En este post vamos a hablar en profundidad de todo lo que debes saber en relación con el Esquema Nacional de Seguridad (ENS), un marco normativo que establece una serie de medidas que tienen que ver con la seguridad de la información. Este esquema es de obligado cumplimiento para las administraciones públicas y para las entidades que presten servicios para dichas administraciones.
Si trabajas en una entidad pública o tu trabajo está relacionado con un organismo oficial, esto te interesa. ¿ENS, qué hay que saber? ¡Te lo contamos!
El Esquema Nacional de Seguridad, también conocido como ENS, es un esquema establecido por el Centro Criptológico Nacional (CCN) para la protección adecuada de la información en el uso de medios electrónicos a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones y los servicios electrónicos de las administraciones públicas.
La nueva versión del ENS está regulada por el Real Decreto 311/2022, de 3 de mayo, donde incorpora una serie de actualizaciones en base a la evolución tecnológica.
Una de las novedades importantes del ENS es el ámbito de aplicación. Se detalla que el ámbito de aplicación del ENS es de todo sector público, independientemente de su tamaño, es decir, todas las administraciones y organismos públicos tienen que cumplir con el Esquema Nacional de Seguridad.
También es aplicable a todas las empresas que presten servicios relacionados con las Tecnologías de la Información y la Comunicación (TIC) a las administraciones públicas.
Como novedad destaca el nuevo sistema de codificación de medidas, es decir, ahora se establecen unos requisitos base para las medidas y luego a esos requisitos, se suman una serie de refuerzos incrementándose entre sí, pudiéndose, a veces, elegir entre qué refuerzos a aplicar.
En cuanto a las dimensiones de la seguridad de la información las más comunes son:
Pero, además, el Esquema Nacional de Seguridad incorpora otras dos categorías:
Autenticidad: propiedad que consiste en que la entidad es quien dice ser o bien se garantiza la fuente de la que proceden los datos.
Trazabilidad: las actuaciones de una entidad pueden ser imputadas exclusivamente a esa entidad.
El Esquema Nacional de Seguridad fija las siguientes medidas de seguridad:
En conjunto, en este nuevo Esquema Nacional de Seguridad tenemos tres medidas: la básica con 52 medidas, la media con 68 medidas y la alta con 73 medidas.
De seguido, te detallamos de manera minuciosa y precisa todos los pasos que tienes que conocer para implantar el ENS.
Es decir, qué sistemas van a estar incluidos dentro del Esquema Nacional de Seguridad. Primero se identifican qué servicios se prestan, y luego todos los sistemas que hay vinculados a la estación de servicios; en este caso hablamos de servidores, aplicaciones, servicios en la nube, equipos de usuario final que se conectan al sistema, es decir, todos los que están dentro involucrados en el alcance del servicio que se está prestando.
Valorar las necesidades de seguridad de los servicios que se prestan y la información que se manejan. Aquí encontramos tres categorías en función de la sensibilidad de esa información:
Identificar qué medidas de seguridad hay que aplicar e identificar los documentos necesarios en cada medida.
Este paso consiste en realizar una serie de pasos:
Mediante la aceptación del Riesgo Residual, es decir, una vez que he implantado medidas de seguridad, el riesgo baja y al final puedes tener un riesgo residual que no vas a poder eliminar.
Incluyendo la definición de roles, asignación de responsabilidades y los que van a formar el Comité de Seguridad de la Información.
En este caso, es importante realizar los siguientes puntos:
Normas de uso de los sistemas
Procedimiento de formación
Control de acceso lógico
Implantación de Medidas Técnicas
Bastionado de servidores
Seguridad de los Endpoints
Implantar la vigilancia de la red
Revisión del Marco Normativo y las medidas técnicas de seguridad implantadas.
Reunión del Comité de Seguridad de la Información para la aprobación de las Normativas y procedimientos de seguridad
Acta del Comité de Seguridad y Marco Normativo Firmado
Publicación del Marco Normativo
Entre 3 y 6 meses, dependiendo del tamaño de la organización, situación de partida, agilidad para implantar las medidas de seguridad y la implicación.
A continuación, te vamos a mencionar cuáles son los pasos para certificarse:
En las próximas líneas sabrás las implicaciones que tiene el ENS. ¡Sigue leyendo!
Todas las empresas que prestan servicios TIC a las administraciones y organismos públicos deben tener el ENS implantado en la misma categoría superior a la AAPP a que prestan servicios.
Las entidades que tengan implantado y certificado el ENS deberán actualizar el mismo con los nuevos requisitos y en la posterior renovación. Certificarse contra el RD 311/2022.
Como sabrás, la implantación del Esquema Nacional de Seguridad es 100% exigible a las Administraciones públicas y a aquellas empresas que prestan servicios a dichas entidades estatales.
Realizar esta tarea supone un proceso complejo y requiere de profesionales, especialmente, experimentados en ese ámbito. En Grupo CFI, Ciberseguridad y Protección de Datos, disponemos de un equipo humano altamente cualificado que asegurará la perfecta adecuación del Esquema Nacional de Seguridad en la organización, manteniendo en todo momento la confidencialidad de la información de la administración.
Una vez implantado el ENS, dispondrá de un sistema de gestión de la seguridad de la información acorde con los requisitos establecidos que podrá certificar ante terceros.
En la actualidad, la implantación del ENS es uno de los servicios que más nos demandan, entre todo el amplio abanico de prestaciones que ofrecemos.
Es conveniente recordar que el Esquema Nacional de Seguridad tiene por objetivo establecer y afianzar la confianza en los sistemas de información de los organismos públicos, con el fin de que esta información importante y valiosa esté custodiada y no pueda llegar a manos de cualquiera.
Llevar a cabo el ENS es una tarea ardua que requiere de personal experto y con una dilatada experiencia en el campo de la Ciberseguridad.
Desde Grupo CFI podemos ayudarte a en todo momento a implantar el Esquema Nacional de Seguridad, además, nuestro equipo de profesionales llevará a cabo un diagnóstico completo de cumplimiento de tu entidad.
Y eso no es todo, porque desde el Instituto Superior de Ciberseguridad, impartimos el curso de Experto Implantador del Esquema Nacional de Seguridad para que aprendas todo lo que debes saber para adecuar cualquier organización a los requisitos del ENS.
Si todavía tienes algún tipo de duda en relación con el Esquema Nacional de Seguridad, en Grupo CFI estamos encantados de resolver tus inquietudes y de apoyarte y asesorarte en todo momento. ¡Contáctanos! Es el momento de actuar.