El Esquema Nacional de Seguridad (ENS) compone uno de los pilares fundamentales en materia de seguridad de la información en España. Se trata de un Sistema de Gestión que obliga a las Administraciones Públicas y sujetos relacionados. Su objetivo es que los medios electrónicos que utilizan estos organismos aseguren:
- El acceso
- La integridad, disponibilidad, autenticidad, confidencialidad y trazabilidad
- Y la conservación
de los datos, informaciones y servicios utilizados a través de ellos.
Ciclo de cumplimiento del ENS
Cualquier empresa que preste algún tipo de servicio relacionado con medios electrónicos debe cumplir con el ENS; al menos, en aquellos sistemas involucrados en el servicio.
Se trata de un Sistema de Gestión que entiende la seguridad como un proceso integral. Es decir, todos los elementos de la compañía deben estar al sincronizados; tanto recursos técnicos, como humanos, materiales y organizativos. Tienen además un enfoque basado en los riesgos. De esta forma; el Sistema de Gestión tendrá el siguiente ciclo:
- Identificación de los riesgos existentes para la seguridad de la información.
- Establecimiento de las medidas para una correcta prevención de los riesgos identificados. En caso de que se materialicen, se contará con las medidas adecuadas para reaccionar y recuperarse correctamente.
- Se realizará una reevaluación periódica. A partir de la misma, se deberán actualizar los sistemas, adecuándolos a los nuevos niveles de riesgo.
Estas medidas de seguridad están recogidas en el Anexo II de la norma. Nos encontramos desde medidas organizativas y operacionales, hasta medidas de carácter puramente técnicas.
En todo este proceso, tres figuras son elementales:
- Responsable de la información, que determinará los requisitos de la información tratada.
- Responsable del servicio, que determinará los requisitos de los servicios prestados.
- Responsable de seguridad, que determinará las decisiones para satisfacer los requisitos de seguridad de la información y de los servicios.
Desde Key Auditors ofrecemos un servicio de auditoría de cumplimiento del Esquema Nacional de Seguridad. Podemos realizar dictamen sobre el grado de cumplimiento del Esquema Nacional de Seguridad por la organización. Identificamos las deficiencias y posibles mejoras a implementar en materia de seguridad de la información.