Atenci髇 norma derogada, ver regulaci髇 posterior

Decreto 31/2015, de 14 de mayo, por el que se aprueba la Pol韙ica de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• CAP蚑ULO I.�Disposiciones generales
  • Art韈ulo 1燨bjeto y 醡bito de aplicaci髇
  • Art韈ulo 2燤isi髇 de la organizaci髇
  • Art韈ulo 3燨bjetivos y directrices b醩icas de la gesti髇 de la seguridad de la informaci髇
  • Art韈ulo 4燩rincipios de la pol韙ica de seguridad de la informaci髇
• CAP蚑ULO II.�Organizaci髇 de la gesti髇 de la seguridad de la informaci髇
  • Art韈ulo 5燛structura organizativa
  • Art韈ulo 6燙reaci髇, composici髇 y r間imen de funcionamiento de la Comisi髇 General de Seguridad de la Informaci髇
  • Art韈ulo 7燜unciones de la Comisi髇 General de Seguridad de la Informaci髇
  • Art韈ulo 8燙reaci髇, composici髇 y r間imen de funcionamiento del Comit� T閏nico de Ciberseguridad
  • Art韈ulo 9燨bjetivos y funciones del Comit� T閏nico de Ciberseguridad
  • Art韈ulo 10燫esponsables de la Informaci髇 y Responsables del Servicio
  • Art韈ulo 11燜unciones de los Responsables de la Informaci髇 y Responsables de los Servicios
  • Art韈ulo 12燝estores Responsables
  • Art韈ulo 13燜unciones de los Gestores Responsables
  • Art韈ulo 14燫esponsable de Seguridad de la Informaci髇
  • Art韈ulo 15燜unciones del Responsable de Seguridad de la Informaci髇
  • Art韈ulo 16燫esponsables de los Sistemas
  • Art韈ulo 17燜unciones de los Responsables de los Sistemas
  • Art韈ulo 18燗dministradores de la Ciberseguridad de los Sistemas
  • Art韈ulo 19燜unciones de los Administradores de la Ciberseguridad de los Sistemas
  • Art韈ulo 20燫esponsables de los ficheros que contengan datos de car醕ter personal
  • Art韈ulo 21燙omisiones, comit閟 y responsables de la Seguridad de la Informaci髇 sectoriales
• CAP蚑ULO III.�Gesti髇 de la seguridad de la informaci髇
  • Art韈ulo 22燩rotecci髇 de datos personales
  • Art韈ulo 23燝esti髇 de riesgos
  • Art韈ulo 24燚esarrollo de la Pol韙ica de Seguridad de la Informaci髇
  • Art韈ulo 25燜ormaci髇, concienciaci髇 e informaci髇
  • Art韈ulo 26燨bligaciones del personal
  • Art韈ulo 27燭erceras partes
  • Art韈ulo 28燙olaboraci髇 con otras entidades p鷅licas
  • Art韈ulo 29燫esoluci髇 de conflictos
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera燗decuaci髇 de las relaciones de puestos de trabajo
  • Disposici髇 adicional segunda燗dhesiones a la Pol韙ica de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria
• DISPOSICIONES TRANSITORIAS
  • Disposici髇 transitoria primera燚esempe駉 temporal de las funciones de Responsable de Seguridad de la Informaci髇
  • Disposici髇 transitoria segunda燚esempe駉 temporal de las funciones asignadas a los titulares de otras unidades u 髍ganos
• DISPOSICIONES DEROGATORIAS
  • Disposici髇 derogatoria 鷑ica燚erogaci髇 Normativa
• DISPOSICIONES FINALES
  • Disposici髇 final primera燚esarrollo normativo
  • Disposici髇 final segunda燛ntrada en vigor

Art韈ulo 1 Objeto y 醡bito de aplicaci髇

1. El presente decreto tiene por objeto establecer el marco com鷑, las directrices b醩icas y el r間imen organizativo para la gesti髇 de la Seguridad de la Informaci髇. Tal y como define el anexo IV del Real Decreto 3/2010, "Seguridad de las redes y de la informaci髇, es la capacidad de las redes o de los sistemas de informaci髇 de resistir, con un determinado nivel de confianza, los accidentes o acciones il韈itas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles".

2. Sus previsiones ser醤 de aplicaci髇:

• a) A la Administraci髇 de la Comunidad Aut髇oma de Cantabria, comprendiendo 閟ta, a estos efectos, a la Administraci髇 General y los organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes de la misma, cuando ejerzan funciones administrativas y utilicen sistemas de informaci髇 gestionados por el 髍gano directivo con competencias en materia inform醫ica. Quedan excluidos del 醡bito de aplicaci髇 del presente decreto el Servicio C醤tabro de Salud y el sector p鷅lico empresarial y fundacional.
• b) A las personas f韘icas, jur韉icas y entes sin personalidad en sus relaciones con las entidades anteriores cu醤do procedan al uso de sistemas de informaci髇 gestionados por el 髍gano directivo con competencias en materia inform醫ica.

Art韈ulo 2 Misi髇 de la organizaci髇

La Administraci髇 de la Comunidad Aut髇oma desarrolla funciones ejecutivas de car醕ter administrativo seg鷑 lo establecido en el art韈ulo 42 de la Ley de Cantabria 6/2002, de 10 de diciembre, de R間imen Jur韉ico del Gobierno y de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

Art韈ulo 3 Objetivos y directrices b醩icas de la gesti髇 de la seguridad de la informaci髇

1. Los objetivos de la gesti髇 de la seguridad de la informaci髇 son los siguientes:

• a) La protecci髇 de la informaci髇 frente a accesos y modificaciones no autorizadas.
• b) La protecci髇 de la informaci髇 y de los servicios frente a fallos en la disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.
• c) El adecuado tratamiento de los incidentes de seguridad.
• d) El cumplimiento de requisitos legales.

