RESOLUCIÓN 4151 DE 2022

 

(Julio 11)

 

Por la cual se actualizan los roles y responsabilidades para la administración y mantenimiento del Subsistema de Gestión de Seguridad de la Información - SGSI, en el Instituto de Desarrollo Urbano, establecidos por la Resolución 761 de 2021

 

EL DIRECTOR GENERAL DEL INSTITUTO DE DESARROLLO URBANO - IDU,

 

en ejercicio de sus facultades legales y en especial las conferidas en el Acuerdo 19 de 1972 del Concejo de Bogotá D.C., y el Acuerdo No. 006 de 2021 del Consejo Directivo del IDU, y

 

CONSIDERANDO:

 

Que el artículo 209 de la Constitución Política de Colombia, establece que las autoridades administrativas deben coordinar sus actuaciones para el adecuado cumplimiento de los fines del Estado. Así mismo determina que la función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la desconcentración y la delegación de funciones.

 

Que el artículo 269 de la Constitución Política de Colombia establece que las entidades públicas, están obligadas a diseñar y aplicar según la naturaleza de sus funciones, métodos y procedimientos de control interno de conformidad con lo que disponga la ley.

 

Que el Decreto Distrital 591 de 2018, adopta el Modelo Integrado de Planeación y Gestión Nacional, como referente para el Sistema Integrado de Gestión de las Entidades Distritales, con el fin de fortalecer los mecanismos, métodos y procedimientos de gestión y control al interior de los organismos y entidades del Distrito Capital y adecuar la institucionalidad del sistema y de las instancias correspondientes con el modelo nacional.

 

Que mediante la Resolución 1019 de 2021 se adopta el Sistema de Gestión MIPG-SIG del Instituto de Desarrollo Urbano, se crean los Equipos Institucionales, y se establece el marco de referencia para el actuar de los Subsistemas en la Entidad.

 

Que el artículo 3° de la citada Resolución define MIPG - SIG como el conjunto articulado de buenas prácticas que permiten en el Instituto, dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar la gestión con el fin de satisfacer a los grupos de valor e interés, cumplir con los instrumentos de planeación, en especial, el Plan Distrital de Desarrollo vigente, y contribuir bajo una política de integración, el cumplimiento de los fines esenciales del Instituto, sus propósitos organizacionales, su mejor desempeño institucional y la consecución de resultados; la satisfacción de las necesidades y el goce efectivo de los derechos de los ciudadanos, en el marco de la legalidad.

 

Que conforme con el artículo 5º de la norma citada, el Sistema de Gestión MIPG-SIG se compone de diez (10) subsistemas asociados a las buenas prácticas internacionales, así: Gestión Antisoborno (ISO 37001); Gestión de la Calidad (ISO 9001); Gestión Ambiental (ISO 14001); Gestión de la Seguridad y Salud en el Trabajo (ISO 45001); Gestión de la Seguridad de la Información (ISO/IEC 27001); Gestión Documental y Archivo (ISO 30301 - ISO 15489); Responsabilidad Social (ISO 26000), Empresa Familiarmente Responsable (efr 1000-1), Gestión de Continuidad del Negocio (ISO 22301) y Gestión de Conocimiento e Innovación (ISO 30401).

 

Que de conformidad con lo anterior, el Instituto de Desarrollo Urbano implementó el Subsistema de Gestión de Seguridad de la Información, para generar las condiciones de seguridad necesarias en términos de confidencialidad, integridad y disponibilidad adecuadas a la información de la Entidad, en todos sus medios de conservación y divulgación, con los recursos asignados para administrar de forma efectiva los riesgos asociados a sus activos de información, aumentar la credibilidad y confianza de las partes interesadas, implementar estrategias para el mejoramiento continuo y cumplir con la normatividad vigente.

 

Que los tres objetivos del Subsistema de Gestión de Seguridad de la Información – SGSI, son:

 

Fortalecer la cultura de seguridad de la información en la Gente IDU.

 

Administrar los riesgos de seguridad de la información para mantenerlos o reducirlos hasta un nivel Moderado o Inferior, aplicando el plan de tratamiento de riesgos vigente.

 

Elevar el nivel de madurez de los controles de seguridad de la información, pasando el 30% de ellos a nivel L4 y asegurando el 70% restante en L3.

