Decreto 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆

• Expandir / Contraer 韓dice sistem醫ico
• INTRODUCCION
• CAP蚑ULO I.�Disposiciones generales
  • Art韈ulo 1燨bjeto
  • Art韈ulo 2燚efiniciones
  • Art韈ulo 3犃mbito de aplicaci髇
  • Art韈ulo 4燨bjetivos de la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y las comunicaciones
• CAP蚑ULO II.�Principios de seguridad TIC
  • Art韈ulo 5燩rincipios de la pol韙ica de seguridad TIC
• CAP蚑ULO III.�Organizaci髇 de la seguridad TIC
  • Art韈ulo 6燨rganizaci髇 de la seguridad TIC
  • Art韈ulo 7燙omit� de Seguridad TIC de la Junta de Andaluc韆
  • Art韈ulo 8燯nidad de Seguridad TIC Corporativa de la Junta de Andaluc韆
  • Art韈ulo 9燝rupo de Personas Expertas en Seguridad TIC de la Junta de Andaluc韆
  • Art韈ulo 10燚ocumento de Pol韙ica de Seguridad TIC y Comit� de Seguridad TIC
  • Art韈ulo 11燝esti髇 de la seguridad TIC
• CAP蚑ULO IV.�Operaci髇 de la seguridad TIC
  • Art韈ulo 12燨peraci髇 de la seguridad TIC
• DISPOSICIONES ADICIONALES
  • Disposici髇 adicional primera燤arco regulador de seguridad TIC
  • Disposici髇 adicional segunda燬ervicio Andaluz de Salud y Servicio Andaluz de Empleo
• DISPOSICIONES FINALES
  • Disposici髇 final primera燚esarrollo y ejecuci髇
  • Disposici髇 final segunda燛ntrada en vigor
• ANEXO I.� Glosario de t閞minos
• ANEXO II.� Est醤dares

Art韈ulo 1 Objeto

El presente Decreto tiene por objeto definir y regular la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones de la Administraci髇 de la Junta de Andaluc韆, conformando, junto a las disposiciones y documentos t閏nicos que la desarrollen, el marco regulador de seguridad TIC.

LE0000599151_20170612Art韈ulo 1 redactado por el apartado uno del art韈ulo 鷑ico de D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆. (BOJA 12 junio).Vigencia: 12 junio 2017

Art韈ulo 2 Definiciones

A los efectos previstos en este Decreto, las definiciones han de ser entendidas en el sentido indicado en el Glosario de t閞minos incluido como Anexo I.

LE0000599151_20170612Art韈ulo 2 redactado por el apartado dos del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆. (BOJA 12 junio).Vigencia: 12 junio 2017

Art韈ulo 3 羗bito de aplicaci髇

El Decreto ser� de aplicaci髇 a la Administraci髇 de la Junta de Andaluc韆 y a sus entidades instrumentales, as� como a los consorcios a los que se refiere el art韈ulo 12.3 de la Ley 9/2007, de 22 de octubre, de la Administraci髇 de la Junta de Andaluc韆.

Art韈ulo 4 Objetivos de la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y las comunicaciones

La pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones de la Administraci髇 de la Junta de Andaluc韆, en adelante pol韙ica de seguridad TIC de la Administraci髇 de la Junta de Andaluc韆, persigue la consecuci髇 de los siguientes objetivos:

• a) Garantizar a toda la ciudadan韆 andaluza que sus datos ser醤 gestionados de acuerdo a los est醤dares y buenas pr醕ticas en seguridad TIC.
• b) Aumentar el nivel de concienciaci髇 en materia de seguridad TIC de todas las entidades a las que es de aplicaci髇 el Decreto, garantizando que el personal a su servicio es consciente de sus obligaciones y responsabilidades.
• c) Establecer las bases de un modelo integral de gesti髇 de la seguridad TIC en la Administraci髇 de la Junta de Andaluc韆, que cubra en un ciclo continuo de mejora los aspectos t閏nicos, organizativos y procedimentales.
• d) Garantizar el cumplimiento de la legislaci髇 vigente en materia de seguridad TIC.

