ORDEN SAN/1104/2022, de 8 de julio, por la que se aprueba la Política de Seguridad de la Información del Servicio Aragonés de Salud

ANEXO
POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN DEL SERVICIO ARAGONÉS DE SALUD

1. Objeto.

El presente documento tiene por objeto definir la Política de Seguridad de la Información (en adelante PSI) en el Servicio Aragonés de Salud, que se debe aplicar en el tratamiento de los activos, sistemas y servicios TIC de su titularidad o cuya gestión tenga encomendada, atendiendo al cumplimiento del Esquema Nacional de Seguridad, como determina el artículo 45 de la Ley 5/2021, de 29 de junio, de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón, así como a la normativa en esta materia que resulte de aplicación, con el objetivo de mantener unos niveles adecuados de seguridad y de protección ante amenazas a la información que gestiona y los sistemas y servicios que la procesan, por ser el activo principal para cumplir sus objetivos y llevar a cabo sus funciones.

2. Misión.

En lo que respecta a la PSI, el Servicio Aragonés de Salud actúa de acuerdo con el Texto Refundido de la Ley del Servicio Aragonés de Salud, aprobado por Decreto Legislativo 2/2004, de 30 de diciembre, del Gobierno de Aragón, y con la Ley 6/2002, de 15 de abril, de Salud de Aragón, que establecen los siguientes objetivos básicos del Servicio Aragonés de Salud:

• a) La atención integral de la salud individual y comunitaria de la población aragonesa, mediante la prestación de los servicios sanitarios, en condiciones de igualdad para toda la población.
• b) El aprovechamiento óptimo de los recursos sanitarios disponibles, con el fin de elevar el nivel de salud en la comunidad.
• c) Promover la distribución equitativa de los servicios sanitarios, tendente a superar los desequilibrios territoriales y sociales en el ámbito de la Comunidad Autónoma.
• d) La coordinación funcional de las actividades de las instituciones públicas y privadas, mediante el establecimiento de convenios, conciertos o cualesquiera otras fórmulas de gestión o titularidad compartido, que permita alcanzar el máximo rendimiento de los recursos disponibles y garantizar al máximo la cantidad y calidad de la asistencia sanitaria.

3. Marco legal.

El marco legal en que el Servicio Aragonés de Salud desarrolla sus cometidos está constituido por el conjunto de leyes y normas, tanto de ámbito nacional como autonómico, que desarrollan los principios constitucionales en relación a la protección de la salud, siendo las normas más destacadas las siguientes:

• a) Estatuto de Autonomía de Aragón, aprobado por Ley Orgánica 5/2007, de 20 de abril, en cuyo artículo 14 se establece, sobre el derecho a la salud, que:
  • 1. Todas las personas tienen derecho a acceder a los servicios públicos de salud, en condiciones de igualdad, universalidad y calidad, y los usuarios del sistema público de salud tienen derecho a la libre elección de médico y centro sanitario, en los términos que establecen las leyes.
  • 2. Los poderes públicos aragoneses garantizarán la existencia de un sistema sanitario público desarrollado desde los principios de universalidad y calidad, y una asistencia sanitaria digna, con información suficiente al paciente sobre los derechos que le asisten como usuario.
• b) Ley 6/2002, de 15 de abril, de Salud de Aragón, que tiene por objeto:
  • 1. La regulación general de todas las acciones que permitan hacer efectivo el derecho a la protección de la salud reconocido en los artículos 43 y concordantes de la Constitución.
  • 2. La ordenación del Sistema de Salud de Aragón, en el que se integra y articula funcionalmente el conjunto de actividades, servicios y prestaciones que tienen por finalidad la promoción y protección de la salud, la prevención de la enfermedad y la asistencia sanitaria en los casos de pérdida de la salud, además de las acciones rehabilitadoras oportunas.
• c) Texto Refundido de la Ley del Servicio Aragonés de Salud, aprobado por Decreto Legislativo 2/2004, de 30 de diciembre, del Gobierno de Aragón, en el que se establecen y desarrollan los objetivos y principios del Servicio Aragonés de Salud.
• d) Decreto 122/2020, de 9 de diciembre, por el que se aprueba la estructura orgánica del Departamento de Sanidad y del Servicio Aragonés de Salud, de acuerdo con el cual corresponde a la Dirección General de Transformación Digital, Innovación y Derechos de los Usuarios, la dirección estratégica de la innovación y de la implantación de las tecnologías de la información en el ámbito sanitario, orientada hacia la mejora organizativa, la eficacia en la gestión pública y la seguridad y privacidad en el tratamiento de la información; la gestión de cuyo desarrollo corresponderá a la Subdirección de Garantía de Servicio y Seguridad del Centro de Gestión Integrada de Proyectos Corporativos.

4. Marco normativo en materia de Política de Seguridad TIC.

El diseño, operación, uso y administración de los activos, sistemas y servicios de información y comunicación electrónicos del Servicio Aragonés de Salud deben cumplir las siguientes disposiciones legales y cualesquiera otras que puedan resultar de aplicación:

4.1. Marco normativo nacional e internacional.

El marco normativo general de carácter nacional e internacional, que en materia de seguridad TIC genere responsabilidades en el Servicio Aragonés de Salud, con carácter enunciativo, pero no limitativo, comprende las siguientes normas:

• 1. Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
• 2. Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
• 3. Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica.
• 4. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos o RGPD) y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos).
• 5. Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo DOUEL 04-05-2016 119 C.
• 6. Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión, conocida como la Directiva NIS (Security of Network and Information Systems).
• 7. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que sustituyó la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, para lograr la adaptación del ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, RGPD, y completar sus disposiciones.
• 8. Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, que transpone la Directiva NIS al ordenamiento jurídico español, mediante el establecimiento de mecanismos que, con una perspectiva integral, permiten mejorar la protección frente a las amenazas que afectan a las redes y sistemas de información.
• 9. Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo de 23 de julio de 2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE.
• 10. Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, y a la libre circulación de esos datos, y por el que se derogan el Reglamento (CE) n^o 45/2001 y la Decisión n^o 1247/2002/CE (DO L 295 de 21.11.2018, pp. 39-98).
• 11. Reglamento (UE) 2019/881 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, relativo a ENISA (Agencia de la Unión Europea para la Ciberseguridad) y a la certificación de la ciberseguridad de las tecnologías de la información y la comunicación y por el que se deroga el Reglamento (UE) n^o 526/2013 («Reglamento sobre la Ciberseguridad»).
• 12. Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, por la que se deroga la Ley 59/2003, de 19 de diciembre, de firma electrónica, y los preceptos incompatibles con el Reglamento (UE) 910/2014.
• 13. Real Decreto 43/2021, de 26 de enero, que desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, en lo relativo al establecimiento de un marco estratégico e institucional de seguridad de las redes y sistemas de información, la supervisión del cumplimiento de las obligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales, y a la gestión de los incidentes de seguridad.

4.2. Marco normativo autonómico.

El marco normativo autonómico en materia de PSI comprende las siguientes normas:

• 1. Decreto 114/2010, de 22 de junio, del Gobierno de Aragón, por el que se crean y suprimen ficheros de datos de carácter personal del Departamento de Salud y Consumo y del Servicio Aragonés de Salud.
• 2. Decreto 30/2015, de 9 de marzo, del Gobierno de Aragón, por el que se crean ficheros de datos de carácter personal del Servicio Aragonés de Salud y se modifica el Decreto 114/2010, de 22 de junio, del Gobierno de Aragón, por el que se crean y suprimen ficheros de datos de carácter personal del Departamento de Salud y Consumo y del Servicio Aragonés de Salud.
• 3. Orden de 16 de marzo de 2015, del Consejero de Sanidad, Bienestar Social y Familia, por la que se aprueba la Política de Seguridad de las Tecnologías de la Información y la Comunicación en el Servicio Aragonés de Salud y se crea el Comité de Seguridad de la Información y la figura del Responsable de Seguridad.
• 4. Resolución de 19 de diciembre de 2016, de la Dirección Gerencia del Servicio Aragonés de Salud, por la que se delega la competencia en la tramitación de las solicitudes relativas al ejercicio de los derechos de acceso, rectificación, cancelación y oposición en materia de protección de datos.
• 5. Decreto 26/2018, de 6 de febrero, del Gobierno de Aragón, por el que se crean los ficheros de datos de carácter personal Base de Datos de Quejas, Sugerencias y Gestorías en el Ámbito Sanitario y Base de Datos de Salud Informa y se modifican los ficheros Registro de Usuarios del Sistema de Salud de Aragón y Registro Autonómico de Voluntades Anticipadas del Departamento de Sanidad.
• 6. Real Decreto-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones.
• 7. Ley 5/2021, de 29 de junio, de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón.

