O artigo 35 do Real Decreto 3/2010, do 8 de xaneiro, polo que se regula o Esquema Nacional de Seguridade (ENS), establece a obriga de avaliar regularmente o estado da seguridade dos sistemas das Administracións Públicas e a necesidade de establecer un sistema de medición da seguridade, na que se consideren os seguintes aspectos:
- Grao de implantación das medidas de seguridade
- Eficacia e eficiencia das medidas de seguridade
- Nivel de protección das interconexións
- Impacto dos incidentes de seguridade e métricas de resolución dos mesmos
Para cumprir co este mandato, o Ministerio de Facenda e Administracións Públicas e o Centro Criptolóxico Nacional desenvolveron a ferramenta INES (Informe Nacional do Estado da Seguridade) que permite, entre outros aspectos, recompilar e explotar a información necesaria para a elaboración do Informe de Estado da Seguridade.
Un informe para cuxa terceira edición as Administracións Públicas deben facilitar os seus datos, a través de INES, antes do 31 de xaneiro de 2017. Recoméndase, ademais, que os datos facilitados estean soportados por unha auditoría independente que permita a posterior certificación de conformidade co ENS (a realización destas auditorías será de obrigado cumprimento para sistemas de nivel medio e alto, a partir do ano que vén).
O Centro Criptolóxico Nacional, ademais de desenvolver a plataforma INES, puxo a disposición de todos os organismos unha serie de Guías CCN-STIC (principalmente a 824 do Informe do Estado de Seguridade
e o 844 Manual de Usuario de INES - e Anexo ), así como unha liña de soporte telefónico (901 440 401) e un correo electrónico ( ines@ccn-cert.cni.es ) no que solicitar calquera tipo de axuda á hora de cargar os datos. Así mesmo, está previsto a posta en marcha dun curso en liña no seu portal.
Todo iso, tendo en conta a entrada en vigor, desde o 2 de outubro de 2016, das leis 39/2015 de Procedemento Administrativo Común das Administracións Públicas e a Lei 40/2015 de Réxime Xurídico do Sector Público que amplían o ámbito obxectivo e subxectivo de aplicación do ENS (en guíaa CCN-STIC 830 , de recente publicación, proporciónanse exemplos da este ampliación facendo especial fincapé no sector público institucional).
