Seguridade

Alcance

A parte máis esencial dun sistema de xestión de seguridade é a avaliación e control dos riscos dos activos (información, datos, servizos, aplicacións, equipamento, comunicacións, recursos administrativos, físicos e humanos). A análise e xestión destes riscos permiten o mantemento dun contorno controlado no que os riscos se minimizan ata niveis aceptables, mediante o despregue de medidas de seguridade adecuadas, eficaces e proporcionadas nun proceso de mellora continua que leve á organización a ser pouco a pouco máis proactiva que reactiva fronte ás incidencias de seguridade.

Un dos activos máis importantes do sistema é a propia documentación de seguridade. En efecto, o sistema de xestión da seguridade da información ten que estar documentado e cun proceso regular de aprobación pola dirección. As directrices para a estruturación desta documentación, construídas sobre a política, as normas, os estándares internos e os procedementos de seguridade, a información necesaria para a correcta xestión, revisión e actualización regular (clasificación da documentación, versión, data de publicación e responsables) e a garantía de que o seu acceso se realice única e exclusivamente polo persoal autorizado serán validadas polo Comité de Seguridade dos Sistemas de Información. A documentación asociada a cada sistema, en particular a Declaración de Aplicabilidade que contén a relación de medidas de seguridade seleccionadas, será xestionada polo responsable de seguridade designado por cada departamento e supervisada polo Centro de Seguridade da Información.

Para conseguir os obxectivos establecidos, contarase coa participación dos seguintes responsables:

• A Secretaría Xeral de Modernización e Innovación Tecnolóxica, dependente da Presidencia da Xunta de Galicia, establece a política de seguridade informática corporativa da Xunta de Galicia e a promoción de boas prácticas no relativo ao tratamento de datos de carácter persoal. Correspóndelle a dirección das políticas corporativas de seguridade informática a través do Centro de Seguridade da Información, a elaboración dos plans, medidas e directrices de seguridade informática, a supervisión do cumprimento de todas as medidas de seguridade informática nos diferentes ámbitos e departamentos e o deseño e realización de accións encamiñadas a garantir o cumprimento da normativa vixente en materia de Protección de Datos de Carácter Persoal na Administración da Comunidade Autónoma.
• O Centro de Seguridade da Información participa, ademais, na resolución de incidencias de seguridade informática e asesora ás consellerías en materia de protección de datos e na avaliación de solucións de seguridade.
• As consellerías da Administración da Comunidade Autónoma de Galicia designarán e renovarán o órgano que será responsable dos sistemas de información da súa propiedade e de establecer os medios tecnolóxicos que necesitan as persoas ao seu servizo, así como de velar polo correcto funcionamento das infraestruturas e do equipamento informático e de comunicacións de que dispoñan. Cando estas atribucións non estean asignadas regulamentariamente a un órgano, a designación farase polas secretarías xerais de cada departamento. Así mesmo, cada departamento da Xunta de Galicia deberá designar a unha persoa como responsable de seguridade. Dentro de cada consellería, o persoal de soporte técnico desempeñará funcións de asesoría técnica, execución, proposta, coordinación e supervisión dos plans de informatización.
• O Comité de Seguridade dos Sistemas de Información, órgano colexiado formado polas persoas responsables de seguridade dos distintos departamentos da Xunta de Galicia, define esta Política de Seguridade da Información, terá como obxectivo velar polo cumprimento desta política e impulsará a implantación e difusión da xestión da seguridade da información. Este comité estará coordinado e asesorado polo órgano competente en materia de seguridade corporativa a través do Centro de Seguridade da Información. Contará, así mesmo, co apoio en materia de actualización normativa da Asesoría Xurídica Xeral. Puntualmente, poderá solicitar a colaboración da Xunta Consultiva de Contratación Administrativa da Xunta de Galicia e do equipo de auditores e analistas de xestión do rendemento e calidade da Dirección Xeral de Avaliación e Reforma Administrativa da Consellería de Presidencia, Administracións Públicas e Xustiza.
• As persoas que prestan servizos á Administración da Comunidade Autónoma de Galicia, ademais de cumprir coas medidas indicadas no Decreto de boas prácticas teñen deber de sixilo e confidencialidade respecto da información á que poidan ter acceso por razón das súas funcións, limitándose a empregala para o estrito cumprimento das tarefas encomendadas.