IDEAM - Resolución 063 de 2025

1

INSTITUTO DE HIDROLOGÍA METEOROLOGÍA Y ESTUDIOS AMBIENTALES – IDEAM RESOLUCIÓN No. 063 del 22 de enero de 2025 “Por la cual se actualiza la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios del IDEAM, se definen los lineamientos frente al uso y manejo de la información y se deroga la Resolución No. 0371 de fecha 30 de abril de 2021”

LA DIRECTORA GENERAL DEL INSTITUTO DE HIDROLOGÍA, METEOROLOGÍA Y ESTUDIOS AMBIENTALES – IDEAMEn ejercicio de sus facultades legales y en especial las conferidas en el artículo 4 de la Ley 87 de 1993, el artículo 5 del Decreto 291 de 2004, el artículo 2.2.2.2 del Decreto 1083 de 2015, y C O N S I D E R A N D O: Que la Constitución Política de Colombia en su artículo 15 consagra que todas las personas tienen derecho a su intimidad personal, familiar y a su buen nombre, debiendo el Estado respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. Que el artículo 17 de la Ley Estatutaria 1581 de 2012, “Régimen General de Protección de Datos Personales”, consagró la necesidad de garantizar de forma integral la protección y el ejercicio del derecho fundamental de Habeas Data y estableció dentro de los deberes de los responsables del tratamiento de datos personales, desarrollar políticas para este derecho. Que la Ley 1712 de 2014, sobre transparencia y derecho de acceso a la información pública

ejercicio del derecho fundamental de Habeas Data y estableció dentro de los deberes de los responsables del tratamiento de datos personales, desarrollar políticas para este derecho. Que la Ley 1712 de 2014, sobre transparencia y derecho de acceso a la información pública nacional, adiciona nuevos principios, conceptos y procedimientos para el ejercicio y garantía del referido derecho; junto con lo dispuesto en el Libro 2. Parte VIII, Título IV "Gestión de la Información Clasificada y Reservada” del Decreto 1080 de 2015, “por medio del cual se expide el Decreto Reglamentario Único del Sector Cultura”, el cual establece las directrices para la calificación de información pública, en el mismo sentido, el Título V de la misma Parte y Libro, establecen los instrumentos de la gestión de información pública (1) Registro de Activos de Información; (2) Índice de Información Clasificada y Reservada; (3) Esquema de Publicación de Información; (4) Programa de Gestión Documental. Que el artículo 2.2.9.1.2.1 del Decreto 1078 de 2015, fue subrogado por el artículo 1 del Decreto 767 de 2022, quedando así : “La Política de Gobierno Digital se desarrollará a través de un esquema que articula los elementos que la componen, a saber: gobernanza, innovación pública digital, habilitadores, líneas de acción, e iniciativas dinamizadoras, con el fin de lograr su objetivo…”. Que el artículo 2.2.22.2.1 del Decreto 1083 de 2015, establece las políticas de Gestión y Desempeño Institucional, que comprenderán, entre otras, las de “11. Gobierno Digital, antes Gobierno en Línea” y “12. Seguridad Digital”.

Desempeño Institucional, que comprenderán, entre otras, las de “11. Gobierno Digital, antes Gobierno en Línea” y “12. Seguridad Digital”. Que el IDEAM adoptó su política se seguridad y privacidad de la información mediante la Resolución 0390 de fecha 15 de marzo de 2016, “ Por la cual expidió la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios del IDEAM, se definen los lineamientos frente al uso y manejo de la información”, derogada mediante Resolución 0371 de fecha 30 de abril de 2021. Que la Resolución No. 0371 de fecha 30 de abril de 2021, actualizó la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios del IDEAM, y definió los lineamientos frente al uso y manejo de la información derogando la Resolución 0390 de fecha 15 de marzo de 2016.2

