Source: http://noticias.juridicas.com/base_datos/Admin/524695-orden-ssi-321-2014-de-26-de-febrero-por-la-que-se-aprueba-la-politica-de.html
Timestamp: 2016-09-29 05:22:24+00:00

Document:
Orden SSI/321/2014, de 26 de febrero, por la que se aprueba la pol�tica de seguridad de la informaci�n en el �mbito de la administraci�n electr�nica del Ministerio de Sanidad, Servicios Sociales e Igualdad.
�Misi�n del Departamento
�Estructura organizativa de la PSI
�El Comit� de Seguridad de la Informaci�n
�El Responsable de Seguridad de la Informaci�n
�Equipo de Seguridad de la Informaci�n
�Gesti�n de riesgos
�Actualizaci�n permanente y revisiones peri�dicas de la PSI
.�Directrices generales para el establecimiento de un marco de control de la seguridad de la informaci�n y para la determinaci�n de los objetivos de control de la seguridad necesarios, basados en el est�ndar internacional ISO/IEC 27002 2005
El desarrollo de la Administraci�n Electr�nica implica el tratamiento automatizado de grandes cantidades de informaci�n por los sistemas de tecnolog�as de la informaci�n y de las comunicaciones, que est� sometida a diferentes tipos de amenazas y vulnerabilidades.
En el contexto de la Administraci�n Electr�nica, se entiende por seguridad de la informaci�n la capacidad de las redes o de los sistemas de informaci�n para resistir, con un determinado nivel de confianza, los accidentes y acciones il�citas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad de los datos almacenados o transmitidos y de los servicios que dichas redes o sistemas ofrecen, o a trav�s de los cuales se realiza el acceso.
El Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica, persigue fundamentar la confianza en que los sistemas de informaci�n prestar�n sus servicios y custodiar�n la informaci�n de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la informaci�n pueda llegar a conocimiento de personas no autorizadas.
La Pol�tica de Seguridad de la Informaci�n del Ministerio de Sanidad, Servicios Sociales e Igualdad, de conformidad con lo dispuesto en el art�culo 11 del Real Decreto 3/2010, de 8 de enero, da soporte a todas las exigencias del Esquema Nacional de Seguridad, as� como a los requisitos derivados de la Ley Org�nica 15/1999, de 13 de diciembre, de Protecci�n de Datos de Car�cter Personal y su Reglamento de desarrollo, aprobado mediante el Real Decreto 1720/2007, de 21 de diciembre.
Dado que la seguridad de la informaci�n debe responder a m�ltiples requisitos y abarca todos los aspectos de una organizaci�n, es fundamental abordar su gesti�n utilizando un Sistema de Gesti�n de la Seguridad de la Informaci�n basado en el est�ndar UNE-ISO/IEC 27001. Las directrices para el establecimiento de un marco de control de la seguridad de la informaci�n que se incluyen en el Anexo se estructuran de acuerdo al est�ndar UNE-ISO/IEC 27002, para facilitar la implantaci�n del Sistema de Gesti�n y para utilizar una estructura con independencia de las diferentes legislaciones vigentes.
Esta norma ha sido sometida a informe previo de la Agencia Espa�ola de Protecci�n de Datos.
Objeto y �mbito de aplicaci�n 1. El objeto de esta orden es la aprobaci�n de la Pol�tica de Seguridad de la Informaci�n (en adelante, PSI) en el �mbito de la Administraci�n Electr�nica del Ministerio de Sanidad, Servicios Sociales e Igualdad, as� como el establecimiento del marco organizativo y tecnol�gico de la misma.
2. La PSI se aplicar� a todos los sistemas de informaci�n utilizados por todos los �rganos y unidades centrales y territoriales del Ministerio de Sanidad, Servicios Sociales e Igualdad y por los organismos p�blicos que dependan del mismo. La PSI deber� ser observada, igualmente, por todo el personal destinado en dichos �rganos y unidades, as� como por aquellas personas que, aunque no est�n destinadas en los mismos, tengan acceso a sus sistemas de informaci�n.
Misi�n del Departamento Corresponde al Ministerio de Sanidad, Servicios Sociales e Igualdad la pol�tica del Gobierno en materia de salud, de planificaci�n y asistencia sanitaria y de consumo, as� como el ejercicio de las competencias de la Administraci�n General del Estado para asegurar a los ciudadanos el derecho a la protecci�n de la salud.
