Implantación del Esquema Nacional de Seguridad en las Entidades Locales. - Parte 1.

Plan de Adecuación al Esquema Nacional de Seguridad (ENS)

• Si no se ha designado al responsable de seguridad, el Plan de Adecuación al ENS debe ser elaborado por la persona designada temporalmente.
• Esto asegura que el proceso de adecuación no se detenga por falta de designación formal.

Políticas de Seguridad Municipales

• Los municipios deben tener una política de seguridad común elaborada por la entidad comarcal o provincial.
• Esta política debe asumir la entidad local comarcal o provincial.
• Esto permite una gestión más eficiente y coordinada de la seguridad.

Metodología de Análisis de Riesgos MAGERIT

• MAGERIT se menciona explícitamente como una metodología pública y reconocida para el análisis de riesgos.
• Es mantenida por la Secretaría General de Administración Digital con colaboración del CCN.
• Está soportada por la herramienta PILAR.

Herramienta PILAR

• PILAR es la herramienta utilizada para aplicar la metodología MAGERIT.
• Facilita el análisis y la gestión de riesgos bajo esa metodología específica.

Asunción de Riesgo Residual

• El catálogo de medidas permite asumir un riesgo residual mayor o menor.
• Esto depende de los recursos disponibles por la entidad titular del sistema.

Documentación tras Deficiencias en Seguridad

• El Plan de mejora de la seguridad es el documento que recoge las medidas necesarias tras detectarse insuficiencias.
• Debe basarse en el informe de deficiencias detectadas.
• Debe incluir las tareas y recursos necesarios para subsanar los riesgos residuales.

Aprobación del Plan de Mejora de la Seguridad

• El Plan de mejora de la seguridad es aprobado por el Comité de Seguridad.
• Contiene las medidas a implantar, los plazos de ejecución y los recursos necesarios para la adecuación.

Auditorías en Sistemas de Información de Categoría Básica

• Los sistemas de información de categoría Básica no necesitan auditoría externa.
• Es suficiente con una autoevaluación documentada por el personal que gestiona el sistema o sus delegados.

Herramienta INES

• INES facilita la comunicación del Informe del Estado de Seguridad.
• Es utilizada para que las administraciones públicas comuniquen su Informe del Estado de Seguridad conforme al ENS.

Periodicidad de las Auditorías de Seguridad

• Las auditorías de seguridad ordinarias deben realizarse al menos cada dos años.
• Esto es necesario para verificar el cumplimiento de los requisitos del ENS.

Ampliación del Plazo de Auditoría

• Si la auditoría ordinaria no puede realizarse en el plazo establecido por causas de fuerza mayor, el plazo puede ampliarse tres meses.
• Esto se aplica a causas no imputables a la entidad titular del sistema.

Auditorías Internas

• Las auditorías internas pueden ser realizadas por personal interno o externo, pero sin ser oficiales.
• Su finalidad es confirmar la eficacia del sistema de gestión.

Distintivo tras Autoevaluación Positiva

• Tras una autoevaluación positiva en sistemas de categoría Básica, se obtiene un Distintivo de Declaración de Conformidad.
• Este distintivo electrónico acompaña a la Declaración de Conformidad.

Entidad Certificadora

• Las Certificaciones de Conformidad solo pueden ser expedidas por una entidad certificadora acreditada.
• Especialmente en categorías Media y Alta.

Contenido Mínimo del Distintivo

• Un contenido mínimo obligatorio del Distintivo de Declaración de Conformidad es la fecha de renovación de la declaración.

Aprobación Provisional de Conformidad (APC)

• El Plan de Acciones Correctivas sirve como base para emitir una Aprobación Provisional de Conformidad (APC).
• Para que el CCN emita la APC, se requiere un Plan de Acciones Correctivas que necesite más de tres meses de ejecución.

Herramienta LUCIA

• LUCIA es la herramienta desarrollada por el CCN para coordinar incidentes de seguridad.
• Automatiza la notificación y coordinación de incidentes de seguridad en las administraciones públicas.

Nivel de Impacto Significativo

• Se considera impacto significativo los niveles Alto, Muy Alto y Crítico.
• Estos niveles requieren notificación al CCN.

Artículo 33 del RGPD

• El Artículo 33 del RGPD regula la notificación de incidentes que afecten a datos personales.
• Este artículo regula la notificación de violaciones de seguridad de los datos personales a la autoridad de control.

Plazo para Notificar Violaciones de Datos al AEPD

• El plazo máximo para notificar una violación de datos personales al AEPD según el RGPD es de 72 horas.
• Esto se establece en el Artículo 33 del RGPD.

Plan de Mejora de la Seguridad

• El plan de mejora de la seguridad incluye tareas, planificación y recursos para corregir deficiencias.

Declaración de Aplicabilidad

• La declaración de aplicabilidad formaliza qué medidas son aplicables a un sistema según su categoría de seguridad.
• Se hace conforme al Anexo II del ENS.

Perfiles de Cumplimiento Específico

• Uno de los principales objetivos de los perfiles de cumplimiento específico es cumplir el principio de proporcionalidad.
• Estos perfiles adaptan las exigencias del ENS a las necesidades de entidades concretas.

Validación y Publicación de Perfiles

• El Centro Criptológico Nacional (CCN) valida y publica los perfiles de cumplimiento específico.
• Esto se considera una de sus competencias.

Significado de APC

• APC significa Aprobación Provisional de Conformidad en el contexto del ENS.
• Es emitida excepcionalmente por el CCN bajo ciertos requisitos.