Source: http://docplayer.es/788380-Guia-de-seguridad-ccn-stic-808-verificacion-del-cumplimiento-de-las-medidas-en-el-ens.html
Timestamp: 2017-08-24 01:40:13
Document Index: 189093144

Matched Legal Cases: ['artículo 4', 'artículo 4', 'artículo 9', 'artículo 42', 'artículo 34', 'artículo 34', 'artículo 11']

GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS - PDF
Download "GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS"
Juan Carlos Olivera Valverde
1 GUÍA DE SEGURIDAD (CCN-STIC-808) VERIFICACIÓN DEL CUMPLIMIENTO DE LAS MEDIDAS EN EL ENS SEPTIEMBRE 2011
2 CCN-STIC-808 v1.1 Edita: Editor y Centro Criptológico Nacional, 2011 NIPO: Tirada: 1000 ejemplares Fecha de Edición: septiembre de 2011 Andrés Méndez Barco ha elaborado el presente documento y Javier Almendro Sagristá ha participado en su revisión. El Ministerio de Política Territorial y Administración Pública ha financiado el presente documento y sus anexos. LIMITACIÓN DE RESPONSABILIDAD El presente documento se proporciona de acuerdo con los términos en él recogidos, rechazando expresamente cualquier tipo de garantía implícita que se pueda encontrar relacionada. En ningún caso, el Centro Criptológico Nacional puede ser considerado responsable del daño directo, indirecto, fortuito o extraordinario derivado de la utilización de la información y software que se indican incluso cuando se advierta de tal posibilidad. AVISO LEGAL Quedan rigurosamente prohibidas, sin la autorización escrita del Centro Criptológico Nacional, bajo las sanciones establecidas en las leyes, la reproducción parcial o total de este documento por cualquier medio o procedimiento, comprendidos la reprografía y el tratamiento informático, y la distribución de ejemplares del mismo mediante alquiler o préstamo públicos. Centro Criptológico Nacional i
3 CCN-STIC-808 v1.1 PRÓLOGO El uso masivo de las tecnologías de la información y las telecomunicaciones (TIC), en todos los ámbitos de la sociedad, ha creado un nuevo espacio, el ciberespacio, donde se producirán conflictos y agresiones, y donde existen ciberamenazas que atentarán contra la seguridad nacional, el estado de derecho, la prosperidad económica, el estado de bienestar y el normal funcionamiento de la sociedad y de las administraciones públicas. La Ley 11/2002, de 6 de mayo, reguladora del Centro Nacional de Inteligencia, encomienda al Centro Nacional de Inteligencia el ejercicio de las funciones relativas a la seguridad de las tecnologías de la información en su artículo 4.e), y de protección de la información clasificada en su artículo 4.f), a la vez que confiere a su Secretario de Estado Director la responsabilidad de dirigir el Centro Criptológico Nacional en su artículo 9.2.f). Partiendo del conocimiento y la experiencia del CNI sobre amenazas y vulnerabilidades en materia de riesgos emergentes, el Centro realiza, a través de su Centro Criptológico Nacional, regulado por el Real Decreto 421/2004, de 12 de marzo, diversas actividades directamente relacionadas con la seguridad de las TIC, orientadas a la formación de personal experto, a la aplicación de políticas y procedimientos de seguridad, y al empleo de tecnologías de seguridad adecuadas. Una de las funciones más destacables del Centro Criptológico Nacional es la de elaborar y difundir normas, instrucciones, guías y recomendaciones para garantizar la seguridad de los sistemas de las tecnologías de la información y las comunicaciones de la Administración, materializada en la existencia de la serie de documentos CCN-STIC. Disponer de un marco de referencia que establezca las condiciones necesarias de confianza en el uso de los medios electrónicos es, además, uno de los principios que establece la ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los servicios públicos, en su artículo 42.2 sobre el Esquema Nacional de Seguridad (ENS). Precisamente el Real Decreto 3/2010 de 8 de Enero de desarrollo del Esquema Nacional de Seguridad fija los principios básicos y requisitos mínimos así como las medidas de protección a implantar en los sistemas de la Administración, y promueve la elaboración y difusión de guías de seguridad de las tecnologías de la información y las comunicaciones por parte de CCN para facilitar un mejor cumplimiento de dichos requisitos mínimos. En definitiva, la serie de documentos CCN-STIC se elabora para dar cumplimiento a los cometidos del Centro Criptológico Nacional y a lo reflejado en el Esquema Nacional de Seguridad, conscientes de la importancia que tiene el establecimiento de un marco de referencia en esta materia que sirva de apoyo para que el personal de la Administración lleve a cabo su difícil, y en ocasiones, ingrata tarea de proporcionar seguridad a los sistemas de las TIC bajo su responsabilidad. Septiembre de 2011 Félix Sanz Roldán Secretario de Estado Director del Centro Criptológico Nacional Centro Criptológico Nacional ii
