Política de seguridad de la información y protección de datos personales del sec

¿Qué Decreto Foral aprueba la Política de seguridad de la información y protección de datos personales del sector público foral de Bizkaia?. El Decreto Foral 81/2023, de 4 de julio. El Decreto Foral 84/2022, de 28 de junio. El Decreto Foral 173/2013, de 10 de diciembre.

En qué fecha se aprobó el Decreto Foral 81/2023?. 4 de julio de 2023. 6 de julio de 2023. 15 de junio de 2023.

¿Qué Reglamento europeo constituye una de las principales referencias de la Política?. El Reglamento (UE) 2016/679, relativo a la protección de las personas físicas en relación con el tratamiento de datos personales. El Reglamento (UE) 2018/1725 exclusivamente. El Reglamento (UE) 2022/2554 exclusivamente.

¿Qué ley orgánica regula en España el derecho fundamental a la protección de datos personales y la garantía de los derechos digitales?. La Ley Orgánica 3/2018, de 5 de diciembre. La Ley Orgánica 3/1979, de 18 de diciembre. La Ley Orgánica 4/2005, de 18 de febrero.

¿Qué artículo del RGPD se menciona respecto de las obligaciones generales del responsable del tratamiento?. El artículo 24. El artículo 30. El artículo 35.

¿Qué norma regula el Esquema Nacional de Seguridad citado en la Política?. El Real Decreto 311/2022, de 3 de mayo. El Real Decreto 3/2010, de 8 de enero. El Real Decreto 39/2015, de 1 de octubre.

¿Por qué se adopta una única política de seguridad de la información y protección de datos personales?. Por la íntima conexión entre ambas materias y con el objetivo de facilitar su entendimiento y aplicación. Porque el RGPD prohíbe disponer de políticas diferenciadas. Porque la seguridad de la información no requiere regulación específica.

¿Quién asume el gobierno y administración de Bizkaia en la esfera de sus competencias?. La Diputación Foral de Bizkaia. El Gobierno Vasco. Las entidades municipales.

¿Cuál es el objetivo básico del sector público foral del Territorio Histórico de Bizkaia?. Lograr el mayor nivel de calidad de vida posible para toda la sociedad de Bizkaia. Centralizar todos los servicios públicos en la Administración General del Estado. Gestionar exclusivamente los sistemas informáticos forales.

¿Qué entidades integran el sector público foral de Bizkaia según la Política?. La Diputación Foral de Bizkaia y sus entidades forales y entes vinculados o adscritos en los términos establecidos. Exclusivamente los organismos autónomos forales. Exclusivamente las sociedades mercantiles forales.

¿Cuál de las siguientes puede ser una forma jurídica de las entidades del sector público foral?. Organismos autónomos forales. Únicamente sociedades anónimas estatales. Únicamente órganos administrativos sin personalidad jurídica.

¿Qué capítulo de la Política se dedica a la misión y marco normativo?. El Capítulo I. El Capítulo III. El Capítulo VII.

¿Qué capítulo regula el objeto y ámbito de aplicación?. El Capítulo II. El Capítulo IV. El Capítulo VIII.

¿Qué capítulo regula los principios básicos de seguridad de la información y protección de datos personales?. El Capítulo III. El Capítulo I. El Capítulo VI.

¿Qué capítulo está dedicado a los roles y responsabilidades?. El Capítulo IV. El Capítulo II. El Capítulo VII.

¿Qué capítulo regula específicamente la protección de datos personales?. El Capítulo V. El Capítulo III. El Capítulo VIII.

¿Qué capítulo regula los requisitos mínimos de la política de seguridad y las garantías de seguridad de los sistemas?. El Capítulo VI. El Capítulo IV. El Capítulo V.

¿En qué capítulo se regula el análisis y gestión de riesgos?. En el Capítulo VII. En el Capítulo II. En el Capítulo VIII.

¿Qué capítulo regula la protección de la información y los datos personales en situaciones de movilidad, trabajo en remoto y teletrabajo?. El Capítulo VIII. El Capítulo VI. El Capítulo IV.

¿Qué artículo define la misión y objetivos de la organización?. El artículo 1. El artículo 2. El artículo 4.

¿Qué artículo establece el marco normativo?. El artículo 2. El artículo 1. El artículo 3.

¿Qué se entiende por dato personal según la Política?. Toda información sobre una persona física identificada o identificable. Únicamente el nombre y apellidos de una persona. Exclusivamente la información contenida en bases de datos electrónicas.

