Decreto 25/2025, de 6 de mayo, por el que se aprueba la Política de Seguridad de la Información del Sector Público de la Comunidad Autónoma de La Rioja

ANEXO
Política de Seguridad de la Información de la Administración de la Comunidad Autónoma de La Rioja

Introducción

La información constituye un activo de primer orden para el Gobierno de La Rioja, ya que resulta imprescindible para la prestación de los servicios públicos y el cumplimiento de su misión en un entorno altamente digitalizado. Asimismo, las Tecnologías de la Información y las Comunicaciones (TIC) se han consolidado como herramientas clave para las administraciones públicas, al facilitar la obtención, intercambio, tratamiento y almacenamiento seguro de la información.

No obstante, el avance tecnológico, impulsado por la adopción de innovaciones como la inteligencia artificial (IA), el Big Data y el Internet de las Cosas (IoT), viene acompañado de nuevos riesgos y amenazas. Entre estas se incluyen ciberataques avanzados, vulnerabilidades en la cadena de suministro y el uso indebido de sistemas inteligentes. Por ello, es crucial implementar medidas específicas y robustas que protejan tanto la información como los servicios esenciales que dependen de ella.

La seguridad de la información tiene como objetivo proteger la información y los servicios, reduciendo los riesgos hasta un nivel aceptable. Este documento establece la Política de Seguridad de la Información de la Administración de la Comunidad Autónoma de La Rioja, que constituye el marco de referencia para la gestión, administración e implementación de mecanismos de seguridad alineados con el Esquema Nacional de Seguridad (ENS), el resto de regulación aplicable y las mejores prácticas internacionales.

Con ello, se busca asegurar el alineamiento estratégico de la gestión de la seguridad de la información con las regulaciones legislativas actuales y las normas internacionales, fomentando una cultura de seguridad adaptada a los desafíos del presente.

1. Misión y objetivos de la Política de Seguridad de la Información.

El Sector Público de la Comunidad Autónoma de La Rioja, en adelante SPCAR, tiene como misión servir con objetividad a los intereses generales y procurar satisfacer, con eficacia y eficiencia, las necesidades públicas, de conformidad con los principios constitucionales y estatutarios, respetando los principios de buena fe, confianza legítima, transparencia, seguridad y calidad en el servicio a los ciudadanos y a las organizaciones.

El SPCAR desarrolla sus funciones en el marco normativo europeo, constitucional, estatutario y autonómico en materia de procedimiento administrativo, sector público y administración que le resulta de aplicación en el ejercicio de sus competencias.

La Política de Seguridad de la Información del Gobierno de La Rioja y sus Organismos Públicos (en adelante, la Política de Seguridad de la Información), identifica responsabilidades y establece principios y directrices para proteger la confidencialidad, integridad y disponibilidad de los servicios y activos de la información del Gobierno de La Rioja y de sus organismos públicos independientemente de su soporte de almacenamiento.

Es el instrumento en que se apoyan el Gobierno de La Rioja y sus organismos públicos para alcanzar sus objetivos utilizando de forma segura los sistemas de información y las comunicaciones.

La presente Política de Seguridad de la Información refleja el compromiso y la implicación de la alta dirección de la organización con la gestión de la seguridad de la información en general y, particularmente, con la de los sistemas de información del Gobierno de La Rioja y todas sus instituciones para la difusión y consolidación de la cultura de la seguridad.

Uno de los objetivos fundamentales de la implantación de esta Política es establecer las bases sobre las que, tanto empleados públicos como ciudadanos, puedan acceder a los servicios públicos en un entorno seguro y de confianza.

La seguridad, concebida como proceso integral, comprende todos los elementos técnicos, humanos, materiales y organizativos relacionados con los sistemas de información y las comunicaciones, y debe entenderse no como un producto, sino como un proceso continuo de adaptación y mejora, que debe ser controlado, gestionado y monitorizado, implantando la cultura de la seguridad en el Gobierno de La Rioja.

La Política de Seguridad de la Información define el marco global para la gestión de la seguridad de la información, protegiendo todos los activos de información y garantizando la continuidad en el funcionamiento de los servicios y sistemas. Se pretende, de esta forma, minimizar los riesgos derivados de una posible falla en la seguridad y asegurar el cumplimiento de los objetivos del Gobierno de La Rioja ante un incidente de seguridad de la información.

