MINDEFENSA - Resolución 0463 de 2022

RESOLUCIÓN 463 DE 2022

(febrero 9) Diario Oficial No. 51.944 de 10 de febrero de 2022 MINISTERIO DE DEFENSA NACIONAL Por la cual se define el uso de las Tecnologías en la Nube para el Sector Defensa y se dictan otras disposiciones. EL MINISTRO DE DEFENSA NACIONAL, en ejercicio de las facultades legales, especialmente las que le confieren el artículo 9o y 60 de la Ley 489 de 1998, el artículo 2o del Decreto número 4890 de 2011, y CONSIDERANDO: Que la Ley 1341 del 30 de julio de 2009, por la cual se definen principios y conceptos sobre la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones (TIC), se crea la Agencia Nacional de Espectro y se dictan otras disposiciones, consagra en el artículo 2o numeral 6 dentro de los principios rectores de las Tecnologías de la Información y las Comunicaciones (TIC), la neutralidad tecnológica, así: “El Estado garantizará la libre adopción de tecnologías, teniendo en cuenta recomendaciones, conceptos y normativas de los organismos internacionales competentes e idóneos en la materia, que permitan fomentar la eficiente prestación de servicios, contenidos y aplicaciones que usen Tecnologías de la Información y las Comunicaciones y garantizar la libre y leal competencia, y que su adopción sea armónica con el desarrollo ambiental sostenible”. Sea preciso señalar que mencionado principio también se encuentra contemplado en el Decreto número 1087 <sic, 1078> del 26 de mayo de 2015, por medio del cual se

expide el Decreto Único Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones”; en el artículo 2.2.9.1.1.4 . Notas del Editor Destaca el editor que la referencia al artículo 2.2.9.1.1.4 debe entenderse al 2.2.9.1.1.3 a partir de la modificación introducida al Decreto Único 1078 por el Decreto 1008 de 2018. Que el Documento Conpes 3650 del 15 de marzo de 2010 establece la “Importancia Estratégica de la Estrategia de Gobierno en Línea” y su justificación en términos generales radica en que “La adopción y aprovechamiento de nuevas tecnologías por parte de las entidades del Estado redunda en beneficios, tanto del Gobierno como de los ciudadanos, empresas, academia y otras organizaciones relacionadas. El desarrollo de la estrategia de Gobierno en Línea ha procurado incrementar la eficiencia del Estado, permitiendo la integración de los diferentes servicios, la racionalización de recursos y la disponibilidad de información al interior de las entidades. De la misma manera, incrementa la transparencia del Estado y la participación ciudadana, utilizando nuevos canales de comunicación, tanto desde el Gobierno a los ciudadanos como en sentido inverso”. Que el Documento Conpes 3701 del 14 de julio de 2011 señala los “Lineamientos de política paraciberseguridad y ciberdefensa”; la cual tiene como objetivo central “(...) fortalecer las capacidades del Estado para enfrentar las amenazas que atentan contra la defensa y seguridad nacional en el ámbito cibernético (ciberseguridad y ciberdefensa), creando un ambiente y unas condiciones para brindar

protección en el ciberespacio”. Para tal efecto, concentra los esfuerzos del país en contrarrestar el incremento de las amenazas informáticas que lo afectaban significativamente, y en desarrollar un marco normativo e institucional para afrontar retos en aspectos de seguridad cibernética. Que el Documento Conpes 3854 del 11 de abril de 2016 trata sobre la “Política Nacional de Seguridad Digital”, que constituye la “(…) hoja de ruta para que el Gobierno, las organizaciones públicas y privadas, la fuerza pública, la academia y los ciudadanos en general cuenten con un entorno digital confiable y seguro”; el cual estipula dentro de los objetivos específicos: 5.2.4. “Fortalecer la defensa y soberanía nacional en el entorno digital con un enfoque de gestión de riesgos”, y a su vez E4.1. “Fortalecer las instancias y entidades responsables de la defensa nacional en el entorno digital” y E4.5. “Fortalecer las capacidades de los responsables de garantizar la defensa nacional en el entorno digital”. Que el Decreto número 415 del 7 de marzo de 2016, por el cual se adiciona el Decreto Único Reglamentario del sector de la Función Pública, Decreto número 1083 de 2015 en lo relacionado con la definición de los lineamientos para el fortalecimiento institucional en materia de Tecnologías de la Información y las Comunicaciones, establece en el artículo 2.2.35.3 dentro de los objetivos del fortalecimiento institucional, numeral 3 “Desarrollar los lineamientos en materia tecnológica,

