ENS

Dimensionar adecuadamente los recursos del sistema.

Uso preferente de componentes con certificación de seguridad.

Identificación singular de usuarios y procesos.

El acceso se concede según necesidad de conocer y mínimo privilegio.

Separar funciones para evitar concentración de privilegios.

Gestionar el ciclo de vida de los derechos de acceso.

Mecanismos de autenticación para usuarios externos.

Mecanismos de autenticación para usuarios internos.

Mantener un inventario actualizado de los activos del sistema.

Configurar los componentes de forma segura (bastionado).

Mantener la configuración de seguridad a lo largo del tiempo.

Aplicar mantenimiento y parches de seguridad.

Controlar los cambios sobre el sistema.

Protección frente a malware.

Detectar, registrar y responder a incidentes de seguridad.

Registrar la actividad de usuarios y sistemas (logs).

Registrar las actuaciones de gestión de incidentes.

Proteger la integridad de los registros (logs).

Establecer SLA y requisitos de seguridad con terceros.

Gestión y seguimiento diario de los servicios externos.

Gestionar los riesgos de la cadena de suministro.

Proteger las interconexiones entre sistemas.

Medidas específicas para la protección de servicios en la nube.

Análisis de impacto sobre la continuidad (BIA).

Disponer de un plan de continuidad del servicio.

Probar periódicamente el plan de continuidad.

Disponer de medios alternativos para la prestación del servicio.

Herramientas de detección de intrusiones.

Recopilar métricas del estado de seguridad.

Vigilancia continua del sistema.

Garantizar el suministro eléctrico (SAI, generadores).

Medidas de protección contra incendios.

Medidas de protección contra inundaciones.

Registrar la entrada y salida de equipamiento.

Definir las responsabilidades de seguridad de cada puesto.

Informar al personal de sus deberes y obligaciones de seguridad.

Acciones de concienciación en seguridad.

Formación específica en seguridad para el personal.

Política de puesto de trabajo despejado.

Bloqueo automático del puesto tras inactividad.

Medidas específicas para portátiles y dispositivos móviles.

Proteger otros dispositivos conectados a la red.

Establecer un perímetro de red seguro (cortafuegos).

Cifrado de las comunicaciones para garantizar confidencialidad.

Garantizar autenticidad e integridad de las comunicaciones.

Segmentar la red separando flujos de información.

Marcar los soportes según la clasificación de la información.

Cifrado de la información en los soportes.

Custodia segura de los soportes de información.

Proteger los soportes durante su transporte.

Borrado seguro y destrucción de soportes.

Aplicar seguridad en el desarrollo de aplicaciones.

Pruebas de seguridad antes de la puesta en servicio.

Proteger los datos personales conforme a la normativa.

Calificar la información según su nivel de seguridad.

Uso de firma electrónica para autenticidad e integridad.

Uso de sellos de tiempo cuando se requiera.

Eliminar metadatos y datos ocultos de los documentos.

Realizar y custodiar copias de seguridad de la información.

Medidas de seguridad del correo electrónico.

Proteger los servicios y aplicaciones web.

Medidas de protección frente a ataques de denegación de servicio (DoS).