Source: https://archivoshistoriapatrimonio.blogspot.com/2017/11/esquema-nacional-de-seguridad-en-el.html
Timestamp: 2019-01-20 10:59:58+00:00

Document:
Sobre el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica
El Real Decreto 3/2010, 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica tiene por objeto:
-regular el Esquema Nacional de Seguridad establecido en el artículo 42 de la Ley 11/2007, de 22 de junio, y
-determinar la política de seguridad que se ha de aplicar en la utilización de los medios electrónicos.
- está constituido por los principios básicos y requisitos mínimos requeridos para una protección adecuada de la información.
- será aplicado por las Administraciones públicas para asegurar
servicios utilizados en medios electrónicos que gestionen en el ejercicio de sus competencias.
El ámbito de aplicación del real decreto será el establecido en el artículo 2 de la Ley 11/2007, de 22 de junio , estando excluidos del ámbito de aplicación indicado anteriormente los sistemas que tratan información clasificada u que está regulada por Ley 9/1968, de 5 de abril, de Secretos Oficiales y normas de desarrollo.
El objeto último de la seguridad de la información es asegurar que una organización administrativa cumpla con sus objetivos utilizando sistemas de información.
En las decisiones en materia de seguridad deberán tenerse en cuenta los siguientes principios básicos:
La seguridad se entenderá como un proceso integral formado por todos los elementos
organizativos, relacionados con el sistema.
La aplicación del Esquema Nacional de Seguridad estará presidida por este principio, que excluye cualquier actuación puntual o tratamiento coyuntural.
Se prestará la máxima atención a
- la concienciación de las personas que intervienen en el proceso
- y a sus responsables jerárquicos,
- ni la ignorancia,
- ni la falta de organización y coordinación,
- ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad.
El análisis y gestión de riesgo será parte esencial del proceso de seguridad y deberá mantenerse permanentemente actualizado.
- el mantenimiento de un entorno controlado,
- minimizando los riesgos hasta niveles aceptables.
La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza de los datos y los tratamientos, los riesgos a los que estén expuestos y las medidas de seguridad.
Prevención, reacción y recuperación. La seguridad del sistema debe contemplar los aspectos de
para conseguir que las amenazas
- no se materialicen,
- no afecten gravemente a la información que maneja, o los servicios que se prestan.
Las medidas de prevención deben eliminar o al menos reducir, la posibilidad de que las amenazas lleguen a materializarse con perjuicio para el sistema. Las medidas de prevención contemplarán, entre otras:
- la disuasión y
- la reducción de la exposición.
- garantizará la conservación de los datos e informaciones en soporte electrónico.
- mantendrá disponibles los servicios durante todo el ciclo vital de la información digital, a través de una concepción y procedimientos que sean la base para la preservación del patrimonio digital.
Líneas de defensa. El sistema ha de disponer de una estrategia de protección constituida por múltiples capas de seguridad, dispuesta de forma que, cuando una de las capas falle, permita:
- organizativa,
- física y
La seguridad como función diferenciada. En los sistemas de información se diferenciará
- el responsable de la información,
- el responsable del servicio y
- el responsable de la seguridad.
- las atribuciones de cada responsable y
- los mecanismos de coordinación y resolución de conflictos.
En cuanto a los requisitos mínimos de seguridad, todos los órganos superiores de las Administraciones Públicas deberán disponer formalmente de su política de seguridad que articule la gestión continuada de la seguridad, que será aprobada por el titular del órgano superior correspondiente.
La política de seguridad se establecerá
- de acuerdo con los principios básicos indicados y
- se desarrollará aplicando los siguientes requisitos mínimos:
Se considerarán órganos superiores, los responsables directos de la ejecución de la acción del gobierno, central, autonómico o local, en un sector de actividad específico, de acuerdo con lo establecido en
- la Ley 6/1997, de 14 de abril, de organización y funcionamiento de la Administración General del Estado y
- Ley 50/1997, de 27 de noviembre, del Gobierno;
- los estatutos de autonomía correspondientes y normas de desarrollo;
- y la Ley 7/1985, de 2 de abril, reguladora de las bases del Régimen Local.
