TEMA 36
El Esquema Nacional de Seguridad.
Ley de protección de las infraestructuras críticas
Preparación Oposiciones | Técnico/a Especialista en Informática
Servicio Andaluz de Salud (SAS)
💬 Una nota de Esteban antes de empezar…
Hola, opositor. Soy Esteban Castro, y llevo más de 15 años ayudando a profesionales como tú a conseguir su plaza en el SAS. Este tema, el 36, es de esos que suelen poner nervioso a más de uno… porque tiene mucha carga normativa. Pero tranquilo, aquí vamos a verlo con calma.
El ENS no es solo un real decreto que hay que memorizar. Es el corazón de cómo funciona la seguridad en los sistemas del SAS: Diraya, ClicSalud+, los sistemas de receta electrónica… todos ellos operan bajo estas reglas. Y sí, las preguntas en el examen son concretas: artículos, plazos, categorías de seguridad. Pero si entiendes la lógica detrás, memorizarás mejor.
Mi consejo: Lee este tema dos veces. La primera, para entender. La segunda, para retener. Después, machácate las preguntas. Y recuerda: en tu día a día como técnico del SAS, aplicarás esto constantemente.
1. Introducción y Contextualización
La seguridad de la información en el sector público español, y especialmente en el ámbito sanitario, se ha convertido en un pilar fundamental de la Transformación Digital. Cuando hablamos del Esquema Nacional de Seguridad (ENS) y de la protección de infraestructuras críticas, no estamos hablando de teoría abstracta… estamos hablando de proteger las historias clínicas de 8,5 millones de andaluces en Diraya, de garantizar que los hospitales puedan seguir funcionando ante un ciberataque, de asegurar que la receta electrónica no se caiga un lunes por la mañana cuando hay miles de personas esperando sus medicamentos.
El Real Decreto 311/2022, de 3 de mayo, que regula el Esquema Nacional de Seguridad, es el marco normativo que establece la política de seguridad en la utilización de medios electrónicos en el sector público. Es de aplicación obligatoria para todas las Administraciones Públicas españolas, y por tanto, para el Servicio Andaluz de Salud.
🎯 Concepto clave: El ENS es obligatorio para todos los sistemas de información del sector público que manejen información y servicios electrónicos. No es voluntario como ISO 27001, es de obligado cumplimiento.
Por otro lado, la Ley 8/2011, de 28 de abril, de Protección de Infraestructuras Críticas (LPIC), desarrollada por el Real Decreto 704/2011, establece el marco para proteger aquellas infraestructuras cuyo funcionamiento es indispensable y no permite soluciones alternativas. En el contexto del SAS, esto incluye sistemas como el centro de datos principal, la red corporativa sanitaria, y sistemas críticos como Diraya o el sistema de cita previa.
1.1. Relevancia para el Técnico Especialista en Informática del SAS
Como técnico del SAS, te enfrentarás diariamente a situaciones donde el ENS será tu guía:
- Categorización de sistemas: ¿Es Diraya un sistema ALTO? ¿Y el portal ClicSalud+?
- Gestión de incidentes: Un ransomware afecta a un servidor de aplicaciones. ¿Cómo documentarlo según ENS?
- Auditorías de cumplimiento: Cada dos años, los sistemas deben auditarse. ¿Estás preparado?
- Control de accesos: ¿Quién puede ver qué en Diraya? El ENS lo regula.
- Respaldo y recuperación: Los planes de continuidad son obligatorios para categoría ALTA.
1.2. Importancia en la Oposición
Las estadísticas no mienten: el ENS aparece en prácticamente todos los exámenes del SAS de los últimos años. Las preguntas suelen centrarse en:
- Artículos concretos del RD 311/2022 (especialmente sobre auditorías, categorización, roles)
- Diferencias entre categorías BÁSICA, MEDIA y ALTA
- Principios básicos del ENS
- Medidas de seguridad específicas (las famosas [op.exp], [mp.per], etc.)
- Relación entre ENS e infraestructuras críticas
⚠️ Atención especial: En los últimos exámenes SAS (2023, 2025) han caído preguntas muy específicas sobre el artículo 31 del ENS (auditorías cada 2 años con extensión de 3 meses), sobre las dimensiones de seguridad (confidencialidad, integridad, disponibilidad, trazabilidad, autenticidad), y sobre la diferenciación de responsabilidades.
2. El Esquema Nacional de Seguridad (ENS)
2.1. Marco Normativo y Evolución
El ENS nace de la necesidad de establecer un marco común de seguridad para todas las Administraciones Públicas. Su evolución ha sido:
| Año |
Normativa |
Aspectos Clave |
| 2010 |
RD 3/2010 |
Primera versión del ENS. Establece principios básicos y medidas de seguridad. |
| 2022 |
RD 311/2022 |
Versión vigente. Actualiza categorías, medidas de seguridad, y adapta a normativa europea (NIS, RGPD). |
El Real Decreto 311/2022 es el que debes conocer a fondo. Deroga el anterior y trae cambios significativos en las medidas de seguridad, en los plazos de auditoría, y en la coordinación con el CCN-CERT (Centro Criptológico Nacional – Capacidad de Respuesta a Incidentes).
2.2. Ámbito de Aplicación
El ENS se aplica a:
- Toda la Administración General del Estado
- Administraciones de las Comunidades Autónomas (incluida la Junta de Andalucía)
- Entidades Locales
- Organismos y entidades de derecho público vinculadas o dependientes de las Administraciones Públicas
En el contexto del SAS, esto significa que todos los sistemas de información corporativos están sujetos al ENS: Diraya, BDU (Base de Datos de Usuarios), Receta XXI, sistemas de gestión hospitalaria, portales web, sistemas de BI Corporativo, etc.
📋 Dato importante: El ENS es complementario al Reglamento General de Protección de Datos (RGPD). Mientras que el RGPD protege los datos personales, el ENS protege los sistemas de información que los procesan.
2.3. Principios Básicos del ENS
El ENS se sustenta sobre una serie de principios básicos que aparecen constantemente en las preguntas de examen. Vamos a verlos uno por uno, porque entenderlos es clave:
a) Seguridad Integral
La seguridad no es solo tecnología. Implica aspectos tecnológicos (firewalls, cifrado), pero también organizativos (políticas, procedimientos), legales (cumplimiento normativo) y humanos (formación, concienciación). Cuando en el SAS implementas una medida de seguridad, no basta con instalar un antivirus; necesitas formar a los usuarios, documentar procedimientos, y establecer responsabilidades.
b) Gestión de la Seguridad Basada en los Riesgos
No todos los sistemas tienen los mismos riesgos ni requieren las mismas medidas. El ENS exige realizar un análisis de riesgos (metodología MAGERIT) para identificar activos, amenazas, vulnerabilidades e impactos. A partir de ahí, se determinan las medidas de seguridad proporcionales al riesgo.
c) Prevención, Detección, Respuesta y Recuperación
La seguridad no es solo prevenir ataques (aunque ojalá). También hay que detectarlos cuando ocurren (sistemas SIEM), responder adecuadamente (planes de respuesta a incidentes), y recuperarse (backups, planes de continuidad). Es un ciclo continuo.
d) Existencia de Líneas de Defensa
También conocido como «defensa en profundidad». No confíes en una sola barrera. Si un atacante supera tu firewall, debe encontrarse con segmentación de red, con control de accesos a nivel de aplicación, con cifrado de datos, con monitorización… Múltiples capas de seguridad.
e) Vigilancia Continua
La seguridad no es un estado, es un proceso. Los sistemas deben ser monitorizados continuamente. En el SAS, herramientas como Centreon o sistemas SIEM monitorizan 24/7 los sistemas críticos.
f) Reevaluación Periódica
Las amenazas evolucionan, las tecnologías cambian, los sistemas se modifican. Por eso el ENS exige reevaluar periódicamente las medidas de seguridad. De ahí las auditorías obligatorias cada dos años.
g) Diferenciación de Responsabilidades
El ENS define claramente los roles de seguridad: Responsable de la Información, Responsable del Servicio, Responsable de Seguridad, Responsable del Sistema… Cada uno con sus funciones y responsabilidades específicas. En el examen, suelen preguntar sobre estos roles.
