RESOLUCIÓN 36 DE 2009
(febrero 18)
<Fuente: Archivo interno entidad emisora>
PROCURADURÍA GENERAL DE LA NACIÓN
Por medio de la cual se adopta el Sistema de Gestión de la Seguridad de la Información -SGSI - de la Procuraduría General de la Nación
EL PROCURADOR GENERAL DE LA NACIÓN
En ejercicio de sus facultades constitucionales y legales, en especial de las consagradas en los numerales 6o 7o y 34 del artículo 7o del Decreto 262 de 2000, y
CONSIDERANDO:
1. Que el numeral 6o del artículo 7o del Decreto Ley 262 de 2000 faculta al Procurador General de la Nación para asignar funciones especiales a las dependencias y empleos de la Procuraduría General de la Nación.
2. Que el numeral 7o del artículo 7o del Decreto 262 de 2000 asigna al Procurador General de la Nación la función de "Expedir los actos administrativos, órdenes, directivas y circulares que sean necesarios para el funcionamiento de la Entidad y para desarrollar las funciones atribuidas por la Ley".
3. Que el numeral 34 del artículo 7o del Decreto 262 de 2000 faculta al Procurador General de la Nación para "Crear comités asesores y grupos de trabajo para el cumplimiento de las funciones de la Entidad y los previstos en la ley."
4. Que la República de Colombia y el Banco Interamericano de Desarrollo - BID, con fecha 30 de julio de 2003 suscribieron el Contrato de Crédito 1459/0C-CO, para sufragar parcialmente el costo del proyecto "Programa de Apoyo al Fortalecimiento de la Procuraduría General de la Nación.
5. Que dicho Programa ha buscado, entre otros fines, la modernización tecnológica de la Procuraduría General de la Nación a través de la formulación de un plan estratégico de tecnología de la información, que incluyó la adquisición de tecnología para su utilización en el procesamiento, almacenamiento, recuperación y transmisión de la información institucional.
6. Que la utilización de tecnología en el procesamiento, almacenamiento, recuperación y transmisión de la información, implica importantes riesgos para su disponibilidad, confidencialidad e integridad, por lo que la Procuraduría General de la Nación, con el propósito de asegurar tales atributos en su información institucional y el cumplimiento de sus funciones constitucionales y legales, suscribió el Contrato de Consultoría No. 102 de 2006, con la firma DIGIWARE DE COLOMBIA S. A., derivado del trámite de la Licitación Pública Internacional No. 023 de 2006, que tuvo por objeto el diseño del modelo de seguridad informática y la implementación de los mecanismos de seguridad en la Procuraduría General de la Nación.
7. Que como producto de la ejecución del Contrato 102 de 2006, la firma DIGIWARE DE COLOMBIA S. A., entregó a la Procuraduría General de la Nación y ésta recibió de conformidad el Modelo de Seguridad Informática requerido.
8. Que conforme al objetivo General del numeral 6.2 Objetivos, de la Sección VI., Servicios de consultoría requeridos, de los Documentos de Licitación de - la Licitación Pública Internacional No. 023 de 2006, el Modelo de Seguridad Informática de la Procuraduría General de la Nación se diseñó y estructuró con base en los parámetros establecidos por la Norma IS027001 y las recomendaciones contenidas en la NTC-ISO/IEC 17799.
9. Que el subnumeral 5.1 Compromiso de la Dirección, del numeral 5. Responsabilidades de la Dirección, de la norma NTC-ISO/IEC 27001, establece que:
La dirección debe brindar evidencia de su compromiso con el establecimiento, implementación, operación, seguimiento, revisión, mantenimiento y mejora del SGSI:
a) Mediante el establecimiento de una política del SGSI;
b) Asegurando que se establezcan los objetivos y planes del SGSI; c) Estableciendo funciones y responsabilidades
d) Comunicando a la organización la importancia de cumplir los objetivos de seguridad de la información y de la conformidad con la política de seguridad de la información, sus responsabilidades bajo la ley, y la necesidad de la mejora continua;
e) Brindando los recursos suficientes para establecer; implementar; operar; hacer seguimiento, revisar, mantener y mejorar un SGSI...;
f) Decidiendo los criterios para aceptación de riesgos y los niveles de riesgo aceptables;
g) Asegurando que se realizan auditorías internas del SGSI...;
h) Efectuando las revisiones por la dirección, del SGSI..."
