Sumario

Res. 27 febrero 2009, derogada por la disposici髇 derogatoria de la Res. de 21 de diciembre de 2015, de la Secretar韆 de Estado de Presupuestos y Gastos, por la que se regula la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 de Estado de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado (獴.O.E.� 7 enero 2016).

El Real Decreto 1127/2008, de 4 de julio, de Estructura Org醤ica B醩ica del Ministerio de Econom韆 y Hacienda, establece en su art韈ulo 13, apartado 1.i), que la Intervenci髇 General de la Administraci髇 del Estado es el 髍gano encargado de la planificaci髇, dise駉 y ejecuci髇 de la pol韙ica inform醫ica de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, el soporte inform醫ico de las actividades y el asesoramiento, coordinaci髇 e instrumentaci髇 de los proyectos inform醫icos de sus 髍ganos.

Los sistemas de informaci髇 constituyen elementos b醩icos para la gesti髇 encomendada a la Secretar韆 General de Presupuestos y Gastos y a la Intervenci髇 General de la Administraci髇 del Estado, por lo que deben ser objeto de una especial protecci髇 a fin de que cumplan los requisitos de disponibilidad, integridad, confidencialidad y autenticidad precisos.

En consecuencia, las funciones que puedan realizarse en los sistemas de informaci髇 han de tratarse de forma que faciliten las elaboraciones espec韋icas y concretas de gesti髇 para las que han sido dise馻das, al mismo tiempo que quedan encuadradas en la pol韙ica de seguridad definida en la presente Resoluci髇.

Inicialmente la Resoluci髇 de la Secretar韆 de Estado de Presupuestos y Gastos, de 8 de julio de 2002, y posteriormente la Resoluci髇 de la Secretar韆 de Estado de Hacienda y Presupuestos, de 24 de mayo de 2005, de acceso a las bases de datos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado han sentado las bases organizativas y t閏nicas para la instrumentaci髇 de la seguridad inform醫ica en la vertiente del control de accesos a la bases de datos, en el 醡bito de la Administraci髇 presupuestaria.

El objetivo de la presente Resoluci髇 es aprovechar el sustrato organizativo proporcionado por las anteriores Resoluciones citadas, para avanzar en la regulaci髇 de la pol韙ica de seguridad de los sistemas de informaci髇 de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.

En su virtud, a propuesta de la Intervenci髇 General de la Administraci髇 del Estado y de la Secretar韆 General de Presupuestos y Gastos, he tenido a bien disponer:

Primero. 羗bito de aplicaci髇.-

La presente Resoluci髇 ser� de aplicaci髇 a los sistemas de informaci髇 de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado, 醡bito conjunto al que, en adelante, esta Resoluci髇 se refiere como la Administraci髇 presupuestaria.

Los sistemas de informaci髇 de Incentivos Regionales y el sitio Internet de la Direcci髇 General de Fondos Comunitarios, al contar con una gesti髇 inform醫ica aut髇oma, no se consideran dentro del 醡bito de aplicaci髇 de esta Resoluci髇. No obstante, la Direcci髇 General de Fondos Comunitarios respetar�, en cuanto le sea de aplicaci髇 a los efectos de los sistemas que gestiona, lo recogido en esta Resoluci髇.

La presente Resoluci髇 deber� ser observada por todo el personal destinado en la Administraci髇 presupuestaria y por aquellas personas que, a鷑 no perteneciendo a ella, dispongan de acceso a sus sistemas de informaci髇.

Segundo. Definiciones.-

Con car醕ter general, a efectos de esta Resoluci髇, se asumen las definiciones recogidas en el anexo de la Ley 11/2007, de 22 de junio, de acceso electr髇ico de los ciudadanos a los servicios p鷅licos, y en el art韈ulo 3 de la Ley Org醤ica 15/1999, de 13 de diciembre, de protecci髇 de datos de car醕ter personal.

