Vamos a comenzar ahora así.
La presentación del taller sobre el tema nacional de seguridad
es parte de los talleres que se realizan en la iniciativa civil,
tan une, en colaboración con el incibe
y financiados por los fondos europeos de excelencia.
El señor excelencia, y sin más dilación,
para comenzar ya con la pásmense ante la charla
doy paso a Antonio humano, que va a hacer la presentación del ponente
y que es uno de los profesores del módulo.
Estamos a, digamos, tratando en tecnologías
un poco de gobernanza de la Administración Pública
o, en general, va la exclamación su edad
de ahí de protección de datos, etc, etc.
Y que, por supuesto luego pondremos a disposición vuestra
la grabación una nota importantes podéis participar como como siempre
vía web ex entonces para organizar un poquito las aportaciones
yo estaré conectado, alinea entonces como mecanismo para funcionar.
Si os parece cualquier pregunta que tengáis
o nos sindicais por el chat, queréis hacerla.
Yo recomiendo que más participativo que hagáis.
Se vio la pregunta.
Si veis que no podéis por razón que sea,
yo la trasladaré a los ponentes de acuerdo bueno
pues sin más dilación vamos a comenzar entonces
Antonio cuando cuando quieras pues muchas gracias gracias a bueno
pues Incibe gracias a la escuela de Ingeniería Informática de la UNED,
gracias a los profesores de esta iniciativa tan estupenda
de cuestiones de ciberseguridad y en cuestiones de participación
de de De la sociedad en estas cuestiones tan importantes
y que están tomando un papel preponderante actualmente
como como es la seguridad, gracias a Rubens o mande,
berrinches, que lo tuvimos aquí en la sala y bueno,
y gracias a David David López.
Bueno, pues presentarla López no sólo es complicado,
porque es es muy amplia su trayectoria,
sino que es complicado,
porque no se puede ser objetivo por su buen amigo
e entonces, bueno, la vid es actualmente decir
o de algo ha sido su fundador es un Ciber;
Google, es una empresa especializada en la integración
del esquema nacional de seguridad, de acelerar también la integración
del del Reglamento General de Protección de Datos.
Es decir, bien y como un guante al a la unidad que estamos tratando,
y que vamos a tratar esta semana,
y la que viene también.
David sin tenientes de comunicaciones y electrónica
y rápidamente se ha encaminado, hacía tareas y simultánea
van por un lado, el trabajo en una empresa privada y de trabajo
apoyando a la administración pública ha ido además, transversalmente,
ha ido del nivel de técnico hasta el nivel de ceo
realmente y ya os he comentado que yo de esta empresa,
pero no solamente trabaja o ha trabajado en esta empresa,
sino que ha estado trabajando en el gobierno de Aragón,
ha sido responsable de seguridad y de todos los servicios
de tecnologías de la información, ha trabajado en la ese,
que es la empresa pública aragonesa de servicios telemáticos
y la empresa pública que lleva el tema,
pues entre otros de la ciberseguridad,
en el gobierno de Aragón.
Bueno, no me quiero extender mucho.
Simplemente voy a dar cuatro retazos a cuatro premios que le han
dado que creo que son relevantes.
David tiene o cuenta con el premio, un algún a la migración
y consolidación de los servicios de la de la empresa a STE
al nuevo cpd Walk igual casi no lo sabéis,
es un campus empresarial en aragón.
En huesca una relevancia importante también obtuvo el premio tenis
2016 al proyecto consolidado de seguridad que le dieron
en el Congreso Nacional de innovación y servicios públicos en 2016.
Obtuvo o o cis su
a ese y de nuevo la certificación de la primera entidad pública
en España en el esquema nacional de seguridad el nivel alto
y últimamente, ya en 2019, aenor le le otorgó la certificación
de otorguen la certificación del esquema nacional
de seguridad al primer ayuntamiento de España
de menos de 20.000 habitantes que está en Aragón
y que fue liderado por David y por último, le tiene el galardón
del centro criptológico nacional por sus trabajos
sobre el esquema nacional de seguridad,
que le fue otorgado por el centro criptológico nacional
en las en los terceros encuentros de Lens en junio del 2021.
Como digo, todo un referente ha sido ponente en multitud de veces.
En los encuentros sti del centro criptológico nacional,
cuya próxima edición será ahora a finales de noviembre
y, bueno, pues creo que es un honor y un placer contar con convivir
para que nos cuente cosas del esquema nacional de seguridad
y un poco también del Reglamento General de Protección de Datos,
aunque la siguiente.
El siguiente taller va más centrado en la protección de datos
y en la legislación sobre protección de datos de adif.
Cuando quieras, estamos ansiosos vamos a palma; venga,
pues vengamos llevas gracias.
Gracias por esta presentación, no sé yo si dentro de merecida.
Pero bueno, se agradece, de verdad.
Bueno, pues pues
si os parece, venga, si os parece son no las cuatro media,
aproximadamente una hora y media para hablar
del esquema nacional de seguridad, a mí no se me ocurre mejor manera
de pasar la tarde.
Entonces, mira el esquema nacional de seguridad
según cómo lo miráis tiene lo peor de la tecnología
y lo peor del derecho.
Si cogéis el real decreto 3, 11 barra,
2000 veintidos y si no tenéis sueño una noche quede ahí.
Pues no parece que lo tengo, sueño, coges, te lo lees,
que lo empiezas a leer y vamos a eso va inmediatamente
porque efectivamente las que van haciendo eso
ya es el esquema nacional de su vida, es un real decreto
y como es un real decreto es ley y como es ley
pues tiene el formato o la fonda, la forma y el fondo de una ley.
Con lo con todo lo que se implica.
La diferencia con respecto a otras leyes
es que pulsa de una manera muy profunda el ámbito tecnológico.
Entonces resulta que tienes una ley que es
de obligado cumplimiento para todas las administraciones públicas
y, y resulta que tienes una ley que, además,
desde el punto de vista tecnológico te marca muy claramente
las pautas que tienes que hacer, que tienes que llevar a cabo
para poder cumplirlas.
Entonces a la dificultad de una ley le añade la dificultad tecnológica
esa es un poquito la lectura, sí así grosso modo,
de ese esquema nacional de seguridad,
pero luego, cuando entras, digamos, cuando ya le coges un poco de cariño
o en realidad el esquema nacional desvalidas,
una herramienta buenísima de verdad lo digo,
no es no es porque me dediqué a ello
ni me de comer, es porque realmente es una herramienta muy buena.
Entonces, si os parece, no vamos a entrar en el detalle
de la ley para explicar la ley, porque es un rollo infumable
y que no merece la pena,
porque seguro que ya os lo han explicado.
Aunque sea por encima y a la vez leído,
a mí lo que me gustaría es explicaros, explicados,
porque es importante el esquema nacional de seguridad,
que tiene de relevante, porque es una buena herramienta,
y en el fondo,
para qué sirve y qué podemos conseguir con ello vale,
no solo nosotros o desde el punto de vista personal,
sino incluso a nivel,
a nivel de las administraciones públicas y a nivel también incluso
de país.
Entonces voy a empezar por la.
Retomando lo que ha dicho Antonio es aplicar someramente la relación
entre el esquema nacional de seguridad y la protección de datos,
y lo vamos a ver bueno, no sé cuántas palabras son,
pero son muy pocas básicamente la relación siempre pensando
en una administración pública e la relación
entre el rgpd y el esquema nacional de seguridades.
El eje que te dice que tienen.
Tienes que proteger qué datos tienes que proteger,
y el esquema nacional de seguridad te dice cómo tienes que hacerlo,
y una administración pública no puede cumplir con el rgpd,
sino cumple con el esquema nacional;
descubrió y esa es básicamente la relación en un ayuntamiento.
En un ministerio, en una entidad publicada,
que sea el ngp de, va a decir estos datos de carácter sensible
o de cara al ciudadano.
Estos datos son los.
Tenemos que proteger de una manera concreta?
Bueno, pues estos datos están dentro de una tecnología.
Pues ahora resulta que esa tecnología la tenemos que configurar
de una manera concreta,
y es el ns el que te dice cómo, y esa es la relación.
Vale?
Entonces dejamos de lado,
es el Large Pedre y nos centramos en el esquema nacional de seguridad,
me ha tienes que van a hacer al de seguridad.
Ya sabéis, lo tienen que cumplir todas las administraciones públicas.
Claro, si pensáis en administraciones públicas
pues bueno saldrán pues eso los ministerios
o saldrán las diputaciones
los ayuntamientos también nos saldrán las entidades públicas.
Pero es que luego, por ejemplo, para a la idea de un ayuntamiento
como el de Málaga, que estuvimos hace
un tiempo para hacer cosas del esquema nacional de seguridad
tiene como 35 o 40 entidades públicas alrededor.
Todas esas entidades también tienen que cumplir con el esquema nacional
de seguridad.
Entonces, si lo pensáis por un momento en España
hay del orden de 8.000 ayuntamientos,
vale, que 6.000 son de menos de 1.000 habitantes,
pero aun así sigue habiendo bastantes ayuntamientos,
digamos, medianos y grandes,
todos con sus entidades alrededor.
Luego están los ministerios total, hay del orden
de unas 18.000 entidades públicas en España,
todas esas tienen que cumplir con el esquema nacional
de seguridad.
Luego hay otro punto muy importante
y es este viene ahora lo explicaré de dónde, pero bueno.
La cuestión es que ahora ya
no solo tienen que cumplir las administraciones públicas,
sino también todas las entidades, todas las empresas,
todo el sector público que trabaja para la administración pública,
o sea, bueno, perdón, en el ámbito tecnológico.
Vamos a particularizar porque no todo todo vale,
pero es si yo doy servicios tecnológicos
a la administración pública.
La Administración me va a obligar a mí
a cumplir con el esquema nacional de su vida,
con lo cual se está haciendo un efecto dominó
que va a extender el esquema nacional de su vida en todo el ámbito.
They, vale, de.
Resulta y es una situación que temporalmente es un poco rara.
El esquema nacional de seguridad empezó en el 2010,
vale?
Ya han pasado unos años, a día de hoy hay como 150 o 100.
Bueno, no menos es que hay muy pocas, muy,
muy pocas entidades públicas
certificadas en el esquema nacional de seguridad,
precisamente porque es complejo, vale, empezó en el mes en el 2010,
pero en el 2000 veintidos ha salido otro real decreto
y ahora, en estos momentos hay dos esquemas nacionales
de seguridad en activo, el del 2010 el del 2000 veintidos.
Lo que pasa
es que el de 2000 veintidos se mueren malo,
lo matan en mayo del 2024 a partir de entonces solo
quedará vigente el real decreto 3, 11 barra, 2000 veintidos.
Vale este detalle?
Es importante porque.
En realidad han pasado 12 años
y han cambiado la ley.
Claro, es una ley enfocada en la tecnología y tiene sentido,
porque lo la tecnología que había en el 2010 ya
es diferentes diferentes que la que hay en el 2000 veintidos.
No queremos ya
ni pensar qué es lo que va a pasar dentro de 10 años.
No es que no nos queremos pensar,
es que no tenemos ni idea de lo que va a haber
dentro de 10 años.
Lo que sí os puedo decir es que desde la cierta relación
que hay con el este, con el centro criptológico nacional,
ya están con el nuevo esquema nacional de seguridad
y tiene sentido, porque si la tecnología
avanza y estamos hablando de Inteligencia Artificial,
lo que está claro es que vamos a tener que también protegernos.
Con respecto a eso,
y para eso el el el real decreto que aún está vigente,
pues es que se va a quedar obsoleta, enseguida.
Con lo cual, lo que significa es que el cumplimiento del esquema nacional
de seguridad, que ya es difícil,
está siendo difícil que cumpla las administraciones públicas,
es algo que es bueno, sí?
Pero es que no solo tenemos que cumplirlo hoy,
es que lo vamos a tener que cumplir permanentemente.
