INS - Resolución 0186 de 2019

REPUBLICA DE COLOMBIA INSTITUTO NACIONAL DE SALUD RESOLUCION NUMERO ' , 186 ( ~2 7 FEB 2019

DE 2019 "Per la cual se actualiza la Polftica de Seguridad de la Informacion en ellnstituto Nacional de Salud y se dictan otras oisposiciones" LA DIRECTORA GENERAL DEL INSTITUTO NACIONAL DE SALUD En uso de sus facultades legales contempladas en el articulo 5 del Decreto 2774 de 2012 y CON SID ERA N D 0: Que la Ley 1341 de 2009 "por la cual se definen principios y conceptos sobre la seguridad de la informacion y la orqenizecion de las tecnologias de la informacion y las comunicaciones - TlC-se crea la agencia nacional de espectro y se dictan otras disposiciones", senala en su articulo 2°, como principios orientadores y aspectos fundamentales para la prornocion de la libre competencia y el comercio electronico, 10 siguiente: la proteccion a los derechos de los usuarios de las TIC, el acceso y uso de las TIC, la garantia de los derechos de los ciudadanos y la rnasificacion del Gobierno en Linea. Que el Decreto 1078 de 2015 en el artfculo 2.2.9.1.1.1. establece como objeto "Definir los lineamientos, instrumentos y plazos de la estrategia de Gobiemo en linea para garantizar el maximo aprovechamiento de las Tecnologias de la Informacion y las Comunicaciones, con el fin de contribuir con la construccicn de un Estado abierto, mas eficiente, mas transparente y mas petticipetivo y que preste mejores servicios con la coleborecion de toda la societied". Que el Ministerio de Tecnologias de la Informacion y las Comunicaciones - MinTIC a traves de la Direccion

un Estado abierto, mas eficiente, mas transparente y mas petticipetivo y que preste mejores servicios con la coleborecion de toda la societied". Que el Ministerio de Tecnologias de la Informacion y las Comunicaciones - MinTIC a traves de la Direccion de Estandares y Arquitectura de TI y la Subdireccion de Seguridad y Privacidad de TI, dando cumplimiento a sus funciones; publico el Modelo de Seguridad y Privacidad de la Informacion (MSPI), el cual se encuentra alineado con el Marco de Referencia de Arquitectura TI y soporta transversalmente los otros componentes de la Estrategia GEL: TIC para Servicios, TIC para Gobierno Abierto y TIC para Gestion. Que el Ministerio de Tecnologia de Informacion y Comunicaciones ernitio la guia para la elaboracion de la politica de seguridad y privacidad de la Informacion el 11 de mayo de 2016, entre otros documentos, cuyo proposito es ofrecer un lineamiento de recomendaciones para la construccion e irnplernentacion de politicas de seguridad y privacidad de informacion para las entidades publlcas. como parte del Modelo de Seguridad y Privacidad de la Informacion de la estrategia de Gobierno en Linea, sequn 10 establecido en el Decreto 2573 de 2014 recopilado a traves del Decreto 1078 de 2015 y dernas disposiciones concordantes. Que mediante el Decreto 1081 de 2015 se expidio el Decreto Reglamentario Unico del Sector Presidencia de la Republica, cuyas disposiciones son aplicables aIINS. Que el Ministerio de Tecnologias de la Informacion y las Comunicaciones y el Gobierno Nacional, a traves de la Resolucion 451 del 8 de marzo de 2016 adcpto los siguientes instrumentos de la Gestion de

