La seguridad informática y la protección de datos son dos ejes clave para el buen funcionamiento de la contratación electrónica, obligada a partir del próximo 9 de marzo por la ley 9/2017, de 8 de noviembre, de Contratos del Sector Público (LCSP), por la que se transponen al ordenamiento jurídico español las Directivas del Parlamento Europeo y del Consejo 2014/23/UE y 2014/24/UE, de 26 de febrero de 2014.

Sin embargo, para los expertos en Derecho de las nuevas tecnologías, la regulación al respecto es dispersa, como han explicado en el III Congreso Nacional de Contratación Pública Electrónica que finalizaba hoy mismo, Carlos Galán Pascual (doctor en Informática y abogado especialista en Derecho de las TIC), Jorge Fontevila Antolín (jefe de Asesoría Jurídica de la Consejería de Presidencia y Justicia del Gobierno de Cantabria) y Rubén Martínez Gutiérrez (profesor titular de Derecho Administrativo en la Universidad de Alicante).

A juicio de Fondevila, la ley 9/2017 es «asistemática en los contenidos de seguridad, no incluye referencias sobre aspectos como el archivo electrónico o la firma de empleados públicos y tampoco al Esquema Nacional de Seguridad que se aplica a todas las administraciones públicas».

Así lo expresa el profesor Martínez Gutiérrez: «es un error adentrarnos en la Smart City sin tener la administración electrónica y la contratación pública electrónica implantadas porque seguramente se infringen los principios de seguridad».

Sin embargo, las tasas de cumplimiento del Esquema Nacional de Seguridad (ENS) son altas: «casi el 70% de las entidades públicas recogidas en el Informe Nacional del Estado de la Seguridad (INES) están cumpliendo con los requerimientos del ENS», afirma Carlos Galán. No obstante, no solo debe cumplirse con las disposiciones del ENS, sino también evidenciarse mediante la Certificación de Conformidad expedida por una entidad de certificación acreditada.

La seguridad informática y la contratación pública electrónica son indisolubles, ya que cuando hablamos de procesos de contratación pública, además de regirse éstos por la LCSP, también deben regirse por el ENS, como dispone la Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad.

Dicha resolución en su apartado VII señala que cuando los operadores del sector privado presten servicios o provean soluciones a las entidades públicas, a los que resulte exigible el cumplimiento del Esquema Nacional de Seguridad deberán estar en condiciones de exhibir la correspondiente Certificación de Conformidad con el ENS, cuando se trate de sistemas de categorías MEDIA o ALTA, utilizando los mismos procedimientos exigidos para las entidades públicas.

En relación a la confidencialidad y protección de datos, llama la atención el artículo 133.2 LCSP que señala: «El contratista deberá respetar el carácter confidencial de aquella información a la que tenga acceso con ocasión de la ejecución del contrato a la que se le hubiese dado el referido carácter en los pliegos o en el contrato, o que por su propia naturaleza deba ser tratada como tal. Este deber se mantºendrá durante un plazo de cinco años desde el conocimiento de esa información, salvo que los pliegos o el contrato establezcan un plazo mayor que, en todo caso, deberá ser definido y limitado en el tiempo».

La mayoría de normas de seguridad señalan un deber de secreto permanente que perdura incluso después de finalizar la relación contractual. Luego será responsabilidad de cada Administración pública que contrate, establecer en los pliegos o en el contrato particular un plazo mayor de los cinco años establecidos por defecto en la LCSP. Aunque deba limitarse en el tiempo, según el referido artículo, nada impide establecer el deber de secreto en, por ejemplo, 100 años.

En este caso, abordamos la segunda parte de nuestro post con el que pretendemos abordar la problemática específica que se les plantea a las organizaciones pertenecientes al Sector Privado que, de una manera u otra, se encuentran obligadas por las disposiciones del Esquema Nacional de Seguridad (ENS).

Si bien en el primero de los artículos hablábamos del  ámbito de aplicación del ENS (sujetos obligados) y los fundamentos jurídicos, en este caso hablamos del concepto de servicio en el ENS desde la perspectiva del Sector Público.

3.1 El concepto de servicio en el ENS desde la perspectiva del Sector Público
No podemos perder de vista que el objeto del Esquema Nacional de Seguridad es dar cumplimiento a los requisitos de seguridad de los servicios prestados por el Sector Público a la ciudadanía, apoyándose en medios electrónicos, asegurando los sistemas de información en que se apoyan.

En consecuencia, este concepto de “servicio público”, entendido como el servicio en sí, junto a los datos por él tratados, es el que determinará la categoría del sistema que lo soporta o, en otras palabras, del sistema que es requerido para que pueda prestarse el servicio.