4.3. Marco de recomendaciones y estándares.

El marco de recomendaciones y estándares reconocidos en materia de seguridad TIC comprende las siguientes normas:

• 1. Norma ISO/IEC27001, Tecnología de la información. Técnicas de seguridad. Sistemas de Gestión de la Seguridad de la Información (SGSI).
• 2. Norma ISO/IEC 27002, Código de buenas prácticas para la Gestión de la Seguridad de la Información.
• 3. Normas UNE-EN ISO 22313:2020 Seguridad y resiliencia. Sistemas de gestión de la continuidad del negocio. Directrices para la utilización de la norma ISO 22301.
• 4. Normas UNE-EN ISO 22301:2020 Seguridad y resiliencia. Sistema de Gestión de la Continuidad del Negocio. Requisitos.

5. Objetivos de la Política de Seguridad de la Información.

El uso extensivo de tecnologías de la información en el Servicio Aragonés de Salud hace necesario definir una Política de Seguridad de la Información, con el objetivo de establecer directrices básicas y duraderas para una protección eficaz de la información.

La presente Política de Seguridad de la Información constituye el marco de referencia para establecer el Sistema de Gestión de la Seguridad de la Información (SGSI) del Servicio Aragonés de Salud. El enfoque para la gestión de la seguridad adoptado en el SGSI se basará en el recomendado por la norma ISO/IEC27001 (Tecnología de la información-Técnicas de seguridad-Sistemas de Gestión de la Seguridad de la Información (SGSI)-Requisitos). Las directrices recogidas en este documento han sido tomadas de acuerdo con el estándar ISO/IEC 27002 («Código de buenas prácticas para la Gestión de la Seguridad de la Información»), que establece un marco de referencia en cuanto a la seguridad de la información, respaldado y reconocido internacionalmente. Este marco tecnológico, organizativo y procedimental de seguridad se sustenta en un conjunto de normas, estándares, procedimientos y herramientas de seguridad para la protección de la información, entre ellos la metodología MAGERIT de análisis y gestión de riesgos.

La aprobación de esta política manifiesta el interés del Servicio Aragonés de Salud en la gestión de la seguridad de la información y en la mejora continua del SGSI. Con ella se establecen los objetivos y las responsabilidades necesarias para proteger los activos de información, garantizando la integridad, disponibilidad y confidencialidad de los mismos, cumpliendo el marco legal vigente y respetando las directrices, normas y procedimientos que oportunamente se establezcan, de modo que persigue la consecución de los siguientes objetivos:

• a) Establecer las directrices precisas para garantizar la seguridad de la información, preservando, protegiendo y consolidando la seguridad de los servicios y activos de información, con el fin de mejorar la calidad de los servicios que se prestan a los ciudadanos.
• b) Garantizar la implantación de las medidas y de los mecanismos de seguridad apropiados para proteger los servicios prestados, los sistemas de información empleados para prestarlos y la información procesada, almacenada o transmitida por estos, de manera coherente con los riesgos afrontados, que serán previamente analizados y valorados.
• c) Impulsar y fomentar la formación, la concienciación y el cumplimiento de las obligaciones en materia de seguridad de la información por parte del personal al servicio del Servicio Aragonés de Salud, a fin de garantizar el conocimiento de las políticas y las normativas aprobadas, así como de las prácticas recomendadas, con el fin de conseguir que la seguridad de la información se convierta en un factor inherente al desarrollo de las funciones y de las operativas cotidianas.
• d) Garantizar la operación continua y adecuada de los servicios y sistemas y actuar para prevenir, detectar, reaccionar y operar de modo oportuno ante los incidentes de seguridad que se produzcan, y garantizar la implantación de los mecanismos que aseguren la continuidad de las actividades críticas, permitiendo su recuperación en un período aceptable, como un proceso de mejora continua, basado en el análisis y la gestión sistematizada de los riesgos.
• e) Garantizar la aplicación de las medidas técnicas y organizativas apropiadas con el fin de atender la protección de datos desde el diseño y por defecto.
• f) Asegurar que se cumpla la normativa vigente en materia de seguridad y protección de datos a la que el Servicio Aragonés de Salud se deba someter.
• g) Establecer una estructura organizativa adecuada para la gestión de la seguridad de la información, definiendo los roles y comités necesarios y las funciones y responsabilidades respectivas.
• h) Garantizar la eficacia de las medidas de seguridad implantadas mediante las pertinentes evaluaciones, auditorías y certificaciones que corresponda.

6. Principios de la Política de Seguridad de la Información.

La política de seguridad de la información del Servicio Aragonés de Salud se desarrollará, con carácter general, de acuerdo a los principios referidos a la confidencialidad, integridad y disponibilidad, recogidos en el artículo 1.2 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, como a los referidos a la privacidad desde el diseño, recogidos en el Capítulo II del Reglamento (UE) 2016/679 (RGPD).

6.1. Principios referidos a la confidencialidad, integridad y disponibilidad.

• a) Principio de seguridad integral en el ciclo de vida de activos TIC.

  Las especificaciones de seguridad se incluirán en todas las fases del ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control.

  Se prestará la máxima atención a la concienciación de las personas que intervienen en el proceso y a sus responsables jerárquicos, para que, ni la ignorancia, ni la falta de organización y coordinación, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad, de modo que la seguridad TIC sea parte integral de cada etapa del ciclo de vida, desde su concepción hasta su retirada de servicio, pasando por las decisiones de desarrollo o adquisición y las actividades de explotación.

• b) Principio de gestión de riesgos.

  Se articulará un proceso continuo de análisis y tratamiento de riesgos como mecanismo básico sobre el que debe descansar la gestión de la seguridad de los activos TIC.

  La gestión de riesgos permitirá el mantenimiento de un entorno controlado, minimizando los riesgos hasta niveles aceptables. La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza de los datos y los tratamientos, los riesgos a que estén expuestos y las medidas de seguridad.

• c) Principio de prevención, reacción y recuperación.

  La seguridad del sistema debe contemplar los aspectos de prevención, detección y corrección, para conseguir que las amenazas no se materialicen, no afecten gravemente a la información que maneja o a los servicios que se prestan.

  Las medidas de prevención deben eliminar o, al menos reducir, la posibilidad de que las amenazas lleguen a materializarse con perjuicio para el sistema. Estas medidas de prevención contemplarán, entre otras, la disuasión y la reducción de la exposición.

  Las medidas de detección estarán acompañadas de medidas de reacción, de forma que los incidentes de seguridad sean atajados a tiempo.

  Las medidas de recuperación permitirán la restauración de la información y los servicios, de forma que se pueda hacer frente a las situaciones en las que un incidente de seguridad inhabilite los medios habituales.

  Sin menoscabo de los demás principios básicos y requisitos mínimos establecidos, el sistema garantizará la conservación de los datos e informaciones en soporte electrónico.

  De igual modo, el sistema mantendrá disponibles los servicios durante todo el ciclo vital de la información digital, a través de una concepción y procedimientos que sean la base para la preservación del patrimonio digital.

• d) Principio de líneas de defensa.

  El sistema ha de disponer de una estrategia de protección constituida por múltiples capas de seguridad, de forma que, cuando una de las capas falle, permita las siguientes ventajas:

  • - Ganar tiempo para una reacción adecuada frente a los incidentes que no han podido evitarse.
  • - Reducir la probabilidad de que el sistema sea comprometido en su conjunto.
  • - Minimizar el impacto final sobre el sistema.

  Las líneas de defensa han de estar constituidas por medidas de naturaleza organizativa, física y lógica.

• e) Principio de evaluación y actualización periódica para la mejora continua.

  Las medidas de seguridad, así como el grado de eficacia de los controles de seguridad TIC, se reevaluarán y actualizarán periódicamente, para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección, llegando incluso a un replanteamiento de la seguridad, si fuese necesario.

• f) Principio de función diferenciada.

  En los sistemas de información se diferenciará el responsable de la información, el responsable del servicio y el responsable de la seguridad.

  El responsable de la información determinará los requisitos de la información tratada; el responsable del servicio determinará los requisitos de los servicios prestados: y el responsable de seguridad determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios.

  La responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios.

  La política de seguridad de la organización detallará las atribuciones de cada responsable y los mecanismos de coordinación y resolución de conflictos.

• g) Principio de disponibilidad y continuidad.

  Se garantizará un alto nivel de disponibilidad en los activos TIC y se dotarán de los planes y medidas necesarias para asegurar la continuidad de los servicios y la recuperación ante posibles contingencias graves.

6.2. Principios referidos a la privacidad desde el diseño.

• a) Principio de responsabilidad proactiva.

