Requisitos mínimos de seguridad siguiendo los principios del RD 3/2010 Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica
El Artículo 11 del RD 3/2010 por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, trata sobre los requisitos mínimos de seguridad. Según lo cual, todos los órganos superiores de las Administraciones han de tener su política de seguridad,
- que deberá articular la gestión continuada de la seguridad,
- que será aprobada por el titular del órgano superior correspondiente.
- a) Organización e implantación del proceso de seguridad.
- b) Análisis y gestión de los riesgos.
- c) Gestión de personal.
- d) Profesionalidad.
- e) Autorización y control de los accesos.
- f) Protección de las instalaciones.
- g) Adquisición de productos.
- h) Seguridad por defecto.
- i) Integridad y actualización del sistema.
- j) Protección de la información almacenada y en tránsito.
- k) Prevención ante otros sistemas de información interconectados.
- l) Registro de actividad.
- m) Incidentes de seguridad.
- n) Continuidad de la actividad.
- o) Mejora continua del proceso de seguridad.
- central,
- autonómico
- o local,
- la Ley 6/1997, de 14 de abril, de organización y funcionamiento de la Administración General del Estado
- y Ley 50/1997, de 27 de noviembre, del Gobierno;
- los estatutos de autonomía correspondientes y normas de desarrollo;
- y la Ley 7/1985, de 2 de abril, reguladora de las bases del Régimen Local.
Los municipios podrán disponer de una política de seguridad
común elaborada por
Véase Orden AAA/991/2015, de 21 de mayo, por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica del Ministerio de Agricultura, Alimentación y Medio Ambiente («B.O.E.» 29 mayo).
- la Diputación,
- Cabildo,
- Consejo Insular
- u órgano unipersonal correspondiente de aquellas otras corporaciones de carácter representativo a las que corresponda el gobierno y la administración autónoma de la provincia o, en su caso, a la entidad comarcal correspondiente a la que pertenezcan.
Véase Orden AAA/991/2015, de 21 de mayo, por la que se aprueba la política de seguridad de la información en el ámbito de la Administración Electrónica del Ministerio de Agricultura, Alimentación y Medio Ambiente («B.O.E.» 29 mayo).
En cuanto a la organización e implantación del proceso de seguridad, la seguridad deberá comprometer a todos los miembros de la organización.
La política de seguridad (anexo II, sección 3.1), deberá
- identificar unos claros responsables de velar por su cumplimiento
- y ser conocida por todos los miembros de la organización administrativa.
Por lo que respecta al análisis y gestión de los riesgos, cada organización que desarrolle e implante sistemas
para el tratamiento de la información y las comunicaciones realizará su
propia gestión de riesgos.
Se realizará esta gestión por medio del- análisis y
- tratamiento de los riesgos a los que está expuesto el sistema.
- mitigar o
- suprimir los riesgos
En cuanto a la gestión de personal, todo el personal relacionado con la información y
los sistemas deberá ser
El personal relacionado con la información y los
sistemas, ejercitará y aplicará los principios de seguridad en el
desempeño de su cometido.- formado e
- informado
- deberes
- y obligaciones en materia de seguridad.
- Sus actuaciones deben ser supervisadas
- para verificar que se siguen los procedimientos establecidos.
Las normas de seguridad concretarán y plasmarán el significado y alcance del uso seguro del sistema.
cada usuario debe estar identificado de forma única cuando acceda a la información del sistema, de esta manera se podrá corregir o exigir responsabilidades
- de quién recibe derechos de acceso,
- de qué tipo son éstos,
- y quién ha realizado determinada actividad.
La seguridad de los sistemas exige profesionalidad, estará
- atendida,
- revisada y
- auditada
por personal cualificado, dedicado e instruido en
todas las fases de su ciclo de vida:
- instalación,
- mantenimiento,
- gestión de incidencias y desmantelamiento.
El personal de las Administraciones públicas
recibirá la formación específica necesaria para garantizar la seguridad
de las tecnologías de la información aplicables a los sistemas y
servicios de la Administración.
