El objeto último de la seguridad de la información es asegurar que una organización administrativa cumpla con sus objetivos utilizando sistemas de información.
En las decisiones en materia de seguridad deberán tenerse en cuenta los siguientes principios básicos:
a) Seguridad integral.
b) Gestión de riesgos.
c) Prevención, reacción y recuperación.
d) Líneas de defensa.
e) Reevaluación periódica.
f) Función diferenciada.
La aplicación del Esquema Nacional de Seguridad estará presidida por este principio, que excluye cualquier actuación puntual o tratamiento coyuntural.
- y a sus responsables jerárquicos,
para que,
- ni la ignorancia,
- ni la falta de organización y coordinación,
- ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad.
El análisis y gestión de riesgo será parte esencial del proceso de seguridad y deberá mantenerse permanentemente actualizado.
La gestión de riesgos permitirá
- el mantenimiento de un entorno controlado,
- minimizando los riesgos hasta niveles aceptables.
La reducción de estos niveles se realizará mediante el despliegue de medidas de seguridad, que establecerá un equilibrio entre la naturaleza de los datos y los tratamientos, los riesgos a los que estén expuestos y las medidas de seguridad.
Prevención, reacción y recuperación. La seguridad del sistema debe contemplar los aspectos de
- prevención,
- detección y
- corrección,
para conseguir que las amenazas
- no se materialicen,
- no afecten gravemente a la información que maneja, o los servicios que se prestan.
Las medidas de prevención deben eliminar o al menos reducir, la posibilidad de que las amenazas lleguen a materializarse con perjuicio para el sistema. Las medidas de prevención contemplarán, entre otras:
- la disuasión y
- la reducción de la exposición.
Las medidas de detección estarán acompañadas de medidas de reacción, de forma que los incidentes de seguridad se atajen a tiempo.
Las medidas de recuperación permitirán la restauración de la información y los servicios, de forma que se pueda hacer frente a las situaciones en las que un incidente de seguridad inhabilite los medios habituales.
El sistema
- garantizará la conservación de los datos e informaciones en soporte electrónico.
- mantendrá disponibles los servicios durante todo el ciclo vital de la información digital, a través de una concepción y procedimientos que sean la base para la preservación del patrimonio digital.
Líneas de defensa. El sistema ha de disponer de una estrategia de protección constituida por múltiples capas de seguridad, dispuesta de forma que, cuando una de las capas falle, permita:
a) Ganar tiempo para una reacción adecuada frente a los incidentes que no han podido evitarse.
b) Reducir la probabilidad de que el sistema sea comprometido en su conjunto.
c) Minimizar el impacto final sobre el mismo.
Las líneas de defensa han de estar constituidas por medidas de naturaleza
- organizativa,
- física y
- lógica.
Las medidas de seguridad se reevaluarán y actualizarán periódicamente, para adecuar su eficacia a la constante evolución de los riesgos y sistemas de protección, llegando incluso a un replanteamiento de la seguridad, si fuese necesario.
La seguridad como función diferenciada. En los sistemas de información se diferenciará
- el responsable de la información,
- el responsable del servicio y
- el responsable de la seguridad.
El responsable de la información determinará los requisitos de la información tratada; el responsable del servicio determinará los requisitos de los servicios prestados; y el responsable de seguridad determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios.
La responsabilidad de la seguridad de los sistemas de información estará diferenciada de la responsabilidad sobre la prestación de los servicios.
La política de seguridad de la organización detallará
- las atribuciones de cada responsable y
- los mecanismos de coordinación y resolución de conflictos.
En cuanto a los requisitos mínimos de seguridad, todos los órganos superiores de las Administraciones Públicas deberán disponer formalmente de su política de seguridad que articule la gestión continuada de la seguridad, que será aprobada por el titular del órgano superior correspondiente.
