Por la cual se crea el Comité de Seguridad de la Información del Ministerio de Salud y Protección Social y se reglamenta su funcionamiento.

Creación y objeto. Créase el Comité de Seguridad de la Información- CSI del Ministerio de Salud y Protección Social, como órgano operativo y de apoyo RESOLUCIÓN NÚMERO) 010509 DE 2013 25 FEB. 2013 HOJANo 2 para coordinar la formulación y la implementación del Sistema de Gestión de Seguridad de la Información, en el marco de la Estrategia de Gobierno en Línea y Antitrámites, tanto al interior de esta entidad como del sector salud y protección social.

Integración. El Comité de Seguridad de la Información —CSI, que se crea a través de la presente resolución, estará integrado por los siguientes servidores públicos: a) El Secretario General b) El Jefe de la Oficina de Tecnología de la Información y la Comunicación, quien lo presidirá c) El Jefe de la Oficina Asesora de Planeación y Estudios Sectoriales d) El Jefe de la Oficina de Calidad e) El Líder de Seguridad, designado por el Jefe de la Oficina de Tecnologías de la Información y la Comunicación — TIC, de que trata el artículo 12 de la Resolución 2126 de 2012. f) Director Jurídico Parágrafo 1. Será invitado permanente al Comité, con voz pero sin voto, un representante de la Oficina de Control Interno. Adicionalmente, el Comité podrá invitar a otros funcionarios del Ministerio, de acuerdo con las temáticas a tratar, los cuales asistirán con voz pero sin voto. Parágrafo 2. Igualmente será invitado con voz pero sin voto, un delegado del Ministerio de Tecnologías de la Información y las Comunicaciones, previamente delegado por éste, para efectos del seguimiento al Sistema de Gestión de Seguridad de la Información — SGSI y la interoperabilidad de la información entre este Ministerio y el Ministerio de Tecnologías de la Información y las Comunicaciones.

Funciones del Comité de Seguridad de la Información. El Comité de Seguridad de la Información —CSI, tendrá a su cargo el cumplimiento de las siguientes funciones: 1. Generar recomendaciones para la formulación y adecuación de las políticas, planes, programas y proyectos en materia de seguridad de la información y controles específicos de seguridad para la implementación de nuevos sistemas o servicios. 2. Revisar los lineamientos técnicos para la implementación del Sistema de Gestión de Seguridad de la Información -SGSI, que deban ser adoptados por las entidades adscritas y vinculadas del sector, los cuales serán elaborados por la Oficina de Tecnología de la Información y las Comunicaciones —TIC con base en el modelo de seguridad de la información del Programa Gobierno en Línea GEL. 3. Presentar a la Secretaría General los requerimientos presupuestales para efectos de la implementación y mantenimiento del SGSI. RESOLUCIÓN NÚMEROOC 00509 pe 2013 25 FEB 2013 HOJANO 3 4. 8. Realizar revisiones al Sistema de Gestión de Seguridad de la Información - SGSI por lo menos dos (2) veces al año y según los resultados de esta revisión, definir las acciones a seguir. Validar los lineamientos técnicos de la continuidad de las operaciones de los sistemas de información de esta entidad, frente a interrupciones imprevistas. Evaluar los planes de acción para mitigar y/o eliminar riesgos en seguridad informática. Aprobar los informes de seguridad de la información para ser presentados semestralmente ante el Ministro. Darse su propio reglamento,

Responsabilidades del líder de seguridad. El líder de seguridad de que trata el numeral 8” del artículo 3” y el artículo 12 de la Resolución 2126 de 2001, en lo que a materia de seguridad de la información se refiere y para efectos del comité que se crea mediante la presente resolución, deberá desarrollar adicionalmente a las funciones señaladas en el artículo 12 de la Resolución 2126 de 2012 las siguientes: 1. Analizar y presentar al Comité de Seguridad los aspectos de seguridad en las plataformas tecnológicas que soportan los procesos de este Ministerio. Documentar los procedimientos de seguridad informática y someterlos a decisión del Comité de Seguridad, realizando la implementación y seguimiento de los mismos. Desarrollar, mantener y comunicar las políticas, estándares y guías de seguridad de la información en este Ministerio, especialmente, aquellas con un enfoque tecnológico. Realizar el análisis de riesgos de seguridad de la información y el plan para la mitigación de los mismos y presentarlos ante el Comité, en las sesiones a que haya lugar y previa convocatoria, Presentar para recomendación del Comité de Seguridad la respuesta a incidentes de seguridad relacionados con los problemas de seguridad informática dentro de la entidad, con fundamento en las mejores prácticas existentes. Servir de punto de apoyo para la Oficina de Tecnología de la Información y Comunicaciones de este Ministerio, respecto a cambios en la plataforma tecnológica, para asegurar que los aspectos de seguridad de información sean considerados en las etapas iniciales de los proyectos, RESOLUCIÓN NÚMEROO 00105039 pe 2013 25FEB. 2013 HOJA No 4

Reuniones. El Comité de Seguridad de la Información —-CS!- deberá reunirse la última semana de cada mes y en forma extraordinaria ante incidentes de seguridad que lo ameriten, previa convocatoria de su secretario técnico. Las sesiones se podrán realizar de forma presencial o virtual a través de medios electrónicos, informáticos, telefónicos, audiovisuales o cualquier otro medio que permita el intercambio de información entre los miembros del Comité. La sesión virtual deberá desarrollarse dentro del término que especifique la convocatoria. Parágrafo 1. Para realizar las deliberaciones y toma de decisiones del Comité, se requerirá mínimo la mitad más uno de los integrantes asistentes a la reunión, con voz y voto. Parágrafo 2. De cada una de las reuniones del Comité se levantará la respectiva acta, la cual deberá ser firmada por quien presida la reunión y el secretario técnico, previa aprobación de los miembros participantes en la sesión. Las actas deberán registrar los compromisos para hacer seguimiento y serán numeradas consecutivamente durante la vigencia anual.

Secretaría técnica. La secretaría técnica del Comité de Seguridad de la Información —CSI-, será ejercida por un servidor público designado por el Jefe de la Oficina de Tecnología de la Información y la Comunicación —TIC, el cual cumplirá las siguientes funciones: 1. Verificar el quórum al inicio de las sesiones. 2. Elaborar las actas de reunión del Comité. 3. Llevar la custodia y archivo de las actas y demás documentos soportes. 4. Citar a los integrantes del Comité a las sesiones ordinarias o extraordinarias. 5. Recibir y preparar la respuesta a la correspondencia que sea de competencia del Comité. 6. Firmar las actas que hayan sido aprobadas. 7. Servir de interlocutor entre terceros y el Comité. 8. Suministrar información a los miembros del Comité sobre los asuntos de competencia relacionados con la implementación de la Estrategia de Gobierno en Línea. 9. Realizar seguimiento a los compromisos y tareas pendientes del Comité. Parágrafo. La convocatoria a los miembros del Comité se hará por cualquier medio físico o electrónico, indicando el día, la hora y el lugar o forma de la reunión. Así mismo, extenderá la invitación a los funcionarios o personas cuya presencia se considere necesaria para debatir los temas puestos a consideración de los miembros del Comité. La citación física o electrónica deberá especificar el medio que será utilizado para realizar la sesión virtual o el lugar en caso de que sea posible y necesaria la presencia física de los integrantes. Además, deberá especificar el objeto de la sesión y anexar por vía electrónica el respectivo orden del día. RESOLUCIÓN NÚMERO 0 005039 DE 2013 25 FEB. 2013 HOJANo 5

Vigencia. La presente resolución rige a partir de la fecha de su publicación.