Decreto Supremo 1793 de reglamentación a la Ley 164
Artículo 3, Párrafo VI
- Seguridad informática: Es el conjunto de normas, procedimientos y herramientas, las cuales se enfocan en la protección de la infraestructura computacional y todo lo relacionado con ésta y, especialmente, la información contenida o circulante;
- Seguridad de la información: La seguridad de la información es la preservación de la confidencialidad, integridad y disponibilidad de la información; además, también pueden estar involucradas otras propiedades como la autenticidad, responsabilidad, no repudio y confiabilidad;
- Plan de contingencia: Es un instrumento que comprende métodos y el conjunto de acciones para el buen gobierno de las Tecnologías de la Información y Comunicación en el dominio del soporte y el desempeño, contiene las medidas técnicas, humanas y organizativas necesarias para garantizar la continuidad del servicio y las operaciones de una entidad, en circunstancias de riesgo, crisis y otras situaciones anómalas.
Artículo 4 Párrafo II, Inciso d)
Seguridad: Se debe implementar los controles técnicos y administrativos que se requieran para preservar la confidencialidad, integridad, disponibilidad, autenticidad, no repudio y confiabilidad de la información, brindando seguridad a los registros, evitando su falsificación, extravío, utilización y acceso no autorizado o fraudulento.
Artículo 8
Las entidades públicas promoverán la seguridad informática para la protección de datos en sus sistemas informáticos, a través de planes de contingencia desarrollados e implementados en cada entidad.
Decreto Supremo 2514 de Creación de la Agencia de Gobierno Electrónico y Tecnologías de Información y Comunicación – AGETIC
[ Descargar]
Artículo 8, Numeral 1
Se crea el Centro de Gestión de Incidentes Informáticos – CGII como parte de la estructura técnico operativa de la AGETIC.
Artículo 8, Numeral 2
El CGII tiene las siguientes funciones:
- Establecer las políticas de gestión de incidentes informáticos gubernamentales y procedimientos para la atención y escalamiento de los mismos;
- Establecer los lineamientos para la elaboración de Planes Institucionales de Seguridad de la Información de las entidades del sector público;
- Establecer los lineamientos para la elaboración de Planes de Seguridad de Información de las entidades del sector público;
- Desarrollar políticas y acciones para la prevención de incidentes informáticos en las entidades del sector público;
- Evaluar la seguridad de los sistemas de información de las entidades del sector público, a solicitud de las mismas;
- Monitorear los sitios web gubernamentales y la aplicación de las políticas y lineamientos definidos por la AGETIC;
- Promover el desarrollo de prácticas de seguridad de la información con la sociedad en general;
- Comunicar y otorgar información a todas las entidades del sector público acerca de incidentes informáticos y vulnerabilidades de que haya tomado conocimiento;
- Prestar soporte técnico a las entidades del sector público en caso de que ocurriese un incidente informático;
- Otorgar soporte técnico para la prevención de incidentes informáticos a las entidades del nivel central del Estado a solicitud de las mismas;
- Realizar el seguimiento al desarrollo e implementación de los planes de seguridad de la información en las entidades y empresas públicas del nivel central del Estado;
- Realizar pruebas a la seguridad de los sistemas de información de las entidades públicas, para realizar recomendaciones a las mismas, previo aviso y coordinación. El CGII no realizará ninguna acción que pueda perjudicar a las entidades públicas en el desarrollo cotidiano de sus actividades;
- Coordinar la gestión de incidentes informáticos gubernamentales con entidades de similar función a nivel internacional;
- Realizar otras tareas orientadas a la mejora de la seguridad de la información de las entidades del sector Público.
Obligaciones y Funciones del Responsable de Seguridad de la Información (RSI)
Respecto al Decreto Supremo 2514 de 9 de septiembre de 2015
Artículo 17. Obligaciones en materia de seguridad informática
- Los responsables de seguridad informática de todas las entidades del sector público deberán reportar la ocurrencia de incidentes informáticos que se produzcan en un plazo no mayor a veinticuatro (24) horas de conocido el hecho al CGII para contener, corregir, recuperar los servicios afectados y/o alertar al resto de las entidades del sector público, conforme a los procedimientos establecidos por el CGII.
- Las entidades públicas en las que ocurra un incidente informático deberán proporcionar la información necesaria al CGII respecto a los incidentes informáticos ocurridos, conforme a los procedimientos a ser establecidos por el CGII.
- Las entidades del sector público deberán desarrollar el Plan Institucional de Seguridad de la Información acorde a los lineamientos establecidos por el CGII.
Respecto a los Lineamientos para la Elaboración e Implementación de los Planes Institucionales de Seguridad de la Información de las Entidades del Sector Público (PISI).
Funciones:
- Gestionar, elaborar e implementar el Plan Institucional de Seguridad de la Información (PISI)
- Realizar la evaluación de riesgos de seguridad de la información en coordinación con los responsables de activos de información.
- Proponer la Política de Seguridad de la Información (PSI), que estará incorporada dentro del PISI.
- Gestionar el cumplimiento del PISI.
- Elaborar manuales de procesos y/o procedimientos de seguridad específicos que se desprendan de los lineamientos del Plan Institucional de Seguridad de la Información y promover su difusión en la entidad o institución pública.
- Sugerir prácticas de desarrollo de software seguro para generar procesos formales que tengan presentes los controles de seguridad necesarios para la entidad o institución.
- Coordinar la inducción, capacitación y comunicación del personal, en el marco del PISI.
- Gestionar y coordinar la atención y respuesta a incidentes de seguridad de la información en su entidad o institución.
- Coadyuvar en la gestión de contingencias tecnológicas.
- Proponer estrategias y acciones en mejora de la seguridad de la información.
- Promover la realización de auditorías al Plan Institucional de Seguridad de la Información.
- Gestionar la mejora continua de la seguridad de la información.
- Sugerir medidas de protección ante posibles ataques informáticos que puedan poner en riesgo las operaciones normales de la Institución.
- Realizar acciones de informática forense, en caso de ser necesario, para identificar, preservar, analizar y validar datos que puedan ser relevantes.
- Monitorear la implementación y uso de mecanismos de seguridad, que coadyuven a la reducción de los riesgos identificados.
- Otras funciones que resulten necesarias para preservar la seguridad de la información.
Respecto a la gestión de incidentes de seguridad de la información
- Punto 9, Anexo A – controles de seguridad de la información PISI.
- Los incidentes que no puedan ser solucionados deberán ser escalados al Centro de Gestión de Incidentes Informáticos por el RSI.