Entonces, de ahí los esfuerzos en el caso español,
del centro criptológico nacional,
para impulsar el cumplimiento del esquema.
Vale?
No sé si os suena, vamos a hacer vamos a hacer una prueba una prueba
así a vuela pluma porque bueno me gustaría usarlos cuántos de vosotros
a cuántos de vosotros os suena que es el centro criptológico nacional
y acaba va tanto?
Estáis levanta la mano, por favor, bailaba,
o suena el centro criptológico nacional,
hambre a ver si que no se nos es cómo contar,
si se puede.
Hombre, Javier Cabello dice que sí que.
Claro, vale.
Saúl Grande dice que si Maricarmen
si vale el centro criptológico nacional bueno
pues hombre ya si os concessió suena el centro criptológico nacional,
entonces seguro que suena el cni, os suena escena escenari.
Bueno, vamos a mal del Centro Nacional de inteligencia.
Vale?
Vale, pues entonces mira el asunto.
Este, el el esquema nacional de seguridad nace de cara a la.
Las administraciones públicas.
Male muy bien, podéis
esa dedico no vale ah vale vale nuestras añadiendo tu sense
entonces de verdad todos agradezco que haya responderéis porque bueno,
hombre que estamos ahí en distancia y tal,
pero sí que sí que es verdad que se teníais dudas,
por cierto, por favor, planteándola sobre la marcha
y las vamos introduciendo.
Vale?
Si o surgen dudas, de verdad que no hay problema.
Tenemos tiempo de sobra para explicar todo lo que haga falta.
Entonces el tema es que sí que es cierto
que cuando sale el esquema nacional de seguridad en el 2010
está muy enfocada a las administraciones públicas,
pero yo os voy a decir una cosa.
Esto del ns en realidad tiene que ver con las administraciones públicas,
pero no, no está pensado para que las administraciones públicas
trabajen de una manera más ágil,
que también si el enfoque de todo esto
y en realidad va por otros sitios, por eso ahora ahora es explico,
la verdad es que el esquema nacional de seguridad lo pilota.
Lo define, sí lo impulsa el centro criptológico nacional.
El centro criptológico nacional depende
del Centro Nacional de Inteligencia y el Centro Nacional de Inteligencia,
depende del Ministerio de Defensa.
Si vosotros pensáis que todo esto se está haciendo
para que la administración vaya un poquito más rápida,
pues en realidad no es así si aquí de lo que se trata
y de lo que se está manejando es la defensa nacional,
se que suena un poquito ampuloso,
pero es que es verdad.
En las directrices de la estrategia nacional
de seguridad del 2020 del 2021,
que es la primera, es la protección de la administración pública,
y solo tienes que pensar qué ocurriría si le pediría
es simplemente, es un petardazo a una comunidad autónoma
y le paradas todos los servidores.
Pues se monta o realmente se complica muchísimo la vida del personal
de las personas imaginas un ataque a un hospital, la, la, el ruido,
que eso genera, los problemas que genera.
Ya saben lo que ocurre a los políticos.
Eso les da muchísimo miedo.
Entonces, todo esto que se está haciendo,
obviamente, va enfocado a dar un mejor servicio
desde el punto de vista de la Administración,
porque la disponibilidad es una de las dimensiones
de la seguridad, vale, pero el enfoque es,
sobre todo desde el punto de vista de defensa.
Vale?
Porque yo creo que esto es importante,
primero porque esto no va para si no vale,
salvo que digamos, venga, vamos a hacerlo y ya luego,
y así eso ya vamos viendo.
No hubo un es en el 2010, ha habido uno en el 2000 veintidos
y según va la trayectoria, no tardará mucho en ver otro nuevo,
porque esas esas garantías con respecto a la tecnología
las tenemos que las tenemos que poder salvaguardar.
Vale?
Entonces en ese punto el CCN, que es quien está pilotando,
iba a decir en la sombra, pero no va a ser la sombra,
vamos directamente.
Todo lo que es el esquema nacional de seguridad lleva
bajo mi punto de vista muchos años haciéndolo bien vale.
Por qué digo esto?
Porque el CCN, claro, el esquema nacional de seguridad
empezó en el 2010, pero llevan ya un montón de tiempo
trabajando mucho antes, male Entonces,
lo han hecho muy bien, porque el CCN
a todas las administraciones públicas de España les ha dicho.
Bueno, mira cómo es toda la ciberseguridad,
es difícil y caro.
Aquí tenéis herramientas, vale,
herramientas que para la administración pública
son gratuitas, herramientas de ciberseguridad
de muy buen nivel para que podáis dar cobertura
a vuestras a vuestra tecnología
y, por otra parte, aquí tenéis guías de configuración de la tecnología
para que no andáis diciendo que es que esto es muy difícil
y que no sabemos qué ocurre con eso, con la ley en la mano diciendo:
oye, esto es obligatorio y luego, por otra parte,
hoy aquí tenéis herramientas.
Es como que, bueno, pues vamos a tener que hacer caso.
Así que en ese sentido del CCN,
lleva muchísimo tiempo empujando en una buena dirección
para que las administraciones públicas se pongan las pilas
y luego hay otro punto muy importante que, bueno,
a poco que hayáis puesto la oreja, los medios de comunicación,
cuando hay una incidencia grave en una entidad pública
con respecto a la ciberseguridad,
los primeros que van a ver exactamente cómo pueden apañar
son los del, vale?
Entonces en ese sentido el centro criptológico nacional,
pues se está haciendo una labor de facilitador,
de dinamizador de agilizados, del esquema nacional de seguridad
en todas las administraciones públicas.
Entonces, por entrar un poquito más en el ns LNFS
tiene tres niveles, male el básico,
el medio y el adulto que no se engañen,
porque todos son difíciles, vale lo del básico.
Yo no sé exactamente por qué lo pusieron,
porque da la sensación de que es más fácil,
pero a mí la verdad es que no me lo parece.
Lo que sí es verdad que es el básico, es difícil,
el medio es más difícil y el alto ya es la bomba mal.
Entonces,
pues es una situación que el tema del marketing a lo mejor,
los del CCN, deberían hacérselo mira,
vale, yo que sea un plata, oro, y sabe si platino o algo así
pero, bueno, entonces, si el ns sin entrar en detalle, vale,
pues tiene del orden de 75 medidas de seguridad,
73 curarían, bueno, pues el básico lo que ocurre es
que hay que hacer 63, luego ese medio a unas pocas más,
el alto unas pocas más y luego también de esas medidas
a medida que haces, básico, medio alto,
pues el medio y el adulto, las medidas son más profundas
y necesite, piden, te solicitan de una manera muy clara
herramientas tecnológicas de ciberseguridad
para dar cumplimiento a la ley.
Vale?
Es decir, el cumplimiento del esquema nacional de seguridad
implica implica la adquisición de herramientas tecnológicas
de buen nivel con respecto a la seguridad.
Tanto es así que y es otro punto muy importante que está haciendo
que el sector se vuelva medio loco,
en el buen sentido de la palabra es que el CCN
del centro criptológico nacional, además del ns,
tiene una guía que es muy famosa ya en el ámbito la guía 105,
porque en esa guía 105 están todos los elementos
de ciberseguridad que se pueden, o sea, que tienes que la lista
de que tienes que escoger vale de esa lista
todos tus elementos si quieres cumplir con el esquema
nacional de seguridad no sé si no sé si me he explicado muy bien
el, el CCN analiza analizar todos los productos de ciberseguridad
y solo acepta aquellos que desde su punto de vista están limpios y esos
son los que aparecen en la guía in situ una entidad pública
o una empresa que quiere cumplir con el esquema nacional de seguridad
y se quiere certificar quieres cumplir,
tienes que tener tus sistemas con esos,
con esas herramientas, con esa tecnología,
si lo pensáis con un poquito de sí de detenimiento,
lo que estamos haciendo es qué es este caso,
el Ministerio de Defensa, escena y el ccna ccna
quien está analizando las herramientas tecnológicas
para evitar ahí se estar ceros pongan, pues eso,
tecnología que va más allá de los de lo que estrictamente se supone
que está haciendo esa tecnología.
Vale?
Ya veis aquí si a poco que queráis pensar un poquito más, pues eso,
que si los espías que si los chinos,
que si los rusos que si carpa, esquí y que si o a web,
vale.
Pero sí que es verdad que en ese sentido,
sí lo pensáis, es que tiene todo el todo el sentido del mundo
que ocurre, que ahora hay unos piños importantes
para meter productos dentro de esa guía
porque si no no puedes vender vale entonces decíamos nivel básico medio
y alto madre, entonces, en función,
en función de la información que tú tengas y analice y del servicio
que tú prestes vas a tener que cumplir un ns de base básico.
Medio alto.
Vale?
En ese sentido, es como verbal.
Puede escoger hambre si puedes escoger,
pero en realidad lo que va a ocurrir es que una administración pública
a gestionar datos de los ciudadanos normalmente para ser sensibles,
con lo cual la inmensa mayoría de las administraciones públicas,
aunque sea un ayuntamiento de 3.000 habitantes,
es mínimo o un nivel medio sí y según como un nivel alto entonces,
una administración pública dice.
Bueno, pues yo soy nivel medio los proveedores,
que se me conecten a mí para ayudarme,
la administración de los equipos,
pues lo mínimo es que sean de nivel medio,
porque a ver si resulta que yo voy a hacer el esfuerzo
y el no y el bicho va a entrar por mi proveedor.
Vale?
Entonces, ahí tenéis como resulta que llega un momento en que ahora
una entidad pública
decide que es un en ese medio y alrededor todas las entidades
que trabajan para ella también va a ser.
Van a ser de nivel medio?
Vale?
Hacemos un saltito así un poquito rápido.
Imaginaos que oye, pues venga, va.
Hacemos el esquema nacional sólida, estamos en una entidad pública,
lo abordamos.
Llegaba ya.
Pensamos que estamos sin entrar en el detalle de las medidas.
Vale, tenemos la cacharrería, lo tenemos todo orientado.
Venga va fenomenal, lo tenemos todo configurado muy bien vengáis
ya estamos para cumplir con el ns y ahora que pues ahora
lo que ocurre es que no es suficiente con que tú digas que cumples
con el ns, sino que es obligatorio
una certificación del esquema nacional de seguridad y entonces
esa certificación es de lo más voy a decir divertida
o no divertida en la palabra, vale,
pero la idea es que va a venir una empresa externa.
Una tipo seguro que suena aenor, madre,
pero ahí muchas más estaba oca, está Plus,
está vídeo, hay unas cuantas empresas certifican;
auditoras male.
Están acreditadas para auditar el esquema de hacia el resultado
de las entidades públicas.
Entonces, esas empresas lo que hacen es.
Durante cuatro días.
Están analizando todos los sistemas
toda la documentación y todos los sistemas,
pero cuando hablamos de sistemas no nos referimos a enséñeme papeles,
no, no enséñame configuraciones de cortafuegos,
enséñame configuraciones de su échense de rutas, enséñame,
configuraciones de máquinas.
Cómo hacer las comprobaciones?
Cómo se los usuarios, si son administradores o no lo son,
es decir, una profundidad yo ya llevo unos cuantos
en el sector tecnológico, no lo he visto nunca,
de tal manera que lo que se busca
y lo tenéis que entender desde el punto de vista
de la seguridad nacional en este sentido
es que si alguien tiene el certificado del esquema nacional
de seguridad es porque sus sistemas son seguros,
porque aquí hay una clave,
una palabra que es absolutamente clave, absolutamente clave.
Nosotros, los ciudadanos, tenemos que poder confiar,
que la administración pública gestiona correctamente y de la manera
adecuada.
Nuestros datos.
