• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• Art韈ulo 1 燨bjeto y 醡bito de aplicaci髇
• Art韈ulo 2 燤isi髇 del Departamento
• Art韈ulo 3 燛structura organizativa de la PSI
• Art韈ulo 4 燛l Comit� Director de la Seguridad de la Informaci髇
• Art韈ulo 5 燛l Responsable de Seguridad
• Art韈ulo 6 燛quipo de seguridad
• Art韈ulo 7 燛l Responsable de la Informaci髇
• Art韈ulo 8 燛l Responsable del Servicio
• Art韈ulo 9 燫esoluci髇 de conflictos
• Art韈ulo 10 燝esti髇 de riesgos
• Art韈ulo 11 燚esarrollo normativo
• Art韈ulo 12 燩rotecci髇 de datos de car醕ter personal
• Art韈ulo 13 燜ormaci髇 y concienciaci髇
• Art韈ulo 14 燗ctualizaci髇 permanente y revisiones peri骴icas de la PSI
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional 鷑ica 燦o incremento del gasto p鷅lico
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 燚erogaci髇 normativa
• DISPOSICIONES FINALES
  • Disposici髇 final primera 燚eber de colaboraci髇 de 髍ganos y unidades del Departamento
  • Disposici髇 final segunda 燩ublicidad de la PSI
  • Disposici髇 final tercera 燗plicabilidad

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. Constituye el objeto de esta orden la aprobaci髇 de la Pol韙ica de Seguridad de la Informaci髇 (en adelante, PSI) en el 醡bito de la administraci髇 electr髇ica del Ministerio de Industria, Energ韆 y Turismo, as� como el establecimiento del marco organizativo y tecnol骻ico de la misma.

2. La PSI que se aprueba por esta orden se aplicar� con car醕ter imperativo por todos los 髍ganos y unidades centrales y territoriales del Ministerio de Industria, Energ韆 y Turismo, as� como por los organismos aut髇omos que dependan de los mismos (Oficina Espa駉la de Patentes y Marcas, Instituto para la Reestructuraci髇 de la Miner韆 del Carb髇 y Desarrollo Alternativo de las Comarcas Mineras, Centro Espa駉l de Metrolog韆 e Instituto de Turismo de Espa馻), siendo de aplicaci髇 a todos sus sistemas de informaci髇 y debiendo ser observada por todo el personal destinado en dichos 髍ganos y unidades, as� como por aquellas personas que, aunque no est閚 destinadas en los mismos, tengan acceso a sus sistemas de informaci髇.

3. La PSI afectar� a la informaci髇 tratada por medios electr髇icos y a la informaci髇 en soporte papel que el Ministerio gestiona en el 醡bito de sus competencias. La taxonom韆 de la informaci髇 se define seg鷑 las siguientes normas:

• a) La informaci髇 que contenga datos de car醕ter personal se ver� afectada por la Ley Org醤ica 15/1999, de 13 de diciembre, de Protecci髇 de Datos de Car醕ter Personal y su normativa de desarrollo.
• b) La informaci髇 contenida en los sistemas de informaci髇 en el 醡bito de la administraci髇 electr髇ica queda regulada por el Real Decreto 3/2010, de 8 de enero , por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica.
• c) La informaci髇 producida, conservada o reunida, cualquiera que sea su soporte, susceptible de formar parte del patrimonio documental se ver� afectada por el Real Decreto 1164/2002, de 8 de noviembre , por el que se regula la conservaci髇 del patrimonio documental con valor hist髍ico, el control de la eliminaci髇 de otros documentos de la Administraci髇 General del Estado y sus organismos p鷅licos y la conservaci髇 de documentos administrativos en soporte distinto al original.
• d) La informaci髇 de gesti髇 interna es aquella que no se produce como resultado de la funci髇 administrativa, aunque sea necesario disponer de ella para el correcto desarrollo de las competencias del Ministerio, como copias o duplicados de documentos originales que est閚 localizados y en buen estado de conservaci髇, borradores o primeras versiones de documentos, publicaciones oficiales, ejemplares de ediciones, cat醠ogos y publicaciones comerciales, as� como el resto de informaci髇 de apoyo que gestione el Departamento. A efectos de seguridad, confidencialidad y deber de secreto profesional, la informaci髇 de gesti髇 interna podr� ser calificada como protegida.

