ENS (Esquema Nacional de Seguridad) y la Plataforma
Introducción
La finalidad del Esquema Nacional de Seguridad es la creación de las medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos.
En este contexto se entiende por seguridad de las redes y de la información, la capacidad de las redes o de los sistemas de información de resistir, con un determinado nivel de confianza, los accidentes o acciones ilícitas o malintencionadas que comprometan la disponibilidad, autenticidad, integridad y confidencialidad de los datos almacenados o transmitidos y de los servicios que dichas redes y sistemas ofrecen o hacen accesibles.
Para dar cumplimiento a lo anterior se determinan las dimensiones de seguridad y sus niveles, la categoría de los sistemas, las medidas de seguridad adecuadas y la auditoría periódica de la seguridad.
Categorías de los Sistemas
Dimensiones
La determinación de la categoría de un sistema se basa en la valoración del impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información o de los sistemas.
A fin de poder determinar el impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información o de los sistemas, y de poder establecer la categoría del sistema, se tendrán en cuenta las siguientes dimensiones de la seguridad, que serán identificadas por sus correspondientes iniciales en mayúsculas:
Disponibilidad [D].
Autenticidad [A].
Integridad [I].
Confidencialidad [C].
Trazabilidad [T].
Niveles de una dimensión de seguridad
Una información o un servicio pueden verse afectados en una o más de sus dimensiones de seguridad. Cada dimensión de seguridad afectada se adscribirá a uno de los siguientes niveles: BAJO, MEDIO o ALTO. Si una dimensión de seguridad no se ve afectada, no se adscribirá a ningún nivel.
Nivel BAJO. Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio limitado sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.
Nivel MEDIO. Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.
Nivel ALTO. Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio muy grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.
Perjuicio limitado | Perjuicio grave | Perjuicio muy grave |
---|---|---|
-La reducción de forma apreciable de la capacidad de la organización para atender eficazmente con sus obligaciones corrientes, aunque estas sigan desempeñándose. -El sufrimiento de un daño menor por los activos de la organización. -El incumplimiento formal de alguna ley o regulación, que tenga carácter de subsanable. -Causar un perjuicio menor a algún individuo, que aun siendo molesto pueda ser fácilmente reparable. -Otros de naturaleza análoga. | -La reducción significativa la capacidad de la organización para atender eficazmente a sus obligaciones fundamentales, aunque estas sigan desempeñándose. -El sufrimiento de un daño significativo por los activos de la organización. -El incumplimiento material de alguna ley o regulación, o el incumplimiento formal que no tenga carácter de subsanable. -Causar un perjuicio significativo a algún individuo, de difícil reparación. -Otros de naturaleza análoga. | -La anulación de la capacidad de la organización para atender a alguna de sus obligaciones fundamentales y que éstas sigan desempeñándose. -El sufrimiento de un daño muy grave, e incluso irreparable, por los activos de la organización. -El incumplimiento grave de alguna ley o regulación. -Causar un perjuicio grave a algún individuo, de difícil o imposible reparación. -Otros de naturaleza análoga. |
Cuando un sistema maneje diferentes informaciones y preste diferentes servicios, el nivel del sistema en cada dimensión será el mayor de los establecidos para cada información y cada servicio.
Categoría de un Sistema de Información
Se definen tres categorías: BÁSICA, MEDIA y ALTA.
Un sistema de información será de categoría ALTA si alguna de sus dimensiones de seguridad alcanza el nivel ALTO.
Un sistema de información será de categoría MEDIA si alguna de sus dimensiones de seguridad alcanza el nivel MEDIO, y ninguna alcanza un nivel superior.
Un sistema de información será de categoría BÁSICA si alguna de sus dimensiones de seguridad alcanza el nivel BAJO, y ninguna alcanza un nivel superior.
Medidas de Seguridad
Marcos de las Medidas
Las medidas de seguridad se dividen en tres grupos:
Marco organizativo [org]. Constituido por el conjunto de medidas relacionadas con la organización global de la seguridad.
Marco operacional [op]. Formado por las medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin.
Medidas de protección [mp]. Se centran en proteger activos concretos, según su naturaleza y la calidad exigida por el nivel de seguridad de las dimensiones afectadas
Selección de medidas de seguridad
Para la selección de las medidas de seguridad se seguirán los pasos siguientes:
Identificación de los tipos de activos presentes.
Determinación de las dimensiones de seguridad relevantes.
Determinación del nivel correspondiente a cada dimensión de seguridad.
