IDEAM - Resolución 0371 de 2021

El ambiente Minambiente es de todos Página 1 de 14 INSTITUTO DE HIDROLOGÍA METEOROLOGÍA Y ESTUDIOS AMBIENTALES - IDEAM RESOLUCIÓN N.º 0371 de 30 de abril 2021 ------ "Por la cual se actualiza la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios del IDEAM, se definen lineamientos frente al uso y manejo de la información y se deroga la Resolución No. 0390 del 15 de marzo del 2016" LA DIRECTORA GENERAL DEL INSTITUTO DE HIDROLOGÍA, METEOROLOGÍA Y ESTUDIOS AMBIENTALES - IDEAM En ejercicio de sus facultades legales y en especial las conferidas por el artículo 4 de la Ley 87 de 1993, el artículo 5 del Decreto 291 de 2004, el artículo 2.2.2.2.1 del Decreto 1083 de 2015, y CONSIDERANDO QUE: La Constitución Política de Colombia en su artículo 15, estipula que todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, debiendo el Estado respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demás garantías consagradas en la Constitución Política. La correspondencia y demás formas de comunicación privada son inviolables. Sólo pueden ser interceptados o registrados mediante orden judicial, en los casos y con las formalidades que establezca la ley. Los artículos 209 y 269 de la Constitución Política establecen que la Administración Pública, en todos sus

pueden ser interceptados o registrados mediante orden judicial, en los casos y con las formalidades que establezca la ley. Los artículos 209 y 269 de la Constitución Política establecen que la Administración Pública, en todos sus órdenes, tendrá un control interno que se ejercerá en los términos que señale la ley. Por ello las autoridades de las entidades públicas están en la obligación de diseñar y aplicar, según la naturaleza de sus funciones, métodos y procedimientos de control Interno. El artículo 17 de la Ley Estatutaria 1581 de 2012 "Régimen General de Protección de Datos personales''. consagra la necesidad de garantizar de forma integral la protección y el ejercicio del Derecho Fundamental de Habeas Data y estableció dentro de los deberes de los responsables del tratamiento de datos personales, desarrollar políticas para este derecho. La Ley 1712 de 2014, sobre transparencia y derecho de acceso a la información pública nacional, adiciona nuevos principios, conceptos y procedimientos para el ejercicio y garantía del referido derecho; junto con lo dispuesto en el Libro 2. Parte VIII, Título IV "Gestión de la Información Clasificada y Reservada" del Decreto 1080 de 2015, "por medio del cual se expide el Decreto Reglamentario Único del Sector Cultura", el cual establece las directrices para la calificación de información pública, en el mismo sentido, el Título V de la misma Parte y Libro, establecen los instrumentos de la gestión de información pública (1) Registro de Activos de Información; (2) Índice de Información Clasificada y Reservada; (3) Esquema de Publicación de Información; (4) Programa de Gestión Documental.

Información; (2) Índice de Información Clasificada y Reservada; (3) Esquema de Publicación de Información; (4) Programa de Gestión Documental. El artículo 2.2.9.1.1.3. del Decreto 1078 de 2015, subrogado por el artículo 1 del Decreto 1008 de 2018, determinó que uno de los principios de la Política de Gobierno Digital es el de Seguridad de la Información, a través de este se busca crear condiciones de uso confiable en el entorno digital, mediante un enfoque basado en la gestión de riesgos, preservando la confidencialidad, integridad y disponibilidad de la información de las entidades del Estado y de los servicios que prestan al ciudadano. El artículo 2.2.9.1.2.1. del Decreto 1078 de 2015, también subrogado por el artículo 1 del Decreto 1008 de 2018, estableció que la Política de Gobierno Digital se desarrollará a través de componentes y habilitadores transversales y respecto de estos últimos indica que son los elementos fundamentales de Seguridad de la

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a Calle 25 D No. 96 8 • 70 Bogotá D.C. Codigo postal: 110911 PBX (571) 3527160 Fax Server. 3075621 - 3527160 Opa Linea Nacional 018000110012 • Pronóstico y Afirtas (571} 3527180

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente es de todos Minambiente 0371 30 de abril 2021 Página 2 de 14

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente es de todos Minambiente 0371 30 de abril 2021 Página 2 de 14 , 71:rquitec ura y Servicios Ciudadanos Digitales, que permiten el desarrollo de los anteriores componentes y el logro de los propósitos de la Política de Gobierno Digital.

