(VA) ENS - Novetats de l'ENS 2022

Descobreix les principals novetats que trobem en el nou Esquema Nacional de Seguretat (Reial Decret 311/2022, de 3 de maig).

Incorporació de la figura del perfil de compliment

• Objectiu

  • Capacitat d'adaptació.

  • Aconseguir una adaptació a l'ENS més eficaç i eficient, racionalitzant recursos requerits sense menyscapte de la protecció perseguida i exigible.

• Aplicació

  • Conjunt de mesures de seguretat, compreses o no l'en Annex II de l'ENS que, a conseqüència de la preceptiva anàlisi de riscos, resulten d'aplicació a una entitat o sector d'activitat concreta i per a una determinada categoria de seguretat.

  • Es persegueix introduir la capacitat d'ajustar els requisits de ENS a necessitats específiques:

    • A determinats col·lectius d'entitats: Entitats locals, Universitats, Organismes pagadors…

    • O a determinats àmbits tecnològics: serveis en núvol…

  • Donant resposta a les noves demandes provinents d'unes organitzacions més madures i uns ciutadans més exigents amb els seus drets, per a una aplicació més eficaç i eficient del *ENS, sense menyscapte de la ciberseguretat.

• Metodologia

  • En un perfil de compliment específic, respecte d'una declaració d'aplicabilitat inicial per a una categoria determinada es pot:

    • Suprimir mesures o incloure l'aplicabilitat d'unes altres.

    • Augmentar o disminuir l'exigència del nivell d'implantació d'alguna mesura.

    • Proposar mesures compensatòries o complementàries de vigilància.

Establiment de protocol d'actuació davant ciberincidents

• Objectiu 

  • Articular la resposta a incidents de seguretat de la informació.

  • Establir les condicions de notificació d'incidents al CCN-CERT, coordinador nacional i internacional de la resposta tècnica dels equips de resposta a incidents de seguretat informàtica.

• Aplicació

  • El Centre Criptológic Nacional articula la resposta als incidents de seguretat. Estableix l'obligació de notificar al *CCN-*CERT els incidents de seguretat:

    • Les entitats del sector públic notificaran al *CCN aquells incidents que tinguen un impacte significatiu en la seguretat dels sistemes d'informació concernits.

    • INCIBE-CERT posarà immediatament en coneixement del *CCN-*CERT els incidents que afecten les organitzacions del sector privat que presten serveis a les entitats públiques.

  • Assigna al *CCN les següents funcions:

    • Determinar tècnicament el risc de reconnexió d'un sistema, després d'un incident de seguretat.

    • Indicar els procediments a seguir i les salvaguardes a implementar per a reduir l'impacte de l'incident.

    • Articular la resposta a incidents de seguretat de la informació.

    • Establir les condicions de notificació d'incidents al *CCN-*CERT, coordinador nacional i internacional de la resposta tècnica dels equips de resposta a incidents de seguretat informàtica.

Nou sistema de codificació dels requisits de les mesures de seguretat

• Objectiu

  • Facilitar de manera proporcionada la seguretat dels sistemes d'informació, la seua implantació i la seua auditoria.

• Aplicació

  • S'han codificat els requisits de mesures i s'han organitzat de la següent forma:

    • Requisits base.

    • Possibles reforços de seguretat (R), alineats amb el nivell de seguretat perseguit, que se sumen (+) als requisits base de la mesura, però que no sempre són incrementals entre si; de manera que, en uns certs casos, es pot triar entre aplicar un reforç o un altre.