de la Competencia Desleal
2. La Ley de Protección de la Información Personal
3. La Ley de Prohibición del Acceso No Autorizado a Computadoras
4. La Ley de Derecho de Autor

¿Cuál de los siguientes no es objeto de protección según la Ley de Derecho de Autor?

1. Una fotografía tomada por un empleado para publicarla en el boletín interno de la empresa
2. El algoritmo en que se basa un programa, o un protocolo de comunicación en sí
3. Un programa de macros que funciona sobre un software de hoja de cálculo, escrito por un empleado para uso en el trabajo
4. Una base de datos interna cuya selección u organización sistemática de la información se reconoce como creativa

Una empresa quiere recopilar un gran volumen de textos publicados en la web para desarrollar internamente una IA generativa, analizándolos como datos de entrenamiento. ¿Cuál de las siguientes es la forma correcta de entenderlo según la ley de derecho de autor?

1. El uso para el análisis de información que no tiene como fin disfrutar de los pensamientos o sentimientos expresados en una obra protegida puede realizarse sin permiso, en la medida en que se considere necesario, salvo cuando perjudique injustificadamente los intereses del titular de los derechos de autor.
2. Mientras se haya usado para el entrenamiento, no hay infracción de derechos de autor aunque el texto generado se parezca a una obra protegida existente y se considere basado en ella.
3. La información publicada en internet no está sujeta a la Ley de Derecho de Autor aunque sea una obra protegida, por lo que puede recopilarse y analizarse libremente, y sus resultados pueden publicarse libremente.
4. Cuando se usa como datos de entrenamiento, incluso el uso para el análisis de información que no tiene como fin disfrutar de pensamientos o sentimientos requiere el permiso individual del titular de los derechos de autor para cada obra recopilada, y no se permite ningún uso en otro caso.

¿Cuál de los siguientes es un uso reconocido por la Ley de Derecho de Autor sin necesidad del permiso del titular de los derechos de autor?

1. Descargar y guardar un manga de pago sabiendo que se subió ilegalmente.
2. Citar parte de un artículo publicado indicando la fuente, distinguiéndola claramente del texto propio y manteniendo el texto propio como cuerpo principal y la cita como parte secundaria.
3. Copiar la parte necesaria de un libro de venta comercial, una copia por participante, para repartirla como material de una formación interna, y que cada persona conserve su copia.
4. Eludir la protección anticopia para duplicar un DVD de venta comercial y verlo personalmente en casa.

¿Cuál de las siguientes describe correctamente la diferencia entre un contrato de obra (ukeoi) y una cesión de trabajadores (haken)?

1. En un contrato de obra el comitente no puede, y en una cesión la empresa usuaria tampoco puede, dirigir y supervisar directamente a los trabajadores que recibe.
2. En un contrato de obra el comitente no puede dirigir y supervisar directamente a los trabajadores de la otra parte, mientras que en una cesión la empresa usuaria sí puede dirigir y supervisar a los trabajadores cedidos.
3. Tanto en un contrato de obra como en una cesión, los trabajadores están contratados por la empresa que asume el trabajo, y esa empresa también los dirige y supervisa.
4. En un contrato de obra el comitente puede dirigir y supervisar directamente a los trabajadores de la otra parte, mientras que en una cesión la empresa usuaria no puede dirigir ni supervisar a los trabajadores cedidos.

En virtud de un contrato de obra (ukeoi), un ingeniero de una empresa colaboradora está destinado de forma permanente en la empresa, y un directivo de la empresa le da instrucciones directas sobre el contenido y los procedimientos de su trabajo diario. ¿Cómo se llama esta situación y qué ley infringe principalmente?

1. Reproducción no autorizada, que infringe principalmente la Ley de Derecho de Autor.
2. Uso fuera de la finalidad declarada, que infringe principalmente la Ley de Protección de la Información Personal.
3. Uso ilícito de un secreto comercial, que infringe principalmente la Ley de Prevención de la Competencia Desleal.
4. Contrato de obra encubierto, que infringe principalmente la Ley de Cesión de Trabajadores.

La Ley de Subcontratación cambió de nombre con efecto desde el 1 de enero de 2026 (Reiwa 8). ¿Cuál de las siguientes combina correctamente el nombre abreviado de la nueva ley con los cambios realizados al mismo tiempo?

