La seguridad de las sedes y de los registros electrónicos, así como la del acceso electrónico de los ciudadanos a los servicios públicos, se regirán por lo establecido en el Esquema Nacional de Seguridad.
Las especificaciones de seguridad se incluirán en
- el
ciclo de vida de los servicios y sistemas,
- acompañadas de los correspondientes procedimientos de control.
Cada órgano de la Administración pública o de Entidad de Derecho Público establecerá sus
mecanismos de control para garantizar de forma real y efectiva el cumplimiento del Esquema Nacional de Seguridad.
Los órganos y Entidades de Derecho Público darán
publicidad en las correspondientes sedes electrónicas a las declaraciones de
conformidad, y a los distintivos de seguridad de los que sean acreedores, obtenidos respecto al cumplimiento del Esquema Nacional de Seguridad.
El Esquema Nacional de Seguridad se deberá mantener
actualizado de manera permanente. Se desarrollará y perfeccionará en paralelo al progreso de:
- los servicios de Administración electrónica,
- de la evolución tecnológica
- y nuevos estándares internacionales sobre seguridad
- y auditoría en los sistemas y tecnologías de la información
- y a medida que vayan consolidándose las infraestructuras que le apoyan.
La
categoría de un sistema de información, en materia de seguridad, modulará el equilibrio entre:
- la importancia de la información que maneja,
- los servicios que presta y
- el esfuerzo de seguridad requerido,
en función de los riesgos a los que está expuesto, bajo el criterio del principio de proporcionalidad.
La determinación de la categoría se efectuará en función de la valoración del impacto que tendría un incidente que afectara
- a la seguridad de la información o
- de los servicios
con perjuicio para la:
- disponibilidad,
- autenticidad,
- integridad,
- confidencialidad o
- trazabilidad,
como dimensiones de seguridad.
La valoración de las consecuencias de un impacto negativo sobre la seguridad de la información y de los servicios se efectuará atendiendo a:
- su repercusión en la capacidad de la organización para el logro de sus objetivos,
- la protección de sus activos,
- el cumplimiento de sus obligaciones de servicio,
- el respeto de la legalidad y los derechos de los ciudadanos.
La facultad para efectuar las valoraciones así como la modificación posterior corresponderá, dentro del ámbito de su actividad, al responsable de cada información o servicio.
La facultad para determinar la categoría del sistema corresponderá al responsable del mismo.
El personal de las Administraciones públicas recibirá, de acuerdo con lo previsto en la disposición adicional segunda de la Ley 11/2007, de 22 de junio, la formación necesaria para garantizar el conocimiento del Esquema Nacional de Seguridad. Los órganos responsables dispondrán lo necesario para que la formación sea una realidad efectiva.
El Comité de Seguridad de la Información de las Administraciones Públicas, dependiente del Comité Sectorial de Administración electrónica,
- contará con un representante de cada una de las entidades presentes en dicho Comité Sectorial
- tendrá funciones de cooperación en materias comunes relacionadas con la adecuación e implantación de lo previsto en el Esquema Nacional de Seguridad y en las normas, instrucciones, guías y recomendaciones dictadas para su aplicación.
Desarrollo del Esquema Nacional de Seguridad. Además de las propuestas que pueda acordar el Comité Sectorial de Administración Electrónica (según lo establecido en el artículo 29, apartado 2), se desarrollarán las siguientes instrucciones técnicas de seguridad, que serán de obligado cumplimiento por parte de las Administraciones públicas:
a) Informe del estado de la seguridad.
b) Notificación de incidentes de seguridad.
c) Auditoría de la seguridad.
d) Conformidad con el Esquema Nacional de Seguridad.
e) Adquisición de productos de seguridad.
f) Criptología de empleo en el Esquema Nacional de Seguridad.
g) Interconexión en el Esquema Nacional de Seguridad.
h) Requisitos de seguridad en entornos externalizados.
Read more
