Categoría: Administración

de interrupción de los servicios prestados con los medios habituales. Dicho plan contemplará los siguientes aspectos:
– [op.cont.2.1] Se identificarán funciones, responsabilidades y actividades a realizar.
– [op.cont.2.2] Existirá una previsión para coordinar la entrada en servicio de los medios alternativos de forma que se garantice poder seguir prestando los servicios esenciales de la organización.
– [op.cont.2.3] Todos los medios alternativos estarán planificados y materializados en acuerdos o contratos con los proveedores correspondientes.
– [op.cont.2.4] Las personas afectadas por el plan recibirán formación específica relativa a su papel en dicho plan.
– [op.cont.2.5] El plan de continuidad será parte integral y armónica de los planes de continuidad de la organización en otras materias ajenas a la seguridad.
Refuerzo R1-Plan de emergencia y contingencia.
– [op.cont.2.r1.1] Cuando se determine la necesidad de continuidad de los sistemas, deberá existir un plan de emergencia y contingencia en consonancia. En función del análisis de Impacto, se determinarán los aspectos a cubrir.
Refuerzo R2-Comprobación de integridad.
– [op.cont.2.r2.1] Ante una caída o discontinuidad del sistema, se deberá comprobar la integridad del sistema operativo, del firmware y de los ficheros de configuración.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: no aplica.
– Nivel ALTO: op.cont.2.
4.6.3 Pruebas periódicas [op.cont.3].
Requisitos.
– [op.cont.3.1] Se realizarán pruebas periódicas para localizar y, en su caso, corregir los errores o deficiencias que puedan existir en el plan de continuidad.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: no aplica.
– Nivel ALTO: op.cont.3.
4.6.4 Medios alternativos [op.cont.4].
Requisitos.
– [op.cont.4.1] Estará prevista la disponibilidad de medios alternativos para poder seguir prestando servicio cuando los medios habituales no estén disponibles. En concreto, se cubrirán los siguientes elementos del sistema:
a) Servicios contratados a terceros.
b) Instalaciones alternativas.
c) Personal alternativo.
d) Equipamiento informático alternativo.
e) Medios de comunicación alternativos.
– [op.cont.4.2] Se establecerá un tiempo máximo para que los medios alternativos entren en funcionamiento.
– [op.cont.4.3] Los medios alternativos estarán sometidos a las mismas garantías de seguridad que los originales.
Refuerzo R1-Automatización de la transición a medios alternativos.
– [op.cont.4.r1.1] El sistema dispondrá de elementos hardware o software que permitan la transferencia de los servicios automáticamente a los medios alternativos.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: no aplica.
– Nivel ALTO: op.cont.4.
4.7 Monitorización del sistema [op.mon].
El sistema estará sujeto a medidas de monitorización de su actividad y ejecutará acciones predeterminadas en función de las situaciones de compromiso de la seguridad que figuren en el análisis de riesgos. Esto puede incluir la generación de alarmas en tiempo real, la finalización del proceso que está ocasionando la alarma, la inhabilitación de determinados servicios, la desconexión de usuarios y el bloqueo de cuentas.
4.7.1 Detección de intrusión [op.mon.1].
Requisitos.
– [op.mon.1.1] Se dispondrá de herramientas de detección o prevención de intrusiones.
Refuerzo R1-Detección basada en reglas.
– [op.mon.1.r1.1] El sistema dispondrá de herramientas de detección o prevención de intrusiones basadas en reglas.
Refuerzo R2-Procedimientos de respuesta.
– [op.mon.1.r2.1] Existirán procedimientos de respuesta a las alertas generadas por el sistema de detección o prevención de intrusiones.
Refuerzo R3-Acciones predeterminadas.
– [op.mon.1.r3.1] El sistema ejecutará automáticamente acciones predeterminadas de respuesta a las alertas generadas. Esto puede incluir la finalización del proceso que está ocasionando la alerta, la inhabilitación de determinados servicios, la desconexión de usuarios y el bloqueo de cuentas.
Aplicación de la medida.
– Categoría BÁSICA: op.mon.1.
– Categoría MEDIA: op.mon.1 + R1.
– Categoría ALTA: op.mon.1+ R1 + R2.
4.7.2 Sistema de métricas [op.mon.2].
Requisitos.
– [op.mon.2.1] Atendiendo a la categoría de seguridad del sistema, se recopilarán los datos necesarios para conocer el grado de implantación de las medidas de seguridad que resulten aplicables y, en su caso, para proveer el informe anual requerido por el artículo 32.
Refuerzo R1-Efectividad del sistema de gestión de incidentes.
– [op.mon.2.r1.1] Se recopilarán los datos precisos que posibiliten evaluar el comportamiento del sistema de gestión de incidentes, de acuerdo con la Instrucción Técnica de Seguridad de Notificación de Incidentes de Seguridad y con la correspondiente guía CCN-STIC.
Refuerzo R2-Eficiencia del sistema de gestión de la seguridad.
– [op.mon.2.r2.1] Se recopilarán los datos precisos para conocer la eficiencia del sistema de seguridad, en relación con los recursos consumidos, en términos de horas y presupuesto.
Aplicación de la medida.
– Categoría BÁSICA: op.mon.2.
– Categoría MEDIA: op.mon.2 + R1+ R2.
– Categoría ALTA: op.mon.2 + R1 + R2.
4.7.3 Vigilancia [op.mon.3].
Requisitos.
– [op.mon.3.1] Se dispondrá de un sistema automático de recolección de eventos de seguridad.
Refuerzo R1-Correlación de eventos.
– [op.mon.3.r1.1] Se dispondrá de un sistema automático de recolección de eventos de seguridad que permita la correlación de los mismos.
Refuerzo R2-Análisis dinámico.
– [op.mon.3.r2.1] Se dispondrá de soluciones de vigilancia que permitan determinar la superficie de exposición con relación a vulnerabilidades y deficiencias de configuración.
Refuerzo R3-Ciberamenazas avanzadas.
– [op.mon.3.r3.1] Se dispondrá de sistemas para detección de amenazas avanzadas y comportamientos anómalos.
– [op.mon.3.r3.2] Se dispondrá de sistemas para la detección de amenazas persistentes avanzadas (Advanced Persistent Threat, APT) mediante la detección de anomalías significativas en el tráfico de la red.
Refuerzo R4-Observatorios digitales.
– [op.mon.3.r4.1] Se dispondrá de observatorios digitales con fines de cibervigilancia dedicados a la detección y seguimiento de anomalías que pudieran representar indicadores de amenaza en contenidos digitales.
Refuerzo R5-Minería de datos.
