Source: http://noticias.juridicas.com/base_datos/Admin/res240505-eha.html
Timestamp: 2018-10-23 15:47:20+00:00

Document:
Vigencia desde 18 de Junio de 2005. Revisión vigente desde 18 de Junio de 2005
Segundo. Conceptos y su significado.-
Tercero. Clasificación de los sistemas de información de la Administración presupuestaria.-
Cuarto. Objeto.-
Quinto. Agentes para la administración de la seguridad de la información.-
Sexto. Comité de Coordinación de la Seguridad de la Información.-
Séptimo. Administrador corporativo de seguridad de la información.-
Octavo. Responsables de centro.-
Noveno. Administrador de red departamental.-
Décimo. Administrador de base de datos.-
Undécimo. Control de acceso a la red y a las bases de datos.-
Duodécimo. Integración de sistemas de los servicios de informática presupuestaria (ISIP).-
Decimocuarto. Tramitación de acceso a la red.-
Decimoquinto. Solicitud de acceso a base de datos.-
Decimosexto. Autorización y tramitación de acceso a base de datos.-
Decimoséptimo. Acceso a sistemas de información críticos en materia de seguridad.-
Decimoctavo. Acceso de usuarios externos a la red de informática presupuestaria.-
Decimonoveno. Acceso a bases de datos externas.-
Vigésimo. Notificación y gestión de las incidencias.-
Vigésimo primero. Auditoría del procedimiento de control de accesos.-
Vigésimo segundo. Confidencialidad de la información.-
Vigésimo cuarto. Medios.-
Vigésimo quinto. Período de adaptación.-
Vigésimo séptimo. Disposición transitoria.-
Vigésimo octavo. Derogación normativa.-
Vigésimo noveno. Entrada en vigor.-
R Economía y Hacienda 27 Feb. 2009 (política de seguridad de los sistemas de información de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado)
Res. 24 mayo 2005, derogada por la disposición derogatoria de la Res. de 27 de febrero de 2009, de la Secretaría de Estado de Hacienda y Presupuestos, por la que se regula la política de seguridad de los sistemas de información de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado («B.O.E.» 19 marzo) el 20 de marzo de 2009, sin perjuicio de lo establecido en la disposición transitoria segunda, que establece que, mientras el Comité de coordinación de la seguridad de la información no apruebe el nuevo procedimiento de control de accesos a la red y a las bases de datos de la Administración presupuestaria la tramitación de las solicitudes de acceso se efectuará de acuerdo con lo dispuesto en la citada Resolución de 24 de mayo de 2005, de control de accesos a las bases de datos de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado.
La presente Resolución será de aplicación a toda la información contenida en cualquiera de los ficheros, organizados por un sistema gestor de bases de datos o en cualquier otra forma, que fueran objeto de tratamiento a través de los sistemas de información y aplicaciones informáticas de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado, en adelante bases de datos de la Administración Presupuestaria, regulando el acceso a dicha información con arreglo a las normas de la Ley Orgánica 15/1999, de 13 de diciembre, del Real Decreto 994/1999, de 11 de junio y de la Ley 47/2003, General Presupuestaria.
Sistemas de información: conjunto de datos, documentación, procedimientos y tratamientos informáticos, así como bases de datos, redes de comunicaciones y sistemas de interconexión, sistemas de control de accesos, personas, y ordenadores, periféricos y terminales instalados en los Servicios centrales y Organizaciones delegadas y territoriales de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado.
Red de Informática Presupuestaria: red corporativa de área extensa (WAN) de la Administración presupuestaria.
Acceso a la red: acceso a los servicios de red.
Según la responsabilidad funcional de las bases de datos, los sistemas de información y aplicaciones informáticas de la Administración presupuestaria se clasificarán como:
El objeto de esta Resolución es establecer los criterios generales a los que debe responder la administración de la seguridad de los sistemas de información y definir el procedimiento de gestión para el acceso a los mismos en el ámbito de aplicación establecido en el apartado primero, tanto desde la propia red corporativa de Informática Presupuestaria como desde cualquier otro organismo público o privado con acceso autorizado. La seguridad cabe entenderla, a efectos de esta Resolución, en su acepción de control de los accesos a la red y a las bases de datos para garantizar la disponibilidad, integridad y confidencialidad de la información.
La gestión de la seguridad de accesos a la red y a las bases de datos de la Administración presupuestaria requiere, además de la implicación activa de todos los usuarios de los sistemas de información, la existencia de un marco organizativo orientado a dicha gestión en el que desempeñarán un papel primordial los siguientes agentes:
El Comité de Coordinación de la Seguridad es un órgano colegiado de carácter horizontal en materia de seguridad de la información para el ámbito de la Administración presupuestaria. Estará formado por:
El Administrador corporativo de seguridad de la información aplicará las medidas de seguridad a las bases de datos de la Administración presupuestaria de acuerdo con las directrices marcadas por el Comité de Coordinación de la Seguridad de la Información. Será designado por el Comité de Coordinación de la Seguridad de la información a propuesta del Coordinador de Informática Presupuestaria y actuará de secretario del Comité.
a) Adoptará las medidas necesarias para el cumplimiento, en su ámbito de competencia, de las normas, instrucciones y procedimientos que, en aplicación de lo establecido en esta Resolución, se desarrollen para la administración de la red y de las bases de datos de la Administración presupuestaria.