2. Las directrices b醩icas para la gesti髇 de la seguridad de la informaci髇 son las siguientes:

• a) Una gesti髇 formal y racionalizada de la seguridad de la informaci髇.
• b) La determinaci髇 de las responsabilidades en materia de seguridad de la informaci髇 de todos los 髍ganos y personas implicadas.
• c) La coordinaci髇 con otras normas en materia de seguridad, aunque no est閚 relacionadas directamente con la Seguridad de la Informaci髇, que puedan existir en el 醡bito de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

Art韈ulo 4 Principios de la pol韙ica de seguridad de la informaci髇

La gesti髇 de la seguridad de la informaci髇, y por tanto el funcionamiento del Sistema de Gesti髇 de la Seguridad de la Informaci髇 (SGSI), se regir� por los siguientes principios b醩icos:

• a) Seguridad integral.
• b) Gesti髇 de riesgos.
• c) Prevenci髇, reacci髇 y recuperaci髇.
• d) L韓eas de defensa.
• e) Reevaluaci髇 peri骴ica.
• f) Funci髇 diferenciada.

Art韈ulo 5 Estructura organizativa

La organizaci髇 para la gesti髇 de la seguridad de la informaci髇 en la Administraci髇 de la Comunidad Aut髇oma de Cantabria se estructura en:

• a) Comisi髇 General de Seguridad de la Informaci髇.
• b) Comit� T閏nico de Ciberseguridad.
• c) Responsables de la informaci髇 y responsables del servicio.
• d) Gestores responsables.
• e) Responsable de Seguridad de la Informaci髇.
• f) Responsables de los Sistemas.
• g) Administradores de Ciberseguridad de los Sistemas.
• h) Responsables de los ficheros que contengan datos de car醕ter personal.
• i) Comisiones, comit閟 y responsables sectoriales de Seguridad de la Informaci髇.

Art韈ulo 6 Creaci髇, composici髇 y r間imen de funcionamiento de la Comisi髇 General de Seguridad de la Informaci髇

1. Se crea la Comisi髇 General de Seguridad de la Informaci髇, que estar� constituida por los siguientes miembros:

• a) Presidente: El Consejero con competencias en materia inform醫ica.
• b) Secretario: El Responsable de Seguridad de la Informaci髇.
• c) Vocales: Los Secretarios Generales de cada Consejer韆 y el titular del 髍gano directivo con competencias en materia inform醫ica.

2. El presidente podr� convocar, con voz pero sin voto, a otras personas especializadas en los temas a tratar.

3. La Comisi髇 se reunir� con car醕ter ordinario una vez al a駉 y con car醕ter extraordinario a propuesta de su presidente o de un tercio de los vocales que la integran.

4. Esta Comisi髇 se regir� por el presente decreto, por las normas sobre los 髍ganos colegiados de secci髇 5� del Cap韙ulo II del T韙ulo II de la Ley de Cantabria 6/2002, de 10 de diciembre, de R間imen Jur韉ico del Gobierno de Cantabria y de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, y en lo que resulte de aplicaci髇, conforme las previsiones del Cap韙ulo II del T韙ulo II de la Ley 30/1992, de 26 de noviembre, de R間imen Jur韉ico de las Administraciones P鷅licas y del Procedimiento Administrativo Com鷑.

Art韈ulo 7 Funciones de la Comisi髇 General de Seguridad de la Informaci髇

A la Comisi髇 General de Seguridad de la Informaci髇 le corresponden las siguientes funciones:

• a) Informar del estado de la seguridad de la informaci髇 en la Administraci髇 de la Comunidad Aut髇oma de Cantabria al Consejo de Gobierno.
• b) Elaborar la estrategia de seguridad de la informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria.
• c) Promover los proyectos de seguridad de la informaci髇 y proponer la dotaci髇 de recursos a estos.
• d) Promover la mejora continua del Sistema de Gesti髇 de la Seguridad de la Informaci髇.
• e) Coordinar los esfuerzos de las diferentes Consejer韆s, as� como de otras entidades dependientes o vinculadas a la Administraci髇 de la Comunidad Aut髇oma de Cantabria, para asegurar que los esfuerzos son consistentes, alineados con la estrategia decidida en la materia y evitar duplicidades.
• f) Elaborar, y revisar regularmente, la Pol韙ica de Seguridad de la Informaci髇 para ser aprobada por el Consejo de Gobierno.
• g) Emitir informes proponiendo la aprobaci髇 de las normas de seguridad de car醕ter general.
• h) Emitir informes sobre el grado de cumplimiento de las normas de seguridad de car醕ter general.
• i) Definir la estrategia a seguir para la gesti髇 de los riegos residuales.
• j) Supervisar los resultados de las auditor韆s e impulsar la realizaci髇 de acciones correctivas.
• k) Aprobar planes de mejora de la seguridad de la informaci髇.
• l) Aprobar planes de continuidad de la prestaci髇 de los servicios.
• m) Aprobar los an醠isis de riesgos.
• n) Establecer prioridades para las actuaciones en materia de seguridad de la informaci髇 cuando los recursos sean limitados.
• o) Resolver los conflictos de responsabilidad que competencialmente le correspondan.

Art韈ulo 8 Creaci髇, composici髇 y r間imen de funcionamiento del Comit� T閏nico de Ciberseguridad

1. Se crea el Comit� T閏nico de Ciberseguridad, que estar� formado por:

• a) Presidente: El titular del 髍gano directivo con competencias en materia inform醫ica.
• b) Secretario: El Responsable de Seguridad de la Informaci髇.
• c) Vocales: Jefe de Centro de Proceso de Datos, Jefe del Servicio de Inform醫ica, Jefe de Centro de Tecnolog韆s INET y Responsable de Seguridad de la Informaci髇.

