Circular 17 de 2019 DIAN

CIRCULAR 17 DE 2019

(agosto 30)

<Publicado en la página web de la DIAN: 26 de julio de 2024>

DIRECCIÓN DE IMPUESTOS Y ADUANAS NACIONALES

<NOTA DE VIGENCIA: Circular derogada por el artículo 5 de la Resolución 212 de 2025>

De:	Director General
Para:	Servidores Públicos y demás usuarios internos de la DIAN.
Asunto:	Política de Uso de Medios Removibles

La política específica de uso de medios removibles hace parte de la Política de Seguridad de la Información dentro del Sistema de Gestión de Seguridad de la Información - SGSI de la DIAN y cubre la disposición y uso de todos los medios removibles autorizados y utilizados sobre los equipos de la Dian, tales como medios ópticos extraíbles, dispositivos electrónicos con interfaces: RS232, Bluetooth, USB, Firewire y similares.

La Dian restringe el uso de medios electrónicos removibles y hace énfasis en la responsabilidad que tienen todos Servidores Públicos y usuarios internos de la DIAN por el uso correcto y seguro de estos medios removibles, con el fin de proteger la información de cualquier alteración, fuga o pérdida que se pueda producir a través de ellos.

El propósito de esta política es definir los términos de uso de estos medios, con el fin de obtener operaciones más seguras para proteger la confidencialidad, integridad y disponibilidad de la información que la Dian genere, obtenga, adquiera, transforme o controle.

1. TERMINOS DE USO DE LOS MEDIOS REMOVIBLES

a) Sobre los equipos de cómputo de la Dian solo se pueden utilizar medios removibles previamente registrados por la Coordinación de Infraestructura Tecnológica de la Subdirección de Gestión de Tecnología de Información y Telecomunicaciones (en adelante SGTIT), en la plataforma de seguridad informática de la Entidad.

b) Se autoriza el uso de memorias USB cifradas, con una capacidad máxima de 16 GB, de acuerdo con la siguiente tabla.

Dependencia	No. Máximo de memorias USB autorizadas
Despacho de la Dirección General	3
Despacho Direcciones de Gestión y Oficinas	3
Despacho de Subdirecciones	5
Coordinaciones con menos de 20 funcionarios	5
Coordinaciones con más de 20 funcionarios	7
Despacho de las Direcciones Seccionales	4
Divisiones de las Direcciones Seccionales con tres o menos Grupos Internos de Trabajo	3
Divisiones de las Direcciones Seccionales con más de tres Grupos Internos de Trabajo	5

c) Conociendo que algunas dependencias de la Entidad deben atender solicitudes de información en las que los solicitantes requieren que la información se entregue en disco compacto (CD-R), digital (DVD-/+R) u óptico (BD-R)^[1] (en adelante CD), se autoriza, previo el cumplimiento de los requisitos señalados en el numeral 3 y de la suscripción del “Compromiso de Uso de Medios Removibles” - Anexo l, la habilitación de una (1) unidad de disco compacto (CD), digital (DVD) u óptico (BD) (en adelante, unidad de disco), dependiendo de la disponibilidad de este tipo de dispositivos en el inventario, para cada una de las siguientes dependencias:

Nivel Central

- Oficina de Comunicaciones

- Oficina de Seguridad de la Información

- Subdirección de Gestión de Control Disciplinario Interno

- Subdirección de Gestión de Representación Externa

- Subdirección de Gestión de Procesos y Competencias Laborales

- Subdirección de Gestión de Personal

- Subdirección de Gestión de Análisis Operacional

- Coordinación de Control y Prevención del Lavado de Activos

- Coordinación RILO y Auditoría de Denuncias de Fiscalización

- Coordinación de Soporte Técnico al Usuario

Nivel Local y Delegado

Grupo Interno de Trabajo de Asistencia Tecnológica

Notas:

i) Todos los servidores públicos están obligados a proteger la información y los datos personales de conformidad con lo señalado en las Leyes 1273 de 2009 y 1581 de 2012, el Decreto 1074 de 2015, la Circular DIAN 0001 de 2019 y demás normas que las complementen, modifiquen o deroguen.

