Source: http://noticias.juridicas.com/base_datos/Admin/642400-orden-int-424-2019-de-10-abr-politica-de-seguridad-de-la-informacion-ambito.html
Timestamp: 2020-07-02 07:53:20
Document Index: 19901944

Matched Legal Cases: ['Artículo 2', 'Artículo 3', 'Artículo 4', 'Artículo 5', 'Artículo 6', 'Artículo 7', 'Artículo 8', 'Artículo 9', 'Artículo 10', 'Artículo 11', 'Artículo 12', 'Artículo 13', 'Artículo 15', 'Artículo 16', 'Artículo 17', 'Artículo 18', 'Artículo 19', 'Artículo 22', 'Artículo 23', 'Artículo 24', 'Artículo 25', 'Artículo 26', 'Artículo 27', 'Artículo 28', 'Artículo 29', 'artículo 18', 'artículo 10', 'artículo 10', 'artículo 24', 'artículo 39']

CAPÍTULO I. Política de seguridad de la información
Artículo 2 Política de Seguridad de la Información
Artículo 3 Misión del Departamento
Artículo 4 Marco normativo
Artículo 5 Estructura organizativa de la PSI
Artículo 6 El Comité Superior para la Seguridad de la Información
Artículo 7 El Grupo de Trabajo de Responsables de la Seguridad
Artículo 8 Los Grupos de Trabajo para la Seguridad de la Información
Artículo 9 El Grupo de Trabajo de los Delegados de Protección de Datos
Artículo 10 El Responsable de la Información
Artículo 11 El Responsable del Servicio
Artículo 12 El Responsable de la Seguridad
Artículo 13 El Responsable del Sistema
Artículo 15 Gestión de riesgos
Artículo 16 Desarrollo normativo de la PSI. Documentación de Seguridad
Artículo 17 Protección de datos de carácter personal: la política de privacidad
Artículo 18 Terceras partes
Artículo 19 Concienciación y formación
CAPÍTULO II. Directrices de seguridad de la información para la difusión de resultados provisionales en materia de procesos electorales
Artículo 22 Subcomité de Seguridad de la Información para la Difusión de Resultados Provisionales en Procesos electorales
Artículo 23 Responsable de la información
Artículo 24 Responsable del Servicio de Procesos Electorales
Artículo 25 Responsable del Sistema en Procesos Electorales
Artículo 26 Responsable de Seguridad de la Información
Artículo 27 Gestión de riesgos
Artículo 28 Deberes y responsabilidades y protección de datos
Artículo 29 Auditoría
Disposición final primera Publicidad
Asimismo, han entrado en vigor, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE ( Reglamento general de protección de datos); la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales; el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información; la Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo (pendiente de trasposición).
a) La creación del Subcomité de Seguridad de la Información para la Difusión de Resultados Provisionales en Procesos Electorales.
b) La actualización de la Política de Seguridad de la Información del Ministerio del Interior en el ámbito de la administración electrónica (en adelante, PSI), para adecuarla al marco jurídico actual, al progreso de los servicios de administración electrónica, a la evolución tecnológica y la consolidación de las infraestructuras que la apoyan.
c) La aprobación de las Directrices de Seguridad de la Información para la Difusión de Resultados Provisionales en materia de procesos electorales.
1. La PSI en el ámbito de la administración electrónica del Ministerio del Interior identifica responsabilidades y establece principios y directrices para una protección apropiada y consistente de los servicios y activos de información gestionados en el ámbito de competencias del Ministerio del Interior, estableciendo el marco organizativo y tecnológico de la misma.
2. La PSI se desarrollará posteriormente en otros niveles normativos, de acuerdo con lo establecido en el artículo 18 de esta orden, en el que se detallarán los aspectos particulares involucrados en la gestión de la seguridad de los sistemas de información que soportan los servicios electrónicos prestados por el Ministerio del Interior a los ciudadanos y personas jurídicas con los que se relaciona.
3. Se aplicarán los principios básicos y los requisitos mínimos que se establecen en el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (en adelante, ENS) en el ámbito de la administración electrónica, de acuerdo con el interés general, naturaleza y complejidad de la materia regulada, que permita una protección adecuada de la información y los servicios.