Asimismo, le corresponde la propuesta y ejecuci�n de la pol�tica del Gobierno en materia de cohesi�n e inclusi�n social, de familia, de protecci�n del menor y de atenci�n a las personas dependientes o con discapacidad.
Marco normativo 1. El marco normativo en que se desarrollan las actividades del Ministerio de Sanidad, Servicios Sociales e Igualdad comprende la legislaci�n sectorial reguladora de la actuaci�n de los �rganos superiores y directivos del Departamento y de los organismos p�blicos dependientes del mismo, as� como la legislaci�n espec�fica en vigor sobre la administraci�n electr�nica que se detalla a continuaci�n:
a) La legislaci�n sectorial reguladora de la actuaci�n de los �rganos superiores y directivos del Ministerio de Sanidad, Servicios Sociales e Igualdad y de los organismos p�blicos dependientes, as� como el Real Decreto 200/2012, de 23 de enero, por el que se desarrolla la estructura org�nica b�sica del Ministerio de Sanidad, Servicios Sociales e Igualdad y se modifica el Real Decreto 1887/2011, de 30 de diciembre, por el que se establece la estructura org�nica b�sica de los departamentos ministeriales
b) Ley 11/2007, de 22 de junio, de acceso electr�nico de los ciudadanos a los Servicios P�blicos.
c) Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electr�nico de los ciudadanos a los servicios p�blicos.
d) Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el �mbito de la Administraci�n Electr�nica.
e) Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el �mbito de la Administraci�n Electr�nica.
f) Ley Org�nica 15/1999, de 13 de diciembre, de Protecci�n de Datos de Car�cter Personal.
g) Reglamento de desarrollo de la Ley Org�nica 15/1999, de 13 de diciembre, de protecci�n de datos de car�cter personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre.
h) Ley 59/2003, de 19 de diciembre, de firma electr�nica.
i) Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedici�n del documento nacional de identidad y sus certificados de firma electr�nica.
j) Orden SSI/2076/2013, de 28 de octubre, por la que se crea la sede electr�nica del Ministerio de Sanidad, Servicios Sociales e Igualdad, as� como las otras normas que hayan creado o puedan crear otras sedes electr�nicas dentro del �mbito de aplicaci�n de la PSI.
k) Orden SCO/2751/2006, de 31 de agosto, por la que se crea el Registro Telem�tico del Ministerio de Sanidad y Consumo para la presentaci�n de escritos, solicitudes y comunicaciones y se establecen los requisitos generales para la tramitaci�n telem�tica de determinados procedimientos, as� como las otras normas que hayan creado o puedan crear otros registros electr�nicos dentro del �mbito de aplicaci�n de la PSI.
l) Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la informaci�n p�blica y buen gobierno.
2. Tambi�n formar�n parte de este marco normativo las restantes normas aplicables a la administraci�n electr�nica del Ministerio de Sanidad, Servicios sociales e Igualdad derivadas de las anteriores y que se encuentren publicadas en las sedes electr�nicas comprendidas dentro del �mbito de la PSI.
Estructura organizativa de la PSI La estructura organizativa de la gesti�n de la seguridad de la informaci�n en el �mbito de la administraci�n electr�nica del Ministerio de Sanidad, Servicios Sociales e Igualdad est� compuesta por los siguientes agentes:
a) El Comit� de Seguridad de la Informaci�n.
b) Los Responsables de Seguridad de la Informaci�n.
c) Los Responsables de la Informaci�n.
El Comit� de Seguridad de la Informaci�n 1. Se crea el Comit� de Seguridad de la Informaci�n (en adelante, Comit�) como grupo de trabajo en el seno de la Comisi�n Ministerial de Inform�tica del Departamento.
a) Presidente: la persona titular de la Subsecretar�a de Sanidad, Servicios Sociales e Igualdad.
b) Vicepresidente: la persona titular de la Subdirecci�n General de Tecnolog�as de la Informaci�n
c) Vocales: un representante, con rango m�nimo de Subdirector General o asimilado, de cada uno de los siguientes �rganos superiores y directivos del Departamento:
1.� Secretar�a de Estado de Servicios Sociales e Igualdad.
2.� Secretar�a General de Sanidad y Consumo.
3.� Subsecretar�a de Sanidad, Servicios Sociales e Igualdad.
