MINDEFENSA - Resolución 7870 de 2022

RESOLUCIÓN 7870 DE 2022

(diciembre 26) Diario Oficial No. 52.259 de 26 de diciembre de 2022 MINISTERIO DE DEFENSA NACIONAL Por la cual se emite y adopta la Política General de Seguridad y Privacidad de la información, Seguridad Digital, Ciberseguridad y Continuidad de los Servicios Tecnológicos en las Unidades Ejecutoras o Dependencias del Ministerio de Defensa Nacional, Policía Nacional y entidades adscritas y vinculadas al Sector Defensa, y se dictan otras disposiciones. EL MINISTRO DE DEFENSA NACIONAL, en uso de sus facultades constitucionales y legales, en particular las conferidas en el artículo 208 de la Constitución Política, artículos 58 , 59 y 61 de la Ley 489 de 1998, en concordancia con el artículo 3 o. numerales 2 y 5 del Decreto número 1874 de 2021, y CONSIDERANDO: Que la Constitución Política de Colombia en su artículo 15 dispone que “Todas las personas tienen derecho a su intimidad personal y familiar y a su buen nombre, y el Estado debe respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ellas en bancos de datos y en archivos de entidades públicas y privadas. (...)”. Que el artículo 4 o. de la Ley 565 del 2 de febrero de 2000, por medio de la cual se aprueba el Tratado de la OMPI - Organización Mundial de la Propiedad Intelectual - sobre Derechos de Autor (WCT) (...)”; establece que “Los programas de ordenador están protegidos como obras literarias en el marco de

lo dispuesto en el artículo 2 o. del Convenio de Berna. Dicha protección se aplica a los programas de ordenador, cualquiera que sea su modo o forma de expresión”. Que la Ley 594 del 14 de julio del 2000, por medio de la cual se dicta la Ley General de Archivos y se dictan otras disposiciones, y reglamentado por el Decreto número 2609 de 2012, por el cual se reglamenta el Título V de la Ley 594 de 2000 y se dictan otras disposiciones en materia de Gestión documental para todas las Entidades del Estado, establece las reglas y principios generales que regulan la función archivística del Estado. Que en el artículo 2 o. de la Ley 1221 del 16 de julio de 2008, por la cual se establecen normas para promover y regular el Teletrabajo y se dictan otras disposiciones, se define el Teletrabajo como una forma de organización laboral, que consiste en el desempeño de actividades remuneradas o prestación de servicios a terceros utilizando como soporte las tecnologías de la información y la comunicaciónTIC para el contacto entre el trabajador y la empresa, sin requerirse la presencia física del trabajador en un sitio específico de trabajo. Que en el artículo 2 o. numeral 8 de la Ley 1341 del 30 de julio de 2009, por la cual se definen principios y conceptos sobre la sociedad de la información y la organización de las tecnologías de la información y las comunicaciones (TIC), se crea la Agencia Nacional del Espectro y se dictan otrasdisposiciones, señala conforme al principio de “Masificación del Gobierno en Línea” hoy Gobierno