Que en el Artículo 2 de la misma Resolución, establece que la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios el IDEAM, aplica a todos los niveles funcionales y organizac ionales del IDEAM, a todos sus funcionarios, contratistas, proveedores, operadores, así como aquellas personas o terceros que en cumplimiento de sus funciones y la s del Instituto, utilicen, generen, procesen, recolecten, consulten, compartan e intercambien su información, así como a las entidades de control, y demás entidades relacionadas que accedan, ya sea interna o externamente a cualquier activo de información, independientemente de su ubicación, Así mismo, esta política aplica a toda la información creada, procesada o util izada por el IDEAM en el marco de la operación por

demás entidades relacionadas que accedan, ya sea interna o externamente a cualquier activo de información, independientemente de su ubicación, Así mismo, esta política aplica a toda la información creada, procesada o util izada por el IDEAM en el marco de la operación por procesos y en cumplimiento de sus objetivos institucionales, sin importar el medio, formato, presentación o lugar en el cual se encuentre. Por lo tanto, y de conformidad con la necesidad expuesta y puesta en consideración del Comité de Gestión y Desempeño Institucional No. 05, llevado a cabo el 29 de Noviembre de 2024, se aprobó la actualización de la “ Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios del IDEAM”, ajustada a los cambios estipulados en la Política de Gobierno Digital y Seguridad Digital. En virtud de lo anterior, es necesario actualizar mediante acto administrativo la adopción y aprobación de La Política General de Seguridad y Privacidad de la Información Seguridad Digital y Continuidad de los servicios, así como definir los lineamientos frente al uso y manejo de la información. Que, en mérito de lo expuesto,

RESUELVE:

CAPITULO I

DISPOSICIONES GENERALES

ARTÍCULO 1. Objeto: La presente Resolución tiene como objetivo actualizar la Política General de Seguridad y Privacidad de la Información Seguridad Digital y Continuidad de la Operación de los Servicios en el Instituto de Hidrología, Meteorología, y Estudios Ambientales – IDEAM. ARTÍCULO 2. Ámbito de Aplicación: La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios el IDEAM, aplica

ARTÍCULO 2. Ámbito de Aplicación: La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios el IDEAM, aplica a todos los niveles funcionales y organizac ionales del IDEAM, a todos sus funcionarios, contratistas, proveedores, operadores, así como aquellas personas o terceros que en cumplimiento de sus funciones y las del Instituto, utilicen, generen, procesen, recolecten, consulten, compartan e intercambien su información, así como a las entidades de control, y demás entidades relacionadas que accedan, ya sea interna o externamente a cualquier activo de información, independientemente de su ubicación, Así mismo, esta política aplica a toda la información creada, procesada o utilizada por el IDEAM en el marco de la operación por procesos y en cumplimiento de sus objetivos institucionales, sin importar el medio, formato, presentación o lugar en el cual se encuentre. ARTÍCULO 3. Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios del Instituto de Hidrología, Meteorología, y Estudios Ambientales – IDEAM. El IDEAM mediante la adopción e implementación del Modelo de Seguridad y Privacidad de la Información enmarcado en el Sistema de Gestión de Seguridad y Privacidad de la información, tiene como propósito principal asegurar la confidencialidad, integridad, disponibi lidad, no repudio y autenticidad de la información, con el desarrollo de buenas prácticas que permitan a la entidad gestionar de forma integral riesgos de seguridad y privacidad de la información y seguridad digital, para la prevención de incidentes que puedan comprometer o generar perjuicios severos al IDEAM. Es así que, se debe dar un enfoque de mejora continua para dar cumplimiento a los requisitos

integral riesgos de seguridad y privacidad de la información y seguridad digital, para la prevención de incidentes que puedan comprometer o generar perjuicios severos al IDEAM. Es así que, se debe dar un enfoque de mejora continua para dar cumplimiento a los requisitos legales, reglamentarios, regulatorios y demás normas técnicas colombianas. ARTÍCULO 4. Objetivo general. Establecer los lineamientos definidos por la Alta Dirección del Instituto de Hidrología, Meteorología y Estudios Ambientales - IDEAM para la seguridad de la información, teniendo en cuenta el Modelo de Seguridad y Privacidad de la Información, las3

políticas de Seguridad Digital y Gobierno Digital y demás requisitos de ley y las necesidades de las partes interesadas.