Igualmente, el artículo 1 del Decreto 1499 de 2017 sustituyo el Título 22 de la Parte 2 del Libro 2 del Decreto 1083 de 2015. El nuevo artículo 2.2.22.1.1 del Decreto 1083 de 2015, señala que el Sistema de Gestión, que integra los Sistemas de Desarrollo Administrativo y de Gestión de la Calidad, es el conjunto de entidades y organismos del Estado, políticas, normas, recursos e información, cuyo objeto es dirigir la gestión pública al mejor desempeño institucional y a la consecución de resultados para la satisfacción de las necesidades y el goce efectivo de los derechos de los ciudadanos, en el marco de la legalidad y la integridad. El artículo 2.2.22.2.1 del Decreto 1083 de 2015, establece las políticas de Gestión y Desempeño Institucional, entre las que se encuentran las de "11. Gobierno Digital, antes Gobierno en Línea" y "12. Seguridad Digital". En el 2.2.22.3.2. del Decreto 1499 de 2017 se definió el Modelo Integrado de Planeación y Gestión (MIPG), como el marco de referencia para dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar la gestión de las entidades y organismos públicos, con el fin de generar resultados que atiendan los planes de desarrollo y

el marco de referencia para dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar la gestión de las entidades y organismos públicos, con el fin de generar resultados que atiendan los planes de desarrollo y resuelvan las necesidades y problemas de los ciudadanos, con integridad y calidad en el servicio. El Documento CONPES 3995 establece la Política Nacional de Seguridad Digital en la República de Colombia, fortaleciendo las capacidades de las múltiples partes interesadas, para identificar, gestionar, tratar y mitigar los riesgos de seguridad digital en sus actividades socioeconómicas en el entorno digital y se generarán mecanismos permanentes para impulsar la cooperación, colaboración y asistencia en materia de seguridad digital, a nivel nacional e internacional, con un enfoque estratégico. El IDEAM adoptó su política de seguridad y privacidad de la información mediante Resolución No. 0390 del 15 de marzo del 2016, sin embargo es necesaria su actuazliacion debido a los nuevos hitos de seguridad que se han detectado y que deben soportar la política del SGSI de la entidad. De acuerdo con el acta del Comité del Comité de Gestión y Desempeño Institucional# 36 realizado el 26 de marzo del 2021, se aprobó la actualización de la "Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios del IDEAM", ajustada a los cambios estipulados en la política de Gobierno Digital y Seguridad Digital. En virtud de lo anterior, es necesario actualizar mediante acto administrativo, la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de los servicios, así como definir los lineamientos frente al uso y manejo de la información. En merito de lo expuesto,

RESUELVE:

CAPITULO 1

DISPOSICIONES GENERALES

y Privacidad de la Información, Seguridad Digital y Continuidad de los servicios, así como definir los lineamientos frente al uso y manejo de la información. En merito de lo expuesto,

RESUELVE:

CAPITULO 1

DISPOSICIONES GENERALES ARTÍCULO 1. Objeto: La presente Resolución tiene como objeto adoptar la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios en el Instituto de Hidrología, Meteorología y Estudios Ambientales - IDEAM, así como definir los lineamientos frente al uso y manejo de la información ARTÍCULO 2. Ámbito de Aplicación: La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios del IDEAM, aplica a todos los niveles funcionales y organizacionales del IDEAM, a todos sus funcionarios, contratistas, proveedores, operadores, así como aquellas personas o terceros que en cumplimiento de sus funciones y las del Instituto, utilicen, generen, procesen, recolecten, consulten, compartan e intercambien su información, así como a las entidades de control, y demás entidades relacionadas que accedan, ya sea interna o externamente a cualquier activo de información, independientemente de su ubicación. Así mismo, esta Política aplica a toda la información creada, procesada o utilizada por el IDEAM en el marco de la operación por procesos y en cumplimiento a sus objetivos institucionales, sin importar el medio, formato, presentación o lugar en el cual se encuentre.

