RESOLUCIÓN 048 DE 2023

(Enero 25)

Por la cual se actualiza el Plan Estratégico de Tecnología de la Información y las Comunicaciones, el Plan de tratamiento de Riesgos de Seguridad y Privacidad de la Información y el Plan de Seguridad y Privacidad de la Información del Instituto para la Economía Social-IPES

EL DIRECTOR GENERAL DEL INSTITUTO PARA LA ECONOMÍA SOCIAL-IPES

En uso de sus facultades legales conferidas por el Acuerdo No 025 de 1972 y el Acuerdo 257 de 2006 del Concejo de Bogotá, el Decreto ley 1045 de 1945, los Acuerdos IPES No 0001 de enero 2 de 2007 y No.005 y 007 de 2011, y demás normas reglamentarias, estatutarias y,

CONSIDERANDO

Que el Decreto Distrital 680 de 2001, expedido por el Alcalde Mayor de Bogotá "Por la cual se modifica la Comisión Distrital de Sistemas CDS" que derogó el decreto 443 de 1990, dispone en el artículo 1 que "La Comisión Distrital de Sistemas CDS- será el organismo rector de las políticas y estrategias que a nivel de tecnología informática y de comunicaciones se adopten en todas las entidades del Distrito Capital y el asesor técnico de la Administración Distrital en dichas materias".

Que, es necesario dar cumplimiento a lo establecido en la Resolución 305 de 2008 expedida por la Comisión de Sistemas (CDS) de Bogotá D.C., "Por la cual se expiden políticas públicas para las entidades, organismos y órganos de control del Distrito Capital, en materia de Tecnología de la Información y Comunicaciones respecto a la planeación, seguridad, democratización, calidad, racionalización del gasto, conectividad, infraestructura de Datos Espaciales y Software Libre" en el artículo 2, modificado por el artículo 3 de la Resolución 004 de 2017, del capítulo 1, se establece la obligación de las entidades del Distrito Capital definir, ejecutar y actualizar el Plan Estratégico de Sistemas de Información el cual debe estar dirigido hacia el soporte de los objetivos, planes, políticas y estratégicas de cada ente público y debe servir para la racionalización del gasto y el seguimiento de las inversiones en Tecnología de Información y Comunicaciones (TIC).

Qué es necesario dar cumplimiento a lo normado en el artículo 2 capítulo 1 "Políticas de planeación de informática para la formulación y elaboración del Plan Estratégico de Sistemas de Información en el Distrito Capital" de la resolución 305 de 2008 de la Comisión Distrital de Sistemas el cual establece que es obligación de las entidades del Distrito Capital definir, ejecutar y actualizar su Plan Estratégico de Sistemas de Información el cual debe estar dirigido hacia el soporte de los objetivos planes tecnología de información y comunicaciones (TIC).

Que el artículo 9 capítulo 2 "Políticas de Seguridad de la Información en el Distrito Capital" de la Resolución 305 de 2008 de la Comisión Distrital de Sistemas establece que la utilización creciente de las tecnologías de la información y las comunicaciones- TIC, genera beneficios para las entidades del Distrito Capital, mejorando el cumplimiento de la misión y la prestación de servicios a la ciudadanía. Sin embargo, por ser la información el activo más importante de la organización, es necesario protegerla frente a los posibles riesgos derivados del uso de las nuevas tecnologías, para garantizar la seguridad de la información, en aspectos tales como disponibilidad, confiabilidad, accesibilidad e integridad de la misma.

Qué la Resolución IPES No 615 de 2013 "Por la cual se conforma ei comité de sistemas y seguridad de la información del Instituto Para la Economía Social IPES y se definen sus funciones" y mediante la Resolución IPES No 492 de 2021, artículo 49 se realiza actualización de la conformación del comité de sistemas y seguridad de la información del Instituto para la Economía Social IPES, y sus funciones, entre las que se citan: 1. Aprobar el plan estratégico de tecnología de la información; 2. Definir políticas de desarrollo y seguridad de la información; 6. Impulsar la implementación del sistema de gestión de seguridad de la información.

Que el comité de sistemas de seguridad de la información aprobó, según acta del 25 de abril de 2014 el Manual del Subsistema de Gestión de Seguridad de la Información y el Plan Estratégico de Tecnología de la información y las Comunicaciones del Instituto para la Economía Social - IPES.

Que el Decreto de Presidencia de la República No. 2573 de 2014, indica los lineamientos generales de la Estrategia de Gobierno en Línea, donde se encuentra en su artículo 5 numeral cuarto, lo referente a la Seguridad y Privacidad de la información y las describe como las acciones transversales a los demás componentes enunciados, tendientes a proteger la información y los sistemas de información, del acceso, uso, divulgación, interrupción o destrucción no autorizada.