¿Qué se entiende por tratamiento de datos personales?. Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales. Únicamente la eliminación de datos personales. Exclusivamente la transmisión de datos entre Administraciones.

¿Qué es una evaluación de impacto?. Una herramienta que permite evaluar anticipadamente los potenciales riesgos a los que están expuestos los datos personales. Un procedimiento exclusivamente presupuestario. Un mecanismo de selección de personal.

¿Qué es un activo en el ámbito de la seguridad de la información?. Un componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente. Únicamente un equipo informático. Exclusivamente un programa informático.

¿Qué propiedad garantiza que una entidad es quien dice ser o la fuente de la que proceden los datos?. La autenticidad. La disponibilidad. La trazabilidad.

¿Qué propiedad implica que la información no se pone a disposición de individuos, entidades o procesos no autorizados?. La confidencialidad. La disponibilidad. La integridad.

¿Qué propiedad implica que las entidades o procesos autorizados pueden acceder a los activos cuando lo requieren?. La disponibilidad. La autenticidad. La confidencialidad.

¿Qué propiedad garantiza que un activo de información no ha sido alterado de manera no autorizada?. La integridad. La disponibilidad. La trazabilidad.

¿Qué es un incidente de seguridad?. Un suceso inesperado o no deseado con consecuencias en detrimento de la seguridad del sistema de información. Una modificación ordinaria de un sistema. Una actividad formativa del personal.

¿Cuál es la categoría de un sistema dentro de la escala establecida en la Política?. Básica, Media o Alta. Baja, Media o Superior. Inicial, Intermedia o Avanzada.

¿Qué es la trazabilidad?. La propiedad consistente en que las actuaciones de una entidad pueden ser imputadas exclusivamente a dicha entidad. La posibilidad de acceder libremente a toda la información. La eliminación automática de los registros.

¿Qué finalidad tienen las medidas de seguridad?. Protegerse de los riesgos posibles sobre el sistema de información y asegurar sus objetivos de seguridad. Eliminar todos los sistemas informáticos. Sustituir las obligaciones legales de protección de datos.

¿Cuál es el objeto principal de la Política establecido en el artículo 4?. Establecer el marco normativo y organizativo y técnico para proteger adecuadamente la información, los sistemas y los tratamientos de datos personales. Regular exclusivamente la contratación pública. Regular exclusivamente los archivos históricos.

¿A quién resulta obligatoria la Política?. A todas las unidades de la Diputación Foral de Bizkaia y sus entidades forales y al personal con acceso a la información bajo su responsabilidad. Solo al personal funcionario. Solo al personal informático.

¿La Política afecta a las personas o entidades externas que accedan legítimamente a información?. Sí, quedan sujetas a las obligaciones establecidas en la Política cuando se encuentren en las circunstancias previstas. No, nunca quedan afectadas. Solo si son personas físicas.

¿Qué obligación tiene todo el personal comprendido en el ámbito subjetivo?. Conocer y cumplir la Política y las normativas que se deriven de ella. Elaborar personalmente todas las normas de seguridad. Aprobar las políticas de protección de datos.

¿Qué fomenta la Diputación Foral de Bizkaia en materia de concienciación y formación?. Planes de formación periódicos sobre protección de datos personales y seguridad de la información. Únicamente formación inicial para personal informático. Formación exclusivamente voluntaria para responsables de sistemas.

¿Qué principio exige que la Diputación Foral y las entidades forales puedan demostrar el cumplimiento de la Política?. Responsabilidad proactiva. Mínimo privilegio. Proporcionalidad económica.

¿Qué principio establece que las responsabilidades se distribuyan entre diferentes roles?. Diferenciación de responsabilidades. Limitación de finalidad. Minimización de datos.

¿Qué principio exige que los datos personales se traten de manera lícita, leal y transparente?. Licitud, lealtad y transparencia. Exactitud. Disponibilidad.

¿Qué principio establece que los datos deben recogerse con fines determinados, explícitos y legítimos?. Limitación de la finalidad. Minimización de datos. Integridad.

¿Qué principio exige que los datos sean adecuados, pertinentes y limitados a lo necesario?. Minimización de datos. Exactitud. Disponibilidad.

¿Qué principio exige que los datos personales sean exactos y, cuando sea necesario, estén actualizados?. Exactitud. Trazabilidad. Confidencialidad.

¿Qué principio limita el tiempo durante el cual deben conservarse los datos personales?. Limitación del plazo de conservación. Limitación de finalidad. Responsabilidad proactiva.