Si eso es fundamental,
claro que es posible que haya brechas,
y claro que es posible que haya ya,
pero como en este mundo, pues como todo,
también es verdad que los coches cada vez son más seguros,
y si en accidentes vale,
hay cosas que sencillamente no se pueden evitar,
pero lo que no puede ser si lo que se quiere construir
es un sistema que sea,
aseguro que nos aborde, que nos proporcione a los ciudadanos
la seguridad de que los datos son seguros ya sabéis
que los datos no son sólo datos, ahora los datos de los ciudadanos
son dinero y eso es un problema.
Vale?
Entonces lo que se busca es generar confianza,
generar confianza en los ciudadanos
y generar confianza también en toda la cadena de suministro,
con los diferentes proveedores.
Si yo administración pública estoy certificado
en el esquema nacional de seguridad y me apoyó en entidades privadas
que también están certificadas en el esquema nacional de seguridad.
Lo que estamos generando es una red sí de confianza,
de ostra.
Nosotros todos nosotros, nuestros sistemas
los tenemos controlados.
Vale?
Entonces, esas auditorías que hacen los auditores durante esos 3,
cuatro días, tener en cuenta esos son un día para la,
en análisis documental, y son tres días por ocho horas,
vale, son son muchas horas haciendo preguntarse entonces si es tiene,
su tiene en su intríngulis y luego hay una lo voy a decir aquí
y luego se graba y tal vuestra que estaba grabado
y tal.
Pero es que es verdad,
o sea, hay una ley no escrita la inscrita de mínimo,
cuando van por primera vez a una, a una,
a una entidad a certificar mínimo 10, 12 no, conformidades sí
o sí vale.
La idea es que desde arriba quieren que la cosa que pretende,
que ha pretendido pretender que de hecho las auditoras a veces
a veces no las auditoras, a su vez reciben auditorías,
porque quieren evaluar que esas auditorías que ellas hacen
realmente tienen el nivel adecuado, es decir,
se están tomando muchísimas molestias para que los sistemas
estén configurados correctamente.
Vale, pues aquí bueno,
ya habéis visto, hemos hecho un repaso grande,
vale?
Un repaso rápido hemos empezado con el rgpd y el ns hemos pasado
a hemos aparecido, el ns y con el ns, el CCN y el cni,
una conexión con con la estrategia de ciberseguridad a nivel nacional.
Luego hemos dicho que el CCN
tiene herramientas para facilitar el cumplimiento.
De verdad que esas herramienta no estamos hablando de dos o 3;
estamos hablando como de 25 o 30 herramientas
todas ellas las voy a decir pues del estilo a ines,
clara, Carla, pilar, todas son herramientas con nombres
de mujer que es un detalle muy importante,
a mí lo que más me gusta es una herramienta de borrado seguro
que se llama olvido, me parece, como muy bien traída entonces,
todas estas herramientas las ponen a las ponen a disposición
de las administraciones públicas vale?
Entonces decíamos, pues eso, las herramientas y las guías.
Luego que hay un cumplimiento,
un ns de nivel básico, medio y alto vale,
y luego después de un trabajo que hay que hacer, hay un hay un punto?
Pues eso hay que hacer.
Las auditorías y con esas auditorías se certifica
que el nivel de cumplimiento es el adecuado.
Vale?
Vaya por esa Luna alguna duda, por ahí por ahora alguna duda
que surja que va a ser que no, a no ser que me sorprenda ais.
No he dicho a quién quieres que.
Sirve es bueno?
Pues venga, ahora ahora preguntaré conoce hay
conocéis hay una relación muy estrecha bueno no muy estrecha
no bueno hay una relación vamos a dejarlo ahí
entre la iso 27.001, suena la iso 27.001
vale la iso 27.000 nuevo y el esquema nacional de seguridad,
la carmen, ahí estaba Maricarmen.
Es una valiente?
Vale?
Entonces el asunto es que en muchos sitios a veces
lo que ocurre es.
Oye, pero es que el esquema nacional de seguridad es como la 27.001.
O se parecen o no se parecen mirada.
Esto es una opinión mía propia.
Vale?
Claro que el enfoque tanto de la iso 27.001, que es un estándar
muy conocido a nivel nacional y a nivel internacional,
pues el enfoque es el de la ciberseguridad, mare,
pero el enfoque de la de la iso 27.001
es sobre todo enfocado a los procesos,
es decir, oye, pero tú tú cómo vas a hacerlo?
Vale?
Pues no hagamos llamado al procedimiento
y entonces eso es un poco conceptualmente hablando.
Lo que vas a hacer y luego se supone que tienes
que demostrar que lo hace es vale,
pero en ningún momento o muy poco, muy poco.
La 27.001 entra en profundidad en lo que es la configuración
de los sistemas y no deba decir si está bien mal o regular,
mientras que el ns entra bueno, hasta el fondo,
con lo cual hay una.
Hay una, digamos, que la iso 27.001 tiene un enfoque documental fuerte,
y el ns la documentación le parece que es interesante y es necesaria,
pero donde más se enfoca es la parte de configuración
y la de las comprobaciones de la configuración.
Entonces, si tengo la 27.001 puedo cumplir en ese,
pues con sufrimiento, igual sí vale,
es muchísimo más fácil tener elévese y cumplir con la 27.001.
Vale?
Lo digo porque, bueno, claro, el ns es un real decreto
y es un estándar que es de obligado cumplimiento en España,
pero tú te vas con el ns a otro lado,
la gente termina como diciendo, pero que me estás diciendo.
Mientras que si tú tienes la 27.001 te puedes ir
a otros países, diciendo, tienes la 27.001,
ahí pues bueno, pues bien, no lo tienes ahí con todo.
Como muy controlado es eso.
De hecho ahora el CCN,
una de las cosas que está intentando hacer es homologables.
El esquema nacional de seguridad a nivel europeo,
para qué los alemanes y los franceses?
Sobre todo, entiendan que es muchísimo más restrictivo
que la 27.001,
es decir, algo justamente el fracking.
Escucháis, abrazar el no, no, aunque no es que halle vale.
Pues lo digo.
Ayer estuvo en el evento de incibe de ciberseguridad.
Estaba más bois, aunque es la vengo aquí.
Pero bueno.
Fue que el protagonista desde adif para no sé si como primicia,
pero ayer indicaron que dentro del las líneas de actuación
de la Comisión Europea está el hecho de que quieren,
digamos, estandarizar estimaciones de seguridad español
a nivel europeo, y lo dijo públicamente
desde el punto de vista de esta presentación que hizo
dentro de las acciones que tienen la Unión Europea al ciber residente.
Hace compañía.
Antes dijeron.
Estrictamente que querían montar el esquema nacional
subía con Marco referencia.
Hace que si lo aprende, es mejor.
Si ya sabe usted, ya lo ha dicho, es complicado.
Es complicado, pero tiene proyección.
Padre era el este.
Sí que es verdad que en ese sentido, tener en cuenta una cosa
y también para desde el punto de vista conceptual,
durante muchísimos años ha habido una,
una apuesta muy fuerte por el ámbito tecnológico,
puro de la tecnología es importante, la tecnología ahorra dinero,
la tecnología, la tecnología, la tecnología,
pero ahora la tecnología es verdad que mejora cada vez
más y obviamente, pues hay que están ahí porque sabes que hay
ciertas opciones que te van a mejorar desde el punto de vista económico
y te van a dar ciertas opciones del punto de vista también de empresa
o de en ti, o de una entidad pública,
cosa hacer ciertas acciones,
mucho más rápido, vale, pero llega un momento
en que si sacas en un examen un nueve con 7,
un nueve con 8,
pues ya que decir tampoco es tanto,
pues pasa algo igual con la tecnología sí
que es verdad que habrá un salto cualitativo
cuando empiece y la tecnología cuántica y tal,
pero ahora la tecnología es algo, bueno, pues que mejora,
pero poquito a poco.
Tampoco hace falta estar siempre en la última.
Lo que está pasando últimamente
es que ha entrado en escena la ciberseguridad,
y digo entrada en escena de la ciberseguridad
porque realmente el mundo de la ciberseguridad
es el que conecta la tecnología con negocio,
y ese es un punto importante.
La ciberseguridad tiene un una componente,
y a mí eso me parece desde el punto de vista profesional
y desde el punto de vista de la proyección,
también profesional.
Para aquellos que estéis interesados.
La ciberseguridad te permite tener una pata en la tecnología
y una pata en el negocio,
y esa visión es una visión totalmente transversal
y, por lo tanto, enriquecedora.
Si cuando tú estás en el ámbito tecnológico estás ahí a con perdón,
en que yo también vengo de ese mundillo
a tus catarros pin, pan pin, pan pipa, tu cacharros,
pero el negocio no sabes muchas veces exactamente ni a qué nos dedicamos,
yo, lo que sí sé es que las máquinas tienen que estar en pie,
mientras que cuando tú te dedicas al ámbito de la ciberseguridad,
obviamente la cacharrería tiene que funcionar,
pero pero no solo la cacharrería,
sino la cacharrería pensando que lo importante es el negocio.
Vale?
Entonces, en ese punto,
el que se quiera orientar al ámbito de la ciberseguridad ya os digo yo
que tiene una proyección en adelante muy prometedora,
vale entonces el ls tns hemos dicho, pues eso,
que es obligatorio a las administraciones públicas
que él está leva, tocar, que le está tocando ya
a todas las entidades públicas que antes privadas,
que al sector público que quiere trabajar por la entidad pública
vale, y hemos dicho,
y solo lo hemos encontrado que son un montón de medidas tecnológicas,
medidas tecnológicas que van desde el doble factor,
que si los cortafuegos esto es obvio,
pero los sí en los xdr y un montón de siglas maras,
que lo único que es abordar con lo que buscan es abordar
desde diferentes puntos de vista la seguridad de los datos
o la subida del servicio ya está ese psoe.
Todo esto que decimos del de los deletéreos de los xdr
de los medievales de los fangos de los yo, que seguiré ese sipe Ese
es que es que es toda una salvajada de siglas,
todo esto es para salvaguardar los datos y el servicio,
y eso es lo realmente importante.
Vale?
Entonces, el ns -y paso ya a otra,
a otro desarrollo, a otro punto,
mira sin entrar en el detalle de qué es lo que pide,
el ns a mí me gusta enfocarlo.
Me gustaría trasladaros el hecho de que el ns
es una herramienta fabulosa de trabajo mal.
Esto es como los que hago.
Nos dedicamos a explicarnos cómo funciona la tele
o o vemos la tele.
Bueno, pues esto es lo mismo.
Vamos a ver la tele cómo funciona los chip por dentro?
De verdad que nos interesa?
Pues con el que nos pasa, igual es no nos interesa,
que es por dentro de la iglesia.
Nos interesa
qué es lo que podemos hacer con el hubo para conseguir esa idea,
hubo un ayuntamiento que nos nos llamaron sí para contratarlos,
porque lo que decía es que su informático
tenía todo el ayuntamiento.
Acojonado.
Si perdona la expresión, acojonado dice.
Claro, te viene el ayuntamiento te viene el informático
y te dice.
Ostra es que si no compra es un cortafuegos.
El mejor del mercado y pasan cosas va a ser culpa vuestra.
Entonces,
como el dinero del ayuntamiento tenía un poquito de poder,
pues de poder decir tenía un poquito de margen,
pues venga o oye el mejor foro era necesario.
Pues bueno, no sabemos.
Bueno, ya os digo yo que no, pero vale es pero bueno,
pues ahí lo compraban, venía hoy, es que hace falta
el balanceo de carga.
Porque no sé qué porque, claro, si la disponibilidad total
que a base de miedo a base de miedo a base de miedo
tienen una infraestructura acojonante para un ayuntamiento que era de 20,
10.000 habitantes y parecía que el ayuntamiento
pudiera ser o infraestructuras de un ayuntamiento,
de 100.000 o de 200.000 habitantes.
Si a esa eso es sobreproteger y también es un problema,
porque ese dinero es dinero de los ciudadanos
y nos contrataron precisamente para cumplir el ns
pero sin pasarnos, es decir,
lo habituales.
