04/02/2022 | Administración LocalMunicipal
Ames
Aprobación inicial do Regulamento da política de seguridade da información do Concello de Ames

En sesión plenaria do 27.01.2022 prestouse aprobación inicial ao Regulamento da política de seguridade da información do Concello de Ames. Mediante o presente anuncio, o acordo de aprobación inicial sométese a exposición pública mediante a súa publicación no taboleiro de anuncios da sede electrónica do Concello de Ames, no Boletín Oficial da Provincia (BOP) e no Portal de Transparencia, para que os/as interesados/as poidan examinar o expediente e presentar as reclamacións que estimen oportunas. O prazo de exposición pública é de 30 días hábiles de acordo co disposto no apartado b) do artigo 49 da Lei 7/85, do 2 de abril, das Bases do Réxime Local, que se contarán a partir do día seguinte ao da publicación deste anuncio no BOP da Coruña. De non formularse reclamacións entenderase definitivamente aprobado o acordo ata entón inicial, sen necesidade de novo acordo plenario. Para xeral coñecemento publícase o texto aprobado provisionalmente: O Concello de Ames está obrigado a prestar os servizos dá súa competencia cumprindo cas normas de seguridade que ofrezan a confianza necesaria aos cidadáns no tratamento da súa información. Por este motivo, xorde a necesidade de aprobar a Política de Seguridade da Información do Concello de Ames que dea cumprimento ás esixencias do Esquema Nacional de Seguridade (ENS) con arranxo aos seguinte valores: 1. Atención Personalizada e Transparente.2. Excelencia e Eficacia na prestación dos servizos 3. Permanente busca da Mellora tecnolóxica.4. Equipo Humano Profesional e Comprometido.5. Eficiencia na Xestión dos Recursos.6. Desenvolvemento Sostible. A Política de Seguridade contida neste regulamento aplicase a todos os sistemas TIC (Tecnoloxías da Información e Comunicacións) do Concello de Ames e a todos os membros da súa organización, incluíndo os cargos políticos e persoal eventual. A Política de Seguridade esténdense a todos os servizos prestados polo concello así como as relacións cas restantes entidades públicas, realizadas por medios electrónicos dando cumprimento ás esixencias do Esquema Nacional de Seguridade (ENS) e do Esquema Nacional de Interoperabilidade (ENI). O obxectivo da Política de Seguridade da Información do Concello é garantir a calidade da información, a prestación continuada dos servizos, a actuación preventiva dos riscos, a supervisión da actividade diaria e a reacción rápida fronte aos incidentes de seguridade. Os sistemas TIC deben estar protexidos contra ameazas, especialmente as de rápida evolución dado o seu potencial para incidir na confidencialidade, integridade, dispoñibilidade, autenticidade, trazabilidade, uso previsto e valor da información e dos servizos. Para defenderse destas ameazas, requírese unha Política de Seguridade que contemple estratexias que se adapten aos cambios nas condicións da contorna para garantir a prestación continua e segura dos servizos. Así, o Real Decreto 3/2010 de 8 de xaneiro polo que se regula Esquema Nacional de Seguridade (ENS) no ámbito da administración electrónica, no seu artigo 11 establece que “Todos os órganos superiores das Administracións Públicas deberán dispoñer formalmente da súa política de seguridade, que será aprobada polo titular do órgano superior correspondente”. O esquema de seguridade do Concello de Ames estará composto polos seguintes elementos: Responsable da información Responsable do servizo Responsable da seguridade da información Responsable do sistema Comité de seguridade da información. O Concello de Ames atenderá as diferentes normativas de seguridade particularmente as seguintes: Lei 39/2015, do 1 de outubro, do Procedemento Administrativo Común das Administracións Públicas. Lei 40/2015, do 1 de outubro, de Réxime Xurídico do Sector Público (LPACAP). Lei 40/2015 do 1 de outubro, do réxime xurídico do sector público (LRXSP). Lei 7/1985, do 2 de abril, Reguladora das Bases do Réxime Local (LRBRL). Regulamento (UE) 2016/679 DO PARLAMENTO EUROPEO E DO CONSELLO do 27 de abril de 2016 relativo á protección das persoas físicas no que respecta ao tratamento de datos persoais e á libre circulación destes datos. Lei Orgánica 3/2018, do 5 de decembro, de Protección de Datos Persoais e Garantía dos dereitos Dixitais. Real Decreto 3/2010, do 8 de xaneiro, de desenvolvemento do Esquema Nacional de Seguridade fixa os principios básicos e requisitos mínimos, así como as medidas de protección a implantar nos sistemas da Administración. Real decreto 4/2010 do 8 de xaneiro polo que se regula o esquema nacional de interoperabilidade (ENI). Real Decreto 951/2015, do 23 de outubro, de modificación do Real Decreto 3/2010, do 8 de xaneiro, polo que se regula o Esquema Nacional de Seguridade no ámbito da Administración Electrónica. Todos os servizos do Concello de Ames deben aplicar as medidas mínimas de seguridade esixidas polo ENS, así como realizar un seguimento continuo das mesmas, seguir e analizar as vulnerabilidades reportadas, e preparar