Source: http://docplayer.es/4974865-Guia-de-seguridad-ccn-stic-804-esquema-nacional-de-seguridad-guia-de-implantacion-borrador.html
Timestamp: 2018-06-18 00:56:52+00:00

Document:
GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR) - PDF
Francisca Vega Ramírez
1 GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR) 26 OCTUBRE 2011
2 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: Tirada: 1000 ejemplares Fecha de Edición: octubre de 2011 El Ministerio de Política Territorial y Administración Pública ha financiado el desarrollo del presente documento y sus anexos. LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad. AVISO LEGAL Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las sanciones establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o procedimiento, comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del mismo mediante alquiler o préstamo públicos. Centro Criptológico Nacional i
3 PRÓLOGO El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán conflictos y agresiones, y donde existen ciberamenazas que atentarán contra la seguridad nacional, el estado de derecho, la prosperidad económica, el estado de bienestar y el normal funcionamiento de la sociedad y de las administraciones públicas. La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las tecnologías de la información en su artículo 4.e), y de protección de la información clasificada en su artículo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de dirigir el Centro Criptológico Nacional en su artículo 9.2.f). Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en materia de riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional, regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente relacionadas con la seguridad de las TIC, orientadas a la formación de personal experto, a la aplicación de políticas y procedimientos de seguridad, y al empleo de tecnologías de seguridad adecuadas. Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las tecnologías de la información y las comunicaciones de la Administración, materializada en la existencia de la serie de documentos CCN-STIC. Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo 42.2 sobre el Esquema Nacional de Seguridad (ENS). Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor cumplimiento de dichos requisitos mínimos. En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en esta materia que sirva de apoyo para que el personal de la Administración lleve a cabo su difícil, y en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su responsabilidad. Octubre de 2011 Félix Sanz Roldán Secretario de Estado Director del Centro Criptológico Nacional Centro Criptológico Nacional ii
4 ÍNDICE 1. INTRODUCCIÓN MEDIDAS DE SEGURIDAD [ORG] MARCO ORGANIZATIVO [org.1] Política de seguridad [org.2] Normativa de seguridad [org.3] Procedimientos de seguridad [org.4] Proceso de autorización [OP] MARCO OPERACIONAL [op.pl] Planificación [op.pl.1] análisis de riesgos [op.pl.2] Arquitectura de seguridad [op.pl.3] Adquisición de nuevos componentes [op.pl.4] Dimensionamiento / Gestión de capacidades [op.pl.5] Componentes certificados [op.acc] Control de acceso [op.acc.1] Identificación [op.acc.2] Requisitos de acceso [op.acc.3] Segregación de funciones y tareas [op.acc.4] Proceso de gestión de derechos de acceso [op.acc.5] Mecanismo de autenticación [op.acc.6] Acceso local (local logon) [op.acc.7] Acceso remoto (remote login) [op.exp] Explotación [op.exp.1] Inventario de activos [op.exp.2] Fortificación o bastionado [op.exp.3] Gestión de la configuración [op.exp.4] Mantenimiento [op.exp.5] Gestión de cambios [op.exp.6] Protección frente a código dañino [op.exp.7] Gestión de incidencias [op.exp.8] Registro de la actividad de los usuarios [op.exp.9] Registro de la gestión de incidencias [op.exp.10] Protección de los registros [op.exp.11] Gestión de claves criptográficas [op.ext] Servicios externos [op.ext.1] Contratos y acuerdos de nivel de servicio [op.ext.2] Gestión diaria [op.ext.3] Medios alternativos [op.cont] Continuidad del servicio [op.cont.1] Análisis de impacto [op.cont.2] Plan de continuidad [op.cont.3] Pruebas periódicas [op.mon] Monitorización del sistema [op.mon.1] Detección de intrusión [op.mon.2] Sistema de métricas [MP] MEDIDAS DE PROTECCIÓN [mp.if] Protección de las instalaciones e infraestructuras [mp.if.1] Áreas separadas y con control de acceso [mp.if.2] Identificación de las personas Centro Criptológico Nacional iii
5 [mp.if.3] Acondicionamiento de los locales [mp.if.4] Energía eléctrica [mp.if.5] Protección frente a incendios [mp.if.6] Protección frente a inundaciones [mp.if.7] Registro de entrada y salida de equipamiento [mp.if.9] Instalaciones alternativas [mp.per] Gestión del personal [mp.per.1] Caracterización del puesto de trabajo [mp.per.2] Deberes y obligaciones [mp.per.3] Concienciación [mp.per.4] Formación [mp.per.9] Personal alternativo [mp.eq] Protección de los equipos [mp.eq.1] Puesto de trabajo despejado [mp.eq.2] Bloqueo de sesión [mp.eq.3] Protección de equipos portátiles [mp.eq.9] Medios alternativos [mp.com] Protección de las comunicaciones [mp.com.1] Perímetro seguro [mp.com.2] Criptografía [mp.com.3] Autenticidad de la otra parte [mp.com.4] Segregación de redes [mp.com.9] Medios alternativos [mp.si] Protección de los soportes de información [mp.si.1] Etiquetado [mp.si.2] Criptografía [mp.si.3] Custodia [mp.si.4] Transporte [mp.si.5] Borrado y destrucción [mp.sw] Protección de las aplicaciones informáticas [mp.sw.1] Desarrollo [mp.sw.2] Aceptación y puesta en servicio [mp.info] Protección de la información [mp.info.1] Datos de carácter personal [mp.info.2] Clasificación de la información [mp.info.3] Cifrado [mp.info.4] Firma electrónica [mp.info.5] Fechado electrónico [mp.info.6] Limpieza de documentos [mp.info.9] Copias de seguridad (backup) [mp.s] Protección de los servicios [mp.s.1] Protección del correo electrónico ( ) [mp.s.2] Protección de servidores web [mp.s.9] Medios alternativos MECANISMO DE AUTENTICACIÓN USO DE CONTRASEÑAS USO DE TOKENS USO DE LA BIOMETRÍA ANEXO A. PRINCIPIOS BÁSICOS DE SEGURIDAD [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [MP] MEDIDAS DE PROTECCIÓN Centro Criptológico Nacional iv
