Resumen
CCN STIC 801 Responsabilidades y Funciones en el ENS: define los diferentes roles existentes en la AGE a nivel TIC y LOPD: Responsable de información, sistema, servicio, seguridad, Responsable tratamiento, Encargado de tratamiento, DPD.
CCN STIC 802 Auditoría del ENS: para auditar el cumplimiento de las medidas de seguridad del ENS según su categoría, apoyo del art.34 y anexo III de ENS.
CCN STIC 803 Valoración del Sistema en el ENS: nos apoyamos en esta guía para categorizar el sistema para activos esenciales (información y servicios) para las dimensiones ACIDT. Artículo 43 Categorías y Anexo I del ENS
CCN STIC 804 Guía de Implantación: una vez categorizado el sistema, usaremos esta guía para aplicar las medidas de seguridad del ENS, así como el anexo II del mismo. Se establecerá la Declaración de Aplicabilidad por el Responsable de Seguridad según el Artículo 27 del ENS “...La relación de medidas seleccionadas del Anexo II se formalizará en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de seguridad.”
CCN STIC 805 Política de Seguridad de la Información: esta guía la usaremos para hablar de política de seguridad, mencionarla en medida de seguridad ENS (política de seguridad), Plan de contingencias y plan director de seguridad (PDCA). Toda Política de seguridad estará firmada por el titular del órgano superior correspondiente, según artículo 11 del ENS
CCN STIC 806 Adecuación al ENS: aquí hablamos de nuestro famoso PISCADI AI.
CCN STIC 807 Criptografía de empleo en ENS: cuando hablemos de túneles VPN, o cifrado o cualquier cosa que le incumba. Utilización de algoritmos criptográficos acreditados por el CCN y contraseñas de longitud dependiendo de la categoría del sistema. POSIBLE CRIPTOGRAFÍA CUÁNTICA??-> Entrelazamiento, polarización BB84
CCN STIC 808 Verificacion de cumplimento de medidas en el ENS: sirve para revisar que nuestro sistema cumple con las medidas de seguridad según nuestra categoría (paso previo a la 809).
CCN STIC 809 Declaración y certificación de conformidad y distintivos de cumplimiento: cuando queremos conseguir la famosa etiqueta de categoría alta ENS, previa auditoría según 802 y 808.
CCN STIC 810 Guía de Creación de CERTs: solo saber que es para crear CERTs Computer Emergency Response/Reaction Team que cumplan con el ENS.
CCN STIC 811 Interconexión en el ENS: saber que para la arquitectura de red hablaremos de APP-5 y lo enlazamos con art. 8 ENS (líneas de defensa) y artículo 22 Prevención ante otros sistemas interconectados.
CCN STIC 812 Seguridad entornos y aplicaciones web: hablar del modelo de 3 capas que ofrece (escalabilidad, independencia de capas, seguridad, bajo acoplamiento y alta cohesión), hablar de OWASP Open Web Application Security Project y el WAF Web Application Firewall para evitarlo (modsecurity o URLScan).
CCN STIC 813 Componentes certificados: cuando hablemos en medidas ENS de componentes certificados op.pl.5 o VPN hardware, certificados, etc.
CCN STIC 814 Seguridad en el servicio de correo: hablamos de poner el correo bastionado con medidas de seguridad, integrar en el correo lo siguiente: antivirus, antispam, antispyware y DLP Data Loss Prevention (basado en AI Inteligencia Artificial y ML Machine Learning, procesamiento automático para proteger la confidencialidad de organización).SPF Sender Policy Framework, DKIM Domain Keys Identified Mail, DMARC Domain-Based Message Authentication Reporting and Conformance .
CCN STIC 815 Indicadores y métricas ENS: para poder sacar la certificación o declaración habrá que verificar que se cumplen ciertos indicadores, se relaciona con INÉS. También para medir el grado de cumplimiento del ENS en nuestro sistema. Normalización de métricas. Articulo 35 ENS (estado de seguridad ENS).
