• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1 燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2 燤isi髇 del Departamento
• Art韈ulo 3 燤arco normativo
• Art韈ulo 4 燛structura organizativa de la PSI
• Art韈ulo 5 燛l Comit� para la Gesti髇 y Coordinaci髇 de la Seguridad de la Informaci髇
• Art韈ulo 6 燛l Responsable de Seguridad
• Art韈ulo 7 燛quipo de seguridad
• Art韈ulo 8 燛l Responsable de la Informaci髇
• Art韈ulo 9 燛l Responsable del Servicio
• Art韈ulo 10 燫esoluci髇 de conflictos
• Art韈ulo 11 燝esti髇 de riesgos
• Art韈ulo 12 燚esarrollo normativo
• Art韈ulo 13 燩rotecci髇 de datos de car醕ter personal
• Art韈ulo 14 燜ormaci髇 y concienciaci髇
• Art韈ulo 15 燗ctualizaci髇 permanente y revisiones peri骴icas de la PSI
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional 鷑ica 燦o incremento del gasto p鷅lico
• DISPOSICIONES FINALES
  • Disposici髇 final primera 燚eber de colaboraci髇 de 髍ganos y unidades del Departamento
  • Disposici髇 final segunda 燩ublicidad de la PSI
  • Disposici髇 final tercera 燗plicabilidad

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. Constituye el objeto de la presente orden la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante, PSI) en el 醡bito de la Administraci髇 Electr髇ica del Ministerio de Industria, Turismo y Comercio, as� como el establecimiento del marco organizativo y tecnol骻ico de la misma.

2. La PSI que se aprueba por esta orden se aplicar� con car醕ter imperativo por todos los 髍ganos y unidades centrales y territoriales del Ministerio de Industria, Turismo y Comercio, as� como por los organismos aut髇omos que dependan de los mismos (Oficina Espa駉la de Patentes y Marcas, Instituto para la Reestructuraci髇 de la Miner韆 del Carb髇 y Desarrollo Alternativo de las Comarcas Mineras, Centro Espa駉l de Metrolog韆 e Instituto de Turismo de Espa馻), siendo de aplicaci髇 a todos sus sistemas de informaci髇 y debiendo ser observada por todo el personal destinado en dichos 髍ganos y unidades, as� como por aquellas personas que, aunque no est閚 destinadas en los mismos, tengan acceso a sus sistemas de informaci髇.

Art韈ulo 2 Misi髇 del Departamento

Corresponde al Ministerio de Industria, Turismo y Comercio la propuesta y ejecuci髇 de la pol韙ica del Gobierno en materia de desarrollo industrial, pol韙ica comercial, pol韙ica energ閠ica, pol韙ica de la peque馻 y mediana empresa (PYME), pol韙ica de turismo y pol韙ica de telecomunicaciones y de la sociedad de la informaci髇.

Art韈ulo 3 Marco normativo

1. El marco normativo en que se desarrollan las actividades del Ministerio de Industria, Turismo y Comercio, y, en particular, la prestaci髇 de sus servicios electr髇icos a los ciudadanos, est� integrado por las siguientes normas:

• a) La legislaci髇 sectorial reguladora de la actuaci髇 de los 髍ganos superiores y directivos del Ministerio de Industria, Turismo y Comercio y de los organismos aut髇omos dependientes, as� como el Real Decreto 1226/2010, de 1 de octubre, por el que se desarrolla la estructura org醤ica b醩ica de dicho Departamento ministerial.
• b) Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los Servicios P鷅licos.
• c) Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los servicios p鷅licos.
• d) Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica.
• e) Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el 醡bito de la Administraci髇 Electr髇ica.
• f) Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de Car醕ter Personal.
• g) Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal.
• h) Ley 59/2003, de 19 de diciembre, de firma electr髇ica.
• i) Real Decreto 1553/2005, de 23 de diciembre, por el que se regula el documento nacional de identidad y sus certificados de firma electr髇ica.
• j) Orden ITC/164/2010, de 28 de enero, por la que se crea la sede electr髇ica en el Ministerio de Industria, Turismo y Comercio, as� como las otras normas que hayan creado o puedan crear otras sedes electr髇icas dentro del 醡bito de aplicaci髇 de la PSI.
• k) Orden ITC/1515/2010, de 8 de junio, por la que se crea el registro electr髇ico en el Ministerio de Industria, Turismo y Comercio, as� como las otras normas que hayan creado o puedan crear otros registros electr髇icos dentro del 醡bito de aplicaci髇 de la PSI.