Adicionalmente se introducen las siguientes definiciones a efectos de esta Resoluci髇:

• Base de datos: Conjunto de datos organizados sistem醫icamente con objeto de facilitar su tratamiento posterior.

• Seguridad de la informaci髇: Conjunto de controles cuyos objetivos son:

  • a) Definir las directrices a aplicar en la protecci髇 de los sistemas de la Administraci髇 presupuestaria.
  • b) Dar cumplimiento a los requisitos exigidos por la normativa nacional sobre protecci髇 de datos y de impulso de la administraci髇 electr髇ica.
• Control: Instrumento en forma de pol韙ica, praxis, procedimiento, estructura organizativa, funci髇 de software o cualquier otro elemento que permita alcanzar los objetivos de seguridad de la informaci髇 en la Administraci髇 presupuestaria.
• Sistema de informaci髇: Conjunto de datos, documentaci髇, procedimientos y tratamientos inform醫icos, as� como bases de datos, redes de comunicaciones y sistemas de interconexi髇, sistemas de control de accesos, personas, y ordenadores, perif閞icos y terminales instalados en los Servicios centrales y Organizaciones delegadas y territoriales de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.
• Servicios centrales de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado: Los centros directivos que constituyen las mismas.
• Organizaciones delegadas y territoriales: Las unidades que tengan ese car醕ter y que dependan de los centros directivos de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.
• Administraci髇 presupuestaria: 羗bito funcional de la Secretar韆 General de Presupuestos y Gastos y de la Intervenci髇 General de la Administraci髇 del Estado.
• Servicios de Inform醫ica Presupuestaria (en adelante SIP): 羠ea de la Intervenci髇 General de la Administraci髇 del Estado encargada del desarrollo y ejecuci髇 de las actividades inform醫icas de la Administraci髇 presupuestaria.

Tercero. Objeto.-

El objeto de esta Resoluci髇 es establecer el marco organizativo y tecnol骻ico de la administraci髇 de la pol韙ica de seguridad de la informaci髇 en el 醡bito de la Administraci髇 presupuestaria.

Cuarto. Estructura organizativa para la administraci髇 de la seguridad de la informaci髇.-

La gesti髇 de la seguridad en la Administraci髇 presupuestaria requiere, adem醩 de la implicaci髇 activa de todos los usuarios de los sistemas de informaci髇, la existencia de un marco organizativo orientado a dicha gesti髇 en el que desempe馻r醤 un papel primordial los siguientes agentes:

• a) Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.
• b) Administrador corporativo de seguridad de la Informaci髇.
• c) Responsables de seguridad en los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta Resoluci髇, se denominar醤 Responsables de centro.
• d) Responsables de seguridad de los ficheros de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta Resoluci髇, se denominar醤 Responsables de fichero.
• e) Administradores de seguridad de los accesos a las redes departamentales de cada uno de los centros directivos, organizaciones delegadas o territoriales de la Administraci髇 presupuestaria que, a efectos de esta Resoluci髇, se denominar醤 Administradores de red.
• f) Administradores de seguridad de los accesos a las bases de datos de la red de Inform醫ica presupuestaria que, a efectos de esta Resoluci髇, se denominar醤 Administradores de base de datos.

En el contexto de esta Resoluci髇, las figuras de Administrador de red y de base de datos tienen un car醕ter organizativo, de acuerdo con las funciones encomendadas en los apartados octavo y noveno, y no un significado t閏nico.

En el caso espec韋ico de determinadas bases de datos, y para el acceso desde el 醡bito externo a la Administraci髇 presupuestaria, el Responsable de fichero podr� requerir la identificaci髇, por parte del titular de cada 髍gano que desee acceder, de un 鷑ico responsable al que se exigir醤 obligaciones de seguridad para el se馻lamiento y control de los usuarios de su 醡bito.

