Circular 13 de 2017 DIAN

CIRCULAR 13 DE 2017

(abril 4)

<Publicado en la página web de la DIAN: 26 de julio de 2024>

DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES

Dirección General

<NOTA DE VIGENCIA: Circular derogada por el artículo 5 de la Resolución 212 de 2025>

Para:	Servidores Públicos y demás Usuarios Internos de la DIAN.
Asunto:	Política de Cifrado de datos e información.

La política específica de cifrado de datos e información forma parte de la Política de Seguridad de la Información dentro del Sistema de Gestión de Seguridad de la Información - SGS1 de la DIAN y cubre especialmente la información pública reservada de la Entidad y aquella que por disposiciones constitucionales y legales tiene el carácter de confidencial.

La DIAN debe proteger la información de cualquier alteración, fuga o pérdida y manejar operaciones más seguras para preservar la confidencialidad, integridad y disponibilidad de la misma ya sea en el desarrollo de sus operaciones internas como en todos los procesos que involucren operaciones de intercambio de información con terceros.

El propósito de esta política es establecer el esquema de cifrado de datos para proteger la información pública reservada que sea transportada, transmitida y/o almacenada en los diferentes dispositivos (servidores, portátiles, móviles, inalámbricos, etc.) disponibles en la Entidad.

1. TERMINOS DE USO

a) A la información clasificada como pública reservada (de acuerdo con lo establecido en la Ley 1712 de 2014 y el inventario de activos de información de la Entidad) se le deben aplicar controles criptográficos de acuerdo con los estándares técnicos adoptados e implementados por la Subdirección de Gestión de Tecnología de Información y Telecomunicaciones (en adelante SGTIT).

b) Para realizar operaciones como el cifrado, la firma digital o la firma electrónica y con el fin de dar garantía de no repudio de las transacciones electrónicas, la Entidad dispone de una infraestructura de clave pública (PKI, "por la sigla en inglés de Public Key Infrastructure).

c) En los procesos de recepción, almacenamiento, transmisión y/o consulta de la información electrónica clasificada como pública reservada de la Entidad, se aplicarán controles criptográficos.

d) Siempre que se grabe o copie información en medios electrónicos como discos compactos, digitales u ópticos y/o se transporte en medios removibles y/o se transmita por cualquier medio electrónico (correo-e) o protocolo de red (ftp, http, https, entre otros), deberá tener algún tipo de cifrado acorde con la clasificación de la información y con los estándares técnicos mencionados en esta política.

e) Se deberán aplicar controles criptográficos en todo el ciclo de vida del documento de tal manera que tanto en la recepción, almacenamiento, consulta y/o transmisión, se empleen esquemas de seguridad exclusivos e independientes para la información de intercambio con fines tributarios, aduaneros y cambiarlos.

La DIAN maneja protocolos TLS (por la sigla en inglés de Transport Layer Security; en español, seguridad de la capa de transporte), como mínimo versión 1.2 (esta versión se actualizará con base en los estándares disponibles en el mercado) para garantizar la confidencialidad de la información en los procesos de comunicaciones entre redes. Igualmente se deben utilizar estos protocolos para el establecimiento de conexiones seguras en las sesiones de navegación.

f) Los funcionarios con competencia funcional para la entrega de información pública reservada, deberán solicitara la SGTIT la disposición de controles criptográficos, de manera total o parcial, sobre las bases de datos donde se encuentre almacenada. La administración y el control de las llaves criptográficas estarán a cargo de la SGTIT.

Cuando la información no pueda ser cifrada, se deberá aplicar un código ofuscado para preservar su confidencialidad.

g) Los esquemas de cifrado utilizados en las bases de datos de la DIAN deben cumplir como mínimo con las validaciones del estándar FIPS 140-2 (por la sigla en inglés de Federal Information Processing Standard; en español, estándares federales de procesamiento de la información) del NIST (Instituto Nacional de Estándares y Tecnología de los Estados Unidos), y las definidas para el AES (por la sigla en inglés de Advanced Encryption Standard; en español, estándar de cifrado avanzado) para el cifrado simétrico.