4. La PSI será de aplicación a los sistemas de información y activos utilizados por el Ministerio del Interior en la prestación de los servicios de administración electrónica, en el marco de sus competencias. Asimismo, la PSI deberá ser de obligado cumplimiento por todo el personal con acceso a los sistemas de información del citado Departamento, con independencia de cuál sea su destino, adscripción o relación con el mismo.
5. Por otra parte, será de obligado cumplimiento para todos los órganos y unidades del Ministerio del Interior, así como para los organismos públicos dependientes del mismo.
6. Se faculta a los Centros Directivos para que, en el ámbito de sus competencias, amplíen de manera progresiva el ámbito de aplicación de la PSI a los sistemas de información no relacionados con la administración electrónica.
1. El marco normativo en que se desarrollan las actividades del Ministerio del Interior comprende la legislación sectorial reguladora de la actuación de los órganos superiores y directivos del mismo y de sus organismos públicos adscritos, así como la normativa en vigor correspondiente a la administración electrónica y al sistema de archivos y gestión documental del Departamento.
1. La organización de la seguridad debe tener en cuenta la propia organización del Ministerio del Interior, en consecuencia, las responsabilidades en seguridad de la información deben emerger de todos los ámbitos, garantizándose la actuación coordinada y eficaz.
2. Sin perjuicio de lo anterior, la estructura organizativa de la PSI en el Ministerio del Interior está compuesta por los siguientes agentes:
a) El Comité Superior para la Seguridad de la Información.
b) El Grupo de Trabajo de los Responsables de la Seguridad.
c) Los Grupos de Trabajo para la Seguridad de la Información.
d) El Grupo de Trabajo de los Delegados de Protección de Datos.
e) El Responsable de la Información.
f) El Responsable del Servicio.
g) El Responsable de la Seguridad.
h) El Responsable del Sistema.
1. El Comité Superior para la Seguridad de la Información (en adelante, CSSI), se configura como un grupo de trabajo en el seno del Pleno de la Comisión Ministerial de Administración Digital del Departamento, y será el encargado de coordinar todas las actividades relacionadas con la seguridad de los sistemas de información en el ámbito del Ministerio del Interior, ejerciendo las siguientes funciones:
a) Aprobar las propuestas de modificación y actualización permanente de la PSI.
b) Velar e impulsar el cumplimiento de la PSI, así como su desarrollo normativo.
c) Informar sobre el estado de las principales variables de seguridad en los sistemas de información al Comité de Seguridad de la Información de las Administraciones públicas para la elaboración de un perfil general del estado de seguridad de las mismas.
e) Impulsar la formación y concienciación.
f) Resolver los conflictos que puedan aparecer entre los diferentes responsables y/o entre diferentes áreas de la organización, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.
c) Vocalías: Las personas titulares de los siguientes Centros Directivos:
1.ª Dirección General de la Policía.
2.ª Dirección General de la Guardia Civil.
3.ª Secretaría General de Instituciones Penitenciarias.
4.ª Dirección General de Relaciones Internacionales y Extranjería.
5.ª Dirección General de Política Interior.
6.ª Dirección General de Tráfico.
7.ª Dirección General de Protección Civil y Emergencias.
8.ª Dirección General de Apoyo a Víctimas del Terrorismo.
9.ª Gabinete del Secretario de Estado de Seguridad.
d) Secretaría: con voz y voto, la persona titular de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad de la Secretaría de Estado de Seguridad, que será el garante de la ejecución directa o delegada de las decisiones del CSSI. Se encarga de preparar los temas a tratar en las reuniones, realizar la convocatoria y elaborar el acta de las mismas.
e) Un representante del Grupo de Trabajo de los Delegados de Protección de Datos participará, con voz pero sin voto, en las reuniones del CSSI cuando en el mismo vayan a abordarse cuestiones relacionadas con el tratamiento de datos de carácter personal, así como siempre que se requiera su participación. En todo caso, si un asunto se sometiese a votación se hará constar siempre en acta el parecer del Delegado de Protección de Datos.