Quinto. Comit� de Coordinaci髇 de la Seguridad de la Informaci髇.-

El Comit� de Coordinaci髇 de la Seguridad de la Informaci髇 es un 髍gano colegiado de car醕ter horizontal en materia de seguridad de la informaci髇 para el 醡bito de la Administraci髇 presupuestaria. Estar� formado por:

• a) El Coordinador de los SIP, que actuar� como Coordinador del Comit�.
• b) El Subdirector general de Explotaci髇 de los SIP.
• c) El Administrador corporativo de seguridad de la informaci髇, cuyas funciones se establecen en el apartado siguiente.
• d) Los Responsables de centro, previstos en el apartado s閜timo, designados por el titular de cada uno de los centros directivos de la Administraci髇 presupuestaria.
• e) Tres Interventores delegados en representaci髇 del conjunto de las Intervenciones delegadas en Ministerios, Agencias y Organismos p鷅licos, Intervenciones regionales y territoriales, designados por el Interventor General de la Administraci髇 del Estado.

El Comit� de Coordinaci髇 de la Seguridad de la informaci髇 podr� convocar a representantes de Unidades organizativas externas que accedan a sistemas de informaci髇 de la Administraci髇 presupuestaria.

A este Comit� de Coordinaci髇, que se reunir� al menos dos veces al a駉, le corresponder� establecer las directrices, procedimientos y actuaciones de orden organizativo que sean precisas en desarrollo de lo dispuesto en esta Resoluci髇, ajustadas a las directrices y criterios generales en el 醡bito de la Administraci髇 General del Estado, que emanen del Consejo Superior de Administraci髇 Electr髇ica, o del Departamento, que emanen de la Comisi髇 Ministerial de Administraci髇 Electr髇ica, dirigidas a garantizar la disponibilidad, integridad, confidencialidad y autenticidad de la informaci髇 en la red de Inform醫ica presupuestaria, todo ello sin perjuicio del ejercicio de las competencias decisorias por los 髍ganos superiores o directivos del Departamento que las tengan atribuidas.

En particular, el procedimiento de control de accesos a la red y a las bases de datos de la Administraci髇 presupuestaria, ser� aprobado por el Comit� de coordinaci髇 de seguridad de la informaci髇 a propuesta de los SIP.

Sexto. Administrador corporativo de seguridad de la informaci髇.-

El Administrador corporativo de seguridad de la informaci髇 aplicar� las medidas de seguridad a los sistemas de informaci髇 de la Administraci髇 presupuestaria de acuerdo con las directrices establecidas por el Comit� de Coordinaci髇 de la Seguridad de la Informaci髇. Ser� designado por el Comit� de Coordinaci髇 de la Seguridad de la informaci髇, a propuesta del Coordinador de los SIP, y actuar� como secretario del Comit�.

El dise駉, construcci髇, implantaci髇 y mantenimiento de las instrucciones, procedimientos y herramientas que, en aplicaci髇 de lo dispuesto en esta Resoluci髇 y en sus normas de desarrollo, se implementen para la administraci髇 de la seguridad de los sistemas de informaci髇 corresponder� a los SIP bajo la iniciativa y coordinaci髇 del Administrador corporativo de seguridad de la informaci髇, que las pondr� en conocimiento de los Responsables de centro de los centros directivos u organizaciones delegadas o territoriales de la Administraci髇 presupuestaria, de los Administradores de red y de base de datos y, en general, las difundir� a todo el 醡bito de aplicaci髇.

S閜timo. Responsables de centro.-

A efectos de esta Resoluci髇 se considera Responsable de centro a la persona que designe el titular del centro directivo o al titular de la organizaci髇 delegada o territorial de la Administraci髇 presupuestaria.

