Source: http://noticias.juridicas.com/base_datos/Anterior/r0-538169-orden-iet-1934-2014-de-14-oct-se-establece-la-politica-de-seguridad-de-la.html
Timestamp: 2017-05-22 17:02:57+00:00

Document:
Orden IET/1934/2014, de 14 de octubre, por la que se establece la política de seguridad de la información en el ámbito de la administración electrónica del Ministerio de Industria, Energía y Turismo (Vigente hasta el 11 de Noviembre de 2015).
Vigencia desde 23 de Octubre de 2014. Esta revisión vigente desde 23 de Octubre de 2014 hasta 11 de Noviembre de 2015
Estructura organizativa de la PSI
El Comité Director de la Seguridad de la Información
Actualización permanente y revisiones periódicas de la PSI
Deber de colaboración de órganos y unidades del Departamento
Publicidad de la PSI
OM IET/2377/2015 de 5 Nov. (protección de la información clasificada en el Ministerio de Industria, Energía y Turismo) Ocultar / Mostrar comentarios Artículo 1 redactado por la disposición final tercera de la Orden IET/2377/2015, de 5 de noviembre, por la que se regula la protección de la información clasificada en el Ministerio de Industria, Energía y Turismo («B.O.E.» 10 noviembre).
El desarrollo de la Administración electrónica implica el tratamiento automatizado de grandes cantidades de información por los sistemas de tecnologías de la información y de las comunicaciones (TIC), que está sometida a diferentes tipos de amenazas y vulnerabilidades.
La Estrategia de Seguridad Nacional (ESN) aprobada en Consejo de Ministros el 31 de Mayo de 2013 busca incrementar la capacidad de prevención, detección, investigación y respuesta ante las nuevas ciberamenazas y garantizar la seguridad de los sistemas de información y las redes de comunicaciones e infraestructuras comunes a todas las Administraciones públicas, a la vez que se mejora la seguridad y resiliencia de las tecnologías TIC en el sector privado a través del uso de las capacidades de los poderes públicos, y se fomenta la capacitación de profesionales en ciberseguridad y la concienciación ciudadana.
El reconocimiento de que el desarrollo de las tecnologías TIC ha generado un nuevo espacio de relación para nuestra sociedad, el ciberespacio, se ha plasmado en la Estrategia de Ciberseguridad Nacional (ECSN), aprobada por el Consejo de Seguridad Nacional el 5 de diciembre de 2013, mediante la cual se pretende fijar las directrices generales de uso del ciberespacio, impulsando una visión integradora cuya aplicación ayude a garantizar la seguridad y progreso de nuestra nación, a través de la adecuada coordinación y cooperación de todas las Administraciones públicas entre ellas, con el sector privado y con los ciudadanos.
Por otra parte, para contribuir al rápido desarrollo de la sociedad de la información, es indispensable trabajar por el fomento de un clima de confianza que garantice la seguridad de la información, las infraestructuras de red, la autenticación, la privacidad y la protección de los consumidores y los usuarios TIC que, a nivel de la Administración pública, se ha plasmado en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (ENS).
El Real Decreto 3/2010, de 8 de enero, enuncia los principios básicos en materia de seguridad de la información (seguridad integral, gestión de riesgos, prevención, reacción y recuperación, líneas de defensa, reevaluación periódica y función diferenciada) y establece el marco regulatorio de la Política de Seguridad de la Información, la cual se plasmará en un documento, accesible y comprensible para toda la organización, que define lo que significa seguridad de la información en una organización determinada y que rige la forma en que una organización gestiona y protege la información y los servicios que considera críticos, los roles o funciones de seguridad, definiendo para cada uno sus deberes y responsabilidades, así como el procedimiento para su designación y renovación, la estructura del comité para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, sus miembros y su relación con otros elementos de la organización, y las directrices para la para la estructuración de la documentación de seguridad del sistema, su gestión y acceso.
La aportación del Ministerio de Industria, Energía y Turismo al conjunto global de medidas destinadas a proteger la información, entre las que se encuentra la ESN y la ECSN, junto con el cumplimiento de lo dispuesto en el Real Decreto 3/2010, de 8 de enero, demanda la aprobación de una Política de Seguridad de la Información, que recoja la estructura normativa a desarrollar e implantar mediante medidas técnicas concretas.