ARTÍCULO 5. Objetivos Específicos. La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios tendrá los siguientes objetivos:

1. Fortalecer la cultura de seguridad de la información en los funcionarios, terceros, aprendices, practicantes y clientes del Instituto de Hidrología, Meteorología y Estudios

Ambientales – IDEAM.

2. Establecer las políticas, procedimientos e instructivos en materia de seguridad de la información.

3. Minimizar el riesgo de todos los procesos de la entidad.

4. Mejorar continuamente el sistema de gestión de seguridad de la información.

5. Implementar los controles tecnológicos necesarios para la protección de los activos de la entidad y para la reducción de los riesgos.

6. Propender por garantizar los principios de confidencialidad, integridad, disponibilidad de la información en los procesos y servicios tecnológicos de la entidad.

ARTÍCULO 6. Política General de Seguridad y Privacidad de la Información. Como parte

6. Propender por garantizar los principios de confidencialidad, integridad, disponibilidad de la información en los procesos y servicios tecnológicos de la entidad.

ARTÍCULO 6. Política General de Seguridad y Privacidad de la Información. Como parte integral de la implementación del Sistema de Gestión de Seguridad de la Información, el Instituto de Hidrología, Meteorología y Estudios Ambientales - IDEAM recibe, genera y transforma información de gran importancia para el país. Por esta razón, la entidad está comprometida con la gestión de ésta, de tal manera que tenga la protección necesaria y se evite cualquier falta a la confidencialidad, integridad o disponibilidad, pilares en la seguridad de la información. El Instituto de Hidrología, Meteorología y Estudios Ambientales - IDEAM, para asegurar su dirección estratégica, establece la política de seguridad y privacidad de la información bajo las siguientes premisas:

1. Implementar mecanismos y procedimientos para mitigar los riesgos asociados a la gestión de la información en los procesos que soportan la operación del negocio.

2. Proteger la información generada, almacenada, procesada, transmitida y/o resguardada por los procesos y procedimientos en el cumplimiento de sus funciones, y de los activos de información que hacen parte de estos, con el fin de minimizar impactos negativos a el Instituto; para ello, es fundamental la aplicación de controles de acuerdo con la clasificación de la información de su propiedad y/o en custodia

3. Cumplir con los principios de seguridad de la información.

4. Mantener la confianza de los funcionarios, contratistas y terceros.

5. Implementar el sistema de gestión de seguridad de la información.

6. Proteger los activos de información.

7. Establecer las políticas, procedimientos e instructivos en materia de seguridad de la información.

5. Implementar el sistema de gestión de seguridad de la información.

6. Proteger los activos de información.

7. Establecer las políticas, procedimientos e instructivos en materia de seguridad de la información.

8. Proteger la información de las amenazas internas y/o externas por parte del personal custodio, responsable, usuario de esta y/o personal ajeno a la información de la entidad.

9. Fortalecer la cultura de seguridad de la información en los funcionarios, terceros, contratistas, practicantes y clientes del IDEAM.4

CAPÍTULO II

POLÍTICAS ESPECÍFICAS DE MANEJO DE INFORMACIÓN

ARTÍCULO 7. Políticas complementarias de seguridad de la información . El IDEAM , establece a continuación, los siguientes lineamientos de seguridad de la información, los cuales deberán ser cumplidos por todos los funcionarios, contratistas, terceros, usuarios y visitantes. Los lineamientos de seguridad están clasificados en diferentes temáticas, teniendo en cuenta el contexto interno y externo de la entidad.

1. POLÍTICAS DE SEGURIDAD DE LA INFORMACIÓN EN GESTIÓN DE PROYECTOS.

1.1 Todas las áreas del IDEAM deberán Identificar y gestionar riesgos de seguridad a lo largo del ciclo de vida del proyecto. 1.2 Realizar una evaluación de riesgos de seguridad de la información en la fase de planificación de cada proyecto. 1.3 Establecer controles técnicos y administrativos adecuados para mitigar los riesgos identificados. 1.4 Realizar auditorías periódicas de los proyectos para evaluar el cumplimiento de esta política.