 

Que la Entidad el 10 de diciembre de 2020, obtuvo la certificación del Subsistema de Seguridad de la Información, bajo los estándares de la Norma Técnica ISO 27001:2013; comprometiéndose el Instituto a mantener y mejorar continuamente los mecanismos para la protección de los activos críticos de información frente a riesgos en disponibilidad, integridad y confidencialidad.

 

Que de acuerdo con los incisos “c” y “d”, del numeral 5.- Compromiso de la Dirección de la Norma NTC-ISO/ IEC 27001: 2013, la Dirección debe brindar evidencia de su compromiso con el establecimiento, implementación, operación, seguimiento, revisión, mantenimiento y mejora del SGSI y al efecto debe: “ c) estableciendo funciones y responsabilidades de seguridad de la información; d) comunicando a la organización la importancia de cumplir los objetivos de seguridad de la información y de la conformidad con la política de seguridad de la información, sus responsabilidades bajo la ley, y la necesidad de la mejora continua;”[1]

 

Que después de un análisis efectuado a la Resolución 761 de 2021 “Por la cual se actualizan los roles y responsabilidades para la administración y mantenimiento del Subsistema de Gestión de Seguridad de la Información - SGSI, en el Instituto de Desarrollo Urbano, establecidos por la Resolución 5044 de 2019”, se hace necesario actualizar los roles y responsabilidades para la administración y mantenimiento del Subsistema de Gestión de Seguridad de la Información - SGSI, establecidos en la referida Resolución, por lo que en aras del principio de economía administrativa que regla la función pública, es importante regularizar la operación el sistema de seguridad de la información.

 

Que, por las consideraciones expuestas, la Dirección General,

 

RESUELVE:

 

Artículo 1. Roles dentro del marco del Subsistema de Gestión de Seguridad de la Información. Dentro de la entidad se establecen los siguientes roles frente al Subsistema SGSI:

 

1. Líder del SGSI (Subdirector General de Gestión Corporativa)

 

2. Subdirector(a) Técnico de Recursos Tecnológicos

 

3. Oficial de Seguridad de la Información

 

4. Equipo de Seguridad (Subdirección Técnica de Recursos Tecnológicos)

 

5. Equipo de Seguridad (Gestores)

 

6. Líderes de Proceso

 

7. Supervisor de Proyectos

 

8. Gente IDU

 

Artículo 2. Líder del Subsistema de Gestión Seguridad de la Información y sus, responsabilidades. El Subdirector(a) General de Gestión Corporativa es el líder del Subsistema de Gestión Seguridad de la Información, quien tendrá a su cargo las siguientes responsabilidades:

 

a. Impulsar las actividades necesarias para la gestión y mantenimiento del Subsistema de Gestión de Seguridad de la Información - SGSI.

 

b. Aprobar el Plan Estratégico de Seguridad y Privacidad de la Información.

 

c. Aprobar las políticas de seguridad de la información y la documentación del SGSI.

 

d. Proporcionar los recursos necesarios para el SGSI.

 

e. Aprobar el plan de toma de conciencia de seguridad de la información.

 

f. Gestionar la implementación de las políticas y controles de seguridad de la información.

 

g. Promover la ejecución de auditorías al SGSI.

 

h. Apoyar las acciones de mejora continua del SGSI.

 

i. Realizar seguimiento al desempeño del SGSI.

 

Artículo 3. El Subdirector(a) Técnico(a) de Recursos Tecnológicos en el marco del Subsistema de Gestión de seguridad, tendrá las siguientes responsabilidades:

 

a. Gestionar la documentación asociada a la seguridad informática.

 

b. Gestionar la atención de incidentes de seguridad de la información.

 

c. Gestionar los informes técnicos de seguridad de la Información.

 

d. Gestionar los cambios de seguridad de la información.

 

e. Evaluar las mejoras en la plataforma de seguridad informática.

 

f. Coordinar la subsanación de hallazgos o no conformidades de auditoría.

 

Artículo 4. Oficial de seguridad de la información y sus responsabilidades. Asignar el rol de Oficial de Seguridad de la Información, al directivo, profesional servidor público y/o contratista de prestación de servicios profesionales de apoyo a la gestión, designado por el líder del Subsistema de Gestión de Seguridad de la Información, quien tendrá a su cargo las siguientes responsabilidades:

 

Política SGSI

 

a. Definir y actualizar las políticas de seguridad de la información, alineadas con la plataforma estratégica institucional.

