Source: http://docplayer.es/10236249-Aspectos-practicos-de-implementacion-del-esquema-nacional-de-seguridad.html
Timestamp: 2019-04-25 20:22:08
Document Index: 415092137

Matched Legal Cases: ['artículo 34', 'artículo 34', 'artículo 39', 'Artículo 37', 'artículo 36', 'Artículo 4', 'Artículo 9', 'Artículo 7']

Aspectos prácticos de implementación del Esquema Nacional de Seguridad - PDF
Download "Aspectos prácticos de implementación del Esquema Nacional de Seguridad"
Daniel Vega Calderón
1 Aspectos prácticos de implementación del Esquema Nacional de Seguridad 1
2 Contenidos Recordatorio rápido de la estructura del ENS Sobre la auditoría de seguridad en el ENS Las guías 800 del Centro Criptológico Nacional - CNN Preguntas frecuentes y aspectos prácticos 2
3 Estructura del decreto 1- Disposiciones generales 2- Principios básicos del ENS 3- Requisitos mínimos de seguridad 4- Comunicaciones electrónicas 5- Auditoría de la seguridad 6- Estado de seguridad de los sistemas 7- Respuesta a incidentes de seguridad 8- Normas de conformidad 9- Actualización 10- Categorización de los sistemas de información Disposiciones finales Anexo 1- Categorías de los sistemas Anexo 2- Medidas de seguridad Anexo 3- Auditoría de seguridad Anexo 4- Glosario Anexo 5- Modelo de cláusula administrativa particular 3
4 Sobre la auditoría de seguridad en el ENS 4
5 Principios de auditoría Los sistemas de seguridad deberán ser auditados en base a estos principios: Que la política de seguridad define los roles y funciones de los responsables de la información, los servicios, los activos y la seguridad del sistema de información Que existen procedimientos para resolución de conflictos entre dichos responsables Que se han designado personas para dichos roles a la luz del principio de «separación de funciones» Que se ha realizado un análisis de riesgos, con revisión y aprobación anual Que se cumplen las recomendaciones de protección descritas en el anexo II, sobre Medidas de Seguridad, en función de las condiciones de aplicación en cada caso. Que existe un sistema de gestión de la seguridad de la información, documentado y con un proceso regular de aprobación por la dirección 5
6 Cuándo realizarla? Según lo estipula el artículo 34 deberá realizarse con carácter ordinario cada dos años Con carácter extraordinaria cuando se produzcan modificaciones sustanciales en el sistema de la información Esta última iniciará de nuevo el cómputo del cálculo bienal de la auditoría ordinaria 6
7 Niveles de auditoría Para los sistemas de categoría básica no será necesario realizar una auditoría, bastará con una autoevaluación. No obstante ésta deberá estar documentada Las auditorías para los sistemas de categorías de tipo medio y alto se realizarán según lo dispuesto en el artículo 34 Deberán generar un informe de auditoría 7
8 Artículo En el marco de lo dispuesto en el artículo 39, de la ley 11/2007, de 22 de junio, la auditoría profundizará en los detalles del sistema hasta el nivel que considere que proporciona evidencia suficiente y relevante, dentro del alcance establecido para la auditoría 4. En la realización de esta auditoría se utilizarán los criterios, métodos de trabajo y de conducta generalmente reconocidos, así como la normalización nacional e internacional aplicables a este tipo de auditorías de sistemas de información 8
9 Artículo El informe de auditoría deberá dictaminar sobre el grado de cumplimiento del presente real decreto, identificar sus deficiencias y sugerir las posibles medidas correctoras o complementarias necesarias, así como las recomendaciones que se consideren oportunas. Deberá, igualmente, incluir los criterios metodológicos de auditoría utilizados, el alcance y el objetivo de la auditoría, y los datos, hechos y observaciones en que se basen las conclusiones formuladas. 6. Los informes de auditoría serán presentados al responsable del sistema y al responsable de seguridad competentes. Estos informes serán analizados por este último que presentará sus conclusiones al responsable del sistema para que adopte las medidas correctoras adecuadas. 9
13 Las guías 800 del Centro Criptológico Nacional - CNN 13
14 Guías de desarrollo del ENS - El Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor cumplimiento de dichos requisitos mínimos - La serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad. 14
26 Preguntas frecuentes y Aspectos prácticos 26
27 HERRAMIENTA PILAR - Análisis de Riesgos formal con metodología MAGERIT - Uso libre para la administración - Perfil del ENS - Funcionalidades 2010 PILAR-ENS - Cumplimentar principios básicos y requisitos mínimos - Apoyo en la realización de las auditorías 27
30 Artículo 37. Prestación de servicios de respuesta a incidentes de seguridad a las Administraciones públicas 1. De acuerdo con lo previsto en el artículo 36, el CCN-CERT prestará a las Administraciones públicas los siguientes servicios: a) Soporte y coordinación para el tratamiento de vulnerabilidades y la resolución de incidentes de seguridad que tengan la Administración General del Estado, las Administraciones de las comunidades autónomas, las entidades que integran la Administración Local y las Entidades de Derecho público con personalidad jurídica propia vinculadas o dependientes de cualquiera de las administraciones indicadas. El CCN-CERT, a través de su servicio de apoyo técnico y de coordinación, actuará con la máxima celeridad ante cualquier agresión recibida en los sistemas de información de las Administraciones públicas. Para el cumplimiento de los fines indicados en los párrafos anteriores se podrán recabar los informes de auditoría de los sistemas afectados 30
