L'Esquema Nacional de Seguretat (ENS)

Enunciat oficial. L'Esquema Nacional de Seguretat (E.N.S).

Norma: ENS — Reial decret 311/2022, de 3 de maig, pel qual es regula l'Esquema Nacional de Seguretat. Substitueix el RD (Reial Decret) 3/2010. Habilitació legal: Llei 40/2015, art. 156.

1. Objecte i àmbit

Objecte (ENS, art. 1): establir la política de seguretat en la utilització de mitjans electrònics en l'àmbit de la Llei 40/2015, i està constituït pels principis bàsics i requisits mínims que garanteixin adequadament la seguretat de la informació tractada i dels serveis prestats, per assegurar l'accés, la confidencialitat, la integritat, la traçabilitat, l'autenticitat, la disponibilitat i la conservació de les dades, informacions i serveis utilitzats en mitjans electrònics.

Àmbit (ENS, art. 2): totes les administracions públiques —AGE (Administració General de l'Estat), comunitats autònomes i entitats locals— i el sector públic institucional; és a dir, tot el sector públic. I, a més, els proveïdors i els sistemes de les entitats del sector privat que prestin serveis o proveeixin solucions al sector públic, que n'han d'acreditar la conformitat.

Tres límits de l'àmbit que el tribunal converteix en distractors: no hi ha cap llindar de població que eximeixi un ajuntament; la ciutadania no hi està mai subjecta; i una empresa privada no queda obligada per tractar dades sensibles —això és el RGPD— sinó per prestar servei a l'Administració. Queden fora els sistemes que tracten informació classificada, regits per la seva normativa específica (ENS, art. 3).

Les dimensions de la seguretat són cinc: confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat (C, I, T, A, D). L'article 1 esmenta a més l'accés i la conservació entre les garanties de l'esquema, però no són dimensions valorables: no reben nivell i no compten per fixar la categoria.

Pregunta d'examen: quan es demana quin concepte correspon a una de les dimensions de seguretat que estableix l'ENS, la resposta és una d'aquestes: disponibilitat, autenticitat, integritat, confidencialitat o traçabilitat. No ho són la «resiliència», la «privadesa», la «no-repudi» com a tal ni la «robustesa».

2. Els principis bàsics (ENS, art. 5 a ENS, art. 11)

Són sis, no set. L'art. 5 els enumera i els articles 6 a 11 els desenvolupen, un per article. Els requisits mínims i la proporcionalitat no hi són: van a l'apartat 3, i confondre'ls és el que fa fallar la pregunta de «quin dels següents és un principi bàsic».

1. La seguretat com un procés integral (ENS, art. 6): està constituïda per tots els elements humans, materials, tècnics, jurídics i organitzatius; es concedirà la màxima importància al personal i s'evitaran actuacions puntuals o tractaments conjunturals.
2. Gestió de la seguretat basada en els riscos (ENS, art. 7): l'anàlisi i gestió de riscos és part essencial del procés de seguretat i s'ha de mantenir permanentment actualitzada.
3. Prevenció, detecció, resposta i conservació (ENS, art. 8): les mesures han de garantir la prevenció d'incidents, la seva detecció, la resposta i la recuperació, i la conservació de la informació.
4. Existència de línies de defensa (ENS, art. 9): estratègia de protecció en profunditat, amb múltiples capes, de manera que quan una es vegi compromesa n'hi hagi una altra que permeti guanyar temps, reduir la probabilitat i reaccionar.
5. Vigilància contínua i reavaluació periòdica (ENS, art. 10): permet detectar activitats anòmales i mesurar l'evolució de l'estat de seguretat.
6. Diferenciació de responsabilitats (ENS, art. 11): s'han de diferenciar el responsable de la informació, el responsable del servei, el responsable de la seguretat i el responsable del sistema.

La regla de segregació, i la seva excepció (ENS, art. 13.3): la regla general és que el responsable de la seguretat ha de ser distint del responsable del sistema, sense dependència jeràrquica entre tots dos. Però la incompatibilitat no és absoluta: en situacions excepcionals en què la manca justificada de recursos ho exigeixi, les dues funcions poden recaure en la mateixa persona —o en persones amb relació jeràrquica— sempre que s'apliquin mesures compensatòries que en garanteixin la finalitat, documentades a la Declaració d'Aplicabilitat.