ii) En todos los casos, el jefe del área es responsable de la información interna o externa contenida en los CD (documentación electrónica) y por lo tanto debe registrarla como activo de información en el Inventario de Activos y seguir a cabalidad los procedimientos del Sistema de Gestión Documental de la Dian, utilizando las técnicas tendientes a la planificación, manejo y organización de la documentación electrónica producida y recibida por la Entidad, desde su origen hasta su destino final, con el objeto de facilitar su utilización y conservación; en cumplimiento de lo establecido por el Decreto 2609 del 14 de diciembre de 2012 y los Acuerdos del Archivo General de la Nación números 4, 5 y 6 de 2013.

iii) Para los documentos electrónicos entregados en CD debe quedar registrada la información del Anexo II - “Registro de medios removibles entregados a terceros”.

iv) En la medida de lo posible para recibir información externa, se usarán los servicios MUISCA disponibles o los buzones de correo electrónico institucional y/o cuentas de correo personal institucionales que cuentan con la capacidad suficiente para recibir, enviar y/o almacenar archivos de gran tamaño^[2].

Los CD que se reciban con documentos electrónicos, deben quedar incluidos en el Inventario de Activos y estar identificados según el Anexo ¡II - “Metadatos Mínimos de los Documentos Electrónicos de Archivo”.

v) El jefe del área es responsable de cumplir con los elementos esenciales tales como: autenticidad, integridad, inalterabilidad, fiabilidad, disponibilidad y conservación, que garanticen que los documentos electrónicos mantienen su valor de evidencia a lo largo del ciclo de vida, incluyendo los expedientes mixtos (híbridos), digitales y electrónicos.

d) Las dependencias de la DIAN, diferentes a las consideradas en el literal c), que deban atender solicitudes de información que se entregan en CD, deben tener en cuenta las siguientes consideraciones:

i) De acuerdo con la normatividad vigente, el área recibe la solicitud y verifica la competencia para entregar la información.

ii) Si la información reposa en el área competente, el competente para entregar la información autoriza al funcionario responsable de generar la información para que la genere.

iii) Si la información es masiva o requiere algún tipo de procesamiento, el competente efectúa la solicitud de generar y/o procesar la información a través del Punto Único de Soluciones Tecnológicas (en adelante PST).

iv) El funcionario responsable de generar la información verifica que ésta cumpla correctamente con lo solicitado. Posteriormente, cifra la información, asigna la clave respectiva y la comunica al competente.

v) La Coordinación de Soporte Técnico al Usuario (en el Nivel Central) o el Grupo Interno de Trabajo de Asistencia Tecnológica (en el Nivel Local), copia en CD los archivos previamente cifrados.

vi) El competente para entregar la información, registra la información entregada en el Despacho de la dependencia que autorizó la entrega de la información (ver Anexo II - “Registro de medios removibles entregados a terceros”).

vii) El competente para entregar la información, entrega el CD junto con la clave de cifrado, al destinatario.

Nota:

Con el fin de preservar la evidencia, la Coordinación de Soporte Técnico al Usuario o el Grupo Interno de Trabajo de Asistencia Tecnológica brindará apoyo a los procedimientos de la cadena de custodia^[3] informático-forense, por ejemplo, habilitando de manera temporal un puerto para conectar un dispositivo de almacenamiento removible con el fin de obtener una imagen bit a bit del disco duro de un equipo de cómputo e inhabilitando el mismo puerto una vez concluido el procedimiento. Es obligatorio registrar la evidencia de las acciones realizadas en los procedimientos de cadena de custodia.

2. USOS NO AUTORIZADOS DE LOS MEDIOS REMOVIBLES

a) Capturar información transmitida por medio electrónico, escaneo de identificadores de red (ID) de dispositivos, ataques de denegación del servicio, o cualquier forma de ataque al PC al que se conecta o a la red de la Dian.

b) Utilizar medios removibles que no estén autorizados, en equipos de propiedad de la Dian.

c) Realizar modificaciones no autorizadas, para cualquier propósito, a los medios removibles autorizados.