 

b. Hacer seguimiento al cumplimiento de las políticas de seguridad de la información.

 

Gestión SGSI

 

a. Validar los diagnósticos realizados al SGSI.

 

b. Gestionar el contacto con autoridades y grupos de interés relacionadas con seguridad de la información en los casos necesarios.

 

c. Coordinar la elaboración de la documentación del SGSI. 

d. Coordinar las actividades del plan de toma de conciencia del SGSI. e. Promover el cumplimiento

 

e. los requisitos legales, en particular lo relacionado con la propiedad intelectual y de datos personales.

 

f. Realizar seguimiento a los indicadores del SGSI.

 

g. Promover y acompañar la ejecución de auditorías al SGSI.

 

Riesgos 

 

a) Participar de la definición de la estrategia de riesgos de seguridad de la información.

 

b) Gestionar la identificación, valoración y tratamiento de los riesgos asociados a los activos de información y hacer seguimiento.

 

Vulnerabilidades 

 

a) Coordinar la realización de análisis de vulnerabilidades de seguridad de la información.

 

b) Analizar los informes de vulnerabilidades encontradas en la plataforma de TI.

 

Incidentes – Forense 

 

a) Asignar al equipo de seguridad la atención de eventos o incidentes que puedan afectar la seguridad de la información.

 

b) Gestionar la elaboración de análisis forense de seguridad de la información en los casos que se requiera.

 

Activos de Información

 

a. Gestionar la actualización del inventario de activos de información de la Entidad.

 

b. Definir los lineamientos de clasificación y etiquetado de información.

 

c. Analizar e implementar soluciones de seguridad de la información de acuerdo con la necesidad.

 

d. Identificar requerimientos de seguridad de la información en los proyectos IDU.

 

Artículo 5. Conformación y responsabilidades del Equipo operativo en el marco del Subsistema de Gestión de seguridad. El Equipo Operativo estará conformado por un (1) representante de cada una de las siguientes áreas: Oficina Asesora de Planeación - OAP, Subdirección General de Gestión Corporativa - SGGC, Dirección Técnica Administrativa y Financiera –DTAF y Subdirección Técnica de Recursos Tecnológicos- STRT, quienes serán designados por el respectivo jefe inmediato o supervisor de contrato, según sea el caso, mediante memorando y/oficio, en un plazo no mayor a 30 días posteriores a la fecha de expedición de esta resolución. El Equipo Operativo tendrá las siguientes responsabilidades:

 

Política 

 

a. Apoyar la identificación e implementación de las políticas de seguridad de la información.

 

b. Monitorear el cumplimiento de las políticas de seguridad de la información.

 

Subsistema de Gestión de Seguridad de la Información

 

a. Verificar el diagnóstico del SGSI.

 

b. Realizar las actividades necesarias para la gestión y mantenimiento del Subsistema de Gestión de Seguridad de la Información - SGSI.

 

c. Apoyar en la Identificación de los requisitos legales del SGSI.

 

d. Elaborar y mantener la documentación del SGSI.

 

e. Ejecutar los planes de acción del SGSI.

 

f. Acompañar la ejecución de auditorías de seguridad de la información.

 

g. Apoyar las acciones de mejora continua del SGSI.

 

h. Contactar autoridades y grupos de interés relacionadas con seguridad de la información.

 

i. Ejecutar el plan de toma de conciencia de seguridad de la información.

 

j. Aplicar las acciones de mejoramiento producto de las auditorías.

 

k. Implementar controles de seguridad de la información.

 

l. Generar informes de gestión de seguridad de la información.

 

m. Evaluar la madurez de los controles del SGSI.

 

Riesgo 

 

a. Participar de la identificación, valoración y tratamiento de los riesgos asociados a los activos de información y hacer seguimiento.

 

b. Consolidar información de la ejecución del plan de tratamiento de riesgos.

 

Incidentes 

 

a. Atender los incidentes de seguridad de la información.

 

b. Acompañar las actividades de análisis forense de seguridad de la información. Vulnerabilidades a. Realizar análisis de vulnerabilidades de seguridad de la información y presentar los informes técnicos correspondientes.

 

b. Hacer revisión de código seguro.