1. El Grupo de Trabajo de Responsables de la Seguridad (en adelante, GTRS), se configura bajo dependencia directa del CSSI.
a) Elaborar las propuestas de modificación y actualización permanente de la PSI, y someterlas a la aprobación del CSSI.
b) Asegurar la coherencia de las políticas de seguridad sectoriales que afecten al Departamento.
c) Elaboración del perfil general del estado de seguridad del Ministerio, integrando el estado de las principales variables de seguridad de cada Centro Directivo para someterlo al CSSI.
d) Coordinar la comunicación del Departamento con el Centro Criptológico Nacional (CCN) en la utilización de servicios de respuesta a incidentes de seguridad, sin perjuicio de las comunicaciones que, en su ámbito competencial, se realicen por el Responsable de la Seguridad de cada GTSI.
e) Colaboración en la investigación y resolución de incidentes de seguridad de la información, tanto en el ámbito interno como externo al Departamento.
a) Presidencia: la persona titular de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad
b) Vocalías: las personas responsables de la Seguridad de cada Centro Directivo. Una misma persona puede ser responsable de seguridad de más de un Centro Directivo.
c) Secretaría: Un funcionario de carrera de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad.
1. Se constituirá un Grupo de Trabajo para la Seguridad de la Información (en adelante, GTSI) en cada uno de los Centros Directivos del Ministerio del Interior que tenga competencias de gestión de tecnologías de la información y, en particular los siguientes:
a) Grupo de Trabajo para los servicios centrales de la Secretaría de Estado de Seguridad y de la Subsecretaría del Ministerio del Interior
b) Dirección General de la Policía.
c) Dirección General de la Guardia Civil.
d) Secretaría General de Instituciones Penitenciarias.
f) Dirección General de Protección Civil y Emergencias.
g) Entidad de Derecho Público Trabajo Penitenciario y Formación para el Empleo.
2. Se establece la posibilidad de que, en razón de infraestructuras compartidas, se puedan agrupar algunos de los grupos de trabajo citados en el apartado anterior.
3. Los GTSI ejercerán las siguientes funciones, que podrán ser ampliadas dentro su ámbito competencial:
a) Redactar y aprobar las normas de segundo nivel correspondientes al ámbito de influencia de su Centro Directivo.
b) Velar e impulsar el cumplimiento de las normas de segundo nivel y promover el desarrollo del tercer nivel normativo.
c) Aprobación de documentos de correspondencia de responsables en su ámbito competencial, detallados de acuerdo a la normativa en vigor en materia de seguridad y privacidad.
d) Aprobación de los planes de mejora de la seguridad en su ámbito de competencias, de acuerdo a los presupuestos disponibles.
e) Informar sobre el estado de las principales variables de seguridad de sus sistemas de información, para la elaboración de un perfil general del estado de seguridad del Ministerio.
f) Promover la mejora continua en la gestión de la seguridad de la información en su ámbito de competencias.
g) Impulsar la formación y concienciación en su ámbito.
h) Resolver los conflictos que puedan aparecer entre los diferentes responsables y/o entre diferentes áreas de la Organización, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.
4. La composición final y funcionamiento de cada GTSI será determinada por el titular del Centro Directivo de entre los funcionarios de carrera adscritos al mismo adecuándose a la estructura del Centro Directivo. Estará compuesto, al menos, por los siguientes miembros:
a) Responsable de la Información.
b) Responsable del Servicio.
c) Responsable de la Seguridad.
d) Responsable de Sistemas.
5. Por cada Centro Directivo podrán designarse uno o varios Responsables de la Información, uno o varios Responsables de los Servicios, y uno o varios Responsables de Sistemas, de acuerdo a su organización, siendo los mismos titulares de las unidades administrativas competentes en la gestión de la información, los servicios y los sistemas informáticos, respectivamente. Respecto al ámbito y objeto de la presente Orden, dichas funciones podrán ser encomendadas a personal funcionario de la correspondiente Unidad Administrativa.
6. La designación del responsable de la Seguridad en cada Centro Directivo la realizará el titular del mismo, y será coherente con las estructuras organizativas existentes en relación con la Seguridad de la Información.