Oye, vamos a cumplir en ese que no llegamos,
pero, por favor, a ver si somos capaces de alcanzar,
sabes nos contrataron para cumplir con el ns sin pasarse.
Porque os digo esto porque es una de las claves.
El en ese sí que es verdad, que necesitas ciertas tecnología
y necesitas ciertos procesos internos y necesitas,
sí o sí a las personas que trabajan dentro de estos clave,
si las personas que trabajan dentro de la Administración,
de la Administración Pública o dentro de la de la empresa
privada, el ns no sirve para nada.
Luego comentaré algún ejemplo.
Entonces el ns, pues te da, te da una visión más global
de cómo funciona no sólo la tecnología,
sino también el propio ayuntamiento,
y en ese sentido te da un nivel que tienes que alcanzar de protección
y que tienes que mantener,
pero no hace falta invertir más dinero,
con lo cual también desde el punto de vista económico
y de los recursos te permite saber en qué punto te encuentras, bueno,
pues ya está.
Sabes que vas a hacer un desembolso en ciberseguridad,
pero ya no necesitas que te venga alguien de fuera a decir
si necesitas más solicitas,
menos hoy, es que me están vendiendo esto donde venden esta motobomba.
Si es, oye, hemos hecho esfuerzos.
Si pues ahora mantenernos, no.
Luego hay otro punto y muy importante.
Yo un problema se cumple
y en ese al cumplirlo genera una serie de vocabulario.
Vale un vocabulario, obviamente, un poquito así técnico,
aunque no sea mucho, pero un poquito técnico,
pero que cuando tú cliente estás hablando con tu proveedor,
que también cumple con el ns,
lo que está claro es que estamos hablando del mismo lenguaje
y eso es fundamental porque las reglas de juego son las mismas
para el que para mí y si en vez de un proveedor tengo 10,
no me hace falta hablar 10 idiomas diferentes,
sino que solo volvamos a hablar todos el mismo,
y eso facilita todo, vale?
Entonces, en ese punto también decíamos el esa herramienta,
que es el ns.
Una vez tú lo consolidas y lo quienes si lo mantienes
te vas a apoyar en otras entidades que están alrededor.
Por qué?
Bueno, vamos a poder homogeneizar el nivel de seguridad,
pero, claro, en realidad el cumplimiento del ns
no es una línea que tú la alcanzas y luego sigue recta si el ns
lo que va a ocurrir en realidad es siempre así.
Siempre el nivel de los requisitos del ns
van a ir cambiando.
De hecho, el ns vale.
Tiene el propio real decreto,
y luego tiene unos.
Hay una palabra.
Unas hay, sí unas no, pero no son anexos
porque son ley también son o las llama llamarlas,
intereses.
Las instrucciones técnicas de seguridad,
que es es como la misma ley,
o sea, exactamente la misma ley, es Real Decreto,
y todas las sites es qué significa esto,
que cuando quieren ampliar algo no les hace falta tocar
el real decreto, sino que van a generar una ite, ese
para que los niveles de de de requisitos
sean siempre crecientes.
Nunca se están, porque está claro que la tecnología va a cambiar.
Vale?
Luego tenéis que tener un punto importante.
El ns se convierte en una referencia a nivel nacional para todos,
y eso también te da tranquilidad, porque sabe exactamente
en qué punto te encuentras o en qué punto nos tenemos
que encontrar, incluso nosotros como ciudadanos,
porque le tenemos que requerir a nuestras entidades públicas.
Oye, porque exactamente vosotros,
porque ese tiene.
Por qué?
Porque el Ayuntamiento de al lado
tiene el esquema nacional de seguridad,
y el nuestro no.
Sí que es el país que el primero y el segundo
Ayuntamiento de de menos de 20.000 habitantes de España.
Si el primero fue Utebo y el segundo fue
cuánto devuelva los dos en Zaragoza los hicimos nosotros
y el alcalde de cuartel de Huerva.
Lo que dijo es.
A majete, Jesús, que tenía un nombre muy a,
que los de Utebo ya se han certificado
y nosotros que sea saben quiero decir.
Esto sí que es a si es un poquito real,
pero sí que es verdad que esa eso,
esa vinculación que hay entre los pueblos.
Así que son vecinos ya sabéis que eso realmente existe,
existe, no.
Pero el asunto es que con un cierto con los ciudadanos nos tiene
que ocurrir, o nosotros como ciudadanos es, oye,
porque el ayuntamiento tal o esta entidad cumple con el ns
y nosotros no vale, porque sus datos obviamente van a estar.
Bueno pues ese punto ese es necesario que nosotros
también, como ciudadanos,
seamos exigentes con ese tratamiento.
Vale?
Luego, hay un punto también muy importante
que a mí me parece precisamente para utilizar el esquema nacional
de seguridad como una herramienta de trabajo que realmente es.
Es poderosa, es que quien la está pilotando
es el centro criptológico nacional entonces nacional
claro yo diría jueves que esta gente sabe de lo que habla.
Entonces, el hecho de que ellos definan
cómo tiene que ser el esquema nacional de seguridad,
son gente que está ahí y además fichan talento,
gente potente para seguir desarrollando
de una manera dinámica, sns, pues lo que hace es saber que todo
lo que se se genere alrededor, pues obviamente tenga,
tenga un nivel de cumplimiento un nivel de exigencia
elevado vale entonces decirme venga si os parece hacemos ahí
porque queremos hermano.
Llamamos estamos un rato.
Ya, llevamos tres cuartos de hora, esto cogemos el hilo
y escuchando una cosa necesitaría trasladarme algunas preguntas
o no tanto.
Preguntas, a mí lo que me gustaría saber de vosotros,
también, de algunos de vosotros.
Bueno, de todos los que queráis
se incluir es exactamente por qué pensáis que el LNFS,
o sea, o en qué momento vosotros os encontráis, el ns
y pensáis que realmente es bueno, pues eso,
necesario o porque lo veis?
En vuestra lugar de trabajo o porque donde,
donde os habéis encontrado DynDNS, si es que os lo habéis encontrado.
Si Carmen, que antes has dicho, y un sí muy valiente es algunos de.
Vosotros se ha encontrado funcionando.
Vale, Miguel, dice que yo trabajo en sistemas clasificados.
Sí que se titula encantada de entonces y utilizáis: o sea:
tenéis implantado el esquema nacional de seguridad.
Estamos hablando.
Sí que están, lo están, acaba de verlo,
un.
El que dice nuestra empresa lo estamos implantando,
pero ahí es tics aquellas para, per desclasificadas por separado,
no vale.
Si Javier también comenta,
si es que profesionalmente no me he topado con ello,
pero lo consideren necesario y de hecho considero
que hemos llegado a algo tarde con ello.
Bueno, ahí yo diría que somos los primeros castigadlo
contra que Javier muchas aeronaves, todo Europa,
lo aislada es verdad que en Estados Unidos
y que hay más más normativa, regulación al respecto,
pero en Europa la verdad es que lo he dicho antes,
Maricarmen, de Venecia.
Realmente hay una cosa importante, no,
y es que cuando una administración pública
trabaja en papel es los malos o no te metan hormigas.
Que se coman el papel,
pues es difícil que te te ataquen a medida
de que se está implantando la administración electrónica
y que realmente es un un requisito legal para la administración,
pasar del papel a los vips o es desde ese momento.
Claro, los riesgos crecen,
o lo cual da la impresión de que es.
Empieza a ser, pues un poco lo que contabas David,
decir.
Si el coche de al lado resulta
que tienen una barra de esas que no le dejaba volante,
y voy a lo malo dice mejor voy a hacer que no tiene la barra
y me problemas, no.
Entonces,
pues un poco va por ahí no, y un poco a todos nuestros escucha antes
y a todos los participantes.
Animarles a que participen,
o sea, realmente en el en el curso y en el y las unidades,
verdad, Roberto estamos explicándoles las noticias,
no como dicen en una y hoy ha venido a explicarnos.
La verdad es entonces, bueno, pues, pues aprovecharlos un poco es.
Comentaba también por Mari Carmen, si eso es, dice,
hablé con una compañera que trabaja en una consultoria,
en un constructora, y tampoco lo cual me llamó
la atención, cierto fue que eso es lo que me dedico a hacer
desarrollos de aplicaciones.
Me ha costado encontrar documentación, tarda,
en lo que te den pautas de cómo llevar a cabo algunas medidas
a nivel del software, al nivel de aplicación de la vida.
Es una pregunta interesante que serían la normativa,
la conformidad en este caso, pues sí que es cierto.
Es que hay un punto importante con respecto a las aplicaciones.
El esquema nacional de seguridad es esta, es es un punto importante.
Lo que pasa es que ya entrase un poquito en el meollo,
vale de lo que es el esquema nacional de soledad,
el esquema hacia la seguridad.
Cuando tú quieres certificar un esquema nacional de seguridad,
en realidad certificas un servicio prestado,
entonces es curioso porque es vale Entonces
que vieron que es un servicio.
Entonces no sé el esquema nacionales no certifica aplicaciones,
pero si el servicio que tú puedas prestar sobre esa aplicación
entonces sí que es verdad que el ns habla del desarrollo del software
y que tiene que haber un desarrollo de software, seguro,
pero no entra en el detalle de cómo tienen que desarrollar los técnicos,
o sea, los desarrolladores en este caso de hecho no que suele ocurrir,
es que bueno, pues las medidas y además solo
son de los 70 pico soles, son dos aspectos del desarrollo
cuando todos sabemos que el desarrollo
es uno de los puntos de entrada más habituales
con respecto a las vulnerabilidades.
Entonces lo que lo que pasa es que hay en este caso hay,
no quiere entrar para el para el esquema,
lo que ocurre es que los desarrollos a una especie de cajas negras
lo que sí te dicen es que hagas análisis de vulnerabilidades,
pues para verificar que a lo mejor
o por lo menos desde fuera no puedes atacarlo de una manera fácil
o no puedes vulnerar lo y puedes entrar en los sistemas, no,
pero se mete muy poco en el desarrollo
y, bueno, pues lo único que te dice
es que eso que llegado el momento, hágase, y además en el nivel alto
análisis del desarrollo, perdón, análisis de calidad del código,
pero en el nivel alto, o sea que tampoco entramos,
pero sí que es un detalle porque se oye,
pero entonces se puede certificar todo en el esquema,
no, no solo los servicios.
Entonces eso implica que cuando hay un un dicen.
Oye, necesitamos un, nos echen, son cable con una certificación.
Lo primero es concretar el alcance del esquema nacional de seguridad
y luego lo siguiente es darle el enfoque del servicio prestado
y en función de eso
pues ya saben los sistemas que hay que analizar y bla bla bla bla
vale pero sí que es una por cierto que los desarrolladores
son almas libres.
Si generan lo que ocurre muchas veces nos ocurre.
Bueno, muchas veces nos ocurre siempre;
los los encargos que nosotros recibimos pues son de cierto;
son sedes electrónicas al servicio, sede electrónica
del servicio de administración remota in situ, administración,
o sea, los técnicos que se conectan a otros clientes,
y luego está el de los desarrolladores hoy,
el servicio de desarrollo interés lo que ocurre
es que los desarrolladores normalmente hacen teletrabajo
como muchos de ellos, no todos pero y luego cada uno
tiene su PC configurado como dio a entender,
y además son administradores de sus peces
y entonces también los hay, que tiene nada,
pero hay otros que sabe.
Entonces, es todo, como muy heterogéneo,
y esa heterogeneidad le va muy mal a la seguridad, muy mal,
y entonces, cuando entramos en los sitios hicimos
Alceo, oye, tienes desarrolladores.
Si tal cuanto analizamos es
bueno, esto es un coladero.
No me digas,
pero es pues lo que hay que hacer es estandarizar,
hay que quitar los usuarios, ruth, hay que no se quedará se.
