Un ente pubblico ci chiede la conformità all'ENS: di cosa si tratta e come si certifica in Spagna?

Se nel bando non è indicato il livello, chiedete subito una richiesta formale di chiarimenti (aclaración) sul portale gare. Se vi confermano il livello base, potete registrare il sistema compilando la checklist standard sulla piattaforma del CCN senza spendere un centesimo in auditor esterni. Mandate il quesito al più presto.

L'anno scorso abbiamo partecipato a una gara pubblica a Valencia da 110.000 EUR. Ci hanno chiesto l'ENS Medio. Avevamo già l'infrastruttura ISO 27001 pronta, ma per colmare i gap e superare l'audit ci sono voluti 3 mesi pieni. Abbiamo speso 8.500 EUR per l'ente accreditato e altri 4.000 EUR di consulenza.

Dal punto di vista tecnico, la differenza principale rispetto alla ISO sono le guide CCN-STIC. Dovrete usare solo algoritmi di crittografia approvati dal Centro Criptológico Nacional, integrare il sistema di notifica degli incidenti con la piattaforma pubblica di segnalazione e rendere obbligatoria l'autenticazione a due fattori per tutti gli amministratori di sistema.

Non fate assolutamente l'errore di pensare "abbiamo la ISO, la alleghiamo e l'ente la farà andare bene". Nelle gare pubbliche spagnole, se manca la certificazione o la dichiarazione ENS si viene esclusi direttamente nella fase amministrativa, senza nemmeno aprire l'offerta tecnica.

Ecco la scaletta da seguire: 1) Chiedete per iscritto alla stazione appaltante quale sia la categoria ENS. 2) Scaricate le guide serie CCN-STIC 800 e fate una gap analysis rispetto alla vostra ISO. 3) Se è livello base procedete con l'autocertificazione interna, se è medio chiedete subito preventivi a enti accreditati ENAC.

purtroppo la burocrazia spagnola su ste cose è rigidissima. noi per un lavoro simile con un comune ci siamo salvati in extremis con l'autocertificazione del livello base, altrimenti con l'audit esterno non saremmo mai arrivati in tempo.

Va inoltre ricordato che il Regio Decreto del 2022 ha aggiornato i requisiti ENS specificamente per i cloud provider. Verificare preventivamente che anche il vostro fornitore cloud disponga della certificazione ENS vi faciliterà notevolmente la procedura di audit.

La discussione si è dispersa, la riassumo. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Se avete domande, scrivete, rispondo per quanto possibile.

Riassumo l'argomento, perché sono state date diverse risposte. L'errore commesso da esquema nacional de seguridad è generalmente reversibile ma costoso.

Spero che le sia utile.

Sono d'accordo.

Tre cose da controllare mentre lo fai. L'errore commesso da esquema nacional de seguridad è generalmente reversibile ma costoso.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Ti seguo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Ci proverò. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Preso nota, grazie.

raro trovare articoli che spiegano le cose così chiaramente... se cerchi di cambiare tutto insieme, niente si stabilizza.

sono curioso di sapere se quallcuno lo fa in modo diverso.

Ho lavorato a lungo su questo. comunque il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se avete domande, scrivete rispondo per quanto possibile.

Questo approccio ha un costo, di cui non si parla. L'errore commesso da esquema nacional de seguridad è generalmente reversibile ma costoso.

Se non lo rendete scritto fin dall'inizio poi nascono discussioni. Buon lavoro.

La mia domanda sarà un po' da principiante scusate. Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi.

Questa è la mia opinione, non la scrivo come verità assoluta.