Adecuación al ENS de la plataforma e-administración del Gobierno Vasco. (Roles de Seguridad)

Transcripción

1 Adecuación al ENS de la plataforma e-administración del Gobierno Vasco (Roles de Seguridad) Madrid, 10 de diciembre de 2014

2 2 Modelo Competencial TIC en el GV Gobierno Abierto Atención a la Ciudadanía, e Innovación y Mejora de la Admón. Emprendimiento, Innovación y Sociedad Información Informática y Telecomunicacio nes

3 3 Ámbitos del Sector Público Euskal Sarea AGE UE Red Corporativa GV Red Policial Red Judicial Red Educativa Sociedades Públicas Entes Públicos (Sanidad)

4 4 Ámbito del Plan: Red Corporativa Departamentos Presidencia del Gobierno Administración Pública y Justicia Desarrollo Económico y Competitividad Empleo y Políticas Sociales Hacienda y Finanzas Educación, Política Lingüística y Cultura Seguridad Salud Medio Ambiente y Política Territorial Organismos Autónomos Lanbide IVAP HABE EUSTAT Emakunde OSALAN Kontsumobide Autoridad V. de la Competencia

5 Excluidos: otras redes Redes sectoriales Administración institucional Seguridad Policía Academia Educación, Política Lingüística y Cultura Centros Públicos Administración Pública y Justicia Centros judiciales Salud Centros sanitarios Entes Públicos Derecho Privado Sociedades Públicas Agencias Parlamento 5

6 6 La administración electrónica en el GV PIT PIT PEAGE PIT PEAGE PIP lotes: Oficina Técnica, Gestión documental, Presencia en Internet, Tramitación electrónica y CRM

7 7 Antecedentes (Legislación, orden cronológico) Ley 11/2007, de 22 de junio: LAECSP Decreto 232/2007, de 18 de diciembre: Medios EIT Real Decreto 3/2010, de 8 de enero: ENS Real Decreto 4/2010, de 8 de enero: ENI Orden de 26 de febrero de 2010: Manual de Seguridad PLATEA Decreto 21/2012, de 21 de febrero, de Administración Electrónica

8 8 Decreto 21/2012 Se regula: la sede electrónica el tablón electrónico de anuncios la identificación y autenticación de la ciudadanía y de la Administración, el registro electrónico de representantes el registro electrónico las comunicaciones electrónicas los documentos electrónicos y su conservación 09 de marzo de Administración General de la CAE (Departamentos) y Organismos Autónomos 2. Resto de entidades de derecho público 3. Entes Públicos de Derecho Privado e integrantes del Sector Público de la CAE 4. Personas físicas, jurídicas y entes sin personalidad (en sus relaciones con el derecho público)

9 9 Decreto MEIT, Art. 31 MS PLATEA El Manual de Seguridad para la elaboración de las aplicaciones informáticas que sirvan de soporte a la tramitación telemática Orden de 26 de febrero de 2010, de la Consejera de Justicia y Administración Pública

10 MS PLATEA 10

11 MS PLATEA Política de seguridad Declaración de alto nivel de objetivos, directrices y compromiso de la Administración General de la CAPV y sus Organismos Autónomos para acometer la gestión de seguridad de la información en los medios electrónicos, informáticos y telemáticos utilizados en la prestación de servicios públicos Desarrollo normativo Medidas de seguridad de obligado cumplimiento. Es un compendio del conjunto de normas que soportan los objetivos recogidos en la política de seguridad de la información

12 12 MS PLATEA conjunto ordenado y numerado de medidas de seguridad nivel con código de color

13 13 Cumplimiento del ENS 1ª Fase (año 2010) 2ª Fase Análisis Planificación Ejecución fecha límite: enero 2014

14 14 Nuestro enfoque de Adecuación 1ª Fase 2ª Fase LAECS P (BOE, 23/06/07) ENS (BOE, 29/01/10) Elaboración del Plan de adecuación al ENS y al MS PLATEA Ejecución del Plan de adecuación al ENS y al MS PLATEA Decreto MEIT (BOPV, 31/01/08) MS Platea (BOPV, 21/04/10)

15 15 Categorización de PLATEA A (modelo de valor herramienta PILAR) Dimensiones (garantías) D isponibilidad I ntegridad de los datos C onfidencialidad de los datos utenticidad de los usuarios y de la información T razabilidad del servicio y de los datos Dominios de seguridad Base (activos) Internet Servicios Aplicaciones Infraestructuras Equipos Aplicaciones Infraestructuras internas