2. El presidente podr� convocar, con voz pero sin voto, a otras personas especializadas en los temas a tratar.

3. El comit� se reunir� con car醕ter ordinario dos veces al a駉 y con car醕ter extraordinario a propuesta de su presidente o de un tercio de los vocales que la integran.

4. Este Comit� se regir� por el presente decreto, por las normas sobre los 髍ganos colegiados de secci髇 5� del Cap韙ulo II del T韙ulo II de la Ley de Cantabria 6/2002, de 10 de diciembre, de R間imen Jur韉ico del Gobierno de Cantabria y de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, y en lo que resulte de aplicaci髇, conforme las previsiones del Cap韙ulo II del T韙ulo II de la Ley 30/1992, de 26 de noviembre, de R間imen Jur韉ico de las Administraciones P鷅licas y del Procedimiento Administrativo Com鷑.

Art韈ulo 9 Objetivos y funciones del Comit� T閏nico de Ciberseguridad

1. El Comit� T閏nico de Ciberseguridad tiene como objetivos fundamentales desarrollar los aspectos t閏nicos y procedimentales de la seguridad de la informaci髇.

2. Al Comit� T閏nico de Ciberseguridad le corresponden las siguientes funciones:

• a) Emitir informes proponiendo la aprobaci髇 de las normas de seguridad y procedimientos de seguridad de car醕ter t閏nico.
• b) Emitir informes proponiendo la aprobaci髇 de procedimientos de seguridad que desarrollen las normas de seguridad de car醕ter general.
• c) Emitir informes sobre el grado de cumplimiento de las normas de seguridad de car醕ter t閏nico, as� como del grado de cumplimiento de los procedimientos que desarrollen normas de seguridad t閏nicas o de car醕ter general.
• d) Elaborar y aprobar los requisitos de formaci髇 y calificaci髇 de administradores, operadores y usuarios desde el punto de vista de seguridad de la informaci髇.
• e) Monitorizar los principales riesgos residuales asumidos por la Administraci髇 de la Comunidad Aut髇oma de Cantabria y recomendar posibles actuaciones respecto de ellos.
• f) Monitorizar el desempe駉 de los procesos de gesti髇 de incidentes de seguridad y recomendar posibles actuaciones respecto de ellos. En particular, velar por la coordinaci髇 de las diferentes 醨eas de seguridad en la gesti髇 de incidentes de seguridad de la informaci髇.
• g) Promover la realizaci髇 de las auditor韆s peri骴icas que permitan verificar el cumplimiento de las obligaciones del organismo en materia de seguridad.
• h) Velar por la coordinaci髇 de los planes de mejora de la seguridad de la informaci髇 que afecten a varias 醨eas.
• i) Velar por la coordinaci髇 de los planes que puedan realizarse en diferentes 醨eas.
• j) Proponer y desarrollar los planes de mejora de la seguridad de la informaci髇.
• k) Velar porque la seguridad de la informaci髇 se tenga en cuenta en todos los proyectos TIC desde su especificaci髇 inicial hasta su puesta en operaci髇. En particular deber� velar por la creaci髇 y utilizaci髇 de servicios horizontales que reduzcan duplicidades y apoyen un funcionamiento homog閚eo de todos los sistemas TIC.
• l) Preparar informes del estado de la seguridad de la informaci髇 para la Comisi髇 General de Seguridad de la Informaci髇.

Art韈ulo 10 Responsables de la Informaci髇 y Responsables del Servicio

Las funciones de los Responsables de la Informaci髇 y de los Responsables del Servicio que establece el Esquema Nacional de Seguridad ser醤 desempe馻das por los Directores Generales o equivalentes en el 醡bito de sus competencias.

Para aquellos sistemas de informaci髇 vinculados a la gesti髇 propia de las Secretar韆s Generales, o bien aquellos que ata馻n a varias Direcciones Generales, las funciones de Responsable de la Informaci髇 y Responsable del Servicio ser醤 desempe馻das por los Secretarios Generales o equivalentes, y en las entidades de derecho p鷅lico por los 髍ganos equivalentes.

Art韈ulo 11 Funciones de los Responsables de la Informaci髇 y Responsables de los Servicios

A los Responsables de la Informaci髇 y Responsables de los Servicios, en el 醡bito de sus competencias, les corresponden las siguientes funciones:

• a) Establecer el uso que se har� de la informaci髇.
• b) Establecer las caracter韘ticas de los servicios prestados.
• c) Establecer los requisitos en materia de seguridad y determinar los niveles de seguridad de la informaci髇.
• d) Establecer los requisitos en materia de seguridad y determinar los niveles de seguridad de los servicios.
• e) Decidir sobre la aceptaci髇 del riesgo residual de los sistemas de informaci髇 relacionados con la informaci髇 o los servicios de los que son responsables.
• f) Establecer las directrices sobre la asignaci髇 de accesos a las personas a la informaci髇 o los servicios, partiendo de los siguientes principios b醩icos:
  • 1�. Los accesos se conceder醤 exclusivamente a las personas que lo requieran para el desempe駉 de sus funciones.
  • 2�. El alcance de los accesos se limitar� a lo estrictamente necesario para el adecuado desempe駉 de las funciones y tareas encomendadas.
  • 3�. Los accesos deber醤 suspenderse cuando dejen de ser necesarios.
  • 4�. En la asignaci髇 de los accesos se deber� tener en consideraci髇 el cumplimiento de la Pol韙ica de Seguridad de la Informaci髇 contenida en este Decreto y las normas de seguridad y procedimientos de seguridad que la desarrollen.
• g) Procurar la existencia de planes de continuidad cuando sean necesarios.
• h) Velar por una adecuada gesti髇 de la seguridad de la informaci髇 en el 醡bito de su Secretar韆 General o Direcci髇 General.
• i) Colaborar en la gesti髇 global de la seguridad de la informaci髇.

