Source: http://www.gobiernodecanarias.org/boc/2013/153/003.html
Timestamp: 2019-05-21 15:18:05
Document Index: 290640863

Matched Legal Cases: ['Artículo 2', 'Artículo 3', 'Artículo 4', 'Artículo 5', 'Artículo 7', 'Artículo 8', 'artículo 2', 'Artículo 9', 'Artículo 10', 'artículo 18', 'artículo 18', 'Artículo 11', 'Artículo 12', 'Artículo 13', 'artículo 18', 'artículo 18', 'Artículo 14', 'Artículo 15', 'Artículo 16', 'Artículo 17', 'artículo 6', 'artículo 9', 'Artículo 18', 'Artículo 20', 'artículo 10', 'artículo 13', 'Artículo 21']

BOC - 2013/153. Viernes 9 de Agosto de 2013 - Anuncio 4278
BOC Nº 153. Viernes 9 de Agosto de 2013 - 4278
4278 ORDEN de 31 de julio de 2013, por la que se establece el marco común y las directrices básicas de la política de seguridad de la información en el ámbito de la Administración Electrónica de la Administración Pública de la Comunidad Autónoma de Canarias.
13 páginas. Formato de archivo en PDF/Adobe Acrobat. Tamaño: 456.35 Kb.
BOC-A-2013-153-4278. Firma electrónica - Descargar
1. La presente Orden tiene por objeto establecer el marco común y las directrices básicas de las políticas de seguridad de la información (en adelante, PSI) en el ámbito de la Administración Electrónica de la Administración Pública de la Comunidad Autónoma de Canarias, así como el establecimiento del marco básico organizativo y tecnológico de las mismas.
2. Esta Orden será de aplicación a las PSI que en el ámbito de la Administración Electrónica de la Administración Pública de la Comunidad Autónoma de Canarias se aprueben por los distintos departamentos, entidades de derecho público y organismos autónomos, siendo de aplicación a todos sus sistemas de información y debiendo ser observada por todo el personal de los mismos, así como por aquellas personas que, no perteneciendo a su organización, tengan acceso a sus sistemas de información o a la información gestionada por ellos.
Artículo 2.- Políticas de seguridad de la información (PSI).
1. Sin perjuicio de las directrices establecidas en la presente Orden, cada organismo incluido en su ámbito de aplicación deberá desarrollar y aprobar el documento de PSI en el ámbito de la administración electrónica del organismo, así como las normas y procedimientos que adecuen, en su caso, el marco común y las directrices básicas en la Administración Pública de la Comunidad Autónoma de Canarias a sus particularidades.
2. La PSI en el ámbito de la Administración Electrónica de cada departamento, entidad de derecho público y organismo autónomo deberá ser aprobada mediante orden del titular de la consejería correspondiente o resolución del órgano competente de la entidad pública u organismo autónomo, que deberá publicarse en el Boletín Oficial de Canarias.
3. La aprobación de las PSI requerirá informe previo del órgano competente en materia de tecnologías de la información y la comunicación, que versará sobre el cumplimiento del marco común y directrices básicas establecidas en la presente Orden.
4. La PSI de los sistemas de información corporativos será aprobada por orden del titular de la consejería competente en materia de Administración Electrónica y tecnologías de la información y la comunicación.
Artículo 3.- Misión de la organización.
Artículo 4.- Objetivos del marco común y las directrices básicas de la PSI.
a) Garantizar a toda la ciudadanía que sus datos serán gestionados de acuerdo a los estándares y buenas prácticas en seguridad de las tecnologías de la información y la comunicación (en adelante, TIC).
b) Aumentar el nivel de concienciación en materia de seguridad TIC de todos los organismos a los que es de aplicación la presente Orden, garantizando que el personal a su servicio es consciente de sus obligaciones y responsabilidades.
c) Establecer las bases de un modelo común de gestión de la seguridad TIC en la Administración Pública de la Comunidad Autónoma de Canarias, que cubra en un ciclo continuo de mejora los aspectos técnicos, organizativos y procedimentales.