unha resposta efectiva aos incidentes. Ca finalidade de que todos os servizos estean preparados para previr, detectar, reaccionar e recuperarse de incidentes de seguridade, conforme o previsto no artigo 7 do Real Decreto que regula o Esquema Nacional de Seguridade (ENS), o orzamento municipal contemplará anualmente as dotacións económicas precisas tanto de formación de persoal como de medios materiais para garantir dito obxectivo de seguridade. A Política de Seguridade do Concello de Ames, comprende a seguinte organización: Comité de seguridade da información que estará composto polos seguintes membros: Responsable da información: O titular da Alcaldía do Concello de Ames. Responsable do servizo: O titular da concellería de novas tecnoloxías. Responsable da seguridade da información; O titular da Secretaría municipal que contará co asesoramento técnico preciso. Responsable do sistema: Un técnico do servizo informático municipal. Responsable da información. O responsable da información é o titular da Alcaldía e ten a responsabilidade ultima do uso que se faga da información e, polo tanto, da súa protección, para o que determinará os niveis de seguridade da mesma. Convocará as reunión do comité de seguridade e remitirá a documentación e comunicacións necesarias os seus integrantes. Funcións do responsable da información 1. Ten a responsabilidade última do uso que se faga da información e, polo tanto, da súa protección.2. Establecerá os niveis de seguridade da información. Responsable do Servizo. O Responsable do Servizo será o titular da concellería de novas tecnoloxías. Funcións do responsable do servizo: 1. Establece os requisitos de seguridade dos servizos para dar cumprimento aos niveis de seguridade fixados polo responsable da información. Responsable de Seguridade da Información O Responsable da Seguridade da Información será o titular da Secretaría Municipal. Funcións do responsable de seguridade da información: 1. Actuará como Secretario do Comité de Seguridade da Información.2. Notificará as convocatorias realizadas polo responsable da información do Comité de Seguridade da Información.3. Co asesoramento técnico preciso realizará as funcións recollidas no ENS.4. Poderá nomear delegados nos términos do ENS. Responsable do Sistema Nomease como Responsable do Sistema a un técnico do servizo informático municipal. Funcións do responsable do sistema: 1. Coordinar o desenvolvemento, operación e mantemento do Sistema de Información durante todo o seu ciclo de vida, das súas especificacións, instalación e verificación do seu correcto funcionamento.2. Definir a topoloxía e sistema de xestión do Sistema de Información establecendo os criterios de uso e os servizos dispoñibles no mesmo. • Confirmarse de que as medidas específicas de seguridade intégrense adecuadamente dentro do marco xeral de seguridade. • O Responsable do Sistema pode acordar a suspensión do manexo dunha certa información ou a prestación dun certo servizo se é informado de deficiencias graves de seguridade que puidesen afectar á satisfacción dos requisitos establecidos. Esta decisión debe ser acordada cos Responsables da Información afectada, do Servizo afectado e co Responsable da Seguridade antes de ser executada. • Verificar a aplicación dos procedementos operativos de seguridade elaborados e aprobados polo Responsable de Seguridade. • Monitorar o estado da seguridade do Sistema de Información e reportalo periodicamente ou ante incidentes de seguridade relevantes ao Responsable de Seguridade da Información, de acordo aos informes remitidos polos administradores de seguridade. • Elaborar os Plans de Continuidade do Sistema para que sexan validados polo Responsable de Seguridade da Información, e coordinados e aprobados polo Comité de Seguridade da Información. • Coordinar a realización de exercicios e probas periódicas dos Plans de Continuidade do Sistema para mantelos actualizados e verificar que son efectivos. • Elaborará as directrices para considerar a Seguridade da Información durante todo o ciclo de vida dos activos e procesos (especificación, arquitectura, desenvolvemento, operación e cambios) e facilitaraas ao Responsable de Seguridade da Información para a súa aprobación. É o órgano que coordina a Seguridade da Información a nivel global do concello. Estará integrado polo responsable da información, polo responsable do servizo, polo responsable de seguridade e responsable do sistema e poderán convidarse ás súas reunións a cantas persoas da entidade se considere oportuno. Reunirase ordinariamente a ultima semana do mes de marzo e extraordinariamente cantas veces se considere preciso. Asumir as seguintes funcións: • Atender as inquietudes da Alta Dirección e dos diferentes departamentos. • Informar regularmente o estado da seguridade da información á Alta Dirección, o que poderá facerse simultaneamente se esta forma parte do mesmo. • Promover a mellora continua do Sistema de Xestión da Seguridade da Información. • Elaborar a estratexia de evolución da Organización no que respecta a seguridade da