En mayo de 2022 se publicó el Real Decreto 311/2022 que se regula el Esquema Nacional de Seguridad (ENS). Éste trae consigo una estructura parecida que consta de 7 capítulos, 1 disposición transitoria, 3 adicionales y 4 anexos. En este artículo vamos a exponer sus novedades para encarar una transición placida.

Principales cambios

Las principales novedades se centran en diferentes cambios en medidas de seguridad, principios y requisitos.

1. Se introduce el principio de vigilancia continua (Prevención, detección, respuesta y conservación)
2. Se sustituye la seguridad por defecto por el termino de mínimo privilegio
3. Se mantienen los 4 controles de marco organizativo
4. Se incrementa en 2 controles el marco operacional
5. Reducción de las medidas de protección agrupándolas en 36

En general se incrementa en nivel de exigencia en varias medidas, se eliminan varios controles (protección de los registros de actividad, personal alternativo, medios alternativos, cifrado, instalaciones alternativas y acceso remoto, se simplifican varias y se añaden 6 nuevas medidas:

• Servicios en la nube
• Interconexión de sistemas
• Protección de la cadena de suministros
• Medios alternativos
• Vigilancia
• Otros dispositivos conectados a la red

Para la categoría de los sistemas, se establece la obligación de reevaluar de forma anual.

Responsabilidades

Diferenciación de responsabilidades, en el artículo 13 se recogen las funciones de cada uno de los responsables.

Se deberán diferenciar 4 roles:

• Responsable de información
• Responsable del servicio
• Responsable de la seguridad
• Responsable del sistema

El responsable de seguridad será distinto del responsable del sistema (salvo en excepciones justificadas)

Servicios externalizados

Aparece una nueva figura para servicios externalizados. El POC (Punto o Persona de Contacto) de Seguridad de la información. El POC será el responsable de seguridad de la organización contratada, aunque la responsabilidad final será de la entidad del sector público destinataria de los servicios.

El POC del CCN determinará:

• Requisitos funcionales de seguridad y aseguramiento de la certificación
• Se podrá exigir cualificación al personal para productos o servicios certificados.

Figura del perfil de cumplimiento

El perfil de cumplimiento respecto a la declaración de aplicabilidad permite:

• Suprimir medidas o incluir la aplicabilidad para otras.
• Aumentar o disminuir la exigencia del nivel de implantación.
• Proponer medidas compensatorias o complementarias.

Protocolo de actuación ante ciber-incidentes

Otro elemento que ha cogido especial relevancia es la ampliación de las acciones frente a incidentes de ámbito cibernético que pretende mejorar la:

• Gestión de la respuesta ante incidentes de ciberseguridad.
• Definición de las actuaciones de notificación de incidentes de ciberseguridad al CCN-CERT

El Centro Criptológico Nacional es la entidad de referencia para respuesta a los incidentes de ciberseguridad y establece la obligación de notificarlos:

1. Las entidades del sector público notificarán al CCN aquellos incidentes que tengan un impacto significativo en la seguridad de los sistemas de información.
2. INCIBE-CERT va a poner en conocimiento del CCN-CERT los incidentes que afecten a las organizaciones del ámbito privado que presten servicios a las entidades públicas.
3. El CCN-CERT determinará si el sistema es seguro para interconectar de nuevo después de una situación de crisis.

Anexos

En cuanto a los anexos del Real Decreto encontramos algún cambio que conviene destacar:

Anexo I Categorías de Ciberseguridad: que regula las categorías de ciberseguridad de los sistemas de información y especifica la secuencia de actuaciones para determinar la categoría de seguridad de un sistema.

Anexo II Medidas de Seguridad: que mantiene los tres grupos: Marco organizativo, Marco operacional y Medidas de protección.

Anexo III Auditoría de la seguridad: que establece los niveles de auditoría a efectuar sobre los sistemas de información.