🔍 Pregunta Tipo Examen
Indique cuál de los siguientes es un principio básico del Esquema Nacional de Seguridad (ENS):
- A) Identificación, corrección y protección.
- B) Monitoreo, intervención y preservación.
- C) Existencia de líneas de defensa.
- D) Vigilancia discontinua.
✅ Respuesta Correcta: C
Explicación: La «Existencia de líneas de defensa» es uno de los principios básicos del ENS recogidos en el RD 311/2022. Promueve implementar múltiples capas de seguridad (defensa en profundidad). Las opciones A y B describen actividades de gestión, pero no son principios rectores. La opción D es incorrecta porque el ENS promueve la vigilancia continua, no discontinua.
2.4. Categorización de los Sistemas de Información
Uno de los aspectos más importantes (y más preguntados en el examen) es la categorización de los sistemas. El ENS establece tres categorías según el nivel de seguridad requerido: BÁSICA, MEDIA y ALTA.
La categorización se realiza evaluando el impacto que tendría un incidente de seguridad sobre las siguientes cinco dimensiones de seguridad:
| Dimensión |
Descripción |
Ejemplo en SAS |
| [C] Confidencialidad |
Solo pueden acceder a la información los autorizados |
Historia clínica de un paciente en Diraya |
| [I] Integridad |
La información es exacta y completa |
Datos de prescripción en Receta XXI |
| [D] Disponibilidad |
El sistema está operativo cuando se necesita |
Sistema de urgencias disponible 24/7 |
| [T] Trazabilidad |
Se puede auditar quién hizo qué y cuándo |
Logs de acceso a historiales clínicos |
| [A] Autenticidad |
Se puede verificar la identidad de usuarios y el origen de los datos |
Firma electrónica de médicos en prescripciones |
Niveles de Impacto por Dimensión
Para cada dimensión, se evalúa el impacto potencial de un incidente de seguridad en tres niveles:
- BAJO: El daño es limitado, afecta a un número reducido de personas o tiene consecuencias menores.
- MEDIO: El daño es significativo, puede implicar incumplimiento de normativa, daño reputacional, o afectar a un número considerable de ciudadanos.
- ALTO: El daño es muy grave, puede poner en peligro vidas, implicar incumplimiento grave de leyes, o afectar masivamente a los ciudadanos.
Determinación de la Categoría del Sistema
Una vez evaluado el impacto en cada dimensión, la categoría del sistema se determina así:
📐 Regla de Categorización (Anexo I del RD 311/2022):
• BÁSICA: Si alguna dimensión alcanza nivel BAJO y ninguna alcanza nivel superior.
• MEDIA: Si alguna dimensión alcanza nivel MEDIO y ninguna alcanza ALTO, O si más de una dimensión alcanza nivel BAJO.
• ALTA: Si alguna dimensión alcanza nivel ALTO, O si más de una dimensión alcanza nivel MEDIO.
🔍 Pregunta Tipo Examen
¿Cuál de las siguientes afirmaciones es correcta respecto de la determinación de la categoría de seguridad de un sistema de información, de acuerdo con lo establecido en el ANEXO I del Esquema Nacional de Seguridad?
- A) Un sistema de información será de categoría BÁSICA si alguna de sus dimensiones de seguridad alcanza el nivel BAJO, y ninguna alcanza un nivel superior.
- B) Un sistema de información será de categoría MEDIA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad MEDIO, y ninguna alcanza un nivel de seguridad superior o más de una dimensión alcanzan el nivel BAJO.
- C) Un sistema de información será de categoría ALTA si alguna de sus dimensiones de seguridad alcanza el nivel de seguridad ALTO o más de una dimensión alcanza el nivel MEDIO.
- D) Un sistema de información será de categoría BÁSICA si se trata de un sistema al que no es aplicable el Esquema Nacional de Seguridad.
✅ Respuesta Correcta: A
Explicación: Según el Anexo I del ENS (RD 311/2022), un sistema es de categoría BÁSICA si alguna de sus dimensiones alcanza nivel BAJO y ninguna alcanza un nivel superior. Esta es la definición exacta que aparece en el real decreto. Las opciones B y C contienen imprecisiones en la redacción, y la opción D es incorrecta porque todos los sistemas del ámbito público están sujetos al ENS.
Ejemplos de Categorización en el SAS
| Sistema SAS |
Categoría |
Justificación |
| Diraya (Historia Digital) |
ALTA |
La confidencialidad, integridad y disponibilidad de las historias clínicas son críticas. Un fallo grave podría poner en riesgo vidas humanas. |
| Receta XXI |
ALTA |
Un error en la prescripción electrónica puede tener consecuencias graves para la salud. La disponibilidad es crítica. |
| Portal ClicSalud+ |
MEDIA |
Gestiona datos sensibles de pacientes, pero su indisponibilidad temporal no es crítica para la asistencia inmediata. |
| Web Informativa SAS |
BÁSICA |
Principalmente información pública. Su compromiso no afecta a datos críticos ni asistencia. |
2.5. Auditorías y Certificación de Conformidad
El ENS establece requisitos diferentes según la categoría del sistema en cuanto a declaración/certificación de conformidad y auditorías periódicas.
Declaración vs. Certificación de Conformidad
| Categoría |
Requisito |
Quién lo realiza |
| BÁSICA |
Declaración de Conformidad |
La propia organización (autoevaluación) |
| MEDIA |
Certificación de Conformidad |
Entidad externa acreditada |
| ALTA |
Certificación de Conformidad |
Entidad externa acreditada |
Auditorías Regulares (Artículo 31 del RD 311/2022)
Este artículo es MUY PREGUNTADO en los exámenes:
📜 Artículo 31 – Auditorías Regulares:
Los sistemas de información del ámbito del ENS serán objeto de una auditoría regular ordinaria que verifique el cumplimiento de los requerimientos del ENS al menos cada dos años, pudiendo extenderse durante tres meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema.
🔍 Pregunta Tipo Examen
Según el artículo 31 del Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (ENS), los sistemas de información comprendidos en el ámbito de aplicación de este real decreto serán objeto de una auditoría regular ordinaria que verifique el cumplimiento de los requerimientos del ENS:
- A) Al menos cada dieciocho meses, pudiendo extenderse durante seis meses adicionales cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.
- B) Al menos cada dos años, sin posibilidad de extensión.
- C) Al menos cada dos años, pudiendo extenderse durante tres meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.
- D) Al menos cada doce meses, pudiendo extenderse en periodos de seis meses, hasta un máximo de treinta y seis cuando concurran impedimentos de fuerza mayor no imputables a la entidad titular del sistema o sistemas de información concernidos.