Las Administraciones públicas exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten
Las Administraciones públicas exigirán, de manera objetiva y no discriminatoria, que las organizaciones que les presten servicios de seguridad cuenten
- con profesionales cualificados y
- con unos niveles idóneos de gestión y madurez en los servicios prestados.
En cuanto a autorización y control de los accesos, el acceso al sistema de información deberá ser controlado y
limitado a
- los usuarios,
- procesos,
- dispositivos y
- otros sistemas de información, debidamente autorizados, restringiendo el acceso a las funciones permitidas.
En lo relativo a protección de las instalaciones, los sistemas se instalarán en
- áreas separadas,
- dotadas de un procedimiento de control de acceso
- las salas deben estar cerradas y
- disponer de un control de llaves.
El RD 3/2010 por el que se regula el Esquema Nacionald e Seguridad en el Ámbito de la Administración Electrónica, trata en su artículo 18
sobre la adquisición de productos de seguridad y contratación de servicios de seguridad.
En la adquisición de productos de seguridad de
las TIC, tecnologías de la información y comunicaciones, que vayan a ser
empleados por las Administraciones públicas se utilizarán, de forma
proporcionada a la categoría del sistema y nivel de seguridad
determinados, los que tengan certificada la funcionalidad de
seguridad relacionada con el objeto de su adquisición, excepto en los
casos en que las exigencias de proporcionalidad en cuanto a los riesgos
asumidos no lo justifiquen a criterio del responsable de Seguridad.La certificación deberá estar de acuerdo con las normas y estándares de mayor reconocimiento internacional en seguridad.
El Organismo de Certificación del Esquema Nacional
de Evaluación y Certificación de Seguridad de las Tecnologías de la
Información, (constituido al amparo de lo dispuesto en el
artículo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la
orden PRE/2740/2007, de 19 de septiembre), dentro de sus
competencias, determinará el criterio a cumplir en función del uso
previsto del producto a que se refiera, en relación con el nivel de
evaluación, otras certificaciones de seguridad adicionales que se
requieran normativamente, así como, excepcionalmente, en los casos en
que no existan productos certificados. El proceso se efectuará
teniendo en cuenta los criterios y metodologías de evaluación
determinados por las normas internacionales.
El artículo 19
habla de la Seguridad por defecto. Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad por defecto:
- a) El sistema debe proporcionar la mínima funcionalidad requerida para que la organización alcance sus objetivos.
- b) Las funciones de
- operación,
- administración y
- registro de actividad serán las mínimas necesarias, y
- se asegurará que sólo son accesibles por las personas,
- o desde emplazamientos o equipos, autorizados,
- pudiendo exigirse restricciones de horario y puntos de acceso facultados.
- c) En un sistema de explotación, mediante el control de la configuración, se eliminarán o desactivarán, las funciones que
- no sean de interés,
- sean innecesarias
- e, incluso, aquellas que sean inadecuadas al fin que se persigue.
- d) El uso ordinario del sistema ha de ser sencillo y seguro, para que una utilización insegura requiera de un acto consciente por parte del usuario para realizarla.
En cuanto a la integridad y actualización del sistema, todo elemento físico o lógico necesitará autorización formal previa a su instalación en el sistema.
- las especificaciones de los fabricantes,
- a las vulnerabilidades
- y a las actualizaciones que les afecten,
Sobre protección de información almacenada y en tránsito, en la estructura y organización de la seguridad del
sistema, se deberá prestar especial atención a
Forman parte de la seguridad los procedimientos que
aseguren- la información almacenada
- o en tránsito, a través de entornos inseguros.
- los equipos portátiles,
- asistentes personales (PDA),
- dispositivos periféricos,
- soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.
- la recuperación
- y conservación a largo plazo de los documentos electrónicos producidos por las Administraciones públicas en el ámbito de sus competencias.
En cuanto a la prevención ante otros sistemas de información interconectados, el sistema ha de proteger el perímetro, en particular, si se
conecta a redes públicas.