Este Responsable de centro asumir�, en materia de seguridad de la informaci髇, las funciones y obligaciones que se indican a continuaci髇:

• a) Adoptar� las medidas necesarias para el cumplimiento, en su 醡bito de competencia, de las normas, instrucciones y procedimientos que, en aplicaci髇 de lo establecido en esta Resoluci髇, se desarrollen para la administraci髇 de la seguridad de los sistemas de informaci髇 de la Administraci髇 presupuestaria.
• b) Adoptar� las medidas necesarias para que el personal de su 醡bito de competencia conozca las normas y procedimientos de seguridad que afecten al desarrollo de sus funciones.
• c) Designar� a un Administrador 鷑ico de red y a los suplentes que considere precisos. No obstante, en el caso de los centros directivos, la designaci髇 del Administrador de red podr� efectuarse, si la estructura as� lo aconseja, a nivel de Subdirecci髇 General o de ubicaciones administrativas diferentes.
• d) Designar� a los Administradores de base de datos de su 醡bito de competencia.
• e) Autorizar� el acceso de usuarios a la red departamental y a las bases de datos de su centro. Asimismo, comunicar� la anulaci髇 de los accesos permitidos a la red departamental y a las bases de datos de su propio centro.

  Quien ostente la funci髇 de autorizaci髇 de accesos a una base de datos actuar� as� mismo como Responsable de fichero en los t閞minos del Real Decreto 1720/2007 o designar� a dicho Responsable.

• f) Solicitar� el acceso de su personal a las bases de datos de la Administraci髇 presupuestaria, distintas de aquellas de su centro, que se requiera para el ejercicio de las funciones encomendadas.
• g) Solicitar� el acceso de su personal a bases de datos externas al 醡bito de la Administraci髇 presupuestaria, cuando se requiera para el ejercicio de las funciones encomendadas.

En los centros directivos, las funciones d), e), f) y g) podr醤 ser desempe馻das por los Subdirectores Generales, asimilados o adjuntos, respecto a las redes, bases de datos y 醡bito de personal de su respectiva competencia. Para tales funciones, y a los efectos de esta Resoluci髇, dichos Subdirectores ser醤 considerados como Responsables de centro.

El acceso a la red de la Administraci髇 presupuestaria podr� ser autorizado por los Responsables de recursos humanos de los centros directivos en la toma de posesi髇 de nuevo personal. Se proceder� de la misma forma cuando una persona deje de prestar servicio en un centro directivo o en alguna de sus oficinas delegadas o territoriales.

Octavo. Administrador de red departamental.-

Cada Administrador de red ser� el responsable de la aplicaci髇, en su 醡bito de actuaci髇, de la presente Resoluci髇 y de sus normas de desarrollo. Para esta misi髇 el Administrador de red actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los SIP.

Las funciones y obligaciones del Administrador de red en materia de seguridad ser醤:

• a) Instrumentar las solicitudes de acceso a la red de los nuevos usuarios autorizados.
• b) Realizar el mantenimiento y actualizaci髇 del inventario de usuarios con acceso permitido a la red departamental.
• c) Obtener peri骴icamente y, al menos una vez al a駉, a trav閟 de los medios puestos a su disposici髇 por los SIP, estad韘tica de accesos realizados por los usuarios de la red departamental a los sistemas de informaci髇.
• d) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 y denegaci髇 del acceso de cada uno de los usuarios a la red, como m韓imo, el puesto de trabajo, el responsable de la autorizaci髇 y anulaci髇 de los accesos, la fecha de autorizaci髇 o denegaci髇, al menos durante 2 a駉s.
• e) Informar de los incidentes relativos a la seguridad de la informaci髇, seg鷑 los procedimientos establecidos para tal fin.

Noveno. Administrador de base de datos.-

Cada base de datos, correspondiente a un sistema de informaci髇 o aplicaci髇 inform醫ica, tendr� asignado un Administrador de base de datos cuya designaci髇 corresponder� a:

• a) En caso de base de datos centrales, al Responsable de centro del centro directivo al que competa la responsabilidad de realizar la funci髇 asociada al sistema de informaci髇 o aplicaci髇 inform醫ica. No obstante, si el Responsable de centro ha nombrado Responsable de fichero de la base de datos, ser� el Responsable de fichero el que nombre al administrador de la misma.