de la Republica, cuyas disposiciones son aplicables aIINS. Que el Ministerio de Tecnologias de la Informacion y las Comunicaciones y el Gobierno Nacional, a traves de la Resolucion 451 del 8 de marzo de 2016 adcpto los siguientes instrumentos de la Gestion de Informacion Publica: el Registro de activos de informacion, el indice de informacion clasificada y reservada, el Esquema de publicacion de informacion y el Programa de Gesti6n Documental, bajo esos parametres el Instituto Nacional de Salud mediante Resoluci6n No. 1463 del 23 de octubre de 2017 adopto la politica de seguridad de la informacion, la cual debe ser revisada y actualizada sequn nuevos lineamientos y cambios exigidos en materia de seguridad y privacidad de la informacion. Que, como consecuencia de 10 anterior, este Despacho, L ! I \· . :2 7 FEB 2018 DE 2019 HOJA No.2 RESOLUCION NUMERO "1'86 "Par la cual se actualiza la polltica de seguridad de la Informacion en ellnstitulo Naeional de Salud y se dielan alras dispasicianes" RES U E LV E: ARTicULO PRIMERO. - Objeto: EI Instituto Nacional de Salud (INS) es una entidad cientifico tecnica, generadora de conocimiento del orden Nacional adscrita al Ministerio de Salud y Proteccion Social, el Instituto pertenece al Sistema General de Seguridad Social en Salud y al Sistema Nacional de Ciencia Tecnologfa e innovacion, por 10 tanto la Direccion General entendiendo la importancia de una adecuada gestion de la informacion, se ha comprometido a garantizar la confidencialidad, disponibilidad e integridad de los activos de informacion, a traves del diserio, la implernentacion, operacion y mejora continua del

gestion de la informacion, se ha comprometido a garantizar la confidencialidad, disponibilidad e integridad de los activos de informacion, a traves del diserio, la implernentacion, operacion y mejora continua del Sistema de Seguridad de la Informacion buscando establecer un marco de confianza en el ejercicio de sus deberes con el Estado y los ciudadanos, todo enmarcado en el estricto cumplimiento de las leyes y en concordancia con la mision y vision de la Entidad, mediante un enfoque de revision y mejora continua del sistema para asegurar el cumplimiento de los objetivos institucionales. Para ellnstituto Nacional de Salud (INS) la proteccion de la informacion busca la dlsrninucion del impacto generado sobre sus actives, empleando mecanismos para identificar y mitigar riesgos de manera sistematica con objeto de mantener un nivel de exposicion que permita responder por la integridad, confidencialidad y la disponibilidad de la informacion, acorde con las necesidades de los diferentes grupos de interes identificados.

PARAGRAFO: EI Instituto Nacional de Salud, mediante la Politica de Seguridad de la Informacion da cumplimiento a los Iineamientos de la Planeacion Estrateqica de la Entidad en concordancia con su rnision, vision, objetivos estrateqicos, que establecen la funcion de Seguridad de la Informacion en la Entidad, estos ultirnos correspondientes a: a) Gestionar el riesgo de los procesos estrateqicos, misionales, de apoyo y de evaluacion de la entidad. b) Cumplir con los principios de seguridad de la informacion: Confidencialidad, Integridad y Disponibilidad . • :. CONFIDENCIALIDAD: la informacion debe ser accesible solo a aquellas personas autorizadas . • :. INTEGRIDAD: la informacion y sus metodos de procesamiento deben ser completos y exactos .

• :. CONFIDENCIALIDAD: la informacion debe ser accesible solo a aquellas personas autorizadas . • :. INTEGRIDAD: la informacion y sus metodos de procesamiento deben ser completos y exactos . • :. DISPONIBILIDAD: la informacion y los servicios deben estar disponibles cuando se requiera. c) Mantener la confianza de los funcionarios, contratistas y terceros. d) Mantener y Mejorar el Sistema de seguridad de la informacion, cumpliendo con el ciclo PHVA e) Proteger los activos de informacion. f) Establecer las pollticas, procedimientos e instructivos en materia de seguridad de la informacion. g) Fortalecer la cultura de seguridad de la informacion en los funcionarios, terceros, aprendices, practicantes y clientes del INS. h) Proteger la informacion y los activos tecnoloqicos de la lnstitucion. i) Adquirir un compromiso de concientizacion para que todos los funcionarios, contratistas y practicantes del INS utilicen de manera adecuada los activos de informacion puestos a su dlsposicion para la realizacion de las funciones y actividades. j) Dar cumplimiento a los lineamientos de la Politica de Gobierno Digital respecto a la Seguridad de la Informacion. k) Garantizar la continuidad del negocio frente a incidentes.