2. POLÍTICAS DE SEGURIDAD DE LOS RECURSOS HUMANOS

2.1 Durante el proceso de selección de personal de planta o contratistas, se realizará verificación de antecedentes disciplinarios de los candidatos sin importar el cargo

esta política.

2. POLÍTICAS DE SEGURIDAD DE LOS RECURSOS HUMANOS

2.1 Durante el proceso de selección de personal de planta o contratistas, se realizará verificación de antecedentes disciplinarios de los candidatos sin importar el cargo o posición al cual se postulen. 2.2 Realizar la verificación del personal durante los procesos de vinculación, contratación y/o aspiración de alguna función dentro de la entidad, mediante la definición de mecanismos que permitan verificar aspectos legales, judiciales, fiscales, laborales y d isciplinarios de acuerdo con la normativa legal vigente y ética pertinente, dicha documentación deberá anexarse en las historias laborales o expedientes contractuales según sea el caso. 2.3 La entidad deberá incluir dentro de los programas de inducción y/o reinducción, sesiones de capacitación y sensibilización del sistema de gestión de Seguridad de la Información para los funcionarios y contratistas. 2.4 Todo el personal que labore en la entidad o preste servicios a la misma deberá firmar un acuerdo de confidencialidad especifico o contenido dentro del clausulado contractual, según el tipo de vinculación y un documento o condición de conocimiento y aceptación de las políticas definidas para el sistema de seguridad de la información y buen uso de los activos de información. Mediante el cual se compromete a realizar un adecuado uso de estos.

3. POLÍTICAS DE GESTIÓN DE ACTIVOS

3.1 Toda información sea física o digital generada, almacenada o transformada por los funcionarios, contratistas o proveedores de la entidad, utilizando los recursos dispuestos por la entidad para tal fin o en desempeño de sus labores o servicio contratado, son activos de información propiedad del IDEAM.

los funcionarios, contratistas o proveedores de la entidad, utilizando los recursos dispuestos por la entidad para tal fin o en desempeño de sus labores o servicio contratado, son activos de información propiedad del IDEAM. 3.2 Los activos dispuestos por el IDEAM, para el apoyo de las labores desempeñadas por los funcionarios, contratistas o proveedores, únicamente se permitirá su utilización para ejecución de tareas establecidas en el ámbito laboral o contractual del IDEAM. 3.3 La Oficina de Informática identificar á, clasificará y gestionará su inventario de activos conforme a los manuales y procedimientos de Gestión de Activos formalizados. 3.4 Los activos de información serán tratados de acuerdo con su nivel de clasificación indicado por los propietarios de los activos de información. 3.5 Cuando sea requerido y con la debida autorización y aprobación del responsable del activo se debe generar un requerimiento de borrado seguro de información, a través de los canales autorizados por la entidad. 3.6 En el momento de un cambio funcional o de empleo, retiro y/o terminación de otros tipos de vinculación, deben realizar la entrega de su puesto de trabajo al líder inmediato o a quien este delegue; así mismo, deben encontrarse a paz y salvo con la entrega de los recursos tecnológicos y otros activos de información suministrados durante su permanencia en la entidad.5

3.7 Los activos de información contenido s en el inventario son propiedad de cada líder de proceso, por lo cual deben protegerlos aplicando los controles necesarios para mantener la confidencialidad, integridad, disponibilidad y privacidad de la información. 3.8 La Oficina de Informática clasifica los activos de información de acuerdo con su probabilidad e impacto de p érdida, modificación o daño en su confidencialidad,

para mantener la confidencialidad, integridad, disponibilidad y privacidad de la información. 3.8 La Oficina de Informática clasifica los activos de información de acuerdo con su probabilidad e impacto de p érdida, modificación o daño en su confidencialidad, integridad y disponibilidad.