Para desarrollar estas funciones, contar醤 con la colaboraci髇 de los Gestores Responsables, que se corresponder醤 con los titulares de aquellas unidades a su cargo con rango de Servicio o equivalentes.

Art韈ulo 12 Gestores Responsables

Los Gestores Responsables ser醤 los responsables de unidades con rango de Servicio o equivalentes que utilicen servicios o sistemas tecnol骻icos, aplicaciones o activos inform醫icos en general (carpetas de red, buzones departamentales, listas de distribuci髇 o recursos inform醫icos similares), para el desarrollo de sus competencias.

Tambi閚 los Subdirectores para aquellos servicios o sistemas tecnol骻icos, aplicaciones o activos inform醫icos en general sobre los que tengan capacidad de decisi髇 y responsabilidad directa.

Art韈ulo 13 Funciones de los Gestores Responsables

1. A los Gestores Responsables les corresponden las siguientes funciones:

• a) Velar por la adecuada gesti髇 de la seguridad en el 醡bito de sus competencias y colaborar con los Responsables de la Informaci髇 o Responsables de los Servicios.
• b) Establecer las personas que debe tener acceso en cada momento a los sistemas de informaci髇 y a los activos que est閚 vinculados a su 醡bito competencial, seg鷑 las directrices que le marque el Responsable de la Informaci髇 o Responsable de los Servicios correspondiente o en su defecto, los principios b醩icos se馻lados en el art韈ulo 11 apartado f).
• c) Solicitar los accesos que necesiten las personas dependientes del mismo, o el personal de entidades externas vinculadas a sus contratos de prestaci髇 de servicios, procurando que se cumplan los requisitos de seguridad y confidencialidad que se requieran.
• d) Identificar procesos y elementos clave en su 醡bito competencial, as� como sus riesgos asociados, para la clasificaci髇 de los servicios, sistemas, aplicaciones o activos.
• e) Colaborar en la realizaci髇 de auditor韆s de seguridad de la informaci髇.
• f) Proporcionar la informaci髇 que sea necesaria para una adecuada gesti髇 de la seguridad de la informaci髇.
• g) Informar sobre incidentes que puedan afectar a la seguridad de la informaci髇.
• h) Colaborar en la elaboraci髇 de planes de continuidad.
• i) Proponer a los Responsables de la Informaci髇 o Responsables de los Servicios la valoraci髇 de las dimensiones de la seguridad de la informaci髇 o de los servicios.

2. Se podr醤 aprobar normas de seguridad o procedimientos de seguridad que regulen el funcionamiento operativo de los "Gestores Responsables".

Art韈ulo 14 Responsable de Seguridad de la Informaci髇

1. El Responsable de Seguridad de la Informaci髇 se corresponde con la persona que ocupe el puesto, adscrito al 髍gano directivo competente en materia de inform醫ica, que tenga encomendadas las funciones de direcci髇, coordinaci髇 y supervisi髇 de la seguridad en la tecnolog韆 de la informaci髇.

2. Al Responsable de Seguridad de la Informaci髇 le corresponde coordinar de manera continua el desarrollo de la seguridad de la informaci髇 en el 醡bito de aplicaci髇 del presente decreto y ejercer de interlocutor entre los distintos 髍ganos, unidades o entidades de derecho p鷅lico que componen la organizaci髇 de gesti髇 de la seguridad de la informaci髇.

3. Para el desarrollo de sus funciones, el Responsable de Seguridad de la Informaci髇 podr� contar con un equipo compuesto por personal del 髍gano directivo con competencias en materia inform醫ica que le prestar� apoyo y asesoramiento especializado. Tambi閚 podr� ayudarse de contratos de prestaci髇 de servicios cuando sea necesario.

Art韈ulo 15 Funciones del Responsable de Seguridad de la Informaci髇

Al Responsable de Seguridad de la Informaci髇 le corresponde las siguientes funciones:

• a) Procurar el mantenimiento de la seguridad de la informaci髇 tratada y de los servicios prestados, de acuerdo a lo establecido en la Pol韙ica de Seguridad de la Informaci髇.
• b) Impulsar la elaboraci髇 de normas y procedimientos de seguridad de la informaci髇.
• c) Promover una adecuada gesti髇 de la seguridad de la informaci髇.
• d) Dise馻r y proponer acciones para la mejora de la seguridad de la informaci髇.
• e) Impulsar la creaci髇 de planes de continuidad.
• f) Promover la formaci髇 y concienciaci髇 en materia de seguridad de la informaci髇.
• g) Realizar an醠isis de riesgos, seleccionar salvaguardas y medidas de seguridad, proponer y supervisar su implantaci髇, as� como revisar el proceso de gesti髇 del riesgo.
• h) Establecer pautas para la determinaci髇 de la categor韆 de los sistemas.
• i) Supervisar y coordinar los proyectos de adecuaci髇 al Esquema Nacional de Seguridad.
• j) Elaborar la declaraci髇 de aplicabilidad.
• k) Coordinar los incidentes de seguridad de la informaci髇 que desborden los casos previstos y regulados mediante procedimientos de seguridad de la informaci髇.
• l) Asesorar a la organizaci髇 que compone la estructura de seguridad de la informaci髇 en lo relativo a la evoluci髇 tecnol骻ica y metodol骻ica en materia de seguridad de la informaci髇.
• m) Elaborar informes sobre el estado de la seguridad de la informaci髇.
• n) Promover auditor韆s peri骴icas para verificar el cumplimiento de obligaciones en materia de seguridad de la informaci髇.
• o) Ejercer de interlocutor con otras organizaciones en materia de seguridad de la informaci髇.
• p) Gestionar y mantener el Sistema de Gesti髇 de Seguridad de la Informaci髇 en su 醡bito de actuaci髇, procurando la consistencia de su documentaci髇 y su mejora continua.

