Implantación técnica del ENS en Palencia para proveedores del sector público

Sí. El artículo 2 del RD 311/2022 establece que el ENS aplica a los sistemas de información de las entidades del sector público y a los de los proveedores que les prestan servicios cuando dichos sistemas están conectados o intercambian información con los del sector público. Tanto la Diputación Provincial de Palencia como el Ayuntamiento de Palencia son entidades locales sujetas al ENS, lo que extiende la obligación a sus proveedores tecnológicos: empresas de software, de mantenimiento de sistemas, de servicios en la nube contratados por la Administración, de soporte TI y de cualquier otro servicio en el que los sistemas del proveedor entren en contacto con los de la Administración palentina.

MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información de las Administraciones Públicas) es la metodología oficial de análisis de riesgos del sector público español, desarrollada por el Consejo Superior de Administración Electrónica. El ENS exige que los sistemas de información en su alcance dispongan de un análisis de riesgos actualizado como base para la selección proporcional de las medidas de seguridad del Anexo II. MAGERIT es la metodología de referencia para ese análisis en el contexto de la Administración Pública española y sus proveedores: define el proceso, el catálogo de activos, amenazas y salvaguardas tipificadas, y establece la forma de calcular y documentar el riesgo de manera que sea comprensible y verificable por auditores de conformidad.

El Centro Criptológico Nacional (CCN) pone a disposición de las entidades del sector público y sus proveedores un conjunto de herramientas gratuitas que Summum Sistemas integra en el proceso de implantación. PILAR es la herramienta de modelado y evaluación de riesgos basada en MAGERIT: permite construir el inventario de activos, valorar amenazas, gestionar el catálogo de salvaguardas y generar informes de riesgo en formato estándar. INES (Instrumento Nacional de Evaluación de la Seguridad) es la herramienta de autoevaluación del estado de adecuación al ENS: genera un informe del estado de seguridad que algunas Administraciones, incluidas entidades del sector público palentino, pueden solicitar a sus proveedores como evidencia del nivel de cumplimiento alcanzado.

El Anexo II del RD 311/2022 recoge 75 medidas de seguridad en tres marcos y dieciséis familias. El número de medidas obligatorias depende de la categoría del sistema: básica, media o alta. En categoría básica son exigibles las medidas marcadas con nivel [B]; en categoría media, las marcadas con [B] y [M]; en categoría alta, las de [B], [M] y [A]. No todas las medidas tienen el mismo peso en la práctica: las más críticas para los proveedores tecnológicos suelen ser las del marco operacional, especialmente el control de acceso (op.acc), la explotación del sistema (op.exp), la continuidad del servicio (op.cont) y, si se usan servicios en la nube, la familia de servicios en la nube (op.nub). Summum Sistemas prioriza la implantación según el perfil de riesgo real de cada organización.

Para sistemas de categoría básica, la vía de conformidad es la declaración de conformidad autoevaluada: la propia organización evalúa su sistema siguiendo el procedimiento de la CCN-STIC 809, documenta los resultados y firma la declaración de conformidad, que puede inscribirse en el registro del CCN. Para sistemas de categoría media o alta, la conformidad debe ser certificada por una entidad de inspección acreditada por ENAC conforme a la norma UNE-EN ISO/IEC 17065. Summum Sistemas no emite ningún certificado de conformidad ENS —eso es competencia exclusiva de las entidades acreditadas por ENAC—, pero prepara técnicamente el sistema para superar ese proceso de certificación con las mayores garantías.

Depende de la categoría del sistema, del tamaño de la organización y del estado de partida en materia de seguridad técnica. Para sistemas de categoría básica con una infraestructura razonablemente ordenada, el proceso de implantación técnica —análisis MAGERIT, configuración de medidas y preparación de evidencias— puede completarse en dos a cuatro meses. Para categoría media, el plazo habitual oscila entre cuatro y ocho meses. Para categoría alta, con sistemas complejos, puede requerir entre ocho y catorce meses. En todos los casos, el análisis de riesgos MAGERIT con PILAR es el punto de partida: sin él no es posible dimensionar correctamente el esfuerzo de implantación ni justificar la selección proporcional de medidas que exige el ENS.