El Anexo II “Medidas de seguridad” del Esquema Nacional de Seguridad (ENS) presenta un contenido altamente estructurado, en el que las medidas de seguridad se encuentran codificadas de forma sistemática (familias, medidas, requisitos, refuerzos, categorías, niveles, dimensiones), de forma que se encuentra preparado para su representación en formato legible por máquina.
La representación del ENS en un formato legible por máquina permite superar las limitaciones del formato texto: por razón de procesos manuales de interpretación y aplicación; por la dificultad de interoperabilidad con herramientas de implantación, verificación y auditoría; y por ineficiencias en aplicación, auditoría y reporte, con tareas repetitivas y poco reutilizables.
La representación del ENS en un formato legible por máquina permite:
- La automatización, para facilitar la implantación, evolución, monitorización y verificación de las medidas de seguridad, y el cumplimiento normativo.
- La interoperabilidad, para facilitar la integración con herramientas de desarrollo, monitorización continua y auditoría, y la gestión del riesgo de ciberseguridad.
- La eficiencia y fiabilidad en los sistemas de gestión de la seguridad de la información, para contribuir a reducir errores humanos.
- La aplicación de técnicas avanzadas de inteligencia artificial sobre perfiles de cumplimiento y declaraciones de aplicabilidad para apoyar, entre otros, el análisis de riesgos y vulnerabilidades, la identificación de controles en función de riesgos, la detección de anomalías/insuficiencias y la recomendación de ajustes basados en tendencias.
La implementación del Anexo II del ENS en formato legible por máquina se ha realizado mediante representación en JSON de acuerdo con la especificación OSCAL (Open Security Controls Assessment Language). El código JSON se acompaña de un documento explicativo “Decisiones de diseño y descripción de la conversión de texto a código” que describe la estructura general del catálogo, las convenciones empleadas (identificadores, metadatos y nomenclatura) y la justificación técnica de las decisiones adoptadas.
Esta aproximación es asimismo aplicable a los Perfiles de Cumplimiento Específicos y a las Declaraciones de aplicabilidad. Además, la disponibilidad del ENS legible por máquina es un valor añadido para posicionar el ENS como uno de los pilares sobre los que se construyan los futuros esquemas europeos