Art韈ulo 5 Principios de la pol韙ica de seguridad TIC

La pol韙ica de seguridad TIC de la Administraci髇 de la Junta de Andaluc韆 se desarrollar�, con car醕ter general, de acuerdo a los siguientes principios:

• a) Principio de confidencialidad: los activos TIC deber醤 ser accesibles 鷑icamente para aquellas personas usuarias, 髍ganos y entidades o procesos expresamente autorizados para ello, con respeto a las obligaciones de secreto y sigilo profesional.
• b) Principio de integridad y calidad: se deber� garantizar el mantenimiento de la integridad y calidad de la informaci髇, as� como de los procesos de tratamiento de la misma, estableci閚dose los mecanismos para asegurar que los procesos de creaci髇, tratamiento, almacenamiento y distribuci髇 de la informaci髇 contribuyen a preservar su exactitud y correcci髇.
• c) Principio de disponibilidad y continuidad: se garantizar� un alto nivel de disponibilidad en los activos TIC y se dotar醤 de los planes y medidas necesarias para asegurar la continuidad de los servicios y la recuperaci髇 ante posibles contingencias graves.
• d) Principio de gesti髇 del riesgo: se deber� articular un proceso continuo de an醠isis y tratamiento de riesgos como mecanismo b醩ico sobre el que debe descansar la gesti髇 de la seguridad de los activos TIC.
• e) Principio de proporcionalidad en coste: la implantaci髇 de medidas que mitiguen los riesgos de seguridad de los activos TIC deber� hacerse bajo un enfoque de proporcionalidad en los costes econ髆icos y operativos.
• f) Principio de concienciaci髇 y formaci髇: se articular醤 iniciativas que permitan a las personas usuarias conocer sus deberes y obligaciones en cuanto al tratamiento seguro de la informaci髇 se refiere. De igual forma, se fomentar� la formaci髇 espec韋ica en materia de seguridad TIC de todas aquellas personas que gestionan y administran sistemas de informaci髇 y telecomunicaciones.
• g) Principio de prevenci髇: se desarrollar醤 planes y l韓eas de trabajo espec韋icas orientadas a prevenir fraudes, incumplimientos o incidentes relacionados con la seguridad TIC.
• h) Principio de mejora continua: se revisar� el grado de eficacia de los controles de seguridad TIC implantados, al objeto de adecuarlos a la constante evoluci髇 de los riesgos y del entorno tecnol骻ico de la Administraci髇 de la Junta de Andaluc韆.
• i) Principio de seguridad TIC en el ciclo de vida de los activos TIC: las especificaciones de seguridad se incluir醤 en todas las fases del ciclo de vida de los servicios y sistemas, acompa馻das de los correspondientes procedimientos de control.
• j) Principio de funci髇 diferenciada: la responsabilidad de la seguridad de los sistemas de tecnolog韆s de la informaci髇 y comunicaciones estar� diferenciada de la responsabilidad sobre la prestaci髇 de los servicios.

Art韈ulo 6 Organizaci髇 de la seguridad TIC

1. La preservaci髇 de la seguridad TIC ser� considerada objetivo com鷑 de todas las personas al servicio de la Administraci髇 de la Junta de Andaluc韆, siendo 閟tas responsables del uso correcto de los activos de tecnolog韆s de la informaci髇 y comunicaciones puestos a su disposici髇.

2. La organizaci髇 de la seguridad TIC en la Administraci髇 de la Junta de Andaluc韆 se conforma mediante la siguiente estructura:

• a) Organizaci髇 corporativa:
  • 1.� Comit� de Seguridad TIC de la Junta de Andaluc韆 y su Grupo de Respuesta a Incidentes.
  • 2.� Unidad de Seguridad TIC Corporativa.
  • 3.� Grupo de Personas Expertas en Seguridad TIC.
• b) Organizaci髇 en Consejer韆s:
  • 1.� Comit� de Seguridad TIC.
  • 2.� Unidad de Seguridad TIC.
• c) Organizaci髇 en entidades vinculadas o dependientes:
  • 1.� Comit� de Seguridad TIC.
  • 2.� Responsable de Seguridad TIC.