4 CCN-STIC-808 v1.1 ÍNDICE 1. INTRODUCCIÓN OBJETO ALCANCE CÓMO UTILIZAR ESTA GUÍA VERIFICACIÓN CUMPLIMIENTO ANEXO II. MEDIDAS DE SEGURIDAD MARCO ORGANIZATIVO MARCO OPERACIONAL MEDIDAS DE PROTECCIÓN ANEXO I. DEFINICIÓN DE TÉRMINOS ANEXO II. PLANTILLA DE INFORME DE AUDITORÍA Centro Criptológico Nacional iii
5 1. INTRODUCCIÓN 1. El Esquema Nacional de Seguridad (Real Decreto 3/2010 de 8 de enero), en su artículo 34 (Auditoría de la seguridad) y en su Anexo III (Auditoría de la seguridad), establece la obligatoriedad de la realización de una auditoría de seguridad para los sistemas de categoría media y alta de forma ordinaria cada dos años, o de forma extraordinaria cada vez que se produzcan modificaciones sustanciales en el sistema de información. 2. La presente guía viene a complementar a la guía CCN-STIC-802 Esquema Nacional de Seguridad Guía de auditoría. 2. OBJETO 3. El objeto de esta guía es que sirva tanto de itinerario, como de registro, a aquella persona designada como auditor de los requisitos del Esquema Nacional de Seguridad para un sistema. 3. ALCANCE 4. Esta guía es de aplicación a cualquier entidad pública española que deba cumplir con los preceptos de la Ley de Acceso Electrónico de los Ciudadanos a los Servicios Públicos (Ley 11/2007 de 22 de junio), de la que emana el Esquema Nacional de Seguridad (Real Decreto 3/2010 de 8 de enero), con independencia de su naturaleza o dimensión y cuyos sistemas se hayan clasificado como de nivel medio o alto. 4. CÓMO UTILIZAR ESTA GUÍA 5. El formato de esta guía pretende que sea una herramienta para el trabajo de campo. Dado que algún espacio reservado para las anotaciones pudiera resultar insuficiente, recomendamos al auditor acompañarse de los medios que necesite para poder anotar o recopilar las evidencias que considere necesarias. 6. En el apartado se especifica el requisito o requisitos que existen para cada medida de seguridad. Cada uno va precedido de una casilla (!) para marcar: a. " si lo cumple. b. # si no lo cumple. 7. Con objeto de conseguir una uniformidad a la hora de realizar la auditoría por parte de diferentes auditores, se proporciona una evidencia modelo que el auditor podrá requerir, aunque esta puede variar en función de las circunstancias. 8. Igualmente, con objeto de cumplir el apartado 5 del artículo 34 del RD 3/2010 en el que se indica que El informe de auditoría deberá dictaminar sobre el grado de cumplimiento del presente real decreto, se sugiere el uso del número de casillas marcadas como " a la hora de valorar el grado de cumplimiento, considerándose que una medida de seguridad tendrá el siguiente grado de cumplimiento: a. Completo (100%): Si todos los requisitos de la medida de seguridad están satisfechos. Centro Criptológico Nacional 4
6 b. Alto (50%-99%): Si sólo la mitad de los requisitos de la medida de seguridad están satisfechos. c. Bajo (1%-49%): Si menos de la mitad de los requisitos de la medida de seguridad están satisfechos. d. Nulo (0%): Si ninguno de los requisitos de la medida de seguridad están satisfechos. 9. En el apartado Aplicabilidad se divide en: a. Aplica : Marque Sí en caso de que la medida de seguridad sea de aplicación al sistema que está auditando. En caso contrario marque No. Algunas medidas no permiten marcar No, ello se debe a que son medidas que siempre se deben aplicar. b. Lo audito : Marque Sí en caso de que haya auditado la medida de seguridad, con independencia de que sea de aplicación o no la medida de seguridad (si no es de aplicación la medida de seguridad, la auditoría debe verificar en este caso que el motivo de que no aplique sigue siendo vigente). No es imprescindible auditar todas las medidas de seguridad cada vez que se lleva a cabo una auditoría (consultar qué medidas debe auditar obligatoriamente en la guía CCN-STIC-802 Esquema Nacional de Seguridad Guía de Auditoría, apartado 3.4 Programa de auditoría ), por lo que deberá marcar No si la ha omitido. Aquellas medidas que deben auditarse siempre no permiten marcar No. 10. El apartado se divide en: a. Documento: Puede ser la política, normativa o procedimiento (si es que se encuentra documentada) que documenta cómo está o debe estar implantada la medida de seguridad. b. Muestreo: Permite anotar qué activo o elemento de muestra ha analizado. Por ejemplo, a la hora de verificar la identificación de los usuarios, anotar qué repositorio de usuarios ha revisado. c. Permite que el auditor tome notas sobre la medida de seguridad, como la persona a la que ha entrevistado, un resumen de lo que le ha contestado, etc. 5. VERIFICACIÓN CUMPLIMIENTO ANEXO II. MEDIDAS DE SEGURIDAD 11. Este apartado se divide en aquellos grupos que componen las medidas de seguridad, es decir, marco organizativo, marco operacional y medidas de protección. 12. Por cada uno de los componentes de los anteriores grupos se indicará cómo verificar el correcto cumplimiento con las medidas indicadas en el ENS, haciendo referencia a aquellas guías que proporcionan información sobre las medidas a aplicar en cada caso. 13. Cabe destacar que las propuestas de verificación son a modo de ejemplo, el auditor deberá adaptar la pregunta al entorno en el que se encuentre y opere el sistema. Centro Criptológico Nacional 5