  Cuando el contenido de la base de datos central sea el resultado de una gesti髇 descentralizada, el Responsable del centro competente, o el Responsable de fichero nombrado por 閘, podr� designar responsable delegado de autorizaci髇 de accesos, por cada unidad u oficina de gesti髇 que participe. Estos responsables delegados designar醤 al correspondiente Administrador de base de datos.

  Cuando se trate de productos o aplicaciones inform醫icas de utilizaci髇 general en todo el entorno de la Administraci髇 presupuestaria, cuya responsabilidad no est� asignada a un centro directivo concreto, el Administrador de base de datos ser� designado por el Coordinador de los SIP.

• b) En el caso de bases de datos departamentales, al Responsable del centro directivo u organizaci髇 delegada o territorial en la que residan.
• c) En el caso de bases de datos externas, al Coordinador de los SIP.

El Administrador de base de datos ser� el responsable de la aplicaci髇 de la presente Resoluci髇 y de las instrucciones y procedimientos que, en esta materia, se desarrollen. Para esta misi髇 el Administrador de base de datos actuar� de acuerdo con las instrucciones, procedimientos y herramientas de car醕ter t閏nico que establezcan los SIP.

Por tanto, las funciones y obligaciones del Administrador de base de datos ser醤:

• a) Instrumentar y gestionar las altas, bajas y el mantenimiento de autorizaciones de acceso a los usuarios de las bases de datos y, en su caso, de las funciones permitidas (por ejemplo, asignaci髇 de perfiles de acceso).
• b) Instrumentar y gestionar el acceso de los usuarios externos a las bases de datos de la red de Inform醫ica presupuestaria, previa comunicaci髇 a la Unidad de los SIP designada a tal efecto, cuando proceda.
• c) Mantener y custodiar la informaci髇 necesaria sobre la autorizaci髇 o denegaci髇 del acceso de los usuarios a la base de datos, al menos durante 2 a駉s.
• d) Obtener peri骴icamente, mediante los medios puestos a su disposici髇 por los SIP, estad韘tica de los accesos realizados por los usuarios a las bases de datos centrales y departamentales administradas por 閘.

  Adem醩, cuando se trate de bases de datos o ficheros con datos de car醕ter personal, a los que resulten de aplicaci髇 las medidas de seguridad de nivel alto del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley 15/1999, de protecci髇 de datos de car醕ter personal, el Administrador de base de datos, central o departamental, obtendr� un informe mensual de los accesos y operaciones realizadas por los usuarios del sistema, identificando, como m韓imo, el usuario, fecha y hora en que se realiz� el acceso, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado.

• e) Informar de los incidentes relativos a la seguridad de la informaci髇 seg鷑 los procedimientos establecidos para tal fin.

D閏imo. Integraci髇 de los sistemas de informaci髇 de los servicios de inform醫ica presupuestaria.-

Con objeto de garantizar una configuraci髇 normalizada de todas las estaciones de trabajo de la red corporativa de Inform醫ica presupuestaria, con car醕ter general y sin perjuicio de las excepciones que se autoricen, su instalaci髇 se ajustar� al procedimiento t閏nico de integraci髇 de sistemas de los servicios de Inform醫ica presupuestaria que garantizar�:

• a) El control normalizado de acceso a la red mediante la identificaci髇 personalizada en el arranque del puesto de trabajo, a trav閟 de las credenciales de identificaci髇 l骻ica del usuario, en la forma y medio m醩 adecuados en funci髇 de la tecnolog韆 disponible en cada momento.
• b) La configuraci髇 del escritorio personalizado del puesto de trabajo, integrado por el conjunto de sistemas de informaci髇 a los que el usuario del mismo puede acceder.
• c) La distribuci髇 del 玸oftware� al puesto de trabajo y, en su caso, al servidor departamental.
• d) Que en los puestos de trabajo y, en su caso en el servidor departamental, el 玸oftware� instalado es el autorizado en los SIP.

