El 29 de enero de 2010 se publicó en el BOE el R.D. 3/2010 con el objeto de establecer un marco legal para la Seguridad de la Información en la Administración Pública en el proceso de digitalización que se estaba llevando a cabo. Desde un primer momento la Universidad de Murcia, siempre concienciada en estos temas, inicio el proceso de adecuación a dicho marco legal. Como primer hito importante hay que destacar la aprobación por Consejo de Gobierno de la primera Política de Seguridad el 2 de marzo de 2012.
A partir de este momento se iniciaron los pasos necesarios para la adecuación al ENS de manera formal modificando la Política de Seguridad el 16 de noviembre de 2018 y realizando diversas auditorias para certificar el cumplimiento.
Este proceso concluyó el 2 de marzo de 2020 con la obtención de las certificaciones correspondiente de cumplimiento del ENS por parte de la Universidad de Murcia, siendo la cuarta universidad tras universidades de Madrid, Sevilla y Valencia. El 13 de febrero de 2022 volvieron a renovarse dichas certificaciones.
El 4 de mayo de 2022 se publica el R.D. 311/2022, que deroga el anterior, donde se contemplan actuaciones para proteger nuevas infraestructuras y servicios, como la utilización de servicios en la nube, teletrabajo, etc., ante nuevas amenazas y futuros retos de seguridad. Ante esta nueva legislación la Universidad de Murcia está dando los pasos necesarios para estar en vanguardia de la Seguridad de la Información frente a los nuevos retos de la digitalización de la Administración Pública española.
El Real Decreto 311/2022, de 3 de mayo (BOE de 106 de 4 de mayo de 2022), regula el Esquema Nacional de Seguridad (en adelante ENS) en el ámbito de la Administración Pública Española. Dicho Esquema, según lo dispuesto en las leyes 39/2015 y 40/2015, de 1 de octubre de 2015, de Procedimiento Administrativo y Régimen Jurídico de las administraciones públicas, tiene por objeto establecer las políticas de seguridad en la utilización de medios electrónicos y los principios básicos y requisitos mínimos que permitan una protección adecuada de la información.
La finalidad del ENS es crear las condiciones necesarias para la confianza por parte de los ciudadanos en el uso de los medios electrónicos a través de medidas oportunas que garanticen la seguridad de los sistemas, datos, comunicaciones, y servicios electrónicos que permiten el ejercicio de derechos y el cumplimiento de deberes a través de estos medios. Persigue fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control y sin que la información pueda llegar al conocimiento de personas no autorizadas.
La implantación del ENS en una administración se basa en el cumplimiento de unos principios básicos y requisitos mínimos, así como la implantación de medidas de seguridad (o salvaguardas) indicadas en el anexo II del R.D. 311/2022. Entre sus principios básicos destacan dos aspectos; la Seguridad de la Información como un proceso integral y que la gestión de la seguridad se debe basar en riesgos y la reevaluación periódica de éstos. Entre los requisitos mínimos hay que reseñar la seguridad por defecto y la realización de análisis de riesgos para conocer las vulnerabilidades de los sistemas.
Las medidas de seguridad están divididas en tres grandes grupos:
-
Marco organizativo [ORG]. Medidas relacionadas con la organización global de la seguridad.
-
Marco operacional [OP]. Medidas para proteger la operación de los sistemas de información.
-
Medidas de protección [MP]. Medidas de protección sobre activos concretos.
Dentro del Sector Público es ineludible la responsabilidad de mantener la conformidad con el esquema nacional de seguridad (ENS) de los sistemas de información que soportan la Administración Electrónica en el ámbito de las universidades públicas.
En este sentido la conformidad con el ENS afecta a:
-
Establecimiento de un sistema de gestión integral de la Seguridad de la Información.
-
Definición de una Política de Seguridad de la Información y normativa que la desarrolle.
-
Establecimiento de controles de seguridad en el ciclo de vida de los sistemas de información.
-
Realización de auditorías periódicas para garantizar la actualización permanente de los elementos que integran los sistemas de información cubiertos por el ENS.
-
Registros electrónicos, así como al acceso electrónico de los ciudadanos a estos y a los servicios que proporcionan.
