ISO 27000, ENS y CCN

La serie ISO/IEC 27000 es el conjunto de normas internacionales dedicadas a la seguridad de la información. No es una norma suelta sino una familia: cada número cubre una pieza, y solo dos o tres se preguntan por su contenido. Las publican conjuntamente la Organización Internacional de Normalización y la Comisión Electrotécnica Internacional, y su adopción es voluntaria, a diferencia de lo que ocurre con el Esquema Nacional de Seguridad.

De toda la familia, la 27001 es la que se certifica y la 27002 la que se lee. Preguntar por «la norma certificable» siempre apunta a la 27001.

Un SGSI, sistema de gestión de la seguridad de la información, es el conjunto de políticas, procedimientos, responsabilidades y recursos con el que una organización gestiona su seguridad de forma sistemática. La idea que hay detrás es que la seguridad no se compra, se gestiona: no consiste en instalar productos sino en mantener vivo un proceso que revise periódicamente si lo que se hace sigue sirviendo.

Ese proceso se organiza sobre el ciclo de mejora continua PDCA, también llamado ciclo de Deming, que da cuatro fases que se repiten indefinidamente.

El ciclo es circular a propósito: la última fase no cierra nada, vuelve a abrir la primera. Un SGSI que se implanta y no se revisa deja de reflejar la realidad en cuanto cambia un servicio, entra un proveedor nuevo o aparece una amenaza que no existía cuando se hizo el análisis.

Una certificación ISO/IEC 27001 no dice que una organización sea segura ni que sus productos lo sean. Dice que tiene implantado un sistema de gestión conforme a la norma sobre un alcance declarado, y que una entidad independiente lo ha comprobado. El alcance es la parte que se lee poco y decide todo: una empresa puede estar certificada solo para un centro de datos concreto o para una línea de servicio, no necesariamente para toda su actividad.

El documento clave del expediente es la declaración de aplicabilidad, donde la organización recorre los controles de la norma y, para cada uno, dice si lo aplica y por qué, o si no lo aplica y por qué no. Es ahí donde se ve si el sistema está pensado o copiado.

Conviene no mezclar los tres certificados que aparecen en este tema, porque tienen objetos distintos: Common Criteria certifica un PRODUCTO, la ISO/IEC 27001 certifica el SISTEMA DE GESTIÓN de una organización, y la conformidad con el Esquema Nacional de Seguridad acredita que un SISTEMA DE INFORMACIÓN del sector público cumple una norma jurídica española.

En España el sector público no elige si gestiona la seguridad: está obligado. El Esquema Nacional de Seguridad, regulado en el Real Decreto 311/2022 y en la Ley 40/2015, establece la política de seguridad que hay que aplicar en el uso de medios electrónicos y obliga a todas las Administraciones Públicas, y también a las entidades privadas cuando prestan servicios a una Administración.

Este tema no repite el ENS: sus principios básicos, sus requisitos mínimos, los responsables que hay que designar, las cinco dimensiones, los tres niveles, las tres categorías y las setenta y tres medidas están desarrollados en el tema de acceso electrónico y esquemas nacionales del bloque de legislación, y allí hay que estudiarlos. Lo que interesa aquí es cómo encajan las tres piezas que se acaban de ver.

La costura entre las tres es el análisis de riesgos. El ENS lo exige como requisito, la ISO/IEC 27001 lo sitúa en la fase de planificación de su ciclo, y MAGERIT es el procedimiento con el que se hace, ejecutado con la herramienta PILAR. Por eso las tres se estudian juntas y no como compartimentos separados.

El ENS obliga, la ISO certifica y MAGERIT calcula. Ninguna de las tres sustituye a las otras dos.

El Centro Criptológico Nacional no se limita a publicar guías: pone a disposición de las entidades del sector público un catálogo de herramientas gratuitas, con nombres propios de persona que resultan fáciles de recordar y muy fáciles de confundir, que es exactamente por lo que se preguntan. Este primer grupo es el que sirve para saber cómo se está: medir el cumplimiento, auditar y vigilar la exposición.

Dos parejas concentran los fallos. INES y IRIS suenan parecido y hacen cosas distintas: INES es el informe del estado de adecuación al ENS que rinde cada organismo, e IRIS es el panel en tiempo real del estado de la ciberseguridad nacional. Y AMPARO y CLARA se cruzan igual: AMPARO ayuda a implantar la conformidad, CLARA comprueba después si el equipo Windows la cumple.

El segundo grupo cubre el resto del ciclo: proteger el puesto y el dato, detectar lo que ocurre, coordinar la respuesta a los incidentes y formar a las personas, que es la capa más barata y la que más incidentes evita.

LUCIA merece una precisión, porque es la que enlaza con el CCN-CERT. Además de los ciberincidentes propios del organismo, gestiona los que detectan los sistemas de alerta temprana: el de la red SARA, que vigila el tráfico entre Administraciones, y el de internet, que vigila la salida de los organismos hacia el exterior.

Truco de memoria para las tres que más caen: CARMEN vigila la RED en la DMZ, CLAUDIA vigila el PUESTO, y microCLAUDIA es la que VACUNA ese puesto.