[fusion_builder_container type=”flex” hundred_percent=”no” equal_height_columns=”no” menu_anchor=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” class=”” id=”” background_color=”” background_image=”” background_position=”center center” background_repeat=”no-repeat” fade=”no” background_parallax=”none” parallax_speed=”0.3″ video_mp4=”” video_webm=”” video_ogv=”” video_url=”” video_aspect_ratio=”16:9″ video_loop=”yes” video_mute=”yes” overlay_color=”” video_preview_image=”” border_color=”” border_style=”solid” padding_top=”” padding_bottom=”” padding_left=”” padding_right=””][fusion_builder_row][fusion_builder_column type=”1_1″ layout=”1_1″ background_position=”left top” background_color=”” border_color=”” border_style=”solid” border_position=”all” spacing=”yes” background_image=”” background_repeat=”no-repeat” padding_top=”” padding_right=”” padding_bottom=”” padding_left=”” margin_top=”0px” margin_bottom=”0px” class=”” id=”” animation_type=”” animation_speed=”0.3″ animation_direction=”left” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” center_content=”no” last=”true” min_height=”” hover_type=”none” link=”” border_sizes_top=”” border_sizes_bottom=”” border_sizes_left=”” border_sizes_right=”” first=”true”][fusion_text]
Cada vez es más frecuente que el sector privado proporcione soluciones tecnológicas o preste servicios a las Administraciones Públicas (por ejemplo, en la nube) y que a estos servicios o soluciones pueda serles de aplicación el Esquema Nacional de Seguridad, ENS. En estos casos, los proveedores privados deberán poder mostrar la correspondiente declaración o certificación de conformidad según corresponda en función de la categoría del sistema, mediante los mismos procedimientos que las AAPP.
El Esquema Nacional de Seguridad (ENS) fomenta la confianza en el uso de los medios electrónicos garantizando la seguridad. Las exigencias de seguridad que dispone, no sólo son de aplicación a las Administraciones Públicas, sino también a los prestadores de servicios de seguridad de la información del sector privado.
Conformidad con el ENS.
El sector privado que participa en la prestación de servicios a las Entidades Públicas (por ejemplo a través de servicios en la nube) quedan incluidos en el ámbito de la publicidad del cumplimiento del ENS que establece el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad:
SIQURË: Declaración de Conformidad con el ENS
Criterios de determinación de la conformidad.
Según la categoría del sistema se distingue entre Declaración de Conformidad y Certificación de Conformidad, recogidos en la Guía 809 (Declaración y Certificación de Conformidad con el ENS):
Elementos a tener en cuenta para determinar la conformidad con el ENS:
- Cumplir los mandatos del R.D. 3/2010 ENS e implantar las medidas de seguridad del Anexo II del ENS.
- La adecuación ordenada al Esquema Nacional de Seguridad requiere el tratamiento de diversas cuestiones:
- Preparar y aprobar la política de seguridad, incluyendo la definición de roles y la asignación de responsabilidades. (Véase CCN-STIC 805 Política de seguridad de la información)
- Categorizar los sistemas atendiendo a la valoración de la información manejada y de los servicios prestados.(Véase CCN-STIC 803 Valoración de sistemas en el Esquema Nacional de Seguridad)
- Realizar el análisis de riesgos, incluyendo la valoración de las medidas de seguridad existentes. (Véase Magerit versión 3 y programas de apoyo –Pilar- )
- Preparar y aprobar la Declaración de aplicabilidad de las medidas del Anexo II del ENS. (Véase CCN-STIC 804 Medidas e implantación del Esquema Nacional de Seguridad)
- Elaborar un plan de adecuación para la mejora de la seguridad, sobre la base de las insuficiencias detectadas, incluyendo plazos estimados de ejecución. (Véase CCN-STIC 806 Plan de adecuación del Esquema Nacional de Seguridad)
- Implantar operar y monitorizar las medidas de seguridad a través de la gestión continuada de la seguridad correspondiente. (Véase serie CCN-STIC)
- Auditar la seguridad (Véase CCN-STIC 802 Auditoría del Esquema Nacional de Seguridad y CCN-STIC 808 Verificación del cumplimiento de las medidas en el Esquema Nacional de Seguridad)
- Informar sobre el estado de la seguridad (Véase CCN-STIC 815 Métricas e Indicadores en el Esquema Nacional de Seguridad y CCN-STIC 824 Informe del Estado de Seguridad)
Procedimientos de determinación de conformidad.
