Informazioaren Segurtasun Politika

Sarrera

Gero eta elkarkonektatuago dagoen gizarte batean, eta teknologien zeintresnen bilakaera azkarraren eraginez, esposizio-azalera handitu egin da, eta zibergaizkileek hori balia dezakete beste eraso batzuk egiteko.

Eszenatoki horri aurre egiteko, non zibersegurtasuna gizarte osoari eragiten dion erronka baita, beharrezkoa da zibersegurtasunaren kudeaketa globala ezartzea, bai eta koordinazio-mekanismoak edukitzea ere, parte hartzen duten eragileek egindako jarduketak lerrokatu ahal izateko.

Testuinguru horretan onartu zen ekainaren 29ko 7/2023 Legea, Euskal Zibersegurtasun Agentzia sortzekoa. Agentzia (aurrerantzean, Cyberzaintza) Eusko Jaurlaritzaren Segurtasun Sailari atxikita dago, eta haren xedea da euskal sektore publikoan zibersegurtasuna sustatzea eta koordinatzea, sektore horren eskumeneko informazio-sistemen eta sare elektronikoen segurtasunaren esparruan, eta Euskal Autonomia Erkidegoa, bertako administrazio publikoa, herritarrak eta enpresa-sarea zibersegurtasunean eta garapen digital seguruan treba daitezen babestea eta bultzatzea.

Helburua

Informazioaren segurtasunaren helburua honako hau bermatzea da: informazioaren konfidentzialtasuna, osotasuna, benetakotasuna eta trazabilitatea, bai eta zerbitzuen etengabeko prestazioa ere, eta, horretarako, prebentzioz jardun behar da, eguneroko jarduera gainbegiratu behar da eta gertakariei azkar erantzun behar zaie.

Cyberzaintzak Segurtasun Politika hau egin du, eta haren bidez Informazioaren Segurtasuna behar bezala kudeatzeko printzipioak eta helburuak bildu ditu, euskal zibersegurtasun-estrategiarekin lerrokatuta, bai eta aplikatu beharreko erregulazio eta araudiarekin ere.

Hori dela eta, konpromiso hori gauzatzeko, Cyberzaintzak hainbat jardun-ildo identifikatu ditu, helburu estrategikoak lortzeko:

  • Zibersegurtasuna sustatzea zerbitzu partekatu gisa sektore publikoan.
  • Zibersegurtasuneko trebetasun pertsonalak garatzea.
  • Euskal enpresa-sarearen erresilientzia babestea.
  • Nazioarteko aitorpena eta posizionamendua lortzea.

Informazioaren Segurtasun Politika hau Cyberzaintzaren Informazioaren Segurtasuna Kudeatzeko Sistemaren (ISKS) esparru-dokumentua da, Segurtasun Eskema Nazionalaren printzipio eta eskakizunen arabera ezarria, eta hura osatzen duten arau, prozedura eta kontrolen multzoa garatzeko oinarri gisa balio du.

Irismena

Politika hau honako hauei aplikatuko zaie:

  • Informazioaren Segurtasunarekin lotutako eginkizun eta jarduerak betetzen dituen barneko eta kanpoko langile guztiei.
  • Cyberzaintzaren informazio-sistemetara sartzen diren eta horiek erabiltzen dituzten barneko zein kanpoko langile guztiei.

Halaber, Politika hau Cyberzaintzaren informazio-sistemei aplikatuko zaie, baldin eta eskubideak baliabide elektronikoen bidez baliatzearekin, betebeharrak baliabide elektronikoen bidez betetzearekin edo informaziora edo administrazio-prozedurara sartzearekin lotuta badaude, eta Segurtasun Eskema Nazionalaren aplikazio-eremuan badaude.

Hala ere, informazioaren segurtasunari edo zibersegurtasunari buruzko edozein plan espezifiko dokumentu honen xedapen eta gomendio orokorrago eta nagusiagoetara egokitu beharko da, Politika hau oinarri hartuta.

Informazio-sistemetara sartzeko aukera duten langileek edo hirugarrenek Politika honetan xedatutakoa ez betetzeak diziplina-, kontratu- edo lege-neurriak aplikatzea ekar dezake, indarrean dagoen araudiaren eta ezarritako barne-prozeduren arabera.

Segurtasun Eskema Nazionalaren irismenean zer sistema, zerbitzu eta informazio sartzen den zehazteko, onartutako gobernantza-eredua hartuko da kontuan, eta ISKSren irismen-erregistroetan dokumentatuko da.

Arau-esparrua

Cyberzaintzan Informazioaren Segurtasunari aplikatu beharreko arau-esparrua dokumentu honen I. eranskinean jaso da, eta hura Politika honen zati banaezina da.

