MINTIC - Resolución 2239 de 2024

RESOLUCIÓN 2239 DE 2024

(junio 24) <Fuente: Archivo interno entidad emisora> MINISTERIO DE TECNOLOGIAS DE LA INFORMACION Y LAS COMUNICACIONES Por la cual se actualiza la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación del Ministerio/Fondo Único de Tecnologías de la Información y las Comunicaciones, se definen lineamientos frente al uso y manejo de la información y se deroga la Resolución 448 de 2022. EL MINISTRO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES En ejercicio de sus facultades legales, regulatorias y en especial de las que le confieren los artículos 4 de la Ley 87 de 1993, 61 de la Ley 489 de 1998, 2.2.2.2.1 del Decreto 1083 de 2015 y 5 del Decreto 1064 de 2020 y CONSIDERANDO QUE: La Constitución Política de Colombia en su artículo 15 consagra que todas las personas tienen derecho a su intimidad personal, familiar y a su buen nombre, debiendo el Estado respetarlos y hacerlos respetar. De igual modo, tienen derecho a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en los bancos de datos y en archivos de entidades públicas y privadas. El artículo 17 de la Ley Estatutaria 1581 de 2012, “Régimen General de Protección de Datos Personales”, y el artículo 2.2.2.25.3.1 . del Decreto 1074 de 2015, “Decreto Único Reglamentario

del Sector Comercio Industria y Turismo”, consagraron la necesidad de garantizar de forma integral la protección y el ejercicio del derecho fundamental de Habeas Data y estableció dentro de los deberes de los responsables del tratamiento de datos personales, desarrollar políticas para este derecho. La Ley 1712 de 2014, sobre transparencia y derecho de acceso a la información pública nacional, adiciona nuevos principios, conceptos y procedimientos para el ejercicio y garantía del referido derecho; junto con lo dispuesto en el Libro 2 . Parte VIII, Título IV "Gestión de la Información Clasificada y Reservada” del Decreto 1080 de 2015, “por medio del cual se expide el Decreto Reglamentario Único del Sector Cultura”, el cual establece las directrices para la calificación de información pública, en el mismo sentido, el Título V de la misma Parte y Libro, establecen los instrumentos de la gestión de información pública (1) Registro de Activos de Información; (2) Índice de Información Clasificada y Reservada; (3) Esquema de Publicación de Información; (4) Programa de Gestión Documental. El artículo 2.2.9.1.2.1 . del Decreto 1078 de 2015, subrogado por el artículo 1 del Decreto 767 de 2022, determinó que uno de los habilitadores de la Política de Gobierno Digital es el de Seguridad y Privacidad de la Información, el cual busca que los sujetos obligados desarrollen capacidades a través de la implementación de los lineamientos de seguridad y privacidad de la

información en todos sus procesos, trámites, servicios, sistemas de información, infraestructura y en general, en todos los activos de información, con el fin de preservar la confidencialidad, integridad, disponibilidad y privacidad de los datos.El artículo 2.2.22.2.1 del Decreto 1083 de 2015, establece las políticas de Gestión y Desempeño Institucional, entre las que se encuentran las de “11. Gobierno Digital, antes Gobierno en Línea” y “12. Seguridad Digital”. La Resolución 500 de 2021 del Ministerio de Tecnologías de la Información y las Comunicaciones, establece lineamientos generales para la implementación del Modelo de Seguridad y Privacidad de la Información - MSPI, la guía de gestión de riesgos de seguridad de la Información y el procedimiento para la gestión de los incidentes de seguridad digital, y, establece los lineamientos y estándares para la estrategia de seguridad digital, a los sujetos obligados señalados en el artículo 2.2.9.1.1.2 . del Decreto 1078 de 2015. El artículo 5 de la misma Resolución, establece que los sujetos obligados deben adoptar la estrategia de seguridad digital en la que se integren los principios, políticas, procedimientos, guías, manuales, formatos y lineamientos para la gestión de la seguridad de la información digital. Dicha estrategia se debe incluir en el Plan de Seguridad y Privacidad de la Información que se integra al Plan de Acción en los términos artículo 2.2.22.3.14 . del capítulo 3 del Título 22