La conformidad con el ENS consiste en adoptar y manifestar que se han implantado las medidas necesarias en función de la categoría del sistema (Básica, Media, Alta) y asegurar que se mantienen a lo largo del ciclo de vida del sistema, mediante auditorías regulares de las que deberá elaborarse un informe en el que se reflejen el grado de cumplimiento de las medidas de seguridad, se identifiquen deficiencias y sugieran medidas correctoras o complementarias así como las recomendaciones que se consideren oportunas.
También se deberán incluir los criterios metodológicos utilizados, el alcance y el objetivo de la auditoría y los datos, hechos y observaciones en que se basan las conclusiones.
El Anexo III ENS precisa el alcance de la verificación prescribiendo los 2 procedimientos que se resumen en:
- Sistemas de Información de Categoría Básica: Declaración de Conformidad. Podrá representarse mediante Sello o Distintivo de Declaración de Conformidad generado por la entidad bajo cuya responsabilidad esté el sistema. Para sistemas de información de Categoría Básica basta autoevaluación, que deberá ser mínimo cada 2 años, y con carácter extraordinario siempre que haya modificaciones significativas en el sistema que puedan repercutir en las medidas de seguridad.
- Sistemas de Información de Categoría Media o Alta: Certificación de Conformidad. De aplicación obligatoria a sistemas de información de categoría Media o Alta y voluntaria en el caso de sistemas de información de categoría Básica. La determinación de conformidad se hará mediante auditoría al menos cada 2 años y con carácter extraordinario siempre que haya modificaciones significativas en el sistema que puedan repercutir en las medidas de seguridad.
Es responsabilidad de las AAPP contratantes comunicar dicha obligación al sector privado, que deberá usar los mismos modelos documentales, pero cambiando las referencias a las AAPP por el sector privado y publicarlo en sus páginas web en las mismas condiciones que las AAPP en sus sedes electrónicas (es decir el correspondiente distintivo con un enlace al documento electrónico no editable).
[/fusion_text][fusion_button link=”https://www.siqure.es/contacto/” title=”” target=”_self” link_attributes=”” alignment_medium=”” alignment_small=”” alignment=”” modal=”” hide_on_mobile=”small-visibility,medium-visibility,large-visibility” sticky_display=”normal,sticky” class=”” id=”” color=”default” button_gradient_top_color=”” hue=”” saturation=”” lightness=”” alpha=”” button_gradient_bottom_color=”” button_gradient_top_color_hover=”” button_gradient_bottom_color_hover=”” gradient_start_position=”” gradient_end_position=”” gradient_type=”” radial_direction=”” linear_angle=”180″ accent_color=”” accent_hover_color=”” type=”” bevel_color=”” bevel_color_hover=”” border_top=”” border_right=”” border_bottom=”” border_left=”” border_radius_top_left=”” border_radius_top_right=”” border_radius_bottom_right=”” border_radius_bottom_left=”” border_color=”” border_hover_color=”” size=”” padding_top=”” padding_right=”” padding_bottom=”” padding_left=”” fusion_font_family_button_font=”” fusion_font_variant_button_font=”” font_size=”” line_height=”” letter_spacing=”” text_transform=”” stretch=”default” margin_top=”10px” margin_right=”10px” margin_bottom=”10px” margin_left=”10px” icon=”” icon_position=”left” icon_divider=”no” animation_type=”” animation_direction=”left” animation_speed=”0.3″ animation_offset=””]Más información[/fusion_button][/fusion_builder_column][/fusion_builder_row][/fusion_builder_container]