BOJA

Boletín Oficial de la Junta de Andalucía
Número 74 - Jueves, 20 de abril de 2023

página 6784/14

2. Análisis y gestión de riesgos.
Los servicios e infraestructuras bajo el alcance de la presente Política de Seguridad
deberán estar sometidos a un análisis de riesgos para orientar las medidas de protección
a minimizar los mismos como se indica en el apartado 14 «Gestión de riesgos».
La descripción de la metodología y evaluación del riesgo seguidas están desarrolladas
en «Metodología de análisis y gestión de riesgos».
El análisis de riesgos se realizará igualmente cuando se vaya a iniciar o a modificar un
tratamiento de datos de carácter personal, en línea a lo establecido en el RGPD y la LOPDGDD.
En estos casos se contemplarán en el alcance del análisis, todos aquellos activos que
intervengan en el tratamiento, considerando tanto activos relacionados con los sistemas
de información, como humanos, locales o terceros.
A raíz de los resultados obtenidos en los mencionados análisis de riesgos se
determinarán las medidas necesarias para proteger dichos datos.
3. Gestión de personal.
En el apartado 12 «Obligaciones del personal» de la presente Política de Seguridad,
en las normativas de uso internos correspondientes, se detallan la obligatoriedad de
conocimiento y concienciación en materia de seguridad según sus responsabilidades. Los
recursos necesarios para la implantación del sistema de seguridad, así como aquellos
que lleven a cabo su operación, mantenimiento, supervisión, o tenga relación con el
sistema, se establecerá en el marco normativo de la Política de Seguridad del SAE, y
será aprobados por parte del órgano competente del organismo a propuesta del Comité
de Seguridad Interior y Seguridad TIC.
La selección de personal se llevará a cabo aplicando los criterios por parte del
Servicio de Personal del SAE.

5. Autorización y control de acceso.
El acceso a los sistemas de información estará restringido y limitado a aquellas
personas usuarias o procesos que lo necesiten para el desarrollo de su actividad y estén
previamente autorizados.
El acceso a la información seguirá el principio de «necesidad de conocer, de forma
que los privilegios otorgados a cada entidad sean los mínimos imprescindibles para el
desarrollo de su actividad».
La identificación de las personas usuarias será tal que se pueda conocer en todo
momento quién recibe los derechos de acceso y quién ha realizado alguna actividad, por
lo que los identificadores serán personales, no compartidos e intransferibles.
Los lugares con acceso restringido igualmente se controlarán y serán previamente
autorizados por las personas responsables asignadas.
6. Protección de las instalaciones.
Los sistemas de información estarán ubicados en zonas protegidas, con acceso
restringido, habilitado únicamente al personal autorizado.
Depósito Legal: SE-410/1979. ISSN: 2253-802X

https://www.juntadeandalucia.es/eboja

00281822

4. Profesionalidad.
Siguiendo lo indicado en el apartado 18 «Formación y concienciación en
Seguridad TIC» de la presente Política de Seguridad, se desarrollan los objetivos de las
acciones de formación y concienciación y en los apartados 5.1.1 «Funciones del Comité de
Seguridad Interior y Seguridad TIC », 7 «Unidad de Seguridad TIC» , 8 «Responsable de
Seguridad TIC», 9 «Responsables de la Información», 10 «Responsables de los Servicios»,
11 «Responsables de los Sistemas», 13 «Obligaciones del personal» de la presente
Política de Seguridad y en la normativa de uso interno correspondiente, se indican las
responsabilidades del personal.
Con periodicidad anual se diseñará un plan de formación específico en el que se
tendrá en cuenta las necesidades de profesionalidad del sistema de seguridad.