RESOLUCIÓN 34217 DE 2015

(Mayo 19)

Derogada por el art. 2, Resolución 1543 de 2019

“Adóptese al interior del Instituto de Desarrollo Urbano el Marco de Políticas de Control  para la  Seguridad de la Información”.

EL DIRECTOR GENERAL DEL INSTITUTO DE DESARROLLO URBANO - IDU,

en uso de sus atribuciones legales y estatutarias y en especial las conferidas por el Acuerdo 19 de 1972 proferido por el Concejo de Bogotá D.C., y los Acuerdos Nos. 001 y 002 de 2009 expedidos por el Consejo Directivo del IDU y demás disposiciones concordantes, y

CONSIDERANDO:

Que según lo dispuesto en el artículo 209 de la Constitución Política de Colombia, la función administrativa está al servicio de los intereses generales y se desarrolla con fundamento en los principios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad, mediante la descentralización, la desconcentración y la delegación de funciones.

Que el artículo 269 de la Constitución Política de Colombia establece que las entidades públicas, están obligadas a diseñar y aplicar según la naturaleza de sus funciones, métodos y procedimientos de control interno de conformidad con lo que disponga la ley.

Que de conformidad con lo señalado en los artículos 1 y 4 de la Ley 87 de 1993, por la cual se establecen normas para el ejercicio del control interno en las entidades y organismos del estado y se dictan otras disposiciones, todas las entidades bajo la responsabilidad de sus directivos deben implementar herramientas que permitan la aplicación del control interno, dentro de los cuales se encuentra la definición de políticas como guías de acción y procedimientos para la ejecución de los procesos.

Que el artículo 1 de la Ley 872 de 2003, al crear el Sistema de Gestión de Calidad, determinó que cada entidad del Estado debe adoptarlo con un enfoque basado en los procesos que se surten al interior de ella y en las expectativas de los usuarios, destinatarios y beneficiarios de sus funciones asignadas por el ordenamiento jurídico vigente.

Que de conformidad con el artículo 2 del Decreto 1537 de 2001, reglamentario de la Ley 87 de 1993, establece que para efectos de dar cumplimiento al control interno en las organizaciones públicas, éstas elaborarán, adoptarán y aplicarán manuales a través de los cuales se documentarán y formalizarán los procedimientos a partir de la identificación de los procesos Institucionales.

Que el Decreto Distrital 652 de 2011 adopta la Norma NTD SIG 001, como referente para el Sistema Integrado de Gestión de las Entidades Distritales, y en el numeral 1.1.Generalidades, define los subsistemas del SIG así: 1.Subsistema de Gestión de la Calidad (SGC) 2.Subsistema de Control Interno (SCI), 3.Subsistema de Gestión Ambiental (SGA), 4.Subsistema de Seguridad y Salud Ocupacional (S&SO), 5.Subsistema de Gestión de Seguridad de la Información (SGSI), 6. Subsistema Interno de Gestión Documental y Archivo (SIGA) y 7.Subsistema de Responsabilidad Social (SRS).

Que la Resolución 706 de 2013 en su artículo segundo, adopta la política del Sistema Integrado de Gestión sobre la cual deben alinearse las directrices de los subsistemas.

Que la Directrices son fundamentales para definir el enfoque de los Subsistemas de Gestión y el compromiso de la Dirección General en la implementación, mantenimiento y mejora.