ARTicULO SEGUNDO. - Alcance: EI Sistema de Seguridad de la Informacion, Proteccion de Datos Personales abarca los activos de informacion , las bases de datos personales y los conte ned ores de informacion gestionados en el desarrollo de las funciones de todos los procesos definidos del Instituto Nacional de Salud (INS), as! como todo el personal, es decir; funcionarios, contratistas y proveedores 0 partes interesadas que generen, acceden 0 utilicen informacion de la Entidad, con el fin de garantizar su confidencialidad, integridad y disponibilidad en eIINS.

partes interesadas que generen, acceden 0 utilicen informacion de la Entidad, con el fin de garantizar su confidencialidad, integridad y disponibilidad en eIINS. ARTicULO TERCERO. - Nivel de Cumplimiento: Todas las personas incluidas en articulo anterior deberan cumplir la polltica de manera obligatoria, en un cien por ciento (100%), sin perjuicio de las sanciones a que haya lugar. ARTicULO CUARTO. - .Justiflcacion de Politlca General de la Seguridad de la Informacion: Para el Instituto Nacional de Salud (INS) como Autoridad Cientlfico Tecnica generadora de conocimiento, es de vital importancia salvaguardar la informacion obtenida de sus diversas actividades misionales, estrateqicas y de evaluacion, la cual es usada como herramienta para la toma de decisiones. la ernision de lineamientos, la ejecucion de actividades y la prevencion de riesgos relacionados con la satud publica, de acuerdo con nuestras funciones y competencias. en el marco del Sistema de Seguridad de la Informacion y las politicas de Estadoi2 7 FEB 2019 RESOLUCION NUMERO "l86' . DE 2019 HOJA No.3 "Par la eual se actualiza la politica de seguridad de la informaci6n en ellnstituto Nacional de Salud y se dietan otras disposiciones" Ellnstituto Nacional de Salud (INS) reconoce la seguridad de la informacion como el conjunto de controles de proteccion que permiten resguardar y proteger la informacion, basados en el Estandar de ISO/IEC 27001 Y el Modelo de Privacidad y Seguridad de la Informacion (MPSI) en 10 que se refiere a la confidencialidad, la integridad y la disponibilidad de la informacion y los datos importantes para la

27001 Y el Modelo de Privacidad y Seguridad de la Informacion (MPSI) en 10 que se refiere a la confidencialidad, la integridad y la disponibilidad de la informacion y los datos importantes para la orqanizacion, independientemente del formato que tengan, estos pueden ser: Electronico, papel, audio y vfdeo, entre otros. ARTicULO QUINTO. - Objetivos de Seguridad de la Informacion: EI Instituto Nacional de Salud (INS), establece sus objetivos del Sistema de Gestion de Seguridad de la Informacion, realizando una alineacion con la Planeacion Estrateqica de la Entidad apoyando el cumplimiento de los objetivos estrateqicos, y de esta manera, expresar la intencion articuladamente con el desernperio del resultado, el compromiso de la Direccion del INS . ./ Proteger, preservar y administrar los activos de informacion, las bases de datos personales y las tecnologfas utilizadas para su procesamiento, frente a amenazas internas 0 extern as, con el fin de asegurar la confidencialidad, la integridad y disponibilidad, de manera coordinada con las partes involucradas . ./ Aplicar un proceso de gestion de riesgos de seguridad de la informacion y bases de datos personales, mediante la ejecuclon de medidas apropiadas con el fin de identificar, analizar, evaluar, tratar y mitigar los riesgos y asf reducir el impacto potencial a niveles aceptables sobre los riesgos asociados con la perdida de la confidencialidad, de integridad y de disponibilidad . ./ Implementar, operar y revisar periodicarnente los controles establecidos en la declaracion de aplicabilidad, para la prevencion y mitiqacion de los riesgos de seguridad de la informacion . ./ Disponer de medidas para atender oportunamente eventos de seguridad de la informacion con el fin de

