MODIFICACIÓN DE LA POLÍTICA DE SEGURIDAD DE LA UNIVERSIDAD DE ALICANTE

Exposición de motivos

La modificación de la Política de Seguridad de la Universidad de Alicante, aprobada en el consejo de Gobierno del 15 de diciembre de 2022 y publicada en el BOUA el 19 de diciembre de 2022, consiste en la corrección de varias erratas, aclaraciones y en la modificación del artículo 6 para que incluya el registro de las normas y leyes aplicables a la seguridad de la información.

Acuerdos

Primero

Se modifica el artículo 5 que queda redactado de la siguiente manera:

5. Alcance

Esta Política de Seguridad de la Información se aplicará a los sistemas de información de la Universidad de Alicante relacionados con el ejercicio de sus competencias y a todas las personas con acceso autorizado a los mismos, sean o no empleados públicos y con independencia de la naturaleza de su relación jurídica con la universidad. Todos ellos tienen la obligación de conocer y cumplir esta Política de Seguridad de la Información y su Normativa de Seguridad derivada, siendo responsabilidad del Comité de Seguridad TI disponer los medios necesarios para que la información llegue al personal afectado.

Segundo

Se modifica el artículo 6 que queda redactado de la siguiente manera:

6. Marco normativo

Son de aplicación las leyes y normativas españolas (y autonómicas, si procede) en relación a protección de datos personales, propiedad intelectual y prestación de servicios electrónicos y a seguridad de la información.

Las normas que constituyen este marco normativo se encuentran recogidas en un registro al efecto (https://si.ua.es/es/uacibersegura/marco-normativo.html), el cual se mantiene actualizado según señala el correspondiente procedimiento de gestión del marco de referencia legal en Seguridad de la Información.

También forman parte del marco normativo las restantes normas aplicables a la Administración Electrónica de la Universidad de Alicante, derivadas de las anteriores y publicadas en la sede electrónica comprendidas dentro del ámbito de aplicación de la presente Política de Seguridad de la Información.

Tercero

Se modifica el artículo 7.5 quedando redactado de la siguiente manera

7.5 Grupo de trabajo para la seguridad de la información (GTSI)

Serán funciones del Grupo de trabajo para la seguridad de la información:

    · Asesorar en materia de seguridad de la información, siempre y cuando le sea requerido.

    · Aprobar procedimientos, protocolos e instrucciones de seguridad.

    · Velar por el cumplimiento de los procedimientos, protocolos e instrucciones de seguridad

    · Aprobación de los planes de mejora de la seguridad y promover la mejora continua en la gestión de la seguridad de la información.

    · Impulsar la formación y concienciación en materia de seguridad TI.

    · Impulsar y desarrollar la adecuación al ENS.

    · Resolver los conflictos de responsabilidad que puedan aparecer entre los diferentes responsables y/o entre diferentes Departamentos, elevando aquellos casos en los que no tenga suficiente autoridad para decidir.

Periodicidad de las reuniones y adopción de acuerdos:

        - Se reunirá, al menos, una vez al trimestre, sin perjuicio de que, en atención a las necesidades derivadas del cumplimiento de sus fines y atribuciones, requiera de una mayor frecuencia en las reuniones.

        - En cualquier caso, las reuniones se convocarán por el Responsable de la Información, a su iniciativa o por mayoría de sus miembros permanentes.

        - Las decisiones se adoptarán por consenso de los miembros permanentes.

Cuarto

Se modifica el artículo 7.7 quedando redactado de la siguiente manera

7.7 División de Seguridad de la Información

Dentro de la estructura de gobernanza de la UA, la División encargada de la Seguridad de la Información ejercerá las competencias relacionadas con las siguientes áreas de trabajo: adecuación al ENS, normativa y gestión de riesgos, análisis y mejora continua, seguridad en las interconexiones y conectividad y otras funciones conexas o concordantes.

Para el desarrollo de estas competencias, se constituye un grupo de trabajo que estará compuesto por:

    · Responsable de Seguridad de Información (RSEG).

    · Los y las especialistas de seguridad (AES) de la unidad de Seguridad TI y el personal de administración de sistemas que el RSEG determine.

Sus funciones serán, entre otras que les puedan ser encomendadas por el Comité de Seguridad TI:

    · Establecer la gestión y operativa de la seguridad del Proyecto de Adecuación, Implantación y gestión de la Conformidad en el ENS, análisis y gestión de riesgos, explotación, normativa y mantenimiento.

    · Redactar y presentar propuestas al Comité de Seguridad TI. Elaborará los aspectos relacionados con la ciberseguridad y los debatirá en primera instancia, para ser trasladados al Comité.

