Las medidas del ENS, explicadas de una en una.

Política de seguridad

Una política de seguridad de la información aprobada formalmente por el órgano superior competente, que establezca los objetivos y…

Normativa de seguridad

Disponer de normativa de seguridad que desarrolle la política (org.1) y concrete el uso correcto de los sistemas, los datos y los …

Procedimientos de seguridad

Disponer de procedimientos de seguridad que detallen cómo llevar a cabo las tareas relevantes: altas y bajas de usuarios, copias y…

Proceso de autorización

Un proceso formal de autorización que controle la incorporación de elementos al sistema: nuevos equipos y aplicaciones, cambios de…

Análisis de riesgos

Un análisis de riesgos proporcional a la categoría del sistema: en categoría BÁSICA basta un análisis informal (una exposición raz…

Arquitectura de seguridad

Documentar la arquitectura de seguridad del sistema: cómo se estructura (redes, entornos, componentes), qué elementos de protecció…

Adquisición de nuevos componentes

Un proceso formal de adquisición de los componentes del sistema (hardware, software, servicios) que tenga en cuenta las conclusion…

Dimensionamiento y gestión de la capacidad

Un estudio previo de las necesidades de capacidad del sistema antes de su puesta en explotación: procesamiento, almacenamiento (en…

Componentes certificados

En categoría ALTA, utilizar preferentemente productos certificados para las funciones de seguridad del sistema: la certificación (…

Identificación

Un identificador singular para cada entidad (persona o proceso) que acceda al sistema, de forma que siempre pueda saberse quién hi…

Requisitos de acceso

Que los derechos de acceso de cada usuario se atengan a los principios de mínimo privilegio (solo los permisos que su función exig…

Segregación de funciones y tareas

La separación de funciones incompatibles para que ninguna persona pueda, por sí sola, completar un ciclo de acciones sensibles: tí…

Proceso de gestión de derechos de acceso

Un proceso de gestión de los derechos de acceso que cubra su ciclo de vida completo: concesión bajo los principios de mínimo privi…

Mecanismo de autenticación (usuarios externos)

Que los usuarios externos (ciudadanía, empresas, colaboradores ajenos a la organización) se autentiquen con mecanismos proporciona…

Mecanismo de autenticación (usuarios de la organización)

Que los usuarios de la organización se autentiquen mediante mecanismos adecuados al nivel de la dimensión correspondiente, gestion…

Inventario de activos

Mantener un inventario actualizado de los activos que componen el sistema —equipos, aplicaciones, servicios, comunicaciones, infor…

Configuración de seguridad

Configurar los equipos antes de su entrada en operación de forma que: se retiren cuentas y contraseñas estándar del fabricante, se…

Gestión de la configuración de seguridad

La gestión continua de la configuración de seguridad establecida en op.exp.2: el sistema se mantiene bastionado durante toda su vi…

Mantenimiento y actualizaciones de seguridad

Mantener el equipamiento físico y lógico conforme a las especificaciones de los fabricantes y gestionar las actualizaciones de seg…

Gestión de cambios

Un control continuo de los cambios en el sistema: analizar su impacto (también en seguridad) antes de aplicarlos, aprobarlos con c…

Protección frente a código dañino

Disponer de mecanismos de prevención y detección frente a código dañino (virus, ransomware, spyware, troyanos…) en los sistemas de…

Gestión de incidentes

Un proceso integral de gestión de incidentes: detección, registro, clasificación por gravedad, respuesta, recuperación y lecciones…

Registro de la actividad

Registrar las actividades de los usuarios y de los sistemas —quién, cuándo, sobre qué y con qué resultado— de forma que pueda reco…

Registro de la gestión de incidentes

Registrar todas las actuaciones de la gestión de incidentes (op.exp.7): el reporte inicial, las actuaciones de emergencia, la evol…

Protección de claves criptográficas

Proteger las claves criptográficas durante todo su ciclo de vida: generación en condiciones seguras, transporte al punto de uso, c…

Contratación y acuerdos de nivel de servicio

Que la contratación de servicios de terceros que soportan el sistema incorpore, antes de la utilización, las características de se…

Gestión diaria

Establecer la gestión rutinaria de los servicios contratados: quién sigue el servicio por parte de tu organización, con qué indica…

Protección de la cadena de suministro

Gestionar los riesgos de la cadena de suministro: saber de quién dependes (también indirectamente), exigir garantías proporcionale…

Interconexión de sistemas

Que toda interconexión con sistemas de otras organizaciones (o entre ámbitos de seguridad distintos) esté autorizada y documentada…

Protección de servicios en la nube

Que los servicios en la nube que soportan sistemas del alcance se utilicen con garantías de seguridad adecuadas: condiciones de se…

Análisis de impacto

Realizar un análisis de impacto que identifique los servicios esenciales del sistema y determine, para cada uno, los requisitos de…

Plan de continuidad

Un plan de continuidad orientado a asegurar la disponibilidad del servicio: partiendo del análisis de impacto (op.cont.1), estable…

Pruebas periódicas

Realizar pruebas periódicas del plan de continuidad (op.cont.2): desde ejercicios de mesa que repasan roles y decisiones hasta pru…

Medios alternativos

Disponer de medios alternativos preparados para los recursos esenciales del sistema: instalaciones alternativas donde operar, equi…

Detección de intrusión

Disponer de herramientas de detección o prevención de intrusión que vigilen el sistema: detección en red o en los propios equipos …

Sistema de métricas

Recopilar indicadores de seguridad del sistema: grado de implantación de las medidas del Anexo II, eficacia y eficiencia de la seg…

Vigilancia

Mantener una vigilancia continua del sistema: los eventos de seguridad (registros de op.exp.8, alertas de op.mon.1) se recopilan y…

Áreas separadas y con control de acceso

Ubicar el equipamiento en áreas separadas y dedicadas (CPD, sala técnica, armarios rack cerrados) con control de acceso físico: so…

Identificación de las personas

Que el acceso a las áreas técnicas quede ligado a personas identificadas: acceso nominativo (tarjeta personal, biometría, registro…

Acondicionamiento de los locales

Que las áreas técnicas reúnan condiciones adecuadas de funcionamiento: climatización acorde al equipamiento (temperatura y humedad…

Energía eléctrica

Proteger el equipamiento frente a fallos del suministro: alimentación protegida (SAI/UPS) que aguante los cortes breves y permita,…

Protección frente a incendios

Proteger los locales del equipamiento frente al riesgo de incendio: detección (humo/temperatura) que avise a tiempo y medios de ex…

Protección frente a inundaciones

Proteger los locales del equipamiento frente a incidentes por agua: evitar ubicaciones de riesgo (sótanos inundables, bajo cubiert…

Registro de entrada y salida de equipamiento

Llevar un registro de entradas y salidas de equipamiento de las áreas técnicas: identificación del equipo, persona que lo transpor…

Caracterización del puesto de trabajo

Definir, para cada puesto que toca el sistema, sus responsabilidades de seguridad: qué protege, qué accesos conlleva, qué normas e…

Deberes y obligaciones

Informar a cada persona de sus deberes y responsabilidades de seguridad en su puesto: qué debe hacer y qué no (ligado a la normati…

Concienciación

Acciones periódicas de concienciación en seguridad para todo el personal: recordar la normativa vigente y las buenas prácticas, lo…

Formación

Formar regularmente al personal en las materias que su puesto requiere para operar los sistemas con seguridad: configuración y adm…

Puesto de trabajo despejado

Que el puesto de trabajo esté despejado: sin más material a la vista que el que exige la actividad del momento, y el material sens…

Bloqueo de puesto de trabajo

Configurar el bloqueo automático por inactividad en los puestos de trabajo, con reactivación solo mediante nueva autenticación; el…

Protección de dispositivos portátiles

Tratar los dispositivos portátiles como lo que son — sistema fuera del perímetro: inventario con responsable por dispositivo, cifr…

Otros dispositivos conectados a la red

Someter a control los dispositivos conectados que no son puestos de trabajo: impresoras multifunción, cámaras, equipos de sala, se…

Perímetro seguro

Disponer de un sistema de protección perimetral entre el sistema y las redes externas o no confiables: cortafuegos (físico, virtua…

Protección de la confidencialidad (comunicaciones)

Proteger la confidencialidad de la información transmitida: emplear cifrado en las comunicaciones que transporten información del …

Protección de la integridad y de la autenticidad

Proteger la integridad de la información en tránsito (que nadie la altere sin que se note) y la autenticidad de los extremos (que …

Separación de flujos de información en la red

Dividir la red en segmentos según función y nivel de seguridad — usuarios, servidores, administración, dispositivos (mp.eq.4), inv…

Marcado de soportes

Que los soportes de información — discos externos, USB, cintas de backup, soportes ópticos, incluso cajas de papel — estén marcado…

Criptografía

Aplicar cifrado a los soportes de información en función de la calificación de lo que contienen — con exigencia clara para los dis…

Custodia

Garantizar el debido cuidado de los soportes mientras están almacenados: ubicación con acceso restringido acorde al nivel de la in…

Transporte

Que los soportes en tránsito viajen protegidos según su nivel: cifrado del contenido (mp.si.2) como primera línea, porteador conoc…

Borrado y destrucción

Aplicar borrado seguro antes de reutilizar un soporte para otro uso o usuario, y destrucción (física o borrado criptográfico verif…

Desarrollo de aplicaciones

Que el desarrollo de aplicaciones se realice con la seguridad integrada en el ciclo de vida: metodología de desarrollo seguro, sep…

Aceptación y puesta en servicio

Que ningún software entre en producción sin superar una aceptación previa: pruebas de funcionamiento y de seguridad definidas ante…

Datos personales

Cuando el sistema trata datos personales, aplicar lo que dispone la normativa de protección de datos (RGPD y LOPDGDD): las medidas…

Calificación de la información

Establecer una calificación de la información: los tipos de información que maneja el sistema, el nivel de seguridad que requiere …

Firma electrónica

Emplear firma electrónica como mecanismo para garantizar la autenticidad e integridad de la información que lo requiera: definir q…

Sellos de tiempo

Aplicar sellos de tiempo a la información cuya existencia o firma en un momento dado deba poder demostrarse frente a terceros: reg…

Limpieza de documentos

Retirar de los documentos, antes de publicarlos o remitirlos a terceros, la información que no deba salir: metadatos (autor, organ…

Copias de seguridad

Realizar copias de seguridad que permitan recuperar la información ante su pérdida o alteración, con una periodicidad acorde a las…

Protección del correo electrónico

Proteger el servicio de correo electrónico en ambos sentidos: frente a la suplantación de tu dominio (SPF, DKIM y DMARC publicados…

Protección de servicios y aplicaciones web

Proteger los servicios y aplicaciones web frente a las amenazas propias del medio: las vulnerabilidades típicas (inyección, XSS, a…

Protección de la navegación web

Proteger la navegación web de los usuarios del sistema: navegadores actualizados y con configuración gestionada (extensiones contr…

Protección frente a la denegación de servicio

Establecer prevención frente a ataques de denegación de servicio: capacidad y arquitectura que aguanten picos (op.pl.4), tecnologí…