Y algunos cambios más

• La declaración de aplicabilidad deberá estar firmada por el responsable de la seguridad.
• Tras la auditoría, y en sistemas de nivel Alto, el responsable del sistema podrá suspender temporalmente la prestación de servicios u operaciones hasta la corrección de hallazgos graves.
• Ha de utilizarse una metodología de Análisis de Riesgos reconocida internacionalmente.
• El personal implicado en la seguridad deberá estar cualificado e instruido en todas las fases del ciclo de vida.
• Se amplía el contenido mínimo de la Política de seguridad, debiendo incluir los riesgos que derivan del tratamiento de los datos personales.

Estructura resultante

De todos estos cambios surgen una estructura actualizada que no presenta grandes cambios.

Marco Organizativo

• Política de seguridad
• Normativa de seguridad
• Procedimientos de seguridad
• Proceso de autorización

Marco operacional

Planificación

• Análisis de riesgos.
• Arquitectura de Seguridad.
• Adquisición de nuevos componentes.
• Dimensionamiento/gestión de la capacidad.
• Componentes certificados.

Control de acceso

• Identificación.
• Requisitos de acceso.
• Segregación de funciones y tareas.
• Proceso de gestión de derechos de acceso.
• Mecanismo de autenticación (usuarios externos).
• Mecanismo de autenticación (usuarios de la organización).

Explotación

• Inventario de activos.
• Configuración de seguridad.
• Gestión de la configuración de seguridad.
• Mantenimiento y actualizaciones de seguridad.
• Gestión de cambios.
• Protección frente a código dañino.
• Gestión de incidentes.
• Registro de la actividad.
• Registro de la gestión de incidentes.
• Protección de claves criptográficas.

Recursos externos

• Contratación y acuerdos de nivel de servicio.
• Gestión diaria.
• Protección de la cadena de suministro.
• Interconexión de sistemas.

Servicios en la nube

• Protección de servicios en la nube.

Continuidad del servicio

• Análisis de impacto.
• Plan de continuidad.
• Pruebas periódicas.
• Medios alternativos.

Monitorización del sistema.

• Detección de intrusión.
• Sistema de métricas.

Medidas de protección

Protección de las instalaciones e infraestructuras

• Áreas separadas y con control de acceso.
• Identificación de las personas.
• Acondicionamiento de los locales.
• Energía eléctrica.
• Protección frente a incendios.
• Protección frente a inundaciones.
• Registro de entrada y salida de equipamiento.

Gestión del personal

• Caracterización del puesto de trabajo.
• Deberes y obligaciones.
• Concienciación.
• Formación.

Protección de los equipos

• Puesto de trabajo despejado.
• Bloqueo de puesto de trabajo.
• Protección de dispositivos portátiles.
• Otros dispositivos conectados a la red

Protección de las comunicaciones

• Perímetro seguro.
• Protección de la confidencialidad.
• Protección de la integridad y de la autenticidad.
• Separación de flujos de información en la red.

Protección de los soportes de información

• Marcado de soportes.
• Criptografía.
• Borrado y destrucción.

Protección de las aplicaciones informáticas

• Desarrollo de aplicaciones.
• Aceptación y puesta en servicio.

Protección de la información

• Datos personales.
• Calificación de la información.
• Firma electrónica.
• Sellos de tiempo.
• Limpieza de documentos.
• Copias de seguridad.

Protección de los servicios

• Protección del correo electrónico.
• Protección de servicios y aplicaciones web.
• Protección de la navegación web.
• Protección frente a denegación de servicio.

Iniciando la actualización

La entrada en vigor del 3 de mayo de 2022 establece un plazo de veinticuatro meses para que los sistemas de información se adecuen al nuevo ENS.  Por ello el 4 de mayo de 2024 vencerá el plazo para poder realizar la transición. Para los nuevos sistemas, se deberá cumplir con el actual decreto.

Dada esa característica tan ibérica que es esperar al último momento, nos encontramos ante un escenario con varios retos. Ni que decir cabe, que el primer semestre de 2024 va a ser bastante denso. A la carga de trabajo propia de las organizaciones adaptando sus sistemas de seguridad de la información a nuevo ENS, se van a sumar dos amenazas que complicaran el escenario.

Por un lado, nos encontramos con la falta de personal cualificado por parte de las entidades de certificación, con el consecuente embudo que puede producir citado periodo y el subsecuente caos de jornadas para poder dar cumplimiento a los alcances de auditorías.