2. Tambi閚 forman parte del marco normativo las restantes normas aplicables a la Administraci髇 Electr髇ica del Departamento derivadas de las anteriores y publicadas en las sedes electr髇icas comprendidas dentro del 醡bito de aplicaci髇 de la PSI.

Art韈ulo 4 Estructura organizativa de la PSI

La estructura organizativa de la gesti髇 de la seguridad de la informaci髇 en el 醡bito de la Administraci髇 Electr髇ica del Ministerio de Industria, Turismo y Comercio est� compuesta por los siguientes agentes:

• a) El Comit� para la Gesti髇 y Coordinaci髇 de la Seguridad de la Informaci髇.
• b) El Responsable de Seguridad.
• c) El Responsable de la Informaci髇.
• d) El Responsable del Servicio.

Art韈ulo 5 El Comit� para la Gesti髇 y Coordinaci髇 de la Seguridad de la Informaci髇

1. Se crea el Comit� para la Gesti髇 y Coordinaci髇 de la Seguridad de la Informaci髇 (en adelante, el Comit�), que coordinar� todas las actividades relacionadas con la seguridad de los sistemas de informaci髇 y ejercer� las siguientes funciones:

• a) Elaborar las propuestas de modificaci髇 y actualizaci髇 permanente de la PSI.
• b) Aprobar la normativa de seguridad derivada de segundo nivel que sea de obligado cumplimiento (procedimientos STIC, normas STIC e instrucciones t閏nicas STIC).
• c) Aprobar el procedimiento de control de accesos a la red y a las bases de datos de la Administraci髇 Electr髇ica del Ministerio de Industria, Turismo y Comercio, as� como los dem醩 procedimientos de actuaci髇 en lo relativo al uso de los sistemas de informaci髇.
• d) Determinar las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.
• e) Coordinar la comunicaci髇 con el Centro Criptol骻ico Nacional en la utilizaci髇 de servicios de respuesta a incidentes de seguridad.
• f) Informar sobre el estado de las principales variables de seguridad en los sistemas de informaci髇 al Comit� de Seguridad de la Informaci髇 de las Administraciones P鷅licas para la elaboraci髇 de un perfil general del estado de seguridad de las mismas.
• g) Compartir experiencias de 閤ito en materia de seguridad entre sus miembros para velar por el cumplimiento de la PSI y su normativa de desarrollo.

2. El Comit� estar� compuesto por los siguientes miembros:

• a) Presidente: La Secretaria General T閏nica.
• b) Vocales: Con categor韆 m韓ima de Subdirector General o asimilado, pudiendo delegar en un suplente por cada uno de los siguientes 髍ganos u organismos aut髇omos del Departamento:
  • 1. Secretar韆 de Estado de Comercio Exterior.
  • 2. Secretar韆 de Estado de Energ韆.
  • 3. Secretar韆 de Estado de Telecomunicaciones y para la Sociedad de la Informaci髇.
  • 4. Secretar韆 General de Industria.
  • 5. Secretar韆 General de Turismo y Comercio Interior.
  • 6. Oficina Espa駉la de Patentes y Marcas.
  • 7. Instituto para la Reestructuraci髇 de la Miner韆 del Carb髇 y Desarrollo Alternativo de las Comarcas Mineras.
  • 8. Centro Espa駉l de Metrolog韆
  • 9. Instituto de Turismo de Espa馻.
• c) Secretario: con voz y voto, el Subdirector General de Tecnolog韆s de la Informaci髇 y de las Comunicaciones, que ejecutar� las decisiones del Comit�, convocar� sus reuniones y preparar� los temas a tratar.