Se aplicarán medidas para prevenir, detectar y reaccionar frente a intentos de minería de datos:
– [op.mon.3.r5.1] Limitación de las consultas, monitorizando volumen y frecuencia.
– [op.mon.3.r5.2] Alerta a los administradores de seguridad de comportamientos sospechosos en tiempo real.
Refuerzo R6-Inspecciones de seguridad.
Periódicamente, o tras incidentes que hayan desvelado vulnerabilidades del sistema nuevas o subestimadas, se realizarán las siguientes inspecciones:
– [op.mon.3.r6.1] Verificación de configuración.
– [op.mon.3.r6.2] Análisis de vulnerabilidades.
– [op.mon.3.r6.3] Pruebas de penetración.
Refuerzo R7-Interconexiones.
– [op.mon.3.r7.1] En las interconexiones que lo requieran se aplicarán controles en los flujos de intercambio de información a través del uso de metadatos.
Aplicación de la medida.
– Categoría BÁSICA: op.mon.3.
– Categoría MEDIA: op.mon.3 + R1 + R2.
– Categoría ALTA: op.mon.3 + R1 + R2 + R3 + R4 + R5 + R6.
Las medidas de protección estarán dirigidas a proteger activos concretos, según su naturaleza, con el nivel requerido en cada dimensión de seguridad.
5.1 Protección de las instalaciones e infraestructuras [mp.if].
5.1.1 Áreas separadas y con control de acceso [mp.if.1].
Requisitos.
– [mp.if.1.1] El equipamiento del Centro de Proceso de Datos (CPD) se instalará, en la medida de lo posible, en áreas separadas, específicas para su función.
– [mp.if.1.2] Se controlarán los accesos a las áreas indicadas de forma que sólo se pueda acceder por las entradas previstas.
Aplicación de la medida.
– Categoría BÁSICA: mp.if.1.
– Categoría MEDIA: mp.if.1.
– Categoría ALTA: mp.if.1.
5.1.2 Identificación de las personas [mp.if.2].
Requisitos.
[mp.if.2.1] El procedimiento de control de acceso identificará a las personas que accedan a los locales donde hay equipamiento esencial que forme parte del sistema de información del CPD, registrando las correspondientes entradas y salidas.
Aplicación de la medida.
– Categoría BÁSICA: mp.if.2.
– Categoría MEDIA: mp.if.2.
– Categoría ALTA: mp.if.2.
5.1.3 Acondicionamiento de los locales [mp.if.3].
Requisitos.
Los locales donde se ubiquen los sistemas de información y sus componentes esenciales dispondrán de elementos adecuados para el eficaz funcionamiento del equipamiento allí instalado, y, en especial, para asegurar:
– [mp.if.3.1] Las condiciones de temperatura y humedad.
– [mp.if.3.2] La protección frente a las amenazas identificadas en el análisis de riesgos.
– [mp.if.3.3] La protección del cableado frente a incidentes fortuitos o deliberados.
Aplicación de la medida.
– Categoría BÁSICA: mp.if.3.
– Categoría MEDIA: mp.if.3.
– Categoría ALTA: mp.if.3.
5.1.4 Energía eléctrica [mp.if.4].
Requisitos.
– [mp.if.4.1] Los locales donde se ubiquen los sistemas de información y sus componentes esenciales dispondrán de tomas de energía eléctrica, de modo que se garantice el suministro y el correcto funcionamiento de las luces de emergencia.
Refuerzo R1-Suministro eléctrico de emergencia.
– [mp.if.4.r1.1] En caso de fallo del suministro principal, el abastecimiento eléctrico deberá estar garantizado durante el tiempo suficiente para una terminación ordenada de los procesos y la salvaguarda de la información.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: mp.if.4.
– Nivel MEDIO: mp.if.4 + R1.
– Nivel ALTO: mp.if.4 + R1.
5.1.5 Protección frente a incendios [mp.if.5].
Requisitos.
– [mp.if.5.1] Los locales donde se ubiquen los sistemas de información y sus componentes esenciales se protegerán frente a incendios atendiendo, al menos, a la normativa industrial de aplicación.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: mp.if.5.
– Nivel MEDIO: mp.if.5.
– Nivel ALTO: mp.if.5.
5.1.6 Protección frente a inundaciones [mp.if.6].
Requisitos.
– [mp.if.6.1] Los locales donde se ubiquen los sistemas de información y sus componentes esenciales se protegerán frente a incidentes causados por el agua.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: mp.if.6.
– Nivel ALTO: mp.if.6.
5.1.7 Registro de entrada y salida de equipamiento [mp.if.7].
Requisitos.
– [mp.if.7.1] Se llevará un registro pormenorizado de cualquier entrada y salida de equipamiento esencial, incluyendo la identificación de la persona que autoriza el movimiento.
Aplicación de la medida.
– Categoría BÁSICA: mp.if.7.
– Categoría MEDIA: mp.if.7.
– Categoría ALTA: mp.if.7.
5.2 Gestión del personal [mp.per].
5.2.1 Caracterización del puesto de trabajo [mp.per.1].
Requisitos.
– [mp.per.1.1] Para cada puesto de trabajo, relacionado directamente con el manejo de información o servicios, se definirán las responsabilidades en materia de seguridad, que estarán basadas en el análisis de riesgos.
– [mp.per.1.2] Se definirán los requisitos que deben satisfacer las personas que vayan a ocupar el puesto de trabajo, en particular, en términos de confidencialidad. Dichos requisitos se tendrán en cuenta en la selección de la persona que vaya a ocupar el puesto, incluyendo la verificación de sus antecedentes laborales, formación y otras referencias, de conformidad con el ordenamiento jurídico y el respeto a los derechos fundamentales.
Refuerzo R1-Habilitación Personal de Seguridad.
– [mp.per.1.r1.1] Los administradores de seguridad/sistema tendrán una Habilitación Personal de Seguridad (HPS) otorgada por la autoridad competente, como consecuencia de los resultados del análisis de riesgos previo o como requisito de seguridad de un sistema específico.
Aplicación de la medida.
– Categoría BÁSICA: no aplica.
– Categoría MEDIA: mp.per.1.
– Categoría ALTA: mp.per.1.
5.2.2 Deberes y obligaciones [mp.per.2].
Requisitos.
Se informará a cada persona que trabaje en el sistema de los deberes y responsabilidades de su puesto de trabajo en materia de seguridad, contemplando:
– [mp.per.2.1] Las medidas disciplinarias a que haya lugar.
– [mp.per.2.2] Contemplando tanto el periodo durante el cual se desempeña el puesto, como las obligaciones en caso de término de la asignación, o traslado a otro puesto de trabajo.
