INS - Resolución 839 de 2025

REPÚBLICA UL COLOMBIA

Leena O40

INSTITUTO NACIONAL DE SALUD

9839RESOLUCIÓN NUMERO’ DE 2025 21 JUL 2095

Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones LA DIRECTORA GENERAL DEL INSTITUTO NACIONAL DE SALUDEn uso de sus facultades legales contempladas en el numeral 23 del artículo 5 del Decreto2774 de 2012 y CONSIDERANDO Que el artículo 209 de la Constitución Política de Colombia establece que “la funciónadministrativa está al servicio de los intereses generales y debe desarrollarse con base en losprincipios de igualdad, moralidad, eficacia, economía, celeridad, imparcialidad y publicidad”, locual implica que todas las actuaciones de las entidades públicas deben orientarse a garantizarel bienestar colectivo, mediante una gestión transparente, eficiente y responsable. Que el artículo 15 de la misma Constitución reconoce que “Todas las personas tienen derecho asu intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlosrespetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones quese hayan recogido sobre ellas en los bancos de datos y en archivos de entidades públicas yprivadas. En la recolección, tratamiento y circulación de datos se respetarán la libertad y demásgarantias consagradas en la Constitución. La correspondencia y demás formas de comunicaciónprivada son inviolables, Sólo pueden serinterceptados o registrados mediante orden judicial, enlos casos y con las formalidades que establezca la ley.

Que la Ley Estatutaria 1581 de 2012, en desarrollo del artículo 15 constitucional, establece elRégimen General de Protección de Datos Personales, imponiendo a las entidades públicas yprivadas la obligación de adoptar medidas técnicas, humanas y administrativas que garanticenla seguridad de los datos personales y eviten su adulteración, pérdida, consulta, uso o accesono autorizado. Que el Decreto 1074 de 2015, Decreto Único Reglamentario del sector comercio, industria yturismo, reglamenta parcialmente la Ley 1581 de 2012, y exige a las entidades públicas laformulación e implementación de políticas internas de tratamiento de datos personales, comoparte de su deber de garantizar el derecho fundamental al habeas data. Que el Decreto Único Reglamentario del Sector de Tecnologías de la Información y lasComunicaciones 1078 de 2015, en su artículo 2.2.9.1.2.1, subrogado por el Decreto 767 de 2022,establece como habilitador de la Política de Gobierno Digital la Seguridad y Privacidad de laInformación, orientando a las entidades públicas a implementar lineamientos que aseguren laconfidencialidad, integridad, disponibilidad y privacidad de los datos en todos sus procesos yactivos de información. Que la Resolución 500 de 2021 del Ministerio de Tecnologias de la Información y lasComunicaciones (MinTIC) “por medio de la cual se establecen los lineamientos y estándarespara la estrategia de seguridad digital y se adopta el modelo de seguridad y privacidad comohabilitador de la política de Gobierno Digitaln (MSPI), incluyendo la gestión de riesgos, laatención de incidentes de seguridad digital y la adopción de estándares técnicos yorganizacionales para la protección de la información.

Que la Resolución 2239 de 2024 del MinTIC “por la cual se actualiza la Política General deSeguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación delMinisterio/Fondo Único de Tecnologías de la Información y las Comunicaciones, se definenRESOLUCIÓN NÚMERO 1839 DE 2025) 7 y. 7pHOJA No 2 Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones lineamientos frente al uso y manejo de la información y se deroga la Resolución 448 de 2022.,fortalece la resiliencia institucional frente a amenazas digitales y garantiza la continuidad de losservicios públicos. Que el Instituto Nacional de Salud (INS), como entidad científica y técnica del orden nacional,tiene la responsabilidad de garantizar la seguridad y privacidad de la información que gestiona,en especial aquella relacionada con datos personales, sensibles y de niños, niñas yadolescentes, en cumplimiento de su misión institucional y en concordancia con los avancesnormativos, tecnológicos y de gestión pública. Que mediante las Resoluciones 186 de 2019 y 309 de 2022, el INS adoptó y actualizó su políticade seguridad de la información; sin embargo, ante la evolución del marco normativo y los nuevosdesafíos en materia de ciberseguridad y protección de datos, se hace necesario derogar dichasresoluciones y adoptar una nueva política integral, moderna y alineada con los estándaresnacionales e internacionales vigentes.

Que, dado lo anterior, se hace necesario adoptar la Política de Seguridad y Privacidad de laInformación, Seguridad Digital y Continuidad de la Operación del Instituto Nacional de Salud(INS), así como las Políticas Generales de Manejo de la Información, definiendo los lineamientospara su uso, gestión y protección. Y en consecuencia, se debe consolidar una políticainstitucional integral, actualizada y alineada con el marco normativo vigente. Que, en mérito de lo expuesto este despacho,

RESUELVE

CAPÍTULO |

DISPOSICIONES GENERALES

ARTÍCULO PRIMERO. Objeto.

La presente Resolución tiene por objeto adoptar la Política de Seguridad y Privacidad dela Información, Seguridad Digital, Protección de Datos Personales y Continuidad de laOperación del Instituto Nacional de Salud - INS, así como las Políticas Generales deManejo y los lineamientos frente a su uso y administración, con el fin de garantizar laprotección de los activos de información, la prestación continua de los serviciosinstitucionales, la seguridad de los datos de terceros obtenidos bajo el desarrollo de lasactividades misionales y el cumplimiento de los principios de confidencialidad, integridady disponibilidad de la información.

ARTÍCULO SEGUNDO. Política General de Seguridad y Privacidad de laInformación, Seguridad Digital, Protección de Datos Personales y Continuidad de la Operación. El Instituto Nacional de Salud — INS protege, preserva y administra la confidencialidad,integridad y disponibilidad de la información institucional, así como la seguridad digital,la protección de los datos personales y la gestión de la continuidad de la operación, enconcordancia con su mapa de procesos, funciones misionales y el marco normativovigente. La entidad garantiza el tratamiento adecuado de los datos personales conformea lo establecido en la Ley 1581 de 2012, el Decreto 1074 de 2015 y demás normasconcordantes, asegurando el respeto por los derechos de los titulares y laimplementación de medidas técnicas, jurídicas y organizacionales para su protección.-.2 1 JUL 2025RESOLUCIÓN NUMERO 0839 De 2025 HOJA No 3 Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones Asimismo, el INS previene incidentes mediante la gestión integral de riesgos enseguridad y privacidad de la información, seguridad digital y continuidad del negocio,implementando controles físicos, lógicos y administrativos orientados a la mejoracontinua del Sistema de Gestión de Seguridad de la Información (SGSI). Esta políticatiene como finalidad garantizar la prestación ininterrumpida de los servicios científicos,técnicos y de salud pública del INS, con calidad, transparencia y responsabilidad, enbeneficio de la ciudadanía, el sistema de salud y las instituciones que conforman elSistema Nacional de Ciencia, Tecnología e Innovación.

ARTÍCULO TERCERO. Principios orientadores. La implementación de esta política se regirá por los siguientes principios: A.Confidencialidad: se refiere a la privacidad de los elementos de informaciónalmacenados y procesados en un sistema informático, basándose en esteprincipio, las herramientas de seguridad informática deben proteger el sistema deinvasiones y accesos por parte de personas o programas no autorizados. Esteprecepto es particularmente importante en sistemas distribuidos, es decir,aquellos en los que los usuarios, computadores y datos residen en dispositivosdiferentes, pero están física y lógicamente interconectados.

Integridad: se refiere a la validez y consistencia de los elementos de informaciónalmacenados y procesados en un sistema informático. Basándose en esteprincipio, las herramientas de seguridad informática deben asegurar que losprocesos de actualización estén bien sincronizados y no se dupliquen, de formaque todos los elementos del sistema manipulen adecuadamente los mismosdatos. Este postulado es importante en sistemas descentralizados, es decir,aquellos en los que diferentes usuarios, computadores y procesos comparten lamisma información.

Disponibilidad: se refiere a la continuidad del acceso a los elementos de informaciónalmacenados u procesados en un sistema informático. Apoyándose en este principio, lasherramientas de seguridad informática deben reforzar la permanencia del sistemainformático, en condiciones de actividad adecuadas para que los usuarios accedan a losdatos con la frecuencia y dedicación que requieran, este fundamento es importante ensistemas informáticos cuyos compromisos con el usuario, es prestar servicio permanente.

Legalidad: Cumplimiento de la normativa vigente en materia de protección dedatos personales, transparencia, acceso a la información pública y seguridaddigital.

Responsabilidad compartida: Es la implementación de medidas por parte de laentidad encargada del tratamiento de datos que le permitan dar el debidocumplimiento a los principios establecidos en el régimen jurídico de la protecciónde datos de carácter personal.

Mejora continua: Aplicación del ciclo PHVA (Planear, Hacer, Verificar, Actuar)para fortalecer el sistema de gestión de seguridad de la información.

ARTÍCULO CUARTO. Objetivos. La Política de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidadde la Operación del Instituto Nacional de Salud ~ INS tiene como objetivo generalRESOLUCIÓN NÚMERO (839 DE 2025 HOJA No 4271 JUL 202 Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Politica de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones establecer un marco estratégico y operativo que permita proteger los activos deinformación de la entidad, asegurar la prestación continua de los servicios institucionalesy fortalecer la confianza de los ciudadanosy partes interesadas. Para ello, se establecenlos siguientes objetivos específicos:

1. Proteger, preservar y administrar los activos de información, las bases de datospersonales y los sistemas tecnológicos utilizados para su procesamiento, frente aamenazas internas o externas, asegurando su confidencialidad, integridad y disponibilidad.

2. Gestionar los riesgos asociados a la seguridad y privacidad de la información, laseguridad digital y la continuidad de la operación, mediante la identificación,análisis, evaluación, tratamiento y monitoreo de estos.

3. Prevenir y mitigar incidentes de seguridad de la información y ciberseguridad,mediante la implementación de controles técnicos, administrativos y fisicos, asicomo mecanismos de respuesta y recuperación.

4. Establecer lineamientos claros para el uso adecuado de los recursos tecnológicos,la gestión de accesos, el tratamiento de datos personales y la protección de lainfraestructura tecnológica institucional.

5. Fortalecer la cultura organizacional en materia de seguridad de la información,mediante procesos de sensibilización, formación, comunicación y apropiación debuenas prácticas por parte de funcionarios, contratistas y terceros.

6. Establecer las acciones necesarias para asegurar la mejora continua del sistemade seguridad y privacidad de la información y protección de datos personales.

7. Fortalecer la continuidad del negocio y la recuperación ante desastres, mediantela implementación de planes de continuidad de la operación y recuperacióntecnológica, alineados con los objetivos estratégicos del INS.

- CAPITULO II .POLITICAS GENERALES DE MANEJO DE INFORMACION

ARTÍCULO QUINTO. Política de Privacidad y Tratamiento de la Información. El Instituto Nacional de Salud — INS garantiza el tratamiento adecuado de los datospersonales y la información institucional, conforme a lo establecido en la Ley 1581 de2012, el Decreto 1074 de 2015, la Ley 1712 de 2014 y demás normas concordantes. Laentidad cuenta con una Política de Tratamiento de Datos Personales bajo la Resolución0457 del 3 de junio 2020 que regula la recolección, almacenamiento, uso, circulación ysupresión de datos, asegurando el respeto por los derechos de los titulares y laimplementación de medidas técnicas, jurídicas y organizacionales para su protección.

ARTÍCULO SEXTO. Política de Seguridad del Talento Humano. El INS promoverá la apropiación de la cultura de seguridad de la información entre susfuncionarios, contratistas, colaboradores y demás Talento Humano de la Entidad,mediante procesos de inducción, capacitación, sensibilización y compromisos deconfidencialidad. El Grupo de Gestión del Talento Humano en coordinación con la Oficinade Tecnologías de la Información y las Comunicaciones, será responsable deRESOLUCIÓN NUMERO 0839 De 20259 7 juL 2pjoJA No 5 Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones implementar controles para prevenir el uso indebido de la información y los recursostecnológicos. PARÁGRAFO. El Grupo de Gestión Contractual deberá incluir en las minutascontractuales, cualquiera que sea su modalidad, cláusulas u obligaciones relacionadascon la Seguridad de la Información, con el fin de reducirel riesgo de pérdida, robo, fraude,uso indebido o suplantación de identidad en el manejo de los medios tecnológicos de laEntidad, asegurando la confidencialidad, disponibilidad e integridad de la informacióninstitucional.

ARTÍCULO SÉPTIMO. Política de Gestión de Activos de Información. El INS identificará, clasificará, protegerá y gestionará sus activos de información,incluyendo documentos, bases de datos, sistemas, aplicaciones, infraestructuratecnológica y recursos humanos asociados. Cada dependencia será responsable demantener actualizado el inventario de activos de información bajo su custodia, conformea las guías institucionales de clasificación y etiquetado de la información. Así mismo,cada dependencia será responsable de remitir a la Oficina de Tecnologias de laInformación y las Comunicaciones de forma periódica, el inventario de activos deinformación. ARTÍCULO OCTAVO. Política de Uso Aceptable de Recursos Tecnológicos. Todos los usuarios de los sistemas y recursos tecnológicos del Instituto Nacional deSalud — INS deberán hacer uso responsable, ético y conforme a los fines institucionales.Se prohíbe expresamente el uso de los recursos para fines personales, comerciales,políticos o contrarios a la ley. El uso del correo electrónico, internet, dispositivos móviles,medios removibles, software y sistemas de información estará regulado por las políticasinternas de seguridad y será monitoreado por la Oficina de Tecnologías de la Informacióny las Comunicaciones. Los colaboradores, contratistas, proveedores y operadores que accedan a los activos deinformación del INS son responsables de cumplir con las políticas establecidas para suuso apropiado. El uso inadecuado de estos recursos puede comprometer la continuidadde la operación y el cumplimiento de la misión institucional. Cada usuario es custodio desus credenciales de acceso y debe proteger la información institucional bajo suresponsabilidad, evitando su pérdida, alteración, destrucción o divulgación noautorizada.

Se deberán observar las siguientes directrices:

1. El correo electrónico institucional debe utilizarse exclusivamente para fineslaborales. Está prohibido su uso para actividades personales, comerciales o noautorizadas.

2. El acceso a internet debe realizarse conforme a las categorías y restriccionesdefinidas por la Oficina de Tecnologías de la Información y las Comunicaciones.

3. El uso de software debe limitarse a aquel licenciado o autorizado por el INS. Estáprohibida la instalación de programas no aprobados.resoLución número 0837 pe 2035 HOJA No 61 SUL ZULY Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones

4. El uso de dispositivos personales a través de la tendencia “trae tu propiodispositivo” (Bring Your Own Device BYOD), deberá cumplir con los lineamientostécnicos y de seguridad definidos por el INS,

5. Está prohibido almacenar información personal en equipos institucionales o enrepositorios oficiales del INS.

6. Todo incidente de seguridad relacionado con el uso de recursos tecnológicosdeberá ser reportado de inmediato a través de los canales establecidos.

7. El acceso a la red institucional mediante dispositivos no autorizados deberá serpreviamente aprobado y controlado por la Oficina de Tecnologías de la

Información y las Comunicaciones.

8. El uso de medios de almacenamiento externo está restringido y solo seráautorizado en casos excepcionales, previa evaluación de riesgos, aval delsupervisoro jefe inmediato y aprobación por parte de Dirección General.

9. Todo equipo personal que requiera conectarse a la red institucional del INSdeberá contar con software licenciado y un sistema antivirus actualizado. Además,deberá ser validado y autorizado por la Oficina de Tecnologías de la Informacióny las Comunicaciones, mediante la creación de un caso en la herramienta de gestión Aranda. 10.Las credenciales de acceso (usuario y contraseña) a los sistemas, redes yservicios tecnológicos del INS son de carácter estrictamente personal eintransferible. Ningún colaborador, contratista, proveedor u operador estáautorizado a compartir sus credenciales con terceros ni a utilizar credencialesajenas. El incumplimiento de esta disposición será considerado una falta grave ypodrá dar lugar a sanciones disciplinarias, contractuales o legales, según corresponda.

11. Todo colaborador es responsable de los registros y modificaciones de informaciónque se hagan a nombre de su cuenta de usuario.

ARTÍCULO NOVENO. Política de Control de Acceso. El acceso a la información y a los sistemas del INS estará basado en el principio demínimo privilegio y necesidad de conocer. Se implementarán mecanismos deautenticación, autorización y trazabilidad para garantizar que solo el personal autorizadoacceda a los recursos según su rol y funciones. La gestión de usuarios seráresponsabilidad compartida entre las áreas funcionales y la Oficina de Tecnologías de laInformación y las Comunicaciones.

ARTÍCULO DÉCIMO. Política de Seguridad Física y del Entorno. El Instituto Nacional de Salud — INS establecerá controles para la protección delperímetro de seguridad de sus instalaciones fisicas, el control de acceso del personal, lapermanencia en las oficinas, y el ingreso a áreas seguras destinadas al procesamientoo almacenamiento de información sensible, así como aquellas que alberguen equipos einfraestructura crítica de soporte a los sistemas de información y comunicaciones. Estoscontroles estarán orientados a mitigar riesgos y amenazas externas o ambientales queRESOLUCIÓN NÚMERO 9839 DE 20299 1 Ju ‘oy fHOJA No 7 Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones puedan afectar la confidencialidad, integridad y disponibilidad de la informacióninstitucional. PARÁGRAFO 1. Todos los colaboradores y visitantes que se encuentren en lasinstalaciones físicas del INS deberán estar debidamente identificados con un documentooficial, el cual deberá portarse en un lugar visible durante su permanencia en la entidad. PARÁGRAFO 2. Los visitantes del INS deberán estar siempre acompañados por unfuncionario autorizado, quien será responsable de su permanencia y desplazamientodentro de las instalaciones.

PARÁGRAFO 3. El personal de empresas contratistas que desempeñe funciones deforma permanente en las instalaciones del INS deberá portar un carné institucional odistintivo visible que lo identifique como contratista, así como el carné de la ARLcorrespondiente. PARAGRAFO 4. El INS, a través del Grupo Gestión Administrativa o quien haga susveces, será responsable de contratar y supervisar los servicios de seguridad física,incluyendo el manejo de bitácoras de ingreso y salida, sistemas de control de acceso, ysistemas de videovigilancia (CCTV), con el fin de garantizar el monitoreo y la protecciónde las instalaciones. ARTÍCULO DÉCIMO PRIMERO. Política de Seguridad en las Comunicaciones. La entidad garantizará la integridad, confidencialidad y disponibilidad de la informacióntransmitida a través de redes institucionales. Se implementarán mecanismos de cifrado,segmentación de redes, monitoreo de tráfico y control de accesos remotos. Todacomunicación oficial deberá realizarse a través de canales autorizados y bajo lascondiciones de seguridad definidas. ARTÍCULO DÉCIMO SEGUNDO. Política de Seguridad de las Operaciones. El INS, a través de la Oficina de Tecnologías de la Información y las Comunicaciones,será responsable de la operación y administración de la infraestructura tecnológica quesoporta los servicios institucionales. Se deberán implementar controles para garantizarla eficiencia operativa, la protección de la información y la gestión de cambios de formacontrolada.

PARÁGRAFO. Se deberán realizar copias de seguridad periódicas de la informacióncrítica, conforme a los procedimientos establecidos, para asegurar su recuperación antefallas o incidentes. ARTÍCULO DÉCIMO TERCERO. Política de Seguridad para Relación conProveedores. El INS establecerá mecanismos de control en las relaciones con proveedores ycontratistas que accedan a información o infraestructura tecnológica institucional. Sedeberán incluir cláusulas contractuales de seguridad de la información y realizarseguimiento al cumplimiento de estas. PARAGRAFO. Los proveedores deberán firmar acuerdos de confidencialidad y cumplircon los lineamientos de seguridad definidos por el INS. Toda activación o desactivaciónde usuarios deberá ser gestionada oportunamente por los supervisores de contrato.RESOLUCIÓN NÚMERO DE 2025 HOJA No 8NN Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Política de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones ARTÍCULO DÉCIMO CUARTO. Política de Gestión de Incidentes de Seguridad dela Información. EI INS promoverá el reporte oportuno de incidentes relacionados con la seguridad de lainformación. Se establecerán procedimientos para su identificación, análisis, tratamientoy documentación, con el fin de mitigar impactos y prevenir recurrencias.

PARÁGRAFO: La Oficina de Tecnologías de la Información y las Comunicaciones seráresponsable de coordinar la respuesta a incidentes de seguridad de ta información y, deacuerdo con la criticidad de cada caso, podrá escalar los incidentes a instanciassuperiores o a las autoridades competentes, conforme a los procedimientos internosestablecidos para la gestión de incidentes.

