§1020274
DECRETO 97/2006, DE 24 DE NOVIEMBRE, POR EL QUE SE CREAN Y REGULAN LAS COMISIONES PARA LA MEJORA CONTINUA DE LA SEGURIDAD DE LA INFORMACIÓN EN LA ADMINISTRACIÓN DE LA COMUNIDAD AUTÓNOMA DE LAS ILLES BALEARS.
El desarrollo y el impulso de la sociedad de la información es actualmente una necesidad global, que en el caso de las Illes Balears se acentúa debido al cariz insular de esta Comunidad Autónoma.
Pese a las claras ventajas de la aplicación de las nuevas tecnologías, estos nuevos medios pueden ser causa de graves disfunciones de la Administración cuando su funcionamiento no es el adecuado, especialmente en aquellos casos en los que la seguridad jurídica y técnica se basa en herramientas informáticas, como por ejemplo la firma electrónica.
Para evitar los problemas producidos por estas disfunciones y para asegurar la fiabilidad de los datos almacenados en los sistemas de información, se hace cada vez más necesaria la aplicación de normas legales, procedimientos organizativos y herramientas técnicas que garanticen la seguridad de los sistemas de información en las vertientes de confidencialidad, integridad y disponibilidad.
Esta necesidad ya fue recogida en la Recomendación de la OCDE relativa a las “Directrices para la seguridad de sistemas y redes de información – Hacia una cultura de seguridad”, adoptada por el Consejo de la OCDE en la sesión número 1.037, de 25 de julio de 2002, el cual recomendó a los países miembros establecer nuevas políticas, prácticas, medidas y procedimientos, o modificar los existentes.
Además, el Reglamento (CE) núm. 1663/95 de la Comisión, de 7 de julio de 1995, por el que se establecen las disposiciones de aplicación del Reglamento (CEE) núm. 729/70 del Consejo, en cuanto al procedimiento de liquidación de cuentas de la sección de Garantía del FEOGA, introduce una serie de requisitos y exigencias de garantías para los organismos pagadores, que se han extendido a más ámbitos administrativos. La Comisión Europea dictó, asimismo, el 15 de octubre de 2004, y para aclarar el punto 6 VI) de dicho Reglamento, las directrices sobre la seguridad de los sistemas de información de los organismos pagadores, lo que dio lugar a la aprobación del Reglamento núm. 465/2005 de la Comisión, de 22 de marzo de 2005, por el que se da una nueva redacción al punto 6 VI) del Reglamento núm. 1663/1995 antes citado.
Para lograr estos objetivos, es necesario atender tanto los aspectos normativos como los técnicos y organizativos. En cuanto a estos últimos, y dada la estructura de la Administración de la Comunidad Autónoma de las Illes Balears, se considera adecuada la creación, por una parte, de una comisión directora de la seguridad de la información (encargada de resolver los asuntos interdisciplinarios, de aprobar los criterios de seguridad, así como de elaborar la planificación estratégica de la seguridad) y, por otra, de una comisión técnica de la seguridad de la información (encargada de los aspectos técnicos de la seguridad de la información).
Finalmente, cabe decir que el contenido del presente Decreto respeta el marco normativo que, en esta materia, resulta del Reglamento (CE) 460/2004 del Parlamento Europeo y del Consejo, de 10 de marzo de 2004, por el que se crea la Agencia Europea de la Seguridad de las Redes y de la Información, así como de la Directiva 2002/21/CE del Parlamento Europeo y del Consejo, de 7 de marzo de 2002, relativa a un marco regulador común de las redes y los servicios de comunicaciones electrónicas.
Por todo ello, de acuerdo con el Consejo Consultivo de las Illes Balears, a propuesta del Consejero de Economía, Hacienda e Innovación, y habiéndolo considerado el Consejo de Gobierno en la sesión de día 24 de noviembre de 2006, DECRETO
CAPÍTULO I
Disposiciones generales
Artículo 1 Objeto, ámbito de aplicación y régimen de funcionamiento
1. El objeto de este Decreto es la creación y la regulación de la estructura, la composición y las funciones de la Comisión Directora de la Seguridad de la Información y de la Comisión Técnica de la Seguridad de la Información en el ámbito de la Administración de la Comunidad Autónoma de las Illes Balears.
2. Ambas comisiones se adscriben a la Consejería competente en materia de tecnología y comunicaciones, a través de la Dirección General competente.