10. Que el Objetivo de control A.5.1.1 Documento de la política de seguridad de la información, del dominio A5. Política de Seguridad, del Anexo A de la norma NTC-ISO/IEC 27001, establece que:
La dirección debe aprobar un documento de política de seguridad de la información y lo debe publicar y comunicar a todos los empleados y partes externas pertinentes.
11. Que el Objetivo de control A.6.1.3 Asignación de responsabilidades para la seguridad de la información, del dominio A6. Organización de la Seguridad de la Información, del Anexo A de la norma NTC-ISO/IEC 27001, establece que:
Se deben definir claramente todas las responsabilidades en cuanto a seguridad de la información.
12. Que con el fin de dar cumplimiento a las anteriores previsiones y a lo ordenado por la Ley 87 de 1993, artículo 2, literales a y f, en cuanto a la protección de los recursos de la organización, buscando su adecuada administración ante posibles riesgos que los afecten así como la definición y aplicación de medidas para prevenir los riesgos; detectar y corregir las desviaciones que se presentan en la organización y que puedan afectar el logro de sus objetivos, se hace necesario disponer lo pertinente al interior de la Entidad.
Que en me rito de lo expuesto,
RESUELVE:
ARTÍCULO PRIMERO. OBJETO. La presente Resolución tiene por objeto la adopción del Modelo de Seguridad Informática de la Procuraduría General de la Nación, en adelante "Sistema de Gestión de la Seguridad de la Información" - SGSI -de la Procuraduría General de la Nación, la creación del rol de Oficial de Seguridad de la Información, la creación y conformación del Comité de Seguridad de la información y la asignación de las funciones correspondientes.
ARTÍCULO SEGUNDO. ADOPCIÓN DEL SGSI. Adoptar el "Sistema de Gestión de la Seguridad de la Información" -SGSI -de la Procuraduría General de la Nación; que se describe en documento anexo que reposa en el archivo de la Oficina de Sistemas de la Entidad y se encuentra publicado en la Página Web de la citada dependencia y que hace parte integral de la presente Resolución.
El SGSI comprende la política, estructura, procesos y recursos institucionales necesarios para implantar la gestión de la seguridad de la información en la Entidad.
ARTÍCULO TERCERO. <Artículo modificado por el artículo 1 de la Resolución 138 de 2025. El nuevo texto es el siguiente:> OFICIAL DE SEGURIDAD DE LA INFORMACIÓN. El rol de Oficial de Seguridad de la Información de la Entidad, estará a cargo del Coordinador del Grupo de Protección de Datos y Activos de Información, quien depende funcional y administrativamente del Viceprocurador General de la Nación.
OFICIAL DE SEGURIDAD DE LA INFORMACIÓN
| Perfil profesional | Ingeniero de Sistemas, Ingeniero Electrónico, Ingeniero de Telecomunicaciones o Ingeniero en Telemática o afines, con especialización y/o maestría en auditoría en sistemas y/o seguridad de la información y/o seguridad en redes, y/o con dos certificaciones internacionales afines a la gestión de seguridad de la información |
| Experiencia | Mínimo Cinco (5) años de experiencia relacionada con seguridad de la información. |
PARÁGRAFO. El servidor que se designe por parte del señor Procurador General de la Nación deberá tener el siguiente perfil profesional:
ARTÍCULO CUARTO. FUNCIONES GENERALES DEL OFICIAL DE SEGURIDAD DE LA INFORMACIÓN. <Artículo modificado por el artículo 2 de la Resolución 138 de 2025. El nuevo texto es el siguiente:> El Oficial de Seguridad de la Información tendrá a cargo las siguientes funciones:
1. Realizar seguimiento a la vinculación y cumplimiento de las Políticas de Seguridad de la Información y normatividad relacionada en cada uno de los procesos de la Entidad por parte de sus responsables.
