Source: http://docplayer.es/6471346-Hacia-el-esquema-nacional-de-seguridad.html
Timestamp: 2018-01-22 14:51:01+00:00

Document:
Hacia el Esquema Nacional de Seguridad - PDF
Download "Hacia el Esquema Nacional de Seguridad"
José Ignacio Díaz Aranda
1 Hacia el Esquema Nacional de Seguridad "Plan Director de Seguridad en las Administraciones Públicas" Miguel Álvarez Rodríguez: Jefe de Área de Cooperación Ministerio de Administraciones Públicas
2 Índice 1. Contexto: OCDE, UE, normalización, otros países. 2. Ley 11/ ENS. Situación de partida. 4. Principales aspectos a tratar. 5. Visión panorámica de las piezas. 6. Conclusiones. 2
3 Contexto OCDE Directrices de seguridad de la información y de las redes... Evaluación del riesgo, Diseño y realización de la seguridad, Gestión de la seguridad, Reevaluación Implementation Plan for the OECD Guidelines: Government should develop policies that reflect best practices in security management and risk assessment...to create a coherent system of security. UNIÓN EUROPEA COM(2001) 298 final Seguridad de las redes y la información establecimiento de "políticas de seguridad de la organización" i2010 [COM(2006) 173 final] Énfasis en eidm y firma-e Hoja de ruta hacia un marco europeo sobre eidm. Proyecto piloto sobre eidm (STORK). Firmas electrónicas en la administración electrónica. ENISA Identificación de buenas prácticas y tendencias tecnológicas y emergentes. Seguimiento de métodos de análisis y gestión de riesgos. Apoyo a las actividades de eidm (i2010). Buenas prácticas de CERTs. Normalización: nacional e internacional en seguridad de TI. 3
4 Contexto. Actuaciones en otros países EE.UU. Federal Information Security Management Act of 2002(FISMA Act 2002) Fuerza normativa: 'Mandatory' Supervisión de políticas y prácticas de seguridad de las agencias federales. Estructura de responsabilidades. The Director: Supervisión de las agencias y del Fed.-CERT, informe anual al Congreso, coordinación del desarrollo de estándares y guías con el NIST. Agencias: responsabilidades, programa de seguridad, auditoría e informe anual. Programa de seguridad de la información y de los sistemas de información. Protección frente a acceso, uso, revelación, modificación, interrupción no autor., o destrucción de la información y de los sistemas de información. Políticas y procedimientos basados en la valoración periódica del riesgo. Conformidad con requisitos, políticas, procedimientos y estándares. Auditoría anual. Reino Unido Security egovernment Framework Ámbito: Servicios de administración electrónica.central y local. Fuerza normativa: Baseline and guidance. Expresión de requisitos de seguridad para los servicios de Adm-e. Análisis y gestión de riesgos: identificación de requisitos y medidas de seguridad. Otros países: Alemania, Francia 4
5 Ley 11/2007 Confianza y seguridad Artículo 3. Finalidades de la Ley 3. Crear las condiciones de confianza en el uso de los medios electrónicos, estableciendo las medidas necesarias para la preservación de la integridad de los derechos fundamentales, y en especial los relacionados con la intimidad y la protección de datos de carácter personal, por medio de la garantía de la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos. Artículo 4. Principios generales a) El respeto al derecho a la protección de datos de carácter personal en los términos establecidos por la Ley Orgánica 15/1999, de Protección de los datos de carácter personal, en las demás Leyes específicas que regulan el tratamiento de la información y en sus normas de desarrollo, así como a los derechos al honor y a la intimidad personal y familiar.... f) Principio de seguridad en la implantación y utilización de los medios electrónicos por las Administraciones Públicas, en cuya virtud se exigirá al menos el mismo nivel de garantías y seguridad que se requiere para la utilización de medios no electrónicos en la actividad administrativa. g) Principio de proporcionalidad en cuya virtud sólo se exigirán las garantías y medidas de seguridad adecuadas a la naturaleza y circunstancias de los distintos trámites y actuaciones. h) Principio de responsabilidad y calidad en la veracidad y autenticidad de las informaciones y servicios ofrecidos por las Administraciones Públicas a través de medios electrónicos. 5
6 Ley 11/2007 Esquema Nacional de Seguridad Ley 11/2007, artículo 42. Tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos. Constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información. Se tendrán en cuenta: Recomendaciones de la Unión Europea. Situación tecnológica de las diferentes AA.PP. Servicios electrónicos ya existentes. Estándares abiertos así como, en su caso y de forma complementaria, estándares que sean de uso generalizado por los ciudadanos. Se elaborará con la participación de todas las Administraciones. Se aprobará por Real Decreto del gobierno. Propuesta de la Conferencia Sectorial de Administración Pública. Previo informe de la Comisión Nacional de Administración Local. Se debe mantener actualizado de manera permanente. 6