Segurtasunaren oinarrizko printzipioak

Cyberzaintzak honako oinarrizko printzipio hauek hartu behar ditu kontuan Informazioaren Segurtasunaren arloan erabakiak hartzeko orduan:

  • Segurtasuna prozesu integral gisa: Segurtasuna prozesu integral gisa ulertzen da, eta informazio-sistemekin lotutako giza elementu guztiek, elementu materialek, teknikoek, juridikoek eta antolaketa-elementuek osatzen dute. Segurtasun Eskema Nazionalaren aplikazioa printzipio horren mende egongo da, eta horrek baztertu egiten du une jakin bateko edozein jarduketa edo unean uneko tratamendua.Bereziki garrantzitsua da prozesuan parte hartzen duten pertsonak eta arduradun hierarkikoak kontzientziatzea, , ezjakintasunak, antolaketa- eta koordinazio-faltak edo jarraibide egokien faltak segurtasunerako arrisku-iturri izan ez daitezen.
  • Arriskuetan oinarritutako segurtasunaren kudeaketa:

    Arriskuen azterketa eta kudeaketa segurtasun-prozesuaren funtsezko zatia da, eta etengabeko eta etengabe eguneratutako jarduera izan behar du. Arriskuen kudeaketak ingurunea kontrolatua edukitzeko aukera emango du, eta arriskuak maila onargarrietara murrizteko ere bai. Maila horietara murrizteko segurtasun-neurriak behar bezala aplikatuko dira, modu orekatuan eta tratatutako informazioaren, emango diren zerbitzuen eta jasandako arriskuen araberako proportzioan.

    Cyberzaintzak Segurtasun Eskema Nazionala (SEN) arautzen duen maiatzaren 3ko 311/2022 Errege Dekretuaren 39. artikuluan ezarritako sistemak kategorizatzeko metodologia aplikatuko du, informazio-sistema bakoitzari dagokion segurtasun-maila (oinarrizkoa, ertaina edo altua) zehazteko, kudeatutako informazioaren konfidentzialtasunean, osotasunean, eskuragarritasunean, benetakotasunean eta trazabilitatean duen eraginaren arabera.

    Kategorizazio hori oinarri gisa erabiliko da SENek eskatutako segurtasun-neurriak hautatzeko eta ezartzeko, ateratako mailaren arabera, eta dagokion Aplikagarritasun Adierazpenean (AA) dokumentatuko da. AAk segurtasun-neurri bakoitzaren ezarpen-egoera jasoko du (ezarrita, ezarri gabe edo aplikagarria ez dena), behar bezala justifikatu beharko da, eta ebidentzia egiaztagarri gisa mantenduko da betetze-auditorietan eta -berrikuspenetan.

  • Prebentzioa, detekzioa, erantzuna eta kontserbazioa: Informazio-sistemen segurtasunak prebentzio-, detekzio- eta erantzun-alderdiei buruzko ekintzak hartu behar ditu kontuan, ahultasunak minimizatzeko eta haien gaineko mehatxuak gauzatu ez daitezen edo, gauzatuz gero, kudeatzen duen informazioari edo ematen dituen zerbitzuei larriki eragin ez diezaieten.
    • Prebentzio-neurriek mehatxuak gauzatzeko aukera desagerrarazi edo murriztu behar dute, eta disuasioa eragitera edo esposizio-azalera murriztera bideratutako osagaiak izan ditzaketedesagerrarazi.
    • Detekzio-neurriak Informazioaren Segurtasuneko gertakari bat aurkitzera bideratuko dira. Erantzun-neurriak, zeinak garaiz kudeatuko baitira, segurtasun-gertakari batek eragindako informazioa eta zerbitzuak lehengoratzera bideratuko dira. Gainerako oinarrizko printzipioei eta ezarritako gutxieneko eskakizunei kalterik egin gabe, informazio-sistemek bermatu egingo dute euskarri elektronikoan dauden datu eta informazioaren kontserbazioa.

    Era berean, sistemak zerbitzuak eskuragarri izango ditu informazio digitalaren bizi-ziklo osoan, ondare digitala kontserbatzeko oinarri izango diren ikuskera eta prozeduren bidez.

  • Defentsa-lerroen existentzia: Informazio-sistemek segurtasun-geruza anitzez osatutako babes-estrategia bat izan behar dute, eta geruzetako bat arriskuan jartzen denean honako hau ahalbidetuko dute:
    • Saihestu ezin izan diren gertakarien aurrean erreakzio egokia garatzea, eta sistema osoa arriskuan jartzeko probabilitatea murriztea.
    • Haren gaineko azken eragina minimizatzea.
  • Etengabeko zaintza: Jarduera edo jokabide anomaloak detektatzeko eta horiei garaiz erantzuteko aukera emango du.
  • Aldizkako birebaluazioa eta etengabeko hobekuntza: Aktiboen segurtasun-egoeraren etengabeko ebaluazioak haien bilakaera neurtzeko aukera emango du, ahultasunak detektatuz eta konfigurazio-akatsak identifikatuz. Segurtasun-neurriak aldizka birebaluatu eta eguneratuko dira, haien eraginkortasuna arriskuen eta babes-sistemen bilakaerara egokituko da, eta, beharrezkoa bada, segurtasuna berriz planteatuko da.
  • Erantzukizunen bereizketa: Informazio-sistemetan bereizi egingo dira Informazioaren Segurtasunaren arduraduna, Sistemen arduraduna, Zerbitzuaren arduraduna eta Informazioaren arduraduna. Informazio-sistemen segurtasunaren erantzukizuna bereizita egongo da dagozkion informazio-sistemen ustiapenaren gaineko erantzukizunetik. Direktiba honetan, arduradun bakoitzaren eginkizunak eta koordinazio- eta gatazka-konponketako mekanismoak zehaztuko dira. Antolaketa-arrazoiengatik pertsona edo unitate berak rol horietako bat baino gehiago bere gain hartzen duen kasuetan, gobernantza-ereduan definitutako antolaketa-neurri konpentsatzaileak aplikatuko dira.

