Implantación del Esquema Nacional de Seguridad en las Entidades Locales.

### Introducción al Esquema Nacional de Seguridad (ENS)
- El ENS establece directrices para que las entidades dentro de su ámbito garanticen la seguridad de la información.
- Se fundamenta en principios básicos, requisitos mínimos y medidas de seguridad del Real Decreto 311/2022.
- La implantación del ENS busca dotar a las entidades de sistemas seguros para sus funciones, fomentando confianza ciudadana en el uso de tecnologías.
- Cada entidad debe establecer mecanismos de control para asegurar el cumplimiento efectivo del ENS.
- Un ciberataque puede interrumpir servicios y dañar la reputación de cualquier administración.
- Es importante contar con ciberseguridad adecuada al ENS.
- El objetivo final es la adecuación al ENS mediante certificación o declaración de conformidad.
- La certificación es aplicable a administraciones y empresas proveedoras de servicios públicos.

### Implantación del ENS en Entidades Locales
- Las administraciones y sus proveedores deben cumplir con las disposiciones del ENS.
- Comienza con el Plan de Adecuación, roles de seguridad y un comité de seguridad.
- La política de seguridad debe ser pública e incluir documentos internos para identificar y planificar medidas de seguridad.
- Tras aprobar el Plan de Adecuación, se implementan las medidas correspondientes.
- Se completa el proceso con la certificación de conformidad y el ciclo de mejora continua.
- Las etapas necesarias son: Plan de adecuación, implementación de medidas, conformidad, evaluación y mejora continua.

### Plan de Adecuación
- Es el inicio para implementar el ENS en la administración pública.
- El plan se compone de:
  - Desarrollar y aprobar una Política de seguridad de la información
  - Valuar los servicios prestados y la información tratada, y categorizar los sistemas
  - Análisis de riesgos
  - Declaración de aplicabilidad de las medidas de seguridad
  - Desarrollar un Plan de mejora de la seguridad basado en deficiencias detectadas.
- Se identifican responsables, medidas de seguridad, recursos y plazos.
- El responsable de seguridad es clave, pero sus funciones pueden ser delegadas temporalmente.

### Política de Seguridad
- Es el conjunto de directrices para gestionar y proteger la información y servicios de una organización.
- Debe considerar los principios del ENS e incluir:
  - Objetivos y misión de la entidad relacionados con la seguridad
  - El marco regulatorio aplicable
  - Roles y funciones de seguridad, con sus responsabilidades
  - Estructura y composición del comité de seguridad
  - Directrices para la documentación de seguridad del sistema
  - Los riesgos derivados del tratamiento de datos personales.
- Los municipios pueden tener una política común elaborada por una entidad comarcal o provincial.
- La política debe detallar las atribuciones y mecanismos de coordinación de cada responsable.
- Debe ser accesible y pública para toda la organización.
- El ENS diferencia las responsabilidades en seguridad de la información, lo que lleva a distintos roles.
- Estos roles son asumidos por personas responsables de velar por su cumplimiento.
- Los responsables son:
  - Los responsables de la información
  - Los responsables del servicio
  - Los responsables de la seguridad
  - Los responsables del sistema
- Se plantea la creación de un Comité de Seguridad de Información.
- La composición del comité se determina en la política de seguridad de la información.
- Los comités habituales son:
  - El Comité de Seguridad Corporativa, se responsabiliza de alinear todas las actividades de la organización en materia de seguridad, destacándose los aspectos de seguridad física y patrimonial (seguridad de las instalaciones), seguridad de la información, Compliance (seguridad y conformidad legal) y planes de contingencia
  - El Comité de Seguridad de la Información, dependiente del anterior, que se responsabiliza de alinear las actividades de la organización en materia de seguridad de la información.
- La aprobación de la Política de Seguridad debe ser formal.
- Cada administración debe tener una política de seguridad aprobada por el órgano competente.
- El Alcalde es competente para dirigir el gobierno y la administración municipal.
- El Pleno de la Corporación aprueba los reglamentos y ordenanzas municipales.
- Se desprende su afectación a la esfera jurídica de terceros internos y externos seria recomendable la aprobación de la Política de Seguridad por parte del Pleno de la Corporación.