información. • Coordinar os esforzos das diferentes áreas en materia de seguridade da información, para asegurar que os esforzos son consistentes, aliñados coa estratexia decidida na materia, e evitar duplicidades. • Elaborar (e revisar regularmente) a Política de Seguridade da información para que sexa aprobada pola Dirección. • Aprobar a normativa de seguridade da información. • Elaborar e aprobar os requisitos de formación e cualificación de administradores, operadores e usuarios desde o punto de vista de seguridade da información. • Monitorar os principais riscos residuais asumidos pola organización e recomendar posibles actuacións respecto deles. • Monitorar o desempeño dos procesos de xestión de incidentes de seguridade e recomendar posibles actuacións respecto deles. En particular, velar pola coordinación das diferentes áreas de seguridade na xestión de incidentes de seguridade da información. • Promover a realización das auditorías periódicas que permitan verificar o cumprimento das obrigacións da organización en materia de seguridade. • Aprobar plans de mellora da seguridade da información da Organización. En particular, velará pola coordinación de diferentes plans que poidan realizarse en diferentes áreas. • Velar porque a seguridade da información téñase en conta en todos os proxectos TIC desde a súa especificación inicial ata a súa posta en operación. En particular, deberá velar pola creación e utilización de servizos horizontais que reduzan duplicidades e apoien un funcionamento homoxéneo de todos os sistemas TIC. • Resolver os conflitos de responsabilidade que poidan aparecer entre os diferentes responsables e/ou entre diferentes áreas da organización, elevando aqueles casos nos que non teña suficiente autoridade para decidir. En caso de ocorrencia de incidentes de seguridade da información: Aprobará o Plan de Mellora da Seguridade, coa súa dotación orzamentaria correspondente. O Comité de Seguridade da Información non é un comité técnico, pero solicitará regularmente do persoal técnico propio ou externo, a información pertinente para tomar decisións. O Comité de Seguridade da Información asesorarase dos temas sobre os que teña que decidir ou emitir unha opinión. Este asesoramento determinarase en cada caso, podendo materializarse de diferentes formas e maneiras: • Grupos de traballo especializados internos, externos ou mixtos. • Asesoría externa. •Asistencia a cursos ou outro tipo de contornas formativas ou de intercambio de experiencias. O Responsable da Seguridade da Información é o secretario/a do Comité de Seguridade da Información e como tal: • Notificará as convocatorias do Comité de Seguridade da Información. • achegará a documentación dos asuntos contidos na convocatoria. • Elabora a acta das reunións. • Executará as decisións do Comité. Os diferentes roles de seguridade da información do Concello de Ames teñen a seguinte xerarquía: o Comité de Seguridade da Información dá instrucións ao Responsable da Seguridade da Información, que se encarga de supervisar a implementación das medidas de seguridade segundo a política de seguridade aprobada. O Responsable do sistema informará o Responsable da Información e ao responsable do servizo das decisións e incidentes en materia de seguridade. En caso de conflito, prevalecerán as decisións do nivel superior xerárquico. O titular da Alcaldía, mediante decreto no prazo dun mes dende a entrada en vigor do presente regulamento nomeará formalmente: Ao Responsable da Información. Ao Responsable do Servizo. Ao Responsable da Seguridade. Ao Responsable do Sistema. O proceso de renovación terá lugar no prazo de tres meses dende a constitución de cada corporación local, mediante decreto, así como en calquera caso que se produza modificacións nas persoas nomeadas. Todos os sistemas de información axustaranse aos niveis de seguridade requiridos pola normativa de protección de datos de carácter persoal, tendo en conta que o concello designará encargado de tratamento dos datos de carácter persoal (encargado) tendo en conta que o responsable do tratamento é o propio concello. O encargado será a persoa física ou xurídica, autoridade pública, servizo ou outro organismo que trate datos por conta do responsable do tratamento. A relación entre o responsable e o encargado deberá ser regulada nun contrato ou instrumento xurídico. Os distintos departamentos deben evitar, ou polo menos previr na medida do posible, que a información ou os servizos véxanse prexudicados por incidentes de seguridade. Para iso, os departamentos deben implementar as medidas mínimas de seguridade fixadas polo comité de seguridade. O Concello de Ames realizará periodicamente (unha vez o ano) e cada vez que os sistemas da información sofran unha alteración significativa, unha análise de riscos, seguindo as directrices do ENS no seu artigo 6, de modo que se podan anticipar os riscos existentes. Este análise de riscos e as súas conclusións serán analizadas polo comité de seguridade que establecera as salvagardas axeitadas para o que o nivel de risco sexa aceptable. Dado que