Artículo 5.- Principios de las PSI.
Los términos, palabras, expresiones y las definiciones contenidas en la presente Orden han de ser entendidas en el siguiente sentido:
Misión de la organización: Razón de la existencia de la organización, el propósito básico hacia el que apuntan las actividades y servicios que presta.
Organización de las PSI
Artículo 7.- Responsabilidad general.
La preservación de la seguridad TIC en el ámbito de la Administración Electrónica será considerada objetivo común de todas las personas al servicio de la Administración Pública de la Comunidad Autónoma de Canarias, siendo estas responsables del uso correcto de los sistemas de información puestos a su disposición.
Artículo 8.- Responsable de la Coordinación en Seguridad TIC de la Administración Pública de la Comunidad Autónoma de Canarias.
1. El órgano competente en materia de tecnologías de la información y la comunicación será responsable de la coordinación en materia de seguridad TIC en el ámbito de la Administración Electrónica.
2. En el ejercicio de dicha atribución, tendrá las siguientes funciones:
a) Emisión del informe previsto en el apartado 3 del artículo 2 de la presente Orden.
b) Asesorar a los distintos departamentos, entes públicos y organismos en la elaboración de su PSI.
c) Elevar propuestas e informes a la Comisión Superior de Tecnologías de la Información.
Artículo 9.- Estructura organizativa de las PSI.
Las estructuras organizativas de la gestión de las PSI en el ámbito de la Administración Electrónica estarán compuestas, como mínimo, por:
d) Los Responsables de Seguridad.
Artículo 10.- Comité para la Gestión y Coordinación de la Seguridad de la Información.
1. El Comité para la Gestión y Coordinación de la Seguridad de la Información (en adelante, el Comité) se creará como un grupo de trabajo en el seno del departamento, entidad de derecho público u organismo público correspondiente.
2. El Comité tendrá, como mínimo, la siguiente composición:
a) Presidencia: la persona titular de la Secretaría General Técnica u órgano equivalente.
b) Vocalías: personas titulares de Direcciones Generales o asimiladas.
c) Secretaría: una persona con vínculo funcionarial del departamento, entidad de derecho público u organismo autónomo designado por la Presidencia, que actuará con voz y sin voto.
3. El Comité coordinará todas las actividades relacionadas con la seguridad de los sistemas de información y ejercerá, como mínimo, las siguientes funciones:
e) Impulsar el cumplimiento y difusión de la PSI, promoviendo las actividades de concienciación y formación en materia de seguridad para el personal del departamento, entidad de derecho público u organismo autónomo.
f) Elaborar los borradores de directrices y normas de seguridad generales para todo el departamento, entidad de derecho público u organismo autónomo que deberá cumplir el marco normativo indicado en el artículo 18 de la presente Orden.
g) Elaborar la normativa de seguridad de segundo nivel, que según el artículo 18 de la presente Orden, se corresponde con las políticas específicas de seguridad y con las Normas de Seguridad TIC (en adelante, Normas STIC), de obligado cumplimiento.
h) Coordinar las decisiones y actuaciones de los diferentes Responsables de Seguridad, asesorando la resolución de los posibles conflictos entre los mismos bajo el criterio de garantizar la seguridad de las infraestructuras tecnológicas compartidas.
i) Impulsar los proyectos para la adecuación al cumplimiento del Esquema Nacional de Seguridad.
Artículo 11.- Los Responsables de la Información.
Artículo 12.- Los Responsables del Servicio.
Artículo 13.- Los Responsables de Seguridad.
2. Esta responsabilidad recaerá en la persona titular del órgano administrativo que designe el titular del departamento u órgano equivalente del ente público u organismo autónomo y no podrá recaer en la persona responsable del servicio.