4. El Ministerio aplicar� las medidas de seguridad sobre la informaci髇 correspondientes, tanto en soporte electr髇ico como en papel, dependiendo de lo establecido en su normativa reguladora, pudiendo verse afectada una informaci髇 concreta por m醩 de una norma

Art韈ulo 1 redactado por la disposici髇 final tercera de la Orden IET/2377/2015, de 5 de noviembre, por la que se regula la protecci髇 de la informaci髇 clasificada en el Ministerio de Industria, Energ韆 y Turismo (獴.O.E.� 10 noviembre).Vigencia: 11 noviembre 2015

Art韈ulo 2 Misi髇 del Departamento

El Real Decreto 344/2012, de 10 de febrero, por el que se desarrolla la estructura org醤ica b醩ica del Ministerio de Industria, Energ韆 y Turismo dispone que corresponde al Ministerio de Industria, Energ韆 y Turismo la propuesta y ejecuci髇 de la pol韙ica del Gobierno en materia de energ韆, de telecomunicaciones y de la sociedad de la informaci髇, de turismo y de desarrollo industrial y de la peque馻 y mediana empresa.

Art韈ulo 3 Estructura organizativa de la PSI

La estructura organizativa de la gesti髇 de la seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Industria, Energ韆 y Turismo est� compuesta por los siguientes agentes:

• a) El Comit� Director de la Seguridad de la Informaci髇.
• b) El Responsable de Seguridad.
• c) El Responsable de la Informaci髇.
• d) El Responsable del Servicio.

Art韈ulo 4 El Comit� Director de la Seguridad de la Informaci髇

1. Se crea el Comit� Director de la Seguridad de la Informaci髇 (en adelante, el Comit�), que gestionar� y coordinar� todas las actividades relacionadas con la seguridad de los sistemas de informaci髇 y ejercer� las siguientes funciones:

• a) Elaborar las propuestas de modificaci髇 y actualizaci髇 permanente de la PSI.
• b) Aprobar la normativa de seguridad derivada de segundo nivel que sea de obligado cumplimiento (procedimientos STIC, normas STIC e instrucciones t閏nicas STIC).
• c) Aprobar el procedimiento de control de accesos a la red y a las bases de datos de la administraci髇 electr髇ica del Ministerio de Industria, Energ韆 y Turismo, as� como los dem醩 procedimientos de actuaci髇 en lo relativo al uso de los sistemas de informaci髇.
• d) Determinar las decisiones para satisfacer los requisitos de seguridad de la informaci髇 y de los servicios.
• e) Informar sobre el estado de las principales variables de seguridad en los sistemas de informaci髇 al Comit� Sectorial de Administraci髇 Electr髇ica (CSAE) para la elaboraci髇 de un perfil general del estado de seguridad de las mismas.
• f) Compartir experiencias de 閤ito en materia de seguridad entre sus miembros para velar por el cumplimiento de la PSI y su normativa de desarrollo.

