Decreto Real 311/2022
Adequação ao Esquema Nacional de Segurança (ENS)
Preparamos câmaras municipais, entidades provinciais, universidades, fundações públicas e empresas fornecedoras para cumprirem o ENS e superarem a auditoria de certificação. Fazemo-lo com a experiência de uma empresa que desenvolve software para a Administração Pública e que está certificada no ENS categoria MÉDIA.
- Certificados ENS categoria MÉDIA
- ISO/IEC 27001
Quadro normativo
O que é o Esquema Nacional de Segurança
O Esquema Nacional de Segurança (ENS) é o quadro de segurança da informação obrigatório para o setor público espanhol. É regulado pelo Decreto Real 311/2022, que substituiu o de 2010 e fixou um prazo de vinte e quatro meses, já cumprido, para adaptar os sistemas existentes.
Estabelece princípios básicos, requisitos mínimos e um conjunto de medidas de segurança organizadas em três quadros: organizativo org, operacional op e medidas de proteção mp. As medidas aplicáveis dependem da categoria do sistema, e o Centro Criptológico Nacional (CCN) desenvolve a sua aplicação através de instruções técnicas e dos guias CCN-STIC da série 800.
Para nós, o ENS é, antes de mais, a forma de trabalhar com que desenvolvemos o nosso software à medida e as nossas soluções. É essa experiência que colocamos à disposição da sua organização.
Âmbito de aplicação
Quem está obrigado a cumprir o ENS
O ENS aplica-se a todo o setor público, tal como definido pela Lei espanhola 40/2015, e às entidades privadas cujos sistemas suportam os serviços que prestam à Administração Pública.
Entidades locais
Câmaras municipais, entidades provinciais (diputaciones), cabildos insulares, associações de municípios e respetivos organismos dependentes.
Setor público institucional
Organismos autónomos, consórcios, empresas públicas e fundações do setor público.
Universidades e saúde
Universidades públicas e serviços de saúde, que tratam também dados pessoais especialmente protegidos.
Empresas fornecedoras
Empresas que prestam serviços ou fornecem sistemas de informação a qualquer uma das anteriores.
Categorização
Categorias do ENS: BÁSICA, MÉDIA e ALTA
A categoria obtém-se avaliando o impacto que um incidente teria sobre a informação e os serviços em cinco dimensões de segurança. A categoria do sistema é o nível mais alto atingido em qualquer uma delas.
- CConfidencialidade
- IIntegridade
- TRastreabilidade
- AAutenticidade
- DDisponibilidade
-
BÁSICA
Prejuízo limitado
Um incidente teria um impacto limitado nas funções da organização, nos seus ativos ou nas pessoas afetadas.
Autoavaliação e Declaração de Conformidade (também é possível optar pela certificação).
-
MÉDIA
Prejuízo grave
Um incidente causaria um prejuízo grave. É a categoria em que estamos certificados para o desenvolvimento e a manutenção de aplicações.
Auditoria formal e Certificação de Conformidade emitida por uma entidade acreditada.
-
ALTA
Prejuízo muito grave
Um incidente causaria um prejuízo muito grave, por exemplo em serviços críticos ou com informação especialmente sensível.
Auditoria formal e Certificação de Conformidade emitida por uma entidade acreditada.
Metodologia
Fases da adequação ao ENS
Um projeto por fases, com um entregável concreto em cada uma e dimensionado à medida da sua organização: uma câmara municipal pequena não precisa do mesmo que uma entidade provincial.
-
Análise inicial e categorização
Identificamos os serviços e a informação abrangidos, avaliamo-los nas cinco dimensões de segurança e determinamos a categoria de cada sistema. Medimos a distância entre a situação atual e o que o ENS exige.
Entregável: Relatório de diagnóstico e documento de avaliação e categorização.
-
Análise de riscos
Inventariamos os ativos, as ameaças e as salvaguardas existentes segundo a metodologia MAGERIT e calculamos o risco residual para decidir o que é preciso reforçar.
Entregável: Análise de riscos e plano de tratamento.
-
Declaração de aplicabilidade
Selecionamos as medidas do Anexo II que correspondem à categoria, justificamos as que não se aplicam e documentamos as medidas compensatórias quando são necessárias.
Entregável: Declaração de aplicabilidade, assinada pelo responsável pela segurança.
-
Política, organização e normativa
Redigimos a política de segurança aprovada pelo órgão superior, definimos as funções (responsáveis pela informação, pelo serviço, pela segurança e pelo sistema) e elaboramos a normativa e os procedimentos.
Entregável: Política de segurança, normativa e procedimentos operacionais.
-
Implementação de medidas
Priorizamos as medidas pendentes num plano de adequação e acompanhamo-lo na sua implementação, incluindo as medidas técnicas sobre aplicações e sistemas, reunindo as evidências que o auditor irá solicitar.
Entregável: Plano de adequação e registo de evidências.
-
Auditoria e manutenção
Realizamos uma revisão interna prévia, acompanhamo-lo durante a auditoria de certificação e preparamos o plano de ações corretivas. Depois, o sistema é mantido para as auditorias periódicas e o relatório INES.
Entregável: Relatório de revisão interna e plano de ações corretivas.
Contratação pública
O que exigem os cadernos de encargos sobre o ENS
O próprio Decreto Real 311/2022 indica que os cadernos de encargos dos contratos do setor público devem incluir os requisitos necessários para assegurar a conformidade com o ENS dos sistemas da entidade contratada. Na prática, estes são os requisitos mais habituais:
- Certificação de Conformidade com o ENS do adjudicatário, na categoria correspondente ao serviço contratado.
- Um âmbito do certificado que abranja os sistemas que efetivamente suportam o serviço.
- Cumprimento dos requisitos do ENS quando o serviço é prestado na nuvem ou trata informação da entidade.
- Designação de um responsável pela segurança e compromisso de notificação de incidentes.
- ISO/IEC 27001 como requisito ou como critério de avaliação.
Vivemo-lo como fornecedores
Estamos certificados no ENS categoria MÉDIA para os sistemas de informação que suportam o desenvolvimento e a manutenção de aplicações informáticas, e na ISO/IEC 27001. Sabemos o que o auditor verifica e que documentação pede um júri de concurso público, porque a apresentamos nos nossos próprios concursos públicos.
Se a sua empresa concorre a concursos públicos, ajudamo-lo a definir um âmbito do certificado que abranja os serviços que oferece.
Porquê a ATISoluciones
Uma adequação feita por quem desenvolve e mantém sistemas
Aplicamo-lo antes de o oferecer
Trabalhamos todos os dias num sistema certificado no ENS e na ISO/IEC 27001 desde 2020.
Medidas técnicas, não apenas documentos
Somos uma equipa de desenvolvimento: compreendemos as medidas sobre aplicações, acessos, registos e configurações.
Proporcional à sua categoria
Propomos as medidas que a sua categoria exige, sem sobredimensionar o projeto nem o prender a um fabricante.
Perguntas frequentes
Dúvidas habituais sobre a adequação ao ENS
Qual é a diferença entre adequação e certificação ENS?
A adequação é o trabalho de implementar o ENS: categorizar os sistemas, analisar os riscos, aprovar a política e aplicar as medidas. A certificação é a auditoria que, nas categorias MÉDIA e ALTA, é realizada por uma entidade de certificação acreditada e que termina com a Certificação de Conformidade. Nós fazemos a adequação e acompanhamo-lo até à auditoria; a certificação é emitida pela entidade acreditada.
Que categoria do ENS corresponde à minha câmara municipal?
Depende da avaliação da informação e dos serviços incluídos no âmbito, e não da dimensão da entidade. A categoria de cada sistema é o nível mais alto que obtiver em qualquer uma das cinco dimensões de segurança. Por isso, o primeiro passo da adequação é sempre a categorização.
É obrigatório obter a certificação na categoria BÁSICA?
Não. Na categoria BÁSICA basta uma autoavaliação e a Declaração de Conformidade, embora a entidade possa optar pela certificação. Nas categorias MÉDIA e ALTA é necessária uma auditoria formal e a Certificação de Conformidade.
Com que periodicidade é preciso realizar a auditoria do ENS?
Em regime ordinário, pelo menos de dois em dois anos. É também necessária uma auditoria extraordinária quando ocorrem alterações substanciais no sistema que possam afetar as medidas de segurança.
Sou uma empresa fornecedora da Administração Pública. Tenho de cumprir o ENS?
Sim, quando os seus sistemas suportam serviços que presta a entidades do setor público, e os cadernos de encargos costumam exigir a declaração ou a certificação de conformidade. É o nosso próprio caso: desenvolvemos software para a Administração Pública e estamos certificados no ENS categoria MÉDIA. Se, além disso, desenvolve software, veja como trabalhamos em desenvolvimento seguro.
Quanto tempo dura um projeto de adequação ao ENS?
Depende do número de serviços abrangidos, da categoria e do ponto de partida da sua organização. Após o diagnóstico inicial, entregamos-lhe um calendário por fases ajustado ao seu caso.
Em que ponto está a sua organização relativamente ao ENS?
Peça um diagnóstico inicial: analisamos a sua situação e propomos-lhe um plano de adequação por fases.
