Español | English
rss facebook linkedin Twitter

Aplicación del Esquema Nacional de Seguridad

En el post anterior relacionado con el Esquema Nacional de Seguridad (en adelante, ENS), aprobado por el Real Decreto 3/2010 de 8 de enero, se realizaba una pequeña introducción al ENS, destacando los principales objetivos perseguidos con el mismo y mostrando una visión global de su estructura y contenido. El objetivo de este segundo post es analizar en mayor detalle el proceso de implantación del ENS.

En relación a la aplicación del ENS, es necesario considerar que su Disposición Transitoria, “Adecuación de Sistemas”, establece que, si a los doce meses de la entrada en vigor del ENS existen circunstancias que impidan la plena aplicación de lo exigido en el mismo, se deberá desarrollar un Plan de Adecuación en el que se establezcan las medidas que deben ser implantadas para garantizar su cumplimiento y el plazo de implantación de las mismas, que no puede ser superior a 48 meses desde su entrada en vigor. Gran parte de las Administraciones Públicas han optado por acogerse a esta Disposición Transitoria, desarrollando un Plan de Adecuación antes de la fecha límite establecida por el ENS, 30 de enero de 2011.

El primer paso para el desarrollo del Plan de Adecuación es realizar un estudio de los servicios de Administración Electrónica incluidos en el alcance del ENS, identificando los sistemas que soportan dichos servicios y la información asociada a los mismos. A continuación, se procede a la categorización de estos servicios y sistemas, determinando las dimensiones de seguridad relevantes para cada sistema (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad) y evaluando el impacto que podría suponer un incidente que afectase a estas dimensiones de seguridad, en base a los criterios establecidos en el Anexo I del ENS. El nivel asignado a las dimensiones de seguridad permite proceder a la categorización del sistema como de nivel básico, medio o alto y, en base a ello, determinar las medidas del ENS que le resultan aplicables.

Una vez que ha sido desarrollado el Plan de Adecuación, es necesario proceder a la implantación de los proyectos que lo constituyen. Es necesario destacar, en este sentido, que la adecuación al ENS puede constituir una labor compleja y dilatada en el tiempo. El esfuerzo que supone la implantación del ENS en términos económicos y humanos depende de la estrategia de seguridad y de los proyectos e iniciativas de seguridad que hayan sido desarrollados hasta la fecha.


En Administraciones donde la seguridad se ha considerado únicamente desde un punto de vista técnico, el esfuerzo de implantación de los proyectos que constituyen el Plan de Adecuación al ENS será mayor. En este caso, la adecuación al ENS se debe considerar como una oportunidad que permitirá establecer una estrategia de gestión integral de la seguridad. Por el contrario, en Administraciones donde ya se ha implantado con anterioridad un Sistema de Gestión de Seguridad de la Información o bien se ha realizado un Plan Director de Seguridad, por ejemplo, el esfuerzo será menor, ya que las medidas de seguridad establecidas en el ENS están alineadas con las buenas prácticas de seguridad exigidas por estándares ampliamente reconocidos, como es el caso de la Norma ISO/IEC 27002, “Código de Buenas Prácticas para la Gestión de la Seguridad de la Información” o COBIT, “Control Objectives for Information and related Technologies”. En este caso, la adecuación al ENS, que establece medidas específicas para las diferentes categorías del sistema, se debe incluir dentro del marco de mejora continua de la seguridad.

Es necesario destacar, por otra parte, que todo proyecto de adecuación al ENS debe tener como objetivo último la implantación de un Sistema de Gestión de la Seguridad de la Información (SGSI) que satisfaga los requisitos establecidos en el ENS, tomando como base el marco metodológico establecido en la ISO/IEC 27001.

Los principales factores que deben ser considerados para garantizar el éxito en la implantación del ENS son los que se indican a continuación: Exhaustividad en la elaboración del Plan de Adecuación, desarrollo de una Política de Seguridad que establezca las directrices en materia de seguridad a considerar, establecimiento de una estructura organizativa de seguridad en base a lo exigido en el ENS (Comité de Seguridad, Responsable de Seguridad, Responsables de la Información, del Servicio y del Sistema), colaboración de todas las áreas implicadas en la implantación del ENS y, por último, revisión y mejora continua del SGSI (establecimiento de indicadores y cuadros de mando, en base al Ciclo de Deming, Plan-Do-Check-Act).

Para finalizar, únicamente destacar que para la implantación del ENS resulta imprescindible el establecimiento de un enfoque global para la gestión de la seguridad de la información, así como la existencia de un verdadero compromiso y apoyo visible a la seguridad por parte de la Dirección. Este hecho contribuirá a la creación de una cultura de seguridad y conllevará una mejora global en la gestión de la seguridad de la información en las Administraciones Públicas, garantizando de esta forma la consecución de los objetivos perseguidos con la aprobación del Esquema Nacional de Seguridad.

Vanesa Gil
Manager de S21sec Compliance

(+34 902 222 521)


24 horas / 7 días a la semana



© Copyright S21sec 2013 - Todos los derechos reservados


login