3. REQUISITOS PARA LA HABILITACIÓN DE UNIDADES DE DISCO EXTERNAS

Las unidades de disco se habilitarán para las dependencias mencionadas en el literal c) del numeral 1, siempre y cuando se cumpla con los siguientes requisitos:

a) El Coordinador, Subdirector o Director Seccional deberá suscribir el “Compromiso de Uso de Medios Removibles” - ver Anexo I de este documento. Copia del mismo deberá remitirse y conservarse en el archivo del Despacho de la Dirección de Gestión o la Dirección Seccional correspondiente.

b) La unidad de disco autorizada, utilizará el software que permite la copia de la información previamente cifrada. No podrá copiarse información que no tenga algún mecanismo de encriptación, de acuerdo con el estándar definido por la SGTIT.

c) El Coordinador, Subdirector o Director Seccional designará a un funcionario para administrar y conservar las claves de cifrado utilizadas, las cuales se entregarán al destinatario de la información por medio del correo electrónico institucional. El funcionario asignado deberá llevar el registro de dichas claves en un archivo con contraseña.

d) La dependencia que suministre información en CD, así sea de manera frecuente o esporádica, deberá llevar una relación consecutiva de la información entregada (Ver Anexo II).

El número del CD hará parte del rótulo del mismo.

e) No se podrán utilizar CD cuyos formatos permitan su reutilización o regrabado (se exigen formatos que funcionen igual que el Mastered, en el que las grabaciones son permanentes).

4. RESPONSABILIDADES DEL USUARIO DE MEDIOS REMOVIBLES

a) Es responsabilidad del usuario de medios removibles cumplir con esta política.

b) El usuario que requiera la autorización de un medio removible, sin sobrepasar el número máximo establecido en el literal b) del numeral 1, deberá solicitar al Director Seccional o Subdirector de Gestión que elabore el requerimiento de registro del medio a través del PST por la categoría “Seguridad de la Información”.

c) Quien registra el requerimiento de autorización de uso del medio removible en el PST también está autorizando al usuario del medio a transportar información de ¡a Entidad y por esta razón tiene corresponsabilidad en el destino y/o uso que se haga de la información contenida en dicho medio.

d) Es obligación del usuario del medio removible cifrar el acceso a dicho medio, con el fin de asegurar la confidencialidad de la Información en caso de pérdida del mismo. La clave de cifrado es personal y en el caso de olvido la única opción es formatear el medio y la información se borrará y no se podrá recuperar.

e) Cuando se utilicen las unidades de CD autorizadas, se deberá comprobar previamente que la información a grabar se encuentre encriptada, de acuerdo con los estándares definidos por la SGTIT.

f) Los usuarios de medios removibles deben acceder a los sistemas de información de la Dian utilizando únicamente dispositivos de hardware, software y conexiones aprobados y/o de propiedad de la Entidad.

g) Es obligación del usuario de medios removibles reportar a través del PST la pérdida, daño o falla en el uso de un medio removible autorizado y la información en él contenida.

h) Los usuarios de medios removibles deben actuar adecuadamente para proteger la información, su acceso a la red, contraseñas, llaves criptográficas y equipos Bluetooth.

5. CUMPLIMIENTO

La Política de uso de medios removibles es de estricto cumplimiento y aplica para todos los servidores públicos de la DIAN en cualquier modalidad de vinculación, sus proveedores de bienes y servicios y demás partes interesadas que accedan a activos de información de la Entidad en cualquier medio de presentación y/o estado.

Cualquier funcionario de la Entidad que incumpla parcial o totalmente esta política será responsable ante las autoridades competentes por su conducta.

La Coordinación de Infraestructura Tecnológica de la SGTIT elaborará los reportes de auditoría para asegurar el cumplimiento de esta política, los cuales podrán ser solicitados por la Oficina de Control Interno en su función de evaluar la gestión administrativa y/o la administración del riesgo.

6. CONFIDENCIALIDAD

Cada usuario es responsable de la información que genere, obtenga, adquiera o controle en el desempeño de sus funciones, especialmente si esta información es pública clasificada o pública reservada.