### Categorización de Sistemas de Información
- Se categorizan los sistemas de información según la información tratada y los servicios prestados.
- Primero, se identifican los sistemas y se valoran.
- Se determina el nivel de seguridad de cada dimensión que afecta a los servicios o información.
- Las dimensiones son:
  - Confidencialidad (C)
  - Integridad (I)
  - Trazabilidad (T)
  - Autenticidad (A)
  - Disponibilidad (D)
- Los niveles de seguridad obtenidos son Bajo, Medio o Alto.
- Los sistemas de información tienen categorías: Básica, Media o Alta.
- El Anexo I del ENS establece los criterios para determinar las categorías de seguridad.

### Análisis de Riesgos
- El análisis de riesgos estudia las consecuencias de un posible incidente de seguridad y su probabilidad.
- Considera el impacto en la organización, su misión, o su reputación.
- Es necesario para implementar el ENS, permitiendo plantear medidas de seguridad.
- El análisis debe ser continuo y actualizado.
- Se debe realizar una gestión de los riesgos para mantener un entorno controlado.
- Toda entidad debe gestionar sus propios riesgos con análisis y tratamiento.
- La gestión se revisa y aprueba anualmente.
- Se debe realizar un análisis extraordinario si el sistema de información sufre modificaciones.
- Las medidas de seguridad deben estar justificadas y ser proporcionales a los riesgos.
- Tanto el análisis como la gestión de riesgos se desarrollan en la Política de Seguridad de la Información.
- MAGERIT permite analizar y gestionar los riesgos.

### Declaración de Aplicabilidad y Perfiles de Cumplimiento Específico
- La categoría se determina en función del impacto que tendría un incidente segun: Disponibilidad (D), Autenticidad (A), Integridad (I), Confidencialidad (CD) o Trazabilidad (T).
- El ENS establece tres categorías de seguridad para los sistemas de información: Básica, Media y Alta.
- La declaración de aplicabilidad formaliza las medidas de seguridad para cada sistema.
- El documento es esencial para elaborar el Plan de Adecuación.
- Tras categorizar los sistemas, se incluirá el nivel de seguridad en la Declaración de aplicabilidad.
- Los perfiles de cumplimiento específicos son un conjunto de medidas de seguridad que resultan de aplicación a una entidad.
- El CCN validará y publicará los perfiles de cumplimiento específicos que se definan.
- Adaptaran los requisitos de seguridad que exige el ENS a aquellas necesidades más específicas de determinados colectivos como es el caso de las entidades locales.
- El catálogo de medidas a implantar no deja de ser una referencia
-  En casos muy concretos y excepcionales, se podría asumir un riesgo residual mayor o menor en función de los recursos disponibles

### Plan de Mejora de la Seguridad
- Se basa en un informe de insuficiencias, reflejando el nivel de madurez de las medidas de seguridad.
- Identifica los riesgos residuales que deben ser aceptados formalmente.
- Incluye medidas necesarias para garantizar el cumplimiento normativo sobre la protección de datos.
- Incluirá el plazo estimado de ejecución y las tareas que deben subsanar las deficiencias de sistemas.
- Se plasma en un documento denominado Plan de Mejora de la seguridad aprobado por el comité de seguridad.
- Se lleva a cabo las tareas con el objetivo final de superar el proceso de Certificación del sistema, iniciando así el ciclo de mejora.