7. El Delegado de Protección de Datos del Centro Directivo participará, con voz pero sin voto, en las reuniones del GTSI cuando en el mismo vayan a abordarse cuestiones relacionadas con el tratamiento de datos de carácter personal, así como siempre que se requiera su participación. En todo caso, si un asunto se sometiese a votación se hará constar siempre en acta el parecer del Delegado de Protección de Datos.
8. La composición final de cada GTSI se comunicará a la Secretaría del Comité Superior para la Seguridad de la Información para su traslado a la Comisión Ministerial de Administración Digital, en el plazo máximo de un mes desde su constitución.
1. Se constituye el Grupo de Trabajo de los Delegados de Protección de Datos (GTDPD, en adelante), compuesto por los Delegados de Protección de Datos (DPD en adelante) nombrados en el Ministerio del Interior:
a) DPD de la Dirección General de la Policía.
b) DPD de la Dirección General de la Guardia Civil.
c) DPD de la Secretaría General de Instituciones Penitenciarias.
d) DPD de la Dirección General de Tráfico.
e) DPD de la Secretaría de Estado de Seguridad.
f) DPD del Ministerio, para el ámbito del Ministro, y de la Subsecretaría del Interior (excluida la Dirección General de Tráfico).
2. El GTDPD ejercerá las siguientes funciones, que podrán ser ampliadas dentro su ámbito competencial:
a) Supervisar la normativa de seguridad del ministerio en relación al cumplimiento de lo dispuesto en el Reglamento general de protección de datos, en otras disposiciones de protección de datos de la Unión Europea o de los Estados miembros en materia de protección de datos personales, incluida la asignación de responsabilidades, la concienciación y formación del personal que participa en las operaciones de tratamiento, y las auditorías correspondientes.
b) Normalizar metodologías de acción, criterios comunes y documentación general a utilizar en materia de protección de datos personales.
c) Proponer recomendaciones o sugerencias que considere oportunas relativas a materia de protección de datos a los responsables y encargados de tratamiento del Ministerio del Interior.
d) En las reuniones del GTDPDS podrán participar cuantos asesores, internos o externos, estimen necesarios los miembros del mismo.
a) Determinar los niveles de seguridad de la información tratada, valorando los impactos de los incidentes que afecten a la seguridad de la información.
b) Son los encargados, junto a los Responsables del Servicio y contando con la participación del Responsable de la Seguridad, de realizar los preceptivos análisis de riesgos y seleccionar las salvaguardas que se han de implantar.
c) Son los responsables de aceptar los riesgos residuales respecto de la información, calculados en el análisis de riesgos.
d) Para la determinación de los niveles de seguridad de la información, el Responsable de la Información solicitará informe del Responsable de la Seguridad.
1. Conforme al artículo 10 del Real Decreto 3/2010, de 8 de enero, el Responsable del Servicio es la persona u órgano corporativo que tiene la potestad de establecer los requisitos del servicio en materia de seguridad. Es el encargado de determinar los niveles de seguridad del servicio en cada dimensión de seguridad, dentro del marco establecido en el anexo I del citado Real Decreto.
a) Determinar los niveles de seguridad del servicio, valorando los impactos de los incidentes que afecten a la seguridad del servicio.
b) Son los encargados, junto a los Responsables de la Información y contando con la participación del responsable de la seguridad, de realizar los preceptivos análisis de riesgos y seleccionar las salvaguardas que se han de implantar.
c) Son los responsables de aceptar los riesgos residuales respecto de los servicios calculados en el análisis de riesgos.
d) Para la determinación de los niveles de seguridad del servicio, el Responsable del Servicio solicitará informe del Responsable de la Seguridad.
a) Desarrollar las directrices, estrategias y objetivos dictados por el GTSI.
b) Proveer de asesoramiento y apoyo al GTSI.
c) Elaborar la normativa de seguridad.
d) Aprobar los procedimientos operativos de seguridad.
e) Mantener la seguridad de la información manejada y de los servicios electrónicos prestados por los sistemas de información.
f) Realizar o promover auditorías periódicas para verificar el cumplimiento de las obligaciones en materia de seguridad de la información.
g) Realizar el seguimiento y control del estado de seguridad del sistema de información.
h) Verificar que las medidas de seguridad son adecuadas para la protección de la información y los servicios.
i) Apoyar y supervisar la investigación de los incidentes de seguridad desde su notificación hasta su resolución.
j) Elaborar informes periódicos de seguridad para el GTSI que incluyan los incidentes más relevantes de cada período.
k) Supervisar el registro de activos.
