Política de Seguridad de la Información

establecer el marco de referencia para la protección de la información del Municipio Cerca, definiendo los principios, roles, responsabilidades y controles aplicables a los sistemas de información municipales, con el fin de preservar la confidencialidad, integridad, disponibilidad y trazabilidad de los datos bajo custodia del Estado municipal.

Esta política es de aplicación obligatoria para todo el personal municipal, cualquiera sea su vínculo contractual, que utilice o tenga acceso al Sistema de Gestión Municipal, a sus bases de datos, respaldos, servidores, equipos de trabajo y a la documentación que de ellos se genere.

Comprende asimismo a los prestadores de servicios y terceros que, por cualquier motivo, accedan a información municipal o a la infraestructura donde ésta se aloja.

• Ley Nacional N° 25.326 de Protección de los Datos Personales y normas concordantes.
• Ley Nacional N° 27.275 de Derecho de Acceso a la Información Pública.
• Ley Nacional N° 25.506 de Firma Digital.
• Carta Orgánica Municipal y ordenanzas vigentes en materia de administración y archivo.
• Normas de procedimiento administrativo aplicables a la guarda y conservación de documentos.

• Activo de información: todo dato, base de datos, documento, respaldo o equipo que lo contenga.
• Confidencialidad: propiedad que garantiza que la información no se divulgue a personas no autorizadas.
• Integridad: propiedad que asegura que la información no fue alterada de forma no autorizada.
• Disponibilidad: propiedad que asegura el acceso oportuno a la información por parte de quien está autorizado.
• Trazabilidad: capacidad de reconstruir quién accedió o modificó la información y cuándo lo hizo.
• Incidente de seguridad: todo evento que comprometa o pueda comprometer la confidencialidad, integridad o disponibilidad de la información.

• Necesidad de saber: cada agente accede únicamente a la información indispensable para cumplir su función.
• Mínimo privilegio: los permisos otorgados son los estrictamente necesarios y se revisan periódicamente.
• Responsabilidad: todo usuario es responsable del uso de sus credenciales y de las acciones registradas a su nombre.
• Legalidad y finalidad: los datos personales se tratan solo para el fin previsto en el trámite o servicio.
• Mejora continua: los controles se revisan y actualizan ante cambios tecnológicos u organizativos.

El acceso al sistema se otorga mediante cuentas nominales e individuales. Se prohíbe el uso de cuentas compartidas o genéricas.

• Los perfiles se asignan según dos dimensiones: rol (administrador o usuario) y área funcional de desempeño.
• Los permisos pueden otorgarse de forma granular por módulo y subsección, además del criterio de área.
• Las altas, bajas y modificaciones de acceso se registran y se autorizan por el responsable del área solicitante.
• Los accesos se revisan al menos una vez por año y de inmediato ante traslados, licencias prolongadas o cese de funciones.
• Las entidades que contienen datos personales sensibles tienen acceso restringido a nivel de registro, sin exposición pública.
• Toda operación de lectura, alta, modificación y baja queda sujeta a las reglas de seguridad definidas por entidad.

• El Administrador del Sistema mantiene el inventario de entidades, módulos y responsables funcionales.
• La información municipal se aloja exclusivamente en la infraestructura definida por el municipio; se prohíbe su copia a dispositivos personales sin autorización.
• Los documentos digitalizados se conservan en el repositorio institucional con acceso restringido según su clasificación.
• Los archivos subidos por la ciudadanía o el personal se almacenan de forma privada, con acceso mediante enlaces temporales.

• El acceso se realiza mediante autenticación individual con credenciales personales y sesión controlada.
• Las contraseñas deben ser robustas, no compartirse y cambiarse ante cualquier sospecha de compromiso.
• Se aplican reglas de seguridad a nivel de registro que impiden a un usuario ver datos de áreas o personas ajenas a su competencia.
• Los cambios sobre registros críticos guardan historial de modificaciones con usuario, fecha y detalle de la acción.
• Las tareas de mantenimiento y las rutinas automáticas operan con cuentas de servicio, no con credenciales de personas.
• Se prohíbe incorporar al sistema datos que no correspondan a un trámite o servicio municipal.

La información del sistema se respalda de forma automática y diaria, sin intervención manual, y con verificación de integridad.

El disco externo de respaldo debe permanecer bajo custodia física en dependencia municipal, identificado por fecha, en lugar con acceso restringido y protegido de humedad, calor y campos magnéticos.

• Se registran los accesos al sistema con usuario, fecha, hora y página visitada.
• Los módulos de personal, trámites y expedientes conservan historial de cambios con identificación del agente interviniente.
• Los registros de auditoría no pueden ser editados ni eliminados por los usuarios comunes.
• El Responsable de Seguridad puede requerir informes de accesos y modificaciones en cualquier momento.

• Los equipos deben bloquearse al ausentarse el usuario y cerrar sesión al finalizar la jornada.
• Se prohíbe dejar documentación con datos personales a la vista de terceros o en áreas de atención al público.
• El acceso a las dependencias donde se aloja equipamiento informático está restringido al personal autorizado.
• La impresión de documentos con datos personales debe retirarse de inmediato de la impresora.

• Los recursos informáticos municipales se utilizan exclusivamente para fines institucionales.
• Está prohibido instalar software no autorizado, conectar dispositivos desconocidos o desactivar controles de seguridad.
• El personal debe reportar de inmediato cualquier pérdida de credenciales, dispositivo o documentación.
• La consulta de información de personas ajenas a la función asignada constituye falta grave.

• Los datos personales se recaban y tratan únicamente para la finalidad del trámite o servicio correspondiente.
• Se garantiza el derecho de acceso, rectificación y actualización de los datos por parte de sus titulares.
• La cesión de datos a terceros requiere base legal o consentimiento expreso del titular.
• Los datos sensibles reciben protección reforzada y acceso limitado al personal estrictamente competente.

Cualquier agente que detecte un incidente debe comunicarlo de inmediato al Administrador del Sistema o al Responsable de Seguridad, sin intentar resolverlo por cuenta propia.

Los incidentes que afecten datos personales se comunican a la autoridad de aplicación conforme la normativa vigente.

• El sistema cuenta con un modo de operación sin conexión que permite registrar información y sincronizarla al restablecerse el servicio.
• Existe un servidor local de respaldo para la consulta y continuidad de las tareas esenciales.
• Ante una interrupción prolongada, el Responsable de Seguridad coordina la recuperación desde el último respaldo verificado.

Todo proveedor que acceda a información municipal debe suscribir un compromiso de confidencialidad, utilizar los datos exclusivamente para el servicio contratado y devolver o eliminar la información al finalizar la prestación.

El municipio brinda capacitación inicial y anual a los agentes en materia de protección de datos personales, uso responsable de credenciales, reconocimiento de intentos de fraude y procedimiento de reporte de incidentes.

Toda excepción a esta política debe solicitarse por escrito al Responsable de Seguridad, con fundamento y plazo determinado. El incumplimiento de las disposiciones aquí establecidas da lugar a las medidas administrativas y disciplinarias previstas en el régimen aplicable al personal municipal, sin perjuicio de las responsabilidades civiles o penales que correspondan.

Esta política entra en vigencia a partir de su aprobación y se revisa al menos una vez por año, o antes si se producen cambios tecnológicos, normativos u organizativos relevantes. Las revisiones se registran en la tabla de control de versiones.