✅ Respuesta Correcta: C
Explicación: El artículo 31 del RD 311/2022 es claro: auditorías cada 2 años, extensibles 3 meses por fuerza mayor. Es importante memorizar estos plazos exactos, porque en el examen suelen jugar con variantes (18 meses, 12 meses, 6 meses de extensión) para confundirte.
2.6. Organización y Responsabilidades en el ENS
El ENS define con claridad los roles de seguridad. Esto también es muy preguntado en los exámenes:
a) Responsable de la Información
Es quien determina qué información debe manejarse y los requisitos de seguridad que debe cumplir. En el SAS, por ejemplo, el responsable de la información de las historias clínicas define qué profesionales pueden acceder y bajo qué condiciones.
b) Responsable del Servicio
Decide qué servicios deben prestarse, define los requisitos funcionales, y establece los niveles de servicio (SLA). Por ejemplo, el responsable del servicio de cita previa online define que debe estar disponible 24/7.
c) Responsable de la Seguridad
Es quien supervisa, controla y evalúa el cumplimiento de las medidas de seguridad. Reporta directamente a la alta dirección. En el SAS, coordina con el CCN-CERT, realiza análisis de riesgos, gestiona incidentes de seguridad.
d) Responsable del Sistema
Se encarga de la operación del sistema de información. Es quien implementa las medidas de seguridad técnicas y organizativas en el día a día.
e) Administradores del Sistema
Realizan las tareas de administración del sistema: instalación, configuración, mantenimiento de servicios TIC.
f) Operadores STIC (Seguridad de las TIC)
Responsables de la operación diaria de los servicios de seguridad. Monitorizan, detectan incidencias, y reportan al Responsable de Seguridad.
🔍 Pregunta Tipo Examen
El rol de supervisión en el Esquema Nacional de Seguridad (ENS) lo desempeña:
- A) El responsable de la información.
- B) El responsable del servicio.
- C) El responsable de la seguridad.
- D) El responsable del sistema.
✅ Respuesta Correcta: C
Explicación: El Responsable de la Seguridad es quien desempeña el rol de supervisión, control y evaluación del cumplimiento de las medidas de seguridad en el ENS. Es fundamental distinguir este rol del Responsable del Sistema (que ejecuta) y del Responsable de la Información (que define los requisitos).
2.7. Medidas de Seguridad del ENS
El Anexo II del RD 311/2022 establece un amplio catálogo de medidas de seguridad organizadas en tres marcos:
- [org] Marco Organizativo: Políticas, procedimientos, gestión de personal.
- [op] Marco Operacional: Operación diaria del sistema, gestión de cambios, copias de seguridad.
- [mp] Medidas de Protección: Controles técnicos de acceso, cifrado, antimalware.
Algunas medidas clave que suelen aparecer en exámenes:
| Código |
Medida |
Descripción |
| [mp.per.4] |
Formación |
Personal formado y concienciado en seguridad. Tras un ataque de vishing (ingeniería social), esta es la medida prioritaria a reforzar. |
| [op.exp.4] |
Mantenimiento |
Gestión de parches y actualizaciones de seguridad. Verificar en entornos de prueba antes de producción. |
| [mp.com.2] |
Protección de la confidencialidad |
Cifrado de comunicaciones (TLS, VPN). Especialmente crítico en el SAS para el acceso remoto a Diraya. |
| [op.pl.1] |
Plan de continuidad |
Obligatorio para sistemas categoría ALTA. Debe identificar funciones, responsabilidades, medios alternativos, y formación del personal. |
🔍 Pregunta Tipo Examen
Si usted dispone de un sistema con categoría de seguridad ALTA, de acuerdo a las medidas de seguridad del Esquema Nacional de Seguridad (ENS), deberá desarrollar un plan de continuidad. ¿Cuál de los siguientes aspectos NO contemplará dicho plan?
- A) Existirá una previsión para coordinar la entrada en servicio de los medios alternativos, de forma que se garantice poder seguir prestando los servicios esenciales de la organización.
- B) Se identificarán funciones, responsabilidades y actividades a realizar.
- C) Las personas afectadas por el plan recibirán formación específica relativa a su papel en dicho plan.
- D) Se establecerá un proceso formal de autorizaciones que cubra todos los elementos del sistema de información concernidos.
✅ Respuesta Correcta: D
Explicación: Las opciones A, B y C son elementos que SÍ debe contemplar un plan de continuidad según el ENS: medios alternativos, identificación de responsabilidades, y formación del personal. La opción D («proceso formal de autorizaciones») corresponde más bien a medidas de control de accesos y gestión de configuraciones, no específicamente a un plan de continuidad.
3. Protección de Infraestructuras Críticas
3.1. Ley 8/2011 de Protección de Infraestructuras Críticas (LPIC)
La Ley 8/2011, de 28 de abril, establece el marco para la protección de las infraestructuras críticas en España. Se considera infraestructura crítica aquella cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales.
Sectores Estratégicos
La LPIC identifica los siguientes sectores estratégicos (entre otros):
- Sector Salud: Hospitales, centros de salud, sistemas de información sanitaria.
- Energía (generación, transporte, distribución eléctrica).
- Transporte (ferrocarril, aviación, puertos).
- Tecnologías de la Información y las Comunicaciones (TIC).
- Agua (abastecimiento y control).
- Alimentación.
- Administración (sistemas de administración electrónica).
En el contexto del SAS, el sector salud es especialmente relevante. Los grandes hospitales (como el Virgen del Rocío, Carlos Haya, Virgen de las Nieves) y los sistemas de información críticos (Diraya, centros de datos corporativos) pueden ser considerados infraestructuras críticas.
Operadores Críticos y Planes de Seguridad del Operador (PSO)
Un operador crítico es la entidad pública o privada propietaria o gestora de una infraestructura crítica. Si el SAS gestiona un sistema que se declara como infraestructura crítica, debe elaborar un Plan de Seguridad del Operador (PSO) que incluya:
- Análisis de riesgos específicos de la infraestructura.
- Medidas de seguridad física (control de accesos, videovigilancia).
- Medidas de seguridad lógica (ciberseguridad).
- Planes de respuesta ante incidentes y emergencias.
- Coordinación con las Fuerzas y Cuerpos de Seguridad del Estado.
3.2. Real Decreto 704/2011: Desarrollo de la LPIC
El Real Decreto 704/2011, de 20 de mayo, desarrolla la LPIC estableciendo procedimientos y requisitos para:
- Identificación y designación de infraestructuras críticas.
- Elaboración y aprobación de Planes de Seguridad del Operador.
- Creación del Centro Nacional de Protección de Infraestructuras Críticas (CNPIC).
- Coordinación entre operadores críticos y autoridades.
3.3. Relación entre ENS e Infraestructuras Críticas
El ENS y la LPIC son complementarios:
- El ENS establece las medidas de seguridad para todos los sistemas de información del sector público.
- La LPIC establece requisitos adicionales y específicos para aquellas infraestructuras cuyo fallo tendría un impacto crítico en los servicios esenciales.
En el SAS, un sistema puede cumplir con el ENS (por ejemplo, categoría ALTA en Diraya) y además estar sujeto a la LPIC si se considera infraestructura crítica (por ejemplo, el centro de datos principal del SAS).