Adem�s ser�n vocales los Responsables de Seguridad de la Informaci�n del Instituto de Mayores y Servicios Sociales (IMSERSO), de la Organizaci�n Nacional de Trasplantes (ONT) y de los Centros de Ceuta y Melilla del Instituto Nacional de Gesti�n Sanitaria (INGESA).
d) Secretario: Con voz y sin voto, el Secretario del grupo t�cnico del Responsable de Seguridad de la Informaci�n del Ministerio de Sanidad, Servicios Sociales e Igualdad, que ejecutar� las decisiones del Comit�, efectuar� la convocatoria de sus reuniones y preparar� los temas a tratar.
3. El Comit� coordinar� todas las actividades relacionadas con la seguridad de los sistemas de informaci�n y ejercer� las siguientes funciones:
a) Elaborar las propuestas de modificaci�n y actualizaci�n permanente de la PSI del Ministerio de Sanidad, Servicios Sociales e Igualdad con car�cter anual.
c) Determinar los criterios para la aceptaci�n de riesgos y los niveles aceptables de riesgo para la organizaci�n.
d) Elaborar y aprobar la normativa de seguridad derivada de segundo nivel (normas de Seguridad de la Informaci�n) y el procedimiento de An�lisis de Riesgos.
e) Proveer los recursos y medios necesarios para asegurar la concienciaci�n y formaci�n en materia de seguridad de la informaci�n de todo el personal del Ministerio de Sanidad, Servicios Sociales e Igualdad.
g) Analizar los Informes de Revisi�n por Direcci�n anuales facilitados por cada Responsable de Seguridad, en los que cada uno de ellos informar� del resultado del an�lisis de riesgos, de las auditor�as realizadas, del plan de proyectos y de las iniciativas y acciones de mejora de seguridad requeridas.
h) Revisar la informaci�n facilitada por los Responsables de Seguridad relativas a los incidentes de seguridad en el Ministerio de Sanidad, Servicios Sociales e Igualdad que as� lo requieran.
j) Tomar todas aquellas decisiones que garanticen la seguridad de la informaci�n y servicios del Departamento.
4. El Comit� se reunir�, al menos, una vez al a�o.
El Responsable de Seguridad de la Informaci�n 1. El Responsable de Seguridad de la Informaci�n (RSI) determina, en cada dominio de seguridad en el que resulta competente, las decisiones para satisfacer los requisitos de seguridad de la informaci�n y de los servicios.
Se entiende por dominio de seguridad el conjunto de infraestructuras de comunicaciones, equipamientos f�sicos y l�gicos y personas que sobre ellos operan, interrelacionados de tal modo que resulte m�s eficiente gestionar la seguridad de la informaci�n manejada por los mismos de forma conjunta.
2. Se designar�n los siguientes Responsables de Seguridad de la Informaci�n, seg�n el dominio de seguridad en el que resulten competentes:
a) RSI cuyo �mbito de responsabilidad comprende la informaci�n y servicios afectados por los sistemas de informaci�n gestionados por el Ministerio de Sanidad, Servicios Sociales e Igualdad, as� como los organismos p�blicos dependientes de �ste y que no se incluyan dentro del �mbito de actuaci�n del resto de RSI. Corresponder� al grupo t�cnico al que se refiere el apartado 3 del presente art�culo.
b) RSI del IMSERSO. La designaci�n corresponder� al titular de su Direcci�n General entre alguno de los efectivos que en ese momento presten servicios en el IMSERSO.
c) RSI de la ONT. La designaci�n corresponder� al titular de su Direcci�n General entre alguno de los efectivos que en ese momento presten servicios en la ONT.
d) RSI de los Centros de Ceuta y Melilla (Direcciones Territoriales, Gerencias de Atenci�n Especializada y Gerencias de Atenci�n Primaria). La designaci�n corresponder� al titular de la Direcci�n del INGESA entre alguno de los efectivos que en ese momento presten servicios en el INGESA.
3. El grupo t�cnico de seguridad de la informaci�n en el �mbito departamental estar� presidido y coordinado por el titular de la Subdirecci�n General de Tecnolog�as de la Informaci�n, y estar� compuesto por los siguientes miembros:
a) El titular de la Subdirecci�n General de Recursos Humanos.
b) El titular de la Subdirecci�n General de Oficial�a Mayor.
c) El titular de la Subdirecci�n General de Normativa.
d) El titular de la Subdirecci�n General de la Inspecci�n General de Servicios.
e) Un representante por cada uno de los organismos p�blicos, designados por los titulares de aquellos.
f) Un funcionario dependiente de la Subdirecci�n General de Tecnolog�as de la Informaci�n y designado por el titular de la misma, quien ejercer� las funciones de Secretario y coordinar� al Equipo de Seguridad de la Informaci�n.