Que la Resolución 305 de 2008 “Por la cual se expiden políticas públicas para las entidades, organismos y órganos de control del Distrito Capital, en materia de Tecnologías de la Información y Comunicaciones respecto a la planeación, seguridad, democratización, calidad, racionalización del gasto, conectividad, infraestructura de Datos Espaciales y Software Libre»” emitida por la Comisión Distrital de Sistemas (CDS) de Bogotá, D.C. establece en su Artículo 11: MARCO LEGAL. Las entidades, organismos y órganos de control del Distrito Capital disponen de un marco de referencia de las mejores prácticas para el desarrollo e implementación del Sistema de Gestión de Seguridad de la Información, basados en las recomendaciones de las normas internacionales: NTC-ISO/IEC 27001 que establece los requisitos del Sistema de Gestión de Seguridad de la Información y la norma NTC/ISO IEC 17799 con su equivalente NTC-ISO/IEC 27002 que establece las mejores prácticas para la implementación del Sistema de Gestión de Seguridad de la Información y demás normas concordantes, las cuales son de obligatoria observancia por parte de los entes públicos distritales”

Que la Norma NTC-ISO-IEC 27001:2013, tiene como objeto “Especificar los requerimientos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la seguridad de la información dentro del contexto de la organización (…)”

Que el Anexo A de la Norma NTC-ISO-IEC 27001:2013, define entre los Objetivos de Control y Controles de Referencia para la debida implementación, mantenimiento, Operación y mejora continua del Sistema de Gestión de Seguridad de la Información SGSI, las siguientes políticas:

* A.6.2.1 Política para dispositivos móviles.

* A.6.2.2 Política para Teletrabajo.

* A.9.1.1 Política de Control de Acceso.

* A.10.1.1 Política sobre el uso de controles criptográficos.

* A.10.1.2 Política de Gestión de llaves.

* A.11.2.9 Política de Escritorio Limpio y pantalla limpia.

* A.13.2.1 Políticas y Procedimientos de transferencia de información.

* A.14.2.1 Política de Desarrollo Seguro.

* A.15.1.1 Política de Seguridad de la Información para las relaciones con proveedores.

Que se hace necesario desarrollar las políticas relacionadas con la debida implementación, mantenimiento, operación y mejora continua del SGSI, de acuerdo con el marco de referencia establecido en el Anexo A de la Norma NTC-ISO-IEC 27001:2013.

En mérito de lo expuesto, el Director General del Instituto de Desarrollo Urbano (IDU)

RESUELVE:

ARTÍCULO PRIMERO. Adoptar las políticas de Seguridad de la Información de acuerdo con el marco de referencia establecido en el Anexo A de la Norma NTC-ISO-IEC 27001:2013 y a las necesidades de la Entidad, las cuales se desarrollarán al interior del Instituto de Desarrollo Urbano en los siguientes artículos.

ARTÍCULO SEGUNDO. Política para dispositivos móviles. La asignación de uno o varios dispositivos móviles, se realizará mediante el procedimiento Administración de Inventario de Bienes Muebles vigente en la entidad y dejará como soporte de dicha asignación los registros correspondientes. En aquellos casos en donde el Instituto no asigne un dispositivo, sino que autorice al servidor público y/o contratista a utilizar dispositivos propios, aplicaran las mismas consideraciones de seguridad y protección de la información que se procese y almacene en dichos recursos.

Con las respectivas autorizaciones de uso de los dispositivos móviles, se deberán gestionar de forma documentada los permisos para la conexión a las redes informáticas de la Entidad.

En aras de prevenir los riesgos asociados a los dispositivos móviles que el Instituto ha identificado y valorado, se deberá evitar en la medida de lo posible el almacenamiento de información considerada y/o clasificada como “reservada” (ver clasificación del formato de activos) y si es estrictamente necesario el almacenamiento en estos dispositivos, la información se deberá proteger con los mecanismos indicados por la Subdirección Técnica de Recursos Tecnológicos.

ARTÍCULO TERCERO. Política de Seguridad de la Información para Teletrabajo. La modalidad de Teletrabajo está regulada en el Instituto y la forma de su ejecución se detalla en el documento denominado Libro Blanco del Teletrabajo en el IDU.

Se deberá usar una conexión segura desde el sitio de teletrabajo, la cual está regulada por el procedimiento de acceso a través de redes privadas virtuales (VPN) que esté vigente en el Instituto. La presente política refuerza y complementa los conceptos tecnológicos que se deben considerar para la realización del Teletrabajo.

