LegalizeReal Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad
4. Cuando un operador con incidencia en la Defensa Nacional sufra un incidente deberá analizar si, por su alcance, éste pudiera tener impacto en el funcionamiento del Ministerio de Defensa o en la operatividad de las Fuerzas Armadas, lo pondrá de inmediato en conocimiento de su CSIRT de referencia, quien informará a la capacidad de respuesta e incidentes de seguridad de referencia para el ámbito de la Defensa nacional, denominada ESPDEF-CERT, del Mando Conjunto del Ciberespacio (MCCE) a través de los canales establecidos. En estos casos, el ESPDEF-CERT del Mando Conjunto del Ciberespacio deberá ser oportunamente informado de la evolución de la gestión del incidente y podrá colaborar en la supervisión con la autoridad competente.
5. De conformidad con lo dispuesto en el Real Decreto-ley 12/2018, de 7 de septiembre, el CCN ejercerá la coordinación nacional de la respuesta técnica de los equipos de respuesta a incidentes de seguridad informática (denominados por su acrónimo en inglés Computer Security Incident Response Team, en adelante, CSIRT) en materia de seguridad de las redes y sistemas de información del sector público.
6. Tras un incidente de seguridad, el CCN-CERT determinará técnicamente el riesgo de reconexión del sistema o sistemas afectados, indicando los procedimientos a seguir y las salvaguardas a implementar con objeto de reducir el impacto para, en la medida de lo posible, evitar que vuelvan a darse las circunstancias que lo propiciaron.
Tras un incidente de seguridad, la Secretaría General de Administración Digital, sin perjuicio de la normativa que regula la continuidad de los sistemas de información implicados en la seguridad pública o la normativa que regule la continuidad de los sistemas de información militares implicados en la Defensa Nacional que requieran la participación del ESPDEF-CERT del Mando Conjunto del Ciberespacio, autorizará la reconexión a los medios y servicios comunes comprendidos bajo su ámbito de responsabilidad, incluidos los compartidos o transversales, si un informe de superficie de exposición del CCN-CERT hubiere determinado que el riesgo es asumible.
En caso de que se trate de un incidente de seguridad que afecte a un medio o servicio común bajo ámbito de responsabilidad de la Intervención General de la Administración del Estado, esta participará en el proceso de autorización de la reconexión a que se refiere el párrafo anterior.
7. Las organizaciones del sector privado que presten servicios a las entidades públicas notificarán al INCIBE-CERT, centro de respuesta a incidentes de seguridad de referencia para los ciudadanos y entidades de derecho privado en España operado por la S.M.E. Instituto Nacional de Ciberseguridad de España M.P., S.A. (INCIBE) dependiente del Ministerio de Asuntos Económicos y Transformación Digital, los incidentes que les afecten a través de su equipo de respuesta a incidentes de seguridad informática, quien, sin perjuicio de sus competencias y de lo previsto en los artículos 9, 10 y 11 del Real Decreto 43/2021, de 26 de enero, en relación con la Plataforma de Notificación y Seguimiento de Ciberincidentes, lo pondrá inmediatamente en conocimiento del CCN-CERT.
Artículo 34. Prestación de servicios de respuesta a incidentes de seguridad a las entidades del sector público.
1. De acuerdo con lo previsto en el artículo 33, el CCN-CERT prestará los siguientes servicios:
Soporte y coordinación para el tratamiento de vulnerabilidades y la resolución de incidentes de seguridad que tengan las entidades del ámbito de aplicación de este real decreto.
El CCN-CERT, a través de su servicio de apoyo técnico y de coordinación, actuará con la máxima celeridad ante cualquier agresión recibida en los sistemas de información afectados.
Para el cumplimiento de los fines indicados en los párrafos anteriores se podrán recabar informes, registros de auditoría y configuraciones de los sistemas afectados y cualquier otra información que se considere relevante, así como los soportes informáticos que se estimen necesarios para la investigación del incidente de los sistemas afectados, sin perjuicio de lo dispuesto en la normativa de protección de datos que resulte de aplicación, así como de la posible confidencialidad de datos de carácter institucional u organizativo.
Investigación y divulgación de las mejores prácticas sobre seguridad de la información entre todos los miembros de las entidades del sector público. Con esta finalidad, las series de documentos CCN-STIC (CCN-Seguridad de las Tecnologías de Información y la Comunicación), elaboradas por el CCN, ofrecerán normas, instrucciones, guías, recomendaciones y mejores prácticas para aplicar el ENS y para garantizar la seguridad de los sistemas de información del ámbito de aplicación de este real decreto.
Formación destinada al personal del sector público especialista en el campo de la seguridad de las tecnologías de la información, al objeto de facilitar la actualización de conocimientos y de lograr la sensibilización y mejora de sus capacidades para la prevención, detección y gestión de incidentes.
Información sobre vulnerabilidades, alertas y avisos de nuevas amenazas a los sistemas de información, recopiladas de diversas fuentes de reconocido prestigio, incluidas las propias.
2. El CCN desarrollará un programa que ofrezca la información, formación, recomendaciones y herramientas necesarias para que las entidades del sector público puedan desarrollar sus propias capacidades de respuesta a incidentes de seguridad, y en el que, aquel, será coordinador a nivel público estatal.
CAPÍTULO V. Normas de conformidad
Artículo 35. Administración digital.
1. La seguridad de los sistemas de información que sustentan la administración digital se regirá por lo establecido en este real decreto.
2. El CCN es el órgano competente para garantizar la debida interoperabilidad en materia de ciberseguridad y criptografía, en relación con la aplicación del Real Decreto 4/2010, de 8 de enero, por el que se regula el Esquema Nacional de Interoperabilidad en el ámbito de la administración electrónica.
Artículo 36. Ciclo de vida de servicios y sistemas.
Las especificaciones de seguridad se incluirán en el ciclo de vida de los servicios y sistemas, acompañadas de los correspondientes procedimientos de control.
Artículo 37. Mecanismos de control.
Cada entidad titular de los sistemas de información comprendidos en el ámbito de aplicación de este real decreto y, en su caso, sus organismos, órganos, departamentos o unidades, establecerán sus mecanismos de control para garantizar de forma real y efectiva el cumplimiento del ENS.
Artículo 38. Procedimientos de determinación de la conformidad con el Esquema Nacional de Seguridad.
1. Los sistemas de información comprendidos en el ámbito del artículo 2 serán objeto de un proceso para determinar su conformidad con el ENS. A tal efecto, los sistemas de categoría MEDIA o ALTA precisarán de una auditoría para la certificación de su conformidad, sin perjuicio de la auditoría de la seguridad prevista en el artículo 31 que podrá servir asimismo para los fines de la certificación, mientras que los sistemas de categoría BÁSICA solo requerirán de una autoevaluación para su declaración de la conformidad, sin perjuicio de que se puedan someter igualmente a una auditoria de certificación.
Tanto el procedimiento de autoevaluación como la auditoría de certificación se realizarán según lo dispuesto en el artículo 31 y el anexo III y en los términos que se determinen en la correspondiente Instrucción Técnica de Seguridad, que concretará asimismo los requisitos exigibles a las entidades certificadoras.
2. Los sujetos responsables de los sistemas de información a que se refiere el apartado anterior darán publicidad, en los correspondientes portales de internet o sedes electrónicas a las declaraciones y certificaciones de conformidad con el ENS, atendiendo a lo dispuesto en la mencionada Instrucción Técnica de Seguridad.
CAPÍTULO VI. Actualización del Esquema Nacional de Seguridad
Artículo 39. Actualización permanente.
El ENS se mantendrá actualizado de manera permanente, desarrollándose y perfeccionándose a lo largo del tiempo, en paralelo al avance de los servicios prestados por las entidades del sector público, la evolución tecnológica, la aparición o consolidación de nuevos estándares internacionales sobre seguridad y auditoría y los riesgos a los que estén expuestos los sistemas de información concernidos.
CAPÍTULO VII. Categorización de los sistemas de información
Artículo 40. Categorías de seguridad.
1. La categoría de seguridad de un sistema de información modulará el equilibrio entre la importancia de la información que maneja y los servicios que presta y el esfuerzo de seguridad requerido, en función de los riesgos a los que está expuesto, bajo el principio de proporcionalidad.
2. La determinación de la categoría de seguridad se efectuará en función de la valoración del impacto que tendría un incidente que afectase a la seguridad de la información o de los servicios con perjuicio para la disponibilidad, autenticidad, integridad, confidencialidad o trazabilidad, siguiendo el procedimiento descrito en el anexo I.
Artículo 41. Facultades.
1. La facultad para efectuar las valoraciones a las que se refiere el artículo 40, así como, en su caso, su posterior modificación, corresponderá al responsable o responsables de la información o servicios afectados.