./ Implementar, operar y revisar periodicarnente los controles establecidos en la declaracion de aplicabilidad, para la prevencion y mitiqacion de los riesgos de seguridad de la informacion . ./ Disponer de medidas para atender oportunamente eventos de seguridad de la informacion con el fin de disminuir los impactos negativos ocasionados por los incidentes de Seguridad de la Informacion, que se puedan lIegar a presentar en la Entidad . ./ Reducir la probabilidad de violacion de la privacidad de los datos personales en la Entidad . ./ Establecer las acciones necesarias para asegurar la mejora continua del Sistema de Seguridad de la Informacion y Proteccion de Datos Personales . ./ Fortalecer la cultura de seguridad de la informacion en la Entidad, a traves de la gestion del conocimiento, las carnparias de sensibillzacion, transferencias de conocimiento, capacitaciones y las necesarias definidas en el Plan de Corrumicacion de seguridad de la informacion ARTicULO SEXTO. - Manual de Politlcas Estrateqlcas de la Seguridad de la Informacion que soportan el SGSI: Las Polfticas Estrateqicas de Seguridad de la Informacion establecidas por el Instituto Nacional de Salud (INS) son:

1. Polftica de Seguridad para el uso de dispositivos personales BYOD Dominio IControl A6.2.1

2. Polftica de Capacitacion y Sensiblllzacion en Seguridad de Informacion Dominio IControl A 7.2.2

3. Polftica de Clasificacion de la informacion Dominio IControl A.8.2

4. Polftica de Confidencialidad Dominio IControl A 7.1.2

5. Polftica de Contrasenas Dominio IControl A 7.4.2

6. Polftica de Control de acceso Dominio IControl A.9

7. Polftica de Controles Criptograficos Dominio IControl Ai 0.1.1

5. Polftica de Contrasenas Dominio IControl A 7.4.2

6. Polftica de Control de acceso Dominio IControl A.9

7. Polftica de Controles Criptograficos Dominio IControl Ai 0.1.1

8. Polftica de Copias de seguridad Dominio IControl A12.3

9. Polftica de Disponibilidad Dominio IControl A.17.2

10. Polftica de Dispositivo sobre dispositivos moviles Dominio IControl A6.2.1

11. Polftica de Eliminacion y destruccion Dominio IControl A.11.2. 7

12. Polftica de Etica Empresarial Dominio IControl A 7.1.2

13. Polltica de oestlon de Activos Dominio IControl A8

14. Polltica de Gestion de cambios Dominio IControl 12.1.2

15. Polltica de Gestlon de Incidentes e Infraestructura critica de Seguridad de Informacion Dominio IControl

A16.1

16. Polftica de Integridad Dominio IControl A12.1.6

17. Polftica de No Repudio Dominio IControl A.12.1.1

18. Polftica de Pantalla y escritorio limpios Dominio IControl A.11.2.9

19. Polftica de Registro y Auditoria Dominio IControl A18.1.3

20. Polftica de Seguridad de la informacion y objetivos

21. Polftica de Seguridad Relacion con los proveedores Dominic IControl A.15

22. Polftica de Transferencia de informacion Dominio IControl A.13.2 23.Polftica de Tratamiento de Datos Personales - Ley 1581 de 2018

24. Polftica de Uso Aceptable Dominio IControl A5.1RESOLUCION NUMERO 2 or FEB 2019

DE 2019 HOJA No.4

23.Polftica de Tratamiento de Datos Personales - Ley 1581 de 2018

24. Polftica de Uso Aceptable Dominio IControl A5.1RESOLUCION NUMERO 2 or FEB 2019

DE 2019 HOJA No.4 "Pot la cual se actualiza la po/ftica de seguridad de la informacion en ellnstituto Nacional de Sa/lid y se diclan olras disposiciones"

25. Politica de Recurso Humano Dominio /Control A. 7

26. Politica de Estructura organizacional de seguridad de la informacion{0c5(ninfo /Control A.6.1 27 Polftica para Uso de tokens de seguridad Dominio /Control A.9.4.2· .

