CIRCULAR Nº 206-08

ASUNTO: Recomendaciones para el cumplimiento de las “Normas Técnicas para la Gestión y el Control de las Tecnologías de la Información” de la Contraloría General de la República.

A LOS DESPACHOS JUDICIALES Y A LAS ADMINISTRACIONES

REGIONALES DEL PAÍS

SE LES HACE SABER QUE:

El Consejo Superior en sesión Nº 94-08, celebrada el 9 de diciembre del 2008, artículo LXVI, dispuso emitir las recomendaciones que se dirán, a fin de cumplir con lo establecido en la Norma 1.3 de las “Normas Técnicas para la Gestión y el Control de las Tecnologías de la Información” de la Contraloría General de la República, aprobadas mediante resolución Nº RCO- 26-2007 de 7 de junio del 2007 y publicadas en La Gaceta Nº 119 del 21 de junio del 2007, la cual literalmente dice:

“1.3 Gestión de riesgos: La organización debe responder adecuadamente a las amenazas que puedan afectar la gestión de las TI, mediante una gestión continua de riesgos que esté integrada al sistema específico de valoración del riesgo institucional y considere el marco normativo que le resulte aplicable.”

De conformidad con la normativa transcrita y lo sugerido por el “Equipo de Trabajo para el análisis de las Normas Técnicas de la Gestión y Control de Tecnologías de la Información” se recomienda:

v      Cuando los despachos judiciales realicen el proceso de valoración e identificación de riesgos, obligatoriamente deben considerar los aspectos relativos a las tecnologías de información, haciendo énfasis en la necesidad de que una vez detectados, se ejecuten las acciones necesarias para minimizarlos, de conformidad con el Sistema Específico de Valoración de Riesgos (SEVRI).De los riesgos detectados, así como las medidas a tomar relacionados con tecnología de información se deberá remitir copia al Departamento de Tecnología de la Información, con el propósito de que éste le dé seguimiento y coadyuve con la ejecución de las medidas que resulten necesarias.

v      Las Unidades Informáticas Regionales, conjuntamente con las Administraciones Regionales, deben conformar “Equipos de Riesgos” para la valoración específica de los riesgos relacionados con las tecnologías de información y comunicaciones. Dichos equipos deberán ser independientes de los demás equipos de riesgos que se constituyan en las oficinas y les corresponderá llevar a cabo el ejercicio de valoración de riesgos, relacionados con las tecnologías de información y todos aquellos temas afines a éstas, con el propósito de identificarlos, analizar la probabilidad de ocurrencia e impacto y las medidas para su mitigación en las oficinas del Circuito.

San José, 15 de diciembre del 2008