2. Liderar y proyectar para su creación o actualización las políticas, los procedimientos y los estándares de seguridad de la información, alineados con la normatividad vigente, las mejores prácticas del sector, y asegurar su cumplimiento.
3. Liderar y definir de manera coordinada la implementación de controles y actualizaciones de seguridad de la información para los sistemas de información o servicios informáticos, con planes de mejora y cronogramas de implementación concertados, teniendo en cuenta las limitantes y alcances tecnológicos de la Entidad.
4. Identificar las necesidades y recursos financieros para la mejora de los controles organizacionales, físicos, de personas y tecnológicos, con el fin de fortalecer el Sistema de Gestión de Seguridad de la Información, alineados al Plan Estratégico Institucional (PEI) y a las capacidades técnicas y tecnológicas de la Entidad.
5. Actuar como asesor en seguridad de la información para la Entidad.
6. Hacer seguimiento al comportamiento de los indicadores de gestión de la seguridad de la información adoptados por el Comité de Seguridad de la Información, y generar las alertas tempranas al Comité sobre la efectiva implementación y oportuno seguimiento en el avance de los indicadores.
7. Aprobar y hacer seguimiento a la ejecución de diagnósticos de seguridad de la información, ciberseguridad, protección de datos personales y activos de información sobre servicios, sistemas de información y procesos de flujos de información desplegados en la Entidad. Estos diagnósticos pueden ser ejecutados con capacidades técnicas internas y/o externas, valorando su estado actual y proponiendo mejoras en la postura de seguridad. También se debe revisar la ejecución de los planes de mejora y optimización de los hallazgos con los responsables técnicos y funcionales.
8. Revisar y proponer ajustes en los procesos vigentes (políticas, procedimientos, guías, instructivos, etc.) que involucren aspectos de seguridad de la información, ciberseguridad, protección de datos personales y activos de información, buscando alinear y armonizar las estrategias de la Entidad.
9. Identificar y proponer aspectos de cooperación y coordinación con organismos externos, tanto públicos como privados, a nivel nacional e internacional, que adopten procesos de seguridad de la información, ciberseguridad, protección de datos personales y amenazas., con el fin de consolidar un ambiente de intercambio de información para las partes interesadas.
10. Evaluar el plan de recuperación de desastres de TI - DRP de la oficina de tecnología, innovación y transformación digital de la entidad.
11. Reportar al Comité de Seguridad de la Información, el estado de la investigación y monitoreo de los incidentes de seguridad de la información, los resultados de las auditorías periódicas, la revisión y supervisión del MSPI y SGSI.
ARTÍCULO QUINTO. CREACIÓN DEL COMITÉ DE SEGURIDAD DE LA INFORMACIÓN. Créase el Comité de Seguridad de la Información de la- Procuraduría General de la Nación, el cual tendrá a su cargo la determinación, aprobación y seguimiento de las políticas, planes y proyectos que requiera la Entidad en materia de seguridad de la información.
ARTÍCULO SÉXTO. INTEGRACIÓN DEL COMITÉ DE SEGURIDAD DE LA INFORMACIÓN. <Artículo modificado por el artículo 6 de la Resolución 138 de 2025. El nuevo texto es el siguiente:> El Comité de Seguridad de la Información estará integrado por:
1. El Procurador General de la Nación o su delegado.
2. El Viceprocurador General de la Nación o su delegado.
3. El Director de la Dirección de Apoyo Estratégico Análisis de Datos e Información o su delegado.
4. El Director del Instituto de Estudios del Ministerio Público o su delegado.
5. El Jefe de la Oficina de Tecnología, Innovación y Transformación Digital o su delegado.
6. El Jefe de la Oficina de Planeación o su delegado.
7. El Jefe de la División de Seguridad o su delegado.
8. El Jefe de la División de Gestión Humana o su delegado.
9. El Jefe de la División de Documentación o su delegado.
10. El Jefe de la Oficina Jurídica o su delegado.
11. El Coordinador del Grupo de Protección de Datos y Activos de Información o su delegado.
PARÁGRAFO PRIMERO. La designación de los delegados deberá informarse a la Secretaría Técnica para su validación, mediante escrito y por lo menos tres (3) días antes de la sesión del Comité de Seguridad de la Información.