3. Por cada Centro Directivo con competencias de gestión de tecnologías de comunicación, en particular los señalados en el artículo 10.1 se designará un Responsable de Seguridad entre los funcionarios de carrera del Centro. Cuando la complejidad, distribución, separación física de sus elementos o número de usuarios de los sistemas de información lo justifiquen, el titular del Centro Directivo podrá designar los Responsables de la Seguridad delegados que considere necesarios entre los funcionarios de carrera del Centro, que tendrán dependencia funcional directa del Responsable de la Seguridad y serán responsables en su ámbito de todas aquellas acciones que les delegue.
a) Definir la topología y sistema de gestión del Sistema de Información estableciendo los criterios de uso y los servicios disponibles en el mismo.
b) Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.
c) Posibilidad de acordar la suspensión del manejo de una cierta información o la prestación de un cierto servicio si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. Esta decisión debe ser acordada con los Responsables de la Información afectada, del Servicio afectado y el Responsable de la Seguridad, antes de ser ejecutada.
d) Para las demás funciones que por su naturaleza así lo requieran, se coordinará con la Secretaría General Técnica, especialmente a los efectos de eliminación de la información, de transferencia al archivo electrónico único y de cuantas otras actuaciones estén comprendidas en el marco del Sistema de Archivos del Ministerio del Interior.
1. La gestión de riesgos debe realizarse de manera continua sobre el sistema de información, conforme a los principios de gestión de la seguridad basada en los riesgos y de reevaluación periódica, según los artículos 6 y 9, respectivamente, del Real Decreto 3/2010, de 8 de enero, y de acuerdo con el artículo 24 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, Reglamento general de protección de datos).
a) Primer nivel normativo: Política de Seguridad de la Información y directrices y normas de seguridad generales para todo el Ministerio del Interior.
b) Segundo nivel normativo: Normas Específicas de Seguridad de la Información y Normas de Seguridad TIC (Normas STIC). Las mismas desarrollan y detallan la Política de Seguridad de la Información, centrándose en un área o aspecto determinado de la seguridad de la información.
c) Tercer nivel normativo: Procesos y Procedimientos STIC e Instrucciones Técnicas STIC. Son documentos que dan respuesta, incluyendo detalles de implementación y tecnológicos, a cómo se puede realizar una determinada tarea cumpliendo con lo expuesto en la PSI.
4. El GTSI establecerá los mecanismos necesarios para compartir la documentación derivada del desarrollo normativo con el propósito de normalizarlo, en todo el ámbito de aplicación de la PSI.
1. En el ámbito del Ministerio del Interior la garantía de la protección de datos de carácter personal de las actividades de tratamiento es un objetivo compartido por todas las unidades del departamento que se rige por los siguientes principios:
a) Licitud, lealtad y transparencia.
b) Limitación de la finalidad.
c) Minimización de datos.
d) Exactitud.
e) Limitación del plazo de conservación.
f) Integridad y confidencialidad.
g) Responsabilidad proactiva.
2. Para su consecución se establecen las siguientes directrices:
a) Estructura organizativa: En el ámbito del Ministerio del Interior se nombran los siguientes Delegados de Protección de Datos (en adelante, DPD) que asumen, en su ámbito de competencias, las funciones recogidas en el artículo 39 del Reglamento general de protección de datos:
1.º DPD de la Dirección General de la Policía.
2.º DPD de la Dirección General de la Guardia Civil.
3.º DPD de la Dirección General de Tráfico.
4.º DPD de la secretaría General de Instituciones Penitenciarias.
5.º DPD de la Secretaría de Estado de Seguridad.