Halaber, Cyberzaintzan ezarritako oinarrizko printzipioei jarraitzeko, honako helburu hauek identifikatu dira Informazioaren Segurtasunaren arloan:

  1. Informazioa, baita hura euskarri duten sistemak ere, aktibo estrategikotzat hartzea, eta, horrela, Cyberzaintzak kudeatutako informazioaren eta zerbitzuen honako ezaugarri hauek bermatzeko duen erabakitasuna agertzea:
    • Sarbidea.
    • Osotasuna.
    • Eskuragarritasuna.
    • Benetakotasuna.
    • Konfidentzialtasuna.
    • Trazabilitatea.
    • Kontserbazioa.

    Aipatutako ezaugarrietatik abiatuta, informazio-sistemen eta informazioaren segurtasuna bermatzen da Cyberzaintzaren barruan.

  2. Cyberzaintzak definitutako Segurtasunaren antolaketa-egitura mantentzea, Informazioaren Segurtasunaren kudeaketa eta eragiketa eraginkorra ahalbidetzeko zuzendaritza eta arlo orotan, eta dagozkion arduradunak izendazeko. Identifikazio horrek erraztu egingo du Cyberzaintzaren arau-multzoa behar bezala ezartzea eta Informazioaren Segurtasunaren esparruko prozedura guztiak garatzea.
  3. Segurtasun-maila egokia bermatzeko beharrezkoak diren segurtasun-neurriak ezartzea, bai eta Informazioaren Segurtasunean indarrean dagoen eta aplikatu beharreko erregulazioa eta araudia betetzea ere, orokorra zein sektoriala, Cyberzaintzari eragin diezaioketen arriskuen eta gertakarien kudeaketa arduratsua eta eraginkorra ahalbidetzeko. Segurtasun-maila egokia haren sistemen kritikotasunak eta haren sare eta sistemetan ezarritako segurtasunaren heldutasun-mailak definituko du.
  4. Cyberzaintzako langile eta kolaboratzaileengan Informazioaren Segurtasunaren kultura sustatzea eta irakastea, balizko mehatxu eta arriskuei buruzko kontzientziazio- eta sentsibilizazio-ekintzen bidez, baita prestakuntza espezifikoen bidez ere, Cyberzaintzako langileek Informazioaren Segurtasunari buruz duten ezagutza handitzeko.
  5. Cyberzaintzaren Informazioaren Segurtasuna garatzea, haren irismena pixkanaka zabaltzeko eta erreferentziazko estandar eta araudi gehiagotara integratzeko pixkanaka. Prozesu hori arau-multzo osoa berrikusiz egingo da, aplikatu beharreko araudietara eta segurtasun-estandar berrienetara lerrokatzeko.
  6. Prebentzio-, detekzio- eta erantzun-mekanismoak ezartzea, eta gertaera larrien aurrean ziber-erresilientzia eta jardueren eta prozesu kritikoen jarraitutasuna sustatzea, bai maila taktikoan, bai maila operatiboan. Jarduera horietan aplikatu behar dira hondamendi edo gertakari baten kasuan Cyberzaintzaren zerbitzua mantentzeko beharrezko mekanismoak.
  7. Cyberzaintzaren hornitzaileek, kolaboratzaileek eta hirugarrenek Informazioaren Segurtasunaren esparruko neurriak bete ditzaten eskatzeako, Cyberzaintzari aplikatu beharreko eta indarrean dagoen legeriak ezarritakoak, bai eta esparru horretako estandar eta jardunbide egokienetan definitutakoak ere.
  8. Informazioaren Segurtasuna hobetzen laguntzeko, bai estatu-mailan, bai nazioartean, dagozkion erakunde eta agentziekin elkarlanean eta lankidetzan aritzea, tzen.

    Cyberzaintzak etengabe egon behar du harremanetan izaera publikoko beste erakunde batzuekin Informazioaren Segurtasunari dagokionez, balizko ahuleziei, mehatxuei edo hobekuntza-aukerei buruzko informazioa partekatzeko. Era berean, agintari eskudunekin harremanetan egon beharko du Cyberzaintzari eskala handian eragiten dion gertakari larriren bat gertatuz gero.