Digital, que “las entidades públicas deberán adoptar todas las medidas necesarias para garantizar el máximo aprovechamiento de las Tecnologías de la Información y las Comunicaciones en el desarrollo de sus funciones”. Que la Ley 1621 de 2013, por medio de la cual se expiden normas para fortalecer el Marco Jurídico que permite a los organismos que llevan a cabo actividades de inteligencia y contrainteligencia cumplir con su misión constitucional y legal, y se dictan otras disposiciones, y el Capítulo 12 , Título 3, Parte 2, del Libro 2 del Decreto número 1070 de 2015, por el cual se expide el Decreto Único Reglamentario del Sector Administrativo de Defensa, adicionado por el artículo 1 o. del Decreto número 2149 del 20 de diciembre de 2017, consolidan los parámetros para garantizar la reserva legal de la información de inteligencia y contrainteligencia y determinan los criterios en materia de seguridad de la información, entre ellos, la creación de los Centros de Protección de Datos y Archivos de Inteligencia al interior de cada uno de estos organismos especializados. Que la Ley 1712 de 2014, por medio de la cual se crea la Ley de Transparencia y del Derecho de Acceso a la Información Pública Nacional y se dictan otras disposiciones, tiene como objeto regular el derecho de acceso a la información pública, los procedimientos para el ejercicio y garantía del derecho y las excepciones a la publicidad de información. Que el artículo 147 de la Ley 1955 de 2019, por el cual se expide el Plan Nacional de Desarrollo 20182022 “Pacto por Colombia, Pacto por la Equidad” en relación con la Transformación Digital Pública establece que: “Las entidades estatales del orden nacional deberán incorporar en sus respectivos planes de acción el componente de transformación digital siguiendo los estándares que para este propósito defina el Ministerio de Tecnologías de la Información y las Comunicaciones (...)”. Asimismo, especifica que los proyectos estratégicos de transformación digital se orientarán, entre otros, por el principio de “Aplicación y aprovechamiento de estándares, modelos, normas y herramientas que permitan la adecuada gestión de riesgos de seguridad digital, para generar confianza en los procesos de las entidades públicas y garantizar la protección de datos personales”. Acorde con este principio, el artículo 230 de la Ley 1450 de 2011, modificado por el artículo 148 de la Ley 1955 de 2019 señala que “Todas las entidades de la administración pública deberán adelantar las acciones que señale el Gobierno nacional a través de Ministerio de Tecnologías de la Información y las Comunicaciones para la implementación de la Política de Gobierno Digital”, y dentro de las acciones prioritarias se encuentra el cumplimiento de los lineamientos y estándares para el incremento de la confianza y la seguridad digital. Que el artículo 1 o. de la Ley 2088 del 12 de mayo de 2021, por la cual se regula el trabajo en casa y se dictan otras disposiciones, regula la habilitación del trabajo en casa como una forma de prestación del servicio en situaciones ocasionales, excepcionales o especiales, que se presenten en el marco de una relación laboral, legal y reglamentaria con el Estado o con el sector privado, sin que conlleve variación de las condiciones laborales establecidas o pactadas al inicio de la relación laboral. Que el artículo 2.2.35.3 del Decreto número 415 del 7 de marzo de 2016, por el cual se adiciona el

de las condiciones laborales establecidas o pactadas al inicio de la relación laboral. Que el artículo 2.2.35.3 del Decreto número 415 del 7 de marzo de 2016, por el cual se adiciona el Decreto Único Reglamentario del sector de la Función Pública, Decreto número 1083 de 2015, en lo relacionado con la definición de los lineamientos para el fortalecimiento institucional en materia de Tecnologías de la Información y las Comunicaciones, establece dentro de los objetivos del fortalecimiento institucional, numeral 3 “Desarrollar los lineamientos en materia tecnológica,necesarios para definir políticas, estrategias y prácticas que habiliten la gestión de la entidad y/o sector en beneficio de la prestación efectiva de sus servicios y que a su vez faciliten la gobernabilidad y gestión de las Tecnologías de la Información y las Comunicaciones (TIC). Así mismo, velar por el cumplimiento y actualización de las políticas y estándares en esta materia”. Que el artículo 2.2.22.2.1 del Decreto número 1499 del 11 de septiembre de 2017, por medio del cual se modifica el Decreto número 1083 de 2015, Decreto Único Reglamentario del Sector Función Pública, en lo relacionado con el Sistema de Gestión establecido en el artículo 133 de la Ley 1753 de 2015, establece las Políticas de Gestión y Desempeño institucional, indicando entre otras “11. Gobierno Digital, antes Gobierno en Línea” y “12. Seguridad Digital”. Así mismo, en la misma normatividad se adoptó en el artículo 2.2.22.3.2 el Modelo Integrado de Planeación y Gestión (MIPG), definiéndolo como “... un marco de referencia para dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar

adoptó en el artículo 2.2.22.3.2 el Modelo Integrado de Planeación y Gestión (MIPG), definiéndolo como “... un marco de referencia para dirigir, planear, ejecutar, hacer seguimiento, evaluar y controlar la gestión de las entidades y organismos públicos, con el fin de generar resultados que atiendan los planes de desarrollo y resuelvan las necesidades y problemas de los ciudadanos, con integridad y calidad en el servicio”. Que el parágrafo del artículo 16 del Decreto número 2106 de 2019, por el cual se dictan normas para simplificar, suprimir y reformar trámites, procesos y procedimientos innecesarios existentes en la administración pública, señala que las autoridades deberán disponer de una estrategia de seguridad digital siguiendo los lineamientos que emita el Ministerio de Tecnologías de la Información y las Comunicaciones. Que mediante Decreto número 1874 del 30 de diciembre de 2021, por el cual se modifica la estructura del Ministerio de Defensa Nacional, se crean nuevas dependencias, funciones y se dictan otras disposiciones; se crea la Dirección de Tecnologías de la Información y las Comunicaciones (TIC) y la Oficina de Respuesta a Incidentes Cibernéticos - CSIRT, dependencia última a la cual se le asignan, entre otras, las funciones de “Formular e implementar las políticas de ciberseguridad y ciberdefensa de la infraestructura crítica del Sector Defensa, con la cooperación de los organismos de seguridad del Sector, hacer seguimiento, medición, análisis y evaluación” y “Generar e implementar los protocolos, lineamientos, guías, estándares, buenas prácticas y recomendaciones de ciberseguridad y ciberdefensa para el Sector Defensa y hacer su seguimiento, medición, análisis y evaluación”. Que mediante el Decreto número 338 del 8 de marzo de 2022, por el cual se adiciona el Título 21

para el Sector Defensa y hacer su seguimiento, medición, análisis y evaluación”. Que mediante el Decreto número 338 del 8 de marzo de 2022, por el cual se adiciona el Título 21 a la Parte 2 del Libro 2 del Decreto Único 1078 de 2015, Reglamentario del Sector de Tecnologías de la Información y las Comunicaciones, con el fin de establecer los lineamientos generales para fortalecer la gobernanza de la Seguridad Digital, se crea el Modelo y las instancias de Gobernanza de Seguridad Digital y se dictan otras disposiciones, establece los lineamientos generales para fortalecer la gobernanza de la seguridad digital, la identificación de infraestructuras críticas cibernéticas y servicios esenciales, la gestión de riesgos y la respuesta a incidentes de seguridad digital. Que a través del Documento Conpes 3701 del 14 de julio de 2011 “LINEAMIENTOS DE POLÍTICA PARA LA CIBERSEGURIDAD Y CIBERDEFENSA”, dentro de sus objetivos específicos, se implementaron instancias para prevenir, coordinar, atender, controlar, generar recomendaciones y regular los incidentes y los riesgos que atentan contra la ciberseguridad y ciberdefensa nacional. Siendo estructural, la importancia de conformar organismos con la capacidad técnica y operativa necesaria para la defensa y seguridad en materia de seguridad digital.Que el Documento Conpes 3854 del 11 de abril de 2016 “POLÍTICA NACIONAL DE SEGURIDAD DIGITAL”, el cual incluye la gestión de riesgo como uno de los elementos más importantes para

abordar la seguridad digital, plantea dentro de los objetivos específicos: 5.2.4. “Fortalecer la defensa y soberanía nacional en el entorno digital con un enfoque de gestión de riesgos”, y a su vez en los literales E4.1. “Fortalecer las instancias y entidades responsables de la defensa nacional en el entorno digital (DE1)” y E4.5. “Fortalecer las capacidades de los responsables de garantizar la defensa nacional en el entorno digital (DE5)”, siendo uno de los principales aportes de esta política el enfoque de gestión de riesgos, es decir, con una visión preventiva antes que reactiva ante las posibles amenazas en seguridad digital. Que el Documento Conpes 3995 del 1o. de julio de 2020 “POLÍTICA NACIONAL DE CONFIANZA Y SEGURIDAD DIGITAL”; el cual tiene como objetivo general “Establecer medidas para desarrollar la confianza digital a través de la mejora de la seguridad digital (…)”, estipula dentro de los objetivos específicos: “OE 1. Fortalecer las capacidades en seguridad digital de los ciudadanos, del sector público y del sector privado para aumentar la confianza digital en el país”. Que el Documento Conpes 4069 del 20 de diciembre de 2021 “POLÍTICA NACIONAL DE CIENCIA, TECNOLOGÍA E INNOVACIÓN 2022-2031”; señaló como objetivo general Incrementar la contribución de la CTI (Ciencia, la Tecnología, y la Innovación) al desarrollo social, económico, ambiental, y sostenible, del país con un enfoque diferencial, territorial, y participativo, para contribuir a lograr los cambios culturales que promuevan una sociedad del conocimiento. Que mediante la Resolución número 500 del 10 de marzo 2021 del Ministerio de Tecnologías de la Información y las Comunicaciones, por la cual se establecen los lineamientos y estándares para la

