El documento presenta una actualización del Esquema Nacional de Seguridad para mejorar la ciberseguridad en España. La actualización tiene como objetivos alinear el esquema con el nuevo marco legal, introducir la capacidad de ajustar los requisitos de forma eficaz y eficiente, y revisar principios, requisitos y medidas de seguridad. El nuevo esquema amplía el ámbito de aplicación, introduce perfiles de cumplimiento específicos, revisa los procesos de respuesta a incidentes y la codificación de requisitos.
IV Encuentro ENS - El nuevo Esquema Nacional de SeguridadMiguel A. Amutio
IV Encuentro ENS - El nuevo Esquema Nacional de Seguridad
La actualización del ENS ha perseguido, en primer lugar, alinear el instrumento con el marco normativo de referencia a la fecha para facilitar la seguridad en la administración digital. En segundo lugar, introducir la capacidad de ajustar los requisitos del ENS a necesidades específicas de determinados colectivos de entidades, o de determinados ámbitos tecnológicos, dando respuesta a las nuevas demandas. Y, en tercer lugar, actualizar los principios básicos, los requisitos mínimos y las medidas de seguridad para facilitar la respuesta a las nuevas tendencias y necesidades de ciberseguridad.
IV Encuentro ENS - El nuevo Esquema Nacional de SeguridadMiguel A. Amutio
IV Encuentro ENS - El nuevo Esquema Nacional de Seguridad
La actualización del ENS ha perseguido, en primer lugar, alinear el instrumento con el marco normativo de referencia a la fecha para facilitar la seguridad en la administración digital. En segundo lugar, introducir la capacidad de ajustar los requisitos del ENS a necesidades específicas de determinados colectivos de entidades, o de determinados ámbitos tecnológicos, dando respuesta a las nuevas demandas. Y, en tercer lugar, actualizar los principios básicos, los requisitos mínimos y las medidas de seguridad para facilitar la respuesta a las nuevas tendencias y necesidades de ciberseguridad.
Revista SIC. El nuevo esquema nacional de seguridadMiguel A. Amutio
Revista SIC. Nº 150. Junio 2022. Coautores Miguel A. Amutio y Pablo López.
La reciente aprobación del nuevo Esquema Nacional de Seguridad ha sentado las bases para afrontar con un nuevo marco regulatorio firme la transformación digital del sector público y sus proveedores del sector privado. Y hacerlo con la resiliencia y las medidas de prevención y protección necesarias para afrontar los retos en materia de ciberseguridad que la sociedad actual demanda.
INAP- SOCINFO. El nuevo Esquema Nacional de Seguridad: principales novedadesMiguel A. Amutio
INAP- SOCINFO. El nuevo Esquema Nacional de Seguridad: principales novedades.
Desde su aparición en 2010, el ENS se ha desarrollado para ofrecer un planteamiento común de principios básicos, requisitos mínimos, medidas de seguridad, así como de mecanismos de conformidad en colaboración con la Entidad Nacional de Acreditación (ENAC), y de monitorización, a través del informe INES sobre el estado de la seguridad, junto con las instrucciones técnicas de seguridad, las guías CCN-STIC y las soluciones del CCN-CERT, todo ello adaptado al cometido del sector público y de sus proveedores.
A lo largo de estos años y, particularmente, desde la actualización en 2015, se ha acelerado la transformación digital contribuyendo a un aumento notable de la superficie de exposición al riesgo; se han intensificado los ciberataques y las ciberamenazas; se ha incrementado la experiencia acumulada en la implantación del ENS; se ha producido una evolución y especialización de los agentes afectados directa o indirectamente; se ha implantado la certificación de la conformidad con el ENS desde 2016; y se ha constituido el Consejo de Certificación del ENS (CoCENS) en 2018. Por estas razones ha sido necesaria una nueva actualización del ENS publicada en 2022 mediante el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
En esta presentación se exponen los objetivos de la actualización del ENS y se tratan las grandes novedades en relación con cuestiones tales como el ámbito de aplicación, la política de seguridad, la organización de la seguridad, los principios básicos, los requisitos mínimos, los perfiles de cumplimiento específicos, la respuesta a incidentes de seguridad y las medidas de seguridad y su codificación.
