El artículo 35 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad (ENS), establece la obligación de evaluar regularmente el estado de la seguridad de los sistemas de las Administraciones Públicas y la necesidad de establecer un sistema de medición de la seguridad, en la que se consideren los siguientes aspectos:
- Grado de implantación de las medidas de seguridad
- Eficacia y eficiencia de las medidas de seguridad
- Nivel de protección de las interconexiones
- Impacto de los incidentes de seguridad y métricas de resolución de los mismos
Para cumplir con dicho mandato, el Ministerio de Hacienda y Administraciones Públicas y el Centro Criptológico Nacional han desarrollado la herramienta INES (Informe Nacional del Estado de la Seguridad) que permite, entre otros aspectos, recopilar y explotar la información necesaria para la elaboración del Informe de Estado de la Seguridad.
Un informe para cuya tercera edición las Administraciones Públicas deben facilitar sus datos, a través de INES, antes del 31 de enero de 2017. Se recomienda, además, que los datos facilitados estén soportados por una auditoría independiente que permita la posterior certificación de conformidad con el ENS (la realización de estas auditorías será de obligado cumplimiento para sistemas de nivel medio y alto, a partir del año que viene).
El Centro Criptológico Nacional, además de desarrollar la plataforma INES, ha puesto a disposición de todos los organismos una serie de Guías CCN-STIC (principalmente la 824 del Informe del Estado de Seguridad
y la 844 Manual de Usuario de INES - y Anexo ), así como una línea de soporte telefónico (901 440 401) y un correo electrónico ( ines@ccn-cert.cni.es ) en el que solicitar cualquier tipo de ayuda a la hora de cargar los datos. Asimismo, está previsto la puesta en marcha de un curso online en su portal.
Todo ello, teniendo en cuenta la entrada en vigor, desde el 2 de octubre de 2016, de las leyes 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas y la Ley 40/2015 de Régimen Jurídico del Sector Público que amplían el ámbito objetivo y subjetivo de aplicación del ENS (en la guía CCN-STIC 830 , de reciente publicación, se proporcionan ejemplos de dicha ampliación haciendo especial hincapié en el sector público institucional).