En los centros directivos, las funciones d), e), f), y g) podrán ser desempeñadas por los Subdirectores Generales, asimilados o adjuntos, respecto a las redes, bases de datos y ámbito de personal de su respectiva competencia. Para tales funciones, y a los efectos de esta Resolución, dichos Subdirectores serán considerados como responsables de centro.
b) Instrumentar y gestionar el acceso de los usuarios externos a las bases de datos de la red de Informática presupuestaria, previa comunicación a la Unidad de los servicios de Informática Presupuestaria designada a tal efecto, cuando proceda.
El acceso a la red y los sistemas de información de la Administración presupuestaria se articulará sobre un conjunto de procedimientos integrados que se indican a continuación:
Decimotercero. Autorización de acceso a la red.-
El alta inicial de un nuevo usuario, para acceder a la red departamental que le corresponda, requerirá la autorización del responsable del centro directivo u organización delegada o territorial, dirigida al Administrador de la red, a quien competerá instrumentar dicha alta. La comunicación de la autorización se realizará por correo electrónico y en ella se indicará, obligatoriamente, el NIF, el nombre y apellidos de la persona para la que se solicita el acceso, el puesto de trabajo que ocupa y un teléfono de contacto.
La solicitud de acceso a una base de datos será dirigida a quien, según el apartado octavo, corresponde la autorización de acceso, por el responsable jerárquico superior del usuario para el que se solicita el acceso, que, en el caso de servicios centrales, tendrá categoría mínima de Subdirector general, asimilado o adjunto y, en el supuesto de tratarse de organizaciones delegadas o territoriales, será el máximo responsable de la organización. En esta solicitud se indicarán los usuarios, con su identificativo, para los que se propone el acceso, el sistema de información a acceder, el perfil de acceso requerido, una justificación debidamente fundamentada, la ubicación y una persona de contacto. Asimismo, se indicará la fecha propuesta para el alta y la fecha de caducidad, en su caso, para dicho acceso.
La autorización, en su caso, de la solicitud de acceso a la base de datos será dirigida por el responsable de centro o por el responsable de fichero al que corresponda la administración funcional de la base de datos al Administrador de base de datos. Esta comunicación se realizará por correo electrónico, sin perjuicio de la remisión adicional de la documentación constitutiva de la solicitud.
El acceso de usuarios ajenos a la red de informática presupuestaria, en los términos señalados en esta Resolución, a los sistemas de información de la Administración presupuestaria se ajustará a los criterios anteriormente expuestos con las adaptaciones que se indican a continuación.
Con carácter general, estos usuarios, cuando sean autorizados para acceder a bases de datos de la Administración presupuestaria no precisarán que sus estaciones de trabajo estén configuradas bajo el procedimiento técnico de integración de sistemas de los servicios de informática presupuestaria (ISIP).
El destinatario de la solicitud será el responsable del centro al que corresponda la administración funcional de la base de datos, o en caso de que se haya nombrado responsable del fichero, éste último. En el supuesto de autorizar el acceso solicitado, el responsable de centro o el responsable del fichero, comunicará dicha autorización y los términos de la misma al correspondiente Administrador de base de datos, quien, con carácter previo a su instrumentación, la comunicará, cuando proceda, a la unidad designada de los servicios de informática presupuestaria quién coordinará con el Administrador de base de datos anteriormente indicado la operatividad del acceso concedido.
Cuando la base de datos a la que se desea acceder resida fuera del entorno de la red corporativa de Informática presupuestaria (base de datos de la AEAT; de la Seguridad Social,.), facilitándose a través de dicha red la conexión a la base de datos externa, sin perjuicio de observar los requerimientos de seguridad y control de accesos específicos del dominio externo al que se accede, actuará como Administrador de acceso a dicha base de datos, a efectos de esta Resolución, la persona que designe el Coordinador de los servicios de Informática presupuestaria.
Los Administradores de red y de base de datos comunicarán inmediatamente cualquier anomalía o irregularidad detectados en los mecanismos adoptados para garantizar la seguridad en el control de accesos, a través del sistema de información establecido para la notificación y gestión de incidencias.
El Administrador corporativo de seguridad de la información promoverá la realización de auditorías sobre la aplicación del procedimiento de control de accesos y acerca del propio procedimiento, al menos, cada dos años.
Cuando se trate de un usuario externo al ámbito de la Administración presupuestaria, su cese será comunicado, por el responsable jerárquico que efectuó la solicitud, al Administrador de base de datos, quien coordinará con la unidad designada de los servicios de informática presupuestaria la instrumentación de la baja correspondiente.
Los servicios de informática presupuestaria de la Intervención General de la Administración del Estado establecerán, en el ámbito de la Administración presupuestaria, los procedimientos, aplicaciones, programas, utilidades y medios necesarios para facilitar el cumplimiento de la presente Resolución.
Mientras no esté disponible el nuevo procedimiento mediante el que un usuario externo pueda directamente solicitar autorización o revocación de acceso a las bases de datos de la Administración Presupuestaria, seguirá en vigor el apartado Decimoséptimo, relativo al acceso de usuarios externos a la red de informática presupuestaria, de la Resolución de la Secretaría de Estado de Presupuestos y Gastos, de 8 de julio de 2002. Las solicitudes de acceso que se tramiten durante este periodo transitorio, utilizando los formularios publicados en la dirección de Internet de la Administración Presupuestaria, se gestionarán según se indicaba en el mencionado apartado decimoséptimo.
Queda derogada la Resolución de 8 de julio de 2002, de la Secretaría de Estado de Presupuestos y Gastos, para el control de accesos a las bases de datos de la Secretaría de Estado.

References: Resolución 
 Resolución 
 Real Decreto 
 Resolución 
 Resolución 
 Resolución