Para ello, en esta Política de Seguridad se establecen los siguientes objetivos generales:

• 1. Fortalecer la resiliencia digital frente a amenazas avanzadas, incluyendo ciberataques basados en IA y ataques a la cadena de suministro digital.
• 2. Garantizar el cumplimiento normativo, especialmente en lo relativo a la protección de datos personales y la prestación de servicios electrónicos seguros, contribuyendo así al cumplimiento de la misión y los objetivos establecidos por el Gobierno de La Rioja.
• 3. Asegurar la accesibilidad, confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de la información implantando las medidas de control necesarias para garantizar el cumplimiento de los requisitos legales que sean de aplicación, especialmente en lo relativo a la protección de datos de carácter personal y a la prestación de servicios a través de medios electrónicos o telemáticos.
• 4. Proteger los servicios esenciales mediante estrategias preventivas, defensivas y reactivas frente a incidentes de seguridad, tratando de asegurar la prestación continuada de los servicios.
• 5. Promover la adopción responsable de tecnologías emergentes, minimizando riesgos asociados a su implementación.
• 6. Establecer un sistema de gestión de la seguridad de la información como base para garantizar un compromiso firme con la mejora continua en la protección de los activos y servicios.
• 7. Asumir la responsabilidad en materia de concienciación y formación en materia de seguridad de la información y protección de datos personales como medio para garantizar el cumplimiento de esta política.

2. Alcance.

La Política de Seguridad de la Información que se define en el presente documento será de aplicación al Sector Público de la Comunidad Autónoma de La Rioja.

A estos efectos se entiende por sector público de la Comunidad Autónoma de La Rioja:

• a) La Administración General de La Rioja.
• b) Los Organismos Públicos vinculados o dependientes de la Administración General.
• c) Otros entes del sector público de La Rioja que usen recursos o sistemas de información del Gobierno de La Rioja: fundaciones, consorcios y sociedades públicas.

Los entes integrantes del sector público de la Comunidad Autónoma de La Rioja que no utilicen los recursos ni los sistemas de información del Gobierno de La Rioja podrán aplicar esta política de seguridad cuando así lo acuerden o lo establezcan sus normas internas de funcionamiento.

Esta Política de Seguridad de la Información será de obligado cumplimiento para todos los órganos del Gobierno de La Rioja y sus organismos públicos, así como para todo su personal y para terceros a los que el Gobierno de La Rioja y sus organismos públicos presten servicios, cedan o comuniquen información, o de las que utilicen servicios o manejen información.

3. Marco Normativo.

Sin carácter exhaustivo, la legislación en materia de seguridad de la información que debe servir de referencia es la siguiente:

• - Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE.
• - Ley Orgánica 3/1982, de 9 de junio, de Estatuto de Autonomía de La Rioja.
• - Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos de Personales y Garantía de los Derechos Digitales.
• - Ley 39/2105, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas.
• - Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.
• - Decreto 51/2023, de 14 de julio, por el que se establece la estructura orgánica de la Consejería de Hacienda, Gobernanza Pública, Sociedad Digital y Portavocía del Gobierno y sus funciones en desarrollo de la Ley 3/2003, de 3 de marzo, de Organización del Sector Público de la Comunidad Autónoma de La Rioja.
• - Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica.
• - Real Decreto-Ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información o de cualquier norma que suceda a esta.
• - Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo de 14 de diciembre de 2022 relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifican el Reglamento (UE) N.^o 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2).

4. Principios de la Política de Seguridad de la Información.

Atendiendo al ENS, el Gobierno de La Rioja implementará diversas medidas de seguridad proporcionales a la naturaleza de la información y de los servicios a proteger, teniendo en cuenta la categoría de los sistemas afectados bajo los siguientes principios:

• a) Seguridad integral: La seguridad constituirá un proceso integral compuesto por todos los elementos técnicos, humanos, materiales y organizativos relacionados con el sistema basado en la mejora continua de todos ellos y del proceso en sí mismo. La seguridad de la información debe considerarse como parte de la operativa habitual, estando presente y aplicándose desde el diseño inicial de los sistemas de información.
• b) Protección de datos personales: Se adoptarán las medidas técnicas y organizativas destinadas a garantizar el nivel de seguridad exigido por la normativa vigente en relación con el tratamiento de datos de carácter personal.
• c) Alcance estratégico: La política de seguridad de la información contará con el compromiso y apoyo de todos los niveles directivos de modo que la seguridad de la información este integrada y coordinada con todas las decisiones estratégicas de la Administración de la Comunidad.
• d) Análisis y gestión de riesgos: Todos los sistemas y servicios afectados por la presente política serán objeto de un análisis de riesgos que evalúe las amenazas y los riesgos de seguridad y privacidad a los que se encuentran expuestos. Este análisis, que deberá ajustarse, en todo caso, a un criterio de proporcionalidad a los riesgos potenciales y la criticidad y valor de la información y de los servicios afectados, debiendo constituir una actividad continua y permanentemente actualizada. Mediante el análisis de riesgos se detectan los problemas de seguridad y con su correcta gestión se persigue reducirlos a un nivel aceptable mediante la selección e implantación de medidas de seguridad.