– [mp.per.2.3] El deber de confidencialidad respecto de los datos a los que tenga acceso, tanto durante el periodo que esté adscrito al puesto de trabajo, como posteriormente a su terminación.
– [mp.per.2.4] En caso de personal contratado a través de un tercero:
• [mp.per.2.4.1] Se establecerán los deberes y obligaciones de cada parte y del personal contratado.
• [mp.per.2.4.2] Se establecerá el procedimiento de resolución de incidentes relacionados con el incumplimiento de las obligaciones.
Refuerzo R1-Confirmación expresa.
– [mp.per.2.r1.1] Se ha de obtener la confirmación expresa de que los usuarios conocen las instrucciones de seguridad necesarias y obligatorias y su aceptación, así como los procedimientos necesarios para llevarlas a cabo de manera adecuada.
Aplicación de la medida.
– Categoría BÁSICA: mp.per.2.
– Categoría MEDIA: mp.per.2 + R1.
– Categoría ALTA: mp.per.2 + R1.
5.2.3 Concienciación [mp.per.3].
Requisitos.
Se realizarán las acciones necesarias para concienciar regularmente al personal acerca de su papel y responsabilidad para que la seguridad del sistema alcance los niveles exigidos. En particular, se recordará periódicamente:
– [mp.per.3.1] La normativa de seguridad relativa al buen uso de los equipos o sistemas y las técnicas de ingeniería social más habituales.
– [mp.per.3.2] La identificación de incidentes, actividades o comportamientos sospechosos que deban ser reportados para su tratamiento por personal especializado.
– [mp.per.3.3] El procedimiento para informar sobre incidentes de seguridad, sean reales o falsas alarmas.
Aplicación de la medida.
– Categoría BÁSICA: mp.per.3.
– Categoría MEDIA: mp.per.3.
– Categoría ALTA: mp.per.3.
5.2.4 Formación [mp.per.4].
Requisitos.
– [mp.per.4.1] Se formará regularmente al personal en aquellas materias relativas a seguridad de la información que requiera el desempeño de sus funciones, en particular en lo relativo a:
a) Configuración de sistemas.
b) Detección y reacción ante incidentes.
c) Gestión de la información en cualquier soporte en el que se encuentre. Se cubrirán al menos las siguientes actividades: almacenamiento, transferencia, copias, distribución y destrucción.
Además, se evaluará la eficacia de las acciones formativas llevadas a cabo.
Aplicación de la medida.
– Categoría BÁSICA: mp.per.4.
– Categoría MEDIA: mp.per.4.
– Categoría ALTA: mp.per.4.
5.3 Protección de los equipos [mp.eq].
5.3.1 Puesto de trabajo despejado [mp.eq.1].
Requisitos.
– [mp.eq.1.1] Los puestos de trabajo permanecerán despejados, sin que exista material distinto del necesario en cada momento.
Refuerzo R1-Almacenamiento del material.
– [mp.eq.1.r1.1] Una vez usado, y siempre que sea factible, el material se almacenará en lugar cerrado.
Aplicación de la medida.
– Categoría BÁSICA: mp.eq.1.
– Categoría MEDIA: mp.eq.1 + R1.
– Categoría ALTA: mp.eq.1 + R1.
5.3.2 Bloqueo de puesto de trabajo [mp.eq.2].
Requisitos.
– [mp.eq.2.1] El puesto de trabajo se bloqueará al cabo de un tiempo prudencial de inactividad, requiriendo una nueva autenticación del usuario para reanudar la actividad en curso.
Refuerzo R1-Cierre de sesiones.
– [mp.eq.2.r1.1] Pasado un cierto tiempo, superior al anterior, se cancelarán las sesiones abiertas desde dicho puesto de trabajo.
Una Guía CCN-STIC concretará la implementación de la configuración de seguridad adaptada a la categorización del sistema o perfil de cumplimiento asociado.
Aplicación de la medida (por autenticidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: mp.eq.2.
– Nivel ALTO: mp.eq.2 + R1.
5.3.3 Protección de dispositivos portátiles [mp.eq.3].
Requisitos.
Los equipos (ordenadores portátiles, tabletas, etc.) que sean susceptibles de salir de las instalaciones de la organización y no puedan beneficiarse de la protección física correspondiente, con un riesgo manifiesto de pérdida o robo, serán protegidos adecuadamente.
Sin perjuicio de las medidas generales que les afecten, se adoptarán las siguientes:
– [mp.eq.3.1] Se llevará un inventario de dispositivos portátiles junto con una identificación de la persona responsable de cada uno de ellos y un control regular de que está positivamente bajo su control.
– [mp.eq.3.2] Se establecerá un procedimiento operativo de seguridad para informar al servicio de gestión de incidentes de pérdidas o sustracciones.
– [mp.eq.3.3] Cuando un dispositivo portátil se conecte remotamente a través de redes que no están bajo el estricto control de la organización, el ámbito de operación del servidor limitará la información y los servicios accesibles a los mínimos imprescindibles, requiriendo autorización previa de los responsables de la información y los servicios afectados. Este punto es de aplicación a conexiones a través de internet y otras redes que no sean de confianza.
– [mp.eq.3.4] Se evitará, en la medida de lo posible, que el dispositivo portátil contenga claves de acceso remoto a la organización que no sean imprescindibles. Se considerarán claves de acceso remoto aquellas que sean capaces de habilitar un acceso a otros equipos de la organización u otras de naturaleza análoga.
Refuerzo R1– Cifrado del disco.
– [mp.eq.3.r1.1] Se protegerá el dispositivo portátil mediante cifrado del disco duro cuando el nivel de confidencialidad de la información almacenada en el mismo sea de nivel MEDIO.
Refuerzo R2– Entornos protegidos.
– [mp.eq.3.r2.1] El uso de dispositivos portátiles fuera de las instalaciones de la organización se restringirá a entornos protegidos, donde el acceso sea controlado y a salvo de hurtos y miradas indiscretas.
Aplicación de la medida.
– Categoría BÁSICA: mp.eq.3.
– Categoría MEDIA: mp.eq.3.
– Categoría ALTA: mp.eq.3 + R1 + R2.
5.3.4 Otros dispositivos conectados a la red [mp.eq.4].
Esta medida afecta a todo tipo de dispositivos conectados a la red y que puedan tener en algún momento acceso a la información, tales como:
a) Dispositivos multifunción: impresoras, escáneres, etc.
b) Dispositivos multimedia: proyectores, altavoces inteligentes, etc.
c) Dispositivos internet de las cosas, en inglésInternet of Things(IoT).
d) Dispositivos de invitados y los personales de los propios empleados, en inglésBring Your Own Device(BYOD).
e) Otros.
Requisitos.