28. Polftica de Uso de perifericos y medios de almacenamiento Dominio /Control A.8.3.1

29. Polftica de Registro de eventos y monitoreo de los recursos tecnoloqicos y los sistemas de informacion

30. Politica de Gestion y aseguramiento de las redes de datos Dominio /Control A.13.1.2.

31. Politica de Uso del correo electronico Dominio /Control A.13.2.3.

32. Polftica de Uso adecuado de internet Dominio /Control A.9.13.2.1.

33. Politica para el Establecimiento de requisitos de seguridad Dominio /Control A.5.1.1.

34. Polftica de Desarrollo seguro, reaiizacion de pruebas y soporte de los sistemas Dominio /Control

A.14.2.1

35. Politica para la Proteccion de los datos de prueba Dominio /Control A.12.1.4.

36. Politica de Privacidad y proteccion de datos personales Dominic /Control A.18.1.4

37. Polftica de Seguridad en las operaciones Dominio /Control A.12

38. Polltica de Gestion de continuidad del negocio Dominic /Control A.17.1

36. Politica de Privacidad y proteccion de datos personales Dominic /Control A.18.1.4

37. Polftica de Seguridad en las operaciones Dominio /Control A.12

38. Polltica de Gestion de continuidad del negocio Dominic /Control A.17.1

39. Polftica de Cumplimiento Dominio /Control A.18.1

40. Revision de las polfticas de Seguridad de la Informacion Dominio /Control A.18.2

41. Polftica de Seguridad Fisica y del entorno Dominio /Control A.11 42 Polftica de Seguridad de Comunicaciones Dominio /Control A.13

43. Politica de Seguridad adquisicion, desarrollo y Mantenimiento de Sistemas de Informacion Dominio /Control A. 14

Para conocer el detalle de las pollticas estrateqicas, remitirse al "Manual de Polfticas Especfficas de Seguridad de la Informacion y Datos Personales". ARTICULO SEPTIMO. - Responsables del Sistema de Seguridad de la Informacion y Proteccion de Datos personales: EI Delegado como Responsable de Seguridad de la Informacion, encargado de establecer, implementar, mantener y mejorar continuamente el Sistema de Gestion de Seguridad de la Informacion y dernas actividades derivadas para la estandarizacion de la presente Polltica, es el Jefe de la Oficina de Tecnologfas de Informacion y Comunicaciones, 0 quien haga sus veces. EI Delegado como Responsable de Proteccion de Datos Personales, encargado de implementar, mantener y mejorar continuamente, as! como apoyar y coordinar con las dernas areas dellnstituto Nacional de Salud (INS) el tratamiento de los datos personales, para asegurar una implementacion transversal del cumplimiento de la Ley 1581 de 2012 es el Jefe de la Oficina Asesora Jurldica.

(INS) el tratamiento de los datos personales, para asegurar una implementacion transversal del cumplimiento de la Ley 1581 de 2012 es el Jefe de la Oficina Asesora Jurldica. Los propietarios de la informacion, funcionarios, contratistas, practicantes, usuarios de la informacion, sin perjuicio de las funciones del Cornite Institucional de Gestion y Desernperio y la Oficina de Controllnterno, tienen la responsabilidad y obliqacion de cumplir con las pollticas, normas, procedimientos, buenas practicas y responsabilidades asignadas en el Sistema de Gestion de Seguridad de la Informacion y proteccion de datos personales. ARTicULO OCTAVO. - Responsabilidades Especificas frente a la Seguridad de la Informacion y al Sistema de Gesti6n de Seguridad de la Informaci6n y Protecci6n de datos personales:

