INSTRUCCIÓN

INSTRUCCIÓN TÉCNICA DE SEGURIDAD DE INFORME DEL ESTADO DE LA SEGURIDAD

I. Objeto: La Instrucción Técnica de Seguridad de Informe del Estado de la Seguridad tiene por objeto establecer las condiciones relativas a la recopilación y comunicación de datos que permita conocer las principales variables de la seguridad de la información de los sistemas comprendidos en el ámbito de aplicación del Esquema Nacional de Seguridad, y confeccionar un perfil general del estado de la ciberseguridad en las Administraciones públicas.

II. Ámbito de aplicación: La presente Instrucción Técnica de Seguridad será de aplicación a los sistemas de información comprendidos en lo dispuesto en el artículo 3 del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica.

III. Recopilación y comunicación de datos:

III.1 Las entidades públicas comprendidas en el ámbito de aplicación de la presente Instrucción Técnica de Seguridad recopilarán los datos de las diferentes variables de seguridad conforme a lo dispuesto en la medida «sistema de métricas [op.mon.2]» del Anexo II del Real Decreto 3/2010, de 8 de enero.

III.2 Las entidades públicas a las que se refiere el punto anterior comunicarán, al menos con carácter anual, el estado de las principales variables de seguridad de aquellos sistemas de información que se encuentren bajo su responsabilidad.

III.3 Para la comunicación a la que se refiere el punto anterior, el Responsable de Seguridad de los sistemas de información afectados de la entidad pública, o en quien este delegue, utilizará la herramienta relativa al Informe Nacional del Estado de la Seguridad (INES), al que tendrá acceso, previa identificación, en el siguiente enlace: https://www.ccn-cert.cni.es/herramientas-de-ciberseguridad/ines.html

III.4 El Centro Criptológico Nacional, en cumplimiento del artículo 29 apartado 1 del Real Decreto 3/2010, de 8 de enero mantendrá un Manual de Usuario de la herramienta INES, permanentemente actualizado a través de la guía de seguridad CCN-STIC 844.

IV. Tratamiento de datos:

IV.1 Los datos que la herramienta INES requerirá de la entidad pública del ámbito de aplicación de la presente Instrucción Técnica de Seguridad son los que se señalan en la guía de seguridad CCN-STIC 824 Informe del Estado de Seguridad, que el Centro Criptológico Nacional mantendrá permanentemente actualizada y, en general, estarán referidos a identificación de la entidad, datos generales, organización de la seguridad, procesos críticos, concienciación y formación, gestión de incidentes, recursos y presupuestos, auditoría, indicadores críticos de riesgo y medidas de seguridad, según lo descrito en la guía de seguridad CCN-STIC-815 sobre Métricas e Indicadores para el Esquema Nacional de Seguridad.