necesarios para definir políticas, estrategias y prácticas que habiliten la gestión de la entidad y/o sector en beneficio de la prestación efectiva de sus servicios y que a su vez faciliten la gobernabilidad y gestión de las Tecnologías de la Información y las Comunicaciones (TIC). Así mismo, velar por el cumplimiento y actualización de las políticas y estándares en esta materia”. Que el Decreto número 1008 del 14 de junio de 2018, por el cual se establecen los lineamientos generales de la política de Gobierno Digital y se subroga el capítulo 1 del título 9 de la parte 2 del libro 2 del Decreto número 1078 de 2015; transformó la “Estrategia de Gobierno en Línea” en la “Política de Gobierno Digital”, la cual forma parte del Modelo Integrado de Planeación y Gestión (MIPG), y se integra con las políticas de Gestión y Desempeño Institucional en la dimensión operativa de Gestión para el Resultado con Valores, que “(...) busca promover una adecuada gestión interna de las entidades y un buen relacionamiento con el ciudadano, a través de la participación y la prestación de servicios de calidad”. También incentiva el “(…) uso y aprovechamiento de las Tecnologías de la Información y las Comunicaciones para consolidar un Estado y ciudadanos competitivos, proactivos e innovadores, que generen valor público en un entorno de confianza digital”. Que el Marco de Referencia de Arquitectura Empresarial para la gestión de TI, en su versión dos (2), expedido por el Ministerio de las Tecnologías de la Información y las Comunicaciones, plantea que el

Estado no debe privilegiar tecnologías, ni proveedores y, por tanto, las entidades del Estado deben hacer una evaluación de las alternativas de inversión, aplicando criterios y evaluando todas las posibilidades para obtener una buena relación costo/beneficio. Así mismo, este marco de referencia define dentro del Modelo de Arquitectura Empresarial (MAE), en el dominio de arquitectura de infraestructura TI, el lineamiento de acceso a servicios en la nube - MAE.LI.AIT.03, estableciendo el deber de evaluar como primera opción la posibilidad de prestar o adquirir los bienes y servicios asociados a la infraestructura tecnológica haciendo uso de la nube (pública, privada o híbrida), para atender las necesidades de las entidades (Mm TIC, 2019) (1) .Que la Resolución número 4240 del 15 de junio de 2018, por la cual se adopta el Modelo Integrado de Planeación y Gestión, se integra el Modelo Estándar de Control Interno en el Sector Defensa se crea el Comité de Gestión y Desempeño para el Sector Defensa; consagra en el artículo 5o dentro de las dimensiones de gestión y desempeño institucional: “Gestión con Valores para Resultados” e “Información y Comunicación”; las cuales se desarrollan por medio de las siguientes políticas de gestión y desempeño institucional: “Transparencia, acceso a la información pública y lucha contra la corrupción”, “Gobierno Digital” y “Seguridad Digital”. Que mediante la Resolución número 5563 del 2 de agosto de 2018, por la cual se formula el Plan Estratégico de Tecnologías de la Información y las Comunicaciones del Sector Defensa y Seguridad