ARTÍCULO SÉPTIMO. <Artículo modificado por el artículo 4 de la Resolución 138 de 2025. El nuevo texto es el siguiente:> FUNCIONES DEL COMITÉ DE SEGURIDAD DE LA INFORMACIÓN. Serán funciones del Comité de Seguridad de la Información las siguientes:
1. Aprobar la Política de Seguridad de la Información y sus cambios, así como las responsabilidades generales en materia de seguridad de la información.
2. Aprobar la declaración de aplicabilidad de los controles organizacionales, de personas, físicos y tecnológicos en materia de seguridad de la información, definiendo y asignando roles y responsabilidades según las necesidades de la entidad.
3. Aprobar las decisiones que se tomen en las sesiones según el orden del día, en temas relacionados con el Sistema de Gestión de Seguridad de la Información de la Entidad.
4. Establecer acciones a seguir frente a los incidentes de seguridad de la información, reportados por el Coordinador del Grupo de Protección de Datos y Activos de Información, conforme al registro de eventos implementado en la Entidad.
5. Evaluar y proponer iniciativas de inversión para el fortalecimiento del Sistema de Gestión de Seguridad de la Información al Procurador General de la Nación, para su aprobación.
6. Evaluar y aprobar metodologías específicas relativas al Sistema de Gestión de Seguridad de la Información para cada proceso de la Entidad.
7. Evaluar indicadores de gestión de la seguridad de la información para la Entidad.
8. Verificar el cumplimiento de la identificación y clasificación de activos de información conforme a las políticas, lineamientos y procedimientos adoptados por la Entidad, según la periodicidad establecida por la División de Documentación.
9. Presentar el estado del arte de inteligencia de amenazas, socializando los incidentes de seguridad de la información tratados por la Entidad y los posibles eventos que puedan afectarla.
10. Promover la difusión y apoyo a la seguridad de la información dentro de la Entidad, así como campañas de sensibilización en el asunto, coordinando con las diferentes dependencias de la Procuraduría General de la Nación.
11. Evaluar y articular la construcción del Plan de Continuidad de Negocio (BCP) con los líderes de los procesos de la Entidad.
12. Evaluar mecanismos de seguimiento a los protocolos establecidos para fortalecer los controles organizacionales, de personas, físicos y tecnológicos según la Política de Seguridad de la Información de la Entidad.
ARTÍCULO OCTAVO. <Artículo modificado por el artículo 5 de la Resolución 138 de 2025. El nuevo texto es el siguiente:> SESIONES COMITÉ DE SEGURIDAD DE LA INFORMACIÓN. El Comité de Seguridad de la Información de la Procuraduría General de la Nación sesionará de manera ordinaria al menos una vez (1) cada trimestre y extraordinariamente cuando se estime pertinente, por solicitud de cualquiera de sus integrantes.
Las sesiones serán convocadas por la secretaría técnica con mínimo cinco (5) días hábiles de antelación a la fecha. En la convocatoria se indicará la respectiva agenda y se remitirá la información, junto con la documentación que debe ser considerada.
PARÁGRAFO PRIMERO. A las sesiones podrán asistir con voz, pero sin voto, los servidores de la Entidad y particulares que sean convocados, con el fin de que orienten o aclaren los temas a tratarse, respecto de las cuales se decidirá si su participación será total o parcial en la sesión del Comité, conforme con el orden del día propuesto. Estos asistentes podrán ser invitados con previa aprobación de los integrantes del Comité, convocados por los jefes y/o responsables de otras dependencias y, en todo caso, se deberán tramitar los compromisos de reserva y confidencialidad de la información vigentes.
PARÁGRAFO SEGUNDO. De lo debatido en las sesiones se dejará constancia en el acta correspondiente.