3. El Comit� podr� recabar del personal t閏nico propio o externo la informaci髇 pertinente para la toma de sus decisiones.

Art韈ulo 6 El Responsable de Seguridad

1. Las funciones del Responsable de Seguridad se ejercer醤 por el grupo t閏nico de seguridad de la informaci髇, presidido y coordinado por el Subdirector General de Tecnolog韆s de la Informaci髇 y de las Comunicaciones y estar� compuesto por los siguientes miembros:

• a) Subdirector General de Coordinaci髇 Territorial y de Medios de la Secretar韆 de Estado de Comercio Exterior.
• b) El Subdirector General de Fomento Empresarial de la Secretar韆 General de Industria.
• c) El Director de la Divisi髇 de Tecnolog韆s de la Informaci髇 de la Oficina Espa駉la de Patentes y Marcas.
• d) El Secretario General del Instituto para la Reestructuraci髇 de la Miner韆 del Carb髇 y Desarrollo Alternativo de las Comarcas Mineras.
• e) El Director del Centro Espa駉l de Metrolog韆
• f) El Secretario General del Instituto de Turismo de Espa馻.

Cada uno de los miembros podr� delegar en un suplente.

2. Ser醤 funciones del Responsable de Seguridad las siguientes:

• a) Mantener la seguridad de la informaci髇 manejada y de los servicios electr髇icos prestados por los sistemas de informaci髇.
• b) Realizar o promover auditor韆s peri骴icas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci髇.
• c) Realizar el seguimiento y control del estado de seguridad del sistema de informaci髇.
• d) Verificar que las medidas de seguridad son adecuadas para la protecci髇 de la informaci髇 y los servicios.
• e) Apoyar y supervisar la investigaci髇 de los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇.
• f) Elaborar informes peri骴icos de seguridad para el Comit� que incluyan los incidentes m醩 relevantes de cada per韔do.

3. Cuando la complejidad, distribuci髇, separaci髇 f韘ica de sus elementos o n鷐ero de usuarios de los sistemas de informaci髇 lo justifiquen, el Responsable de Seguridad podr� designar los responsables de seguridad delegados que considere necesarios, que tendr醤 dependencia funcional directa de aqu閘 y ser醤 responsables en su 醡bito de todas aquellas acciones que les delegue el mismo.

Art韈ulo 7 Equipo de seguridad

1. Como grupo de apoyo del Responsable de Seguridad para el cumplimiento de sus funciones, 閟te contar� con un equipo de seguridad que aglutinar� las tareas de prevenci髇 de incidentes de seguridad, detecci髇 de anomal韆s, mecanismos de respuesta eficaz ante los mismos y actividades de recuperaci髇 mediante el desarrollo de planes de continuidad de los sistemas de informaci髇 para garantizar la disponibilidad de los servicios cr韙icos.

2. A estos efectos, el equipo de seguridad realizar� las auditor韆s peri骴icas de seguridad (prevenci髇), el seguimiento y control del estado de seguridad del sistema (detecci髇), la respuesta eficaz a los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇 (respuesta) y el desarrollo de los planes de continuidad de los sistemas de informaci髇 (recuperaci髇).

3. La composici髇 del equipo de seguridad se determinar� por el Responsable de Seguridad, que tambi閚 podr� designar equipos de seguridad delegados para el apoyo en estas tareas de los responsables de seguridad delegados.

Art韈ulo 8 El Responsable de la Informaci髇

1. El Responsable de la Informaci髇 es la persona que determina los niveles de seguridad de la informaci髇 dentro del marco establecido en el anexo I del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica, previa propuesta del responsable de seguridad.

2. Esta responsabilidad recaer� en el titular del 髍gano o unidad administrativa que gestione cada procedimiento administrativo, pudiendo una misma persona acumular las responsabilidades de la informaci髇 de todos los procedimientos que gestione.

Art韈ulo 9 El Responsable del Servicio

1. El Responsable del Servicio es la persona que determina los niveles de seguridad de los servicios dentro del marco establecido en el anexo I del Real Decreto 3/2010, de 8 de enero, previa propuesta del Responsable de Seguridad.

2. Esta responsabilidad recaer� en el titular del 髍gano responsable del desarrollo, mantenimiento y explotaci髇 del sistema de informaci髇 que soporte los servicios correspondientes.

