Orden TAP/3148/2011, de 7 de octubre, por la que se aprueba la política de seguridad de la información en el ámbito de la administración electrónica del Ministerio de Política Territorial y Administración Pública.
| Marginal | BOE-A-2011-18187 |
| Sección | III - Otras Disposiciones |
| Emisor | Ministerio de Política Territorial y Administración Pública |
| Rango de Ley | Orden |
La Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, señala entre sus fines el crear las condiciones de confianza en el uso de los medios electrónicos, estableciendo las medidas necesarias para la preservación de la integridad de los derechos fundamentales, y en especial los relacionados con la intimidad y la protección de datos de carácter personal. Para ello indica que es preciso garantizar la seguridad de los sistemas de información y comunicaciones, y de los datos y servicios por ellos manejados. Dichos sistemas de información son hoy en día cada vez más críticos y están sometidos a diferentes tipos de amenazas y vulnerabilidades.
En la Administración Electrónica se entiende por seguridad la capacidad de las redes o de los sistemas de información para resistir, con un determinado nivel de confianza, los accidentes y acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad de los datos almacenados o transmitidos y de los servicios que dichas redes o sistemas ofrecen, o a través de los cuales se realiza el acceso.
El Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la Administración Electrónica, persigue fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la información pueda llegar a conocimiento de personas no autorizadas.
El ENS establece el marco regulatorio de la Política de Seguridad de la Información (PSI), que se plasma en un documento, accesible y comprensible para todos los miembros, que define lo que significa seguridad de la información en una organización determinada y que rige la forma en que una organización gestiona y protege la información y los servicios que considera críticos, disponiendo que:
-
Todos los órganos superiores, esto es, Ministerios y Secretarías de Estado en la Administración General del Estado (AGE), deberán disponer formalmente de su PSI, que será aprobada por el titular del órgano superior correspondiente (artículo 11).
-
La PSI debe comprometer a todos los miembros de la organización, por los que debe ser conocida, e identificar unos claros responsables de velar por su cumplimiento (artículo 13).
-
El contenido mínimo de la PSI debe precisar de forma clara los objetivos o misión de la organización, el marco legal y regulatorio en que desarrolla sus actividades, los roles o funciones de seguridad, definiendo para cada uno sus deberes y responsabilidades, así como el procedimiento para su designación y renovación, la estructura del comité para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, sus miembros y su relación con otros elementos de la organización, y las directrices para la estructuración de la documentación de seguridad del sistema, su gestión y acceso [anexo II.3 Política de Seguridad (org 1)].
-
Además, la PSI debe ser coherente con lo establecido en el Documento de Seguridad que exige el artículo 88 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, en lo que corresponda, prevaleciendo lo relativo a la protección de datos de carácter personal en caso de discrepancias.
-
Para la elaboración de la PSI son una referencia las guías CCN-STIC 001, 201, 402, 801 y 805 elaboradas por el Centro Criptológico Nacional (CCN) del Centro Nacional de Inteligencia (CNI), que establecen las pautas de carácter general relativas a la organización de seguridad y sus responsables, así como sobre la estructura y contenido mínimo de la PSI.
El proyecto de orden ministerial ha sido informado por la Comisión Ministerial de Administración Electrónica y por el Consejo Superior de Administración Electrónica.
En su virtud, dispongo:
-
Constituye el objeto de la presente orden la aprobación de la Política de Seguridad de la Información (en adelante, PSI) en el ámbito de la Administración Electrónica del Ministerio de Política Territorial y Administración Pública, así como el establecimiento del marco organizativo y tecnológico de la misma.
-
La PSI que se aprueba por esta orden se aplicará con carácter imperativo por todos los órganos y unidades centrales y territoriales del Ministerio de Política Territorial y Administración Pública, así como por los organismos públicos adscritos al mismo (Instituto Nacional de Administración Pública, Mutualidad General de Funcionarios Civiles del Estado y Agencia Estatal de Evaluación de las Políticas Públicas y la Calidad de los Servicios), siendo de aplicación a todos sus sistemas de información y debiendo ser observada por todo el personal destinado en dichos órganos, unidades y organismos, así como por aquellas personas que, aunque no estén destinadas en los mismos, tengan acceso a sus sistemas de información o a la información gestionada por ellos.
Corresponde al Ministerio de Política Territorial y Administración Pública lo previsto en el Real Decreto 393/2011, de 18 de marzo, de desarrollo de la estructura orgánica básica del Ministerio de Política Territorial y Administración Pública.
-
El marco normativo en que se desarrollan las actividades del Ministerio de Política Territorial y Administración Pública comprende la legislación sectorial reguladora de la actuación de los órganos superiores y directivos del Ministerio y de los organismos públicos adscritos, así como la normativa en vigor correspondiente a la administración electrónica.
-
También forman parte del marco normativo las restantes normas aplicables a la administración electrónica del Departamento derivadas de las anteriores y publicadas en las sedes electrónicas comprendidas dentro del ámbito de aplicación de la PSI.
La estructura organizativa de la gestión de la seguridad de la información en el ámbito de la Administración Electrónica del Ministerio de Política Territorial y Administración Pública está compuesta por los siguientes agentes:
a) El Comité para la Gestión y Coordinación de la Seguridad de la...
Para continuar leyendo
Solicita tu prueba