– [mp.eq.4.1] Los dispositivos presentes en el sistema deberán contar con una configuración de seguridad adecuada de manera que se garantice el control del flujo definido de entrada y salida de la información.
– [mp.eq.4.2] Los dispositivos presentes en la red que dispongan de algún tipo de almacenamiento temporal o permanente de información proporcionarán la funcionalidad necesaria para eliminar información de soportes de información. (Ver [mp.si.5]).
Refuerzo R1-Productos certificados.
– [mp.eq.4.r1.1] Se usarán, cuando sea posible, productos o servicios que cumplan lo establecido en [op.pl.5].
Refuerzo R2-Control de dispositivos conectados a la red.
– [mp.eq.4.r2.1] Se dispondrá de soluciones que permitan visualizar los dispositivos presentes en la red, controlar su conexión/desconexión a la misma y verificar su configuración de seguridad.
Aplicación de la medida (por confidencialidad).
– Nivel BAJO: mp.eq.4.
– Nivel MEDIO: mp.eq.4 + R1.
– Nivel ALTO: mp.eq.4+ R1.
5.4 Protección de las comunicaciones [mp.com].
5.4.1 Perímetro seguro [mp.com.1].
Requisitos.
– [mp.com.1.1] Se dispondrá de un sistema de protección perimetral que separe la red interna del exterior. Todo el tráfico deberá atravesar dicho sistema.
– [mp.com.1.2] Todos los flujos de información a través del perímetro deben estar autorizados previamente.
La Instrucción Técnica de Seguridad de Interconexión de Sistemas de Información determinará los requisitos establecidos en el perímetro que han de cumplir todos los componentes del sistema en función de la categoría.
Aplicación de la medida.
– Categoría BÁSICA: mp.com.1.
– Categoría MEDIA: mp.com.1.
– Categoría ALTA: mp.com.1.
5.4.2 Protección de la confidencialidad [mp.com.2].
Requisitos.
– [mp.com.2.1] Se emplearán redes privadas virtuales cifradas cuando la comunicación discurra por redes fuera del propio dominio de seguridad.
Refuerzo R1-Algoritmos y parámetros autorizados.
– [mp.com.2.r1.1] Se emplearán algoritmos y parámetros autorizados por el CCN.
Refuerzo R2-Dispositivos hardware.
– [mp.com.2.r2.1] Se emplearán, dispositivos hardware en el establecimiento y utilización de la red privada virtual.
Refuerzo R3-Productos certificados.
– [mp.com.2.r3.1] Se usarán productos o servicios que cumplan lo establecido en [op.pl.5].
Refuerzo R4-Cifradores.
– [mp.com.2.r4.1] Se emplearán cifradores que cumplan con los requisitos establecidos en la guía CCN-STIC que sea de aplicación.
Refuerzo R5-Cifrado de información especialmente sensible.
– [mp.com.2.r5.1] Se cifrará toda la información transmitida.
Aplicación de la medida (por confidencialidad).
– Nivel BAJO: mp.com.2.
– Nivel MEDIO: mp.com.2 + R1.
– Nivel ALTO: mp.com.2 + R1 + R2+ R3.
5.4.3 Protección de la integridad y de la autenticidad [mp.com.3].
Requisitos.
– [mp.com.3.1] En comunicaciones con puntos exteriores al dominio propio de seguridad, se asegurará la autenticidad del otro extremo del canal de comunicación antes de intercambiar información. (Ver [op.acc.5]).
– [mp.com.3.2] Se prevendrán ataques activos garantizando que al ser detectados se activarán los procedimientos previstos de tratamiento del incidente. Se considerarán ataques activos:
a) La alteración de la información en tránsito.
b) La inyección de información espuria.
c) El secuestro de la sesión por una tercera parte.
– [mp.com.3.3] Se aceptará cualquier mecanismo de identificación y autenticación de los previstos en el ordenamiento jurídico y en la normativa de aplicación.
Refuerzo R1-Redes privadas virtuales.
– [mp.com.3.r1.1] Se emplearán redes privadas virtuales cifradas cuando la comunicación discurra por redes fuera del propio dominio de seguridad.
Refuerzo R2-Algoritmos y parámetros autorizados.
– [mp.com.3.r2.1] Se emplearán algoritmos y parámetros autorizados por el CCN.
Refuerzo R3-Dispositivos hardware.
– [mp.com.3.r3.1] Se recomienda emplear dispositivos hardware en el establecimiento y utilización de la red privada virtual.
Refuerzo R4-Productos certificados.
– [mp.com.3.r4.1] Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
Refuerzo R5-Cifradores.
– [mp.com.3.r5.1] Se emplearán cifradores que cumplan con los requisitos establecidos en la guía CCN-STIC que sea de aplicación.
Aplicación de la medida (por integridad y autenticidad).
– Nivel BAJO: mp.com.3.
– Nivel MEDIO: mp.com.3 + R1 + R2.
– Nivel ALTO: mp.com.3 + R1 + R2 + R3 + R4.
5.4.4 Separación de flujos de información en la red [mp.com.4].
La segmentación acota el acceso a la información y, consiguientemente, la propagación de los incidentes de seguridad, que quedan restringidos al entorno donde ocurren.
Cuando la transmisión de información por la red se restringe a ciertos segmentos, se acota el acceso a la información y los incidentes de seguridad quedan encapsulados en su segmento.
Requisitos.
Los flujos de información se separarán en segmentos de forma que:
– [mp.com.4.1] El tráfico por la red se segregará para que cada equipo solamente tenga acceso a la información que necesita.
– [mp.com.4.2] Si se emplean comunicaciones inalámbricas, será en un segmento separado.
Refuerzo R1-Segmentación lógica básica.
– [mp.com.4.r1.1] Los segmentos de red se implementarán por medio de redes de área local virtuales (Virtual Local Area Network, VLAN).
– [mp.com.4.r1.2] La red que conforma el sistema deberá segregarse en distintas subredes contemplando como mínimo:
• Usuarios.
• Servicios.
• Administración.
Refuerzo R2-Segmentación lógica avanzada.
– [mp.com.4.r2.1] Los segmentos de red se implementarán por medio de redes privadas virtuales (Virtual Private Network, VPN).
Refuerzo R3-Segmentación física.
– [mp.com.4.r3.1] Los segmentos de red se implementarán con medios físicos separados.
Refuerzo R4-Puntos de interconexión.
– [mp.com.4.r4.1] Control de entrada de los usuarios que llegan a cada segmento y control de entrada y salida de la información disponible en cada segmento.
– [mp.com.4.r4.2] El punto de interconexión estará particularmente asegurado, mantenido y monitorizado, (como en [mp.com.1]).
