Esquema Nacional de Seguridad (ENS)

Si necesita implantar el Esquema Nacional de Seguridad (ENS) en Grupo ACMS Consultores podemos asesorarle.

Índice de Contenidos

• 1. ¿Qué es el Esquema Nacional de Seguridad?
• 2. Ámbito de Aplicación del Esquema Nacional de Seguridad (ENS)
• 3. ¿Por qué implementar el ENS fortalece la seguridad y la confianza?
• 4. ¿Dónde se regula?
• 5. ¿Cuáles son sus objetivos?
• 6. ¿Necesita asesoramiento para su implantación?

1. ¿Qué es el Esquema Nacional de Seguridad?

El Esquema Nacional de Seguridad (ENS) es un conjunto de medidas y políticas de seguridad de la información, establecido por el Gobierno de España, que tiene como objetivo principal garantizar la protección de los sistemas, datos e información gestionados por las diferentes Administraciones Públicas Españolas.

El ENS se presenta como un marco obligatorio para asegurar la confidencialidad, integridad y disponibilidad de los datos en el sector público.

Este esquema es esencial para proteger los sistemas de información de amenazas como ciberataques y accesos no autorizados, proporcionando un marco robusto para que las entidades públicas y organizaciones privadas que gestionan servicios para el sector público establezcan medidas preventivas y controlen los riesgos de manera efectiva.

A través de esta normativa, se fomenta la confianza en los servicios digitales del sector público, garantizando que la información sensible de los ciudadanos y otros datos de interés nacional se manejen de forma segura y conforme a los estándares de ciberseguridad. 

La adopción del ENS permite a las organizaciones operar con mayor seguridad en el ámbito digital, respaldando un compromiso claro con la protección de la información en el contexto actual.

2. Ámbito de Aplicación del Esquema Nacional de Seguridad (ENS)

El Esquema Nacional de Seguridad (ENS) está diseñado para proteger los sistemas y datos de las entidades públicas y, en muchos casos, de organizaciones privadas que colaboran o prestan servicios a las administraciones públicas. Su ámbito de aplicación abarca diversas entidades y sectores clave:

1. Administraciones Públicas: Todos los niveles de la administración pública en España, desde el gobierno central hasta los autonómicos y locales, deben cumplir con el ENS. Esto incluye organismos como ayuntamientos, diputaciones provinciales y consejerías autonómicas, que gestionan datos sensibles de los ciudadanos y operan servicios críticos para el público.
2. Entidades Públicas Especializadas: Organismos específicos como universidades públicas, hospitales del sistema nacional de salud, y entidades de investigación también están obligados a implementar las medidas del ENS, dada la naturaleza sensible de los datos que manejan y su impacto en servicios esenciales.
3. Empresas Privadas con Contratos Públicos: Muchas empresas tecnológicas, proveedores de software y contratistas de servicios públicos también deben cumplir con los requisitos del ENS cuando prestan servicios a entidades del sector público. Por ejemplo, una empresa de tecnología que desarrolle sistemas de gestión de datos para un ministerio o un proveedor de servicios en la nube que aloje información para una administración local necesita cumplir con el ENS para asegurar la protección adecuada de la información que gestiona.

Niveles de Gestión Afectados

El ENS establece requisitos que impactan en múltiples niveles de gestión dentro de estas entidades:

• Acceso y autenticación de usuarios: Controla quién puede acceder a los sistemas de información, estableciendo medidas de autenticación para proteger los datos sensibles y evitar accesos no autorizados.
• Gestión de la infraestructura tecnológica: Impone medidas de seguridad en servidores, bases de datos y redes, con el objetivo de blindar la infraestructura frente a ciberamenazas y ataques externos.
• Protección de datos: Asegura que la información se almacena y procesa de manera segura, garantizando la integridad y confidencialidad de los datos, especialmente en sectores críticos como la salud y la investigación.
• Mantenimiento de la disponibilidad del servicio: El ENS también se enfoca en asegurar que los sistemas y servicios estén disponibles para los usuarios cuando se necesiten, evitando caídas y asegurando la continuidad operativa.