3. Serán funciones de cada Responsable de Seguridad, como mínimo, las siguientes:
b) Proponer la normativa de seguridad de segundo nivel, que según el artículo 18 de la presente orden, se corresponde con las políticas específicas de seguridad y con las normas STIC, de obligado cumplimiento.
c) Aprobar la normativa de seguridad de tercer nivel, que según el artículo 18 de la presente orden, se corresponde a los procesos, procedimientos STIC e instrucciones técnicas STIC.
k) Elaborar informes periódicos de seguridad que incluyan los incidentes más relevantes de cada período.
l) Determinar la categoría del sistema según el procedimiento descrito en el anexo I del Real Decreto 3/2010, de 8 de enero y las medidas de seguridad que deben aplicarse de acuerdo con lo previsto en el anexo II del mismo Real Decreto.
4. Cuando la complejidad, distribución, separación física de sus elementos o número de usuarios de los sistemas de información lo justifiquen, cada Responsable de Seguridad podrá designar los responsables de seguridad delegados que considere necesarios, que tendrán dependencia funcional directa de aquel y serán responsables en su ámbito de todas aquellas acciones que les delegue el mismo.
Artículo 14.- Los Responsables del Sistema.
a) Implantar las medidas necesarias para garantizar la seguridad del sistema durante todo su ciclo de vida, siguiendo las indicaciones del Responsable de Seguridad.
c) Suspender el manejo de una determinada información o la prestación de un servicio electrónico si es informado de deficiencias graves de seguridad, previo acuerdo con el Responsable de dicha información o servicio, y con el Responsable de Seguridad.
3. Las funciones citadas en el punto anterior podrán recaer en diferentes personas, en el caso de que las competencias sobre los diferentes activos que componen el sistema (aplicaciones, redes, etc.) o las diferentes fases del ciclo de vida del sistema recaigan sobre órganos distintos.
Artículo 15.- Resolución de conflictos.
1. En caso de conflicto entre los diferentes responsables que componen la estructura organizativa de una PSI, este será resuelto por el superior jerárquico de los mismos. En su defecto, será resuelto por el titular del departamento u órgano equivalente de la entidad de derecho público u organismo autónomo, oído el Comité para la Gestión y Coordinación de la Seguridad de la Información.
2. En caso de conflictos entre los responsables que componen la estructura organizativa de una PSI y los definidos en seguimiento de la normativa de protección de datos de carácter personal, prevalecerá la decisión que determine el responsable del fichero que presente un mayor nivel de exigencia respecto a la protección de los datos de carácter personal.
Artículo 16.- Obligaciones del personal.
1. Todo el personal que presta servicios en los departamentos, entidades de derecho público y organismos autónomos, tiene la obligación de conocer y cumplir su Política de Seguridad de la Información y la normativa de seguridad derivada, siendo responsabilidad del Comité disponer los medios necesarios para que la información llegue a los afectados.
2. Todo el personal que se incorpore a uno de dichos organismos o vaya a tener acceso a alguno de sus sistemas de información o la información gestionada por ellos deberá ser informado de la PSI.
Artículo 17.- Gestión de riesgos.
1. Todos los departamentos, entidades de derecho público y organismos autónomos deberán contemplar la gestión de riesgos dentro de su PSI.
2. La gestión de riesgos debe realizarse de manera continua sobre el sistema de información, conforme a los principios de gestión de la seguridad basada en los riesgos (artículo 6 del Real Decreto 3/2010, de 8 de enero) y reevaluación periódica (artículo 9 del Real Decreto 3/2010, de 8 de enero).
3. Los Responsables de Seguridad son los encargados de realizar los preceptivos análisis de riesgos, y de seleccionar las salvaguardas a implantar.
4. Los Responsables de la Información y del Servicio son los responsables de los riesgos sobre la información y sobre los servicios, respectivamente, y por tanto de aceptar los riesgos residuales calculados en el análisis, y de realizar su seguimiento y control.
5. El proceso de gestión de riesgos, que comprende las fases de categorización de los sistemas, análisis de riesgos y selección de medidas de seguridad a aplicar, que deberán ser proporcionales a los riesgos y estar justificadas, deberá revisarse cada año por parte del Responsable de Seguridad, que elevará un informe al Comité para la Gestión y Coordinación de la Seguridad de la Información.