3. A los efectos del presente Decreto, se entienden incluidas en la Administración de la Comunidad Autónoma de las Illes Balears las entidades autónomas y, en particular, el Servicio de Salud de las Illes Balears.
4. El régimen de funcionamiento de la Comisión Directora de la Seguridad de la Información y de la Comisión Técnica de la Seguridad de la Información es el previsto, con carácter general, para los órganos colegiados de la Administración de la Comunidad Autónoma de las Illes Balears.
Artículo 2 Definiciones
A los efectos del presente Decreto se definen los siguientes conceptos:
a) Sistemas de información: los ordenadores y redes de comunicaciones electrónicas, así como los datos almacenados, procesados, recuperados o transmitidos por los mismos, para su operación, uso, protección y mantenimiento.
b) Seguridad de la información: capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, los accidentes o las acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad, confidencialidad o auditabilidad de los datos almacenados o transmitidos o de los servicios que estas redes y sistemas ofrecen o hacen accesibles.
CAPÍTULO II
La Comisión Directora de la Seguridad de la Información
Artículo 3 Composición
1. La Comisión Directora de la Seguridad de la Información está integrada por los siguientes miembros:
a) El Consejero competente en materia de tecnología y comunicaciones, que la preside.
b) El Director General competente en materia de tecnología y comunicaciones, el cual actúa como vicepresidente.
c) El Secretario General de la Consejería competente en materia de relaciones institucionales, que actuará como secretario de la Comisión.
d) El Director General competente en materia de función pública.
e) El Director General competente en materia de interior.
f) El Director de la Abogacía de la Comunidad Autónoma.
g) El Interventor General de la Comunidad Autónoma.
h) El órgano directivo de la Consejería o de la entidad autónoma promotora de la propuesta en materia de seguridad de la información que, en su caso, tenga que formar parte del orden del día de la sesión.
2. Además, podrán asistir, con voz pero sin voto, los órganos directivos, diferentes del promotor, competentes en las materias que se puedan ver afectadas por los temas a tratar.
3. Asimismo, la Comisión podrá nombrar los asesores que considere oportunos, con carácter permanente o puntual, los cuales podrán ser invitados a asistir a las reuniones, con voz pero sin voto.
4. Además, la Comisión podrá organizar grupos de trabajo a los que se encomienden tareas de estudio, análisis o preparación para el ejercicio de las funciones atribuidas a la Comisión.
Artículo 4 Funciones
1. La Comisión Directora de la Seguridad de la Información es el órgano colegiado encargado de dar el impulso organizativo y normativo necesario en materia de seguridad de la información.
2. En particular, se atribuyen a esta Comisión las siguientes funciones:
a) Aprobar propuestas normativas y criterios técnicos y organizativos en materia de seguridad de los sistemas de información, teniendo en cuenta los principios de proporcionalidad, prudencia y oportunidad.
b) Dar difusión a la normativa aprobada en materia de seguridad de la información, así como de los criterios referidos en el punto anterior.
c) Promover los proyectos de seguridad de la información.
d) Hacer propuestas en cuanto a la estrategia a seguir en el ámbito de la seguridad de la información en la Administración de la Comunidad Autónoma de las Illes Balears.
Artículo 5 Cumplimiento de los criterios de seguridad
Los criterios técnicos aprobados por la Comisión Directora de la Seguridad de la Información tienen que cumplirse con respecto a los procedimientos y actuaciones siguientes:
a) La aprobación de aquellos proyectos que deban ser informados por las comisiones de sistemas de información en tecnología y comunicaciones a que se refiere el Decreto 147/2003, de 24 de octubre.
b) El proceso de desarrollo de aplicaciones informáticas.
c) La puesta en marcha de aplicaciones y sistemas informáticos y de telecomunicaciones.
d) La creación de ficheros automatizados de datos afectados por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
e) El acceso y la utilización de los sistemas de información.
Artículo 6 Propuestas normativas
Las propuestas normativas en materia de seguridad de la información, acordadas por la Comisión Directora de la Seguridad de la Información, se trasladarán al Consejero competente en la materia, para que impulse su tramitación y, en su caso, su aprobación como norma.
Artículo 7 Reuniones
La Comisión Directora de la Seguridad de la Información debe reunirse al menos una vez cada seis meses.
