INS - Resolución 1457 de 2025

REPUBLICA DE COLOMBIA

ts Hera, Orde INSTITUTO NACIONAL DE SALUD RESOLUCIÓN NUMERO. 1457 DE 2025 ( 0 4 DIC 2025 ) “Por la cual se actualiza la Politica de seguridad y privacidad de la informacion, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” LA DIRECTORA GENERAL DEL INSTITUTO NACIONAL DE SALUD En ejercicio de sus facultades legales contempladas en los numerales 23, 29 y 35 del artículo 5 del Decreto 2774 del 2012 y, CONSIDERANDO Que el artículo 15 de la Constitución Política, establece el fundamento principal de la seguridad y privacidad de la información digital consagrando el derecho fundamental al Habeas Data, según el cual (..) “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas”. Que la Ley 527 de 1999 (..) “Por medio de la cual se define y reglamenta el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, y se establecen las entidades de certificación y se dictan otras disposiciones”. Que el Decreto 1078 de 2015 Único Reglamentario del sector de Tecnologías de la Información y las Comunicaciones, dispone en el artículo 2.2.9.1.2.1 que la Politica de

Que el Decreto 1078 de 2015 Único Reglamentario del sector de Tecnologías de la Información y las Comunicaciones, dispone en el artículo 2.2.9.1.2.1 que la Politica de Gobierno Digital será definida por el MinTIC y se desarrollará a través de componentes y habilitadores transversales que, acompañados de lineamientos y estándares, permitirán el logro de propósitos que generarán valor público en un entorno de confianza digital a partir del aprovechamiento de las TIC. Que el artículo 2.2.9.1.2.1 del Decreto 1078 de 2015, dispone que los habilitadores transversales de la Política de Gobierno Digital, corresponde a las capacidades que les permitan ejecutar las Lineas de Acción de la Política de Gobierno Digital y están compuestos por Arquitectura, Cultura y Apropiación, Seguridad y privacidad de la Información y Servicios Ciudadanos Digitales. Que el Título 9, Políticas y Lineamientos de Tecnologías de la Información, Capítulo 1 del Decreto 1078 de 2015, Subrogado por el artículo 1 del Decreto 767 de 2022, Política de Gobierno Digital, artículo 2.2.9.1.1.2. establece que “Los sujetos obligados a las disposiciones: contenidas en el presente capitulo serán las entidades que conforman la administración pública en los términos del artículo 39 de la Ley 489 de 1998 (...)”.RESOLUCION NUMERO 1457 DE 04 Dic WA HOJA No 2 “Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de

“Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, :y se deroga la Resolución 0839 de 2025” Que el Decreto 767 de 2022 "Por el cual se establecen los lineamientos generales de la Política de Gobierno Digital y se subroga el Capítulo 1 del Título 9 de la Parte 2 del Libro 2 del Decreto 1078 de 2015, Único Reglamentario del sector de Tecnologías de la Información y las Comunicaciones” dispone al tenor del numeral 3.2 del artículo 2.2.9.1.2.1. que el habilitador transversal de la Política de Gobierno Digital, Seguridad y Privacidad de la Información “(...) busca que los sujetos obligados desarrollen capacidades a través de la implementación de los lineamientos de seguridad y privacidad de la información en todos sus procesos, trámites, servicios, sistemas de información, infraestructura y en general, en todos los activos de información, con el fin de preservar la confidencialidad, integridad, disponibilidad y privacidad de los datos.”. Que para desarrollar el habilitador transversal de “Seguridad y Privacidad de la Información” el MINTIC expidió la Resolución 00500 de 2021 que establece los lineamientos generales para la implementación del Modelo de Seguridad y Privacidad de la Información - MSPI, la guía de gestión de riesgos de seguridad de la información y el procedimiento para la gestión de los incidentes de seguridad digital, y, establece los lineamientos y estándares para la estrategia de seguridad digital, a los sujetos obligados