### Implementación de Medidas de Seguridad
- Tras el Plan de Adecuación, se implementan las medidas de seguridad.
- Es necesario realizar la correspondiente auditoría de seguridad cuyo objetivo es sustentar la confianza es verificar las medidas de seguridad implementadas.
- La auditoría de seguridad es un proceso sistemático, independiente y documentado
- La política de seguridad define los roles y funciones de los responsables del sistema.
- Existen procedimientos para resolución de conflictos entre dichos responsables.
- Se han designado personas para dichos roles
- Se ha realizado un análisis de riesgos
- Que se cumplen las recomendaciones de protección descritas en el Anexo II del ENS
- Se basa en la presencia de evidencias que permitan comprobar de manera objetiva el cumplimiento de lo siguiente.
- En los sistemas de información de categoría Básica el resultado de la autoevaluación debe indicar documentadamente las medidas de seguridad implantadas.
- En los sistemas de categorías Media y Alta, es obligatoria la auditoría de seguridad.
- La auditoría de seguridad se realiza de manera ordinaria regularmente, al menos cada dos años,
- Si se produjeran modificaciones sustanciales en los sistemas de información que puedan repercutir en las medidas de seguridad se realizará una auditoría extraordinario.
- Es necesario realizar una planificación preliminar para la realización de la auditoría.
- Los hallazgos de no conformidad encontrados por parte del equipo auditor, se clasificarán según los siguientes grados:
  - No conformidad menor
  - No conformidad mayor
- El informe incluirá los criterios metodológicos de auditoría utilizados, el alcance y el objetivo de la auditoría.
- Los hallazgos se presentarán al responsable del sistema.
- Y el resultado del informe seria:
  - Favorable
  - Favorable con no conformidades
  - Desfavorable
- Tras la emisión del informe de los resultados se realizará el Informe del estado de seguridad donde las entidades deberán recopilar datos comunicarlos a la Administración General del Estado, el Estado pone a disposición de todas las administraciones públicas la herramienta INES

### Conformidad con el ENS
- La finalidad última es la obtención de la conformidad con el ENS.
- Se trata de ofrecer garantías de seguridad de la información adecuadas y seguras.
- En relación con la consecución de la conformidad con el ENS la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad que establece los criterios.
- La Declaración de la Conformidad es solamente aplicable a los sistemas de información de categoría BÁSICA.
- La Certificación de Conformidad con el Esquema Nacional de Seguridad es aplicable a los sistemas de información con categorías MEDIA y ALTA.
- Plazo de dos años que podrá extenderse durante tres meses cuando concurran impedimentos de fuerza mayor no imputables.
- Auditorias internas en la organización cuya finalidad es confirmar la eficacia del sistema de gestión u obtener información que permita alcanzarla.
- La Declaración de Conformidad es expedida por la propia entidad.
- La Certificación de Conformidad es expedida por la entidad de certificación.
### Conformidad Provisional.
- Aprobación Provisional de Conformidad (APC) para sistemas de información de categorías Básica y Media, siendo emitada por el CCN a petición.
- Siempre que persiga la emisión del primer Certificado de Conformidad del sistema de información auditado, y el Plan de Acciones Correctivas, por razones requiere un período de ejecución superior a tres (3) meses y si no se hayan detectado No Conformidades Mayores.

### Ciclo de Mejora
- Cualquier sistema de información de categoría MEDIA y ALTA requiere disponer de un SGSI.
- El ciclo de mejora se inicia mediante la revisión y mejora continua.
- Para ello, se aplicarán los criterios y métodos reconocidos en la práctica de la gestion de gestion de seguridad.
- Tiene en cuenta la información basada en el ciclo de mejora, Planificar, Hacer, Verificar y Actuar (Ciclo de Deming).

### Respuesta y Notificación de Incidentes de Seguridad
- Un ciberincidente segun la normativa es aquel incidente relacionado con la seguridad.
- Y un incidente de seguridad se trata de un suceso inesperado o no deseado con consecuencias en detrimento de la seguridad de la información.
- Se notificarán los incidentes de seguridad que tales incidentes tengan un impacto significativo.
- Los ciberincidentes necesitan una clasificación para la erradicación.
- La gestión de los ciberincidentes consta de fases segun la Resolución de 13 de abril:
  - Detección
  - Clasificación
  - Procedimientos de análisis
  - Comunicación
  - Registro
- Deberá clasificarse de acuerdo con la tabla de Criterios del nivel de impacto potencial.
- Y se analizarán y recopilarán evidencias de dicho incidente, documentando y custodiadas.
- En la notificación de incidentes de seguridad, es obligatorio la notificación al CCN de los incidentes de impacto significativo.
- Se entiende por impacto significativo los niveles Alto, Muy Alto y Crítico, según los artículos 33 y 34 del ENS.
- Si un incidente afecte a datos personales se realizará con independencia del nivel de impacto según el artículo 33 del Reglamento General de Protección de Datos.
- El CCN ha desarrollado una herramienta denominada LUCIA con la finalidad de automatizar los mecanismos de notificación.
- El ENS no prevé sanciones por incumplimiento.