Artículo 18.- Marco normativo de las PSI. Documentación de Seguridad.
1. Las PSI deberán recoger el marco normativo en el que se desarrollan las actividades del departamento, entidad de derecho público u organismo autónomo, que comprenderá la legislación sectorial reguladora de la actuación de los órganos de dichas entidades, así como la normativa en vigor correspondiente a la Administración Electrónica.
2. También formarán parte del marco normativo las restantes normas aplicables a la Administración Electrónica del departamento, entidad de derecho público u organismo autónomo derivadas de las anteriores y publicadas en las sedes electrónicas comprendidas dentro del ámbito de aplicación de la PSI.
3. Todas las PSI deberán contener un cuerpo normativo sobre seguridad de la información que será de obligado cumplimiento y se desarrollará en tres niveles, según el ámbito de aplicación y nivel de detalle técnico, de manera que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior. Dichos niveles de desarrollo normativo son los siguientes:
a) Primer nivel normativo: la presente Orden, la disposición normativa que apruebe la Política de Seguridad de la Información, y directrices y normas de seguridad generales para todo departamento, entidad de derecho público u organismo autónomo.
Los documentos relativos a este segundo nivel normativo los deberá elaborar el Comité para la Gestión y Coordinación de la Seguridad de la Información. Serán aprobados, a propuesta del Responsable de Seguridad, por el titular del departamento u órgano equivalente de la entidad de derecho público u organismo autónomo correspondiente.
4. Aparte de los documentos citados en el apartado 1, la documentación de seguridad del sistema podrá contar, bajo criterio del Responsable de Seguridad, con otros documentos de carácter no vinculante: recomendaciones, buenas prácticas, informes, registros, evidencias electrónicas, entre otros aspectos.
5. Los Responsables de Seguridad serán responsables de mantener la documentación de seguridad actualizada y organizada, y de gestionar los mecanismos de acceso a la misma.
6. El Comité establecerá los mecanismos necesarios para compartir la documentación derivada del desarrollo normativo con el propósito de normalizarlo, en la medida de lo posible, en todo el ámbito de aplicación de la PSI.
2. Todos los sistemas de información de la Administración Pública de la Comunidad Autónoma de Canarias se ajustarán a los niveles de seguridad requeridos por la normativa de protección de datos de carácter personal. En caso de conflicto con la normativa de seguridad indicada en el artículo anterior, prevalecerá la norma que presente un mayor nivel de exigencia respecto a la protección de los datos de carácter personal.
Artículo 20.- Formación y concienciación.
1. Todos los departamentos, entidades de derecho público y organismos autónomos deberán desarrollar actividades formativas específicas orientadas a la concienciación y formación de sus empleados públicos, así como a la difusión entre los mismos de la PSI y de su desarrollo normativo.
2. Los Comités para la Gestión y Coordinación de la Seguridad de la Información y los Responsables de Seguridad se encargarán de promover las actividades de formación y concienciación en materia de seguridad, según lo indicado en el artículo 10, apartado 3, letra e) y en el artículo 13, apartado 3, letra e) de la presente Orden.
Artículo 21.- Actualización de las PSI.
Las propuestas de revisión de las PSI las elaborarán los Responsables de Seguridad con el apoyo del Comité para la Gestión y Coordinación de la Seguridad de la Información y serán aprobadas por el titular del departamento u órgano equivalente de la entidad de derecho público u organismo autónomo.
La aplicación de las previsiones contenidas en esta Orden no supondrá incremento del gasto público. Por tanto, los órganos y entidades afectadas deberán desarrollar las medidas derivadas de su cumplimiento ateniéndose a sus disponibilidades presupuestarias ordinarias, no dando lugar, en ningún caso, a planteamientos de necesidades adicionales de financiación.
Quedan derogadas cuantas disposiciones de igual o inferior rango que se opongan a la presente Orden.
Santa Cruz de Tenerife, a 31 de julio de 2013.