3. El modelo organizativo establecido en el apartado anterior tiene el car醕ter de m韓imo, pudiendo cada Consejer韆 y entidad incluida en el 醡bito de aplicaci髇 del Decreto crear comit閟 o perfiles con responsabilidad en seguridad adicionales para una mejor consecuci髇 de los objetivos y principios del Decreto, en el marco de lo establecido en el Real Decreto 3/2010, de 8 de enero.

LE0000599151_20170612Art韈ulo 6 redactado por el apartado tres del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Art韈ulo 7 Comit� de Seguridad TIC de la Junta de Andaluc韆

1. Se crea en el seno de la Comisi髇 Interdepartamental de la Sociedad de la Informaci髇 de la Junta de Andaluc韆 (CISI), como 髍gano colegiado de coordinaci髇 y gobierno en materia de seguridad en el 醡bito de la Administraci髇 de la Junta de Andaluc韆, el Comit� de Seguridad TIC de la Junta de Andaluc韆, al amparo de lo establecido en el art韈ulo 7.7 del Decreto 166/2001, de 10 de julio, de coordinaci髇 de actuaciones para el desarrollo de la Sociedad de la Informaci髇.

2. El Comit� estar� formado por aquellas personas elegidas por la propia Comisi髇 Interdepartamental de la Sociedad de la Informaci髇 de la Junta de Andaluc韆 entre las personas que la componen, debiendo tener representaci髇 de todas las Consejer韆s de la Administraci髇 de la Junta de Andaluc韆. Formar� parte tambi閚 del Comit� la persona titular de la Direcci髇 General competente en la coordinaci髇 de la evaluaci髇 de las necesidades de protecci髇 contra riesgos de intrusi髇 en los edificios p鷅licos de la Administraci髇 de la Junta de Andaluc韆. La presidencia recaer� en la persona titular del centro directivo de mayor rango con competencias en la coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones de la Administraci髇 de la Junta de Andaluc韆, y la secretar韆 recaer� en la persona titular del Servicio que tenga asignadas las funciones de la Unidad de Seguridad TIC corporativa.

3. Ser醤 funciones propias del Comit�:

• a) Definici髇, aprobaci髇 y seguimiento de los objetivos, iniciativas y planes estrat間icos en seguridad TIC.
• b) Velar por la disponibilidad de los recursos necesarios para desarrollar las iniciativas y planes estrat間icos definidos y proponer a la Unidad de Seguridad TIC Corporativa la realizaci髇 de los procedimientos de compra centralizada de productos y servicios corporativos de seguridad TIC, en aquellos supuestos en que se determine su conveniencia en raz髇 a criterios de oportunidad, eficacia y de econom韆s de escala.
• c) Elevaci髇 de propuestas de revisi髇 del marco normativo de seguridad TIC al 髍gano competente para su reglamentaria tramitaci髇.
• d) Establecimiento de directrices comunes y supervisi髇 del cumplimiento de la normativa en materia de seguridad TIC.
• e) Supervisi髇 del nivel de riesgo y toma de decisiones en la respuesta a incidentes de seguridad TIC que afecten a los activos TIC.
• f) Definici髇 y aprobaci髇 del modelo de relaci髇 con los Comit閟 de Seguridad TIC de las Consejer韆s y entidades incluidas en el 醡bito de aplicaci髇 de este Decreto.
• g) Promoci髇 de la educaci髇, entrenamiento y concienciaci髇 sobre las medidas legales y organizativas relativas a la Seguridad TIC entre el personal de la Administraci髇 P鷅lica.

4. El Comit� se reunir� al menos una vez por semestre y se regir� por este Decreto y por las normas sobre los 髍ganos colegiados que contiene la Secci髇 1.� del Cap韙ulo II del T韙ulo IV de la Ley 9/2007, de 22 de octubre, as� como por la normativa de car醕ter b醩ico, establecida en la Ley 40/2015, de 1 de octubre, de R間imen Jur韉ico del Sector P鷅lico.

5. El Comit� nombrar� un Grupo de Respuesta a Incidentes TIC cuya funci髇 ser� la toma urgente de decisiones en caso de contingencia grave que afecte a la seguridad de sistemas de informaci髇 cr韙icos de la Administraci髇 de la Junta de Andaluc韆.