16 16 Proceso de Categorización P rograma I nformático y L ógico para el A nálisis de R iesgos Activos (información o servicio): Capa Servicios Servicios Dptos. y OO.AA. Capa Personal Funcionarios GV Capa Platea Presencia en Internet Tramitación Capa Infraestructuras Máquinas PLATEA Capa Sedes Sedes de GV Integración Servicios de PLATEA Personal EJIE Documental Infraestructura de red Sedes de EJIE Pasarela de Pagos

17 17 Gestión de Riesgos V4.4.2 [D]isponibilidad [I]ntegridad [C]onfidencialidad [A]utenticidad [T]razabilidad Activos Capa Servicios Servicios Dptos. y OO.AA. Capa Personal Capa Platea Capa Infraestructuras Capa Sedes Categorizació n

18 Amenazas y riesgo potencial 18

19 19 Riesgo asumido (en %) CRÍTICO MUY ALTO ALTO 0,3 4 9,8 69 MEDIO BAJO 85,8 DESPRECIABLE Inicio Objetivo

20 Plan de Adecuación 20

21 21 Resumen 1ª fase Inventario de activos Categorización del sistema Aplicación de las medidas de seguridad correspondientes (análisis diferencial) Declaración de aplicabilidad (en nuestro caso, TODAS) Establecer el Plan de Adecuación al ENS y al MS Platea Ejecutar el Plan de Adecuación La seguridad considerada como un proceso integral Actualizar el Plan de Adecuación Seguimiento del Plan Autoevaluar y auditar el sistema (bienal)

22 22 2ª fase: Desarrollo de medidas Medidas básico medio alto Organizativas: estructura de roles y responsabilidades de seguridad, establecimiento del Comité de Seguridad Operativas y contractuales Técnicas

23 23 Proceso integral: Ciclo de mejora Ejecutar Proceso de Segurida d Actualizar SGSI «GureSek» Seguimien to Autoevaluar y auditar (bienal)

24 24 Situación hoy Obligación legal «Los órganos y entidades de derecho público darán publicidad a la conformidad de sus sistemas respecto al cumplimiento del ENS mediante declaraciones escritas publicadas en las correspondientes sedes electrónicas y situadas en un lugar de fácil acceso para los usuarios» Acuerdo de Consejo de Gobierno por el que se aprueba la estructura organizativa y asignación de roles de seguridad para la Administración Electrónica del Gobierno Vasco

25 25 Responsables De la INFORMACIÓN De los SERVICIOS COMUNES De la SEGURIDAD De los SISTEMAS De la EXPLOTACIÓN de los Sistemas

26 26 Organismos de Coordinación Comité de SEGURIDAD CORPORATIVA Comité TÉCNICO DE SEGURIDAD

27 Organismos de Coordinación: funciones Comité de SEGURIDAD CORPORATIVA Resolver conflictos que puedan aparecer en torno a la seguridad entre los diferentes afectados por la Administración Electrónica Revisar, corregir y aprobar los niveles de seguridad aplicables Crear los órganos de trabajo más apropiados para impulsar el desarrollo de la seguridad

28 Organismos de Coordinación: funciones 1/2 Comité TÉCNICO DE SEGURIDAD Atender necesidades de Departamentos, OO.AA y EJIE en materia de seguridad Administración Electrónica Informar regularmente del estado de la seguridad al comité de SEGURIDAD CORPORATIVA Promover la mejora continua del proceso de gestión de la seguridad Elaborar la estrategia de evolución de la seguridad en el Gobierno Vasco Coordinar esfuerzos Revisar y promover la actualización de la Política de Seguridad y las Normativas de Seguridad Definir requisitos de formación y cualificación

29 Organismos de Coordinación: funciones 2/2 Comité TÉCNICO DE SEGURIDAD Dirigir el análisis y la gestión de riesgos Monitorizar el desempeño de los procesos de gestión de incidentes de seguridad Promover la realización del programa de auditorías de seguridad Priorizar actuaciones en materia de seguridad Aplicar medidas de carácter no técnico Velar por que la seguridad de la información se tenga en cuenta en todos los proyectos TIC Tratar los conflictos que en materia de seguridad puedan aparecer

30 30 Nivel de progreso (diciembre / 2014) 4,75 / 5

31 Eskerrik asko! 31