6.º DPD del Ministerio, que actúa como coordinador, al que corresponden el resto de ámbitos del Ministerio.
b) Actividades de tratamiento: Se entiende por tratamiento cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
c) Cláusulas informativas: Para garantizar la adecuación permanente de las cláusulas informativas en materia de privacidad, os responsables de tratamiento deberán verificar el cumplimiento continuo de la inclusión de cláusulas informativas sobre el tratamiento de datos personales ( artículos 13 y 14 del Reglamento general de protección de datos), en especial en el momento previo a la recogida de datos personales, tanto en formularios en papel como en medios electrónicos.
d) Procedimientos de relación entre las agencias de control, DPD, responsables de tratamiento y ciudadanos: Los ciudadanos pueden ejercitar sus derechos directamente a los responsables de tratamiento, o bien hacerlo a un DPD o incluso directamente ante una agencia de control como, por ejemplo, la Agencia Española de Protección de Datos. Los responsables de tratamiento responderán a las peticiones, pudiendo actuar el DPD correspondiente como intermediario con el ciudadano y con otras administraciones, así como llevando la interlocución con las agencias de control.
e) Gestión de riesgos de privacidad: La gestión de riesgos de privacidad se alineará con el análisis de riesgos de la seguridad. Los DPD podrán, a petición del responsable del tratamiento, proporcionar asesoramiento y herramientas específicas tanto para esta gestión de riesgos, como para la realización de evaluaciones de impacto en la privacidad para los tratamientos, en especial los de alto riesgo.
f) Revisión jurídica de los contratos, acuerdos y convenios con encargados de tratamiento: Los DPD proporcionarán modelos de cláusulas tipo y asesoramiento para la adecuación de contratos, acuerdos y convenios que incluyan el tratamiento de datos personales.
g) Procedimiento de comunicación de brechas de seguridad: Los DPD definirán los protocolos correspondientes, coordinados con los responsables de seguridad, para la comunicación de brechas de seguridad que afecten a información con datos de carácter personal.
h) Procedimiento de privacidad desde el diseño: Los DPD definirán y difundirán un procedimiento de privacidad desde el diseño que tendrá por objetivo el introducir un protocolo dentro del ciclo de vida del desarrollo y mantenimiento de sistemas de información que garantice que se tienen en cuenta las exigencias de seguridad derivadas del manejo de datos personales.
i) Auditorías de privacidad y revisión continua de las medidas de privacidad: Los DPD fomentarán procesos de auditoría periódica encaminados a la mejora continua del cumplimiento normativo en materia de protección de datos y a la implantación de las medidas correctoras necesarias para mejorar la seguridad de los datos personales.
j) Actuaciones de formación y concienciación: Los DPD realizarán una planificación de actuaciones periódicas de formación y concienciación al personal en materia de privacidad. Asimismo, se impulsará la formación en materia de gestión documental y archivo.
3. En relación con los sistemas de información que, para soportar la prestación de servicios de administración electrónica, manejen datos de carácter personal, prevalecerán las mayores exigencias contenidas en la normativa de protección de datos en vigor que afecte al sistema de información concreto.
1. Las presentes directrices se aplican a todos los servicios y sistemas TIC que participen de manera activa o pasiva en el proceso de Difusión de Resultados Provisionales en Procesos Electorales.
2. Se incluye a todo el personal, sistemas informáticos, recursos, infraestructura, proveedores y terceros que la Subsecretaría del Interior emplea para la ejecución del proceso de Difusión de Resultados Provisionales en Procesos Electorales.
3. Queda excluido de las presentes directrices todo aquel proceso electoral que no sea gestionado por el Ministerio del Interior o cualquier otro del que no forme parte.
1. Los sistemas de información que integran el proceso de Difusión de Resultados Provisionales en Procesos Electorales requieren unos niveles elevados de confidencialidad, disponibilidad e integridad debido principalmente, al grado de criticidad de la información y la grave repercusión e impacto que se produciría en la ciudadanía, en caso de afectación negativa.
2. Estas directrices se sustentarán en la creación, implantación, revisión y mejora continua de un Sistema de Gestión de la Seguridad de la Información, fundamentado en los procesos de análisis y gestión de riesgos.
1. El Subcomité de Seguridad de la Información para la Difusión Provisional en Procesos Electorales, adscrito al comité Superior para la Seguridad de la Información del Ministerio del Interior, cuyo ámbito de actuación es la seguridad de la información en procesos electorales.
