3. Marco organizativo [org]

El marco organizativo está constituido por un conjunto de medidas relacionadas con la organización global de la seguridad.

3.1 Política de seguridad [org.1].

La política de seguridad será aprobada por el órgano superior competente que corresponda, de acuerdo con lo establecido en el artículo 11, y se plasmará en un documento escrito, en el que, de forma clara, se precise, al menos, lo siguiente:

1. Los objetivos o misión de la organización.
2. El marco legal y regulatorio en el que se desarrollarán las actividades.
3. Los roles o funciones de seguridad, definiendo para cada uno, los deberes y responsabilidades del cargo, así como el procedimiento para su designación y renovación.
4. La estructura del comité o los comités para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, los miembros y la relación con otros elementos de la organización.
5. Las directrices para la estructuración de la documentación de seguridad del sistema, su gestión y acceso.

La política de seguridad debe referenciar y ser coherente con lo establecido en el Documento de Seguridad que exige el Real Decreto 1720/2007, en lo que corresponda.

3.2 Normativa de seguridad [org.2].

Se dispondrá de una serie de documentos que describan:

1. El uso correcto de equipos, servicios e instalaciones.
2. Lo que se considerará uso indebido.
3. La responsabilidad del personal con respecto al cumplimiento o violación de estas normas: derechos, deberes y medidas disciplinarias de acuerdo con la legislación vigente.

3.3 Procedimientos de seguridad [org.3].

Se dispondrá de una serie de documentos que detallen de forma clara y precisa:

1. Cómo llevar a cabo las tareas habituales.
2. Quién debe hacer cada tarea.
3. Cómo identificar y reportar comportamientos anómalos.

3.4 Proceso de autorización [org.4].

Se establecerá un proceso formal de autorizaciones que cubra todos los elementos del sistema de información:

1. Utilización de instalaciones, habituales y alternativas.
2. Entrada de equipos en producción, en particular, equipos que involucren criptografía.
3. Entrada de aplicaciones en producción.
4. Establecimiento de enlaces de comunicaciones con otros sistemas.
5. Utilización de medios de comunicación, habituales y alternativos.
6. Utilización de soportes de información.
7. Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, PDA, u otros de naturaleza análoga.
8. Utilización de servicios de terceros, bajo contrato o Convenio.