ENS 2022 ¿Cómo afectará a las empresas las novedades en el Esquema Nacional de Seguridad?

La organización ha de establecer 4 roles principales dentro de la misma:

• Responsable de información.
• Responsable del servicio.
• Responsable de la seguridad.
• Responsable del sistema.

Este último rol en la versión anterior del ENS no se requería como exigible. Asimismo, hay que destacar que el responsable de seguridad será distinto del responsable del sistema (salvo en excepciones justificadas).

En esta sección se añade el concepto de «perfil de cumplimiento específico», que se trata de una serie de requisitos realizados por el CCN (Centro Criptológico Nacional) a los que unas determinadas organizaciones se podrán acoger para cumplir con el ENS. Esto busca que el cumplimiento y adecuación con el Esquema Nacional de Seguridad se pueda alcanzar de una forma más eficiente para compañías de menor tamaño o con recursos más limitados.

Sin embargo, los requisitos mínimos se mantienen en su totalidad destacando algún cambio en los siguientes:

• Organización e implantación del proceso de seguridad: Se establece una nueva figura en el caso de servicios externalizados, como es el POC (Punto o Persona de Contacto) cuya función es analizar y supervisar los requisitos de seguridad del servicio que presta o solución que provea, gestionando las comunicaciones relativas a la seguridad de la información y los incidentes para el ámbito del servicio que provea.
• Mínimo privilegio: Donde se cambia el concepto “Seguridad por Defecto” reacondicionando los requisitos para configurar los sistemas a los mínimos accesos necesarios para el cumplimiento de las competencias.
• Prevención ante otros sistemas de información interconectados: Se menciona la actual Ley General de Telecomunicaciones (9/2014)
• Incidentes de Seguridad: Estableciendo que, en el caso de ser un operador crítico, se ha de tener en cuenta Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.

En este punto se amplía y determina la necesidad del sector público de comunicar los incidentes con impacto significativo en la seguridad al CCN donde actuará como coordinador; y en el caso del sector privado, que preste servicio a entidades públicas, la necesidad de notificarlo ante INCIBE CERT.

Se especifica que para la certificación del ENS en los niveles medio y alto se requiere auditoria formal, mientras que en nivel bajo únicamente una autoevaluación.

Se establece que la valoración de los impactos sobre las dimensiones recae en el responsable de la información o servicios y la aprobación de la categoría del ENS recae en el responsable de seguridad.

Una de las partes esenciales de este nuevo RD y que más interés tendrá en las compañías es la actualización de las medidas de seguridad de este anexo. Es reseñable que el número de controles se reduce a 74 (uno menos que en el anterior ENS), pero se han implementado muchos cambios para aumentar las medidas de seguridad ya existentes y otros que buscan facilitar la tarea en la incorporación de los requisitos. A continuación, explicamos los principales cambios en el marco operacional y en las medidas de protección.

• Planificación

Op.pl.4 Dimensionamiento/Gestión de la capacidad aplica ahora desde nivel bajo.
Op.pl.5 Componentes certificados aplica desde la categorización media.

• Control de acceso

Op.acc.5 Mecanismos de autenticación se divide en dos controles (Usuarios externo y usuarios de la organización) y desaparecen los controles de acceso local y remoto.

• Explotación

Se elimina el control el Op.exp.10 Protección de los registros de actividad.
Op.exp.3 Gestión de la configuración, Op.exp.7 Gestión de incidentes y Op.exp.9 Registro de incidentes aplican ahora desde la categorización de nivel bajo.

• Recursos externos

Op.ext.9 Medios alternativos desaparece como control en la nueva actualización.
Aparecen nuevos controles como Op.ext.3 Protección de la cadena de suministro aplicable en nivel alto y Op.ext.4 Interconexión de sistemas que aplica para nivel medio y superior.

• Servicios en la nube

Op.nub.1 Protección de servicios en la nube aparece como nuevo control aplicable desde nivel bajo.

• Continuidad del servicio

Se añade un nuevo control Op.cont.4 Medios Alternativos, el resto se mantienen con los mismos criterios.

• Monitorización del sistema

Se incluye un nuevo control Op.mon.3 Vigilancia que aplica desde nivel bajo al igual que los otros controles, donde antes solo aplicaban desde nivel medio (Op.mon.1) o alto (Op.mon.2).

• Protección de las instalaciones

Desaparece el control Mp.if.9 Instalaciones alternativas.

• Gestión del personal

Se elimina el control Mp.per.9 Personal Alternativo.

• Protección de equipos

Se incluye un nuevo control Mp.eq.4 Otros dispositivos conectados a red aplicable a partir de nivel bajo.
Se suprime el control Mp.eq.9 Medios alternativos.

• Protección de las comunicaciones

Mp.com.2 Protección de la confidencialidad aplica ahora desde nivel bajo y se elimina el control Mp.com.9 Medios alternativos.

• Protección de los soportes de información y protección de aplicaciones informáticas

Se mantienen prácticamente con los mismos requisitos.

• Protección de la información

El control Mp.info.3 Cifrado se suprime de este bloque de medidas de protección y el control Mp.info.2 Calificación de la información aplica ahora a partir del nivel medio de categorización (antes desde bajo).

• Protección de los servicios

Se añade nuevo control M.s.3 Protección de la navegación Web que aplica desde nivel bajo y se suprime el control Mp.s.9 Medios alternativos.