Todos los requisitos mínimos se exigirán en proporción a los riesgos identificados en cada sistema, pudiendo algunos no requerirse en sistemas sin riesgos significativos (se cumplirán de acuerdo con lo establecido en el artículo 27).
En cuanto a la organización e implantación del proceso de seguridad. La seguridad deberá comprometer a todos los miembros de la organización. La política de seguridad deberá identificar unos claros responsables de velar por su cumplimiento y ser conocida por todos los miembros de la organización administrativa.
Por lo que se refiere al análisis y gestión de los riesgos. Cada organización que desarrolle e implante sistemas para el tratamiento de la información y las comunicaciones realizará su propia gestión de riesgos, que se realizará por medio del análisis y tratamiento de los riesgos a los que está expuesto el sistema. Las medidas adoptadas para mitigar o suprimir los riesgos
- deberán estar justificadas y, en todo caso,
- existirá una proporcionalidad entre ellas y los riesgos.
Por lo que respecta a la gestión de personal, todo el personal relacionado con la información y los sistemas
- deberá ser formado e informado de sus deberes y obligaciones en materia de seguridad.
- sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos establecidos.
- el personal relacionado con la información y los sistemas, ejercitará y aplicará los principios de seguridad en el desempeño de su cometido.
Con la finalidad de corregir o exigir responsabilidades, cada usuario que acceda a la información del sistema debe estar identificado de forma única, de modo que se sepa
- quién recibe derechos de acceso,
- de qué tipo son éstos, y
- quién ha realizado determinada actividad.
Profesionalidad. La seguridad de los sistemas estará
- atendida,
- revisada y
- auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida:
De manera objetiva y no discriminatoria, las Administraciones Públicas exigirán, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles idóneos de gestión y madurez en los servicios prestados.
Autorización y control de los accesos. El acceso al sistema de información deberá ser
- controlado y
- limitado a
otros sistemas de información, debidamente autorizados,
restringiendo el acceso a las funciones permitidas.
Protección de las instalaciones. Los sistemas se instalarán en
- áreas separadas, dotadas de un procedimiento de
- las salas deben estar cerradas y disponer de un
Adquisición de productos de seguridad y contratación de servicios de seguridad. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser empleados por las Administraciones Públicas se utilizarán, de forma proporcionada a la categoría del sistema y nivel de seguridad determinados, los que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.
La certificación deberá estar de acuerdo con las normas y estándares de mayor reconocimiento internacional en el ámbito de la seguridad funcional.
El Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información, constituido al amparo de lo dispuesto en el artículo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la orden PRE/2740/2007, de 19 de septiembre, dentro de sus competencias, determinará el criterio a cumplir en función del uso previsto del producto a que se refiera, en relación con el nivel de evaluación, otras certificaciones de seguridad adicionales que se requieran normativamente, así como, excepcionalmente, en los casos en que no existan productos certificados. El proceso indicado, se efectuará teniendo en cuenta los criterios y metodologías de evaluación, determinados por las normas internacionales que recoge la citada orden ministerial.
Seguridad por defecto. Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad por defecto, según lo cual:
c) En un sistema de explotación se eliminarán o desactivarán, mediante el control de la configuración, las funciones que
- no sean de interés,
- sean innecesarias e, incluso,
- las que sean inadecuadas al fin que se persigue.
Integridad y actualización del sistema. Todo elemento físico o lógico requerirá autorización formal previa a su instalación en el sistema. Se deberá conocer, en todo momento, el estado de seguridad de los sistemas en relación a
- las especificaciones de los fabricantes,
- a las vulnerabilidades y
- a las actualizaciones que les afecten,
reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de los mismos.
Protección de información almacenada y en tránsito. En la estructura y organización de la seguridad del sistema, se prestará especial atención a la información almacenada o en tránsito a través de entornos inseguros.
Tendrán la consideración de entornos inseguros
- los equipos portátiles,
- asistentes personales (PDA),
- dispositivos periféricos,
- soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.
Toda información en soporte no electrónico, que haya sido causa o consecuencia directa de la información electrónica, deberá estar protegida con el mismo grado de seguridad que ésta. Para lo cual se aplicarán las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicación a la seguridad de los mismos.

References: Real Decreto 
 artículo 42
 real decreto 
 artículo 2
 resolución 
 artículo 27
 artículo 2
 Real Decreto