Aplicación de la medida.
– Categoría BÁSICA: no aplica.
– Categoría MEDIA: mp.com.4+ [R1o R2 o R3].
– Categoría ALTA: mp.com.4+[R2 o R3] + R4.
5.5 Protección de los soportes de información [mp.si].
5.5.1 Marcado de soportes [mp.si.1].
Requisitos.
– [mp.si.1.1] Los soportes de información (papel impreso, documentos electrónicos, contenidos multimedia -vídeos, cursos, presentaciones- etc.) que contengan información que según [mp.info.2] deba protegerse con medidas de seguridad específicas, llevarán las marcas o metadatos correspondientes que indiquen el nivel de seguridad de la información contenida de mayor calificación.
Refuerzo R1-Marca de agua digital.
– [mp.si.1.r1.1] La política de seguridad de la organización definirá marcas de agua para asegurar el uso adecuado de la información que se maneja.
– [mp.si.1.r1.2] Los soportes de información digital (documentos electrónicos, material multimedia, etc.) podrán incluir una marca de agua según la política de seguridad.
– [mp.si.1.r1.3] Los equipos o dispositivos a través de los que se accede a aplicaciones, escritorios remotos o virtuales, datos, etc., presentarán una marca de agua en pantalla según la política de seguridad.
Aplicación de la medida (por confidencialidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: mp.si.1.
– Nivel ALTO: mp.si.1.
5.5.2 Criptografía [mp.si.2].
Esta medida se aplica, en particular, a todos los dispositivos removibles cuando salen de un área controlada. Se entenderán por dispositivos removibles, los CD, DVD, discos extraíbles,pendrives, memorias USB u otros de naturaleza análoga.
Requisitos.
– [mp.si.2.1] Se usarán mecanismos criptográficos que garanticen la confidencialidad y la integridad de la información contenida.
– [mp.si.2.2] Se emplearán algoritmos y parámetros autorizados por el CCN.
Refuerzo R1– Productos certificados.
– [mp.si.2.r1.1] Se emplearán productos certificados conforme a lo establecido en [op.pl.5].
Refuerzo R2-Copias de seguridad.
– [mp.si.2.r2.1] Las copias se seguridad se cifrarán utilizando algoritmos y parámetros autorizados por el CCN.
Aplicación de la medida (por confidencialidad e integridad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: mp.si.2.
– Nivel ALTO: mp.si.2 + R1 + R2.
5.5.3 Custodia [mp.si.3].
Requisitos.
– [mp.si.3.1] Se aplicará la debida diligencia y control a los soportes de información que permanecen bajo la responsabilidad de la organización, garantizando el control de acceso con medidas físicas ([mp.if.1] y [mp.if.7]) o lógicas ([mp.si.2]).
– [mp.si.3.2] Se respetarán las exigencias de mantenimiento del fabricante, en especial, en lo referente a temperatura, humedad y otros agentes medioambientales.
Aplicación de la medida.
– Categoría BÁSICA: mp.si.3.
– Categoría MEDIA: mp.si.3.
– Categoría ALTA: mp.si.3.
5.5.4 Transporte [mp.si.4].
El responsable del sistema garantizará que los dispositivos permanecen bajo control y que satisfacen sus requisitos de seguridad mientras están siendo desplazados de un lugar a otro, fuera de las zonas controladas por la organización.
Requisitos.
– [mp.si.4.1] Se dispondrá de un registro de entrada/salida que identifique al transportista que entrega/recibe el soporte.
– [mp.si.4.2] Se dispondrá de un procedimiento rutinario que coteje las salidas con las llegadas y levante las alarmas pertinentes cuando se detecte algún incidente.
– [mp.si.4.3] Se utilizarán los medios de protección criptográfica ([mp.si.2]) correspondientes al mayor nivel de seguridad de la información contenida.
– [mp.si.4.4] Se gestionarán las claves según [op.exp.10].
Aplicación de la medida.
– Categoría BÁSICA: mp.si.4.
– Categoría MEDIA: mp.si.4.
– Categoría ALTA: mp.si.4.
5.5.5 Borrado y destrucción [mp.si.5].
La medida de borrado y destrucción de soportes de información se aplicará a todo tipo de equipos y soportes susceptibles de almacenar información, incluyendo medios electrónicos y no electrónicos.
Requisitos.
– [mp.si.5.1] Los soportes que vayan a ser reutilizados para otra información o liberados a otra organización serán objeto del borrado seguro de su contenido que no permita su recuperación. Cuando la naturaleza del soporte no permita un borrado seguro, el soporte no podrá ser reutilizado en ningún otro sistema.
Las guías CCN-STIC del CCN precisarán los criterios para definir como seguro un mecanismo de borrado o de destrucción, en función de la sensibilidad de la información almacenada en el dispositivo.
Refuerzo R1-Productos certificados.
– [mp.si.5.r1.1] Se usarán productos o servicios que cumplan lo establecido en [op.pl.5].
Refuerzo R2 - Destrucción de soportes.
– [mp.si.5.r2.1] Una vez finalizado el ciclo de vida del soporte de información, deberá ser destruido de forma segura conforme a los criterios establecidos por el CCN.
Aplicación de la medida (por confidencialidad).
– Nivel BAJO: mp.si.5.
– Nivel MEDIO: mp.si.5 + R1.
– Nivel ALTO: mp.si.5 + R1.
5.6 Protección de las aplicaciones informáticas [mp.sw].
5.6.1 Desarrollo de aplicaciones [mp.sw.1].
Requisitos.
– [mp.sw.1.1] El desarrollo de aplicaciones se realizará sobre un sistema diferente y separado del de producción, no debiendo existir herramientas o datos de desarrollo en el entorno de producción, ni datos de producción en el de desarrollo.
Refuerzo R1-Mínimo privilegio.
– [mp.sw.1.r1.1] Las aplicaciones se desarrollarán respetando el principio de mínimo privilegio, accediendo únicamente a los recursos imprescindibles para su función, y con los privilegios que sean indispensables.
Refuerzo R2-Metodología de desarrollo seguro.
– [mp.sw.1.r2.1] Se aplicará una metodología de desarrollo seguro reconocida que:
a) Tendrá en consideración los aspectos de seguridad a lo largo de todo el ciclo de vida.
b) Incluirá normas de programación segura, especialmente: control de asignación y liberación de memoria, desbordamiento de memoria (overflow).
c) Tratará específicamente los datos usados en pruebas.
d) Permitirá la inspección del código fuente.
Refuerzo R3-Seguridad desde el diseño.
– [mp.sw.1.r3.1] Los siguientes elementos serán parte integral del diseño del sistema:
a) Los mecanismos de identificación y autenticación.
b) Los mecanismos de protección de la información tratada.
c) La generación y tratamiento de pistas de auditoría.