Gainera, Politika hau eta hura osatzen duen arau-multzoa honako gutxieneko eskakizun hauek errespetatuz garatuko dira:

  • Arriskuen azterketa eta kudeaketa.
  • Langileen kudeaketa.
  • Profesionaltasuna.
  • Sarbideen baimena eta kontrola.
  • Instalazioen babesa.
  • Segurtasun-produktuak eskuratzea eta segurtasun-zerbitzuak kontratatzea.
  • Pribilegio txikiena.
  • Sistemaren osotasuna eta eguneratzea.
  • Biltegiratutako eta igarobidean dagoen informazioaren babesa.
  • Elkarkonektatutako beste informazio-sistema batzuen aurkako prebentzioa.
  • Jardueraren erregistroa eta kode kaltegarriaren detekzioa.
  • Segurtasun-gertakariak.
  • Jardueraren jarraitutasuna.
  • Segurtasun-prozesuaren etengabeko hobekuntza.

Segurtasun-jarraibideak

Jarraian, Cyberzaintza arautzen duten Informazioaren Segurtasunaren arloko jarraibideak deskribatzen dira:

  • Gobernantza: Cyberzaintzaren barruan Informazioaren Segurtasuna behar bezala kudeatzeko erabiltzen diren goi-mailako jardunbide eta egituren multzoa. Zehazki, Informazioaren Segurtasunaren arloan erantzukizun-karguak dituzten langileek bere gain hartu behar dituzten rol eta zereginak.
  • Informazioaren Segurtasuneko Aktiboen Kudeaketa: Cyberzaintzaren aktiboen balioa eta errendimendua optimizatzeko erabiltzen den estrategia. Horren barruan sartzen dira aktiboak identifikatzea, egokienak hautatzea, haien eskuratzea planifikatzea, mantentzea eta horiek baliogabetzea.
  • Segurtasun Fisikoa: Informazioaren Segurtasunaren esparruan garrantzia duten instalazioek jarraitu behar dituzten jarraibideen multzoa. Segurtasun Fisikoa Cyberzaintzaren aurkako edozein kanpoko mehatxuren aurreko lehen segurtasun-langa da; horregatik, gelek, inguruek eta zaintza-sistemek jarraibide horiek bete behar dituzte.
  • Aplikazioen Segurtasuna: Cyberzaintzak aplikazioetan ezarri beharreko neurrien multzoa. Aplikazioen segurtasuna haien bizi-ziklo osoan aplikatuko da, hau da, garatzean, aldaketak egitean eta ezabatzean.
  • Konfigurazio Segurua: Cyberzaintzaren barruan erabiltzen diren ingurune edo tresna orokonfiguratzean aplikatu behar diren neurrien multzoa.
  • Giza Baliabideen Segurtasuna: Cyberzaintzak kontuan hartu behar dituen neurrien multzoa, segurtasun-arrakalak saihesteko, bertan lan egiten duten barneko zein kanpoko langileei eta hura uzten dutenei dagokienez. Horretarako, jarraibideak ezarriko dira pertsona horiek aztertzeko, ikertzeko eta ezagutzeko (kontratatu aurretik) eta diziplina-prozedurak ezartzeko, beharrezkoak balira.
  • Informazioaren Segurtasuneko Gertaeren Kudeaketa: Informazioaren Segurtasunaren esparruko gertakari edo intzidentzia bat Cyberzaintzan gertatuz gero hartu behar diren ekintzen multzoa. Ekintza horiek hainbat zuzendaritzari edo arlori eragin diezaiekete; beraz, bereziki garrantzitsua da jarraibide hori guztiek ezagutzea, behar bezala aplikatzeko.
  • Segurtasun Gertakarien Kudeaketa: Informazioaren Segurtasuneko gertakarien kudeaketa Cyberzaintzaren Gertakarien Kudeaketako Prozeduraren arabera egingo da, ISKSn integratuta, eta horrek detekzio-, jakinarazpen-, azterketa-, erantzun- eta berreskuratze-mekanismoak eta agintari eskudunei jakinarazteko mekanismoak ezartzen ditu, aplikatzekoa denean.
  • Informazioaren Sailkapena eta Etiketatzea: Cyberzaintzak Informazioa Sailkatzeko eta Etiketatzeko Araua izango du, Informazioaren Segurtasun Batzordeak definitua eta onartua, eta horrek konfidentzialtasun-mailak eta hura babesteko irizpide orokorrak ezarriko ditu. Arau hori aplikatzea Informazioaren arduradunei egokituko zaie, eta haiek zehaztuko dute beren erantzukizun-eremuko informazioaren sailkapena.

Segurtasunaren antolaketa

Cyberzaintzak Gobernu eta Kudeaketa Eredua ezarriko du, eta haren irismenak Informazioaren Segurtasunaren gobernu-, kudeaketa- eta eragiketa-geruzak definitzeko eta integratzeko aukera emango du, eta segurtasun-prozedurak garatzeko funtsezko eginkizun zein erantzukizunak identifikatzea eta ezartzea bermatuko du.