6 ANEXO B. REQUISITOS MÍNIMOS [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [op.pl] Planificación [op.acc] Control de acceso [op.exp] Explotación [op.ext] Servicios externos [op.cont] Continuidad del servicio [op.mon] Monitorización del sistema [MP] MEDIDAS DE PROTECCIÓN [mp.if] Protección de las instalaciones e infraestructuras [mp.per] Gestión del personal [mp.eq] Protección de los equipos [mp.com] Protección de las comunicaciones [mp.si] Protección de los soportes de información [mp.sw] Protección de las aplicaciones informáticas [mp.info] Protección de la información [mp.s] Protección de los servicios ANEXO C. CORRESPONDENCIA CON OTRAS NORMAS DE SEGURIDAD [ORG] MARCO ORGANIZATIVO [OP] MARCO OPERACIONAL [MP] MEDIDAS DE PROTECCIÓN ANEXO D. GLOSARIO Y ABREVIATURAS ANEXO E. REFERENCIAS Centro Criptológico Nacional v
7 1. INTRODUCCIÓN 1. Esta guía establece unas pautas de carácter general que son aplicables a entidades de distinta naturaleza, dimensión y sensibilidad sin entrar en casuísticas particulares. Se espera que cada organización las particularice para adaptarlas a su entorno singular. 2. El Esquema Nacional de Seguridad establece una serie de medidas de seguridad en su Anexo II que están condicionadas a la valoración del nivel de seguridad en cada dimensión, y a la categoría (artículo 43) del sistema de información de que se trate. A su vez, la categoría del sistema se calcula en función del nivel de seguridad en cada dimensión. 3. Estas medidas constituyen un mínimo que se debe implementar, o justificar los motivos por los cuales no se implementan o se sustituyen por otras medidas de seguridad que alcancen los mismos efectos protectores sobre la información y los servicios. 4. Esta guía busca ayudar a los responsables de los sistemas para que puedan implantar rápida y efectivamente las medidas requeridas, sin perjuicio de que empleen recursos propios o recurran a proveedores y productos externos. 5. Para cada medida se proporciona:! una descripción más amplia que la proporcionada en el ENS,! referencias externas que ayuden a su comprensión y realización,! relación con medidas o controles en otros esquemas de seguridad,! relación con los principios básicos recogidos en el ENS,! relación con los requisitos mínimos recogidos en el ENS e! indicaciones de lo que se considerará evidencia suficiente de cara a una evaluación de la seguridad 2. MEDIDAS DE SEGURIDAD 2.1. [ORG] MARCO ORGANIZATIVO 6. Toda Organización necesita organizarse para poder asegurar el alcance de sus objetivos, definiendo funciones y estableciendo responsabilidades y canales de coordinación. Esta estructura permite la gestión día a día de las actividades rutinarias y la resolución ordenada de los incidentes que puedan sobrevenir. 7. Toda estructura organizativa necesita una evaluación constante y un análisis de la respuesta a los incidentes de forma que se aprende de la experiencia, se corrigen defectos o debilidades y se busca la excelencia por medio de la mejora continua. 8. La organización en materia de seguridad no puede sino estar alineada y servir a la misión del organismo, ajustándose a las necesidades de los servicios que se prestan. 9. La carencia de una organización formal y efectiva se traduce en unas prestaciones inciertas, cuyo resultado depende de la fortuna y el buen tino de los miembros de la organización, sin poder asegurar que se vayan a alcanzar los objetivos propuestos, ni tan siquiera pueda decirse que la Organización está bajo control. 10. Referencias! Guía CCN-STIC 801 Roles y funciones.! Guía CCN-STIC 402 Organización y Gestión para la Seguridad de los Sistemas TIC! Guía CCN-STIC 201 Organización y Gestión para la Seguridad de las STIC Centro Criptológico Nacional 6
8 o 6 Organización para la seguridad de la información 6.1 Organización interna! NIST Special Publication o Chapter 3 Roles and Responsibilities [ORG.1] POLÍTICA DE SEGURIDAD 11. La guía CCN-STIC 805 trata esta sección en detalle. 12. Referencias:! Guía CCN-STIC 805 Política de Seguridad o 5.1 Política de seguridad de la información o Asignación de responsabilidades relativas a la seguridad de la información o Identificación de legislación aplicable! NIST Special Publication o Chapter 5 Computer Security Policy! o Capítulo 3 Política de seguridad o Capítulo 4 Organización y planificación de la seguridad! RD 1720: artículos 89.1 y 95.1 Se considerará evidencia suficiente del cumplimiento de esta medida! existe el documento, firmado por la Dirección! el documento cubre los puntos arriba citados! existe un procedimiento de revisión y firma regular [ORG.2] NORMATIVA DE SEGURIDAD 13. Conjunto de documentos que, sin entrar en detalles, establecen la forma de afrontar un cierto tema en materia de seguridad. Definen la posición del organismo en aspectos concretos y sirven para indicar cómo se debe actuar en caso de que una cierta circunstancia no esté recogida en un procedimiento explícito o que el procedimiento pueda ser impreciso o contradictorio en sus términos. 14. A veces se denominan policies (en inglés). 15. A veces se denominan standards (en inglés). 16. Las normas deben centrarse en los objetivos que se desean alcanzar, antes que en la forma de lograrlo. Los detalles los proporcionarán los procedimientos. Las normas ayudan a tomar la decisión correcta en caso de duda. 17. Las normas deben describir lo que se considera uso correcto, así como lo que se considera uso incorrecto. 18. La normativa tiene carácter de obligado cumplimiento. Esto debe destacarse, así como las consecuencias derivadas de su incumplimiento (medidas disciplinarias). 19. Cada norma debe indicar la forma de localizar los procedimientos que se han desarrollado en la materia tratada. Es difícil que la norma cubra todos los procedimientos desarrollados. Centro Criptológico Nacional 7