  Este principio exige una actitud consciente, diligente y proactiva (Accountability) frente a todos los tratamientos de datos personales que se lleven a cabo en el Servicio Aragonés de Salud, de modo que el responsable del tratamiento debe aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD ante los interesados o ante las autoridades supervisoras.

  Para garantizar y poder demostrar la conformidad de las actuaciones de tratamiento de datos con el RGPD, el responsable del tratamiento promoverá la realización de una evaluación analítica de impacto para conocer qué datos se tratan, con qué finalidades y qué tipo de operaciones de tratamiento se llevan a cabo. A partir de este conocimiento, debe determinar de forma explícita la forma en que aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que puede demostrarse ante los interesados y ante las autoridades de supervisión.

  Con el principio de responsabilidad proactiva, se relacionan y deben atenderse conjuntamente los principios de privacidad desde el diseño, de privacidad por defecto, de minimización de datos y de transparencia.

• b) Principios de calidad, de exactitud y corrección.

  Se deberá garantizar los mecanismos para asegurar que los procesos de creación, tratamiento, almacenamiento y distribución de la información contribuyen a preservar su exactitud y corrección, de modo que los datos sometidos a tratamiento deben ser exactos y, si fuera preciso, actualizados, debiendo adoptarse todas las medidas razonables para que se rectifiquen o supriman los datos inexactos en relación a los fines que se persiguen.

• c) Principio de desvinculación.

  Se garantizará que el procesamiento de la información se realice de modo que los datos personales de un dominio de tratamiento no puedan vincularse con los datos personales de otro dominio diferente o que el establecimiento de dicha vinculación suponga un esfuerzo desproporcionado.

  Este principio de desvinculación (Unlinkability) se relaciona con los principios de minimización de datos, de limitación de la finalidad y de limitación del plazo de conservación.

• d) Principios de integridad y confidencialidad.

  Se deberá garantizar que los activos de información sean accesibles únicamente para aquellas personas usuarias, órganos y entidades o procesos expresamente autorizados para ello, con respeto a las obligaciones de secreto y sigilo profesional.

  Este principio se relaciona con el principio de mínimos privilegios.

• e) Principio de mínimos privilegios (PoLP).

  Se deberá garantizar la asignación de niveles (o permisos) de acceso mínimos necesarios para el desempeño de las funciones laborales de los usuarios, para lo que se establecerán las oportunas medidas de protección y gestión centralizadas de las credenciales con privilegios, además de controles flexibles que equilibren los requisitos de ciberseguridad y cumplimiento con las necesidades operativas y de los usuarios finales.

• f) Principio de la limitación de finalidad.

  Se establecerán las medidas necesarias con el fin de asegurar que la recogida de datos se limite a tratar exclusivamente los datos que necesariamente hayan de ser recabados con fines determinados, explícitos y legítimos.

  Este principio requiere la obligación de que los datos sean tratados con una o varias finalidades determinadas, explícitas y legítimas, derivadas de un consentimiento explícito del interesado, además de que se prohíbe que los datos recogidos con unos fines determinados, explícitos y legítimos sean tratados posteriormente de modo incompatible con tales fines.

  Este principio se relaciona y debe cumplirse conjuntamente con los principios de integridad y calidad, así como de exactitud y corrección de los datos recogidos.

• g) Principio de concienciación y formación.

  Se articularán iniciativas destinadas a promover que los usuarios conozcan sus deberes y obligaciones en cuanto al tratamiento seguro de la información. Asimismo, se fomentará la formación específica en materia de seguridad TIC de todos aquellos trabajadores que gestionan y administran sistemas de información y telecomunicaciones.

• h) Principio de proporcionalidad en coste.

  La implantación de medidas que mitiguen los riesgos de seguridad de los activos TIC deberá hacerse bajo un enfoque de proporcionalidad en los costes económicos y operativos, teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas.

  De acuerdo con este «enfoque de riesgo», algunas de las medidas establecidas por el RGPD se aplicarán solo cuando exista un riesgo alto para los derechos y libertades, mientras otras deberán ser moduladas en función del nivel y tipo de riesgo de los tratamientos realizados.

• i) Principio de control e intervención.

  Se deberá garantizar la posibilidad de que las partes involucradas en el tratamiento de los datos personales y, principalmente, los sujetos cuyos datos son tratados, puedan intervenir (Intervenability) en el tratamiento, cuando sea necesario, para aplicar medidas correctivas al procesamiento de la información, lo que sucede para el ejercicio de derechos de los interesados, la presentación de reclamaciones o la revocación de consentimientos.

• j) Principio de privacidad desde el diseño.

  Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del artículo 25 del Reglamento 2016/679 y proteger los derechos de los interesados.

  Este principio de «privacidad desde el diseño» (Privacy by Design, PbD) se relaciona con el principio de privacidad por defecto (PDpD) y con el principio de seguridad de extremo a extremo.

• k) Principio de privacidad por defecto.

  El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas para garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Las medidas garantizarán que, por defecto, los datos personales no sean accesibles a un número indeterminado de personas sin la intervención del interesado.

  Este principio de privacidad por defecto (PDpD) se relaciona con el principio de minimización de datos y con el principio de transparencia, cuyo cumplimiento debe realizarse conjuntamente.

• l) Principio de seguridad de extremo a extremo.

  La privacidad debe englobar el ciclo de vida completo del sistema o servicio, de modo que, desde el primer momento, antes incluso de que el primer dato personal sea recolectado, hasta la eliminación del servicio, la privacidad ha debido de ser constante.

• m) Principio de minimización de datos y limitación del plazo de conservación.

  Se deben establecer las medidas oportunas orientadas a garantizar que el procesamiento de datos realizado sea mínimamente intrusivo, en el sentido de afectar a la mínima cantidad de datos personales y aplicar una mínima extensión del tratamiento, un mínimo plazo de conservación y una mínima exposición a la accesibilidad, de modo que se garantice que los datos sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.

  Dado que los datos personales no pueden conservarse o mantenerse más tiempo del estrictamente necesario para los fines del tratamiento, es necesario establecer plazos para la eliminación de estos datos, así como de su revisión periódica.

  Este principio se relaciona con el principio de privacidad por defecto (PDpD) y con el principio de exactitud de los datos.

• n) Principios de licitud, transparencia y lealtad.

  Se garantizará que los datos son tratados de manera lícita, legítima y transparente para el interesado, con el objetivo de dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679, debiéndose facilitar al afectado información básica referente a la identidad del responsable y la finalidad del tratamiento, así como una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información, así como la posibilidad de ejercer los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679.

7. Requisitos de la Política de Seguridad de Información.

La política de seguridad de la información del Servicio Aragonés de Salud se establecerá en base a los principios básicos indicados y se desarrollará aplicando los siguientes requisitos mínimos, los cuales se exigirán con un enfoque de proporcionalidad en los costes económicos y operativos, en base a los riesgos identificados en cada sistema, pudiendo algunos no requerirse en sistemas sin riesgos significativos, y se cumplirán de acuerdo con lo establecido en el artículo 27 del Esquema Nacional de Seguridad:

• a) Organización e implantación del proceso de seguridad.

  La seguridad compromete a todos los miembros de la organización. La preservación de la seguridad TIC será considerada objetivo común de todos los empleados del Servicio Aragonés de Salud, siendo éstos responsables del uso correcto de los activos TIC puestos a su disposición.

  Los responsables de cada unidad deberán velar por el cumplimiento de la política de seguridad, que deberá ser conocida por todos los miembros de la organización.

• b) Análisis y gestión de los riesgos.

  Cada unidad que desarrolle e implante sistemas para el tratamiento de la información y las comunicaciones realizará su propia gestión de riesgos.

  Esta gestión se realizará por medio del análisis y tratamiento de los riesgos a los que está expuesto el sistema. A estos efectos, se empleará alguna metodología reconocida internacionalmente.

  Las medidas adoptadas para mitigar o suprimir los riesgos deberán estar justificadas y, en todo caso, existirá una proporcionalidad entre ellas y los riesgos.

• c) Gestión de personal.

  Todo el personal relacionado con la información y los sistemas deberá ser formado e informado de sus deberes y obligaciones en materia de seguridad. Sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos establecidos.

  El personal relacionado con la información y los sistemas ejercitará y aplicará los principios de seguridad en el desempeño de su cometido.

  El significado y alcance del uso seguro del sistema se concretará en unas normas de seguridad.

  Para corregir, o exigir responsabilidades en su caso, cada usuario que acceda a la información del sistema debe estar identificado de forma única, de modo que sea conocido, en todo momento, quién recibe derechos de acceso, de qué tipo, y quién ha realizado determinada actividad.

• d) Profesionalidad.