LE0000599151_20170612Art韈ulo 7 redactado por el apartado cuatro del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Art韈ulo 8 Unidad de Seguridad TIC Corporativa de la Junta de Andaluc韆

1. La Direcci髇 Gerencia de la Agencia Digital de Andaluc韆 contar� con una Unidad de Seguridad TIC Corporativa, cuyas funciones se asignar醤 a una unidad administrativa con nivel org醤ico m韓imo de Servicio.

LE0000693875_20240827La referencia a la 獶irecci髇 Gerencia de la Agencia Digital de Andaluc韆�, contenida en el presente apartado, ha sido introducida en sustituci髇 de la anterior referencia a la 獶irecci髇 General competente en materia de coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones de la Administraci髇 de la Junta de Andaluc韆�, conforme establece la disposici髇 final cuarta del D. 128/2021, de 30 de marzo, por el que se aprueban los Estatutos de la Agencia Digital de Andaluc韆 (BOJA 8 abril).Vigencia: 9 abril 2021

2. La Unidad de Seguridad TIC Corporativa tendr� las siguientes atribuciones:

• a) Labores de soporte, asesoramiento e informaci髇 al Comit� de Seguridad TIC de la Junta de Andaluc韆 y su Grupo de Respuesta a Incidentes TIC, as� como de ejecuci髇 de las decisiones y acuerdos adoptados.
• b) Dise駉 y ejecuci髇 de los programas de actuaci髇 de car醕ter horizontal, as� como la direcci髇 de los proyectos y servicios corporativos de seguridad TIC.
• c) Desarrollo, mantenimiento y supervisi髇 del marco regulador de seguridad TIC.
• d) Generaci髇 y supervisi髇 de criterios y directrices corporativas de gesti髇 de la seguridad TIC.
• e) Recogida sistem醫ica de informaci髇 y supervisi髇 del estado de las principales variables de seguridad TIC de la Administraci髇 de la Junta de Andaluc韆, mediante el reflejo, cuando proceda, de los datos referidos a personas desagregados por sexo.
• f) Coordinaci髇 y seguimiento de la actividad de las Unidades de Seguridad TIC de las Consejer韆s.
• g) Realizaci髇 de los procedimientos de compra centralizada de productos y servicios corporativos de seguridad TIC a propuesta del Comit� de Seguridad TIC en aquellos supuestos en que se determine su conveniencia en raz髇 a criterios de oportunidad, eficacia y de econom韆s de escala.
• h) Realizaci髇 de auditor韆s t閏nicas y de cumplimiento normativo, en aquellos supuestos en que se determine su conveniencia en raz髇 a criterios de oportunidad, eficacia, eficiencia y de econom韆s de escala.
• i) Representaci髇 de la Administraci髇 de la Junta de Andaluc韆 ante los foros y agentes de relevancia del sector.
• j) Coordinaci髇 del Grupo de Personas Expertas en Seguridad TIC.
• k) Y cuantas otras le sean encomendadas por la Direcci髇 Gerencia de la Agencia Digital de Andaluc韆.
  LE0000693875_20240827La referencia a la 獶irecci髇 Gerencia de la Agencia Digital de Andaluc韆�, contenida en el presente apartado, ha sido introducida en sustituci髇 de la anterior referencia a la 獶irecci髇 General competente en materia de coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones de la Administraci髇 de la Junta de Andaluc韆�, conforme establece la disposici髇 final cuarta del D. 128/2021, de 30 de marzo, por el que se aprueban los Estatutos de la Agencia Digital de Andaluc韆 (獴.O.J.A.� 8 abril).Vigencia: 9 abril 2021

LE0000599151_20170612Art韈ulo 8 redactado por el apartado cinco del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Art韈ulo 9 Grupo de Personas Expertas en Seguridad TIC de la Junta de Andaluc韆

1. Las personas que componen el Grupo de Personas Expertas en Seguridad TIC ser醤 nombradas o cesadas por la Direcci髇 Gerencia de la Agencia Digital de Andaluc韆, a propuesta de las personas titulares de los centros directivos presentes en el Comit� de Seguridad TIC. Estas personas ser醤 personal de la Administraci髇 P鷅lica de la Junta de Andaluc韆 y podr醤 estar adscritas a cualquier Consejer韆 o entidad incluidas en el 醡bito de aplicaci髇 del presente Decreto.