3. Las funciones del Responsable del Servicio ser醤 las siguientes:

• a) Desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida, as� como aprobar los cambios que afecten a la seguridad del modo de operaci髇 del sistema.
• b) Aprobar toda modificaci髇 sustancial de la configuraci髇 de cualquier elemento del sistema.
• c) Realizar el preceptivo proceso de an醠isis y gesti髇 de riesgos del sistema.
• d) Determinar la categor韆 del sistema seg鷑 el procedimiento descrito en el anexo I del Real Decreto 3/2010, de 8 de enero y las medidas de seguridad que deben aplicarse de acuerdo con lo previsto en el anexo II del mismo real decreto.
• e) Establecer planes de contingencia y emergencia.
• f) Suspender, previo acuerdo de los Responsables de Seguridad y de Informaci髇, el manejo de una determinada informaci髇 o la prestaci髇 de un servicio electr髇ico si es informado de deficiencias graves de seguridad.

Art韈ulo 10 Resoluci髇 de conflictos

En caso de conflicto entre los diferentes responsables, 閟te ser� resuelto por el superior jer醨quico de los mismos. En defecto de lo anterior, prevalecer� la decisi髇 del Responsable de Seguridad.

Art韈ulo 11 Gesti髇 de riesgos

1. La gesti髇 de riesgos debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad basada en los riesgos ( art韈ulo 6 Real Decreto 3/2010, de 8 de enero) y reevaluaci髇 peri骴ica ( art韈ulo 9 Real Decreto 3/2010, de 8 de enero), siendo el Responsable del Servicio el encargado de que se realice el preceptivo an醠isis de riesgos y se proponga el tratamiento adecuado, calculando los riesgos residuales.

2. El Responsable de Seguridad es el encargado de que el an醠isis se realice en tiempo y forma, as� como de identificar carencias y debilidades y ponerlas en conocimiento de los Responsables de la Informaci髇 y del Servicio.

3. Los Responsables de la Informaci髇 y del Servicio son los propietarios de los riesgos sobre la informaci髇 y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

4. El proceso de gesti髇 de riesgos, que comprende las fases de categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, que deber醤 ser proporcionadas a los riesgos y estar justificadas, deber� revisarse y aprobarse cada a駉 por el titular del 髍gano o unidad administrativa o, en su caso, organismo aut髇omo, a trav閟 de un Plan de Adecuaci髇 al Esquema Nacional de Seguridad.

5. Las indicadas fases del proceso de gesti髇 de riesgos se realizar醤 seg鷑 lo dispuesto en los anexos I y II del Real Decreto 3/2010, de 8 de enero y siguiendo las normas, instrucciones, gu韆s CCN-STIC y recomendaciones para la aplicaci髇 del mismo elaboradas por el Centro Criptol骻ico Nacional.

6. En particular, para realizar el an醠isis de riesgos se podr醤 utilizar las herramientas PILAR o 礟ILAR que facilitan el seguimiento de la aplicaci髇 de las medidas de seguridad seleccionadas y proporcionan un valor de riesgo residual estabilizado y comparable entre diferentes sistemas de informaci髇.

Art韈ulo 12 Desarrollo normativo

1. El cuerpo normativo sobre seguridad de la informaci髇 se desarrollar� en cuatro niveles por 醡bito de aplicaci髇, nivel de detalle t閏nico y obligatoriedad de cumplimiento, de manera que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior. Dichos niveles de desarrollo normativo son los siguientes:

• 1. Primer nivel normativo. PSI.– Est� constituido por la presente orden y es de obligado cumplimiento.
• 2. Segundo nivel normativo. Normativa y recomendaciones de seguridad.– Est� constituido por la normativa y recomendaciones de seguridad que se definan en cada 醡bito organizativo de aplicaci髇 espec韋ico (髍ganos superiores y directivos, organismos p鷅licos dependientes, etc.).

  La normativa, que comprende los procedimientos STIC, las normas STIC y las instrucciones t閏nicas STIC, es de obligado cumplimiento y se formalizar� mediante instrucciones o resoluciones de los titulares de los 髍ganos correspondientes, previa aprobaci髇 del Comit�, mientras que las recomendaciones consistir醤 en buenas pr醕ticas y consejos no vinculantes para mejorar las condiciones de seguridad.