Art韈ulo 16 Responsables de los Sistemas

1. Se trata del personal que ocupe las jefaturas de las unidades administrativas de la Direcci髇 General con competencia en materia inform醫ica, y que desarrollen funciones estrat間icas. Estas unidades ser醤 determinadas en cada momento por el titular del 髍gano directivo con competencia en materia inform醫ica.

2. Son los responsables de la implementaci髇 efectiva de las medidas de seguridad y de la correcta gesti髇 de la seguridad de la informaci髇 en los sistemas de tecnol骻icos y de informaci髇 a cargo de su unidad administrativa.

Art韈ulo 17 Funciones de los Responsables de los Sistemas

Las funciones de los Responsables de los Sistemas en materia de seguridad de la informaci髇 son:

• a) Coordinar a los Administradores de la Ciberseguridad de los Sistemas de su unidad administrativa.
• b) Impulsar, coordinar y garantizar el desarrollo, operaci髇 y mantenimiento de los Sistemas de Informaci髇 a cargo de su unidad, durante todo su ciclo de vida, de sus especificaciones, instalaciones y verificaci髇 de su correcto funcionamiento.
• c) Definir, en colaboraci髇 con el personal de su unidad, la arquitectura, los criterios de uso y las caracter韘ticas de los servicios a prestar con los sistemas de su 醡bito de competencias.
• d) Organizar la implementaci髇, gesti髇 y mantenimiento de las medidas de seguridad aplicables a los sistemas de informaci髇.
• e) Supervisi髇 de la correcta aplicaci髇 de las medidas de seguridad que correspondan en los distintos sistemas de informaci髇, asegur醤dose de su correcta integraci髇 dentro del marco general de la seguridad.
• f) Supervisar la correcta aplicaci髇 de las normas y procedimientos de seguridad en los trabajos t閏nicos que se realizan sobre los sistemas de informaci髇.
• g) Informar al Responsable de Seguridad de la Informaci髇 sobre anomal韆s en la aplicaci髇 de las normas y procedimientos de seguridad.
• h) Monitorizar el estado de la seguridad de los sistemas y notificar incidentes de seguridad.
• i) Coordinar el tratamiento de los incidentes de seguridad y las vulnerabilidades de los sistemas de informaci髇 a su cargo.
• j) Impulsar la creaci髇 de planes de contingencia y recuperaci髇, as� como participar en la elaboraci髇 de planes de continuidad. Coordinar la realizaci髇 de las pruebas de verificaci髇 que correspondan en cada caso.
• k) Colaborar en auditor韆s y en, general, colaborar en la mejora continua de la gesti髇 de la seguridad.
• l) Elaborar procedimientos operativos de seguridad.
• m) Elaborar planes de mejora de la seguridad en colaboraci髇 con el Responsable de Seguridad de la Informaci髇.
• n) Podr� acordar la suspensi髇 del manejo de una cierta informaci髇 o la prestaci髇 de un cierto servicio si es informado de deficiencias graves de seguridad que pudieran afectar a la satisfacci髇 de los requisitos establecidos en materia de seguridad y existe riesgo razonable de da駉s de dif韈il reparaci髇. De la adopci髇 de esta decisi髇 se informar� a los responsables de la informaci髇 afectada, del servicio afectado y el Responsable de la Seguridad de la Informaci髇.

Art韈ulo 18 Administradores de la Ciberseguridad de los Sistemas

Se trata del personal t閏nico especializado que se encarga de dirigir las l韓eas tecnol骻icas estrat間icas de la Administraci髇 de la Comunidad Aut髇oma de Cantabria y que ser醤 los responsables de implementaci髇 y gesti髇 la seguridad de la informaci髇 en cada una de esas l韓eas, dentro del marco de la Pol韙ica de Seguridad de los Sistemas de Informaci髇 y de las normas de seguridad y procedimientos de seguridad que la desarrollen.

Art韈ulo 19 Funciones de los Administradores de la Ciberseguridad de los Sistemas

1. Las funciones de los Administradores de la Ciberseguridad de los Sistemas son:

• a) Implementar, gestionar y mantener las medidas de seguridad aplicables al Sistema de Informaci髇.
• b) Gestionar, configurar y actualizar, en su caso, el hardware y software en los que se basan los mecanismos y servicios de seguridad del Sistema de Informaci髇.
• c) Gestionar las autorizaciones concedidas a los usuarios del sistema, en particular los privilegios concedidos, incluyendo la monitorizaci髇 de que la actividad desarrollada en el sistema se ajusta a lo autorizado.
• d) Aplicar los procedimientos operativos de seguridad de la informaci髇.
• e) Aprobar los cambios en la configuraci髇 vigente del Sistema de Informaci髇.
• f) Asegurar que los controles de seguridad establecidos son cumplidos estrictamente.
• g) Asegurar que son aplicados los procedimientos aprobados para manejar el sistema de informaci髇.
• h) Supervisar las instalaciones de hardware y software, sus modificaciones y mejoras para asegurar que la seguridad no est� comprometida y que en todo momento se ajustan a las autorizaciones pertinentes.
• i) Monitorizar el estado de seguridad del sistema proporcionado por las herramientas de gesti髇 de eventos de seguridad y mecanismos de auditor韆 t閏nica implementados en el sistema.
• j) Informar a los Responsables de la Seguridad y del Sistema de cualquier anomal韆, compromiso o vulnerabilidad relacionada con la seguridad.
• k) Colaborar en la investigaci髇 y resoluci髇 de incidentes de seguridad, desde su detecci髇 hasta su resoluci髇.
• l) Participar en el dise駉 de los aspectos t閏nicos de los planes de contingencia, recuperaci髇 o continuidad.
• m) Realizar pruebas de verificaci髇 de los planes de contingencia, recuperaci髇 o continuidad.
• n) Asesorar en materia de seguridad de la informaci髇 en lo relativo a su campo de actuaci髇 a la Comisi髇 General de Seguridad de la Informaci髇, al Comit� T閏nico de Ciberseguridad, a las comisiones o comit閟 sectoriales que pudiera existir, a los Responsables de los Sistemas o al Responsable de Seguridad de la Informaci髇.

