El Esquema Nacional de Seguridad. - Parte 1.

Principio de Seguridad Integral

• La seguridad debe abordarse considerando todos los elementos del sistema: humanos, materiales, técnicos, jurídicos y organizativos.
• Este principio implica que la seguridad no debe ser vista como una acción aislada, sino como un proceso que abarca todos los aspectos.

Finalidad del Esquema Nacional de Seguridad (ENS)

• La finalidad principal del ENS, según la Ley 40/2015, es establecer una política de seguridad en el uso de medios electrónicos.
• El ENS busca proteger los sistemas, datos y servicios electrónicos que utiliza el sector público, garantizando los derechos y deberes digitales.

Documento a Firmar Tras Seleccionar Medidas del ENS

• El responsable de seguridad debe firmar una Declaración de Aplicabilidad después de seleccionar las medidas del ENS.
• Este documento formaliza las medidas seleccionadas y sirve como base para el plan de adecuación.

Dimensiones de Seguridad para Valorar Impacto de Incidentes

• Las dimensiones de seguridad clave establecidas por el ENS (CITAD) para valorar el impacto de incidentes son: Confidencialidad, Integridad, Trazabilidad, Autenticidad y Disponibilidad.
• Estas dimensiones son esenciales para determinar el nivel de seguridad requerido en cada aspecto del sistema de información.

Medidas Dentro del Marco Organizativo del ENS

• Las medidas dentro del marco organizativo del ENS están relacionadas con la organización global de la seguridad.
• El marco organizativo se centra en políticas, normativas, procedimientos y procesos de autorización.

Medidas de Autenticidad en Nivel Medio y Alto

• La medida de seguridad que se aplica a la dimensión de Autenticidad en nivel Medio y Alto con refuerzo es la "Identificación avanzada".
• Esta medida forma parte del control de acceso y se aplica para garantizar la autenticidad y trazabilidad de los usuarios.

Nivel de Categoría de un Sistema de Información

• Si al menos una dimensión de seguridad alcanza el nivel Alto, el sistema se considera de Categoría Alta.
• El ENS establece que el sistema se categoriza según la dimensión de mayor nivel.

Ley que Redefine el Ámbito de Aplicación del Real Decreto 3/2010

• La Ley 40/2015 redefine el ámbito de aplicación del Real Decreto 3/2010 a todo el sector público.
• Esta ley amplía el ámbito del ENS más allá de la administración electrónica, afectando a todo el sector público.

Medida No Perteneciente al Marco Operacional del ENS

• La identificación de las personas no pertenece al marco operacional del ENS.
• La identificación de las personas se considera parte del marco de protección (mp.if).

Medida Específica para Protección de Información en Soporte Físico

• El marcado de soportes es la medida específica relacionada con la protección de la información en soporte físico.
• Esta medida busca asegurar la confidencialidad de los datos, etiquetando el contenido y nivel de seguridad.

Requisito Mínimo No Incluido en el ENS

• La protección de la marca institucional no es un requisito mínimo del ENS.
• Los demás requisitos mínimos sí están contemplados para asegurar la información tratada.

Principio que Exige la Evaluación y Actualización Continua

• La reevaluación periódica es el principio que exige la evaluación y actualización continua de las medidas de seguridad.
• Esto implica revisar y adaptar las medidas de seguridad a los nuevos riesgos y cambios en los sistemas.

Significado de "Seguridad Basada en los Riesgos"

• "Seguridad basada en los riesgos" se refiere a la gestión continua del riesgo para minimizar su impacto.
• El análisis y gestión de riesgos son esenciales para crear un entorno seguro y controlado.

Documento que Estableció el Esquema Nacional de Seguridad Inicialmente

• El Real Decreto 3/2010 fue el documento normativo inicial que reguló el ENS.
• Fue actualizado posteriormente por el Real Decreto 311/2022.

Medida Dentro del Subapartado “op. nub”

• La protección de servicios en la nube es la medida que se encuentra dentro del subapartado “op. nub”.
• Este subapartado del marco operacional se ocupa de los servicios alojados en la nube.

Principio del ENS en Cuanto a Acceso a la Información

• El principio del ENS en cuanto a acceso a la información es el mínimo privilegio.
• Cada usuario debe tener solo los permisos estrictamente necesarios.

Dimensión de Seguridad que Actúa Sobre la No Interrupción del Servicio

• La disponibilidad es la dimensión de seguridad que actúa sobre la no interrupción del servicio.
• La disponibilidad garantiza que los servicios estén accesibles en todo momento.

Refuerzo en la Medida “Análisis de Riesgos”

• El análisis de riesgos semiformal (+R1) o formal (+R2) se considera un refuerzo en la medida “Análisis de riesgos”.
• El ENS establece estos refuerzos según el nivel de seguridad requerido.

Única Medida Aplicable en el Subapartado "op. nub"

• La protección de servicios en la nube es la única medida aplicable en el subapartado "op. nub".
• Regula la seguridad en servicios cloud, aplicable con distintos refuerzos según la categoría del sistema.

Medida Dentro del Subapartado de Protección de los Servicios

• La protección del correo electrónico es una medida dentro del subapartado de Protección de los Servicios.
• El correo electrónico es uno de los servicios esenciales que deben protegerse.

Medida en Categoría Básica y Reforzada en Media y Alta en "Protección de los Equipos"

• El puesto de trabajo despejado es una medida que se aplica en la categoría Básica y se refuerza en Media y Alta dentro del subapartado "Protección de los Equipos".
• Evita que información sensible quede expuesta en los puestos de trabajo.

Subapartado que Contempla el “Análisis de Impacto”

• La continuidad del servicio es el subapartado dentro del marco operacional que contempla el “Análisis de impacto”.
• El análisis de impacto evalúa los efectos de un incidente en la disponibilidad del servicio.

Sistemas Sujetos al ENS Además de los Públicos

• Los sistemas privados que provean soluciones al sector público también están sujetos al ENS.
• Esto es porque prestan servicios a entidades públicas.

Consecuencia si una Dimensión de Seguridad No Se Ve Afectada

• Si una dimensión de seguridad no se ve afectada en un sistema de información, no se le asigna ningún nivel.
• Esta dimensión no influye en la categorización ni se le asigna un nivel de seguridad.

Elemento que Garantiza el Cumplimiento Normativo de un Contratista

• La Declaración o Certificación de Conformidad garantiza el seguimiento del cumplimiento normativo de un contratista en el ENS.
• Este documento demuestra que el proveedor cumple con los requisitos del ENS.