la Información - MSPI, la guía de gestión de riesgos de seguridad de la información y el procedimiento para la gestión de los incidentes de seguridad digital, y, establece los lineamientos y estándares para la estrategia de seguridad digital, a los sujetos obligados señalados en el artículo 2.2.9.1.1.2. del Decreto 1078 de 2015. Que el artículo 5 de la norma en cita, establece que los sujetos obligados deben adoptar la estrategia de seguridad digital en la que se integren los principios, políticas, procedimientos, guías, manuales, formatos y lineamientos para la gestión de la seguridad de la información digital. Dicha estrategia debe incluir en el Plan de Seguridad y Privacidad de la Información que se integra al Plan de Acción en los términos artículo 2.2.22.3.14. del capitulo 3 del Titulo 22 de la Parte 2 del Libro 2 del Decreto 1083 de 2015, Único Reglamentario del Sector de Función Pública, o la norma que la modifique, adicione, subrogue o derogue; como el Modelo de Seguridad y Privacidad de la Información — MSP! señalado en el Anexo 1 de la misma resolución, como habilitador de la política de Gobierno Digital, actualizado con la resolución 02277 de 2025. Que la Resolución 746 de 2022 del MinTIC, establece lineamientos adicionales a los establecidos en la Resolución número 500 de 2021, fortaleciendo el Modelo de Seguridad y Privacidad de la Información en los términos de adoptar medidas, al momento de adquirir productos y servicios de Seguridad Digital operados en entornos de nube, que garanticen el cumplimiento de lo dispuesto en la Ley Estatutaria 1581 de

Seguridad y Privacidad de la Información en los términos de adoptar medidas, al momento de adquirir productos y servicios de Seguridad Digital operados en entornos de nube, que garanticen el cumplimiento de lo dispuesto en la Ley Estatutaria 1581 de 2012 y sus normas reglamentarias, en particular las relativas a la transferencia internacional de datos personales, así como la gestión de la seguridad de la información para las relaciones con los proveedores, determinando e implementando los controles para mitigar los riesgos asociados a la adquisición de productos y servicios de seguridad digital.RESOLUCIÓN NÚMERO 1451 DE HOJA No 3 "0 4 DIC airy “Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” Que mediante Resolución 0661 de 2021 el INS actualizó la operación del Sistema de Gestión de Calidad y su articulación con los demás sistemas implementados acorde al alcance definido en el MNL-D02.0000-001 Manual del SIG incluida la NTC-ISOAEC 27001 de seguridad de la información. Que, mediante Resolución.0839 de 2025 el INS actualizó la Política de Seguridad y Privacidad de la Informaciórl? Sin embargo, la Oficina de Tecnologías de Información y Comunicaciones - OTIC, en el marco de la evaluación de dicha política y la evolución del marco normativo recomendó articularla teniendo en cuenta la actualización a la versión 2022 de la NTC-ISO/IEC 27001 base para la implementación del SGSPI, incluyendo

marco normativo recomendó articularla teniendo en cuenta la actualización a la versión 2022 de la NTC-ISO/IEC 27001 base para la implementación del SGSPI, incluyendo buenas prácticas de seguridad digital para el manejo de los sistemas y tecnologías de información en la entidad, medidas de seguridad y privacidad efectivas para garantizar la integridad, confidencialidad, privacidad y disponibilidad de la información, lo que permite prevenir y gestionar riesgos asociados al uso del ciberespacio, la inteligencia artificial y de las herramientas tecnológicas en el cumplimiento de los objetivos de la entidad. Por tanto, y de conformidad con la necesidad expuesta, en sesión extraordinaria del noviembre 13 de 2025 fue puesta en consideración del Comité Institucional de Gestión y Desempeño la actualización de la Política de Seguridad y Privacidad de la información y Seguridad Digital, como uno de los elementos habilitadores de la Política de Gobierno Digital, así como la derogatoria de la Resolución 0839 de 2025, y con decisión de aprobar este acto administrativo. Que, en mérito de lo expuesto este despacho,

RESUELVE

CAPÍTULO | DISPOSICIONES GENERALES Artículo 1. Objeto. La presente resolución tiene por objeto actualizar la Política de Seguridad y Privacidad de la Información, Seguridad Digital y continuidad de la operación de los servicios del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, con el fin de promover lineamientos para el manejo, uso y protección de la información de la Entidad. Artículo 2. Ámbito de aplicación. Serán sujetos obligados de la presente resolución, todos los niveles funcionales, organizacionales y dependencias de la Entidad, así como todos los funcionarios, contratistas, pasantes, profesionales en entrenamiento,