9 20. Las normas deben escribirlas personas expertas en la materia, conocedoras de la postura de la Dirección, de las posibilidades y limitaciones de la tecnología correspondiente y con experiencia en los incidentes o situaciones típicas que pueden encontrarse los usuarios. Las normas deben ser revisadas por el departamento de asesoría legal, tanto para evitar el incumplimiento de alguna norma de rango superior, como para introducir registros que puedan ser requeridos como pruebas fehacientes en caso de conflicto. 21. Las normas deben ser realistas y viables. Deben ser concisas (sin perder precisión) y sin ambigüedades. Deben estar motivadas, ser descriptivas y definir puntos de contacto para su interpretación correcta. 22. Normativa típica:! control de acceso! protección de los autenticadores (contraseñas, tarjetas, etc)! puesto de trabajo despejado y equipos desatendidos! protección frente a software malicioso: virus, spyware, adware,! desarrollo de aplicaciones (software)! instalación de aplicaciones (software)! acceso remoto! tele-trabajo! uso de portátiles! gestión de soportes de información removibles (tales como CD, llaves USB, etc)! tratamiento de la información impresa: copias, almacenamiento y destrucción! uso del correo electrónico! uso de la web! problemas de ingeniería social! criterios de clasificación de la información! copias de respaldo (backups)! 23. Referencias: o Condiciones de uso de los activos o Directrices de clasificación de la información o Política de uso de los servicios de red o Política de uso de controles criptográficos o todos los capítulos incluyen un apartado sobre este asunto! NIST SP800-12: An Introduction to Computer Security: The NIST Handbook! The SANS Security Policy Project o Capítulo 3 Política de seguridad o Capítulo 17 Desarrollo y explotación de sistemas - punto 17.5 Centro Criptológico Nacional 8
10 ! 24. Se considerará evidencia suficiente del cumplimiento de esta medida:! existen documentos relativos a un alto porcentaje de los medios de trabajo y los servicios prestados! existe un procedimiento de revisión regular Is it a Policy, a Standard or a Guideline? What's in a name? We frequently hear people use the names "policy", "standard", and "guideline" to refer to documents that fall within the policy infrastructure. So that those who participate in this consensus process can communicate effectively, we'll use the following definitions. A policy is typically a document that outlines specific requirements or rules that must be met. In the information/network security realm, policies are usually point-specific, covering a single area. For example, an "Acceptable Use" policy would cover the rules and regulations for appropriate use of the computing facilities. A standard is typically collections of system-specific or procedural-specific requirements that must be met by everyone. For example, you might have a standard that describes how to harden a Windows NT workstation for placement on an external (DMZ) network. People must follow this standard exactly if they wish to install a Windows NT workstation on an external network segment. A guideline is typically a collection of system specific or procedural specific "suggestions" for best practice. They are not requirements to be met, but are strongly recommended. Effective security policies make frequent references to standards and guidelines that exist within an organization [ORG.3] PROCEDIMIENTOS DE SEGURIDAD 25. Conjunto de documentos que describen paso a paso cómo realizar una cierta actividad. Facilitan las tareas rutinarias evitando que se olviden pasos importantes. Lo que nunca debe ocurrir es que una cierta actividad sólo sepa hacerla una determinada persona; debe estar escrito cómo se hace para que la persona pueda ser reemplazada. 26. A veces se denominan guías. 27. Cada procedimiento debe detallar:! en qué condiciones debe aplicarse! quién es el que debe llevarlo a cabo! qué es lo que hay que hacer en cada momento, incluyendo el registro de la actividad realizada! cómo identificar situaciones anómalas y cuál es mecanismo para escalar la situación! cómo se reportan deficiencias en los procedimientos 28. El conjunto de procedimientos debe cubrir un alto porcentaje (al menos el 80%) de las actividades rutinarias, así como aquellas tareas que se realizan con poca frecuencia pero exigen seguir unos pasos determinados muy precisos. Centro Criptológico Nacional 9
11 29. Nunca se puede decir que hay demasiados procedimientos. Cuantos más, mejor. 30. No obstante, es mejor no tener un procedimiento que tener un procedimiento erróneo o anticuado. 31. Debe existir un mecanismo para que los usuarios accedan rápidamente a la una versión actualizada de los procedimientos que les afectan. El uso de la intranet como repositorio de documentos es muy eficaz, aunque hay que prever algunas copias en papel para aquellas actividades que hay que realizar cuando falla intranet. 32. Debe existir un proceso para que los usuarios puedan reportar errores, inexactitudes o carencias en los procedimientos y se proceda a la revisión y actualización del procedimiento. 33. Referencias: o Documentación de los procedimientos de operación! NIST SP rev3 o todos los capítulos incluyen un apartado sobre este asunto! o Capítulo 3 Política de seguridad 34. Se considerará evidencia suficiente del cumplimiento de esta medida:! existen procedimientos relativos a un alto porcentaje de las actividades realizadas por el personal! existe un procedimiento para la revisión y aprobación regular de los procedimientos! existe un procedimiento para la identificación y cobertura de nuevas necesidades! existen medidas e indicadores de la eficacia y eficiencia de los procedimientos [sistemas de categoría ALTA] [ORG.4] PROCESO DE AUTORIZACIÓN 35. Ningún sistema de información con responsabilidades sobre la información que maneja o los servicios que presta debería admitir elementos no autorizados por cuanto la libre incorporación de elementos socavaría de raíz la confianza en el sistema. 36. El ENS singulariza una serie de elementos, sin perjuicio de que se aplique siempre la regla de se requiere autorización previa : a. Utilización de instalaciones, habituales y alternativas. b. Entrada de equipos en producción, en particular, equipos que involucren criptografía. c. Entrada de aplicaciones en producción. d. Establecimiento de enlaces de comunicaciones con otros sistemas. e. Utilización de medios de comunicación, habituales y alternativos. f. Utilización de soportes de información. g. Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, PDA, u otros de naturaleza análoga. 37. El proceso de autorización requiere: Centro Criptológico Nacional 10
