La Guía CCN-STIC 808 viene a complementar a la guía “CCN-STIC-802 Esquema Nacional de Seguridad – Guía de auditoría” y tiene como objeto “el servir tanto de itinerario, como de registro, a aquella persona designada como auditor de los requisitos del Esquema Nacional de Seguridad para un sistema”.
Los sistemas de información de categoría Alta o Media, incluidos aquellos de empresas del sector privado que presten servicios a las entidades públicas, están obligados a la realización de una auditoría regular, al menos cada dos años y una de carácter extraordinario siempre que se produzcan modificaciones sustanciales en el sistema de información.
El CCN-CERT ha publicado en su portal web la Guía CCN-STIC 808 de verificación del Esquema Nacional de Seguridad (ENS)
cuyo objetivo es servir tanto de itinerario, como de registro, a aquella persona designada como auditor de los requisitos del ENS. De este modo, se podrá encauzar de una forma homogénea la realización de las auditorías, ordinarias o extraordinarias, estableciendo unas premisas mínimas en su ejecución, tal y como marca el artículo 34 del Real Decreto 3/2010 de 8 de enero, por el que se regula el ENS.
El citado artículo 34 señala que los sistemas de información a los que se refiere el real decreto serán objeto de una auditoría regular ordinaria, al menos cada dos años, que verifique el cumplimiento de los requerimientos del presente Esquema Nacional de Seguridad.
Con carácter extraordinario, deberá realizarse dicha auditoría siempre que se produzcan modificaciones sustanciales en el sistema de información, que puedan repercutir en las medidas de seguridad requeridas.
