Boletín Oficial de la Junta de Andalucía

BOJA

Número 4 - Viernes, 7 de enero de 2022

página 20888/8

Todos estos niveles prestarán especial atención a las exigencias derivadas del
Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, así como
a la normativa aplicable en materia de protección de datos de carácter personal.
Los niveles de desarrollo son los siguientes:
a) Primer nivel: Política de seguridad TIC, constituido por el presente documento. Es
de obligado cumplimiento en toda el SAE.
b) Segundo nivel: Normas de seguridad. Son de obligado cumplimiento en todo el
SAE y deben ser aprobadas por el Comité de Seguridad TIC. Describen de forma general
los principios y normas de seguridad que serán concretados en los niveles posteriores.
c) Tercer nivel: Procedimientos. Describen las acciones a realizar, de una manera
más específica, en un proceso relacionado con la seguridad. Son dependientes de las
normas de seguridad. Los aprueba el responsable de Sistemas.
d) Cuarto nivel: Documentación técnica. En este último nivel se puede incluir todo tipo
de documentación técnica o especializada que se considere necesario para completar
y facilitar el desarrollo de las medidas de seguridad. La aprueba el Responsable de
Sistemas.
El Comité de Seguridad TIC establecerá los mecanismos necesarios para compartir
la documentación derivada del desarrollo con el propósito de regularizarlo, en la medida
de lo posible, en todo el ámbito de aplicación de la política de seguridad TIC.
La siguiente tabla resume el marco de desarrollo y la competencia para su aprobación:
Nivel

Documento

Aprueba

Primero

Política de seguridad

Presidencia SAE.

Segundo

Normas de seguridad

Comité de Seguridad TIC.

Tercero

Procedimientos

Responsable de Sistemas.

Cuarto

Documentación técnica

Responsable del Sistemas.

14. Gestión de riesgos.
La gestión de riesgos deberá realizarse de manera continua sobre el sistema de
información, conforme a los principios de gestión de la seguridad basada en los riesgos y
con reevaluación periódica de los mismos.
Las personas encargadas de la categorización de los sistemas serán los Responsables
de la Información y de los Servicios, siendo la Unidad de Seguridad TIC la encargada de
supervisar los análisis de riesgos y proponer las medidas de seguridad a aplicar.
Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta
los riesgos que presente el tratamiento de datos de carácter personal, en particular
como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, así como la comunicación
o acceso no autorizados a dichos datos.
Los Responsables de la Información y de los Servicios son los responsables
de aceptar los riesgos residuales calculados en el análisis sobre la información y los
servicios, respectivamente, y de realizar su seguimiento y control, sin perjuicio de la
posibilidad de delegar esta tarea.
El proceso de gestión de riesgos, que comprende las fases de categorización de
los sistemas, análisis de riesgos y selección de medidas de seguridad a aplicar, que
deberán ser proporcionales a los riesgos y estar justificadas, deberá revisarse al menos
Depósito Legal: SE-410/1979. ISSN: 2253 - 802X

http://www.juntadeandalucia.es/eboja

00253156

La Unidad de Seguridad TIC se encarga de la gestión de los documentos indicados,
debiendo asegurar que ésta sea completa y proporcione información suficiente para
definir las necesidades de protección de la información y los activos asociados a la misma
en el ámbito de la Agencia.