Esquemas nacionales de seguridad leídos

Un esquema por niveles clasifica cada sistema según el impacto de perder su confidencialidad, su integridad o su disponibilidad, y de ahí sale cuántas medidas se exigen. Lo habitual es que el nivel del sistema sea el mayor de las tres dimensiones: si basta con que una sola sea alta para que el daño sea grave, el sistema entero se trata como alto.

Esto evita un error frecuente: promediar. Un sistema con confidencialidad baja, disponibilidad baja e integridad alta no es «medio»: un cambio no autorizado en sus datos sigue siendo grave.

Cada medida del catálogo dice desde qué nivel se exige, y se exige también en los niveles superiores. Para saber qué debe cumplir un sistema se cuenta, en el catálogo, todas las medidas cuyo nivel mínimo sea el del sistema o uno inferior.

Mira los sistemas de Montelindo y obtén el nivel del portal de trámites; después cuenta en el catálogo las medidas que se le exigen.

El proveedor del portal presenta una declaración de conformidad con la lista de medidas que dice cumplir. Una declaración es una afirmación del propio proveedor, no una auditoría; pero es un buen punto de partida, porque la primera comparación es sencilla: ¿están todas las medidas exigidas?

Compara las medidas que se exigen al portal con las que declara Costaverde Sistemas.

Dos sistemas de la alcaldía son de nivel alto, pero por razones distintas. Saber qué dimensión provoca el nivel importa: si viene de la integridad, las medidas más urgentes tienen que ver con que nadie pueda cambiar datos sin dejar rastro; si viene de la confidencialidad, con quién puede leerlos.

La declaración viene acompañada de un certificado de una entidad externa. Un certificado tiene un alcance: dice qué se examinó y qué quedó fuera. Un certificado del centro de datos prueba cosas sobre el centro de datos; no prueba cómo está programada la aplicación que corre dentro, ni cómo trabaja el soporte remoto.