Cuanto tras se mueven la madera cabeza
como diciendo.
No me digas eso, no me diga si eso,
porque les cuidó mejor que a mis hijos,
porque ahora hay un boom de desarrolladores
y entonces lo que ocurre es que según cómo,
pues se van a otra empresa a ella.
Pero desde el punto de vista de las debilidades,
es un problema, es un problema.
El tema de los desarrollos también decía Mari Carmen,
por ahí que que había eso que había preguntado a.
Bueno, pues a una consultora.
La verdad es que el Estado a mí me sorprende porque sí
que es verdad que aún mira que llevaba a ver en el 2010,
no es que saliera en el 2010 ya tenía que estar implantado.
Entonces llevamos todavía muchísimos años
y aún hay mucha gente que no sabe ni de qué estamos hablando.
No obstante, os voy a decir una cosa de un de un seis meses o nueve meses
a esto ahora han cambiado muchísimo las cosas
y os voy a decir el motivo.
El motivo principal es las administraciones públicas.
Tienen que seguir cumpliendo con el ns igual
que hace unos cuantos años.
La gran diferencia es que ahora las administraciones públicas
están añadiendo en los pliegos que quien quiera dar
servicio que les quiero dar servicio
sí o sí tienen que estar certificados en el esquema nacional de seguridad,
y ahora es.
Son todas las empresas las que se están poniendo las pilas
para cumplir con el ns.
También nos digo que desde el punto de vista
de las administraciones públicas hay muchas de ellas que lo quieren hacer
y están interesadas, pero en este sentido
es muchísimo más difícil moverse y a lo mejor no entiendo.
En cuanto a los recursos para poder llevarlos a cabo,
en ese poso me tiene su complejidad y alcanzado con el conocimiento.
Yo puedo hablar de mi experiencia personal.
Cuando a mí me encargaron el esquema nacional de seguridad
a ese gobierno de Aragón, yo me pasé cuatro años,
si no, es que, pero es que de verdad era que era complicado cuatro años
hasta que conseguimos entender cómo funcionaba y entendemos
y conseguimos alinear todas las piezas de la entidad
para que todos los grupos entendieran
que esto no es solo una cuestión de seguridad y de temas allí,
sino que está implicado todo el mundo desde gestiones de gobierno
hasta hasta el último técnico.
Entonces, sí que es verdad que a las administraciones
esto le está costando y por eso también es bueno
que hay muchas consultoras que les están intentando ayudar vale
alguna pregunta más así una Miguel bueno había levanta
la mano vemos democracia verla levantada.
No recuerdo quién ha sido, por qué no me aparecen en ver a Miguel.
Bueno, hay una pregunta de Miguel
también que hablan sobre la parte de formación.
Como estamos la dificultad dice claro,
el CCN tiene la plataforma ángeles para la parte,
formación que sale de hecho está abierto el curso que tiene
que Madrid, muy básico, pero bueno, en que tienen abierto.
Luego hay para la formación más específica
y tiene dos con nuevos a otro.
No me suena algo así?
No me acuerdo desigual, pero bueno,
la pregunta es más va por otro situación,
como al final afecta a las administraciones públicas.
Tenemos un instituto nacional, administraciones públicas,
que era la información de Miguel.
La pregunta es.
Echa de menos, pues esa formación también vaya a través del inap
digamos para para esa parte entonces que dice si no,
pero que también habla de funcionarios
y que sea extendido a las empresas.
Síntesis, si conoce alguna iniciativa al respecto.
En esa parte es un punto importante
que comentabas tú la de las jornadas del incibe,
el centro criptológico nacional.
En España tenemos, tenemos 3, tres entidades tres entidades
enfocadas a la ciberseguridad
no una no no dos tres sí una es se fcm que está enfocada
a las administraciones públicas.
La segunda es el incibe,
que está enfocada a las a las los individuos,
a las personas y a las empresas,
y hay otra que es el cnpic, que está enfocado
a aquellas empresas que son infraestructura crítica.
Entonces quiero decir esto de la ciberseguridad
parece importante.
Sí sí que es verdad que cada uno tiene su mucho.
Entonces, con respecto a las personas,
quién se tiene que encargar o quien se encarga de las personas.
Me refiero al resto de los mortales, no a los a los funcionarios,
los que trabajan administración pública,
quien se encarga de dar formación.
Y ayudar a la formación?
Pues es el incibe que hace, bueno, pues hace innumerables acciones
como, pero bueno, como está prohibido,
innumerables acciones enfocadas también a incluso
a apostar en Francia, los críos al escuela,
pues para generar esa cultura que sabemos
que es necesaria de ciberseguridad.
Luego, por ejemplo, también y a mí el otro día ayer, precisamente,
que estuve también en las jornadas, me estuvieron hablando del celo 17,
que reciben un montón miles de llamadas de gente con preguntas.
Unas son sencillas, otras no lo son?
Pues oye, pues es que me ha llegado a este medio que hago.
Bueno, pues se trata de un poco todas esas iniciativas,
están enfocadas a a eso,
a incrementar la cultura de ciberseguridad.
Entonces, las que sí o sí se tienen que poner las pilas con la formación
son las empresas.
Porque a ver,
esto no significa que entonces las administraciones públicas
no las administraciones públicas llevan su recorrido y las empresas
llevan el suyo también, teniendo en cuenta una cosa.
Los malos cuando atacan,
les da igual, Juana que su hermana Mariano,
que su hermano les da igual, todo sus ataques son sistemáticos
y cuando acceden o son capaces de vulnerar a una empresa
y sacarle 20, 30, 35.000 euros.
Si estamos hablando de zara, pues igual le da igual,
pero si estamos hablando de una micropyme igual
es que tienen que cerrar.
Lo que os quiero decir con esto
es que a las propias empresas les interesa esto.
Tú quieres estar conectado a internet?
Si fenomenal.
Entonces proteger nadie va a abrir un local en la calle
sin ponerle su persiana y su alarma.
Si tú vales no, pero es que durante un montón de años
no hemos puesto, no ha tenido y no me ha pasado nada, venga, vale?
Pues fenomenal,
durante un montón de años hemos vivido de gratis,
pero ahora ahora ya se acabó.
Entonces, si quieres tener un negocio en Internet,
sabes que hay una parte de los ingresos
que los tienes dedicar, aprobada, protegerte y a la formación.
Y siendo un poco más concretamente a lo que preguntaba sobre el.
Es decir, el inap da una serie,
tiene una serie de planes de formación que concretamente
los de ciberseguridad hay una buena parte que los hace
en conjunto con el cermi, es decir, hay cursos,
muchos cursos sobre sobre lees sobre pilar sobre un montón de,
sobre un montón de herramientas y sobre el curso básico
es, por ejemplo, que es muy, muy famoso y muy conocido,
y todas esas todos esos cursos ahora mismo los hacen en colaboración
y CCN.
Es más, yo creo que Dina,
sigue haciendo algún curso por su cuenta.
Sobre, sobre sobre ciberseguridad y sobre protección de datos también,
pero los hace más sectoriales, es decir, para diputaciones,
para ayuntamientos.
Entonces digamos que como bien decías,
hay que ver, dice Miguel, dice ya,
pero las administraciones públicas
la baja mucho personal funcionari el incide, no da formación a técnicos
de cómo implantar el denso.
Bueno, no lo habla solo de funcionarios e hablo en general
de personal al servicio de las administraciones.
Qué pasa, que claro, si son si son empresas,
como decía antes David,
efectivamente, no, pues ahí eso no lo cubre
y en ese sí que es verdad que tanto empresas,
tanto personal funcionario,
como no funciona bien, que esté dentro de la Administración,
quién va a haber?
Quien tiene que promover esa formación?
Obviamente, es la administración, sea a través de dinar
y si nos ata es denominar por iniciativa propia.
Aquí hay un.
Hay un punto, comentan, me parece interesante,
lo Juan Carlos Bodino cómo de obligatorias de cumplimiento
entonces para empezar bueno claro el cumplimiento de ese cumplimiento
o sea, no es, no es un 50 por 100,
no son 70, es al 100 por 100.
Entonces, otra cosa es que se esté siendo un poquito más laxo,
vale, no quieren meter a toda la gente que no cumplen la cárcel,
porque no habría cárceles en el mundo para cubrirlo vale Entonces
habla el de un caso no bueno vamos según a cada uno se nos vendrá
a la mente un un ayuntamiento donde así que ha sido atacado,
pues el de Sevilla recientemente, el de castellón
si es que hay un montón.
Entonces mira en las nosotros
cuando hacemos una implantación y por ir un poquito al detalle,
vale para que veáis que esto no sólo es todo etéreo
sino que realmente el lo
que nosotros hacemos con respecto al esquema nacional
de seguridad es bajarlo a la tierra,
evidentemente, necesitamos de la mano de los técnicos,
si de hechos normalmente vamos de su mano,
pero cuando hacemos los comités, en los comités de seguridad
de los ayuntamientos, de las entidades públicas,
nosotros en la primera reunión de decimos mediata sí
o sí tiene que haber un comité, porque que lo que lo pide vale.
Entonces, nosotros no podemos deciros quien tiene que formar parte
del comité, lo que sí es, decimos es que el comité
si tiene que ser ejecutivo,
que tiene que funcionar bien, cuanto más corto, mejor,
y lo segundo que decimos es, hacemos tres preguntas.
Si hay un problema serio, serio desde el punto de vista tecnológico,
de quienes ese riesgo de quién es el riesgo tecnológico,
a quien miráis.
Entonces, normalmente el ayuntamiento,
independientemente del tamaño, miran a una persona.
Si si es un ayuntamiento pequeño,
pues al técnico y si es un ayuntamiento grande,
pues al director o al responsable de área
o al que sea, a esa persona esa persona tiene
que estar en el comité fenomenal,
vale, si en el ayuntamiento hay un riesgo legal importante,
a quien vais a mirar normalmente es pues al secretario,
pues el secretario al comité y si hay un riesgo reputacional importante,
quién va?
Pues alcaldía, pues alcaldía al, comité
y nosotros, los comités los hacemos con esas tres personas, oye,
pero es que pueden ir la cuanta más a partir de ahí
cuanta más gente peor,
porque los que van a tener tomar la decisión que tienen
quien tiene la autoridad y quién tiene la responsabilidad
de todo lo que se decida
y todo lo que ocurre en el ayuntamiento,
sencillamente son esas tres personas.
Vale?
Entonces, en ese sentido, cuando hay un problema serio
en un ayuntamiento debería reunirse ese comité
y valorar el incidente desde el punto de vista tecnológico,
reputacional, ilegal y esas tres personas.
Luego pueden tirar de quien haga falta,
pero esas son las que tienen que tomar la decisión y además,
hay que traducir todo lo que ocurra desde el punto de vista técnico,
hay que traducírselo para que ellos puedan entender
de qué estamos hablando,
porque si no, pues sencillamente estamos desconectando
qué es lo que pasa, no?
Habitualmente desconectando la tecnología de negocio,
si esto no puede ser, esto es lo que hace la seguridad conectarla,
vale?
Alguna pregunta.
Si vas y trae salir, me Sergio grande,
que habla un poco bueno, la realidad parece que están privada.
Pero bueno, como parece una pregunta interesante,
habla de la gran pregunta.
Qué porcentaje de administraciones están certificadas siempre
es la del agujero negro de decir.
Vamos a ver cuántos hay?
Contrastaremos.
Dirá esto si queréis.
Señorías, así entidades, perdón y dades y caladas manando
ya está, lo pone ahí en ese navegador,
bueno, está buscando en el grabador entidades
certificadas en ese si es que no, hasta el fondo está orientado
a mano.
Ah, vale, vale, en todo caso es hacer la búsqueda de entidades
certificadas.
Es el primer enlace porque aparece el listado.
Entidades del sector público certificadas no son esas mal.
Entonces.
Cantidades certificadas de empresas dedicadas sí entidades.