31 b) Investigación y divulgación de las mejores prácticas sobre seguridad de la información entre todos los miembros de las Administraciones públicas. Con esta finalidad, las series de documentos CCN- STIC (Centro Criptológico Nacional-Seguridad de las Tecnologías de Información y Comunicaciones), elaboradas por el Centro Criptológico Nacional, ofrecerán normas, instrucciones, guías y recomendaciones para aplicar el Esquema Nacional de Seguridad y para garantizar la seguridad de los sistemas de tecnologías de la información en la Administración c) Formación destinada al personal de la Administración especialista en el campo de la seguridad de las tecnologías de la información, al objeto de facilitar la actualización de conocimientos del personal de la Administración y de lograr la sensibilización y mejora de sus capacidades para la detección y gestión de incidentes. d) Información sobre vulnerabilidades, alertas y avisos de nuevas amenazas a los sistemas de información, recopiladas de diversas fuentes de reconocido prestigio, incluidas las propias. 31
33 Qué diferencia hay entre el responsable de la información, el responsable del servicio, el responsable del sistema y el responsable de seguridad? El Real Decreto 3/2010 señala las siguientes figuras: El responsable de información determina los requisitos de ésta. Suele ser un alto cargo. Nótese que la información de alto nivel que se maneja en un órgano de la Administración Pública o Entidad de Derecho Público cae habitualmente dentro de un grupo reducido de tipos de información, tipos que son muy estables en el tiempo. La valoración se realiza una vez en una fase inicial de implantación del ENS y puede permanecer inalterable durante años. El responsable del servicio determina los requisitos de los servicios prestados. Suele ser un jefe de servicio o equivalente, habitualmente jerárquicamente supeditado al responsable de la información. Esta estructura refleja el hecho habitual de que un servicio hereda los requisitos de la información que maneja, sin perjuicio de las exigencias en materia de disponibilidad que convenga añadir. 33
34 El responsable de seguridad, determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios. Tiene un perfil más técnico ya que su misión es asegurarse de que las medidas de seguridad que se van a aplicar satisfacen los requisitos demandados por los responsables de la información y los servicios. El responsable del sistema, constituye habitualmente el punto de contacto del sistema, es en líneas generales el encargado de las operaciones del sistema y, desde el punto de vista operacional, conocer todos los elementos que constituyen el sistema y asegurar que existe autorización previa a su entrada en funcionamiento. En cualquier caso, la determinación precisa de quién se ocupa de cada función debe adecuarse a las particularidades de cada organización y parece difícil que pueda establecerse una regla única para toda la Administración en todos los niveles. El ENS señala responsabilidades, que en algunos sitios serán más formales (se limita a firmar) y en otros sitios serán más operacionales (se involucra activamente). 34
35 Cuál es la relación entre el ENS y la norma ISO/IEC 27002? - La norma ISO/IEC es un conjunto de controles de seguridad para sistemas de información genéricos. - Numerosas medidas de seguridad del ENS coinciden con controles de ISO/IEC El ENS es más preciso y establece un sistema de protección proporcionado a la información y servicios a proteger para racionalizar la implantación de medidas de seguridad y reducir la discrecionalidad. - La norma ISO/IEC carece de esta proporcionalidad, quedando a la mejor opinión del auditor que certifica la conformidad con ISO/IEC Por otra parte, el ENS contempla diversos aspectos, por ejemplo, relativos a la firma electrónica no recogidos en la norma ISO/IEC
36 Requisitos del RD ISO Artículo 4. Principios básicos 4.2 Creación del SGSI Análisis y gestión de los riesgos Creación del SGSI Artículo 9. Reevaluación periódica Monitorización y revisión del SGSI Artículo 7 PDCA Organización e implantación del proceso de seguridad 5.1 Compromiso de la dirección Gestión de personal Profesionalidad Autorización y control de los accesos Protección de las instalaciones Adquisición de productos Seguridad por defecto Integridad y actualización del sistema Protección de la información almacenada y en tránsito Prevención ante otros sistemas de información interconectados Registro de actividad Incidentes de seguridad Continuidad de la actividad Mejora continua del proceso de seguridad CAPITULO IV CAPITULO V Concienciación, formación y capacitación en seguridad A.8 + A A A.11.6 A.9 Seguridad física y ambiental A Comprobación del cumplimiento técnico en materia de seguridad A Análisis y especificación de requisitos de seguridad A A A A Soportes físicos en tránsito A.10.6 Gestión de seguridad de red y A.6.2 Trato con terceros "A Registro de auditorias y A Supervisión del uso del sistema A Notificación de eventos de seguridad "A.14 Gestión de continuidad de negocio y A.10.5 Copias de seguridad" 8.1 Mejora continua A.10.6 Gestión de seguridad en red y A Política de uso de controles criptográficos Supervisión y revisión del SGSI 36
37 Alguna pregunta?, Dpto. Ingeniería Eléctrica Electrónica y de Control 37
38 Referencias El Esquema Nacional de Seguridad y sus Guías de Implantación: Todo sobre el ENS: El ENS en ISOTools: Una comparación con ISO 27001: «El análisis de riesgos en la ISO y en el Esquema Nacional de Seguridad»: 38