Atenci髇 norma derogada, ver regulaci髇 posterior

Resoluci髇 de 21 de diciembre de 2015, de la Secretar韆 de Estado de Presupuestos y Gastos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado

• 

  Los recursos civiles y penales tras la reforma de eficiencia procesal

  Libros
  Desde 42,48 €
  
  (IVA Inc.)
  Más info.
• 

  La tributación en el Impuesto sobre Sociedades

  Libros
  Desde 126,46 €
  
  (IVA Inc.)
  Más info.
• 

  TODO Renta (Suscripción)

  Obras Actualizables
  Desde 152,15 €
  
  (IVA Inc.)
  Más info.
• 

  TODO Fiscal (Suscripción)

  Obras Actualizables
  Desde 240,08 €
  
  (IVA Inc.)
  Más info.

Sumario

LE0000843135_20240421 Res. 21 diciembre 2015, derogada por el apartado decimonoveno de la Res. de 27 de marzo de 2024, de la Intervenci髇 General de la Administraci髇 del Estado, por la que se regula la pol韙ica de seguridad de la informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos, de la Secretar韆 General de Fondos Europeos y de la Intervenci髇 General de la Administraci髇 del Estado (獴.O.E.� 20 abril).

El marco normativo de la Administraci髇 electr髇ica que surge a partir de la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los servicios p鷅licos, considera la seguridad como un elemento fundamental para la confianza en las relaciones entre las administraciones p鷅licas y entre 閟tas y los ciudadanos, siendo uno de sus pilares el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (en adelante ENS) en el 醡bito de la Administraci髇 Electr髇ica.

Las tendencias tecnol骻icas actuales hacia el acceso en movilidad, la virtualizaci髇 y el paradigma de 玭ube�, y la necesidad de tratamiento de ingentes cantidades de informaci髇, incluso procedentes de las propias redes sociales, han llevado, no s髄o a las organizaciones sino tambi閚 a los Gobiernos, a implicarse en la pol韙ica de seguridad a los m醩 altos niveles de decisi髇.

La evoluci髇 y complejidad de las amenazas y ataques a trav閟 de la red que afectan a ciudadanos, empresas y administraciones p鷅licas ha propiciado la definici髇 de una Estrategia de Seguridad Nacional (en adelante ESN), una de cuyas l韓eas de actuaci髇 es la Ciberseguridad que se ha desarrollado mediante la definici髇 de la Estrategia de Ciberseguridad Nacional (en adelante, ECN), que tiene por objeto garantizar un uso seguro de las redes y los sistemas de informaci髇 a trav閟 del fortalecimiento de las capacidades de prevenci髇, direcci髇 y respuesta a los ciberataques.

La Secretar韆 de Estado de Presupuestos y Gastos y la Intervenci髇 General de la Administraci髇 del Estado, 醡bito funcional conjunto, al que, en adelante, esta resoluci髇 se refiere como Administraci髇 presupuestaria, consideran la informaci髇 un activo esencial para el cumplimiento adecuado de sus funciones. Asumen, por tanto, la seguridad de la informaci髇 como una responsabilidad asociada a su protecci髇 frente a las amenazas que puedan afectar a su autenticidad, integridad, disponibilidad, confidencialidad, trazabilidad y conservaci髇.

Esta responsabilidad por la seguridad de la informaci髇 tuvo su primer reflejo normativo a trav閟 de la Resoluci髇 de la Secretar韆 de Estado de Presupuestos y Gastos, de 8 de julio de 2002, y, posteriormente, mediante la Resoluci髇 de la Secretar韆 de Estado de Hacienda y Presupuestos, de 24 de mayo de 2005, de acceso a las bases de datos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, que sentaron las bases organizativas y t閏nicas para la instrumentaci髇 de la seguridad inform醫ica en la vertiente del control de accesos a las bases de datos, en el 醡bito de la Administraci髇 presupuestaria.

Desde un enfoque de la seguridad centrado en el control de accesos a los sistemas se evolucion� hacia una pol韙ica global de seguridad a trav閟 de la Resoluci髇 de 27 de febrero de 2009, de la Secretar韆 de Estado de Hacienda y Presupuestos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

Corresponde ahora adaptar esta pol韙ica de seguridad del 醡bito de la Administraci髇 presupuestaria al ENS, a la l韓ea 3 de la ESN y a la ECN, estableciendo una estrategia y una estructura organizativa para su desarrollo que permitan adaptarse a los cambios permanentes en las condiciones del entorno para garantizar la prestaci髇 continua de los servicios.

Esta pol韙ica de seguridad del 醡bito de la Administraci髇 presupuestaria debe estar asimismo inscrita en el marco establecido por la recientemente aprobada Orden HAP/1953/2014, de 15 de octubre, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Hacienda y Administraciones P鷅licas.

