Source: http://docplayer.es/12415625-Leopoldo-simo-ruescas-sbdi-subdirector-general-ladjunto-de-if-infraestructuras-y-sistemas.html
Timestamp: 2020-03-28 18:05:15+00:00

Document:
Leopoldo Simó Ruescas Sbdi Subdirector General ladjunto de If Infraestructuras y Sistemas - PDF Descargar libre
Download "Leopoldo Simó Ruescas Sbdi Subdirector General ladjunto de If Infraestructuras y Sistemas"
Aurora Quiroga Cáceres
1 Cumplimiento de requisitos legales Ministerio de Trabajo e Inmigración Subdirección General de Proceso de Datos Leopoldo Simó Ruescas Sbdi Subdirector General ladjunto de If Infraestructuras y Sistemas marzo 2011
2 debe garantizar El Plan de Seguridad Informática La Disponibilidad de los sistemas de información La Recuperación de los sistemas de información La Trazabilidad de los sistemas de información La Autenticidad de la información La Integridad de la Información El Acceso a la información La Confidencialidad i d de la información ió La Conservación de la información
3 El Plan de Seguridad Informática (II) y debe respetar La Legalidad d vigente Cumplimiento de requisitos legales
4 Cumplimiento de requisitos legales Principales normas legislativas a considerar Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios Públicos. Real Decreto 1671/2009, de 6 de noviembre, por el que se desarrolla parcialmente la Ley 11/2007. Orden PRE/2740/2007, de 19 de septiembre, por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información. Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la Administración Electrónica.
5 Cumplimiento de requisitos legales Otras normas legislativas a considerar Real Decreto 366/2007, de 16 de marzo, por el que se establecen las condiciones de accesibilidad y no discriminación de las personas con discapacidad en sus relaciones con la Administración General del Estado. Real Decreto 1494/2007, de 12 de noviembre, por el que se aprueba el Reglamento sobre las condiciones básicas para el acceso de las personas con discapacidad a las tecnologías, productos y servicios relacionados con la sociedad de la información y medios de comunicación social. Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Ley 24/2001, de 27 de diciembre, de Medidas Fiscales, Administrativas y del Orden Social. Ley 30/2007, de 30 de octubre, de Contratos del Sector Público
6 Cumplimiento de requisitos legales ISO (COMMON CRITERIA) ISO ISO y las normas ISO? La serie y principalmente Certificación Especificación de SGSI Buenas prácticas No son de obligado cumplimiento, salvo que así lo especifique una norma legislativa
7 Cumplimiento de requisitos legales Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) R.D. 1720/2007 por el que se aprueba el Reglamento de desarrollo de la LOPD Ámbito de aplicación: Todo tratamiento automatizado o no automatizado Consentimiento del afectado: Problema con la administración electrónica Principios de calidad de datos: Exactitud de los datos (Integridad) Las medidas de seguridad (B/M/A): Ralentizan procesos (Cifrado) Cesiones en soporte magnético o telecomunicaciones: Autorizadas Encargado del tratamiento: Prestación de Servicios (ojo subcontratación) Derechos ARCO: Choca con procedimientos administrativos. Transferencia Internacional de datos: Algunas no son territorio i español. Documento de Seguridad: Problemas de gestión y mantenimiento Ficheros no automatizados: Derechos ARCO Problema en archivos
8 Cumplimiento de requisitos legales Ley 32/2003 General de Telecomunicaciones Ley 25/2007 de conservación de datos relativos a las comunicaciones i electrónicas y a las redes públicas de comunicaciones Objeto: regulación de las telecomunicaciones i TÍTULO III. CAPÍTULO III. Secreto de las comunicaciones y protección de los datos personales y derechos y obligaciones de carácter público vinculados con las redes y servicios de comunicaciones electrónicas Objeto: regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación Establece la obligación de adoptar una serie de medidas de seguridad apropiadas y específicas para garantizar la confidencialidad e integridad de los datos retenidos, y exige que estos sean tratados conforme a la legislación en materia de protección de datos de carácter personal