La ventaja de implementar una solución de ciberseguridad certificada por el C...Javier Tallón
Checkpoint Technologies, empresa a la que hemos ayudado a certificar/cualificar varios de sus soluciones con el fin de formar parte del catálogo CPSTIC / CCN STIC-105, nos invitó como ponentes a este webinar en el que tuvimos la oportunidad de explicar lo siguientes puntos:
• Introducción al Centro Criptológico Nacional (CC) y el Esquema Nacional de Seguridad (ENS)
• En qué consiste el Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación (CPSTIC)
• Beneficios de la certificación/cualificación de una solución y el cumplimiento del ENS para tu organización y principales
El ENS y la gestión continua de la seguridad.
Retos y conclusiones. La evolución hacia la administración digital requiere la protección de la información y los servicios. El ENS, de aplicación a todas las AA.PP., persigue la creación de condiciones de seguridad, impulsa la gestión continuada y el tratamiento homogéneo de la seguridad, adaptado al quehacer de la Administración, proporcionando el adecuado respaldo legal.
Retos: Avanzar en ciberseguridad de las AA.PP. Mejorar la seguridad del conjunto y reducir el esfuerzo individual por parte de las entidades del Sector Público Estatal. Mejorar la adecuación.
Modelo de Gobernanza de la Ciberseguridad en España. Perspectiva desde la SGADMiguel A. Amutio
Modelo de Gobernanza de la Ciberseguridad en España. Perspectiva desde la SGAD.
Módulo 7 Ciberseguridad y Protección de Infraestructuras Críticas
Master en Tecnología e Innovación Digital en Ingeniería
Este documento presenta una guía para encontrar soluciones a problemas complejos. Explica qué es un problema público, cómo podríamos definir un problema público, cómo podríamos definir un problema público de forma innovadora, cómo podríamos resolver un problema público con herramientas de pensamiento sistémico, sistemas complejos y pensamiento sistémico: ¿con qué herramientas contamos?
Con esta píldora formativa podrás comprender cómo implementar herramientas como el Arco del proceso de resolución de problemas (Beth S. Noveck / The GovLab), GovLab's Public Problem Solving Canvas o la Guía Un conjunto de herramientas introductorias al pensamiento sistémico para funcionarios públicos del Government Office for Science del Gobierno de Reino Unido.
Revista SIC. El nuevo esquema nacional de seguridadMiguel A. Amutio
Revista SIC. Nº 150. Junio 2022. Coautores Miguel A. Amutio y Pablo López.
La reciente aprobación del nuevo Esquema Nacional de Seguridad ha sentado las bases para afrontar con un nuevo marco regulatorio firme la transformación digital del sector público y sus proveedores del sector privado. Y hacerlo con la resiliencia y las medidas de prevención y protección necesarias para afrontar los retos en materia de ciberseguridad que la sociedad actual demanda.
INAP- SOCINFO. El nuevo Esquema Nacional de Seguridad: principales novedadesMiguel A. Amutio
INAP- SOCINFO. El nuevo Esquema Nacional de Seguridad: principales novedades.
Desde su aparición en 2010, el ENS se ha desarrollado para ofrecer un planteamiento común de principios básicos, requisitos mínimos, medidas de seguridad, así como de mecanismos de conformidad en colaboración con la Entidad Nacional de Acreditación (ENAC), y de monitorización, a través del informe INES sobre el estado de la seguridad, junto con las instrucciones técnicas de seguridad, las guías CCN-STIC y las soluciones del CCN-CERT, todo ello adaptado al cometido del sector público y de sus proveedores.
A lo largo de estos años y, particularmente, desde la actualización en 2015, se ha acelerado la transformación digital contribuyendo a un aumento notable de la superficie de exposición al riesgo; se han intensificado los ciberataques y las ciberamenazas; se ha incrementado la experiencia acumulada en la implantación del ENS; se ha producido una evolución y especialización de los agentes afectados directa o indirectamente; se ha implantado la certificación de la conformidad con el ENS desde 2016; y se ha constituido el Consejo de Certificación del ENS (CoCENS) en 2018. Por estas razones ha sido necesaria una nueva actualización del ENS publicada en 2022 mediante el Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
En esta presentación se exponen los objetivos de la actualización del ENS y se tratan las grandes novedades en relación con cuestiones tales como el ámbito de aplicación, la política de seguridad, la organización de la seguridad, los principios básicos, los requisitos mínimos, los perfiles de cumplimiento específicos, la respuesta a incidentes de seguridad y las medidas de seguridad y su codificación.