La seguridad es una funci髇 transversal en las administraciones p鷅licas, caracterizada por tratarse de un proceso integral constituido por todos los elementos humanos, t閏nicos, materiales y organizativos, relacionados con un sistema, como se deduce tanto del art韈ulo cinco del ENS como de la ECN en su conjunto. Es por ello, que la seguridad debe abarcar cada etapa del ciclo de vida del sistema y sus documentos (generaci髇, distribuci髇, almacenamiento, procesamiento, transporte, consulta y destrucci髇), as� como de los sistemas que lo soportan (an醠isis, dise駉, desarrollo, implementaci髇, operaci髇, mantenimiento y obsolescencia).

En este contexto, la presente Pol韙ica de Seguridad de la Informaci髇 constituye el marco normativo y organizativo orientado a facilitar la definici髇, gesti髇, administraci髇 e implementaci髇 de los mecanismos y procedimientos de seguridad en el 醡bito de la Administraci髇 presupuestaria, adaptados al ENS, ESN y ECN, dentro del marco de referencia establecido por la pol韙ica de seguridad del Ministerio de Hacienda y Administraciones P鷅licas.

Asimismo esta Pol韙ica de Seguridad de la Informaci髇 debe ajustarse a lo establecido en el Reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre.

El Real Decreto 256/2012, de 27 de enero, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Hacienda y Administraciones P鷅licas, establece en su art韈ulo 11, apartado 1.h), que la Intervenci髇 General de la Administraci髇 del Estado es el 髍gano encargado de la planificaci髇, dise駉 y ejecuci髇 de la pol韙ica inform醫ica de la Secretar韆 de Estado de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, el soporte inform醫ico de las actividades y el asesoramiento, coordinaci髇 e instrumentaci髇 de los proyectos inform醫icos de sus 髍ganos.

En su virtud, a propuesta de la Intervenci髇 General de la Administraci髇 del Estado, he tenido a bien disponer:

Primero. Objeto.

Constituye el objeto de la presente resoluci髇 la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante, PSI) en el 醡bito de la Administraci髇 presupuestaria.

El objeto es lograr la protecci髇, proporcional al riesgo, de la informaci髇 y documentos manejados en la Administraci髇 presupuestaria, y de los sistemas, dispositivos y elementos que la elaboran, presentan, almacenan, procesan, transportan o destruyen, mediante la preservaci髇 de las dimensiones de seguridad de la informaci髇 o de los servicios, es decir, su autenticidad, confidencialidad, integridad, disponibilidad, trazabilidad y conservaci髇.

Todo el patrimonio tecnol骻ico proporcionado por el Estado a la Administraci髇 presupuestaria para el desempe駉 de sus funciones estar� sujeto a la presente PSI.

Segundo. 羗bito de aplicaci髇.

La PSI ser� de aplicaci髇 al personal de los centros directivos de la Administraci髇 presupuestaria y de sus organizaciones delegadas y territoriales, a sus dependencias e instalaciones, a sus sistemas de informaci髇 y telecomunicaciones, y a las entidades que se relacionen con la Administraci髇 presupuestaria.

La PSI ser� observada asimismo por aquellas personas que, aun no perteneciendo a la Administraci髇 presupuestaria, disponga de acceso a sus sistemas de informaci髇.

Tercero. Definiciones.

Con car醕ter general, se asumen a efectos de esta resoluci髇 las definiciones recogidas en el anexo de la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los servicios p鷅licos; en el art韈ulo 3 de la Ley Org醤ica 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal; en el anexo IV del Real Decreto 3/2010, de 8 de enero, publicado el 29 de enero; y en el art韈ulo 4 de la Orden HAP/1953/2014, de 15 de octubre, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Hacienda y Administraciones P鷅licas (en adelante, PSI-MINHAP).

Adicionalmente se introducen las siguientes definiciones a efectos de esta resoluci髇:

Base de datos: conjunto de datos organizados sistem醫icamente con objeto de facilitar su tratamiento posterior. Seguridad de la informaci髇: conjunto de controles cuyos objetivos son:

• a) Definir las directrices a aplicar en la protecci髇 de los sistemas de la Administraci髇 presupuestaria.
• b) Dar cumplimiento a los requisitos exigidos por la normativa nacional sobre protecci髇 de datos y de impulso de la administraci髇 electr髇ica.

Control: Instrumento en forma de pol韙ica, praxis, procedimiento, estructura organizativa, funci髇 de software o cualquier otro elemento que permita alcanzar los objetivos de seguridad de la informaci髇 en la Administraci髇 Presupuestaria.

Sistema de informaci髇: Conjunto de datos, documentaci髇, procedimientos y tratamientos inform醫icos, as� como bases de datos, redes de comunicaciones y sistemas de interconexi髇, sistemas de control de accesos, personas, y ordenadores, perif閞icos y terminales instalados en los Servicios centrales y Organizaciones delegadas y territoriales de la Administraci髇 presupuestaria.

Servicios centrales de la Administraci髇 presupuestaria: los centros directivos que constituyen la misma.

Organizaciones delegadas y territoriales: las unidades que tengan ese car醕ter y que dependan de los centros directivos de la Administraci髇 presupuestaria.