  Cuando un sistema de información trate datos personales, el responsable o encargado del tratamiento, asesorada por el Delegado de Protección de datos, realizará un análisis de riesgos conforme al artículo 24 del Reglamento General de Protección de Datos y, en los supuestos de su artículo 35, una evaluación de impacto en la protección de datos.

• e) Prevención, reacción, recuperación y mejora continua: El Gobierno de La Rioja implementará un proceso integral para prevenir, detectar, reaccionar y recuperarse de incidentes, de acuerdo con el Artículo 8 del ENS, al objeto de minimizar las vulnerabilidades de la Organización y lograr que las amenazas sobre la misma no se materialicen o que, en el caso de hacerlo, no afecten gravemente a la información que maneja o a los servicios que presta.

  Para ello, los Responsables del Servicio y de la Información junto con el Responsable del Sistema, definidos en el apartado 5 del documento, deben implementar las medidas mínimas de seguridad determinadas por la normativa de seguridad vigente en materia de seguridad de la información y protección de datos de carácter personal.

  Estos controles, así como los roles y responsabilidades de seguridad de todo el personal, deben estar claramente definidos y documentados, en particular:

  • 1. Para garantizar el cumplimiento de la Política de Seguridad de la Información, los responsables del Servicio y de la Información deben:
    • a. evaluar los riesgos de sistemas y servicios antes de entrar en producción.
    • b. garantizar que la gestión de usuarios y la conexión de dispositivos se realicen de acuerdo con los protocolos y procedimientos establecidos por la Dirección responsable de TI.
    • c. aceptar y asumir formalmente la responsabilidad de cualquier excepción solicitada a las políticas de seguridad y uso aceptable de los sistemas de información.
    • d. evaluar regularmente la seguridad, incluyendo evaluaciones de los cambios de configuración.
    • e. solicitar la revisión periódica del cumplimiento del ENS por parte de terceros.
  • 2. Dado que los sistemas y servicios pueden degradarse rápidamente debido a incidentes, que pueden ir desde una simple desaceleración hasta su detención, el Responsable del Sistema debe monitorizar la operación de manera continua para detectar anomalías en los niveles de prestación de los servicios y actuar en consecuencia según lo establecido en el artículo 10 ENS.

    En el supuesto de que la degradación sea atribuida a incidentes de seguridad, los responsables del Servicio y de la Información deberán establecer mecanismos de reporte que lleguen al responsable de la seguridad.

  • 3. Los responsables del Servicio y de la Información deben establecer mecanismos para responder eficazmente a los incidentes de seguridad y deben desarrollar planes de continuidad de los sistemas TIC como parte de su plan general de continuidad de negocio y actividades de recuperación para cuando ocurran esos incidentes.
• f) Líneas de defensa: Se dispondrá de una estrategia de protección y defensa basada en múltiples capas de seguridad, constituidas por medidas organizativas, físicas y lógicas, de tal forma que cuando una de las capas falla, el sistema implementado permitirá ganar tiempo para una reacción adecuada frente a los incidentes que no han podido evitarse; reducir la probabilidad de que el sistema sea comprometido en su conjunto y minimizar el impacto final sobre el mismo.
• g) Vigilancia continua: Se implementará una supervisión constante y la evaluación de los sistemas de información para garantizar que se mantengan seguros y que cumplan con los requisitos de seguridad establecidos.
• h) Revisión periódica y actualización de los sistemas: Las medidas de seguridad se reevaluarán y actualizarán periódicamente para adecuarlas a la constante evolución de los riesgos y promover así una mejora continua.
• i) Diferenciación de responsabilidades: Se organizará la seguridad de todos los sistemas comprometiendo a todo su personal mediante la designación de diferentes roles de seguridad con responsabilidades claramente diferenciadas, tal y como se recoge en el artículo 11 del ENS. Estos controles, así como los roles y responsabilidades de seguridad de todo el personal, están claramente definidos y documentados en esta política de seguridad.
• j) Concienciación y formación: Se articularán programas de formación, sensibilización y concienciación para todas las personas usuarias en materia de seguridad y privacidad de la información, debidamente apoyados en las políticas corporativas y con un acomodado proceso de seguimiento y actualización.
• k) Cumplimiento normativo: Todos los sistemas de información de la Administración, así como cualquier proceso relacionado, se ajustarán a la normativa de aplicación legal y regulatoria que afecte a la seguridad de la información.

