Acuerdo 002-DE-2015 Créase el Comité de Gestión de la Seguridad de la Información –CSI

Resuelve:

Art. 1.- Créase el Comité de Gestión de la Seguridad de la Información –CSI del Instituto de Investigación Geológico Minero Metalúrgico INIGEMM; disponer las normas que lo regulen y aprobar las Políticas del Esquema Gubernamental de Seguridad de la Información del Instituto Nacional de Investigación Geológico Minero Metalúrgico-INIGEMM.

Art. 2.- El Comité de Gestión de la Seguridad de la Información –CSI del Instituto de Investigación Geológico Minero Metalúrgico INIGEMM, estará integrado de la siguiente manera:

El Director de cada una de las Direcciones de la institución o su delegado:

• Dirección de Asesoría Jurídica

• Dirección de Planificación

• Dirección de Comunicación Social

• Dirección de Talento Humano

• Dirección Administrativa Financiera

• Dirección de Geología

• Dirección de Laboratorios Científicos

• Dirección de Minería, Metalurgia, Extractiva y Ambiental

El Comité adoptará las decisiones por mayoría simple y se reunirá con la presencia de al menos 75% (6) de sus miembros, uno de los cuales obligatoriamente será el Presidente, quien tendrá voto dirimente.

Art. 3.- El Comité de Gestión de la Seguridad de la Información -CSI cumplirá las responsabilidades las determinadas en el subnumeral 2.2 del EGSI, que se encuentra anexo al Acuerdo Ministerial No. 166 publicado en el Registro Oficial Segundo Suplemento No. 88 del 25 de septiembre de 2013 y entre otras, las siguientes:

a) Definir y mantener la política y normas particulares de la institución en materia de seguridad de la información y gestionar su aprobación y puesta en vigencia por parte de la Máxima Autoridad, así como el cumplimiento por parte de los funcionarios del INIGEMM;

b) Monitorear cambios significativos de los riesgos que afectan a los recursos de información frente a las amenazas más importantes;

c) Tomar conocimiento y supervisar la investigación y monitoreo de los incidentes relativos a la seguridad;

d) Aprobar las principales iniciativas para incrementar la seguridad de la información, de acuerdo a las competencias y responsabilidades asignadas a cada área;

e) Acordar y aprobar metodologías y procesos específicos, en base al EGSI relativos a la seguridad de la información;

f) Evaluar y coordinar la implementación de controles específicos de seguridad de la información para nuevos sistemas o servicios, en base al EGSI;

g) Promover la difusión y apoyo a la seguridad de la información dentro de la institución;

h) Coordinar el proceso de gestión de la continuidad de la operación de los servicios y sistemas de información de la institución frente a incidentes de seguridad imprevistos;

i) Designar a los custodios o responsables de la información de las diferentes áreas de la entidad, que deberá ser formalizada en un documento físico o electrónico;

j) Gestionar la provisión permanente de recursos económicos, tecnológicos y humanos para la gestión de la seguridad de la información;

k) Velar por la aplicación de la familia de normas técnicas ecuatorianas INEN ISO/IEC 27000 en la institución según el ámbito de cada norma; y,

l) Convocar al Comité de Gestión de la Seguridad de la Información trimestralmente o cuando las circunstancias lo ameriten. Se deberá llevar registros y actas de las reuniones.

Art. 4.- El Oficial de Seguridad de la Información tendrá las responsabilidades determinadas en el subnumeral 2.3 del EGSI, que se encuentra anexo al Acuerdo Ministerial No.166 publicado en el Registro Oficial Segundo Suplemento No. 88 del 25 de septiembre de 2013, que entre otras, serán las siguientes:

a) Reportar a la máxima autoridad de la institución sobre el ejercicio de sus funciones establecidas en este artículo y la normativa aplicable;

b) Definir procedimientos para el control de cambios a los procesos operativos, los sistemas e instalaciones, y verificar su cumplimiento, de manera que no afecten la seguridad de la información;

c) Establecer criterios de seguridad para nuevos sistemas de información, actualizaciones y nuevas versiones, contemplando la realización de las pruebas antes de su aprobación definitiva;

d) Definir procedimientos para el manejo de incidentes de seguridad y para la administración de los medios de almacenamiento;

e) Controlar los mecanismos de distribución y difusión de información dentro y fuera de la institución;

f) Definir y documentar controles para la detección y prevención del acceso no autorizado, la protección contra software malicioso, garantizar la seguridad de los datos y los servicios conectados a las redes de la institución;

g) Desarrollar procedimientos adecuados de concienciación de usuarios en materia de seguridad, controles de acceso a los sistemas y administración de cambios.

h) Verificar el cumplimiento de las normas, procedimientos y controles de seguridad establecidos en la institución;

i) Coordinar la gestión de eventos de seguridad con otras entidades gubernamentales;

j) Convocar regularmente o cuando la situación lo amerite al Comité de Seguridad de la Información así como llevar registros de asistencia, votaciones y actas de las reuniones; y,

k) Actuar en el Comité en calidad de Presidente.