9 Cumplimiento de requisitos legales Ley 11/2007 de acceso electrónico de los ciudadanos a los Servicios Públicos R.D. 1671/2009 por el que se desarrolla parcialmente la Ley 11/2007. Objeto: reconocer el derecho de los ciudadanos a comunicarse electrónicamente con la Administración Plantea la necesidad de definir claramente la Sede Electrónica con la que se establecen las relaciones, promoviendo un régimen de identificación, autenticación, ti ió protección jurídica, accesibilidad, d disponibilidadibilid d y responsabilidad. Reconoce el derecho de los ciudadanos a no aportar datos y documentos que obren en poder de las AA.PP. Establece Pi Principioi i de igualdad: d no implique una discriminacióni i ió Principio de accesibilidad: a la información y a los servicios Principio de proporcionalidad: p medidas de seguridad adecuadas a la naturaleza y circunstancias de los distintos trámites y actuaciones
10 Cumplimiento de requisitos legales Orden PRE/2740/2007 por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información. Motivo: La utilización de las Tecnologías de la Información en proyectos de desarrollo de la sociedad de la información imponen la necesidad de garantizar un nivel de seguridad equiparable, como mínimo, al conseguido en el tratamiento tradicional de la información en soporte papel. Articulación del Organismo de Certificación (OC) del Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información (ENECSTI) Laboratorios de Certificación Certificación ió de productos y sistemas
11 Cumplimiento de requisitos legales R.D. Decreto 3/2010 por el que se regula el Esquema Nacional de Seguridad Origen: Artículo 42 de la Ley 11/2007 Ámbito ( art. 3): AGE, A. CC.AA. y Entidades de A.L. (art. 3 del R.D. y 2 de la Ley 11/2007) Plazos (disposición transitoria) Plan de Adecuación: 29 enero 2011 Ejecución de las medidas (declaración de conformidad): 29 enero 2014 Modelo de cláusula administrativa particular (anexo V). Referencia de certificación
12 Esquema Nacional de Seguridad Medidas de seguridad (75 medidas recogidas en el anexo II) Marco organizativo [org] (4 medidas). Relacionadas con la organización global de la seguridad: Política de Seguridad, Normativa de Seguridad, Procedimientos de Seguridad y Proceso de Autorización Marco operacional [op] (31 medidas). Proteger la operación del sistema: Planificación, Control de Acceso, Explotación, Servicios Externos, Continuidad del Servicio y Monitorización del Sistema. Medidas de protección [mp] (40 medidas). Proteger activos, según sus naturaleza y en función de dimensión afectada (disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad: Instalaciones, Personal, Equipos, Servicios, Comunicaciones, Información,
13 Esquema Nacional de Seguridad qué tenemos que proteger? ACTIVOS servicios i información ió Los que se prestan a los ciudadanos o a otras administraciones. Excluyendo servicios internos o auxiliares tales como correo electrónico, ficheros en red, servicios de directorio, de impresión, etc. La información que es relevante para el proceso administrativo y puede ser tratada en algún servicio (ley 11/2007) No se valorarán datos auxiliares
14 Esquema Nacional de Seguridad Comité de Seguridad Artículo 11. Requisitos mínimos de seguridad Todos los órganos superiores de las Administraciones públicas deberán disponer formalmente de su política de seguridad, que será aprobada por el órgano superior correspondiente. Marco Organizativo (Anexo II. Medidas de seguridad) Política de seguridad [org.1]: Será aprobada por el órgano superior competente. Debe precisar la estructura del comité o los comités para la gestión y coordinación de la seguridad Comité de Seguridad
15 Esquema Nacional de Seguridad Comité de Seguridad. Funciones (Guía CCN-STIC 801) Atender a las inquietudes de la alta dirección e informarles del estado Marcar las directrices de Seguridad Física y Lógicas Aprobar y revisar una vez al año las Políticas de Seguridad Aprobar y revisar anualmente el Plan Contingencia. Verificar que se cumpla la legislación en materia de seguridad Aprobar el Plan Anual de Auditorias a realizar Definir los sistemas criptográficos a ser empleados Determinar la política en el ámbito de las comunicaciones i Aprobar el Plan de Adecuación y vigilar por su cumplimiento Realizar las Declaraciones de Aplicabilidad y Conformidad Promover mejoras continuas del sistema de gestión de la seguridad Coordinar a las diferentes Unidades en materia de seguridad Priorizar actuaciones en materia de seguridad
16 Esquema Nacional de Seguridad Responsable de la Información: Determina los requisitos de la información en materia de seguridad. Responsable del Servicio: i Determina los requisitos it del servicio i en materia de seguridad. Responsable de la Seguridad: Se encarga de aplicar las medidas de seguridad establecidas por los responsables (información y servicios). Responsable del Sistema: Responsable de que los servicios se presten. Responsable del Fichero: adoptar las medidas de seguridad necesarias descritas en el RD 1720/ (LOPD), en función del nivel de clasificación de la misma.
