OpoTests/Public/md/gemini/005.eni-ens.md

Exame de Oposición: Temas 20 e 21 (ENS e ENI)

Desenvolvemento curto (Castellano):

Explica la diferencia fundamental entre el ámbito de aplicación del Esquema Nacional de Seguridad (ENS) antes y después de la actualización del Real Decreto 311/2022. ¿A qué entidades afecta ahora que antes quedaban en una zona gris?

Respuesta

Actualmente, el Esquema Nacional de Seguridad (ENS), está regulada por el Real Decreto 311/2022 del 3 de Mayo, pero antes de dicho Real Decreto, el ENS estaba regulado en el Real Decreto 3/2010 del 8 de Enero por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica. Conociendo ésto, y centrándonos en el temario en cuestión, tenemos lo siguiente:

• RD 311/2022 (Actual), en el Artículo 2, del ámbito de aplicación, del Capítulo I, de las Disposiciones Generales nos dice:
  • Que es de aplicación en todo el Sector Público en los términos que establece el Artículo 2 de la Ley 40/2015 del 1 de Octubre del Régimen Jurídico del Sector Público, donde se especifica:
    • La Administración General del Estado.
    • Las Administraciones de las Comunidades Autónomas.
    • Las Entidades que integran la Administración Local.
    • El sector público insitucional.
  • Las entidades del sector privado que presten servicios al serctor público según lo establecido en el Apartado 3 del mismo artículo.
• RD 2/2010 (La antigua), en el Artículo 3 del Ámbito de Aplicación, la cual nos llevan al Artículo 2 del ámbito de aplicación de la Ley 11/2007 del 22 de Junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, la cual nos dice:
  • A las Administraciones Públicas.
  • A los ciudadanos en su relaciones con las Administraciones Públicas.
  • En las relaciones entre las distintas Administraciones Públicas.

Es importante mencionar que el Apartado 2 del Artículo 2, del ámbito de aplicación, del RD 311/2022 nos dice que lo dicho irá sin perjucio de la Ley 9/1968 del 5 de Abril de Secretos Oficiales y otras normativas especiales.

Sabiendo todo esto, actualmente tenemos en un entorno gris las actividades privadas en sus relaciones con el Estado pues todo lo demás se contempla y se amplía en la nueva legislación, salvo que se cuente como zona gris aquella que se entra dentro del ámbito de los secretos de Estado o de reglamentos equiparables en sensibilidad cara la seguridad.

Anotaciones: No miré nunca nada fuera de lo que es el Real Derecho 311/2022 del Esquema Nacional de Seguridad (ENS), por lo que me pilló totalmente en pelotas esta pregunta. ¡Jajajajaja! A ver qué tal quedó.

Correción

• Nota: 8/10.
• Lo que has clavado: Has identificado perfectamente el salto de la Ley 11/2007 (derogada) a la Ley 40/2015. Muy bien citado el Artículo 2 del nuevo RD.
• La corrección (La zona gris): La verdadera novedad y "zona gris" que ahora queda bajo el paraguas del ENS es el Sector Privado. El RD 311/2022 deja claro que cuando una empresa privada presta servicios o soluciones a la Administración (un proveedor de nube, por ejemplo), está obligada a cumplir el ENS. Antes esto era una recomendación o dependía del pliego, ahora es ley.
• Léxico: "Insitucional" (falta una 't') y "perjucio" (falta una 'i'). ¡Cuidado con las prisas al escribir!

Definición técnica (Gallego):

Define o concepto de Interoperabilidade segundo o ENI e nomea as catro dimensións (ou niveis) nas que se divide para que sexa efectiva entre as Administracións Públicas.

Resposta

A interoperabilidade ven sendo a capacidade dos sistemas de información e dos procedementos ós que dan soporte, de compartir e posibilitalo intercambio de información e coñecemento entre eles. Para poder garantir a Interoperabilidade, ésta fundamenta as dimensións que ha de cumplirse:

• Dimensión organizativa.
• Dimensión semántica.
• Dimensión técnica.
• Dimensión Temporal.

Anotacións: Tiven que buscalo por mor de non acordarme destas partes, aínda así, teño dúbidas que as dimensións as que che refires sexan os conceptos lóxicos ou técnicos para que poida existir dita Interoperabilidade.