2018-2022 y se emiten otros lineamientos relacionados con las Tecnologías de la Información y las Comunicaciones en el Sector Defensa, se establece en el artículo 8o la estrategia sectorial para la gestión de tecnologías de la información y las comunicaciones del Ministerio de Defensa Nacional, el cual fija el alcance del elemento de la estrategia “Infraestructura” - enfoque “Nube Sectorial” así: “desarrollar y ejecutar los estándares y la estrategia para contar con una solución de nube sectorial bajo un ambiente seguro”. Que mediante la Directiva Presidencial 03 del 15 de marzo de 2021, por la cual se expiden “Lineamientos para el uso de servicios en la nube/ inteligencia artificial seguridad digital y gestión de datos”; en su numeral 1 Uso de servicios de nube precisa directrices para la adopción de esta Tecnología en las Entidades Públicas. Que, en virtud de lo anterior, es necesario definir los lineamientos generales y mínimos que habiliten el uso de Servicios de Tecnologías en la Nube para el Sector Defensa, con un enfoque de generación de valor público, que habilite las capacidades y servicios de tecnología necesarios para impulsar las transformaciones en el desarrollo del mismo, la eficiencia y transparencia del Estado,

RESUELVE:

CAPÍTULO I.

GENERALIDADES Y CONCEPTOS.

ARTÍCULO 1o. DEFINICIÓN DE TECNOLOGÍAS EN LA NUBE - SECTOR DEFENSA. El Ministerio de Defensa Nacional, en coherencia con la definición del Ministerio de las Tecnologías de la

Información y las Comunicaciones, adopta la definición de Cloud Computing del Instituto Nacional de Estándares y Tecnología (NIST, por su nombre en inglés) del Gobierno de Estados Unidos, el cual establece que el uso de tecnologías en la Nube, es un modelo para habilitar el acceso conveniente por demanda, según sea solicitado, a un conjunto compartido de recursos computacionales configurables, por ejemplo, redes, servidores, almacenamiento, aplicaciones y servicios, que pueden ser rápidamente aprovisionados y liberados con un esfuerzo mínimo de administración o de interacción con el proveedor de servicios. PARÁGRAFO. Para los efectos de esta Resolución, se adopta la definición del NIST para Cloud Computing. El término a utilizar por las unidades ejecutoras y dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas del Sector Defensa es Tecnologías en la Nube.ARTÍCULO 2o. CARACTERÍSTICAS ESENCIALES DE LOS SERVICIOS DE TECNOLOGÍAS EN LA NUBE. Las soluciones basadas en Tecnologías en la Nube a implementar por las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa deben garantizar que cuentan con las siguientes cinco (5) características esenciales: 1) Autoservicio por demanda: Los servicios de Tecnologías en la Nube deben aprovisionar, de manera unilateral, capacidades de cómputo o recursos de computación en la medida en que las requiera sin necesidad de interacción humana por parte del proveedor del servicio. Aprovisionar corresponde a la

posibilidad de contratar, abastecer o asignar recursos computacionales en el periodo que sea requerido. 2) Acceso amplio a la red: Las capacidades de los servicios de Tecnologías en la Nube deben estar disponibles sobre la red y deben accederse a través de mecanismos estándares. 3) Conjunto común de recursos: Los recursos computacionales del proveedor de servicios de tecnologías en la nube, tanto físicos como virtuales, se deben habilitar con todas las medidas de seguridad de acuerdo con los requerimientos del Sector Defensa. 4) Elasticidad y Rápida Escalabilidad: Las capacidades de los servicios de Tecnologías en la Nube deben ser escalados y aprovisionados rápida y elásticamente, además, en los casos más sensibles, deben ser automáticos. La elasticidad debe permitir una provisión de servicios que puede parecer ilimitada o a la medida en cualquier cantidad y momento. 5) Servicio medible: Los sistemas en la nube automáticamente controlan y optimizan el uso de los recursos dotándose de capacidades para medir su rendimiento en un nivel de abstracción suficiente para la naturaleza del servicio proporcionado. Además, dicho control debe permitir ser monitoreado y reportado de manera transparente tanto al proveedor del servicio como al consumidor de este. ARTÍCULO 3o. PRINCIPIOS DE LOS SERVICIOS BASADOS EN TECNOLOGÍAS EN LA NUBE EN EL SECTOR DEFENSA. La adopción de servicios basados en Tecnologías en la Nube por parte de las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa, estará orientado a cumplir con las buenas