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a Calle 25 D No. 96 8 • 70 Bogotá D.C. Codigo postal: 110911

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a Calle 25 D No. 96 8 • 70 Bogotá D.C. Codigo postal: 110911 PBX (571) 3527160 Fax Server. 3075621 - 3527160 Opa Linea Nacional 018000110012 • Pronóstico y Afirtas (571} 3527180

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente Minambiente es de todos 0371 30 de abril 2021 Página 3 de 14

ARTÍCULO 3. Política general de seguridad y privacidad de la información, seguridad digital y continuidad de la Operación de los Servicios del IDEAM. El IDEAM, con la adopción e implementación de la Política Nacional de confianza y seguridad digital enmarcado en el Modelo de Seguridad y Privacidad de la información enmarcado en el Sistema de Gestión de Seguridad de la Información, tiene como propósito asegurar la confidencialidad, integridad, disponibilidad, no repudio y autenticidad de la información, con el desarrollo de buenas prácticas que permitan a la entidad gestionar de forma integral riesgos de seguridad y privacidad de la información y seguridad digital, para la prevención de incidentes que puedan comprometer o generar perjuicios severos al IDEAM, es así que también se debe dar un enfoque a la mejora continua y propender por el alto desempeño del Sistema de Gestión de Seguridad de la Información. La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios del IDEAM es la declaración general que representa la disposición de la administración del IDEAM, con respecto a la protección de los activos de información (Procesos, Personas y

La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios del IDEAM es la declaración general que representa la disposición de la administración del IDEAM, con respecto a la protección de los activos de información (Procesos, Personas y tecnologías de Información incluido el hardware y software), que soportan los procesos de la entidad y apalancan la implementación del sistema de gestión de seguridad de la información, por medio de la generación y publicación de sus políticas, procedimientos e instructivos, así como de la asignación de responsabilidades generales y específicas para la gestión de la seguridad de la información. ARTÍCULO 4. Objetivo general. La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios del IDEAM tendrá los siguientes objetivos:

1. Facilitar de manera integral la gestión de los riesgos de seguridad y privacidad de la información, de seguridad digital y continuidad de la operación de los servicios.

2. Mitigar el impacto de los incidentes de seguridad y privacidad de la información y de seguridad digital, de forma efectiva, eficaz y eficiente.

3. Establecer los mecanismos de aseguramiento físico y digital, para fortalecer la confidencialidad, integridad, disponibilidad, autenticidad, privacidad y no repudio de la información del IDEAM.

4. Definir los lineamientos necesarios para el manejo de la información, tanto física como digital, en el marco de una gestión documental basada en seguridad y privacidad de la información.

5. Generar un cambio organizacional a través de la concienciación y apropiación de la seguridad y privacidad de la información y la seguridad digital

6. Dar cumplimiento a los requisitos legales y normativos en materia de seguridad y privacidad de la información, seguridad digital y protección de la información personal.

privacidad de la información y la seguridad digital

6. Dar cumplimiento a los requisitos legales y normativos en materia de seguridad y privacidad de la información, seguridad digital y protección de la información personal.

7. Definir, operar y mantener el Plan de Continuidad de la Operación de los servicios del IDEAM

8. Proteger los activos de información

9. Definir, reformular y formalizar los elementos normativos sobre los temas de protección de la información

CAPITULO 11

POLÍTICAS ESPECÍFICAS DE MANEJO DE INFORMACIÓN ARTÍCULO 5. Objetivos específicos. Las políticas definidas tienen como objetivo establecer, estandarizar y normalizar la seguridad de las personas, las tecnologías y los procesos, a partir de un conjunto de directrices, normas, procedimientos e instrucciones que guíen las actuaciones de trabajo y definan los criterios de seguridad que deben ser adoptados a nivel institucional en el IDEAM. Con su divulgación se busca que todos los funcionarios, contratistas, practicantes y terceros que ofrezcan servicios al IDEAM, conozcan el presente plan y de forma individual y colectiva brinden su apoyo para el cumplimiento del mismo, con niveles adecuados de

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a Calle 25 D No. 96 8 • 70 Bogotá D.C. Codigo postal: 110911 PBX (571) 3527160 Fax Server. 3075621 - 3527160 Opa Linea Nacional 018000110012 • Pronóstico y Afirtas (571} 3527180

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente es de todos Minambiente 0371 30 de abril 2021 Página 4 de 14

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente es de todos Minambiente 0371 30 de abril 2021 Página 4 de 14 1 1 g , í mismo aplican a tocios los funcionarios, contratistas, pasantes y terceros que utilicen recursos del IDEAM. Estas políticas deben ser revisadas y en caso de necesitarse, actualizarlas periódicamente para garantizar que siguen siendo adecuadas, suficientes y eficaces para el sistema de gestión de seguridad de la información.

