Ley 40/2015 y Esquema Nacional de Seguridad

Esquema Nacional de Seguridad (ENS)

• El ENS es un esquema europeo para el tratamiento de la ciberseguridad, aplicado a entidades del sector público.
• Se crea con el Real Decreto 3/2010 y se basa en la Ley 40/2015 del Régimen Jurídico del Sector Público.
• Se busca crear confianza en el uso de medios electrónicos para que tanto ciudadanos como administraciones puedan ejercer derechos y cumplir sus deberes.
• El ENS crea una política de seguridad en la utilización de medios electrónicos estableciendo principios básicos y requisitos mínimos para proteger la información.
• Promueve la gestión continua de la seguridad, independiente de los impulsos puntuales.
• Promueve la prevención, detección y corrección de problemas de seguridad informáticos.
• Promueve una cooperación homogénea en la prestación de servicios de administración electrónica cuando participan diferentes entidades.
• Aporta un lenguaje común entre las administraciones públicas para facilitar la comunicación de los requisitos de seguridad de la información en la industria.

Elementos del ENS

• Los principios básicos a considerar en las decisiones en materia de seguridad.
• Los requisitos mínimos para una adecuada protección de la información.
• El mecanismo para alcanzar el cumplimiento de los principios y requisitos mínimos, utilizando medidas de seguridad proporcionadas a la naturaleza de la información a proteger.
• Las comunicaciones electrónicas.
• La auditoría de la seguridad.
• La respuesta ante incidentes de seguridad.
• La certificación de la seguridad, incluyendo componentes evaluados y certificados.
• La conformidad con el ENS.
• La formación y la concienciación en materia de seguridad.

Adecuación al ENS

• El plazo máximo para la adecuación de los sistemas de las administraciones públicas al ENS es de 48 meses desde su entrada en vigor.
• Posteriormente, se estableció un plazo de 24 meses para la adecuación a la modificación del Real Decreto 3/2010.
• El plazo finalizó el 5 de noviembre de 2017.
• Para la adecuación al ENS, es necesaria la preparación y aprobación de la política de seguridad, incluyendo la definición de roles y responsabilidades.
• El análisis de riesgos, incluyendo la valoración de las medidas de seguridad existentes.
• La elaboración de un plan de adecuación para mejorar la seguridad.
• La implantación, operación y monitorización de las medidas de seguridad.
• La auditoría de la seguridad, con verificación del cumplimiento de las medidas.
• Informes sobre el estado de la seguridad al órgano competente.

Ámbito de aplicación del ENS

• El ENS se aplica a los sistemas de información del Sector Público, para asegurar aspectos como el acceso, integridad, disponibilidad, autenticidad, confidencialidad y trazabilidad de los datos e informaciones.
• Se aplica a sistemas electrónicos gestionados por administraciones públicas.
• Además, se aplica a las entidades del sector público, comunidades autónomas, entidades locales, organismos públicos, y también a entidades de derecho privado vinculados.
• El ámbito de aplicación se refiere a entidades públicas que realizan tareas administrativas electrónicamente.
• También se aplica a quienes prestan servicios al sector público.

Roles personales en el ENS

• El Responsable de la Información definirá los requisitos de la información tratada.
• El Responsable del Servicio definirá los requisitos de los servicios prestados.
• El Responsable de Seguridad determinará las decisiones para satisfacer los requisitos de seguridad de la información y los servicios.
• El Responsable del Sistema se encarga de la operación y explotación de los sistemas.
• Puede existir un Comité de Seguridad de la Información que coordine las responsabilidades.

Las instrucciones técnicas de seguridad

• El Ministerio de Asuntos Económicos y Transformación Digital, a propuesta del Centro Criptológico Nacional, aprobará las instrucciones técnicas de seguridad.
• El cumplimiento de estas instrucciones es esencial para la implantación del ENS. Estas instrucciones contemplan aspectos como el informe del estado de la seguridad, la notificación de incidentes, la auditoría, la conformidad con el ENS, la adquisición de productos de seguridad, y la criptología.

Auditorías del ENS

• El Esquema Nacional de Seguridad (ENS) prescribe un procedimiento para categorizar la seguridad de los sistemas de información.
• Las auditorías se realizan evaluando el impacto de un incidente en los sistemas de información de la organización.
• Las auditorías tienen en cuenta las siguientes dimensiones de seguridad: la satisfacción de competencias, la protección de los activos propios, el respeto a la legalidad y los derechos de la persona.
• Se determinan los niveles de seguridad: Básico, Medio, Alto.