prácticas y estándares aprobados y adoptados, principalmente por asociaciones internacionales reconocidas por el desarrollo de metodologías, estándares y certificaciones para la realización de actividades de auditoría y control en tecnologías y sistemas de información. Por esta razón se adoptan los siguientes principios: a) Enfoque Estratégico: Planificar las Tecnologías en la Nube como un habilitador estratégico más que como un simple acuerdo de tercerización o como una plataforma tecnológica. La adopción y uso de Tecnologías en la Nube debe ser tratada como una decisión estratégica de alto impacto en el cumplimiento de la misión institucional. b) Costo - Beneficio: Evaluar los beneficios del uso de Tecnologías en la Nube a partir de una comprensión completa de sus costos asociados, comparados con otras soluciones tecnológicas, incluyendo los asociados a sostenibilidad y mantenimiento. La adopción de soluciones basadas enTecnología en la Nube debe impactar, de manera directa, en la reducción de la inversión en tecnologías, al tiempo que debe garantizar el fácil acceso a los recursos tecnológicos y a los sistemas de información. c) Riesgo Sectorial: Adoptar una perspectiva de gestión de riesgo sectorial para dirigir la adopción y el uso de la Nube. Las soluciones de infraestructura en la Nube deben, además de mitigar los riesgos asociados a factores naturales, al hacer uso de centros de datos fuera de las instalaciones de la institución o entidad, también garantizar la seguridad de la información, mediante los más estrictos niveles de acceso físico y digital, así como verificar la disponibilidad y preservación de datos clave en

caso de siniestros o daños causados por fenómenos naturales. d) Capacidad: Integrar todas las capacidades que los proveedores de Tecnologías en la Nube ofrezcan, con los recursos propios, para ofrecer una solución técnica integral. Al implementar o desarrollar soluciones basadas en Tecnologías en la Nube, se debe garantizar su acceso en cualquier momento o desde cualquier lugar, sin requerir de inversiones elevadas en hardware ni software, manteniendo los Acuerdos de Nivel de Servicio (ANS), o Service Level Agreement (SLA). e) Responsabilidad: Gestionar la responsabilidad, mediante una definición clara de lo que corresponde al proveedor y al usuario, en este caso, el Sector Defensa. Las soluciones de Tecnologías en la Nube deben facilitar el soporte y el monitoreo. Así mismo, deben permitir la generación de estadísticas y la realización de auditorías internas y externas. f) Confianza: Hacer de la confianza un elemento esencial de las soluciones de Tecnologías en la Nube, incorporándola en todos los procesos misionales que dependen de la Nube. g) Seguridad: Los servicios de Tecnologías en la Nube deben aplicar las medidas de seguridad necesarias para garantizar la integridad, disponibilidad y confidencialidad de la información de la institución y sobre la base de una aproximación basada en el riesgo, deberán establecerse medidas de mitigación y control acordes con el nivel de riesgo. De igual manera, deberán cumplir con los requisitos establecidos en la normatividad vigente y con los niveles de seguridad adecuados para los servicios que presta cada unidad ejecutora o dependencia del Ministerio de Defensa Nacional, la Policía Nacional y demás entidades adscritas y vinculadas al sector defensa.”.

ARTÍCULO 4o. MODELOS DE DESPLIEGUE DE TECNOLOGÍAS EN LA NUBE. Las

presta cada unidad ejecutora o dependencia del Ministerio de Defensa Nacional, la Policía Nacional y demás entidades adscritas y vinculadas al sector defensa.”. ARTÍCULO 4o. MODELOS DE DESPLIEGUE DE TECNOLOGÍAS EN LA NUBE. Las definiciones de los modelos de despliegue de Tecnologías en la Nube que pueden ser objeto de estudio para contratación o adquisición como solución en las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Ministerio de Defensa Nacional, son los siguientes: a) Nube Privada: La infraestructura de la Nube es operada únicamente para una organización. Puede ser administrada por la organización o por un tercero y puede existir tanto en las instalaciones de la organización como fuera de ellas. b) Nube de Comunidad: La infraestructura de la Nube es compartida por varias organizaciones y soporta una comunidad específica que tiene preocupaciones compartidas (por ejemplo, misión, requisitos de seguridad, política y consideraciones de cumplimiento). Puede ser administrado por las organizaciones o un tercero y puede existir tanto en las instalaciones de las organizaciones como fuerade ellas. c) Nube Pública: La infraestructura de la Nube se pone a disposición del público en general o de un gran grupo industrial y es propiedad de una organización que vende servicios en la Nube. d) Nube Híbrida: La infraestructura de la Nube es una composición de dos o más nubes (privadas, comunitarias o públicas) que siguen siendo entidades únicas, pero están unidas entre sí por una