Und閏imo. Autorizaci髇 de acceso a la red.-

El acceso a la red y a los sistemas de informaci髇 de la Administraci髇 presupuestaria se articular� sobre un conjunto de procedimientos integrados, que ser醤 objeto de desarrollo posterior.

Asimismo, el Responsable de centro (del centro directivo u organizaci髇 delegada o territorial) o, en el supuesto considerado en el 鷏timo p醨rafo del apartado s閜timo, el Responsable de recursos humanos, comunicar� puntualmente al Administrador de red que corresponda, mediante el procedimiento habilitado para ello, las revocaciones de las autorizaciones vigentes a favor del personal que deje de prestar sus servicios en el 醡bito organizativo que corresponde a dicha red departamental o que, continuando prestando servicios en la Organizaci髇, no precisen disponer de acceso a la red.

Duod閏imo. Solicitud de acceso a base de datos.-

La solicitud de acceso a una base de datos ser� dirigida a quien, seg鷑 el apartado s閜timo, corresponde la autorizaci髇 de acceso, por quien a efectos de esta solicitud act鷈 como Responsable de centro. En esta solicitud se indicar醤 los usuarios para los que se propone el acceso y, para cada uno de ellos, la informaci髇 que se determine en el correspondiente procedimiento de control de accesos.

No obstante lo anterior, cuando el usuario que requiere el acceso a la base de datos pertenezca al mismo Centro al que competa la administraci髇 de la base de datos, la solicitud de acceso ser� dirigida directamente al correspondiente Administrador de base de datos por el responsable jer醨quico superior que, en el caso de servicios centrales, tendr� categor韆 m韓ima de Subdirector general, asimilado o adjunto.

Decimotercero. Autorizaci髇 de acceso a bases de datos.-

La autorizaci髇, en su caso, de la solicitud de acceso a la base de datos ser� dirigida por el Responsable de centro a quien corresponda la autorizaci髇 de los accesos a la base de datos al Administrador de base de datos. Esta comunicaci髇 se realizar� seg鷑 se determine en el procedimiento de control de accesos.

Corresponde al Administrador de base de datos la instrumentaci髇 de la autorizaci髇 o denegaci髇 de acceso y su notificaci髇 al usuario.

No obstante, conforme a lo se馻lado en el apartado anterior, cuando la solicitud se refiera a un usuario que pertenezca al mismo Centro al que compete la administraci髇 de la base de datos, no ser� precisa la expresa autorizaci髇 del Responsable de centro correspondiente, actuando el Administrador de base de datos conforme a los criterios generales de autorizaci髇 que establezca el Responsable de centro.

Por tanto, se responsabilizar� el Administrador de base de datos de la gesti髇 del alta, baja y mantenimiento de autorizaciones de acceso al sistema de informaci髇, as� como de la asignaci髇 de perfiles de acceso, cuando seg鷑 el apartado siguiente haya de efectuarse, que deber醤 corresponderse con las necesidades concretas de gesti髇. Asimismo dicho Administrador proceder�, a iniciativa propia, a la depuraci髇 de las autorizaciones de acceso al sistema de informaci髇, habilitando los procedimientos necesarios para disponer la caducidad de las autorizaciones de acceso cuando fuera procedente a juicio del Administrador, o cuando se dieran las circunstancias que aconsejaran tal medida, notificando dicha actuaci髇 al responsable jer醨quico del usuario afectado.

Decimocuarto. Acceso a sistemas de informaci髇 cr韙icos en materia de seguridad.-

En aquellos sistemas de informaci髇 cr韙icos en materia de seguridad, o que contengan ficheros con datos de car醕ter personal, el respectivo Administrador de base de datos podr� requerir en el formulario de solicitud, las funciones y el dominio de datos a los que se propone acceder por parte del usuario para el que se formula la misma.

En estos casos, el usuario autorizado acceder� exclusivamente a las funciones y al dominio de datos expresamente indicados por el correspondiente Administrador de base de datos.