7 5.1. MARCO ORGANIZATIVO org org.1 MARCO ORGANIZATIVO Política de seguridad Básica - D, A, I, C, T $ 1.- Dispone de una política de seguridad escrita? Evidencia: La política de seguridad está impresa o guardada en formato electrónico. Respecto a dicha política de seguridad: $ Ha sido aprobada por el órgano superior competente (de acuerdo a lo establecido en el artículo 11 del RD 3/2010)? Evidencia: La política de seguridad fue redactada por un órgano superior o ha sido aprobada (mediante algún registro escrito o electrónico) por el mismo. En caso de que el órgano superior no disponga de política de seguridad, deberá tener una política de seguridad elaborada por el responsable STIC y aprobada por el Comité STIC y el Comité de Seguridad Corporativa. Además, existe un procedimiento de revisión y firma regular (este último si no existe una política de seguridad redactada por un órgano superior). $ Sí $ Sí $ Precisa los objetivos y misión de la organización? Evidencia: Dentro de la política se indica cuáles son los objetivos (p.ej: reducir el número de quejas en un 10% con respecto al año anterior) y la misión (p.ej: prestar servicios de calidad en materia de gestión educativa a los ciudadanos) de la organización. $ Precisa el marco legal y regulatorio en el que se desarrollarán las actividades? Evidencia: Dentro de la política se indican las leyes que le son de aplicación (LO 15/1999, RD 1720/2007, L 11/2007, RD 3/2010, etc.) así como las distintas regulaciones que pudieran existir (ámbito europeo, local, etc.). $ Precisa los roles o funciones de seguridad, definiendo para cada uno, los deberes y responsabilidades del cargo, así como el procedimiento para su designación y renovación? Evidencia: Dentro de la política se indican los roles de seguridad (responsable de la información, responsable del servicio, responsable de la seguridad ó Centro Criptológico Nacional 6
8 STIC, responsable del sistema ó TIC, administradores, operadores, usuarios, equipo de respuesta ante incidentes, etc.), sus deberes (velar por el cumplimiento de la normativa, estar al tanto de los cambios de la tecnología, realizar el análisis de riesgos, etc.) y el procedimiento para su designación y renovación (cada cuánto se renueva, por qué motivos, quién lo designa, etc.). $ Precisa la estructura del comité/s para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, los miembros y la relación con otros elementos de la organización? Evidencia: Dentro de la política se indican la existencia de un Comité STIC, su composición (existencia de un responsable STIC, representantes de otros departamentos como seguridad física, seguridad operacional, etc.), su relación con otros elementos de la organización (alta dirección, comité de seguridad corporativa, etc.) y responsabilidad (redacción de la Política de Seguridad de las TIC, creación y aprobación de las normas y procedimientos sobre el uso de las TIC, definición de requisitos de formación del personal TIC, etc.). $ Precisa las directrices para la estructuración de la documentación de seguridad del sistema, su gestión y acceso? Evidencia: Dentro de la política se indica cuál es el criterio para la clasificación de la documentación, el procedimiento para su clasificación, quién debe generarla y aprobarla, qué personas pueden acceder a ella, con qué frecuencia o bajo qué circunstancias debe revisarse, etc. $ En aquello en lo que se corresponda con el Documento de Seguridad exigido por el R.D. 1720/2007 hace referencia y es coherente con el mismo? Evidencia: La política hace referencia o coincide, máxime si dentro del alcance se incluyen datos de carácter personal, a la hora de establecer los roles de los responsables, identificación de ficheros/activos, es coherente con las funciones y obligaciones del personal, registro de incidencias, control de acceso, gestión de soportes, identificación y autenticación, copias de respaldo y recuperación, auditoría, control de acceso físico, distribución de soportes, registro de accesos, telecomunicaciones, etc. $ Ha sido difundida, así como cualquier actualización de la misma, entre el personal afectado? Evidencia: Colocar la política en el tablón de anuncios accesible por el personal afectado, en la intranet, envío mediante circular escrita o por , etc. Si hay varias versiones, constatar que se ha avisado de la existencia de nuevas versiones, así como de lo que ha cambiado. Existe un procedimiento documentado que establece la responsabilidad de difundir adecuadamente este Centro Criptológico Nacional 7