Respondre «mai, sota cap concepte» és el distractor, no la norma. I una dependència jeràrquica del responsable del sistema cap al de seguretat no preserva el principi: és justament el que l'article vol evitar.

Compte amb la norma que cita l'enunciat. Sota el RD 3/2010 (art. 10, «funció diferenciada») la parella que s'havia de separar era responsable del servei i responsable de la seguretat; sota el RD 311/2022 la parella exigida és seguretat i sistema.

3. Els requisits mínims (ENS, art. 12)

La política de seguretat s'ha d'establir d'acord amb quinze requisits mínims. No són principis: són el que cal fer per complir-los, i els articles 13 a 27 en desenvolupen un cadascun.

a) Organització i implantació del procés de seguretat b) Anàlisi i gestió dels riscos c) Gestió de personal d) Professionalitat e) Autorització i control dels accessos f) Protecció de les instal·lacions g) Adquisició de productes de seguretat i contractació de serveis de seguretat h) Mínim privilegi i) Integritat i actualització del sistema j) Protecció de la informació emmagatzemada i en trànsit k) Prevenció davant altres sistemes d'informació interconnectats l) Registre d'activitat i detecció de codi maliciós m) Incidents de seguretat n) Continuïtat de l'activitat o) Millora contínua del procés de seguretat

Els requisits mínims s'han de satisfer sempre, i el criteri per aplicar-los és la proporcionalitat: es despleguen segons la categoria del sistema i el nivell de cada dimensió, de manera que l'esforç sigui proporcional al perjudici que caldria evitar (ENS, art. 28, «compliment dels requisits mínims»).

4. La política de seguretat i els rols

Política de seguretat de la informació (ENS, art. 12 i annex III): és el document de més alt nivell que estableix el conjunt de directrius que regeixen la manera en què una organització gestiona i protegeix la informació i els serveis. Ha de ser aprovada per l'òrgan superior competent —al món local, el Ple o l'òrgan de govern— i ha de contenir:

• els objectius o missió de l'organització;
• el marc legal i regulatori aplicable;
• els rols o funcions de seguretat, amb els deures i responsabilitats de cada lloc i el procediment per a la seva designació i renovació;
• l'estructura del comitè de seguretat de la informació i el procés de resolució de conflictes;
• les directrius per a l'estructuració de la documentació de seguretat del sistema, la seva gestió i accés.

Els quatre rols (ENS, art. 11, el principi, i ENS, art. 13, l'organització del procés de seguretat):

Qui proposa i qui aprova: el responsable de la informació i el del servei fixen requisits (què cal protegir i amb quin nivell); el responsable de la seguretat decideix i proposa les mesures que els satisfan —també les físiques, com el control d'accés a les instal·lacions, als llocs de treball i als sistemes centrals—; el responsable del sistema les implanta. Dins l'organització TIC (Tecnologies de la Informació i la Comunicació), aquesta funció recau en una àrea de seguretat diferenciada de les àrees d'operacions, de serveis generals i de suport a persones usuàries: aquestes executen, l'àrea de seguretat defineix i proposa.

Comitè de seguretat de la informació: òrgan col·legiat que coordina la seguretat entre les diferents àrees, resol conflictes de requisits i eleva les decisions a l'òrgan de govern.

El DPD (delegat de protecció de dades) (RGPD) no és el responsable de la seguretat de l'ENS: són figures diferents i complementàries, encara que han de col·laborar estretament. El DPD supervisa el compliment de la protecció de dades; no decideix les mesures de seguretat ni n'assumeix la responsabilitat.

4.1 La jerarquia normativa: d'objectius a procediments

De les dimensions de seguretat (els objectius, resumides de vegades amb l'acrònim CIA (Confidencialitat, Integritat i Disponibilitat)) es deriva la política de seguretat; d'aquesta, la normativa; i d'aquesta, els procediments i els plans que la porten al dia a dia. És la mateixa jerarquia que estructura el marc organitzatiu de l'annex II (ENS, annex II, apartat 3):

• org.1 Política de seguretat: el document de més alt nivell (vist a dalt), aprovat per l'òrgan superior competent.
• org.2 Normativa de seguretat: regula l'ús correcte d'equips, serveis i instal·lacions, i la responsabilitat del personal en cas d'incompliment.
• org.3 Procediments de seguretat: detallen com fer cada tasca, qui l'ha de fer i com identificar i notificar comportaments anòmals.
• org.4 Procés d'autorització: autoritza formalment l'ús d'instal·lacions, l'entrada en producció d'equips i aplicacions, els enllaços de comunicacions i l'ús de suports, equips mòbils i serveis de tercers.

