Blog sobre gestión de la seguridad de la información, en el que también se habla de continuidad de negocio, gestión de los servicios IT, seguridad informática, gestión de riesgos, ética de la seguridad, y muchos otros temas relacionados. Aquí encontrareis apuntes sobre ISO 9001, ISO 27001, ISO 17799, ISO 20000, ITIL, BS 25999, ... En resumen, todo lo que pueda tener relación con la gestión (en general) y con la seguridad (en particular)
11 septiembre 2009
Avances en el Esquema Nacional de Seguridad
Lento pero seguro. Así suele ser el avance de los temas legislativos, más allá de las peleas políticas que les afectan. Es cierto que hace mucho tiempo que no hablaba del tema, pero en los últimos 2 años el Esquema Nacional de Seguridad ha seguido su avance, poco a poco. Hasta el punto de que, en la página referenciada, ya tenemos una primera propuesta para el Esquema Nacional de Seguridad. ¿Qué os parece? ¿Cuáles son vuestras primeras sensaciones al leerlo? Espero vuestros comentarios.
Visto el borrador del esquema, no deja de ser un SGSI cuasi 27oo2 con los controles reordenados...
ResponderEliminarFija los niveles de seguridad (bajo-medio-alto) pero deja en buena medida a discrecion de la administración de turno decidir que grado aplicar (justificacion sobre el impacto que causa en su actividad muy generica).
En cuanto a plazos me gustaria saber como estarán las administraciones para implantar esto (borrador indica plazo de 1 año como ordinario mas un plazo adicional bajo un plan de adecuación de otro)..o cuanto tiempo estara este borrador en la nevera.
Tampoco se entra en el problemilla de "de donde saldran los recursos para esto?" sobre todo el personal, mas cuando separa roles de gestión y operación en seguridad..
El resumen es...¿algo es algo?
El documento tiene muy buenos cimientos y centra el problema de la seguridad dentro de las AA.PP. En cuanto a filosofía, no se distancia mucho de ISO 27001 y establece como directrices el análisis de riesgos y la evaluación continua de las medidas (algo novedoso respecto a regulaciones anteriores). Toda una muy buena declaración de intenciones que lograría fortalecer la seguridad de las Administraciones Públicas si lograra llevarse a cabo. El problema son obviamente los recursos (económicos para el despliegue de medidas y humanos en cuanto a personal conocedor de la seguridad). Sin embargo, si extrapolamos lo que ocurre con el R.D. 1720/2007 y el cumplimiento de las medidas de seguridad en AA.PP., solo podemos ver en esto un bonito papel mojado porque no queda claro qué ocurre si la normativa se incumple [Ley sin sanción o responsables = papel mojado].
ResponderEliminarEfectivamente, hay varios puntos de mejora... No obstante, también creo que es mejor esto que nada, y que si hay un ente con capacidad de evolución y ampliación en esta sociedad es precisamente una reglamentación jurídica. ¿Quién dice que no puedan aparecer leyes complementarias en un futuro que solventen las deficiencias de la actual? Personalmente, prefiero (por ser más realista) una ley mejorable en presente que una mejor ley futura
ResponderEliminar