Si vais allí a gobernanza, cece nacer certificados.
Veis, ahí son 281 empresa y sector público
certificado 1.400 empresas y 133 requisitos esenciales, que es una,
un ns pero en pequeñito.
Esto es lo que hay.
Pone poner porcentaje, es sector público de 17.000.
Es poco sí sí sí Es poco Es un venga va un uno por 100,
hoy lo dejamos ahí no entoncEs, pero mirar,
sí que Es cierto que Es un porcentaje bajo.
Si con los datos son los datos, pero Es lo que comentabas tú antEs.
Ningún país de Europa tiene Esto y Eso,
o sea, no Es una cuEstión de que, pero no quieren, no lo tienen.
Por qué no quieren?
No lo tienen porque tampoco no Es tan sencillo ponerlo en marcha
y además voy a decir otra cosa.
Desde el punto de vista de del Estado a nivel nacional
lo que Estamos haciendo exige un Esfuerzo impuro.
Vale muy elevado,
pero a las lo digo también porque lo veo
a las emprEsas que nos dedicamos, a Esto nos Están,
o sea, Estamos afilando los cuchillos,
porque hay mucha competencia
y y el ns Es complicado de implantar y de mantener;
y cuando llegue el momento,
si Es necEsario y hay que exalta los Pirineos,
se asalta porque con lo que aprendamos aquí Eso lo podemos llevar
a cualquier sitio, y una emprEsa que a nivel
las que aquí con el Esquema nacional del Fiat,
sea competitiva y haga las cosas bien,
se puede.
Ayer sin ningún problema al rEsto de Europa
o, por ejemplo, a Iberoamérica sí que Es otro mercado que se abre,
que Es brutal.
Entonces, no Estamos hablando solo de que Este Es un Esfuerzo
que se hace aquí y Es que, claro, Es que mira que vosotros,
que Es que aquí en España siempre igual que somos muy raros
no no no no no de hecho ahora bajo mi punto de vista y mi opinión,
Estamos en punta de lanza.
Es posible que nos equivoquemos.
Bueno, Esto Es un riEsgo
que cuando pase el primero Está claro que te puedEs equivocar.
Pero a mí no me da la sensación y Esto también,
obviamente Es una opinión personal
de que los tiempos en el ámbito de la tecnología
van el que sí o sí la seguridad tiene que alcanzar unos nivelEs,
puEs que nos den Esa confianza que decíamos antEs
y luego Eso Es fácilmente exportable al entoncEs.
En Ese sentido, todo el trabajo que se haga en Esa línea me parece a mí
que lo vamos a poder aprovechar tanto la administración pública.
También nos digo que a mí otra sensación que me da Es
que aquí la clave no Es tanto las administracionEs públicas,
que también,
si no que las emprEsas se incorporen al ns lo antEs posible,
teniendo en cuenta una cosa.
Si tú tienEs un núcleo vale, que Es la administración pública
y luego tienEs alrededor emprEsas que Están certificadas,
que tienen una buena, un buen nivel de seguridad,
aunque solo sea por cercanía.
Esta de aquí se va a proteger,
porque todo lo que tenga alrededor también y luego ya no Es
una cuEstión, y Esto Es una imprecisa absolutamente clave.
No Es una cuEstión de que yo ayuntamiento me tenga que proteger.
Pero Es que yo me puedo proteger.
Yo me protejo, vale un pongo antivirus,
me pongo a mí cositas, mis proveedorEs sí
o sí cumplen con el ns pero Es
que por encima se Están abriendo unas capas.
Hasta hace cuatro días no Estaban.
Que Es el soco autonómico.
El soc nacional.
El show europeo que hacen de género.
Es una cobertura para los malos.
Sea muy difícil ya.
Pues Eso tras pasar al fin y al cabo y Esto Es una va también.
Es una obviedad.
Pero si tú solo te enfrentas a los malos
no tenemos nada que hacer.
Pero si realmente generamos una red de confianza en base al ns,
a la isla a la que sea la capacidad de protección
y la capacidad de rEsponder a un ataque
Es muchísimo mejor.
Desde luego alguna más.
Alguna pregunta más.
No hay no.
Vale entonces.
Continuamos un poquito más, no sé si vale
Entonces teníamos que el ns es una herramienta;
es una herramienta lo que te posibilita.
Pues eso, que incluso desde el punto de vista,
desde el punto de vista de negocio no las veamos, que es
una herramienta, es una herramienta.
Sabéis, van a la novia contaron chiste, no, lo que quiero decir
es que es una herramienta que sí o sí la tienes que llevar encima
y pueden ocurrir dos cosas; si no lo haces bien te entorpece,
pero si lo haces bien, te agiliza.
Entonces depende de cada 1.
Cómo lo quieren enfocar?
El en ese sentido es, pues eso oye, necesitas cuerpo normativo,
necesitas comités que tomen decisiones.
Los necesitas necesitas evidenciar que estás cumpliendo con el ns
necesitas evidenciarlo.
Hay que hacer auditorías,
hay que hacer auditorías; hay que prepararlas,
hay que prepararlas no solo a cada dos años,
sino cada año una interna y otra de certificación.
Hace falta renovar, hace falta actualizar;
hace falta.
Hay falta un montón de cosas,
un montón de cosas para mantener en un ns
si lo haces bien; si lo haces con un poquito de criterio,
te va a permitir tomar mejores decisiones,
comité para saber de las cosas se están haciendo,
cómo se tienen que hacer?
Eso es gracias bien, y si lo haces mal,
entonces vas a tener que hacer un montón de cosas.
No vas a generar ningún tipo de información válida,
no vas a tomar ninguna decisión y solo vas
a hacer que perder el tiempo y perder el tiempo a tu gente
para luego sacar un papelito diciendo que estás certificado
pero que has echado horas sin conocimiento
para obtener ese certificado porque llevan su tiempo
y llevan su trabajo.
Entonces, el ns tienes que cumplirlo.
Sí me daba, pues ya que tengo que cumplirlo
lo vamos a hacer de la manera adecuada para que me agilice,
porque eso también lo digo, el el cuando hay que hacer
una implantación.
En nuestro caso, por ejemplo, que nosotros les decimos,
es una de las cosas.
Hay tres cosas que son fundamentales en el ns.
La gestión de incidencias, la gestión de cambios,
la gestión de las autorizaciones.
Entonces, este proceso, nosotros,
con los clientes que trabajamos, lo tenemos súper fino
porque las incidencias hay que gestionarlas rápido.
Para eso necesitamos una herramienta que haga la trazabilidad.
Tal tal, tal.
La gestión de los cambios en la infraestructura
es algo que sí o sí también tiene que estar trillado
porque si no genera un trabajo extra de control que si no está bien,
pues es un trabajo que se pierde tiempo y luego el tema
de las autorizaciones precisamente para tener la entidad tenga control
sobre quién accede a que entonces todas esas esos procesos necesitan,
para empezar, lo que hacemos es explicándonos
como los cómo lo hacéis y luego lo que planteamos es mejoras
de tal manera que ya que vamos a hacer este viaje,
proponernos cosas que permitan esa mejora,
no?
Entonces lo que te digo siempre.
O te adelgaza o te entorpece.
La elección es tuya, pero está claro que es obligatorio?
Pues hombre, ya puestos a trabajar, hagámoslo bien, vale,
y luego con ese tipo de-con esas, con esas mejoras que vamos haciendo,
con esa información que te genera, pues obviamente vas tomando
decisiones y luego hay un punto muy importante de te encuentras
lo que he comentado antes.
Nosotros, los comités los hacemos en general e con los ayuntamientos,
por poner con el alcalde, con el secretario y con el técnico,
ni el alcalde ni el secretario tienen ni idea de tecnología,
pero es que ninguna de las decisiones que les llamamos
son de tema tecnológico.
Todo lo que nosotros hablamos de todo lo que nosotros hablamos
es información tecnológica que traducimos y les decimos mirar,
o sea, esto es lo que pasa.
Si hoy en la gestión de los los a-es un poco técnico,
pero si os parece la gestión de los los es de las trazas que dejan
los sistemas, es ese tipo de decisiones
que todo el mundo piensa que es de los técnicos,
sí?
Pero cómo va a ser eso de los técnicos?
Eso no es una decisión técnica los los sistemas,
dejarlo no vale.
Qué hacemos con los los guardarlos?
Venga fenomenal.
Que dice el ejemplo de con respecto a los los.
Pues que hay que guardar los dos años, perdón,
pero entonces no es un tema técnico, es un tema legal
y entonces es el secretario el que dice dos años
y no lo guarde menos porque es que si no me llevan a mi preso más
Entonces, oye, pues venga cinco años, cinco años;
no que guardarlos mal pasta, y entonces eso es dinero.
Entonces no es una decisión técnica, es una decisión.
La el cambio de contraseñas, que es que vamos salgo
como el cambio de contraseñas no es una decisión técnica,
es una decisión del ayuntamiento porque el técnico decide
que hay que cambiar las contraseñas cada seis meses,
porque la seguridad y entonces le caen gorrazos sin conocimiento,
porque hay que ver que esto es un robo,
porque a los dos días y otra vez la contraseña.
No hace falta, vámonos.
Golpe cambiarla, nunca esa decisión se toma en el comité con el alcalde,
con el secretario y con el técnico,
lo implementa ya y y no se candela a nadie,
porque esa decisión se tomó en un comité con las personas
adecuadas.
Entonces de verdad que cuando llega el momento de la implantación del ns
hay muchas cosas que son de índole técnica,
que se escalan al sitio adecuado con las palabras adecuados
y luego vuelve otra vez a bajaran al ámbito técnico
donde se implementan,
pero donde ya nadie dice.
Oye esto,
porque lo que porque lo habéis hecho así pues lo hemos hecho así
porque el comité ha decidido que así sea.
Ha evaluado el riesgo cada uno desde su punto de vista
y simplemente entonces,
de verdad que en ese sentido, el, el ya puestos a implantarlo
y a hacer que no te entorpezca sino que te agilice a mí me gusta ver
el trabajo que nosotros hacemos, y junto con esta herramienta
es establecer puentes entre tecnología y gobierno,
gobierno y tecnología.
En la inmensa mayoría de los sitios
donde nosotros estamos, o sea, donde vamos,
hay una desconexión brutal entre tecnología y gobierno,
una desconexión que a veces pienso que es es una especie
como de statu quo de venga, va danos,
va bien, los técnicos están con sus cambios tecnológicos,
que están con sus cósmicas,
si divertidos a tope oye cacharrería, nueva, juguetes nuevos.
Esto como mola, claro, cada vez esa tecnología
está más evolucionada, cada vez es más difícil
y entonces el ámbito de gobierno dice modo,
volvemos o qué raro son estos.
Entonces están con sus cosas, entre que ellos están con sus cosas
y Gobierno no es capaz
de entender bien exactamente cómo ellos pueden actuar
o pueden decidir con respecto a esa tecnología,
pues cada uno va por su lado, es lo que hacemos nosotros,
conectar los dos mundos y decir al técnico fenomenal,
pero lo que tú estás haciendo sirve para esto.
Si sirve para no nos sirve,
para que tú te viviendas que también está muy bien,
madre preside para esto y a gobiernos,
lo que le hicimos es, es que tus decisiones
tienen impacto en tecnología y las decisiones que no tomas,
las decisiones que no tomas como gobierno te las toma el técnico,
pero tú no eres capaz de entender el riesgo que estás tomando
al no tomar ninguna decisión
y al ni siquiera saber que la tienes que tomar vale Entonces,
en ese sentido, ese vínculo que se establece
o que buscamos establecer claro el esquema nacional de seguridad
nos facilita el establecerlo, porque es obligatorio pensé pensar
por un momento que si esto no fuera obligatorio no se haría
nadie había ni caso.
Bueno, vamos al acuerdo más remito de aquí para atrás.
