Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad por defecto:
a) El sistema proporcionará la mínima funcionalidad requerida para que la organización alcance sus objetivos.
b) Las funciones de operación, administración y registro de actividad serán las mínimas necesarias, y se asegurará que sólo son accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados.
c) En un sistema de explotación se eliminarán o desactivarán, mediante el control de la configuración, las funciones que no sean de interés, sean innecesarias e, incluso, aquellas que sean inadecuadas al fin que se persigue.
d) El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilización insegura requiera de un acto consciente por parte del usuario.
> <small>Se modifica la letra a) por el art. único.4 del Real Decreto 951/2015, de 23 de octubre. [Ref. BOE-A-2015-11881](https://www.boe.es/buscar/doc.php?id=BOE-A-2015-11881).</small>
Texto oficial de Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica (BOE-A-2010-1330). No constituye asesoramiento jurídico. Consulta la versión consolidada en boe.es.
Artículo 19. Seguridad por defecto. — Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica · BOE Fácil