9 documento tras cualquier modificación. org.2 CCN-STIC-001 Seguridad de las TIC en la Administración CCN-STIC-201 Organización y Gestión para la Seguridad de las TIC CCN-STIC-203 Estructura y Contenido de los Procedimientos Operativos de Seguridad (POS) CCN-STIC-400 Manual de Seguridad de las TIC CCN-STIC-402 Organización y Gestión para la Seguridad de los Sistemas TIC CCN-STIC-801 ENS Responsables y Funciones Normativa de seguridad Básica - $ 1.- Dispone de uno o varios documentos que constituyan la normativa de D, A, I, C, T seguridad escrita? Evidencia: La normativa de seguridad está impresa o guardada en formato electrónico, la ha elaborado el responsable STIC y está aprobada por el Comité STIC. Además, se indica que es de obligado cumplimiento y existe un procedimiento de revisión y firma regular. Respecto a dicha normativa de seguridad: $ Precisa el uso correcto de equipos, servicios e instalaciones? Evidencia: Existen normativas respecto a la protección de equipos desatendidos, uso del correo electrónico con fines personales, medidas contra el acceso físico no autorizado a las instalaciones, etc. Estas normativas deben indicar cómo localizar los procedimientos relacionados. $ Sí $ Sí $ Precisa lo que se considera uso indebido? Evidencia: Existen normativas que indican lo que se considera un uso indebido de los equipos (p.ej: utilizar el ordenador para fines personales), los servicios (p.ej: utilizar Internet para descargar contenidos no autorizados o inapropiados), las instalaciones (p.ej: comer en la sala de servidores), la información (p.ej: enviar datos confidenciales mediante correo electrónico sin cifrar), etc. $ Precisa la responsabilidad del personal con respecto al cumplimiento o violación de estas normas (derechos, deberes y medidas disciplinarias de acuerdo con la legislación vigente)? Evidencia: Existen normativas que indican los derechos (p.ej: acceso al correo electrónico para el ejercicio de sus funciones), deberes (p.ej: informar de cualquier incidente que afecte a la seguridad de la información) y medidas disciplinarias (referencia a la Ley 7/2007, de 12 de abril, del Estatuto Básico del Empleado Público o adaptaciones particulares). Centro Criptológico Nacional 8
10 $ Ha sido difundida, así como cualquier actualización de la misma, entre el personal afectado? Evidencia: Colocar la normativa accesible por el personal afectado, en la intranet, envío mediante circular escrita o por , etc. Si hay varias versiones, constatar que se ha avisado de la existencia de nuevas versiones, así como de lo que ha cambiado. Existe un procedimiento documentado que establece la responsabilidad de difundir adecuadamente este documento tras cualquier modificación. org.3 CCN-STIC-402 Organización y Gestión para la Seguridad de los Sistemas TIC Criterios de seguridad Capítulos 3 y 17 Procedimientos de seguridad Básica - $ 1.- Dispone de uno o varios documentos que constituyan los D, A, I, C, T procedimientos de seguridad escritos? Evidencia: Los procedimientos de seguridad están impresos o guardados en formato electrónico, los ha elaborado el responsable STIC y están aprobados por el Comité STIC. Además, existe un procedimiento de revisión y firma regular. Deben existir procedimientos para aproximadamente el 80% de las actividades rutinarias (p.ej: sobre el inventariado de activos, la modificación de reglas en el firewall, las tareas de backup, el alta de usuarios, identificación y cobertura de nuevas necesidades, etc.). $ Sí $ Sí Respecto a dichos procedimientos de seguridad: $ Precisan cómo llevar a cabo las tareas habituales? Evidencia: Cada procedimiento debe cubrir, entre otros, en qué condiciones se aplica, qué se debe hacer, qué registros quedan de las actividades, y cómo reportar deficiencias en el procedimiento (p.ej: el procedimiento de inventario de activos podría indicar Tras la aprobación del cambio -adición, modificación o supresión- de uno o más activos del inventario, la persona encargada y autorizada para dicho cambio -el administrador de sistemas si es un servidor, el técnico de comunicaciones si es un elemento de red, etc.- deberá anotar en el inventario qué tipo de cambio se ha producido, sobre qué activo, la fecha y su nombre además de actualizar el detalle del activo-. En caso de encontrar algún problema en este procedimiento, reportarlo al responsable STIC detallando, mediante el sistema de notificaciones previamente estipulado, cuál ha sido el problema y, al menos, una propuesta de solución ). $ Precisan quién debe hacer cada tarea? Evidencia: Se asigna a cada tarea a un rol (responsable STIC, administrador, Centro Criptológico Nacional 9