tecnología normalizada o propietaria que permite la portabilidad de datos y aplicaciones. PARÁGRAFO. Es responsabilidad de cada Entidad evaluar el tipo de información que podrá ser gestionada en cada uno de los modelos de despliegue de tecnologías en la nube, señalados en el presente artículo, teniendo en cuenta lo dispuesto en el artículo 2.1.1.4.2.1 del Decreto número 1081 de 2015, por el cual se expide el Decreto Reglamentario Único del Sector Presidencia de la República, en especial lo referente a la información considerada como PÚBLICA RESERVADA, conforme a lo cual la Entidad podrá contratar el modelo de despliegue de tecnología en la nube que se considere más adecuado, de acuerdo a lo definido en el literal e) del artículo 11 de la presente resolución. ARTÍCULO 5o. MODELOS DE SERVICIO EN LA NUBE. Las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa podrán optar por cualquiera de los siguientes modelos de servicio en la Nube: a) Infraestructura como Servicio (IaaS). La capacidad proporcionada al consumidor es proveer procesamiento, almacenamiento, redes y otros recursos de computación fundamentales, en el cual el consumidor tiene control sobre los sistemas operativos, el almacenamiento, las aplicaciones implementadas y, posiblemente, el control limitado de determinados componentes de red. b) Plataforma como Servicio (PaaS). La capacidad proporcionada al consumidor es la capacidad de desplegar en la infraestructura de nube aplicaciones creadas por el propio consumidor, o adquiridas,

utilizando lenguajes de programación y herramientas soportadas por el proveedor, tiene control sobre las aplicaciones implementadas y, de manera limitada, sobre las configuraciones del entorno de hospedaje de aplicaciones. c) Software como Servicio (SaaS). La capacidad proporcionada al consumidor es utilizar las aplicaciones del proveedor que se ejecutan en una infraestructura en la nube. Las aplicaciones son accesibles desde varios dispositivos cliente a través de una interfaz de cliente ligero como un navegador web.

CAPÍTULO II.

POLÍTICA DE TECNOLOGÍAS EN LA NUBE.

ARTÍCULO 6o. OBJETIVO DE LA POLÍTICA DE TECNOLOGÍAS EN LA NUBE DEL SECTOR DEFENSA. Establecer los lineamientos mínimos necesarios para habilitar el uso de los servicios de Tecnologías en la Nube en las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa, con elfin de reducir costos, aumentar la productividad y desarrollar mejores servicios en apoyo a la misión institucional, facilitando la interoperabilidad en el Sector Defensa y garantizando un máximo aprovechamiento de los recursos TIC disponibles. ARTÍCULO 7o. ALCANCE. La Política de Tecnologías en la Nube es aplicable a cualquier adquisición o contratación de Tecnologías en la Nube, para implementación y/o migración de soluciones nuevas o existentes, que realicen las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas del Sector Defensa, para proveer servicios institucionales y/o sectoriales, a través de un proveedor externo. ARTÍCULO 8o. CUMPLIMIENTO DE LA LEGISLACIÓN VIGENTE. Independientemente del tipo de solución de tecnologías en la nube elegida, las unidades ejecutoras, la Policía Nacional y las