Artículo 2. Ámbito de aplicación. Serán sujetos obligados de la presente resolución, todos los niveles funcionales, organizacionales y dependencias de la Entidad, así como todos los funcionarios, contratistas, pasantes, profesionales en entrenamiento, investigadores visitantes, colaboradores, proveedores y demás personas o terceros que compartan, utilicen, recolecten, procesen, intercambien o consulten su información bien sea permanente, temporal o transitoria, al igual que a las entidades de control y demásRESOLUCIONNUMERO 1457 DE HOJA No 4 1) 4 DIC 2025 “Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” entidades relacionadas que accedan, ya sea de manera interna o externamente a cualquier activo de información, independientemente de su ubicación. De igual manera, esta política aplica a toda la Información creada, inventada, desarrollada, procesada o utilizada por la Entidad sin importar el medio, formato, presentación o lugar en el cual se encuentre. Artículo 3. Política General de Seguridad y Privacidad de la Información, Seguridad Digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS. Los sujetos descritos en el ámbito de aplicación deberán preservar y administrar la integridad, confidencialidad, disponibilidad, privacidad, legalidad y confiablidad de la información digital y física, que se produce en el marco de la operación de sus procesos misionales y/o contractuales, mediante una gestión integral

preservar y administrar la integridad, confidencialidad, disponibilidad, privacidad, legalidad y confiablidad de la información digital y física, que se produce en el marco de la operación de sus procesos misionales y/o contractuales, mediante una gestión integral de riesgos y la implementación de controles físicos y digitales para prevenir incidentes, propender por la continuidad de la operación de los servicios y dar cumplimiento a los requisitos legales, reglamentarios, regulatorios y a los de las normas técnicas colombianas, orientados a la mejora continua y al alto desempeño del Sistema de Gestión de Seguridad de la Información, promoviendo la prestación ininterrumpida de los servicios científicos, técnicos y de salud pública del INS, con calidad, transparencia, responsabilidad y respetando las disposiciones vigentes en materia de tratamiento de datos personales, en beneficio de la ciudadanía, el sistema de salud y las instituciones que conforman el Sistema Nacional de Ciencia, Tecnología e innovación. Artículo 4. Objetivos de la Política General. La Política de Seguridad y Privacidad de la Información y Seguridad Digital, tendrá los siguientes objetivos: e Establecer mecanismos de aseguramiento físico y digital para fortalecer la confidencialidad, integridad, imparcialidad, disponibilidad, privacidad, legalidad y confiabilidad de la información del INS. + Mitigar el impacto de los incidentes de seguridad y privacidad de la información y seguridad digital en el INS. + Gestionar los riesgos de seguridad y privacidad de la información y de seguridad digital. e Generar un cambio organizacional a través de la concienciación y apropiación de la seguridad y privacidad de la información y la seguridad digital, orientados a la mejora continua y al alto desempeño del sistema de gestión de seguridad y privacidad de la

digital. e Generar un cambio organizacional a través de la concienciación y apropiación de la seguridad y privacidad de la información y la seguridad digital, orientados a la mejora continua y al alto desempeño del sistema de gestión de seguridad y privacidad de la información. + Dar cumplimiento a los requisitos legales, reglamentarios, regulatorios, y a los de las normas técnicas colombianas en materia de seguridad y privacidad de la información, seguridad digital y protección de la información personal. + Definir y operar la continuidad de la operación de los servicios tecnológicos del INS. + Garantizar el acceso libre a la ciudadanía de la información pública en poder de la entidad, con el fin de garantizar el cumplimiento del derecho de acceso a la información pública nacional.RESOLUCION NUMERO 1457 DE | HOJA No 5 0 4 DIC 2025 “Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” CAPÍTULO Il, POLÍTICAS GENERALES ORGANIZACIONALES Artículo 5. Política de seguridad de la información en la gestión de proyectos. Esta política busca que desde la gestión de los proyectos se traten los lineamientos frente a la seguridad y privacidad de la información independientemente del tipo de proyecto. La Oficina Asesora de Planeación y el personal de apoyo, deberá incluir los requerimientos y consideraciones en materia de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios, en la metodología de gestión de proyectos de la Entidad, garantizando que se implementen en las fases iniciales de los

