RESOLUCIÓN do 10 de xullo de 2015 pola que se dá publicidade á política de seguridade da información da Administración xeral e do sector público autonómico de Galicia.
Axencia para a Modernización Tecnolóxica de Galicia — III. Outras disposicións — 22/07/2015

O Decreto 73/2014, do 12 de xuño, polo que se crean e se regulan os órganos colexiados con competencias en materia de seguridade da información e goberno electrónico da Administración xeral e do sector público autonómico de Galicia, establece que a Comisión de Seguridade e Goberno Electrónico proporá para a súa aprobación polo Consello da Xunta de Galicia a política de seguridade da Administración xeral e do sector público de Galicia, proposta que acordou efectuar o Pleno da Comisión de Seguridade e Goberno Electrónico na sesión ordinaria do 19 de maio de 2015.
O Consello da Xunta de Galicia, na súa reunión do día vinte e cinco de xuño de dous mil quince adoptou, entre outros acordos, aprobar a política de seguridade da información da Administración xeral e do sector público autonómico de Galicia.
Por todo o exposto,
Darlle publicidade á política de seguridade da información da Administración xeral e do sector público autonómico de Galicia, que se recolle no anexo que acompaña a esta resolución.
Santiago de Compostela, 10 de xullo de 2015
1. Política de seguridade da información da Administración xeral e do sector público autonómico de Galicia.
A misión da Xunta de Galicia céntrase en dirixir a política e a administración da Comunidade Autónoma de Galicia e en exercer a función executiva e a potestade regulamentaria, de acordo co Estatuto de autonomía e coas leis. A Administración xeral e do sector público autonómico de Galicia, baixo a dirección da Xunta de Galicia, atópase inmersa nun proceso gradual de transición cara á sociedade da información e do coñecemento, o que comporta unha transformación substancial a nivel tecnolóxico.
Neste marco, as tecnoloxías da información e as comunicacións (TIC) constitúense como un instrumento de alto nivel estratéxico, debido ao seu potencial para impulsar a modernización da Administración xeral e do sector público autonómico de Galicia, así como á súa capacidade para estimular e sustentar o desenvolvemento social e económico de Galicia. Por tanto, é imprescindible que os sistemas TIC sexan administrados con dilixencia, e tamén tomar as medidas adecuadas para protexelos de ameazas de rápida evolución e con potencial para incidir na confidencialidade, integridade, dispoñibilidade, rastrexabilidade, autenticidade e valor da información e dos servizos.
A política de seguridade da información é o instrumento en que se apoia a Administración xeral e o sector público autonómico de Galicia para alcanzar os seus obxectivos, utilizando de forma segura os sistemas de información e as comunicacións. Para defenderse das ameazas, garantir a continuidade dos sistemas de información, minimizar os riscos de dano e asegurar o eficiente cumprimento dos seus obxectivos, será necesario definir medidas de seguridade de natureza organizativa, física e lóxica. Todo iso permitirá reforzar a seguridade para protexer cada activo, xa que a seguridade, concibida como proceso integral, comprende todos os elementos técnicos, humanos, materiais e organizativos relacionados cos sistemas de información e as comunicacións, e debe entenderse non como un produto, senón como un continuo proceso de adaptación e mellora que debe ser controlado e xestionado.
Por iso, esta política será de aplicación, en todo o ámbito da Administración xeral e do sector público autonómico de Galicia, a todos os seus recursos e á totalidade dos seus procesos, internos e externos, vinculados á Xunta de Galicia a través de contratos ou acordos con terceiros.
2. Marco normativo.
A presente política de seguridade desenvólvese no marco normativo establecido polas seguintes normas:
a) Lei orgánica 15/1999, do 13 de decembro, de protección de datos de carácter persoal, e as súas normas de desenvolvemento, que achegan criterios para establecer a proporcionalidade entre as medidas de seguridade e a información que se ha protexer.
b) Lei 30/1992, do 26 de novembro, de réxime xurídico das administracións públicas e do procedemento administrativo común, que sinala no seu artigo 45.5 que os documentos emitidos, calquera que sexa o seu soporte, por medios electrónicos, informáticos ou telemáticos, polas administracións públicas, ou os que estas emitan como copias de orixinais almacenados por estes mesmos medios, gozarán da validez e da eficacia dun documento orixinal, sempre que quede garantida a súa autenticidade, integridade e conservación.