💡 Caso Práctico SAS: Imagina que el centro de datos principal del SAS, que alberga Diraya y todos los sistemas críticos de la red hospitalaria andaluza, se declara como infraestructura crítica. Como técnico del SAS, deberías:
- Aplicar las medidas del ENS según la categoría del sistema (ALTA para Diraya).
- Elaborar un Plan de Seguridad del Operador (PSO) según la LPIC.
- Coordinar con el CNPIC y con las Fuerzas y Cuerpos de Seguridad.
- Implementar medidas adicionales de seguridad física (control de accesos biométrico, videovigilancia 24/7, personal de seguridad).
- Realizar simulacros de respuesta ante incidentes críticos.
4. Conexión con Otros Marcos Normativos
4.1. ENS y RGPD
El Reglamento General de Protección de Datos (RGPD) y el ENS son complementarios pero tienen enfoques distintos:
| Aspecto |
RGPD |
ENS |
| Objetivo |
Proteger los datos personales |
Proteger los sistemas de información |
| Ámbito |
Cualquier entidad que trate datos personales |
Sector público español |
| Obligatoriedad |
Obligatorio (UE) |
Obligatorio (España, sector público) |
| Medidas |
Consentimiento, legitimación, derechos ARCO |
Medidas técnicas y organizativas de seguridad |
En el SAS, al manejar datos de salud (categoría especial según RGPD artículo 9), debes cumplir AMBAS normativas: el RGPD para la protección de datos personales, y el ENS para la seguridad de los sistemas que los procesan.
4.2. ENS e ISO 27001
La principal diferencia entre el ENS e ISO 27001 (norma internacional de sistemas de gestión de seguridad de la información) es el carácter de cumplimiento:
- ISO 27001: Certificación voluntaria. Las organizaciones eligen certificarse para demostrar buenas prácticas.
- ENS: Cumplimiento obligatorio para el sector público español según la Ley 40/2015.
Ambos son compatibles y muchas organizaciones implementan ambos marcos de forma integrada.
🔍 Pregunta Tipo Examen
Respecto al carácter de cumplimiento de las normas de ISO-IEC 27001 y Esquema Nacional de Seguridad, la principal diferencia entre ellas es que:
- A) La norma ISO-IEC 27001 tiene un carácter voluntario, mientras que el ENS tiene carácter obligatorio para los sistemas de información del ámbito de la ley 40/2015.
- B) La norma ISO-IEC 27001 tiene un carácter obligatorio, mientras que el ENS tiene carácter voluntario para los sistemas de información del ámbito de la ley 40/2015.
- C) Ambas normas tienen carácter obligatorio.
- D) Ambas normas tienen carácter voluntario.
✅ Respuesta Correcta: A
Explicación: La ISO 27001 es una norma internacional de carácter voluntario que las organizaciones pueden certificar si lo desean. El ENS, en cambio, es de obligado cumplimiento para todos los sistemas de información del sector público español según la Ley 40/2015 de Régimen Jurídico del Sector Público.
5. Aplicación del ENS en el SAS: Casos Prácticos
5.1. Caso Práctico: Categorización de Diraya
Situación: Debes determinar la categoría de seguridad del sistema Diraya según el ENS.
Análisis por dimensiones:
- [C] Confidencialidad: ALTA. Las historias clínicas contienen datos sensibles. Un acceso no autorizado vulnera la intimidad y supone incumplimiento del RGPD.
- [I] Integridad: ALTA. La modificación no autorizada de datos clínicos puede poner en riesgo vidas (por ejemplo, cambiar un grupo sanguíneo, una alergia).
- [D] Disponibilidad: ALTA. Los profesionales sanitarios necesitan acceso inmediato a las historias para tomar decisiones clínicas. La indisponibilidad puede comprometer la asistencia.
- [T] Trazabilidad: ALTA. Es imprescindible auditar quién accedió a qué historia y cuándo, tanto por requisitos legales como para detectar accesos indebidos.
- [A] Autenticidad: ALTA. Debe garantizarse que las prescripciones y diagnósticos provienen de profesionales autorizados.
Conclusión: Diraya es categoría ALTA, ya que múltiples dimensiones alcanzan nivel ALTO. Esto implica:
- Certificación de conformidad por entidad externa.
- Auditorías cada 2 años.
- Plan de continuidad obligatorio.
- Medidas de seguridad reforzadas.
5.2. Caso Práctico: Incidente de Vishing en el SAS
Situación: Un atacante llama por teléfono a un administrativo del SAS haciéndose pasar por el servicio técnico de Diraya y solicita sus credenciales de acceso. El administrativo, sin sospechar, las facilita.
Preguntas del examen:
- ¿Qué tipo de ataque es? Respuesta: Vishing (voice phishing), un ataque de ingeniería social por teléfono.
- ¿Qué medida del ENS debe reforzarse prioritariamente? Respuesta: [mp.per.4] Formación. La ingeniería social se combate principalmente con concienciación y formación del personal.
5.3. Caso Práctico: Auditoría ENS de un Sistema MEDIO
Situación: El portal ClicSalud+ (categoría MEDIA) debe auditarse según el ENS.
Pasos:
- Contratar una entidad externa acreditada para realizar la certificación de conformidad.
- La auditoría verifica que se cumplen las medidas de seguridad del Anexo II del RD 311/2022 aplicables a categoría MEDIA.
- Se revisan políticas, procedimientos, controles técnicos (accesos, copias de seguridad, cifrado), y evidencias (logs, documentación).
- La entidad emite un informe de auditoría indicando el grado de cumplimiento.
- Si hay deficiencias, el SAS debe implementar un plan de acción para subsanarlas.
- El plazo es cada 2 años, extensible 3 meses por fuerza mayor.
6. Estrategia de Ciberseguridad en Andalucía
6.1. Estrategia de Ciberseguridad de Andalucía 2022-2025
La Junta de Andalucía ha establecido su propia Estrategia de Ciberseguridad 2022-2025 con ocho objetivos estratégicos:
- Fortalecer las estructuras de gobierno en ciberseguridad.
- Reforzar las capacidades de prevención, detección y respuesta a incidentes.
- Situar a Andalucía como referente a nivel nacional e internacional en ciberseguridad.
- Mejorar las capacidades en empresas andaluzas.
- Potenciar el talento y competencias de ciberseguridad en la ciudadanía y profesionales.
- Fomentar la colaboración público-privada.
- Impulsar la I+D+i en ciberseguridad.
- Mejorar la cultura de ciberseguridad en la sociedad andaluza.
🔍 Pregunta Tipo Examen
¿Cuál de los siguientes NO es objetivo de Estrategia Andaluza de Ciberseguridad 2022-25?
- A) Fortalecer las estructuras de gobierno.
- B) Incorporar la seguridad del paciente a los procesos relacionados con la información y comunicación sanitaria soportados por la tecnología.
- C) Reforzar las capacidades de prevención, detección y respuesta a incidentes.
- D) Situar a Andalucía como referente a nivel nacional e internacional en ciberseguridad.
✅ Respuesta Correcta: B
Explicación: La opción B, aunque es un objetivo válido del ámbito sanitario, NO se lista como uno de los ocho objetivos estratégicos de la Estrategia Andaluza de Ciberseguridad 2022-2025. Las opciones A, C y D sí son objetivos explícitos de dicha estrategia.