11 operador, etc.) y una frecuencia (p.ej: el procedimiento de inventario de activos podría indicar Será el administrador de sistemas quien revise cada 6 meses el inventario de activos, si identifica que no ha cambiado ningún activo desde la última revisión, procederá a comprobar que efectivamente no se ha modificado nada dentro del alcance del inventario para asegurar que no ha habido ningún cambio no autorizado ni reportado ). $ Precisan cómo identificar y reportar comportamientos anómalos? Evidencia: Existe un procedimiento que define qué se entiende por comportamiento anómalo (p.ej: recibir un mensaje de error de la aplicación), cómo y a quién debe reportarse (p.ej: debe reportarse qué aplicación estaba usando, qué estaba haciendo y el mensaje de error por correo electrónico a org.4 CCN-STIC-203 Estructura y contenido de los procedimientos operativos de seguridad (POS) Criterios de seguridad Capítulo 3 Proceso de autorización Básica - $ 1.- Existe un proceso formal para las autorizaciones respecto a los D, A, I, C, T sistemas de información? Evidencia: La normativa de seguridad contempla, para cada tipo de componente o actuación, la persona o punto de contacto para su autorización. Existe un modelo de solicitud (formulario) que contiene: Descripción del elemento (componente) o actuación para la que se solicita la autorización, las actividades para las que se requiere el nuevo componente (motivación), el tiempo para el que se solicita la autorización (que puede ser temporal o permanente), justificación de que no afecta a otras funcionalidades del sistema, un análisis de riesgo conforme a la categoría del sistema (si el nuevo componente introduce posibles vulnerabilidades), justificación de que no viola ninguna normativa de seguridad, información de los procedimientos que son de aplicación así como de la necesidad de desarrollar nuevos si fuese necesario. A continuación se exponen los elementos sobre los cuales debe existir un proceso de autorización. Respecto a dicho proceso de autorización: $ Cubre la utilización de instalaciones, tanto habituales como alternativas? Evidencia: La normativa contempla el proceso de autorización de utilización de instalaciones (p.ej: acceso al CPD, uso de un local alternativo para los servidores de respaldo ante desastres, etc.), que cubre los requisitos antes Centro Criptológico Nacional 10
12 indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable pertinente antes de su entrada en explotación. $ Cubre la entrada de equipos en producción, en particular, equipos que involucren criptografía? Evidencia: La normativa contempla el proceso de autorización de entrada de equipos en producción, que cubre los requisitos antes indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable antes de su entrada en explotación. $ Cubre la entrada de aplicaciones en producción? Evidencia: La normativa contempla el proceso de autorización de entrada de aplicaciones en producción (p.ej: actualización de parches en el sistema operativo, instalación de nuevas aplicaciones, etc.), que cubre los requisitos antes indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable antes de su entrada en explotación. $ Cubre el establecimiento de enlaces de comunicaciones con otros sistemas? Evidencia: La normativa contempla el proceso de autorización de enlaces de comunicaciones con otros sistemas (p.ej: para el intercambio de expedientes entre un organismo y otro), que cubre los requisitos antes indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable antes de su entrada en explotación. $ Cubre la utilización de medios de comunicación (tanto habituales como alternativos)? Evidencia: La normativa contempla el proceso de autorización de utilización de medios de comunicación (p.ej: uso de una línea de datos para el acceso a Internet), que cubre los requisitos antes indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable antes de su entrada en explotación. $ Cubre la utilización de soportes de información? Evidencia: La normativa contempla el proceso de autorización de utilización de soportes de información (p.ej: cintas de backup, DVD, memorias USB, etc.), que cubre los requisitos antes indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el Centro Criptológico Nacional 11