lograr los cambios culturales que promuevan una sociedad del conocimiento. Que mediante la Resolución número 500 del 10 de marzo 2021 del Ministerio de Tecnologías de la Información y las Comunicaciones, por la cual se establecen los lineamientos y estándares para la estrategia de seguridad digital y se adopta el modelo de seguridad y privacidad como habilitador de la política de Gobierno Digital, se estableció como lineamientos generales para la implementación del Modelo de Seguridad y Privacidad de la Información (MSPI), la guía de gestión de riesgos de seguridad de la Información y el procedimiento para la gestión de los incidentes de seguridad digital, y, establecer los lineamientos y estándares para la estrategia de seguridad digital. Que mediante la Resolución número 463 del 9 de febrero de 2022 del Ministerio de Defensa Nacional, por la cual se define el uso de las Tecnologías en la Nube para el Sector Defensa y se dictan otras disposiciones. indica en relación con la seguridad en las soluciones con tecnologías de la nube, que el Sector Defensa tendrá la responsabilidad de asegurar que la adopción, implementación o migración de una solución basada en Tecnologías en la Nube sea confiable y segura, teniendo en cuenta la disponibilidad para proporcionar, de manera prospectiva, los servicios de tecnologías de la información. Así mismo, se deberá establecer las necesidades particulares de seguridad de cada solución, las pruebas específicas y la periodicidad para las siguientes consideraciones mínimas: Que mediante Resolución número 1463 del 28 de marzo de 2022 del Ministerio de Defensa Nacional, por la cual se modifica y adiciona la Resolución número 0028

del 7 de enero de 2022, por la cual se crean y organizan Grupos Internos de Trabajo del Ministerio de Defensa Nacional - Unidad de Gestión General, se crearon los Grupos Internos de Trabajo del Despacho del Ministro de Defensa Nacional. Que mediante la Resolución número 1621 del 6 de abril de 2022, por la cual se adopta el Modelo Integrado de Planeación y Gestión y se integra el Modelo Estándar de Control Interno, se conforma el Comité Institucional de Gestión y Desempeño y el Subcomité de Coordinación del Sistema de ControlInterno en la Unidad de Gestión General del Ministerio de Defensa Nacional y se derogan unas resoluciones, y sus reglamentaciones, modificaciones y adiciones, establece que el MIPG tiene por objeto dirigir la gestión pública al mejor desempeño institucional y a la consecución de resultados para la satisfacción de las necesidades y el goce efectivo de los derechos de los ciudadanos, en el marco de la legalidad y la integridad. Que a través de la Directiva Permanente 0018 del 19 de junio de 2014 del Ministerio de Defensa Nacional, se establecen y difunden los criterios con el propósito de preservar la confidencialidad, integridad y disponibilidad de la información a fin de fortalecer la continuidad de las actividades administrativas, operativas y logísticas del sector defensa. Que mediante la Directiva Permanente 03 del 23 de enero de 2019 “Lineamientos para la definición de la Política de Tratamiento de Datos Personales en el Ministerio de Defensa Nacional”, se establecieron