4. POLÍTICAS DE CONTROL DE ACCESO LÓGICO

4.1 Para la protección de los activos de información, se establecerán procedimientos y políticas para el control de acceso a la red, sistemas de información e infraestructura física (Instalaciones), con el fin de mitigar los riesgos asociados al acceso no autorizado a la información. 4.2 Todos los usuarios deberán asumir la responsabilidad sobre la información física o digital que accedan y procesan , dando un uso adecuado con el fin de salvaguardar la confidencialidad, integridad y disponibilidad de la información. 4.3 El acceso a la Información, sistemas de información y/o aplicaciones de la entidad, por parte de los funcionarios, contratistas o terceras partes vinculadas al IDEAM debe darse bajo el principio del mínimo privilegio; quiere decir que cada usuario sólo debe tener acceso a lo que necesita conocer de acuerdo con sus actividades y rol dentro de la entidad. 4.4 Todas las solicitudes de acceso (creación, modificación, bloqueo, inactivación y/o eliminación) a los servicios de red, aplicaciones, información; deben ser solicitadas por el Director, Subdirector, Jefe de Oficina, Coordinador y Supervisor de acuerdo con las funciones u obligaciones de los funcionarios por medio del canal dispuesto por la Oficina de Informática. 4.5 Se debe contar con autenticación (preferiblemente doble o triple factor) para acceso a los servicios tecnológicos, sistemas de información e infraestructura de la entidad.

canal dispuesto por la Oficina de Informática. 4.5 Se debe contar con autenticación (preferiblemente doble o triple factor) para acceso a los servicios tecnológicos, sistemas de información e infraestructura de la entidad. 4.6 Los accesos lógicos asignados a los funcionarios serán desactivados una vez terminada su vinculación contractual o laboral con la entidad, por lo que el líder inmediato es el responsable de reportar oportunamente cualquier novedad. 4.7 Se debe suspender el acceso lógico a los sistemas de información, infraestructura y servicios tecnológicos a los funcionarios que no se encuentren en servicio activo por diferentes causas y por un periodo superior a tres (3) días hábiles, esta novedad debe ser reportada oportunamente por el líder inmediato. 4.8 Todas las partes interesadas deberán conocer los lineamientos y aplicar los controles establecidos con el fin de evitar accesos no autorizados, pérdidas y/o utilización indebida de los activos de información. 4.9 La asignación de privilegios especiales debe ser revisado y autorizado por el líder directo del funcionario, contratista o tercera parte vinculada y deberá quedar registrado todo el proceso de solicitud y autorización en la herramienta de gestión. 4.10 Todos los usuarios privilegiados deberán tener habilitado el log de acceso y transacciones en todos los sistemas de información, dispositivos de red, comunicaciones, dispositivos de seguridad y/o cualquier recurso o servicio tecnológico que sea accedido. 4.11 Garantizar que todas las contraseñas de los usuarios y/o sistemas de información conocidas por el usuario privilegiado sean actualizadas inmediatamente después del retiro y/o movimiento de área del funcionario, contratista o terceras partes vinculadas al IDEAM, proveedores y terceros.

5. POLÍTICA DE CRIPTOGRAFÍA

conocidas por el usuario privilegiado sean actualizadas inmediatamente después del retiro y/o movimiento de área del funcionario, contratista o terceras partes vinculadas al IDEAM, proveedores y terceros.