2. Estas funciones podr醤 ser desarrollarlas directamente por los Administradores de Ciberseguridad, tambi閚 coordinando 閟tos a otros empleados p鷅licos o mediante la supervisi髇 y control de contratos de prestaci髇 de servicios.

Art韈ulo 20 Responsables de los ficheros que contengan datos de car醕ter personal

Los responsables de ficheros que contengan datos de car醕ter personal deber醤 cumplir con lo dispuesto en la normativa sobre protecci髇 de datos de car醕ter personal y el resto de disposiciones legales de aplicaci髇. Tambi閚 deber醤 aplicar la Pol韙ica de Seguridad establecida en este decreto y las normas de seguridad o procedimientos de seguridad que la desarrollen.

Art韈ulo 21 Comisiones, comit閟 y responsables de la Seguridad de la Informaci髇 sectoriales

1. Por orden del Consejero competente en materia inform醫ica pueden crearse otras Comisiones o Comit閟 para el estudio, informe y propuesta sobre seguridad de la informaci髇 en materias sectoriales concretas.

2. Podr醤 crearse Responsables de Seguridad de la Informaci髇 sectoriales en aquellos organismos p鷅licos o entidades de derecho p鷅lico vinculadas o dependientes de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, as� como en aquellos sectores de la Administraci髇 que necesiten un tratamiento particularizado.

3. Los Responsables de Seguridad de la Informaci髇 sectoriales deber醤 respetar en sus actuaciones la Pol韙ica de Seguridad de la Informaci髇 y las normas de seguridad de la informaci髇 o procedimientos de seguridad de la informaci髇 que correspondan, as� como estar coordinados con el Responsable de Seguridad de la Informaci髇 al que se refiere el art韈ulo 14 del presente decreto.

Art韈ulo 22 Protecci髇 de datos personales

Todos los sistemas de informaci髇 se ajustar醤 a los niveles de seguridad requeridos por la normativa de protecci髇 de datos de car醕ter personal.

Art韈ulo 23 Gesti髇 de riesgos

1. La gesti髇 de riesgos es un factor esencial para una exitosa gesti髇 de la seguridad de la informaci髇. En ella deber醤 colaborar los Responsables de la Informaci髇, Responsables de los Servicios, Gestores Responsables, Responsables de los Sistemas y Administradores de Ciberseguridad, seg鷑 sus competencias y funciones.

2. El Responsable de Seguridad de la Informaci髇 impulsar醤 la realizaci髇 de an醠isis de riesgos en su 醡bito de competencias y establecer醤 las pautas para la categorizaci髇 de los sistemas.

3. Por parte del Responsable de Seguridad se realizar� un an醠isis de riesgos de los sistemas de informaci髇 gestionados por la Direcci髇 General con competencias en material inform醫ica, que ser� revisado y aprobado por la Comisi髇 General de Seguridad de la Informaci髇, con car醕ter anual.

Art韈ulo 24 Desarrollo de la Pol韙ica de Seguridad de la Informaci髇

1. La Pol韙ica de Seguridad de la Informaci髇 que establece este decreto se desarrollar� por medio de las Normas de Seguridad de la Informaci髇 y los Procedimientos de Seguridad de la Informaci髇 espec韋icos, en aquellos 醡bitos en que sea conveniente para su correcta gesti髇.

2. Las Normas de Seguridad de la Informaci髇 desarrollan la Pol韙ica de Seguridad de la Informaci髇.

a) Regular醤 con car醕ter general los siguientes aspectos:

• 1�. Usos correctos, e indebidos, de los equipos, servicios e instalaciones.
• 2�. Responsabilidad respecto al cumplimiento o violaci髇 de la Pol韙ica de Seguridad de la Informaci髇 y las normas o procedimientos que la desarrollen.
• 3�. Clasificaci髇 y tratamiento de la informaci髇.
• 4�. Criterios para la asignaci髇 de accesos, su control y seguimiento.
• 5�. Continuidad en la prestaci髇 de los servicios.
• 6�. Seguridad f韘ica.
• 7�. Contrataci髇 de sistemas o servicios tecnol骻icos.
• 8�. Funciones y responsabilidades de seguridad.
• 9�. Otras materias de similares caracter韘ticas.

b) Ser醤 aprobadas mediante orden de la Consejer韆 con competencias en materia inform醫ica, previo informe preceptivo de la Comisi髇 General de Seguridad de la Informaci髇.

3. Los Procedimientos de Seguridad de la Informaci髇 son aquellos que, o bien regulan los detalles operativos o t閏nicos; o bien definen aspectos tecnol骻icos o metodol骻icos relacionados con la seguridad de la informaci髇, aplicados al desarrollo, implantaci髇 o gesti髇 de sistemas, aplicaciones o servicios. Ser醤 aprobados mediante instrucci髇 del titular del 髍gano directivo con competencias en materia inform醫ica, previo informe preceptivo del Comit� T閏nico de Ciberseguridad.