los lineamientos para la adopción de la política frente a la recolección, manejo, tratamiento y protección de datos personales y privacidad de todas las personas con el propósito de garantizar y proteger el derecho fundamental de hábeas data. Así mismo, unificar los criterios a publicar en sus respectivos sitios web relacionados con los términos y condiciones de uso. Que mediante Directiva Presidencial 03 del 15 de marzo de 2021 “Lineamientos para el uso de servicios en la nube, inteligencia artificial, seguridad digital y gestión de datos”, frente a la Seguridad Digital, precisa directrices con el fin de fortalecer las capacidades y la funcionalidad de las entidades en términos de ciberseguridad y resiliencia corporativa. Que mediante Directiva Presidencial 02 del 24 de febrero de 2022 “Reiteración de la política pública en materia de seguridad digital” se reitera que en desarrollo de la Política de Gobierno Digital y su Manual de Implementación, es responsabilidad de los representantes legales de las entidades públicas del orden nacional, coordinar, hacer seguimiento y verificación de la implementación de la Política de Gobierno Digital, así como garantizar el desarrollo integral de la política al interior de sus entidades, entendiendo que esta es un eje transversal y apalancador de su gestión interna, que apoya el desarrollo de las políticas de gestión y desempeño institucional. Que la Norma Técnica Colombiana NTC-ISO-IEC 27001 del 11 diciembre de 2013 “TECNOLOGÍA DE LA INFORMACIÓN. TÉCNICAS DE SEGURIDAD. SISTEMAS DE GESTIÓN DE LA

SEGURIDAD DE LA INFORMACIÓN. REQUISITOS”, tiene como propósito, especificar los requisitos para establecer, implementar, mantener y mejorar continuamente un sistema de gestión de la seguridad de la información, así como también los requisitos para la valoración y el tratamiento de riesgos de seguridad de la información, adaptados a las necesidades del contexto de la organización. Que conforme a los cambios normativos y madurez en el sistema de Gestión de Seguridad de la Información, se hace necesaria complementar la Directiva Permanente 0018 del 19 de junio de 2014 del Ministerio de Defensa Nacional -DIR2014-18- “Políticas de Seguridad de la Información para el Sector Defensa” donde se definieron los lineamientos para fortalecer la Seguridad Digital y Continuidad de las Operaciones, en las entidades del Sector Defensa. En mérito de lo expuesto,

RESUELVE:CAPÍTULO I.

DISPOSICIONES GENERALES.

ARTÍCULO 1o. OBJETO. La presente resolución establece la Política de Seguridad y Privacidad de la Información, Seguridad Digital, Ciberseguridad y Continuidad de la Operación y define lineamientos frente al uso y manejo de la información en las Unidades Ejecutoras del Ministerio de Defensa Nacional, la Policía Nacional y las entidades adscritas y vinculadas del Sector Defensa y seguridad incluyendo la Unidad Administrativa Especial de la Justicia Penal Militar y Policial en adelante Sector Defensa. ARTÍCULO 2o. LINEAMIENTOS GENERALES DE SEGURIDAD Y PRIVACIDAD DE LA INFORMACIÓN, SEGURIDAD DIGITAL, CIBERSEGURIDAD Y CONTINUIDAD DE LA OPERACIÓN. El Ministerio de Defensa Nacional, protege, preserva y administra la confidencialidad,

integridad, disponibilidad y autenticidad de la información, así como la seguridad digital, ciberseguridad y gestión de la continuidad de la operación, conforme a los procesos de cada una de las entidades, dando cumplimiento a los requisitos legales y reglamentarios; previniendo igualmente los incidentes mediante la gestión de riesgos integrales en seguridad y privacidad de la información, seguridad digital, ciberseguridad y la implementación de controles de seguridad físicos y digitales, orientados a la mejora continua en la gestión y el alto desempeño del Sistema de Gestión de Seguridad de la Información. ARTÍCULO 3o. ÁMBITO DE APLICACIÓN. Serán sujetos obligados de la presente resolución todos los niveles de las entidades del Sector Defensa, todos sus funcionarios, contratistas, proveedores, operadores y terceros que en razón del cumplimiento de sus funciones compartan, utilicen, recolecten, procesen, intercambien o consulten información del Ministerio de Defensa Nacional, así como los Entes de Control, Entidades relacionadas que accedan, ya sea interna o externamente a cualquier activo de información, independiente de su ubicación. Esta política también se aplicará a toda la información creada, procesada o utilizada por el Ministerio, sin importar el medio, formato o presentación o el lugar en el cual se encuentre. ARTÍCULO 4o. OBJETIVOS. La Política de Seguridad y Privacidad de la Información, Seguridad Digital, Ciberseguridad y Continuidad de la Operación, tendrá los siguientes objetivos: a) Establecer los mecanismos de aseguramiento físico y digital, para fortalecer la confidencialidad,

