BOJA

Boletín Oficial de la Junta de Andalucía
Número 221 - Miércoles, 13 de noviembre de 2024

página 53833/18

usuarias en un área o aspecto determinado. Son documentos de carácter horizontal y de
obligado cumplimiento para todo el personal de la Consejería en sus respectivos ámbitos de
actuación; serán aprobadas por el Comité de Seguridad de la Información.
c) Tercer nivel: Procedimientos de seguridad, que detallan las anteriores normativas
de seguridad especificando sus procesos de realización. Son documentos de obligado
cumplimiento de acuerdo al ámbito organizativo, técnico o legal correspondiente. Los
procedimientos se aprobarán por el Comité de Seguridad de la Información; en su
redacción podrán participar las unidades organizativas que participen en el proceso
normalizado con la supervisión de la Unidad de Seguridad de la Información.
d) Cuarto nivel: Instrucciones Técnicas de Seguridad de la información, documentos
muy detallados a nivel técnico, orientados a pautar determinadas tareas, consideradas
críticas por el perjuicio que causaría una actuación inadecuada en las mismas. Su
aprobación recae en la persona responsable del área donde se desarrollen las actividades
descritas en cada instrucción.
e) Quinto nivel: Informes, registros y otras evidencias, documentación que permite
probar el cumplimiento de requisitos y la puesta en práctica de los procedimientos e
instrucciones establecidos en los niveles anteriores. La responsabilidad de su generación
es de las personas responsables de las áreas donde se desarrollen cada una de las
actividades.
2. Al amparo de la presente orden, la Consejería podrá ampliar y desarrollar, sobre la
base de los mínimos establecidos, sus propias normas en materia de seguridad TIC, en
virtud del artículo 2.5 de la Orden de 9 de junio de 2016, por la que se efectúa el desarrollo
de la política de seguridad de las tecnologías de la información y comunicaciones en la
Administración de la Junta de Andalucía.
3. Además de los documentos citados en el apartado 1, la documentación de
seguridad de la información de los órganos contemplados en el ámbito de aplicación de
esta norma podrá contar, bajo criterio de la Unidad de Seguridad de la Información con
otros documentos de carácter no vinculante: recomendaciones, buenas prácticas, etc.
4. La Unidad de Seguridad de la Información deberá mantener la documentación de
seguridad actualizada y organizada, y gestionar los mecanismos de acceso a la misma,
de conformidad con las normas y procedimientos de gestión que se establezcan.
5. El Comité de Seguridad de la Información establecerá los mecanismos necesarios
para compartir la documentación derivada del desarrollo documental con el propósito de
normalizarlo, en la medida de lo posible, en todo el ámbito de aplicación de la Política.

Artículo 24. Gestión de riesgos.
1. La gestión de riesgos debe realizarse de manera continua sobre los activos de
información e infraestructuras de la Consejería, conforme a los principios de gestión de la
seguridad basada en los riesgos y de re-evaluación periódica.
Depósito Legal: SE-410/1979. ISSN: 2253-802X

https://www.juntadeandalucia.es/eboja

00310779

Artículo 23. Seguridad de los Datos Personales.
1. Para el tratamiento de datos personales por parte de la Consejería se seguirá en
todo momento lo establecido en el RGPD, en la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y garantía de los derechos digitales y en la restante
legislación europea, nacional y autonómica vigente en cada momento en relación con
esta materia. En aplicación del principio de responsabilidad proactiva establecido en el
RGPD, la Consejería debe ser capaz de demostrar la conformidad de los tratamientos de
datos realizados con dicha normativa.
2. La gestión de la seguridad de los datos personales se basará en implantación de
medidas técnicas y organizativas desde el diseño y por defecto, con vistas a la reducción
del riesgo asociado a la tipología y volumen de los mismos y a la naturaleza de los
tratamientos efectuados.