De què parlem
L'Esquema Nacional de Seguretat (ENS) és el marc de seguretat de la informació del sector públic espanyol. El regula el Reial decret 311/2022, de 3 de maig, que fixa els principis, els requisits mínims i les mesures de seguretat que han de complir els sistemes d'informació.
El que fa que una empresa privada arribi a aquesta pàgina és el seu article 2: l'ENS s'aplica a tot el sector públic i també als sistemes d'informació de les entitats del sector privat quan, en virtut d'un contracte, presten serveis o proveeixen solucions a les entitats del sector públic per a l'exercici de les seves competències. El mateix article diu que els plecs dels contractes han de preveure els requisits necessaris per assegurar aquesta conformitat, com la presentació de les corresponents declaracions o certificacions de conformitat amb l'ENS.
Quan es planteja
Quan un plec de contractació ho exigeix i l'empresa s'hi vol presentar; quan una administració que ja és client ho demana a la renovació; quan l'empresa presta serveis a una altra que treballa per al sector públic i l'exigència baixa per la cadena; o quan es vol obrir aquesta línia de negoci i arribar-hi amb la feina feta.
Què inclou un servei ben plantejat
- Delimitar l'abast: quins sistemes d'informació sustenten el servei que es presta a l'administració. No cal que sigui tota l'empresa.
- Determinar la categoria del sistema —bàsica, mitjana o alta— segons l'impacte que tindria un incident en la disponibilitat, autenticitat, integritat, confidencialitat o traçabilitat (article 40 i annex I).
- La política de seguretat i els responsables: de la informació, del servei i de la seguretat.
- L'anàlisi de riscos i la Declaració d'Aplicabilitat: el document, signat pel responsable de la seguretat, amb les mesures seleccionades (article 28).
- Implantar les mesures de l'annex II que corresponguin a la categoria.
- Determinar la conformitat: autoavaluació o auditoria de certificació, segons la categoria.
Què diu la norma
L'article 38 del Reial decret 311/2022 és el que respon la pregunta «m'he de certificar?»:
- Els sistemes de categoria mitjana o alta necessiten una auditoria per a la certificació de la seva conformitat.
- Els de categoria bàsica només requereixen una autoavaluació per a la seva declaració de conformitat, sense perjudici que es puguin sotmetre igualment a una auditoria de certificació.
A més, els sistemes inclosos en el seu àmbit han de passar una auditoria regular ordinària almenys cada dos anys, i una d'extraordinària quan hi hagi modificacions substancials (article 31). Les declaracions i certificacions de conformitat es publiquen al portal d'internet o la seu electrònica del responsable del sistema (article 38.2).
Els requisits que han de complir les entitats certificadores els concreta la Instrucció Tècnica de Seguretat corresponent, i les guies que desenvolupen l'ENS les publica el Centre Criptològic Nacional. Això és un resum divulgatiu: el que val és el text del reial decret i el que digui el teu plec.
Què mou el preu
- La categoria: una bàsica amb autoavaluació no és el mateix projecte que una mitjana o alta amb auditoria de certificació.
- L'abast: quants sistemes, seus i persones hi entren.
- El punt de partida: si ja hi ha mesures implantades, o una ISO 27001, part del camí està fet.
- Dues factures diferents: la consultoria que acompanya l'adequació i, si hi ha certificació, l'entitat certificadora que audita. No poden ser la mateixa.
- Les mesures tècniques que calgui implantar i encara no existeixen.
- El manteniment: la conformitat no s'aconsegueix una vegada, se sosté.
Quant costa
No donem xifres: el cost depèn de la categoria i de com de lluny estigui l'empresa de complir, i això només ho veu qui fa el diagnòstic inicial. Demana que la proposta separi l'adequació, les mesures tècniques i l'auditoria de certificació, i que digui quanta feina interna et demanarà.
Errors que surten cars
- Començar quan ja ha sortit el plec: l'adequació vol el seu temps i no s'improvisa en el termini d'una licitació.
- Ficar tota l'empresa a l'abast quan el servei a l'administració es recolza en uns pocs sistemes.
- Tractar-ho com un tràmit documental: les mesures s'auditen, no només es descriuen.
- Donar per feta la categoria: la decideix l'impacte, i sovint la indica la mateixa administració contractant.
Què t'ha de quedar per escrit
- L'abast i la categoria del sistema, amb la seva justificació.
- La política de seguretat aprovada i els responsables designats.
- La Declaració d'Aplicabilitat signada.
- L'informe d'autoavaluació o d'auditoria.
- La declaració o la certificació de conformitat, i on es publica.
Quines dades cal preparar abans de demanar pressupost
- Què t'ho exigeix: el plec, el contracte o el client, i quina categoria esmenta.
- Quin servei prestes a l'administració i sobre quins sistemes.
- Per a quan ho necessites.
- Si ja tens alguna certificació de seguretat.