5. Organización interna de la seguridad.

La responsabilidad sobre la seguridad de la información de los sistemas TIC recae sobre toda la organización y se reparte en base a las funciones y responsabilidades de cada puesto u órgano. La estructura organizativa para la gestión de la seguridad de la información está integrada de la forma que se detalla a continuación:

• - Comité de Seguridad de la Información.
• - Responsable de la Información.
• - Responsable del Servicio.
• - Responsable de Seguridad.
• - Responsable del Sistema.

= 5.1. Comité de Seguridad de la Información

5.1.1. Composición

El Comité de Seguridad de la Información del Gobierno de La Rioja, en adelante CSI-CAR, se compone de los siguientes miembros:

• a) Presidente: El titular de la Dirección General competente en materia de tecnologías de la información y las comunicaciones. En caso de vacante, ausencia o enfermedad será sustituido por el miembro del Comité de mayor jerarquía, antigüedad y edad, por ese orden.
• b) Vocales: Los titulares de cada una de las Secretarías Generales Técnicas, los Delegados de Protección de Datos del Sector Público de la Comunidad Autónoma de La Rioja y el responsable de seguridad.
• c) El Secretario será nombrado por el titular de la Dirección General competente en materia de tecnologías de la información y la comunicación, entre personal de la misma Dirección General. En caso de vacante, ausencia o enfermedad, su suplente será designado de igual modo por el mismo órgano.

Tanto los titulares de cada una de las Secretarías Generales Técnicas, como las personas que ocupen los puestos de Delegados de Protección de Datos, podrán designar los correspondientes asesores que acudirán a las reuniones con voz, pero sin voto. El Presidente del Comité podrá proponer otras personas que podrán asistir a las reuniones en calidad de asesores con voz, pero sin voto.

5.1.2. Comités delegados

Cuando lo justifique la complejidad, la separación física de sus elementos o el número de usuarios de la información en soporte electrónico, o de los sistemas que la manejen, podrán crearse «Comités de Seguridad delegados», dependientes funcionalmente del CSI-CAR que serán responsables en su ámbito de las actuaciones que se les deleguen.

5.1.3. Funciones

Al Comité de Seguridad de la Información del Gobierno de La Rioja le corresponden funciones de asesoramiento, consultoría y propuesta en materia de seguridad de la información.

En particular le corresponde:

• a) Informar regularmente del estado de la seguridad de la información al Gobierno de La Rioja.
• b) Promover la mejora continua del sistema de gestión de la seguridad de la información.
• c) Coordinar los esfuerzos de las diferentes áreas en materia de seguridad de la información, evitando duplicidades.
• d) Elaborar y revisar regularmente la Política y Organización de la Seguridad de la Información, para que sea aprobada por el Gobierno de La Rioja.
• e) Proponer la aprobación de la normativa de seguridad de la información.
• f) Coordinar la actividad de los diferentes responsables a los que se refiere el marco organizativo de la presente política, así como resolver los posibles conflictos que puedan surgir entre cualquiera de ellos.
• g) Promover la realización de las auditorías periódicas, que permitan verificar el cumplimiento de las obligaciones del organismo en materia de seguridad.
• h) Proponer planes de mejora de la seguridad de la información de la organización.
• i) Velar porque la seguridad de la información se tenga en cuenta en todos los proyectos de tecnologías de la información, desde su especificación inicial hasta su puesta en operación y posterior mantenimiento, así como en la preservación de la información, que sea requerida tras el cese en la utilización del mismo.
• j) Divulgar la Política de Seguridad de la Información y normativas e instrucciones de seguridad de la información aprobadas.