2. El Comit� estar� compuesto por los siguientes miembros:

• a) Presidente: El Subsecretario de Industria, Energ韆 y Turismo.
• b) Vocales: Con categor韆 m韓ima de Subdirector General o asimilado, pudiendo delegar en un suplente por cada uno de los siguientes 髍ganos u organismos aut髇omos del Departamento:
  • 1. Secretar韆 General T閏nica.
  • 2. Secretar韆 de Estado de Energ韆.
  • 3. Secretar韆 de Estado de Telecomunicaciones y para la Sociedad de la Informaci髇.
  • 4. Secretar韆 de Estado de Turismo.
  • 5. Secretar韆 General de Industria y de la Peque馻 y Mediana Empresa.
  • 6. Oficina Espa駉la de Patentes y Marcas.
  • 7. Instituto para la Reestructuraci髇 de la Miner韆 del Carb髇 y Desarrollo Alternativo de las Comarcas Mineras.
  • 8. Centro Espa駉l de Metrolog韆.
  • 9. Instituto de Turismo de Espa馻.
• c) Secretario: Con voz y voto, el Subdirector General de Tecnolog韆s de la Informaci髇 y de las Comunicaciones, que ejecutar� las decisiones del Comit�, convocar� sus reuniones y preparar� los temas a tratar.
• d) Con car醕ter facultativo, el Presidente del Consejo de Administraci髇 del Instituto Nacional de Tecnolog韆s de la Comunicaci髇 (INTECO) podr� formar parte del Comit� como vocal, con voz, o bien delegar en un suplente con categor韆 m韓ima de Subdirector General o asimilado.

3. El Comit� podr� recabar del personal t閏nico propio o externo la informaci髇 pertinente para la toma de sus decisiones.

Art韈ulo 5 El Responsable de Seguridad

1. Las funciones del Responsable de Seguridad se ejercer醤 por el grupo t閏nico de seguridad de la informaci髇, presidido y coordinado por el Subdirector General de Tecnolog韆s de la Informaci髇 y de las Comunicaciones y estar� compuesto por los siguientes miembros, cada uno de los cuales podr� delegar en un suplente en caso necesario:

• a) El Subdirector General de Apoyo a la Peque馻 y Mediana Empresa.
• b) El Director de la Divisi髇 de Tecnolog韆s de la Informaci髇 de la Oficina Espa駉la de Patentes y Marcas.
• c) El Secretario General del Instituto para la Reestructuraci髇 de la Miner韆 del Carb髇 y Desarrollo Alternativo de las Comarcas Mineras.
• d) El Director del Centro Espa駉l de Metrolog韆.
• e) El Subdirector General de Gesti髇 Econ髆ico-Administrativa y Tecnolog韆s de la Informaci髇 del Instituto de Turismo de Espa馻.

Los acuerdos y decisiones adoptados por los miembros que conforman el grupo t閏nico de seguridad de la informaci髇 se har醤 por mayor韆 de sus miembros y su presidente contar� con un voto de calidad en caso de empate.

2. Ser醤 funciones del Responsable de Seguridad las siguientes:

• a) Mantener la seguridad de la informaci髇 manejada y de los servicios electr髇icos prestados por los sistemas de informaci髇.
• b) Realizar o promover auditor韆s peri骴icas para verificar el cumplimiento de las obligaciones en materia de seguridad de la informaci髇.
• c) Realizar el seguimiento y control del estado de seguridad del sistema de informaci髇.
• d) Verificar que las medidas de seguridad son adecuadas para la protecci髇 de la informaci髇 y los servicios.
• e) Apoyar y supervisar la investigaci髇 de los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇.
• f) Elaborar informes peri骴icos de seguridad para el Comit� que incluyan los incidentes m醩 relevantes de cada per韔do.
• g) Coordinar la comunicaci髇 con el Centro Criptol骻ico Nacional en la utilizaci髇 de servicios de respuesta a incidentes de seguridad.
• h) Proponer la categor韆 del sistema seg鷑 el procedimiento descrito en el anexo I del Real Decreto 3/2010, de 8 de enero y las medidas de seguridad que deben aplicarse de acuerdo con lo previsto en el anexo II del mismo real decreto.

3. Cuando la complejidad, distribuci髇, separaci髇 f韘ica de sus elementos o n鷐ero de usuarios de los sistemas de informaci髇 lo justifiquen, el Responsable de Seguridad podr� designar los responsables de seguridad delegados que considere necesarios, que tendr醤 dependencia funcional directa de aqu閘 y ser醤 responsables en su 醡bito de todas aquellas acciones que les delegue el mismo.