El servidor público autorizado para teletrabajar, debe abstenerse de combinar simultáneamente las conexiones VPN, con navegación a través de internet y deberá garantizar que el equipo de cómputo usado para la conexión, cumple con los parámetros de actualización y protección exigidos por la Subdirección Técnica de Recursos Tecnológicos vigentes a la fecha.

ARTÍCULO CUARTO. Política de Control de Acceso. En lo referente al acceso físico a las instalaciones, todos los servidores públicos y/o contratistas del Instituto deben respetar y aplicar los controles de acceso y seguridad física vigentes y portar en un lugar visible el carnet (sic) asignado. Si al momento de ingresar el funcionario no cuenta con el carnet (sic), deberá registrarse en el sistema de control de visitantes.

Todas las personas que ingresen a las instalaciones del IDU deberán ser registradas en la recepción del respectivo edificio y deberán portar en un lugar visible el adhesivo impreso de visitante. Los visitantes deberán estar permanentemente acompañados por el servidor público y/o contratista que autorizó su ingreso.

Las áreas críticas del Instituto cuentan con controles de acceso que son restringidos para el ingreso exclusivo de los servidores públicos y/o contratistas expresamente autorizados.

Los accesos lógicos a los recursos tecnológicos del Instituto, corresponden a un modelo de perfiles funcionales otorgados a los servidores públicos y/o contratistas. Toda credencial o cuenta de acceso a los servicios y aplicaciones del IDU debe ser única y no genérica, personal e intransferible, de manera que permita plenamente la identificación de quien esté realizando cualquier acción sobre los recursos tecnológicos.

El otorgamiento o revocación de accesos a las redes de comunicaciones y recursos de tecnología del IDU solo será dado a los servidores públicos y/o contratistas que estén debidamente autorizados por el jefe inmediato, cumpliendo con el procedimiento denominado “Gestionar usuarios tecnológicos” o el que haga sus veces que esté vigente a la fecha.

ARTÍCULO QUINTO. Política sobre el uso de controles criptográficos. Esta política se desarrolla según los criterios expuestos en el procedimiento de “Clasificación y Etiquetado de Información” vigente y la evaluación periódica de riesgos en cada uno de los procesos en donde la información es tratada.

Se hace necesario el cumplimiento de las leyes, normas y regulaciones expresadas por las entidades de vigilancia que cobijan el funcionamiento del IDU, en los temas referentes a la protección de la información mediante mecanismos de cifrado.

El uso de herramientas de cifrado implementadas en el Instituto, está descrito en los documentos denominados “Instructivo de intercambio de información” e “Instructivo de aplicación de cifrado”.

ARTÍCULO SEXTO. Gestión de Llaves (criptográficas). En concordancia con los mecanismos y procedimientos de cifrado de la información que son implementados en el Instituto, esta política se desarrolla a través del “Instructivo de aplicación de cifrado” en su capítulo referente a la gestión de llaves de cifrado, que son utilizadas en los diversos niveles y escenarios identificados para la protección de la información.

Las llaves o claves de cifrado de la información deben ser “de uso restringido”, es decir que solamente los servidores públicos y/o contratistas autorizados conocerán el contenido y ubicación de esta información en cada uno de los procesos institucionales y áreas críticas en donde sean utilizadas las herramientas de cifrado.

La divulgación, extravío o sospecha de interceptación de alguna de las llaves de cifrado que se usan en el Instituto, debe ser reportada inmediatamente por el responsable de custodia de la misma al Subdirector Técnico de Recursos Tecnológicos y a su vez a las Oficinas de Control Disciplinario y/o a la Dirección Técnica Administrativa y Financiera del Instituto, según corresponda.

ARTÍCULO SÉPTIMO. Política de Escritorio Limpio y Pantalla limpia. Se adopta en el Instituto la política de escritorios limpios para proteger documentos en papel y dispositivos de almacenamiento removibles y una política de pantallas limpias a fin de reducir los riesgos de acceso no autorizado, pérdida y daño de la información durante la jornada laboral.

