Implantación del Esquema Nacional de Seguridad en las Entidades Locales. - Parte 4.

Incidentes Notificables según el Artículo 33 del RGPD

• Se deben notificar las violaciones de seguridad que afecten a datos personales y que puedan suponer un riesgo.

Nivel de Categorización de un Sistema

• Se define por el impacto sobre la seguridad en caso de incidente.
• El nivel se determina por el impacto en la confidencialidad, integridad y disponibilidad de la información que gestiona el sistema.

Sistema Metodológico Nacional para Análisis de Riesgos en el ENS

• Se recomienda MAGERIT como metodología de análisis y gestión de riesgos aceptada oficialmente para aplicar el ENS.

Condiciones para Productos Usados en Servicios de Seguridad como Evidencia Suficiente

• Deben cumplir con lo indicado en el artículo 19 del ENS, que establece condiciones de adquisición y certificación.

Documento para Registrar Tareas y Recursos Necesarios para Subsanar Deficiencias

• El plan de mejora de la seguridad permite concretar qué acciones, recursos y plazos se necesitan para corregir problemas hallados en la evaluación.

Artículo 19 del ENS

• Regula la adquisición y contratación de productos y servicios de seguridad.

Herramientas del Ecosistema del ENS

• VERA no se menciona como parte del ecosistema del ENS, a diferencia de INES, PILAR y LUCIA.

Análisis de Riesgos bajo MAGERIT

• PILAR es la herramienta oficial desarrollada para aplicar MAGERIT, facilitando la identificación y evaluación de riesgos en los sistemas.

Entidad que Proporciona el Informe Anual del Estado de Seguridad

• El responsable de seguridad debe remitir anualmente el informe del estado de seguridad, conforme a las exigencias del ENS.

Valor de una Autoevaluación en Sistemas de Categoría Básica

• En sistemas básicos, una autoevaluación bien documentada puede sustituir a una auditoría externa para efectos de conformidad.

Administración que Elaboró la Metodología MAGERIT

• El Consejo Superior de Administración Electrónica elaboró inicialmente MAGERIT.
• La Secretaría General de Administración Digital y el CCN la mantienen actualmente.

Característica del Catálogo de Medidas de Seguridad del ENS

• El catálogo de medidas sirve como referencia adaptable a cada caso y se puede ajustar en función de los recursos disponibles de la entidad.

Evidencia Suficiente para Justificar el Uso Adecuado de Productos de Seguridad

• El cumplimiento con el artículo 19 del ENS es evidencia suficiente ya que este regula la adquisición y contratación de productos de seguridad.

Propósito de la Herramienta LUCIA

• Además de automatizar la notificación de incidentes, mantiene actualizada una lista de incidentes y amenazas.

Documento Sustituido por Autoevaluación en Sistemas de Categoría Básica

• Una autoevaluación debidamente documentada puede sustituir a la certificación formal para sistemas de categoría Básica.

Documento como Evidencia de Cumplimiento de Medidas con Productos Certificados (Artículo 19 del ENS)

• Se utiliza una declaración de conformidad del producto.

Documento con Requisitos Gráficos para los Distintivos del ENS

• La Instrucción Técnica de Seguridad especifica proporciones, formas y colores.

Herramienta para la Comunicación Electrónica del Informe del Estado de Seguridad

• INES facilita a las administraciones públicas comunicar electrónicamente su informe anual.

Consecuencia de No Presentar el Informe del Estado de Seguridad en Plazo Anual

• Se considera un incumplimiento del ENS.

Documento No Obligatorio para Entidades con Sistemas de Categoría Básica

• La certificación de conformidad no es obligatoria, optando por una autoevaluación sin necesidad de certificación externa.

Justificación de la Validez de la Autoevaluación en Sistemas de Categoría Básica

• Debe incluir evidencias documentadas de las medidas implementadas y revisadas.

Incidente de Seguridad que Afecta Gravemente la Disponibilidad del Sistema

• Se categoriza según el impacto, pudiendo requerir notificación al CCN.
• Si el impacto es Alto, Muy Alto o Crítico, se debe notificar al CCN.

Quién Debe Notificar una Violación de Datos Personales a la Autoridad de Control

• El responsable del tratamiento, según el artículo 33 del RGPD.

Perfil de Sistema con Medidas Adaptadas por Proporcionalidad según el CCN

• Perfil de cumplimiento específico para entidades como ayuntamientos o universidades.

Objetivo de LUCIA como Herramienta del CCN

• Automatizar la notificación e intercambio de información sobre incidentes y amenazas de seguridad.