Source: http://noticias.juridicas.com/base_datos/CCAA/537442-d-40-2014-de-3-oct-ca-rioja-aprueba-la-politica-de-seguridad-de-la-informacion.html
Timestamp: 2017-05-24 09:18:53+00:00

Document:
Publicado en BOLR núm. 125 de 08 de Octubre de 2014
Vigencia desde 09 de Octubre de 2014
Derogación de acuerdos previos en materia de seguridad de la información
. Política de Seguridad de la Información de la Administración de la Comunidad Autónoma de La Rioja
Misión y objetivos de la política de seguridad de la información.
Organización interna de la seguridad
. Relaciones con terceros
Además la Política de Seguridad de la Información que se aprueba obedece a la exigencia del cumplimiento de diferentes normas legales y reglamentarias en materia de Seguridad de la Información, como el artículo 42 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, desarrollado por el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica, cuyo objeto es el establecimiento de los principios básicos y requisitos mínimos de una política de seguridad en la utilización de medios electrónicos que permita la adecuada protección de la información y la creación de las condiciones necesarias de confianza en su uso.
Así mismo la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en su artículo 9.1 obliga a los responsables de los ficheros que contengan datos personales a «adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado».
En su virtud, a propuesta de la Consejera de Administración Pública y Hacienda, y previa deliberación del Consejo de Gobierno, en su reunión del día 3 de octubre de 2014, acuerda aprobar el siguiente,
Relación con terceros Los contratos o convenios que se suscriban a partir de la entrada en vigor de este Decreto deberán contener una cláusula en la que se establezca la obligación de cumplir esta política y el sistema de verificación de su cumplimiento e incluir un acuerdo de confidencialidad.
Derogación de acuerdos previos en materia de seguridad de la información Queda sin efecto el Acuerdo de 24 de julio de 2008, por el que se aprobó la anterior Política de Seguridad.
Facultad de desarrollo Se faculta a la titular de la Consejería con competencias en materia de tecnologías de la información para dictar cuantas disposiciones exija la aplicación y ejecución de este Decreto.
Entrada en vigor El presente Decreto entrará en vigor el día siguiente al de su publicación en el 'Boletín Oficial de La Rioja'.
ANEXO Política de Seguridad de la Información de la Administración de la Comunidad Autónoma de La Rioja
1. Misión y objetivos de la política de seguridad de la información.
El Gobierno de La Rioja ha establecido un alineamiento con la gestión de la seguridad de la información según lo establecido en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica, reconociendo como activos estratégicos la información y los sistemas que la soportan.
a) La Administración General de La Rioja
b) Los Organismos Públicos adscritos a la Administración General
- Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal y sus normas de desarrollo.
- Ley 37/2007, de 16 de noviembre, sobre reutilización de la información del sector público.
- Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad.
- Orden 3/2014, de 9 de enero, de la Consejería de Administración Pública y Hacienda, por la que se crea y regula el Comité de Seguridad de la información del Gobierno de La Rioja.
- Revisiones periódicas sistemáticas: Deberán realizarse cuando se detecten incidencias o cambios en el marco legal que puedan cuestionar la validez de dicha Política. La revisión de la Política de Seguridad de la Información deberá garantizar que ésta se encuentra alineada con la estrategia, la misión y visión del Gobierno de La Rioja en materia de seguridad de la información y que asegura el cumplimiento de los objetivos de control establecidos.Las revisiones periódicas se realizarán al menos con una periodicidad anual.
- Revisiones no planificadas: Estas revisiones deberán realizarse en respuesta a cualquier evento o incidente de seguridad que pudiera suponer un incremento significativo del nivel de riesgo actual o haya causado un impacto en la seguridad de la información del Gobierno de La Rioja.
- Comité de Seguridad de la Información del Gobierno de La Rioja.El Comité de Seguridad de la Información es el creado por la Orden 3/2014, de 9 de enero, de la Consejería de Administración Pública y Hacienda, por la que se crea y regula el Comité de Seguridad de la información del Gobierno de La Rioja.
- El Responsable de la Información será el titular del órgano administrativo con competencia suficiente para decidir sobre la finalidad, contenido y uso de dicha información y determinará dentro del marco establecido en el Anexo I del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica los requisitos de seguridad de la información tratada. A tal efecto:
- El Responsable del Servicio será el titular del órgano administrativo con competencia suficiente para decidir sobre la finalidad y prestación de dicho servicio y determinará dentro del marco establecido en el Anexo I del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica los requisitos de seguridad de los servicios prestados. A tal efecto:
- El Responsable de Seguridad será designado por el titular del órgano con competencias en materia de tecnologías de la información entre personal adscrito a dicho órgano.El Responsable determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios
b) Coordinar y controlar las medidas definidas en el Documento de Seguridad, conforme a lo dispuesto en el artículo 95 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter Personal.
7. Clasificación de la información.
- al menos una vez al año (mediante revisión y aprobación formal).
- cuando cambie la información manejada
- cuando cambien los servicios prestados
- cuando ocurra un incidente grave de seguridad
- cuando se reporten vulnerabilidades graves
- Se establece un marco normativo en materia de seguridad de la información estructurado por diferentes niveles de forma que los objetivos marcados por el presente documento tengan un desarrollo específico.
- La política de seguridad estructurará su marco normativo en los siguientes niveles:
2. Las normas de seguridad que definen qué hay que proteger y los requisitos de seguridad deseados. El conjunto de todas las normas de seguridad debe cubrir la protección de todos los entornos de los sistemas de información de la organización. Establecen un conjunto de expectativas y requisitos que deben ser alcanzados para poder satisfacer y cumplir cada uno de los objetivos de seguridad establecidos en la política.Las propone el Responsable de Seguridad y las aprueba el Comité de seguridad de la Información.
La Política de Seguridad estará accesible para todo el personal que preste sus servicios en los órganos y entidades a que se refiere el punto relativo al 'Alcance'.
Con el objetivo de fomentar la 'Cultura de la seguridad', el Comité de Seguridad de la Información promoverá un programa de concienciación continúa para formar a todo el personal.

References: artículo 42
 Real Decreto 
 artículo 9
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 artículo 95
 Real Decreto