4. Ser�n funciones del RSI las siguientes, en su dominio:
a) Impulsar y revisar un Sistema de Gesti�n de Seguridad de la Informaci�n (en adelante SGSI), de acuerdo al est�ndar UNE-ISO/IEC 27001, para el dominio de seguridad que le corresponda.
b) Coordinar la realizaci�n del An�lisis de Riesgos anual sobre los sistemas de informaci�n bajo su responsabilidad.
d) Coordinar y controlar el cumplimiento de las medidas de seguridad definidas en los documentos de seguridad correspondientes a todos los ficheros o tratamientos de datos de car�cter personal existentes.
e) Mantener el marco documental relativo al sistema de gesti�n de la seguridad de la informaci�n actualizado.
f) Determinar los controles de la norma UNE-ISO/IEC 27002 necesarios para mitigar el riesgo resultante del An�lisis de Riesgos.
g) Elaborar el plan de proyectos anual y coordinar su ejecuci�n.
h) Operar los recursos facilitados por el Comit�.
i) Mantener la seguridad de la informaci�n manejada y de los servicios electr�nicos prestados por los sistemas de informaci�n.
j) Gestionar los incidentes de seguridad de la informaci�n que se produzcan, informando de los m�s relevantes al Comit�.
k) Realizar o promover auditor�as peri�dicas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci�n.
l) Designar el auditor interno de la seguridad de la informaci�n.
m) Elaborar el Informe de Revisi�n por Direcci�n anual.
o) Coordinar a los responsables de la informaci�n y a los de los servicios.
p) Informar sobre el estado de las principales variables de seguridad en los sistemas de informaci�n del dominio de seguridad correspondiente al Comit� de Seguridad de la Informaci�n de las Administraciones P�blicas para la elaboraci�n de un perfil general del estado de seguridad de las mismas.
q) Coordinar la comunicaci�n con el Centro Criptol�gico Nacional en la utilizaci�n de servicios de respuesta a incidentes de seguridad de la informaci�n.
Equipo de Seguridad de la Informaci�n 1. El Equipo de Seguridad de la Informaci�n se constituye como grupo de apoyo del RSI correspondiente para el cumplimiento de sus funciones.
2. A estos efectos, el Equipo de Seguridad de la Informaci�n realizar� las auditor�as peri�dicas de seguridad (prevenci�n), el seguimiento y control del estado de seguridad del sistema (detecci�n), la respuesta eficaz a los incidentes de seguridad desde su notificaci�n hasta su resoluci�n (respuesta) y el desarrollo de los planes de continuidad de los sistemas de informaci�n (recuperaci�n).
3. El RSI correspondiente determinar� la composici�n del Equipo de Seguridad de la Informaci�n entre los efectivos que en ese momento presten servicios en el Departamento u organismo p�blico dependiente de que se trate.
El Responsable de la Informaci�n 1. El Responsable de la Informaci�n es el titular del �rgano o unidad que gestione cada procedimiento administrativo.
En los casos en que un sistema trate datos de car�cter personal, el Responsable de la Informaci�n ser� adem�s el responsable del fichero. Sus funciones vendr�n determinadas por la legislaci�n aplicable sobre protecci�n de datos de car�cter personal.
2. El Responsable de la Informaci�n tiene encomendada la funci�n de determinar los niveles de seguridad de la informaci�n dentro del marco establecido en el anexo I del Real Decreto 3/2010, de 8 de enero.
3. Ser� adem�s responsable frente a cualquier error o negligencia dentro del procedimiento administrativo que gestione y que lleve a un incidente de confidencialidad o de integridad.
El Responsable del Servicio 1. El Responsable del Servicio es el titular del �rgano o unidad que gestione cada servicio.
2. El Responsable del Servicio tiene encomendada la funci�n de determinar los niveles de seguridad del servicio dentro del marco establecido en el anexo I del Real Decreto 3/2010, de 8 de enero.
Resoluci�n de conflictos 1. En caso de conflicto entre los diferentes responsables, �ste ser� resuelto por el superior jer�rquico de los mismos. En su defecto, ser� el Comit� quien resuelva.