¿Qué principio exige una seguridad adecuada frente al tratamiento no autorizado o ilícito y frente a pérdida, destrucción o daño accidental?. Integridad y confidencialidad. Transparencia y publicidad. Disponibilidad y eficacia.

¿Qué derechos de las personas interesadas menciona expresamente la Política?. Acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad. Solo acceso y rectificación. Exclusivamente supresión y oposición.

¿Qué significa entender la seguridad como un proceso integral?. Que comprende elementos técnicos, humanos, materiales, jurídicos y organizativos relacionados con los sistemas de información. Que se limita exclusivamente a los dispositivos informáticos. Que solo se aplica durante los incidentes.

¿En qué debe basarse la gestión de la seguridad?. En la gestión de los riesgos, buscando minimizarlos hasta niveles aceptables. Exclusivamente en la disponibilidad presupuestaria. Únicamente en las decisiones del personal informático.

¿Qué cuatro tipos de medidas se contemplan en el principio de prevención, detección, respuesta y conservación?. Medidas de prevención, detección, respuesta y conservación. Medidas de contratación, archivo, publicación y auditoría. Medidas de acceso, presupuesto, formación y contratación.

¿Qué principio exige que las medidas de protección, detección y recuperación sean adecuadas a los riesgos y a la criticidad y valor de la información?. Proporcionalidad. Exactitud. Limitación de finalidad.

¿Qué función corresponde al responsable del tratamiento de datos personales?. Determinar los fines y medios del tratamiento y ejercer las responsabilidades previstas en la Política y en la normativa. Administrar necesariamente todos los servidores. Aprobar exclusivamente los presupuestos informáticos.

¿Quiénes son, con carácter general, responsables del tratamiento en el ámbito de la Diputación Foral de Bizkaia?. Las direcciones generales. Exclusivamente Lantik S.A.M.P. Exclusivamente el Comité de Ciberseguridad.

¿Qué plazo máximo se menciona para notificar a la autoridad de control una violación de seguridad de los datos, cuando proceda?. 72 horas desde que se haya tenido constancia de ella. 24 horas en todos los casos. 15 días naturales.

¿Qué es la persona encargada del tratamiento?. La persona física o jurídica, autoridad pública, servicio u organismo que trata datos personales por cuenta del responsable. La persona que siempre determina los fines del tratamiento. La persona encargada exclusivamente de la seguridad física.

¿Qué debe hacer la persona encargada del tratamiento cuando finaliza la prestación de los servicios?. A elección del responsable, suprimir o devolver los datos personales y suprimir las copias existentes, salvo que proceda su conservación. Publicar los datos tratados. Transferir automáticamente los datos a terceros.

¿Qué responsabilidad corresponde al responsable de la información?. La responsabilidad última del uso que se haga de la información y de su protección. La gestión exclusiva de las instalaciones físicas. La elaboración de contratos laborales.

¿Qué función corresponde al responsable del servicio?. Proponer al responsable de información la valoración del servicio y de la información tratada y los requisitos y niveles de seguridad. Resolver las solicitudes de derechos de protección de datos. Gestionar exclusivamente las copias de seguridad.

¿Qué función corresponde al responsable de seguridad?. Mantener la seguridad de la información manejada y de los servicios prestados por los sistemas de información en su ámbito de responsabilidad. Gestionar únicamente los recursos humanos. Determinar exclusivamente las políticas presupuestarias.

¿Qué entidad figura como responsable del sistema en el ámbito de la Diputación Foral de Bizkaia?. Lantik S.A.M.P., en los términos establecidos en la Políti. El Gobierno Vasco. La Agencia Española de Protección de Datos.

¿Qué función corresponde al administrador de seguridad del sistema?. Implementar, gestionar y mantener las medidas de seguridad aplicables a los sistemas de tecnologías de la información. Aprobar las leyes de protección de datos. Resolver los procedimientos sancionadores.

¿Qué función corresponde al responsable de seguridad física?. Implantar las medidas de seguridad física que le competan e informar sobre su grado de implantación, eficacia e incidentes. Determinar las bases legitimadoras de todos los tratamientos. Aprobar el Registro de Actividades de Tratamiento.

¿Quién es responsable de gestión de personal en la Diputación Foral de Bizkaia, con carácter general?. La Dirección General de Régimen Jurídico y Función Pública o la unidad que asuma esas funciones. Lantik S.A.M.P. El Comité de Ciberseguridad.