7. Herramientas y Metodologías de Análisis de Riesgos
7.1. MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información)
MAGERIT es la metodología oficial española para el análisis y gestión de riesgos de los sistemas de información. Es promovida por el CCN (Centro Criptológico Nacional) y se utiliza para cumplir con el ENS.
MAGERIT define dos tipos de análisis:
- Análisis Cualitativo: Utiliza escalas de valores discretos (bajo, medio, alto) para valorar activos, amenazas, impactos y riesgos. Es más rápido pero menos preciso.
- Análisis Cuantitativo: Utiliza valores numéricos y monetarios para cuantificar riesgos. Es más preciso pero requiere más tiempo y datos.
🔍 Pregunta Tipo Examen
¿Qué elemento distingue principalmente el análisis cualitativo del cuantitativo en MAGERIT?
- A) El uso de escalas de valores discretos para valorar activos y amenazas.
- B) La implementación de controles de seguridad específicos.
- C) El tiempo necesario para realizar el análisis.
- D) La necesidad de usar la herramienta PILAR.
✅ Respuesta Correcta: A
Explicación: El análisis cualitativo en MAGERIT se distingue por el uso de escalas de valores discretos (ej. bajo, medio, alto) para valorar activos, amenazas, impactos y riesgos. El análisis cuantitativo, en cambio, usa valores numéricos y monetarios. La implementación de controles (opción B) es una fase posterior a la valoración del riesgo. El tiempo (opción C) es una consecuencia, no el elemento distintivo. PILAR (opción D) es una herramienta de apoyo, no un requisito.
7.2. PILAR (Herramienta de Análisis de Riesgos)
PILAR es una herramienta informática gratuita desarrollada por el CCN para facilitar la aplicación de MAGERIT. Permite realizar análisis de riesgos de forma sistemática.
Dimensiones de seguridad que analiza PILAR:
- Disponibilidad
- Integridad
- Confidencialidad
- Autenticidad
- Trazabilidad
🔍 Pregunta Tipo Examen
¿Cuál de las siguientes dimensiones de la seguridad es una en la que permite analizar los riesgos la solución PILAR?
- A) Continuidad.
- B) Resiliencia.
- C) Disponibilidad.
- D) Fiabilidad.
✅ Respuesta Correcta: C
Explicación: PILAR analiza las cinco dimensiones de seguridad del ENS: Disponibilidad, Integridad, Confidencialidad, Autenticidad y Trazabilidad. La opción C (Disponibilidad) es correcta. Continuidad, resiliencia y fiabilidad (opciones A, B, D) son conceptos relacionados pero no son dimensiones específicas que PILAR analiza según el ENS.
8. Conclusiones y Estrategia de Estudio
🎯 Ideas Clave del Tema 36
- El ENS (RD 311/2022) es de cumplimiento obligatorio para todos los sistemas del sector público, incluido el SAS.
- La categorización se basa en cinco dimensiones (C, I, D, T, A) y determina el nivel de seguridad (BÁSICA, MEDIA, ALTA).
- Auditorías cada 2 años, extensibles 3 meses por fuerza mayor (artículo 31).
- Los principios básicos del ENS son clave: seguridad integral, gestión basada en riesgos, defensa en profundidad, vigilancia continua, diferenciación de responsabilidades.
- La LPIC protege infraestructuras críticas con requisitos adicionales al ENS.
- MAGERIT es la metodología de análisis de riesgos, y PILAR la herramienta de apoyo.
- El ENS es complementario al RGPD (protección de datos) y a ISO 27001 (certificación voluntaria).
8.1. Estrategia de Memorización
Para la normativa:
- Crea flashcards con artículos clave: Art. 31 (auditorías cada 2 años + 3 meses), Anexo I (categorización), Anexo II (medidas de seguridad).
- Memoriza los principios básicos del ENS con acrónimos: S-G-P-L-V-R-D (Seguridad integral, Gestión de riesgos, Prevención-detección-respuesta-recuperación, Líneas de defensa, Vigilancia continua, Reevaluación periódica, Diferenciación de responsabilidades).
Para las categorías:
- Regla mnemotécnica: «BÁSICA = Bajo solo», «MEDIA = Medio solo o Bajo múltiple», «ALTA = Alto o Medio múltiple».
- Practica con casos del SAS: Diraya (ALTA), ClicSalud+ (MEDIA), Web informativa (BÁSICA).
Para los roles:
- Asocia cada rol con una pregunta: ¿Quién decide QUÉ información? (Responsable de la Información). ¿Quién decide QUÉ servicios? (Responsable del Servicio). ¿Quién SUPERVISA seguridad? (Responsable de Seguridad). ¿Quién OPERA el sistema? (Responsable del Sistema).
8.2. Retos Emergentes y Actualización Continua
La ciberseguridad evoluciona rápidamente. Como futuro técnico del SAS, deberás estar al día en:
- Ransomware en sanidad: Los hospitales son objetivo prioritario de ataques con cifrado de datos y extorsión.
- IoMT (Internet of Medical Things): Dispositivos médicos conectados (bombas de infusión, monitores) que pueden ser vulnerables.
- IA generativa y ciberseguridad: Tanto para defensa (detección automatizada de amenazas) como para ataque (phishing sofisticado generado por IA).
- Cloud híbrida en SAS: La migración de sistemas a la nube requiere adaptar las medidas del ENS a entornos cloud.
9. Cuestionario de Preguntas Tipo Test
Las siguientes 30 preguntas están basadas en exámenes reales del SAS de los años 2019, 2023 y 2025. Practícalas hasta dominarlas.
Pregunta 1
Indique cuál de los siguientes es un principio básico del Esquema Nacional de Seguridad (ENS):
- A) Identificación, corrección y protección.
- B) Monitoreo, intervención y preservación.
- C) Existencia de líneas de defensa.
- D) Vigilancia discontinua.
✅ Respuesta Correcta: C
Explicación: La «Existencia de líneas de defensa» es uno de los principios básicos del ENS recogidos en el RD 311/2022. Promueve implementar múltiples capas de seguridad. Las opciones A y B describen actividades pero no principios rectores. La opción D es incorrecta porque el ENS promueve la vigilancia continua, no discontinua.
Pregunta 2
Según el artículo 31 del Real Decreto 311/2022, los sistemas de información serán objeto de una auditoría regular ordinaria que verifique el cumplimiento del ENS:
- A) Al menos cada dieciocho meses, pudiendo extenderse durante seis meses adicionales por fuerza mayor.
- B) Al menos cada dos años, sin posibilidad de extensión.
- C) Al menos cada dos años, pudiendo extenderse durante tres meses por fuerza mayor.
- D) Al menos cada doce meses, pudiendo extenderse hasta treinta y seis meses por fuerza mayor.
✅ Respuesta Correcta: C
Explicación: El artículo 31 del RD 311/2022 establece claramente: auditorías cada 2 años, extensibles 3 meses por fuerza mayor no imputable a la entidad. Este es un artículo muy preguntado en exámenes.
Pregunta 3
¿Cuál de las siguientes afirmaciones es correcta respecto de la determinación de la categoría de seguridad de un sistema de información según el Anexo I del ENS?
- A) Un sistema será de categoría BÁSICA si alguna dimensión alcanza nivel BAJO y ninguna alcanza nivel superior.
- B) Un sistema será de categoría MEDIA si alguna dimensión alcanza nivel MEDIO y ninguna alcanza nivel superior o más de una dimensión alcanza nivel BAJO.