h) La SGTIT debe implementar métodos de cifrado a nivel de dispositivo de almacenamiento, base de datos, tablespace o columna, para la información pública reservada.

i) Para los procesos de cargue automático de archivos provenientes de terceros se exigirá como mínimo el uso de mecanismos de identificación basados en llave pública o su equivalente.

j) Se utilizará y almacenará la función SHA-3 o superior (por la sigla en inglés de Secure Hash Algoríthm; en español, algoritmo de hash seguro) que garantice la autenticidad de la documentación y la integridad de la información suministrada en dos momentos diferentes.

k) Los discos duros de los equipos portátiles deberán manejar esquemas de cifrado “desde el arranque” - PBA (por la sigla en inglés de Pre-boot Authentication; en español autenticación previa al inicio), de manera que el inicio del sistema operativo se realice con el disco ya cifrado.

l) Si eventualmente se requiere enviar información clasificada como pública reservada a través de la herramienta del correo electrónico institucional, el Usuario Interno deberá cifrarla previamente, de acuerdo con los lineamientos establecidos por la SGTIT.

m) Es responsabilidad de la SGTIT aportar la infraestructura requerida para que se implementen los servicios de cifrado en las bases de datos y/o para facilitar su uso a través de los sistemas de Información disponibles en la Entidad.

2. ADMINISTRACIÓN DE CLAVES

Las claves criptográficas que se usen en los procesos de cifrado sobre las bases de datos que almacenen información pública reservada, estarán protegidas contra modificación, pérdida y destrucción. Adicionalmente, los equipos usados para generar, almacenar y archivar las claves estarán protegidos por medios físicos (numeral 12.3.2 - NTC-ISO-IEC 27002).

El Subdirector de Gestión de Tecnología de la Información y Telecomunicaciones, designará un único funcionario para la administración y custodia de las claves de bases de datos. Adicionalmente, se contará con un funcionario que conociendo la información de las claves no esté inmerso en el proceso de su administración. Éste funcionario será el respaldo que requiere la Entidad ante cualquier eventualidad o contingencia que pueda surgir con el funcionario titular designado.

Las claves generadas para los procesos de cifrado de información (diferente a las de bases de datos) serán administradas por la SGTIT de manera centralizada, en la herramienta que se adopte para este fin. La administración de las claves privadas será responsabilidad de los Usuarios Internos.

3. ESTANDARIZACIÓN

Los métodos criptográficos implementados por la SGTIT, deben ser interoperables, y portables a nivel mundial.

La interoperabilidad hace relación a que las dos partes deben contar con la capacidad técnica para utilizar los métodos criptográficos escogidos.

La portabilidad tiene que ver con la capacidad técnica de los métodos criptográficos para adaptarse y funcionar en múltiples sistemas.

4. RESPONSABILIDADES DEL USUARIO

a) La dependencia que sea titular de la información pública reservada debe realizar ia solicitud ante la SGTIT, para cifrar la información objeto de esta política.

b) No obstante lo anterior, en la fecha de entrada en vigencia de esta política, la SGTIT deberá aplicar los métodos y algoritmos de cifrado a la información disponible en la entidad que tenga el carácter de reservada de acuerdo con la normatividad anterior a la vigencia de la Ley 1712 de 2014.

c) Si eventualmente el Usuario Interno debe remitir información pública reservada, a otra Entidad del Estado, ésta deberá cumplir con los lineamientos de cifrado definidos en esta política y empleando las herramientas adoptadas por la SGTIT, para este fin.

d) El Usuario Interno que utilice, procese y/o disponga información pública reservada que se encuentre almacenada de manera temporal o permanente en su equipo de cómputo, deberá guardarla de manera, cifrada y en directorios cifrados, de acuerdo con los lineamientos definidos para este fin por la SGTIT.

5. CUMPLIMIENTO

La política de cifrado de datos e información es de estricto cumplimiento y aplica para todos los Usuarios Internos de la DIAN, que accedan a activos de información de la Entidad en cualquier medio de presentación y/o estado.

En la medida en que se vaya dando el proceso de clasificación de los activos de información, las dependencias responsables de los mismos deberán solicitar a la SGTIT la implementación de los esquemas de cifrado, acorde con lo definido en esta política y con los medios o herramientas disponibles para este fin.

