ENS y software de Legionella: qué debe pedir el sector público

Qué es el ENS

El Esquema Nacional de Seguridad (ENS) fija los principios básicos y los requisitos mínimos de seguridad de la información en el sector público. Está regulado por el Real Decreto 311/2022, de 3 de mayo.

Su objetivo es que los sistemas que tratan información pública lo hagan con garantías. El ENS trabaja sobre cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad.

A quién se aplica

El ENS se aplica a las entidades del sector público. Y también a las empresas privadas que prestan servicios o soluciones tecnológicas a esas entidades.

En la práctica, cuando un organismo contrata un servicio en la nube, los requisitos de seguridad no se quedan dentro del organismo: alcanzan también al proveedor que presta el servicio.

Por qué afecta a un software de Legionella

Hospitales públicos, residencias, colegios, polideportivos municipales y prisiones gestionan instalaciones de agua con obligaciones de prevención y control. Muchos de ellos, además, son edificios prioritarios del RD 3/2023 y necesitan su propio Plan Sanitario del Agua.

El software que usan para la Legionella guarda información relevante para la operación del edificio: esquemas de la instalación, registros de tareas, analíticas, medidas correctoras, documentación para las inspecciones y accesos del personal.

Que esa información esté disponible, sea íntegra y quede trazada es parte del cumplimiento: un registro completo es la evidencia que presentas en una inspección de sanidad.

Categorías y certificación

El ENS clasifica los sistemas en tres categorías, Básica, Media y Alta, según el impacto que tendría un incidente de seguridad sobre la información y los servicios.

En categoría Básica, la conformidad puede acreditarse con una declaración basada en una autoevaluación. En categoría Media, y también en Alta, se exige una certificación de conformidad emitida tras una auditoría realizada por una entidad acreditada.

Las medidas de seguridad que corresponden a cada categoría se recogen en el anexo II del real decreto, agrupadas en marco organizativo, marco operacional y medidas de protección.

La categoría de tu sistema la determina tu organismo. Lo razonable es pedir que la del servicio del proveedor sea, como mínimo, la misma.

Qué pedir a tu proveedor

Esta lista te sirve para una consulta preliminar al mercado, para un pliego o para revisar un servicio que ya usas:

1. Certificación de conformidad del servicio. Pregunta si el servicio que vas a contratar tiene su propia certificación de conformidad con el ENS.
2. Categoría. Básica, Media o Alta, y si es coherente con la de tu sistema.
3. Alcance del certificado. El certificado indica qué sistemas y servicios cubre. Comprueba que incluye la aplicación que vas a usar.
4. Infraestructura. Dónde se aloja el servicio y qué certificaciones tiene esa infraestructura, por ejemplo ENS o ISO/IEC 27001.
5. Cifrado. Cómo se protegen los datos cuando viajan y cuando están almacenados.
6. Control de accesos. Perfiles y permisos por usuario, método de autenticación y gestión de altas y bajas del personal.
7. Trazabilidad. Si queda registro de quién consulta o modifica cada dato y cuándo.
8. Ubicación de los datos. En qué país o región se almacenan los datos y sus copias de seguridad.

Si tu organismo ya usa un software y no tiene esta información, no hace falta empezar de cero. Pide al proveedor que responda a la lista por escrito y adjunta la respuesta al expediente del contrato: quedará documentado para la próxima revisión.

Cómo comprobar lo que te dicen

El Centro Criptológico Nacional (CCN) publica las entidades certificadas en el ENS. Si un proveedor te presenta un certificado, puedes contrastarlo ahí.

Al revisarlo, fíjate en tres datos: quién es el titular del certificado, qué alcance describe y qué categoría acredita.

Si preparas una licitación, incluir estos puntos en el pliego te permite comparar las ofertas con el mismo criterio y pedir la documentación desde el principio.

Dónde está alojada Sylence

Con transparencia: Sylence está alojada en la infraestructura cloud de Resizes, cuyos sistemas están certificados por AENOR en el ENS, categoría Media, y en ISO/IEC 27001.

Esa certificación corresponde a la infraestructura de Resizes. Si tu organismo necesita información sobre cualquiera de los puntos de la lista para un expediente o una licitación, pídenosla y la revisamos contigo punto por punto.