La gestión de la seguridad de los tratamientos

• Author: Fernando Mata Leonor
• Profession: Licenciado en Derecho
• Pages: 421-438

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

TÉCNICAS PARA GARANTIZAR EL CUMPLIMIENTO DE LA NORMATIVA DE PROTECCIÓN DE DATOS

CAPÍTULO 3.3

421

La gestión de la seguridad

de los tratamientos

3.3.1. Esquema Nacional de Seguridad, ISO/

IEC 27001:2013 (UNE ISO/IEC 27001:2014:

Requisitos de Sistemas de Gestión de

Seguridad de la Información, SGSI)

Real Decreto 311/2022, de 3 de mayo, por el que se

regula el Esquema Nacional de Seguridad

Esquema Nacional de Seguridad

El ENS surge para dar respuesta al artículo 42.2 de la Ley 11/2007,

de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Pú-

blicos, que ha sido derogada el 2 de octubre de 2016 por la Ley 39/2015, de

1 de octubre, del Procedimiento Administrativo Común de las Administra-

ciones Públicas (LPACAP), que la sustituye junto a la Ley 40/2015, de 1 de

octubre, de Régimen Jurídico del Sector Público (LRJSP).

Objetivos.

ENS ART. 1

El objetivo del ENS es determinar la política de seguridad que se ha

de aplicar en la utilización de los medios electrónicos para prestar servicios

públicos a la ciudadanía. Pretende asegurar el acceso, integridad, disponi-

bilidad, autenticidad, condencialidad, trazabilidad y conservación de los

COLECCIÓN MONOGRAFÍAS | PROTECCIÓN DE DATOS PERSONALES

PRONTUARIO DEL DELEGADO DE PROTECCIÓN DE DATOS GUÍA PARA LA CERTIFICACIÓN ENAC-AEPD

FERNANDO MATA LEONOR

422

datos, informaciones y servicios utilizados en medios electrónicos que ges-

tionen las Administraciones públicas y empresas vinculadas en el ejercicio

de sus competencias.

Como los diferentes servicios y la información que tratan se susten-

tan en sistemas de información, para cada uno de ellos debe denirse una

categoría que dependerá de la valoración, en cada una de las cinco dimen-

siones de la seguridad, (las cinco dimensiones de la seguridad del ENS son

condencialidad, integridad, disponibilidad, autenticidad y trazabilidad),

de los sistemas e información soportados.

Se denen en total tres categorías: BÁSICA, MEDIA Y ALTA, que

repercutirán en las medidas de seguridad que se deben aplicar para cum-

plir con sus disposiciones. Se dispone en el “Anexo II” del 311/2022 de

un numerus clausus o catálogo cerrado de 75 medidas de seguridad cuyo

nivel de exigencia está graduada en función de la categorización del sistema,

pudiendo llegar incluso una medida a ser únicamente aplicable para deter-

minada categoría. Cuáles de las 75 medidas se aplican y cómo se detalla en

un documento conocido como Declaración de Aplicabilidad (SOA –por

sus siglas en inglés–).

Para categorías media y alta, debe constituirse un sistema de gestión

de la seguridad de la información que garantice su ecacia y eciencia en

base a la mejora continua del conjunto, acorde con el concepto de seguridad

gestionada, por encima de meras soluciones tecnológicas.

Adicionalmente la seguridad gestionada, como no podía ser de otra

manera, se basará en identicar, analizar, evaluar y tratar los riesgos inacep-

tables para su mitigación desde los valores iniciales hasta los valores resi-

duales aceptables para la seguridad de los servicios y la información tratada

dentro del alcance. Para ello la Gestión de Riesgos será un pilar fundamen-

tal para garantizar la seguridad de los sistemas.