17 Esquema Nacional de Seguridad Creación del Comité de Seguridad Ley 6/1997.Organización y Funcionamiento de la AGE Art.40. Creación, modificación y supresión de órganos Colegiados. 3. En todos los supuestos no comprendidos en el apartado 1 de este artículo (1), los órganos colegiados tendrán el carácter de grupos o comisiones de trabajo y podrán ser creados por Acuerdo del Consejo de Ministros o por los Ministerios interesados. Sus acuerdos no podrán tener transcendencia jurídica directa frente a terceros. (1) Competencias decisorias, competencias de propuesta o emisión de informes preceptivos, p competencias de control de las actuaciones de otros órganos de la AGE
18 Esquema Nacional de Seguridad Auditoría de la Seguridad (anexo III) Auditoría regular ordinaria, al menos cada dos años Auditoría extraordinaria cuando se produzcan modificaciones sustanciales Sistemas de categoría BÁSICA: Autoevaluación Sistemas de categoría MEDIA o ALTA: Criterios y metodología generalmente reconocidos y normalización nacional e internacional aplicable
19 Esquema Nacional de Seguridad Resumen del Proyecto de adaptación al ENS en el Ministerio de Trabajo e Inmigración
20 Adaptación al ENS en el MTIN Base: El propio R.D. del Esquema Nacional de Seguridad Guías Serie 800 del CCN-STIC: 801 a 809 Intercambio de experiencias con otras entidades Asistencia a seminarios, conferencias, sesiones con empresas, etc.
21 Adaptación al ENS en el MTIN Fases del Proyecto Trabajos Previos y Determinación del Alcance Identificación y Clasificación de Activos Categorización de los activos: Alto, Medio, Básico Auditoría de Cumplimiento i del ENS Análisis y Valoración de Resultados Determinación de las Medidas de Mejora Plan de Adecuación: General, Transversal y Detallado Presentación de Resultados Aplicación
22 Adaptación al ENS en el MTIN Auditoría de Cumplimiento. Análisis de Resultados Estadísticas Medidas de Mejora Checklist: Información Servicio Alto Medio Valoración Medidas Planificación y a de la Análisis Adoptar implantación Bajo Plan de Adecuación
23 Adaptación al ENS en el MTIN Auditoría de Cumplimiento. Análisis de Resultados
24 Adaptación al ENS en el MTIN Auditoría de Cumplimiento. Análisis de resultados Analizamos el caso del nivel alto, y consideramos el % de trabajo que requiere cada una de las medidas, valorado en jornadas de trabajo:
25 Adaptación al ENS en el MTIN Auditoría de Cumplimiento. Análisis de Resultados Común para todos los activos
26 Adaptación al ENS en el MTIN Auditoría de Cumplimiento. Tipología de las Medidas Transversales: Afectan a todos los sistemas y/o subsistemas donde residen los activos, su ejecución produce una mejora en todos ellos. Particulares o Detalle: Afectan al sistema y/o subsistema donde reside el activo, su ejecución produce una mejora en el activo solamente. Afectan a la información: ió De aplicación en Sistemas y Subsistemas de Información Afectan al servicio: De aplicación en los Servicios que se presta Afectan al servicio e información
27 Adaptación al ENS en el MTIN Auditoría de Cumplimiento. Medidas de Mejora Determinación de las medidas a adoptar, tanto para Información como para servicios, en cada nivel de seguridad: alto, medio y básico. Clasificación de las medidas en función de su aplicación: SGA de Desarrollo o SGA de Infraestructuras y Sistemas Cuantificación del Riesgo Cubierto en Alto, Medio o Bajo, en la aplicación de cada medida. Cuantificación de la Dificultad de Implantación de la medida en Alta, Media o Baja, en función de los recursos a tener que emplear. Cuantificación del tiempo de implantación de la medida, en el caso que fuera necesaria su implantación al 100%.
28 Adaptación al ENS en el MTIN Plan de Adecuación Estructuración Plan de Adecuación Plan de Adecuación Plan de Adecuación Detallado Área de Detallado Área de Detallado Área de Conocimiento 1 Conocimiento 2 Conocimiento 3 Plan de Adecuación Transversal Plan de Adecuación General Con ntrol Imp plantación n
29 Adaptación al ENS en el MTIN Plan de Adecuación. Planificación de detalle
30 Adaptación al ENS en el MTIN Plan de Adecuación. Planificación Marco Marco Medidas Organizativo Operacional Protección Total Febrero % 49% 68% 59% Julio % 59% -- 65% Diciembre % 71% 73% 73% Julio % 80% 80% Diciembre % 88% 88% Julio % 95% 95% Diciembre % 100%
31 Cumplimiento de requisitos legales

References: Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Real Decreto 
 Artículo 42
 Artículo 11