Cyberzaintzaren Informazioaren Segurtasunaren gobernu- eta kudeaketa-eredua Agentziak onartutako Informazioaren Segurtasunaren Gobernantza dokumentuan garatzen eta zehazten da, eta horrek Informazioaren Segurtasun Batzordearen egitura, funtzionamendua, erabaki-arauak eta antolaketa-neurri konpentsatzaileak ezartzen ditu.

Eginkizunak eta erantzukizun-arloak bereizi egin behar dira, Cyberzaintzaren aktiboen baimenik gabeko edo nahi gabeko aldaketak edo bidegabeko erabilerak gertatzeko aukera murrizteko. Era berean, kasuan kasuko arduradunek erabakiak hartzeko orduan gatazkarik sortuz gero, hierarkian haien gainetik dagoen arduradun hurbilenak edo biek parte hartzen duten batzordeak hartu behar du azken erabakia.

Antolaketa-arrazoiengatik pertsona berak araudietan definitutako rol bat baino gehiago betetzen badu, gobernantzako neurri konpentsatzaileak aplikatuko dira independentzia funtzionala zaintzeko, “Informazioaren Segurtasunaren Gobernantza” dokumentuan ezarritako moduan. Neurri horien artean daude erabakiak Segurtasun Batzordean kide anitzeko moduan baliozkotzea, ebidentziak erregistratzea, zuzendaritzen arteko kontrol gurutzatua eta ISKSko jarduketa guztien trazabilitatea.

Jarraian, inplikatutakoen rol, eginkizun eta erantzukizun guztiak definitzen dira, Cyberzaintzaren Informazioaren Segurtasunaren Gobernu eta Kudeaketa Eredua garatzen duten dokumentuetan ezarritakoa kontuan hartuta.

  1. Zuzendaritza

    Cyberzaintzaren Zuzendaritzak Informazioaren Segurtasunaren gobernu- eta gainbegiratze-eginkizuna betetzen du, eta Segurtasun Eskema Nazionala (SEN) betetzeko beharrezkoa den babes instituzionala, estrategikoa eta antolaketakoa bermatzen du.

    Zuzendaritzak Informazioaren Segurtasun Politika, plan estrategikoak eta beharrezko baliabideen esleipena onartzen ditu, eta Informazioaren Segurtasun Batzordeko buru da, hartutako erabakien koherentzia instituzionala bermatze aldera. Era berean, Informazioaren Segurtasunaren arloko arduradunen izendapenak formalki baliozkotzen ditu, Politika honetan ezarritako prozeduraren arabera.

    Zuzendaritzak ez ditu bere gain hartzen Informazioaren Segurtasunaren kudeaketa operatiboko eginkizunak, horiek Informazioaren Segurtasuneko Arduradunari (ISA) eta Informazioaren Segurtasun Batzordeari baitagozkie.

    Eginkizun horiek Cyberzaintzak onartutako Informazioaren Segurtasunaren gobernantza-ereduaren arabera betetzen dira.

  2. Informazioaren Segurtasun Batzordea

    Informazioaren Segurtasun Batzordearen osaera, funtzionamendua, erabakiak hartzeko arauak eta antolaketa-neurri konpentsatzaileak Cyberzaintzak onartutako Informazioaren Segurtasunaren Gobernantza dokumentuan ezarritakoaren arabera arautzen dira.

  3. Segurtasuneko beste rol batzuk

    Informazioaren Segurtasunaren arloko rolak, eginkizunak eta erantzukizunak esleitzea “segurtasuna eginkizun bereizi gisa” printzipioan oinarritzen da. Besteak beste, honako rol hauek ezartzen dira:

    1. Informazioaren Segurtasuneko Arduraduna (ISA).
    2. Zerbitzuaren Arduraduna.
    3. Informazioaren Arduraduna.
    4. Sistemaren Arduraduna.
    5. Datuak Babesteko Ordezkaria (DBO).

    Informazioaren Segurtasuneko rolen arteko koordinazioa Informazioaren Segurtasun Batzordearen esparruan egiten da, onartutako gobernantza-ereduaren arabera.