Servicios de inform醫ica presupuestaria: 醨ea de la Intervenci髇 General de la Administraci髇 del Estado encargada de la definici髇, desarrollo y ejecuci髇 de la pol韙ica inform醫ica de la Administraci髇 presupuestaria.

Cuarto. Misi髇.

El Real Decreto 256/2012, de 27 de enero, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Hacienda y Administraciones P鷅licas establece el prop髎ito general de la Secretar韆 de Estado de Presupuestos y Gastos, y sus centros directivos, y de la Intervenci髇 General de la Administraci髇 del Estado.

La Secretar韆 de Estado de Presupuestos y Gastos es el 髍gano directivo al que le corresponde dirigir y coordinar las actuaciones relativas a la planificaci髇, programaci髇 y presupuestaci髇 del sector p鷅lico estatal y de sus costes de personal; el dise駉, planificaci髇 y gesti髇 de los fondos destinados a la pol韙ica econ髆ica regional y el seguimiento y gesti髇 de la participaci髇 espa駉la en el presupuesto de la Uni髇 Europea.

La Intervenci髇 General de la Administraci髇 del Estado, por otro lado, tiene a su cargo las funciones de control interno de la gesti髇 econ髆ico-presupuestaria, el seguimiento y control de subvenciones y ayudas p鷅licas, el ejercicio de las funciones de autoridad de auditor韆 en aquellos programas comunitarios en los que la IGAE tenga tal condici髇, la coordinaci髇 de las acciones encaminadas a proteger los intereses financieros de la Uni髇 Europea contra el fraude, la direcci髇 y la gesti髇 de la contabilidad p鷅lica y la formaci髇 de las cuentas econ髆icas del sector p鷅lico, la relaci髇 con las haciendas territoriales a los efectos de la informaci髇 contable que deben remitir para la formaci髇 de las cuentas econ髆icas del sector p鷅lico, la integraci髇, gesti髇 y publicaci髇 del Inventario de Entes del Sector P鷅lico Estatal, Auton髆ico y Local, el asesoramiento a los 髍ganos de gesti髇 derivado de sus funciones de control, la gesti髇 de la informaci髇 econ髆ico-financiera derivada del ejercicio de sus funciones contables y de control, y el auxilio y colaboraci髇 con la Administraci髇 de Justicia.

La Intervenci髇 General de la Administraci髇 del Estado, por otro lado, es el 髍gano encargado de la planificaci髇, dise駉 y ejecuci髇 de la pol韙ica inform醫ica de la Secretar韆 Estado de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, el soporte inform醫ico de las actividades y el asesoramiento, coordinaci髇 e instrumentaci髇 de los proyectos inform醫icos de sus 髍ganos y la seguridad de la informaci髇. Atribuyendo esta 鷏tima funci髇 a la Subdirecci髇 General de Explotaci髇 de los servicios de inform醫ica presupuestaria.

Quinto. Marco normativo.

El marco normativo en que se desarrollan las actividades de la Administraci髇 presupuestaria, y, en particular, la prestaci髇 de sus servicios electr髇icos a los ciudadanos, est� integrado por:

• a) La normativa sobre la estructura organizativa del 醡bito de esta resoluci髇.
• b) El marco normativo de la Administraci髇 electr髇ica, y en particular el Esquema Nacional de Seguridad, y de la protecci髇 de datos de car醕ter personal, con el desarrollo establecido en el art韈ulo 3 sobre marco legal y regulatorio de la Orden HAP/1953/2014, de 15 de octubre, por la que se aprueba la PSI-MINHAP.
• c) La normativa espec韋ica referida a la Estrategia de Seguridad Nacional y a la Estrategia de Ciberseguridad Nacional.
• d) La normativa departamental en materia de Administraci髇 electr髇ica y respecto a la pol韙ica de seguridad.
• e) La normativa del 醡bito de la Administraci髇 presupuestaria en materia de Administraci髇 electr髇ica y respecto a la pol韙ica de seguridad.

Se trata de un marco normativo complejo y en permanente evoluci髇 para adaptarse a un escenario en continuo proceso de cambio.

Sexto. Principios de la seguridad de la informaci髇.

La PSI de la Administraci髇 presupuestaria asume los principios b醩icos y particulares as� como las responsabilidades espec韋icas que se indican en el art韈ulo 5 de la Orden HAP/1953/2014, de 15 de octubre, por la que se aprueba la PSI-MINHAP.

S閜timo. Estructura organizativa para la administraci髇 de la seguridad de la informaci髇.

En concordancia con la PSI-MINHAP, el ENS, y las Gu韆s CCN–STIC elaboradas por el Centro Criptol骻ico Nacional que desarrollan el Esquema Nacional de Seguridad, se identifican tres grandes bloques de responsabilidad: la especificaci髇 de las necesidades o requisitos (de la cual se encargan los Responsables de la Informaci髇 y del Servicio, que a efectos de esta resoluci髇 se denominar醤 Responsables de Centro); la operaci髇 del sistema de informaci髇 (encomendada al Responsable del Sistema, que en esta resoluci髇 se asigna al Coordinador de los SIP) y la funci髇 supervisora (encargada al Responsable de Seguridad de la Informaci髇).