12 ! que esté definido en la normativa de seguridad la persona o punto de contacto para autorizar un determinado componente o actuación! que exista un formulismo (o sea, un formulario) para solicitar la autorización, indicando lo que se desea y la motivación; esta solicitud deberá incorporar los siguientes elementos: o descripción precisa del elemento o actuación para el que se solicita autorización o descripción precisa de las actividades para las que se requiere el nuevo componente o justificación de que nuevo componente no afecta a otras funcionalidades del sistema o si el nuevo componente introduce posibles vulnerabilidades (es decir, si expone al sistema a nuevas o renovadas amenazas), deberá anexarse un análisis de riesgos y las medidas que se toman para gestionarlo; este análisis de riesgos tendrá la intensidad proporcionada a la categoría del sistema, como se establece en [op.pl.1] o justificación de que no se viola ninguna normativa de seguridad o información de los procedimientos de seguridad que son aplicables al caso o, si fuere necesario, la necesidad de desarrollar algún nuevo procedimiento específico! que se requiera la aprobación formal de la petición (o sea, la firma del responsable) antes de la actuación 38. Si se requieren nuevos procedimientos, la autorización puede ser temporal con un plazo límite para desarrollar los nuevos procedimientos y formalizar la autorización definitiva. 39. La autorización sólo cubrirá la utilización de los nuevos recursos para los objetivos explícitamente aprobados. 40. Referencias: o Proceso de autorización de recursos para el tratamiento de la información 2010: o PM-10 Security Authorization Process! 41. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un procedimiento que incluya evidencias documentales de que todos y cada uno de los recursos del sistema han sido autorizados previamente a su entrada en explotación! la autorización incluye las referencias pertinentes a la normativa aplicable Ver [org.2] 2.2. [OP] MARCO OPERACIONAL 42. Medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin [OP.PL] PLANIFICACIÓN 43. Actividades previas a la puesta en explotación. Centro Criptológico Nacional 11
13 [OP.PL.1] ANÁLISIS DE RIESGOS 44. Referencias: o Capítulo 3 Política de seguridad punto 3.3 o Capítulo 5 Análisis y gestión de riesgos o Capítulo 17 Desarrollo y explotación puntos 17.7 y 17.8! Guía CCN-STIC-470 Manual Herramienta de Análisis de Riesgos PILAR 4.1 o Evaluación de los riesgos de seguridad o [RA] Risk Assessment! Magerit v2 - Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; Ministerio de Administraciones Públicas; Consejo Superior de Administración Electrónica.! PILAR Herramienta de Análisis y Gestión de Riesgos! ISO/IEC 27005:[2008] Information technology -- Security techniques -- Information security risk management! UNE 71504:[2008] Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información; AENOR Agencia Española de Normalización! NIST SP : Risk Management Guide for Information Technology Systems! NIST SP : Managing Risk from Information Systems: An Organizational Perspective 45. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un documento que detalla los riegos residuales principales! dicho documento esté aprobado por la Dirección! [categoría MEDIA o ALTA] existe un análisis de riesgos formal utilizando una metodología y una herramienta reconocidas! existe un procedimiento para la revisión y aprobación regular de los puntos anteriores [OP.PL.2] ARQUITECTURA DE SEGURIDAD 46. Referencias: o Tratamiento de la seguridad en las relaciones con clientes o Política de control de acceso o Aislamiento de sistemas críticos o 12.1 Requisitos de seguridad o 12.2 Garantías de procesamiento de información 47. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un documento que detalla los puntos anteriormente citados! existe un procedimiento que lo mantenga actualizado; o los procedimientos de gestión de cambios incluyen explícitamente la actualización de este documento! [categoría MEDIA o ALTA] dicho documento está aprobado por la Dirección Centro Criptológico Nacional 12
14 [OP.PL.3] ADQUISICIÓN DE NUEVOS COMPONENTES 48. Referencias: o Capítulo 4 Organización y planificación de la seguridad o 10.3 Planificación y aceptación de sistemas o Análisis y especificación de requisitos o [PL] Planning o [PL-1] Security Planning Policy and Procedures o [PL-2] System Security Plan o [PL-3] System Security Plan Update o [PL-6] Security-Related Activity Planning! NIST SP rev1: Guide for Developing Security Plans for Federal Information Systems! NIST SP : Integrating IT Security into the Capital Planning and Investment Control Process 49. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe documentación del proceso de planificación de la seguridad, contemplando los aspectos arriba citados! existe documentación formal del plan de seguridad [sistemas de categoría MEDIA o superior]! el plan de seguridad está aprobado por la Dirección[sistemas de categoría ALTA] [OP.PL.4] DIMENSIONAMIENTO / GESTIÓN DE CAPACIDADES 50. Referencias: o Análisis y especificación de requisitos o Gestión de capacidades o [SA-2] Allocation of Resources 51. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un estudio previo a cada adquisición realizada o planificada que ofrece unas conclusiones respecto de la capacidad de los medios presentes o la necesidad de medios adicionales! [sistemas de nivel MEDIO o superior] el estudio previo es un documento escrito! [sistemas de nivel ALTO] el estudio previo está aprobado por Dirección [OP.PL.5] COMPONENTES CERTIFICADOS Centro Criptológico Nacional 13