de la Parte 2 del Libro 2 del Decreto 1083 de 2015, Único Reglamentario del Sector de Función Pública, o la norma que la modifique, adicione, subrogue o derogue. Así como, adoptar el Modelo de Seguridad y Privacidad de la Información - MSPI señalado en el Anexo 1 de la misma resolución, como habilitador de la política de Gobierno Digital. El Documento CONPES 3854 de 2016 establece la Polí tica Nacional de Seguridad Digital en la República de Colombia , fortaleciendo las capacidades de las múltiples partes interesadas, para identificar, gestionar, tratar y mitigar los riesgos de seguridad digital en sus actividades socioeconómicas en el entorno digital y se generarán mecanismos permanentes para impulsar la cooperación, colaboración y asistencia en materia de seguridad digital, a nivel nacional e internacional, con un enfoque estratégico. El Documento CONPES 3995 de 2020 formula la Política Nacional de Confianza y Seguridad Digital en la República de Colombia , estableciendo medidas para ampliar la confianza digital y mejorar la seguridad digital de manera que Colombia sea una sociedad incluyente y competitiva en el futuro digital, fortaleciendo las capacidades en seguridad digital de los ciudadanos, del sector público y del sector privado del país; actualizando el marco de gobernanza en materia de seguridad digital para aumentar su grado de desarrollo y finalmente, se analizará la adopción de modelos, estándares y marcos de trabajo en materia de seguridad digital, con énfasis en nuevas tecnologías. A su vez, el parágrafo del artículo 16

del Decreto 2106 de 2019, establece que las autoridades que realicen trámites, procesos y procedimientos por medios digitales, deberán disponer de una estrategia de seguridad digital siguiendo los lineamientos que emita el Ministerio de Tecnologías de la Información y las Comunicaciones. El Ministerio de Tecnologías de la Información y las Comunicaciones - MinTIC, expidió la Resolución 4870 de 2023, “Por la cual se establecen el Modelo Integrado de Gestión (MIG) y el Sistema Integrado de Gestión (SIG) del Ministerio de Tecnologías de la Información y las Comunicaciones/Fondo Único de Tecnologías de la Información y las Comunicaciones y se deroga la Resolución 2175 de 2022 y sus modificatorias”. El artículo 22 de la Resolución 0448 de 2022 establece que la Política de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la operación de los servicios delMinisterio/Fondo Único de Tecnologías de la Información y las Comunicaciones, será revisada anualmente o antes, si existiesen modificaciones que así lo requieran, así las cosas y teniendo en cuenta las observaciones y recomendaciones que surgieron del ejercicio de revisión de auditorías internas y externas, se hizo necesario que el Oficial de Seguridad y Privacidad de la Información presentara propuesta de ajuste. Por tanto y de conformidad con la necesidad expuesta, fue puesta a consideración del Comité del Modelo Integrado de Gestión-MIG la actualización de la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación del Ministerio/Fondo Único de TIC, la definición de lineamientos frente al uso y manejo de la información, así como la derogatoria de la Resolución 0 448 de 2022 y con fundamento en la Resolución 4870 de 2023, artículo 19

Ministerio/Fondo Único de TIC, la definición de lineamientos frente al uso y manejo de la información, así como la derogatoria de la Resolución 0 448 de 2022 y con fundamento en la Resolución 4870 de 2023, artículo 19 , numeral 5, fue presentada en sesión llevada cabo el 30 de mayo de 2024, mediante acta de comité # 80 de la misma fecha, y con decisión de aprobar este acto administrativo. En mérito de lo expuesto,

RESUE LVE:

CAPÍTULO I.

DISPOSICIONES GENERALES.