5. Categorització dels sistemes (ENS, art. 40 i annex I)

5.1 Els nivells de les dimensions

Per a cada dimensió (confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat) s'assigna un nivell: BAIX, MITJÀ o ALT, segons el perjudici que causaria un incident:

• BAIX: perjudici limitat sobre les funcions, els actius o els individus afectats.
• MITJÀ: perjudici greu.
• ALT: perjudici molt greu.

Si una dimensió no es veu afectada, no rep nivell.

5.2 La categoria del sistema

La categoria del sistema es determina a partir de la valoració de les dimensions de seguretat, amb aquesta regla:

• Categoria ALTA si alguna dimensió assoleix el nivell ALT.
• Categoria MITJANA si alguna dimensió assoleix el nivell MITJÀ i cap no és alta.
• Categoria BÀSICA si alguna dimensió assoleix el nivell BAIX i cap no és mitjana ni alta.

És la dimensió més exigent la que arrossega tot el sistema. Aquesta és la regla que es pregunta.

La categoria determina quines mesures de l'annex II són exigibles i amb quin reforç.

6. Les mesures de seguretat (annex II)

Les mesures es divideixen en tres grups — pregunta literal i repetida (2023 i 2025):

Subgrups del marc operacional (op): op.pl planificació · op.acc control d'accés · op.exp explotació · op.ext recursos externs · op.nub serveis al núvol · op.cont continuïtat del servei · op.mon monitoratge del sistema.

Subgrups de les mesures de protecció (mp): mp.if instal·lacions i infraestructures · mp.per gestió del personal · mp.eq equips · mp.com comunicacions · mp.si suports d'informació · mp.sw aplicacions informàtiques · mp.info informació · mp.s serveis.

Aplicació de les mesures: cada mesura indica per a quina categoria és exigible (n.a. no aplicable, aplica, = igual que el nivell anterior, + reforç, ++ reforç addicional) i, en algunes, en funció del nivell de la dimensió afectada. També hi ha mesures de reforç (R) al final de cada mesura.

L'exigència creix amb el nivell, i és gradual. El cas que ha caigut és el mecanisme d'autenticació (op.acc.5): a categoria BÀSICA pot bastar un sol factor —una contrasenya robusta—, i és a partir del nivell MITJÀ que cal un segon factor, reforç que es manté a ALT. Com més amunt la categoria, més exigència, mai menys.

Perfils de compliment específics (ENS, art. 30): permeten adaptar l'ENS a col·lectius o tipus d'entitat. N'hi ha per a entitats locals de població reduïda, per a serveis al núvol i per a altres sectors. Simplifiquen la implantació sense reduir la seguretat exigible.

La contractació pública i les empreses licitadores (ENS, art. 2.3): els plecs dels contractes del sector públic han d'incloure els requisits per assegurar la conformitat amb l'ENS dels sistemes dels contractistes —com la presentació de la Declaració o Certificació de Conformitat—, i aquesta cautela s'estén a la cadena de subministrament d'aquests contractistes segons ho justifiqui l'anàlisi de riscos. És la mesura op.ext.3, protecció de la cadena de subministrament (exigible només a categoria ALTA): estimar el risc que introdueix un proveïdor extern i preveure'l al pla de continuïtat.

Aquesta obligació contractual no s'ha de confondre amb la LCSP (Llei de Contractes del Sector Públic): la LCSP regula el procediment de licitació → tema 3; l'ENS hi afegeix l'exigència de seguretat al proveïdor. I dins d'un procediment de concurs, la fase de recepció d'ofertes és, ella mateixa, un tractament d'informació: noms de persones licitadores i les seves qualificacions, rebuts abans de l'obertura pública, comprometen la confidencialitat —no la integritat (que no es modifiquin), ni la disponibilitat (que s'hi pugui accedir), ni la traçabilitat (qui hi ha accedit)—, perquè el que està en joc és que no es coneguin abans d'hora.