7. DEFINICIONES

a) Activo de Información. Es todo aquello que tiene información y valor para la Dian y que, por lo tanto, debe protegerse. Puede estar almacenado en diferentes medios como Discos Duros (HD), memorias USB, discos compactos (CD), discos digitales (DVD), discos ópticos (BD), documentos impresos, archivos físicos, correos electrónicos, entre oíros.

b) Ataque de denegación del servicio. Es un ataque a un sistema de computadoras o red que causa que un servicio o recurso sea inaccesible a los usuarios legítimos.

c) Confidencialidad. Propiedad de la información de no ser puesta a disposición o ser revelada a individuos, entidades o procesos no autorizados en concordancia con lo establecido en el Artículo 15 de la Constitución Política de Colombia.

d) Disponibilidad. Es la cualidad o condición de ¡a información de encontrarse a disposición de quienes deben acceder a ella, ya sean personas, procesos o aplicaciones. Es el acceso y utilización de la información y los sistemas por parte de personas, entidades o procesos autorizados en el momento que así lo requieran. Es la característica que indica que el activo de información sea oportuno, es decir que pueda ser consultado y usado por la persona, entidad o proceso cuando lo requiera.

e) Integridad. Es la propiedad que busca mantener la exactitud y completitud de la información y sus métodos de proceso, es decir, mantener con exactitud la información tal cual fue generada, sin ser manipulada o alterada por personas o procesos no autorizados. Es la característica que protege la precisión, calidad, veracidad, imparcialidad y completitud del activo de información.

f) Información. Se refiere a un conjunto organizado de datos contenido en cualquier documento que los sujetos obligados generen, obtengan, adquieran, transformen o controlen.

g) Información pública clasificada. Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, pertenece al ámbito propio, particular y privado o semiprivado de una persona natural o jurídica por lo que su acceso podrá ser negado o exceptuado, siempre que se trate de las circunstancias legítimas y necesarias y los derechos particulares o privados consagrados en el artículo 18 de la Ley 1712 de 2014.

h) Información pública reservada. Es aquella información que estando en poder o custodia de un sujeto obligado en su calidad de tal, es exceptuada de acceso a la ciudadanía por daño a intereses públicos y bajo cumplimiento de la totalidad de los requisitos consagrados en el artículo 19 de la Ley 1712 de 2014.

i) Medios removibles. Son aquellos medios electrónicos para almacenar información y diseñados para ser extraídos de un equipo de cómputo sin tener que apagar el equipo. Por ejemplo, memorias USB, unidades de disco (DD, CD, DVD o BR) externas, entre otros.

j) Metadato. Información estructurada o semi estructurada que posibilita la creación, registro, clasificación, acceso, conservación y disposición de los documentos a lo largo del tiempo. En general son considerados como datos que describen datos.

k) Usuario interno. Servidor público de la Dian, de los organismos de control del Estado, de organismos internacionales y de terceros relacionados como el personal de la Policía Fiscal Aduanera, y los contratistas, entre otros; que accedan a activos de información de la Entidad en cualquier medio de presentación y/o estado.

Cordialmente,

JOSE ANDRES ROMERO TARAZONA

Director General

ANEXO I.

COMPROMISO DE USO DE MEDIOS REMOVIBLES.

Nosotros “Nombre del Director Jefe de Oficina, o Subdirector," y “Nombre del Subdirector o Coordinador subordinado”, en calidad de “Denominación del carpo de cada funcionario". respectivamente, identificados tal como aparece debajo de nuestras firmas, nos comprometemos a cumplir y adoptar las siguientes medidas para garantizar la Confidencialidad, Integridad y Disponibilidad de la información que se copie, grabe y entregue, mediante el uso de los dispositivos de CD habilitados en el área; así:

a) Cumplir las disposiciones normativas vigentes en materia de transparencia y acceso a ía información pública, garantizando la confidencialidad, seguridad y reserva de la información que obtenga, genere, adquiera o se controle en el área a cargo.

b) Autorizar la entrega de información pública, una vez se hayan ejecutado los controles requeridos para garantizar su exactitud y vigencia, de acuerdo con los preceptos del sistema de gestión de calidad y control interno y del sistema de gestión documental

c) Validar la pertinencia y el cumplimiento de los requisitos legales para entregar información que puede ser registrada y almacenada en un medio removible.

d) Autorizar la entrega de la información, previa validación del proceso de cifrado de la misma.

e) Cumplir con los controles establecidos para la administración y conservación de las llaves criptográficas generadas.

f) Responder por el uso dado a las unidades de disco habilitadas, así como por la información grabada mediante su utilización.

g) Hacer uso de las unidades de disco habilitadas, para fines estrictamente laborales y para el cumplimiento de las funciones asignadas al área.

h) Responder por el uso no adecuado o sin el cumplimento de los requisitos definidos en la Política de Medios Removibles, de las unidades de disco habilitadas en el área.