2. Con base en las valoraciones señaladas en el apartado anterior, la determinación de la categoría de seguridad del sistema corresponderá al responsable o responsables de la seguridad.
Disposición adicional primera. Formación.
El CCN y el Instituto Nacional de Administración Pública desarrollarán programas de sensibilización, concienciación y formación, dirigidos al personal de las entidades del sector público, para asegurar un adecuado despliegue de la información y las capacidades jurídicas, organizativas y técnicas relacionadas con la ciberseguridad de los sistemas de información públicos, y para garantizar el conocimiento permanente del ENS entre dichas entidades.
Disposición adicional segunda. Desarrollo del Esquema Nacional de Seguridad.
En desarrollo de lo dispuesto en este real decreto, la persona titular del Ministerio para la Transformación Digital y de la Función Pública, a propuesta de la Comisión Sectorial de Administración Electrónica y a iniciativa del Centro Criptológico Nacional, aprobará las instrucciones técnicas de seguridad de obligado cumplimiento, que se publicarán mediante Resolución de la persona titular de la Secretaría de Estado de Función Pública.
Las instrucciones técnicas de seguridad tendrán en cuenta las normas armonizadas por la Unión Europea aplicables. Para su redacción y mantenimiento se constituirán los correspondientes grupos de trabajo en los órganos colegiados con competencias en materia de administración digital.
Para el mejor cumplimiento de lo establecido en este real decreto, el CCN, en el ejercicio de sus competencias, elaborará y difundirá las correspondientes guías de seguridad de las tecnologías de la información y la comunicación (guías CCN-STIC), particularmente de la serie 800, que se incorporarán al conjunto documental utilizado para la realización de las auditorías de seguridad.
Se modifica por la disposición final 2 del Real Decreto 1125/2024, de 5 de noviembre. Ref. BOE-A-2024-22935#df-2
Disposición adicional tercera. Respeto del principio de «no causar un perjuicio significativo» al medioambiente.
En cumplimiento con lo dispuesto en el Plan de Recuperación, Transformación y Resiliencia (PRTR) y en el Reglamento (UE) 2021/241 del Parlamento Europeo y del Consejo, de 12 de febrero de 2021, por el que se establece el Mecanismo de Recuperación y Resiliencia, todas las actuaciones que se lleven a cabo en el marco del PRTR en cumplimiento del presente real decreto deben respetar el principio de «no causar un perjuicio significativo» al medioambiente (principio DNSH por sus siglas en inglés, Do No Significant Harm) y las condiciones del etiquetado climático y digital.
Disposición transitoria única. Adecuación de sistemas.
1. Los sistemas de información del ámbito de aplicación de este real decreto, preexistentes a su entrada en vigor, incluidos aquellos de los que sean titulares los contratistas del sector privado en los términos señalados en el artículo 2, dispondrán de veinticuatro meses para alcanzar su plena adecuación al ENS, circunstancia que se manifestará con la exhibición del correspondiente distintivo de conformidad, atendiendo lo dispuesto en el artículo 38.
2. Durante los antedichos veinticuatro meses, los sistemas de información preexistentes a la entrada en vigor de este real decreto que dispusieren de los correspondientes Distintivos de Conformidad, derivados de Declaraciones o Certificaciones de conformidad con el ENS, podrán mantener su vigencia procediendo a su renovación de conformidad y en los términos señalados por el Real Decreto 3/2010, de 8 de enero, del que trajeron causa.
3. Los nuevos sistemas de información aplicarán lo establecido en este real decreto desde su concepción.
Disposición derogatoria única. Derogación normativa.
Queda derogado el Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, así como cuantas disposiciones de igual o inferior rango que se opongan a lo dispuesto en este real decreto.
Disposición final primera. Títulos competenciales.
Este real decreto se dicta en virtud de lo establecido en los artículos 149.1.18.ª, 149.1.21.ª y 149.1.29.ª de la Constitución, que atribuyen al Estado la competencia exclusiva sobre las bases del régimen jurídico de las administraciones públicas, las telecomunicaciones y la seguridad pública, respectivamente.
Disposición final segunda. Desarrollo normativo.
Se habilita a la persona titular del Ministerio de Asuntos Económicos y Transformación Digital para dictar las disposiciones necesarias para la aplicación y desarrollo de lo establecido en este real decreto, sin perjuicio de las competencias de las comunidades autónomas de desarrollo y ejecución de la legislación básica del Estado.
Disposición final tercera. Entrada en vigor.
Este real decreto entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».
Dado en Madrid, el 3 de mayo de 2022.
FELIPE R.
**La Vicepresidenta Primera del Gobierno
y Ministra de Asuntos Económicos y Transformación Digital,**
NADIA CALVIÑO SANTAMARÍA
ANEXO I. Categorías de seguridad de los sistemas de información
1. Fundamentos para la determinación de la categoría de seguridad de un sistema de información
La determinación de la categoría de seguridad de un sistema de información se basará en la valoración del impacto que tendría sobre la organización un incidente que afectase a la seguridad de la información tratada o de los servicios prestados para:
Alcanzar sus objetivos.
Proteger los activos a su cargo.
Garantizar la conformidad con el ordenamiento jurídico.
Anualmente, o siempre que se produzcan modificaciones significativas en los citados criterios de determinación, deberá re-evaluarse la categoría de seguridad de los sistemas de información concernidos.
2. Dimensiones de la seguridad
A fin de determinar el impacto que tendría sobre la organización un incidente que afectara a la seguridad de la información tratada o de los servicios prestados y, en su consecuencia, establecer la categoría de seguridad del sistema de información en cuestión, se tendrán en cuenta las siguientes dimensiones de la seguridad, que se identificarán por sus correspondientes iniciales en mayúsculas:
Confidencialidad [C].
Integridad [I].
Trazabilidad [T].
Autenticidad [A].
Disponibilidad [D].
3. Determinación del nivel de seguridad requerido en una dimensión de seguridad
Una información o un servicio pueden verse afectados en una o más de sus dimensiones de seguridad. Cada dimensión de seguridad afectada se adscribirá a uno de los siguientes niveles de seguridad: BAJO, MEDIO o ALTO. Si una dimensión de seguridad no se ve afectada, no se adscribirá a ningún nivel.
Nivel BAJO. Se aplicará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio limitado sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.
Se entenderá por perjuicio limitado:
1.º La reducción de forma apreciable de la capacidad de la organización para desarrollar eficazmente sus funciones y competencias, aunque estas sigan desempeñándose.
2.º Causar un daño menor en los activos de la organización.
3.º El incumplimiento formal de alguna ley o regulación, que tenga carácter de subsanable.
4.º Causar un perjuicio menor a algún individuo, que pese a resultar molesto, pueda ser fácilmente reparable.
5.º Otros de naturaleza análoga.
Nivel MEDIO. Se aplicará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.
Se entenderá por perjuicio grave:
1.º La reducción significativa de la capacidad de la organización para desarrollar eficazmente sus funciones y competencias, aunque estas sigan desempeñándose.
2.º Causar un daño significativo en los activos de la organización.
3.º El incumplimiento material de alguna ley o regulación, o el incumplimiento formal que no tenga carácter de subsanable.
4.º Causar un perjuicio significativo a algún individuo, de difícil reparación.
5.º Otros de naturaleza análoga.
Nivel ALTO. Se aplicará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio muy grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.
Se entenderá por perjuicio muy grave:
1.º La anulación efectiva de la capacidad de la organización para desarrollar eficazmente sus funciones y competencias.
2.º Causar un daño muy grave, e incluso irreparable, de los activos de la organización.
3.º El incumplimiento grave de alguna ley o regulación.
4.º Causar un perjuicio grave a algún individuo, de difícil o imposible reparación.
5.º Otros de naturaleza análoga.
Cuando un sistema de información trate diferentes informaciones y preste diferentes servicios, el nivel de seguridad del sistema en cada dimensión será el mayor de los establecidos para cada información y cada servicio.
4. Determinación de la categoría de seguridad de un sistema de información
1. Se definen tres categorías de seguridad: BÁSICA, MEDIA y ALTA.
Un sistema de información será de categoría ALTA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad ALTO.
Un sistema de información será de categoría MEDIA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad MEDIO, y ninguna alcanza un nivel de seguridad superior.
Un sistema de información será de categoría BÁSICA si alguna de sus dimensiones de seguridad alcanza el nivel BAJO, y ninguna alcanza un nivel superior.
2. La determinación de la categoría de seguridad de un sistema de información sobre la base de lo indicado en el apartado anterior, no implicará que se altere, por este hecho, el nivel de seguridad de las dimensiones de seguridad que no han influido en la determinación de la categoría de seguridad del mismo.