2. En la resoluci�n de estos conflictos, prevalecer�n las mayores exigencias derivadas de la protecci�n de datos de car�cter personal.
Gesti�n de riesgos 1. La gesti�n de riesgos debe realizarse de manera continua sobre el sistema de informaci�n, conforme a los principios de gesti�n de la seguridad basada en los riesgos, de conformidad con lo dispuesto en el art�culo 6 del Real Decreto 3/2010, de 8 de enero, y en la reevaluaci�n peri�dica.
2. El RSI es el encargado de que el an�lisis se realice en tiempo y forma, as� como de identificar carencias y debilidades y ponerlas en conocimiento de los Responsables de la Informaci�n y del Servicio.
3. La gesti�n de riesgos, que comprende las fases de categorizaci�n de los sistemas, an�lisis de riesgos y selecci�n de medidas de seguridad a aplicar, que deber�n ser proporcionadas a los riesgos y estar justificadas, deber� revisarse y aprobarse cada a�o por el Responsable de Seguridad de la Informaci�n correspondiente al dominio de seguridad, recogi�ndose en un Plan de Acci�n anual.
4. En particular, para realizar el an�lisis de riesgos se utilizar�n las herramientas PILAR o �PILAR que facilitan el seguimiento de la aplicaci�n de las medidas de seguridad seleccionadas y proporcionan un valor de riesgo residual estabilizado y comparable entre diferentes sistemas de informaci�n.
Desarrollo normativo 1. El cuerpo normativo sobre seguridad de la informaci�n se desarrollar� en cinco niveles con diferente �mbito de aplicaci�n, nivel de detalle t�cnico y obligatoriedad de cumplimiento, pero de manera que cada elemento normativo se fundamente en las normas de nivel superior.
Todos estos niveles prestar�n especial atenci�n a las exigencias derivadas del Esquema Nacional de Seguridad, as� como a la normativa aplicable en materia de protecci�n de datos de car�cter personal.
a) Primer nivel normativo: PSI. Est� constituido por la presente orden, que en el anexo establece las directrices generales para la gesti�n de la seguridad de la informaci�n, fundamentada en la norma UNE-ISO/IEC 27002. Es de obligado cumplimiento en todo el Ministerio de Sanidad, Servicios Sociales e Igualdad, organismos p�blicos y entidades colaboradoras con estos.
1. Clasificaci�n y tratamiento de la informaci�n.
3. Seguridad f�sica.
4. Gesti�n de operaciones.
6. Adquisici�n y desarrollo de sistemas.
7. Gesti�n de incidentes de seguridad.
9. Adecuaci�n a la legislaci�n vigente.
d) Cuarto nivel normativo: Procedimientos espec�ficos. Describen las acciones a realizar en un proceso relacionado con la seguridad, responsabilidad de una unidad organizativa, dentro de un mismo dominio de seguridad. Dependen de normas o de procedimientos generales.
e) Quinto nivel normativo: Informes, registros, evidencias electr�nicas y plantillas. Los informes son documentos de car�cter t�cnico que recogen el resultado y las conclusiones de un estudio o de una evaluaci�n. Los registros de actividad o alertas de seguridad son documentos de car�cter t�cnico que recogen amenazas y vulnerabilidades a sistemas de informaci�n y son responsabilidad del equipo de seguridad. Las evidencias electr�nicas se generan durante todo el ciclo de vida de los sistemas de informaci�n, pudiendo abarcar uno o m�s sistemas en funci�n del aspecto tratado.
2. El Comit� establecer� los mecanismos necesarios para compartir la documentaci�n derivada del desarrollo normativo con el prop�sito de normalizarlo, en la medida de lo posible, en todo el �mbito de aplicaci�n de la PSI.
La siguiente tabla resume el marco normativo y la responsabilidad de su aprobaci�n.
Pol�tica de Seguridad.
�rgano superior competente.
Comit� de Seguridad de la Informaci�n.
Responsable de Seguridad de la Informaci�n.
Procedimientos espec�ficos.
Equipo de Seguridad de la Informaci�n.
Protecci�n de datos de car�cter personal 1. Ser�n responsables de los ficheros que contengan datos de car�cter personal las personas definidas en el art�culo 8.1.