¿Cuál es una función de la persona Delegada de Protección de Datos?. Informar y asesorar sobre las obligaciones derivadas del RGPD y demás normativa de protección de datos. Administrar los sistemas informáticos. Aprobar las cuentas anuales.

¿Con quién coopera la persona Delegada de Protección de Datos?. Con la autoridad de control. Exclusivamente con Lantik S.A.M.P. Exclusivamente con los servicios jurídicos.

¿Qué función desempeñan las personas dinamizadoras en materia de protección de datos y seguridad de la información?. Interlocución, impulso, coordinación, colaboración y difusión e implementación de las medidas adoptadas. Únicamente funciones presupuestarias. Exclusivamente funciones sancionadoras.

¿Qué es el Comité de Dirección en materia de protección de datos personales y seguridad de la información?. El órgano colegiado superior competente para la toma de decisiones y funciones de dirección y coordinación en estas materias en todo el sector público foral. Un órgano exclusivamente técnico de Lantik S.A.M.P. Un órgano exclusivamente dedicado a recursos humanos.

¿Qué es el Equipo técnico combinado para la seguridad de la información?. Un grupo de trabajo de carácter técnico al servicio de la seguridad de la información. Un órgano sancionador. Un órgano judicial.

¿Cuál es la finalidad del Comité de Ciberseguridad?. Adoptar medidas técnicas y organizativas y decisiones para responder adecuadamente ante posibles incidentes de seguridad. Gestionar las nóminas del personal. Aprobar el presupuesto general.

¿Quién resolverá los conflictos o controversias entre los distintos roles regulados en la Política?. El Comité de Dirección. El administrador de seguridad. El responsable del sistema.

¿Qué es el Registro de Actividades de Tratamiento?. El inventario en el que constan las actividades de tratamiento de datos personales realizadas por responsables o encargados. Un registro exclusivamente de incidentes informáticos. Un registro de contratos públicos.

¿En qué artículo del RGPD se fundamenta principalmente el Registro de Actividades de Tratamiento citado en la Política?. En el artículo 30. En el artículo 6. En el artículo 35.

¿Quién puede acceder al Registro de Actividades de Tratamiento mediante medios electrónicos?. Las autoridades de control, entre ellas la AVPD y la AEPD, en los términos establecidos. Únicamente el personal de Lantik S.A.M.P. Exclusivamente los proveedores externos.

¿Cuál es la base legitimadora general para muchos tratamientos realizados por las Administraciones públicas?. El cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, o el cumplimiento de una obligación legal. Siempre el consentimiento. Siempre un contrato privado.

¿Qué deben contener los encargos de tratamiento?. Entre otros elementos, el objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos, categorías de interesados y obligaciones y derechos de las partes. Únicamente el precio del servicio. Solo la identificación del proveedor.

¿Cómo debe facilitarse la información a las personas interesadas en materia de protección de datos?. De forma concisa, transparente, inteligible y de fácil acceso, utilizando un lenguaje claro y sencillo. Exclusivamente mediante comunicaciones verbales. Únicamente mediante publicaciones en el Boletín Oficial.

¿Cuándo debe facilitarse la información cuando los datos se obtienen directamente de la persona interesada?. En el momento en que se obtengan los datos. Un año después de obtenerlos. Únicamente cuando se produzca un incidente.

Cuando los datos no se han obtenido de la persona interesada, ¿qué plazo se menciona para informar con carácter general?. En el plazo razonable de un mes, además de las circunstancias previstas en el RGPD. En el plazo de diez años. No existe obligación de informar.

¿Cuál de los siguientes es un derecho de las personas respecto de sus datos personales?. Derecho de acceso. Derecho a modificar cualquier sistema informático. Derecho a eliminar cualquier expediente administrativo.

¿Qué permite el derecho de rectificación?. Corregir los datos personales inexactos y completar los datos incompletos. Acceder físicamente a los servidores. Eliminar todos los registros administrativos.

¿Cuál de las siguientes puede ser una causa del derecho de supresión?. La desaparición de la finalidad que motivó el tratamiento o recogida de los datos. La mera existencia de un sistema informático. La utilización de cualquier aplicación informática.

¿Qué principio exige que la protección de datos se incorpore desde el inicio de los proyectos?. Seguridad desde el diseño y por defecto. Disponibilidad presupuestaria. Publicidad administrativa.

