Particularidades de MAGERIT en el ENS

En el anexo 1, se especifica claramente que “Cuando un sistema maneje diferentes informaciones y preste diferentes servicios, el nivel del sistema en cada dimensión será el mayor de los establecidos para cada información y cada servicio”.

Esto nos sugiere que empleemos el criterio de dependencias absolutas del modelo cualitativo de MAGERIT, no relativas, al menos para hacer depender un Sistema de activos de tipo información y servicios, mientras que deja libertad para emplear un criterio de dependencias relativas para hacer depender los activos de información y servicios de otros activos que intervienen en el sistema.

Además, nos sugiere que hagamos depender un Sistema directamente de activos de tipo información, cuando lo usual en MAGERIT es hacer depender las funciones de la organización (Aquí SISTEMAS) de los Servicios y procesos, y estos a su vez de activos de tipo información. Mi opinión es que ambas posibilidades serían válidas, eso sí, teniendo en cuenta el criterio anterior de dependencias absolutas.

El análisis de riesgos en el Esquema Nacional de Seguridad

Mucho se ha hablado de las similitudes y convergencias del reciente ENS con la ya madura ISO 27001 y su set de controles ISO27002, si bien al ser un Real Decreto muy joven, existen determinados puntos que requieren un rodaje para consolidarse, ya que pueden inducir al error.

Uno de esos aspectos es el del análisis de Riesgos. Las referencias al mismo en el ENS son las siguientes:

1. Conjunto de medidas a adoptar según Anexo II --> Marco operacional--> op.pl.1

Si la categoría del sistema es:

• BAJA, “Bastará un análisis informal, realizado en lenguaje natural.”.

Hay que puntualizar que para concluir que la categoría del sistema es BAJA, sí hemos debido de realizar un análisis formal inicial que incluya: inventario de activos de tipo información, servicios y sistema, dependencias entre ellos y valoración de los activos información y servicios. Esto serían los requisitos mínimos en el caso de AAPP con Sistemas de Información de categoría BAJA.


• MEDIA, “Se deberá realizar un análisis semi-formal, usando un lenguaje específico, con un catálogo básico de amenazas y una semántica definida”.

No tiene por qué seguirse metodología MAGERIT, y podría ser suficiente con un análisis en tablas de Excel sencillo.

• ALTA, “Se deberá realizar un análisis formal, usando un lenguaje específico, con un fundamento matemático reconocido internacionalmente.”

Se recomienda MAGERIT y se exige un inventario de “vulnerabilidades”, que no es exigido en las categorías anteriores.


2. En el resto de medidas exigibles por el ENS, se toma como referencia el análisis de riesgos para:

 

3. Más allá de los controles:

• En la auditoría obligatoria también debe comprobarse que se realiza el AARR, revisa y aprueba anualmente.
•  En el plan de adecuación se debe incluir el AARR realizado hasta la fecha.
• En la política de Seguridad se debe incluir un apartado donde la organización se compromete a realizar el AARR y atender a sus conclusiones, además de nombrar a los responsables.
• El Análisis de Riesgos será elaborado y validado por el Responsable del Sistema, que puede delegar su elaboración.

Finalmente, existe una guía específica del CCN que explica la metodología a seguir en el Análisis de Riesgos en Sistemas de la Administración (CCN-STIC-410).



En el próximo artículo profundizaremos en algunos aspectos particulares que hay que tener en cuenta al aplicar Magerit como metodología de AARR del ENS.

¿Hacia donde caminan los Sistemas de Gestión en normas ISO?

El mundo de las Normas ISO relacionadas con los Sistemas de Información (ISO20000, ISO27001, BS25999…) ha experimentado un “boom” en la última década, a raíz de la dependencia cada vez mayor de las funciones de Negocio de la organización de los Sistemas de Información.

• El aumento de esta dependencia ha sido espectacular, y habitualmente al no formar parte de la cadena de valor tradicional de la empresa (siempre se han considerado procesos de soporte), han sido excluidos del alcance de las normas ISO tradicionales enfocadas a Gestión (ISO9001, ISO14001…).
• Tal ha sido el contraste de enfoques que los consultores de Sistemas de Gestión tradicionales rara vez han dado el salto a la consultoría en normas tecnológicas, puesto que parecía haber una gran dependencia de éstas de los conocimientos técnicos con una curva de aprendizaje larga.

• A su vez, los consultores informáticos tradicionales, habituados a una auditoría informática muy técnica pero alejada de la gestión de la empresa, han visto la posibilidad de ampliar estas auditorías técnicas a los controles Organizativos, Técnicos, Físicos y Legales de las normas ISO de carácter tecnológico.

• Finalmente, hemos asistido en la última década a la especialización de consultores legales (principalmente abogados) en derecho aplicado a Nuevas Tecnologías de la Información, especialmente en la Ley Orgánica de Protección de Datos y el Real decreto 1720/2007 que la desarrolla. Los aspectos coincidentes con un Sistema de Gestión de la Información han animado a estos últimos a dar el salto como consultores de Información más amplia que “el dato de carácter personal” (más ahora con la aparición reciente del “Esquema Nacional de Seguridad”).

Un esquema de esta evolución se muestra en el gráfico siguiente:

¿Qué nos deparará el futuro?

Parece ser que la empresa no puede ser víctima de estos diferentes enfoques aplicables a todas las materias, con lo que en el plazo razonable que marque el entendimiento y la sinergia entre todos los colectivos que intervienen en la gestión de la empresa, deberán acabar existiendo grupos de consultores que trabajen sincronizados para permitir a las organizaciones gestionar un único Sistema de Gestión Integral, que ayude a la organización a conseguir sus objetivos, y no que se convierta en una amalgama de procedimientos administrativos diversos para dar cumplimiento a todas las normativas vigentes.

Lo que no está aún definido por los organismos internacionales (ISO especialmente) es… ¿Cuál será el estándar que logre unificar los demás Sistemas de Gestión? De momento BSI ya ha tomado la delantera…

“Integrated Management PAS 99”