La ventaja de implementar una solución de ciberseguridad certificada por el C...Javier Tallón
Checkpoint Technologies, empresa a la que hemos ayudado a certificar/cualificar varios de sus soluciones con el fin de formar parte del catálogo CPSTIC / CCN STIC-105, nos invitó como ponentes a este webinar en el que tuvimos la oportunidad de explicar lo siguientes puntos:
• Introducción al Centro Criptológico Nacional (CC) y el Esquema Nacional de Seguridad (ENS)
• En qué consiste el Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación (CPSTIC)
• Beneficios de la certificación/cualificación de una solución y el cumplimiento del ENS para tu organización y principales
El ENS y la gestión continua de la seguridad.
Retos y conclusiones. La evolución hacia la administración digital requiere la protección de la información y los servicios. El ENS, de aplicación a todas las AA.PP., persigue la creación de condiciones de seguridad, impulsa la gestión continuada y el tratamiento homogéneo de la seguridad, adaptado al quehacer de la Administración, proporcionando el adecuado respaldo legal.
Retos: Avanzar en ciberseguridad de las AA.PP. Mejorar la seguridad del conjunto y reducir el esfuerzo individual por parte de las entidades del Sector Público Estatal. Mejorar la adecuación.
Modelo de Gobernanza de la Ciberseguridad en España. Perspectiva desde la SGADMiguel A. Amutio
Modelo de Gobernanza de la Ciberseguridad en España. Perspectiva desde la SGAD.
Módulo 7 Ciberseguridad y Protección de Infraestructuras Críticas
Master en Tecnología e Innovación Digital en Ingeniería
Este documento presenta una guía para encontrar soluciones a problemas complejos. Explica qué es un problema público, cómo podríamos definir un problema público, cómo podríamos definir un problema público de forma innovadora, cómo podríamos resolver un problema público con herramientas de pensamiento sistémico, sistemas complejos y pensamiento sistémico: ¿con qué herramientas contamos?
Con esta píldora formativa podrás comprender cómo implementar herramientas como el Arco del proceso de resolución de problemas (Beth S. Noveck / The GovLab), GovLab's Public Problem Solving Canvas o la Guía Un conjunto de herramientas introductorias al pensamiento sistémico para funcionarios públicos del Government Office for Science del Gobierno de Reino Unido.
Características del ESTADO URUGUAYO establecidos en la ConstituciónGraciela Susana Bengoa
Concepto General de ESTADO.
Características y estructura del Estado Uruguayo.
Normas Constitucionales donde se establece los distintos elementos que componen el Estado Uruguayo.
En esta segunda entrega, el periódico Tierra se adentra en la operación «Inherent Resolve», una de las dos en las que participa el Ejército de Tierra en Irak. Personal de las Fuerzas Aeromóviles del Ejército de Tierra y del Mando de Operaciones Especiales forman parte de la coalición internacional para la lucha contra el Dáesh.
El nuevo Esquema Nacional de Seguridad. Jornadas CRUE-TIC
1. El nuevo Esquema Nacional
de Seguridad
20 de mayo de 2022
Miguel A. Amutio Gómez
Director de Planificación y Coordinación de Ciberseguridad
2. Transformación digital
Perspectiva global - Dinámica permanente
+ Contexto de valores compartidos
y derechos fundamentales de nuestra sociedad
Fuente: Miguel A. Amutio. Parte de la pirámide de Gartner intervenida para reubicar a las personas en el centro, añadiéndose las
leyendas y el contexto de derechos y valores compartidos, con apoyo de edición del equipo de CCN-CERT.
Mayor dependencia de la tecnología:
complejidad
interdependencia
se incrementa la superficie de
exposición a ciberamenazas.
Los ciberincidentes crecen en frecuencia,
alcance, sofisticación y severidad del impacto.
Provocan daño y socavan la confianza en el
uso de las tecnologías.
La transformación digital ha de ir
acompasada con la robustez en
ciberseguridad.
Digitalización acelerada…
con ciberseguridad
3. La información y los datos
en el punto de mira de los ciberataques
Orientados a la información
Con sustracción (con o sin revelación)
Con destrucción (incluyendo el cifrado irrecuperable de datos y documentos)
Con alteración (incluyendo el fraude por inserción de documentos falsos)
Orientados a los servicios
Con quiebra de la disponibilidad de los servicios, ( y de acceso a la información)
Combinación de los anteriores
Impacto
Ejercicio de derechos y libertades; cumplimiento de deberes.