ARTÍCULO 8o. CUMPLIMIENTO DE LA LEGISLACIÓN VIGENTE. Independientemente del tipo de solución de tecnologías en la nube elegida, las unidades ejecutoras, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa deben demostrar el cumplimiento de toda la normatividad y regulación vigente aplicable, incluyendo lo relacionado con el manejo de bases de datos personales e información sensible, particularmente lo establecido por las Leyes 1266 de 2008, Ley 1581 de 2012, Ley 1621 de 2013 y Ley 1712 de 2014. ARTÍCULO 9o. DECISIÓN SOBRE SOLUCIONES DE TECNOLOGÍAS EN LA NUBE. Las soluciones basadas en Tecnologías en la Nube en todas las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa obedecerán a los principios, características y modelos establecidos en la presente resolución y se considerarán, junto con las soluciones tradicionales de Infraestructura y Servicios Tecnológicos en Centros de Datos propios, como una respuesta válida y adecuada a las necesidades existentes. Exceptuando lo descrito en el literal e) del artículo 11 de la presente resolución, si una solución basada en la nube satisface las necesidades de cumplimiento de la misión institucional, demostrando su seguridad, viabilidad técnica y financiera, así como su sostenibilidad, se preferirá ésta a una solución propia tradicional. PARÁGRAFO. Sin perjuicio de lo descrito en la presente resolución, el Sector Defensa, en cabeza de la

Dirección de Tecnologías de la Información y las Comunicaciones (TIC), del Ministerio de Defensa Nacional, enfocará sus esfuerzos y realizará los estudios necesarios que permitan establecer la viabilidad de contar con un modelo sectorial de nube privada o de comunidad, de manera tal que se brinden servicios basados en Tecnologías en la Nube de manera conjunta a las unidades ejecutoras, dependencias, instituciones y entidades que conforman el Sector Defensa, en cualquier escenario de unificación y consolidación de infraestructura, servicios tecnológicos y centros de datos. ARTÍCULO 10. ASPECTOS FUNDAMENTALES EN SOLUCIONES DE TECNOLOGÍAS EN LA NUBE. Como parte del proceso de decisión sobre la adopción e implementación de una solución basada en Tecnologías en la Nube, las unidades ejecutoras del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas del Sector Defensa, deben aplicar sin excepción lo siguiente: a) Las soluciones ofrecidas, basadas en Tecnologías en la Nube, se evaluarán caso por caso en función de las políticas, los principios, los lineamientos y las normas nacionales, sectoriales e institucionales.b) Las soluciones basadas en Tecnologías en la Nube deberán ofrecer los mismos o mejores niveles de servicio (SLA), que una solución propia interna en sitio (on-premise) para garantizar la continuidad del negocio, en línea con los requisitos del servicio que se está entregando. c) Las soluciones basadas en tecnologías en la nube deberán cumplir con toda la normatividad y

regulación vigente de privacidad, confidencialidad y disponibilidad aplicables a nivel nacional, sectorial e institucional. En caso de tratamiento de datos personales, se debe aplicar lo referido en la sección 3.2 del Título V de la Circular Única de la SIC. Las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional o las entidades adscritas y vinculadas al Sector Defensa que adquieran servicios de Tecnologías en la Nube serán responsables de asegurar los roles y las responsabilidades relacionadas con el manejo de datos. Así mismo, serán responsables de que la privacidad, confidencialidad y disponibilidad de la información esté clara y adecuadamente definida en los respectivos acuerdos de servicios del proveedor de Tecnologías en la Nube. d) La información almacenada en los diferentes sistemas tecnológicos deberá ser clasificada conforme a lo establecido en la Ley 1712 de 2014, por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se dictan otras disposiciones. De igual manera, se deberá efectuar el inventario de Activos Sensibles. Conforme a lo definido en la Ley 1712 de 2014, sólo la información clasificada como PÚBLICA RESERVADA deberá contar con estudio y justificación que permita almacenarla en una solución o servicio basado en Tecnologías en Nube pública. e) Ninguna información o sistema de información, de inteligencia o de carácter operacional, de las Fuerzas Militares o de la Policía Nacional, por ser considerada PÚBLICA RESERVADA de acuerdo a establecido en el artículo 2.1.1.4.2.1 del Decreto número 1081 de 2015, podrá ser almacenada o contratada en servicios en la nube pública o híbrida, salvo que sea nube pública con infraestructura