Refuerzo R4-Datos de pruebas.
– [mp.sw.1.r4.1] Preferiblemente, las pruebas previas a la implantación o modificación de los sistemas de información no se realizarán con datos reales. En caso de que fuese necesario recurrir a datos reales se garantizará el nivel de seguridad correspondiente.
Refuerzo R5-Lista de componentes software.
– [mp.sw.1.r5.1] El desarrollador elaborará y mantendrá actualizada una relación formal de los componentes software de terceros empleados en la aplicación o producto. Se mantendrá un histórico de los componentes utilizados en las diferentes versiones del software. El contenido mínimo de la lista de componentes, que contendrá, al menos, la identificación del componente, el fabricante y la versión empleada, se concretará en una guía CCN-STIC del CCN.
Aplicación de la medida.
– Categoría BÁSICA: no aplica.
– Categoría MEDIA: mp.sw.1 + R1 + R2 + R3 + R4.
– Categoría ALTA: mp.sw.1 + R1 + R2 + R3 + R4.
5.6.2 Aceptación y puesta en servicio [mp.sw.2].
Requisitos.
Antes de pasar a producción se comprobará el correcto funcionamiento de la aplicación.
– [mp.sw.2.1] Se comprobará que:
a) Se cumplen los criterios de aceptación en materia de seguridad.
b) No se deteriora la seguridad de otros componentes del servicio.
Refuerzo R1- Pruebas.
– [mp.sw.2.r1.1] Las pruebas se realizarán en un entorno aislado (pre-producción).
Refuerzo R2-Inspección de código fuente.
– [mp.sw.2.r2.1] Se realizará una auditoría de código fuente.
Aplicación de la medida.
– Categoría BÁSICA: mp.sw.2.
– Categoría MEDIA: mp.sw.2 + R1.
– Categoría ALTA: mp.sw.2 + R1.
5.7 Protección de la información [mp.info].
5.7.1 Datos personales [mp.info.1].
Requisitos.
– [mp.info.1.1] Cuando el sistema trate datos personales, el responsable de seguridad recogerá los requisitos de protección de datos que sean fijados por el responsable o por el encargado del tratamiento, contando con el asesoramiento del DPD, y que sean necesarios implementar en los sistemas de acuerdo a la naturaleza, alcance, contexto y fines del mismo, así como de los riesgos para los derechos y libertades de acuerdo a lo establecido en los artículos 24 y 32 del RGPD, y de acuerdo a la evaluación de impacto en la protección de datos, si se ha llevado a cabo.
Aplicación de la medida.
– Categoría BÁSICA: mp.info.1.
– Categoría MEDIA: mp.info.1.
– Categoría ALTA: mp.info.1.
5.7.2 Calificación de la información [mp.info.2].
Requisitos.
– [mp.info.2.1] Para calificar la información se estará a lo establecido legalmente por las leyes y tratados internacionales de los que España es miembro y su normativa de aplicación cuando se trate de materias clasificadas. El valor a emplear en el caso de información de materias no clasificadas sería USO OFICIAL para información con algún tipo de restricción en su manejo por su sensibilidad y confidencialidad.
– [mp.info.2.2] La política de seguridad establecerá quién es el responsable de cada información manejada por el sistema.
– [mp.info.2.3] La política de seguridad recogerá, directa o indirectamente, los criterios que, en cada organización, determinarán el nivel de seguridad requerido, dentro del marco establecido en el artículo 40 y los criterios generales señalados en el anexo I.
– [mp.info.2.4] El responsable de cada información seguirá los criterios determinados en el apartado anterior para asignar a cada información el nivel de seguridad requerido, y será responsable de su documentación y aprobación formal.
– [mp.info.2.5] El responsable de cada información en cada momento tendrá en exclusiva la potestad de modificar el nivel de seguridad requerido, de acuerdo a los apartados anteriores.
Aplicación de la medida (por confidencialidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: mp.info.2.
– Nivel ALTO: mp.info.2.
5.7.3 Firma electrónica [mp.info.3].
Requisitos.
– [mp.info.3.1] Se empleará cualquier tipo de firma electrónica de los previstos en el vigente ordenamiento jurídico, entre ellos, los sistemas de código seguro de verificación vinculados a la Administración Pública, órgano, organismo público o entidad de derecho público, en los términos y condiciones establecidos en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y en la Ley 40/2015, de 1 de octubre.
Refuerzo R1-Certificados cualificados.
– [mp.info.3.r1.1] Cuando se empleen sistemas de firma electrónica avanzada basados en certificados, estos serán cualificados.
Refuerzo R2-Algoritmos y parámetros autorizados.
– [mp.info.3.r2.1] Se emplearán algoritmos y parámetros autorizados por el CCN o por un esquema nacional o europeo que resulte de aplicación.
El CCN determinará los algoritmos criptográficos que hayan sido autorizados nominalmente para su uso en el Esquema Nacional de Seguridad conforme a la Instrucción Técnica de Seguridad Criptología de empleo en el ENS.
Refuerzo R3-Verificación y validación de firma.
– [mp.info.3.r3.1] Cuando proceda, se garantizará la verificación y validación de la firma electrónica durante el tiempo requerido por la actividad administrativa que aquélla soporte, sin perjuicio de que se pueda ampliar este período de acuerdo con lo que establezca la Política de Firma Electrónica y de Certificados que sea de aplicación. Para tal fin se adjuntará a la firma, o se referenciará, toda la información pertinente para su verificación y validación, incluyendo certificados o datos de verificación y validación.
Refuerzo R4-Firma electrónica avanzada basada en certificados cualificados.
– [mp.info.3.r4.1] Se usará firma electrónica avanzada basada en certificados cualificados complementada por un segundo factor del tipo «algo que se sabe» o «algo que se es».
Refuerzo R5-Firma electrónica cualificada.
– [mp.info.3.r5.1] Se usará firma electrónica cualificada, empleando productos certificados conforme a lo establecido en [op.pl.5].
Aplicación de la medida (por integridad y autenticidad).
– Nivel BAJO: mp.info.3.
– Nivel MEDIO: mp.info.3 + R1 + R2 + R3.
– Nivel ALTO: mp.info.3 + R1 + R2 + R3 + R4.
5.7.4 Sellos de tiempo [mp.info.4].
Requisitos.
La utilización de sellos de tiempo exigirá adoptar las siguientes cautelas:
– [mp.info.4.1] Los sellos de tiempo se aplicarán a aquella información que sea susceptible de ser utilizada como evidencia electrónica en el futuro.