I. OFICIAl DE SEGURIDAD DE LA INFORMACION - JEFE DE LA OFICINA DE TECNOLOGIAS DE lA INFORMACION Y LAS COMUNICACIONES a) Planear, participar y realizar actividades de Seguridad de la Informacion que involucren a todo el personal. b) Ejercer seguimiento y control del SGSI, aplicando los correctivos y ajustes necesarios para ellogro de los objetivos, informando a la alta direccion sobre el desemperio del sistema. c) Emplear la informacion, los procedimientos, el talento humano y los recursos materiales y financieros para el desarrollo de las actividades del SGSI adecuadamente. d) Establecer y realizar la revision y actualizacicn de las pollticas y los objetivos de Seguridad de la Informacion de la orqanizacion. e) Analizar los datos arrojados por el SGSI y tomar las decisiones necesarias para garantizar el mantenimiento y mejoramiento del sistema.

Informacion de la orqanizacion. e) Analizar los datos arrojados por el SGSI y tomar las decisiones necesarias para garantizar el mantenimiento y mejoramiento del sistema. f) Coordinar la realizacion de un anal isis de riesgos de seguridad de la informacion en cada uno de los Procesos del Instituto Nacional de Salud (INS), y para cada una de las actividades subcontratadas, el cual debe lIevarse a cabo como rnlnirno una vez al ario, para determinar el grado de exposicion a las amenazas relacionadas con los activos de informacion. ~/a) Coordinar las auditorfas internas para verificar el cumplimiento de las Politlcas y Procedimientos en materia de Proteccion de Datos Personales y Seguridad de la Informacion, e informar el resultado de las mismas. b) Realizar los planes de auditoria de los sistemas de Proteccion de Datos Personales, Seguridad de la Informacion. c) La Oficina de Control Interno diseriara y ejecutara los programas de auditoria de Seguridad de Informacion y Proteccion de datos con el fin de verificar el cumplimiento de las polfticas establecidas en el articulo 60, de acuerdo con sus funciones, a partir de la firma y divulqacion de este documento y realizara el seguimiento correspondiente al Sistema de Seguridad de la = ~ Informacion y Proteccion de datos. ~

~ ~'\ RESOLUCION NUMERO ~2 7 FEB 2019

DE 2019 HOJA No.5 "Par la cual se actualiza la polltica de seguridad de la informaci6n en ellnstituto Nacional de Salud y se dietan olras disposiciones" g) Definir y ejecutar los planes de entrenamiento y sensibilizacion y capacitacion para los funcionarios y partes interesadas del Instituto Nacional de Salud (INS) en 10 referente a seguridad de la informacion.

g) Definir y ejecutar los planes de entrenamiento y sensibilizacion y capacitacion para los funcionarios y partes interesadas del Instituto Nacional de Salud (INS) en 10 referente a seguridad de la informacion. h) Respetar y cumplir los principios basicos de seguridad de la informacion (Confidencialidad, Integridad y Disponibilidad). i) Identificar todos los cambios significativos de amenazas y exposicion de la informacion. j) Evaluar la adecuacion e irnplantacion de los controles de Seguridad de la Informacion. k) Evaluar la informacion de seguridad recibida a la hora de monitorear y revisar los incidentes de Seguridad de la Informacion, adernas de recomendar todas las acciones apropiadas en respuesta para identificar incidentes de Seguridad de la Informacion.