Normal desenvolvimiento de la sociedad, instituciones, empresas y ciudadanía.
Esfuerzo de recuperación ante incidentes.
Reputacional. Photo by Philipp Katzenberger on Unsplash
4. La seguridad, el largo camino…
Esfuerzo colectivo, multidisciplinar, y continuado en el tiempo
Fuente: Miguel A.Amutio
5. CoCENS
Servicios CCN-CERT
Guías CCN-STIC (Serie 800)
Catálogo CPSTIC
Administración Digital
Órganos de Gobernanza
y cooperación en la
AGE de las AA.PP.
Enfoque global
Liderazgo conjunto:
Contexto de
Gobernanza
Ciberseguridad
Nacional
Fuente: Miguel A. Amutio
6. Desarrollo
Conformidad Monitorización Informe INES
-
Soporte
Base legal Ámbito de aplicación
Sector Público
Información
clasificada
4 ITS publicadas
Real Decreto 3/2010
Actualizado en 2015
Real Decreto 311/2022
Anclado en leyes
40/2015 y 39/2015
Informe estado de
a seguridad
Conformidad con el ENS
Auditoría
Notificación de incidentes
Acreditación con ENAC
Certificadores
acreditados por ENAC
Entidades certificadas
(públicas/privadas)
Consejo de
Certificación del ENS
(CoCENS)
>90 guías CCN-STIC Serie 800
-
23 Soluciones de
ciberseguridad
Referente
8 ediciones del informe INES
Ley Orgánica 3/2018
Real Decreto 43/2021
+ Instrucciones
Técnicas de Seguridad
Proveedores
Esfuerzo colectivo, multidisciplinar,
sostenido en el tiempo + liderazgo conjunto de
7. Por qué era necesaria
la actualización
Photo by Annie Spratt on Unsplash Fuente: Infografías ENS
8. Impulso tractor de la actualización
ACM sobre medidas urgentes
en materia de ciberseguridad
(25.05.2021)
LA 2 – Medida 3 Reformas
normativas – 9.3
9. Cuáles son los objetivos
de la actualización
Photo by Annie Spratt on Unsplash
1. Mejorar y alinear el ENS con el nuevo marco legal y
estratégico para facilitar la seguridad de la
administración digital
2. Introducir la capacidad de ajustar los requisitos del ENS
para una aplicación más eficaz y eficiente
3. Revisar de forma pormenorizada principios, requisitos y
medidas para facilitar la adaptación a tendencias y
necesidades en ciberseguridad
4. Aplicar un nuevo sistema de codificación de los
requisitos de las medidas de seguridad y de sus
refuerzos para facilitar su aplicación y la conformidad
10. 1. Principios básicos, que sirven de guía. (arts. 5 – 11)
2. Requisitos mínimos, de obligado cumplimiento. (arts. 12 – 27)
3. Categorización de los sistemas para la adopción de medidas de
seguridad proporcionadas. (arts. 28, 40, 41,A-I y A-II)
4. Uso de productos certificados. Papel del Organismo de Certificación (OC-
CCN) (art. 19 y A-II)
5. Uso de infraestructuras y servicios comunes (art. 29)
6. Los perfiles de cumplimiento específicos (art. 30)
7. La auditoría de la seguridad que verifique el cumplimiento del ENS. (art. 31)
8. Informe del estado de la seguridad (art. 32)
9. Respuesta a incidentes de seguridad (arts. 33 y 34)
10. La conformidad con el ENS (art. 38)
11. La formación (D.a. 1ª)
12. Las instrucciones técnicas de seguridad (D.a. 2ª)
13. Las guías de seguridad (D.a. 2ª)
RD 311/2022 - Panorámica
Fuente: Infografías ENS
Disposición transitoria única:
Adecuación de sistemas -> 24 meses
11. Todo el sector público según artículo 2 de la Ley 40/2015.
Sistemas que tratan información clasificada.
Entidades del sector privado cuando presten servicios o
provean soluciones.
Referencia a que los pliegos de prescripciones recojan los
requisitos de conformidad con el ENS.
Referencia a los sistemas que traten datos personales.
Referencia a la instalación, despliegue, explotación de redes 5G
o prestación de servicios 5G por entidades del sector público.