15 52. Referencias: o Capítulo 9 Autenticación o Capítulo 10 Confidencialidad o Capítulo 11 Integridad o Capítulo 12 Disponibilidad o Capítulo 13 Control de acceso o Capítulo 14 Acceso a través de redes o Capítulo 15 Firma electrónica! Guía CCN-STIC-103 Catálogo de Productos Certificados o Análisis y especificación de requisitos! NIST SP : Guidelines to Federal Organizations on Security Assurance and Acquisition/Use of Tested/Evaluated Products! NIST SP :2003 Guide to Selecting Information Technology Security Products! Esquema Nacional de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información Orden PRE/2740/2007 de 19 de septiembre, por la que se aprueba el Reglamento de Evaluación y Certificación de la Seguridad de las Tecnologías de la Información.! ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 1: Introduction and general model! ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 2: Security functional requirements! ISO/IEC :2005 Information technology - Security techniques - Evaluation criteria for IT security - Part 3: Security assurance requirements! ISO/IEC 18045: Information technology -- Security techniques -- Methodology for IT security evaluation! ISO/IEC TR 19791: Information technology -- Security techniques -- Security assessment of operational systems 53. Se considerará evidencia suficiente del cumplimiento de esta medida:! [sistemas de nivel MEDIO] certificación funcional, cubriendo las siguientes garantías:! Diseño, desarrollo, y pruebas estructurales del producto.! Análisis de vulnerabilidades y pruebas de penetración para ataques de nivel de competencia técnica de dominio público para la tecnología existente en el campo.! [sistemas de nivel ALTO] certificación funcional, cubriendo las siguientes garantías:! Diseño, desarrollo, pruebas y revisión del producto con método.! Análisis de vulnerabilidades para ataques de nivel de competencia técnica tan alto como permita la tecnología existente en el campo, o tan alto como permita la normativa de referencia utilizada.! Máximo nivel de confianza que proporcione la normativa utilizada respecto a la prueba de la robustez de la seguridad del producto, cuando es utilizado de forma distinta a la especificada por su documentación de uso.! Máximo nivel de confianza que proporcione la normativa utilizada respecto a la resistencia de las funciones de seguridad del producto, que se basen en mecanismos probabilísticos o permutacionales: resistencia a ataques directos que se ejecuten con Centro Criptológico Nacional 14
16 información incorrecta pero sin manipular el normal funcionamiento del producto según su diseño.! Garantizar, al menos documentalmente, que el fabricante del producto dispone de procedimientos definidos para el tratamiento de futuras vulnerabilidades que se detecten en el producto.! [sistemas de nivel ALTO en los componentes de cifra y generación de firma electrónica] deberán ser certificados criptológicamente, en términos de su fortaleza algorítmica [OP.ACC] CONTROL DE ACCESO 54. El control de acceso cubre el conjunto de actividades preparativas y ejecutivas para que una determinada entidad pueda, o no, acceder a un recurso del sistema para realizar una determinada acción. 55. Con el cumplimiento de todas estas medidas se garantiza que nadie accederá a recursos sin autorización. Además debe quedar registrado el uso del sistema ([op.exp.8]) para poder detectar y reaccionar a cualquier fallo accidental o deliberado. 56. El control de acceso que se implanta en un sistema real es un punto de equilibrio entre la comodidad de uso y la protección de la información. En sistemas de categoría baja, se prima la comodidad, mientras que en sistemas de categoría alta se prima la protección. 57. Estas medidas suelen venir recogidas en la literatura de seguridad bajo los epígrafes! I&A Identificación y Autenticación! Control de Acceso [OP.ACC.1] IDENTIFICACIÓN 58. Condición de aplicabilidad: cuando la autenticidad o la trazabilidad sean relevantes: nivel BAJO o superior. 59. Se debe asignar un identificador singular para cada entidad (usuario o proceso) que accede al sistema. 60. De esta manera:! se puede saber quién recibe qué derechos de acceso! se puede saber quién ha hecho qué, para corregir o para perseguir 61. La identificación de usuarios suele ir asociada a una "cuenta de usuario". A menudo se habla de "derechos de una cuenta" para referirse a los derechos del titular de la cuenta. Se dice que los derechos de un usuario son los de su cuenta en el sistema. 62. Se deben gestionar las cuentas de usuario: 63. las cuentas deben ser inhabilitadas cuando! el usuario deja la organización o! cesa en la función para la cual se requería la cuenta de usuario o! la persona que lo autorizó da orden en contra! las cuentas deben ser retenidas durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a una cuenta (periodo de retención)! no deben existir 2 cuentas con el mismo identificador, de forma que no se puedan confundir dos usuarios ni se puedan imputar actividades a usuarios diferentes Centro Criptológico Nacional 15