  La seguridad de los sistemas estará atendida, revisada y auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida: instalación, mantenimiento, gestión de incidencias y desmantelamiento.

  El personal de cada unidad del Servicio Aragonés de Salud recibirá la formación específica necesaria para garantizar la seguridad de las tecnologías de la información aplicables a los sistemas y servicios de la organización.

  Las unidades del Servicio Aragonés de Salud exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten con unos niveles idóneos de gestión y madurez en los servicios prestados.

• e) Autorización y control de los accesos.

  El acceso al sistema de información deberá ser controlado y limitado a los usuarios, procesos, dispositivos y otros sistemas de información, debidamente autorizados, restringiendo el acceso a las funciones permitidas.

• f) Protección de las instalaciones.

  Los sistemas se instalarán en áreas separadas, dotadas de un procedimiento de control de acceso. Como mínimo, las salas deben estar cerradas y disponer de un control de llaves.

• g) Adquisición de productos de seguridad.

  En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones, que vayan a ser utilizados por el Servicio Aragonés de Salud, se valorarán positivamente aquellos que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición.

  La certificación indicada en el apartado anterior deberá estar de acuerdo con las normas y estándares de mayor reconocimiento internacional, en el ámbito de la seguridad funcional.

• h) Seguridad por defecto.

  Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad por defecto: El sistema proporcionará la mínima funcionalidad requerida para que la organización sólo alcance sus objetivos, y no alcance ninguna otra funcionalidad adicional.

  Las funciones de operación, administración y registro de actividad serán las mínimas necesarias, y se asegurará que sólo sean accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados.

  En un sistema de explotación se eliminarán o desactivarán, mediante el control de la configuración, las funciones que no sean de interés, sean innecesarias e, incluso, aquellas que sean inadecuadas al fin que se persigue.

  El uso ordinario del sistema ha de ser sencillo y seguro, de modo que un uso inseguro requiera de un acto consciente por parte del usuario.

• i) Integridad y actualización del sistema.

  Todo elemento físico o lógico requerirá autorización formal previa a su instalación en el sistema.

  Se deberá conocer en todo momento el estado de seguridad de los sistemas, en relación a las especificaciones de los fabricantes, a las vulnerabilidades y a las actualizaciones que les afecten, reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de los mismos.

• j) Protección de información almacenada y en tránsito.

  En la estructura y organización de la seguridad del sistema, se prestará especial atención a la información almacenada o en tránsito a través de entornos inseguros. Tendrán la consideración de entornos inseguros los equipos portátiles, smartphones, asistentes personales (PDA), dispositivos periféricos, soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.

  Forman parte de la seguridad los procedimientos que aseguren la recuperación y conservación a largo plazo de los documentos electrónicos producidos por el Servicio Aragonés de Salud en el ámbito de sus competencias.

  Toda información en soporte no electrónico, que haya sido causa o consecuencia directa de la información electrónica, deberá estar protegida con el mismo grado de seguridad que ésta. Para ello se aplicarán las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicación a la seguridad de los mismos.

• k) Prevención ante otros sistemas de información interconectados.

  El sistema ha de proteger el perímetro, en particular si se conecta a redes públicas. Se entenderá por red pública de comunicaciones la red de comunicaciones electrónicas que se utiliza, en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público, de conformidad a la definición establecida en el apartado 32 del anexo II, de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones. En todo caso se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión.

• l) Registro de actividad.

  Con la finalidad exclusiva de lograr el cumplimiento de la Política de Seguridad de la Información del Servicio Aragonés de Salud y de la normativa aplicable, con plenas garantías del derecho al honor, a la intimidad personal y familiar y a la propia imagen de los afectados, y de acuerdo con la normativa sobre protección de datos personales, de función pública o laboral, y demás disposiciones que resulten de aplicación, se registrarán las actividades de los usuarios, reteniendo la información necesaria para monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, permitiendo identificar en cada momento a la persona que actúa.

• m) Incidentes de seguridad.

  Se establecerá un sistema de detección y reacción frente a código dañino.

  Se registrarán los incidentes de seguridad que se produzcan y las acciones de tratamiento que se sigan. Estos registros se emplearán para la mejora continua de la seguridad del sistema.

• n) Continuidad de la actividad.

  Los sistemas dispondrán de copias de seguridad y establecerán los mecanismos necesarios para garantizar la continuidad de las operaciones, en caso de pérdida de los medios habituales de trabajo

• o) Mejora continua del proceso de seguridad.

  El proceso integral de seguridad implantado deberá ser actualizado y mejorado de forma continua. Para ello, se aplicarán los criterios y métodos reconocidos en la práctica nacional e internacional relativos a gestión de las tecnologías de la información.

8. Cumplimiento de requisitos mínimos.

Para dar cumplimiento a los requisitos mínimos anteriores se aplicarán las medidas de seguridad correspondientes, teniendo en cuenta:

• - Los activos que constituyen el sistema.
• - La categoría del sistema, según lo previsto en el Esquema Nacional de Seguridad.
• - Las decisiones que se adopten para gestionar los riesgos identificados.
• - Las prácticas normalizadas, establecidas por los CERT de referencia, en cuanto a los siguientes aspectos:
  • a) Los procedimientos de gestión y notificación de incidentes y riesgos.
  • b) Los sistemas de clasificación de incidentes, riesgos e información.

Cuando un sistema al que afecte maneje datos de carácter personal, le será de aplicación lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y su normativa de desarrollo, sin perjuicio de los requisitos establecidos en el Esquema Nacional de Seguridad.

Las medidas a las que se refieren los apartados anteriores tendrán la condición de mínimos exigibles, y podrán ser ampliados por causa de la concurrencia indicada o del prudente arbitrio del responsable de la información, habida cuenta del estado de la tecnología, la naturaleza de los servicios prestados y la información manejada, y los riesgos a que están expuestos.

La relación de medidas de seguridad seguirá las indicaciones al respecto, referidas en el Esquema Nacional de Seguridad, y se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de seguridad.

Las medidas de seguridad referenciadas en el Anexo II del ENS podrán ser reemplazadas por otras compensatorias, siempre y cuando se justifique documentalmente que protegen igual o mejor el riesgo sobre los activos, según indica el ENS, y se satisfacen los principios básicos y los requisitos mínimos previstos en los capítulos II y III, respectivamente, del ENS. Como parte integral de la Declaración de Aplicabilidad, se indicará de forma detallada la correspondencia entre las medidas compensatorias implantadas y las medidas recogidas en el Anexo II del ENS que compensan, y el conjunto será objeto de la aprobación formal por parte del responsable de seguridad.

9. Ámbito de aplicación.

El alcance de la política de seguridad incluye a todos los hospitales, centros de salud, centros de salud mental, consultorios, centros de atención especializada, centros de atención sociosanitaria, puntos de atención continuada, servicios de urgencia de atención primaria, 061 y centros directivos y de administración del Servicio Aragonés de Salud en la Comunidad Autónoma de Aragón en los que los empleados acceden a los sistemas de información del Servicio Aragonés de Salud, así como las empresas proveedoras de servicios relacionados.

La política de seguridad es aplicable a todos los sistemas de información del Servicio Aragonés de Salud y/o que den soporte a sus procesos, y afecta a todos los activos de información sustentados en ellos. La política de seguridad se encuentra enmarcada en el sistema de gestión de la seguridad de la información (SGSI) del Servicio Aragonés de Salud.

10. Normativa de seguridad.

El sistema de gestión de la seguridad de la información (SGSI) queda formalmente establecido mediante una normativa de seguridad, formada por la presente política y las normas, estándares y procedimientos operativos que la desarrollan. El responsable de seguridad se encargará de la gestión de los documentos de la normativa, debiendo asegurar que ésta sea completa y proporcione información suficiente para definir las necesidades de protección de la información y los activos asociados a la misma en el ámbito del Servicio Aragonés de Salud. Los documentos de la normativa de seguridad serán publicados y divulgados con el objetivo de que sean conocidos y aplicados por todos los usuarios afectados.

11. Organización y gestión de la seguridad de la información.

11.1. Responsabilidad general.

Todos y cada uno de los usuarios de los sistemas de información del Servicio Aragonés de Salud son responsables de la seguridad de los activos TIC, mediante un uso correcto de los mismos, siempre de acuerdo con sus atribuciones profesionales.

11.2. Responsabilidad específica.

La gestión de los procesos de seguridad recogidos en el SGSI del Servicio Aragonés de Salud es responsabilidad de un conjunto de personas con funciones concretas, definidas y documentadas. El personal que desempeñe tareas específicas relacionadas con seguridad de la información, recibirá la formación adecuada que se ajuste a sus funciones y nivel de responsabilidad. Para una mejor respuesta ante incidentes de seguridad, el Servicio Aragonés de Salud mantendrá relaciones de cooperación en materia de seguridad con las autoridades competentes, otros Departamentos y entidades del Gobierno de Aragón, proveedores de servicios informáticos o de comunicación, así como organismos públicos o privados dedicados a promover la seguridad de los sistemas de información.