Dicho sistema puede ser titularidad de la Administración Pública, serlo únicamente en parte o no serlo en ninguna, por haberse externalizado parcial o totalmente en el Sector Privado.

3.2 El concepto de servicio en el ENS desde la perspectiva del Sector Privado
Como ya se ha visto, los operadores pertenecientes al Sector Privado que prestan servicios contratados o aportan soluciones contratadas al Sector Público, también están obligados por las disposiciones del ENS, según se determina en el capítulo VII de la Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad (ITS) de Conformidad con el Esquema Nacional de Seguridad.

Pero dichos servicios contratados desde el Sector Público al operador privado, entendidos como una forma de materializar la externalización de sistemas o subsistemas públicos, o de su gestión, no deben confundirse con los servicios públicos que el organismo contratante presta a la ciudadanía. Estos últimos, los servicios públicos, son los denominados propiamente como SERVICIOS en el ENS. Los otros, los servicios contratados, son considerados por el ENS como SISTEMAS o subsistemas externalizados, pese a que en ocasiones pueda haber total correspondencia entre unos y otros.

4. Valoraciones en interconexión de sistemas
Sobre valoraciones ante interconexión de sistemas puede consultarse el apartado 5.4 “Terceras partes” de la Guía CCN-STIC 803 (Valoración de los Sistemas) en cuya revisión han participado José Antonio Mañas y AUDERTIS.

4.1 Sistema que maneja información de terceros
Si un sistema maneja información de terceros, o le presta servicios, la valoración de esa información y esos servicios será la determinada por el tercero, titular de los servicios públicos prestados a la ciudadanía. Es irrelevante que el sistema que maneja la información sea titularidad del Sector Público o del Sector Privado.

Un ejemplo podría ser una Diputación Provincial que preste servicios a determinados Ayuntamientos (Público – Público) o un prestador de servicios de Cloud que presta servicios de IaaS a un Ayuntamiento (Privado – Público).

Figura 3. Sistema que maneja información de tercerosEn ausencia de valoración, el Responsable de Seguridad del organismo que maneja el sistema de información externalizado, sea público o privado, la establecerá según su mejor criterio y, en consecuencia, categorizará el sistema acorde a dicha valoración.

4.2 Organismo que se apoya en sistemas de terceros
A “sensu contrario” de lo expresado en el apartado anterior, cuando el Sector Público utiliza sistemas de terceros para tratar información o para prestar servicios, la valoración propia será impuesta al tercero que colabora, que la tendrá en cuenta en su propio Plan de Adecuación. Es irrelevante que el tercero sea también del Sector Público, o sea del Sector Privado.

La próxima semanas abordaremos el tercer y último artículo con el que cerraremos esta serie relacionada con las Organizaciones privadas en el Esquema Nacional de Seguridad.

José Luis Colom Planas

AUDERTIS, el único organismo de certificación 100% especializado en el Esquema Nacional de Seguridad, recibe la acreditación de ENAC

El ENS es el marco requerido legalmente para proteger la información de los ciudadanos y los servicios prestados por el sector público

• Audertis se convierte en una de las dos únicas entidades que en España han sido acreditadas y, por tanto, pueden certificar el ENS
• De las dos entidades que pueden certificar el ENS, Audertis es la única 100% especializada en el Esquema Nacional de Seguridad
• 2018 es el año de la Administración Electrónica en la que la acreditación del ENS resulta imprescindible
• El pasado 5 de noviembre finalizó el plazo para que todas las Administraciones Públicas y todas las empresas con sistemas utilizados por el sector público certifiquen sus sistemas de categoría MEDIA y ALTA.

La Entidad Nacional de Acreditación, ENAC, es el órgano competente de conceder la acreditación necesaria que permite a los organismos de certificación poder acreditar el Esquema Nacional de Seguridad con todas las garantías legales exigidas.

ENAC ha decidido conceder a AUDERTIS dicha acreditación como reconocimiento a su elevada competencia técnica, siendo, además, una de las dos únicas entidades que la han obtenido y la única 100% especializada en el Esquema Nacional de Seguridad.

Una certificación esencial para el ciudadano y la Administración Electrónica

En un momento en el que la Administración Pública adopta el camino de la Administración Electrónica de forma decidida y definitiva, el Esquema Nacional de Seguridad cobra una importancia fundamental, siendo el marco requerido legalmente para proteger la información de los ciudadanos y los servicios prestados por el sector público, tanto directamente como a través de, o en colaboración con, operadores del sector privado.

La Certificación de Conformidad con el ENS es obligatoria para todos los sistemas de información de categoría Media o Alta y discrecional, pero altamente recomendada, en los sistemas de categoría Básica, tal y como recoge la Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad (ITS) de conformidad con el Esquema Nacional de Seguridad.