7. Auditoria de la seguretat (ENS, art. 31 i annex III)

Regla que es pregunta literalment:

• Els sistemes de categoria BÀSICA no necessiten auditoria: n'hi ha prou amb una autoavaluació, realitzada pel mateix personal que administra el sistema o en qui aquest delegui, i documentada de la mateixa manera.
• Els sistemes de categoria MITJANA i ALTA han de ser objecte d'una auditoria regular ordinària, almenys cada dos anys, que verifiqui el compliment dels requisits de l'ENS. No cada tres: aquesta és la xifra amb què s'ha construït el distractor.
• Cal fer una auditoria extraordinària sempre que es produeixin modificacions substancials al sistema d'informació que puguin repercutir en les mesures de seguretat requerides. L'auditoria extraordinària reinicia el còmput dels dos anys.
• L'informe d'auditoria ha de dictaminar sobre el grau de compliment, identificar les deficiències i suggerir les mesures correctores o complementàries necessàries, i incloure els criteris metodològics d'auditoria utilitzats, l'abast i l'objectiu, i les dades, fets i observacions en què es basin les conclusions.
• L'auditor ha de tenir independència de l'activitat auditada.
• L'informe s'analitza pel responsable de la seguretat, que n'eleva les conclusions al responsable del sistema perquè adopti les mesures correctores adequades.

Declaració i certificació de conformitat (ENS, art. 38 i Instrucció tècnica de seguretat de conformitat):

• Categoria BÀSICA: declaració de conformitat, feta per la mateixa entitat.
• Categories MITJANA i ALTA: certificació de conformitat, emesa per una entitat de certificació acreditada.
• La conformitat s'ha de publicar a la seu electrònica.

8. Altres previsions

• Les ITS (Instruccions Tècniques de Seguretat): d'obligat compliment, aprovades pel Ministeri competent. N'hi ha d'informe de l'estat de la seguretat, notificació d'incidents, auditoria, conformitat, adquisició de productes, criptologia d'ús, interconnexió i esborrat i destrucció.
• El CCN (Centre Criptològic Nacional) publica les guies CCN-STIC (STIC: Seguretat de les Tecnologies de la Informació i les Comunicacions; sèrie 800): desenvolupen l'ENS. Les bàsiques: CCN-STIC 801 (responsabilitats i funcions), 802 (auditoria), 803 (valoració de sistemes), 804 (guia d'implantació), 806 (pla d'adequació), 808 (verificació del compliment), 809 (declaració i certificació), 823 (serveis al núvol) i 825 (certificacions).
• Eines del CCN, les dues que surten citades a la norma i a les guies: Pilar, per a l'anàlisi de riscos amb la metodologia Magerit, i INES (Informe Nacional de l'Estat de la Seguretat), on es recull l'informe anual.
• Notificació d'incidents (ENS, art. 33): al CCN-CERT (CERT: Computer Emergency Response Team) segons la perillositat, amb la Guia Nacional de Notificació i Gestió de Ciberincidents → tema 65.
• Informe de l'estat de la seguretat (ENS, art. 32): recollida anual d'informació a través d'INES.
• Adquisició de productes (ENS, art. 19): la consideració de productes certificats conforme a normes europees o internacionals —Common Criteria, o el CPSTIC (Catàleg de Productes i Serveis STIC) del CCN— s'exigeix a la categoria ALTA; a mitjana es valora i a bàsica no cal.
• Xifratge (annex II i ITS de criptologia d'ús): l'ús de la criptografia s'ha d'ajustar a aquesta instrucció tècnica i als algorismes aprovats pel CCN.
• Serveis al núvol (op.nub, novetat del RD 311/2022): el proveïdor n'ha d'acreditar la conformitat amb l'ENS. El repartiment de responsabilitats entre proveïdor i client —qui respon de la seguretat del núvol i qui de la seguretat en el núvol— es desenvolupa al tema 59.
• Termini d'adequació: la disposició transitòria del RD 311/2022 va fixar 24 mesos per adequar-se, amb pla d'adequació en cas contrari.

