Esquema Nacional de Seguridad

En el ámbito de la administración electrónica en España, el Esquema Nacional de Seguridad (ENS) es una normativa que tiene por objetivo establecer la política de seguridad en la utilización de medios electrónicos relacionados con la Administración Pública, y está constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información.

Historia

El Esquema Nacional de Seguridad fue establecido en el artículo 42 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicio Públicos[1] y regulado por el Real Decreto 3/2010, de 8 de enero.[2] Posteriormente fue modificado por el Real Decreto 951/2015 para actualizarlo a la luz de la experiencia obtenida en su implantación, de la evolución de la tecnología y las ciberamenazas y del contexto regulatorio internacional y europeo.[3]

El 5 de mayo de 2022 entró en vigor una nueva versión del ENS.[4] Los sistemas ya existentes tienen 24 meses para adaptarse a los cambios.

Ámbito de aplicación

El ámbito de aplicación del Esquema Nacional de Seguridad comprende todo el sector público, los sistemas de información de entidades del sector privado cuando presten servicios a entidades del sector público y los sistemas que traten información clasificada.[4][5]

Elementos principales

Los elementos principales del Esquema Nacional de Seguridad son:

  • Los principios básicos a considerar en las decisiones en materia de seguridad.
  • Los requisitos mínimos que permitan una protección adecuada de la información.
  • El mecanismo para lograr el cumplimiento de los principios básicos y de los requisitos mínimos mediante la adopción de medidas de seguridad proporcionadas a la naturaleza de la información y los servicios a proteger.
  • El uso de infraestructuras y servicios comunes.
  • Los perfiles de cumplimiento específicos.
  • El informe de estado de la seguridad.
  • La auditoría de seguridad.
  • La respuesta ante incidentes de seguridad.
  • El uso de productos certificados.
  • La conformidad.
  • La formación y la concienciación.
  • Las guías de seguridad.
  • Las instrucciones técnicas de seguridad.[4][5]

Principios básicos
  • Seguridad como proceso integral.
  • Gestión de la seguridad basada en los riesgos.
  • Prevención, detección, respuesta y conservación.
  • Existencia de líneas de defensa.
  • Vigilancia continua.
  • Revaluación periódica.
  • Diferenciación de responsabilidades.[4]

Requisitos mínimos
  • Organización e implantación del proceso de seguridad.
  • Análisis y gestión de los riesgos.
  • Gestión de personal.
  • Profesionalidad.
  • Autorización y control de los accesos.
  • Protección de las instalaciones.
  • Adquisición de productos de seguridad y contratación de servicios de seguridad.
  • Mínimo privilegio.
  • Integridad y actualización del sistema.
  • Protección de la información almacenada y en tránsito.
  • Prevención ante otros sistemas de información interconectados.
  • Registro de actividad.
  • Incidentes de seguridad.
  • Continuidad de la actividad.
  • Mejora continua del proceso de seguridad.[4][5]

Categorización de los sistemas

Se definen cinco dimensiones de seguridad: Disponibilidad, Autenticidad, Integridad, Confidencialidad, Trazabilidad (identificadas por sus correspondientes iniciales).

A cada una de las dimensiones de seguridad se le asigna un nivel de seguridad (bajo, medio o alto) acorde a la severidad del perjuicio ocasionado en caso de incidente de seguridad. Si una dimensión de seguridad no se ve afectada, no se le asigna ningún nivel.

Finalmente, el sistema de información es categorizado de acuerdo al nivel más alto alcanzado por sus dimensiones de seguridad. Así, un sistema de información es de categoría:

  • alta si alguna de sus dimensiones de seguridad alcanza el nivel alto;
  • media si alguna de sus dimensiones de seguridad alcanza el nivel medio, y ninguna alcanza un nivel superior;
  • básica si alguna de sus dimensiones de seguridad alcanza el nivel bajo, y ninguna alcanza un nivel superior.[4][5]

Véase también

Referencias
  1. «Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos». Boletín Oficial del Estado (150): 27150-27166. 23 de junio de 2007. ISSN 0212-033X. BOE-A-2007-12352.
  2. «Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica». Boletín Oficial del Estado (25): 8089-8138. 29 de enero de 2010. ISSN 0212-033X. BOE-A-2010-1330.
  3. «Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica». Boletín Oficial del Estado (264): 104246-104267. 4 de noviembre de 2015. ISSN 0212-033X. BOE-A-2015-11881.
  4. «Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad». Boletín Oficial del Estado (106): 61715-61804. 4 de mayo de 2022. ISSN 0212-033X. BOE-A-2022-7191.
  5. «Esquema Nacional de Seguridad - ENS». Portal Administración Electrónica. Consultado el 8 de noviembre de 2022.

Enlaces externos
Este artículo ha sido escrito por Wikipedia. El texto está disponible bajo la licencia Creative Commons - Atribución - CompartirIgual. Pueden aplicarse cláusulas adicionales a los archivos multimedia.