2. Los ficheros que contengan datos de car�cter personal estar�n referenciados en el correspondiente documento de seguridad previsto en el art�culo 88 del Reglamento de desarrollo de la Ley Org�nica 15/1999, de 13 de diciembre.
3. Las medidas de seguridad requeridas por el Reglamento de desarrollo de la Ley Org�nica 15/1999, de 13 de diciembre, estar�n incluidas en los diferentes niveles de desarrollo normativo previstos en el art�culo 12.
Formaci�n En el Ministerio de Sanidad, Servicios Sociales e Igualdad, se desarrollar�n actividades espec�ficas orientadas a la formaci�n de su personal en materia de seguridad de la informaci�n, as� como a la difusi�n de la PSI y su desarrollo normativo.
A estos efectos, deber�n incluirse actividades formativas en esta materia dentro de los Planes de Formaci�n del Ministerio.
Actualizaci�n permanente y revisiones peri�dicas de la PSI 1. Esta orden deber� mantenerse actualizada para adecuarla al progreso de los servicios de Administraci�n Electr�nica, a la evoluci�n tecnol�gica y al desarrollo de la sociedad de la informaci�n, as� como a los est�ndares internacionales de seguridad.
2. Las propuestas de las sucesivas revisiones de la PSI las har� el Comit�.
No incremento del gasto p�blico La aplicaci�n de esta orden no conllevar� incremento de gasto p�blico. Las medidas incluidas en la misma no supondr�n, en ning�n caso, incremento de dotaciones ni de retribuciones ni de otros gastos de personal.
Deber de colaboraci�n de �rganos y unidades del Departamento Todos los �rganos y unidades del Departamento y de sus organismos p�blicos prestar�n su colaboraci�n en las actuaciones de implementaci�n de la PSI aprobada por esta orden.
Publicidad de la PSI Esta orden se publicar�, adem�s de en el �Bolet�n Oficial del Estado�, en cada una de las sedes electr�nicas del Ministerio de Sanidad, Servicios Sociales e Igualdad.
ANEXO Directrices generales para el establecimiento de un marco de control de la seguridad de la informaci�n y para la determinaci�n de los objetivos de control de la seguridad necesarios, basados en el est�ndar internacional ISO/IEC 27002:2005
Gesti�n de los activos:
• Se deber� conseguir y mantener un nivel apropiado de protecci�n sobre los activos del Ministerio, prestando especial atenci�n a aquellos que contengan datos de car�cter personal.
• Todos los activos de informaci�n tendr�n un propietario, asign�ndole la responsabilidad del mantenimiento de los controles apropiados. La implantaci�n de los controles espec�ficos puede ser delegada por el propietario seg�n considere pero la responsabilidad de la adecuada protecci�n de los activos permanece en �l.
• Toda la informaci�n deber� ser inventariada y clasificada en funci�n de unos niveles establecidos en base a su sensibilidad y criticidad.
• Se definir�n normas de uso aceptable de los activos (correo electr�nico, Internet, dispositivos m�viles, documentaci�n en papel, etc.).
• Se velar� porque empleados, contratistas y terceras partes entiendan sus responsabilidades y estas sean adecuadas a sus roles asignados, con objeto de reducir el riesgo de hurto, fraude o mal uso de las instalaciones.
• Todo el personal con acceso a la informaci�n deber� ser consciente de las amenazas a la seguridad de la informaci�n, siendo conocedor de sus responsabilidades y obligaciones (con especial atenci�n a las exigencias establecidas en la normativa en materia de protecci�n de datos de car�cter personal) y estando preparado para aplicar la pol�tica y normas de seguridad en el curso de su trabajo habitual.
• Se deber� asegurar que todo proceso de salida de personal de la Organizaci�n (o cambio de puesto) se haga de una forma gestionada, realiz�ndose las comunicaciones oportunas de forma temprana y controlando la devoluci�n de activos y la retirada de los derechos de acceso otorgados.
Seguridad f�sica y del entorno:
• La informaci�n y los sistemas que la soportan, se ubicar�n en �reas seguras adecuadamente protegidas de amenazas f�sicas o ambientales, sean estas intencionadas o accidentales. La protecci�n suministrada deber� ser siempre proporcional al riesgo y funci�n de la criticidad de la informaci�n, con especial atenci�n a la seguridad de los datos de car�cter personal. Ser� necesario establecer las suficientes garant�as f�sicas de seguridad, a fin de reducir los riesgos de da�os o p�rdidas de datos.
