Declaración de conformidad al ENS

Esquema Nacional de Seguridad

¿Podemos utilizar la información volcada en el Informe INES para realizar la declaración de conformidad en los sistemas de categoría básica del ENS?

Para resolver la cuestión planteada vamos a analizar los siguientes aspectos:

• Qué es una autoevaluación para la declaración de conformidad al ENS.
• Qué es un Informe del Estado de la Seguridad de los Sistemas TIC.
• Cuáles son la similitudes o diferencias.

1. Qué es una autoevaluación para la declaración de conformidad al ENS?

La autoevaluación para la declaración de la conformidad al ENS tiene su fundamento en el artículo 34, y Anexo III, denominados “Auditoría de Seguridad” del Real Decreto 3/2010. Se trata pues de un requisito relativo a la necesidad de realizar auditorías periódicas, al menos cada dos años, para verificar el cumplimiento de los requisitos del Esquema Nacional de Seguridad. Para los sistemas de categoría básica, como es el caso de la entidad consultante, es suficiente con realizar una autoevaluación por quienes administran los sistemas.

Para facilitar esta labor de auditoría (o autoevaluación) el CCN-CERT publica la Guía de Seguridad de las TIC CCN-STIC 808. El objeto de esta guía es que sirva tanto de itinerario, como de registro, a aquella persona designada como auditor (o autoevaluador) de los requisitos del Esquema Nacional de Seguridad para un sistema.

2. Qué es un Informe del Estado de la Seguridad de los Sistemas TIC?

El Informe Nacional del Estado de la Seguridad (INES) de los sistemas de las tecnologías de la información y la comunicación responde a lo previsto en el artículo 35 del Real Decreto 3/2010, que establece lo siguiente:

• El Comité Sectorial de Administración Electrónica recogerá la información relacionada con el estado de las principales variables de la seguridad en los sistemas de información a los que se refiere el presente Real Decreto, de forma que permita elaborar un perfil general del estado de la seguridad en las Administraciones públicas.
• El Centro Criptológico Nacional articulará los procedimientos necesarios para la recogida y consolidación de la información, así como los aspectos metodológicos para su tratamiento y explotación, a través de los correspondientes grupos de trabajo que se constituyan al efecto en el Comité Sectorial de Administración Electrónica y en la Comisión de Estrategia TIC para la Administración General del Estado.

Para cumplir este mandado el Ministerio de Hacienda y Administraciones Públicas y el Centro Criptológico Nacional han desarrollado la herramienta INES (Informe Nacional del Estado de la Seguridad) que permite, entre otros aspectos, recopilar y explotar la información necesaria para la elaboración del Informe de Estado de la Seguridad.

3. Similitudes o diferencias

A la vista de lo expuesto, la función de auditoría, tiene por objeto realizar una evaluación de la propia entidad con el objetivo de adoptar, analizados los resultados, medidas correctivas y de mejora. El Informe INES, sin embargo, tiene un objetivo diferente, que es recopilar información de las diferentes administraciones públicas con el objetivo de elaborar un perfil general del estado de la seguridad en las Administraciones Públicas.

Tal y como establece el CCN-CERT, lo podemos ver en el enlace siguiente https://www.ccn-cert.cni.es/en/updated-security/ccn-cert-statements/4026-comienza-el-plazo-para-la-carga-de-datos-del-informe-nacional-del-estado-de-seguridad se recomienda que la información registrada en INES esté soportada por una auditoría independiente. Esto para los sistemas de nivel básico es una recomendación, porque obligación de realizar la auditoría. Teniendo en cuenta la recomendación, sí consideramos que previamente al Informe INES habría de haberse realizado la Autoevaluación.