Normas de conformidad en sedes y registros electrónicos y categorizacion de los sistemas de información
La seguridad de las sedes y de los registros electrónicos, así como la del acceso electrónico de los ciudadanos a los servicios públicos, se regirán por lo establecido en el Esquema Nacional de Seguridad.
Las especificaciones de seguridad se incluirán en
- el ciclo de vida de los servicios y sistemas,
- acompañadas de los correspondientes procedimientos de control.
Cada órgano de la Administración pública o de Entidad de Derecho Público establecerá sus mecanismos de control para garantizar de forma real y efectiva el cumplimiento del Esquema Nacional de Seguridad.
Los órganos y Entidades de Derecho Público darán publicidad en las correspondientes sedes electrónicas a las declaraciones de conformidad, y a los distintivos de seguridad de los que sean acreedores, obtenidos respecto al cumplimiento del Esquema Nacional de Seguridad.
El Esquema Nacional de Seguridad se deberá mantener actualizado de manera permanente. Se desarrollará y perfeccionará en paralelo al progreso de:
- los servicios de Administración electrónica,
- de la evolución tecnológica
- y nuevos estándares internacionales sobre seguridad
- y auditoría en los sistemas y tecnologías de la información
- y a medida que vayan consolidándose las infraestructuras que le apoyan.
La categoría de un sistema de información, en materia de seguridad, modulará el equilibrio entre:
- la importancia de la información que maneja,
- los servicios que presta y
- el esfuerzo de seguridad requerido,
en función de los riesgos a los que está expuesto, bajo el criterio del principio de proporcionalidad.
La determinación de la categoría se efectuará en función de la valoración del impacto
que tendría un incidente que afectara
- a la seguridad de la información o
- de los servicios
con perjuicio para la:
- disponibilidad,
- autenticidad,
- integridad,
- confidencialidad o
- trazabilidad,
como dimensiones de
seguridad.
La valoración de las consecuencias de un impacto
negativo sobre la seguridad de la información y de los servicios se
efectuará atendiendo a:
- su repercusión en la capacidad de la organización
para el logro de sus objetivos,
- la protección de sus activos,
- el
cumplimiento de sus obligaciones de servicio,
- el respeto de la legalidad
y los derechos de los ciudadanos.
La facultad para efectuar las valoraciones así como la modificación posterior corresponderá, dentro del ámbito de su actividad, al responsable
de cada información o servicio.
La facultad para determinar la categoría del sistema corresponderá al responsable del mismo.
El personal de las Administraciones públicas recibirá, de acuerdo con lo
previsto en la disposición adicional segunda de la Ley 11/2007, de 22
de junio, la formación necesaria para garantizar el conocimiento del
Esquema Nacional de Seguridad. Los órganos
responsables dispondrán lo necesario para que la formación sea una
realidad efectiva.
El Comité de Seguridad de la Información de las Administraciones
Públicas, dependiente del Comité Sectorial de Administración
electrónica,
- contará con un representante de cada una de las entidades
presentes en dicho Comité Sectorial
- tendrá funciones de cooperación en
materias comunes relacionadas con la adecuación e implantación de lo
previsto en el Esquema Nacional de Seguridad y en las normas,
instrucciones, guías y recomendaciones dictadas para su aplicación.
Desarrollo del Esquema Nacional de Seguridad. Además de las propuestas que pueda acordar
el Comité Sectorial de Administración Electrónica (según lo establecido
en el artículo 29, apartado 2), se desarrollarán las siguientes
instrucciones técnicas de seguridad, que serán de obligado cumplimiento
por parte de las Administraciones públicas:
a) Informe del estado de la seguridad.
b) Notificación de incidentes de seguridad.
c) Auditoría de la seguridad.
d) Conformidad con el Esquema Nacional de Seguridad.
e) Adquisición de productos de seguridad.
f) Criptología de empleo en el Esquema Nacional de Seguridad.
g) Interconexión en el Esquema Nacional de Seguridad.
h) Requisitos de seguridad en entornos externalizados.