17 64. Referencias: o Capítulo 9 Autenticación puntos 9.1, 9.2 y 9.3 o Capítulo 13 Control de Acceso punto 13.1 o Registro de usuarios o Identificación de equipos en la red o Identificación y autorización de usuarios o [IA-2] User Identification and Authentication o [IA-3] Device Identification and Authentication o [IA-4] Identifier Management o [AC-2] Account Management 65. Se considerará evidencia suficiente del cumplimiento de esta medida:! todas las entidades que acceden al sistema disponen de una identificación singular [OP.ACC.2] REQUISITOS DE ACCESO 66. Referencias: o Capítulo 9 Autenticación punto 9.4 o Capítulo 13 Control de acceso puntos 13.1 y 13.2 o Política de control de acceso o Gestión de privilegios o Uso de los recursos del sistema o Restricción del acceso a la información o [AC-3] Access Enforcement o [AC-4] Information Flow Enforcement o [AC-14] Permitted Actions without Identification or Authentication o [SI-9] Information Input Restrictions 67. Se considerará evidencia suficiente del cumplimiento de esta medida: [OP.ACC.3] SEGREGACIÓN DE FUNCIONES Y TAREAS 68. Referencias: o Capítulo 20 Auditoría punto 20.7 o Segregación de tareas o Separación de los recursos de desarrollo, prueba y operación o Controles de auditoría o Protección de las herramientas de auditoría Centro Criptológico Nacional 16
18 o [AC-5] Separation of Duties 69. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un esquema de funciones y tareas en el que se contemplan las que son incompatibles en una misma persona! el procedimiento de asignación de personas a funciones y tareas a personas verifica que no se viola el esquema anterior [OP.ACC.4] PROCESO DE GESTIÓN DE DERECHOS DE ACCESO 70. Referencias: o Capítulo 6 Identificación y clasificación de activos a proteger o Capítulo 13 Control de acceso puntos 13.1, 13.3 y 13.4 o Cancelación de los derechos de acceso o Política de control de acceso o Registro de usuarios o Gestión de privilegios o Revisión de derechos de acceso o [AC-6] Least Privilege 71. Se considerará evidencia suficiente del cumplimiento de esta medida:! en la estructuración de los derechos de acceso se tiene en cuenta las necesidades de cada persona según su función en la organización y las tareas que tiene encomendadas! [sistemas de nivel ALTO] la necesidad de acceso viene acreditada por escrito por parte del responsable de la información o proceso al que va a concedérsele acceso! [sistemas de nivel MEDIO o superior] el reconocimiento de la necesidad de acceso debe ser reasegurado periódicamente, extinguiéndose cuando no se demuestre positivamente que la necesidad perdura! en la estructuración de los derechos de acceso se tiene en cuenta las necesidades de cada persona según su función en la organización y las tareas que tiene encomendadas! [sistemas de nivel ALTO] la necesidad de conocer vienen acreditada por escrito por parte del responsable de la información o proceso al que va a concedérsele acceso! [sistemas de nivel MEDIO o superior] el reconocimiento de la necesidad de conocer debe ser reasegurado periódicamente, extinguiéndose cuando no se demuestre positivamente que la necesidad perdura [OP.ACC.5] MECANISMO DE AUTENTICACIÓN 72. Referencias: o Capítulo 9 Autenticación puntos 9.5 y 9.6 Centro Criptológico Nacional 17
19 o Capítulo 13 Control de acceso punto 13.1 o Gestión de contraseñas o Uso de contraseñas o Identificación y autorización de usuarios o Gestión de contraseñas o [IA-4] Identifier Management o [IA-5] Authenticator management o [IA-7] Cryptographic Module 73. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe constancia de que los usuarios reciben los autenticadores y firman la recepción de acuerdo a los puntos arriba expuestos! se cumple [op.exp.11] [OP.ACC.6] ACCESO LOCAL (LOCAL LOGON) 74. Referencias: o Identificación y clasificación de activos a proteger punto 9.4 o Procedimientos de inicio de sesión (log-on) o Limitación del tiempo de conexión o [IA-6] Authenticator Feedback o [AC-7] Unsuccessful Login Attempts o [AC-8] System Use Notification o [AC-9] Previous Login Notification o [SI-11] Error Handling 75. Se considerará evidencia suficiente del cumplimiento de esta medida:! se aplican las consideraciones arriba expuestas [OP.ACC.7] ACCESO REMOTO (REMOTE LOGIN) 76. Referencias: o Capítulo 13 Control de acceso puntos 13.6 y 13.8 o Capítulo 14 Acceso a través de redes punto 14.6 o Autenticación de usuarios en acceso remoto o Puertas de diagnóstico y configuración remota o Teletrabajo o [AC-17] Remote Access o [AC-20] Use of External Information Systems o [MA-4] Remote Maintenance 77. Se considerará evidencia suficiente del cumplimiento de esta medida: Centro Criptológico Nacional 18
20 ! existe un tratamiento específico que regula las actividades que pueden realizarse remotamente! se cumple [op.acc.6]! se cumple [mp.com.2]! se cumple [mp.com.3] [OP.EXP] EXPLOTACIÓN [OP.EXP.1] INVENTARIO DE ACTIVOS 78. Referencias: o Capítulo 6 Identificación y clasificación de activos puntos 6.1 y 6.2 o Inventario de activos o Propiedad de los activos 79. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe el inventario arriba referenciado! se retienen en el inventario de los componentes desmantelados [sistemas de nivel MEDIO o superior]! existen de procedimientos formales de mantenimiento del inventario [sistemas de nivel MEDIO o superior] [OP.EXP.2] FORTIFICACIÓN O BASTIONADO 80. Referencias:! Serie CCN-STIC-500 Guías para Entornos Windows! Serie CCN-STIC-600 Guías para otros Entornos! Guías STIC - https://www.ccn-cert.cni.es/ 81. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un procedimiento de eliminación de cuentas o contraseñas estándar! existen perfiles avalados por una autoridad reconocida! existen procedimientos de configuración que garanticen la aplicación de dichos perfiles! existe un procedimiento de revisión periódica de los perfiles! existe un procedimiento de revisión de perfiles atendiendo a la publicación de vulnerabilidades de los sistemas Centro Criptológico Nacional 19
