El Esquema Nacional de Seguridad (ENS) es uno de esos temas transversales que infunden respeto a cualquier opositor. Ya sea que te estés preparando para Administrativo del Estado, Auxiliar Administrativo, Gestión de Sistemas e Informática (GSI), o cualquier oposición autonómica y local, el ENS aparecerá tarde o temprano en tu temario de informática, administración electrónica o derecho administrativo.
Con la entrada en vigor del Real Decreto 311/2022, que sustituyó al antiguo RD 3/2010, se introdujeron cambios muy importantes para adaptar el esquema a la realidad del teletrabajo, los servicios en la nube y los nuevos vectores de ciberamenazas. En esta guía práctica vamos a desgranar los conceptos esenciales del ENS que debes dominar para responder con éxito a cualquier pregunta de examen tipo test.
¿Qué es el Esquema Nacional de Seguridad?
El ENS es el conjunto de principios básicos, requisitos mínimos y medidas de seguridad que garantizan la protección de la información tratada y los servicios prestados por el sector público español. Su objetivo es generar confianza en los ciudadanos al interactuar con las Administraciones Públicas por medios electrónicos.
Se aplica a todo el sector público (Administración General del Estado, Comunidades Autónomas, Entidades Locales y sus organismos públicos vinculados) y también a las entidades del sector privado que presten servicios o colaboren con la Administración.
1. Los 7 Principios Básicos del ENS
Los principios básicos guían la toma de decisiones en materia de seguridad informática de cualquier administración. Con el Real RD 311/2022, pasaron a ser siete principios fundamentales:
- Seguridad como proceso integral: La seguridad no se limita a un software o cortafuegos; abarca personal, procesos, tecnología y organización.
- Gestión de la seguridad basada en el análisis de riesgos: Las medidas adoptadas deben ser proporcionales a los riesgos evaluados.
- Prevención, detección, respuesta y conservación: El sistema debe estar preparado para evitar ataques, descubrirlos si ocurren, actuar frente a ellos y asegurar la trazabilidad.
- Existencia de líneas de defensa: Estrategia de defensa en profundidad con múltiples capas organizativas y técnicas.
- Vigilancia continua: Monitorización constante para detectar anomalías o desviaciones en tiempo real.
- Reevaluación periódica: La seguridad es dinámica y debe ser auditada periódicamente para adaptarse a nuevas amenazas.
- Diferenciación de responsabilidades: Separación clara entre el Responsable de la Información, el Responsable del Servicio y el Responsable de la Seguridad para evitar conflictos de intereses.
[!TIP] Truco de memorización: Recuerda las siglas “SIP-LVRD” para los principios básicos: Seguridad integral, Información/Riesgos (Gestión), Prevención, Líneas de defensa, Vigilancia, Reevaluación y Diferenciación.
2. Los 15 Requisitos Mínimos
Para que una administración cumpla con el ENS, debe implementar de forma obligatoria 15 requisitos mínimos. A continuación, resumimos los más recurrentes en los exámenes de oposiciones:
- Organización de la seguridad: Definir una política de seguridad clara y aprobada.
- Gestión de riesgos: Mantener un análisis de riesgos formal y actualizado periódicamente.
- Gestión de personal: Concienciar al personal de la administración sobre buenas prácticas y seguridad de la información.
- Autorización y control de accesos: Asegurar que cada usuario accede únicamente a los datos necesarios para realizar su trabajo (principio de mínimo privilegio).
- Protección de las instalaciones: Controlar físicamente el acceso a los servidores y oficinas críticas.
- Integridad y actualización del sistema: Mantener parches de seguridad al día y controlar los cambios de configuración.
- Registro de actividad (trazabilidad): Registrar quién hace qué en el sistema para poder auditarlo en caso de incidente.
- Protección de la información almacenada y en tránsito: Utilizar técnicas de cifrado criptográfico robusto.
3. Categorización de los Sistemas (Básica, Media, Alta)
Este es el punto más preguntado en las oposiciones de carácter técnico y administrativo. La categoría del sistema determina la rigurosidad con la que se aplicarán las medidas de seguridad del ENS.
La categorización se realiza evaluando el impacto que tendría un incidente de seguridad sobre cinco dimensiones fundamentales conocidas como “CIDAT”:
- Confidencialidad
- Integridad
- Disponibilidad
- Autenticidad
- Trazabilidad
Dependiendo de la gravedad del impacto en caso de que alguna de estas dimensiones sea comprometida, el sistema se clasifica en:
| Categoría | Nivel de Impacto | Medidas del ENS | Requisito de Auditoría |
|---|---|---|---|
| Básica | Bajo en todas las dimensiones | Medidas básicas (Anexo II) | Autoevaluación interna |
| Media | Medio en al menos una dimensión (y ningún nivel Alto) | Medidas medias (Anexo II) | Auditoría externa cada 2 años |
| Alta | Alto en al menos una dimensión | Medidas altas (Anexo II) | Auditoría externa cada 2 años |
¿Cómo enfocar el estudio del ENS para tu examen?
- Domina la estructura del Real Decreto 311/2022: Memoriza el número de principios básicos (7) y requisitos mínimos (15).
- Entiende la diferencia entre roles: Debes tener claro que el Responsable de la Seguridad determina las medidas de seguridad a aplicar, mientras que los Responsables de la Información y del Servicio definen los requisitos de confidencialidad y disponibilidad.
- Memoriza el periodo de las auditorías: Los sistemas de categorías Media y Alta deben someterse a una auditoría formal ordinaria cada 2 años.
- Relaciona el ENS con la Ley 40/2015: Recuerda que el artículo 156 de la Ley 40/2015 del Régimen Jurídico del Sector Público establece la obligatoriedad del Esquema Nacional de Interoperabilidad (ENI) y el Esquema Nacional de Seguridad (ENS).
Invertir tiempo en comprender el ENS te garantizará rascar varios puntos muy valiosos en la sección de legislación tecnológica y ofimática de tu oposición. ¡Mucho ánimo con el estudio!