Nadie ha hecho absolutamente ni caso
ni de la 27.001 de subida ni nada solo,
porque es obligatorio eso, las administraciones públicas
y las empresas es obligatorio, pero no es obligatorio
porque sea obligatorio es obligatorio,
porque si no, no pueden presentarse a los pliegos.
Entonces no estamos hablando de ciberseguridad,
estamos hablando de negocio.
Bueno, a mí me da igual que sea porque el cielo es azul
o porque hay olas del mar,
a mí lo que me interesa es tener una herramienta
que me permita establecer ese vínculo que luego llega;
un momento en que en los sitios donde,
por ejemplo, llevamos mucho tiempo haciendo ya el mantenimiento,
claro, al principio, sobre todo en el ámbito de gobierno,
es a, o sea, que las decisiones que yo tomo
tienen impacto,
llega un momento en que ya ya quieren establecer ese impacto,
o sea, quieren quieren tomar decisiones de índole técnica
sabiendo exactamente de qué están hablando.
Pero es que luego hay otro punto que es;
a mí me parece fundamental, y es que los técnicos se dan cuenta
que tienen un puente directo con gobierno,
y entonces, cuando ellos dicen.
Oye, es que necesitamos más almacenamiento
porque nos habéis dicho que hay que guardarlos los dos años;
entonces varios y resulta que les hacen caso.
Hasta hace cuatro días era pesado, sois, ya compraremos,
si es que no hay dinero, pero ahora como el que realmente le aprieta
el zapato es al secretario.
Pues a lo mejor ahora sí que lo hay
y si no, ahí el secretario asumen el riesgo.
Como dice mi hijo.
Asumimos y seguimos una frase que me encanta.
Asumimos y seguimos.
Vale?
Pues se asume a veces a veces no se pueden hacer las cosas.
Sí a veces sencillamente el ayuntamiento
o la entidad pública no tiene dinero y es bueno.
Pues este año no;
pero por lo menos sabemos el riesgo en el que estamos.
Que estamos incurriendo.
Vale?
Entonces esa ese ya os digo yo no.
No obstante, entrar en el detalle de cómo las medidas
o porque crece que tampoco.
Pues eso cortafuegos y antivirus
y xdr si análisis no si eventos y todo bien fenomenal
pero como herramienta de trabajo es una herramienta alucinante,
y en ese sentido a Miguel siempre lo digo.
Vamos es.
Le pueden sacar pegas.
Pues seguro que se pueden sacar pegas,
pero a mí me parece que el esquema nacional de seguridad es un.
Hay un antes y un después
con respecto al trabajo que nosotros desarrollamos nosotros
y luego también la implicación que tiene dentro de las entidades,
no.
Más cosas, dudas.
Están una pregunta por aquí línea.
Bien, allí todos, ahí estáis aguantando
como unos campeones no.
No nos surge ninguna duda.
Sí es bueno, solo vamos a dar dos minutos o 3,
se lo explico un poquito cómo hacer una implanta
o no cómo hacer una implantación,
pero para que veáis un poco por dónde van los tiros
de un esquemas
y si surgen dudas, no vale.
Entonces, me ha caído un último punto,
vale para que veáis nosotros.
Pues eso, un poquito en la realidad.
Esto cómo funciona.
Nosotros desde que nos dicen oye venirnos aquí hechas
no son cabe con el ns,
pues lo que hacemos es un proyecto suele durar depende valer,
suele durar de unos seis a nueve meses,
lo que les decimos es mirando,
podemos hacer en menos y lo podemos hacer en más.
Lo podemos hacer en menos, y entonces estirar esfuerzos
y lo podemos hacer es una vez más y también tiraremos esfuerzos,
vale, el ns sí que es verdad que hay ciertas cosas que son
de índole tecnológica,
pero la clave del ns es integrarlo y para integrarlo necesitas
que las personas estén enfocadas y las personas
necesitamos un tiempo de actuación.
Entonces, correr más, desde hacer un ns en cuatro meses
todas empresas estrategias a buenas esas cosas buenas
efectivamente bueno ahora comentamos Juan entonces lo que nosotros decimos
es que sí que sí que se va de tecnología,
pero el ns también va de personas,
y si va de personas necesitamos un tiempo para entender
que esto no es solo flor de un día,
sino que realmente esto es en adelante.
Nosotros hemos hecho hoy es una locura,
vale.
Hemos hecho un esquema nacional
de seguridad que normalmente son ya os digo de seis a nueve meses en 1,
pero es una barbaridad,
es uno porque sí o sí le exigían a una empresa por un tema concreto,
un ns de nivel alto, pero eso es bueno.
Obviamente esa empresa estaba súper enfocada,
el dinero no era un problema para comprar la cacharrería
que fuera necesario y tenían un grupo de soporte muy potente
y se hizo echándole, eches, pero no,
pero no es bueno, vale y demorarlo más.
Oye, ese dos años, moda, la mora hermoso,
se duerme esto, me da un poquito de tensión, male tensión
porque así también la gente ve cómo avanza,
y eso es bueno vale Entonces, de seis a nueve meses.
Nosotros, nuestra manera de trabajar funcionamos
con un tipo de metodología ágil, vale, funcionamos por iteraciones.
Cuatro iteraciones, todas las situaciones son iguales,
lo que pasa es que en cada iteración hacemos cosas un poquito diferentes.
Vale?
Entonces, cada como cada iteración acabó en un comité para nosotros
el comité es fundamental.
Ahí se toma las decisiones pasadas, se asume el riesgo,
las tres salas vale?
Le llamamos.
Nosotros es aprobar lo que ha pasado hasta la creación,
aceptar el riesgo de la situación actual
y alimentar la siguiente integración,
y entonces, enlazamos una interacción con otra y en cuatro iteraciones
a una interacción por mes y medio.
Ya tenemos encadenadas todas las acciones que hay
que hacer.
Vale?
Todo eso lo sabemos al principio del proyecto.
Ya sabíamos cómo lo vamos a hacer.
3, cuando abordamos un esquema nacional de seguridad
hay tres acciones.
Tres vectores que funcionan en paralelo un vector
es el cuerpo normativo fundamental, fundamental.
Si no hacemos un cuerpo normativo ágil
es como ahora en el mar, no sirve de nada da igual
que compres farwest que da igual nada no nos sirve no vas
a no vas a poder generar esa dinámica,
esa cultura que queremos cuanto normativo,
en ese cuerpo normativo,
que no significa que sea un tocho enorme,
sino lo justo,
van por una parte de los requisitos del ns,
y, por otra parte, los criterios de la empresa
garantida para aplicar ese ese.
Si son 2.
Esos dos conceptos es lo que me pide.
El ns sí o sí es una ley,
y lo tengo que meter y lo tengo que cumplir
y es ciertas cosas de cómo yo quiero que se haga esto,
obviamente, a ese a esos criterios.
Nosotros les echamos un cable, vale,
y, obviamente, estamos un cable
y escuchamos mucho mucho, que es lo que hacen los técnicos.
Cuerpo normativo,
lo hago lo que nosotros llamamos un programa de seguridad,
que se programa de su vida son venga vale bueno detalle
muy importante ese cuerpo normativo está en presente de indicativo
Las cosas se hacen, ni se harán ni se habían.
Si se hacen ese cuerpo normativo va al comité de seguridad,
que estaba el alcalde, que estaba, el secretario, que estaba,
el de informática, el técnico,
y cuando se aprueba esa norma por el comité.
Es que eso se hace.
No se hará ni se haría.
Vale y todo el mundo
está entendiendo el compromiso que estamos incorporando.
Male entonces.
Como este cuerpo normativo está aprobado.
Ahora la siguiente es el programa de seguridad que le llamamos nosotros
que es generar evidencias de esto que hemos dicho que estaba cumpliendo.
Esas evidencias no sirven primero para los auditores
cuando llega el momento y segundo para que el propio comité
sepa si realmente lo que estamos diciendo
se está haciendo.
Oye que es que se hacen vacas a fenomenal.
Vamos a comprobarlo.
Ahí no está hecho.
Pero ahora me dice que si no.
Entonces qué ocurre.
Pues se pone remedio y luego hay otra vez
la tercera vía.
Que es que hay ciertas a ciertas áreas
técnicas que le ns te las pide y es muy posible
que no las tengas venga por ejemplo doble factor
por ejemplo hubo por ejemplo un cortafuegos o un árbol Ay,
perdón, un antivirus, un antivirus pero evolucionado un xdr pues esa
hasta esas cosas o las tienes o no las tienes.
Entonces.
Qué ocurre?
Que como esto se lo decimos al comité
y en el comité está el alcalde y está el secretario,
el dinero para esto suele aparecer y si no aparece, se asume el riesgo.
Entonces, con estas tres acciones,
estos tres vectores en esas cuatro iteraciones,
en esos cuatro comités,
pues obviamente se van incrementando en cada interacción.
Cada comité se sabe cuál es la situación actual.
Es mejor, se entiende mejor que el anterior,
mejor planteado, mejor que lo anterior,
y llega un momento de cada acción, 4, seis meses,
nueve meses, que estás en zona de cumplimiento,
y entonces allí ya les podemos decir.
Oye, pues estáis para certificar.
Oye, pues mira,
no estáis para certificar está bien, pero hay ciertas cosas que faltan,
falta de esto faltan esto falta esto cuando llegó el momento,
pues lo podáis, abordar, vale res ese proceso que tenemos?
Nos da igual.
Si el ayuntamiento tiene 1.000 habitantes,
si tiene 5.000, si tiene,
si la empresa es de cuatro peces o de 400,
vale la metodología de trabajo es igual, porque nosotros,
entre comillas lo que hacemos es guia a la entidad, el músculo,
lo ponen ellos.
Si nosotros no vamos allí a desembarcar diciendo.
No quitamos de aquí porque de lo que se trata precisamente
es que cuando nosotros demos el paso atrás ellos sepan volar solos, vale,
de eso se trata.
Bueno, al final en este tiene un espíritu continuista,
porque si no nos sirve desde entonces nuestro trabajo también implica
o busca que haya esa ya sea continuidad vale un poco más
de un poco más, no mucho más,
pero si os parece son vamos a.
Bueno hay dudas, tenéis dudas eso les juan Carlos
hablaba de la extensión de bienes a las empresas estratégica
del país con la definición de empresa estratégica,
y las críticas hacia sí.
Bueno aquí vendría lo que hemos.
Bueno lo hemos apuntado, pero no sé si lo hemos explicado.
El cnpic no, efectivamente, pues Juan Carlos,
la respuesta a esa pregunta.
La respuesta a esa pregunta que tú tienes
y que tiene todo el sentido del mundo es que hay una entidad pública.
Qué es el centro nacional?
Ahí está muchísimas gracias.
Entonces resulta que hay ciertas empresas,
además, que por lo menos por lo que me han dicho es así vale,
es que reciben una llamada y les dicen: hola, buenos días,
si es usted infraestructura crítica
y entonces a partir de ahí entras en un listado
y además de cumplir con el ns cumples,
con muchas más cosas que hacen que, bueno,
pues lo que buscan es una protección extra para empresas,
todo vamos los telefónicas de turno.
Los Repsol
la las los puertos, los aeropuertos,
los las energéticas, lo que buscan es bueno,
pues tener esa independencia, esa confianza
de que en un momento dado, ante un ataque externo interno,
del que sea, pues van a tener capaz de ser capaces de soportarlo, vale,
o sea que si otra cosa es que luego el detalle de vuestra,
pues vamos, la idea está clara y que realmente el sistema funciona.
El listado, el, las empresas están asignadas y de hecho,
se van incorporando cada vez más.
Así que en ese sentido también están, se está avanzando.
Más preguntas, a ver si hay alguna pregunta más.