2. El Subcomité está compuesto por los siguientes miembros:
b) Vicepresidencia: La persona titular de la Dirección General de Política Interior.
c) Secretaría: La persona titular de la Subdirección General de Política Interior y Procesos Electorales.
1.º La persona titular de la Subdirección General de Sistemas de Información y Comunicaciones por su condición de Responsable de Seguridad de la Información del Grupo de Trabajo para los Servicios Centrales de la Secretaría de Estado de Seguridad y de la Subsecretaría del Ministerio del Interior, y Presidente del Grupo de Trabajo de Responsables de la Seguridad.
2.º La persona titular de la Subdirección General de Calidad de los Servicios e Innovación por su condición de Delegado de Protección de Datos del Ministerio del Interior, y Presidente del Grupo de Trabajo de los Delegados de Protección de Datos, con voz pero sin voto.
3.º Un funcionario de carrera del subgrupo A1 de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad, designado por su titular.
3. Son funciones del Subcomité, en el ámbito de los procesos electorales:
a) Aprobar las normas específicas de seguridad de la información y normas de seguridad TIC.
b) Velar por el cumplimiento de la normativa de aplicación legal, regulatoria y sectorial.
c) Coordinar los planes de continuidad del servicio entre las diferentes áreas para asegurar una actuación sin fisuras en caso de que deban ser activados.
d) Coordinar y aprobar las propuestas recibidas en materia de seguridad de los diferentes órganos y unidades del Ministerio.
e) Recabar del Responsable de Seguridad de la Información informes regulares del estado de la seguridad del servicio y de los posibles incidentes.
f) Aprobar la asignación de roles y los criterios para alcanzar las garantías que estime pertinentes en lo relativo a la segregación de funciones.
g) Establecer y aprobar la metodología y criterios para el análisis de riesgos.
h) Proponer para su aprobación, cualquier modificación de las Directrices de Seguridad de la Información en materia de procesos electorales.
4. El Subcomité de Seguridad de la Información para la Difusión de Resultados Provisionales en Procesos Electorales se reunirá con la periodicidad que determine su Presidencia.
1. El Responsable de la Información tendrá la potestad de establecer los requisitos de la información en materia de seguridad determinando así el nivel de seguridad asociado a los mismos en cada dimensión. En concreto, establecerá los requisitos de integridad, confidencialidad, disponibilidad y aquellos otros que considere oportunos. Dada la criticidad que conlleva este papel, corresponde a la persona titular de la Dirección General de Política Interior ejercer dicha responsabilidad.
2. El responsable de la información podrá ser asistido por las personas o unidades del Ministerio que estime necesario, además de, en su caso, por otros organismos con competencias en el ámbito de la seguridad de la información
3. Serán funciones del Responsable de la Información, dentro de su ámbito de actuación, las siguientes:
a) Determinar los niveles de seguridad de la información tratada, valorando los impactos de los incidentes que afecten a la seguridad de la información, de acuerdo con los informes que reciba del Responsable de Seguridad de la Información.
b) Con el apoyo del Responsable del Servicio de Procesos Electorales, velar por la realización de los preceptivos análisis de riesgos, seleccionando las salvaguardas que se han de implantar, a propuesta del Responsable de Seguridad de la Información.
c) Aceptar los riesgos residuales a los que se expone la información, una vez realizado el análisis de riesgos e implantadas la salvaguardas que hayan sido seleccionadas.
1. El Responsable del Servicio de Procesos Electorales tendrá la potestad de establecer los requisitos del servicio en materia de seguridad determinando así el nivel de seguridad asociado a los mismos en cada dimensión analizada para la protección de la información. En concreto, establecerá los requisitos de disponibilidad, y aquellos otros que considere oportuno: confidencialidad, integridad, accesibilidad, interoperabilidad, etc. Dada la relevancia que existe en establecer los requisitos de seguridad en el servicio, corresponde a la persona titular de la Subdirección General de Política Interior y Procesos Electorales, ejercer el presente papel como órgano dependiente de la Dirección General de Política Interior del Ministerio del Interior.
