accesskey_mod_content

Publicada la Guia CCN-STIC 802 d'auditoria de l'Esquema Nacional de Seguretat

"Notícia disponible únicament amb finalitats històriques i d'hemeroteca. La informació i enllaços mostrats es corresponen amb els quals estaven operatius a la data de la seua publicació. No es garantix que continuen actius actualment".

30 maig 2017

Logo ENS

La Guia CCN-STIC arreplega tots els aspectes a tindre en compte a l'hora de desenvolupar i executar una auditoria de l'ENS, inclosa la definició de l'abast, objecte, requisits per a l'equip auditor i el model d'acord de confidencialitat.

El CCN-CERT ha publicat en  el seu portal web(Obri en nova finestra)  la  Guia CCN-STIC 802 d'Auditoria de l'Esquema Nacional de Seguretat (ENS)(Obri en nova finestra)  que el seu objectiu és canalitzar d'una forma homogènia la realització de les auditories, ordinàries o extraordinàries, establint unes premisses mínimes en la seua execució, tal com marca l'article 34 de el  Reial decret 3/2010 de 8 de gener(Obri en nova finestra) , pel qual es regula l'ENS.

El CCN recorda que el citat article 34 assenyala que els sistemes d'informació als quals es referix el reial decret seran objecte d'una auditoria regular ordinària, almenys cada dos anys, que verifique el compliment dels requeriments del present Esquema Nacional de Seguretat.

Els sistemes d'informació de categoria Alta o Mitjana, inclosos aquells d'empreses del sector privat que presten servicis a les entitats públiques, estan obligats a la realització d'una auditoria regular, almenys cada dos anys i una de caràcter extraordinari sempre que es produïsquen modificacions substancials en el sistema d'informació.

Amb caràcter extraordinari, haurà de realitzar-se aquesta auditoria sempre que es produïsquen modificacions substancials en el sistema d'informació, que puguen repercutir en les mesures de seguretat requerides.

Guia d'auditoria

La Guia CCN-STIC 802 arreplega entre altres apartats, un dedicat al marc de referència i a fi de l'auditoria que, tal com assenyala el document, ha de ser “l'emetre una opinió independent i objectiva, basada en els principis d'integritat, presentació imparcial, hagut de cuidat professional, confidencialitat, independència i enfocament basat en l'evidència, sobre este compliment de tal forma que permeta als responsables corresponents, prendre les mesures oportunes per a esmenar les deficiències identificades, si les hi haguera”.

 La definició de l'abast, de l'equipe auditor, la planificació de l'auditoria i les seues evidències, l'elaboració i presentació de les troballes, així com la presentació de l'informe i el dictamen final són uns altres dels punts del document. Al costat d'ells, sis annexos amb els requisits per a l'auditor, la incorporació d'experts tècnics, el model d'acord de confidencialitat, un glossari i bibliografia de referència. 

Font original de la notícia(Obri en nova finestra)

  • Seguretat
  • Interoperabilitat