13 responsable antes de su entrada en explotación. $ Cubre la utilización de equipos móviles? Evidencia: La normativa contempla el proceso de autorización de utilización de equipos móviles (p.ej: ordenadores portátiles, PDA u otros de naturaleza análoga), que cubre los requisitos antes indicados. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable antes de su entrada en explotación. $ Ha sido difundido, así como cualquier actualización de los mismos, entre el personal afectado? Evidencia: La normativa contempla el proceso de difusión, entre el personal afectado, de las nuevas versiones de los procesos de autorización, así como la persona responsable de ello. Existe evidencia documental del formulario de solicitud y de que estos recursos han sido autorizados por el responsable antes de su entrada en explotación. CCN-STIC-002 Coordinación criptológica CCN-STIC-302 Interconexión de sistemas de las tecnologías de la información y las comunicaciones que manejan información nacional clasificada en la administración Criterios de seguridad Capítulo 13 Centro Criptológico Nacional 12
14 5.2. MARCO OPERACIONAL op op.pl op.pl.1 MARCO OPERACIONAL PLANIFICACIÓN Análisis de riesgos Básica - $ 1.- Dispone de un análisis de riesgos, al menos, informal? D, A, I, C, T Evidencia: Dispone de un documento aprobado por la Dirección en el que se ha realizado una exposición textual en lenguaje natural del análisis de riesgos. Dicho documento no tiene más de un año desde su aprobación. Existe un procedimiento para la revisión y aprobación regular, al menos anualmente, del análisis de riesgos. Respecto a dicho análisis de riesgos: $ Identifica los activos más valiosos del sistema? Evidencia: En el documento se identifican los servicios que presta la organización y la información que maneja en referencia al cumplimiento de la Ley 11/2007 (p.ej: servicio telemático de tramitación de expedientes, etc.), así como los elementos en los que se sustentan (p.ej: servidores, línea de comunicaciones, aire acondicionado del CPD, oficinas, etc.). $ Sí $ Sí $ Registro: $ Identifica las amenazas más probables? Evidencia: En el documento se identifican las amenazas más probables (p.ej: incendio, robo, virus informático, ataque informático, etc.). $ Identifica las salvaguardas que protegen de dichas amenazas? Evidencia: En el documento se identifican las salvaguardas de que se disponen para mitigar las amenazas identificadas (p.ej: extintor, puerta con cerradura, antivirus, cortafuegos, etc.). $ Identifica los principales riesgos residuales? Evidencia: En el documento se identifican las amenazas para las que no existen salvaguardas, o aquellas para las que el grado de protección actual no es el suficiente (p.ej: fuga de información en un soporte USB, etc.). Criterios de seguridad Capítulo 5 Centro Criptológico Nacional 13
15 Media - D, A, I, C, T $ 2.- Dispone de un análisis de riesgos, al menos, semi-formal? Evidencia: Dispone de un documento aprobado por la Dirección en el que se ha realizado una exposición textual en lenguaje específico y con una semántica definida (es decir, con tablas) del análisis de riesgos. Dicho documento no tiene más de un año desde su aprobación. Existe un procedimiento para la revisión y aprobación regular, al menos anualmente, del análisis de riesgos. $ Registro: Respecto a dicho análisis de riesgos: $ Identifica y valora cualitativamente los activos más valiosos del sistema? Evidencia: En el documento se identifican los servicios que presta la organización y la información que maneja en referencia al cumplimiento de la Ley 11/2007 (p.ej: servicio telemático de tramitación de expedientes, etc.), así como los elementos en los que se sustentan (p.ej: servidores, línea de comunicaciones, aire acondicionado del CPD, oficinas, etc.). Dichos activos (servicios e información) además son valorados cualitativamente (siguiendo los criterios de bajo, medio o alto). $ Identifica y cuantifica las amenazas más probables? Evidencia: En el documento se identifican las amenazas más probables y estas son cuantificadas (p.ej: incendio con baja probabilidad, robo con baja probabilidad, virus con alta probabilidad, etc.). $ Identifica y valora las salvaguardas que protegen de dichas amenazas? Evidencia: En el documento se identifican las salvaguardas de que se disponen para mitigar las amenazas identificadas y su nivel de eficacia (p.ej: extintor en todos los pasillos, puerta con cerradura sólo en el CPD, antivirus en los servidores pero no en los PCs, etc.). $ Identifica y valora el riesgo residual? Evidencia: En el documento se identifica el nivel de riesgo al que están expuestos los servicios (bajo, medio o alto), conforme a una tabla de equivalencias que tiene en cuenta el valor de los activos, la probabilidad de las amenazas y la eficacia de las salvaguardas. Criterios de seguridad Capítulo 5 CCN-STIC-803 ENS Valoración de los sistemas MAGERIT v2 Centro Criptológico Nacional 14