5. Secuencia de actuaciones para determinar la categoría de seguridad de un sistema
1. Identificación del nivel de seguridad correspondiente a cada información y servicio, en función de las dimensiones de seguridad, teniendo en cuenta lo establecido en el apartado 3 anterior.
2. Determinación de la categoría de seguridad del sistema, según lo establecido en el apartado 4 anterior.
Las guías CCN-STIC, del CCN, precisarán los criterios necesarios para una adecuada categorización de seguridad de los sistemas de información.
ANEXO II. Medidas de Seguridad
1. Disposiciones generales
1. Para lograr el cumplimiento de los principios básicos y requisitos mínimos establecidos se aplicarán las medidas de seguridad indicadas en este anexo, las cuales serán proporcionales a:
Las dimensiones de seguridad relevantes en el sistema a proteger.
La categoría de seguridad del sistema de información a proteger.
2. Las medidas de seguridad se dividen en tres grupos:
Marco organizativo [org]. Constituido por el conjunto de medidas relacionadas con la organización global de la seguridad.
Marco operacional [op]. Formado por las medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin.
Medidas de protección [mp]. Se centran en proteger activos concretos, según su naturaleza y la calidad exigida por el nivel de seguridad de las dimensiones afectadas.
2. Selección de medidas de seguridad
1. Para la selección de las medidas de seguridad se seguirán los pasos siguientes:
Identificación de los tipos de activos presentes.
Determinación de las dimensiones de seguridad relevantes, teniendo en cuenta lo establecido en el anexo I.
Determinación del nivel de seguridad correspondiente a cada dimensión de seguridad, teniendo en cuenta lo establecido en el anexo I.
Determinación de la categoría de seguridad del sistema, según lo establecido en el anexo I.
Selección de las medidas de seguridad, junto con los refuerzos apropiados, de entre las contenidas en este anexo, de acuerdo con las dimensiones y sus niveles de seguridad y para determinadas medidas de seguridad, de acuerdo con la categoría de seguridad del sistema.
2. A los efectos de facilitar el cumplimiento de lo dispuesto en este anexo, cuando en un sistema de información existan subsistemas que requieran la aplicación de un nivel de medidas de seguridad diferente al del sistema principal, podrán segregarse de este último, siendo de aplicación en cada caso el nivel de medidas de seguridad con los refuerzos correspondientes, y siempre que puedan delimitarse la información y los servicios afectados.
3. Las guías CCN-STIC, del CCN, podrán establecer perfiles de cumplimiento específicos, según el artículo 30 de este real decreto, para entidades o sectores concretos, que incluirán la relación de medidas y refuerzos que en cada caso resulten aplicables o los criterios para su determinación.
4. La correspondencia entre los niveles de seguridad exigidos en cada dimensión y las medidas de seguridad con sus refuerzos, es la que se indica en la tabla siguiente:
| Medidas de Seguridad | Medidas de Seguridad | Por categoría o dimensión(es) | BÁSICA | MEDIA | ALTA | |
|---|---|---|---|---|---|---|
| Medidas de Seguridad | Medidas de Seguridad | Por categoría o dimensión(es) | Nivel de las dimensiones de seguridad | Nivel de las dimensiones de seguridad | Nivel de las dimensiones de seguridad | Nivel de las dimensiones de seguridad |
| Medidas de Seguridad | Medidas de Seguridad | Por categoría o dimensión(es) | BAJO | MEDIO | ALTO | |
| Medidas de Seguridad | Medidas de Seguridad | Por categoría o dimensión(es) | Categoría de seguridad del sistema | Categoría de seguridad del sistema | Categoría de seguridad del sistema | Categoría de seguridad del sistema |
| org | Marco organizativo | |||||
| org.1 | Política de seguridad | Categoría | aplica | aplica | aplica | |
| org.2 | Normativa de seguridad | Categoría | aplica | aplica | aplica | |
| org.3 | Procedimientos de seguridad | Categoría | aplica | aplica | aplica | |
| org.4 | Proceso de autorización | Categoría | aplica | aplica | aplica | |
| op | Marco operacional | |||||
| op.pl | Planificación | |||||
| op.pl.1 | Análisis de riesgos | Categoría | aplica | + R1 | + R2 | |
| op.pl.2 | Arquitectura de Seguridad | Categoría | aplica | + R1 | + R1 + R2 + R3 | |
| op.pl.3 | Adquisición de nuevos componentes | Categoría | aplica | aplica | aplica | |
| op.pl.4 | Dimensionamiento/gestión de la capacidad | D | aplica | + R1 | + R1 | |
| op.pl.5 | Componentes certificados | Categoría | n.a. | aplica | aplica | |
| op.acc | Control de acceso | |||||
| op.acc.1 | Identificación | T A | aplica | + R1 | + R1 | |
| op.acc.2 | Requisitos de acceso | C I T A | aplica | aplica | + R1 | |
| op.acc.3 | Segregación de funciones y tareas | C I T A | n.a. | aplica | + R1 | |
| op.acc.4 | Proceso de gestión de derechos de acceso | C I T A | aplica | aplica | aplica | |
| op.acc.5 | Mecanismo de autenticación (usuarios externos) | C I T A | + [R1 o R2 o R3 o R4] | + [R2 o R3 o R4] + R5 | + [R2 o R3 o R4] + R5 | |
| op.acc.6 | Mecanismo de autenticación (usuarios de la organización) | C I T A | + [R1 o R2 o R3 o R4] + R8 + R9 | + [R1 o R2 o R3 o R4] + R5 + R8 + R9 | + [R1 o R2 o R3 o R4] + R5 + R6 + R7 + R8 + R9 | |
| op.exp | Explotación | |||||
| op.exp.1 | Inventario de activos | Categoría | aplica | aplica | aplica | |
| op.exp.2 | Configuración de seguridad | Categoría | aplica | aplica | aplica | |
| op.exp.3 | Gestión de la configuración de seguridad | Categoría | aplica | + R1 | + R1 + R2 + R3 | |
| op.exp.4 | Mantenimiento y actualizaciones de seguridad | Categoría | aplica | + R1 | + R1 + R2 | |
| op.exp.5 | Gestión de cambios | Categoría | n.a. | aplica | + R1 | |
| op.exp.6 | Protección frente a código dañino | Categoría | aplica | + R1 + R2 | + R1 + R2 + R3 + R4 | |
| op.exp.7 | Gestión de incidentes | Categoría | aplica | + R1 + R2 | + R1 + R2 + R3 | |
| op.exp.8 | Registro de la actividad | T | aplica | + R1 + R2 + R3 + R4 | + R1 + R2 + R3 + R4 + R5 | |
| op.exp.9 | Registro de la gestión de incidentes | Categoría | aplica | aplica | aplica | |
| op.exp.10 | Protección de claves criptográficas | Categoría | aplica | + R1 | + R1 | |
| op.ext | Recursos externos | |||||
| op.ext.1 | Contratación y acuerdos de nivel de servicio | Categoría | n.a. | aplica | aplica | |
| op.ext.2 | Gestión diaria | Categoría | n.a. | aplica | aplica | |
| op.ext.3 | Protección de la cadena de suministro | Categoría | n.a. | n.a. | aplica | |
| op.ext.4 | Interconexión de sistemas | Categoría | n.a. | aplica | + R1 | |
| op.nub | Servicios en la nube | |||||
| op.nub.1 | Protección de servicios en la nube | Categoría | aplica | + R1 | + R1 + R2 | |
| op.cont | Continuidad del servicio | |||||
| op.cont.1 | Análisis de impacto | D | n.a. | aplica | aplica | |
| op.cont.2 | Plan de continuidad | D | n.a. | n.a. | aplica | |
| op.cont.3 | Pruebas periódicas | D | n.a. | n.a. | aplica | |
| op.cont.4 | Medios alternativos | D | n.a. | n.a. | aplica | |
| op.mon | Monitorización del sistema | |||||
| op.mon.1 | Detección de intrusión | Categoría | aplica | + R1 | + R1 + R2 | |
| op.mon.2 | Sistema de métricas | Categoría | aplica | + R1 + R2 | + R1 + R2 | |
| op.mon.3 | Vigilancia | Categoría | aplica | + R1 + R2 | + R1 + R2 + R3 + R4 + R5 + R6 | |
| mp | Medidas de protección | |||||
| mp.if | Protección de las instalaciones e infraestructuras | |||||
| mp.if.1 | Áreas separadas y con control de acceso | Categoría | aplica | aplica | aplica | |
| mp.if.2 | Identificación de las personas | Categoría | aplica | aplica | aplica | |
| mp.if.3 | Acondicionamiento de los locales | Categoría | aplica | aplica | aplica | |
| mp.if.4 | Energía eléctrica | D | aplica | + R1 | + R1 | |
| mp.if.5 | Protección frente a incendios | D | aplica | aplica | aplica | |
| mp.if.6 | Protección frente a inundaciones | D | n.a. | aplica | aplica | |