Determinación de la categoría del sistema.
Selección de las medidas de seguridad apropiadas de entre las contenidas en el siguiente punto.
La relación de medidas seleccionadas se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de la seguridad del sistema.
Tabla Políticas Seguridad
La correspondencia entre los niveles de seguridad exigidos en cada dimensión y las medidas de seguridad, es la que se indica en la tabla siguiente:
|
|
|
| op | Marco operacional |
|
|
|
| Planificación | |
categoría | aplica | + | ++ | Análisis de riesgos | |
categoría | aplica | + | ++ | Arquitectura de seguridad | |
categoría | aplica | = | = | Adquisición de nuevos componentes | |
D | n.a. | aplica | = | Dimensionamiento / Gestión de capacidades | |
categoría | n.a. | n.a. | aplica | Componentes certificados | |
|
|
|
| Control de acceso | |
A T | aplica | = | = | Identificación | |
I C A T | aplica | = | = | Requisitos de acceso | |
I C A T | n.a. | aplica | = | Segregación de funciones y tareas | |
I C A T | aplica | = | = | Proceso de gestión de derechos de acceso | |
I C A T | aplica | + | ++ | Mecanismo de autenticación | |
I C A T | aplica | + | ++ | Acceso local (local logon) | |
I C A T | aplica | + | = | Acceso remoto (remote login) | |
|
|
|
| Explotación | |
categoría | aplica | = | = | Inventario de activos | |
categoría | aplica | = | = | Configuración de seguridad | |
categoría | n.a. | aplica | = | Gestión de la configuración | |
categoría | aplica | = | = | Mantenimiento | |
categoría | n.a. | aplica | = | Gestión de cambios | |
categoría | aplica | = | = | Protección frente a código dañino | |
categoría | n.a. | aplica | = | Gestión de incidentes | |
T | aplica | + | ++ | Registro de la actividad de los usuarios | |
categoría | n.a. | aplica | = | Registro de la gestión de incidentes | |
T | n.a. | n.a. | aplica | Protección de los registros de actividad | |
categoría | aplica | + | = | Protección de claves criptográficas | |
|
|
|
| Servicios externos | |
categoría | n.a. | aplica | = | Contratación y acuerdos de nivel de servicio | |
categoría | n.a. | aplica | = | Gestión diaria | |
D | n.a. | n.a. | aplica | Medios alternativos | |
|
|
|
| Continuidad del servicio | |
D | n.a. | aplica | = | Análisis de impacto | |
D | n.a. | n.a. | aplica | Plan de continuidad | |
D | n.a. | n.a. | aplica | Pruebas periódicas | |
|
|
|
| Monitorización del sistema | |
categoría | n.a. | aplica | = | Detección de intrusión | |
categoría | aplica | + | ++ | Sistema de métricas |
|
|
|
| mp | Medidas de protección |
|
|
|
| Protección de las instalaciones e infraestructuras | |
categoría | aplica | = | = | Áreas separadas y con control de acceso | |
categoría | aplica | = | = | Identificación de las personas | |
categoría | aplica | = | = | Acondicionamiento de los locales | |
D | aplica | + | = | Energía eléctrica | |
D | aplica | = | = | Protección frente a incendios | |
D | n.a. | aplica | = | Protección frente a inundaciones | |
categoría | aplica | = | = | Registro de entrada y salida de equipamiento | |
D | n.a. | n.a. | aplica | Instalaciones alternativas | |
|
|
|
| Gestión del personal | |
categoría | n.a. | aplica | = | Caracterización del puesto de trabajo | |
categoría | aplica | = | = | Deberes y obligaciones | |
categoría | aplica | = | = | Concienciación | |
categoría | aplica | = | = | Formación | |
D | n.a. | n.a. | aplica | Personal alternativo | |
|
|
|
| Protección de los equipos | |
categoría | aplica | + | = | Puesto de trabajo despejado | |
A | n.a. | aplica | + | Bloqueo de puesto de trabajo | |
categoría | aplica | = | + | Protección de equipos portátiles | |
D | n.a. | aplica | = | Medios alternativos | |
|
|
|
| Protección de las comunicaciones | |
categoría | aplica | = | + | Perímetro seguro | |
C | n.a. | aplica | + | Protección de la confidencialidad | |
I A | aplica | + | ++ | Protección de la autenticidad y de la integridad | |
categoría | n.a. | n.a. | aplica | Segregación de redes | |