4. La Pol韙ica de Seguridad, Normas de Seguridad y Procedimientos de Seguridad, se complementar醤 con la documentaci髇 t閏nica, metodol骻ica u operativa que resulte necesaria para la adecuaci髇 gesti髇 de la seguridad de la informaci髇 y la implantaci髇 de las medidas de seguridad que sean oportunas.

Art韈ulo 25 Formaci髇, concienciaci髇 e informaci髇

La Direcci髇 General con competencias en materia inform醫ica:

• a) Desarrollar� acciones de formaci髇 y concienciaci髇 en materia de seguridad de la informaci髇.
• b) Procurar� que las personas que utilicen los sistemas de informaci髇 gestionados en al 醡bito de sus competencias, o que accedan a la informaci髇 en ellos contenidos, reciban de forma efectiva informaci髇 sobre las obligaciones que suponen ese uso o acceso.
• c) Dispondr� los medios necesarios para que las personas con responsabilidad en la administraci髇 u operaci髇 tecnol骻ica de los sistemas de informaci髇 reciban la formaci髇 necesaria para desarrollar su actividad acorde a los requisitos y necesidades de una correcta gesti髇 de la seguridad de la informaci髇 y una efectiva aplicaci髇 de las medidas de protecci髇 que correspondan.

Art韈ulo 26 Obligaciones del personal

1. Todas las personas que utilicen o tengan acceso a los sistemas tecnol骻icos o de informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, as� como a la informaci髇 en ellos contenida, tienen las siguientes obligaciones:

• a) Conocer y respetar la Pol韙ica de Seguridad de la Informaci髇, as� como las normas de seguridad y procedimientos de seguridad que la desarrollen y que le afecten.
• b) Atender a las acciones de concienciaci髇 en materia de seguridad de la informaci髇 que se realicen.
• c) Utilizar los servicios y sistemas de informaci髇, as� como la informaci髇 en ellos contenida y a la que tengan acceso, con una finalidad profesional acorde a las tareas encomendadas en funci髇 de su puesto de trabajo y a los fines y prop髎itos que motivaron la concesi髇 del acceso.
• d) Velar por la confidencialidad de la informaci髇 a la que tenga acceso seg鷑 la clasificaci髇 y caracter韘ticas de la misma.
• e) Notificar eventos que puedan suponer un incidente de seguridad o evidencien una debilidad que pueda implicar posteriores incidentes.
• f) Colaborar en la resoluci髇 de incidentes de seguridad y en la realizaci髇 de acciones preventivas cuando sea necesaria su participaci髇.
• g) Participar en la estructura de gesti髇 de la seguridad de la informaci髇 cuando corresponda seg鷑 las competencias y funciones de su puesto de trabajo.
• h) No realizar acciones intencionadas que perjudiquen la seguridad de los sistemas tecnol骻icos o de informaci髇, ni la informaci髇 que contienen.

2. El incumplimiento de estas obligaciones podr� ser sancionado de conformidad con la normativa disciplinaria correspondiente.

3. En el caso de personas vinculadas a entidades externas, el uso se limitar� a las tareas o actividades circunscritas en los t閞minos del contrato o acuerdo que regula la relaci髇 entre esa entidad y la Administraci髇 de la Comunidad Aut髇oma de Cantabria.

4. Los ciudadanos que realicen tr醡ites utilizando los servicios de Administraci髇 Electr髇ica, o que accedan a p醙inas web o sistemas p鷅licos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria, no est醤 afectados por las obligaciones se馻ladas en el apartado 1 de este art韈ulo, si bien, podr醤 aprobarse normas o recomendaciones espec韋icas para el uso o acceso a esos servicios o sistemas que les pudieran afectar, en cuyo caso ser韆n debidamente informados en el acceso a los mismos.

Art韈ulo 27 Terceras partes

1. Cuando se presten servicios a otros organismos o se ceda informaci髇 a terceros:

• a) Se les har� part韈ipes de la Pol韙ica de Seguridad de la Informaci髇 establecida en el presente decreto y de las normas de seguridad o procedimientos de seguridad relacionados con el servicio o la informaci髇 afectados.
• b) Se establecer醤 canales de informaci髇 y coordinaci髇 entre los respectivos responsables de gesti髇 de la seguridad de la informaci髇 y se establecer醤 procedimientos de seguridad para la reacci髇 ante incidentes.

2. Cuando se utilicen servicios o se maneje informaci髇 de otros organismos o entidades, se procurar醤 canales de informaci髇 y coordinaci髇 en materia de seguridad de la informaci髇.

3. En los contratos de adquisici髇 de sistemas o aplicaciones inform醫icas, de prestaci髇 de servicios tecnol骻icos, y tambi閚 en el caso de contratos de prestaci髇 de servicios de otro tipo que implique el uso de servicios, aplicaciones o sistemas inform醫icos internos, se deber醤 tener en cuenta las medidas y consideraciones de seguridad de la informaci髇 que resulten de aplicaci髇, seg鷑 la legislaci髇 vigente en la materia y especialmente lo se馻lado en el art韈ulo 9 del Decreto 74/2014, de 27 de noviembre, de R間imen Jur韉ico de la Administraci髇 Electr髇ica de la Comunidad Aut髇oma de Cantabria. Tambi閚 se deber醤 tener en cuenta las medidas y consideraciones de seguridad de la informaci髇 que resulten de aplicaci髇 legal, en caso de acuerdos de cesi髇 de sistemas, aplicaciones o acceso a servicios de otros organismos o entidades.