    · Promover de la mejora continua del sistema de gestión de la Seguridad de la Información. Para ello se encargará de:

        - Elaborar (y revisar regularmente) la Política de Seguridad de la Información previa al traslado al Comité de Seguridad TI para su revisión y posterior aprobación del órgano superior.

        - Elaborar la normativa de Seguridad de la Información para su aprobación por el Comité de Seguridad TI u órgano competente.

        - Verificar los procedimientos de seguridad de la información y demás documentación para su aprobación.

        - Elaborar programas de formación destinados a formar y sensibilizar al personal en materia de seguridad de la información y protección de datos.

        - Elaborar y aprobar los requisitos de formación y calificación del personal desde el punto de vista de seguridad de la información.

        - Proponer planes de mejora de la seguridad de la información, con su dotación presupuestaria correspondiente, priorizando las actuaciones en materia de seguridad cuando los recursos sean limitados.

        - Realizar un seguimiento de los principales riesgos residuales asumidos y recomendar posibles actuaciones respecto de ellos.

        - Promover la realización de las auditorías periódicas ENS y RGPD que permitan verificar el cumplimiento de las obligaciones de la universidad en materia de seguridad de la Información y protección de datos.

Periodicidad de las reuniones y adopción de acuerdos:

    · La persona responsable de Seguridad convocará las reuniones de trabajo de sus miembros.

    · Las propuestas presentadas por el grupo de trabajo serán evaluadas, debatidas y, en su caso, aprobadas por el Grupo de Trabajo para la Seguridad de la Información (GTSI) o por el Comité de Seguridad TI, según corresponda

    · El grupo de trabajo se reunirá, al menos, una vez al mes y siempre antes de las celebraciones del Grupo de trabajo para la seguridad de la información (GTSI) o del Comité de Seguridad TI

Quinto

Se modifica el artículo 12 quedando redactado de la siguiente manera:

12. Desarrollo de la Política de Seguridad de la Información

La presente Política de Seguridad de la Información será complementada por medio de diversa normativa y recomendaciones de seguridad (normativas y procedimientos de seguridad, procedimientos técnicos de seguridad, informes, registros y evidencias electrónicas). Corresponde al Comité de Seguridad TI su revisión anual y/o mantenimiento, proponiendo, en caso de que sea necesario mejoras a la misma.

El cuerpo normativo sobre seguridad de la información se desarrollará en tres niveles por ámbito de aplicación, nivel de detalle técnico y obligatoriedad de cumplimiento, de manera que cada norma de un determinado nivel de desarrollo se fundamente en las normas de nivel superior. Dichos niveles de desarrollo normativo son los siguientes:

    · Primer nivel normativo: constituido por la presente Política de Seguridad de la Información, la Normativa reguladora de los derechos y obligaciones de las personas usuarios de servicios y recursos informáticos para todo el personal y las directrices generales de seguridad aplicables a los organismos o unidades de la universidad a los que sea de aplicación dichos documentos.

    · Segundo nivel normativo: constituido por las normas de seguridad derivadas de las anteriores.

    · Tercer nivel normativo: constituido por procedimientos, guías e instrucciones técnicas. Son documentos que, cumpliendo con lo expuesto en la Política de Seguridad de la Información, determinan las acciones o tareas a realizar en el desempeño de un proceso.

Corresponde al Consejo de Gobierno de la Universidad de Alicante la aprobación de la Política de Seguridad de la Información y la Normativa reguladora de los derechos y obligaciones de las personas usuarios de servicios y recursos informáticos de la universidad, siendo el Comité de Seguridad TI el órgano responsable de la aprobación de los restantes documentos, siendo también responsable de su difusión para que la conozcan las partes afectadas. Los documentos de tercer nivel normativo pueden ser aprobados por el Grupo de trabajo para la seguridad de la información.

Del mismo modo, la presente Política de Seguridad de la Información complementa la Política de Privacidad de la Universidad de Alicante, en materia de protección de datos. La normativa de seguridad y, muy especialmente, la Política de seguridad de la Información y la Normativa reguladora de los derechos y obligaciones de las personas usuarios de servicios y recursos informáticos, será conocida y estará a disposición de todos los miembros de la universidad, en particular para aquellos que utilicen, operen o administren los sistemas de información y comunicaciones. Estará disponible para su consulta en la Intranet de la Universidad, en soporte papel, esta documentación será custodiada por el Servicio de Informática.

Sexto Entrada en vigor

Una vez aprobada por el Consejo de Gobierno, esta modificación entrará en vigor al día siguiente de su publicación en el Boletín Oficial de la Universidad de Alicante.