La gesti髇 de la seguridad en la Administraci髇 presupuestaria requiere, adem醩 de la implicaci髇 activa de todos los usuarios de los sistemas de informaci髇, la existencia de un marco organizativo orientado a dicha gesti髇 en el que desempe馻r醤 un papel primordial los siguientes agentes:

• a) Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.
• b) Coordinador de los Servicios de Inform醫ica Presupuestaria (SIP).
• c) Responsable de Seguridad de la Informaci髇 que asume las funciones de ese rol en los t閞minos establecidos por la Ley Org醤ica 15/1999, de 13 de diciembre, el ENS y la PSI-MINHAP.
• d) Responsables de Seguridad en los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 Responsables de Centro.
• e) Responsables de Seguridad de los Ficheros de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 Responsables de Fichero.
• f) Subdirecciones Generales de los SIP.

Para la gesti髇 adecuada de la seguridad de la informaci髇 en el 醡bito de la Administraci髇 presupuestaria, en la estructura organizativa tambi閚 se contemplan los agentes que se indican a continuaci髇:

• g) Administradores de Seguridad de los Accesos a las Redes Departamentales de cada uno de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 Administradores de Red.
• h) Administradores de Seguridad de los Accesos a los Sistemas de Informaci髇 y Bases de Datos de la red de la Administraci髇 presupuestaria que, a efectos de esta resoluci髇, se denominar醤 Administradores de Sistemas de Informaci髇.

En el contexto de esta resoluci髇, las figuras de Administrador de Red y de Sistemas de Informaci髇 tienen un car醕ter organizativo, de acuerdo con las funciones encomendadas en apartados und閏imo y duod閏imo, y no un significado t閏nico.

En el caso espec韋ico de determinada informaci髇, y para el acceso desde el 醡bito externo a la Administraci髇 presupuestaria, el responsable de la misma podr� requerir la identificaci髇 por parte del titular de cada 髍gano que desee acceder, de un 鷑ico responsable al que se le exigir醤 obligaciones de seguridad para el se馻lamiento y control de los usuarios de su 醡bito.

Octavo. Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.

El Comit� de Coordinaci髇 de la Seguridad de la Informaci髇 (en adelante, Comit�) es un 髍gano colegiado de car醕ter horizontal en materia de seguridad de la informaci髇 para el 醡bito de la Administraci髇 presupuestaria. Estar� formado por:

• a) El Interventor General de la Administraci髇 del Estado y los directores generales de los centros directivos de la Secretar韆 de Estado de Presupuestos y Gastos, que actuar醤 rotatoriamente, cada seis meses, como presidente del Comit�. El titular del centro directivo podr� delegar esta funci髇, para cada reuni髇 que le corresponda presidir, en el Director o Subdirector General que designe.
• b) El Coordinador de los SIP, que actuar� como vicepresidente del Comit�.
• c) El Subdirector General de Explotaci髇 de los SIP.
• d) El Responsable de Seguridad de la Informaci髇 que actuar� como secretario del Comit�.
• e) Los Responsables de Centro, previstos en el apartado d閏imo, designados por el titular de cada uno de los centros directivos de la Administraci髇 presupuestaria.
• f) Tres Interventores Delegados en representaci髇 del conjunto de las Intervenciones delegadas en Ministerios, Agencias y Organismos p鷅licos, Intervenciones regionales y territoriales, designados por el Interventor General de la Administraci髇 del Estado.

Adem醩, el Comit� podr� convocar a representantes de unidades organizativas externas que accedan a sistemas de informaci髇 de la Administraci髇 presupuestaria.

A este Comit�, que se reunir� al menos dos veces al a駉, le corresponde establecer las directrices, normas y actuaciones de orden organizativo que sean precisas en desarrollo de lo dispuesto en esta resoluci髇, ajustadas a las directrices y criterios generales en el 醡bito de la Administraci髇 del Estado, que emanen de la Comisi髇 de Estrategia TIC, o del Departamento, que emanen de la Comisi髇 Ministerial de Administraci髇 digital, dirigidas a garantizar la disponibilidad, integridad, confidencialidad, autenticidad, trazabilidad y conservaci髇 de la informaci髇 en la red de la Administraci髇 presupuestaria, todo ello sin perjuicio del ejercicio de las competencias decisorias por los 髍ganos superiores o directivos del Departamento que las tenga atribuidas.

En particular, el procedimiento de control de accesos a la red y a los sistemas de informaci髇 de la Administraci髇 presupuestaria, ser� aprobado por el Comit� a propuesta de los SIP.

En los apartados noveno, d閏imo, und閏imo y duod閏imo de esta resoluci髇 se recogen las funciones de seguridad espec韋icas al 醡bito de la Administraci髇 presupuestaria asignadas al Responsable de Seguridad de la Informaci髇, al Responsable de Centro y a los Administradores de Red y de Sistemas de Informaci髇.