CAPÍTULO III
La Comisión Técnica de la Seguridad de la Información
Artículo 8 Composición
1. La Comisión Técnica de la Seguridad de la Información está integrada por los siguientes miembros:
a) El Director General competente en materia de tecnología y comunicaciones, que la preside.
b) El Jefe de Servicio del Centro de Proceso de Datos de la Dirección General competente en materia de tecnología y comunicaciones.
c) El Jefe de Servicio de Sistemas de la Información de la Dirección General competente en materia de tecnología y comunicaciones.
d) El jefe de Servicio de Telecomunicaciones de la Dirección General competente en materia de tecnología y comunicaciones.
e) El Jefe de Servicio de Seguridad de la Dirección General competente en materia de tecnología y comunicaciones.
f) El Jefe de Sección de la Dirección General competente en materia de tecnología y comunicaciones con funciones de asesoría jurídica.
2. Asimismo, la Comisión podrá nombrar los asesores que considere oportunos, con carácter permanente o puntual, los cuales podrán ser invitados a asistir a las reuniones, con voz pero sin voto.
Artículo 9 Funciones
1. La Comisión Técnica de la Seguridad de la Información es el órgano colegiado encargado de gestionar los aspectos técnicos en materia de seguridad de la información.
2. En particular, se atribuyen a esta Comisión las siguientes funciones:
a) En relación con los estándares de seguridad global:
- La coordinación de las actuaciones ordinarias de todos los grupos de trabajo con responsabilidades sobre seguridad de la información, en la Administración de la Comunidad Autónoma, para mejorar las actuaciones y evitar duplicidades.
- La coordinación de las ejecuciones de los proyectos de mejora y cambio en materia de seguridad de la información en aplicaciones, sistemas informáticos y sistemas de telecomunicaciones.
- La colaboración en la definición y mejora de los procedimientos para la identificación de activos de información y su clasificación.
- La elaboración de informes ante las incidencias de seguridad que se consideren relevantes, por iniciativa propia de la Comisión o a petición de otros órganos de la Administración de la Comunidad Autónoma.
- Instar la suspensión de las cuentas de usuario, sistemas de telecomunicaciones, sistemas de información y ficheros con datos de carácter personal, cuando los riesgos asociados al funcionamiento así lo aconsejen.
b) En relación con la consultoría de seguridad:
- El análisis de propuestas para mejorar o modificar la configuración y funcionalidad de intranets, cortafuegos, servidores, aplicaciones, bases de datos y otros componentes de la infraestructura de los sistemas de información y telecomunicaciones de la Administración de la Comunidad Autónoma de las Illes Balears.
- La colaboración en la selección y la instalación de herramientas automáticas que permitan monitorizar o asegurar el cumplimiento de los procedimientos, guías y estándares de la seguridad.
c) En relación con los planes de contingencia:
- La participación en la evaluación de los riesgos para determinar el impacto de las amenazas.
- El desarrollo de protocolos de actuaciones que fijen las prioridades a las aplicaciones, sistemas y redes, para que los recursos asignados por la restauración sigan el orden más efectivo.
- La colaboración en el desarrollo de las estructuras conceptuales y organizativas que permitan estar preparados ante las potenciales amenazas sobre los sistemas de información.
- El análisis de los planes de contingencias desarrollados por las consejerías y sus entidades dependientes, con objeto de asegurar que se cumplan los estándares aprobados y que se integran todas las prácticas de planificación recomendadas.
- La coordinación, con los responsables del plan de continuidad de cada área, de los esfuerzos para planificar el plan de contingencias de los sistemas de la información.
d) En relación con el uso de la firma electrónica:
- El establecimiento de los criterios técnicos que permitan la interoperabilidad de los distintos sistemas de firma electrónica.
- El establecimiento de los criterios técnicos que permitan garantizar la seguridad y fiabilidad en el uso de los sistemas de firma electrónica.
- La homologación de la adecuación de las aplicaciones y herramientas a los criterios técnicos establecidos.
Artículo 10 Reuniones
La Comisión Técnica de la Seguridad de la Información debe reunirse al menos una vez al mes y, en cualquier caso, cuando se produzcan incidencias de seguridad graves que afecten a cualquier unidad de la organización o surjan nuevas incidencias de seguridad que requieran la participación de la Comisión Técnica.
Disposición final primera
Se autoriza al Consejero competente en materia de tecnología y comunicaciones para que dicte las disposiciones que sean necesarias para el desarrollo y la ejecución de este Decreto.
Disposición final segunda
Este Decreto entrará en vigor al día siguiente de su publicación en el Boletín Oficial de las Illes Balears.