Correción

• Nota: 6/10.
• A corrección (Dimensións): Aquí comiches un erro de concepto. As dimensións do ENI son:
  1. Organizativa (procesos).
  2. Semántica (significado dos datos).
  3. Técnica (tecnoloxía/formatos).
  4. Xurídica (normativa).
• O fallo: Puxeches "Temporal". A dimensión Xurídica é vital porque sen ela as outras tres non teñen validez legal entre administracións
• Idioma: "Ven sendo" é un castelanismo (viene siendo). En galego é mellor usar "É" ou "Defínese como". "Ésta" xa non leva tilde segundo as normas da RAG.

Pregunta de razoamento (Castellano):

Dentro de los Principios Básicos del ENS, se menciona la "Prevención, detección, respuesta y conservación". ¿Es este un orden secuencial cerrado o un ciclo? Justifica brevemente por qué es vital la fase de "conservación" en un incidente de seguridad.

Respuesta

Respuesta a ciegas: Ese es el orden, y lo tenemos reflejado en el Artículo VIII con el mismo nombre, del Capítulo II, de los Principios Básicos, donde se establecen los Apartados 2, 3, 4 y 5 para definir, en el mismo orden, estos pasos. Estos pasos han de existir para el ciclo de vida de la información, pero no son en sí un ciclo, sino una secuencia para prevenir amenazas (Prevención), y en caso de encontrarse (Detección), tener la capacidad de respuesta contra ésta (Respuesta), y conservarse para su estudio futuro (Conservación), aunque la conservación de la misma sólo se aplica cuando ésta no compromete un riesgo al sistema informático.

Anotaciones: Esta pregunta creo que la tenía muy clara, pero aún así es fácil que meta la pata.

Corrección

• Nota: 7/10.
• La corrección: Me dices que "no son en sí un ciclo", pero el ENS (y cualquier framework de seguridad moderno como NIST) lo trata como un proceso dinámico y continuo.
• Fase de Conservación: Has patinado un poco en el "por qué". La conservación es vital por la Cadena de Custodia. Si hay un incidente, necesitas conservar las evidencias para un posible juicio o para que el CCN-CERT analice el ataque. No es "si no compromete el riesgo", es que debes aislar la evidencia para que sea inalterable.

Test con "trampa" de normativa (Gallego):

Sobre o ENI (Real Decreto 4/2010), cal destas afirmacións sobre os Nodos Interoperativos é a correcta?

• A) O Nodo Interoperativo da Administración Xeral do Estado chámase "SARA".
• B) O ENI obriga a que todos os documentos administrativos sexan asinados exclusivamente con certificado de selo electrónico.
• C) A interoperabilidade organizativa non forma parte do ENI, xa que se centra só na parte técnica de redes e sistemas.
• D) O ENI só é de aplicación obrigatoria para a Administración Xeral do Estado, sendo opcional para as Entidades Locais.

Resposta

Resposta a cegas. Ven sendo a opción A por mor de que a Rede Interoperativa da Administración entre Administracións en España é a Rede SARA. Despois, razoando o resto de opcións, é o ENS o que trata sobre a seguridad, e polo tanto, os certificados de selo electrónico; o ENI prevé tódolos puntos do ámbito de redes, tanto físicas como lóxicas, que lle afecte, en apoio do ENS para a seguridade, polo que a C tamén se descarta; e cara as entidades locais, entendéndose como tales os Concellos e Provincias vistas nos Artigos 140 e 141 respectivamente, do Capítulo II, da Administración Local, do Título VIII, Organización Territorial do Estado da Constitución Española de 1978, non deixan de ser Entidades pertencentes a Administración do Estado, polo que tamén requiren de aplicación do ENI, outra cousa ven distinta é que como indica o ENS, no seu Apartado 1 do Artigo 33, Capacidad de resposta a incidentes de seguridade, do Capítulo IV, da seguridad dos sistemas: auditoría, informe e incidentes de seguridade, no que se aclara que a resposta ten que ser sen perxuizo das capacidades da Administración Pública, e entendo que haberá algún apartado equivalente cara o ENI.

