BOLETÍN OFICIAL DEL ESTADO Núm. 264 Miércoles 4 de noviembre de 2015 Sec. I. Pág. 104265 Los subsistemas dedicados a la publicación de información deberán ser protegidos frente a las amenazas que les son propias. a) Cuando la información tenga algún tipo de control de acceso, se garantizará la imposibilidad de acceder a la información obviando la autenticación, en particular tomando medidas en los siguientes aspectos: 1.º Se evitará que el servidor ofrezca acceso a los documentos por vías alternativas al protocolo determinado. 2.º Se prevendrán ataques de manipulación de URL. 3.º Se prevendrán ataques de manipulación de fragmentos de información que se almacena en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página, conocido en terminología inglesa como "cookies". 4.º Se prevendrán ataques de inyección de código. b) Se prevendrán intentos de escalado de privilegios. c) Se prevendrán ataques de "cross site scripting". d) Se prevendrán ataques de manipulación de programas o dispositivos que realizan una acción en representación de otros, conocidos en terminología inglesa como "proxies" y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminología inglesa como "cachés". Nivel BAJO Se emplearán "certificados de autenticación de sitio web" acordes a la normativa europea en la materia. Nivel ALTO Se emplearán "certificados cualificados de autenticación del sitio web" acordes a la normativa europea en la materia.» Quince. El anexo III titulado «Auditoría de la seguridad», queda redactado como sigue: «1. Objeto de la auditoría. a) Que la política de seguridad define los roles y funciones de los responsables de la información, los servicios, los activos y la seguridad del sistema de información. b) Que existen procedimientos para resolución de conflictos entre dichos responsables. c) Que se han designado personas para dichos roles a la luz del principio de "separación de funciones". d) Que se ha realizado un análisis de riesgos, con revisión y aprobación anual. e) Que se cumplen las recomendaciones de protección descritas en el anexo II, sobre Medidas de Seguridad, en función de las condiciones de aplicación en cada caso. f) Que existe un sistema de gestión de la seguridad de la información, documentado y con un proceso regular de aprobación por la dirección. 1.2 La auditoría se basará en la existencia de evidencias que permitan sustentar objetivamente el cumplimiento de los puntos mencionados: a) b) Documentación de los procedimientos. Registro de incidentes. cve: BOE-A-2015-11881 Verificable en http://www.boe.es 1.1 La seguridad de los sistemas de información de una organización será auditada en los siguientes términos: