MINDEFENSA - Circular 0009 de 2006

CIRCULAR 9 DE 2006

(enero 16) Fuente: Archivo interno Ministerio de Defensa Nacional <NOTA: Esta norma no incluye análisis de vigencia>

MINISTERIO DE DEFENSA NACIONAL

Señores

DIRECTORES FINANCIEROS, JEFES OFICINAS DE CONTROL INTERNO, JEFES OFICINAS

INFORMATICA O EQUIVALENTES EN CADA UNIDAD EJECUTORA, GRUPOS DIRECCIÓN

FINANZAS.

Gn. Asunto: Cumplimiento requisitos técnicos y medidas seguridad Sistema SIIF Para conocimiento, me permito informar el contenido del comunicado que envió el Administrador del Sistema SIIF Nación el 6 de enero del año en curso, en cuanto al cumplimiento de requisitos técnicos y medidas de seguridad del aplicativo SIIF, así: “Como es de su conocimiento, el SIIF Nación a partir del 2 de enero de 2006 inició los pagos a beneficiario final, para lo cual implementó como herramienta esencial, la firma digital en las transacciones críticas que intervienen en el proceso. Por tal razón, no es factible quitar esta validación, dado que limitaría la seguridad del aplicativo y en caso de la ocurrencia de un fraude, el Estado perdería toda la carga probatoria para inculpar al responsable.

Por tal razón, la Administración del SIIF Nación reitera que todas las asignaciones internas en línea deben cumplir con todos y cada uno de los requisitos técnicos establecidos para el uso del sistema, de lo contrario no podrán utilizarlo y deberán trasladar esta función a una dependencia que cumpla con tales

condiciones”. (Subrayado fuera de texto). Por lo expuesto, me permito solicitar a ese Despacho, que entre las área financieras y oficinas de informática se adelanten las acciones a que haya lugar encaminadas a que por un lado, se disponga el cumplimiento de los requisitos de orden técnico (equipos de cómputo, canal de comunicación y para el caso de VPN canal dedicado y con un ancho de banda de 32 Kbps por usuario, por mencionar algunos) en las diferentes Asignaciones en Línea y de otro, de las medidas de seguridad impartidas por la Administración del Sistema SIIF y que se han dado a conocer en los distintos documentos producidos por esta Dirección. Es así como, en cuanto a las transacciones críticas se informó de las mismas mediante Circular No. 33393-MDVGIDFGAD-13 del 01-Ago/05 y Circular No. 381 del 12-Sep/05. En lo correspondiente a los equipos de cómputo para el uso del Sistema SIIF así como los canales de comunicación en cuanto al ancho de banda requerido para la conexión a SIIF bajo VPN se informó a través de los siguientes documentos: Procedimiento No. 2/04 “Incorporación en Línea al Sistema SIIF para Asignaciones Internas Funcionales Fuera de Línea” Capítulo VI, Numeral 5.2 “Conexión a travésde Internet” el cual se remitió con Circular No. 014-MDFAD-773 del 31-Mar/04 y las Circulares Nos. 203-MDFGAD-13 del 18 de Nov/04 “Mejoras Tecnológicas Funcionalidad SIIF Nación y Conexión bajo VPN”, 224-MDVGIDFGAD-13 del 29-Sept/05 “Sistema Integrado de Información Financiera

SIIF Nación” y en el Capítulo VI “PROCEDIMIENTOS” Literal C “FUNCIONALIDAD SISTEMA SIIF”, Numeral II “MEDIDAS DE SEGURIDAD SISTEMA SIIF”, Ordinal 2 “ADMINISTRACIÓN DE TERMINALES” del Manual de Procedimientos Financieros que se envió con Circular No. 262MDVGIDFGAD-13 del 19-Oct/05. En cuanto al pago a beneficiario final a través de la Circular No. 317-MDVGIDFGAD-13 del 28Dic/05, se informó con fundamento en lo indicado por la Administración del SIIF Nación, sobre los requisitos técnicos, el procedimiento de registro, y el procedimiento contable. Es procedente recordar, algunas de las medidas de seguridad que se han impartido y que deben ser tenidas en cuenta por las Unidades Ejecutoras, como son:

I. PARA ADMINISTRACIÓN DE USUARIOS

1. Permanente control en cuanto a la administración de usuarios del Sistema SIIF en lo atinente a perfiles y restricciones que sean acordes con las funciones desempeñadas.

2. Dar cumplimiento a la suscripción de los formatos de aceptación de cuenta y clave por parte de todos los usuarios del Sistema SIIF.

3. Conocimiento de los documentos relacionados con Administración Entidades Usuarias SIIF Nación, Fundamentación Conceptual SIIF y Guía Procedimental SIIF, entre otros, por parte de los usuarios del sistema.

4. Cualquier cambio bien sea permanente o temporal del usuario debe ser de conocimiento del Coordinador SIIF Entidad de la Unidad Ejecutora para su correspondiente deshabilitación o exclusión del sistema.

5. Si un usuario no atiende las medidas de seguridad requeridas en el sistema SIIF debe ser

deshabilitado o inactivado.

6. Recabar al personal usuario del Sistema SIIF de las Unidades Ejecutoras que son responsables de la confidencialidad e integridad de la información a la cual tiene acceso.

7. Actualmente con el uso de la firma digital es permitido que un usuario tenga dos perfiles de gestión en forma temporal cuando se presenten situaciones correspondientes a vacaciones, licencias o permisos.

Para ello se debe crear otra cuenta de usuario con fecha de expiración la cual debe ser igual a la fecha en que retorna el funcionario que fue reemplazado. Así mismo, el funcionario que va a tener los dos perfiles no podrá tener un perfil con secuencia en la Cadena Presupuestal.

8. Para el registro de usuarios son requisitos fundamentales que el usuario sea un funcionario o un contratista activo de la Unidad Ejecutora, que el superior inmediato del funcionario o contratista solicite por escrito su creación en el SIIF Nación y señale las restricciones que debe tener, verificar que el perfil asignado en el SIIF Nación sea consistente con las funciones del cargo o del contrato, validar que el funcionario o contratista ha recibido previamente capacitación sobre la seguridad y funcionalidad delsistema y que en caso que el usuario sea un contratista debe validar que el contrato tenga cláusula de confidencialidad.

9. Contar con un archivo de hojas de vida de los usuarios SIIF de la Entidad, es decir, en cada Unidad Ejecutora se debe tener debidamente esta información.

10. Que el incumplimiento de las políticas de seguridad del SIIF Nación, podrá acarrear sanciones disciplinarias dentro de los términos establecidos en el Código Unico Disciplinario.

II. PARA EL PAGO A BENEFICIARIO FINAL

1. Sólo se deben registrar cuentas bancarias únicamente cuando documentalmente se haya validado su existencia.

2. La autorización del envío a validación de las cuentas debe estar en cabeza de un funcionario del nivel directivo, asesor o ejecutivo.

3. No registrar cuentas bancarias que no van ha ser utilizadas en compromisos.

4. Sólo se deben hacer registros en el sistema contra soportes documentales.

5. No se debe permitir que se presten las claves entre los funcionarios.

6. No se puede prestar la firma digital.

7. Toda transacción deja un log de auditoría.

8. Al funcionario que se le asigne en el Sistema SIIF Nación el perfil Beneficiario Cuenta debe ser del nivel directivo, asesor o ejecutivo o en su defecto, Coordinador de Grupo.

9. La responsabilidad de los pagos que se hagan a través del SIIF Nación está en cabeza del ordenador del gasto y de los usuarios que intervinieron en el proceso.

III. PARA LAS CLAVES

1. La clave de acceso al SIIF es personal e intransferible, por consiguiente, los registros que se hagan a nombre de la cuenta del usuario, son de su absoluta responsabilidad.

2. Cuando el usuario reciba la clave de acceso al SIIF debe cambiarla inmediatamente, para lo cual se debe digitar la clave impresa en el documento de entrega de clave. Por ningún motivo se debe aceptar una clave diferente a la registrada en el documento mencionado.

3. Si no se tiene certeza de la clave ésta no se debe digitar, toda vez, que de hacerlo por tres (3) veces

consecutivas y no corresponder el sistema automáticamente inactivará al usuario.

4. El Sistema SIIF no permite utilizar claves triviales, es decir, comunes y que son de fácil acceso. Para establecer la clave se debe hacer uso tanto del teclado como de la pantalla que genera el sistema y adicionalmente, efectuar la combinación de consonantes, vocales, números, mayúsculas y minúsculas.

5. Permanente supervisión del Coordinador SIIF Entidad de la Unidad Ejecutora de las claves de losusuarios a fin de verificar las que deben estar activas y aquellas que deben ser inhabilitadas.

6. El Coordinador SIIF Entidad Unidad Ejecutora debe verificar la fecha de expiración de cada usuario del sistema y tomar las medidas a que haya lugar en forma oportuna.

7. No se debe digitar la clave en el Sistema SIIF delante de otras personas.

8. Para la solicitud de activación (crear), inactivar (eliminar), habilitar, deshabilitar y/o cambio de clave, se debe dar estricto cumplimiento a la elaboración del “Formato Solicitud Administración de Usuarios” y remitirlo junto con la documentación soporte (oficio remisorio, fotocopia de la cédula de ciudadanía del usuario, formato solicitud de restricciones-usuario perfil éste último cuando aplique e igualmente, en el oficio remisorio se debe certificar que el usuario fue previamente capacitado sobre la funcionalidad del Sistema).

9. No escribir la clave en un papel que deje a la vista de terceros.

IV. PARA LAS TERMINALES

1. Los equipos de cómputo entregados por el Ministerio de Hacienda y Crédito Público a las Unidades Ejecutoras y Regionales en Línea con el SIIF deben ser utilizados única y exclusivamente para el

registro de la información en el mismo.

2. Para las terminales que se requieran activar, inactivar, habilitar o deshabilitar se debe diligenciar el formato “Solicitud de Administración de Terminales”.

3. Es indispensable que el funcionario de Soporte Técnico así como el área de sistemas de la Unidad Ejecutora estén al tanto de la comunicación con el sistema SIIF para evitar el bloqueo, exigir el cumplimiento de las políticas de seguridad y uso del internet y monitoreo del canal, entre otros aspectos.

4. No deben existir programas de reproducción de sonido en aquellos equipos de cómputo donde está instalado el Sistema SIIF.

5. Los antivirus utilizados deben ser institucionales y además, deben estar permanentemente actualizados.

6. Una vez se haya ingresado al Sistema SIIF, no se debe dejar la terminal con el aplicativo activo, cuando el usuario no lo esté usando o no esté presente en su puesto de trabajo.

7. Cuando se presenten fallas de tipo técnico es necesario previamente diligenciar la lista de chequeo antes de enviar la Solicitud de Soporte al Ministerio de Hacienda y Crédito Público-Administración

SIIF Nación.

V. PARA CERTIFICACIÓN Y FIRMA DIGITAL

1. El certificado digital es personal e intransferible siendo por consiguiente, el funcionario responsable de su administración.

2. Se debe memorizar la clave y no darla a conocer a otros funcionarios.

3. El token (dispositivo electrónico) se debe siempre mantener en poder del usuario al cual le fueasignado quien velará por su seguridad.

4. El token solamente se puede utilizar para firmar digitalmente mensajes de datos.

5. La clave del certificado digital almacenada en el token únicamente puede ser cambiada por el

suscriptor del certificado. Certicámara S.A. no almacena ni asigna las claves. Por lo tanto, si el usuario olvida la clave implica la revocación del certificado digital asociado y la emisión de un nuevo certificado el cual estará a cargo del usuario.

6. No se debe digitar erróneamente tres veces de manera consecutiva la clave del token porque lo bloqueará. En consecuencia, la clave de protección puede ser digitada de manera errónea un máximo de dos (2) veces consecutivas. En caso de que se presente el bloqueo se debe solicitar un nuevo certificado con las implicaciones que ello conlleva en especial de costos, por lo que se insiste una vez más en su adecuado manejo.

7. No se debe someter el dispositivo electrónico o token al contacto con sustancias líquidas, consideraciones extremas de temperatura o humedad que puedan afectar su correcto funcionamiento.

8. El usuario tiene la obligación de utilizar la clave y certificado digital emitido tan sólo para los fines establecidos y autorizados de lo contrario, se hará responsable del uso indebido.

9. El usuario se debe abstener de revelar la clave o el código de activación del certificado digital así como de delegar su uso a terceras personas.

Finamente me permito solicitar por una parte, la máxima difusión de la presente Circular y por otra, el cabal cumplimiento de la misma. Concordancias Circular MINDEFENSA 80 de 2006 Circular MINDEFENSA 66 de 2006 Cordialmente, Capitán de Navío

JAIME JEFFERSON PEÑA PINZON

Director Financiero

DISTRIBUCIÓN:

Directora Administrativa MDN Director Administrativo y Financiero Comando General FF.MM. Director Financiero Ejército Nacional Director de Economía y Finanzas Armada NacionalJefe Departamento Financiero Fuerza Aérea Colombiana Director Administrativo DIMAR Director Financiero Dirección General Sanidad Militar Director Financiero Superintendencia Vigilancia y Seguridad Privada Director Financiero Comisionado Nacional para la Policía Director Financiero Fondelibertad Jefe Oficina Control Interno MDN Inspección General Comando General FF.MM. Inspección General Ejército Nacional Inspección General Armada Nacional Inspección General Fuerza Aérea Colombiana Jefe Oficina Control Interno DIMAR Jefe Oficina Control Interno Dirección General Sanidad Militar Jefe Oficina Inspección y Vigilancia Superintendencia Vigilancia y Seguridad rivada Jefe Oficina Control Interno Fondelibertad Jefe Oficina Informática MDN Director de Telemática Comando General Jefe Oficina Informática Ejército Nacional Jefe Oficina Informática Armada Nacional Jefe Dirección de Tecnología Fuerza Aérea Jefe Oficina Informática DIMAR Jefe Oficina Informática Dirección General Sanidad Militar Jefe Oficina Informática Superintendencia Vigilancia y Seguridad Privada Jefe Oficina Informática Comisionado Nacional para la Policía Jefe Oficina Informática Fondelibertad Grupo Control Presupuestal Dirección FinanzasGrupo Contabilidad General Dirección Finanzas Grupo Control Tesorería Dirección Finanzas Grupo Análisis y Difusión Dirección Finanzas

Disposiciones analizadas por Avance Jurídico Casa Editorial Ltda. Normograma del Ministerio de Defensa Nacional de la República de Colombia n.d.

Última actualización: 20 de abril de 2024