Nombre Funcionario

Ubicación

Cargo

Firma

Documento de identificación

Lugar y fecha de diligenciamiento (formato dd/mm/aaaa)

ANEXO II.

REGISTRO DE MEDIOS REMOVIBLES ENTREGADOS A TERCEROS.

1. Código consecutivo dependencia que autoriza la entrega de la información

2. Ciudad y fecha de diligenciamiento

3. Identificación del solicitante

a) Nombre del solicitante (En caso de Personas Jurídicas o Entidades, se debe registrar el nombre y cargo del funcionario solicitante)

b) Fecha y número de la solicitud

4. Descripción de la Solicitud

Síntesis del tipo y características de la información solicitada

5. Control del Medio y de la Información Entregada

a) Número del CD y rótulo de identificación del mismo

b) Número y nombre de los archivos grabados

c) Síntesis y características de la información entregada

6. Entrega de la información.

a) Nombre y cargo de ¡a persona que entrega el medio removible

b) Correo electrónico al cual se enviará la clave de cifrado

c) Nombre y cargo de la persona que recibe el medio con la información

d) Fecha y firma de la persona que recibe, en constancia de recepción de la información

ANEXO III.

METADATOS MÍNIMOS DE LOS DOCUMENTOS ELECTRÓNICOS DE ARCHIVO.

En concordancia con el Decreto 2609 del 2012, los documentos electrónicos de archivo deben contener como mínimo los siguientes metadatos.

1. De contenido:

a) Tipo de recurso de información.

b) Tipo documental.

c) Título del documento.

d) Autor o emisor responsable de su contenido, destinatario, responsable que proyectó el contenido, nombre de la entidad que respalda el contenido, nombre de la persona o sistema desde donde el documento es creado.

e) Clasificación de acceso (nivel de acceso).

f) Fecha de creación, transmisión y recepción.

g) Folio (físico o electrónico).

h) Tema o asunto administrativo al que se vincula (trámite).

i) Palabras clave.

2. De estructura:

a) Descripción.

b) Formato.

c) Estado.

d) Proceso administrativo.

e) Unidad Administrativa responsable.

f) Perfil autorizado.

g) Ubicación (en el sistema físico y/o lógico).

h) Serie/subserie documental.

3. De contexto:

a) Jurídico-administrativo.

b) Documental.

c) De procedencia.

d) Procedimental.

e) Tecnológico.

<NOTAS DE PIE DE PÁGINA>.

1. -R o +R Se refiere a la capacidad de grabar pero no de eliminar archivos de un disco compacto, digital u óptico. Las grabaciones son permanentes (por lo general en formato Mastered)

2. Se pueden enviar archivos de hasta 10 MB de tamaño por archivo y hasta 25 MB de tamaño por mensaje de correo. Los buzones de correo personal cuentan con una capacidad de almacenamiento de 50GB.

3. La cadena de custodia informático-forense para recopilación de evidencia informática es un procedimiento controlado y supervisable que se aplica a los indicios materiales o virtuales relacionados con un hecho delictivo o no, desde su localización hasta su valoración por los encargados de administrar justicia. Tiene como finalidad brindarle soporte veraz a la prueba digital ante el juez, en medio de lo que se conoce como el debido proceso. Para esto, es necesario que se eviten suplantaciones, modificaciones, alteraciones, adulteraciones o simplemente la destrucción (común en la evidencia digital, ya sea mediante borrado o denegación de servicio). Adaptado de “La cadena de custodia informático-forense". Arellano, Luis Enrique y Castañeda, Carlos Mario. Revista ACTIVA, ISSN 2027-3101. Núm 3, enero- junio 2012, pp. 67-81. Tecnológico de Antioquia, Medellín (Colombia).