¿Qué debe procurarse respecto de la configuración por defecto de los tratamientos?. Que sea respetuosa con los principios de protección de datos y lo menos intrusiva posible. Que permita la máxima recopilación de datos. Que conserve indefinidamente toda la información.

¿Cuándo resulta especialmente relevante el artículo 31 sobre gestión de cookies?. Cuando la utilización de cookies conlleve el tratamiento de datos personales dentro de los supuestos regulados. Solo cuando se utilicen documentos en papel. Únicamente cuando exista teletrabajo.

¿Qué principio debe respetarse en la gestión de cookies respecto de la información?. Transparencia de la información. Secreto absoluto frente a la persona usuaria. Ausencia de información.

¿Qué establece el artículo 36 respecto de los accesos a los sistemas de información?. Deben limitarse a personas usuarias, procesos, dispositivos u otros sistemas debidamente autorizados y para las funciones atribuidas. Deben estar abiertos a todo el personal. Deben carecer de mecanismos de control.

¿Cómo deben protegerse las instalaciones que albergan sistemas de información?. Mediante áreas controladas y emplazamientos seguros, con medidas adecuadas al nivel de criticidad y riesgo. Sin ningún control físico. Exclusivamente mediante contraseñas.

¿Qué exige el principio de mínimo privilegio?. Que los sistemas se diseñen y configuren otorgando los mínimos privilegios necesarios para su correcto desempeño. Que todas las personas usuarias tengan privilegios de administración. Que no existan controles de acceso.

¿Qué requiere la inclusión o modificación de elementos físicos o lógicos en el catálogo actualizado de activos?. Autorización formal previa del administrador de seguridad. Autorización de cualquier persona usuaria. Ninguna autorización.

¿Qué debe hacerse con la información almacenada o en tránsito mediante dispositivos portátiles o móviles?. Prestarle especial atención y analizarla para lograr una adecuada protección. Excluirla de las medidas de seguridad. Publicarla automáticamente.

¿Qué finalidad tiene el registro de actividad de las personas usuarias?. Monitorizar, analizar, investigar y documentar actividades indebidas o no autorizadas, con las garantías previstas. Controlar exclusivamente la jornada laboral. Sustituir todas las medidas de seguridad.

¿Qué establece la Política respecto a la continuidad de la actividad?. Los sistemas dispondrán de copias de seguridad y mecanismos que garanticen la continuidad de las operaciones ante determinadas situaciones de pérdida o afección grave. No será necesario realizar copias de seguridad. La continuidad dependerá exclusivamente de terceros.

¿Qué es la Declaración de Aplicabilidad?. El documento que formaliza la relación de medidas de seguridad seleccionadas. Un documento exclusivamente presupuestario. Un registro de personal.

¿Qué deben cumplir los sistemas de información de terceras entidades privadas que presten determinados servicios al sector público foral?. El Esquema Nacional de Seguridad y las directrices que emanen de los organismos oficiales, en los términos previstos. Únicamente las normas internas de la empresa contratista. Exclusivamente la normativa laboral.

¿Para qué sirve el Catálogo de Servicios Electrónicos?. Para recoger el inventario de servicios y de la información gestionada por ellos, junto con su valoración y justificación. Para registrar exclusivamente al personal funcionario. Para almacenar únicamente contratos administrativos.

¿Quién propone la suspensión de larga duración del tratamiento de determinada información o de la prestación de un servicio ante deficiencias graves de seguridad?. El responsable del sistema. La persona usuaria afectada. La persona Delegada de Protección de Datos.

¿Cuándo se realizará una evaluación de impacto relativa a la protección de datos?. Cuando sea probable que un tratamiento, especialmente por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas. Siempre que exista cualquier tratamiento de datos, sin excepción. Exclusivamente después de producirse un incidente.

¿Qué puede motivar un nuevo análisis de riesgos en el ámbito de la seguridad de la información?. Un cambio sustancial en la información manejada, entre otras circunstancias previstas en la Política. Únicamente el cambio de nombre de una persona usuaria. Exclusivamente la renovación del mobiliario.

¿Qué debe tener en cuenta la determinación de la categoría de seguridad de un sistema de información?. El impacto que tendría un incidente sobre las dimensiones de seguridad de la información o de los servicios. Exclusivamente el número de personas empleadas. Únicamente el presupuesto anual.

¿Cuándo entrará en vigor la Política contenida en el Decreto Foral 81/2023?. El día siguiente al de su publicación en el «Boletín Oficial de Bizkaia». El mismo día de su aprobación. Cinco años después de su publicación.