Y, por otro lado, la incesante labor de la administración pública de incrementar los requisitos a las organizaciones que le dan servicio, haciendo que se incremente el número que han optado por acreditar su sistema de seguridad de la información en Esquema Nacional.

Lástima que la ley de contratación de la administración pública continúe poniendo el acento en la valoración económica de las licitaciones. Otra característica tan ibérica.

TISAX – MÓDULO DE SEGURIDAD DE LA INFORMACIÓN

Tal y como introducíamos en nuestro artículo anterior sobre Seguridad de la Información en el Sector de la Automoción según VDA ISA (Automotive Information Security Assessment) o TISAX (Trusted Information Security Assessment Exchange); la gestión de la seguridad de la información desempeña un papel fundamental para garantizar la protección de datos y mitigar los riesgos asociados. CON

Sector de la automoción y seguridad

La industria automotriz ha experimentado un proceso de cambio significativo en las últimas décadas, tanto los hábitos de consumo como los avances tecnológicos han transformado por completo la forma en que los vehículos se diseñan, fabrican y operan. Sin embargo, este progreso también ha planteado desafíos en términos de seguridad de la información y protección de datos en la cadena de suministro.

La filtración de datos sensibles, los ciberataques y las nuevas amenazas pueden tener consecuencias graves, tanto para las empresas como para los consumidores. Es en este contexto que surge la necesidad de contar con un marco común de controles.

Como ya hemos comentado anteriormente la norma VDA-ISA no es un sistema de gestión al uso tipo ISO, en la que se definen una serie de puntos y la organización establece las directrices generales. Aquí estamos ante un grupo de controles que se despliegan en requisitos.

Organizada en controles, TISAX-VDA ISA, cuenta con un Self-Assessment, mediante el cual se evalúa y verifica su cumplimiento para garantizar la seguridad de la información, estos se estructuran a través de sus 3 módulos (seguridad de la información, prototipos y protección de datos de carácter personal).

En este artículo trataremos en profundidad la pestaña del Self-Assessment referente al módulo de Seguridad de la Información.

Módulo de seguridad de la información en el Self-Assessment

Esta sección consta de los controles de seguridad de la información estructurado en 7 grandes grupos:

1. Políticas de seguridad
2. Recursos humanos
3. Seguridad física y continuidad
4. Identidad y acceso
5. Ciberseguridad
6. Relación con proveedores
7. Cumplimiento

Para determinar el nivel de madurez y de cumplimiento, los requisitos están divididos en diferentes apartados que van desde él “debe” hasta aquellos que son de “muy alta protección”.

1. Políticas y Seguridad de SI (Seguridad de la Información)

Este bloque de requisitos se centra en diferentes aspectos de las políticas y prácticas de seguridad de la información en una organización:

• En él destaca la importancia de contar con políticas de seguridad adaptadas que reflejen la trascendencia de la información.
• Se enfatiza que la seguridad de la información debe formar parte de los objetivos estratégicos de la organización, se subraya la necesidad de tener responsabilidades claras y establecer un proceso adecuado para evitar pasos en alto en proyectos.
• Comprender y dividir las responsabilidades al trabajar con proveedores de servicios externos de TI.
• Identificar y clasificar los activos de información, así como en la evaluación y aprobación de servicios de TI externos utilizados para procesarlos.
• Gestionar riesgos para evitar o reducir la probabilidad de que se materialicen o mejorar la capacidad de respuesta frente a crisis.
• Revisar periódicamente la eficacia de los procedimientos y procesos de seguridad de la información, se deben realizar evaluaciones independientes y objetivas del SGSI.

2. Recursos Humanos

Este bloque se centra en el capital humano y su papel en la seguridad de la información, resalta la importancia de contar con empleados competentes y confiables:

• Verificar las calificaciones de los empleados potenciales, especialmente en áreas sensibles.
• Garantizar que todo el personal debe estar contractualmente obligado a cumplir con las políticas de seguridad de la información de la organización y ser conscientes de las consecuencias de cualquier mala praxis.
• Sensibilizar y capacitar al personal sobre los riesgos asociados con el manejo de la información, haciendo que la seguridad de la información sea parte integral de su trabajo.
• Tener en cuenta el teletrabajo como una modalidad que presenta riesgos particulares y se subraya la necesidad de abordar los riesgos asociados con esta forma de trabajo, implementando medidas de protección adecuadas.