os servizos pódense degradar rapidamente debido a incidentes de seguridade, que van desde unha diminución ata o cesamento do nivel de prestación, os departamentos, previa a oportuna formación, deben monitorar a operación de maneira continua para detectar anomalías nos niveis de prestación dos servizos e actuar en consecuencia, segundo o establecido no Artigo 9 do ENS. A monitoraxe é especialmente relevante cando se establecen liñas de defensa de acordo co Artigo 8 do ENS. Estableceranse mecanismos de detección, análise e reporte que poidan informar os responsables, tanto regularmente como cando se produza unha desviación significativa dos parámetros que se haxan preestablecido como normais. Os distintos departamentos deben: · Establecer mecanismos para responder eficazmente os incidentes de seguridade. · Designar puntos de contacto para as comunicacións con respecto a incidentes detectados en outros departamentos ou en outros organismos. · Establecer protocolos para o intercambio de información relacionada co incidente. Esto inclúe comunicacións, en ambos sentidos, cos Equipos de Resposta a Emerxencias (CERT). Para garantir a dispoñibilidade dos servizos críticos, os distintos departamentos deben desenvolver plans de continuidade dos sistemas TIC como parte do seu plan xeral de continuidade de negocio e actividades de recuperación. Todos os membros da organización teñen a obrigación de coñecer e cumprir a Política de Seguridade da Información e a Normativa de Seguridade, sendo responsabilidade do Comité de Seguridade da Información dispoñer os medios necesarios para que a información chegue aos afectados. Concretamente, o Comité fixará un calendario de formación continua como parte da política de seguridade. Cando se presten servizos ou se xestione información doutras organizacións, faráselles partícipes desta Política de Seguridade, e estableceranse procedementos de actuación para a reacción ante incidentes de seguridade. Cando se utilicen servizos de terceiros ou ceda información a terceiros, faráselles partícipes desta Política de Seguridade e da Normativa de Seguridade que incumba aos devanditos servizos ou información. Dita terceira parte quedará suxeita ás obrigacións establecidas en dita normativa, podendo desenvolver os seus propios procedementos operativos para satisfacela. Estableceranse procedementos específicos de reporte e resolución de incidencias. Garantirase que o persoal de terceiros está adecuadamente concienciado en materia de seguridade, polo menos ao mesmo nivel que o establecido nesta Política, podendo requirir certificado neste sentido. Cando algún aspecto da Política non poida ser satisfeito por unha terceira parte segundo requírese nos parágrafos anteriores, requirirase un informe do Responsable de Seguridade da Información que precise os riscos en que se incorre e a forma de tratalos. Requirirase a aprobación deste informe polos responsables da información e os servizos afectados antes de seguir adiante. A Política de Seguridade da Información cumprimentarase con documentos máis precisos que axudan a levar a cabo o proposto. Para iso utilizaranse: - normas de seguridade (security standards) - guías de seguridade (security guides) - procedementos de seguridade (security procedures) As normas uniformizan o uso de aspectos concretos do sistema. Indican o uso correcto e as responsabilidades dos usuarios. Son de carácter obrigatorio. As guías teñen un carácter formativo e buscan axudar aos usuarios para aplicar correctamente as medidas de seguridade proporcionando razoamentos onde non existen procedementos precisos. Por exemplo, adoita haber unha guía sobre como escribir procedementos de seguridade. As guías axudan a previr que se pasen por alto aspectos importantes de seguridade que poden materializarse de varias formas. Os procedementos [operativos] de seguridade afrontan tarefas concretas, indicando o que hai que facer, paso a paso. Son útiles en tarefas repetitivas. Toda esta documental conformará, principalmente, a documentación de seguridade, á cal poderán vir integrar outro tipo de documentos. A xestión e o acceso á devandita documentación quedará regulado a través do correspondente documento, onde se poderá atopar o detalle oportuno. A Política de Seguridade da Información será revisada polo Comité de Seguridade da Información a intervalos planificados, que non poderán exceder o ano de duración, ou sempre que se produzan cambios significativos, a fin de asegurar que se manteña a súa idoneidade, adecuación e eficacia. Os cambios sobre a Política de Seguridade da Información deberán ser aprobados polo órgano superior competente que corresponda. Calquera cambio sobre a mesma deberá ser difundido a todas as partes afectadas. Disposición final. O presente regulamento, unha vez aprobado definitivamente, entrará en vigor unha vez publicado integramente o seu texto no BOP e transcorra o prazo previsto no artigo 70.2 en relación co 65.2 Lei 7/1985 de 2 de abril, reguladora das bases do réxime local. Ames, 31 de xaneiro de 2022 O alcalde José Blas García Piñeiro