5. POLÍTICA DE CRIPTOGRAFÍA

5.1 El IDEAM implementará herramientas de cifrado, con el fin de proteger la confidencialidad e integridad de la información. Así mismo, la Oficina de Informática determinará los equipos a los cuales se les deberán instalar controles criptográficos adicionales cuando así se requiera. 5.2 Los métodos de cifrado de información serán aplicables para los siguientes casos: a). Protección de contraseñas de acceso a servicios de información, administración de plataforma de TI entre otros. b). Transferencia de información digital de carácter clasificada o reservada. c). Procesos de generación y transporte de copias de seguridad. d). Conexión y disposición de canales de comunicación con otras entidades públicas y/o privadas.6

5.3 La entidad deberá usar e implementar controles criptográficos para proteger la confidencialidad, autenticidad o integridad de la información clasificada de la entidad, al momento de almacenarse o transmitirse. 5.4 Proporcionar los mecanismos de cifrado necesarios para asegurar que la transmisión de información clasificada de forma interna o externa se realice de forma segura. 5.5 La información confidencial y sensible debe almacenarse en repositorios cifrados de acuerdo con sus niveles de confidencialidad e integridad. 5.6 Se debe disponer de los mecanismos de cifrado para el aseguramiento de las conexiones de acceso remoto a la red de la entidad, o recursos de la entidad. 5.7 Todas las llaves criptográficas de la entidad deben estar resguardadas por los

5.6 Se debe disponer de los mecanismos de cifrado para el aseguramiento de las conexiones de acceso remoto a la red de la entidad, o recursos de la entidad. 5.7 Todas las llaves criptográficas de la entidad deben estar resguardadas por los responsables y custodios protegiendo su confidencialidad, integridad y disponibilidad. 5.8 Las llaves criptográficas serán deshabilitadas por el área de Tecnología o quien haga sus veces, cuando estas se encuentren en riesgo de divulgación o cuando los colaboradores de la entidad, autorizados culminen la relación laboral o contractual con la entidad.

6. POLÍTICAS DE SEGURIDAD FÍSICA Y DEL ENTORNO

6.1 El IDEAM adoptará medidas para el control de acceso físico a las instalaciones y áreas seguras con el fin de mitigar los riesgos asociados a la afectación de la confidencialidad, disponibilidad e integridad de la información. 6.2 El IDEAM definirá áreas seguras y los controles de acceso físico correspondientes para la protección de la información que allí se resguarda. 6.3 Todas las personas que ingresen a las instalaciones del IDEAM deben cumplir con los lineamientos establecidos para el control de acceso físico sin excepción.

7. POLÍTICAS DE SEGURIDAD EN LAS OPERACIONES

7.1 Con el fin de asegurar las operaciones realizadas en los recursos tecnológicos que soportan la operación del negocio , el IDEAM planea, gestiona, respalda y monitorea la infraestructura tecnológica siguiendo los lineamientos establecidos en los procedimientos establecidos para el SGSI. 7.2 Supervisar continuamente el consumo, demanda y comportamiento de los recursos tecnológicos asignados, con el fin de realizar, y gestionar oportunamente

en los procedimientos establecidos para el SGSI. 7.2 Supervisar continuamente el consumo, demanda y comportamiento de los recursos tecnológicos asignados, con el fin de realizar, y gestionar oportunamente los cambios y/o ajustes que se requieran, y proyectar las futuras necesidades de capacidad. 7.3 Se deben designar los responsables encargados de realizar la gestión de capacidad de los componentes tecnológicos. 7.4 Implementar controles para la detección, prevención y recuperación contra códigos maliciosos. 7.5 Instalar, controlar y mantener actualizada en todos los equipos de cómputo y servidores de la entidad, una herramienta de antivirus, que permita la gestión centralizada de las amenazas, eventos, estados de los equipos, entre otros.

8. POLÍTICAS DE SEGURIDAD DE LAS COMUNICACIONES

8.1 El IDEAM definirá procedimientos y lineamientos para la transferencia segura de información interna o externamente, de tal forma que se garantice la integridad y confidencialidad de la información. 8.2 La Oficina de Informática, establecerá los controles para acceso lógico y protección de las redes del IDEAM, con el fin de asegurar y cumplir con los acuerdos de niveles de servicios que sean establecidos para los servicios de red.