ARTÍCULO 1o. OBJETO . La presente resolución tiene como objeto actualizar la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios en el Ministerio de Tecnologías de la Información y las Comunicaciones y del Fondo Único de TIC (en adelante Ministerio/Fondo Único de TIC), así como definir lineamientos frente al uso y manejo de la información, en relación a la alineación de la política con los objetivos. Concordancias Circular MINTIC 25 de 2024 ARTÍCULO 2o. ÁMBITO DE APLICACIÓN . La Política de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los Servicios del Ministerio/Fondo Único de TIC, aplica a todos los niveles funcionales y organizacionales del Ministerio/Fondo Único de TIC, a todos sus funcionarios, contratistas, proveedores, operadores, entidades adscritas y del sector de las Tecnologías de la Información y las Comunicaciones, así

como aquellas personas o terceros que en razón del cumplimiento de sus funciones y las del Ministerio de TIC compartan, utilicen, recolecten, procesen, intercambien o consulten su información, al igual que a las entidades de control y demás entidades relacionadas que accedan, ya sea interna o externamente a cualquier activo de información, independientemente de su ubicación. De igual manera, aplica a toda la información creada, procesada o utilizada por el Ministerio/Fondo Único de TIC, sin importar el medio, formato, presentación o lugar en el cual se encuentre.

ARTÍCULO 3o. POLÍTICA GENERAL DE SEGURIDAD Y PRIVACIDAD DE LA

INFORMACIÓN, SEGURIDAD DIGITAL Y CONTINUIDAD DE LA OPERACIÓN DE LOS SERVICIOS DEL MINISTERIO/FONDO ÚNICO DE TECNOLOGÍAS DE LA INFORMACIÓN Y LAS COMUNICACIONES. El Ministerio/Fondo Único de TIC, mediante laadopción e implementación del Modelo de Seguridad y Privacidad de la Información enmarcado en el Sistema de Gestión de Seguridad y Privacidad de la información, protege, preserva y administra la confidencialidad, integridad, disponibilidad, autenticidad, privacidad y no repudio de la información que circula en el mapa de operación por procesos, mediante una gestión integral de riesgos y la implementación de controles físicos y digitales para prevenir incidentes, propender por la continuidad de la operación de los servicios y dar cumplimiento a los requisitos legales, reglamentarios, regulatorios y a los de las normas técnicas colombianas, orientados a la

mejora continua y al alto desempeño del Sistema de Gestión de Seguridad y Privacidad de la Información, promoviendo así el acceso, uso efectivo y apropiación masiva de las Tecnologías de la Información y las Comunicaciones - TIC, a través de políticas y programas, para mejorar la calidad de vida de cada colombiano y el incremento sostenible del desarrollo del país. ARTÍCULO 4o. OBJETIVOS . La Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios tendrá los siguientes objetivos :

1. Definir, reformular y formalizar los elementos normativos sobre los temas de protección de la información.

2. Facilitar de manera integral la gestión de los riesgos de seguridad y privacidad de la información y de seguridad digital y continuidad de la operación de los servicios.

3. Mitigar el impacto de los incidentes de seguridad y privacidad de la información y de seguridad digital, de forma efectiva, eficaz y eficiente.

4. Establecer los mecanismos de aseguramiento físico y digital, para fortalecer la confidencialidad, integridad, disponibilidad, autenticidad, privacidad y no repudio de la información del Ministerio/Fondo Único de TIC.

5. Definir los lineamientos necesarios para el manejo de la información, tanto física como digital, en el marco de una gestión documental basada en seguridad y privacidad de la información.

6. Generar un cambio organizacional a través de la concienciación y apropiación de la seguridad y privacidad de la información y la seguridad digital, orientados a la mejora continua y al alto desempeño del Sistema de Gestión de Seguridad y Privacidad de la Información.

7. Dar cumplimiento a los requisitos legales, reglamentarios, regulatorios, y a los de las normas técnicas colombianas en materia de seguridad y privacidad de la información, seguridad digital y protección de la información personal.

8. Definir, operar y mantener el Plan de Continuidad de la Operación de los servicios del

Ministerio/Fondo Único de TIC.

CAPÍTULO II.

CONTROLES ORGANIZACIONALES.