Que la Ley 1712 de 2014, "Por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se dictan otras disposiciones" regula el derecho de acceso a la información pública que tienen todas las personas, los procedimientos para el ejercicio y la garantía como derecho fundamental.

Que el Decreto 1078 de 2015, "Por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnología de la información y las Comunicaciones" contempló en el art. 2.2.9.1.2 los instrumentos para implementar la Estrategia de Gobierno en línea y el Marco de Referencia de Arquitectura Empresarial, dentro de los cuales se establecen los lineamientos para la construcción del Plan Estratégico de Tecnología de información - PETI.

Que, por medio del Decreto 2693 de 2012 expedido por el Presidente de la República, se establecen los lineamientos generales de la Estrategia de Gobierno en Línea de la República de Colombia, se reglamentan parcialmente las Leyes 1341 de 2009, 1450 de 2011. y se dictan otras disposiciones.

Que a través del decreto único reglamentario 1078 de 2015, "Por medio del cual se expide el Decreto Único Reglamentario del Sector de Tecnología de la Información y las Comunicaciones", el sector de Tecnología de Información y las Comunicaciones, definió el componente de seguridad y privacidad de la información, como parte integral de la estrategia GEL.

Que es necesario dar cumplimiento a los lineamientos establecidos en la norma técnica NTC/IEC ISO 27001:2013, la Política de Seguridad Digital y Continuidad del servicio, requerida por el Ministerio de Tecnología de la Información y las Comunicaciones MINTIC; a través de la implementación del Plan de Seguridad y Privacidad de la Información. Así como la norma técnica define la Tecnología de la información, incorporando las Técnicas de seguridad, y la aplicación del Código de Práctica para controles de seguridad de la Información.

Que se hace necesario, en el modelo tecnológico de la entidad, dar cumplimiento a la normativa establecida por el estado colombiano, CONPES 3995 de 2020, Modelo de Seguridad y Privacidad de MINTIC y lo establecido en el decreto 1008 de 14 de junio 2018, adoptando las buenas prácticas y los lineamientos de los estándares ISO 27001:2013

Que el Instituto para la Economía Social- IPES, acorde con su naturaleza, objeto, funciones establecidas en los artículos 76, 77, 79 el Acuerdo Distrital 257 de 2006, diseñó un Plan Estratégico Institucional- PEI-, adoptado mediante Resolución 391 de 2020 "Por la cual se adopta el Plan Estratégico Institucional-PEI- del Instituto para la Economía Social - IPES Vigencia 2020-2024"; en armonía con los propósitos y estrategias del Plan Distrital de Desarrollo "Un nuevo Contrato Social ambiental para la Bogotá del siglo XXI", el cual fue adoptado mediante el Acuerdo Distrital 761 del 11 de julio de 2020.

Que en el marco de la Resolución IPES No 336 de 2020 se adoptó el Modelo de Ruta de Atención Integral al Ciudadano.

Que, el IPES establece controles conforme a lo dispuesto en la Ley 1273 del 5 de enero de 2009, por medio de la cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado denominado "De la protección de la información y los datos" y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones.

Que según la Resolución No 004 de 2017 de la Secretaría General de la Alcaldía Mayor de Bogotá -Comisión distrital de Sistemas- se modificó la Resolución No 305 de 2008 por la cual se expiden políticas públicas para las entidades, organismos y órganos de control del Distrito Capital, en materia de Tecnología de la Información y Comunicaciones respecto a la planeación, seguridad, democratización, calidad, racionalización del gasto, conectividad, infraestructura de Datos Espaciales y Software Libre.

Que el Decreto 612 de 2018 "Por el cual se fijan directrices para la integración de los planes institucionales y estratégicos al Plan de Acción por parte de las entidades del Estado" establece dentro de las modificaciones realizadas, la integración al Plan de Acción de las entidades el "Plan Estratégico de Tecnología de la Información PETI", "Plan de tratamiento de riesgo seguridad digital y el "Plan de Seguridad y Privacidad de la Información”

Que según el Decreto 1499 de 2017, "como marco de referencia para el ajuste del diseño, la implementación y la mejora continua del Sistema Integrado de Gestión Distrital - SIGD" y el Decreto Distrital 807 de 2019 "Por medio del cual se reglamenta el Sistema de Gestión en el Distrito Capital y se dictan otras disposiciones" derogó los Decretos Distritales 387 de 2004, 651 de 2011, 215 de 2017, 591 y 592 de 2018 y los artículos 2 y 3 del Decreto Distrital 317 de 2019 modificatorios del Decreto 651 de 2011; lo anterior con la finalidad de adoptar y adecuar para el Distrito Capital, en un solo acto administrativo el Sistema de Gestión articulado con el Sistema de Control Interno, sistemas que establecen como marco de referencia el Modelo Integrado de Planeación y Gestión - MIPG y el Modelo Estándar de Control Interno - MECI respectivamente.