Durante el proceso de tramitación del texto de referencia de la mencionada Política de Seguridad de la Información, se ha recabado de forma favorable el informe de la Secretaría General Técnica del Ministerio de Industria, Energía y Turismo y el informe favorable del Ministerio de la Presidencia, a través del Centro Criptológico Nacional (CCN). Así mismo, el texto de referencia se ha presentado a trámite de audiencia ante la Comisión Permanente de la Comisión Superior de Administración Electrónica (CPCSAE), que emitió informe favorable con fecha 25 de junio de 2014.
Objeto y ámbito de aplicación 1. Constituye el objeto de la presente orden la aprobación de la Política de Seguridad de la Información (en adelante, PSI) en el ámbito de la administración electrónica del Ministerio de Industria, Energía y Turismo, así como el establecimiento del marco organizativo y tecnológico de la misma.
a) Tendrá carácter de información clasificada la que se esté afectada por la Ley 9/1968, de 5 de abril, sobre Secretos Oficiales.
b) La información que contenga datos de carácter personal se verá afectada por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su normativa de desarrollo.
4. El Ministerio aplicará las medidas de seguridad sobre la información correspondientes, tanto en soporte electrónico como en papel, dependiendo de lo establecido en su normativa reguladora, pudiendo verse afectada una información concreta por más de una norma.
Artículo 1 redactado por la disposición final tercera de la Orden IET/2377/2015, de 5 de noviembre, por la que se regula la protección de la información clasificada en el Ministerio de Industria, Energía y Turismo («B.O.E.» 10 noviembre).
Misión del Departamento El Real Decreto 344/2012, de 10 de febrero, por el que se desarrolla la estructura orgánica básica del Ministerio de Industria, Energía y Turismo dispone que corresponde al Ministerio de Industria, Energía y Turismo la propuesta y ejecución de la política del Gobierno en materia de energía, de telecomunicaciones y de la sociedad de la información, de turismo y de desarrollo industrial y de la pequeña y mediana empresa.
Estructura organizativa de la PSI La estructura organizativa de la gestión de la seguridad de la información en el ámbito de la administración electrónica del Ministerio de Industria, Energía y Turismo está compuesta por los siguientes agentes:
a) El Comité Director de la Seguridad de la Información.
El Comité Director de la Seguridad de la Información 1. Se crea el Comité Director de la Seguridad de la Información (en adelante, el Comité), que gestionará y coordinará todas las actividades relacionadas con la seguridad de los sistemas de información y ejercerá las siguientes funciones:
c) Aprobar el procedimiento de control de accesos a la red y a las bases de datos de la administración electrónica del Ministerio de Industria, Energía y Turismo, así como los demás procedimientos de actuación en lo relativo al uso de los sistemas de información.
e) Informar sobre el estado de las principales variables de seguridad en los sistemas de información al Comité Sectorial de Administración Electrónica (CSAE) para la elaboración de un perfil general del estado de seguridad de las mismas.
f) Compartir experiencias de éxito en materia de seguridad entre sus miembros para velar por el cumplimiento de la PSI y su normativa de desarrollo.
a) Presidente: El Subsecretario de Industria, Energía y Turismo.
4. Secretaría de Estado de Turismo.
5. Secretaría General de Industria y de la Pequeña y Mediana Empresa.
8. Centro Español de Metrología.
d) Con carácter facultativo, el Presidente del Consejo de Administración del Instituto Nacional de Tecnologías de la Comunicación (INTECO) podrá formar parte del Comité como vocal, con voz, o bien delegar en un suplente con categoría mínima de Subdirector General o asimilado.
El Responsable de Seguridad 1. Las funciones del Responsable de Seguridad se ejercerán por el grupo técnico de seguridad de la información, presidido y coordinado por el Subdirector General de Tecnologías de la Información y de las Comunicaciones y estará compuesto por los siguientes miembros, cada uno de los cuales podrá delegar en un suplente en caso necesario:
a) El Subdirector General de Apoyo a la Pequeña y Mediana Empresa.
b) El Director de la División de Tecnologías de la Información de la Oficina Española de Patentes y Marcas.
c) El Secretario General del Instituto para la Reestructuración de la Minería del Carbón y Desarrollo Alternativo de las Comarcas Mineras.
d) El Director del Centro Español de Metrología.
e) El Subdirector General de Gestión Económico-Administrativa y Tecnologías de la Información del Instituto de Turismo de España.