y consideraciones en materia de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios, en la metodología de gestión de proyectos de la Entidad, garantizando que se implementen en las fases iniciales de los proyectos, en el mismo sentido, la Oficina Asesora de Control Interno y el personal de apoyo, podrá implementar seguimientos, monitoreos, planes de auditoría interna u otros mecanismos de control, para la revisión del cumplimiento e implementación de la política, dependiendo de las necesidades de la Entidad. Artículo 6. Política de gestión de activos. La OTIC y la Secretaría General, en su marco de competencias, articularán el diseño y la adopción de los lineamientos específicos para la identificación, clasificación, valoración, rotulado (etiquetado) y buen uso de los activos de información, con el objetivo de garantizar su protección. Dichos lineamientos se construirán e impartirán teniendo en cuenta los siguientes criterios: + Inventario de Activos: Los activos del Instituto deben ser identificados, clasificados, valorados y controlados para garantizar su uso, protección y recuperación ante desastres. La OTIC y el Grupo de Gestión Documental, diseñará una metodologia con los lineamientos necesarios para llevar el inventario de los activos de información, discriminado por procesos y dependencia, tipo, nivel de criticidad, duración de la confidencialidad y reserva de la información, clasificación, ubicación, responsable, custodio, y demás atributos que la entidad defina. + Protección: Con el objetivo de establecer los controles de seguridad físicos y digitales, las dependencias que tienen la custodia de la información generada en el marco de su función se encargarán de proteger la información, así como de mantener y actualizar el inventario de activos de información relacionados con sus servicios

digitales, las dependencias que tienen la custodia de la información generada en el marco de su función se encargarán de proteger la información, así como de mantener y actualizar el inventario de activos de información relacionados con sus servicios (información física o digital, software, hardware y recurso humano), bajo los parámetros establecidos. + Archivos de Gestión: El Grupo de Gestión Documental deberá implementar los controles necesarios para que los archivos de gestión cuenten con los mecanismos de seguridad apropiados, de acuerdo con las Tablas de Retención Documental y Tablas de Control de Acceso, con el fin de proteger y conservar la confidencialidad, integridad, imparcialidad y disponibilidad de la información física del Instituto. e Sistema de gestión de documento electrónico de archivoSGDEA: El Grupo de Gestión Documental con el apoyo de la OTIC, deberán implementar un sistema de gestión documental electrónica y de archivo digital, asegurando la conformación de expedientes electrónicos con características de integridad, disponibilidad y autenticidad de la información. Adicionalmente, para la emisión, recepción y gestiónRESOLUCIÓN NUMERO, — 1457 HOJA No 6 D4 DIC 2005 “Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” de comunicaciones oficiales, a través de los diversos canales electrónicos y físico, deberá asegurar un adecuado tratamiento archivistico. e Clasificación de la Información: La OTIC en conjunto con el Grupo de Gestión Documental deberán establecer lineamientos para la clasificación y rotulado

deberá asegurar un adecuado tratamiento archivistico. e Clasificación de la Información: La OTIC en conjunto con el Grupo de Gestión Documental deberán establecer lineamientos para la clasificación y rotulado (etiquetado) de la información del Instituto, en el marco de la Ley 594 de 2000 (Ley General de Archivos), la Ley 1712 de 2014 (ley de transparencia y acceso a la información), esta última reglamentada por el Título 1 de la Parte 1 del Libro 2 del Decreto 1081 de 2015 y en el Título 3 de la Parte 8 del Libro 2 del Decreto 1080 de 2015 y demás normativa que reglamente la clasificación de información de las entidades públicas del país. Así mismo, la OTIC implementará una herramienta informática que permita rotular (etiquetar) la información digital. + Firma de documentos: Las firmas de documentos que produzca el Instituto será válida en cualquiera de los siguientes métodos, garantizando la confiabilidad, integridad, autenticidad y disponibilidad de la información de los documentos expedidos por los servidores públicos y contratistas en el marco de sus funciones y competencias, así: o En físico con firma autógrafa mecánica. o Con firma digital de persona natural asignadas por la OTIC según lo dispuesto por la Ley 527 de 1999 o la norma que la modifique, adicione o sustituya. e Con firma electrónica, de acuerdo con lo dispuesto en los Decretos 2364 de 2012 y 1287 de 2020, o la norma que los modifique, adicionen o sustituyan, para lo cual el Instituto deberá adquirir o implementar un aplicativo que contenga como mínimo lo siguiente: = Control seguro de acceso y uso al aplicativo, sincronizado con el directorio

