BOJA

Boletín Oficial de la Junta de Andalucía
Número 221 - Miércoles, 13 de noviembre de 2024

página 53833/17

Artículo 20. Responsabilidad del Personal.
1. La preservación de la seguridad de la información será considerada objetivo común
de todas las personas al servicio de los órganos contemplados en el ámbito de aplicación de
esta norma, siendo éstas responsables del uso correcto de los activos, de información y/o
tecnológicos, puestos a su disposición.
2. Todas las personas que presten servicios a la Consejería tienen la obligación de
conocer y cumplir, en sus respectivos ámbitos de actuación, la presente política de seguridad,
así como la normativa de seguridad que emana de la misma, siendo responsabilidad del
Comité de Seguridad de la Consejería facilitar los medios necesarios para que la información
llegue a los interesados.
3. El incumplimiento manifiesto de la Política de Seguridad de la Información o la
normativa y procedimientos derivados de ésta podrá acarrear el inicio de las oportunas
medidas disciplinarias y, en su caso, las responsabilidades legales correspondientes.
4. Con carácter general, para el personal de la Consejería, regirán las normas de
comportamiento de los empleados públicos en el uso de los sistemas informáticos y redes de
comunicaciones de la Administración de la Junta de Andalucía vigentes en cada momento.
5. Las normas de uso de los recursos derivadas de esta Política serán trasladadas
convenientemente, en la medida en que pueda resultar necesario o recomendable, al
clausulado de los contratos suscritos por la Consejería.

Artículo 22. Desarrollo documental de la seguridad de la información.
1. El conjunto de documentos que integran el SGSI se desarrollará en cinco niveles,
según el ámbito de aplicación y nivel de detalle técnico requerido, de manera que cada
documento de un determinado nivel se fundamente en los documentos del nivel superior.
Dichos niveles de desarrollo documental son los siguientes:
a) Primer nivel: Política de Seguridad de la Información. Documento de obligado
cumplimiento por todo el personal de la Consejería, aprobado por la persona titular de la
Consejería.
b) Segundo nivel: Normativas de seguridad, que desarrollan y detallan la Política de
Seguridad de la Información, estableciendo premisas que deben cumplir las personas
Depósito Legal: SE-410/1979. ISSN: 2253-802X

https://www.juntadeandalucia.es/eboja

00310779

Artículo 21. Terceras partes.
1. Cuando la Consejería preste servicios a otros organismos o maneje información de
estos, se les hará partícipes de esta política de seguridad de la información, estableciéndose
los canales que procedan para la comunicación y coordinación entre las respectivas
organizaciones, en especial para una rápida y eficaz reacción ante incidentes de seguridad.
2. Cuando la Consejería utilice servicios de terceros o ceda información a terceros, se
les hará partícipes de esta política de seguridad de la Información y de la normativa de
seguridad que ataña a dichos servicios o información. Dicha tercera parte quedará sujeta,
a través de cláusulas contractuales o acuerdos de nivel de servicio, a las obligaciones
generales establecidas en dicha normativa y, específicamente, a la obligación de comunicar
incidentes de seguridad que puedan afectar la seguridad de los sistemas o información
de la Consejería, pudiendo disponer la tercera parte de sus propios procedimientos
operativos para satisfacerlas. Se establecerán mecanismos de comunicación y resolución
de incidencias. Se velará por que el personal de terceros esté adecuadamente concienciado
en materia de seguridad, al menos, al mismo nivel que el establecido en esta política de
seguridad de la información.
3. Cuando algún aspecto de esta política de seguridad de la información no pueda ser
satisfecho por una tercera parte según se requiere en el párrafo anterior, se requerirá un
informe de la Unidad de Seguridad de la Información que precise los riesgos en que se
incurre y la forma de tratarlos. Se requerirá que, antes de continuar con las actuaciones,
las personas responsables de la información y/o los servicios afectados asuman expresa y
plenamente el informe.