Source: https://www.boe.es/diario_boe/txt.php?id=BOE-A-2009-4676
Timestamp: 2018-12-18 20:48:56+00:00

Document:
BOE.es - Documento BOE-A-2009-4676
Documento BOE-A-2009-4676
Resolución de 27 de febrero de 2009, de la Secretaría de Estado de Hacienda y Presupuestos, por la que se regula la política de seguridad de los sistemas de información de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado.
«BOE» núm. 67, de 19 de marzo de 2009, páginas 27650 a 27658 (9 págs.)
BOE-A-2009-4676
Primero. Ámbito de aplicación.–La presente Resolución será de aplicación a los sistemas de información de la Secretaría General de Presupuestos y Gastos y de la Intervención General de la Administración del Estado, ámbito conjunto al que, en adelante, esta Resolución se refiere como la Administración presupuestaria.
Segundo. Definiciones.–Con carácter general, a efectos de esta Resolución, se asumen las definiciones recogidas en el anexo de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, y en el artículo 3 de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
Tercero. Objeto.–El objeto de esta Resolución es establecer el marco organizativo y tecnológico de la administración de la política de seguridad de la información en el ámbito de la Administración presupuestaria.
Cuarto. Estructura organizativa para la administración de la seguridad de la información.–La gestión de la seguridad en la Administración presupuestaria requiere, además de la implicación activa de todos los usuarios de los sistemas de información, la existencia de un marco organizativo orientado a dicha gestión en el que desempeñarán un papel primordial los siguientes agentes:
Quinto. Comité de Coordinación de la Seguridad de la Información.–El Comité de Coordinación de la Seguridad de la Información es un órgano colegiado de carácter horizontal en materia de seguridad de la información para el ámbito de la Administración presupuestaria. Estará formado por:
Sexto. Administrador corporativo de seguridad de la información.–El Administrador corporativo de seguridad de la información aplicará las medidas de seguridad a los sistemas de información de la Administración presupuestaria de acuerdo con las directrices establecidas por el Comité de Coordinación de la Seguridad de la Información. Será designado por el Comité de Coordinación de la Seguridad de la información, a propuesta del Coordinador de los SIP, y actuará como secretario del Comité.
Séptimo. Responsables de centro.–A efectos de esta Resolución se considera Responsable de centro a la persona que designe el titular del centro directivo o al titular de la organización delegada o territorial de la Administración presupuestaria.
Octavo. Administrador de red departamental.–Cada Administrador de red será el responsable de la aplicación, en su ámbito de actuación, de la presente Resolución y de sus normas de desarrollo. Para esta misión el Administrador de red actuará de acuerdo con las instrucciones, procedimientos y herramientas de carácter técnico que establezcan los SIP.
Noveno. Administrador de base de datos.–Cada base de datos, correspondiente a un sistema de información o aplicación informática, tendrá asignado un Administrador de base de datos cuya designación corresponderá a:
Décimo. Integración de los sistemas de información de los servicios de informática presupuestaria.–Con objeto de garantizar una configuración normalizada de todas las estaciones de trabajo de la red corporativa de Informática presupuestaria, con carácter general y sin perjuicio de las excepciones que se autoricen, su instalación se ajustará al procedimiento técnico de integración de sistemas de los servicios de Informática presupuestaria que garantizará:
Undécimo. Autorización de acceso a la red.–El acceso a la red y a los sistemas de información de la Administración presupuestaria se articulará sobre un conjunto de procedimientos integrados, que serán objeto de desarrollo posterior.
Duodécimo. Solicitud de acceso a base de datos.–La solicitud de acceso a una base de datos será dirigida a quien, según el apartado séptimo, corresponde la autorización de acceso, por quien a efectos de esta solicitud actúe como Responsable de centro. En esta solicitud se indicarán los usuarios para los que se propone el acceso y, para cada uno de ellos, la información que se determine en el correspondiente procedimiento de control de accesos.
Decimotercero. Autorización de acceso a bases de datos.–La autorización, en su caso, de la solicitud de acceso a la base de datos será dirigida por el Responsable de centro a quien corresponda la autorización de los accesos a la base de datos al Administrador de base de datos. Esta comunicación se realizará según se determine en el procedimiento de control de accesos.
Decimocuarto. Acceso a sistemas de información críticos en materia de seguridad.–En aquellos sistemas de información críticos en materia de seguridad, o que contengan ficheros con datos de carácter personal, el respectivo Administrador de base de datos podrá requerir en el formulario de solicitud, las funciones y el dominio de datos a los que se propone acceder por parte del usuario para el que se formula la misma.
Decimoquinto. Acceso de usuarios externos al ámbito de la Administración presupuestaria.–El acceso de usuarios ajenos a la red de Informática presupuestaria, en los términos señalados en esta Resolución, a los sistemas de información de la Administración presupuestaria se ajustará a los criterios anteriormente expuestos y a los que se indiquen en el procedimiento de control de accesos.
Decimosexto. Acceso a bases de datos externas.–Cuando la base de datos a la que se desea acceder resida fuera del entorno de la red corporativa de Informática presupuestaria (base de datos de la AEAT; de la Seguridad Social,…), facilitándose a través de dicha red la conexión a la base de datos externa, sin perjuicio de observar los requerimientos de seguridad y control de accesos específicos del dominio externo al que se accede, actuará como Administrador de acceso a dicha base de datos, a efectos de esta Resolución, la persona que designe el Coordinador de los SIP.
Decimoséptimo. Notificación y gestión de las incidencias.–Los Administradores de red y de base de datos y los usuarios comunicarán inmediatamente cualquier anomalía o irregularidad detectada de acuerdo con el procedimiento de gestión y notificación de incidencias establecido por los SIP.
Decimoctavo. Auditorías de seguridad.–El Administrador corporativo de seguridad de la información promoverá la realización de auditorías sobre la aplicación de los distintos procedimientos que se establezcan en desarrollo de la presente Resolución.
Decimonoveno. Confidencialidad de la información.–Los datos e informaciones contenidas en las bases de datos de la Administración presupuestaria, cualquiera que sea su soporte, serán de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jurídico.
Vigésimo primero. Medios.–Los SIP de la Intervención General de la Administración del Estado establecerán, en el ámbito de la Administración presupuestaria, los procedimientos técnicos, aplicaciones, programas, utilidades y medios necesarios para facilitar el cumplimiento de la presente Resolución.
Disposición adicional.–Desarrollo para su aplicación.
Disposición transitoria primera.–Período de adaptación.
Madrid, 27 de febrero de 2009.–El Secretario de Estado de Hacienda y Presupuestos, Carlos Ocaña y Pérez de Tudela.
SE DEROGA, por Resolución de 21 de diciembre de 2015 (Ref. BOE-A-2016-165).
DEROGA la Resolución de 24 de mayo de 2005 (Ref. BOE-A-2005-10311).
DE CONFORMIDAD con el Real Decreto 1127/2008, de 4 de julio (Ref. BOE-A-2008-11580).

References: Resolución 
 Resolución 
 Resolución 
 artículo 3
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Resolución 
 Real Decreto