ARTÍCULO 6. Políticas de seguridad. La protección de los activos de información del IDEAM, han sido y continuarán siendo una de las mayores preocupaciones del Instituto. Las tecnologías cambiantes, hacen que los sistemas sean mayormente optimizados y requieran más recursos y compromiso de la alta gerencia, auspiciando a los procesos del Instituto y evitando que existan brechas de seguridad de la información. Esto tendrá un impacto sobre nuestros programas de seguridad existentes y afectará las medidas de procedimiento de seguridad, que den a lugar a implementar tanto existentes como futuras políticas de seguridad. Para responder a este ambiente de cambio, el Oficial de Seguridad de la Información o quien haga sus veces desarrollará las políticas necesarias, para la aprobación, con el fin de proteger a todos los activos de información y recursos institucionales. (Por ejemplo: software o información sin importar en qué medio se encuentre). El Oficial de Seguridad de la Información o quien haga sus veces con el apoyo del Grupo de Seguridad Informática o quien haga sus veces, serán los encargados del desarrollo y mantenimiento de las políticas de seguridad, para administrar y proteger los recursos y para coordinar el desarrollo de los procedimientos necesarios para ejecutar las políticas aprobadas.

Informática o quien haga sus veces, serán los encargados del desarrollo y mantenimiento de las políticas de seguridad, para administrar y proteger los recursos y para coordinar el desarrollo de los procedimientos necesarios para ejecutar las políticas aprobadas. El Oficial de Seguridad de la Información, coordinará el desarrollo de un Plan de Continuidad del Negocio y el Plan de Recuperación de Desastres para la sede central y velará por la realización de un plan de sensibilización para todos los funcionarios y será el encargado de reportar al comité institucional de gestión y desempeño los abusos reales y/o sospechados de las Políticas de Seguridad aprobadas. El Oficial de Seguridad de la Información y el Jefe de la Oficina de Informática, de ser necesario en el comité institucionales de gestión y desempeño proveerán un reporte escrito el cual incluirá la evaluación de las políticas, procedimientos y medidas de seguridad que están siendo adoptadas; de darse el caso un resumen de violaciones sospechosas de seguridad y las medidas adoptadas para mitigarlas. Cualquier funcionario, contratista o tercero que brinde servicios al Instituto, de no cumplir con políticas de seguridad de información aprobadas, puede dar lugar a acción disciplinaria. La acción disciplinaria será la que designe la oficina de control interno disciplinario, así como de requerirse se entregará el caso al órgano competente. PARÁGRAFO. Acceso a los servicios de información: Todos los funcionarios públicos, contratistas, pasantes y terceros que brinden sus servicios al Instituto, deben tener acceso sólo a la información necesaria para el desarrollo de sus actividades. En el caso de requerirse acceso a recursos de información, por ejemplo, por un proyecto nuevo, solo las personas responsables deben autorizar el acceso a los recursos indispensables de acuerdo con el trabajo a realizar, previa justificación.

para el desarrollo de sus actividades. En el caso de requerirse acceso a recursos de información, por ejemplo, por un proyecto nuevo, solo las personas responsables deben autorizar el acceso a los recursos indispensables de acuerdo con el trabajo a realizar, previa justificación. Los funcionarios, contratistas, aspirantes/candidatos, proveedores y ciudadanos deberán autorizar al IDEAM, el tratamiento de datos personales, de acuerdo con la normativa legal vigente, de conformidad con el Reglamento (UE) 2016/679 ("GDPR") y la Ley 1581 de 2012, para el cual se regula el manejo de la información personal almacenada en las bases de datos, para tal fin la entidad deberá informar al titular sobre la autorización de tratamiento de datos personales. Todos los privilegios de acceso para el uso de los sistemas de información deben terminar inmediatamente después de que el trabajador cesa de prestar sus servicios al Instituto. El grupo de Administración y Desarrollo de Talento Humano debe notificar a la Oficina de Informática cuando un funcionario es transferido o deja el instituto o la Oficina Asesora Jurídica en caso de tratarse de un contratista. La falta de notificación de dichas transferencias o salidas, será incluida en el reporte y enviada al Grupo de Arquitectura Empresarial TI y Seguridad de la Información. También deben notificar a la Oficina de Informática cuando un funcionario o contratista es reemplazado por licencia médica, o es asignado a un proyecto especial que no requiera que el funcionario deba acceder al sistema por un periodo superior a un mes, u otras circunstancias similares. Para dar acceso a la información, se tendrá en cuenta la clasificación de la misma al interior de la Instituto, la cual deberá realizarse de acuerdo con la importancia de la información en la operación normal de la Instituto.