9. Relació amb altres marcs

• RGPD: complementaris, no equivalents. L'ENS protegeix la informació i els serveis de l'Administració; el RGPD protegeix les persones. Les mesures de l'ENS són una manera concreta de complir l'RGPD, art. 32. Un sistema conforme a l'ENS no és automàticament conforme al RGPD, ni a l'inrevés.
• ENI: interoperabilitat; l'ENS, seguretat. Van junts.
• ISO/IEC 27001 (IEC: International Electrotechnical Commission): sistema de gestió de la seguretat de la informació, certificable i voluntari; l'ENS és obligatori per al sector públic. Es poden integrar: hi ha taules de correspondència.
• NIS2 (Network, Information i Systems, directiva 2) i RDL 12/2018 (Reial Decret Llei): seguretat de xarxes i sistemes; obligacions de gestió de riscos i notificació per a entitats essencials i importants.
• Llei 8/2011: infraestructures crítiques.

Claus d'examen

• La confidencialitat és el bé jurídic quan encara no toca conèixer una dada, no quan cal protegir-la de modificació o garantir-hi accés: rebre ofertes i dades de licitadores abans de l'obertura d'un concurs és un cas de manual (TS-TIC 2018, pràctica, supòsit 4, p. 4).
• Sota els objectius (dimensions) hi ha la política; sota la política, la normativa i els procediments/plans que la implanten —org.1 a org.4, en aquest ordre—: no confondre'ls amb els nivells operatius (administració de sistemes, guia per al personal, registres del SGSI (Sistema de Gestió de la Seguretat de la Informació)), que van més avall (TS-TIC 2018, específic, p. 74).
• Qui proposa una mesura de seguretat no és qui l'executa: l'àrea de seguretat defineix i proposa —també la seguretat física—; operacions i serveis generals implanten (TS-TIC 2021, específic, p. 83).
• La regla és que el responsable de la seguretat sigui distint del responsable del sistema; «mai, sota cap concepte» és el distractor. L'art. 13.3 admet acumular-los en situacions excepcionals per manca justificada de recursos, amb mesures compensatòries (TS-TIC 2023, específic, p. 69, i pràctica, p. 23: les dues preguntes van del mateix article).
• Bàsica → autoavaluació; mitjana i alta → auditoria cada dos anys. La categoria BÀSICA no s'audita externament, la trampa més repetida d'aquest bloc; l'altra és canviar els dos anys per tres (TS-TIC 2023, específic, p. 43).
• Sis principis bàsics i quinze requisits mínims: el mínim privilegi i la professionalitat són requisits, no principis (TS-TIC 2023, pràctica, p. 29).

Per recordar

• RD 311/2022. Àmbit: totes les administracions públiques i els proveïdors que els prestin serveis. Ni llindar de població, ni la ciutadania.
• Cinc dimensions: confidencialitat, integritat, traçabilitat, autenticitat i disponibilitat.
• Sis principis bàsics (art. 5, desenvolupats als art. 6 a 11): procés integral · basat en riscos · prevenció, detecció, resposta i conservació · línies de defensa · vigilància contínua i reavaluació · diferenciació de responsabilitats. Els quinze requisits mínims (art. 12) són una altra llista.
• La política de seguretat és el document de més alt nivell i l'aprova l'òrgan superior competent.
• Quatre rols: informació, servei, seguretat i sistema. El de seguretat ha de ser distint del del sistema (explotació) —però l'art. 13.3 ho permet excepcionalment amb mesures compensatòries.
• Nivells BAIX/MITJÀ/ALT per dimensió (perjudici limitat / greu / molt greu); la categoria la marca la dimensió més alta.
• Tres grups de mesures: marc organitzatiu (org), marc operacional (op) i mesures de protecció (mp). L'exigència puja amb la categoria: l'autenticació passa d'un factor a dos a partir de MITJÀ.
• Marc organitzatiu, en ordre: org.1 política, org.2 normativa, org.3 procediments, org.4 autorització. Baixa dels objectius (dimensions) cap a l'operatiu.
• La cadena de subministrament dels contractistes entra a l'ENS via els plecs (art. 2.3) i la mesura op.ext.3, exigible només a categoria ALTA.
• Auditoria: bàsica → autoavaluació; mitjana i alta → auditoria ordinària almenys cada dos anys, i extraordinària en cas de modificació substancial.
• Conformitat: declaració a bàsica, certificació a mitjana i alta, publicada a la seu electrònica.
• ENS i RGPD són complementaris: un no implica l'altre.