5.1.4. Reuniones

El Comité de Seguridad de la Información del Gobierno de La Rioja se reunirá, con carácter ordinario, una vez al semestre y podrá reunirse con carácter extraordinario en alguno de los siguientes supuestos:

• a) A instancia del Presidente.
• b) Cuando aparezcan incidencias de seguridad graves o surjan nuevas necesidades de seguridad, que requieran la participación de los componentes del Comité.

5.1.5. Funcionamiento

El Comité de Seguridad de la Información, ajustará su funcionamiento a las previsiones relativas a los órganos colegiados contenidas en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público.

5.2. Responsable de la Información

El Responsable de la Información, será el titular de la Dirección General, de la SGT, el gerente de los OOPP y figuras asimiladas del resto de entidades públicas, en relación con la información y sistemas de las materias propias de su ámbito de actuación. Este órgano, con competencia suficiente para decidir sobre el uso que se haga de una cierta información y, por tanto, de su protección, determinará dentro del marco establecido en el Anexo I del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, los requisitos de seguridad de la información tratada. A tal efecto:

• a) Determinará los requisitos de seguridad que deban ser garantizados en el tratamiento de la información de la que él es responsable.
• b) Valorará, para cada información contemplada en el análisis de riesgos, las diferentes dimensiones de la seguridad.
• c) Realizará, junto a los Responsables del Servicio y con el soporte del Responsable de Seguridad, los preceptivos análisis de riesgos y seleccionarán las salvaguardas que se han de implantar.
• d) Aceptará los riesgos residuales obtenidos en el análisis de riesgos, respecto de la información.
• e) Realizará el seguimiento y control de los riesgos con la ayuda del Responsable de Seguridad.
• f) Deberá verificar que se implantan las medidas de seguridad o mejoras identificadas para proteger la información tratada.
• g) Adoptar, de acuerdo con el Responsable de Seguridad, la decisión de la suspensión del manejo de una cierta información a propuesta del Responsable del Sistema cuando haya sido informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos.

5.3. Responsable del Servicio

El Responsable del Servicio, será el titular de la Dirección General, de la SGT, el gerente de los OOPP y figuras asimiladas del resto de entidades públicas, en relación con los servicios y sistemas de las materias propias de su ámbito de actuación. Este órgano determinará, dentro del marco establecido en el Anexo I del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, los requisitos de seguridad de los servicios prestados.

A tal efecto, y en colaboración con el Responsable del Sistema:

• a) Determinará los requisitos en materia de seguridad del servicio del que él es responsable.
• b) Valorará, para cada servicio contemplado en el análisis de riesgos, las diferentes dimensiones de la seguridad.
• c) Realizará, junto a los Responsables de la Información y con el soporte del Responsable de Seguridad, los preceptivos análisis de riesgos y seleccionarán las salvaguardas que se han de implantar.
• d) Aceptará los riesgos residuales, respecto de la información, calculados en el análisis de riesgos.
• e) Realizará el seguimiento y control de los riesgos, con la participación del Responsable de Seguridad.
• f) Deberá verificar que se implantan las medidas de seguridad o mejoras identificadas para proteger el servicio prestado.
• g) Adoptar, de acuerdo con el Responsable de Seguridad, la decisión de suspender la prestación de un servicio electrónico, si es conocedor de deficiencias graves de seguridad.

5.4. Responsable de Seguridad

El Responsable de Seguridad será designado por el titular del órgano con competencias en materia de tecnologías de la información entre personal adscrito a dicho órgano.

Tendrá las siguientes funciones:

• a) Mantener la seguridad de la información manejada y de los servicios electrónicos prestados por los sistemas de información.
• b) Verificar que las medidas de seguridad son adecuadas para la protección de la información y los servicios.
• c) Impulsar el cumplimiento del cuerpo normativo definido en el apartado 3, así como velar por el mantenimiento de la documentación de seguridad y la gestión de mecanismos de acceso a la misma.
• d) Mantener un inventario actualizado de las normas de primer y segundo nivel detalladas en el apartado 8, de los nombramientos derivados del presente decreto, así como de los informes de auditorías, autoevaluaciones y análisis de riesgos realizados y de las declaraciones y certificaciones de seguridad.
• e) Apoyar y supervisar la investigación de los incidentes de seguridad desde su notificación hasta su resolución.
• f) Facilitar al Comité de Seguridad un resumen de actuaciones en materia de seguridad, de incidentes relativos a seguridad de la información y del estado de la seguridad de los sistemas de información.
• g) Promover la mejora continua en la gestión de la seguridad de la información.
• h) Proponer en el Comité de Seguridad de la Información diferentes actuaciones en materia de seguridad de la información que permitan elevar el nivel de seguridad de la Organización.
• i) Participar en la elaboración e implantación de los planes de mejora de la seguridad y, en su caso, en la de los planes de continuidad, procediendo a su validación.
• j) Impulsar la formación y concienciación en materia de seguridad de la información.
• k) Aprobar la declaración de aplicabilidad, que comprende la relación de medidas de seguridad seleccionadas para un sistema.
• l) Determinar la categorización de seguridad de los sistemas de información en función de la valoración realizada por los Responsables del Servicio y de la Información
• m) Participar en la realización de los preceptivos análisis de riesgos y mantenerlos actualizados según la legislación vigente.
• n) Promover auditorías periódicas para verificar el cumplimiento de las obligaciones en materia de seguridad de la información, y analizar los informes de auditoría, elaborando las conclusiones a presentar a los Responsables del Servicio y los Responsables de la Información para que adopten las medidas correctoras adecuadas bajo su responsabilidad.
• o) Adoptar, de acuerdo con las personas responsables del servicio afectado y de la información, la decisión de la suspensión del manejo de una cierta información o la prestación de un cierto servicio a propuesta de la persona responsable del sistema cuando haya sigo informado de deficiencias graves de seguridad que pudieran afectar a la satisfacción de los requisitos establecidos.
• p) Cualesquiera otras funciones que el Real Decreto 311/2022, de 3 de mayo, asigne a los responsables de seguridad.

Cuando lo justifique la complejidad, la separación física de sus elementos o el número de usuarios de la información en soporte electrónico, o de los sistemas que la manejen, podrán designarse «responsables de seguridad delegados», dependientes funcionalmente del responsable principal, que serán responsables de las actuaciones que se les deleguen.

5.5. Responsable del Sistema

El Responsable del Sistema, será designado por el titular del órgano con competencias en materia de tecnologías de la información entre personal con responsabilidad en infraestructuras y sistemas o equivalente, garantizando la independencia del Responsable de Seguridad y tiene las siguientes funciones:

• a) Desarrollar, operar y mantener el sistema de información durante todo su ciclo de vida, incluyendo sus especificaciones, instalación y verificación de su correcto funcionamiento.
• b) Definir la topología y la gestión del sistema de información, estableciendo los criterios de uso y los servicios disponibles en el mismo.
• c) Cerciorarse de que las medidas de seguridad se integren adecuadamente en el marco general de seguridad.
• d) Colaborar en la investigación y resolución de incidentes de seguridad.
• e) Informar a la persona Responsable del Servicio y de la Información, y al Responsable de Seguridad, de cualquier cambio que conozca o anomalía detectada que pueda afectar a la seguridad del sistema de información.
• f) Suspender el manejo de una determinada información o la prestación de un servicio electrónico si es informado de deficiencias graves de seguridad, previo acuerdo con el responsable de dicha información o servicio, según proceda, y con el responsable de seguridad.
• g) Elaborar los procedimientos, guías e instrucciones técnicas que, cumpliendo con lo establecido en la Política de Seguridad de la Información, determinan las acciones o tareas a realizar en el desempeño de un proceso

Cuando lo justifique la complejidad, la separación física de sus elementos o el número de usuarios de la información en soporte electrónico, o de los sistemas que la manejen, el responsable del Sistema podrá designar «responsables de sistema delegados», dependientes funcionalmente del responsable principal, que se harán cargo, en su ámbito competencial, de todas aquellas acciones delegadas por el Responsable del Sistema relacionadas con la operación, mantenimiento, instalación y verificación del correcto funcionamiento del sistema de información. El responsable principal seguirá siendo el responsable final.

6. Datos de carácter personal

Cuando un sistema al que afecte el Esquema Nacional de Seguridad maneje datos de carácter personal le será de aplicación lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, así como la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, en lo que le afecte.

7. Gestión de riesgos

La gestión de riesgos es parte esencial del proceso de seguridad y ha de realizase de manera continua sobre los sistemas de información con el objetivo de mantener los entornos controlados minimizando los riesgos hasta niveles aceptables, conforme a las directrices establecidas en el Real Decreto 311/2022, de 3 de mayo.

Los Responsables del Servicio y de los Responsables de la Información serán los encargados de asegurar que se realicen los análisis de riesgos pertinentes en tiempo y forma, contando con la colaboración del Responsable de Seguridad y de Sistema.