1. Aprobar las metodologfas y los procesos para seguridad de la informacion.

II. OFICIAL DE PROTECCION DE DATOS PERSONALES - JEFE DE LA OFICINA ASESORA JURiDICA a) Asesorar y constatar que los responsables de la proteccion de los datos personales realicen el trarnite a las solicitudes de los Titulares de los datos personales para el ejercicio de los derechos que se consagran en la Ley 1581 de 2012. v' b) Realizar la revision y actualizaci6n anual en conjunto con el Oficial de Seguridad de la Informacion, respecto de los riesgos jurfdicos que se identifiquen frente a la proteccion de datos personales del " INS. c) Mantener un inventario de las bases de datos personales en poder del INS y clasitlcarlas sequn : su contenido. d) Coordinar con la Oficina de Tecnologfa de Informacion y cornunicacion la actualizacion anual de las Bases de Datos en la plataforma de la Superintendencia de Industria y Comercio - SIC '

su contenido. d) Coordinar con la Oficina de Tecnologfa de Informacion y cornunicacion la actualizacion anual de las Bases de Datos en la plataforma de la Superintendencia de Industria y Comercio - SIC ' e) Realizar un Plan de Senslbilizaclon anual, en conjunto con el area de Comunicaciones en materia de Proteccion de Datos Personales para eIINS. -: f) Servir de coordinador con las dernas areas de la orqanizacion para asegurar una irnplernentacion transversal del cumplimiento de la Ley 1581 de 2012. /'

III. RESPONSABILIDADES DE LA OFICINA DE TECNOLOGIAS DE LA INFORMACION Y LAS COMUNICACIONES a) Implantar, mantener y divulgar las polfticas y procedimientos de tecnologfa, incluida esta polftica de seguridad de informacion, el uso de los servicios tecnol6gicos en toda la instituci6n de acuerdo a las mejores practices y lineamientos de la Direccion General del Instituto y directrices del Gobierno. b) Salvaguardar la informacion que reposa en los diferentes sistemas de informacion, bases de datos y aplicativos de la lnstituclon. c) Informar de los eventos que esten en contra de la seguridad de la informaci6n y de la infraestructura tecnol6gica de la I nstitucion a la Direccion General, las diferentes Direcciones y Jefaturas dellnstituto Nacional de Salud, as! como a los entes de control e investiqacion que tienen injerencia sobre la lnstitucion. d) Proporcionar medidas de seguridad ffsicas, loqicas y procedimentales para la proteccion de la informacion digital dellnstituto. e) Aplicar y hacer cumplir la Polftica de Seguridad de la Informacion y sus componentes. f) Administrar las reglas y atributos de acceso a los equipos de compute, sistemas de informacion,

informacion digital dellnstituto. e) Aplicar y hacer cumplir la Polftica de Seguridad de la Informacion y sus componentes. f) Administrar las reglas y atributos de acceso a los equipos de compute, sistemas de informacion, aplicativos y dernas fuentes de informacion al servicio del Instituto Nacional de Salud. g) Implementar los mecanismos de controles necesarios y pertinentes para verificar el cumplimiento de la presente polltica.

IV. RESPONSABILIDADES DE LA OFICINA DE CONTROL INTERNORESOLUCION NUMERO . 186 .) 'r FE8 2019

DE 2019 HOJA No.6 "Pot la cual se actualiza la politica de seguridad de la informacion en ellnstiluto Nacional de Salud y se diclan oras disposiciones"

V. RESPONSABILIDADES DEL AREA DE SOPORTE TECNOLOGICO DEL GRUPO DE GESTION ADMINISTRATIVA DE LA SECRETARIA GENERAL a) Atender las solicitudes de mantenimiento que puedan afectar la normal prestacion de los servicios; asl como gestionar su acceso de acuerdo a las solicitudes recibidas de las diferentes Direcciones, Jefaturas 0 Coordinaciones siguiendo el procedimiento establecido, y asf mismo programar e informar a todos los usuarios. b) Determinar las estrategias para el mejoramiento de la prestacion del soporte tecnoloqico y la optirnizacion de los recursos tecnolcqicos. c) Brindar el soporte necesario a los usuarios a traves del apoyo del recurso humane y los diversos canales de ayuda que se han implementado en el INS.