Los acuerdos y decisiones adoptados por los miembros que conforman el grupo técnico de seguridad de la información se harán por mayoría de sus miembros y su presidente contará con un voto de calidad en caso de empate.
g) Coordinar la comunicación con el Centro Criptológico Nacional en la utilización de servicios de respuesta a incidentes de seguridad.
Equipo de seguridad 1. Como grupo de apoyo del Responsable de Seguridad para el cumplimiento de sus funciones, éste contará con un equipo de seguridad que aglutinará las tareas de prevención de incidentes de seguridad, detección de anomalías, mecanismos de respuesta eficaz ante los mismos y actividades de recuperación mediante el desarrollo de planes de continuidad de los sistemas de información para garantizar la disponibilidad de los servicios críticos.
El Responsable de la Información 1. Las funciones de Responsable de la Información recaerán en la persona titular del órgano o unidad administrativa que gestione cada procedimiento administrativo, pudiendo una misma persona acumular las responsabilidades de la información de todos los procedimientos que gestione, y serán las siguientes:
a) Determinar los niveles de seguridad de la información dentro del marco establecido en el anexo I del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, previa propuesta del Responsable de Seguridad.
b) Determinar las excepciones al punto anterior que sean de aplicación a la información de gestión interna. En este sentido, el Subsecretario es el responsable de establecer las medidas de protección y destrucción de la información de gestión interna y, singularmente, los órganos superiores podrán definir medidas de seguridad adicionales sobre cierta información que consideren sensible en el ámbito de sus Unidades y de acuerdo con el Responsable de Seguridad.
c) En el ámbito de la información que contenga datos de carácter personal velará por la aplicación de los niveles de protección que establezca el responsable del fichero, así como las medidas de seguridad aplicables a los ficheros que contengan datos de carácter personal, según lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
d) En el ámbito de la información susceptible de formar parte del patrimonio documental, velará por el cumplimiento de lo que establezca la Comisión Calificadora de Documentos Administrativos del Departamento.
e) En el ámbito de la información clasificada a la que sea de aplicación la Ley 9/1968, de 5 de abril, de Secretos Oficiales, el Responsable de la velará por el cumplimiento de lo que establezca la Autoridad Nacional de Seguridad.
El Responsable del Servicio Las funciones del Responsable del Servicio recaerán en los titulares de los órganos responsables del desarrollo, mantenimiento y explotación del sistema de información que soporte los servicios correspondientes y serán las siguientes:
d) Establecer planes de contingencia y emergencia.
e) Suspender, previo acuerdo de los Responsables de Seguridad y de Información, el manejo de una determinada información o la prestación de un servicio electrónico si es informado de deficiencias graves de seguridad.
Resolución de conflictos En caso de conflicto entre los diferentes responsables, éste será resuelto por el superior jerárquico de los mismos. En defecto de lo anterior, prevalecerá la decisión del Responsable de Seguridad.
Gestión de riesgos 1. La gestión de riesgos debe realizarse de manera continua sobre el sistema de información, conforme a los principios de gestión de la seguridad basada en los riesgos (
artículo 6 Real Decreto 3/2010, de 8 de enero) y reevaluación periódica (
artículo 9 Real Decreto 3/2010, de 8 de enero), siendo el Responsable del Servicio el encargado de que se realice el preceptivo análisis de riesgos y se proponga el tratamiento adecuado, calculando los riesgos residuales.
6. En particular, para realizar el análisis de riesgos se podrán utilizar las herramientas PILAR o μPILAR que facilitan el seguimiento de la aplicación de las medidas de seguridad seleccionadas y proporcionan un valor de riesgo residual estabilizado y comparable entre diferentes sistemas de información.