c) Lei 11/2007, do 22 de xuño, de acceso electrónico dos cidadáns aos servizos públicos, que sinala entre os seus fins o de crear as condicións de confianza no uso dos medios electrónicos, e establece as medidas necesarias para a preservación da integridade dos dereitos fundamentais, en especial os relacionados coa intimidade e coa protección de datos de carácter persoal, por medio da garantía da seguridade dos sistemas, datos, comunicacións e servizos electrónicos. Estes fins foron desenvolvidos polo Real decreto 3/2010, do 8 de xaneiro, polo que se regula o Esquema nacional de seguridade (en diante, ENS) no ámbito da Administración electrónica, que busca a creación das condicións necesarias de confianza no uso dos medios electrónicos, a través de medidas para garantir a seguridade dos sistemas, datos, comunicacións e servizos electrónicos, que lles permita aos cidadáns e ás administracións públicas o exercicio de dereitos e o cumprimento de deberes a través da aplicación segura destas tecnoloxías. Concretamente, esta política dá resposta ao requirimento do ENS que, no seu artigo 11, establece que todos os órganos superiores das administracións públicas dispoñerán formalmente da súa política de seguridade, que será aprobada polo titular do órgano superior correspondente.
d) Decreto 230/2008, do 18 de setembro, polo que se establecen as normas de boas prácticas na utilización dos sistemas de información da Administración da Comunidade Autónoma de Galicia, que ten por obxecto a regulación das normas de utilización dos sistemas de información e comunicacións, fixos e móbiles, da Administración xeral e do sector público autonómico de Galicia. Nel establécense os deberes das persoas usuarias dos sistemas de información e comunicacións no relativo á súa seguridade e bo uso para garantir a protección da información das persoas e das empresas nas súas relacións coa Administración xeral e do sector público autonómico de Galicia.
e) Decreto 73/2014, do 12 de xuño, polo que se crean e se regulan os órganos colexiados con competencias en materia de seguridade da información e goberno electrónico da Administración xeral e do sector público autonómico de Galicia. Nel establécese que a Comisión de Seguridade e Goberno Electrónico propoñerá para a súa aprobación polo Consello da Xunta de Galicia a política de seguridade da información da Administración xeral e do sector público de Galicia.
3. Obxectivos e ámbito de aplicación.
3.1. Obxectivos da política de seguridade da información.
A política de seguridade da información da Administración xeral e do sector público autonómico de Galicia ten como obxectivo establecer os principios xerais que dirixen a xestión da seguridade no ámbito de aplicación do número 3.2. Persegue a protección dos recursos necesarios para alcanzar os obxectivos e a misión da organización, serve como declaración de intencións e guía xeral coa cal establecer todas as actuacións en materia de seguridade e fixa a estrutura que debe desenvolverse para acometer estas actuacións, tanto no ámbito organizativo coma no documental.
A súa aprobación serve para constatar o interese de máximo nivel que suscita a protección da información manexada na Administración xeral do sector público autonómico de Galicia e establece o punto de partida de organización para conseguir este fin.
3.2. Ámbito de aplicación.
Esta política será de aplicación, no ámbito da Administración xeral e do sector público autonómico de Galicia, a todos os sistemas de tecnoloxías da información e comunicacións, infraestruturas e instalacións en xeral, e aos membros da súa organización, sen excepcións; tamén se aplicará no caso de entidades e profesionais contratados baixo calquera modalidade, cando no exercicio das súas funcións teñan acceso aos sistemas de tecnoloxías da información e comunicacións.
4. Principios da política de seguridade da información.
A política de seguridade da información da Administración xeral e do sector público autonómico de Galicia desenvolverase, con carácter xeral, de acordo cos seguintes principios:
a) Principio de confidencialidade: deberase garantir que os activos sexan accesibles unicamente para aquelas persoas expresamente autorizadas para iso.
b) Principio de integridade: deberase asegurar que a información coa que se traballa sexa completa e precisa, e incidirase na exactitude tanto do seu contido coma dos procesos involucrados.
c) Principio de dispoñibilidade e continuidade: garantirase a prestación continuada dos servizos e a recuperación inmediata ante posibles continxencias, mediante medidas de recuperación orientadas á restauración dos servizos e da información asociada. Débese procurar que os activos estean dispoñibles cando o requiran as persoas autorizadas para acceder a eles.
d) Principio de autenticidade: deberase garantir que a información se intercambie cos interlocutores idóneos e que os servizos se acrediten correctamente.
e) Principio de rastrexabilidade: deberase garantir o seguimento das operacións efectuadas sobre a información e os servizos que o requiran.
f) Principio de xestión do risco: xestionar a seguridade da información consiste en analizar os riscos, establecer medidas de seguridade adecuadas, eficaces e proporcionadas e incluír a corrección e a mellora continuas que leven a que a organización sexa cada vez máis preventiva ca reactiva fronte aos incidentes de seguridade. Débense minimizar os riscos ata niveis aceptables e buscar o equilibrio entre as medidas de seguridade e a natureza da información.