• Las instalaciones de procesamiento de la informaci�n y la informaci�n deben ser protegidas contra la divulgaci�n, modificaci�n o robo de la informaci�n, as� como de accesos f�sicos no autorizados, debi�ndose implementar controles para minimizar p�rdidas o da�os.
• Existir� un plan de emergencia y evacuaci�n del edificio para el caso de amenazas f�sicas o ambientales, cuyo objetivo primordial sea la protecci�n de las personas.
Gesti�n de comunicaciones y operaciones:
• Se debe asegurar el funcionamiento correcto y seguro de los recursos de tratamiento de la informaci�n, estableciendo las responsabilidades y los procedimientos para la gesti�n y operaci�n de todos los recursos de informaci�n, incluyendo la documentaci�n de los mismos.
• Se implantar� una segregaci�n de tareas donde sea apropiado, para reducir el riesgo de negligencia o uso incorrecto e intencionado
• Se implementar� y velar� por el mantenimiento de un nivel apropiado de seguridad de la informaci�n y de niveles de servicio en l�nea con los acuerdos firmados con terceras partes.
• Se comprobar� el cumplimiento y conformidad con los acuerdos, gestionando los cambios necesarios para asegurar que los servicios entregados son conformes con todos los requisitos acordados con la tercera parte.
• Con objeto de minimizar el riesgo de fallos en los sistemas, se realizar�n estudios para futuros requerimientos de capacidad, a fin de reducir los riesgos de sobrecarga de los sistemas y garantizar la disponibilidad de capacidad. Se deber�n establecer, documentar y probar previamente a su aceptaci�n y uso los requisitos operacionales de los sistemas nuevos.
• Existir�n mecanismos adecuados para el control de software malicioso, prestando especial atenci�n a la concienciaci�n de los usuarios acerca de los peligros del software no autorizado y malicioso.
• Se crear�n los procedimientos necesarios para garantizar la integridad y disponibilidad de la informaci�n y los recursos de tratamiento de la informaci�n. Se establecer�n procedimientos rutinarios de copias de seguridad de datos y de verificaci�n de la posible restauraci�n mediante las copias.
• La gesti�n de seguridad de las redes que atraviesan el per�metro del Ministerio requerir� la implantaci�n de controles y medidas adicionales para proteger los datos sensibles que circulan por las redes p�blicas.
• Los medios de almacenamiento de informaci�n ser�n controlados y protegidos f�sicamente estableciendo procedimientos operativos apropiados para prevenir la revelaci�n, modificaci�n, eliminaci�n o destrucci�n no autorizada.
• Se controlar� el intercambio de informaci�n y software entre organizaciones, siendo consecuentes con la legislaci�n aplicable. Asimismo, existir�n procedimientos que garanticen la protecci�n de la informaci�n y los medios en tr�nsito.
• La integridad de la informaci�n almacenada en sistemas accesibles p�blicamente estar� protegida para prevenir su integridad y disponibilidad.
• Los procedimientos para el control de acceso a los sistemas de informaci�n deber�n cubrir todas las etapas del ciclo de vida de los accesos de un usuario, prestando una concreta atenci�n al acceso a sistemas de informaci�n que contengan datos de car�cter personal. El acceso no autorizado a los sistemas y servicios de informaci�n deber� ser evitado, implementando controles apropiados para la gesti�n de los derechos de usuario bas�ndose en una pol�tica de control de acceso.
• Se concienciar� a los usuarios acerca de sus responsabilidades en el mantenimiento de las medidas de control de acceso, particularmente en el uso de credenciales y en la seguridad de su equipamiento habitual.
• El acceso a la informaci�n y los recursos de tratamiento ser�n otorgados sobre la base de los requisitos m�nimos indispensables de accesos de los usuarios para el desempe�o de sus funciones.
• Los accesos a la informaci�n deber�n ser monitorizados, a fin de comprobar la eficacia de los controles adoptados y detectar las desviaciones respecto de la pol�tica de control de accesos.
• Deber� garantizarse la seguridad de la informaci�n en el uso de dispositivos m�viles e instalaciones de trabajo remotas. La protecci�n requerida ser� proporcional al riesgo que implique la modalidad de trabajo.
