La Xunta de Galicia mejorará la seguridad de los sistemas de información de todos sus departamentos con la puesta en marcha de un Plan Director de Seguridad de la Información, que con un presupuesto de 2,8 millones de euros abarca el período 2010-2014. El plan contempla diez líneas de actuación y se aplicará progresivamente al conjunto de consellerías de la Administración autonómica, a sus organismos autónomos, sociedades públicas y fundaciones del sector público autonómico. Dentro de este plan, que desarrollará la Secretaría General de Modernización e Innovación Tecnológica, se analizarán las necesidades, planificación, diseño, gestión e implantación de los sistemas de información y elementos tecnológicos en los órganos de la Administración de Justicia en Galicia. Además, se perfilan una serie de iniciativas orientadas a asesorar y sensibilizar al personal de la Administración Local en materia de protección de datos, de seguridad informática y de acceso electrónico de los ciudadanos a los servicios públicos. Líneas de actuación La primera línea del Plan de Seguridad se refiere a la gestión de continuidad y de la disponibilidad que establece los sistemas de protección que permitirán reducir la probabilidad de que se produzca un incidente y, en caso de que suceda, acortar el tiempo de recuperación y minimizar su impacto. Dentro de esta línea se encuadran las primeras medidas urgentes que se pondrán en marcha y que son el resultado del análisis de los problemas de comunicaciones detectados en la Red Corporativa de la Xunta de Galicia durante el 2009 y principios de 2010. Estas iniciativas, que incluyen la adquisición de equipamiento y la separación de la conexión a la red del puesto de usuario de las conexiones de los servidores, redundarán en una mejora de la seguridad y disponibilidad de la Red con el objetivo de lograr que los servicios telemáticos estén accesibles un 100% del tiempo. Se complementan con la puesta en marcha de un nuevo Centro de Respaldo del Centro de Datos Corporativa en Pontevedra. En cuanto a la gestión del acceso a la información se disponen mecanismos para asegurar que el acceso físico a las instalaciones en las que se encuentran los servidores se efectúen de manera controlada. Por otra parte, se tomarán nuevas medidas de gestión del control de acceso en el puesto de trabajo definiendo los requisitos de acceso de los usuarios. Con este objetivo se implantará un sistema de identificación digital del empleado público y un sistema de gestión de acceso a la red para determinar el estado de seguridad de la equipación informática. Con respeto a la protección de datos de carácter personal, se busca asegurar el máximo respeto de las garantías y derechos de los ciudadanos en sus relaciones con las administraciones. Dentro de esa línea de actuación, se contemplan el apoyo de los responsables de seguridad organizativa y técnica de los departamentos, coordinados por el Centro de Seguridad de la Información (CSI), dependiente de la Secretaría General de Modernización e Innovación Tecnológica. Otra de las líneas del plan es la evaluación y control de los riesgos de los activos (información, datos, documentación, servicios, aplicaciones, equipamiento, comunicaciones, recursos administrativos, físicos y humanos) que permiten su minimización hasta niveles aceptables. Con esta finalidad se desplegarán medidas de seguridad adecuadas, eficaces y proporcionadas, en un proceso de mejora continua que lleve a la organización a ser más preventiva que reactiva frente a los incidentes de seguridad. Uno de los activos más importantes es la propia documentación de seguridad. Por eso el Comité de Seguridad de los Sistemas de Información, mediante auditorías periódicas, validará que esta gestión de la documentación esté en consonancia con las medidas dispuestas en el protocolo de archivo y documento electrónico. La gestión de la seguridad está considerada en el plan como un proceso transversal a la organización, y el personal de soporte técnico de las distintas consellerías y organismos velará para que los procesos y actividades TIC cumplan y se adecúen a las medidas de seguridad establecer. Para concienciar e implicar en la gestión de la seguridad a toda la dirección y personal que presta servicios a la Administración autonómica se pondrá en marcha un plan de divulgación con acciones formativas, campañas de difusión y sensibilización sobre protección de datos, políticas de uso seguro del puesto de trabajo y otras cuestiones relacionadas con el temas que contará con la colaboración de especialistas. Por la especial importancia que tiene la protección de datos personales, se estudiará la posibilidad de poner en marcha una autoridad independiente, que permita llevar a cabo las labores divulgativas, formativas y de control en materia de protección de datos personales dentro de la Comunidad Autónoma de Galicia, asumiendo las competencias que procedan, para colaborar con la Agencia Española de Protección de Datos. Las dos últimas líneas de actuación consisten en la elaboración de una orden para el desarrollo del decreto de buenas prácticas y en la creación de una herramienta para poder evaluar el grado de seguridad que se va alcanzando. Es lo que se denomina salpicadero, un instrumento de medida que, a través de un conjunto de indicadores, permitirá disponer de información que facilite la toma de decisiones en el ámbito de la seguridad de la información. Cumplimiento del Esquema Nacional de Seguridad Con la puesta en marcha de este Plan se da también respuesta a las exigencias del Esquema Nacional de Seguridad, que indica que todos los órganos superiores de las Administraciones públicas deberán disponer formalmente de su política de seguridad, que será aprobada por el titular del órgano superior correspondiente. De ahí la necesidad de fijar la Política de Seguridad de la Xunta de Galicia en un documento que detalle el compromiso del Gobierno gallego con la seguridad de la información, las atribuciones de cada responsable y los mecanismos de coordinación y resolución de conflictos dentro de las materias de seguridad de la información.