    1. Informazioaren Segurtasuneko Arduraduna (ISA)

      Informazioaren Segurtasuneko arduradunak honako hauek egin beharko ditu:

      • Informazioaren Segurtasunaren estrategia gidatzea, eta segurtasun-prozeduren eta -neurrien ezarpena gainbegiratzea.
      • Cyberzaintzan Informazioaren Segurtasuneko arriskuen kudeaketa egitea.
      • Cyberzaintzaren Informazioaren Segurtasuna garatzea, bultzatzea eta koordinatzea, eta, bereziki, Politika, arauak, prozedurak eta jarraibide teknikoak ezartzea, bai eta aplikatu beharreko segurtasun-, teknika- eta antolaketa-neurriak ere, arriskuen kudeaketaren araberakoak, gauzatu daitezkeen segurtasun-gertakarien eta mehatxuen ondorioak prebenitzeko eta ahalik eta gehien murrizteko.
      • Politika eta hura garatzen duen arau-esparrua egitea eta eguneratuta mantentzea.
      • Informazioaren Segurtasunaren eskakizunak betetzeko erabaki egokiak hartzea.
      • Cyberzaintzaren segurtasun-neurrien Aplikagarritasun Adierazpena jasotzeko dokumentua egitea.
      • Informazioaren Segurtasunaren, informazio-sistemen eta horiek euskarri dituzten sareen arloko prestakuntza eta kontzientziazioa sustatzea, bai alderdi logikoetan, bai fisikoetan eta antolaketakoetan.
      • Informazioaren Segurtasuneko arrakalak eta gertakariak ikertzea.
      • Agintari eskudunari jakinaraztea, erreferentziazko CSIRTaren (ingelesez, Computer Security Incident Response Team) bidez eta bidegabeko atzerapenik gabe, Cyberzaintzaren zerbitzuen prestazioan eragin asaldatzaileak dituzten gertakariak.
      • Agintari eskudunak emandako jarraibideak eta gidak jasotzea, interpretatzea eta aplikatzea, bai ohiko jardunerako, bai antzemandako gabeziak zuzentzeko.
      • Informazioaren Segurtasun Batzordearen bilerak deitzea eta gai-zerrendan landu beharreko gaiak prestatzea.
      • Cyberzaintzan Informazioaren Segurtasunaren jarduera zuzentzea; horretarako, esleituta dituen eginkizun guztiak —antolaketakoak, juridikoak zein teknikoak— bere gain hartzeko beharrezko giza baliabide eta baliabide teknikoak izango ditu.

    2. Zerbitzuaren Arduraduna

      Zerbitzuaren arduraduna Cyberzaintzaren barruan Informazioa erabiltzen duten zerbitzuak kudeatzeaz arduratuko da. Horretarako, honako hauek egin beharko ditu:

      • Emandako zerbitzuen segurtasun-eskakizunak zehaztea.
      • Gertakari batek zerbitzuen segurtasunean sor dezakeen eragin negatiboaren ondorioak baloratzea, kontuan hartuta Cyberzaintzak bere helburuak lortzeko, bere aktiboak babesteko eta bere zerbitzu-betebeharrak betetzeko duen gaitasunean duen eragina.

    3. Informazioaren Arduraduna

      Informazioaren arduraduna Cyberzaintzak erabilitako eta sortutako informazioa babesteaz arduratuko da. Horretarako, honako hauek egin beharko ditu:

      • Cyberzaintzaren prozesuetan erabilitako eta kudeatutako Informazioaren segurtasun-mailak zehaztea.
      • Gertakari batek zerbitzuen segurtasunean sor dezakeen eragin negatiboaren ondorioak baloratzea, kontuan hartuta Cyberzaintzak bere helburuak lortzeko, bere aktiboak babesteko eta bere zerbitzu-betebeharrak betetzeko duen gaitasunean duen eragina.

    4. Sistemaren Arduraduna

      Sistemaren arduraduna bere eskumenaren barruan komunikazio-sistemak eta -sareak kudeatzeaz arduratuko da, Politikaren eta arau-multzoaren arabera, eta, gainera, aplikatu beharreko legeria kontuan hartuta. Horretarako, honako hauek egin beharko ditu:

      • Bere erantzukizunpeko informazio-sistemei aplikatu beharreko Informazioaren Segurtasun-neurrien ezarpena gainbegiratzea eta kudeatzea. Neurri horiek bat etorri beharko dute haietan kudeatutako informazioaren sailkapenarekin.
      • Informazioaren Segurtasuna informazio-sistemaren bizi-zikloan integratzea.
      • Bere erantzukizunpeko informazio-sistemen Informazioaren Segurtasunaren monitorizazioa babestea.
      • Informazioaren Segurtasuneko gertakarien ikerketan eta konponketan laguntzea, detektatzen direnetik konpondu arte.
      • Bere ardurapeko sistemarekin lotutako segurtasun-auditorietatik eratorritako zuzenketa-neurriak hartzea eta gauzatzea.

      Hornitzaileek emandako kanpoko informazio-sistemen kasuan, erantzukizun horiek beti Cyberzaintzako langileei dagozkie, eta figura hori hornitzailearekiko kontratuaren arduradunarekin bat etor daiteke.