Las funciones y obligaciones reguladas en el Real decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica, por la Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de Car醕ter Personal (LOPD) y por el Real decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, debido a su extensi髇 se recoger醤 detalladamente en el procedimiento de desarrollo de la presente resoluci髇 獸unciones y obligaciones del personal de la Administraci髇 Presupuestaria en relaci髇 con la seguridad de los sistemas de informaci髇�.

En el anexo I de esta resoluci髇 se indica c髆o se han distribuido las obligaciones y funciones de seguridad teniendo en cuenta el marco organizativo de la Administraci髇 presupuestaria, en general, y de seguridad, en particular.

Noveno. Responsable de Seguridad de la Informaci髇.

El Responsable de Seguridad de la Informaci髇 aplicar� las medidas de seguridad a los sistemas de informaci髇 de la Administraci髇 presupuestaria de acuerdo con las directrices establecidas por el Comit�. Ser� designado por el Comit� a propuesta del Coordinador de los SIP.

El dise駉, construcci髇, implantaci髇 y mantenimiento de las pol韙icas, directrices, normativa, procedimientos, gu韆s, instrucciones y herramientas que, en aplicaci髇 de lo dispuesto en esta resoluci髇 y en sus normas de desarrollo, se implementen para la administraci髇 de la seguridad de los sistemas de informaci髇 corresponder� a los SIP bajo la iniciativa y coordinaci髇 del Responsable de Seguridad de la Informaci髇, que las pondr� en conocimiento de los Responsables de Centro de los centros directivos u organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, de los Administradores de Red y de Sistemas de Informaci髇 y, en general, las difundir� a todo el 醡bito de aplicaci髇.

D閏imo. Responsable de Centro.

A efectos de esta resoluci髇 se considera Responsable de Centro a la persona que designe el titular del centro directivo o al titular de la organizaci髇 delegada o territorial de la Administraci髇 presupuestaria.

El Responsable de Centro asumir� en materia de seguridad de la informaci髇 las funciones y obligaciones que el ENS asigna a los Responsables de la Informaci髇 y del Servicio y, en el 醡bito de la Administraci髇 presupuestaria, las funciones y obligaciones que se indican a continuaci髇:

• a) Adoptar� las medidas necesarias para el cumplimiento, en su 醡bito de competencia, de las normas, instrucciones y procedimientos que, en aplicaci髇 de lo establecido en esta resoluci髇, se desarrollen para la administraci髇 de la seguridad de los sistemas de informaci髇 de la Administraci髇 presupuestaria.
• b) Adoptar� las medidas necesarias para que el personal de su 醡bito de competencia conozca las normas y procedimientos de seguridad que afecten al desarrollo de sus funciones.
• c) Designar� a un Administrador 鷑ico de red y a los suplentes que considere precisos. No obstante, en el caso de los centros directivos, la designaci髇 del Administrador de Red podr� efectuarse, si la estructura as� lo aconseja, a nivel de Subdirecci髇 General o de ubicaciones administrativas diferentes.
• d) Designar� a los Administradores de Sistemas de Informaci髇 de su 醡bito de competencia.
• e) Autorizar� el acceso de usuarios a la red departamental y a los sistemas de informaci髇 de su centro. Asimismo, comunicar� la anulaci髇 de los accesos permitidos a la red departamental y a las bases de datos de su propio centro.

  Quien ostente la funci髇 de autorizaci髇 de accesos a la informaci髇 actuar� as� mismo como Responsable de Fichero en los t閞minos del Real Decreto 1720/2007, de 21 de diciembre, o designar� a dicho Responsable.

• f) Solicitar� el acceso de su personal a los sistemas de informaci髇 de la Administraci髇 presupuestaria, distintos de aquellos de su centro, que se requiera para el ejercicio de las funciones encomendadas.
• g) Solicitar� el acceso de su personal a sistemas de informaci髇 externos al 醡bito de la Administraci髇 presupuestaria, cuando se requiera para el ejercicio de las funciones encomendadas.

En los centros directivos, las funciones d), e), f) y g) podr醤 ser desempe馻das por los subdirectores generales, asimilados o adjuntos, respecto a las redes, bases de datos y 醡bito de personal de su respectiva competencia. Para tales funciones, y a los efectos de esta Resoluci髇, dichos Subdirectores ser醤 considerados como Responsables de Centro.

El acceso a la red de la Administraci髇 presupuestaria podr� ser autorizado por los Responsables de Recursos Humanos de los centros directivos en la toma de posesi髇 de nuevo personal. Se proceder� de la misma forma cuando una persona deje de prestar servicio en un centro directivo o en alguna de sus oficinas delegadas o territoriales.

El Responsable de Centro actuar� como Responsable de Fichero en los t閞minos del real decreto 1720/2007, de 21 de diciembre, o designar� a dicho Responsable, el cu醠 se encargar� de la finalidad, contenido y uso del tratamiento.