Art. 5.- El responsable de Seguridad del Área de Tecnologías de la Información designado por el CSI tendrá las responsabilidades determinadas en el subnumeral 2.3 del EGSI, que se encuentra anexo al Acuerdo Ministerial No.166 publicado en el Registro Oficial Segundo Suplemento No. 88 del 25 de septiembre de 2013, que entre otras, son las siguientes:

a) Controlar la existencia de documentación física o electrónica actualizada relacionada con los procedimientos de comunicaciones, operaciones y sistemas;

b) Evaluar el posible impacto operativo a nivel de seguridad de los cambios previstos a sistemas y equipamiento y verificar su correcta implementación, asignando responsabilidades;

c) Administrar los medios técnicos necesarios para permitir la segregación de los ambientes de procesamiento;

d) Monitorear las necesidades de capacidad de los sistemas en operación y proyectar las futuras demandas de capacidad para soportar potenciales amenazas a la seguridad de la información que procesan;

e) Controlar la obtención de copias de resguardo de información, así como la prueba periódica de su restauración;

f) Asegurar el registro de las actividades realizadas por el personal operativo de seguridad de la información, para su posterior revisión;

g) Desarrollar y verificar el cumplimiento de procedimientos para comunicar las fallas en el procesamiento de la información o los sistemas de comunicaciones, que permita tomar medidas correctivas;

h) Implementar los controles de seguridad definidos (ej. evitar software malicioso, accesos no autorizados, etc.);

i) Definir e implementar procedimientos para la administración de medios informáticos de almacenamiento (ej., cintas, discos, etc.) e informes impresos, y verificar la eliminación o destrucción segura de los mismos, cuando proceda. j) Gestionar los incidentes de seguridad de la información de acuerdo a los procedimientos establecidos; y,

j) Otras que por la naturaleza de las actividades de gestión de la seguridad de la información deban ser realizadas.

Art. 6.- El Comité de Seguridad de la Información además de las funciones señaladas en el anexo del Acuerdo No. 166 deberá:

a) Presentar al Director Ejecutivo del INIGEMM, informes trimestrales sobre la gestión de la Seguridad de la Información en la institución y particularmente sobre el seguimiento de la puesta en marcha de las normas del EGSI;

b) Preparar y poner en consideración del Director Ejecutivo del INIGEMM, las disposiciones relacionadas a la Seguridad de la Información para que sean oficializadas en la institución; y,

c) Implementar en coordinación con la Dirección de Comunicación y de Talento Humano campañas periódicas de difusión del EGSI y de sensibilización de los servidores públicos respecto de la seguridad de la información en la institución;

Art. 7.- Aprobar las POLÍTICAS DEL ESQUEMA GUBERNAMENTAL DE SEGURIDAD DE LA INFORMACIÓN DEL INSTITUTO NACIONAL DE INVESTIGACIÓN GEOLÓGICO MINERO METALÚRGICO-INIGEMM, elaboradas por el Comité de Seguridad de la Información del INIGEMM, mismas que serán de aplicación y cumplimiento obligatorio por los servidores y trabajadores del INIGEMM, mimas que se adjunta a la presente.

Art. 8.- Encárguese a La Dirección de Comunicación Social la difusión de las POLÍTICAS DEL ESQUEMA GUBERNAMENTAL DE SEGURIDAD DE LA INFORMACIÓN DEL INSTITUTO NACIONAL DE INVESTIGACIÓN GEOLÓGICO MINERO METALÚRGICO-INIGEMM a todas las unidades administrativas del INIGEMM a través de los canales electrónicos establecidos.

DISPOSICIONES TRANSITORIAS: PRIMERA: Todo lo actuado por el Comité de Gestión de Seguridad de la Información previa a la expedición de lapresente, se entenderá valido.