Que los roles y responsabilidades del nivel directivo y de los servidores públicos para la operación de las políticas en el marco de las dimensiones definidas en el Manual Operativo del Modelo Integrado de Planeación y Gestión - MIPG adoptado por la Resolución 222 de 2020 se definieron en el Documento Estratégico: "Roles y Responsabilidad del Modelo Integrado de Planeación y Gestión". En el mismo se prevé la responsabilidad de implementar la Política Gobierno Digital: TIC para la gestión "Formular políticas de seguridad y privacidad de la información y de custodia de los datos y la información."

Que según el estándar internacional NTC/IEC ISO 27001, debe existir una declaración formal por parte de las distintas entidades en la definición, implementación, seguimiento, revisión, mantenimiento y mejora de los controles, lineamientos y directrices de seguridad de la información que impidan su daño o destrucción accidental o intencional, y que es responsabilidad de los usuarios cumplirlos a cabalidad, con el fin de evitar que la información institucional sea sometida a daño, modificación, robo o sea expuesta a personal no autorizado.

Que es necesario adoptar un Plan que permita realizar el seguimiento en la implementación, mantenimiento y mejora del sistema de gestión de seguridad de la información: definir responsabilidades en la operación, seguimiento y mejora de las políticas institucionales relacionadas con la seguridad de la información en la entidad; orientar a los funcionarios, contratistas y terceros sobre la responsabilidad de uso y buen manejo de los activos de información y de la infraestructura tecnológica que soporta la operación informática de la Entidad; y fomentar la conciencia alrededor de la importancia en el aseguramiento de la información institucional, la cual debe ser adoptada como una cultura organizacional.

Que, mediante Acta de fecha 31 de octubre de 2022, del Comité Institucional de Control Interno, el IPES actualizó el Documento Estratégico Política de Administración del Riesgo en su versión N° 6, por medio de la cual se establecen lineamientos y directrices relacionadas con la gestión de riesgos de seguridad digital y se incluyen las disposiciones de la Guía de Administración del Riesgo del Departamento Administrativo de la Función Pública.

Que es necesario contar con una metodología que permita identificar cuantificar y priorizar los riesgos a los criterios para la aceptación del riesgo, para determinar las acciones de gestión y controles de seguridad de la información adecuados.

Que, en mérito de lo expuesto, el Director General

RESUELVE:

ARTÍCULO PRIMERO. Adoptar los planes institucionales para la vigencia 2023 que se relacionan a continuación:

Parágrafo. Los documentos estratégicos adoptados en los artículos primero, segundo y tercero de la presente resolución. Que contienen los planes relacionados se establecen como anexo a esta resolución y hacen parte integral del presente acto administrativo.

ARTÍCULO SEGUNDO. Publicar a través del sistema Integrado de Gestión SIG-MIPG y la página web tos documentos Estratégicos adoptados en el artículo primero de la presente resolución.

ARTÍCULO TERCERO. El presente acto administrativo y los documentos adoptados en el artículo primero se divulgarán mediante campaña interna, conforme a los procedimientos definidos a nivel institucional y de manera externa, atendiendo a lo dispuesto en la Ley "Por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se dictan otras disposiciones y la normatividad vigente que le sea aplicable y la resolución 1519 de 2020 "Por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se dictan otras disposiciones" y la normatividad vigente que le sea aplicable.

ARTÍCULO CUARTO. Las futuras revisiones, modificaciones o ajustes a los documentos estratégicos adoptados en el artículo primero de la presente resolución se realizarán teniendo en cuenta lo definido en el artículo 11° reuniones del Comité Institucional de Gestión y Desempeño, capítulo II Disposiciones Generales al Comité Institucional de Gestión y Desempeño, de la Resolución interna 222 de 2020 "por la cual se adopta el Comité Institucional de Gestión y Desempeño para el Instituto para la Economía Social IPES y se derogan unas disposiciones".

ARTÍCULO QUINTO. La presente Resolución, rige a partir de la fecha de su publicación y deroga las disposiciones que le sean contrarias.

PUBLIQUESE, COMUNIQUESE Y CUMPLASE.

Dado en Bogotá DC; a los 25 días del mes de enero del año 2023.

WILLIAM ALEJANDRO RIVERA CAMERO

Director General

Nota: Ver norma original y Anexos.