ARTÍCULO 5o. POLÍTICA DE GESTIÓN DE ACTIVOS. La Subdirección Administrativa del Ministerio de TIC, con el acompañamiento permanente de la Oficina de Tecnologías de la Información, establecerá y divulgará los lineamientos específicos para la identificación, clasificación, valoración, rotulado y buen uso de los activos de información, con el objetivo degarantizar su protección. Dichos lineamientos se impartirán teniendo en cuenta los siguiente literales, que serán consolidados y publicados en el macroproceso de apoyo “Gestión Documental” por la Subdirección Administrativa. a. Inventario de Activos : Los activos del Ministerio de Tecnologías de la Información y las Comunicaciones deben ser identificados, clasificados, valorados y controlados para garantizar su uso, protección y recuperación ante desastres. Por tal motivo, la Subdirección Administrativa, con el acompañamiento permanente de la Oficina de Tecnologías de la Información - TI, el Oficial de Seguridad y Privacidad de la Información o quien haga sus veces y la Oficina Asesora de Planeación y Estudios Sectoriales, diseñará una metodología con los lineamientos necesarios para llevar el inventario de los activos de información, discriminado por procesos y dependencia,

tipo, nivel de criticidad, clasificación, ubicación, responsable, custodio, y demás atributos que la entidad defina. b. Protección : Con el objetivo de establecer los controles de seguridad físicos y digitales, las dependencias que tienen la custodia de la información generada en el marco de su función se encargarán de proteger la información, así como de mantener y actualizar el inventario de activos de información relacionados con sus servicios (información física o digital, software, hardware y recurso humano), bajo los parámetros que establezca la Oficina de Tecnologías de la Información. c. Archivos de Gestión : La Subdirección Administrativa deberá implementar los controles necesarios para que los archivos de gestión cuenten con los mecanismos de seguridad apropiados, de acuerdo con las Tablas de Retención Documental y Tablas de Control de Acceso, con el fin de proteger y conservar la confidencialidad, integridad y disponibilidad de la información física del Ministerio de Tecnologías de la Información y las Comunicaciones. d. Clasificación de la Información : La Subdirección Administrativa deberá establecer una metodología para la clasificación y rotulado de la información del Ministerio de Tecnologías de la Información y las Comunicaciones, en el marco de la Ley 594 de 2000 (Ley General de Archivos), la Ley 1712 de 2014 (ley de transparencia y acceso a la información), esta última reglamentada por el Título 1 de la Parte 1 del Libro 2 del Decreto 1081 de 2015 y en el Título 3 de la Parte 8 del Libro 2 del Decreto 1080 de 2015 y demás normativa que reglamente la

clasificación de información de las entidades públicas del país. Así mismo, la Oficina de Tecnologías de la Información implementará una herramienta informática que permita rotular la información digital y la Subdirección Administrativa implementará mecanismos para rotular la información física, de acuerdo con la metodología establecida. e. Firma de documentos : Las firmas de documentos que produzca el Ministerio/Fondo Único de TIC serán válidas en cualquiera de los siguientes métodos, garantizando la confiabilidad, integridad, autenticidad y disponibilidad de la información y de los documentos expedidos por los empleados públicos y contratistas en el marco de sus funciones y obligaciones, respectivamente:

I. En físico con firma autógrafa mecánica.

II. Con firma digital de persona natural asignada por la Oficina de Tecnologías de la Información según lo dispuesto por la Ley 527 de 1999.

III. Con firma electrónica, de acuerdo con lo dispuesto en el Decreto 1074 de 2015 y el Decreto 1287 de 2020 “Por el cual se reglamenta el Decreto Legislativo 491 del 28 de marzo de 2020, enlo relacionado con la seguridad de los documentos firmados durante el trabajo en casa, en el marco de la Emergencia Sanitaria.”, para lo cual la Oficina de Tecnologías de la Información deberá adquirir o implementar un aplicativo integrado con el sistema de gestión documental que

contenga como mínimo lo siguiente:

1. Control seguro de acceso y uso de aplicativo, sincronizado con el directorio activo, garantizando que solo personal vinculado como empleados públicos y contratistas de prestación

de servicios profesionales o de apoyo a la gestión pueda hacer uso del mecanismo de firma electrónica

2. Múltiples controles para la autenticación y firma del documento electrónico, garantizando que el firmante es quien dice ser,