Und閏imo. Administrador de Red.

Cada Administrador de Red ser� el responsable de la aplicaci髇, en su 醡bito de actuaci髇, de la presente resoluci髇 y de sus normas de desarrollo, bajo la dependencia del Responsable de Centro que lo designara. Para esta misi髇 el Administrador de Red actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los SIP.

Las funciones y obligaciones del Administrador de Red en materia de seguridad ser醤:

• a) Instrumentar las solicitudes de acceso a la red de los nuevos usuarios autorizados.
• b) Realizar el mantenimiento y actualizaci髇 del inventario de usuarios con acceso permitido a la red departamental.
• c) Obtener peri骴icamente y, al menos una vez al a駉, a trav閟 de los medios puestos a su disposici髇 por los SIP, estad韘tica de accesos realizados por los usuarios de la red departamental a los sistemas de informaci髇.
• d) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 y denegaci髇 del acceso de cada uno de los usuarios a la red, como m韓imo, el puesto de trabajo, el responsable de la autorizaci髇 y anulaci髇 de los accesos, la fecha de autorizaci髇 o denegaci髇, al menos durante 2 a駉s.
• e) Informar de los incidentes relativos a la seguridad de la informaci髇, seg鷑 los procedimientos establecidos para tal fin.

Duod閏imo. Administrador del Sistema de Informaci髇.

Cada base de datos, correspondiente a un sistema de informaci髇 o aplicaci髇 inform醫ica, tendr� asignado un Administrador de Sistemas de Informaci髇 cuya designaci髇 corresponder� a:

• a) En caso de sistemas de informaci髇 centrales, al Responsable de Centro del centro directivo al que competa la responsabilidad de realizar la funci髇 asociada al sistema de informaci髇 o aplicaci髇 inform醫ica. No obstante, si el Responsable de Centro ha nombrado Responsable de la Informaci髇, ser� el Responsable de la Informaci髇 el que nombre al Administrador de la misma.

  Cuando el contenido de la base de datos central sea el resultado de una gesti髇 descentralizada, el Responsable del Servicio competente, o el Responsable de la Informaci髇 nombrado por 閘, podr� designar Responsable Delegado de Autorizaci髇 de Accesos, por cada unidad u oficina de gesti髇 que participe. Estos Responsables Delegados designar醤 al correspondiente Administrador de Sistemas de Informaci髇.

  Cuando se trate de productos o aplicaciones inform醫icas de utilizaci髇 general en todo el entorno de la Administraci髇 presupuestaria, cuya responsabilidad no est� asignada a un centro directivo concreto, el Administrador de Sistemas de Informaci髇 ser� designado por el Coordinador de los SIP.

• b) En el caso de sistemas de informaci髇 departamentales, al Responsable del centro directivo u organizaci髇 delegada o territorial en la que residan.
• c) En el caso de sistemas de informaci髇 externos, al Coordinador de los SIP.

El Administrador de Sistemas de Informaci髇 ser� el responsable de la aplicaci髇 de la presente resoluci髇 y de las instrucciones y procedimientos que, en esta materia, se desarrollen, en lo que afecta al sistema de informaci髇, bajo la dependencia del Responsable de Centro o de Informaci髇 que lo designara. Para esta misi髇 el Administrador de Sistemas de Informaci髇 actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los SIP. Ser醤 funciones y obligaciones del Administrador de Sistemas de Informaci髇 las siguientes:

• a) Instrumentar y gestionar las altas, bajas y el mantenimiento de autorizaciones de acceso a los usuarios de los sistemas de informaci髇 y, en su caso, de las funciones permitidas (por ejemplo, asignaci髇 de perfiles de acceso).
• b) Instrumentar y gestionar el acceso de los usuarios externos a los sistemas de informaci髇 de la red de Inform醫ica presupuestaria, previa comunicaci髇 a la Unidad de los SIP designada a tal efecto, cuando proceda.
• c) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 o denegaci髇 del acceso de los usuarios a los sistemas de informaci髇, al menos durante 2 a駉s.
• d) Obtener peri骴icamente, mediante los medios puestos a su disposici髇 por los SIP, estad韘tica de los accesos realizados por los usuarios a los sistemas de informaci髇 centrales y departamentales administrados por 閘.

  Adem醩, cuando el sistema de informaci髇 trate datos de car醕ter personal, a los que resulten de aplicaci髇 las medidas de seguridad de nivel alto del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal, el Administrador de Sistemas de Informaci髇, central o departamental, obtendr� un informe mensual de los accesos y operaciones realizadas por los usuarios del sistema, identificando, como m韓imo, el usuario, fecha y hora en que se realiz� el acceso, el sistema accedido, el tipo de acceso y si ha sido autorizado o denegado.

• e) Informar de los incidentes relativos a la seguridad de la informaci髇 seg鷑 los procedimientos establecidos para tal fin.

Decimotercero. Resoluci髇 de conflictos.