Decimoquinto. Acceso de usuarios externos al 醡bito de la Administraci髇 presupuestaria.-

El acceso de usuarios ajenos a la red de Inform醫ica presupuestaria, en los t閞minos se馻lados en esta Resoluci髇, a los sistemas de informaci髇 de la Administraci髇 presupuestaria se ajustar� a los criterios anteriormente expuestos y a los que se indiquen en el procedimiento de control de accesos.

Con car醕ter general, estos usuarios, cuando sean autorizados para acceder a sistemas de informaci髇 de la Administraci髇 presupuestaria no precisar醤 que sus estaciones de trabajo est閚 configuradas bajo el procedimiento t閏nico de integraci髇 de sistemas de los servicios de Inform醫ica presupuestaria al que se refiere el apartado d閏imo de esta Resoluci髇.

El destinatario de la solicitud ser� el Responsable de centro al que corresponda la autorizaci髇 de accesos a la base de datos, o en caso de que se haya nombrado Responsable del fichero, este 鷏timo. En el supuesto de autorizar el acceso solicitado, el Responsable de centro o el Responsable del fichero, comunicar� dicha autorizaci髇 y los t閞minos de la misma al correspondiente Administrador de base de datos, quien, con car醕ter previo a su instrumentaci髇, la comunicar�, cuando proceda, a la unidad designada de los servicios SIP quien coordinar� con el Administrador de base de datos anteriormente indicado la operatividad del acceso concedido.

Los usuarios externos que fueran autorizados a acceder a sistemas de informaci髇 de la Administraci髇 presupuestaria se dotar醤 a s� mismos con los medios t閏nicos necesarios y cumplimentar醤 y respetar醤 los principios establecidos en esta Resoluci髇 y los requerimientos t閏nicos que se establezcan en el procedimiento de control de accesos.

En caso de incumplimiento de esta normativa sobre accesos, el Administrador de base de datos podr� proponer la revocaci髇 de las autorizaciones concedidas a las que se refiere este apartado.

Decimosexto. Acceso a bases de datos externas.-

Cuando la base de datos a la que se desea acceder resida fuera del entorno de la red corporativa de Inform醫ica presupuestaria (base de datos de la AEAT; de la Seguridad Social,...), facilit醤dose a trav閟 de dicha red la conexi髇 a la base de datos externa, sin perjuicio de observar los requerimientos de seguridad y control de accesos espec韋icos del dominio externo al que se accede, actuar� como Administrador de acceso a dicha base de datos, a efectos de esta Resoluci髇, la persona que designe el Coordinador de los SIP.

Decimos閜timo. Notificaci髇 y gesti髇 de las incidencias.-

Los Administradores de red y de base de datos y los usuarios comunicar醤 inmediatamente cualquier anomal韆 o irregularidad detectada de acuerdo con el procedimiento de gesti髇 y notificaci髇 de incidencias establecido por los SIP.

Decimoctavo. Auditor韆s de seguridad.-

El Administrador corporativo de seguridad de la informaci髇 promover� la realizaci髇 de auditor韆s sobre la aplicaci髇 de los distintos procedimientos que se establezcan en desarrollo de la presente Resoluci髇.

Decimonoveno. Confidencialidad de la informaci髇.-

Los datos e informaciones contenidas en las bases de datos de la Administraci髇 presupuestaria, cualquiera que sea su soporte, ser醤 de uso exclusivamente reservado para el cumplimiento de los fines que le atribuye el ordenamiento jur韉ico.

Las autoridades, empleados p鷅licos y dem醩 personal al que resulte de aplicaci髇 esta Resoluci髇 y que por raz髇 de su cargo o funci髇 tuviesen conocimiento de los datos o informaciones a que se refiere el p醨rafo anterior, est醤 obligados a guardar sigilo riguroso y observar estricto secreto respecto de los mismos.