3. El sistema debe solicitar la firma digitalizada o escaneada y quedar estampada en el documento junto con el nombre completo, cargo, correo electrónico institucional del empleado público o contratista que firma,

4. Identificador único provisto por el sistema que permita la verificación de la veracidad del documento,

5. Fecha de creación y finalización de la firma, información que debe ser provista por el servidor y estar sincronizada con la hora legal colombiana de acuerdo con lo establecido en el numeral 14 del artículo 6 del Decreto 4175 de 2011,

6. Estado del trámite de firma,

7. Firma digital de persona jurídica del Ministerio/Fondo Único del TIC según sea el caso,

8. Las firmas facsímil, solo podrán ser autorizadas por Resolución expedida por el Ministro(a) de TIC, en la que señale para que fin y porqué medios podrá ser utilizada.

ARTÍCULO 6o. POLÍTICA DE CONTROL DE ACCESO. Los propietarios de los activos de información, teniendo en cuenta el tipo de activo, deberán establecer medidas de control de acceso a nivel de red, sistema operativo, sistemas de información, servicios de tecnologías ( on premise o en nube) e infraestructura física (instalaciones y oficinas), todo esto con el fin de mitigar riesgos asociados al acceso a la información, infraestructura tecnológica e infraestructura física de personal no autorizado y así propender por salvaguardar la integridad, disponibilidad y confidencialidad de la información del Ministerio de Tecnologías de la Información y las Comunicaciones.

ARTÍCULO 7o. POLÍTICA DE SEGURIDAD PARA RELACIÓN CON PROVEEDORES. El

confidencialidad de la información del Ministerio de Tecnologías de la Información y las Comunicaciones. ARTÍCULO 7o. POLÍTICA DE SEGURIDAD PARA RELACIÓN CON PROVEEDORES. El Ministerio de Tecnologías de la Información y las Comunicaciones a través de la Subdirección de Gestión Contractual, establecerá, en el manual de contratación, las disposiciones necesarias para asegurar que la información que se genere, custodie, procese, comparta, utilice, recolecte, intercambie o a la que se tenga acceso con ocasión de un contrato, se utilice dentro del marco de la seguridad y privacidad de la información por parte de los proveedores. En el mismo sentido y a través del seguimiento a la ejecución, se garantizará que los supervisores de los contratos, convenios o acuerdos sean los responsables de aplicar las políticas y procedimientos de seguridad de la información durante la ejecución de los mismos. Estos lineamientos deberán ser comunicados a los proveedores y terceros a través de los canales dispuestos por el Ministerio.PARÁGRAFO. Tratándose de relaciones contractuales del Ministerio/Fondo Único de TIC, estas disposiciones deberán ser incorporadas en los términos, minutas o acuerdos con los que se relacione estos, a efectos de garantizar su implementación.

ARTÍCULO 8o. POLÍTICA DE GESTIÓN DE INCIDENTES DE SEGURIDAD Y

PRIVACIDAD DE LA INFORMACIÓN.

El Ministerio de Tecnologías de la Información y las Comunicaciones, a través del Oficial de Seguridad y Privacidad de la Información o quien haga sus veces, promoverá entre los empleados

públicos y contratistas, el reporte y seguimiento de incidentes relacionados con la seguridad y privacidad de la información y sus medios. Así mismo, asignará responsables para el tratamiento de los mismos, quienes investigarán y solucionarán los incidentes reportados, de acuerdo a su sana crítica. El Ministro(a) de Tecnologías de la Información y las Comunicaciones o su delegado son los únicos autorizados para reportar incidentes de seguridad y privacidad ante l as autoridades de defensa nacional, policía, fiscalía y de control. En esta medida, son los únicos canales de comunicación autorizados para hacer pronunciamientos oficiales ante entidades externas, medios de comunicación o la ciudadanía. La delegación de esta potestad podrá ser formal, por medio de acto administrativo, en los términos de la Ley 489 de 1998, o cualquiera que la modifique, adicione, subrogue o derogue. ARTÍCULO 9o. POLÍTICA DE LA CONTINUIDAD DE LA OPERACIÓN DE LOS SERVICIOS. El Ministerio de Tecnologías de la Información y las Comunicaciones dispondrá los planes necesarios para la continuidad de la operación de los servicios, los cuales serán operados por los líderes de los procesos. El Oficial de Seguridad y Privacidad de la Información o quien haga sus veces, la Oficina Asesora de Planeación y Estudios Sectoriales, la Subdirección Administrativa y la Oficina de Tecnologías de la Información liderarán conjuntamente la elaboración del Análisis de Impacto del Negocio (BIA) y del Plan de Continuidad de la Operación de los Servicios (BCP). PARÁGRAFO 1o. El Plan de Continuidad de los Servicios del Ministerio de Tecnologías de la