3. ¿Por qué implementar el ENS fortalece la seguridad y la confianza?

4. ¿Dónde se regula?

El Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad sustituye al Real Decreto 3/2010, de 8 de enero, por el que se regula el ENS en el ámbito de la Administración Electrónica.

Existen diversas medidas de seguridad recogidas en el ENS, que se dividen en 3 grupos (Anexo II del Real Decreto 311/2022):

• Marco organizativo: las medidas son acerca de la política de seguridad, Los procedimientos y normas de seguridad, los procesos sobre autorizaciones, etc. 
• Dentro del marco operacional se aprecian medidas sobre la planificación, análisis de riesgos, control de accesos, la continuidad del servicio, la monitorización de los sistemas, etc.
• Las medidas para la protección son varias para proteger instalaciones e infraestructuras, gestión del personal, servicios, comunicaciones, soportes de información, etc.

5. ¿Cuáles son sus objetivos?

De esta manera, se busca establecer un marco común de seguridad para todas las administraciones públicas españolas, que permita prevenir y mitigar los riesgos de seguridad asociados al uso de las tecnologías de la información.

El Esquema Nacional de Seguridad, actualizado en 2022, pretende cumplir tres objetivos:

1. Alinear el ENS con el marco normativo y el contexto estratégico existente para garantizar la seguridad en la administración digital. Se trata de reflejar con claridad el ámbito de aplicación del ENS en beneficio de la ciberseguridad y de los derechos de los ciudadanos.
   
   
2. Introducir la capacidad de ajustar los requisitos del ENS, para garantizar su adaptación a la realidad de ciertos colectivos o tipos de sistemas, atendiendo a la semejanza que presentan una multiplicidad de entidades o servicios en cuanto a los riesgos a los que están expuestos sus sistemas de información y sus servicios. 
   
   
3. Facilitar una mejor respuesta a las tendencias en ciberseguridad, reducir vulnerabilidades y promover la vigilancia continua mediante la revisión de los principios básicos, de los requisitos mínimos y de las medidas de seguridad.

El objeto último de la seguridad de la información, como se define en el Esquema de Seguridad Nacional es garantizar que una organización podrá cumplir sus objetivos, desarrollar sus funciones y ejercer sus competencias utilizando sistemas de información.

Por ello, en materia de seguridad de la información deberán tenerse en cuenta los siguientes principios básicos:

1. Seguridad como proceso integral.
2. Gestión de la seguridad basada en los riesgos.
3. Prevención, detección, respuesta y conservación.
4. Existencia de líneas de defensa.
5. Vigilancia continua.
6. Reevaluación periódica.
7. Diferenciación de responsabilidades.

6. ¿Necesita asesoramiento?

Si necesita asesoramiento para implantar los procedimientos y requisitos que aplica el Esquema Nacional de Seguridad, en Grupo ACMS Consultores podemos asesorarle.

Lo primero que se debe analizar y tener en cuenta a la hora de implantar el Esquema Nacional de Seguridad es la categorización de la seguridad de los sistemas de información, tal y como se describe en el Anexo I del Real Decreto 311/2022, de 3 de mayo.

Esto se realizará teniendo en cuenta las 5 dimensiones de la seguridad: Confidencialidad, Integridad, Trazabilidad, Autenticidad y Disponibilidad de la información. Así se definen 3 niveles de Seguridad: Bajo, Medio y Alto. Y a partir de aquí, se definen tres categorías de seguridad: BÁSICA, MEDIA y ALTA.

• Un sistema de información será de categoría ALTA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad ALTO.
• Un sistema de información será de categoría MEDIA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad MEDIO, y ninguna alcanza un nivel de seguridad superior.
• Un sistema de información será de categoría BÁSICA si alguna de sus dimensiones de seguridad alcanza el nivel BAJO, y ninguna alcanza un nivel superior.

Para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos se aplicarán las medidas de seguridad indicadas en el Anexo II, en el cual se incluye una Tabla con la correspondencia de Medidas de Seguridad a aplicar por cada uno de los Marcos definidos (organizativo, operacional y medidas de protección) en función de las dimensiones de seguridad, la Categoría de seguridad del sistema.