LE0000693875_20240827La referencia a la 獶irecci髇 Gerencia de la Agencia Digital de Andaluc韆�, contenida en el presente apartado, ha sido introducida en sustituci髇 de la anterior referencia a la 獶irecci髇 General competente en materia de coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones de la Administraci髇 de la Junta de Andaluc韆�, conforme establece la disposici髇 final cuarta del D. 128/2021, de 30 de marzo, por el que se aprueban los Estatutos de la Agencia Digital de Andaluc韆 (獴.O.J.A.� 8 abril).Vigencia: 9 abril 2021

2. El Grupo actuar� como equipo t閏nico consultivo, mediante la redacci髇 de informes y asesoramiento verbal, en la definici髇 de los programas de actuaci髇 de car醕ter horizontal y se reunir� previa convocatoria de la persona responsable de la Unidad de Seguridad TIC Corporativa.

3. Las personas titulares de los centros directivos que forman parte del Comit� de Seguridad TIC ser醤 responsables de mantener actualizada su lista de personas expertas en el Grupo en el caso de producirse cambios en la organizaci髇 institucional o ante cambios de puesto de trabajo u Organismo.

4. En la composici髇 del Grupo de Personas Expertas en Seguridad TIC, ha de garantizarse, en la medida de lo posible, la representaci髇 equilibrada de mujeres y hombres, conforme a lo establecido en el art韈ulo 19.2 de la Ley 9/2007, de 22 de octubre, y a la definici髇 de representaci髇 equilibrada contenida en el art韈ulo 3.3 de la Ley 12/2007, de 26 de noviembre, para la Promoci髇 de la Igualdad de G閚ero en Andaluc韆.

LE0000599151_20170612Art韈ulo 9 redactado por el apartado seis del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Art韈ulo 10 Documento de Pol韙ica de Seguridad TIC y Comit� de Seguridad TIC

1. Sin perjuicio de las directrices establecidas en el marco regulador de seguridad TIC de la Administraci髇 de la Junta de Andaluc韆, cada Consejer韆 y entidad incluida en el 醡bito de aplicaci髇 del presente Decreto deber� disponer formalmente de su propio documento de pol韙ica de seguridad TIC, as� como de las disposiciones de desarrollo que adecuen, en su caso, las directrices comunes de la Administraci髇 de la Junta de Andaluc韆 a sus particularidades. Asimismo, cada Consejer韆 y entidad deber� contar con un Comit� de Seguridad TIC, que no tendr� car醕ter colegiado y que actuar� como 髍gano de direcci髇 y seguimiento en materia de seguridad de los activos TIC de su titularidad o cuya gesti髇 tenga encomendada.

2. El documento de pol韙ica de seguridad TIC ser� aprobado por la persona titular de la Consejer韆 o entidad correspondiente y se plasmar� en los t閞minos descritos en el Real Decreto 3/2010, de 8 de enero, debiendo hacer referencia y ser coherente con lo establecido en el documento de seguridad que exige el Reglamento de desarrollo de la Ley Org醤ica 15/1999, de 13 de diciembre, aprobado por el Real Decreto 1720/2007, de 21 de diciembre.

V閍se la Orden de 3 de diciembre de 2020, por la que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones de la Consejer韆 de Educaci髇 y Deporte (BOJA 17 diciembre).LE0000683541_20210701

3. El documento de pol韙ica de seguridad TIC de las Consejer韆s y sus documentos complementarios tambi閚 ser醤 de obligado cumplimiento para sus entidades vinculadas o dependientes.

4. El documento de pol韙ica de seguridad TIC deber� recoger la composici髇, atribuciones, y funcionamiento del Comit� de Seguridad TIC y del resto de perfiles con responsabilidad en seguridad, incluyendo, en su caso, los recogidos en el Real Decreto 3/2010, de 8 de enero, definiendo para cada uno de ellos, los deberes y responsabilidades del cargo, as� como el procedimiento para su designaci髇 y renovaci髇.

5. Los Comit閟 de Seguridad TIC de las Consejer韆s articular醤 los mecanismos de colaboraci髇 y coordinaci髇 necesarios con los de sus entidades vinculadas o dependientes.

