La biometría se ha convertido en “casus belli” para los reguladores en materia de protección de datos personales, ignorando las medidas de seguridad aplicables para conseguir riesgos residuales aceptables. LA CADENA DE MANDO La última batalla fue librada en noviembre de 2023 por la Agencia Española de Protección de Datos (AEPD en adelante) en su…
Leer más
ESTUDIO DE LAS AFECTACIONES NORMATIVAS La Unidad Administrativa (UAD) que promueve la licitación debe realizar un estudio previo a la redacción de los pliegos donde se determine la afectación del objeto de la licitación en materia de tratamientos de datos personales y/o cuestiones de seguridad dentro del alcance del Esquema Nacional de Seguridad (ENS). En…
Leer más
CATÁLOGO DE PRODUCTOS Y SERVICIOS DE SEGURIDAD CERTIFICADOS Las entidades públicas licitadoras disponen de la “Guía de Seguridad de las TIC – CCN-STIC 105 -Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación” (CPSTIC en adelante), la cual contiene la relación a su fecha de publicación de los…
Leer más
La contratación pública de productos y servicios afectados por el Esquema Nacional de Seguridad (Real Decreto 311/2022 de 3 de mayo, ENS en adelante) está generando situaciones rocambolescas, impugnaciones de concursos y una inseguridad manifiesta para licitadores y licitantes. LAS EMPRESAS PRIVADAS Y EL ENS DENTRO DEL ENS En el artículo 2-Ámbito de aplicación del…
Leer más
Los continuos ataques informáticos exitosos que están sufriendo entidades públicas y privadas que disponían de certificaciones en materia de seguridad para sus sistemas de información cuestionan la confianza en dichas certificaciones. CONFIANZA EN LA SEGURIDAD La “necesidad de confianza” en la seguridad de la información y los servicios ha conllevado la creación de normativas y…
Leer más
Open Worldwide Application Security Project (OWASP) es una fundación sin ánimo de lucro que trabaja para mejorar la seguridad del software. Sus diferentes proyectos aportan una amplia cantidad de criterios y utilidades de verificación, hasta el punto de convertirse en una plataforma de conocimiento universalmente aceptada como estándar para AppSec. CONTEXTO El desarrollo de aplicaciones…
Leer más
Abordamos una nueva temporada analizando la metodología MAGERIT V3 para el desarrollo del proceso de análisis y gestión de riesgos, así como PILAR, plataforma de automatización del proceso que, con sus fans y haters, aporta un alto valor añadido y ayudas automatizadas al modelado de todos los acores y a los cálculos relacionados. Yo soy…
Leer más
Para finalizar la temporada actual vamos a exponer los problemas relacionados con las estructuras organizativas requeridas por el Esquema Nacional de Seguridad (Real Decreto 311/2022, ENS en adelante), ya que contemplan una serie de roles que, en la Administración Local, son complicados de implementar por la endémica escasez de recursos. ¿QUÉ REQUIERE EL ENS? Nivel…
Leer más
La certificación de productos y servicios bajo el Esquema Nacional de Seguridad (Real Decreto 311/2022, ENS en adelante) genera, en el caso de las aplicaciones informáticas, unas casuísticas particulares y, en algunos casos, problemáticas. SEGURIDAD ACREDITABLE La medición de la seguridad de la información y los servicios es fundamental para que cualquier organización, pública o…
Leer más
El RGPD y la LOPDGDD requieren una serie de actividades similares a las que se deben realizar en la implementación de un Sistema de Gestión de la Seguridad de la Información (SGSI en adelante) pero, en la práctica, no es habitual su integración. ESCENARIO NORMATIVO Los requerimientos en materia de seguridad de la información están…
Leer más