5.858 29 de mayo de 2006 Disposición final primera. Facultad de desarrollo. Se faculta al Secretario de Estado de Defensa a dictar las disposiciones oportunas, en el ámbito de sus competencias, para el desarrollo y ejecución de la presente Orden Ministerial. Disposición final segunda. Entrada en vigor. La presente Orden Ministerial entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Ministerio de Defensa». Madrid, 19 de mayo de 2006. BOD. núm. 103 le afecte, la forma en la que se presente o el lugar en el que se encuentre. Cualquier norma interna que trate algún aspecto particular de la seguridad de la información del Ministerio debe emanar de esta política. Cuarto. Información. La información es un recurso de carácter estratégico para el Ministerio y, por tanto, debe garantizarse su protección. Esto no quiere decir que la protección de la información sea un fin en sí mismo, sino que debe ser protegida en la medida que el cumplimiento de la misión del Ministerio depende de ella. JOSE ANTONIO ALONSO SUAREZ POLITICA DE SEGURIDAD DE LA INFORMACION DEL MINISTERIO DE DEFENSA Primero. Objeto. El objeto de esta política es alcanzar la protección adecuada, proporcionada y razonable de la Información del Ministerio de Defensa, mediante la preservación de sus requisitos básicos de seguridad: confidencialidad, integridad y disponibilidad. Segundo. Definiciones. La información es un concepto abstracto e intangible que se elabora, presenta, almacena, procesa, transporta o destruye (de ahora en adelante, maneja) mediante elementos tangibles. Estos elementos son: las personas, los documentos, los sistemas de información y telecomunicaciones, las instalaciones y las empresas. De acuerdo con ello, la protección de la información se realizará mediante la aplicación y supervisión de medidas de seguridad dirigidas a las personas, los documentos, los sistemas de información y telecomunicaciones, las instalaciones y las empresas. Quinto. Seguridad de la información. A los efectos de la presente política, se considera: 1. Conceptos generales. Amenaza: evento que puede desencadenar un incidente en la organización, produciendo daños materiales o pérdidas inmateriales. Auditoría: revisión e inspección independiente de las medidas de seguridad implantadas para valorar su idoneidad y eficacia, verificando y asegurando su conformidad con las políticas y los procedimientos establecidos y recomendando los cambios necesarios. Confidencialidad: requisito básico de seguridad que garantiza que sólo las personas, entidades o procesos autorizados pueden acceder a la información. Disponibilidad: requisito básico de seguridad que garantiza que se puede acceder a la información y a los recursos o servicios que la manejan, conforme a las especificaciones de los mismos. Documento: cualquier soporte portátil con capacidad para contener información. Habilitación personal de seguridad: certificación que establece que a la persona que la posee se le puede confiar información clasificada de un determinado grado y que está instruida en materia de seguridad de la información. Información: todo conocimiento que puede ser comunicado, presentado o almacenado en cualquier forma. Información del Ministerio de Defensa: aquella que es generada de manera oficial por personal del departamento o por entidades ajenas que desarrollan trabajos para éste según los acuerdos correspondientes; y toda aquella que no se encuentre recogida en acuerdos nacionales o internacionales y que de forma específica se deposita en el Ministerio de Defensa para su tratamiento oficial. Integridad: requisito básico de seguridad que garantiza que la información no pueda ser o no ha sido modificada o alterada por personas, entidades o procesos no autorizados. Manejar información: elaborar, presentar, almacenar, procesar, transportar o destruir información. Necesidad de conocer: determinación positiva por la que se confirma que un posible destinatario requiere el acceso a una determinada información para desempeñar servicios, tareas o cometidos oficiales. Riesgo: la probabilidad o potencialidad de que una vulnerabilidad sea aprovechada por una amenaza, comprometiendo la confidencialidad, integridad y/o disponibilidad. Sistema de Información y Telecomunicaciones: conjunto de equipos, métodos, procedimientos y personal, organizado de tal forma que permita manejar información. Vulnerabilidad: debilidad, atributo o pérdida de control que permitiría o facilitaría la materialización de una amenaza. Tercero. Alcance. Esta política es de aplicación a la INFORMACION DEL MINISTERIO DE DEFENSA, con independencia del atributo que La seguridad de la información del Ministerio se establece sobre la base de: a. Visión estratégica unitaria. b. Dirección única, que establezca normas y pautas comunes. c. Agrupamiento de todos los recursos en entidades homogéneas que precisen de medidas de protección similares, de tal manera que se puedan delimitar responsabilidades y lograr una especialización de personal, normativa y recursos. d. Establecimiento de un conjunto equilibrado y completo de medidas específicas de protección orientadas a alcanzar un grado de protección similar en cada grupo. e. Acción coordinada e integrada de las medidas dimanantes de la política de seguridad aplicada a cada uno de dichos grupos. f. Armonización con otros departamentos ministeriales u organizaciones nacionales e internacionales. g. Un esquema funcional adecuado, que permita la dirección, ejecución, apoyo, y auditoría de las medidas de protección. 2. Principios básicos de la seguridad de la información. Los principios básicos son directrices de obligado cumplimiento que hay que tener siempre presentes en cualquier actividad relacionada con la seguridad de la información. Se establecen los siguientes: a. La seguridad de la información es responsabilidad de todos los miembros del Ministerio, los cuales deberán estar adecuadamente formados y concienciados para el satisfactorio cumplimiento de sus responsabilidades. b. La seguridad de la información debe estar coordinada e integrada con el resto de la seguridad del Ministerio, con el fin de conformar un todo coherente y eficaz. c. La seguridad de la información debe ir encaminada a preservar los requisitos básicos de seguridad durante todo el ciclo de vida de la información, en cualquier medio o formato que se emplee y en cualquier lugar donde se encuentre, dentro o fuera del Ministerio. d. La seguridad de la información debe ser periódicamente evaluada. e. Las medidas de protección deben aplicarse en proporción a los daños que produciría la pérdida de alguno de los requisitos básicos de seguridad. f. Las medidas y procedimientos que se implanten para la protección de la información deben acatar lo establecido en la legislación vigente vinculante al Ministerio, tanto a nivel nacional como internacional.