4. Cuando alg鷑 aspecto de la Pol韙ica de Seguridad de la Informaci髇 no pueda ser satisfecho por una tercera parte, se requerir� del Responsable de Seguridad de la Informaci髇 un informe sobre los riesgos en que se puede incurrir y la forma de tratarlos. A la vista de dicho informe y antes de que se haga efectiva la prestaci髇 uso, acceso o cesi髇 de que se trate, los responsables de la informaci髇 o de los servicios decidir醤 sobre la aceptaci髇 o no del riesgo residual de los sistemas de informaci髇 relacionados con la informaci髇 o los servicios de los que son responsables.

Art韈ulo 28 Colaboraci髇 con otras entidades p鷅licas

Se promover醤 acuerdos de colaboraci髇 con otras entidades p鷅licas con competencias en materia de seguridad de la informaci髇, especialmente con el Centro Tecnol骻ico Nacional (CCN) y el Instituto Nacional de Ciberseguridad (INCIBE).

Art韈ulo 29 Resoluci髇 de conflictos

En el caso de conflicto sobre alguna decisi髇 relacionada con la seguridad de la informaci髇, 閟ta se resolver� conforme a la siguiente atribuci髇:

• a) Si el conflicto es entre Gestores Responsables de una misma Direcci髇 General, decidir� el Responsable de la Informaci髇 o Responsable del Servicio superior a las partes.
• b) Si el conflicto es entre Gestores Responsables o bien entre Responsable de la Informaci髇 o Responsable del Servicio de dos Direcciones Generales distintas, decidir� el Secretario General de la Consejer韆 correspondiente.
• c) Si el conflicto entre Administradores de Ciberseguridad, decidir� el Responsable del Sistema correspondiente.
• d) Si el conflicto es entre Responsables del Sistemas, decidir� el Responsable de Seguridad de la Informaci髇.
• e) Ante otro tipo de conflictos, decidir� la Comisi髇 General de Seguridad de la Informaci髇.

Disposici髇 adicional primera Adecuaci髇 de las relaciones de puestos de trabajo

La Consejer韆 de Presidencia y Justicia proceder� a las modificaciones y adaptaciones necesarias de los puestos de trabajo afectados por la asignaci髇 de nuevas funciones y tareas previstas en el presente decreto, estableci閚dose para su ejecuci髇 un plazo de 12 meses a partir de su entrada en vigor. As� mismo, en este plazo, esa Consejer韆 adoptar� las actuaciones necesarias para la creaci髇 de la unidad de Responsable de Seguridad de la Informaci髇, y la adscripci髇 org醤ica de los puestos de trabajo necesarios para la correcta prestaci髇 del servicio.

Disposici髇 adicional segunda Adhesiones a la Pol韙ica de Seguridad de la Informaci髇 de la Administraci髇 de la Comunidad Aut髇oma de Cantabria

El Servicio C醤tabro de Salud, las entidades del sector p鷅lico empresarial y fundacional, y otros organismos p鷅licos y entidades de derecho p鷅lico vinculadas o dependientes de la Administraci髇 de la Comunidad Aut髇oma de Cantabria que no utilicen sistemas de informaci髇 gestionados por el 髍gano directivo con competencias en materia inform醫ica, podr醤 adherirse a esta Pol韙ica de Seguridad, estableciendo su propia estructura de gesti髇 de la Seguridad de la Informaci髇 y especificando los mecanismos de desarrollo y adaptaci髇 que sean precisos para atender a sus necesidades espec韋icas.

Disposici髇 transitoria primera Desempe駉 temporal de las funciones de Responsable de Seguridad de la Informaci髇

Hasta que se proceda a la creaci髇 de la unidad de Responsable de Seguridad de la Informaci髇, sus funciones ser醤 realizadas por la persona que tenga encomendadas las tareas de direcci髇, coordinaci髇 y supervisi髇 de la seguridad en tecnolog韆s de la informaci髇 de la Direcci髇 General de Organizaci髇 y Tecnolog韆.

Disposici髇 transitoria segunda Desempe駉 temporal de las funciones asignadas a los titulares de otras unidades u 髍ganos

Hasta que se proceda a las adaptaciones y modificaciones legales necesarias de los 髍ganos y puestos de trabajo afectados por la asignaci髇 de las nuevas funciones y tareas previstas en el presente decreto, 閟tas deber醤 ser prestadas por los actuales titulares de los mismos, desde el momento la entrada en vigor del presente decreto.

Disposici髇 derogatoria 鷑ica Derogaci髇 Normativa

Quedan derogadas cuantas disposiciones de igual o inferior rango que se opongan o contradigan lo dispuesto en este decreto.

Disposici髇 final primera Desarrollo normativo

Se faculta a la Consejera de Presidencia y Justicia para dictar cuantas disposiciones sean precisas para la aplicaci髇 y desarrollo del presente decreto.

V閍se el D [CANTABRIA] 42/2017, 22 junio, por el que se regula el R間imen Jur韉ico de la Autorizaci髇 y Uso de la firma electr髇ica de autoridades y empleados p鷅licos de la Administraci髇 de la Comunidad Aut髇oma de Cantabria y su Sector P鷅lico (獴.O.C.� 28 junio).LE0000600441_20170629

V閍se el D [CANTABRIA] 43/2017, 22 junio, por el que se aprueba la Pol韙ica de Gesti髇 de documentos administrativos electr髇icos, expedientes electr髇icos y archivo electr髇ico de la Administraci髇 de la Comunidad Aut髇oma de Cantabria y su Sector P鷅lico (獴.O.C.� 28 junio).LE0000600442_20170629

Disposici髇 final segunda Entrada en vigor

El presente decreto entrar� en vigor el d韆 siguiente de su publicaci髇 en el Bolet韓 Oficial de Cantabria.