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a

cual deberá realizarse de acuerdo con la importancia de la información en la operación normal de la Instituto.

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a Calle 25 D No. 96 8 • 70 Bogotá D.C. Codigo postal: 110911 PBX (571) 3527160 Fax Server. 3075621 - 3527160 Opa Linea Nacional 018000110012 • Pronóstico y Afirtas (571} 3527180

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente es de todos Minambiente 0371 30 de abril 2021 Página 5 de 14 ' es para permisos ele acceso a las diferentes aplicaciones, deben ser radicadas en la plataforma con que se cuente en su respectivo momento mediante el formato formalizado para la creación de usuarios respectivamente.

Mediante el registro de eventos en los diversos recursos informáticos de la plataforma tecnológica, se efectuará un seguimiento a los accesos realizados por los usuarios a la información del Instituto, con el objeto de minimizar el riesgo de pérdida de integridad de la información. Cuando se presenten eventos que pongan en riesgo la integridad, veracidad y consistencia de la información se deberán documentar y realizar las acciones tendientes a su solución. Los accesos a la información, se deberán ofrecer mediante mecanismos que permita identificar de manera única a la persona responsable de la cuenta, siendo esta la única responsable en el evento que, mediante registro informático, se determine el uso inadecuado de la información. El instituto con base en estos registros podrá acudir a los mecanismos legales que considere pertinentes para los fines que correspondan según sea el caso.

registro informático, se determine el uso inadecuado de la información. El instituto con base en estos registros podrá acudir a los mecanismos legales que considere pertinentes para los fines que correspondan según sea el caso. Administración de usuarios (Kronos): El Administrador de Dominio debe asignar una identificación o nombre de acceso único a cada rol, funcionario o contratista dentro del IDEAM, para tener una única clave de acceso a la red, aplicaciones y servicios del instituto excepto para los dispositivos que operan en un modo independiente. Los nombres de acceso asignados por el Administrador de Dominio serán uniformes a través de todas las plataformas dentro del Instituto y la clave inicial asignada, también deberá ser la misma a través de todas las plataformas en que el individuo tenga un acceso autorizado. La contraseña de acceso debe tener una longitud no menos de 8 caracteres alfabéticos y numéricos con caracteres especiales, la frecuencia con la que los usuarios deben cambiar su contraseña y los periodos de vigencia de las mismas debe ser cada 60 días o cuando se sospeche que la clave haya sido comprometida. La clave no podrá ser reutilizada antes de seis meses. Los sistemas están programados para que la contraseña del funcionario que sea requerido, entre separadamente de la identificación de acceso y de tal forma que la contraseña no sea mostrada en la pantalla cuando se ingrese. Las rutinas de seguridad de los sistemas de computadores, estarán programadas para que se bloquee automáticamente cuando el usuario cuyo nombre de identificación, haya tenido cinco intentos de acceso sin éxito. Las suspensiones implementadas deberán ser levantadas por el Administrador de Dominio cuando se determine que el propietario del nombre de identificación, era el usuario que causó la suspensión al olvidar su clave o por otro error humano como errores de digitación y se debe consignar el detalle en la bitácora designada para tal fin.

determine que el propietario del nombre de identificación, era el usuario que causó la suspensión al olvidar su clave o por otro error humano como errores de digitación y se debe consignar el detalle en la bitácora designada para tal fin. El Administrador de Dominio podrá suspender identificaciones de acceso de las cuales se sospeche, hayan sido pasadas a través de otra persona diferente al funcionario al cual fue asignada o en cualquier evento que se vulnere la confidencialidad del sistema. El Administrador de Dominio reportará dichas suspensiones al Oficial de Seguridad. El control de acceso lógico a todos los sistemas informáticos del instituto debe realizarse por medio de códigos de identificación y contraseña únicos para cada usuario o rol. Se debe realizar el acceso a la red mediante (Identificación, Autenticación, Acceso) por ello las claves o contraseñas de acceso a los recursos informáticos, que designen los funcionarios públicos, contratistas, terceros, son responsabilidad exclusiva de cada uno de ellos y no deben ser divulgados a ninguna persona por ningún medio, en caso tal que se detecte que esta se ha expuesto se tomara la medida correctiva por parte de las áreas involucradas. Se permite la creación de roles basados en cargo a una única persona más se prohíbe tener identificaciones de usuario genéricos. Las identificaciones de usuario deben únicamente identificar individuos o roles específicos. Los sistemas de información deben tener definidos y documentados los perfiles de usuario de acuerdo con la función y cargo de los usuarios que acceden a él. El nivel de súper usuario de los sistemas debe tener un control dual, de tal forma que exista una supervisión a las actividades realizadas por el administrador del sistema.