La certificación de un sistema por una entidad acreditada supone las máximas garantías para el ciudadano existentes en España de que la seguridad de su información y de los servicios prestados por las administraciones públicas es gestionada conforme a las mejores prácticas, cumpliendo con todos los requisitos legales relacionados y que ésta se mejora de forma continua para adaptarse a las nuevas amenazas en el ciberespacio.

El esquema de acreditación ha sido desarrollado por la propia ENAC, en estrecha colaboración con el Ministerio de Hacienda y Función Pública (MINHAFP) y el Centro Criptológico Nacional (CCN), adscrito al Centro Nacional de Inteligencia (CNI).

 

En la era del ‘open data’ y la transparencia institucional, se hace imprescindible para la ciudadanía el impulso de un marco de confianza que garantice un entorno digital seguro en sus relaciones con el Sector Público. Esto supone que la tecnología utilizada para el tratamiento y el acceso a la información y las normas y procedimientos que la gestionan han de seguir los máximos estándares de seguridad.

Qué es el Esquema Nacional de Seguridad (ENS)

El Esquema Nacional de Seguridad es el marco legislativo que establece y desarrolla la política de seguridad en el uso de los medios electrónicos para que las organizaciones pertenecientes al Sector Público, y aquellas pertenecientes al Sector Privado en que se apoyen,  ofrezcan y presten servicios seguros a la ciudadanía. Esta normativa establece las condiciones mínimas y necesarias para garantizar a los ciudadanos y a las Administraciones públicas el ejercicio de sus derechos y el cumplimiento de sus deberes.

El objetivo, pues, es crear las condiciones necesarias de confianza en la prestación de servicios a la ciudadanía que se apoyen en medios electrónicos. Se consigue  a través de medidas para garantizar la seguridad de los sistemas cuando los servicios se prestan de manera digital.

La confianza digital como factor clave

Desde que en el año 2010 se aprobara el Real Decreto que regula el ENS las administraciones públicas y las empresas privadas se han sumergido en el entorno digital a una velocidad de vértigo. Cada vez las instituciones permiten realizar más trámites desde los entornos digitales. Esta gran ventaja no ha de estar, no obstante, reñida con la seguridad.

Por eso se hace imprescindible que se desarrolle un Esquema Nacional de Seguridad que establezca los requisitos mínimos para que no se vulneren los diferentes atributos de la seguridad lo que supone poner en riesgo la propia Administración pública y los datos de los ciudadanos por el uso de medios electrónicos.

La seguridad es un término abstracto, por lo que el ENS lo concreta en cinco atributos precisos: confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad, permitiendo una mayor eficacia en la apreciación y posterior mitigación de los riesgos.

El Esquema, además, aporta un lenguaje común, homogeneiza los tratamientos de seguridad e introduce elementos comunes para guiar a las Administraciones, siendo un actor fundamental el Centro Criptológico Nacional (CCN) con su labor continuada de asesoramiento y supervisión global de la seguridad de quienes están obligados por la norma.

Certificación de conformidad con el ENS

Tal y como dispone la Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, armonizada con el Real Decreto 3/2010 y modificaciones posteriores, todas las instituciones públicas y empresas privadas que presenten servicios a las administraciones públicas, están obligadas a garantizar a los ciudadanos que cumplen con los requisitos de seguridad exigibles en los diferentes servicios prestados a la ciudadanía que se apoyen, directa o indirectamente, en medios electrónicos.

Salvo organizaciones en las que sus sistemas estén categorizados como básicos, algo poco frecuente según se deduce de las estadísticas obtenidas a partir del Informe Nacional del Estado de la Seguridad (INES), aquellas que dispongan de sistemas de categoría media o alta están obligadas a disponer de un Certificado de Conformidad con las disposiciones del ENS.

La entidad de certificación AUDERTIS realiza auditorías de certificación a las instituciones públicas, y empresas privadas en que se apoyen sus servicios, que quieran cumplir con esta obligación y, al mismo tiempo, acreditar a la ciudadanía su radical compromiso con la seguridad y el rigor en el tratamiento de su información.

Para los ciudadanos realizar cualquier trámite con una institución certificada por AUDERTIS es la garantía de que sus datos y toda la información tramitada de forma digital será tratada con la máxima confidencialidad y con los mínimos riesgos en todo el proceso.

Es por ello que a partir de la citada Resolución de 13 de octubre, las organizaciones pertenecientes al Sector Público deberán exigir en sus pliegos de contratación que el proveedor perteneciente al Sector Privado que participará en la prestación de sus servicios esté también en posesión de la correspondiente Certificación de Conformidad con el ENS. Es la única forma de garantizar que la seguridad estará presente a lo largo de toda la cadena de valor de los diferentes servicios públicos.