ENS y medidas de protección

La categoría no se elige: se deduce de los niveles que alcanzan las dimensiones de seguridad (disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad). Hay tres categorías, de la más leve a la más exigente, y cada una corresponde a uno de los tres niveles posibles de una dimensión (bajo, medio o alto). El sistema toma la que corresponde al nivel más elevado que alcance cualquiera de sus dimensiones, no la que repiten la mayoría. Manda la dimensión más elevada, no el promedio.

Consulta valoracion.

La medida op.exp.4, mantenimiento y actualizaciones de seguridad, pide seguir los anuncios de defectos de los fabricantes, tener un procedimiento para analizar, priorizar y decidir cuándo aplicar actualizaciones, y que el mantenimiento lo haga personal autorizado. La priorización tiene en cuenta cómo varía el riesgo según se aplique o no la actualización. Para categorías superiores se añaden refuerzos, como las pruebas previas en un entorno equivalente al de producción.

Fíjate en lo que no dice: no fija un número de días. Pide un procedimiento y que se pueda ver funcionar.

La medida de vigilancia, op.mon.3, tiene refuerzos que se suman con la categoría. Uno de ellos exige determinar la superficie de exposición a vulnerabilidades y a deficiencias de configuración; otro, solo para la categoría más alta, pide inspecciones periódicas con verificación de configuración, análisis de vulnerabilidades y pruebas de penetración. Consulta refuerzos_op_mon_3.

Un requisito sin evidencia es un incumplimiento aunque el trabajo se haga a medias: lo que se hace pero no se ha escrito ni aprobado no se puede enseñar. Consulta evidencias_op_exp_4, que cruza cada requisito de la medida de mantenimiento con lo que Hontanar Digital puede mostrar. Una cosa es tener informes de escáner y otra tener el procedimiento que decide qué se hace con ellos.

El sistema debe someterse a una auditoría de la seguridad ordinaria al menos cada dos años. Si hay modificaciones sustanciales que puedan repercutir en las medidas, hace falta una extraordinaria, y esta fija la nueva fecha desde la que se cuentan los dos años. Los sistemas de categoría MEDIA y ALTA se certifican; los de categoría BÁSICA se autoevalúan.

Consulta auditorias y calcula la fecha límite de la próxima auditoría ordinaria.