integridad, disponibilidad, legalidad, confiabilidad, continuidad y no repudio de la información en el Sector Defensa. b) Definir los lineamientos necesarios para mitigar los incidentes y gestionar los riesgos y controles de Seguridad y Privacidad de la Información, Seguridad Digital, Ciberseguridad y Continuidad de la Operación en el Sector Defensa de acuerdo a las normas vigentes. c) Emitir los lineamientos necesarios para el manejo de información y de los recursos tecnológicos del Sector Defensa.ARTÍCULO 5o. DEFINICIONES. Para efectos de la presente Política se tendrán en cuenta las siguientes definiciones: Acceso a la información pública: Derecho fundamental consistente en la facultad que tienen todas las personas de conocer sobre la existencia y acceso a la información pública en posesión o bajo control de sujetos obligados. (Ley 1712 de 2014, artículo 4 o.).

Activo: En relación con la seguridad de la información, se refiere a cualquier información o elemento relacionado con el tratamiento de esta (sistemas, soportes, edificios, personas, etc.) que tenga valor para la organización. (ISO/IEC 27000).

Activos de información y recursos: Se refiere a elementos de hardware y de software de procesamiento, almacenamiento y comunicaciones, bases de datos y procesos, procedimientos y recursos humanos asociados con el manejo de los datos y la información misional, operativa y administrativa de cada entidad, órgano u organismo. (Conpes 3854 de 20116).

Archivo: Conjunto de documentos, sea cual fuere su fecha, forma y soporte material, acumulados en un

proceso natural por una persona o entidad pública o privada, en el transcurso de su gestión, conservados respetando aquel orden para servir como testimonio e información a la persona o institución que los produce y a los ciudadanos, o como fuentes de la historia. También se puede entender como la institución que está al servicio de la gestión administrativa, la información, la investigación y la cultura. (Ley 594 de 2000, artículo 3 o.).

Amenazas: Causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización. (ISO/IEC 27000).

Análisis de riesgo: Proceso para comprender la naturaleza del riesgo y determinar el nivel de dicho riesgo. (ISO/IEC 27000).

Auditoría: Proceso sistemático, independiente y documentado para obtener evidencias de auditoría y obviamente para determinar el grado en el que se cumplen los criterios de auditoría. (ISO/IEC 27000).

Autorización: Consentimiento previo, expreso e informado del titular para llevar a cabo el Tratamiento de datos personales (Ley 1581 de 2012, artículo 3 o.).

Bases de datos personales: Conjunto organizado de datos personales que sea objeto de Tratamiento

(Ley 1581 de 2012, artículo 3 o.).

Ciberseguridad: Protección de activos de información, mediante el tratamiento de las amenazas que ponen en riesgo la información que se procesa, almacena y transporta mediante los sistemas de información que se encuentran interconectados.

Ciberespacio: Es el ambiente tanto físico como virtual compuesto por computadores, sistemas computacionales, programas computacionales (software), redes de telecomunicaciones, datos e información que es utilizado para la interacción entre usuarios. (Resolución CRC 2258 de 2009).

Confidencialidad: Propiedad de la información de no ponerse a disposición o ser revelada a individuos,

computacionales, programas computacionales (software), redes de telecomunicaciones, datos e información que es utilizado para la interacción entre usuarios. (Resolución CRC 2258 de 2009).

Confidencialidad: Propiedad de la información de no ponerse a disposición o ser revelada a individuos, entidades o procesos no autorizados. (ISO/IEC 27000).Contenido digital: Corresponde a cualquier pieza de información que podemos incluir en un medio digital. Pueden estar formados por textos, imágenes, videos, mapas, entre otros.

