ENS Una propuesta para las Entidades Locales de Navarra

ENS RGPD RESPONSABILIDAD PROACTIVA CIBERSEGURIDAD BENEFICIOS DE LA IMPLANTACIÓN RESPONSABILIDAD PROACTIVA ENS RGPD CIBERSEGURIDAD DESARROLLO REGLAMENTARIO POSIBILISTA

¿Y ahora qué? ¿Qué tenemos que hacer en nuestras entidades? ¿Por dónde empezamos?

Soportes de información ELEMENTOS Infraestructuras Aplicaciones Soportes de información Comunicaciones Instalaciones Personal Servicios de terceros ADMINISTRACIÓN ELECTRONICA

¿Esta administración electrónica genera confianza a la ciudadanía? Medidas de Seguridad ASEGURAR Acceso Disponibilidad Integridad Confidencialidad Autenticidad Trazabilidad Conservación PROTEGER Información Datos Servicios Sistemas

TIPOLOGÍA DE ENTIDADES POR TAMAÑO ENTIDADES CON INFRAESTRUCTURAS PROPIAS ENTIDADES CSR (Centro de Servicios Remoto) CARACTERÍSTICAS Entidades de mayor tamaño (>2000 habitantes) Servicios residentes en servidores propios Mayor estructura organizativa CARACTERÍSTICAS Entidades de menor tamaño (<2000 habitantes) Servicios residentes en la nube de Animsa Menor estructura organizativa

TIPOLOGÍA POR NIVEL DE ADECUACIÓN DE INFRAESTRUCTURAS ENTIDADES QUE YA HAN ABORDADO LA ADECUACIÓN DE SUS INFRAESTRUCTURAS ENTIDADES QUE NO HAN ABORDADO LA ADECUACIÓN DE SUS INFRAESTRUCTURAS

¿Qué entidades están en disposición de abordar con éxito la implantación del ENS? TODAS LAS ENTIDADES, TANTO LAS QUE DISPONEN DE INFRAESTRUCTURAS PROPIAS COMO LAS RESIDENTES EN EL CSR QUE YA HAYAN ABORDADO LA ADECUACIÓN DE SUS INFRAESTRUCTURAS REQUISITO PREVIO

PROYECTO DE ADECUACIÓN AL ENS

Define roles y asigna funciones y responsabilidades: POLITICA DE SEGURIDAD 1 Documento de alto nivel que define lo que significa ‘seguridad de la información’ en una entidad y como se gestiona. Es aprobado por el titular del órgano superior correspondiente (Alcaldía, Presidencia…) Define roles y asigna funciones y responsabilidades: Responsable de la Información (especificación) Responsable de los Servicios (especificación) Responsable de Seguridad (supervisión) Responsable del Sistema (operación)

IDENTIFICAR LA INFORMACIÓN Y SERVICIOS 2 Inventario de Información Inventario de los servicios Atención a los Datos de Carácter Personal y los Registros de Actividades de Tratamiento (RAT) elaborados con el RGPD

CATEGORIZAR EL SISTEMA 3 Valorar la información manejada y los servicios prestados según su “nivel de importancia” para cada una de las 5 dimensiones que les afectan. Nivel de importancia DISPONIBILIDAD ¿Qué pasaría si no se puede acceder o a los servicios? INTEGRIDAD ¿Qué pasaría si la información se ha modificado por alguien no autorizado o se ha dañado sin control? CONFIDENCIALIDAD ¿Qué pasaría si la información es conocida por personas no autorizadas o que no necesitan conocer esa información? AUTENTICIDAD ¿Qué pasaría si quien accede no es quien dice ser? TRAZABILIDAD ¿Qué pasaría si no podemos conocer cuando, quién y que se ha hecho en los accesos a la información?

La determinación de la categoría de un sistema podrá ser CATEGORIZAR EL SISTEMA 3 SISTEMA Dimensiones Dispon. Integr. Confiden. Accesib. Trazab. Información 1 MEDIO BAJO Información 2 Información 3 Servicio 1 Servicio2 Servicio3 Categoría MEDIA (D=M, I=M,C=M, A=M, T=M) La determinación de la categoría de un sistema podrá ser BÁSICO MEDIO ALTO

ANÁLISIS DE RIESGOS 4 Para cada activo se analiza los riesgos y amenazas que se presentan Se valora el impacto que tendrían si finalmente suceden las amenazas Para cada Sistema se identifican los activos que participan, tienen un valor y hay que proteger.

DECLARACIÓN DE APLICABILIDAD 5 En función de las dimensiones que se ven afectas y las categorías establecidas se analizan las 75 medidas de seguridad indicando si son o no de aplicación.

INFORME DE INSUFICIENCIAS PLAN DE TRABAJO 6 PLAN DE ADECUACIÓN INFORME DE INSUFICIENCIAS Informe que identifica las actuales carencias en materia de seguridad. PLAN DE TRABAJO Propuesta de actuaciones a abordar Situación Actual Vs Estado Ideal

¿Que pasa con el famoso INES? (Informe Nacional del Estado de Seguridad) El CCN-CERT elabora anualmente el Informe sobre el Estado de la Seguridad en las Administraciones Pública Para ello se utiliza la herramienta INES que recoge el estado de situación de cada organización con respecto al esquema Situación Actual Vs Estado Ideal

PROYECTO DE ADECUACIÓN AL ENS ENTREGABLES

¿Y después que tenemos que hacer? Llevar a cabo las medidas establecidas en el plan Monitorizar el sistema Gestionar la seguridad Auditar/Autoevaluar la seguridad Corregir las deficiencias detectadas ….. No es un proyecto de tecnología Es un proyecto de ORGANIZACIÓN MEJORA CONTINUA DE LA SEGURIDAD

Una vez implantado el ENS ¿Tengo que certificar los servicios que presta mi entidad? Depende del resultado obtenido en la categorización de los sistemas AUTOEVALUACIÓN DECLARACIÓN DE CONFORMIDAD BÁSICA MEDIA ALTA AUDITORÍA CERTIFICACIÓN DE CONFORMIDAD

¿ANIMSA tiene que estar adecuada al ENS? SI Somos proveedores de servicios de administración electrónica de nuestras entidades. Trabajamos para obtener este año la conformidad de los sistemas que dan soporte a los servicios que prestamos desde la nube de Animsa.

Espacio de apoyo a la implantación del ENS REFERENCIAS Espacio de apoyo a la implantación del ENS

GRACIAS Laura Villanueva Merino Jefatura de Calidad lvillanueva@animsa.es