La política de seguridad se establecerá
- de acuerdo con los principios básicos indicados y
- se desarrollará aplicando los siguientes requisitos mínimos:
a) Organización e implantación del proceso de seguridad.
b) Análisis y gestión de los riesgos.
c) Gestión de personal.
d) Profesionalidad.
e) Autorización y control de los accesos.
f) Protección de las instalaciones.
g) Adquisición de productos.
h) Seguridad por defecto.
i) Integridad y actualización del sistema.
j) Protección de la información almacenada y en tránsito.
k) Prevención ante otros sistemas de información interconectados.
l) Registro de actividad.
m) Incidentes de seguridad.
n) Continuidad de la actividad.
o) Mejora continua del proceso de seguridad.
Se considerarán órganos superiores, los responsables directos de la ejecución de la acción del gobierno, central, autonómico o local, en un sector de actividad específico, de acuerdo con lo establecido en
- la Ley 6/1997, de 14 de abril, de organización y funcionamiento de la Administración General del Estado y
- Ley 50/1997, de 27 de noviembre, del Gobierno;
- los estatutos de autonomía correspondientes y normas de desarrollo;
- y la Ley 7/1985, de 2 de abril, reguladora de las bases del Régimen Local.
Los municipios podrán disponer de una política de seguridad común elaborada por la Diputación, Cabildo, Consejo Insular u órgano unipersonal correspondiente de aquellas otras corporaciones de carácter representativo a las que corresponda el gobierno y la administración autónoma de la provincia o, en su caso, a la entidad comarcal correspondiente a la que pertenezcan.
Todos los requisitos mínimos se exigirán en proporción a los riesgos identificados en cada sistema, pudiendo algunos no requerirse en sistemas sin riesgos significativos (se cumplirán de acuerdo con lo establecido en el artículo 27).
En cuanto a la organización e implantación del proceso de seguridad. La seguridad deberá comprometer a todos los miembros de la organización. La política de seguridad deberá identificar unos claros responsables de velar por su cumplimiento y ser conocida por todos los miembros de la organización administrativa.
Por lo que se refiere al análisis y gestión de los riesgos. Cada organización que desarrolle e implante sistemas para el tratamiento de la información y las comunicaciones realizará su propia gestión de riesgos, que se realizará por medio del análisis y tratamiento de los riesgos a los que está expuesto el sistema. Las medidas adoptadas para mitigar o suprimir los riesgos
- deberán estar justificadas y, en todo caso,
- existirá una proporcionalidad entre ellas y los riesgos.
Por lo que respecta a la gestión de personal, todo el personal relacionado con la información y los sistemas
- deberá ser formado e informado de sus deberes y obligaciones en materia de seguridad.
- sus actuaciones deben ser supervisadas para verificar que se siguen los procedimientos establecidos.
- el personal relacionado con la información y los sistemas, ejercitará y aplicará los principios de seguridad en el desempeño de su cometido.
El significado y alcance del uso seguro del sistema se concretará y plasmará en unas normas de seguridad.
Con la finalidad de corregir o exigir responsabilidades, cada usuario que acceda a la información del sistema debe estar identificado de forma única, de modo que se sepa
- quién recibe derechos de acceso,
- de qué tipo son éstos, y
- quién ha realizado determinada actividad.
Profesionalidad. La seguridad de los sistemas estará
- atendida,
- revisada y
- auditada por personal cualificado, dedicado e instruido en todas las fases de su ciclo de vida:
- instalación,
- mantenimiento,
- gestión de incidencias y
- desmantelamiento.
El personal de las Administraciones públicas recibirá la formación específica necesaria para garantizar la seguridad de las tecnologías de la información aplicables a los sistemas y servicios de la Administración.
De manera objetiva y no discriminatoria, las Administraciones Públicas exigirán, que las organizaciones que les presten servicios de seguridad cuenten con profesionales cualificados y con unos niveles idóneos de gestión y madurez en los servicios prestados.