Los Responsables del Servicio y de los Responsables de la Información son los propietarios de los riesgos sobre la información y sobre los servicios respectivamente, siendo responsables de la aceptación de los riesgos residuales y de su seguimiento y control, sin perjuicio de la posibilidad de delegar esta tarea. Para ello podrán contar en el proceso con la participación y asesoramiento del Responsable de Seguridad y del Responsable del sistema

Todos los sistemas sujetos a esta Política deberán ser sometidos a un análisis y gestión de riesgos, evaluando los activos, amenazas y vulnerabilidades a los que están expuestos y proponiendo las contramedidas adecuadas para mitigar los riesgos.

Aunque se precisa un control continuo de los cambios realizados en los sistemas, este análisis se repetirá:

• - al menos una vez al año (mediante revisión y aprobación formal).
• - cuando cambie la información manejada.
• - cuando cambien los servicios prestados.
• - cuando ocurra un incidente grave de seguridad.
• - cuando se reporten vulnerabilidades graves.

Para la armonización de los análisis de riesgos, se establecerá una valoración de referencia para los diferentes tipos de información manejados y los diferentes servicios prestados.

8. Instrumentos de desarrollo

Se establece un marco normativo en materia de seguridad de la información, estructurado por diferentes niveles con diferente ámbito de aplicación y nivel de detalle técnico, de forma que los objetivos marcados por el presente documento tengan un desarrollo específico.

La política de seguridad estructurará su marco normativo, en los siguientes niveles:

• - Primer nivel: Está constituido por la presente Política de Seguridad de la Información que establece los requisitos y criterios de protección de carácter global.
• - Segundo nivel: Las normas de seguridad que definen qué hay que proteger y los requisitos de seguridad deseados. El conjunto de todas las normas de seguridad, debe cubrir la protección de todos los entornos de los sistemas de información de la organización. Establecen un conjunto de expectativas y requisitos que deben ser alcanzados para poder satisfacer y cumplir cada uno de los objetivos de seguridad establecidos en la política.
• - Tercer nivel: Está constituido por procedimientos, guías e instrucciones técnicas en los que se describirá, de forma concreta, cómo proteger lo definido en las normas y las personas o grupos responsables de la implantación, mantenimiento y seguimiento de su nivel de cumplimiento. Son documentos que especifican, cómo llevar a cabo las tareas habituales, quién debe hacer cada tarea y cómo identificar y reportar comportamientos anómalos.

La Política de Seguridad de la Información y todas las normativas de seguridad estará a disposición de todo el personal de la Administración, y en particular para aquellos que utilicen, operen o administren los sistemas de información.

9. Resolución de conflictos

En caso de conflicto entre los diferentes responsables que componen la estructura organizativa de la Política de Seguridad de la Información, éste será resuelto por el titular de la Dirección General competente en materia de tecnologías de la información y las comunicaciones.

10. Notificación de incidentes de seguridad de la información

El Gobierno de La Rioja y sus organismos públicos adoptarán las medidas necesarias para garantizar la notificación de los incidentes de seguridad que tenga un impacto significativo en la prestación del servicio a la autoridad competente.

11. Obligaciones del personal

Todo el personal con responsabilidad en el uso, operación o administración de sistemas de tecnologías de la información y las comunicaciones tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y la normativa de seguridad derivada, independientemente del tipo de relación jurídica que les vincule con la Administración General y con sus organismos Públicos. A tal efecto, la Política de Seguridad de la Información será comunicada a todas las personas usuarias de los sistemas de información que preste sus servicios en los órganos y entidades a que se refiere el punto relativo al 'Alcance', de manera pertinente, accesible y comprensible.

Asimismo, el personal perteneciente a empresas externas que tengan acceso a la documentación o información asociada a alguno de los servicios del Gobierno de La Rioja tiene la obligación de conocer y cumplir esta Política.

Todas las personas recibirán formación para el manejo seguro de los sistemas, en la medida en que la necesiten para realizar su trabajo.

La Política de Seguridad estará accesible para todo el personal.

El incumplimiento de la Política de Seguridad, o su normativa de desarrollo, dará lugar al establecimiento de medidas preventivas y correctivas encaminadas a salvaguardar y proteger las redes y sistemas de información, sin perjuicio de la correspondiente exigencia de responsabilidad disciplinaria o penal, en su caso.