el Instituto deberá adquirir o implementar un aplicativo que contenga como mínimo lo siguiente: = Control seguro de acceso y uso al aplicativo, sincronizado con el directorio activo, garantizando que solo personal vinculado pueda hacer uso del mecanismo de firma electrónica, « Múltiples controles para la autenticación y firma del documento electrónico, garantizando que el firmante es quien dice ser. = Elsistema debe solicitar la firma digitalizada o escaneada y quedar estampada en el documento junto con el nombre completo, cargo, correo electrónico institucional del servidor o contratista que firma. = Identificador único provisto por el sistema que permita la verificación de la veracidad del documento. = Fecha de creación y finalización de la firma provisto por el servidor y sincronizado con la hora legal colombiana. » Estado del trámite de firma. «Firma digital del funcionario quien ejerce la representación del Instituto, según sea el caso. » En ningún caso se debe utilizar firmas facsímil, salvo en aquellos que se autorice por resolución expedida por el director del Instituto, indicando para que fin y porqué medios podrá ser utilizada. Parágrafo. Durante el proceso de transición e implementación de lo anterior, el proceso de firma de los documentos expedidos para el desarrollo misional y de apoyo de laRESOLUCION NUMERO {AT "HOJA No 7 E ; — D4 DIC 26% “Por la cual se actualiza la Politica de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” Entidad, se seguirá realizando de acuerdo’ gon + definido en artículo 7 de la Ley 527 de

Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” Entidad, se seguirá realizando de acuerdo’ gon + definido en artículo 7 de la Ley 527 de 1999, reglamentado por el Decreto 2364 de 2012. Artículo 7. Política de control de acceso. De conformidad con lo establecido con la Guía Técnica Colombiana GTC-ISO/IEC 27002:2022, los propietarios de los activos de información, teniendo en cuenta el tipo de activo, deberán establecer medidas de control de acceso a nivel de red, sistema operativo, sistemas de información, servicios de tecnologías e infraestructura física (instalaciones y oficinas), todo esto con el fin de mitigar riesgos asociados al acceso a la información, infraestructura tecnológica e infraestructura física de personal no autorizado y asi propender por salvaguardar la integridad, disponibilidad, confidencialidad y privacidad de la información del Instituto, Artículo 8. Política de seguridad para la relación con proveedores. Esta política busca establecer las condiciones para la prestación de los servicios, responsabilidades y controles que ayuden a proteger la información involucrada en las relaciones entre el Instituto con terceros, frente a interceptaciones, copia, modificación, divulgación, destrucción no autorizada y los riesgos asociados a la adquisición de productos y servicios de seguridad digital que puedan afectar los principios de integridad, imparcialidad, disponibilidad, privacidad y confidencialidad de la información. Aplica para todos los proveedores que para la ejecución de su trabajo requieran acceder a la información o infraestructura tecnológica del Instituto. El Grupo de Gestión Contractual, establecerá y documentará, las disposiciones

todos los proveedores que para la ejecución de su trabajo requieran acceder a la información o infraestructura tecnológica del Instituto. El Grupo de Gestión Contractual, establecerá y documentará, las disposiciones necesarias para asegurar que la información que se genere, trate, custodie, procese, comparta, utilice, recolecte, intercambie o a la que se tenga acceso con ocasión de un contrato, se utilice dentro del marco de la seguridad y privacidad de la información por parte de los proveedores. En el mismo sentido y a través del seguimiento a la ejecución, se garantizará que los supervisores de los contratos, convenios o acuerdos sean los responsables de aplicar las políticas y procedimientos de seguridad y privacidad de la información durante la ejecución de los contratos, estos lineamientos deberán ser comunicados a los proveedores a través de los canales dispuestos por el Instituto. Parágrafo. Tratándose de relaciones contractuales del Instituto, estas disposiciones deberán ser incorporadas en los términos, cláusulas, minutas o acuerdos con los que se relacionen estos, a efectos de garantizar su implementación. Artículo 9. Política de gestión de incidentes de seguridad y privacidad de la información y seguridad digital. Esta politica busca gestionar adecuadamente todos los incidentes de seguridad y privacidad de la información y seguridad digital reportados en la Entidad, dando cumplimiento a los procedimientos establecidos para el efecto. Aplica para todos los servidores públicos, aplicaciones, y terceros del Instituto que detecten un evento o incidente de seguridad y privacidad de la información y seguridad digital, el cual deben reportar, adecuadamente, de acuerdo con los procedimientos establecidos. El Oficial de Seguridad y Privacidad de la Información o quien haga sus