g) Principio de prevención: desenvolveranse plans e liñas de traballo específicas orientadas a previr fraudes, incumprimentos ou incidentes relacionados coa seguridade.
h) Principio de mellora continua: revisarase de maneira recorrente o grao de eficacia dos controis de seguridade implantados na organización para aumentar a capacidade de adaptación á constante evolución dos riscos e do ámbito tecnolóxico.
i) Principio de proporcionalidade en custo: a implantación de medidas que mitiguen os riscos de seguridade dos activos deberá facerse dentro do marco orzamentario previsto para ese efecto e sempre buscando o equilibrio entre as medidas de seguridade, a natureza da información e o orzamento previsto.
j) Principio de concienciación e formación: articularanse programas de formación, sensibilización e concienciación para as persoas usuarias en materia de seguridade da información, debidamente apoiados nas políticas corporativas e cun acomodado proceso de seguimento e actualización.
k) Principio de seguridade no ciclo de vida: os requirimentos da seguridade da información atenderanse durante todo o ciclo de vida dos activos, desde a súa planificación ata a súa retirada.
l) Principio de función diferenciada: conforme o principio que establece o ENS de considerar a seguridade como unha función diferenciada, na Administración xeral e do sector público autonómico de Galicia a seguridade dos sistemas de información estará diferenciada da responsabilidade sobre a prestación dos servizos.
m) Principio de cumprimento normativo: todos os sistemas de información da Administración xeral e do sector público autonómico de Galicia, así como calquera proceso relacionado, axustaranse á normativa de aplicación legal regulamentaria e sectorial que afecte a seguridade da información, en especial aquela relacionada coa intimidade e a protección de datos de carácter persoal e coa seguridade dos sistemas, datos, comunicacións e servizos electrónicos, que lles permita aos cidadáns e ás administracións públicas o exercicio de dereitos e o cumprimento de deberes a través da tecnoloxía.
5. Organización da seguridade da información.
5.1. Responsabilidade xeral.
A preservación da seguridade da información será considerada obxectivo común de todas as persoas ao servizo da Administración xeral e do sector público autonómico de Galicia, e serán as persoas, xunto coa tecnoloxía e os procesos, o alicerce fundamental para o mantemento da seguridade da información.
5.2. Comisión de Seguridade e Goberno Electrónico da Administración xeral e do sector público autonómico de Galicia.
A Comisión de Seguridade e Goberno Electrónico da Administración xeral e do sector público autonómico de Galicia ten como funcións as definidas no Decreto 73/2014, do 12 de xuño, polo que se crean e se regulan os órganos colexiados con competencias en materia de seguridade da información e goberno electrónico da Administración xeral e do sector público autonómico de Galicia.
5.3. Subcomisión de Seguridade.
A Subcomisión de Seguridade ten como funcións as definidas no Decreto 73/2014, do 12 de xuño, polo que se crean e regulan os órganos colexiados con competencias en materia de seguridade da información e goberno electrónico da Administración xeral e do sector público autonómico de Galicia.
5.4. Roles no ámbito da seguridade da información requiridos para o cumprimento do ENS.
Seguindo o principio que establece o ENS de considerar a seguridade como unha función diferenciada, nos distintos organismos da Administración xeral e do sector público autonómico de Galicia existirán o responsable da información, o responsable do servizo, o responsable da seguridade TIC e o responsable do sistema.
a) Responsable da información: dentro do seu ámbito de actuación, é o encargado de determinar as necesidades de seguridade da información no marco establecido polo anexo I do ENS e de aprobar o risco residual.
b) Responsable do servizo: dentro do seu ámbito de actuación, é o encargado de determinar as necesidades de seguridade do servizo no marco do anexo I do ENS, de aprobar a suspensión do servizo e de aprobar o risco residual.
c) Responsable da seguridade TIC: determinará as decisións tecnolóxicas, no ámbito dos sistemas de información e telecomunicacións, que se han tomar para protexer adecuadamente a información e os servizos segundo as necesidades establecidas polos responsables da información e dos servizos.
d) Responsable do sistema: dentro do seu ámbito de actuación, é o encargado de implantar e de controlar as medidas para cumprir cos requisitos de seguridade da información e dos servizos.
5.5. Outros roles no ámbito da seguridade da información.
Defínense ademais os seguintes roles con competencias en materia de seguridade da información:
a) Responsable de seguridade LOPD: as súas funcións son as definidas no Real decreto 1720/2007, do 21 de decembro, polo que se aproba o regulamento de desenvolvemento da Lei orgánica 15/1999, do 13 de decembro, de protección de datos de carácter persoal.
b) Coordinador de seguridade da información: dentro do seu ámbito de actuación, é o encargado de coordinar os asuntos relativos á seguridade da información, de promover a formación e concienciación en materia de seguridade da información, de determinar as decisións que se han tomar para protexer adecuadamente a información e os servizos e de supervisar a súa implantación en todos os aspectos non relacionados coas TIC.