21 [OP.EXP.3] GESTIÓN DE LA CONFIGURACIÓN 82. Referencias: o Capítulo 16 Copias de respaldo punto 16.2 o Capítulo 17 Desarrollo y explotación punto 17.3 o Control de programas en producción o Control de vulnerabilidades técnicas 83. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un procedimiento para modificar la configuración del sistema que exige! la aprobación del responsable,! la documentación del cambio,! pruebas de la seguridad del sistema bajo la nueva configuración y! la retención de la configuración previa por un tiempo preestablecido! se realizan copias de seguridad de la configuración de los diferentes componentes, cubriendo al menos la configuración actual y la inmediata anterior [sistemas de nivel MEDIO o superior] [OP.EXP.4] MANTENIMIENTO 84. Referencias:! Capítulo 12 Disponibilidad punto 12.1! Capítulo 16 Copias de respaldo punto 16.2! Capítulo 17 Desarrollo y explotación puntos 17.3 y 17.4 o ISO/IEC 27002:2005:! Mantenimiento de equipos! Control de programas en producción! Control de vulnerabilidades técnicas o NIST SP rev3: o NIST SP v2: Creating a Patch and Vulnerability Management Program 85. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe procedimientos para llevar a cabo las especificaciones del fabricante en cuanto a mantenimiento [OP.EXP.5] GESTIÓN DE CAMBIOS 86. Referencias: o Capítulo 12 Disponibilidad punto 12.1 o Capítulo 16 Copias de respaldo punto 16.2 o Capítulo 17 Desarrollo y explotación puntos 17.3 y 17.4 Centro Criptológico Nacional 20
22 o Control de programas en producción o Control de vulnerabilidades técnicas 87. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un procedimiento para cambiar componentes del sistema que exige! la aprobación del responsable,! la documentación del cambio,! pruebas de la seguridad del sistema tras el cambio y! la retención de una copia del componente previo por un tiempo preestablecido! se realizan copias de seguridad de los componentes software, cubriendo al menos la versión actual y la inmediata anterior [sistemas de nivel MEDIO o superior]! se actualiza el inventario de activos! se actualizan los procedimientos operativos relacionados con el componente actualizado! se actualiza el plan de continuidad de negocio [si existe tal plan; ver [op.cont]] [OP.EXP.6] PROTECCIÓN FRENTE A CÓDIGO DAÑINO 88. Referencias: o Capítulo 11 Integridad punto 11.8 o Capítulo 12 Disponibilidad punto 12.6! NIST SP : Guidelines on Active Content and Mobile Code! NIST SP : Guide to Malware Incident Prevention and Handling 89. Se considerará evidencia suficiente del cumplimiento de esta medida:! los programas de protección arriba mencionados existes, estás activados y actualizados de forma automática! la cobertura de los programas de protección alcanza a todos los equipos: servidores y puestos de trabajo, bien sea por instalación local o en modo cliente-servidor! el correo entrante y saliente se analiza para detectar y eliminar contenidos activos indeseables! los puestos de usuario se configuran para bloquear código dañino [OP.EXP.7] GESTIÓN DE INCIDENCIAS 90. Referencias: o Capítulo 17 Desarrollo y explotación punto 17.6 o Capítulo 18 Gestión y registro de incidencias! Guía CCN-STIC-403 Gestión de Incidentes de Seguridad o 13.2 Gestión de incidentes y mejoras Centro Criptológico Nacional 21
23 o Responsabilidades y procedimientos o Aprendiendo del pasado o Supervisión y revisión de los servicios prestados por terceros! ISO/IEC TR 18044: Information technology -- Security techniques -- Information security incident management o [IR] Incident Response! NIST SP rev1:2008 Computer Security Incident Handling Guide! NIST SP :2005 Guide to Malware Incident Prevention and Handling 91. Se considerará evidencia suficiente del cumplimiento de esta medida:! existen los procedimientos arriba detallados, mantenidos al día con revisiones periódicas! notificación: todos los sistemas deben disponer del procedimiento que debe estar automatizado en el caso de sistemas de nivel MEDIO o superior! reacción inmediata: se debe formalizar en sistemas de nivel MEDIO o superior! análisis y resolución: se debe formalizar en sistemas de nivel MEDIO o superior! medidas a futuro: se debe formalizar en sistemas de nivel MEDIO o superior! se cubren todos los procesos internos a la organización! se incluye la forma de recibir notificaciones de servicios prestados por terceras partes! se incluye la notificación a terceras partes que pudieran verse afectadas! se incluye la notificación al CERT cuando el incidente se deba a defectos en el equipamiento que pudieran causar problemas similares en otras organizaciones [OP.EXP.8] REGISTRO DE LA ACTIVIDAD DE LOS USUARIOS 92. Referencias: o Capítulo 20 Auditoría punto 20.3 o Supervisión o Pistas de auditoría o Supervisión del uso de los sistemas o Registros de administración y operación o Sincronización de relojes o [AC-13] Supervision and Review Access Control o [AU] Audit and Accountability 93. Se considerará evidencia suficiente del cumplimiento de esta medida:! existen registros para todas las actividades realizadas en el sistema! existe un proceso formal para determinar el nivel de detalle de los registros basado en el análisis de riesgos! existen mecanismos que garanticen la corrección de la hora a la que se realiza el registro, en prevención de manipulaciones de los relojes: sistemas de nivel MEDIO o superior en lo relativo a trazabilidad! se realiza una inspección regular de los registros para identificar anomalías en el uso de los sistemas (uso irregular o no previsto): en sistemas de nivel MEDIO o superior Centro Criptológico Nacional 22
24 ! se utilizan herramientas automáticas para analizar los registros en busca de actividades fuera de lo normal: en sistema de nivel ALTO [OP.EXP.9] REGISTRO DE LA GESTIÓN DE INCIDENCIAS 94. Referencias: o Capítulo Gestión y registro de incidencias punto 18.3 o 13.2 Gestión de incidentes y mejoras o Recopilación de evidencias 95. Se considerará evidencia suficiente del cumplimiento de esta medida:! existen los registros arriba indicados! existe un procedimiento formal para determinar las evidencias requeridas de cara a un proceso judicial! existen mecanismos que garanticen la corrección de la hora a la que se realiza el registro, en prevención de manipulaciones de los relojes: sistemas de nivel MEDIO o superior en lo relativo a trazabilidad [OP.EXP.10] PROTECCIÓN DE LOS REGISTROS 96. Referencias: o Capítulo 20 Auditoría punto 20.4 o Supervisión o Protección de registros (logs) o [AU] Audit and Accountability o [AU-4] Audit Storage Capacity o [AU-9] Protection of Audit Information o [AU-11] Audit Retention! NIST SP : Guide to Computer Security Log Management 97. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe una declaración formal de los periodos de retención habituales! existe un plan para garantizar la capacidad de almacenamiento de registros atendiendo a su volumen y política de retención! existe un procedimiento formal para la retención de evidencias tras un incidente! existen mecanismos para prevenir el acceso a los registros de personas no autorizadas! existen mecanismos para prevenir el acceso de personas no autorizadas a la configuración del sistema para el registro automático de actividades Centro Criptológico Nacional 23