Autorización y control de los accesos. El acceso al sistema de información deberá ser
- controlado y
- limitado a
- los usuarios,
- procesos,
- dispositivos y
- otros sistemas de información, debidamente autorizados,
- restringiendo el acceso a las funciones permitidas.
Protección de las instalaciones. Los sistemas se instalarán en
- áreas separadas, dotadas de un procedimiento de
- control de acceso
- las salas deben estar cerradas y disponer de un
- control de llaves.
Adquisición de productos de seguridad y contratación de servicios de seguridad. En la adquisición de productos de seguridad de las tecnologías de la información y comunicaciones que vayan a ser empleados por las Administraciones Públicas se utilizarán, de forma proporcionada a la categoría del sistema y nivel de seguridad determinados, los que tengan certificada la funcionalidad de seguridad relacionada con el objeto de su adquisición, salvo en aquellos casos en que las exigencias de proporcionalidad en cuanto a los riesgos asumidos no lo justifiquen a juicio del responsable de Seguridad.
La certificación deberá estar de acuerdo con las normas y estándares de mayor reconocimiento internacional en el ámbito de la seguridad funcional.
El Organismo de Certificación del Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información, constituido al amparo de lo dispuesto en el artículo 2.2.c) del Real Decreto 421/2004, de 12 de marzo, y regulado por la orden PRE/2740/2007, de 19 de septiembre, dentro de sus competencias, determinará el criterio a cumplir en función del uso previsto del producto a que se refiera, en relación con el nivel de evaluación, otras certificaciones de seguridad adicionales que se requieran normativamente, así como, excepcionalmente, en los casos en que no existan productos certificados. El proceso indicado, se efectuará teniendo en cuenta los criterios y metodologías de evaluación, determinados por las normas internacionales que recoge la citada orden ministerial.
Seguridad por defecto. Los sistemas deben diseñarse y configurarse de forma que garanticen la seguridad por defecto, según lo cual:
a) El sistema proporcionará la mínima funcionalidad requerida para que la organización alcance sus objetivos.
b) Las funciones de operación, administración y registro de actividad serán las mínimas necesarias, y se asegurará que sólo son accesibles por las personas, o desde emplazamientos o equipos, autorizados, pudiendo exigirse en su caso restricciones de horario y puntos de acceso facultados.
c) En un sistema de explotación se eliminarán o desactivarán, mediante el control de la configuración, las funciones que
- no sean de interés,
- sean innecesarias e, incluso,
- las que sean inadecuadas al fin que se persigue.
d) El uso ordinario del sistema ha de ser sencillo y seguro, de forma que una utilización insegura requiera de un acto consciente por parte del usuario.
Integridad y actualización del sistema. Todo elemento físico o lógico requerirá autorización formal previa a su instalación en el sistema. Se deberá conocer, en todo momento, el estado de seguridad de los sistemas en relación a
- las especificaciones de los fabricantes,
- a las vulnerabilidades y
- a las actualizaciones que les afecten,
reaccionando con diligencia para gestionar el riesgo a la vista del estado de seguridad de los mismos.
Protección de información almacenada y en tránsito. En la estructura y organización de la seguridad del sistema, se prestará especial atención a la información almacenada o en tránsito a través de entornos inseguros.
Tendrán la consideración de entornos inseguros
- los equipos portátiles,
- asistentes personales (PDA),
- dispositivos periféricos,
- soportes de información y comunicaciones sobre redes abiertas o con cifrado débil.
Forman parte de la seguridad los procedimientos que aseguren la recuperación y conservación a largo plazo de los documentos electrónicos producidos por las Administraciones públicas en el ámbito de sus competencias.
Toda información en soporte no electrónico, que haya sido causa o consecuencia directa de la información electrónica, deberá estar protegida con el mismo grado de seguridad que ésta. Para lo cual se aplicarán las medidas que correspondan a la naturaleza del soporte en que se encuentren, de conformidad con las normas de aplicación a la seguridad de los mismos.