Información y las Comunicaciones contendrá el Plan de Continuidad de Tecnologías y los Planes de Emergencia y Contingencia, así como cualquier estrategia orientada a la continuidad de la prestación del servicio del Ministerio. PARÁGRAFO 2o. La Oficina de Tecnologías de la Información del Ministerio de Tecnologías de la Información y las Comunicaciones, liderará, implementará y actualizará el Plan de Continuidad de las TIC (Plan de Recuperación ante Desastres Tecnológicos) alineado a su vez con el BIA y el BCP. Este plan incluirá escenarios de falla, estrategias de recuperación, roles y responsabilidades, plan de comunicación, pruebas y demás atributos que la entidad defina, lo cual permita propender por la disponibilidad y el acceso a los sistemas, datos y aplicaciones de información críticos en caso de interrupciones o eventos disruptivos. ARTÍCULO 10. POLÍTICA LEGAL Y CUMPLIMIENTO. El Ministerio/Fondo Único de TIC, a través del Oficial de Seguridad y Privacidad de la Información, o quien haga sus veces, velará por la identificación, documentación y cumplimiento de los requisitos legales enmarcados en la seguridad y privacidad de la información, de acuerdo con lo establecido por el gobierno nacional, entre ellos los referentes a derechos de autor y propiedad intelectual, protección de datospersonales, ley de transparencia y del derecho de acceso a la información pública, para lo cual dispondrá una Matriz de Requisitos Legales para su control y seguimiento. Los funcionarios, contratistas y colaboradores que ejecuten actividades de adquisición o

licenciamiento de software tienen el deber de seguir los lineamientos de compra pública e incluir dentro de los estudios previos y pliegos de condiciones, los términos mediante los cuales se acreditará que la forma del licenciamiento, la forma en la que se ejercerán derechos morales y patrimoniales de autor, el número máximo de usuarios o recursos, la forma de instalación y los procedimientos para mantener las condiciones de licencia adecuadas, desechar o transferir software a otros. Igualmente, a través de la Oficial de Datos Personales, se establecerá y comunicará la política específica sobre privacidad y protección de la IIP, que a efectos de la legislación local, corresponde a la Política de Tratamiento de Datos Personales. ARTÍCULO 11. POLÍTICA DE PRIVACIDAD. El Ministerio/Fondo Único de TIC deberá disponer, a través del Oficial de Seguridad y Privacidad de la Información o quien haga sus veces, de los controles necesarios para la protección de la información personal de los empleados públicos, contratistas y partes interesadas externas, en los términos del artículo 15 de la Constitución política, regulado por la Ley 1581 de 2012 y sus decretos reglamentarios. PARÁGRAFO 1o. El Oficial de Seguridad y Privacidad de la Información, el cual abarca el rol de Oficial de Datos Personales, o quien haga sus veces, deberá atender al cumplimiento del principio de responsabilidad demostrada y las obligaciones derivadas del rol de Responsable y/o encargado del tratamiento de datos personales, en los términos establecidos por la Ley 1581 de 2012 y el Decreto 1377 de 2014. PARÁGRAFO 2o. Podrán emplearse técnicas de enmascaramiento para proteger la confidencialidad de datos personales, caso en el cual podrá acudirse a herramientas de