– [mp.info.4.2] Los datos pertinentes para la verificación posterior de la fecha serán tratados con la misma seguridad que la información fechada a efectos de disponibilidad, integridad y confidencialidad.
– [mp.info.4.3] Se renovarán regularmente los sellos de tiempo hasta que la información protegida ya no sea requerida por el proceso administrativo al que da soporte, en su caso.
– [mp.info.4.4] Se emplearán "sellos cualificados de tiempo electrónicos" atendiendo a lo dispuesto en el Reglamento (UE) n.º 910/2014 y normativa de desarrollo.
Refuerzo R1-Productos certificados.
– [mp.info.4.r1.1.] Se utilizarán productos certificados según [op.pl.5].
– [mp.info.4.r1.2] Se asignará una fecha y hora a un documento electrónico, conforme a lo establecido en la guía CCN-STIC Criptología de empleo en el ENS.
Aplicación de la medida (por trazabilidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: no aplica.
– Nivel ALTO: mp.info.4.
5.7.5 Limpieza de documentos [mp.info.5].
Requisitos.
– [mp.info.5.1] En el proceso de limpieza de documentos, se retirará de estos toda la información adicional contenida en campos ocultos, metadatos, comentarios o revisiones anteriores, salvo cuando dicha información sea pertinente para el receptor del documento.
Esta medida es especialmente relevante cuando el documento se difunde ampliamente, como ocurre cuando se ofrece al público en un servidor web u otro tipo de repositorio de información.
Aplicación de la medida (por confidencialidad).
– Nivel BAJO: mp.info.5.
– Nivel MEDIO: mp.info.5.
– Nivel ALTO: mp.info.5.
5.7.6 Copias de seguridad [mp.info.6].
Requisitos.
– [mp.info.6.1] Se realizarán copias de seguridad que permitan recuperar datos perdidos, accidental o intencionadamente. La periodicidad y los plazos de retención de estas copias de seguridad se determinarán en la normativa interna de la organización relativa a copias de seguridad.
– [mp.info.6.2] Los procedimientos de respaldo establecidos indicarán:
a) Frecuencia de las copias.
b) Requisitos de almacenamiento en el propio lugar.
c) Requisitos de almacenamiento en otros lugares.
d) Controles para el acceso autorizado a las copias de respaldo.
Refuerzo R1-Pruebas de recuperación.
– [mp.info.6.r1.1] Los procedimientos de copia de seguridad y restauración deben probarse regularmente. Su frecuencia dependerá de la criticidad de los datos y del impacto que cause la falta de disponibilidad.
Refuerzo R2-Protección de las copias de seguridad.
– [mp.info.6.r2.1] Al menos, una de las copias de seguridad se almacenará de forma separada en lugar diferente, de tal manera que un incidente no pueda afectar tanto al repositorio original como a la copia simultáneamente.
– Nivel BAJO: mp.info.6.
– Nivel MEDIO: mp.info.6+ R1.
– Nivel ALTO: mp.info.6+ R1 + R2.
5.8 Protección de los servicios [mp.s].
5.8.1 Protección del correo electrónico [mp.s.1].
Requisitos.
El correo electrónico se protegerá frente a las amenazas que le son propias, actuando del siguiente modo:
– [mp.s.1.1] La información distribuida por medio de correo electrónico se protegerá, tanto en el cuerpo de los mensajes como en los anexos.
– [mp.s.1.2] Se protegerá la información de encaminamiento de mensajes y establecimiento de conexiones.
Se protegerá a la organización frente a problemas que se materializan por medio del correo electrónico, en concreto:
– [mp.s.1.3] Correo no solicitado, en su expresión inglesa «spam».
– [mp.s.1.4] Código dañino, constituidos por virus, gusanos, troyanos, espías, u otros de naturaleza análoga.
– [mp.s.1.5] Código móvil de tipo micro-aplicación, en su expresión inglesa «applet».
Se establecerán normas de uso del correo electrónico para el personal. (Ver [org.2]). Estas normas de uso contendrán:
– [mp.s.1.6] Limitaciones al uso como soporte de comunicaciones privadas.
– [mp.s.1.7] Actividades de concienciación y formación relativas al uso del correo electrónico.
Aplicación de la medida.
– Categoría BÁSICA: mp.s.1.
– Categoría MEDIA: mp.s.1.
– Categoría ALTA: mp.s.1.
5.8.2 Protección de servicios y aplicaciones web [mp.s.2].
Requisitos.
Los sistemas que prestan servicioswebdeberán ser protegidos frente a las siguientes amenazas:
– [mp.s.2.1] Cuando la información requiera control de acceso se garantizará la imposibilidad de acceder a la información obviando la autenticación, en particular, tomando medidas en los siguientes aspectos:
a) Se evitará que el servidor ofrezca acceso a los documentos por vías alternativas al protocolo determinado.
b) Se prevendrán ataques de manipulación del localizador uniforme de recursos (Uniform Resource Locator, URL).
c) Se prevendrán ataques de manipulación de fragmentos de información que se almacena en el disco duro del visitante de una página web a través de su navegador, a petición del servidor de la página, conocido en terminología inglesa comocookies.
d) Se prevendrán ataques de inyección de código.
– [mp.s.2.2] Se prevendrán intentos de escalado de privilegios.
– [mp.s.2.3] Se prevendrán ataquesde cross site scripting.
Refuerzo R1-Auditorías de seguridad.
– [mp.s.2.r1.1] Se realizarán auditorías continuas de seguridad de «caja negra» sobre las aplicaciones web durante la fase de desarrollo y antes de la fase de producción.
– [mp.s.2.r1.2] La frecuencia de estas auditorías de seguridad quedará definida en el procedimiento de auditoría.
Refuerzo R2-Auditorías de seguridad avanzada.
– [mp.s.2.r2.1] Se realizarán auditorías de seguridad de «caja blanca» sobre las aplicaciones web durante la fase de desarrollo.
– [mp.s.2.r2.2] Se emplearán metodologías definidas y herramientas automáticas de detección de vulnerabilidades en la realización de las auditorías de seguridad sobre las aplicaciones web.
– [mp.s.2.r2.3] Una vez finalizada una auditoría de seguridad, se analizarán los resultados y se solventarán las vulnerabilidades encontradas mediante los procedimientos definidos [op.exp.5].
Refuerzo R3-Protección de las cachés.
– [mp.s.2.r3.1] Se prevendrán ataques de manipulación de programas o dispositivos que realizan una acción en representación de otros, conocidos en terminología inglesa como "proxies" y, sistemas especiales de almacenamiento de alta velocidad, conocidos en terminología inglesa como "cachés".
Aplicación de la medida.