Control: Las políticas, los procedimientos, las prácticas y las estructuras organizativas concebidas para mantener los riesgos de seguridad de la información por debajo del nivel de riesgo asumido. Control es también utilizado como sinónimo de salvaguarda o contramedida. En una definición más simple, es una medida que modifica el riesgo.

Datos abiertos: Son todos aquellos datos primarios o sin procesar, que se encuentran en formatos estándar e interoperables que facilitan su acceso y reutilización, los cuales están bajo la custodia de las entidades públicas o privadas que cumplen con funciones públicas y que son puestos a disposición de cualquier ciudadano, de forma libre y sin restricciones, con el fin de que terceros puedan reutilizarlos y crear servicios derivados de los mismos (Ley 1712 de 2014, artículo 6 o.).

Datos personales: Cualquier información vinculada o que pueda asociarse a una o varias personas naturales determinadas o determinables. (Ley 1581 de 2012, artículo 3 o.).

Datos personales públicos: Es el dato que no sea semiprivado, privado o sensible. Son considerados

datos públicos, entre otros, los datos relativos al estado civil de las personas, a su profesión u oficio y a su calidad de comerciante o de servidor público. Por su naturaleza, los datos públicos pueden estar contenidos, entre otros, en registros públicos, documentos públicos, gacetas y boletines oficiales y sentencias judiciales debidamente ejecutoriadas que no estén sometidas a reserva. (Decreto número 1377 de 2013, artículo 3 o.).

Datos personales privados: Es el dato que por su naturaleza íntima o reservada solo es relevante para el titular. (Ley 1581 de 2012, artículo 3 literal h).

Datos personales mixtos: Para efectos de este documento es la información que contiene datos personales públicos junto con datos privados o sensibles.

Datos personales sensibles: Se entiende por datos sensibles aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar su discriminación, tales como aquellos que revelen el origen racial o étnico, la orientación política, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, organizaciones sociales, de derechos humanos o que promueva intereses de cualquier partido político o que garanticen los derechos y garantías de partidos políticos de oposición, así como los datos relativos a la salud, a la vida sexual, y los datos biométricos. (Decreto número 1377 de 2013, artículo 3 o.).

Derecho a la intimidad: Derecho fundamental cuyo núcleo esencial lo constituye la existencia y goce de una órbita reservada en cada persona, exenta de la intervención del poder del Estado o de las

intromisiones arbitrarias de la sociedad, que le permite a dicho individuo el pleno desarrollo de su vida personal, espiritual y cultural (Jurisprudencia Corte Constitucional).

Disponibilidad: Propiedad de la información de estar accesible y utilizable cuando lo requiera una entidad autorizada. (ISO/IEC 27000).

Encargado del tratamiento de datos: Persona natural o jurídica, pública o privada, que por sí misma o en asocio con otros, realice el tratamiento de datos personales por cuenta del responsable del tratamiento. (Ley 1581 de 2012, artículo 3 o.).Gestión de incidentes de seguridad de la información: Procesos para detectar, reportar, evaluar, responder, tratar y aprender de los incidentes de seguridad de la información. (ISO/IEC 27000).

Incidente: Un incidente de seguridad de la información puede definirse también como cualquier evento que tenga el potencial de afectar la preservación de la confidencialidad, integridad, disponibilidad o valor de la información.

Información electrónica: Es todo dato conservado en un formato electrónico el cual permite su tratamiento automático tratándose por regla general de soportes electrónicos.

Información pública clasificada: Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio, particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado, siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados consagrados en el artículo 18 de la Ley 1712 de 2014. (Ley 1712 de 2014, artículo 6

o.).

Información pública reservada: Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, es exceptuada de acceso a la ciudadanía por daño a intereses públicos y bajo cumplimiento de la totalidad de los requisitos consagrados en el artículo 19 de la Ley 1712 de 2014. (Ley 1712 de 2014, artículo 6 o.).

Integridad: Propiedad de la información relativa a su exactitud y completitud. (ISO/ IEC 27000).

Ley de hábeas data: Se refiere a la Ley Estatutaria 1266 de 2008.

Ley de Transparencia y Acceso a la Información Pública: Se refiere a la Ley Estatutaria 1