En caso de conflicto entre los diferentes Responsables, 閟te ser� resuelto por el superior jer醨quico de los mismos y, en su defecto, prevalecer� la decisi髇 adoptada colegiadamente por el Comit�.

Decimocuarto. Gesti髇 de riesgos.

El an醠isis y gesti髇 de riesgos ser� parte esencial del proceso de seguridad, siendo la base para determinar las medidas de seguridad que se deben adoptar, adem醩 de los requerimientos m韓imos establecidos por el ENS, la ESN y la ECN.

La gesti髇 de riesgos permitir� el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducci髇 de estos niveles se realizar� mediante el despliegue de medidas de seguridad, que representen un equilibrio, de acuerdo con la naturaleza de la informaci髇 y los tratamientos, entre los riesgos a los que est閚 expuestos y el coste de las medidas de seguridad.

La gesti髇 de riesgos debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad basada en los riesgos, y se someter� a una reevaluaci髇 peri骴ica.

Para la armonizaci髇 de los an醠isis de riesgos se establecer� una valoraci髇 de referencia para los diferentes tipos de informaci髇 manejados y los diferentes servicios prestados. El Comit� dinamizar� la disponibilidad de recursos para atender a las necesidades de seguridad de los diferentes sistemas.

El Responsable de Seguridad de la Informaci髇 ser� el encargado de que el an醠isis se realice en tiempo y forma, as� como de identificar carencias y debilidades y de ponerlas en conocimiento del Comit�. El Comit� adoptar� las decisiones adecuadas de forma que los Responsables de Centro, independientemente del centro directivo al que pertenezcan, puedan aplicarlas.

Los Responsables de Centro son los propietarios de los riesgos sobre la informaci髇 y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

El proceso de gesti髇 de riesgos comprende las fases de categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, las cu醠es deber醤 ser proporcionadas a los riesgos y estar justificadas. Con car醕ter bienal el Comit� de coordinaci髇 de la seguridad de la informaci髇 revisar� y aprobar�, en su caso, el an醠isis de riesgos presentado por el Responsable de Seguridad de la Informaci髇.

Decimoquinto. Responsabilidades del personal. Formaci髇 y concienciaci髇.

Los datos e informaciones de la Administraci髇 presupuestaria, cualquiera que sea su soporte, ser醤 de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jur韉ico.

Las autoridades, empleados p鷅licos y dem醩 personal al que resulte de aplicaci髇 esta resoluci髇 y que por raz髇 de su cargo o funci髇 tuviesen conocimiento de los datos o informaciones a que se refiere el p醨rafo anterior, est醤 obligados a guardar sigilo riguroso y observar estricto secreto respecto de los mismos.

El personal autorizado s髄o deber� acceder a aquellos datos e informaci髇 que deba conocer por razones del servicio, debiendo abstenerse de hacerlo por cualquier otra motivaci髇.

Cada persona, debidamente autorizada, adquiere el compromiso de utilizaci髇 de los datos e informaci髇 con los fines exclusivos de gesti髇 para los que ha sido autorizado. Asimismo, ser� responsable de todos los accesos que se realicen mediante el uso de sus credenciales de identificaci髇 l骻ica de usuario. A tal fin deber� mantener la custodia y secreto de las credenciales, as� como vigilar posibles usos ajenos, denunciando cualquier trasgresi髇.

En ning鷑 caso deber� facilitar las credenciales a otra persona, ni deber� acceder a la informaci髇 utilizando credenciales ajenas, incluso disponiendo del consentimiento del usuario titular.

El acceso a los datos e informaci髇 de la Administraci髇 presupuestaria por una persona no autorizada, la realizaci髇 de transacciones digitales que no est閚 relacionadas con un objetivo concreto de gesti髇, la asignaci髇 de perfiles de utilizaci髇 a otras personas para el uso de transacciones no necesarias para la gesti髇 que tengan encomendada, o la revelaci髇 o falta de diligencia en la custodia y secreto de sus credenciales dar醤 lugar a la exigencia de las responsabilidades administrativas o de otra naturaleza en que se hubiese podido incurrir.

En el supuesto en que las actuaciones se馻ladas en el p醨rafo anterior hubiesen sido cometidas por un empleado p鷅lico, las mismas podr醤 dar lugar a la incoaci髇 del oportuno expediente disciplinario a tenor de lo previsto en los art韈ulos 6, 7 y 8 del Reglamento de R間imen Disciplinario de los Funcionarios de la Administraci髇 del Estado, aprobado por el Real Decreto 33/1986, de 10 de enero.

De igual modo, las conductas se馻ladas en los p醨rafos anteriores dar醤 lugar a la supresi髇 de las autorizaciones previamente concedidas por quien las hubiera otorgado en su momento.

Es por ello que todos los miembros de la Administraci髇 presupuestaria tienen la obligaci髇 de conocer y cumplir esta PSI y la normativa de seguridad que la desarrolle y, en consecuencia, todo el personal relacionado con la informaci髇 y los sistemas deber� ser formado e informado de sus deberes y obligaciones en materia de seguridad.