Grandes novedades
El ámbito de aplicación
Photo by Marvin Meyer on Unsplash
12. Comprenderán aquel conjunto de medidas de
seguridad que resultando del preceptivo análisis de
riesgos, resulten idóneas para una concreta categoría de
seguridad.
Persiguen introducir la capacidad de ajustar los
requisitos del ENS a necesidades específicas de
determinados
Colectivos: Entidades Locales, Universidades, Organismos
Pagadores, …
Ámbitos tecnológicos: servicios en la nube, …
Photo by Alex Perez on Unsplash
Grandes novedades
Perfiles de cumplimiento específico
Photo bClaudio Schwarz | @purzlbaum on Unsplash
13. Las entidades públicas notificarán al CCN-CERT los incidentes de seguridad.
Las organizaciones del sector privado que presten servicios a las entidades
públicas notificarán al INCIBE-CERT quien lo pondrá inmediatamente en
conocimiento del CCN-CERT.
El CCN-CERT determinará técnicamente el riesgo de reconexión de
sistemas afectados, indicando procedimientos a seguir y salvaguardas a
implementar.
La SGAD autorizará la reconexión a los medios y servicios comunes
comprendidos bajo su ámbito de responsabilidad, incluidos los compartidos o
transversales, si un informe de superficie de exposición del CCN-CERT
hubiere determinado que el riesgo es asumible.
Papel de otros actores: Coordinación con el Ministerio del Interior a través de
la OCC (RD-l 12/2018); ESPDEF-CERT; IGAE.
Grandes novedades
Respuesta a incidentes de ciberseguridad
Photo by Hack Capital on Unsplash
14. Photo by Alex Perez on Unsplash
Grandes novedades
Revisión de principios y requisitos
Fuente: Infografías ENS
Photo by You X Ventures on Unsplash
15. Photo by Alex Perez on Unsplash
Grandes novedades
Revisión de medidas de seguridad
Fuente: Infografías ENS
Photo by You X Ventures on Unsplash
16. Photo by Alex Perez on Unsplash
Grandes novedades
Revisión de medidas de seguridad
Fuente: Infografías ENS
Photo by You X Ventures on Unsplash
17. Photo by Alex Perez on Unsplash
Grandes novedades
Codificación de requisitos y refuerzos
Más adecuado, para facilitar de manera proporcionada la seguridad de
los sistemas de información, su implantación y su auditoría.
Se han codificado los requisitos de las medidas
• Requisitos base
• Posibles refuerzos de seguridad (R), alineados con el nivel de
seguridad perseguido, que se suman (+) a los requisitos base de la
medida, pero que no siempre son incrementales entre sí; de
forma que, en ciertos casos, se puede elegir entre aplicar un
refuerzo u otro.
Photo by You X Ventures on Unsplash
19. Deficiencias detectadas en Informe INES y por CCN-CERT:
Mecanismos de autenticación [op.acc.5 / op.acc.6] sin uso de doble factor.
Protección frente a código dañino [op.exp.6] no implantada.
Mantenimiento [op.exp.4]: sistemas obsoletos, sin actualizaciones de seguridad.
Configuración de seguridad [op.exp.2] y gestión de la configuración [op.exp.3]
con insuficiencias.
Protección de servicios y aplicaciones web [mp.s.2] insuficiente.
Perímetro seguro [mp.com.1] no aplicado.
Segregación de redes [mp.com.4] no aplicado.
Detección de intrusión [op.mon.1] no aplicado.
Copias de seguridad [mp.info.9], especialmente fuera de línea no aplicado.
Concienciación [mp.per.3] y formación [mp.per.4] insuficientes.
+ Insuficiencias en protocolos de actuación ante ciberincidentes.
Qué encuentran los equipos del CCN-CERT
en la investigación de incidentes
Photo by You X Ventures on Unsplash
20. 1. Que seáis partícipes y agentes de la
ciberseguridad, para llevarla a la realidad práctica.
2. Si trabajáis para el Sector Público (directa o
indirectamente), vuestra colaboración para la
plena aplicación del ENS.
3. En cualquier caso, que tengáis presente en
vuestros proyectos el caudal de recursos
que os aporta el ENS.
Photo by Paul Rysz on Unsplash
Qué esperamos
por vuestra parte
21.
22. Muchas gracias
20 de mayo de 2022
Miguel A. Amutio Gómez
Director de Planificación y Coordinación de Ciberseguridad