Qué es el esquema nacional de seguridad

 

España cuenta, a juicio de este experto, con un organismo de gestión que es referencia a nivel internacional y que ya ha permitido regular a 140 entidades públicas y a 600 empresas en España desde que viera la luz en 2010.

 

Este Esquema nacional de seguridad incluye a una serie de políticas y normas que establecen qué medidas son necesarias ejecutar para garantizar la seguridad de la información en el ámbito de la Administración Pública en España.

 

A través del ENS se pretende asegurar el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, así como la información y los servicios utilizados por medios electrónicos. En resumen, es un protocolo que deben cumplir todas las empresas que ofrezcan soluciones a la Administración Pública, que les suministren servicios o que traten con información clasificada.

 

 

El ENS abarca a toda la Administración General del Estado (AGE), las comunidades autónomas, las administraciones locales, las entidades de derecho público y los ciudadanos que tengan vinculación con el sector público.

 

En el sector privado participan de este ENS las empresas que ofrecen servicios a la Administración Pública, especialmente las de corte tecnológico o que se mueven en sectores como la información y las telecomunicaciones, los servicios en la nube o la gestión de procesos empresariales, entre otros.

 

Cualquier persona, física o jurídica, que maneja información clasificada o que pueda ser considerada como crítica o estratégica para el buen funcionamiento de la Administración Pública debe ceñirse a lo que impone el Esquema Nacional de Seguridad.

 

De manera recomendable, aunque no obligatoria, este ENS es un protocolo a seguir por otras entidades y empresas que tratan con información sensible. El seguimiento a estos estándares de protección va a mejorar la seguridad en el tratamiento de esos datos.

 

 

El ENS fue creado hace ya más de una década para mejorar la confianza y avanzar en la protección del uso de sistemas electrónicos y medios de comunicación. Su razón de ser guarda mucha relación con la ciberseguridad y la protección de datos, especialmente los que se vuelcan a internet.

 

Este esquema define tres grupos en las medidas de seguridad: marco organizativo, marco operacional y medidas de protección. El primero hace referencia a las medidas globales de seguridad que incluyen la política, la normativa y los procedimientos de seguridad y de autorización.

 

El marco operacional está formado por las medidas que incluyen la planificación, el control de acceso, los servicios externos y en la nube y la monitorización. Finalmente, las medidas de protección van encaminadas a salvaguardar activos concretos: instalaciones e infraestructuras, gestión del personal, protección de equipos, aplicaciones, servicios de comunicaciones, etc.

 

 

El ENS impone una serie de requisitos mínimos que son los que validan que la información está protegida de acuerdo a sus estándares. Estos requerimientos van desde la política de seguridad al análisis y gestión de riesgos, los sistemas de gestión de la seguridad de la información, las medidas de seguridad, los planes de contingencia y continuidad del negocio y la designación de responsables de seguridad de la información.

 

Esta adecuación puede ejecutarse bien a nivel interno, desarrollando una estructura organizativa en la Administración o en la empresa que ofrece esos servicios a nivel público o bien confiar en compañías especializadas en la protección de datos, como es el caso de Grupo Adaptalia.

 

Esta cuenta entre sus servicios la adaptación a este estándar de seguridad mediante diferentes actuaciones. La primera es el plan de adecuación al Esquema Nacional de Seguridad, mientras que en otro orden de medidas también ofrece auditorías internas para comprobar el grado de cumplimiento del ENS.

 

El proceso integral consta de una primera fase propiamente de adecuación, la segunda que es la implantación de la seguridad y la tercera que es la declaración y certificación de conformidad con el Esquema de Seguridad Nacional.

 

A partir de ahí, los organismos a los que se aplica el ENS deben informar periódicamente sobre su grado de cumplimiento con estas normas y acometer los cambios necesarios para seguir protegiendo a las empresas frente a nuevas amenazas y la inclusión de nuevas tecnologías. Para ello las auditorías internas son bien recibidas.

 

La conclusión final es clara, para trabajar con la Administración Pública hay obligatoriamente que adaptarse al Esquema Nacional de Seguridad y seguir las guías que ofrece el Centro Criptológico Nacional (CCN-STIC). De ellas se obtienen los estándares a seguir para mejorar el grado de ciberseguridad y garantizar la protección frente a los ataques cibernéticos.