Esquema Nacional de Seguridad
Adapte su empresa al ENS y siga trabajando con la Administración
Si presta servicios a la Administración Pública, como la Junta de Andalucía, el ENS ya no es una recomendación sino un requisito. Le acompañamos desde el análisis hasta la auditoría de conformidad.
¿Qué es el Esquema Nacional de Seguridad?
El ENS es el marco que establece cómo deben proteger la información y los servicios las administraciones públicas y las empresas que trabajan para ellas. Se aplica a los sistemas que tratan información o prestan servicios al sector público.
Cumplirlo exige categorizar los sistemas según su nivel de riesgo, aplicar las medidas de seguridad correspondientes y superar una auditoría o autoevaluación, según la categoría.
- Categoría básica, media o alta, según el impacto de un incidente.
- Medidas de seguridad organizativas, operacionales y de protección.
- Auditoría o autoevaluación de conformidad y declaración de conformidad.
¿Le resulta familiar?
- Una licitación pública le exige la conformidad con el ENS.
- La Junta u otra administración le pide acreditar su seguridad.
- No sabe qué categoría le corresponde a sus sistemas.
- Ya tiene ISO 27001 y quiere aprovecharla para el ENS.
- Sus subcontratistas también deben cumplir y no sabe cómo exigírselo.
- Su documentación de seguridad está incompleta o desactualizada.
Qué hacemos
Análisis y categorización
Identificamos los sistemas afectados y su categoría.
Análisis de riesgos
Evaluamos las amenazas y el impacto sobre la información y los servicios.
Medidas de seguridad
Implantamos las medidas técnicas y organizativas que exige su categoría.
Documentación
Política de seguridad, normativa, procedimientos y declaración de aplicabilidad.
Entidades públicas
Adecuación al ENS para ayuntamientos y entidades locales.
Ejemplo práctico
Empresa de servicios que presta soporte a un organismo autonómico
De no saber por dónde empezar a una declaración de conformidad
La situación
El organismo le comunicó que debía acreditar la conformidad con el ENS para renovar el contrato, y la empresa no tenía documentación de seguridad.
Qué hicimos
Categorizamos los sistemas, hicimos el análisis de riesgos, implantamos las medidas pendientes, redactamos la documentación y realizamos una auditoría interna previa.
El resultado
La empresa obtuvo su declaración de conformidad y pudo presentarse a la renovación del contrato con garantías.
Caso ilustrativo: describe un proyecto tipo con datos anonimizados y orientativos. Por confidencialidad no publicamos datos de nuestros clientes.
Cómo trabajamos
1
Diagnóstico
Qué sistemas están afectados, qué categoría tienen y qué falta.
2
Plan de adecuación
Medidas, documentación, plazos y presupuesto.
3
Implantación
Aplicamos las medidas y formamos a su equipo.
4
Conformidad
Auditoría interna y acompañamiento en la auditoría o autoevaluación.
Preguntas frecuentes
¿Mi empresa tiene que cumplir el ENS?
Si presta servicios o trata información para una administración pública, lo habitual es que sí, al menos en los sistemas afectados por ese servicio.
¿Qué diferencia hay entre ENS e ISO 27001?
El ENS es obligatorio para el sector público y sus proveedores; la ISO 27001 es voluntaria e internacional. Comparten muchas medidas y se pueden abordar juntas.
¿Qué categorías tiene el ENS?
Básica, media y alta, según el impacto que tendría un incidente en la información o el servicio.
¿Cuánto tarda la adecuación?
Depende de la categoría y del punto de partida. Tras el diagnóstico le damos un plan con plazos.
¿Ustedes certifican el ENS?
La certificación la emite una entidad acreditada. Nosotros preparamos a su empresa y realizamos la auditoría interna previa.
¿Le piden el ENS para un contrato público?
Le decimos qué categoría le corresponde y qué le falta para cumplir.