 

Artículo 6. Conformación y responsabilidades del Equipo Técnico de Seguridad de la Información en el marco del Subsistema de Gestión de seguridad. El Equipo Técnico de Seguridad de la Información, estará conformado por el grupo funcional de infraestructura de tecnología de la Subdirección Técnica de Recursos Tecnológicos al que se le asignan las siguientes responsabilidades:

 

a. Implementar o acompañar la implementación de soluciones de seguridad de la información de acuerdo con la necesidad.

 

b. Generar informes técnicos de seguridad informática.

 

c. Aplicar cambios en la plataforma de seguridad informática.

 

d. Configurar y monitorear las herramientas de seguridad informática.

 

e. Aplicar las recomendaciones de los informes de vulnerabilidades encontradas en la plataforma de TI.

 

f. Definir y aplicar el plan de remediación a las vulnerabilidades técnicas identificadas.

 

g. Realizar el monitoreo de las herramientas de seguridad informática.

 

Artículo 7. Conformación y responsabilidades del Equipo Operativo de Gestores de Activos de Información en el marco del Subsistema de Gestión de seguridad. El equipo operativo de gestores de activos de información, estará conformado por al menos una persona de cada uno de los procesos institucionales, quienes serán designados por el respectivo jefe inmediato o supervisor de contrato, según sea el caso, mediante memorando, en un plazo no mayor a 30 días posteriores a la fecha de expedición de esta resolución. Se asignan las siguientes responsabilidades:

 

a. Garantizar que el inventario de activos de su proceso se mantenga actualizado.

 

b. Acompañar la elaboración del inventario de activos de información.

 

c. Hacer uso adecuado de los activos de información y promover esta conducta en todos sus compañeros.

 

d. Gestionar la identificación, valoración y tratamiento de los riesgos asociados a los activos de información.

 

e. Elaborar el plan de tratamiento de riesgos de su proceso.

 

f. Realizar el seguimiento a los riesgos de seguridad de la información, de su proceso.

 

g. Gestionar la aceptación del riesgo residual.

 

h. Apoyar las acciones de mejora continua del SGSI.

 

Artículo 8. Conformación y responsabilidades Líderes de procesos en el marco del Subsistema de Gestión de seguridad. Los líderes de procesos son los directivos pertenecientes a la alta dirección y quienes toman las decisiones estratégicas de la entidad. quienes tendrán las siguientes responsabilidades:

 

a. Promover las actividades necesarias para la gestión y mantenimiento del Subsistema de Gestión de Seguridad de la Información - SGSI.

 

b. Aprobar las matrices de riesgos de seguridad de la información.

 

c. Aprobar el plan de tratamiento de riesgos de su proceso(s).

 

d. Aceptar expresamente el riesgo residual de seguridad de la información.

 

Artículo 9. Conformación y responsabilidades del Supervisor de Proyectos en el marco del Subsistema de Gestión de seguridad. Asignar el rol de Supervisor de Proyectos, el cual será desempeñado por cada uno de los supervisores de contrato y/o profesionales de apoyo a la supervisión de contrato, quienes tendrán las siguientes responsabilidades:

 

a) Gestionar la identificación, valoración y tratamiento de los riesgos asociados a los activos de información involucrados en los proyectos a su cargo.

 

b) Identificar requerimientos de seguridad de la información en los proyectos IDU a su cargo.

 

Artículo 10. Conformación y responsabilidades de la Gente IDU Todos los servidores públicos y contratistas de prestación de servicios profesionales y de apoyo a la gestión del Instituto de Desarrollo Urbano IDU, tendrán las siguientes responsabilidades:

 

a. Elaborar el inventario personal de activos de información.

 

b. Hacer uso adecuado de los activos de información.

 

c. Reportar eventos o incidentes que puedan afectar la seguridad de la información.

 

d. Conocer, entender y cumplir la directriz y las políticas del SGSI.

 

e. Cumplir con los requisitos legales, en particular lo relacionado con la propiedad intelectual y de datos personales.

 

f. Participar en los programas de capacitación, sensibilización y toma de conciencia que se hayan definido, relacionados con seguridad de la información.

 

Artículo 11. Vigencia y publicación. La presente resolución rige a partir de su expedición y será publicada en la página web de la entidad.

 

Dada en Bogotá, D.C., a los 11 días del mes de julio del año 2022.

 

PUBLÍQUESE Y CÚMPLASE.

 

DIEGO SÁNCHEZ FONSECA

 

Director General

 

Nota al Píe de Página.