    5. Datuak Babesteko Ordezkaria (DBO)

      Datuak Babesteko Ordezkaria, Eusko Jaurlaritzako DBOarengan kanpora ateratakoa, datu pertsonalak dituen informazioa tratatzen duten tratamenduak kudeatzeaz arduratuko da, eta, zehazkiago, honako hauek egin beharko ditu:

      • Tratamenduaren arduradunari eta eragileari, bai eta datu pertsonalak erabiltzen dituzten langileei ere, DBEOaren eta aplikatu beharreko datuak babesteko legeriaren araberako betebeharrei buruz informatzea eta aholku ematea.
      • DBEOa eta datuak babesteko beste araudi batzuk betetzen direla gainbegiratzea. Horren barruan sartzen da erakundearen barruan datuak babesteko politikak aplikatzea.
      • Datuak babesteko eraginaren ebaluazioan (DBEE) aholku ematea eta haren aplikazio zuzena gainbegiratzea.
      • Erakundearen, kontrol-agintarien eta interesdunen arteko harremanetarako gune gisa jardutea.
      • Kontrol-agintariarekin lankidetzan aritzea.
      • Langileak datuak babestearen garrantziaz kontzientziatzea eta tratamenduaz arduratzen direnei prestakuntza ematea.
      • Pribatutasunari eragiten dioten segurtasun-gertakariak eta -arrakalak kudeatzea.

      Rol horien esleipen zehatza, bai eta funtzio-bateragarritasunaren kasuak ere, Informazioaren Segurtasunaren Gobernantza dokumentuaren arabera egingo da.

  4. Izendapen-prozedura

    Informazioaren Segurtasunaren arloko rolak eta erantzukizunak izendatzea Cyberzaintzak onartutako gobernantza-ereduarekin koherentziaz egingo da, eta Segurtasun Eskema Nazionalak (SEN) eta aplikatu beharreko araudiak eskatutako eginkizunen bereizketa egokia, erantzukizun eraginkorra eta gaitasun operatiboa bermatuko dira.

    Informazioaren Segurtasuneko Arduraduna (ISA) Cyberzaintzaren Zuzendaritzak izendatuko du formalki.

    SENek definitutako gainerako arduradunak —Sistemaren arduraduna, Zerbitzuaren arduraduna eta Informazioaren arduraduna— Informazioaren Segurtasuneko arduradunak Zuzendaritza Batzordearekin batera egindako proposamenez izendatuko dira,, honako irizpide hauek kontuan hartuta: erantzukizun funtzionala, gaitasun teknikoa, dagokion esparruaren ezagutza eta benetako jarduteko gaitasuna.

    Izendapen horiek Zuzendaritza Nagusiak baliozkotu eta formalizatuko ditu, eta behar bezala dokumentatuta eta Informazioaren Segurtasuneko arduradunari jakinarazita geratuko dira, Informazioaren Segurtasuna Kudeatzeko Sisteman (ISKS) integratzeko.

    Oro har, esparru bakoitzeko izendatutako arduradun kopurua mugatzen saiatuko da, eta solaskide bakarrak edo argi definituak egotea sustatuko da. Nolanahi ere, antolaketa- edo funtzio-arrazoiengatik, beharrezkoa denean hainbat arduradun izendatu ahalko dira.

    Datuak Babesteko Ordezkaria (DBO) Eusko Jaurlaritzak izendatuko du, eta indarrean dagoen arau-esparruaren arabera jardungo du; identifikatuta egongo da eta haren harremanetarako datuak eskuragarri izango ditu barne-mailan.

    Izendapenak aldizka berrikusiko dira eta, betiere, antolaketa-aldaketa garrantzitsuak gertatzen direnean, sistemetan, zerbitzuetan edo kudeatutako informazioan aldaketak gertatzen direnean, edo lanpostua hutsik geratzen denean.

    Arduradun horiek izendatzeak ez dakar, berez, gobernantza-eredua eta Informazioaren Segurtasun Batzordearen osaera aldatzea; izan ere, hori Cyberzaintzak onartutako Informazioaren Segurtasunaren Gobernantza dokumentuan ezarritakoaren arabera arautzen da.

Politikaren berrikuspena eta argitalpena

Informazioaren Segurtasun Politika Zuzendaritza Batzordeak onartuko du formalki.

Behin onartutakoan, Politika hau Cyberzaintzaren barneko eta kanpoko langile guztiei zabalduko zaie kanal ofizialen bidez (enpresako posta elektronikoa eta intraneta), eta kontsultatzeko moduan egongo da.

Gainera, dokumentu horiek urtean behin berrikusiko dira edo Cyberzaintzaren informazioaren segurtasunari eragiten dion aldaketa esanguratsuren bat gertatzen denean, haietan ezarritakoaren egokitasuna, idoneitatea, osotasuna eta zehaztasuna bermatzeko.

Informazioaren Segurtasun Politika berrikusten den bakoitzean, Cyberzaintzaren bide egokien bidez argitaratuko da, erakundeko langile guztiei zabaltzeko eta ezagutarazteko. Horrela, dokumentu horiek barne-mailan zein Cyberzaintzak tratatutako informazioarekin, harreman profesionalen ondorioz, lan egiten duten hirugarrenen aurrean zabalduko dira.