6. Las atribuciones de los Comit閟 de Seguridad TIC de las entidades vinculadas o dependientes podr醤 ser asumidas por los comit閟 de direcci髇 existentes en dichas entidades, lo cual deber� ser recogido expresamente en el correspondiente documento de pol韙ica de seguridad TIC.

Todas las alusiones en el texto a los 獵omit閟 de Seguridad TIC de las entidades粻deben entenderse hechas a los 獵omit閟 de Seguridad Interior y Seguridad TIC de Consejer韆s o entidades dependientes singulares�, conforme establece la disposici髇 final primera del D. 171/2020, de 13 de octubre, por el que se establece la Pol韙ica de Seguridad Interior en la Administraci髇 de la Junta de Andaluc韆 (BOJA 16 octubre).LE0000677620_20201016

7. En la composici髇 de estos comit閟 ha de garantizarse, en la medida de lo posible, la representaci髇 paritaria de mujeres y hombres, conforme a lo establecido en el art韈ulo 19.2 de la Ley 9/2007, de 22 de octubre.

LE0000599151_20170612Art韈ulo 10 redactado por el apartado siete del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

V閍se la Res. 8燼bril 2021, de la Direcci髇 Gerencia del Servicio Andaluz de Salud, por la que se aprueba la Pol韙ica de Seguridad de las Tecnolog韆s de la informaci髇 y la comunicaci髇 del Servicio Andaluz de Salud (BOJA 16 abril).LE0000694759_20210417

Art韈ulo 11 Gesti髇 de la seguridad TIC

1. Cada Consejer韆 contar� con una Unidad de Seguridad TIC, garantizando el principio de funci髇 diferenciada recogido en el art韈ulo 5.j), que ejerza las funciones de responsabilidad de seguridad TIC de la Consejer韆, debiendo ser nombrada por el Comit� de Seguridad TIC de la misma. La Unidad de Seguridad TIC tendr� las siguientes atribuciones:

• a) Labores de soporte, asesoramiento e informaci髇 al Comit� de Seguridad TIC de la Consejer韆, as� como de ejecuci髇 de las decisiones y acuerdos adoptados por 閟te.
• b) Dise駉 y ejecuci髇 de los programas de actuaci髇 propios de la Consejer韆, incluyendo, entre otros, planes directores de seguridad, proyectos de desarrollo normativo, auditor韆s de cumplimiento y planes de adecuaci髇 legal.
• c) Definici髇, implantaci髇 y mantenimiento de los controles de car醕ter organizativo para la protecci髇 de los datos, aplicaciones y sistemas, as� como la realizaci髇 y mantenimiento de los an醠isis de riesgos de la Consejer韆.
• d) Supervisi髇 sistem醫ica de los controles de car醕ter procedimental, operacional y medidas t閏nicas de protecci髇 de los datos, aplicaciones y sistemas de la Consejer韆.
• e) Definici髇 y supervisi髇 de los criterios y requisitos t閏nicos de seguridad aplicados en las distintas fases del ciclo de vida de los soportes, sistemas y aplicaciones de la Consejer韆 por parte de los Servicios o Departamentos responsables de la prestaci髇 de los servicios de tecnolog韆s de la informaci髇 y comunicaciones. Antes de la puesta en producci髇 de nuevos sistemas de informaci髇 o de evolutivos de los existentes, la Unidad de Seguridad TIC deber� evaluar los aspectos de seguridad y comunicar los posibles riesgos al centro o centros directivos responsables de la informaci髇 y del servicio.
• f) Definici髇 y ejecuci髇 de los programas formativos y de concienciaci髇 relacionados con buenas pr醕ticas de seguridad TIC en el 醡bito de la Consejer韆, procurando promover, en el proceso de selecci髇 de las personas participantes en estos programas, la concurrencia de mujeres.
• g) Coordinaci髇, direcci髇 y seguimiento de la actividad en materia de seguridad TIC de las entidades vinculadas o dependientes de la Consejer韆.
  Todas las alusiones en el texto a los 獵omit閟 de Seguridad TIC de las entidades� deben entenderse hechas a los 獵omit閟 de Seguridad Interior y Seguridad TIC de Consejer韆s o entidades dependientes singulares�, conforme establece la disposici髇 final primera del D. 171/2020, de 13 de octubre, por el que se establece la Pol韙ica de Seguridad Interior en la Administraci髇 de la Junta de Andaluc韆 (獴.O.J.A.� 16 octubre).LE0000677620_20201016
• h) Aplicaci髇 de los criterios y directrices de gesti髇 de la seguridad TIC emanadas de la Unidad de Seguridad TIC Corporativa.
• i) Y cuantas otras le sean encomendadas por el 髍gano directivo de la Consejer韆 del que dependa funcional u org醤icamente.