3. Seguridad Física y Continuidad del negocio

Bloque de controles enfocados a la seguridad física de los activos y la continuidad del negocio ante eventos críticos:

• Gestionar las zonas de seguridad para proporcionar protección física a los activos de información, con medidas de control adicionales para los más sensibles.
• Se deberá tener presente las situaciones excepcionales, como desastres naturales o amenazas, ya que representan un desafío para la organización en términos de seguridad.
• La gestión de los activos de apoyo, que están expuestos a riesgos como pérdida, robo o visualización no autorizada se deben gestionar adecuadamente, así como los dispositivos móviles de TI y de almacenamiento de datos, debido al mayor riesgo de pérdida o robo al utilizarse en diferentes ubicaciones.

4. Gestión de identidad y acceso

En este bloque hablamos de la gestión de usuarios en el ámbito de la seguridad de la información:

• Gestionar los medios de identificación, como claves, identificadores visuales o tokens criptográficos, para verificar la autorización de acceso físico y electrónico.
• Asegurar que sólo los usuarios identificados y autenticados tengan acceso a los sistemas de TI de forma segura, la administración y aplicación de forma confiable de las cuentas de usuario y la información de inicio de sesión, resaltando la asignación y gestión adecuada de los derechos de acceso para garantizar que solo los usuarios autorizados tengan acceso a la información y las aplicaciones informáticas.

5. Seguridad TI /Ciberseguridad

En este punto nos encontraremos ante un bloque bastante amplio que aborda diversos aspectos sobre la información en el ámbito digital:

• Se deben considerar los aspectos de seguridad en los cambios organizativos y de sistemas de información, la separación de los entornos de desarrollo de los entornos operativos.
• Gestionar adecuadamente el uso de procedimientos criptográficos para proteger la  confidencialidad de la información.
• Proteger los sistemas de TI contra el malware, gestionar el registro y análisis los eventos de seguridad, realizar auditorías técnicas, gestionar vulnerabilidades, definir de requisitos para los servicios de red y la eliminación segura de activos de información en servicios.

6. Relaciones con proveedores

En relación con los controles sobre las relaciones con proveedores y socios comerciales, se destaca:

• La importancia de garantizar un nivel adecuado de seguridad al colaborar con socios, lo cual implica establecer medidas y controles para proteger la información compartida y asegurar su confidencialidad, integridad y disponibilidad.
• La no divulgación de información mediante acuerdos contractuales que incluyan acuerdos de confidencialidad .
• Establecer las obligaciones y responsabilidades de las partes involucradas en la protección de la información confidencial.

7. Cumplimiento

Finalmente, el último bloque de controles se centra en el cumplimiento de las disposiciones legales, reglamentarias y contractuales:

• Identificar y gestionar el cumplimiento de las disposiciones, y las consecuencias de su infracción.
• Enfatizar la protección de los datos de identificación personal durante la implementación de medidas. Esto implica considerar la privacidad y la protección de estos datos de acuerdo con las leyes y regulaciones nacionales relevantes.

Conclusión

En resumen, a través de la pestaña “Seguridad de Información” del Self-Assessment, procederemos a la evaluación global de la información a través de los grandes bloques que componen la seguridad física y digital.

Por tanto, este módulo proporciona una visión general del sistema de gestión de seguridad de la información.

Al obtener una puntuación en la evaluación, las organizaciones pueden identificar las brechas en sus controles de seguridad y tomar medidas correctivas para fortalecer sus sistemas.

La implementación efectiva de controles de seguridad de la información ayuda a prevenir incidentes de seguridad, salvaguardar los datos sensibles y mantener la confianza de los clientes y socios comerciales.

Firmado por Juanjo Alemany

En colaboración con Mariam Rodríguez