7 Esquema Nacional de Seguridad Situación de partida Marco legal Evaluación del riesgo Diseño y realización de la seguridad Gestión de la seguridad Reevaluación Protección de datos de carácter personal Procedimiento administrativo Acceso electrónico a los Servicios Públicos Identificación y firma electrónica Evaluación y certificación de las seguridad de las TI Uso de material de cifra Documentos oficiales Análisis y gestión de riesgos Metodología y herramienta de aplicación: Magerit v2 Pilar Criterios de seguridad, normalización y conservación Guías CCN-STIC Normalización nacional e internacional Esquema Nacional de Evaluación y Certificación Infraestructuras de identidad y firma electrónica: CCN-CERT 7
8 Esquema Nacional de Seguridad Principales aspectos a tratar (I) Principios básicos de seguridad. Tales como: Seguridad integral Gestión de riesgos Prevención reacción y recuperación Líneas de defensa Reevaluación periódica Requisitos mínimos de seguridad. Tales como: Organización e implantación del proceso de seguridad. Análisis y gestión de riesgos. Protección de las instalaciones. Gestión de personal. Prevención ante otros sistemas de información interconectados. Continuidad de la actividad. Actualización del sistema. Profesionalidad. Seguridad por defecto. Registro y atención de incidentes de seguridad. Protección de información almacenada y en tránsito. Adquisición de productos. Mejora continua del proceso de seguridad. 8
9 Esquema Nacional de Seguridad Principales aspectos a tratar (II) Clasificación de la información / categorización de los sistemas. Teniendo en cuenta: El principio de proporcionalidad. Las dimensiones de la seguridad: disponibilidad, autenticidad, integridad, confidencialidad, trazabilidad. La clasificación de la información. Tres escalones de categorización de los sistemas: bajo, medio, alto. Medidas de protección. En función de la clasificación de la información y de la categorización de los sistemas. Según los escalones bajo, medio y alto. Estructuradas teniendo en cuenta aspectos de carácter organizativo, operacional y de protección. Otras cuestiones: Autoevaluación y auditoría. Informe para conocimiento del estado general de la seguridad en la Administración. 9
10 Esquema Nacional de Seguridad Principales aspectos a tratar (III) Determinar el alcance del sistema Clasificar la información Categorizar el sistema Informe de estado de seguridad Inventario de activos a proteger Operación del sistema de protección Análisis de riesgos Evaluación del sistema de protección Aplicación de las medidas de protección Determinación de las medidas de protección aplicables 10
11 Esquema Nacional de Seguridad Principales aspectos a tratar (IV) Estructura: real decreto con cuerpo y anexos. Ámbito de aplicación: artículo 2 de Ley 11/2007. Conformidad. Posibles referencias a: Disposiciones relativas a creación de sedes y registros electrónicos. Ciclo de vida de servicios y sistemas. Mecanismos de control. Publicación de la conformidad. Formación. Adecuación de servicios y sistemas. 11
12 Esquema Nacional de Seguridad Visión panorámica de las piezas Política de seguridad Principios básicos Requisitos mínimos Esquema Nacional de Seguridad Desarrollo e Implementación del Esquema Series CCN-STIC Normalización STIC nacional e internacional Instrumentos y especialización Análisis y gestión de riesgos Magerit v2 PILAR Normalización STIC nacional e internacional Servicios... Formación Fuente: Elaboración Miguel A. Amutio 12
13 Seguridad e Interoperabilidad Estrechamente relacionadas Fuente: Elaboración Miguel A. Amutio 13
14 Conclusiones El Esquema Nacional de Seguridad es un instrumento al servicio del desarrollo de la administración electrónica. Se encuentra en proceso de elaboración. Se pueden producir cambios en relación con lo incluido en esta presentación. Está constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información. Aplica el análisis y gestión de riesgos para satisfacer principios de proporcionalidad y seguridad. Para la implementación y detalles se remite a diversos instrumentos, herramientas, servicios e infraestructuras disponibles. Apoya la estrategia de la Administración en cuanto a la creación de condiciones de confianza en el uso de los medios electrónicos por medio de la garantía de seguridad de los sistemas, los datos, las comunicaciones y los servicios electrónicos. 14
El Manual Práctico de Supervivencia en la Administración Electrónic@ 131. Tercera Parte: Aspectos Jurídicos
El Manual Práctico de Supervivencia en la Administración Electrónic@ 131 Tercera Parte: Aspectos Jurídicos El Manual Práctico de Supervivencia en la Administración Electrónic@ 133 6 El Marco Legal de

References: Artículo 3
 Artículo 4
 artículo 42
 Real Decreto 
 real decreto 
 artículo 2