2. Las entidades vinculadas o dependientes contar醤, al menos, con una persona Responsable de Seguridad TIC que ser� nombrada por el Comit� de Seguridad TIC de las mismas y que tendr� las siguientes atribuciones:

• a) Labores de soporte, asesoramiento e informaci髇 al Comit� de Seguridad TIC de la entidad, as� como de ejecuci髇 de las decisiones y acuerdos adoptados por 閟te.
  Todas las alusiones en el texto a los 獵omit閟 de Seguridad TIC de las entidades� deben entenderse hechas a los 獵omit閟 de Seguridad Interior y Seguridad TIC de Consejer韆s o entidades dependientes singulares�, conforme establece la disposici髇 final primera del D. 171/2020, de 13 de octubre, por el que se establece la Pol韙ica de Seguridad Interior en la Administraci髇 de la Junta de Andaluc韆 (獴.O.J.A.� 16 octubre).LE0000677620_20201016
• b) Dise駉 y ejecuci髇 de los programas de actuaci髇 propios de la entidad, incluyendo, entre otros, planes directores de seguridad, proyectos de desarrollo normativo, auditor韆s de cumplimiento y planes de adecuaci髇 legal.
• c) Definici髇, implantaci髇 y mantenimiento de los controles de car醕ter organizativo para la protecci髇 de los datos, aplicaciones y sistemas, as� como la realizaci髇 y mantenimiento de los an醠isis de riesgos de la entidad.
• d) Definici髇 y ejecuci髇 de los programas formativos y de concienciaci髇 relacionadas con buenas pr醕ticas de seguridad TIC en el 醡bito de la entidad, procurando promover, en el proceso de selecci髇 de las personas participantes en estos programas, la concurrencia de mujeres.
• e) Aplicaci髇 de los criterios y directrices de gesti髇 de la seguridad TIC emanadas de la Unidad de Seguridad TIC de la Consejer韆 de la que dependa la entidad.

Todas las alusiones en el texto a los 獵omit閟 de Seguridad TIC de las entidades� deben entenderse hechas a los 獵omit閟 de Seguridad Interior y Seguridad TIC de Consejer韆s o entidades dependientes singulares�, conforme establece la disposici髇 final primera del D. 171/2020, de 13 de octubre, por el que se establece la Pol韙ica de Seguridad Interior en la Administraci髇 de la Junta de Andaluc韆 (獴.O.J.A.� 16 octubre).LE0000677620_20201016

3. La persona responsable de la Unidad de Seguridad TIC de las Consejer韆s y, en su caso, la persona Responsable de Seguridad TIC de las entidades vinculadas o dependientes tendr� la condici髇 de Responsable de Seguridad, en los t閞minos establecidos en el Real Decreto 3/2010, de 8 de enero, y en el Real Decreto 1720/2007, de 21 de diciembre, en caso de que dicha designaci髇 fuera 鷑ica para todos los sistemas, ficheros o tratamientos de datos de car醕ter personal. En caso de que fuesen varias las personas designadas, la persona responsable de la Unidad de Seguridad TIC tendr� atribuciones de coordinaci髇 y direcci髇 de la labor desempe馻da por el resto de personas responsables de seguridad designadas.

LE0000599151_20170612Art韈ulo 11 redactado por el apartado ocho del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

V閍se Orden [ANDALUC虯] 16燿iciembre�2019, de por la que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en el 醡bito de la Consejer韆 (BOJA 20 diciembre).LE0000656158_20211008

Art韈ulo 12 Operaci髇 de la seguridad TIC

1. La Consejer韆 competente en materia de coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones desarrollar� acciones centralizadas de prevenci髇, detecci髇 y respuesta a incidentes en el 醡bito de la Administraci髇 de la Junta de Andaluc韆. Tales acciones ser醤 llevadas a cabo a trav閟 de Andaluc韆CERT, centro especializado y orientado a la prevenci髇, detecci髇 y respuesta a incidentes y amenazas de seguridad.