2. El responsable del servicio podrá ser asistido por las personas o unidades del Ministerio que estime conveniente el Responsable de la Información además de, en su caso, por otros organismos con competencias en el ámbito de la seguridad de la información.
3. Serán funciones del Responsable del Servicio de Procesos Electorales, dentro de su ámbito de actuación, las siguientes:
a) Determinar los niveles de seguridad del servicio, valorando los impactos de los incidentes que afecten a la seguridad del servicio en todas sus dimensiones, de acuerdo con los informes que reciba del Responsable de Seguridad de la Información.
b) Junto al Responsable de la Información, velar por la realización de los preceptivos análisis de riesgos, seleccionando las salvaguardas que se han de implantar, a propuesta del Responsable de Seguridad de la Información.
c) Aceptar los riesgos residuales a los que se expone los servicios, una vez realizado el análisis de riesgos e implantadas las salvaguardas que hayan sido seleccionadas.
1. El Responsable de los Sistemas en Procesos Electorales tendrá la responsabilidad de desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, de velar por que se cumplan las especificaciones que se dicten, garantizar su instalación y de verificar su correcto funcionamiento. Corresponde a la persona titular de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad desempeñar el papel de Responsable del Sistema en Procesos Electorales.
2. El Responsable de los Sistemas en Procesos Electorales podrá ser asistido por las personas o unidades del Ministerio que estime conveniente el Responsable de la Información además de, en su caso, por otros organismos con competencias en el ámbito de la seguridad de la información.
3. Son funciones del Responsable de los Sistemas en Procesos Electorales:
a) Definir la topología y la gestión del sistema de información, estableciendo los criterios de uso y los servicios disponibles en el mismo.
b) Asegurar que las medidas específicas de seguridad se integren adecuadamente.
c) Proponer, en su caso, la suspensión total o parcial de la prestación del Servicio, si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. Esta decisión deberá ser informada, consensuada y aprobada, con carácter previo, en el Subcomité de Seguridad de la Información en Procesos Electorales
1. El Responsable de Seguridad de la Información deberá satisfacer los requisitos de seguridad de la información y de los servicios que hayan sido analizados y establecidos respectivamente por sus responsables. Corresponderá al titular de la jefatura del área responsable de la Subdirección General de Sistemas de Información y Comunicaciones para la Seguridad (SGSICS) desempeñar este papel.
2. Serán funciones del Responsable de la Seguridad de la Información, dentro de su ámbito de actuación, las siguientes:
a) Elaborar la normativa específica de seguridad que desarrolla la presente Política de Seguridad de la Información.
b) Aprobar los procedimientos operativos de seguridad.
c) Mantener la seguridad de la información manejada y de los servicios digitales prestados por los sistemas de información.
d) Realizar o promover las auditorías preceptivas para verificar el cumplimiento de las obligaciones en materia de seguridad de la información.
e) Realizar el seguimiento y control del estado de seguridad del sistema de información.
g) Apoyar y supervisar la investigación de los incidentes de seguridad desde su notificación hasta su resolución.
h) Elaborar planes de concienciación y formación.
i) Supervisar el registro de activos.
a) En cada proceso electoral.
b) Cuando cambie la información manejada.
c) Cuando se modifiquen los servicios prestados.
d) Cuando ocurra un incidente grave de seguridad que afecte al ámbito de la seguridad de la información.
e) Cuando se informen vulnerabilidades graves que afecten al ámbito de la seguridad de la información.
a) Auditorías previas: estas auditorías deberán estar finalizadas 15 días antes de la jornada electoral. Se considerarán finalizadas y conformes, cuando se hayan aplicado todas las medidas que por parte del Comité de Seguridad de la Información –al que se refiere el apartado 4.1– se consideren necesarias.
b) Auditoría de Evaluación Continua: Con el fin de actualizar la Política de Seguridad de la Información en cada proceso electoral, durante los 30 días posteriores al día de las votaciones, se iniciará una auditoría con la finalidad de identificar aquellos objetivos de seguridad cumplidos y los puntos de mejora que se hayan detectado, para su aplicación en futuros procesos, previa revisión, en su caso, por parte del citado Comité de Seguridad de la Información.