Art韈ulo 6 Equipo de seguridad

1. Como grupo de apoyo del Responsable de Seguridad para el cumplimiento de sus funciones, 閟te contar� con un equipo de seguridad que aglutinar� las tareas de prevenci髇 de incidentes de seguridad, detecci髇 de anomal韆s, mecanismos de respuesta eficaz ante los mismos y actividades de recuperaci髇 mediante el desarrollo de planes de continuidad de los sistemas de informaci髇 para garantizar la disponibilidad de los servicios cr韙icos.

2. A estos efectos, el equipo de seguridad realizar� las auditor韆s peri骴icas de seguridad (prevenci髇), el seguimiento y control del estado de seguridad del sistema (detecci髇), la respuesta eficaz a los incidentes de seguridad desde su notificaci髇 hasta su resoluci髇 (respuesta) y el desarrollo de los planes de continuidad de los sistemas de informaci髇 (recuperaci髇).

3. La composici髇 del equipo de seguridad se determinar� por el Responsable de Seguridad, que tambi閚 podr� designar equipos de seguridad delegados para el apoyo en estas tareas de los responsables de seguridad delegados.

Art韈ulo 7 El Responsable de la Informaci髇

1. Las funciones de Responsable de la Informaci髇 recaer醤 en la persona titular del 髍gano o unidad administrativa que gestione cada procedimiento administrativo, pudiendo una misma persona acumular las responsabilidades de la informaci髇 de todos los procedimientos que gestione, y ser醤 las siguientes:

• a) Determinar los niveles de seguridad de la informaci髇 dentro del marco establecido en el anexo I del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el 醡bito de la Administraci髇 Electr髇ica, previa propuesta del Responsable de Seguridad.
• b) Determinar las excepciones al punto anterior que sean de aplicaci髇 a la informaci髇 de gesti髇 interna. En este sentido, el Subsecretario es el responsable de establecer las medidas de protecci髇 y destrucci髇 de la informaci髇 de gesti髇 interna y, singularmente, los 髍ganos superiores podr醤 definir medidas de seguridad adicionales sobre cierta informaci髇 que consideren sensible en el 醡bito de sus Unidades y de acuerdo con el Responsable de Seguridad.
• c) En el 醡bito de la informaci髇 que contenga datos de car醕ter personal velar� por la aplicaci髇 de los niveles de protecci髇 que establezca el responsable del fichero, as� como las medidas de seguridad aplicables a los ficheros que contengan datos de car醕ter personal, seg鷑 lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal.
• d) En el 醡bito de la informaci髇 susceptible de formar parte del patrimonio documental, velar� por el cumplimiento de lo que establezca la Comisi髇 Calificadora de Documentos Administrativos del Departamento.
• e) En el 醡bito de la informaci髇 clasificada a la que sea de aplicaci髇 la Ley 9/1968, de 5 de abril, de Secretos Oficiales, el Responsable de la velar� por el cumplimiento de lo que establezca la Autoridad Nacional de Seguridad.

Art韈ulo 8 El Responsable del Servicio

Las funciones del Responsable del Servicio recaer醤 en los titulares de los 髍ganos responsables del desarrollo, mantenimiento y explotaci髇 del sistema de informaci髇 que soporte los servicios correspondientes y ser醤 las siguientes:

• a) Desarrollar, operar y mantener el sistema de informaci髇 durante todo su ciclo de vida, as� como aprobar los cambios que afecten a la seguridad del modo de operaci髇 del sistema.
• b) Aprobar toda modificaci髇 sustancial de la configuraci髇 de cualquier elemento del sistema.
• c) Realizar el preceptivo proceso de an醠isis y gesti髇 de riesgos del sistema.
• d) Establecer planes de contingencia y emergencia.
• e) Suspender, previo acuerdo de los Responsables de Seguridad y de Informaci髇, el manejo de una determinada informaci髇 o la prestaci髇 de un servicio electr髇ico si es informado de deficiencias graves de seguridad.

Art韈ulo 9 Resoluci髇 de conflictos

En caso de conflicto entre los diferentes responsables, 閟te ser� resuelto por el superior jer醨quico de los mismos. En defecto de lo anterior, prevalecer� la decisi髇 del Responsable de Seguridad.