Es una red pública de comunicaciones la red de comunicaciones electrónicas que se utiliza, en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público, de conformidad a la definición establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.
Se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión.
Es una red pública de comunicaciones la red de comunicaciones electrónicas que se utiliza, en su totalidad o principalmente, para la prestación de servicios de comunicaciones electrónicas disponibles para el público, de conformidad a la definición establecida en el apartado 26 del anexo II, de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones.
Se analizarán los riesgos derivados de la interconexión del sistema, a través de redes, con otros sistemas, y se controlará su punto de unión.
El artículo 23
trata sobre el registro de actividad.- derecho al honor,
- a la intimidad personal y familiar
- y a la propia imagen de los afectados,
- monitorizar,
- analizar,
- investigar y
- documentar actividades indebidas o no autorizadas,
- permitiendo identificar en cada momento a la persona que actúa.
Es preciso controlar los incidentes de seguridad, par alo cual se establecerá un sistema de
Se dispondrá de procedimientos de gestión - detección y
- reacción frente a código dañino.
- de incidentes de seguridad
- y de debilidades detectadas en los elementos del sistema de información.
- los mecanismos de detección,
- los criterios de clasificación,
- los procedimientos de análisis y resolución,
- los cauces de comunicación a las partes interesadas
- y el registro de las actuaciones.
Se procurará la mejora continua del proceso de seguridad. Para lo cual el proceso integral de seguridad implantado deberá ser actualizado y mejorado de forma continua. En función de esto se aplicarán los criterios y métodos reconocidos en la práctica nacional e internacional relativos a gestión de las tecnologías de la información.
- a) Los activos que constituyen el sistema.
- b) La categoría del sistema.
- c) Las decisiones que se adopten para gestionar los riesgos identificados.
Estas medidas de seguridad podrán ser reemplazadas por otras compensatorias siempre que se justifique documentalmente
- la protección igual o mejor del riesgo sobre los activos
- y se satisfacen los principios básicos
- y los requisitos mínimos.
Los supuestos concretos de utilización de estas infraestructuras y servicios comunes serán determinados por cada Administración.
El artículo 29 versa sobre las instrucciones técnicas de seguridad y guías de seguridad.
Para el mejor cumplimiento de lo establecido en el Esquema Nacional de Seguridad, el Centro Criptológico Nacional elaborará y difundirá las correspondientes guías de seguridad de las tecnologías de la información y las comunicaciones.
El Ministerio de Hacienda y Administraciones Públicas, a propuesta del Comité Sectorial de Administración Electrónica previsto en el artículo 40 de la Ley 11/2007, de 22 de junio , y a iniciativa del Centro Criptológico Nacional,
- aprobará las instrucciones técnicas de seguridad de obligado cumplimiento
- y se publicarán mediante resolución de la Secretaría de Estado de Administraciones Públicas.
Véase la Res. de 7 de octubre de 2016, de
la Secretaría de Estado de Administraciones Públicas, por la que se
aprueba la Instrucción Técnica de Seguridad de Informe del Estado de la
Seguridad («B.O.E.» 2 noviembre).
Véase la Res. de 13 de octubre de 2016, de
la Secretaría de Estado de Administraciones Públicas, por la que se
aprueba la Instrucción Técnica de Seguridad de conformidad con el
Esquema Nacional de Seguridad («B.O.E.» 2 noviembre).
Las instrucciones técnicas de seguridad tendrán en cuenta las normas de nivel europeo.
El artículo 30
trata sobre los sistemas de información no afectados.
Las Administraciones públicas podrán determinar los
sistemas de información a los que no les sea de aplicación lo dispuesto
en el RD 3/2010, por tratarse de sistemas- no relacionados con el ejercicio de derechos
- ni con el cumplimiento de deberes por medios electrónicos
- ni con el acceso por medios electrónicos de los ciudadanos a la información y al procedimiento administrativo, de acuerdo con lo previsto en la Ley 11/2007, de 22 de junio.