detecten un evento o incidente de seguridad y privacidad de la información y seguridad digital, el cual deben reportar, adecuadamente, de acuerdo con los procedimientos establecidos. El Oficial de Seguridad y Privacidad de la Información o quien haga sus veces, promoverá entre los empleados públicos, contratistas y terceros, el reporte yRESOLUCION NUMERO 1457 DE 04 DIC 20 HOJA No 8 “Por la cual se actualiza la Política de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios tecnológicos del Instituto Nacional de Salud - INS, como uno de los elementos habilitadores de la Política de Gobierno Digital, y se deroga la Resolución 0839 de 2025” seguimiento de incidentes relacionados con la seguridad y privacidad de la información y seguridad digital, y sus medios. Asi mismo, asignará responsables para el tratamiento de estos, quienes investigarán y solucionarán los incidentes reportados, de acuerdo con su criticidad. El Oficial de Seguridad y Privacidad de la Información informará a la Dirección General del Instituto, los incidentes de seguridad, para que éste en el marco de sus competencias, reporte e instaure las denuncias ante las autoridades pertinentes, tales como, defensa nacional, policía, fiscalía y de control. La Dirección General o quien esta delegue, será el único canal de comunicación autorizado para hacer pronunciamientos oficiales ante las entidades externas, medios de comunicación o la ciudadanía. Artículo 10. Política de la continuidad de la operación de los servicios. Esta política busca asegurar que todos los aspectos relacionados con la seguridad de la información se incluyan en los planes de continuidad de la operación de la Entidad y así proteger la información. Esta política aplica para la definición del plan de continuidad de operación

busca asegurar que todos los aspectos relacionados con la seguridad de la información se incluyan en los planes de continuidad de la operación de la Entidad y así proteger la información. Esta política aplica para la definición del plan de continuidad de operación de servicios y la recuperación en caso de desastres, en las cuales se deben incluir los requisitos de seguridad y privacidad de la información. El Instituto dispondrá los planes necesarios para la continuidad de la operación de los servicios, los cuales serán operados por los líderes de los procesos. El Oficial de Seguridad y Privacidad de la Información y la OTIC liderarán conjuntamente la elaboración del Análisis de Impacto del Negocio (BIA) y del Plan de Recuperación ante Desastres (DRP) tecnológicos. Artículo 11. Política de cumplimiento. Esta política busca evitar el incumplimiento de las obligaciones legales, estatutarias, de reglamentación o contractuales relacionadas con seguridad y privacidad de la información, y de cualquier requisito de esta índole en la Entidad y asegurar que se revisen y actualicen periódicamente, como mínimo una vez al año o cuando se presente una actualización en la normatividad que afecte la seguridad y privacidad de la información. Esta será aplicada por todas las dependencias del Instituto. El Oficial de Seguridad y Privacidad de la Información con apoyo de la Oficina Asesora Jurídica y su personal de apoyo, y el Asesor de Planeación, velarán por la identificación, documentación, cumplimiento y asesoría de los requisitos legales enmarcados en la seguridad y privacidad de la información y seguridad digital, de acuerdo con lo establecido por el gobierno nacional, entre ellos los referentes a la propiedad intelectual, protección de datos personales, ley de transparencia y del derecho de acceso a la

seguridad y privacidad de la información y seguridad digital, de acuerdo con lo establecido por el gobierno nacional, entre ellos los referentes a la propiedad intelectual, protección de datos personales, ley de transparencia y del derecho de acceso a la información pública nacional, para