2. Los Servicios o Departamentos responsables de la prestaci髇 de los servicios de tecnolog韆s de la informaci髇 y comunicaciones de las Consejer韆s y entidades incluidas en el 醡bito de aplicaci髇 del presente Decreto, deber醤 realizar la implantaci髇 y mantenimiento de los controles de car醕ter procedimental y operacional, as� como de las medidas t閏nicas de protecci髇 de los datos, aplicaciones y sistemas de informaci髇 en los t閞minos previstos en el Anexo II del Real Decreto 3/2010, de 8 de enero, y, en su caso, en la normativa vigente en materia de protecci髇 de datos personales en lo referente a la adopci髇 de medidas de seguridad espec韋icas. Asimismo, dichos Servicios o Departamentos deber醤 velar por el cumplimiento de los t閞minos previstos en la Pol韙ica de seguridad TIC de la Junta de Andaluc韆 y, en su caso, de la de su propia entidad o de la de su organismo de adscripci髇.

LE0000599151_20170612Art韈ulo 12 redactado por el apartado diez del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Disposici髇 adicional primera Marco regulador de seguridad TIC

1. El marco regulador de seguridad TIC se conformar� por las siguientes disposiciones y documentos:

• a) Decreto 1/2011, de 11 de enero, y sus 觬denes de desarrollo.
• b) Resoluciones de la Direcci髇 Gerencia de la Agencia Digital de Andaluc韆.
  LE0000693875_20240827La referencia a la 獶irecci髇 Gerencia de la Agencia Digital de Andaluc韆�, contenida en el presente apartado, ha sido introducida en sustituci髇 de la anterior referencia a la 獶irecci髇 General competente en materia de coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones de la Administraci髇 de la Junta de Andaluc韆�, conforme establece la disposici髇 final cuarta del D. 128/2021, de 30 de marzo, por el que se aprueban los Estatutos de la Agencia Digital de Andaluc韆 (獴.O.J.A.� 8 abril).Vigencia: 9 abril 2021
• c) Documentos t閏nicos, que se agrupar醤 en las categor韆s de procedimientos y gu韆s t閏nicas.

2. La Consejer韆 competente en materia de coordinaci髇 y ejecuci髇 de las pol韙icas de seguridad de los sistemas de informaci髇 y telecomunicaciones pondr� en marcha las acciones necesarias para dar a conocer y formar en el cumplimiento del marco regulador de seguridad TIC a las Consejer韆s y entidades incluidas en el 醡bito de aplicaci髇 de este Decreto.

LE0000599151_20170612Disposiciones adicionales primera y segunda introducidas por el apartado doce del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Disposici髇 adicional segunda Servicio Andaluz de Salud y Servicio Andaluz de Empleo

Las disposiciones relativas a Consejer韆s contenidas en los art韈ulos 6.2.b y 11.1, espec韋icamente, en lo referente a la Unidad de Seguridad TIC, tambi閚 ser醤 de obligado cumplimiento para el Servicio Andaluz de Salud y el Servicio Andaluz de Empleo.

LE0000599151_20170612Disposiciones adicionales primera y segunda introducidas por el apartado doce del art韈ulo 鷑ico del D [ANDALUC虯] 70/2017, 6 junio, por el que se modifica el D. 1/2011, de 11 de enero, por el que se establece la pol韙ica de seguridad de las tecnolog韆s de la informaci髇 y comunicaciones en la Administraci髇 de la Junta de Andaluc韆 (BOJA 12 junio).Vigencia: 12 junio 2017

Disposici髇 final primera Desarrollo y ejecuci髇

Se faculta al Consejero de Econom韆, Innovaci髇 y Ciencia para dictar cuantas disposiciones sean precisas para el desarrollo y ejecuci髇 de lo previsto en el Decreto.

Disposici髇 final segunda Entrada en vigor

El Decreto entrar� en vigor el d韆 siguiente al de su publicaci髇 en el Bolet韓 Oficial de la Junta de Andaluc韆.