BOJA

Boletín Oficial de la Junta de Andalucía
Número 181 - Martes, 20 de septiembre de 2022

página 14654/11

determinación de la categoría de seguridad del sistema corresponderá al responsable de
seguridad TIC.
3. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente
en cuenta los riesgos que presente el tratamiento de datos de carácter personal, en
particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita
de datos personales transmitidos, conservados o tratados de otra forma, así como la
comunicación o acceso no autorizados a dichos datos.
4. El Pleno es el responsable de aceptar los riesgos residuales calculados en el
análisis sobre la información y los servicios, respectivamente, y de verificar su control.
5. El Comité de Seguridad Interior y Seguridad TIC es responsable de realizar
un seguimiento de los principales riesgos residuales asumidos por el Consejo y de
recomendar posibles actuaciones respecto de ello.
6. Anualmente se revisará por la persona Responsable de Seguridad TIC el proceso
de gestión de riesgos en todas sus fases, elevando el correspondiente informe al Comité
de Seguridad Interior y Seguridad TIC.
Artículo 24. Clasificación y control de activos.
1. Los recursos informáticos y la información del Consejo se encontrarán inventariados,
con una persona responsable asociada al mismo y, en caso de ser necesario, una
persona custodia de los recursos. Los inventarios se mantendrán actualizados para
asegurar su validez.
2. Los activos de información estarán clasificados de acuerdo a su sensibilidad
y criticidad para el desarrollo de la actividad del Consejo, en función de la cual se
establecerán las medidas de seguridad exigidas para su protección.
3. En relación con la seguridad interior, la clasificación y control de activos se
acomodará a lo previsto en el Plan de Seguridad Interior del Consejo.

Disposición transitoria única. Adecuación al Esquema Nacional de Seguridad.
La presente política dispondrá de veinticuatro meses desde la entrada en vigor del
Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de
Seguridad (ENS), para alcanzar su plena adecuación al mismo, durante los antedichos
veinticuatro meses, los sistemas de información preexistentes a la entrada en vigor de
este real decreto podrán mantener su vigencia y los nuevos sistemas de información
aplicarán lo establecido en este real decreto desde su concepción.
Depósito Legal: SE-410/1979. ISSN: 2253 - 802X

http://www.juntadeandalucia.es/eboja

00267927

Artículo 25. Auditorías de la seguridad.
1. Los sistemas de información serán objeto de una auditoría regular ordinaria, al
menos cada dos años, que verifique el cumplimiento de los requerimientos del ENS.
2. Los informes de auditoría serán presentados a la persona Responsable del Sistema
competente, al Delegado de Protección de Datos, si afectara a estos, y a la persona
responsable de la Seguridad TIC. Estos informes serán analizados por esta última
persona que presentará sus conclusiones a la persona Responsable del Sistema para
que adopte las medidas correctoras adecuadas. Los resultados obtenidos determinarán
las líneas de actuación a seguir y las posibles modificaciones a realizar sobre los controles
y la normativa de seguridad.
3. Con el fin de optimizar la utilización de los recursos públicos y garantizar una
mejor coordinación entre seguridad TIC y seguridad de protección de datos, siempre
que sea posible, las auditorías de seguridad de sistemas de información y las auditorías
de protección de datos o medidas análogas de verificación, evaluación y valoración de
seguridad de los tratamientos se realizarán de manera conjunta.
4. La seguridad interior se auditará en el Consejo conforme a las previsiones que se
contengan en el Plan de Seguridad Interior del Consejo.