Desde el 8 de enero de 2010 entró en vigor el Real Decreto 3/2010, de 8 de enero (BOE de 29 de enero), por el que se regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica. Su objeto es establecer la política de seguridad en la utilización de medios electrónicos y está constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información.
La finalidad del Esquema Nacional de Seguridad es crear las condiciones necesarias para la confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos, que permita el ejercicio de derechos y el cumplimiento de deberes a través de estos medios. Persigue fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control y sin que la información pueda llegar al conocimiento de personas no autorizadas.
La redacción del Real Decreto se realiza bajo un entorno de PRINCIPIOS BÁSICOS y REQUÍSITOS MÍNIMOS sobre el que posteriormente se desarrolla el detalle de la gestión de la seguridad de la información.
A NIVEL PRÁCTICO
El Esquema se centra en la aplicación de un conjunto de MEDIDAS DE SEGURIDAD en base a un análisis de riesgos sobre los activos y sistemas de información relacionados con Administración electrónica. La aplicabilidad del conjunto de estos controles , 75 en total, se deriva del citado análisis de riesgos previos y en la categorización de los niveles de seguridad según las dimensiones de seguridad de cada uno de los sistemas de información que forman parte del alcance. Los niveles BÁSICO, MEDIO y ALTO nos recuerdan mucho al Reglamento de Medidas de seguridad de la LOPD pero a diferencia de la legislación sobre protección de datos personales, éstos se calculan aquí según el impacto en la organización (estilo ISO 27001).
El Real Decreto también legisla sobre la auditoría del propio Esquema, uniendo en estos aspectos la posibilidad de realizar un enfoque práctico y global junto con la normativa de protección de datos personales e incluso con la certificación de un SGSI sobre ISO 27001
LA SEGURIDAD DIFERENCIADA y el ALTO VALOR SOBRE EL FACTOR HUMANO
Actualmente los sistemas de información de las administraciones públicas están fuertemente imbricados entre sí y con entornos del sector privado. Por ello la seguridad tiene un gran reto, a nivel de responsabilidad, organización y coordinación humana, para que ningún incidente no pueda resolverse porque se quede en “terreno de nadie”. En este sentido el ENS sitúa como principio básico la SEGURIDAD DIFERENCIADA en el sentido de “diferenciar” el responsable de información, el responsable del servicio, y el responsable de seguridad. Otro de los puntos enfatizados por la norma y relacionado con el factor humano es el principio básico de SEGURIDAD INTEGRAL, el requisito mínimo de PROFESIONALIDAD y el grupo de Medidas de Seguridad GESTIÓN DEL PERSONAL, donde se citan 5 Medidas específicas sobre la seguridad en las personas. El Esquema cita en numerosos puntos la concienciación y formación a todo el personal, incluso a la parte administrativa y a los “responsables jerárquicos” (Art 5. La Seguridad como proceso integral) para que “ni la ignorancia, ni la falta de organización y coordinación, ni instrucciones inadecuadas, sean fuentes de riesgo para la seguridad”
¿UNA ISO 27001 para LA ADMINISTRACIÓN PÚBLICA?
El RD en realidad presenta analogías constantes con la norma ISO 27001:2005, Gestión de la Seguridad de la Información, pero determina de manera específica controles a implementar en la administración electrónica. Un esquema basado en el análisis de los riesgos, el concepto de seguridad integral, la organización de la misma como instrumento para la gestión y por el desarrollo de procesos de reevaluación, prevención, reacción y recuperación mediante la implantación de medidas de seguridad según la naturaleza y servicios de la organización.
Por ello el Real Decreto 3/2010 representa una especie de SGSI con sus buenas prácticas incluido (Medidas de Seguridad), y auditable.
AIRE ITIL
El Esquema Nacional de Seguridad se basa en procesos ITIL, aunque sin nombrarlos directamente. Principios básicos como la Seguridad diferenciada y la Gestión de Riegos, y en grupos de Medidas de seguridad como son la Continuidad de la actividad, Gestión contínua, Gestión de cambios, acuerdos de nivel de servicio y Proceso de Autorización. Por ello es completamente factible la convivencia e integración con procesos ITIL y sistemas de gestión ITSM sobre por ejemplo ISO 20000.
Formación avanzada. Cursos de ISO 27001 e ISO 20000 ITIL
Pirri está debatiendo. 
Juan R. Martin está debatiendo. 
Interesante infografia, me la guardo.
Aprovecho para consultar una cosa: ¿que se considera un sistema? Por ejemplo, una aplicación web, ¿se considera un “sistema”? Yo entiendo que si, y por tanto además de las medidas que se indican en el apartado mp.sw1 y mp.sw2, serían de aplicación las medidas descritas en op.acc y mp.com2, mp.com3, p`-exp.8, etc. ¿Estoy en lo cierto?