Finalidad:
Sus objetivos son los siguientes:
- Crear las condiciones necesarias de confianza en el uso
de los medios electrónicos, a través de medidas para
garantizar la seguridad de los sistemas, los datos, las
comunicaciones, y los servicios electrónicos, que permita a
los ciudadanos y a las administraciones públicas, el
ejercicio de derechos y el cumplimiento de deberes a través
de estos medios.
- Establecer la política de seguridad en la
utilización de medios electrónicos en el
ámbito de la Ley 11/2007, que estará constituida por
los principios básicos y los requisitos mínimos para
una protección adecuada de la información.
- Introducir los elementos comunes que han de guiar la
actuación de las administraciones públicas en materia
de seguridad de las tecnologías de la
información.
- Aportar un lenguaje común para facilitar la
interacción de las administraciones públicas,
así como la comunicación de los requisitos de
seguridad de la información a la industria.
En el Esquema Nacional de Seguridad se concibe la seguridad como
una actividad integral, en la que no caben actuaciones puntuales o
tratamientos coyunturales, debido a que la debilidad de un sistema
la determina su punto más frágil y, a menudo, este
punto es la coordinación entre medidas individualmente
adecuadas pero deficientemente ensambladas.
Dada la naturaleza de la seguridad, la consecución de
estos objetivos requiere un desarrollo que tenga en cuenta la
complejidad técnica, la obsolescencia de la
tecnología subyacente y el importante cambio que supone en
la operativa de la administración la aplicación de la
Ley 11/2007.
Descripción:
El Real Decreto
3/2010
, de 8 de enero, por
el que se regula el Esquema Nacional de Seguridad en el
ámbito de la administración electrónica,
regula el citado Esquema previsto en el artículo
42 de la Ley 11/2007, de 22 de junio, de acceso electrónico
de los ciudadanos a los Servicios Públicos. Su objeto es
establecer la política de seguridad en la utilización
de medios electrónicos y está constituido por
principios básicos y requisitos mínimos que permitan
una protección adecuada de la información.
La finalidad del Esquema Nacional de Seguridad es crear las
condiciones necesarias para la confianza en el uso de los medios
electrónicos, a través de medidas para garantizar la
seguridad de los sistemas, los datos, las comunicaciones, y los
servicios electrónicos, que permita el ejercicio de derechos
y el cumplimiento de deberes a través de estos medios.
Persigue fundamentar la confianza en que los sistemas de
información prestarán sus servicios y
custodiarán la información de acuerdo con sus
especificaciones funcionales, sin interrupciones o modificaciones
fuera de control y sin que la información pueda llegar al
conocimiento de personas no autorizadas.
Al objeto de crear estas condiciones, el Esquema Nacional de
Seguridad introduce los elementos comunes que han de guiar la
actuación de las Administraciones Públicas en materia
de seguridad de las tecnologías de la información. En
particular, introduce los siguientes elementos principales:
- Los principios básicos a ser tenidos en cuenta en las
decisiones en materia de seguridad.
- Los requisitos mínimos que permitan una
protección adecuada de la información.
- El mecanismo para lograr el cumplimiento de los principios
básicos y requisitos mínimos mediante la
adopción de medidas de seguridad proporcionadas a la
naturaleza de la información, el sistema y los servicios a
proteger.
Tiene en cuenta las recomendaciones de la Unión Europea,
la situación tecnológica de las diferentes
Administraciones Públicas, así como los servicios
electrónicos ya existentes, y la utilización de
estándares abiertos así como, en su caso y de forma
complementaria, estándares que sean de uso generalizado por
los ciudadanos.
En su elaboración se han manejado, entre otros,
referentes en materia de seguridad tales como directrices y
guías de la OCDE, recomendaciones de la Unión
Europea, normalización nacional e internacional, normativa
sobre administración electrónica, protección
de datos de carácter personal, firma electrónica y
Documento Nacional de Identidad Electrónico, así como
a referentes de otros países.
Se ha realizado en un proceso coordinado por el Ministerio de la
Presidencia con el apoyo del Centro Criptológico Nacional
(CCN), con la participación de todas las Administraciones
Públicas. A lo largo de los últimos tres años
más de un centenar de expertos de las Administraciones
Públicas ha colaborado en su elaboración; a los que
hay que sumar los numerosos expertos que también han
aportado su opinión a través de las asociaciones
profesionales del sector TIC; todo ello a la luz del estado del
arte y de los principales referentes en materia de seguridad de la
información.
Resultados:
Real Decreto 3/2010, de 8 de enero, por el que se regula el
Esquema Nacional de Seguridad en el ámbito de la
administración electrónica.
Ventajas:
Sus elementos principales:
- Los Principios básicos a ser tenidos en
cuenta en las decisiones en materia de seguridad.
- Los Requisitos mínimos que permitan una
protección adecuada de la información.
- La Categorización de los sistemas para la
adopción de medidas de seguridad proporcionadas a la
naturaleza de la información, del sistema y de los servicios
a proteger y a los riesgos a los que están expuestos.
- La auditoría de la seguridad que
verifique el cumplimiento del Esquema Nacional de Seguridad.
- La respuesta a incidentes de seguridad
mediante la estructura CCN-CERT que actuará sin perjuicio de
las capacidades de respuesta que pueda tener cada
administración pública, y de su función como
coordinador a nivel nacional e internacional, prestando los
servicios de soporte y coordinación, investigación y
divulgación, formación e información.
- La certificación como aspecto a
considerar al adquirir productos de seguridad, citando al Organismo
de Certificación del Esquema Nacional de Evaluación y
Certificación de Seguridad de las TIC (el propio Centro
Criptológico Nacional).
Todos los órganos superiores de las administraciones
públicas deberán disponer de su política de
seguridad que garantice el acceso, integridad, disponibilidad,
autenticidad, confidencialidad, trazabilidad y conservación
de los datos, informaciones y servicios utilizados en medios
electrónicos.
Los sistemas de las administraciones deberán estar
adecuados a este Esquema en el plazo de doce meses, aunque si
hubiese circunstancias que impidan la plena aplicación, se
dispondrá de un plan de adecuación que marque los
plazos de ejecución (en ningún caso superiores a 48
meses desde la entrada en vigor).