Art韈ulo 10 Gesti髇 de riesgos

1. La gesti髇 de riesgos debe realizarse de manera continua sobre el sistema de informaci髇, conforme a los principios de gesti髇 de la seguridad basada en los riesgos ( art韈ulo 6 Real Decreto 3/2010, de 8 de enero) y reevaluaci髇 peri骴ica ( art韈ulo 9 Real Decreto 3/2010, de 8 de enero), siendo el Responsable del Servicio el encargado de que se realice el preceptivo an醠isis de riesgos y se proponga el tratamiento adecuado, calculando los riesgos residuales.

2. El Responsable de Seguridad es el encargado de que el an醠isis se realice en tiempo y forma, as� como de identificar carencias y debilidades y ponerlas en conocimiento de los Responsables de la Informaci髇 y del Servicio.

3. Los Responsables de la Informaci髇 y del Servicio son los propietarios de los riesgos sobre la informaci髇 y sobre los servicios, respectivamente, siendo responsables de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea.

4. El proceso de gesti髇 de riesgos, que comprende las fases de categorizaci髇 de los sistemas, an醠isis de riesgos y selecci髇 de medidas de seguridad a aplicar, que deber醤 ser proporcionadas a los riesgos y estar justificadas, deber� revisarse y aprobarse cada a駉 por el titular del 髍gano o unidad administrativa o, en su caso, organismo aut髇omo, a trav閟 de un Plan de Adecuaci髇 al Esquema Nacional de Seguridad.

5. Las indicadas fases del proceso de gesti髇 de riesgos se realizar醤 seg鷑 lo dispuesto en los anexos I y II del Real Decreto 3/2010, de 8 de enero y siguiendo las normas, instrucciones, gu韆s CCN-STIC y recomendaciones para la aplicaci髇 del mismo elaboradas por el Centro Criptol骻ico Nacional.

6. En particular, para realizar el an醠isis de riesgos se podr醤 utilizar las herramientas PILAR o μPILAR que facilitan el seguimiento de la aplicaci髇 de las medidas de seguridad seleccionadas y proporcionan un valor de riesgo residual estabilizado y comparable entre diferentes sistemas de informaci髇.

Art韈ulo 11 Desarrollo normativo

1. El cuerpo normativo sobre seguridad de la informaci髇 se desarrollar� en cuatro niveles por 醡bito de aplicaci髇, nivel de detalle t閏nico y obligatoriedad de cumplimiento, de manera que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior. Dichos niveles de desarrollo normativo son los siguientes:

• a) Primer nivel normativo. PSI. Est� constituido por la presente orden y es de obligado cumplimiento.
• b) Segundo nivel normativo. Normativa y recomendaciones de seguridad. Est� constituido por la normativa y recomendaciones de seguridad que se definan en cada 醡bito organizativo de aplicaci髇 espec韋ico (髍ganos superiores y directivos, organismos p鷅licos dependientes, etc.).

  La normativa, que comprende los procedimientos STIC, las normas STIC y las instrucciones t閏nicas STIC, es de obligado cumplimiento y se formalizar� mediante instrucciones o resoluciones de los titulares de los 髍ganos correspondientes, previa aprobaci髇 del Comit�, mientras que las recomendaciones consistir醤 en buenas pr醕ticas y consejos no vinculantes para mejorar las condiciones de seguridad.

• c) Tercer nivel normativo. Procedimientos t閏nicos (Gu韆s STIC). Est� constituido por el conjunto de procedimientos t閏nicos orientados a resolver las tareas, consideradas cr韙icas por el perjuicio que causar韆 una actuaci髇 inadecuada, de seguridad, desarrollo, mantenimiento y explotaci髇 de los sistemas de informaci髇. Son recomendaciones o informaciones relativas a temas concretos de seguridad basadas en instrucciones previas, que establecen las configuraciones m韓imas de seguridad de los diferentes elementos de un sistema de informaci髇, recomendaciones de uso o de otro tipo.