9. POLÍTICAS DE ADQUISICIÓN, DESARROLLO Y MANTENIMIENTO DE SISTEMAS

9.1 La Oficina de Informática, velar á que los sistemas de información que sean implementados en la entidad cumplan con los requerimientos de seguridad y buenas prácticas. 9.2 Todos los procesos de la entidad que realicen desarrollos deberán cumplir con los procedimientos y metodologías de desarrollo establecidos y formalizados para poder liberar sus aplicaciones.7

buenas prácticas. 9.2 Todos los procesos de la entidad que realicen desarrollos deberán cumplir con los procedimientos y metodologías de desarrollo establecidos y formalizados para poder liberar sus aplicaciones.7

9.3 Todos los procesos de la entidad deberán informar a la Oficina de Informática sobre sus proyectos de adquisición de sistemas de información, con el fin de brindar las observaciones correspondientes y revisar los aspectos técnicos necesarios para su desarrollo e implementación. 9.4 La solicitud de nuevos desarrollos de software o modificaciones al software existente se realizará por los dueños de procesos o líderes de oficina de manera formal y de acuerdo con lo establecido en los procedimientos del IDEAM. 9.5 El software adquirido y desarrollado tanto al interior de la entidad, como por terceras partes, debe cumplir con los requisitos de seguridad y calidad establecidos por la entidad. 9.6 La Oficina de Informática establecerá un ambiente de desarrollo seguro durante la ejecución de los proyectos, arquitecturas, software o sistemas, estableciendo metodologías que incluyan requisitos de seguridad en cada una de las fases de los proyectos, acuerdos de soporte, niveles de servicio a terceros, y separación física y virtual de todos los ambientes (producción, preproducción, pruebas, desarrollo, entre otros), a través de técnicas de desarrollo seguras. 9.7 La Oficina de Informática apoyará en la definición de requerimientos de seguridad de los sistemas de información, teniendo en cuenta aspectos como la estandarización de herramientas de desarrollo, controles de autenticación, controles de acceso y arquitectura de aplicaciones, entre otros. 9.8 Los responsables (propietarios y custodios) de los sistemas de información deben gestionar la inclusión de los requisitos de seguridad en todas las fases del ciclo

controles de acceso y arquitectura de aplicaciones, entre otros. 9.8 Los responsables (propietarios y custodios) de los sistemas de información deben gestionar la inclusión de los requisitos de seguridad en todas las fases del ciclo de vida de desarrollo. 9.9 Toda aplicación desarrollada deberá contar con un módulo de seguridad RECAPTCHA en el formulario de autenticación de usuarios, para evitar que un robot ejecute peticiones de manera automática; y/o ataques de fuerza bruta. 9.10 Deben utilizarse mecanismos de transferencia de datos de forma segura bajo protocolos HTTPS, SFTP, FTPS, SSL/TLS, entre otros, con el fin que no se transmita información en texto plano, y que a su vez utilicen algoritmos de cifrado fuertes o reconocidos como seguros. 9.11 El software adquirido y desarrollado tanto al interior de la entidad, como por terceras partes deberá tener un control de versiones del código fuente y documentación, ello con el objeto de verificar el funcionamiento del software y el respectivo control de su ciclo de vida, en el repositorio especializado para este tipo de información definido por la Oficina de Informática.

10. POLÍTICAS DE RELACIONES CON LOS PROVEEDORES

10.1 El IDEAM establecerá políticas y requisitos de seguridad de la información para mitigar los riesgos asociados a cada proceso de contratación. 10.2 Antes de Iniciar la ejecución de contratos con terceras partes, deberán suscribirse los respectivos acuerdos de confidencialidad que incluyan las cláusulas de confidencialidad y los aspectos de seguridad de la información necesarios durante y después del contrato. 10.3 Guardar la confidencialidad respecto del tratamiento de los datos personales privados y sensibles contenidos en el intercambio de información de acuerdo con

confidencialidad y los aspectos de seguridad de la información necesarios durante y después del contrato. 10.3 Guardar la confidencialidad respecto del tratamiento de los datos personales privados y sensibles contenidos en el intercambio de información de acuerdo con lo exigido por la ley 1581 de 2012, su decreto reglamentario y las políticas de protección de datos personal