Los controles tecnológicos que se implementen desde la Subdirección Técnica de Recursos Tecnológicos, orientados a restringir algunas funcionalidades de copiado y ubicación de archivos en los equipos asignados a los servidores públicos y/o contratistas, hacen parte de los mecanismos implementados para mantener los “escritorios” de dichos equipos de cómputo limpios. Estos controles no se deben modificar por ningún motivo.

ARTÍCULO OCTAVO. Políticas y Procedimientos de Transferencia de Información. La transferencia de información a entidades externas, se realizará mediante la suscripción de acuerdos entre organizaciones para el intercambio de información, con el fin de proteger la integridad y disponibilidad de ésta conforme al grado de sensibilidad de la misma que se intercambia con la entidad involucrada y las consideraciones de seguridad requeridas.

Adicionalmente se implementarán los procedimientos y controles necesarios para proteger el intercambio de información a través de medios de comunicación de voz, vídeo, fax, correo electrónico, mensajería instantánea y los demás que apliquen.

Cuando sea pertinente, se deberán acordar y especificar el uso de controles adicionales necesarios para el intercambio de información a través de medios digitales o físicos entre la entidad externa y el Instituto, o viceversa. En dichos controles se hará mención específica de los responsables de ambas partes para desarrollar los procedimientos o acuerdos particulares de intercambio de datos o información definidos.

ARTÍCULO NOVENO. Política de Desarrollo Seguro. Esta política únicamente tiene alcance para los casos de construcción y desarrollo interno de aplicaciones de software que requiera el Instituto para el cumplimiento de sus funciones.

Los desarrollos nuevos o modificaciones a las aplicaciones actualmente instaladas en producción cuya responsabilidad de administración, desarrollo, mantenimiento y mejora, corresponde a la Subdirección Técnica de Recursos Tecnológicos, deben ser formalmente solicitados y autorizados por los directivos o “líderes de proceso”, ante la Subdirección Técnica de Recursos Tecnológicos hasta la primera semana de inicio de cada mes y serán sometidos a un proceso de verificación para aprobación o rechazo de éste. La respuesta a esta solicitud será informada al solicitante para que realice las acciones pertinentes.

Los criterios de inicio de cualquier solicitud aprobada, serán priorizados y corroborados por el Subdirector Técnico de Recursos Tecnológicos quien notificará formalmente sobre las decisiones tomadas al grupo de trabajo de construcción de soluciones de software del Instituto.

Todos los trabajos de construcción o adecuación de aplicaciones son desarrollados por la Subdirección Técnica de Recursos Tecnológicos, los cuales se rigen por los principios de construcción de aplicaciones seguras adoptados por el Instituto en el procedimiento denominado “Gestión de Desarrollo de Soluciones”.

Para garantizar la debida aplicación de estos principios, se facilitarán al grupo de trabajo de desarrollo, todos los elementos (de hardware, software y formación) y ambientes de trabajo más adecuados para el cumplimiento de estas labores, de acuerdo con las necesidades del Instituto.

Con el fin de brindar confidencialidad disponibilidad e Integridad a través de las soluciones de software, se realizaran los procedimientos de pruebas descritos en el documento “Instructivo de Pruebas a los desarrollos de aplicaciones”.

Las áreas solicitantes de nuevos desarrollos o modificaciones a desarrollos de software ya existentes, deben asignar a funcionarios idóneos para colaborar en la realización y aprobación de los resultados de dichas pruebas.

Se prohíbe el intento de acceso y/o uso, tanto de los recursos físicos, como tecnológicos asignados al grupo de trabajo de la Subdirección Técnica de Recursos Tecnológicos, a personal no autorizado. Esta prohibición se extiende al intento de uso total o parcial de código fuente de las aplicaciones administradas y/o adquiridas por el Instituto a personal no autorizado.