11.3. Estructura organizativa.

La organización de la seguridad de la información se articula mediante los siguientes componentes y perfiles, de acuerdo con los roles para gestión de la seguridad TIC establecidos en el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, y en el Reglamento (UE) 2016/679, RGPD:

• - Responsable de la información.
• - Comité de Seguridad de la Información del Servicio Aragonés de Salud, órgano científicotécnico.
• - Responsable de seguridad TIC, que formara parte del Comité de Seguridad de la Información.
• - Delegado de protección de datos.
• - Responsables de los sistemas y tecnologías.
• - Responsables de los Servicios.

Para garantizar el principio de diferenciación de responsabilidades, formulado en el artículo 11 del ENS y asumido entre los principios de la presente Política de Seguridad, es exigencia que sean diferenciados el responsable de la información, el responsable del servicio y el responsable de la seguridad. La política de seguridad de la organización detallará las atribuciones de cada responsable y los mecanismos de coordinación y resolución de conflictos.

12. Responsable de la información.

Como responsable de la información estará la persona que esté designada en el cargo de la Dirección Gerencia del Servicio Aragonés de Salud.

AI responsable de la información, le corresponden las siguientes funciones:

• a) Determinar los fines y los medios relacionados con el tratamiento de los datos personales y, para dar cumplimiento del principio de responsabilidad proactiva que le atribuye el RGPD, aplicar las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD. Para ello, promoverá el análisis de qué datos se tratan, con qué finalidades y qué tipo de operaciones de tratamiento se llevan a cabo. A partir de este conocimiento, debe determinar, de forma explícita, la forma en que se aplicarán las medidas que el RGPD prevé, asegurándose de que esas medidas son las adecuadas para cumplir con el mismo y de que el Servicio Aragonés de Salud puede demostrarlo ante los interesados y ante las autoridades de supervisión.
• b) Establecer los requisitos de seguridad de la información, de acuerdo con los criterios establecidos por la política de seguridad de la información.
• c) Comunicar los requisitos de seguridad de la información a los responsables de la seguridad de la información competentes.
• d) Asumir la responsabilidad final de implantar las medidas de protección de aquella.
• e) Asumir la responsabilidad de gestión de los riesgos sobre la información, monitorizar y aceptar el riesgo residual.

13. Responsable de seguridad .

AI frente de la gestión de la seguridad de la información habrá un responsable de la misma, que será designado por la Dirección Gerencia del Servicio Aragonés de Salud, entre profesionales de la misma.

En su caso, el responsable de seguridad de la información podrá compatibilizar este cargo con las funciones propios de su puesto de trabajo.

AI responsable de seguridad le corresponden las siguientes funciones:

• a) Asumir las funciones atribuidas al responsable de seguridad por el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad, el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, y el Real Decreto 43/2021, de 26 de enero, que lo desarrolla y por el resto de la normativa vigente en la materia.
• b) Proponer, coordinar, informar, gestionar los incidentes y hacer seguimiento de las actuaciones relacionadas con la seguridad TIC de los activos de información del Servicio Aragonés de Salud, así como la realización de las auditorías periódicas que correspondan.
• c) Asesorar y dar soporte al Comité de Seguridad de la Información en materia de seguridad TIC en el Servicio Aragonés de Salud, elevando propuestas e informes y elaborando los procedimientos que sean necesarios.
• d) Coordinarse con los servicios informáticos del Servicio Aragonés de Salud, del Departamento de Sanidad y los servicios corporativos del Gobierno de Aragón, tanto en materia de sistemas de información en general, como de seguridad de la información en particular.
• e) Canalizar la relación con el Servicio competente en materia de seguridad de la información, legalización de actividades de tratamiento y tramitación de su registro ante el órgano competente en materia de protección de datos de la Comunidad Autónoma de Aragón.
• f) Proponer la inclusión, adecuación y clasificación de Sistemas de Información que forman parte del Inventario de activos de Información del Servicio Aragonés de Salud, especialmente los relativos a la Historia Clínica Electrónica y a las actividades de tratamiento con datos personales declarados, así como evaluar y gestionar los riesgos que atañen a los mismos, para determinar el impacto de las amenazas. No obstante, establecer las valoraciones respecto a la categoría de cada sistema de información serán atribuidas a los responsables de cada sistema de información o servicio.
• g) Implantar criterios comunes para la correcta gestión de los derechos de acceso, rectificación, supresión y oposición, y de limitación del tratamiento y portabilidad respecto a datos de salud, y la conservación y destrucción de documentos que contempla la Ley Orgánica 3/2018, de 5 de diciembre, sobre la Historia Clínica Electrónica y las actividades de tratamiento con datos personales, declarados responsabilidad de la Dirección Gerencia del Servicio Aragonés de Salud, gestionando y resolviendo cualquier cuestión relacionada que le sea planteada, teniendo en cuenta siempre los criterios y directrices establecidos por la Dirección General de Administración Electrónica y Sociedad de la Información, competente en materia de protección de datos del Gobierno de Aragón.
• h) Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, le corresponde impulsar y velar por el cumplimiento del principio de «privacidad desde el diseño», en relación a la utilización, desde el diseño, tanto al determinar los medios de tratamiento, como en el momento del propio tratamiento, de las medidas técnicas y organizativas apropiadas (como la minimización de datos y la seudonimización) que permitan aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento de datos personales, para que estén presentes a lo largo de toda la vida del tratamiento, es decir, desde el momento en que se diseña, se pone en práctica y finalmente se suprime o finaliza el tratamiento, a fin de proteger los derechos de los interesados como establece el artículo 25 del Reglamento 2016/679 y la LO 3/2018.
• i) Impulsar y velar por el cumplimiento de los principios de «privacidad por defecto» y de «minimización» , en relación a la aplicación de las medidas técnicas y organizativas apropiadas para que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento, lo cual se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad, con el fin de garantizar en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.
• j) Elaborar propuestas de actividades formativas e informativas dirigidas a profesionales sobre el uso seguro de los Sistemas de Información y a profesionales y pacientes sobre el uso seguro de la Historia Clínica Electrónica, promoviendo de esa forma la cultura de la Seguridad de la Información y la concienciación en esa materia de los profesionales del Servicio Aragonés de Salud.
• k) Establecer los mecanismos de coordinación necesarios, en materia de seguridad de la información, con las diferentes Comisiones de Historias Clínicas existentes en los Sectores Sanitarios del Servicio Aragonés de Salud.
• l) Impulsar y suscribir la Declaración de aplicabilidad de las medidas de seguridad para los sistemas, servicios y procesos de información en el ámbito del Servicio Aragonés de Salud, conforme define el ENS y requiere el RD 43/2021 o el estándar UNE ISO/IEC 27001, que, si recoge medidas compensatorias, indicará de forma detallada la correspondencia con las medidas recogidas en el Anexo II del ENS que compensan y que deberá ser revisada, al menos, cada 3 años.

14. Delegado de protección de datos.

La figura del delegado de protección de datos, establecida en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos, es nombrada por el Consejero/a en materia de salud, conforme a los criterios establecidos por el Gobierno de Aragón.

