El pasado 3 de abril, finalmente el BOE (Boletín Oficial del Estado) publicaba tras su resolución del día 27 de marzo 2018, la Instrucción Técnica de Seguridad de Auditoría de la Seguridad de los Sistemas de Información (ITS), a propuesta de la Comisión Sectorial de Administración Electrónica y a iniciativa del Centro Criptológico Nacional “CCN-CERT”, entrando en vigor el 4 de abril.

Instrucciones Técnicas de Seguridad

La ITS tiene como objeto establecer las condiciones para la realización de las auditorías, ordinarias o extraordinarias, reflejadas en el artículo 34 del Real Decreto 3/2010 del 8 de enero, que establece la política de seguridad en la utilización de medios electrónicos, por el que se regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la Administración Electrónica.

Por lo que, la instrucción determina el desarrollo de estas auditorias, atendiendo a las normas nacionales e internacionales sobre auditoría de sistemas de información, entre ellas:

• Las guías CCN- STIC 802 Guía de auditoría
• CCN-STIC 804 Guía de Implantación
• CCN-STIC 808 Verificación del cumplimiento de las medidas en el ENS

Características

Estas auditorías de seguridad son procesos sistemáticos, independientes y documentados, para la obtención de evidencias y  evaluación, con el fin de determinar el grado de conformidad y que los responsables puedan subsanar deficiencias y/o obtener el Certificado de Conformidad. Algunas particularidades son:

• El alcance y objetivo deberán estar claramente definidos y documentados.
• La entidad titular del sistema de información a auditar, facilitará a la Entidad Certificadora toda la información.
• El equipo auditor tiene el derecho de requerir y obtener las evidencias pertinentes para verificar los criterios de auditoría.
• Las tareas de auditoría no incluirán la ejecución de acciones que puedan ser consideradas actividades de consultoría.

Certificados de Conformidad

Para obtener la Certificación de Conformidad con el ENS, los sistemas de información de categorías MEDIA o ALTA deberán superar una Auditoría de Seguridad, al menos cada dos años, aunque nada impide que un sistema de categoría BÁSICA se someta a una.

Hallazgos

Los hallazgos de no conformidad se clasifican en distintos grados:

• No Conformidad Menor: Ocurre ante la ausencia o el fallo en la implantación o mantenimiento de uno o más de los requisitos del ENS.
• No Conformidad Mayor: Se da cuando se detecten “No Conformidades Menores” en relación con cualquiera de los preceptos contenidos en el RD 3/2010, o en el Marco organizativo, que puedan implicar el incumplimiento del objetivo del Grupo o Subgrupo que se han tenido en cuenta.

Dictamen

Tras la auditar los sistemas, el resultado puede ser:

• Favorable: Cuando no se encuentre ninguna “No Conformidad”.
• Favorable con No Conformidades: Cuando se evidencie cualquier no conformidad, mayor o menor. En este caso se deberá presentar, en el plazo máximo de un mes, un Plan de Acciones Correctivas.
• Desfavorables: Cuando por la cantidad o gravedad de las “no conformidades” detectadas, no sólo se debe presentar el Plan de Acciones Correctivas, si no que, además se debe realizar una auditoría extraordinaria para la verificación de las correcciones.

El informe una vez establecidos los hallazgos y el dictamen tiene que especificar la información relevante y suficiente para justificar dicha decisión de certificación. Estos datos podrán ser requeridos por el CCN-CERT, en los términos previstos en el artículo 37 del ENS.

Disposiciones Adicionales

Protección de Datos

Algunos de los sistemas que deben de ser revisados por los auditores, incluyen tratamiento de datos personales, por lo que se tendrá en cuenta la LOPD, Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.

Cabe recordar, que a partir del 25 de mayo de 2018, se tendrá en cuenta el Reglamento del Parlamento Europeo y del Consejo, de 27 de abril de 2016, (RGPD). A partir de dicha fecha, se informará al Delegado de Protección de Datos (DPD) en calidad de responsable de la supervisión del cumplimiento del RGPD.

Entidades Auditoras del Sector Público

La Instrucción Técnica de Seguridad también engloba en su aplicación a las actividades de auditoría y a la emisión de los informes que se realicen por entidades, órganos, organismos y unidades vinculadas o dependientes de las Administraciones Públicas, cuyas competencias se correspondan con el desarrollo de auditorías de sistemas de información.