- C) Un sistema será de categoría ALTA si alguna dimensión alcanza nivel ALTO o más de una dimensión alcanza nivel MEDIO.
- D) Un sistema será de categoría BÁSICA si no es aplicable el ENS.
✅ Respuesta Correcta: A
Explicación: Según el Anexo I del ENS, un sistema es BÁSICO si alguna dimensión alcanza BAJO y ninguna alcanza superior. La opción A es la definición exacta del real decreto. Las opciones B y C tienen imprecisiones, y la D es incorrecta porque el ENS aplica a todos los sistemas del sector público.
Pregunta 4
El rol de supervisión en el Esquema Nacional de Seguridad (ENS) lo desempeña:
- A) El responsable de la información.
- B) El responsable del servicio.
- C) El responsable de la seguridad.
- D) El responsable del sistema.
✅ Respuesta Correcta: C
Explicación: El Responsable de la Seguridad es quien desempeña el rol de supervisión, control y evaluación del cumplimiento de las medidas de seguridad en el ENS.
Pregunta 5
Si usted dispone de un sistema con categoría ALTA según el ENS, deberá desarrollar un plan de continuidad. ¿Cuál de los siguientes aspectos NO contemplará dicho plan?
- A) Previsión para coordinar la entrada en servicio de medios alternativos.
- B) Identificación de funciones, responsabilidades y actividades a realizar.
- C) Formación específica del personal afectado por el plan.
- D) Proceso formal de autorizaciones que cubra todos los elementos del sistema de información.
✅ Respuesta Correcta: D
Explicación: Las opciones A, B y C son elementos que SÍ debe contemplar un plan de continuidad según el ENS. La opción D (proceso formal de autorizaciones) corresponde a medidas de control de accesos, no específicamente a planes de continuidad.
Pregunta 6
¿Cuál de las siguientes categorías de sistemas de información requerirá una declaración de conformidad según el RD 311/2022?
- A) Sistemas de categoría BÁSICA.
- B) Sistemas de categoría MEDIA.
- C) Sistemas de categoría ALTA.
- D) Ninguno. Todos requieren certificación de conformidad.
✅ Respuesta Correcta: A
Explicación: Los sistemas de categoría BÁSICA requieren una declaración de conformidad (autoevaluación por la propia organización). Los sistemas MEDIA y ALTA requieren certificación de conformidad por entidad externa acreditada.
Pregunta 7
Respecto al carácter de cumplimiento de ISO 27001 y ENS, la principal diferencia es que:
- A) ISO 27001 es voluntaria, el ENS es obligatorio para sistemas del ámbito de la Ley 40/2015.
- B) ISO 27001 es obligatoria, el ENS es voluntario para sistemas del ámbito de la Ley 40/2015.
- C) Ambas normas son obligatorias.
- D) Ambas normas son voluntarias.
✅ Respuesta Correcta: A
Explicación: ISO 27001 es una norma internacional de carácter voluntario que las organizaciones pueden certificar si lo desean. El ENS es de obligado cumplimiento para el sector público español según la Ley 40/2015.
Pregunta 8
¿Cuál de las siguientes dimensiones de seguridad permite analizar los riesgos la herramienta PILAR?
- A) Continuidad.
- B) Resiliencia.
- C) Disponibilidad.
- D) Fiabilidad.
✅ Respuesta Correcta: C
Explicación: PILAR analiza las cinco dimensiones de seguridad del ENS: Confidencialidad, Integridad, Disponibilidad, Trazabilidad y Autenticidad. La opción C es correcta.
Pregunta 9
¿Qué elemento distingue principalmente el análisis cualitativo del cuantitativo en MAGERIT?
- A) El uso de escalas de valores discretos para valorar activos y amenazas.
- B) La implementación de controles de seguridad específicos.
- C) El tiempo necesario para realizar el análisis.
- D) La necesidad de usar la herramienta PILAR.
✅ Respuesta Correcta: A
Explicación: El análisis cualitativo en MAGERIT se distingue por usar escalas discretas (bajo, medio, alto), mientras el cuantitativo usa valores numéricos y monetarios.
Pregunta 10
¿Cuál de los siguientes NO es objetivo de la Estrategia Andaluza de Ciberseguridad 2022-2025?
- A) Fortalecer las estructuras de gobierno.
- B) Incorporar la seguridad del paciente a los procesos de comunicación sanitaria soportados por tecnología.
- C) Reforzar las capacidades de prevención, detección y respuesta a incidentes.
- D) Situar a Andalucía como referente nacional e internacional en ciberseguridad.
✅ Respuesta Correcta: B
Explicación: Aunque la opción B es un objetivo válido del ámbito sanitario, NO se lista como uno de los ocho objetivos estratégicos de la Estrategia Andaluza de Ciberseguridad 2022-2025. Las opciones A, C y D sí son objetivos explícitos.
Pregunta 11
Según las figuras definidas por el ENS, los operadores STIC:
- A) Son responsables de la operación diaria de los servicios de seguridad relacionados con las TIC.
- B) Reciben instrucciones e informan a su Responsable de Seguridad inmediato superior.
- C) Deben reportar cualquier inseguridad o debilidad que perciban durante la realización de sus tareas.
- D) Todas las opciones son correctas.
✅ Respuesta Correcta: D
Explicación: Los operadores STIC son responsables de la operación diaria de servicios de seguridad, reportan al Responsable de Seguridad, y deben informar de cualquier debilidad detectada. Todas las afirmaciones son correctas.
Pregunta 12
Según las figuras del ENS, el administrador del sistema:
- A) Es el encargado de las tareas de configuración, mantenimiento y optimización de bases de datos.
- B) Es el encargado de las tareas de administración de red, siendo responsable de aspectos de seguridad como enrutamiento, filtrado, VPNs, detección de intrusos.
- C) Tiene por misión realizar las tareas de administración del Sistema. Son los responsables de la implantación, configuración y mantenimiento de los servicios TIC.
- D) Todas las opciones son correctas.
✅ Respuesta Correcta: C
Explicación: El administrador del sistema es quien realiza las tareas de administración del sistema TIC: implantación, configuración y mantenimiento de servicios. Las opciones A y B describen roles más específicos (administrador de BBDD, administrador de red), que son tipos de administradores pero no la definición general del rol.
Pregunta 13
Un incidente en la confidencialidad de un sistema SAS supone incumplimiento material de una norma jurídica y daño reputacional significativo. Según el Anexo I del ENS, ¿qué nivel de seguridad requiere la dimensión de Confidencialidad?
- A) Nivel BAJO.
- B) Nivel MEDIO.
- C) Nivel ALTO.
- D) Nivel No Adscrito (N/A).
✅ Respuesta Correcta: B
Explicación: Según el Anexo I del ENS, un incidente que suponga «incumplimiento material de una norma jurídica o incumplimiento formal no subsanable y daño reputacional significativo» corresponde a nivel MEDIO de seguridad para la dimensión de Confidencialidad.
Pregunta 14
¿Cuál de los siguientes principios NO es un principio básico del RD 311/2022 que regula el ENS?
- A) Gestión de la seguridad basada en los riesgos.
- B) Existencia de líneas de defensa.
- C) Organización e implantación del proceso de seguridad.
- D) Diferenciación de responsabilidades.
