(ES) ENS - ¿Puede una misma persona ser Responsable de la Información, Responsable del Servicio y Responsable de Seguridad?, ¿qué roles son incompatibles en una misma persona?

Ya hemos visto que el ENS prohíbe, explícitamente, que el Responsable del Sistema sea la misma persona que el Responsable de Seguridad. Obviamente, quien está legitimado para pronunciarse sobre la idoneidad de las medidas de seguridad adoptadas para securizar un Sistema, no puede ser la misma persona encargada de su explotación.

Hecha esta salvedad, nos preguntamos hasta qué punto el resto de las responsabilidades enunciadas en el ENS son susceptibles de ser asumidas de manera unificada.

Desde el punto de vista formal, nada lo impide. Sin embargo, desde el punto de vista funcional, esta coincidencia no es lógica.

Obsérvese, en primer lugar, que la Información puede ser generada por el propio organismo, o provenir de un organismo externo. Si la información se importa desde un organismo externo, será el Responsable de la Información de aquel organismo el que señalará su nivel de seguridad y, en su consecuencia, marcará las medidas de seguridad que habrá de adoptar el organismo receptor de la información.

Por otro lado, obsérvese que una misma información puede alimentar varios servicios, que podrán tener, cada uno su propio Responsable del Servicio.
Finalmente, y aunque no se trate de un caso frecuente, obsérvese que un mismo servicio puede ser explotado por uno o varios sistemas de información distintos, para cada uno de los cuales puede haber sido designado un Responsable de Seguridad distinto.

Como resumen diremos que, dejando a salvo lo preceptuado por el ENS, en relación con la exigencia de diferenciación personal entre el Responsable del Sistema y el Responsable de Seguridad, la posibilidad de hacer coincidir en una única persona las responsabilidades de la información, los servicios y la seguridad, se hará tanto más inconveniente cuanto mayor sea la multiplicidad de las informaciones manejadas y los servicios prestados, o cuanto mayor relación o interdependencia tengan los sistemas de información del organismo con otros sistemas de información exteriores.