establecido en el artículo 2.1.1.4.2.1 del Decreto número 1081 de 2015, podrá ser almacenada o contratada en servicios en la nube pública o híbrida, salvo que sea nube pública con infraestructura dedicada. Para este efecto, deberán considerarse exclusivamente servicios de nube privada, mediante la garantía del proveedor que se destinará infraestructura física ubicada dentro del territorio colombiano y de manera exclusiva, descartando el concepto de “multi-tenant”. f) Para sistemas de información empresariales como CRM, ERP, o SCM, propios de un fabricante, con información clasificada como PÚBLICA RESERVADA, podrán implementarse o migrarse totalmente, incluyendo la infraestructura que los soporta en sitio, a soluciones basadas en servicios de nube privada, incluso fuera del territorio colombiano, siempre y cuando el fabricante disponga de infraestructura física exclusiva y garantice la soberanía de los datos. Cuando el proveedor se trate de un tercero diferente al fabricante, éste deberá estar habilitado y contar con certificación vigente emitida por la casa matriz del fabricante, garantizando que se realizará bajo el modelo de nube privada y que se destinará infraestructura física ubicada dentro del territorio colombiano y de manera exclusiva, descartando en este caso particular el concepto de “multi-tenant”. En ambos casos, debe prevalecer la salvaguarda de la información de seguridad y defensa nacional”. g) Al tratarse de un servicio totalmente dependiente de una conexión a internet, se deben realizar los estudios necesarios que permitan establecer la necesidad de contratación de un mayor ancho de banda eimplementación de políticas de calidad de servicio o conexiones alternas, para evitar problemas de

cuellos de botella en el acceso a las aplicaciones o para prevenir accesibilidad lenta que puedan poner en riesgo el desempeño de las aplicaciones. Adicionalmente, se deberán actualizar los planes de capacidad sobre los servicios de TI, así como revisar y ajustar las condiciones técnicas, como el ancho de banda, la latencia del servicio, la pérdida de paquetes, los delays (retraso) y las tecnologías a utilizar. h) Establecer los impactos que tendría la implementación de la solución sobre la estabilidad operacional o el rendimiento de los sistemas centrales de la respectiva unidad ejecutora o dependencia del Ministerio de Defensa Nacional, la Policía Nacional o las entidades adscritas y vinculadas del Sector Defensa. i) Establecer los mecanismos que permitan mantener y dar cumplimiento a los requerimientos de seguridad, confiabilidad, integridad y disponibilidad de la información. j) Establecer y documentar los mecanismos de portabilidad de la información y el proceso de migración entre plataformas que garanticen la disponibilidad de datos y los servicios prestados, en caso de tomar la decisión de trasladar, desde la nube originalmente contratada a otra nube distinta, la información existente, garantizando así la integridad de la información y evitando los costos adicionales. k) Las soluciones de computación en la nube tendrán los procesos y controles de entrega que son utilizados para cualquier otra solución de tecnología en el Sector Defensa. Se deberán establecer pólizas de responsabilidad en caso de que se presenten pérdidas de la información que generen afectación de la imagen institucional. PARÁGRAFO. Cuando se requiera hacer uso de analítica de datos o procesos que requieran la

implementación de proyectos de inteligencia artificial, se podrá almacenar o contratar servicios de nube pública.

ARTÍCULO 11. SEGURIDAD EN LAS SOLUCIONES CON TECNOLOGÍAS EN LA NUBE.

Las unidades ejecutoras o dependencias del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas al Sector Defensa tendrán la responsabilidad de asegurar que la adopción, implementación o migración de una solución basada en Tecnologías en la Nube sea confiable y segura, teniendo en cuenta la disponibilidad para proporcionar, de manera prospectiva, los servicios de TI. Así mismo, deberán establecer las necesidades particulares de seguridad de cada solución, las pruebas específicas y la periodicidad para las siguientes consideraciones mínimas: a) Características de los datos para evaluar las proteccio