✅ Respuesta Correcta: C
Explicación: La opción C («Organización e implantación del proceso de seguridad») NO se menciona como principio básico del RD 311/2022. Los principios básicos listados incluyen: gestión basada en riesgos, líneas de defensa, diferenciación de responsabilidades, seguridad integral, prevención-detección-respuesta-recuperación, vigilancia continua, y reevaluación periódica.
Pregunta 15
Tras un ataque de vishing (solicitud de credenciales por teléfono) en el SAS, ¿qué medida de seguridad del ENS debe reforzarse prioritariamente?
- A) [mp.per.1] Medidas contra ataques.
- B) [mp.per.4] Formación.
- C) [mp.per.2] Deberes y obligaciones.
- D) [mp.s.1] Segregación de funciones.
✅ Respuesta Correcta: B
Explicación: El vishing es un ataque de ingeniería social que explota el factor humano. La medida más prioritaria es reforzar la formación y concienciación del personal ([mp.per.4]) para que reconozcan y respondan adecuadamente a este tipo de amenazas.
Pregunta 16
El alcance de un SGSI que deba cumplir con el ENS se establece:
- A) Por la propia organización que proyecta el SGSI.
- B) De acuerdo con el ámbito de aplicación del Esquema Nacional de Seguridad.
- C) Debe incluir a todos los servicios y sistemas de la organización.
- D) Todas las opciones son correctas.
✅ Respuesta Correcta: B
Explicación: El alcance de un Sistema de Gestión de Seguridad de la Información (SGSI) que deba cumplir con el ENS se establece de acuerdo con el ámbito de aplicación del Esquema Nacional de Seguridad, que viene definido por la normativa, no por decisión de la organización.
Pregunta 17
La norma ISO certificable sobre seguridad de la información es:
- A) ISO-IEC 27000.
- B) ISO-IEC 27001.
- C) ISO-IEC 27002.
- D) Todas las opciones son correctas.
✅ Respuesta Correcta: B
Explicación: ISO 27001 es la norma certificable sobre sistemas de gestión de seguridad de la información. ISO 27000 es el vocabulario, ISO 27002 es el código de buenas prácticas (guía, no certificable). Solo 27001 es certificable.
Pregunta 18
Según ISO 27001, la política de seguridad de la información debe:
- A) Estar disponible como información documentada.
- B) Comunicarse dentro de la organización.
- C) Estar disponible para las partes interesadas, según sea apropiado.
- D) Todas las opciones son correctas.
✅ Respuesta Correcta: D
Explicación: Según ISO 27001, la política de seguridad debe estar documentada, comunicarse internamente, y estar disponible para partes interesadas cuando sea apropiado. Todas las afirmaciones son correctas.
Pregunta 19
Es una medida de seguridad para reducir la probabilidad de la amenaza:
- A) Las medidas de prevención.
- B) Las medidas de disuasión.
- C) Las medidas de eliminación.
- D) Todas las opciones son correctas.
✅ Respuesta Correcta: D
Explicación: Las medidas de prevención, disuasión y eliminación son tipos de medidas de seguridad que buscan reducir la probabilidad de que una amenaza se materialice. Todas son correctas.
Pregunta 20
¿Cuál de las siguientes afirmaciones es FALSA en relación con la diferenciación de responsabilidades según el RD 311/2022?
- A) El Responsable de la Información determina los requisitos de seguridad de la información que maneja.
- B) El Responsable de Seguridad supervisa el cumplimiento de las medidas de seguridad.
- C) El Responsable del Sistema decide qué servicios deben prestarse.
- D) Los Administradores del Sistema realizan tareas de implantación y configuración de servicios TIC.
✅ Respuesta Correcta: C
Explicación: La opción C es FALSA. Quien decide qué servicios deben prestarse es el Responsable del Servicio, no el Responsable del Sistema. El Responsable del Sistema se encarga de la operación del sistema, no de definir los servicios.
Pregunta 21
Para un sistema de categoría MEDIA según el ENS, ¿qué tipo de conformidad se requiere?
- A) Declaración de conformidad por la propia organización.
- B) Certificación de conformidad por entidad externa acreditada.
- C) No se requiere ningún tipo de conformidad.
- D) Certificación de conformidad solo si maneja datos de salud.
✅ Respuesta Correcta: B
Explicación: Los sistemas de categoría MEDIA y ALTA requieren certificación de conformidad realizada por una entidad externa acreditada. Solo los sistemas BÁSICA requieren declaración de conformidad (autoevaluación).
Pregunta 22
¿Cuál de las siguientes NO es una dimensión de seguridad del ENS?
- A) Confidencialidad.
- B) Integridad.
- C) Resiliencia.
- D) Trazabilidad.
✅ Respuesta Correcta: C
Explicación: Las cinco dimensiones de seguridad del ENS son: Confidencialidad, Integridad, Disponibilidad, Trazabilidad y Autenticidad. Resiliencia es un concepto relacionado con la capacidad de recuperación, pero no es una dimensión de seguridad del ENS.
Pregunta 23
¿Cuál es el plazo de extensión de auditorías ENS por fuerza mayor según el artículo 31 del RD 311/2022?
- A) 3 meses.
- B) 6 meses.
- C) 12 meses.
- D) No se contempla extensión.
✅ Respuesta Correcta: A
Explicación: El artículo 31 del RD 311/2022 establece que las auditorías ordinarias deben realizarse cada 2 años, pudiendo extenderse 3 meses cuando concurran impedimentos de fuerza mayor no imputables a la entidad.
Pregunta 24
En el contexto del ENS, ¿qué significa [op.exp.4]?
- A) Medida de protección de cifrado de datos.
- B) Medida operacional de mantenimiento y actualizaciones de seguridad.
- C) Medida de personal sobre formación.
- D) Medida organizativa de análisis de riesgos.
✅ Respuesta Correcta: B
Explicación: [op.exp.4] es la medida del marco operacional ([op]) referida a la explotación ([exp]) sobre mantenimiento y actualizaciones de seguridad. Incluye gestión de parches, verificación en entornos de prueba antes de producción, etc.
Pregunta 25
La Ley 8/2011 de Protección de Infraestructuras Críticas aplica principalmente a:
- A) Todos los sistemas de información del sector público.
- B) Solo infraestructuras cuyo funcionamiento es indispensable y sin soluciones alternativas.
- C) Exclusivamente sistemas de salud.
- D) Solo sistemas de categoría ALTA según ENS.
✅ Respuesta Correcta: B
Explicación: La LPIC se aplica a infraestructuras cuyo funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación tendría un grave impacto. No aplica a todos los sistemas públicos (opción A), ni solo a salud (opción C), ni automáticamente a sistemas ALTA (opción D).
Pregunta 26
¿Qué organismo gestiona el Centro Nacional de Protección de Infraestructuras Críticas (CNPIC)?
- A) El Ministerio del Interior.
- B) El Centro Criptológico Nacional (CCN).
- C) El Instituto Nacional de Ciberseguridad (INCIBE).
- D) La Secretaría de Estado de Seguridad.
✅ Respuesta Correcta: D
Explicación: El CNPIC depende de la Secretaría de Estado de Seguridad del Ministerio del Interior, y es el órgano encargado de coordinar la protección de las infraestructuras críticas en España.
Pregunta 27
Un sistema SAS maneja historias clínicas digitales. Si un incidente de confidencialidad vulnerara gravemente derechos fundamentales y pusiera en riesgo vidas, ¿qué nivel alcanzaría esta dimensión?
- A) Nivel BAJO.