1. La Ley de Equidad del Comercio Justo. El ámbito se limita a la fabricación, excluyendo el encargo de transporte o de creación de productos de información, y no se realizó ningún cambio de denominación.
2. La Ley de Apoyo a las Pequeñas y Medianas Empresas. Se suprimió el umbral basado en el capital, y el tamaño de un operador comercial se juzga ahora solo por el número de empleados, mientras que la prohibición del pago con pagaré se aplazó.
3. La Ley de Equidad en las Transacciones de Encargo con Pymes (Toritekiho). La empresa contratante principal pasa a llamarse empresa comitente y el subcontratista, empresa pyme encargada, y se prohíbe el pago con pagaré.
4. La Ley de Transparencia de las Transacciones de Encargo. Obliga a presentar de antemano el contenido de un encargo ante la Comisión de Comercio Justo de Japón.

Una empresa encargó a un tercero el trabajo de introducción de datos que incluía datos personales, y un empleado del contratista sacó los datos y los vendió a un comerciante de listas de datos. En cuanto a la responsabilidad de quien encargó el trabajo, ¿cuál de las siguientes afirmaciones es adecuada?

1. El suministro a terceros ya se completó en el momento en que se proporcionaron los datos al contratista, por lo que no queda ninguna responsabilidad para quien encargó el trabajo.
2. Quien encargó el trabajo conserva la obligación de ejercer una supervisión necesaria y adecuada sobre el contratista, y puede responder según la Ley de Protección de la Información Personal.
3. Como ocurrió en el contratista, la obligación de informar a la Comisión de Protección de la Información Personal recae solo en el contratista, no en quien encargó el trabajo.
4. Mientras se haya firmado un acuerdo de confidencialidad con el contratista, ninguna responsabilidad alcanza a quien encargó el trabajo.

¿Cuál de las siguientes es una condición previa necesaria para sancionar disciplinariamente a un empleado que infringió los reglamentos de seguridad de la información?

1. Que los tipos y motivos de sanción disciplinaria estén establecidos en el reglamento de trabajo y se hayan comunicado a los empleados
2. Que los reglamentos de seguridad de la información se hayan presentado de antemano ante la Comisión de Protección de la Información Personal
3. Que la infracción se reconozca también como delito según el Código Penal
4. Que se haya firmado de antemano un acuerdo de confidencialidad por escrito con cada empleado

En relación con la Ley de Protección de los Denunciantes, ¿cuál de las siguientes afirmaciones es adecuada?

1. Una denuncia siempre debe hacerse ante un organismo público; una denuncia a un punto de contacto interno queda fuera de la protección de la ley, por lo que en ese caso tampoco está prohibido el trato desfavorable.
2. Independientemente del tamaño del operador comercial, establecer un punto de contacto interno para denuncias sigue siendo solo una obligación de esfuerzo.
3. Se prohíbe el despido u otro trato desfavorable por haber hecho una denuncia de interés público, y los operadores comerciales que superan cierto tamaño están obligados a establecer un sistema para atender las denuncias internas de interés público.
4. El nombre del denunciante puede compartirse ampliamente con los departamentos implicados para facilitar la investigación interna.

¿Cuál de las siguientes describe correctamente CVSS, el indicador común para evaluar la gravedad de una vulnerabilidad?

1. Un método de evaluación que puntúa la gravedad de una vulnerabilidad en una escala común, expresada como un valor de 0.0 a 10.0
2. El nombre de una base de datos de información sobre contramedidas para vulnerabilidades que recopila y publica las vulnerabilidades notificadas en el país
3. Una lista de los componentes de software que contiene un producto, con sus nombres y versiones
4. Un número de identificación común a nivel mundial asignado a cada vulnerabilidad individual, usado en común por todas las partes implicadas

¿Cuál de las siguientes describe correctamente términos relacionados con las vulnerabilidades?

1. JVN es simplemente una lista que clasifica los tipos de vulnerabilidad y no contiene información sobre vulnerabilidades individuales ni sobre contramedidas.
2. CVE es una escala común para evaluar numéricamente la gravedad de una vulnerabilidad.
3. CVSS es un número de identificación común asignado para identificar de forma única una vulnerabilidad individual.
4. CVSS es una escala común para evaluar la gravedad de una vulnerabilidad, y CVE es un número común para identificar una vulnerabilidad individual.

¿Cuál de las siguientes describe correctamente el contenido de las Directrices de Gestión de la Ciberseguridad publicadas por el Ministerio de Economía, Comercio e Industria y la IPA?

1. Define, como norma, los criterios de evaluación para obtener la certificación ISMS.
2. Presenta criterios concretos para interpretar las obligaciones legales relativas a las medidas de control de seguridad de los datos personales.
3. Presenta tres principios que los directivos deben tener presentes y diez puntos importantes que los directivos deben ordenar llevar a cabo a un ejecutivo responsable, como el CISO.
4. Nombra productos concretos para designar las medidas técnicas mínimas que debe aplicar una pequeña o mediana empresa.