VII. RESPONSABILIDADES DE LOS PROPIETARIOS DE LA INFORMACION a) Son propietarios de la informacion cada uno de los directores, as! como los jefes de las oficinas donde se genera, procesa y mantiene informacion, en cualquier medio, propio del desarrollo de sus actividades.

a) Son propietarios de la informacion cada uno de los directores, as! como los jefes de las oficinas donde se genera, procesa y mantiene informacion, en cualquier medio, propio del desarrollo de sus actividades. b) Valorar y clasificar la informacion que esta bajo su adrninistracion y/o qeneracion. c) Autorizar, restringir y delimitar a los dernas usuarios de la institucion el acceso a la informacion de acuerdo a los roles y responsabilidades de los diferentes funcionarios, contratistas 0 practicantes que por sus actividades requieran acceder a consultar, crear 0 modificar parte 0 la totalidad de la informacion. d) Reportar a la Oficina Asesora Juridica las Bases de Datos en el momenta que surja una actualizacion para que se tenga actualizado el inventario de las Bases de Datos. e) Determinar los tiempos de retencion de la informacion en conjunto con el Grupo de Gestion ,/ Documental y las areas que se encarguen de su proteccion y almacenamiento de acuerdo a las politicas de la Entidad como de los entes externos y las normas vigentes. f) Determinar y evaluar de forma permanente los riesgos asociados a la informacion, asf como los controles implementados para el acceso y qestion de la adrninistracion comunicando cualquier anomalia 0 mejora tanto a los usuarios como a los custodios de la misma.

1. RESPONSABILIDADES DE LOS FUNCIONARIOS, CONTRATISTAS, PRACTICANTES Y USUARIOS DE LA INFORMACION a) Conocer, divulgar, aplicar y cumplir la Politica de Seguridad de la Informacion vigente. b) Utilizar solamente la informacion necesaria para Ilevar a cabo las funciones que Ie fueron asignadas, de acuerdo con los permisos establecidos 0 aprobados en el Manual de Funciones,

Codigo Disciplinario Unico 0 Contrato.

b) Utilizar solamente la informacion necesaria para Ilevar a cabo las funciones que Ie fueron asignadas, de acuerdo con los permisos establecidos 0 aprobados en el Manual de Funciones, Codigo Disciplinario Unico 0 Contrato. c) Manejar la Informacion del INS y rendir cuentas por el uso y proteccion de tal informacion, mientras que este bajo su custodia. Esta puede ser ffsica 0 electronics e igualmente almacenada en cualquier medio. . d) Proteger la informacion a la cual accedan y procesen, para evitar su perdida, alteracion, destruccion 0 uso indebido. e) Evitar la divulqacion no autorizada 0 el uso indebido de la informacion. f) Cumplir con todos los controles establecidos por los propietarios de la informacion y los custodios de la rnisma. g) Informar a directores, jefes de las oficinas y Supervisores sobre la violacion de estas polfticas 0 si conocen de alguna falta a alguna de elias. h) Proteger los datos almacenados en los equipos de compute y sistemas de informacion a su disposicion de la destruccion 0 alteracion intencional 0 no justificada y de la divulgaci6n no autorizada. i) Reportar los Incidentes de seguridad, eventos sospechosos y el mal uso de los recursos que identifique j) Proteger los equipos de compute y dernas dispositivos tecnoloqicos 0 tecnico cientffico asignados para el desarrollo de sus funciones 0 actividades. k) No esta permitida la conexion de equipos de compute y de comunicaciones ajenos allnstituto a la red Institucional ni el uso de dispositivos de acceso externo a Internet 0 de difuslon de senates de red que no hayan sido previamente autorizadas por la Oficina de Tecnologfas de la Informacion y las Comunicaciones.

red Institucional ni el uso de dispositivos de acceso externo a Internet 0 de difuslon de senates de red que no hayan sido previamente autorizadas por la Oficina de Tecnologfas de la Informacion y las Comunicaciones.

1. Usar software autorizado que haya side adquirido legalmente por la lnstitucion. No esta permitido l