- B) Nivel MEDIO.
- C) Nivel ALTO.
- D) No aplica el ENS a datos de salud.
✅ Respuesta Correcta: C
Explicación: Un incidente que vulnera gravemente derechos fundamentales y pone en riesgo vidas corresponde a nivel ALTO en la dimensión de Confidencialidad según el Anexo I del ENS. El ENS SÍ aplica a datos de salud.
Pregunta 28
¿Qué metodología de análisis de riesgos es oficial en España para cumplir con el ENS?
- A) NIST SP 800-53.
- B) MAGERIT.
- C) ISO 27005.
- D) OCTAVE.
✅ Respuesta Correcta: B
Explicación: MAGERIT (Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información) es la metodología oficial española promovida por el CCN para el análisis de riesgos en cumplimiento del ENS.
Pregunta 29
En el SAS, ¿qué sistema corporativo se considera de categoría ALTA según el ENS?
- A) Web informativa del SAS.
- B) Portal de empleo del SAS.
- C) Diraya (Historia Digital de Salud).
- D) Sistema de gestión de inventario de material de oficina.
✅ Respuesta Correcta: C
Explicación: Diraya, el sistema de Historia Digital de Salud, maneja datos críticos de salud de millones de andaluces. Su confidencialidad, integridad y disponibilidad son críticas para la asistencia sanitaria, por lo que es categoría ALTA.
Pregunta 30
¿Cuál de las siguientes afirmaciones sobre el ENS es CORRECTA?
- A) El ENS solo aplica a sistemas que manejan datos de salud.
- B) El ENS es opcional para entidades locales.
- C) El ENS es complementario al RGPD: el RGPD protege datos personales, el ENS protege sistemas de información.
- D) El ENS no aplica a sistemas cloud.
✅ Respuesta Correcta: C
Explicación: La opción C es correcta. El ENS y el RGPD son complementarios: el RGPD regula la protección de datos personales, mientras que el ENS establece medidas de seguridad para los sistemas de información que procesan esos datos. El ENS aplica a TODOS los sistemas del sector público (no solo salud), es obligatorio para entidades locales, y SÍ aplica a sistemas cloud.
10. Mapa Conceptual del Tema
╔════════════════════════════════════════════════════════════════════════╗
║ TEMA 36: ENS E INFRAESTRUCTURAS CRÍTICAS ║
╚════════════════════════════════════════════════════════════════════════╝
│
┌─────────────────┴─────────────────┐
│ │
┌──────────▼──────────┐ ┌──────────▼──────────┐
│ ENS (RD 311/2022) │ │ LPIC (Ley 8/2011) │
│ ✓ Obligatorio │ │ ✓ Infraestructuras │
│ ✓ Sector Público │ │ Críticas │
└──────────┬──────────┘ └──────────┬──────────┘
│ │
┌─────────────┼─────────────┐ │
│ │ │ │
┌──▼──┐ ┌───▼────┐ ┌───▼────┐ ┌────▼─────┐
│🔐 │ │📊 │ │👥 │ │🏥 │
│ Prin│ │ Cat. │ │ Roles │ │ Sect. │
│ cip.│ │ Seg. │ │ ENS │ │ Estrat.│
└──┬──┘ └───┬───┘ └───┬───┘ └────┬───┘
│ │ │ │
├─Seg. Integral ├─Resp. Información ├─Salud
├─Gestión Riesgos ├─Resp. Servicio ├─Energía
├─Prev-Det-Resp-Rec ├─Resp. Seguridad ├─TIC
├─Líneas Defensa ├─Resp. Sistema ├─Transporte
├─Vigilancia Continua ├─Administradores └─Agua
├─Reevaluación └─Operadores STIC
└─Dif. Responsab.
│
┌─────────┼─────────┐
│ │ │
┌────▼───┐ ┌──▼───┐ ┌──▼────┐
│ BÁSICA │ │MEDIA │ │ ALTA │
│ [Decl.]│ │[Cert]│ │[Cert] │
└────┬───┘ └──┬───┘ └──┬────┘
│ │ │
1 Dim. 1 Dim. 1 Dim. ALTO
BAJO MEDIO o +1 MEDIO
y resto y resto
menor menor
│
┌─────────┴─────────┐
│ DIMENSIONES │
│ [C] [I] [D] │
│ [T] [A] │
└───────────────────┘
│
┌─────────┴─────────┐
│ AUDITORÍAS ENS │
│ • Cada 2 años │
│ • Extensión 3m │
│ • Art. 31 RD 311 │
└───────────────────┘
│
┌─────────┴─────────────┐
│ MEDIDAS SEGURIDAD │
│ [org] [op] [mp] │
│ • mp.per.4: Formación│
│ • op.exp.4: Manten. │
│ • op.pl.1: Cont. │
└───────────────────────┘
│
┌─────────┴─────────────┐
│ HERRAMIENTAS │
│ • MAGERIT (Metodolog)│
│ • PILAR (Herramienta)│
│ • CCN-CERT (Respuesta│
└───────────────────────┘
│
┌─────────┴─────────────┐
│ APLICACIÓN SAS │
│ • Diraya → ALTA │
│ • ClicSalud+ → MEDIA │
│ • Web Info → BÁSICA │
└───────────────────────┘
11. Referencias Normativas y Bibliográficas
Normativa Esencial
- Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (BOE núm. 106, de 4 de mayo de 2022).
- Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas (BOE núm. 102, de 29 de abril de 2011).
- Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protección de las infraestructuras críticas (BOE núm. 121, de 21 de mayo de 2011).
- Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), que establece la obligatoriedad del ENS (BOE núm. 236, de 2 de octubre de 2015).
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (RGPD).
- Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Guías y Documentos Técnicos del CCN
- CCN-STIC 801 – Responsabilidades y Funciones en el Esquema Nacional de Seguridad.
- CCN-STIC 802 – Auditoría del ENS.
- CCN-STIC 803 – Valoración de Sistemas en el ENS.
- CCN-STIC 804 – Guía de implantación del ENS.
- MAGERIT v.3 – Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información.
- PILAR – Herramienta de Análisis de Riesgos (disponible en CCN-CERT).
Normativa Andaluza
- Estrategia de Ciberseguridad de Andalucía 2022-2025 (Junta de Andalucía).
- Decreto 622/2019, de 27 de diciembre, de administración electrónica, simplificación de procedimientos y racionalización organizativa de la Junta de Andalucía.
- Política de Seguridad de las TIC del Servicio Andaluz de Salud (documento interno SAS).
Normas ISO Relacionadas
- ISO/IEC 27000 – Vocabulario y Conceptos de Seguridad de la Información.
- ISO/IEC 27001 – Sistemas de Gestión de la Seguridad de la Información (SGSI) – Requisitos.
- ISO/IEC 27002 – Código de Buenas Prácticas para la Gestión de la Seguridad de la Información.
- ISO/IEC 27005 – Gestión de Riesgos de Seguridad de la Información.
- ISO/IEC 27799 – Gestión de Seguridad de la Información en Salud usando ISO 27001.
Bibliografía Complementaria
- Fernández Medina, E. et al. (2023). Seguridad de la Información en el Sector Público. RA-MA Editorial.
- CCN-CERT (2022). Informe de Ciberamenazas y Tendencias 2022. Centro Criptológico Nacional.
- ENISA (2023). Threat Landscape for Healthcare Sector. European Union Agency for Cybersecurity.