El delegado de protección de datos del Servicio Aragonés de Salud tiene asignadas las siguientes funciones:

• a) Prestar soporte, asesoramiento e información al responsable del tratamiento, al Servicio Aragonés de Salud, al Comité de Seguridad de la Información o a los responsables de seguridad o de sistemas y tecnologías o servicios, en cumplimento de la obligación de supervisar la observancia del RGPD que le encomienda el artículo 39.1.b) del RGPD.
• b) Asesorar al responsable del tratamiento acerca de la evaluación de impacto sobre la protección de datos (EIPD) de las operaciones de tratamiento de datos, o para proyectos de medidas legislativas, y supervisar su aplicación de conformidad con los apartados 1 y 2 del artículo 35 del RGPD, así como definir la base legal en que se sustenta el desarrollo del tratamiento en la información proporcionada a los interesados en el momento de recoger sus datos.
• c) Diseñar y ejecutar actuaciones como los proyectos de desarrollo normativo, las auditorías técnicas y los planes de adecuación legal.
• d) Definir, implantar y mantener los controles de carácter organizativo para la protección de la información, aplicaciones y sistemas, así como realizar y mantener los análisis de riesgos.
• e) Definir la especificación y documentación de los intereses legítimos en que se fundamentan las operaciones de tratamiento en supuestos como las evaluaciones de impacto sobre la protección de datos o en determinadas transferencias internacionales de datos.
• f) Cooperar con la autoridad de control y actuar como punto de contacto de ésta para cuestiones relativas al tratamiento, con el fin de facilitar su acceso a los documentos y la información necesarias para la realización de las tareas, así como para el ejercicio de los poderes de investigación, correctivos, de autorización y consultivos, que el RGPD atribuye a la autoridad de control, respectivamente, en los artículos 57 y 58 del RGPD.
• g) Desempeñar sus funciones atendiendo al enfoque basado en el riesgo que define el artículo 39.2 del RGPD, prestando una selectiva atención a los riesgos asociados a las operaciones de tratamiento respecto a su naturaleza, alcance, contexto y fines.
• h) Asistir y asesorar al responsable del tratamiento para el cumplimiento del principio de protección de datos desde el diseño, impulsando y vigilando que la protección de datos se encuentre presente en las primeras fases de concepción de los proyectos desarrollados por el Servicio Aragonés de Salud, mediante la aplicación de las medidas técnicas y organizativas oportunas a tal efecto, como son la minimización de datos y la seudonimización temprana de los datos personales.
• i) Asistir y asesorar al responsable del tratamiento para el cumplimiento del principio de protección de datos por defecto, de modo que solo sean objeto de tratamiento los datos personales que sean estrictamente necesarios para cada uno de los fines de tratamiento, impulsando y vigilando que se aplique de modo efectivo el principio de «necesidad de conocer» a la protección de datos de carácter personal, de modo que los trabajadores del Servicio Aragonés de Salud solo han de tener acceso a los datos de carácter personal que son estrictamente necesarios para realizar su trabajo o proporcionar un servicio. Para ello, desarrollará estrategias destinadas a facilitar la aplicación de medidas, tanto técnicas como organizativas, en todas las siguientes fases operativas:
  • - En la recogida de datos: para analizar los tipos de datos que se recaban con un criterio de minimización, en función de los productos y servicios seleccionados por el usuario.
  • - En el propio proceso de tratamiento de los datos: para analizar los procesos asociados a dichos tratamientos, para que se acceda a los mínimos datos personales necesarios para ejecutarlos.
  • - En la conservación de los datos: para implementar una política de conservación de datos que permita, con un criterio restrictivo, eliminar aquellos datos que no sean estrictamente necesarios.
  • - Respecto a la accesibilidad de los datos: para limitar el acceso por parte de terceros a dichos datos personales.
• j) Encargarse de las tareas mínimas que le atribuye el artículo 39.1 del RGPD, como el mantenimiento de un registro de las operaciones de tratamiento bajo la responsabilidad del responsable o encargado del tratamiento, que puede tanto permitir al DPD realizar sus funciones de supervisión y asesoramiento, como al responsable y a la autoridad de control, si así lo solicitan, disponer de una herramienta que facilite una perspectiva general de todas las actividades de tratamiento de los datos personales que el organismo está llevando a cabo.
• k) Definir y ejecutar los programas formativos y de concienciación relacionadas con buenas prácticas de seguridad TIC, procurando promover, en el proceso de selección de las personas participantes en estos programas, la concurrencia de mujeres.
• l) Aplicar los criterios y directrices de gestión de la seguridad emanadas del Comité de Seguridad de la información del Servicio Aragonés de Salud.

15. Comité de Seguridad de la Información del Servicio Aragonés de Salud.

El Comité de Seguridad de la Información es un órgano adscrito a la Dirección Gerencia del Servicio Aragonés de Salud, de carácter científico técnico, cuya misión es elaborar propuestas y documentos de trabajo en relación con las funciones encomendadas, así como analizar su viabilidad técnica y económica y llevar a cabo la ejecución de aquellas actuaciones que así se determinen.

La designación y cese de los miembros del Comité se efectuará mediante resolución de la Dirección Gerencia del Servicio Aragonés de Salud.

El Comité de Seguridad de la Información, en lo regulado en la presente Orden, se regirá por lo dispuesto para los órganos colegiados en la Sección 3.ª del Capítulo II del Título Preliminar tanto de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y del Procedimiento Administrativo Común, como de la Ley 5/2021, de 29 de junio, de Organización y Régimen Jurídico del Sector Público Autonómico de Aragón.

16. Composición del Comité de Seguridad de la Información.

El Comité se compondrá de un mínimo de 5 y hasta un máximo de 15 miembros, incluidos, presidente, secretario y vocales, designados todos ellos por la Dirección Gerencia del Servicio Aragonés de Salud, entre personal facultativo y de enfermería, así como expertos en los diversos campos que atañen a la documentación clínica electrónica (informáticos, ingenieros, abogados etc.), de los distintos sectores sanitarios, tanto de Atención Primaria como Especializada y de Servicios Centrales. Uno de ellos deberá ser el Responsable de Seguridad TIC del Servicio Aragonés de Salud.

El presidente y el secretario del Comité serán designados por la Dirección Gerencia del Servicio Aragonés de Salud. En caso de vacante, ausencia o enfermedad, serán sustituidos por el miembro del órgano de mayor y menor jerarquía, antigüedad y edad, por este orden, respectivamente.

La pertenencia del resto de los miembros del Comité tendrá carácter personal, sin que puedan ser sustituidos en caso de vacante, ausencia o enfermedad.

Con carácter excepcional, podrá ampliarse la composición del Comité a criterio de la Dirección Gerencia.

Podrán crearse grupos de trabajo, dentro del Comité, caso de entenderse necesarios.

El Comité podrá invitar a participar en sus discusiones a todos aquellos profesionales que considere oportuno, quienes asistirán con voz y sin voto a las reuniones que se celebren, y estarán obligados a respetar la confidencialidad de la información que reciban, en todo momento.

De cada sesión se levantará un acta por el secretario, en la que deben constar las circunstancias de lugar y tiempo, las personas asistentes, el orden del día, un resumen de las deliberaciones, las decisiones acordadas y cualquier otro tema que los miembros del Comité soliciten expresamente que conste.

17. Funciones del Comité de Seguridad de la Información.

Corresponde al Comité de Seguridad de la Información del Servicio Aragonés de Salud ser el órgano de gestión y coordinación de la Dirección Gerencia del Servicio Aragonés de Salud, en relación a la toma de decisiones sobre la seguridad, normalización, gestión y mejora de los Sistemas de Información del Servicio Aragonés de Salud, así como velar por el cumplimiento de los derechos de acceso, rectificación, cancelación y oposición de los ciudadanos en relación con la misma.

Concretamente, se atribuyen al Comité las siguientes funciones:

• a) Velar por la adecuación y efectividad de la Política de Seguridad de la Información, supervisando en todo momento el cumplimiento de la normativa de protección de datos y seguridad de la información.
• b) Participar de forma activa y cooperativa con las entidades competentes en materia de seguridad de la información referidas en el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, y en el Real Decreto 43/2021, de 26 de enero, que lo desarrolla.
• c) Aprobar y realizar el seguimiento de objetivos, iniciativas y planes estratégicos en materia de seguridad de la información.
• d) Elevar propuestas de revisión del marco normativo de seguridad de la información al órgano competente para su tramitación, con adecuación al marco normativo nacional y europeo en materia de seguridad TIC, asegurando el alineamiento de las actuaciones de seguridad con las iniciativas, políticas y proyectos corporativos del Gobierno de Aragón, así como con la Comisión Interdepartamental de Administración Electrónica del Gobierno de Aragón.
• e) Analizar el registro de gestión de incidencias y elaborar propuestas de mejora en el uso seguro de la Información.
• f) Realizar las notificaciones pertinentes a las entidades competentes en materia de seguridad de la información referidas en el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, y en el Real Decreto 43/2021, de 26 de enero, que lo desarrolla.