El personal autorizado s髄o deber� acceder a las bases de datos cuando deba conocer determinada informaci髇 por razones del servicio, debiendo abstenerse de hacerlo por cualquier otra motivaci髇.

La salida de soportes inform醫icos que contengan informaci髇 de las bases de datos de la Administraci髇 presupuestaria, 鷑icamente podr� ser autorizada por el Responsable de centro al que corresponda la autorizaci髇 de accesos a la base de datos, o en caso de que haya sido nombrado Responsable del fichero, a este 鷏timo.

Vig閟imo. Responsabilidades.

• a) Cada usuario deber� conocer y aplicar, en su 醡bito de actuaci髇, la presente Resoluci髇, as� como las normas, instrucciones y procedimientos que en materia de seguridad de la informaci髇 se establezcan en la Administraci髇 presupuestaria.
• b) Cada usuario, debidamente autorizado, adquiere el compromiso de utilizaci髇 de las bases de datos con los fines exclusivos de gesti髇 para los que ha sido autorizado. Asimismo, ser� responsable de todos los accesos que se realicen mediante el uso de sus credenciales de identificaci髇 l骻ica de usuario. A tal fin deber� mantener la custodia y secreto de las credenciales, as� como vigilar posibles usos ajenos, denunciando cualquier trasgresi髇.

  En ning鷑 caso deber� facilitar las credenciales a otra persona, ni deber� acceder a la informaci髇 utilizando credenciales ajenas, incluso disponiendo del consentimiento del usuario titular.

• c) El cese de un usuario en el puesto de trabajo por cualquier causa determinar� el cese autom醫ico como usuario, a cuyo efecto, tan pronto como se produzca el cese en el puesto, el responsable jer醨quico superior que, en el caso de servicios centrales, tendr� categor韆 m韓ima de Subdirector general, asimilado o adjunto y, en el supuesto de tratarse de organizaciones delegadas o territoriales, ser� el m醲imo responsable de la organizaci髇, lo comunicar� al Administrador de la red y, a trav閟 de 閟te, a los Administradores de base de datos que corresponda seg鷑 su perfil.

  Cuando se trate de un usuario externo al 醡bito de la Administraci髇 presupuestaria, su cese ser� comunicado al Administrador de base de datos, quien coordinar� con la unidad designada de los SIP la instrumentaci髇 de la baja correspondiente.

• d) El acceso a la informaci髇 de las bases de datos de la Administraci髇 presupuestaria por un usuario no autorizado, la realizaci髇 de transacciones inform醫icas que no est閚 relacionadas con un objetivo concreto de gesti髇, la asignaci髇 de perfiles de utilizaci髇 a otras personas para el uso de transacciones no necesarias para la gesti髇 que tengan encomendada, o la revelaci髇 o falta de diligencia en la custodia y secreto de sus credenciales dar醤 lugar a la exigencia de las responsabilidades administrativas o de otra naturaleza en que se hubiese podido incurrir.

  En el supuesto en que las actuaciones se馻ladas en el p醨rafo anterior hubiesen sido cometidas por un funcionario p鷅lico, las mismas podr醤 dar lugar a la incoaci髇 del oportuno expediente disciplinario a tenor de lo previsto en los art韈ulos 6, 7 y 8 del Reglamento de R間imen Disciplinario de los Funcionarios de la Administraci髇 del Estado, aprobado por Real Decreto 33/1986, de 10 de enero.

De igual modo, las conductas se馻ladas en los p醨rafos anteriores dar醤 lugar a la supresi髇 de las autorizaciones previamente concedidas por quien las hubiera otorgado en su momento.

Vig閟imo primero. Medios.-

Los SIP de la Intervenci髇 General de la Administraci髇 del Estado establecer醤, en el 醡bito de la Administraci髇 presupuestaria, los procedimientos t閏nicos, aplicaciones, programas, utilidades y medios necesarios para facilitar el cumplimiento de la presente Resoluci髇.

DISPOSICIONES TRANSITORIAS