12. Concienciación y formación

Se desarrollarán actividades formativas específicas orientadas a la concienciación y formación del personal que presta sus servicios para el Gobierno de La Rioja y sus organismos públicos, así como a la difusión de la presente Política de Seguridad de la Información y de su desarrollo normativo.

El Gobierno de La Rioja y sus organismos públicos dispondrán de los medios necesarios para que todas las personas con acceso a la información sean informadas acerca de sus deberes y obligaciones, así como de los riesgos existentes en el tratamiento de la información.

La Escuela Riojana de Administración Pública, a propuesta de las consejerías competentes en materia de seguridad de la información, incluirá en sus planes acciones formativas relativas a dichas materias, de acuerdo con las disponibilidades presupuestarias y conforme a la programación y planificación de la Escuela.

13. Inteligencia Artificial: Uso Seguro y Responsable de la IA.

El uso de la IA por parte de la Administración de la Comunidad Autónoma de La Rioja se regirá por los siguientes principios:

• 1. Transparencia: Los algoritmos y modelos de IA utilizados deberán ser documentados y auditables.
• 2. Responsabilidad: Se asignarán roles claros para la gestión y supervisión del uso de la IA.
• 3. Privacidad y seguridad: La IA deberá cumplir con la normativa vigente en materia de protección de datos y seguridad de la información.
• 4. Mitigación de riesgos: Se realizarán evaluaciones de impacto antes de implementar cualquier solución de IA.

Política de uso de la IA: Se habilita al titular de la Dirección General de Tecnologías de la Información y Comunicaciones (TI) para desarrollar, implementar y mantener una Política de Uso Seguro de la IA, que incluirá:

• • Directrices concretas para asegurar que la inteligencia artificial se utilice de manera responsable y segura.
• • Procedimientos para evaluar el impacto de las herramientas de IA en la privacidad y seguridad de la información.
• • Requisitos de formación y concienciación para los empleados sobre el uso responsable de la IA.
• • Directrices para la selección, adquisición y auditoría de soluciones de IA.

14. Terceras partes

Cuando el Gobierno de La Rioja preste servicios o ceda información a otras Administraciones Públicas u organismos, mediante los instrumentos jurídicos correspondientes, se les hará partícipe de esta Política de Seguridad de la Información y de las normas que la desarrollan. Asimismo, se establecerán canales y procedimientos de actuación para el reporte ante incidentes de seguridad.

Cuando el Gobierno de La Rioja utilice servicios de terceros o ceda información a terceros, se les hará partícipes de esta Política de Seguridad de la Información y de las normas que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta a las obligaciones establecidas en dicha normativa, pudiendo desarrollar sus propios procedimientos operativos para satisfacerla. Asimismo, se establecerán canales y procedimientos de actuación para el reporte ante incidentes de seguridad.

Cuando los servicios con terceros se formalicen mediante contratos o convenios, se requerirá a partir de la entrada en vigor de este Decreto, que incluyan las cláusulas en la que se establezca la obligación de cumplir esta política y el sistema de verificación de su cumplimiento e incluir un acuerdo de confidencialidad.

Cuando algún aspecto de la Política de la Seguridad de la Información no pueda ser satisfecho por una tercera parte, se requerirá un informe del Responsable de Seguridad que precise los riesgos en que se incurre y la forma de tratarlos. Se requerirá la aprobación de este informe por el Responsable de la Información y el Responsable de los Servicios afectados antes de seguir adelante.

15. Revisión de la política

La revisión de la Política de Seguridad de la Información deberá garantizar que ésta se encuentra alineada con la estrategia, la misión y visión del Gobierno de La Rioja en materia de seguridad de la información y que asegura el cumplimiento de los objetivos de control establecidos

En relación con las revisiones que puedan realizarse sobre la redacción del texto que constituye la política de seguridad de la información, se distinguirán tres tipos de actividades:

• - Revisiones periódicas, que se realizarán, al menos, con una periodicidad bianual.
• - Revisiones sistemáticas: Deberán realizarse cuando se detecten incidencias o cambios en el marco legal que puedan cuestionar la validez de dicha Política.
• - Revisiones no planificadas: Estas revisiones deberán realizarse en respuesta a cualquier evento o incidente de seguridad que pudiera suponer un incremento significativo del nivel de riesgo actual o que haya causado un impacto en la seguridad de la información del Gobierno de La Rioja.

Los cambios sobre la Política de Seguridad de la Información deberán ser aprobados por el órgano superior competente que corresponda.