ARTÍCULO DÉCIMO. Política de Seguridad de la Información para las relaciones con proveedores. Con el objetivo de brindar confidencialidad, integridad y disponibilidad de la información institucional, en todos sus medios de conservación y divulgación, todos las terceras partes que mantengan algún tipo de relación contractual con el Instituto deben conocer, implementar, respetar y mantener los principios, procedimientos y protocolos de seguridad de la información vigentes en el Instituto, para lo cual deben suscribir el formato denominado “Acuerdo de confidencialidad con terceros”.

Se deben suscribir y revisar periódicamente los Acuerdos de Nivel de Servicio (ANS), que incluyan aspectos de cumplimiento de seguridad de la información en la relación contractual, especificando en dicho documento los requisitos mínimos de operación segura, la suscripción de acuerdos de confidencialidad y no divulgación de la información del Instituto, el cual deberá ser firmado por cada uno de los funcionarios del proveedor que sean asignados para la prestación de los servicios, así como la asignación de funcionarios responsables de la revisión de dichos acuerdos y especificaciones de seguridad de la información.

Los  proveedores que sean asignados para la prestación servicios en el Instituto, deben reportar a su superior o al responsable del ANS, cualquier evento que incumpla o cambie las condiciones o protocolos vigentes que puedan afectar la seguridad de la información.

Todos los cambios a los servicios o a la forma en que estos son prestados, que el proveedor determine como conveniente a aplicar, deberán notificarse al Instituto, para su evaluación y de ser pertinente, se coordine conjuntamente la realización de pruebas preliminares antes de llevar a cabo dicho cambio.

Para evitar cualquier intento de interceptación, uso indebido o divulgación no autorizada, las comunicaciones escritas o verbales, así como los informes de gestión de la prestación del servicio o demás comunicaciones que se requieran como consecuencia de la relación contractual deben ser protegidas con los mecanismos y protocolos acordados entre las partes.

En los casos en los que el proveedor deba hacer uso de los recursos tecnológicos del Instituto, los funcionarios deben aplicar las instrucciones y recomendaciones de uso que estén vigentes al momento de la entrega formal de dichos recursos y/o accesos por parte del Instituto.

ARTÍCULO UNDÉCIMO. Políticas de gestión de los recursos de Tecnologías de la Información (TI). La Subdirección Técnica de Recursos Tecnológicos es el área encargada de:

Definir los estándares tecnológicos que debe acoger la entidad, adoptando las buenas prácticas de la industria de TI, los lineamientos de la Comisión Distrital de Sistemas, la Alta Consejería Distrital para las TIC y el Ministerio de las TIC.

Generar y mantener la arquitectura tecnológica que soportará la operación de la entidad, así como velar por la alineación de los procesos de negocio con los procesos de TI bajo las orientaciones dadas por la Dirección General del IDU.

Acompañar a las áreas de la entidad en los procesos que requieran involucrar o adquirir soluciones de TI, definiendo y avalando los requerimientos técnicos de los componentes que se pretenden incluir o adquirir para la entidad.

Racionalizar el gasto de adquisición de tecnología buscando economías de escala alineadas a las directrices de la Alta Consejería para las TIC y la Comisión Distrital de Sistemas.

La Subdirección General de Gestión Corporativa se encargará de consolidar los presupuestos proyectados por las áreas de la entidad que tengan componentes de adquisición de tecnología con el fin de dar curso a estos procesos por medio de la Subdirección Técnica de Recursos Tecnológicos, incluida la vinculación de personal profesional o terceros para la ejecución de proyectos que tengan como producto soluciones de TI.

Para el control del gasto, las áreas deberán presupuestar los productos y servicios de la infraestructura de TI que soporten directamente sus procesos, con el fin de incluir éstos en los planes de compra que la Subdirección General de Gestión Corporativa adelanta por medio de la Subdirección Técnica de Recursos Tecnológicos.