Las personas con responsabilidad en el uso, operaci髇 o administraci髇 de sistemas TIC recibir醤 formaci髇 para el manejo seguro de los sistemas en la medida en que la necesiten para realizar su trabajo.

Se prestar� la m醲ima atenci髇 a la concienciaci髇 de las personas que intervienen en la seguridad y a sus responsables jer醨quicos, para que, ni la ignorancia, ni la falta de organizaci髇 y coordinaci髇, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad. Es por ello que la presente resoluci髇 y sus normas de desarrollo estar醤 accesibles para todo el personal que acceda a sistemas y recursos de la Administraci髇 presupuestaria.

La formaci髇 del personal de los SIP ser� responsabilidad del Coordinador y de los Subdirectores Generales de los SIP. La formaci髇 del personal de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria corresponder� a los Administradores de Centro. La concienciaci髇 en materia de seguridad en el 醡bito de la Administraci髇 presupuestaria corresponder� al Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.

Decimosexto. Desarrollo de la pol韙ica de seguridad de la informaci髇.

La PSI regulada en esta resoluci髇 ser� desarrollada y complementada, constituyendo lo que se denominar� en adelante normativa de seguridad de la Administraci髇 presupuestaria.

La normativa de seguridad de la informaci髇 se desarrollar� en cuatro niveles, estableciendo un orden jer醨quico y de dependencia entre ellos, y deber� estar a disposici髇 de todos los miembros de la organizaci髇 que necesiten conocerla. Dichos niveles de desarrollo normativo son los siguientes:

• 1. Primer nivel normativo constituido por la PSI del departamento ministerial al que pertenece la Administraci髇 presupuestaria.
• 2. Segundo nivel normativo constituido por la PSI de la Administraci髇 presupuestaria, adem醩 de la normativa y recomendaciones de seguridad que se definan en este 醡bito organizativo.
• 3. Tercer nivel normativo formado por los procedimientos, gu韆s e instrucciones t閏nicas orientadas a la aplicaci髇 e instrumentaci髇 de las medidas de seguridad en el desarrollo, mantenimiento y explotaci髇 de los sistemas de informaci髇.

  La aprobaci髇 de estos procedimientos t閏nicos corresponder� a los SIP.

• 4. Cuarto nivel normativo constituido por los informes que recojan las conclusiones, observaciones y recomendaciones de una auditor韆, estudio o evaluaci髇 de seguridad; registros de actividad o alertas de seguridad que informen de amenazas y vulnerabilidades que afecten a los sistemas de informaci髇, y las evidencias electr髇icas que se generan durante todas las fases del ciclo de vida de los sistemas de informaci髇 y en sus distintos procesos, pudiendo abarcar uno o m醩 sistemas en funci髇 del aspecto tratado.

Decimos閜timo. Terceras partes.

En los casos en que la Administraci髇 presupuestaria preste servicios o gestione informaci髇 de otros organismos, se les har� part韈ipe de la PSI, estableciendo canales para el reporte y coordinaci髇 de los respectivos Comit閟 de seguridad y, en su caso, procedimientos de actuaci髇 para la reacci髇 ante los ciberincidentes de seguridad.

En los casos en que la Administraci髇 presupuestaria utilice servicios de terceros o les ceda informaci髇, se les har� part韈ipes de esta PSI y de la normativa de seguridad que afecte a dichos servicios o informaci髇. Los terceros quedar醤 sujetos a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para cumplirla. Adem醩 se establecer醤 procedimientos espec韋icos de reporte y resoluci髇 de incidencias y se garantizar� que el personal de la tercera parte est� adecuadamente concienciado en materia de seguridad, al menos al mismo nivel que el establecido en esta pol韙ica.

Cuando alg鷑 aspecto de la pol韙ica no pueda ser abordado por una tercera parte seg鷑 se establece en los p醨rafos anteriores, se requerir� un informe del Responsable de Seguridad de la Informaci髇 que precise los riesgos en que se incurre y la forma de tratarlos. Se requerir� la aprobaci髇 de este informe por los Responsables de la Informaci髇 y los Servicios afectados antes de seguir adelante.

Decimoctavo. Compromiso de la Direcci髇.

Los 髍ganos directivos de la Administraci髇 presupuestaria se comprometen a proteger la disponibilidad, integridad, confidencialidad, autenticidad, trazabilidad y conservaci髇 de la informaci髇 utilizada en la organizaci髇, as� como sus canales de transmisi髇 y/o comunicaci髇, implantando para ello las medidas organizativas y t閏nicas necesarias y estableciendo responsabilidades sobre el acceso y utilizaci髇 de la informaci髇.

Disposici髇 derogatoria

Sin perjuicio de lo dispuesto en el apartado anterior, queda derogada la Resoluci髇 de 27 de febrero de 2009, de la Secretar韆 de Estado de Hacienda y Presupuestos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

LE0000355019_20090320