Cualquier funcionario de la Entidad que incumpla parcial o totalmente esta política será responsable ante las autoridades competentes por su conducta.

6. DEFINICIONES

a) Activos de información. Son todos aquellos elementos de la organización que generen, procesen, almacenen o transmitan información, ligados a un proceso o un procedimiento y vinculados a una entrada o salida de los mismos. Los activos pueden estar almacenados en diferentes medios como documentos impresos, archivos físicos, correos electrónicos, medios removibles, etc.

b) Advanced Encryption Standard (AES). Es un de algoritmo usado en criptografía simétrica, que posee un esquema de cifrado por bloques adoptado como un estándar de cifrado por el gobierno de los Estados Unidos desde el año 2002.

c) Cifrado (Criptografía). Método que permite alterar los datos, generalmente mediante el uso de una clave, de modo que no sean legibles para quienes no posean dicha clave. Luego, a través del proceso de descifrado, aquellos que sí poseen la clave podrán utilizarla para obtener la información original. Esta técnica protege la información pública reservada de la Entidad, ya que si se interceptan datos cifrados no se pueden leer.

d) Clave o llave criptográfica. Forma de autenticación mediante el uso de una secuencia de números o letras que permite el acceso o no a la información original y la cifrada, y viceversa. La seguridad de una clave está determinada por su longitud, aleatoriedad y periodo de uso.

e) Confidencialidad. Propiedad que determina que la información sólo esté disponible y sea revelada a individuos, entidades o procesos autorizados (NTC ISO/IEC 27000:2013).

f) Criptografía simétrica. Funcionalidad criptográfica que se basa en el uso de una sola clave para cifrar y descifrar. Permite ocultar el contenido de un bloque de datos o de un flujo de datos de cualquier tamaño.

g) Criptografía asimétrica: Funcionalidad criptográfica que se apoya en el uso de parejas de claves compuestas por una clave pública que se utiliza para cifrar y una clave privada para descifrar.

h) Disponibilidad. Cualidad o condición de la información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. Es el acceso y utilización de la información y los sistemas por parte de personas, entidades o procesos autorizados en el momento que así lo requieran.

i) Esquema de cifrado. Métodos para cifrar la información.

j) Función Hash. Es un método para generar claves o llaves que representan de manera casi unívoca a un documento o conjunto de datos.

k) SHA (Secure Hash Algorithm, Algoritmo de Hash Seguro). Familia de funciones hash de cifrado publicadas por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos.

l) Información. “Se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen” (Artículo 6, literal a) Ley 1712 de 2014).

m) Información pública clasificada. “Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio, particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado, siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados consagrados en el artículo 18 de esta ley (Artículo 6, literal c) Ley 1712 de 2014).

n) Información pública reservada. “Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, es exceptuada de acceso a la ciudadanía por daño a intereses públicos y bajo cumplimiento de la totalidad de los requisitos consagrados en el artículo 19 de esta ley” (Artículo 6, literal d) Ley 1712 de 2014).

o) Infraestructura de clave pública (en inglés, PKl, Public Key Snfrastructure). Es una combinación de hardware y software, políticas y procedimientos de seguridad que permiten la ejecución con garantías de operaciones criptográficas como el cifrado, la firma digital o el no repudio de transacciones electrónicas.

p) Integridad. Propiedad que busca mantener la exactitud de la información y sus métodos de proceso tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados.

q) Usuarios internos. Servidores públicos de la DIAN, funcionarios vinculados a la planta permanente y temporal, contratistas, consultores, pasantes, proveedores de bienes y servicios y otros terceros que desempeñen alguna actividad en las instalaciones de la Entidad o a nombre de esta.

7. SANCIONES

El usuario que no cumpla con los estándares establecidos en esta circular asumirá las sanciones disciplinarias conforme a la Ley 734 del 2002 sin perjuicio de las sanciones por violación a la intimidad y demás posibles conductas tipificadas en el Código Penal que se deberán remitir a las Divisiones Jurídicas, GIT de Unidad Penal o quien haga sus veces.

SANTIAGO ROJAS ARROYO

Director General