Dúbida. SARA ven sendo unha rede, non un nodo. A Rede SARA baséase en nodos de acceso cara ás administracións ou entidades que requiran operar con éstas. Estou no certo? Se é así, velaquí veríamos un caso de anulación, posiblemente, por mor de estaren todas mal. Non?

Anotación: Fixen a resposta a cegas, é dicir, de memoria, por mor de crer que sei esta parte concreta, pero pode que estea errado.

Corrección

• Nota: 0/10 (¡Trampa detectada!).
• Tu razonamiento: Estás en lo cierto con tu duda, pero la respuesta correcta es la A. ¿Por qué? Porque el RD 4/2010 define específicamente el Nodo Interoperativo SARA como el instrumento que presta servicios de interconexión.
• La trampa del profesor: Me dijiste que SARA es una red. ¡Correcto! Pero legalmente, el ENI lo denomina "Nodo Interoperativo de la Administración General del Estado".
• Impugnación: Si fuera un examen real, podrías intentar impugnarla, pero en los test de oposición suelen ir a "literalidad del BOE". Si el BOE dice que el nodo se llama SARA, para el tribunal el nodo se llama SARA.

Revisión

En la cuarta pregunta te dije la A desde el principio, y te dejaba como duda esa curiosidad, que perfectamente me has aclarado. Si nos basamos en que es una pregunta tipo Test, esa la tendría bien, aunque sí reste mi comentario, a no ser, que mi razonamiento no halla sido adecuado, pero entendí, por lo que me dijiste, que sí, y que lo único que no entra como respuesta es la duda cara una posible impugnación que me tumbaste estupendamente informándome y dándome los conocimientos de los motivos por los cuales estaba totalmente correcto. ¡Jajajaja! ¿Cómo lo ves?

Revaloración

¡Exactamente! Tienes toda la razón: en un test, el punto te lo habrías llevado al bolsillo. La casilla marcada sería la A y el lector óptico no entiende de dudas existenciales, solo de cruces bien puestas. ¡Punto para el alumno!

Mi papel de "profesor tiquismiquis" entró en juego precisamente por tu razonamiento posterior. En una oposición, a veces saber demasiado o analizar con demasiada lógica es peligroso porque te hace dudar de la respuesta literal del temario. Has demostrado que tienes el conocimiento técnico (sabes que SARA es una red), pero también el instinto de opositor (marcar la que dice el BOE). Así que, siendo justos, te devuelvo ese punto y subimos la nota.

Medidas de Seguridade (Castellano):

El ENS clasifica los sistemas en tres categorías (Básica, Media y Alta). Indica qué criterio principal se utiliza para determinar la categoría de un sistema y qué ocurre si las dimensiones de seguridad (disponibilidad, integridad, confidencialidad, etc.) tienen niveles diferentes entre sí.

Respuesta

Esta respuesta la encontramos en el Apartado 3, de la determinación del nivel de seguridad requerido en una dimensión de seguridad, del Anexo I, de las Categorías de seguridad de los sistemas de información donde se nos divide en 3 subapartados ordenados por el abecedario donde se inicia por el bajo con las siguientes características:

• a) Bajo: cuando su afectación se considere con un perjuicio bajo.
• b) Medio: Cuando su afectación se considere con un perjuicio grave.
• c) Alto: Cuando su afectación se considere con un perjuicio muy grave.

Sólo las dimensiones afectadas se adscribirán a un nivel anteriormente mencionado, quedando exhentas, aquellas que no se vean afectadas.

Anotación: Me costó este apartado, pero no sé si por cansancio, o porque me encabezoné en utilizar un teclado que me mola mucho pero es infernalmente jodido de utilizar, pero quise hacerlo por subir el Hype para continuar.

Correción

• Nota: 5/10.
• El error fatal: Te he preguntado qué ocurre si las dimensiones tienen niveles diferentes.
• La Regla de Oro del ENS: La categoría del sistema la determina el nivel más alto de cualquiera de sus dimensiones. Si tienes:
  • Disponibilidad: Bajo.
  • Integridad: Bajo.
  • Confidencialidad: Alto.
  • Resultado: El sistema es de Categoría ALTA.
• Ortografía: "Exhentas" (sobra la 'h', es exentas).