Yo iba a hacer una pregunta que tiene que ver con la implantación, que es
desde tu punto de vista de cómo has trabajado con varias,
hoy enciende de tamaño diferentes,
porque yo creo que es evidente que lo mismo trabajar,
que un ayuntamiento, 500.000 personas entonces grandes,
digo, has hablado del comité de seguridad,
a mí es una cosa que me parece más que razonable,
pero claro, es más complicado.
Probablemente en ciertas loca ciertas poblaciones habla
con un alcalde que probablemente su formación digamos
no es la mejor máxima de porcino,
poco es cuestión de desde medio hacia una abstención,
pero que luego ese acuerdo que históricamente sí que tiene
que tener un poco más de formación,
pero claro, ya sabes que ahí hay ayuntamientos muy pequeñitos.
Entonces esos están dentro también de estas medidas.
Entonces de tu experiencia un poquito, digamos, teclado.
Dificultad que hablábamos antes, pues tendrá un poquito, digamos,
porque hablas de unos, es una estimación,
yo lo entiendo perfectamente, pero yo creo que en esos casos
para que sea un poco más complicado nuevos en tu experiencia personal.
Si lo que ocurre con los ayuntamientos muy pequeños
por ejemplo para que esa es una idea tarde.
Bajos provincia de Burgos 700 habitantes gracias.
El esquema nacional de seguridad dos veces
pero estamos.
No quiso que entonces tienes que poner el cortafuegos,
el antivirus, el xdr,
porque aunque sean 700 habitantes los datos que gestionan
son de nivel sensibles.
Son sensibles.
Entonces no puedes decir que como son 700 habitantes no son hijos de Dios
y no hace falta protegerlos.
Entonces lo que ocurre ahí ahí lo que está pasando
y el ns el CCN se está moviendo en esa línea.
Entonces lo que se busca
es que para ayuntamientos muy pequeños la cobertura
es la de la diputación.
Es entonces en ese sentido esa es una y luego hay otra.
Otra iniciativa que se está poniendo en marcha que la hemos visto
antes ahí como de las tres de los 3.
Qué sitios?
El de la derecha, que es el Micro cens,
es de todas las medidas del esquema nacional
de seguridad para ayuntamientos
de menos de 2000 habitantes se les ha escogido 31 sí y entonces
se les prepara solo en esas y entonces de alguna manera,
pues se entiende que están con esas 30
una, están protegidos y también con el amparo
de la del de la diputación.
Entonces, en ese sentido está cubierto
donde no está cubierto, y es un hándicap.
Es cuando tienes una microempresa de tres veces
y tienes que cumplir el esquema nacional de seguridad a nivel medio,
porque ahí sí que hay un desembolso
y no es tan obvio el tener un rédito,
porque que tú te puedas presentar a pliegos no significa que los vayas
a ganar sabes.
Entonces ahí por ejemplo es salvo que es que para las empresas,
bueno pues pues no se lo ponen fácil, desde luego,
porque el ns cuando aprieta,
o sea que cuando hay que cumplir,
pues obviamente que cumple entonces para dar a la administración pública
y para las entidades que son así más pequeñitas sí
que empiezan a moverse.
Para que no sufran y, sin embargo, los datos estén salvaguardados.
No sé si ya lo ha puesto, ha sido Gabriel,
que ha hablado del centro del puesto,
ya van a valer, también tienen.
Tiene otra pregunta y vamos a ir terminando.
Si crees, se corresponden los roles del esquema nacional.
Seguridad Colón, porque Durán
en la el Reglamento General de Protección de Datos.
En cuanto a las responsabilidades de por ejemplo,
en los pasos de servicio o el responsable, la información,
la pregunta es también muy bien.
Aquí estoy Hassan preguntas de pilotar
el de entonces mirar el Nse.
En ese te dice que tienes que tener un responsable del servicio,
un responsable de información, un responsable del sistema
y un responsable de seguridad?
Eso en un ayuntamiento.
Bueno, sin comentarios, que es la gente se vuelve loca,
pero espero cuánta gente hace falta para esto?
Entonces los voy a poner, como como un ejemplo en un ejemplo.
Vale imaginaos para definir estos cuatro roles,
pero que son un poquito diferentes a los que pide la era el reglamento.
El reglamento básicamente tiene tres roles importantes.
Básicamente es el responsable del tratamiento.
Vale que es Alquería.
Decae,
pues en ayuntamiento debería ser, yo creo,
al menos el secretario responsable de tratamiento.
Luego está el encargado de tratamiento,
que es quien gestiona los datos, el informático, la empresa male,
y luego está el delegado de protección de datos,
que esas eso vale los todos desde la barrera
sí que es verdad que hace más cosas de las que le piden,
pero en principio un delegado de es un asesor que está ahí mirando
y dice.
Por parece que está bien,
como los jubilados que está a la hora poco a poco hace
que esto va bien, vale, pero no tiene ninguna responsabilidad,
eso los terrores principales y luego en el ns
tiene estos cuadros.
Hemos dicho responsable de información, de servicio,
de sistema y de seguridad.
Entonces lo pongo como un ejemplo en el boletín.
Ahí ya me sale el boa, el Boletín Oficial del Probono,
el boe.
Vamos a hablar del boe, male, Boletín Oficial de España.
Pues qué ocurre?
El Boletín Oficial del Estado, festa, encendidamente del Estado.
Entonces, el responsable del servicio,
el boe lo que dice es el boe.
Es muy importante que este siete por por siete días,
por 24 horas, por 365 días funcionando,
porque si está un día caído,
tenemos un pollo de índole legal muy serio.
Entonces el del servicio dice.
Esto sí o sí tiene que estar funcionando siempre.
Luego está el de información en la información
lo que dice es hoy el boe, pues ha de el público sí?
Porque si fuera secreto, pues tendríamos un problema.
Es público y luego no solo es público,
sino que además las personas que lo que modifiquen
los datos que modifiquen los datos tienen que estar autorizadas
y tienen que estar, tienen que estar controladas,
porque solo las personas adecuadas tienen que tocarlo,
porque si toca cualquiera.
Tenemos un pollo, vale?
Entonces, con esas dos características
así básicamente el responsable de seguridad
lo que dices, venga, vale.
La disponibilidad del 99 con 9,
9, 9, nueve por 100 en entren tiene que estar.
Obviamente, tiene que tener control de acceso
con doble factor de autenticación y el sursuncorda male
y coge esas características.
Esos requisitos y se los pasa al de sistemas que lo implementa,
y eso lo roles y cada uno tiene.
El suyo vale, y el del sistema lo puede implementar entre comillas,
como le dé la gana siempre y cuando esté de acuerdo con lo que dice
el de seguridad y ese cumpla con lo que requisitos del sistema
y el de información male 3.
Hay cierta relación entre unos y otros.
Obviamente vale.
Muchísimas gracias, de verdad.
Ha sido un placer y así lo espero
que todos los que han participado con preguntas
y alguno que no las ha hecho también hayan hayan aprendido
de lo que es el ens digamos, desde otro punto de vista.
El que nosotros contaba,
el uso que siempre es, es bueno el tener puntos de vista,
confluente te lo dice.
Así que muchísimas gracias
y espero que aunque quieren hacer alguna pregunta, yo me despido aquí?
Venga entonces la pregunta rápida,
si quieres y vamos a terminando de maricarmen una pregunta sencilla,
porque la mira oye, la duda es.
Dice todos servicios, una administración pública,
en este caso la universidad,
por poner un ejemplo muy bien traído a Mari Carmen, por cierto,
tiene que cumplir con el esquema nacional de seguridad
o depende del servicio?
Las electrónicas se que sí?
Pues esta es una muy buena pregunta,
porque en realidad el enfoque del esquema nacional
de seguridad al principio de los tiempos era, o dos
los servicios prestados al ciudadano tienen que estar certificados
en el esquema nacional de seguridad.
Entonces es me daba pues prestadas al ciudadano?
Bueno, la sede electrónica venga,
pues es un servicio prestado al ciudadano.
Otro, la página web me vale.
La página web es un servicio prestado ciudadano,
con lo cual también debería estar certificado
en el esquema nacional de seguridad.
Es el enfoque del esquema nacional de seguridad del 2010,
pero ahora el esquema nacional de seguridad
del 2000 veintitres perdón,
del 2000 veintidos que está ahora vigente,
esa barrera del servicio al ciudadano
se pierde y entonces es que todos los servicios que tú tengas, que sea
todo el servicio que tú preste es a una administración pública,
tiene que estar certificada
y todos los servicios que preste la administración pública
al ciudadano tienen que estar certificados mal.
Entonces, el sí que es verdad que la Administración Pública
tiene que seguir mirando al ciudadano,
pero la empresa privada ya no mira al ciudadano,
sino al servicio que le presta la administración
a la administración pública.
Vale?
Entonces, lo que ocurre es que a ver lo que nosotros proponemos.
Por ejemplo, cuando entramos en una mesa, en administraciones,
me acababan.
Vamos a empezar por un servicio,
y cuando ya se tiene construido un servicio,
luego se ve que el siguiente servicio en realidad es más fácil,
porque ya todo lo importante de la gestión, de las incidencias,
de los cambios que comentábamos antes, autorizaciones,
todo eso ya es común.
Entonces, implantar nuevos servicios es muchísimo más rápido y luego,
como la dinámica ya es diferente,
y la mentalidad también, pues no nos la da el plan.
Vale?
Bueno, Mari Carmen pregunta también se pero si este servicio
es principalmente para el propio personal de la universidad,
y no al ciudadano, otro más cuando están ahora.
Pero bueno,
si hablamos de que el servicio ya no es al ciudadano,
sino al propio, ser personal, o en este caso,
se dan docentes, administraciones, servicios,
me imagino que va por ahí.
No Maricarmen, miras, por ejemplo, para en hay sitios.
Pasa, es que esto es un poquito complejo,
a lo mejor dibujando el es más fácil, vale,
pero, pero voy a intentar explicar, por ejemplo,
imaginar que la universidad no la universidad,
da servicio, no da servicio al ciudadano,
y tiene aplicaciones
para que los alumnos puedan seguir los cursos.
Entonces, ese servicio, una página web con acceso estatal,
tal, se podría certificar?
Fenomenal, pero digamos que ese servicio, a su vez,
se podría dividir en 2: dos capas.
Una capa de Justin de aplicaciones y las aplicaciones
propiamente dichas.
Entonces, el servicio de Justin es un servicio,
y también se podría certificar,
y es un servicio de la propia universidad,
que le da a la propia universidad,
porque las aplicaciones también son entonces.
También se podría certificar ese servicio.
No solo la salud ciudadana no sólo basa al, en este caso,
al cliente;
o a vano, a al alumno se lo das a la propia universidad
y se puede certificar.
Entonces se se se pierde un poco.
El no es tanto
una cuestión que se la vamos a dar al a quien sea ciudadano,
se trata de.
Yo tengo un servicio, y lo que quiero desgarantizar
y poder garantizar seguro y en ese sentido
pues certificarlo vale.
Pues es a Mari Carmen preguntas.
Bueno, pues voy a todo el mundo muy, muy interesante,
y te un esquema, es un poco llamas.
Toros cambias, poco amenazan con el.
La visión que quiere decir la comparabilidad,
haya dicho, sí si es algo, si ha bajado un poquito,
aunque es verdad que ya estoy incumplimiento
y al final analizando mucho y era pertinente,
donde veces ahora se está haciendo mucho hincapié obligatorio
y avanzado, pues muchísimas gracias al admire didáctica,
gana, yo ya lo tengáis que va, pero cosas que no conocía
la implantación y comparación de sistemas teórico,
eso sí vemos un poco de anomalía,
pero tú has aportado que hace poco se hace la jueza,
si se sería copiado de la oficina, porque me ha gustado sala,
así que gala,
muchas gracias a estar ahí y les a vosotros por esta línea
y como siempre,
pues estará disponible hoy la grabación,
posteriormente, nada concédanme,
vamos a encontrar loatorias dudas y bueno,
que parece ser un buen día.
Gracias.