Desarrollo normativo 1. El cuerpo normativo sobre seguridad de la información se desarrollará en cuatro niveles por ámbito de aplicación, nivel de detalle técnico y obligatoriedad de cumplimiento, de manera que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior. Dichos niveles de desarrollo normativo son los siguientes:
a) Primer nivel normativo. PSI. Está constituido por la presente orden y es de obligado cumplimiento.
b) Segundo nivel normativo. Normativa y recomendaciones de seguridad. Está constituido por la normativa y recomendaciones de seguridad que se definan en cada ámbito organizativo de aplicación específico (órganos superiores y directivos, organismos públicos dependientes, etc.).La normativa, que comprende los procedimientos STIC, las normas STIC y las instrucciones técnicas STIC, es de obligado cumplimiento y se formalizará mediante instrucciones o resoluciones de los titulares de los órganos correspondientes, previa aprobación del Comité, mientras que las recomendaciones consistirán en buenas prácticas y consejos no vinculantes para mejorar las condiciones de seguridad.
c) Tercer nivel normativo. Procedimientos técnicos (Guías STIC). Está constituido por el conjunto de procedimientos técnicos orientados a resolver las tareas, consideradas críticas por el perjuicio que causaría una actuación inadecuada, de seguridad, desarrollo, mantenimiento y explotación de los sistemas de información. Son recomendaciones o informaciones relativas a temas concretos de seguridad basadas en instrucciones previas, que establecen las configuraciones mínimas de seguridad de los diferentes elementos de un sistema de información, recomendaciones de uso o de otro tipo.La responsabilidad de aprobación de estos procedimientos técnicos dependerá de su ámbito de aplicación, que podrá ser en un ámbito específico o en un sistema de información determinado. Se consideran incluidas en este nivel normativo las guías CCN-STIC de las series 400, 500 y 600.
d) Cuarto nivel normativo. Informes, registros y evidencias electrónicas. Está constituido por los informes técnicos, que son documentos de carácter técnico que recogen el resultado y las conclusiones de un estudio o de una evaluación; registros de actividad o alertas de seguridad, que son documentos de carácter técnico que recogen amenazas y vulnerabilidades a sistemas de información y son responsabilidad del equipo de seguridad; y evidencias electrónicas, que se generan durante todas las fases del ciclo de vida de los sistemas de información y en sus distintos procesos, pudiendo abarcar uno o más sistemas en función del aspecto tratado.
Protección de datos de carácter personal 1. Respecto a la protección de datos de carácter personal, el Responsable de la Información asumirá las funciones de responsable del fichero y el Responsable del Servicio las del responsable del tratamiento, siendo asumidas por el Responsable de Seguridad las funciones enumeradas en el artículo 5.
Formación y concienciación 1. Se desarrollarán actividades formativas específicas orientadas a la concienciación y formación de los empleados públicos del Departamento, así como a la difusión entre los mismos de la PSI y de su desarrollo normativo.
2. A estos efectos, deberán incluirse actividades formativas en esta materia dentro de los planes de formación del Ministerio de Industria, Energía y Turismo.
Actualización permanente y revisiones periódicas de la PSI La PSI deberá mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de administración electrónica, a la evolución tecnológica y al desarrollo de la sociedad de la información, así como a los estándares internacionales de seguridad.
No incremento del gasto público La aplicación de esta orden no conllevará incremento de gasto público, atendiéndose el funcionamiento del Comité con los recursos humanos y materiales de que dispone el Ministerio de Industria, Energía y Turismo.
Derogación normativa Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente orden y, en particular, la Orden ITC/657/2011, de 11 de marzo, por la que se aprueba la política de seguridad de la información en el ámbito de la administración electrónica del Ministerio de Industria, Turismo y Comercio.
Deber de colaboración de órganos y unidades del Departamento Todos los órganos y unidades del Departamento ministerial y de sus organismos autónomos prestarán su colaboración en las actuaciones de implementación de la PSI aprobada por esta orden.
Publicidad de la PSI La presente orden se publicará, además de en el «Boletín Oficial del Estado», en la sede electrónica del Departamento.
Aplicabilidad La PSI que se aprueba en esta orden será aplicable a partir del día siguiente al de su publicación en el «Boletín Oficial del Estado».

References: Artículo 1
 Real Decreto 
 Real Decreto 
 Real Decreto 

Artículo 1
 Real Decreto 
 Real Decreto 
 Real Decreto 

Resolución 

artículo 6
 Real Decreto 

artículo 9
 Real Decreto 
 artículo 5