16 Alta - D, A, I, C, T $ 3.- Dispone de un análisis de riesgos formal? Evidencia: Dispone de un documento aprobado por la Dirección en el que se ha realizado una exposición formal en lenguaje específico y con un fundamento metodológico reconocido internacionalmente (p.ej: según MAGERIT, UNE 71504, CRAMM, EBIOS, OCTAVE, etc.) del análisis de riesgos. Dicho documento no tiene más de un año desde su aprobación. Existe un procedimiento para la revisión y aprobación regular, al menos anualmente, del análisis de riesgos. Utiliza una herramienta reconocida de análisis de riesgos (p.ej: PILAR, CRAMM, EBIOS, etc.). Respecto a dicho análisis de riesgos: $ Identifica y valora cualitativamente los activos más valiosos del sistema? Evidencia: En el documento se identifican los servicios que presta la organización y la información que maneja en referencia al cumplimiento de la Ley 11/2007 (p.ej: servicio telemático de tramitación de expedientes, etc.), así como los elementos en los que se sustentan (p.ej: servidores, línea de comunicaciones, aire acondicionado del CPD, oficinas, etc.). Dichos activos (servicios e información) además son valorados cualitativamente (siguiendo los criterios de bajo, medio o alto). $ Identifica y cuantifica las amenazas posibles? Evidencia: En el documento se identifican las amenazas más probables para cada activo, su frecuencia y degradación resultante (p.ej: incendio del CPD con baja probabilidad y degradación total, robo del servidor con baja probabilidad y degradación total, virus en el servidor con alta probabilidad y degradación parcial, etc.). $ Identifica las vulnerabilidades habilitantes de dichas amenazas? Evidencia: En el documento se identifican las vulnerabilidades que habilitan esas amenazas (p.ej: materiales inflamables, la llave la tienen más de 10 personas, el antivirus no se actualiza con frecuencia, etc.). $ Identifica y valora las salvaguardas adecuadas? Evidencia: En el documento se identifican las salvaguardas de que se disponen para mitigar las amenazas identificadas y su nivel de eficacia (p.ej: extintor en todos los pasillos, puerta con cerradura sólo en el CPD, antivirus en los servidores pero no en los PCs, etc.), así como la posible necesidad de disponer de más salvaguardas. $ Identifica y valora el riesgo residual? Centro Criptológico Nacional 15
17 Evidencia: En el documento se identifica el nivel de riesgo al que están expuestos los servicios y la información (bajo, medio o alto). op.pl.2 Criterios de seguridad Capítulo 5 CCN-STIC-803 ENS Valoración de los sistemas MAGERIT v2 CCN-STIC-410 Análisis de riesgos en sistemas de la Administración CCN-STIC-470x Manual de usuario de PILAR Arquitectura de seguridad Básica - $ 1.- Dispone de documentación de las instalaciones? D, A, I, C, T Evidencia: Dispone de un documento que detalla las instalaciones (p.ej: número de instalaciones, su ubicación, etc.). Respecto a dicha documentación de las instalaciones: $ Precisa las áreas? Evidencia: El documento detalla las áreas existentes (p.ej: CPD, zona de acceso público, zona de carga y descarga, zona de operadores, etc.). $ Precisa los puntos de acceso? Evidencia: El documento detalla los puntos de acceso (p.ej: puerta principal, salida de emergencia, etc.). $ 2.- Dispone de documentación del sistema? Evidencia: Dispone de un inventario de los sistemas de información. Respecto a dicha documentación del sistema: $ Precisa los equipos? Evidencia: Dicho inventario describe los activos del sistema (p.ej: servidor de correo, robot de backup, etc.). $ Precisa las redes internas y conexiones al exterior? Evidencia: Dicho inventario describe las redes existentes (p.ej: red local con direccionamiento /24, DMZ con direccionamiento /24, etc.) y los elementos de conexión al exterior (p.ej: la red local está separada de Internet mediante un firewall, etc.). $ Precisa los puntos de acceso al sistema? Evidencia: Dicho inventario describe los puntos de acceso al sistema (p.ej: puestos de trabajo, consolas de administración, web de la intranet, etc.). Centro Criptológico Nacional 16
18 $ 3.- Dispone de documentación de líneas de defensa? Evidencia: Dicho inventario describe los sistemas de seguridad de que dispone (p.ej: firewalls, antivirus, antispam, antiphishing, etc.). Respecto a dicha documentación de las líneas de defensa: $ Precisa los puntos de interconexión a otros sistemas o a otras redes, en especial si se trata de Internet? Evidencia: Dicho inventario describe los elementos de interconexión a otras redes (p.ej: la conexión con Internet se realiza a través de un router, la conexión con otras oficinas se realiza mediante un túnel VPN IPSec, la conexión desde portátiles remotos se realiza mediante VPN SSL, etc.). $ Precisa los cortafuegos, DMZ, etc.? Evidencia: Dicho inventario describe los elementos de defensa en las conexiones a otras redes (p.ej: la conexión con Internet se realiza a través de un firewall, etc.). $ Precisa la utilización de tecnologías diferentes para prevenir vulnerabilidades que pudieran perforar simultáneamente varias líneas de defensa? Evidencia: Se utilizan tecnologías de seguridad diferentes (p.ej: el antivirus del firewall es diferente del antivirus del servidor de correo, el sistema operativo del router es diferente del sistema operativo del firewall, etc.). $ 4.