Conformidad y auditoría

Los sistemas de información serán objeto de un proceso para determinar su conformidad con el ENS. Ese proceso no es igual para todos: el esfuerzo exigido depende de la categoría, y ahí está la pregunta.

Quien emite ese certificado de conformidad (para las categorías Media y Alta) o esa declaración de conformidad (para la Básica) son las entidades certificadoras. Y hay un escalón por encima: la ENAC es quien autoriza a esas entidades certificadoras a certificar la conformidad con el ENS.

La categoría BÁSICA se declara a sí misma conforme; la MEDIA y la ALTA necesitan que alguien de fuera lo certifique tras auditarlas. Y a ese «alguien de fuera» lo acredita la ENAC.

La auditoría de la seguridad se realiza al menos cada dos años, y ese plazo podrá extenderse durante tres meses. Además hay una auditoría extraordinaria cuando se producen cambios sustanciales en los sistemas de información que afecten a las medidas de seguridad.

El circuito del resultado hay que saberlo en orden, porque el examen pregunta quién recibe qué. El resultado se presenta al responsable del sistema y al de seguridad. La auditoría la analiza el responsable de seguridad, que presentará sus conclusiones al responsable del sistema para que adopte las medidas adecuadas.

Y hay una consecuencia extrema reservada a los sistemas más críticos: en los de categoría ALTA, si aparecen deficiencias graves, el responsable del sistema podrá suspender temporalmente el tratamiento de informaciones, la prestación de servicios o la total operación del sistema, hasta su adecuada subsanación o mitigación.

Quien analiza es el responsable de seguridad; quien puede suspender la operación en un sistema de categoría ALTA es el responsable del sistema. Son dos figuras distintas en dos momentos distintos.

Cuando entra en vigor un esquema nuevo no se puede exigir que todo lo que ya existía cumpla desde el primer día. Por eso los sistemas preexistentes tendrán veinticuatro meses para adecuarse al ENS.

Superada esa adecuación, se obtendrá el Distintivo de Conformidad, que es el sello visible de que el sistema está alineado con el esquema.

Veinticuatro meses de adecuación, dos años entre auditorías: son cifras parecidas que se confunden con facilidad, y no significan lo mismo.

El CCN articulará la respuesta a los incidentes de seguridad en torno a la estructura denominada CCN-CERT (Computer Emergency Response Team). Los CSIRT (Computer Security Incident Response Team) se coordinarán con el Ministerio del Interior, a través de su Oficina de Coordinación de Ciberseguridad.

Conviene saber qué hay detrás de la sigla, porque se pregunta: CCN es el Centro Criptológico Nacional, adscrito al Centro Nacional de Inteligencia (CNI).

Las funciones del CSIRT son cuatro y describen bien el orden de actuación ante un ataque: responder de forma urgente y coordinada a los ataques, detener el impacto de los que están en curso, coordinar las acciones legales y facilitar indicaciones sobre la seguridad a corto y medio plazo.

Aplicar el catálogo completo de medidas es desproporcionado para muchas entidades pequeñas. Para eso existen los perfiles de cumplimiento específicos y la acreditación de entidades de implementación de configuraciones seguras: un conjunto de medidas de seguridad idóneas para una concreta categoría de seguridad.

No los redacta cada organización por su cuenta: el CCN validará y publicará los perfiles de cumplimiento específicos.

Las guías CCN-STIC son el desarrollo práctico del esquema. No hay que aprenderse la serie entera, pero sí unas cuantas que se preguntan por su número.

Con esa idea de perfil enlaza una definición más precisa que la general: un perfil de cumplimiento específico es el conjunto de medidas de seguridad que, como consecuencia del preceptivo análisis de riesgos, resulten de aplicación a una entidad o sector de actividad concreta y para una determinada categoría de seguridad.

La 803 reparte las dimensiones de forma asimétrica: los servicios solo se valoran en disponibilidad, mientras que la información se valora en las otras cuatro.