ARTÍCULO DÉCIMO SEGUNDO. Políticas de responsabilidad y apropiación de los Sistemas de Información. Ésta política está destinada a generar gobernabilidad y apropiación de los sistemas de información por las áreas y la entidad. En ésta se señala la responsabilidad de las áreas frente a los sistemas de información, con el fin de establecer claramente las responsabilidades que tienen las diferentes áreas sobre el buen uso, evolución y confiabilidad de los sistemas de información de la entidad, por lo anterior es necesario precisar:

a. La construcción de los sistemas de información que apoyan y soportan la operación de determinados procesos o procedimientos que lideran las diferentes áreas de la entidad, corresponden a la definición que cada una de ellas hace como requerimiento técnico que debe corresponder lógicamente al proceso o procedimiento.

b. Esta definición de requerimientos es efectuada por el área “líder funcional” del proceso o procedimiento asociado, los cuales son resueltos o automatizados por la Subdirección Técnica de Recursos Tecnológicos “líder técnico”.

c. El área “líder funcional” es el responsable de solicitar a la Subdirección Técnica de Recursos Tecnológicos “líder técnico” los ajustes a los sistemas de información, el “líder funcional” es así el responsable de mantener la correspondencia entre los procesos y procedimientos y los sistemas de información.

d. Es deber de la Subdirección Técnica de Recursos Tecnológicos “líder técnico” el desarrollar o proveer las soluciones tecnológicas adecuadas que cubran los requerimientos del área solicitante “líder funcional”. Así mismo, la Subdirección Técnica de Recursos Tecnológicos es la responsable de la disponibilidad e integridad de los sistemas de información.

e. De la misma manera la Subdirección Técnica de Recursos Tecnológicos tiene entre otras la responsabilidad de velar por el mantenimiento de los sistemas de información acorde a los requerimientos de las áreas, garantizar el backup de las bases datos, propender por la disponibilidad, rendimiento y cobertura de estos.

ARTÍCULO DÉCIMO TERCERO. Sanciones. El incumplimiento de las medidas expuestas en el presente acto administrativo dará lugar a las sanciones correspondientes de acuerdo con la Ley disciplinaria vigente (Código único disciplinario – Ley 734 de 2002 para servidores públicos y causales de terminación del contrato para contratistas de apoyo). (En lo penal, civil, contractual, fiscal)

ARTÍCULO DECIMO CUARTO. Los Objetivos de Control y Controles operativos no contemplados en esta resolución y que hacen parte de lo establecido en el Anexo A de la norma ISO 27001:2013, serán desarrolladas dentro del plan de acción de la implementación del SGSI, a través de los instrumentos o mecanismos pertinentes.

ARTÍCULO DÉCIMO QUINTO. Las políticas y las disposiciones expuestas en esta resolución se aplican a todo el ámbito de la Entidad, a sus recursos y a la totalidad de los procesos, ya sean internos o externos; y a las personas vinculadas a la entidad ya sean servidores públicos, a través de contratos o acuerdos con terceros. Adicionalmente, se aplica para toda la información sin importar el medio en el que se encuentre.

ARTÍCULO DÉCIMO SEXTO. Los Directivos, de acuerdo con la estructura organizacional vigente, son responsables de promover y apoyar la implementación del Marco de Políticas de Control de Seguridad de la Información dentro de las áreas de su responsabilidad.

ARTÍCULO DÉCIMO SEPTIMO. Los Líderes del proceso de Gestión de Tecnologías de Información y Comunicación deben desarrollar las actividades necesarias para la implementación, mantenimiento, seguimiento y mejoramiento de las disposiciones de Seguridad de la Información expuestas en la presente resolución.

ARTÍCULO DÉCIMO OCTAVO. La presente resolución rige a partir de la fecha de su publicación en el Registro Distrital.

PUBLÍQUESE Y CÚMPLASE.

Dada en Bogotá, D.C., a los 19 días del mes de mayo del año 2015.

WILLIAM FERNANDO CAMARGO TRIANA

Director General

NOTA: Publicado en el Registro Distrital 5606 de junio 03 de 2015