2. EL ANÁLISIS DE RIESGOS:EL ANÁLISIS DE RIESGOS:
APLICACIÓN EN LOSAPLICACIÓN EN LOS
SERVICIOS DE LASERVICIOS DE LA
ADMINISTRACIÓN PÚBLICAADMINISTRACIÓN PÚBLICA
Laura Prats Abadía
Responsable seguridad TI Applus
lprats@appluscorp.com
28 Octubre 2010

3. INTRODUCCION.
• Las Administraciones Públicas deben proporcionar al ciudadano el acceso a
los servicios propios de la administración a través de los nuevos Sistemas
de Información.
• Para garantizar la debida confidencialidad y buen uso de los mismos, es
necesario garantizar un nivel adecuado de la seguridad.
• Seguridad:
– Al menos igual nivel que en medios no electrónicos.
– Nivel proporcional a garantías y medidas de seguridad adecuadas a la
naturaleza y circunstancias de los distintos trámites y actuaciones.
– Basado en el Esquema Nacional de Seguridad
• Normativa relacionada
– Ley 59/2003 de Firma Electrónica
– Ley 11/2007 de Acceso Electrónico de los Ciudadanos a los Servicios
Públicos
– Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema
Nacional de Seguridad en el ámbito de la Administración Electrónica.

4. Esquema Nacional de Seguridad
La seguridad, en el ENS se entiende como una actividad integral en todos los ámbitos
que afecten a los sistemas.
El ENS determina unas medidas de seguridad obligatorias en función de la
clasificación de los sistemas.
Los sistemas se clasifican en categorías en función del impacto que tendrían los
incidentes de seguridad sobre la información, los sistemas o en la capacidad
organizativa para:
a) Alcanzar sus objetivos.
b) Proteger los activos a su cargo.
c) Cumplir sus obligaciones diarias de servicio.
d) Respetar la legalidad vigente.
e) Respetar los derechos de las personas.

5. ENS: Proceso para clasificar los sistemas
1.- Determinar Servicios /
Información
2.- Definir dimensiones
(D,A,I,C,T)
3.- Asignar niveles
a las dimensiones
(ALTO MEDIO BAJO)
4.- Asignar nivel al Sistema
(ALTO MEDIO BAJO)

6. DEFINIR LAS DIMENSIONES
Para analizar el impacto que tendría un incidente de seguridad sobre un sistema, y por
lo tanto, determinar el nivel de seguridad, se analizarán las siguientes
dimensiones:
a) Disponibilidad [D]. Capacidad para acceder al servicio y/o información.
b) Autenticidad [A]. Capacidad de identificar el origen de la información o
servicio
c) Integridad [I]. Garantía de la no alteración de la información o servicio.
d) Confidencialidad [C]. Garantía de que el acceso a los servicios e
información se realiza en función de los requisitos del servicio y autorización
para el
e) Trazabilidad [T]. Garantía de poder seguir el proceso del servicio para
conservar la totalidad de la información y el seguimiento adecuado de los
procesos.
DEFINIR LAS DIMENSIONES A CONSIDERAR EN CADA ACTIVO DEFINIDO

7. ASIGNAR NIVELES A LAS DIMENSIONES
Para cada dimensión definida en los activos, se asignará un nivel en función
NIVEL BAJO. Se utilizará cuando las consecuencias de un incidente de seguridad
que afecte a alguna de las dimensiones de seguridad supongan un perjuicio
limitado sobre las funciones de la organización, sobre sus activos o sobre los
individuos afectados.
NIVEL MEDIO. Se utilizará cuando las consecuencias de un incidente de seguridad
que afecte a alguna de las dimensiones de seguridad supongan un perjuicio
grave sobre las funciones de la organización, sobre sus activos o sobre los
individuos afectados.
NIVEL ALTO. Se utilizará cuando las consecuencias de un incidente de seguridad
que afecte a alguna de las dimensiones de seguridad supongan un perjuicio muy
grave sobre las funciones de la organización, sobre sus activos o sobre los
individuos afectados.

8. NIVEL DEL SISTEMA Y
ANALISIS DE RIESGOS
CATEGORIA DEL SISTEMAS DE INFORMACION
• ALTA si alguna de sus dimensiones de seguridad alcanza el nivel ALTO.
infracciones de seguridad que pueden producir pérdidas económicas importantes,
pérdida de información altamente sensible o crítica, o la refutación de una
transacción con impacto económico muy significativo.
• MEDIA si alguna de sus dimensiones de seguridad alcanza el nivel MEDIO como
máximo
mecanismos de seguridad apropiada para la mayoría de aplicaciones de las AAPP.
La infracción de la seguridad de este nivel puede producir pérdidas económicas
moderadas, pérdida de información sensible o crítica, o la refutación de una
transacción con impacto económico.
• BÁSICA si alguna de sus dimensiones de seguridad alcanza el nivel BAJO como
máximo
sistemas que no están basados en firma electrónica y certificados digitales.
EN FUNCION DE LA CATEGORIA, SE DEBE REALIZAR EL ANALISIS DE RIESGOS Y
APLICAR LAS MEDIDAS DE SEGURIDAD.

9. NIVEL DEL SISTEMA Y
ANALISIS DE RIESGOS
BAJO
Análisis de riesgos documentado que:
a) Identifique los activos más valiosos del sistema.
b) Identifique las amenazas más probables.
c) Identifique las salvaguardas que protegen de dichas amenazas.
d) Identifique los principales riesgos residuales.
MEDIO
Análisis de riesgos documentado y formalizado. Al menos una
presentación en tablas que:
a) Identifique y valore cualitativamente los activos más valiosos del sistema.
b) Identifique y cuantifique las amenazas más probables.
c) Identifique y valore las salvaguardas que protegen de dichas amenazas.
d) Identifique y valore el riesgo residual.
ALTO
Análisis de riesgos formalizado. Utilización de metodología
reconocida (p.e. MAGERIT-PILAR)
a) Identifique y valore cualitativamente los activos más valiosos del sistema.
b) Identifique y cuantifique las amenazas posibles.
c) Identifique las vulnerabilidades habilitantes de dichas amenazas.
d) Identifique y valore las salvaguardas adecuadas.
e) Identifique y valore el riesgo residual.
NIVELDELSISTEMA

10. MEDIDAS OBLIGATORIAS DE SEGURIDAD. ANEXO II ENS
MECANISMOS DE AUTENTICACION
Dimensiones Integridad I, Confidencialidad C, Autenticidad
A
Nivel Sistema
Bajo Medio Alto
Aplica + ++
Se admite cualquier
mecanismo de
autenticación.
Medidas de seguridad en
contraseñas y
autenticadores
NO se recomienda claves
concertadas.
Recomendado: tokens,
certificados u equivalentes
biométricos.
No claves concertadas
Exigido: dispositivos físicos
personalizados usando
algoritmos acreditados por el
CCN o biometría.
Recomendado: Productos
certificados

12. ACTIVOS Y DEPENDENCIAS

14. SELECCIÓN DE AMENAZAS

18. CONCLUSIONES
• La seguridad de los servicios de la Administración Pública al ciudadano
debe realizarse con unos niveles de seguridad apropiados para el
riesgo asociado al servicio.
• El Esquema Nacional de Seguridad define la clasificación de los
sistemas y las medidas de seguridad mínimas a aplicar en cada caso.
• Al menos para sistemas de nivel Medio y Alto, se debe utilizar una
herramienta basada en una metodología contrastada como PILAR.
Muchas gracias
por vuestra
atención

19. Laura Prats Abadía
lprats@appluscorp.com
Tfn. 91 208 08 00 / 607 07 44 05