Articulo 14 Política de seguridad de la información de la Administración de C. León

1. La selección de las medidas de seguridad a aplicar a los sistemas de información, deberá ser proporcional a los riesgos. Dichas medidas de seguridad deben estar justificadas, tanto en costes económicos como operativos.

2. La gestión de riesgos debe realizarse de manera continua sobre los sistemas de información y en todas las fases de su ciclo de vida, conforme a los principios de gestión de la seguridad basada en los riesgos y reevaluación periódica a que se refiere el Esquema Nacional de Seguridad. El responsable de seguridad realizará una revisión de los estados del riesgo, al menos, una vez al año.

La reducción de los niveles de riesgo se realizará mediante la aplicación de controles eficaces con carácter previo, durante el incidente de seguridad o con posterioridad al mismo.

3. Los responsables de informaciones y servicios afectados por el Esquema Nacional de Seguridad y regulados en los artículos 7 y 8 de esta orden respectivamente, deben valorar los riesgos de acuerdo a su importancia. También son responsables de la realización del seguimiento y control de las medidas de seguridad seleccionadas para su prevención.