Politika honen garapena segurtasun-alderdi espezifikoak arautzen dituzten barne-arau multzo batean zehaztuko da, hala nola sarbideen kudeaketa, segurtasun fisikoa eta ingurumenekoa, laneko segurtasuna, erabilera onargarria, jarraitutasuna eta gertakarien tratamendua. Arau horiek ISKSren dokumentu-multzoaren zati dira, eta SENen neurriekin lerrokatuta daude.

Politika honen berrikuspenetan kontuan hartuko dira Informazioaren Segurtasunaren Gobernantza-ereduaren eguneratzeak eta Informazioaren Segurtasun Batzordearen funtzionamenduak sortutako ebidentziak.

Eranskinetan jasotako arau-esparrua eguneratzea, Politika honetan definitutako printzipioak, irismena edo antolaketa aldatzen ez badira, ez da beharrezkoa izango Politika berriro formalki onartzea.

Indarraldia, onespena eta aldaketen kontrola

Informazioaren Segurtasun Politika hau Cyberzaintzaren Zuzendaritza Batzordeak baliozkotu du, eta Cyberzaintzaren Zuzendaritzak 2026ko otsailaren 12an onartu du, eta, horrela, Cyberzaintzaren barruan jarraitu beharreko oinarrizko jarraibideak ezarri ditu. Dokumentu honek hura betetzeko printzipioak eta helburuak ezagutzeko aukera ematen du.

Politika onartzen den unean jarriko da indarrean.

Banatu ahal izan diren aurreko bertsioak zirriborroak dira.

I. Eranskina: Arau-esparrua

Cyberzaintzaren jardueren eta eskumenen garapenari SENen esparruan eragiten dion lege- eta arau-esparrua administrazio elektronikora, zibersegurtasunera eta, oro har, informazioaren segurtasunera, bai eta datu pertsonalen babesera ere, bideratutako lege-arauez osatuta dago.

Ildo horretan, informazioaren segurtasunaren eta zibersegurtasunaren arloko erreferentziazko arau nagusiak aipatu behar dira:

  • 311/2022 Errege Dekretua, maiatzaren 3koa, Segurtasun Eskema Nazionala arautzen duena.
  • 203/2021 Errege Dekretua, martxoaren 30ekoa, sektore publikoak baliabide elektronikoen bidez jarduteko eta funtzionatzeko erregelamendua onartzen duena.
  • 39/2015 Legea, urriaren 1ekoa, Administrazio Publikoen Administrazio Prozedura Erkidearena.
  • 40/2015 Legea, urriaren 1ekoa, Sektore Publikoaren Araubide Juridikoarena.
  • 3/2018 Lege Organikoa, abenduaren 5ekoa, Datu Pertsonalak Babestekoa eta Eskubide Digitalak Bermatzekoa(DPBLO).
  • Europako Parlamentuaren eta Kontseiluaren (EB) 2016/679 Erregelamendua, 2016ko apirilaren 27koa, datu pertsonalen tratamenduari dagokionez pertsona fisikoak babesteari eta datu horien zirkulazio askeari buruzkoa, eta 95/46/EE Direktiba indargabetzen duena (DBEA).
  • 8/2011 Legea, apirilaren 28koa, azpiegitura kritikoak babesteko neurriak ezartzen dituena.
  • 704/2011 Errege Dekretua, maiatzaren 20koa, azpiegitura kritikoak babesteko erregelamendua onartzen duena.
  • Europako Parlamentuaren eta Kontseiluaren (EB) 2022/2557 Direktiba, 2022ko abenduaren 14koa, erakunde kritikoen erresilientziari buruzkoa eta Kontseiluaren 2008/114/EE Direktiba indargabetzen duena.
  • Europako Parlamentuaren eta Kontseiluaren (EB) 2022/2555 Direktiba, 2022ko abenduaren 14koa, Batasun osoan zibersegurtasun-maila erkide handi bat bermatzeko neurriei buruzkoa, (EB) 910/2014 Erregelamendua eta (EB) 2018/1972 Direktiba aldatzen dituena eta (EB) 2016/1148 Direktiba indargabetzen duena (NIS 2 Direktiba).
  • Europako Parlamentuaren eta Kontseiluaren (EB) 2019/881 Erregelamendua, 2019ko apirilaren 17koa, ENISAri (Zibersegurtasunerako Europar Batasuneko Agentzia) eta informazioaren eta komunikazioaren teknologien zibersegurtasun-ziurtapenari buruzkoa, eta (EB) 526/2013 Erregelamendua indargabetzen duena («Zibersegurtasunari buruzko Erregelamendua»).

Segurtasun Politika hau atal honetan adierazitako indarreko araudiaren eta legeriaren arabera ezartzen da; dena den, etorkizunean onartzen diren beste araudi batzuk edo lehendik dauden xedapenei egiten zaizkien aldaketak aplikatu ahal izango dira.

Nolanahi ere, Politika hau behar bezala eguneratuko da, dagozkion lege- eta arau-betebehar guztiak etengabe betetzen direla bermatzeko.