| mp.if.7 | Registro de entrada y salida de equipamiento | Categoría | aplica | aplica | aplica | |
| mp.per | Gestión del personal | |||||
| mp.per.1 | Caracterización del puesto de trabajo | Categoría | n.a. | aplica | aplica | |
| mp.per.2 | Deberes y obligaciones | Categoría | aplica | + R1 | + R1 | |
| mp.per.3 | Concienciación | Categoría | aplica | aplica | aplica | |
| mp.per.4 | Formación | Categoría | aplica | aplica | aplica | |
| mp.eq | Protección de los equipos | |||||
| mp.eq.1 | Puesto de trabajo despejado | Categoría | aplica | + R1 | + R1 | |
| mp.eq.2 | Bloqueo de puesto de trabajo | A | n.a. | aplica | + R1 | |
| mp.eq.3 | Protección de dispositivos portátiles | Categoría | aplica | aplica | + R1 + R2 | |
| mp.eq.4 | Otros dispositivos conectados a la red | C | aplica | + R1 | + R1 | |
| mp.com | Protección de las comunicaciones | |||||
| mp.com.1 | Perímetro seguro | Categoría | aplica | aplica | aplica | |
| mp.com.2 | Protección de la confidencialidad | C | aplica | + R1 | + R1 + R2 + R3 | |
| mp.com.3 | Protección de la integridad y de la autenticidad | I A | aplica | + R1 + R2 | + R1 + R2 + R3 + R4 | |
| mp.com.4 | Separación de flujos de información en la red | Categoría | n.a. | + [R1 o R2 o R3] | + [R2 o R3] + R4 | |
| mp.si | Protección de los soportes de información | |||||
| mp.si.1 | Marcado de soportes | C | n.a. | aplica | aplica | |
| mp.si.2 | Criptografía | C I | n.a. | aplica | + R1 + R2 | |
| mp.si.3 | Custodia | Categoría | aplica | aplica | aplica | |
| mp.si.4 | Transporte | Categoría | aplica | aplica | aplica | |
| mp.si.5 | Borrado y destrucción | C | aplica | + R1 | + R1 | |
| mp.sw | Protección de las aplicaciones informáticas | |||||
| mp.sw.1 | Desarrollo de aplicaciones | Categoría | n.a. | + R1 + R2 + R3 + R4 | + R1 + R2 + R3 + R4 | |
| mp.sw.2 | Aceptación y puesta en servicio | Categoría | aplica | + R1 | + R1 | |
| mp.info | Protección de la información | |||||
| mp.info.1 | Datos personales | Categoría | aplica | aplica | aplica | |
| mp.info.2 | Calificación de la información | C | n.a. | aplica | aplica | |
| mp.info.3 | Firma electrónica | I A | aplica | + R1 + R2 + R3 | + R1 + R2 + R3 + R4 | |
| mp.info.4 | Sellos de tiempo | T | n.a. | n.a. | aplica | |
| mp.info.5 | Limpieza de documentos | C | aplica | aplica | aplica | |
| mp.info.6 | Copias de seguridad | D | aplica | + R1 | + R1 + R2 | |
| mp.s | Protección de los servicios | |||||
| mp.s.1 | Protección del correo electrónico | Categoría | aplica | aplica | aplica | |
| mp.s.2 | Protección de servicios y aplicaciones web | Categoría | + [R1 o R2] | + [R1 o R2] | + R2 + R3 | |
| mp.s.3 | Protección de la navegación web | Categoría | aplica | aplica | + R1 | |
| mp.s.4 | Protección frente a denegación de servicio | D | n.a. | aplica | + R1 |
5. En las tablas del presente anexo se han empleado las siguientes convenciones:
La tercera columna indica si la medida se exige atendiendo al nivel de seguridad de una o más dimensiones de seguridad, o atendiendo a la categoría de seguridad del sistema. Cuando se exija por nivel de seguridad de las dimensiones, se indican cuales afectan utilizando sus iniciales.
Para indicar que una determinada medida de seguridad se debe aplicar a una o varias dimensiones de seguridad, en algún nivel de seguridad determinado, se utiliza la voz «aplica».
«n.a.» significa «no aplica» a efectos de cumplimiento normativo, por lo que no es exigible, sin perjuicio de que su implantación en el sistema pudiera ser beneficioso técnicamente.
Para indicar una mayor exigencia se emplean los refuerzos de seguridad (R) que se suman (+) a los requisitos base de la medida pero que no siempre son incrementales entre sí.
Para señalar que se puede elegir entre aplicar un refuerzo u otro, se indicará entre corchetes y separados por «o» [Rn o Rn+1].
Se han empleado los colores verde, amarillo y rojo con el siguiente código: verde para indicar que una medida se aplica en sistemas de categoría BÁSICA o superior; el amarillo para indicar qué medidas y refuerzos empiezan a aplicar en categoría MEDIA o superior; y el rojo para indicar qué medidas o refuerzos son solo de aplicación en categoría ALTA o requieren un esfuerzo en seguridad superior al de categoría MEDIA.
6. A continuación, se describen individualmente cada una de las medidas organizadas de la siguiente forma:
Primero, una tabla resumen con las exigencias de seguridad de la medida en función de la categoría de seguridad del sistema y de las dimensiones de seguridad afectadas.
A continuación, una descripción con el cuerpo de la medida que desglosa los requisitos de base.
Posteriormente, podrán aparecer una serie de refuerzos adicionales que complementan a los requisitos de base, no en todos los casos requeridos o exigidos, y que podrían aplicarse en determinados perfiles de cumplimiento específicos.
Además, se indica el conjunto de requisitos y refuerzos exigidos en función de los niveles de seguridad o de la categoría de seguridad del sistema, según corresponda. En los casos en los que se pueda elegir entre aplicar un refuerzo u otro, además de indicarlo entre corchetes [Rm o Rn], se incluirá un diagrama de flujo explicativo.
Por último, algunos refuerzos son de carácter opcional, no siendo requeridos en todos los sistemas de información. Se aplicarán como medidas adicionales cuando el análisis de riesgos así lo recomiende.
3. Marco organizativo [ORG]
El marco organizativo está constituido por un conjunto de medidas relacionadas con la organización global de la seguridad.
3.1 Política de seguridad [org.1].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
La política de seguridad, que se aprobará de conformidad con lo dispuesto en el artículo 12 de este real decreto, se plasmará en un documento en el que, de forma clara, se precise, al menos, lo siguiente:
– [org.1.1] Los objetivos o misión de la organización.
– [org.1.2] El marco legal y regulatorio en el que se desarrollarán las actividades.
– [org.1.3] Los roles o funciones de seguridad, definiendo para cada uno los deberes y responsabilidades del cargo, así como el procedimiento para su designación y renovación.
– [org.1.4] La estructura del comité o los comités para la gestión y coordinación de la seguridad, detallando su ámbito de responsabilidad, las personas integrantes y la relación con otros elementos de la organización.
– [org.1.5] Las directrices para la estructuración de la documentación de seguridad del sistema, su gestión y acceso.
Aplicación de la medida.
– Categoría BÁSICA: org.1.
– Categoría MEDIA: org.1.
– Categoría ALTA: org.1.
3.2 Normativa de seguridad [org.2].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
Se dispondrá de una serie de documentos que describan:
– [org.2.1] El uso correcto de equipos, servicios e instalaciones, así como lo que se considerará uso indebido.
– [org.2.2] La responsabilidad del personal con respecto al cumplimiento o violación de la normativa: derechos, deberes y medidas disciplinarias de acuerdo con la legislación vigente.
Refuerzo R1-Documentos específicos.
[org.2.r1.1] Se dispondrá de una documentación de seguridad, desarrollada según lo reflejado en las guías CCN-STIC que resulten de aplicación.
Aplicación de la medida.
– Categoría BÁSICA: org.2.
– Categoría MEDIA: org.2.
– Categoría ALTA: org.2.
3.3 Procedimientos de seguridad [org.3].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
Se dispondrá de una serie de documentos que detallen de forma clara y precisa cómo operar los elementos del sistema de información:
– [org.3.1] Cómo llevar a cabo las tareas habituales.
– [org.3.2] Quién debe hacer cada tarea.
– [org.3.3] Cómo identificar y reportar comportamientos anómalos.
– [org.3.4.] La forma en que se ha de tratar la información en consideración al nivel de seguridad que requiere, precisando cómo efectuar:
Su control de acceso.
Su almacenamiento.
La realización de copias.
El etiquetado de soportes.
Su transmisión telemática.