18. Funciones del presidente, secretario y vocales del Comité de Seguridad de la Información.

• - AI presidente del Comité le corresponden las siguientes funciones:
  • a) Ostentar, a todos los efectos, la representación del Comité.
  • b) Acordar la convocatoria de las sesiones ordinarias y extraordinarias y elaborar el orden del día, en colaboración con el secretario, y teniendo en cuenta, en su caso, las peticiones de los demás miembros que hayan sido formuladas con una antelación mínima de siete días.
  • c) Presidir las sesiones del Comité, tanto ordinarias como extraordinarias, moderar el desarrollo de los debates y suspenderlos por causas justificadas.
  • d) Coordinar las actividades del Comité y proponer grupos de trabajo si fuera preciso.
  • e) Visar las actas y certificaciones de los acuerdos del Comité.
  • f) Presentar a la Dirección Gerencia del Servicio Aragonés de Salud los documentos e informes elaborados.
  • g) Dirimir con su voto los empates, a efectos de adoptar acuerdos.
• - AI secretario del Comité le corresponden las siguientes funciones:
  • a) Asistir a las reuniones con voz y voto.
  • b) Efectuar las convocatorias del Comité por orden de su presidente, así como las citaciones a los miembros del mismo.
  • c) Recibir los actos de comunicación de los miembros con el Comité y, por tanto, las notificaciones, peticiones de datos, rectificaciones o cualquier otro escrito de los que deba tener conocimiento.
  • d) Elaborar las actas de las reuniones del Comité.
  • e) Supervisar las labores de la secretaría administrativa del Comité: correo, archivo y documentos (informes, programas, recomendaciones, protocolos, etc.).
  • f) Expedir certificaciones de las consultas, dictámenes o acuerdos aprobados en el Comité.
  • g) Colaborar con el presidente en las labores de coordinación y elaboración de los órdenes del día.
• - A los vocales del Comité les corresponden las siguientes funciones:
  • a) Colaborar con el presidente y el secretario en todas aquellas actividades de coordinación que se deriven del trabajo del Comité.
  • b) Tener una participación activa en los trabajos del Comité.
  • c) Comunicar al Comité cuantos hechos, circunstancias o aspectos relacionados con los cometidos del mismo conozcan en el desarrollo de la actividad cotidiana.
  • d) Participar en la definición del planteamiento técnico y operativo de los objetivos, iniciativas y planes estratégicos de seguridad de la información, así como en la elaboración de propuestas relativas a la revisión del marco normativo de seguridad TIC.
  • e) Elaborar los informes y propuestas en materia de seguridad TIC del Servicio Aragonés de Salud que se le encomienden por el presidente del Comité.

19. Convocatorias y sesiones del Comité de Seguridad de la Información.

El Comité establecerá un calendario mínimo de dos reuniones al año y se reunirá, cuantas veces lo acuerde su presidente, la Dirección Gerencia del Servicio Aragonés de Salud o el 25% de sus miembros.

El Comité nombrará, entre sus miembros, un grupo de respuesta a incidentes TIC, cuya función será la toma urgente de decisiones en caso de contingencia grave que afecte a la seguridad de sistemas de información críticos del Servicio Aragonés de Salud.

Para la válida constitución del órgano, a efectos de celebración de sesiones, deliberaciones y toma de acuerdos, se requerirá la presencia del presidente y secretario o, en su caso, de quienes los sustituyan, y la de la mitad más uno de sus miembros.

Los acuerdos del Comité serán adoptados por mayoría simple de votos.

No podrá ser objeto de deliberación o acuerdo ningún asunto que no figure incluido en el orden del día, salvo que asistan todos los miembros del órgano colegiado y sea declarada la urgencia del asunto por el voto favorable de la mayoría.

Cuando los miembros del órgano voten en contra o se abstengan, quedarán exentos de la responsabilidad que, en su caso, pueda derivarse de los acuerdos.

20. Responsables de los Servicios.

Los responsables de los servicios en el Servicio Aragonés de Salud, tienen la responsabilidad última del uso que se haga de los servicios, así como de protegerlos. Serán designados por parte de la Dirección Gerencia del Servicio Aragonés de Salud, a quien reportarán sobre el estado de seguridad de los mismos.

Asumirán las funciones y tareas que especifica el ENS:

• a) Establecer los requisitos de seguridad de los servicios, para lo que podrá solicitar la propuesta previa del Comité de Seguridad de la Información.
• b) Comunicar los requisitos de seguridad de los servicios a las personas responsables de la seguridad TIC competentes.
• c) Asumir la responsabilidad final de implantar las medidas de protección de los servicios como responsables últimos de los mismos.
• d) Asumir la propiedad de los riesgos sobre los servicios, monitorizarlos y aceptar el riesgo residual.
• e) Determinar y aprobar formalmente los niveles de seguridad de los servicios en cada dimensión.

21. Responsables de los sistemas y tecnologías.

En virtud del artículo 11 del ENS, que recoge el principio de «diferenciación de responsabilidades», es exigencia que el responsable de los sistemas y tecnologías sea independiente del responsable de seguridad TIC.

La Dirección Gerencia del Servicio Aragonés de Salud designará a los diferentes responsables para los diversos activos, sistemas y servicios de información y comunicación del Servicio Aragonés de Salud.

La entidad pública Aragonesa de Servicios Telemáticos actuará como responsable genérico del sistema en todos aquellos sistemas de información alojados dentro de su infraestructura. Dicha responsabilidad sobre el sistema recaerá de manera compartida con el Servicio Aragonés de Salud en todos aquellos sistemas que sean desarrollados o mantenidos por parte del mismo

Los responsables que sean designados para los diversos activos, sistemas y servicios de información y comunicación del Servicio Aragonés de Salud tendrán atribuidas las siguientes funciones:

• a) Desarrollar, operar y mantener el sistema durante todo su ciclo de vida, sus especificaciones, instalación y verificación de su seguro y correcto funcionamiento.
• b) Definir, desde el inicio del ciclo de vida de las aplicaciones, las técnicas de «privacidad por defecto» y «privacidad desde el diseño», como la seudonimización o la minimización de datos, que permitan el correcto tratamiento de los datos personales desde el propio diseño.
• c) Definir la tipología y sistema de gestión y control del sistema de información estableciendo los criterios de uso y los servicios disponibles en el mismo.
• d) Cerciorarse de que las medidas específicas de seguridad se integren adecuadamente dentro del marco general de seguridad.
• e) Acordar la suspensión del manejo de una determinada información o la prestación de un determinado servicio, en el caso de que sean informadas deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos. Esta decisión, antes de ser ejecutada, debe ser acordada con los responsables de la información afectada, del servicio afectado y el responsable de la seguridad TIC.
• f) Elaborar procedimientos operativos de seguridad.
• g) Junto al Responsable de Seguridad TIC, elaboran planes de control y mejora de la seguridad.
• h) Elaborar planes de continuidad y las correspondientes acciones operativas derivadas.
• i) Suspensión temporal del servicio si se produce una desviación elevada de los niveles aceptables de riesgos.
• j) Elaborar el ciclo de vida de activos, sistemas y servicios de información: especificación, arquitectura, desarrollo, operación y cambios.
• k) Planificar la implantación de las salvaguardas en el sistema y la definición de los correspondientes informes para su efectivo desarrollo.

22. Clasificación y Control de Activos.

Los activos TIC del Servicio Aragonés de Salud se encontrarán inventariados, con un responsable asociado y, en caso de ser necesario, un custodio de los mismos. Los inventarios se mantendrán actualizados para asegurar su validez. Los activos de información estarán clasificados de acuerdo a su sensibilidad y criticidad para el desarrollo de la actividad del Servicio Aragonés de Salud, en función de la cual se establecerán las medidas de seguridad exigidas para su protección.

23. Seguridad física y ambiental.

Los sistemas de información serán emplazados en áreas seguras protegidas con controles de acceso físicos adecuados al nivel de criticidad de los mismos. Los sistemas y la información que soportan estarán adecuadamente protegidos frente a amenazas físicas o ambientales, sean intencionadas o accidentales.

24. Gestión de sistemas, operaciones y comunicaciones.

El Servicio Aragonés de Salud asegurará la correcta gestión y operación de los sistemas de información estableciendo estándares de seguridad y adoptando las mejores prácticas en materia de seguridad (configuración, mecanismos de protección, actualización, monitorización, detección de vulnerabilidades, respaldo de información, etc.).

Las incidencias relacionadas con seguridad de la información serán registradas, notificadas y resueltas a la mayor brevedad posible por el personal asignado para ello.

Los entornos de desarrollo y pruebas estarán separados en la medida de lo posible y serán independientes de los entornos productivos, con el fin de mantener la seguridad de los datos reales de producción y el rendimiento de los servicios. Toda información que se transmita a través de redes de comunicaciones deberá ser adecuadamente protegida, mediante mecanismos que garanticen su seguridad. El almacenamiento, manipulación, transporte, destrucción o desecho de cualquier activo que soporte información del Servicio Aragonés de Salud garantizará la imposibilidad de acceso o recuperación de su contenido por parte de personal no autorizado.

25. Control de acceso.

El Servicio Aragonés de Salud pone a disposición de sus usuarios la capacidad de acceder a sus sistemas de información y visualizar o modificar la información que procesan y almacenan. Los permisos de acceso a las redes, sistemas y a la propia información serán otorgados mediante un proceso formal de aprobación, que asegure que los usuarios tengan acceso únicamente a los recursos e información necesarios para el desempeño de sus funciones en el Servicio Aragonés de Salud.