Adquisici�n, desarrollo y mantenimiento de sistemas de informaci�n:
• Se deber� garantizar que la seguridad sea una parte integral de los sistemas de informaci�n. Para ello, los requisitos de seguridad ser�n identificados, justificados, acordados y documentados durante la fase de requisitos de los proyectos, consider�ndose as� desde las primeras etapas del ciclo de vida de los sistemas.
• Se deber� garantizar el procesamiento correcto de las aplicaciones, evitando errores, p�rdidas, modificaciones no autorizadas o mal uso de la informaci�n en las aplicaciones, introduciendo controles de validaci�n de datos, pistas de auditor�a y los registros de actividad necesarios.
• Cuando una informaci�n sea cr�tica, se proteger� mediante el uso de medios criptogr�ficos, ampar�ndose en una pol�tica interna de uso de este tipo de controles que regule su uso.
• Se controlar�n estrictamente los entornos de los proyectos y el soporte a los mismos. Los propietarios de los sistemas de aplicaci�n tambi�n ser�n responsables de la seguridad de los mismos, garantizando que todos los cambios propuestos sean revisados, a fin de comprobar que los mismos no comprometen la seguridad del sistema.
• Se velar� por la seguridad de los ficheros de sistema y c�digo fuente de las aplicaciones, evitando el acceso y modificaci�n no autorizado.
• Se implementar�n mecanismos para reducir el riesgo resultante de la probabilidad de explotaci�n de vulnerabilidades t�cnicas, manteniendo la seguridad de las aplicaciones y programas.
• La seguridad de los sistemas de informaci�n garantizar� en todo caso el pleno respeto a las garant�as determinadas por la normativa en materia de datos de car�cter personal.
Gesti�n de incidencias de seguridad de la informaci�n:
• Se dispondr�n los medios para garantizar que los eventos que afecten a la seguridad de la informaci�n y las debilidades asociadas a los sistemas (especialmente en aquellos supuestos que afecten a datos de car�cter personal) sean comunicados de forma tal que las acciones correctivas correspondientes sean aplicadas de manera oportuna y adecuada.
• Deber�n existir procedimientos formales de comunicaci�n y escalado de incidentes. Todos los trabajadores, contratistas y terceros deber�n conocer los procedimientos establecidos y estar�n obligados a comunicarlos al contacto designado.
• Deber�n existir responsabilidades y procedimientos para tratar dichos incidentes, aplic�ndose un proceso de mejora continua a la reacci�n, supervisi�n, evaluaci�n y la gesti�n general de los mismos. Cuando sean necesarias pruebas, �stas deber�n recopilarse para garantizar el cumplimiento de los requisitos legales.
Gesti�n de la continuidad del negocio:
• Deber� implementarse un proceso de gesti�n de la continuidad del negocio para asegurar la protecci�n de los servicios cr�ticos del Ministerio, con especial atenci�n a aquellos que afecten a datos de car�cter personal, as� como su recuperaci�n en el tiempo requerido tras un desastre o fallo importante de los sistemas de informaci�n.
• La continuidad de las actividades cr�ticas del Ministerio estar� respaldada por la existencia de un grupo de gesti�n de crisis, con la suficiente capacidad de decisi�n, y unos adecuados controles preventivos y de recuperaci�n a fin de reducir los fallos de los sistemas a un nivel aceptable.
• La gesti�n de la continuidad del negocio deber� incluir, adem�s del proceso general de evaluaci�n de riesgos, controles para identificar y reducir los riesgos, limitar las consecuencias de incidentes da�inos y garantizar que la informaci�n necesaria para los servicios est� disponible.
• Los planes de continuidad del negocio deber�n probarse y actualizarse peri�dicamente para garantizar que est�n al d�a y que son efectivos.
• Se deber�n evitar quebrantamientos de las leyes o incumplimientos de cualquier obligaci�n legal, reglamentaria, contractual o de cualquier requisito de seguridad en relaci�n con el dise�o, operaci�n, uso y administraci�n de la informaci�n y los sistemas de tratamiento. Se observar� especialmente la normativa aplicable en materia de protecci�n de datos de car�cter personal.
• Con el fin de conseguir la conformidad de los sistemas con las pol�ticas y normas de seguridad del Ministerio, se realizar�n revisiones regulares y auditor�as de los sistemas de informaci�n, bas�ndose en las pol�ticas de seguridad apropiadas, para ver el grado de implantaci�n y cumplimiento, con especial respeto a la normativa aplicable en materia de protecci�n de datos de car�cter personal.

References: Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto