Duda ENS

[RACHEL]

Buenos días,

me ha surgido una duda respecto a las medidas de seguridad a aplicar. En el anexo II del RD cuando indica que una medida se aplica por ejemplo si ICAT[medio], ¿dicha medida se aplica si todas las dimensiones indicadas alcanzan el nivel medio, o basta con que alguna de ellas lo cumplan?

Muchas gracias!

[secanella]

Buenos días.

Cada dimensión de seguridad se mide de forma independiente. Es decir, la confidencialidad puede ser de nivel BAJO y la disponibilidad de nivel MEDIO, y a cada dimensión se le aplican sus medidas.

Otra cosa es la categoría del sistema, un sistema de información será de categoría ALTA si alguna de sus dimensiones de seguridad alcanza el nivel ALTO.

UN saludo.

[vfrades]

Las medidas de seguridad pueden afectar a una serie de dimensiones de seguridad concreta o a todas. Si afecta a todas, es lo mismo que decir que se tiene en cuenta la categoría del sistema (la categoría es el nivel de seguridad más alto que se requiera en las distintas dimensiones de seguridad). En el caso que planteas (una medida de seguridad de nivel medio para las dimensiones ICAT), la medida tendría que aplicarse cuando al menos una de las dimensiones ICAT requiera un nivel de seguridad medio o alto.

[RACHEL]

Vale, entonces se le aplica una medida de seguridad cuando afecte a alguna de las dimensiones afectadas, no hace falta que afecte a todas las que pone.

Gracias

[bridget]

Hola, en el Anexo II, apartado 2 del ENS te indica a la izquierda a qué dimensión afecta una medida en función de la categorización del sistema. Así por ejemplo, Supongamos que un Sistema tiene una categoría ALTA.

Así pues la medida por ejemplo mp.if.9 (Instalaciones alternativas) la afectaría pero sólo a la dimensión de Disponibilidad.

Pero por ejemplo la medida op.exp.3 (Gestión de la configuración) afectaría a las 5 dimensiones consideradas porque a la izquierda pone la palabra "categoría" que quiere decir que todas están afectada.

El cuadrito del Anexo II es un rollo si hay que aprenderlo pero consultarlo es bastante fácil.

Por cierto, para más aclaración en el portal del CCN están todas las guías 800 que proporcionan más información. En particular tenéis una versión del ENS consultable en html muy práctica:

https://www.ccn-cert.cni.es/publico/ens/ens/