  La responsabilidad de aprobaci髇 de estos procedimientos t閏nicos depender� de su 醡bito de aplicaci髇, que podr� ser en un 醡bito espec韋ico o en un sistema de informaci髇 determinado. Se consideran incluidas en este nivel normativo las gu韆s CCN-STIC de las series 400, 500 y 600.

• d) Cuarto nivel normativo. Informes, registros y evidencias electr髇icas. Est� constituido por los informes t閏nicos, que son documentos de car醕ter t閏nico que recogen el resultado y las conclusiones de un estudio o de una evaluaci髇; registros de actividad o alertas de seguridad, que son documentos de car醕ter t閏nico que recogen amenazas y vulnerabilidades a sistemas de informaci髇 y son responsabilidad del equipo de seguridad; y evidencias electr髇icas, que se generan durante todas las fases del ciclo de vida de los sistemas de informaci髇 y en sus distintos procesos, pudiendo abarcar uno o m醩 sistemas en funci髇 del aspecto tratado.

2. El Comit� establecer� los mecanismos necesarios para compartir la documentaci髇 derivada del desarrollo normativo con el prop髎ito de normalizarlo, en la medida de lo posible, en todo el 醡bito de aplicaci髇 de la PSI.

Art韈ulo 12 Protecci髇 de datos de car醕ter personal

1. Respecto a la protecci髇 de datos de car醕ter personal, el Responsable de la Informaci髇 asumir� las funciones de responsable del fichero y el Responsable del Servicio las del responsable del tratamiento, siendo asumidas por el Responsable de Seguridad las funciones enumeradas en el art韈ulo 5.

2. En caso de conflicto entre los diferentes responsables, prevalecer醤 las mayores exigencias derivadas de la protecci髇 de datos de car醕ter personal.

Art韈ulo 13 Formaci髇 y concienciaci髇

1. Se desarrollar醤 actividades formativas espec韋icas orientadas a la concienciaci髇 y formaci髇 de los empleados p鷅licos del Departamento, as� como a la difusi髇 entre los mismos de la PSI y de su desarrollo normativo.

2. A estos efectos, deber醤 incluirse actividades formativas en esta materia dentro de los planes de formaci髇 del Ministerio de Industria, Energ韆 y Turismo.

Art韈ulo 14 Actualizaci髇 permanente y revisiones peri骴icas de la PSI

La PSI deber� mantenerse actualizada permanentemente para adecuarla al progreso de los servicios de administraci髇 electr髇ica, a la evoluci髇 tecnol骻ica y al desarrollo de la sociedad de la informaci髇, as� como a los est醤dares internacionales de seguridad.

Disposici髇 adicional 鷑ica No incremento del gasto p鷅lico

La aplicaci髇 de esta orden no conllevar� incremento de gasto p鷅lico, atendi閚dose el funcionamiento del Comit� con los recursos humanos y materiales de que dispone el Ministerio de Industria, Energ韆 y Turismo.

Disposici髇 derogatoria Derogaci髇 normativa

Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo establecido en la presente orden y, en particular, la Orden ITC/657/2011, de 11 de marzo, por la que se aprueba la pol韙ica de seguridad de la informaci髇 en el 醡bito de la administraci髇 electr髇ica del Ministerio de Industria, Turismo y Comercio.

Disposici髇 final primera Deber de colaboraci髇 de 髍ganos y unidades del Departamento

Todos los 髍ganos y unidades del Departamento ministerial y de sus organismos aut髇omos prestar醤 su colaboraci髇 en las actuaciones de implementaci髇 de la PSI aprobada por esta orden.

Disposici髇 final segunda Publicidad de la PSI

La presente orden se publicar�, adem醩 de en el 獴olet韓 Oficial del Estado�, en la sede electr髇ica del Departamento.

Disposici髇 final tercera Aplicabilidad

La PSI que se aprueba en esta orden ser� aplicable a partir del d韆 siguiente al de su publicaci髇 en el 獴olet韓 Oficial del Estado�.