• 3. Tercer nivel normativo. Procedimientos t閏nicos (Gu韆s STIC).– Est� constituido por el conjunto de procedimientos t閏nicos orientados a resolver las tareas, consideradas cr韙icas por el perjuicio que causar韆 una actuaci髇 inadecuada, de seguridad, desarrollo, mantenimiento y explotaci髇 de los sistemas de informaci髇. Son recomendaciones o informaciones relativas a temas concretos de seguridad basadas en Instrucciones previas, que establecen las configuraciones m韓imas de seguridad de los diferentes elementos de un sistema de informaci髇, recomendaciones de uso o de otro tipo.

  La responsabilidad de aprobaci髇 de estos procedimientos t閏nicos depender� de su 醡bito de aplicaci髇, que podr� ser en un 醡bito espec韋ico o en un sistema de informaci髇 determinado. Se consideran incluidas en este nivel normativo las gu韆s CCN-STIC de las series 400-500- 600.

• 4. Cuarto nivel normativo. Informes, registros y evidencias electr髇icas.– Est� constituido por los informes t閏nicos, que son documentos de car醕ter t閏nico que recogen el resultado y las conclusiones de un estudio o de una evaluaci髇; registros de actividad o alertas de seguridad, que son documentos de car醕ter t閏nico que recogen amenazas y vulnerabilidades a sistemas de informaci髇 y son responsabilidad del equipo de seguridad; y evidencias electr髇icas, que se generan durante todas las fases del ciclo de vida de los sistemas de informaci髇 y en sus distintos procesos, pudiendo abarcar uno o m醩 sistemas en funci髇 del aspecto tratado.

2. El Comit� establecer� los mecanismos necesarios para compartir la documentaci髇 derivada del desarrollo normativo con el prop髎ito de normalizarlo, en la medida de lo posible, en todo el 醡bito de aplicaci髇 de la PSI.

Art韈ulo 13 Protecci髇 de datos de car醕ter personal

1. Respecto a la protecci髇 de datos de car醕ter personal, el Responsable de la Informaci髇 asumir� las funciones de responsable del fichero y el Responsable del Servicio las del responsable del tratamiento, siendo asumidas por el Responsable de Seguridad las funciones enumeradas en el art韈ulo 6.

2. En caso de conflicto entre los diferentes responsables, prevalecer醤 las mayores exigencias derivadas de la protecci髇 de datos de car醕ter personal.

Art韈ulo 14 Formaci髇 y concienciaci髇

1. Con la colaboraci髇, en su caso, del Centro Criptol骻ico Nacional, se desarrollar醤 actividades formativas espec韋icas orientadas a la concienciaci髇 y formaci髇 de los empleados p鷅licos del Departamento, as� como a la difusi髇 entre los mismos de la PSI y de su desarrollo normativo.

2. A estos efectos, deber醤 incluirse actividades formativas en esta materia dentro de los Planes de Formaci髇 del Ministerio de Industria, Turismo y Comercio.

Art韈ulo 15 Actualizaci髇 permanente y revisiones peri骴icas de la PSI

1. La presente orden deber� mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de Administraci髇 Electr髇ica, a la evoluci髇 tecnol骻ica y al desarrollo de la sociedad de la informaci髇, as� como a los est醤dares internacionales de seguridad.

2. Las propuestas de las sucesivas revisiones de la PSI se elaborar醤 por el Comit� y si su contenido es t閏nico podr醤 ser aprobadas por la Subsecretaria de Industria, Turismo y Comercio, produciendo efectos a partir de su publicaci髇 en la sede electr髇ica del Departamento.

Disposici髇 adicional 鷑ica No incremento del gasto p鷅lico

La aplicaci髇 de esta orden no conllevar� incremento de gasto p鷅lico, atendi閚dose el funcionamiento del Comit� con los recursos humanos y materiales de que dispone el Ministerio de Industria, Turismo y Comercio.

Disposici髇 final primera Deber de colaboraci髇 de 髍ganos y unidades del Departamento

Todos los 髍ganos y unidades del Departamento ministerial y de sus organismos aut髇omos prestar醤 su colaboraci髇 en las actuaciones de implementaci髇 de la PSI aprobada por esta orden.

Disposici髇 final segunda Publicidad de la PSI

La presente orden se publicar�, adem醩 de en el 獴olet韓 Oficial del Estado�, en la sede electr髇ica del Ministerio de Industria, Turismo y Comercio,

Disposici髇 final tercera Aplicabilidad

La PSI que se aprueba en esta orden ser� aplicable a partir del d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.