de 2012 y el Decreto 1377 de 2014. PARÁGRAFO 2o. Podrán emplearse técnicas de enmascaramiento para proteger la confidencialidad de datos personales, caso en el cual podrá acudirse a herramientas de pseudoanonimización o anonimización dispuestas por la Oficina de Tecnologías de la Información y las Comunicaciones. ARTÍCULO 12. POLÍTICA DE PROTECCIÓN DE LA INFORMACIÓN. Para propender por la confidencialidad, integridad y disponibilidad de todos los activos de información se adoptarán estándares y buenas prácticas en protección de información. Los funcionarios, contratistas y colaboradores deben identificar y catalogar los activos de información según su nivel de sensibilidad y adoptar los controles y medidas de protección aplicables al tratamiento que requiera conforme a la sana critica. A efectos de acuerdos o convenios, se considerará como información confidencial todo dato, documento, material, conocimiento o cualquier otra información que atienda a los presupuestos del artículo 18 y 19 de la Ley 1712 de 2014 y que sea revelada al Receptor durante el curso de su relación laboral, contractual o de cualquier índole, exceptuando aquella que sea de dominio público acorde con el principio de máxima publicidad. La obligación de confidencialidad permanecerá en vigor en los términos previstos por la ley, independientemente de la razón de dicha terminación,. El Ministerio de Tecnologías de la Información y las Comunicaciones a través del Oficial de

Seguridad y Privacidad de la Información, o quien haga sus veces, facilitará acuerdos y/o cláusulas de confidencialidad que serán suscritos por los servidores públicos, contratistas, proveedores, entidades y ciudadanos que por diferentes razones requieran conocer, transferir o intercambiar información restringida y/o confidencial.ARTÍCULO 13. POLÍTICA DE SEGURIDAD DE LA INFORMACIÓN EN LA GESTIÓN DE PROYECTOS. La Oficina de Planeación y Estudios Sectoriales deberá incluir los requerimientos y consideraciones en materia de seguridad y privacidad de la información, seguridad digital y continuidad de la operación de los servicios, en la metodología de gestión de proyectos de la entidad, garantizando que se implementen en las fases iniciales de los proyectos, en el mismo sentido, la Oficina de Control Interno deberá incluir dentro de su plan de auditorías la revisión de su cumplimiento e implementación. PARÁGRAFO. El Comité de Contratación debe velar porque en todos los estudios previos de los proyectos o contratos a celebrar por el Ministerio/Fondo Único de TIC, se incluyan los requerimientos y consideraciones referentes a Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la operación de los servicios que se están contratando.

CAPÍTULO III.

CONTROLES DE PERSONAS.

ARTÍCULO 14. POLÍTICA DE SEGURIDAD DE LOS RECURSOS HUMANOS. La Subdirección para la Gestión del Talento Humano del Ministerio de Tecnologías de la Información y las Comunicaciones, aplica los lineamientos dados por la norma vigente y los

procedimientos internos en los procesos de selección, vinculación y retiro del personal, realizando las verificaciones necesarias para confirmar la veracidad de la información suministrada por la persona candidata a emplear, a su vez, debe desplegar esfuerzos para generar conciencia y apropiación en los empleados públicos de la entidad, sobre sus responsabilidades en el marco de la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios en el Ministerio/Fondo Único de TIC, con el fin de reducir los riesgos, el mal uso de las instalaciones y recursos tecnológicos y así asegurar la confidencialidad, integridad y disponibilidad de la información. PARÁGRAFO 1o. Con el mismo fin, la Subdirección de Gestión Contractual incluirá en las minutas de los contratos y convenios, cualquiera que sea su naturaleza o modalidad, cláusulas y obligaciones en relación con el cumplimiento de la Política General de Seguridad y Privacidad de la Información, Seguridad Digital y Continuidad de la Operación de los servicios en el Ministerio/Fondo Único de TIC, las cuales deberán ser divulgadas a través de los supervisores de los contratos, a proveedores, a operadores y aquellas personas o terceros que en razón del cumplimiento de sus funciones, obligaciones y las del Ministerio de Tecnologías de la Información y las Comunicaciones, compartan, utilicen, recolecten, procesen, intercambien o consulten su información. PARÁGRAFO 2o. La Subdirección para la Gestión del Talento Humano deberá fomentar la

participación de los emplead