– Categoría BÁSICA: mp.s.2 + [R1 o R2].
– Categoría MEDIA: mp.s.2 + [R1 o R2].
– Categoría ALTA: mp.s.2 + R2 + R3.
5.8.3 Protección de la navegación web [mp.s.3].
Requisitos.
El acceso de los usuarios internos a la navegación por internet se protegerá frente a las amenazas que le son propias, actuando del siguiente modo:
– [mp.s.3.1] Se establecerá una normativa de utilización, definiendo el uso que se autoriza y las limitaciones de uso personal. En particular, se concretará el uso permitido de conexiones cifradas.
– [mp.s.3.2] Se llevarán a cabo regularmente actividades de concienciación sobre higiene en la navegación web, fomentando el uso seguro y alertando de usos incorrectos.
– [mp.s.3.3] Se formará al personal encargado de la administración del sistema en monitorización del servicio y respuesta a incidentes.
– [mp.s.3.4] Se protegerá la información de resolución de direcciones web y de establecimiento de conexiones.
– [mp.s.3.5] Se protegerá a la organización en general y al puesto de trabajo en particular frente a problemas que se materializan vía navegación web.
– [mp.s.3.6] Se protegerá contra la actuación de programas dañinos tales como páginas activas, descargas de código ejecutable, etc., previniendo la exposición del sistema a vectores de ataque del tipospyware,ransomware, etc.
– [mp.s.3.7] Se establecerá una política ejecutiva de control de cookies, en particular, para evitar la contaminación entre uso personal y uso organizativo.
Refuerzo R1 - Monitorización.
– [mp.s.3.r1.1] Se registrará el uso de la navegación web, estableciendo los elementos que se registran, el periodo de retención de estos registros y el uso que el organismo prevé hacer de ellos.
– [mp.s.3.r1.2] Se establecerá una función para la ruptura de canales cifrados a fin de inspeccionar su contenido, indicando qué se analiza, qué se registra, durante cuánto tiempo se retienen los registros y qué uso prevé hacer el organismo de estas inspecciones. Todo ello sin perjuicio de que se puedan autorizar accesos cifrados singulares a destinos de confianza.
– [mp.s.3.r1.3] Se establecerá una lista negra de destinos vetados.
Refuerzo R2-Destinos autorizados.
– [mp.s.3.r2.1] Se establecerá una lista blanca de destinos accesibles. Todo acceso fuera de los lugares señalados en la lista blanca estará vetado, salvo autorización singular expresa.
Aplicación de la medida.
– Categoría BÁSICA: mp.s.3.
– Categoría MEDIA: mp.s.3.
– Categoría ALTA: mp.s.3 + R1.
5.8.4 Protección frente a la denegación de servicio [mp.s.4].
Requisitos.
Se establecerán medidas preventivas frente a ataques de denegación de servicio y denegación de servicio distribuido (Denial of Service, DoS y Distributed Denial of Service, DDoS). Para ello:
– [mp.s 4.1] Se planificará y dotará al sistema de capacidad suficiente para atender con holgura a la carga prevista.
– [mp.s.4.2] Se desplegarán tecnologías para prevenir los ataques conocidos.
Refuerzo R1-Detección y reacción.
– [mp.s.4.r1.1] Se establecerá un sistema de detección y tratamiento de ataques de denegación de servicio (DoS y DDoS).
– [mp.s. 4.r1.2] Se establecerán procedimientos de reacción a los ataques, incluyendo la comunicación con el proveedor de comunicaciones.
Refuerzo R2-Ataques propios.
– [mp.s.4.r2.1] Se detectará y se evitará el lanzamiento de ataques desde las propias instalaciones perjudicando a terceros.
Aplicación de la medida (por disponibilidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: mp.s.4.
– Nivel ALTO: mp.s.4+ R1.
Es habitual el empleo de niveles de madurez para caracterizar la implementación de un proceso. El modelo de madurez de capacidad (Capability Maturity Model, CMM)permite describir las características que hacen un proceso efectivo, midiendo el grado o nivel de profesionalización de la actividad.
Un proceso es una colección de actividades o tareas relacionadas y estructuradas que, en una secuencia específica, proporciona un servicio para la organización.
Para la valoración de la implantación de las medidas de seguridad, estás se analizarán como procesos y se estimará su nivel de madurez usando el modelo de madurez de capacidad (CMM).
Se identifican cinco "niveles de madurez", de modo que una organización que tenga institucionalizadas todas las prácticas incluidas en un nivel y sus inferiores, se considera que ha alcanzado ese nivel de madurez:
a) L0-Inexistente.
No existe un proceso que soporte el servicio requerido.
b) L1 - Inicial. Ad hoc.
Las organizaciones en este nivel no disponen de un ambiente estable para la prestación del servicio requerido. Aunque se utilicen técnicas correctas de ingeniería, los esfuerzos se ven minados por falta de planificación. El éxito de los proyectos se basa la mayoría de las veces en el esfuerzo personal, aunque a menudo se producen fracasos y casi siempre retrasos y sobrecostes. El resultado es impredecible. A menudo las soluciones se implementan de forma reactiva a los incidentes.
Los procedimientos de trabajo, cuando existen, son informales, incompletos y no se aplican de forma sistemática.
c) L2-Reproducible, pero intuitivo.
En este nivel las organizaciones disponen de unas prácticas institucionalizadas de gestión, existen unas métricas básicas y un razonable seguimiento de la calidad.
Existen procedimientos de trabajo, pero no están suficientemente documentados o no cubren todos los aspectos requeridos.
d) L3-Proceso definido.
Además de una buena gestión, a este nivel las organizaciones disponen de normativa y procedimientos detallados y documentados de coordinación entre grupos, formación del personal, técnicas de ingeniería, etc.
e) L4-Gestionado y medible.
Se caracteriza porque las organizaciones disponen de un conjunto de métricas de efectividad y eficiencia, que se usan de modo sistemático para la toma de decisiones y la gestión de riesgos. El servicio resultante es de alta calidad.
f) L5 - Optimizado.
La organización completa está volcada en la mejora continua de los procesos. Se hace uso intensivo de las métricas y se gestiona el proceso de innovación.
Para cada medida de seguridad que sea de aplicación al sistema de información se exigirá un determinado nivel de madurez. Los niveles mínimos de madurez requeridos por el ENS en función de la categoría del sistema son:
Las medidas de seguridad se desarrollarán y complementarán según lo establecido en la disposición final segunda.
La interpretación de este anexo se realizará según el sentido propio de sus palabras, en relación con el contexto, antecedentes históricos y legislativos, entre los que figura lo dispuesto en las instrucciones técnicas de seguridad y en las guías CCN-STIC que sean