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a

El nivel de súper usuario de los sistemas debe tener un control dual, de tal forma que exista una supervisión a las actividades realizadas por el administrador del sistema.

4r IDEAM

Bogotá, D.C Colombia - Sur Amfirica Sede c::one$ponden,,a Calle 25 D No. 96 8 • 70 Bogotá D.C. Codigo postal: 110911 PBX (571) 3527160 Fax Server. 3075621 - 3527160 Opa Linea Nacional 018000110012 • Pronóstico y Afirtas (571} 3527180

Sede Puente Atanda: C.llle 12 No428 -44 Sogotii o.e. PBX: 2681070 • www.ldeam.gov.coEl ambiente Minambiente es de todos Página 6 de 14 0371 30 de abril 2021

Toda la información del servidor de base de datos que sea sensible, crítica o valiosa debe tener controles de acceso y sometida a procesos de cifrado para garantizar que no sea inapropiada mente descubierta, modificada, borrada o no recuperable. Antes de que un nuevo sistema se desarrolle o se adquiera, los Subdirectores y demás Jefes de Oficina, en conjunto con la persona que para tal efecto defina el Jefe de la Oficina de Informática, deberán definir las especificaciones y requerimientos de seguridad necesarios. La seguridad debe ser implementada por diseñadores y desarrolladores del sistema desde el inicio del proceso de diseño del sistema hasta su conversión a un sistema de producción. Los ambientes de desarrollo de sistemas, pruebas y producción deben permanecer separados para su adecuada administración, operación, control y seguridad y en cada uno de ellos se instalarán las herramientas necesarias para su administración y operación. La implementación de esta política estará coordinada por la Oficina de Informática, con el apoyo de los servicios

adecuada administración, operación, control y seguridad y en cada uno de ellos se instalarán las herramientas necesarias para su administración y operación. La implementación de esta política estará coordinada por la Oficina de Informática, con el apoyo de los servicios externos que para tal efecto se requieran y su plazo corresponderá al del plan de trabajo que se establezca conforme a las acciones que deban programarse. ARTÍCULO 7. Política de gestión de activos: La Oficina de Informática, establecerá y divulgará los lineamientos específicos para la identificación, clasificación, valoración, rotulado y buen uso de los activos de información, con el objetivo de garantizar su protección. Dichos lineamientos se impartirán teniendo en cuenta los siguientes literales, que serán consolidados y publicados según el procedimiento publicado en el SGI. a. Inventario de Activos: Los activos del IDEAM deben ser identificados, clasificados, valorados y controlados para garantizar su uso, protección y recuperación ante desastres Por tal motivo, la Oficina de Informática, diseñará una metodología con los lineamientos necesarios para llevar el inventario de los activos de información, discriminado por procesos y dependencia, tipo, nivel de criticidad, clasificación, ubicación, responsable, custodio, y demás atributos que la entidad defina. b. Protección: Con el objetivo de establecer los controles de seguridad físicos y digitales, las dependencias que tienen la custodia de la información generada en el marco de su función se encargarán de proteger la información, así como de mantener y actualizar el inventario de activos de información relacionados con sus servicios información física o digital, software, hardware y recurso humano), bajo los parámetros que establezca la Oficina de Informática. c. Archivos de Gestión: La Secretaria General deberá implementar los controles necesarios para que

información relacionados con sus servicios información física o digital, software, hardware y recurso humano), bajo los parámetros que establezca la Oficina de Informática. c. Archivos de Gestión: La Secretaria General deberá implementar los controles necesarios para que los archivos de gestión cuenten con los mecanismos de seguridad apropiados, de acuerdo con las Tablas de Retención Documental y Tablas de Control de Acceso, con el fin de proteger y conservar la confidencialidad, integridad y disponibilidad de la información física del IDEAM d. Clasificación de la Información: La Secretaria General debe