ARTÍCULO DÉCIMO QUINTO. Política de la Continuidad de la Operación. El INS implementará planes de continuidad de la operación tecnológica y derecuperación ante desastres, con el fin de garantizar la prestación ininterrumpida de losservicios institucionales. Estos planes deberán ser actualizados y probados periódicamente. PARÁGRAFO. La Oficina de Tecnologías de la Información y las Comunicaciones, encoordinación con las áreas responsables, liderará la elaboración y activación de losplanes de continuidad y recuperación. ARTÍCULO DÉCIMO SEXTO. Política de Cumplimiento. El INS velará por el cumplimiento de los requisitos legales, normativos y contractualesrelacionados con la seguridad de la información, protección de datos personales,derechos de autor, transparencia y acceso a la información pública. PARÁGRAFO. La Oficina Asesora Jurídica y la Oficina de Tecnologías de la Informacióny las Comunicaciones serán responsables de mantener actualizada la matriz derequisitos legales y de verificar su cumplimiento en los procesos institucionales. ARTÍCULO DÉCIMO SÉPTIMO. Política para el Uso Responsable de la Inteligencia Artificial. El Instituto Nacional de Salud — INS promoverá el uso responsable, ético, transparente yseguro de tecnologías basadas en Inteligencia Artificial (IA) en el desarrollo de susfunciones misionales, científicas, técnicas y administrativas exclusivamente como fuentede consulta y no'como gestor de la actividad misional. Esta política busca garantizar quela implementación de soluciones de IA respete los derechos fundamentales, la protecciónde datos personales, la seguridad de la información y los principios de equidad, nodiscriminación y explicabilidad.

PARÁGRAFO 1. Toda iniciativa, proyecto o sistema que utilice algoritmos de IA deberáser evaluado previamente por la Oficina de Tecnologías de la Información y lasComunicaciones, en coordinación con la Oficina Asesora Jurídica y las áreas funcionalesinvolucradas, para verificar su alineación con los principios institucionales, la normativavigente y los estándares internacionales en ética digital.RESOLUCIÓN NÚMERO (839 DE 2025 _HOJA No 921 Jui 202 Por la cual se derogan las resoluciones 0309 de 2022 y 186 del 27 de febrero de 2019 dela Politica de Seguridad y Privacidad de la Información en el InstitutoNacional de Salud y se dictan otras disposiciones PARÁGRAFO 2.El INS deberá asegurar que los sistemas de IA utilizados odesarrollados por la entidad cuenten con mecanismos de trazabilidad, supervisiónhumana, gestión de riesgos y documentación técnica que permita explicar sus decisionesy resultados. PARÁGRAFO 3.Se prohíbe el uso de herramientas de lA que comprometan laconfidencialidad, integridad o disponibilidad de la información institucional, que generensesgos injustificados, o que no cuenten con licenciamiento, validación técnica o respaldolegal. PARAGRAFO 4. La capacitación del talento humano en el uso ético y seguro de la IAserá promovida como parte de la cultura institucional de innovación y transformacióndigital.

CAPÍTULO IllREVISIÓN, VIGENCIA Y DEROGATORIASARTÍCULO DÉCIMO OCTAVO. Revisión.

La Política de Seguridad y Privacidad de la Información, Seguridad Digital, Protección deDatos Personales y Continuidad de la Operación del Instituto Nacional de Salud — INSserá revisada anualmente o cuando se presenten cambios normativos, tecnológicos,organizacionales o de riesgo que así lo requieran. La revisión será liderada por la Oficinade Tecnologías de la Información y las Comunicaciones, en coordinación con la OficinaAsesora Jurídica y el Comité Institucional de Gestión y Desempeño. ARTÍCULO DÉCIMO NOVENO. Vigencia y Derogatoria. La presente resolución rige a partir de la fecha de su publicación y deroga en su totalidadlas Resoluciones No. 186 de 2019 y No. 309 de 2022, así como todas aquellasdisposiciones que le sean contrarias. Dada en Bogotá DC, alos (21) dias del mes dejulio de 2025. COMUNÍQUESE Y CÚMPLASE e ULDINDA .DIANA MARCELA PAVA GARZÓNDirectora General Revi Henry Alfredo Cruz Rincón Asesor Dirección General|. 4%Ingrit Lineth Vásquez Cely Jefe Oficina Asesora Juridica “4%ros Andrés López Fernández Jefe de Oficina de Tecnologia de Información y ComunicacionesRedf-Proyeció: José Gregorio Rodriguez Duarte Contratista Oficina de Tecnologia de Información y Comunicaciones