Cualquier otra actividad relacionada con dicha información.
Refuerzo R1-Validación de procedimientos.
[org.3.r1.1] Se requerirá la validación de los procedimientos de seguridad por la autoridad correspondiente.
Aplicación de la medida.
– Categoría BÁSICA: org.3.
– Categoría MEDIA: org.3.
– Categoría ALTA: org.3.
3.4 Proceso de autorización [org.4].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
Se establecerá un proceso formal de autorizaciones que cubra todos los elementos del sistema de información concernidos:
– [org.4.1] Utilización de instalaciones, habituales y alternativas.
– [org.4.2] Entrada de equipos en producción, en particular, equipos que involucren criptografía.
– [org.4.3] Entrada de aplicaciones en producción.
– [org.4.4] Establecimiento de enlaces de comunicaciones con otros sistemas.
– [org.4.5] Utilización de medios de comunicación, habituales y alternativos.
– [org.4.6] Utilización de soportes de información.
– [org.4.7] Utilización de equipos móviles. Se entenderá por equipos móviles ordenadores portátiles, tabletas, teléfonos móviles u otros de naturaleza análoga.
– [org.4.8] Utilización de servicios de terceros, bajo contrato o convenio, concesión, encargo, etc.
Aplicación de la medida.
– Categoría BÁSICA: org.4.
– Categoría MEDIA: org.4.
– Categoría ALTA: org.4.
4. Marco operacional [op]
El marco operacional está constituido por las medidas a tomar para proteger la operación del sistema como conjunto integral de componentes para un fin.
4.1 Planificación [op.pl].
4.1.1 Análisis de riesgos [op.pl.1].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | + R1 | + R2 |
Requisitos.
Se realizará un análisis de riesgos informal, realizado en lenguaje natural. Es decir, una exposición textual que:
– [op.pl.1.1] Identifique los activos más valiosos del sistema. (Ver op.exp.1).
– [op.pl.1.2] Identifique las amenazas más probables.
– [op.pl.1.3] Identifique las salvaguardas que protegen de dichas amenazas.
– [op.pl.1.4] Identifique los principales riesgos residuales.
Refuerzo R1-Análisis de riesgos semiformal.
Se deberá realizar un análisis de riesgos semiformal, usando un lenguaje específico, con un catálogo básico de amenazas y una semántica definida. Es decir, una presentación con tablas que:
– [op.pl.1.r1.1] Valore cualitativamente los activos más valiosos del sistema.
– [op.pl.1.r1.2] Cuantifique las amenazas más probables.
– [op.pl.1.r1.3] Valore las salvaguardas que protegen de dichas amenazas.
– [op.pl.1.r1.4] Valore el riesgo residual.
Refuerzo R2-Análisis de riesgos formal.
Se deberá realizar un análisis formal, usando un lenguaje específico, con un fundamento matemático reconocido internacionalmente, que:
– [op.pl.1.r2.1] Valore cualitativamente los activos más valiosos del sistema.
– [op.pl.1.r2.2] Cuantifique las amenazas posibles.
– [op.pl.1.r2.3] Valore y priorice las salvaguardas adecuadas.
– [op.pl.1.r2.4] Valore y asuma formalmente el riesgo residual.
Aplicación de la medida.
– Categoría BÁSICA: op.pl.1.
– Categoría MEDIA: op.pl.1 + R1.
– Categoría ALTA: op.pl.1 + R2.
4.1.2 Arquitectura de seguridad [op.pl.2].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | + R1 | +R1+R2+R3 |
Requisitos.
La seguridad del sistema será objeto de un planteamiento integral detallando, al menos, los siguientes aspectos:
– [op.pl.2.1] Documentación de las instalaciones, incluyendo áreas y puntos de acceso.
– [op.pl.2.2] Documentación del sistema, incluyendo equipos, redes internas y conexiones al exterior, y puntos de acceso al sistema (puestos de trabajo y consolas de administración).
– [op.pl.2.3] Esquema de líneas de defensa, incluyendo puntos de interconexión a otros sistemas o a otras redes (en especial, si se trata de internet o redes públicas en general); cortafuegos, DMZ, etc.; y la utilización de tecnologías diferentes para prevenir vulnerabilidades que pudieran perforar simultáneamente varias líneas de defensa.
– [op.pl.2.4] Sistema de identificación y autenticación de usuarios, incluyendo el uso de claves concertadas, contraseñas, tarjetas de identificación, biometría, u otras de naturaleza análoga, y el uso de ficheros o directorios para autenticar al usuario y determinar sus derechos de acceso.
Refuerzo R1-Sistema de gestión.
[op.pl.2.r1.1] Sistema de gestión, relativo a la planificación, organización y control de los recursos relativos a la seguridad de la información.
Refuerzo R2-Sistema de gestión de la seguridad con mejora continua.
[op.pl.2.r2.1] Sistema de gestión de la seguridad de la información, con actualización y aprobación periódica.
Refuerzo R3-Validación de datos.
[op.pl.2.r3.1] Controles técnicos internos, incluyendo la validación de datos de entrada, salida y datos intermedios.
Aplicación de la medida.
– Categoría BÁSICA: op.pl.2.
– Categoría MEDIA: op.pl.2 + R1.
– Categoría ALTA: op.pl.2 + R1 + R2 + R3.
4.1.3 Adquisición de nuevos componentes [op.pl.3].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
Se establecerá un proceso formal para planificar la adquisición de nuevos componentes del sistema, proceso que:
– [op.pl.3.1] Atenderá a las conclusiones del análisis de riesgos ([op.pl.1]).
– [op.pl.3.2] Será acorde a la arquitectura de seguridad escogida ([op.pl.2]).
– [op.pl.3.3] Contemplará las necesidades técnicas, de formación y de financiación, de forma conjunta.
Aplicación de la medida.
– Categoría BÁSICA: op.pl.3.
– Categoría MEDIA: op.pl.3.
– Categoría ALTA: op.pl.3.
4.1.4 Dimensionamiento / gestión de la capacidad [op.pl.4].
| dimensiones | D | D | D |
| nivel | BAJO | MEDIO | ALTO |
| aplica | + R1 | + R1 |
Requisitos.
Con carácter previo a la puesta en explotación, se realizará un estudio que cubrirá los siguientes aspectos:
– [op.pl.4.1] Necesidades de procesamiento.
– [op.pl.4.2] Necesidades de almacenamiento de información: durante su procesamiento y durante el periodo que deba retenerse.
– [op.pl.4.3] Necesidades de comunicación.
– [op.pl.4.4] Necesidades de personal: cantidad y cualificación profesional.
– [op.pl.4.5] Necesidades de instalaciones y medios auxiliares.
Refuerzo R1 –Mejora continua de la gestión de la capacidad.
– [op.pl.4.r1.1] Se realizará una previsión de la capacidad y se mantendrá actualizada durante todo el ciclo de vida del sistema.
– [op.pl.4.r1.2] Se emplearán herramientas y recursos para la monitorización de la capacidad.
Aplicación de la medida (por disponibilidad):
– Nivel BAJO: op.pl.4.
– Nivel MEDIO: op.pl.4 + R1.
– Nivel ALTO: op.pl.4 + R1.
4.1.5 Componentes certificados [op.pl.5].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| n.a. | aplica | aplica |
Requisitos.
– [op.pl.5.1]. Se utilizará el Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y Comunicación (CPSTIC) del CCN, para seleccionar los productos o servicios suministrados por un tercero que formen parte de la arquitectura de seguridad del sistema y aquellos que se referencien expresamente en las medidas de este real decreto.
En caso de que no existan productos o servicios en el CPSTIC que implementen las funcionalidades requeridas, se utilizarán productos certificados de acuerdo a lo descrito en el artículo 19.
Una Instrucción Técnica de Seguridad detallará los criterios relativos a la adquisición de productos de seguridad.
– [op.pl.5.2] Si el sistema suministra un servicio de seguridad a un tercero bajo el alcance del ENS, el producto o productos que en los que se sustente dicho servicio debe superar un proceso de cualificación y ser incluido en el CPSTIC, o aportar una certificación que cumpla con los requisitos funcionales de seguridad y de aseguramiento de acuerdo a lo establecido en el artículo 19.
Refuerzo R1-Protección de emisiones electromagnéticas.
[op.pl.5.r1.1] La información deberá ser protegida frente a las amenazas TEMPEST de acuerdo con la normativa en vigor.
Refuerzo R2 - Lista de componentes software.
[op.pl.5.r2.1] Cada producto y servicio incluirá en su descripción una lista de componentes software, acorde a lo especificado en [mp.sw.1.r5].
Aplicación de la medida.
– Categoría BÁSICA: no aplica.
– Categoría MEDIA: op.pl.5.
– Categoría ALTA: op.pl.5.
4.2 Control de acceso [op.acc].
El control de acceso comprende el conjunto de actividades preparatorias y ejecutivas tendentes a permitir o denegar a una entidad, usuario o proceso, el acceso a un recurso del sistema para la realización de una acción concreta.
Los mecanismos de control de acceso deberán equilibrar la facilidad de uso y la protección de la información y los servicios, primando una u otra característica atendiendo a la categoría de seguridad del sistema.
Cuando se interconecten sistemas en los que la identificación, autenticación y autorización tengan lugar en diferentes dominios de seguridad, bajo distintas responsabilidades, en los casos en que sea necesario, las medidas de seguridad locales se acompañarán de los correspondientes acuerdos de colaboración que delimiten mecanismos y procedimientos para la atribución y ejercicio efectivos de las responsabilidades de cada sistema ([op.ext]).
4.2.1 Identificación [op.acc.1].
| dimensiones | T A | T A | T A |
| nivel | BAJO | MEDIO | ALTO |
| aplica | + R1 | + R1 |
Requisitos.
La identificación de los usuarios del sistema se realizará de acuerdo con lo que se indica a continuación:
– [op.acc.1.1] Se podrá utilizar como identificador único los sistemas de identificación previstos en la normativa de aplicación, entre ellos, los sistemas de clave concertada y cualquier otro sistema que las administraciones consideren válido en los términos y condiciones establecidos en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.
– [op.acc.1.2] Cuando el usuario tenga diferentes roles frente al sistema (como ciudadano o usuario final, como trabajador del organismo o como administrador de los sistemas, por ejemplo) recibirá identificadores singulares para cada perfil, de forma que se recaben siempre los correspondientes registros de actividad, delimitándose los privilegios correspondientes a cada perfil.
– [op.acc.1.3] Cada entidad (entidad, usuario o proceso) que accede al sistema, contará con un identificador singular que permita conocer el destinatario de los mismos y los derechos de acceso que recibe, así como las acciones realizadas por cada entidad.
– [op.acc.1.4] Las cuentas de usuario se gestionarán de la siguiente forma:
Cada cuenta (de entidad, usuario o proceso) estará asociada a un identificador único.
Las cuentas deben ser inhabilitadas en los siguientes casos: cuando el usuario deja la organización; cuando el usuario cesa en la función para la cual se requería la cuenta de usuario; o, cuando la persona que la autorizó da orden en sentido contrario.
Las cuentas se retendrán durante el periodo necesario para atender a las necesidades de trazabilidad de los registros de actividad asociados a las mismas. A este periodo se le denominará «periodo de retención».
– [op.acc.1.5] En los supuestos de comunicaciones electrónicas, las partes intervinientes se identificarán atendiendo a los mecanismos previstos en la legislación europea y nacional en la materia, con la siguiente correspondencia entre los niveles de la dimensión de autenticidad de los sistemas de información a los que se tiene acceso y los niveles de seguridad (bajo, sustancial, alto) de los sistemas de identificación electrónica previstos en el Reglamento (UE) n.º 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por el que se deroga la Directiva 1999/93/CE y sus normas de desarrollo o ejecución que resulten de aplicación:
Si se requiere un nivel BAJO en la dimensión de autenticidad (anexo I): Nivel de seguridad bajo, sustancial o alto (artículo 8 del Reglamento (UE) n.º 910/2014).
Si se requiere un nivel MEDIO en la dimensión de autenticidad (anexo I): Nivel de seguridad sustancial o alto (artículo 8 del Reglamento (UE) n.º 910/2014).
Si se requiere un nivel ALTO en la dimensión de autenticidad (anexo I): Nivel de seguridad alto (artículo 8 del Reglamento (UE) n.º 910/2014).
Refuerzo R1-Identificación avanzada.
– [op.acc.1.r1.1] La identificación del usuario permitirá al Responsable del Sistema, al Responsable de la Seguridad o a sus respectivos administradores delegados, singularizar a la persona asociada al mismo, así como sus responsabilidades en el sistema.
– [op.acc.1.r1.2] Los datos de identificación serán utilizados por el sistema para determinar los privilegios del usuario conforme a los requisitos de control de acceso establecidos en la documentación de seguridad.
– [op.acc.1.r1.3] Se asegurará la existencia de una lista actualizada de usuarios autorizados y mantenida por el administrador del sistema/de la seguridad del sistema.
Aplicación de la medida (por trazabilidad y autenticidad).
– Nivel BAJO: op.acc.1.
– Nivel MEDIO: op.acc.1 +R1.
– Nivel ALTO: op.acc.1+ R1.
4.2.2 Requisitos de acceso [op.acc.2].
| dimensiones | C I T A | C I T A | C I T A |
| nivel | BAJO | MEDIO | ALTO |
| aplica | aplica | + R1 |
Requisitos.
– [op.acc.2.1] Los recursos del sistema se protegerán con algún mecanismo que impida su utilización, salvo a las entidades que disfruten de derechos de acceso suficientes.
– [op.acc.2.2] Los derechos de acceso de cada recurso, se establecerán según las decisiones de la persona responsable del recurso, ateniéndose a la política y normativa de seguridad del sistema.
– [op.acc.2.3] Particularmente, se controlará el acceso a los componentes del sistema operativo y a sus ficheros o registros de configuración.
Refuerzo R1-Privilegios de acceso.
– [op.acc.2.r1.1] Todos los usuarios autorizados deben tener un conjunto de atributos de seguridad (privilegios) que puedan ser mantenidos individualmente.
– [op.acc.2.r1.2] Los privilegios de acceso se implementarán para restringir el tipo de acceso que un usuario puede tener (lectura, escritura, modificación, borrado, etc.).
Refuerzo R2-Control de acceso a dispositivos.
– [op.acc.2.r2.1] Se dispondrá de soluciones que permitan establecer controles de acceso a los dispositivos en función de la política de seguridad de la organización.
Aplicación de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).
– Nivel BAJO: op.acc.2.
– Nivel MEDIO: op.acc.2.
– Nivel ALTO: op.acc.2+ R1.
4.2.3 Segregación de funciones y tareas [op.acc.3].
| dimensiones | C I T A | C I T A | C I T A |
| nivel | BAJO | MEDIO | ALTO |
| n.a. | aplica | + R1 |
Requisitos.
El sistema de control de acceso se organizará de forma que se exija la concurrencia de dos o más personas para realizar tareas críticas, anulando la posibilidad de que un solo individuo autorizado pueda abusar de sus derechos para cometer alguna acción ilícita o no autorizada.
– [op.acc.3.1] Siempre que sea posible, las capacidades de desarrollo y operación no recaerán en la misma persona.
– [op.acc.3.2] Siempre que sea posible, las personas que autorizan y controlan el uso serán distintas.
Refuerzo R1-Segregación rigurosa.
– [op.acc.3.r1.1] Siempre que sea posible, la misma persona no aunará funciones de configuración y mantenimiento del sistema.
– [op.acc.3.r1.2] La misma persona no puede aunar funciones de auditoría o supervisión con cualquier otra función.
Refuerzo R2-Privilegios de auditoría.
– [op.acc.3.r2.1] Existirán cuentas con privilegios de auditoría estrictamente controladas y personalizadas.
Refuerzo R3-Acceso a la información de seguridad.
– [op.acc.3.r3.1] El acceso a la información de seguridad del sistema estará permitido únicamente a los administradores de seguridad/sistema autorizados, utilizando los mecanismos de acceso imprescindibles (consola, interfaz web, acceso remoto, etc.).
Aplicación de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).
– Nivel BAJO: no aplica.
– Nivel MEDIO: op.acc.3.
– Nivel ALTO: op.acc.3 + R1.
4.2.4 Proceso de gestión de derechos de acceso [op.acc.4].
| dimensiones | C I T A | C I T A | C I T A |
| nivel | BAJO | MEDIO | ALTO |
| aplica | aplica | aplica |
Requisitos.
Los derechos de acceso de cada entidad, usuario o proceso se limitarán atendiendo a los siguientes principios:
– [op.acc.4.1] Todo acceso estará prohibido, salvo autorización expresa.
– [op.acc.4.2] Mínimo privilegio: los privilegios de cada entidad, usuario o proceso se reducirán al mínimo imprescindible para cumplir sus obligaciones o funciones.
– [op.acc.4.3] Necesidad de conocer y responsabilidad de compartir: los privilegios se asignarán de forma que las entidades, usuarios o procesos sólo accederán al conocimiento de aquella información requerida para cumplir sus obligaciones o funciones. La información es patrimonio del organismo y toda aquella que resulte necesaria para el usuario estará a su disposición.
– [op.acc.4.4] Capacidad de autorizar: Exclusivamente el personal con competencia para ello podrá conceder, alterar o anular la autorización de acceso a los recursos, conforme a los criterios establecidos por su responsable. Los permisos de acceso se revisarán de forma periódica.
– [op.acc.4.5] Se establecerá una política específica de acceso remoto, requiriéndose autorización expresa.
Aplicación de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).
Nivel BAJO: op.acc.4.
Nivel MEDIO: op.acc.4.
Nivel ALTO: op.acc.4.
4.2.5 Mecanismo de autenticación (usuarios externos) [op.acc.5].
Referente a usuarios que no son usuarios de la organización.
Las guías CCN-STIC desarrollarán los mecanismos y calidades exigibles a cada tipo de factor de autenticación en función de los niveles de seguridad requeridos por el sistema de información el que se accede y los privilegios concedidos al usuario.
| dimensiones | C I T A | C I T A | C I T A |
| nivel | BAJO | MEDIO | ALTO |
| + [R1 o R2 o R3 o R4] | + [R2 o R3 o R4] + R5 | + [R2 o R3 o R4] + R5 |
Requisitos.
– [op.acc.5.1] Antes de proporcionar las credenciales de autenticación a las entidades, usuarios o procesos, estos deberán haberse identificado y registrado de manera fidedigna ante el sistema o ante un Prestador Cualificado de Servicios de Confianza o un proveedor de identidad electrónica reconocido por las administraciones públicas, de conformidad con lo dispuesto en la Ley 39/2015, de 1 de octubre.
– [op.acc.5.2] Antes de activar el mecanismo de autenticación, el usuario reconocerá que las ha recibido y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, la protección de su confidencialidad y el deber de notificación inmediata en caso de pérdida.
– [op.acc.5.3] Las credenciales estarán bajo el control exclusivo del usuario y se activarán una vez estén bajo su control efectivo.
– [op.acc.5.4] Las credenciales se cambiarán con una periodicidad marcada por la política de seguridad de la organización.
– [op.acc.5.5] Las credenciales serán inhabilitadas -pudiendo ser regeneradas, en su caso-, cuando conste o se sospeche su pérdida, compromiso o revelación a entidades (personas, equipos o procesos) no autorizadas.
– [op.acc.5.6] Las credenciales serán inhabilitadas cuando la entidad (persona, equipo o proceso) que autentican termina su relación con el sistema.
– [op.acc.5.7] Antes de autorizar el acceso, la información presentada por el sistema será la mínima imprescindible para que el usuario se autentique, evitando todo aquello que pueda, directa o indirectamente, revelar información sobre el sistema o la cuenta, sus características, su operación o su estado. Las credenciales solamente se validarán cuando se tengan todos los datos necesarios y, si se rechaza, no se informará del motivo del rechazo.
– [op.acc.5.8] El número de intentos permitidos será limitado, bloqueando la oportunidad de acceso una vez superado tal número, y requiriendo una intervención específica para reactivar la cuenta, que se describirá en la documentación.
– [op.acc.5.9] El sistema informará al usuario de sus derechos u obligaciones inmediatamente después de obtener el acceso.
Refuerzo R1-Contraseñas.
– [op.acc.5.r1.1] Se empleará una contraseña como mecanismo de autenticación.
– [op.acc.5.r1.2] Se impondrán normas de complejidad mínima y robustez frente a ataques de adivinación (ver guías CCN-STIC).
Refuerzo R2-Contraseña + OTP.
– [op.acc.5.r2.1] Se requerirá una contraseña de un solo uso (OTP, en inglés) como complemento a la contraseña de usuario.
Refuerzo R3-Certificados.
– [op.acc.5.r3.1] Se emplearán certificados cualificados como mecanismo de autenticación.
– [op.acc.5.r3.2] El uso del certificado estará protegido por un segundo factor, del tipo PIN o biométrico.
– [op.acc.5.r3.3] Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo presencial, o bien telemático, usando un certificado electrónico cualificado.
Refuerzo R4-Certificados en dispositivo físico.
– [op.acc.5.r4.1] Se emplearán certificados cualificados como mecanismo de autenticación, en soporte físico (tarjeta o similar) usando algoritmos, parámetros y dispositivos autorizados por el CCN.
– [op.acc.5.r4.2] El uso del certificado estará protegido por un segundo factor, del tipo PIN o biométrico.
– [op.acc.5.r4.3] Las credenciales utilizadas deberán haber sido obtenidas tras un registro previo presencial, o bien telemático, usando certificado electrónico cualificado.
Refuerzo R5-Registro.
– [op.acc.5.r5.1] Se registrarán los accesos con éxito y los fallidos.
– [op.acc.5.r5.2] Se informará al usuario del último acceso efectuado con su identidad.
Refuerzo R6-Limitación de la ventana de acceso.
– [op.acc.5.r6.1] Se definirán aquellos puntos en los que el sistema requerirá una renovación de la autenticación del usuario, mediante identificación singular, no bastando con la sesión establecida.
Refuerzo R7-Suspensión por no utilización.
– [op.acc.5.r7.1] Las credenciales se suspenderán tras un periodo definido de no utilización.
Aplicación de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).
– Nivel BAJO: op.acc.5 + [R1 o R2 o R3 o R4].
– Nivel MEDIO: op.acc.5 + [R2 o R3 o R4] + R5.
– Nivel ALTO: op.acc.5 + [R2 o R3 o R4] + R5.
4.2.6 Mecanismo de autenticación (usuarios de la organización) [op.acc.6].
Esta medida se refiere a personal del organismo, propio o contratado, estable o circunstancial, que pueda tener acceso a información contenida en el sistema.
Las guías CCN-STIC desarrollarán los mecanismos y calidades exigibles a cada tipo de factor de autenticación, en función de los niveles de seguridad requeridos por el sistema de información el que se accede y los privilegios concedidos al usuario.
| dimensiones | C I T A | C I T A | C I T A |
| nivel | BAJO | MEDIO | ALTO |
| + [R1 o R2 o R3 o R4] + R8 + R9 | + [R1 o R2 o R3 o R4] + R5 + R8 + R9 | + [R1 o R2 o R3 o R4] + R5 + R6 + R7 + R8 + R9 |
Requisitos.
– [op.acc.6.1] Antes de proporcionar las credenciales a los usuarios, estos deberán conocer y aceptar la política de seguridad del organismo en los aspectos que les afecten.
– [op.acc.6.2] Antes de activar el mecanismo de autenticación, el usuario reconocerá que ha recibido las credenciales de acceso y que conoce y acepta las obligaciones que implica su tenencia, en particular, el deber de custodia diligente, la protección de su confidencialidad y el deber de notificación inmediata en caso de pérdida.
– [op.acc.6.3] Las credenciales estarán bajo el control exclusivo del usuario y se activarán una vez estén bajo su control efectivo.
– [op.acc.6.4] Las credenciales se cambiarán con una periodicidad marcada por la política de seguridad de la organización.
– [op.acc.6.5] Las credenciales serán inhabilitadas -pudiendo ser regeneradas, en su caso-, cuando conste o se sospeche su pérdida, compromiso o revelación a entidades (personas, equipos o procesos) no autorizadas.
– [op.acc.6.6] Las credenciales serán inhabilitadas cuando el usuario que autentican termina su relación con el sistema.
– [op.acc.6.7] Antes de autorizar el acceso, la información presentada por el sistema será la mínima imprescindible para que el usuario se autentique, evitando todo aquello que pueda, directa o indirectamente, revelar información sobre el sistema o la cuenta, sus características, su operación o su estado. Las credenciales solamente se validarán cuando se tengan todos los datos necesarios y, si se rechaza, no se informará del motivo del rechazo.
– [op.acc.6.8] El número de intentos permitidos será limitado, bloqueando la oportunidad de acceso una vez superado tal número, y requiriendo una intervención específica para reactivar la cuenta, que se describirá en la documentación.
– [op.acc.6.9] El sistema informará al usuario de sus derechos u obligaciones inmediatamente después de obtener el acceso.
Refuerzo R1-Contraseñas.
– [op.acc.6.r1.1] Se empleará una contraseña como mecanismo de autenticación cuando el acceso se realiza desde zonas controladas y sin atravesar zonas no controladas (véase refuerzo R8).
– [op.acc.6.r1.2] Se impondrán normas de complejidad mínima y robustez frente a ataques de adivinación (ver guías CCN-STIC).
Refuerzo R2-Contraseña + otro factor de autenticación.
– [op.acc.6.r2.1] Se requerirá un segundo factor tal como «algo que se tiene», es decir, un dispositivo, una contraseña de un solo uso (OTP, en inglés) como complemento a la contraseña de usuario, o «algo que se es».
Refuerzo R3-Certificados.
– [op.acc.6.r3.1] Se emplearán certificados cualificados como mecanismo de autenticación.
– [op.acc.6.r3.2] El uso del certificado estará protegido por un segundo factor, del tipo PIN o biométrico.
Refuerzo R4-Certificados en dispositivo físico.
– [op.acc.6.r4.1] Se emplearán certificados cualificados como mecanismo de autenticación, en soporte físico (tarjeta o similar) usando algoritmos, parámetros y dispositivos autorizados por el CCN.
– [op.acc.6.r4.2] El uso del certificado estará protegido por un segundo factor, del tipo PIN o biométrico.
Refuerzo R5-Registro.
– [op.acc.6.r5.1] Se registrarán los accesos con éxito y los fallidos.
– [op.acc.6.r5.2] Se informará al usuario del último acceso efectuado con su identidad.
Refuerzo R6-Limitación de la ventana de acceso.
– [op.acc.6.r6.1] Se definirán aquellos puntos en los que el sistema requerirá una renovación de la autenticación del usuario, mediante identificación singular, no bastando con la sesión establecida.
Refuerzo R7-Suspensión por no utilización.
– [op.acc.6.r7.1] Las credenciales se suspenderán tras un periodo definido de no utilización.
Refuerzo R8-Doble factor para acceso desde o a través de zonas no controladas.
Se denomina «zona controlada» aquella que no es de acceso público, requiriéndose que el usuario, antes de tener acceso al equipo, se haya autenticado previamente de alguna forma (control de acceso a las instalaciones), diferente del mecanismo de autenticación lógica frente al sistema. Un ejemplo de zona no controlada es Internet.
– [op.acc.6.r8.1] Para el acceso desde o a través de zonas no controladas se requerirá un doble factor de autenticación: R2, R3 o R4.
Refuerzo R9-Acceso remoto (todos los niveles).
– [op.acc.6.r9.1] Será de aplicación la ITS de Interconexión de sistemas de información.
– [op.acc.6.r9.2] El acceso remoto deberá considerar los siguientes aspectos:
Ser autorizado por la autoridad correspondiente.
El tráfico deberá ser cifrado.
Si la utilización no se produce de manera constante, el acceso remoto deberá encontrarse inhabilitado y habilitarse únicamente cuando sea necesario.
Deberán recogerse registros de auditoría de este tipo de conexiones.
Aplicación de la medida (por confidencialidad, integridad, trazabilidad y autenticidad).
– Nivel BAJO: op.acc.6 + [R1 o R2 o R3 o R4] + R8 + R9.
– Nivel MEDIO: op.acc.6 + [R1 o R2 o R3 o R4] + R5 + R8 + R9.
– Nivel ALTO: op.acc.6 + [R1 o R2 o R3 o R4] + R5 + R6 + R7 + R8 + R9.
4.3 Explotación [op.exp].
4.3.1 Inventario de activos [op.exp.1].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
[op.exp.1.1] Se mantendrá un inventario actualizado de todos los elementos del sistema, detallando su naturaleza e identificando a su responsable; es decir, la persona que toma las decisiones relativas al mismo.
Refuerzo R1-Inventario de etiquetado.
– [op.exp.1.r1.1] El etiquetado del equipamiento y del cableado formará parte del inventario.
Refuerzo R2-Identificación periódica de activos.
– [op.exp.1.r2.1] Se dispondrá de herramientas que permitan visualizar de forma continua el estado de todos los equipos en la red, en particular, los servidores y los dispositivos de red y de comunicaciones.
Refuerzo R3-Identificación de activos críticos.
– [op.exp.1.r3.1] Se dispondrá de herramientas que permitan categorizar los activos críticos por contexto de la organización y riesgos de seguridad.
Refuerzo R4-Lista de componentes software.
– [op.exp.1.r4.1] Se mantendrá actualizada una relación formal de los componentes software de terceros empleados en el despliegue del sistema. Esta lista incluirá librerías software y los servicios requeridos para su despliegue (plataforma o entorno operacional). El contenido de la lista de componentes será equivalente a lo requerido en [mp.sw.1.r5].
Aplicación de la medida.
– Categoría BÁSICA: op.exp.1.
– Categoría MEDIA: op.exp.1.
– Categoría ALTA: op.exp.1.
4.3.2 Configuración de seguridad [op.exp.2].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | aplica | aplica |
Requisitos.
Se configurarán los equipos previamente a su entrada en operación, de forma que:
– [op.exp.2.1] Se retiren cuentas y contraseñas estándar.
– [op.exp.2.2] Se aplicará la regla de «mínima funcionalidad», es decir:
El sistema debe proporcionar la funcionalidad mínima imprescindible para que la organización alcance sus objetivos.
No proporcionará funciones injustificadas (de operación, administración o auditoría) al objeto de reducir al mínimo su perímetro de exposición, eliminándose o desactivándose aquellas funciones que sean innecesarias o inadecuadas al fin que se persigue.
– [op.exp.2.3] Se aplicará la regla de «seguridad por defecto», es decir:
Las medidas de seguridad serán respetuosas con el usuario y protegerán a éste, salvo que se exponga conscientemente a un riesgo.
Para reducir la seguridad, el usuario tendrá que realizar acciones conscientes.
El uso natural, en los casos que el usuario no ha consultado el manual, será un uso seguro.
– [op.exp.2.4] Las máquinas virtuales estarán configuradas y gestionadas de un modo seguro. La gestión del parcheado, cuentas de usuarios, software antivirus, etc. se realizará como si se tratara de máquinas físicas, incluyendo la máquina anfitriona.
Aplicación de la medida.
– Categoría BÁSICA: op.exp.2.
– Categoría MEDIA: op.exp.2.
– Categoría ALTA: op.exp.2.
4.3.3 Gestión de la configuración de seguridad [op.exp.3].
| dimensiones | Todas | Todas | Todas |
| categoría | BÁSICA | MEDIA | ALTA |
| aplica | + R1 | +R1+R2+R3 |
Requisitos.
Se gestionará de forma continua la configuración de los componentes del sistema, de forma que:
– [op.exp.3.1] Se mantenga en todo momento la regla de "funcionalidad mínima" ([op.exp.2]).
– [op.exp.3.2] Se mantenga en todo momento la regla de "mínimo privilegio" ([op.exp.2]).
– [op.exp.3.3] El sistema se adapte a las nuevas necesidades, previamente autorizadas. (Ver [op.acc.4]).
– [op.exp.3.4] El sistema reaccione a vulnerabilidades notificadas. (Ver [op.exp.4]).
– [op.exp.3.5] El sistema reaccione a incidentes. (Ver [op.exp.7]).
– [op.exp.3.6] La configuración de seguridad solamente podrá editarse por personal debidamente autorizado.
Refuerzo R1-Mantenimiento regular de la configuración.
– [op.exp.3.r1.1] Existirán configuraciones hardware/software, autorizadas y mantenidas regularmente, para los servidores, elementos de red y estaciones de trabajo.
– [op.exp.3.r1.2] Se verificará periódicamente la configuración hardware/software del sistema para asegurar que no se han introducido ni instalado elementos no autorizados.
– [op.exp.3.r1.3] Se mantendrá una lista de servicios autorizados para servidores y estaciones de trabajo.
Refuerzo R2-Responsabilidad de la configuración.
– [op.exp.3.r2.1] La configuración de seguridad del sistema operativo y aplicaciones, tanto de estaciones y servidores como de la electrónica de red del sistema, será responsabilidad de un número muy limitado de administradores del sistema.
Refuerzo R3-Copias de seguridad.
– [op.exp.3.r3.1] Se realizarán copias de seguridad de la configuración del sistema de forma que sea posible reconstruirlo en parte o en su totalidad tras un incidente.
Refuerzo R4-Aplicación de la configuración.
– [op.exp.3.r4.1] La configuración de seguridad del sistema operativo y de las aplicaciones se mantendrá actualizada a través de una aplicación o procedimiento manual que permita la instalación de las correspondientes modificaciones de versión y actualizaciones de seguridad oportunas.
Refuerzo R5-Control del estado de seguridad de la Configuración.
La consulta de este documento no sustituye la lectura del Boletín Oficial del Estado correspondiente. No nos responsabilizamos de posibles incorrecciones producidas en la transcripción del original a este formato.
Este texto se publica bajo las condiciones de reutilización propias de BOE, no bajo una licencia de Legalize ni de dominio público.
BOE
Condiciones de reutilización del BOE — cita obligatoria de la fuente
Fuente de los datos: Agencia Estatal Boletín Oficial del Estado (https://www.boe.es). Datos reutilizados conforme a las condiciones de reutilización del BOE (Resolución de 27 de junio de 2024). Este repositorio es una obra derivada basada en datos de la Agencia Estatal Boletín Oficial del Estado.