ARTÍCULO NOVENO. SECRETARÍA TÉCNICA DEL COMITÉ DE SEGURIDAD DE LA INFORMACIÓN. <Artículo modificado por el artículo 6 de la Resolución 138 de 2025. El nuevo texto es el siguiente:> SECRETARÍA TÉCNICA DEL COMITÉ DE SEGURIDAD DE LA INFORMACIÓN. La Secretaría Técnica del Comité de Seguridad de la Información de la Procuraduría General de la Nación estará a cargo del Coordinador del Grupo de Protección de Datos y Activos de Información y tendrá a cargo las siguientes funciones, adicionales a las naturales de su cargo:
1. Convocar a los miembros del Comité e invitados a las sesiones, con la debida antelación.
2. Preparar el orden del día de las sesiones del Comité y remitir a los miembros e invitados: la agenda, los documentos, y los temas que deban tratar y analizarse en la sesión, a través de los medios institucionales oficiales.
3. Elaborar, para la firma de los miembros del Comité, las actas de las sesiones que serán sometidas a la aprobación y suscripción de éstos, como primer punto del orden del día en cada sesión.
4. Preparar y consolidar la información que soliciten los miembros del Comité para el estudio de los asuntos de su competencia o aquellos que requieran trámite externo sobre las actividades derivadas de este. La Secretaría Técnica podrá solicitar la información requerida a las diferentes dependencias y servidores o contratistas de la entidad.
5. Llevar el archivo y custodia de las actas y demás documentos que se produzcan en el Comité, de forma sistemática y organizada.
6. Cumplir con las funciones adicionales que le sean asignadas por parte del Comité de Seguridad de la Información.
PARÁGRAFO. Si el Coordinador del Grupo de Protección de Datos y Activos de Información se retira de la entidad o de las funciones del cargo, deberá entregar toda la documentación física y digital, incluyendo los temas a su cargo y los documentos del Comité, así como una relación de los asuntos pendientes de seguimiento y trámite, a quien se designe en su reemplazo.
ARTÍCULO DÉCIMO. AUDITORÍAS DEL SGSI. Sin perjuicio de las revisiones y auditorías independientes que el Comité de Seguridad de la Información de la Procuraduría General de la Nación pueda solicitar y autorizar, la Oficina de Control Interno es la responsable de realizar las auditorías internas al SGSI, semestralmente o cada vez que ocurran cambios significativos en la implementación de la seguridad, con el propósito de determinar si los objetivos de control, controles, procesos y procedimientos del SGSI:
a) Cumplen los requisitos de la norma NTC-ISO/IEC 27001 y de la legislación o reglamentaciones pertinentes
b) Cumplen los requisitos identificados de seguridad de la información
c) Están implementados y se mantienen eficazmente, y
d) Se están ejecutando en forma consistente y conforme con la Política de
Seguridad de la Información de la Procuraduría General de la Nación.
Para cumplir con esta responsabilidad, la Oficina de Control Interno deberá:
a) Definir de manera documentada:
- Las responsabilidades y requisitos para la planificación y realización de las auditorías, para informar los resultados y para mantener los registros de las mismas.
- Las técnicas, los criterios, el alcance y los métodos de la auditoría.
b) Hacer seguimiento a las acciones definidas para eliminar las no conformidades detectadas y sus causas, a fin de velar porque se emprendan sin demoras injustificadas.
c) Informar los resultados del seguimiento y verificación de las acciones tomadas, incluyendo las actividades de seguimiento realizadas.
ARTÍCULO UNDÉCIMO. VIGENCIA Y DEROGATORIA. La presente Resolución rige a partir de la fecha de su expedición y deroga el artículo 1 y los numerales 2 y 6 del artículo 3 de la Resolución 070 de 2007, en lo atinente a las funciones que respecto al tema de seguridad informática se le habían asignado al Comité Institucional de Informática de la Procuraduría General de la Nación. "
COMUNÍQUESE Y CÚMPLASE.
Dada en Bogotá, D. C., a los 18 FEB. 2009
ALEJANDRO ORDOÑEZ MALDONADO
Procurador General de la Nación