5.6. Aprobación de roles e responsabilidades e resolución de conflitos.
As condicións que deben cumprir as persoas coas responsabilidades anteriores serán aprobadas segundo establece o artigo 5.j do Decreto 73/2014, do 12 de xuño, polo que se crean e se regulan os órganos colexiados con competencias en materia de seguridade da información e goberno electrónico da Administración xeral e do sector público autonómico de Galicia.
Mentres non se establezan os mecanismos que se han seguir para a resolución de conflitos en cada un dos ámbitos de actuación a que afecte esta política, seguirase o principio de xerarquía que rexe nas administracións públicas, e será o superior xerárquico que corresponda o encargado de resolver os conflitos que poidan xurdir.
6. Desenvolvemento da política de seguridade.
O corpo normativo sobre seguridade da información é de obrigado cumprimento e desenvolverase en niveis, segundo o ámbito de aplicación e o nivel de detalle técnico, de maneira que cada norma se fundamente nas normas de nivel superior. Os devanditos niveis de desenvolvemento son os seguintes:
a) Primeiro: política de seguridade da información. Está constituído polo presente documento e é de obrigado cumprimento.
b) Segundo: políticas, plans de acción e actuacións estratéxicas en materia de seguridade da información. Está constituído polo conxunto de documentos que tratan da aplicación da presente política. Os documentos relativos a este segundo nivel normativo proporaos a Subcomisión Operativa de Seguridade á Comisión de Seguridade e Goberno Electrónico, que será quen os aprobe.
c) Terceiro: outra normativa de seguridade da información. Está constituído polo conxunto de normas que desenvolven a política de seguridade e que serven para indicar como se debe actuar. As disposicións de ámbito transversal que non estean baixo a competencia doutros órganos serán aprobadas pola Subcomisión de Seguridade.
d) Cuarto: procedementos de seguridade. Conxunto de documentos que describen explicitamente e paso a paso como se ha realizar unha certa actividade. A responsabilidade de aprobación destes procedementos dependerá do seu ámbito de aplicación, que poderá ser nun ámbito específico ou nun sistema de información determinado.
Ademais dos documentos citados, a documentación de seguridade poderá contar con outros documentos, como recomendacións, boas prácticas, informes, rexistros, evidencias electrónicas, etc.
7. Xestión da seguridade.
7.1. Xestión de riscos.
1) A xestión de riscos é unha parte esencial do proceso de seguridade e debe realizarse de maneira continua sobre os sistemas de información, co obxectivo de manter os ámbitos controlados e de minimizar os riscos ata niveis aceptables.
2) A xestión de riscos será preceptiva para os sistemas de información incluídos dentro do marco establecido polo Real decreto 3/2010, do 8 de xaneiro, polo que se regula o ENS no ámbito da Administración electrónica, e será opcional para o resto dos supostos.
3) Os responsables da información e do servizo son os responsables dos riscos sobre a información e os servizos, respectivamente, e serán os que aseguran o seu seguimento e control, sen prexuízo da posibilidade de delegar estas tarefas. Para iso, poderán contar no proceso coa participación e co asesoramento do responsable da seguridade TIC e do responsable do sistema.
4) Para a realización da análise de riscos teranse en conta as recomendacións publicadas para o ámbito da Administración pública e, en especial, as guías elaboradas polo Centro Criptolóxico Nacional.
5) A avaliación dos riscos repetirase regularmente para os sistemas de información, dentro do alcance indicado no punto dous deste número, consonte as recomendacións formuladas polo Centro Criptolóxico Nacional.
7.2. Deberes do persoal.
1) Todo o persoal ten o deber de cumprir a política de seguridade da información e a normativa de seguridade derivada. O seu incumprimento poderá ser sancionado de conformidade coa normativa disciplinaria correspondente.
2) Todo persoal que empregue sistemas de tecnoloxías da información e as comunicacións recibirá formación para o manexo seguro dos devanditos sistemas.
8. Concienciación e formación.
1) Correspóndelle á Subcomisión de Seguridade promover a formación e a concienciación en materia de seguridade da información no ámbito da Administración xeral do sector público autonómico de Galicia.
2) Desenvolveranse actividades específicas orientadas á formación e á concienciación de todo o persoal en materia de seguridade da información, así como á difusión da política de seguridade da información e do seu desenvolvemento normativo, e estarán dirixidas en particular ao persoal de nova incorporación.
3) Para estes efectos, os plans de formación incluirán actividades específicas sobre seguridade da información.
9. Glosario.