Todos los empleados y personal externo, así como entidades colaboradoras que accedan a los sistemas de información del Servicio Aragonés de Salud, quedarán registrados y dispondrán de credenciales personales e intransferibles.

Toda persona registrada que disponga de credenciales de acceso será responsable de mantener la confidencialidad y asegurar su correcto uso, especialmente en cuanto a la Historia Clínica Electrónica.

26. Desarrollo y mantenimiento de sistemas.

Las aplicaciones que se desarrollen para el Servicio Aragonés de Salud deberán contemplar aspectos de seguridad de la información en todas las fases del ciclo de vida de desarrollo, desde la toma de requisitos hasta la realización de pruebas y el paso a producción.

27. Gestión de continuidad de actividad.

El Servicio Aragonés de Salud dispondrá de un plan para mantener la continuidad de los procesos y sistemas críticos y garantizar su recuperación en caso de desastre. La finalidad de este plan es reducir el tiempo de indisponibilidad a niveles aceptables mediante la combinación de controles de carácter organizativo, tecnológico y procedimental tanto preventivos, como de recuperación.

28. Datos de carácter personal.

El tratamiento de datos de carácter personal estará sometido al cumplimiento del Reglamento General de Protección de Datos y demás normativa de aplicación.

El responsable del tratamiento está obligado al cumplimiento del principio de responsabilidad proactiva o de rendición de cuentas, para lo que proveerá de recursos al delegado de protección de datos del Servicio Aragonés de Salud, con el fin de garantizar el cumplimiento de los principios de licitud, equidad y transparencia, limitación de finalidad, minimización, precisión, limitación de almacenamiento y seguridad en cuanto a disponibilidad, integridad y confidencialidad.

Para ello, el responsable del tratamiento ha de garantizar la definición, implantación, cumplimiento y monitorización, al menos, de las siguientes medidas:

• a) El registro de actividades de tratamiento.
• b) El análisis de riesgos y adopción de medidas de seguridad.
• c) Las evaluaciones de impacto sobre la protección de datos, para la adecuación de las medidas de seguridad respecto al riesgo evaluado.
• d) La protección de datos desde el diseño.
• e) La protección de datos por defecto.
• f) La notificación de brechas de datos personales.
• g) La solicitud de autorizaciones y/o consultas previas pertinentes a la autoridad de protección de datos.
• h) La designación formal del delegado de protección de datos (DPD).
• i) El registro documental de las quiebras de seguridad TIC y en su caso, la notificación de éstas a quienes corresponda.
• j) La suscripción a códigos de conducta y la solicitud de esquemas de certificación cuando proceda.
• k) La valoración y decisión de adecuación para la aprobación de transferencias internacionales que afecten a la protección de datos, según determina el artículo 44 del RGPD.

29. Conformidad.

El Servicio Aragonés de Salud adoptará las medidas técnicas y organizativas necesarias para mantener sus sistemas de información adaptados a la normativa legal vigente, y especialmente a aquellas regulaciones legales relativas al tratamiento de los datos de carácter personal.

Es responsabilidad de todos los empleados conocer y cumplir la legislación vigente de aplicación en sus ámbitos de actuación. Las contrataciones y acuerdos de nivel de servicios que se establezcan con terceros incluirán cláusulas y garantías de cumplimiento de los requisitos de seguridad que exija el Servicio Aragonés de Salud y la normativa legal vigente. Con carácter periódico, se realizarán auditorías que comprueben el grado de conformidad con la política y la legislación, y revisiones que determinen el grado de cumplimiento de los objetivos de seguridad establecidas y la eficacia de los controles establecidos. Los resultados obtenidos determinarán las líneas de actuación a seguir y las posibles modificaciones a realizar sobre los controles y la normativa de seguridad.

30. Coordinadores de seguridad TIC.

Por cada Sector Sanitario se designará a un coordinador de seguridad TIC, encargado de velar por el cumplimiento de la presente Política de Seguridad dentro de su ámbito.

Los coordinadores de seguridad TIC actuarán como interlocutores en materia de seguridad de la información dentro de su ámbito ante el Responsable de Seguridad TIC del Servicio Aragonés de Salud y otros órganos de gestión de la seguridad de Gobierno de Aragón.

Los coordinadores de seguridad TIC supervisarán el estado de seguridad de los activos de información bajo su competencia e impulsarán el establecimiento de medidas de seguridad y la solución de vulnerabilidades con el objetivo de mejorar la postura global de seguridad.

En caso de incidente potencial o real, los coordinadores de seguridad TIC actuarán como puntos de contacto para la gestión de las medidas de detección, contención y erradicación que se determinen.

31. Notificación de incidentes.

Los incidentes con afección sobre la seguridad de la información se comunicarán en cuanto se tenga conocimiento de los mismos al Responsable de Seguridad TIC del Servicio Aragonés de Salud, así como a la Unidad del Responsable de Seguridad de la Información (CISO) de la Dirección General de Administración Electrónica y Sociedad de la Información y, en el caso en que el incidente acontezca sobre elementos de su infraestructura, a la entidad pública Aragonesa de Servicios Telemáticos.

Asimismo, aquellos incidentes que tengan un impacto significativo en la seguridad de los sistemas de información serán notificados al Centro Criptológico Nacional y, en caso de afección sobre datos personales, a la Agencia Española de Protección de Datos, conforme a las instrucciones publicadas.

Cuando sea probable que la violación de seguridad afecte a datos personales se comunicará al Jefe de la Unidad de Apoyo a la Administración electrónica y Gobernanza de Datos del Servicio Aragonés de Salud (en calidad de Delegado de Protección de Datos de este organismo), así como a la Unidad de Protección de Datos del Gobierno de Aragón, adscrita a la Dirección General de Administración Electrónica y Sociedad de la Información. Esta violación de seguridad será comunicada en un plazo de 72 horas a la Agencia Española de Protección de Datos.

Cuando sea probable que la violación de seguridad de los datos personales entrañe un alto riesgo para los derechos y libertades de las personas físicas, conforme al artículo 34 del Reglamento general de protección de datos RGPD, el responsable del tratamiento lo comunicará a la persona interesada sin dilación indebida.

32. Relaciones con terceros.

Cuando el Servicio Aragonés de Salud preste servicios o ceda datos de carácter personal u otro tipo de información a otras Administraciones Públicas u organismos, se les hará partícipe de esta Política de Seguridad y de la normativa de seguridad derivada.

Asimismo, cuando el Servicio Aragonés de Salud utilice servicios de terceros o ceda datos de carácter personal u otro tipo de información a terceros, se les hará igualmente partícipe de esta Política de Seguridad y de la normativa de seguridad que sea de aplicación a dichos servicios o información, debiendo observarse las siguientes reglas:

• a) Los terceros quedarán sujetos a las obligaciones y medidas de seguridad establecidas en dicha normativa de seguridad, pudiendo desarrollar sus propios procedimientos para satisfacerla.
• b) Se establecerán procedimientos específicos de detección y resolución de incidencias.
• c) Se garantizará que el personal de estos terceros esté adecuadamente concienciado en materia de protección de datos y de seguridad de la información, al menos al mismo nivel que el establecido en la presente Política de Seguridad.
• d) Los terceros deberán garantizar el cumplimiento de la Política de Seguridad, para lo cual se requerirá evidencia de la conformidad de las medidas establecidas en el Esquema Nacional de Seguridad, en función de la categoría del sistema utilizado en la prestación del servicio.
• e) Los terceros garantizarán la protección de datos y seguridad de la información sobre su cadena de suministro, siendo responsables de otros terceros subcontratados a los que trasladará el contenido y obligaciones de esta Política y de la normativa aplicable. El área responsable de la dirección de un contrato prestado por un tercero deberá ser informado de las subcontrataciones realizadas por el mismo y podrá auditar el cumplimiento por parte de los subcontratados de las medidas exigidas por parte de cada uno de los terceros involucrados en la ejecución.
• f) Se garantizará mediante auditoría o certificado de destrucción o borrado que el tercero cancela y elimina los datos pertenecientes al Servicio Aragonés de Salud a la finalización del contrato.
• g) Cuando algún aspecto de la Política de Seguridad no pueda ser satisfecho por parte de un tercero, se requerirá un informa del Delegado de Protección de Datos y del Responsable de Seguridad TIC que precise los riesgos en que se incurre y la forma de tratarlos. A la vista de dicho informe y antes de que se haga efectiva la prestación uso, acceso o cesión de que se trate, los responsables del tratamiento de datos y/o de la información o de los servicios decidirán sobre la aceptación o no del riesgo residual de las actividades de tratamiento y/o de los sistemas de información relacionados con la información o los servicios de los que son responsables.