- Dispone de documentación del sistema de identificación y autenticación de usuarios? Evidencia: Dispone de un documento que detalla los sistemas de identificación y autenticación de usuarios para cada sistema o servicio. Respecto a dicha documentación de identificación y autenticación de usuarios: $ Precisa el uso de claves concertadas, contraseñas, tarjetas de identificación, biometría, u otras de naturaleza análoga? Evidencia: Dicho documento detalla el mecanismo de autenticación a cada sistema o servicio (p.ej: el acceso al servicio de tramitación de expedientes es mediante DNIe, el acceso a la consola de administrador del servidor es mediante usuario y contraseña, etc.). $ Precisa de ficheros o directorios para autenticar al usuario y determinar sus derechos de acceso (p.ej: /etc/passwd en Linux, Active Centro Criptológico Nacional 17
19 Directory en Windows, etc.)? Evidencia: Dicho documento detalla dónde se almacenan las contraseñas (p.ej: las claves se almacenan cifradas en el fichero /etc/shadow en Linux, Active Directory en Windows, etc.). $ 5.- Dispone y tiene documentación de los controles técnicos internos? Evidencia: Dispone de un documento que detalla cómo se controlan los datos una vez en los sistemas (p.ej: el intercambio de información con otros sistemas va acompañado de hashes para evitar su alteración, etc.). Respecto a dicha documentación de los controles técnicos internos: $ Precisa la validación de datos de entrada, salida y datos intermedios? Evidencia: En dicho documento se detalla cómo se controlan los datos una vez en los sistemas (p.ej: validación de rangos en los datos, bloqueo de caracteres no autorizados, etc.). $ 6.- Dispone de documentación del sistema de gestión con actualización y aprobación periódica? Evidencia: Dispone de un documento que detalla cómo se gestionan los elementos antes enumerados (p.ej: cómo se da de alta un nuevo usuario, cómo se autoriza la conexión con un sistema externo, cómo se autoriza el acceso a un área restringida, etc.), con qué frecuencia se revisan (bien explícitamente o implícitamente en los documentos de gestión de cambios), quién es el encargado de la tarea y quién es el responsable de su aprobación. Media - D, A, I, C, T Criterios de seguridad Capítulos 8, 9, 13 y 14 CCN-STIC-406 Seguridad en redes inalámbricas basadas en CCN-STIC-408 Seguridad perimetral cortafuegos CCN-STIC-412 s de seguridad de entornos y aplicaciones web $ 7.- Está esta documentación aprobada por la Dirección? Evidencia: Los documentos han sido aprobados por la Dirección. Centro Criptológico Nacional 18
20 op.pl.3 Adquisición de nuevos componentes Básica - $ 1.- Existe un proceso formal para planificar la adquisición de nuevos D, A, I, C, T componentes del sistema? Evidencia: Dispone de un procedimiento documentado que detalla los elementos que se deben tener en cuenta antes de la adquisición de nuevos componentes del sistema (p.ej: adquisición de un servidor, firewall, antivirus, cinta de backup, etc.), que incluye la persona responsable de revisar y mantener este procedimiento, así como el mecanismo para comunicar sugerencias de cambio. Dispone de un documento que indica las medidas de seguridad requeridas para los nuevos componentes adquiridos y su cumplimiento (p.ej: dispone de un checklist con los requisitos que debe tener el firewall cifrado IPSec, stateful packet inspection, etc.- y su correspondiente indicación sobre si lo cubre o no -en cuyo caso se argumenta el motivo- junto con el nombre de la persona que ha realizado la verificación y la fecha de la misma). Respecto a dicho proceso de adquisición: $ Atiende las conclusiones del análisis de riesgos [op.pl.1]? Evidencia: Dicho procedimiento especifica que en la adquisición de nuevos componentes tiene prioridad la adquisición de los mecanismos de seguridad para el sistema que haya identificado el análisis de riesgos y su plan de acción (p.ej: el checklist indica si el motivo de algún requisito impuesto al firewall proviene del análisis y gestión de riesgos). $ Es acorde con la arquitectura de seguridad [op.pl.2]? Evidencia: Dicho procedimiento indica que las adquisiciones deben estar alineadas con la arquitectura de seguridad definida (p.ej: si se ha definido que la seguridad física está compuesta por una puerta con cerradura para el CPD, la adquisición de una nueva puerta debe obligar a que ésta vuelva a tener cerradura por lo que no valdría una nueva puerta sin un sistema igual o mejor de cierre). $ Contempla las necesidades técnicas, de formación y de financiación de forma conjunta? Evidencia: Dicho procedimiento contempla que el nuevo componente cumple Centro Criptológico Nacional 19