25 ! existe un procedimiento para la eliminación de los registros tras el periodo estipulado de retención, incluyendo las copias de seguridad! los registros están contemplados en los procesos de copias de seguridad garantizando las seguridades mencionadas [OP.EXP.11] GESTIÓN DE CLAVES CRIPTOGRÁFICAS 98. Condición de aplicabilidad: se utilizan claves criptográficas. Ver [op.acc.5] [mp.com.2] [mp.si.2] [mp.info.3] [mp.info.4] y [mp.info.9]. 99. Se deben proteger las claves criptográficas durante todo su ciclo de vida:! generación o con programas evaluados o dispositivos criptográficos certificados [información de nivel ALTO] o los medios de generación deben estar aislados de los medios de explotación [información de nivel ALTO]! transporte o entrega en mano o uso de contenedores físicos seguros o uso de contenedores criptográficos o doble canal: clave y datos de activación por separado! custodia en explotación o en tarjeta inteligente protegida por contraseña [información de nivel MEDIO o superior] o en dispositivo criptográfico certificado con control de acceso [información de nivel ALTO]! archivo: copias de seguridad de claves activas y retención de claves retiradas de explotación activa o en contenedores físicos seguros (por ejemplo, caja fuerte) o en contenedores criptográficos o en medios alternativos aislados de los medios de explotación [información de nivel ALTO]! destrucción o eliminación de original y copias ver [org.4] Proceso de autorización ver [mp.si.5] Borrado y destrucción de soportes de información 100. Referencias: o Capítulo 10 Confidencialidad o 12.3 Controles criptográficos o Política de uso o Gestión de claves o [SC-12] Cryptographic Key Establishment and Management! NIST SP :2007 Recommendation for Key Management 101. Se considerará evidencia suficiente del cumplimiento de esta medida:! existen procedimientos y medios para cada una de las fases del ciclo de vida de las claves criptográficas Centro Criptológico Nacional 24
26 ! evidencia de que se aplican los procedimientos establecidos! existe un registro que indica las actuaciones realizadas sobre cada clave en el sistema, a lo largo de su ciclo de vida [sistemas de nivel ALTO en lo relativo a confidencialidad] [OP.EXT] SERVICIOS EXTERNOS 102. Medidas para proteger al sistema de posibles perjuicios derivados de la contratación de determinados servicios a proveedores externos [OP.EXT.1] CONTRATOS Y ACUERDOS DE NIVEL DE SERVICIO 103. Referencias: o Capítulo 7 Personal punto 7.6 o Capítulo 13 Control de acceso punto 13.8 o Identificación de riesgos derivados del acceso de terceros o Tratamiento de la seguridad en contratos con terceros o 10.2 Gestión de servicios prestados por terceros o Prestación de los servicios o [PS-7] Third Party Personnel Security o [SA-9] External Information System Services! modelos de contrato de prestación de servicios (CSAE)! NIST SP :2003 Guide to Information Technology Security Services 104. Se considerará evidencia suficiente del cumplimiento de esta medida:! existe un análisis de riesgos que identifica los riesgos asociados al proveedor externo! existe un esquema formal, aprobado por ambas partes y actualizado periódicamente estableciendo! funciones o roles de ambas partes! obligaciones de cada parte! responsabilidades de cada parte! mecanismos y procedimientos para la sincronización de las actividades de gestión de incidencias; estos deberán ser formales en sistemas de nivel MEDIO o superior [OP.EXT.2] GESTIÓN DIARIA 105. Referencias: o 10.2 Gestión de servicios prestados por terceros o Prestación de los servicios o Supervisión y revisión de los servicios o Gestión de cambios en los servicios Centro Criptológico Nacional 25
GUÍA DE SEGURIDAD (CCN-STIC-804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN (BORRADOR) 26 OCTUBRE 2011 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: 076-11-053-3 Tirada: 1000 ejemplares
Esquema Nacional de Seguridad (ENS). Anexo II
Ed. Francis Lefebvre ANEXOS 1 AN EXOS Esquema Nacional de Seguridad (ENS). Anexo II 3900 ANEXO II. MEDIDAS DE SEGURIDAD 1. Disposiciones generales 1. Para lograr el cumplimiento de los principios básicos
(17-11-2014) MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS
MINISTERIO DE HACIENDA Y ADMINISTRACIONES PÚBLICAS (17-11-2014) REF.: REF.C.M.: PROYECTO DE REAL DECRETO /, de, MODIFICACIÓN DEL REAL DECRETO 3/2010 DE 8 DE ENERO POR EL QUE SE REGULA EL ESQUEMA NACIONAL
Núm. 264 Miércoles 4 de noviembre de 2015 Sec. I. Pág. 104246 I. DISPOSICIONES GENERALES MINISTERIO DE LA PRESIDENCIA 11881 Real Decreto 951/2015, de 23 de octubre, de modificación del Real Decreto 3/2010,
GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN
GUÍA DE SEGURIDAD (CCN-STIC 804) ESQUEMA NACIONAL DE SEGURIDAD GUÍA DE IMPLANTACIÓN MARZO 2013 Edita: Editor y Centro Criptológico Nacional, 2013 Fecha de Edición: marzo de 2013 El Sr. José Antonio Mañas
RECOMENDACIÓN ESQUEMA NACIONAL DE SEGURIDAD PRIORIZACIÓN DE MEDIDAS DE SEGURIDAD
RECOMENDACIÓN ESQUEMA NACIONAL DE SEGURIDAD PRIORIZACIÓN DE MEDIDAS DE SEGURIDAD ÍNDICE 1. INTRODUCCIÓN... 3 2. PRIORIDADES DE UNA ENTIDAD... 4 2.1. DEFINIR Y NOMBRAR AL RESPONSABLE DE LA SEGURIDAD...

References: artículo 4
 artículo 4
 artículo 9
 Real Decreto 
 artículo 42
 Real Decreto 
 resolución 
 REAL DECRETO 
 REAL DECRETO 
 Real Decreto 
 Real Decreto