CCN STIC 816 Seguridad en redes inalámbricas: todo lo relativo a seguridad wifi, quedarnos con la autenticación 802.1x/EAP con servidor RADIUS integrado con LDAP, y el cifrado WPA2 enterprise, hablar de VLAN diferenciada por seguridad entre invitados y personal interno (portal cautivo).
CCN STIC 817 Gestión de ciberincidentes: para justificar las sondas SAT- INET en DMZ y SAT-SARA, y usándolo con LUCÍA y arts. 36 y 37 ENS, respuesta a incidentes de seguridad.
CCN STIC 818 Herramientas seguridad ENS: aplicar todas las herramientas de seguridad que recordemos, mencionamos esta guia al final de seguridad lógica.
CCN STIC 820 Protección frente a DoS: hablamos de tener nuestro sistema dimensionado correctamente, y que el operador tendrá un sistema anti DDoS usando Black Hole. Los proxys también pueden ayudar frente a DoS.
CCN STIC 822 Procedimientos de seguridad anexo III: PROCEDIMIENTO DE GENERACIÓN DE COPIAS DE RESPALDO Y RECUPERACIÓN DE LA INFORMACIÓN: para hacer referencia en el backup de datos, guia como apoyo a la misma. Art 25 ENS Continuidad de la actividad.
CCN STIC 823 Seguridad en entornos Cloud: para hacer referencia a la nube sara o nube pública, deben tener la misma o mayor categoría que nuestro sistema y tener distintivo según CCN STIC 809, cumplir SLA y portabilidad de datos, la nube debe cumplir con ENI, ENS, RGPD y LOPDGDD. Nube Sara CONVENIO con la SGAD.
CCN STIC 824 Informe estado seguridad (INES): sirve para sacar periódicamente el cumplimiento de las medidas ENS con apoyo de 815 ¿¿y poder conseguir certificación??.
CCN STIC 827 Gestión y uso de dispositivos móviles: nombrar esta guia para hacer referencia de gestión de terminales móviles de forma remota, hablar de BYOD, COPE, COBO, COSU, CYOD. Hablar de la contenerización de aplicaciones para separar datos DCP. Lote 2 del servicio unificado de comunicaciones que nos proporciona la herramienta MDM Airwatch.
CCN STIC 831 Registro de actividad usuarios: sirve para hablar por ejemplo de que se va a guardar el registro en logs, y la gestión mediante sistemas SIEM. Artículo 23 del ENS Registro de Actividad.
CCN STIC 834 Protección frente a código dañino: hablar de poner antivirus doble nivel (DMZ y red interna), los antivirus pueden ser NGEPP (EPP- EDR), los antivirus de red interna serán gestionados en consola central ePO.
CCN STIC 835 Borrado metadatos ENS: para hablar en alguna medida del ENS de borrado de metadatos o borrado de datos para que el usuario no vea comentarios ocultos y esas cosas.
CCN STIC 836 Seguridad VPN: hablar de conexión VPN cuando las comunicaciones discurren fuera del dominio de seguridad, las VPN más habituales son VPN TLS e IPSEC, mencionar guia 807 criptografía.
CCN STIC 837 Seguridad Bluetooth ENS: si hablamos del protocolo DP-3T (Decentralized Privacy-Preserving Proximity Tracing) para algo de rastreo, dado que usa BLE, podemos mencionar esta guía como seguridad.
CCN STIC 844 Manual usuario INES: nombrarlo si mencionamos INÉS en alguna medida de seguridad ENS.
CCN STIC 845 Manual LUCIA: mencionarlo si mencionamos Lucía para notificar los ciberincidentes.
CCN STIC 857 Requisitos de seguridad para Aplicaciones de Cibersalud en el contexto del ENS.
CCN STIC 883 Implantación del ENS en Entidades Locales
CCN STIC 884 Perfil de cumplimiento específico para Azure Servicio de Cloud Corporativo
CCN STIC 885D Guía de Configuración Segura para Microsoft Teams: guía de seguridad para hacer videollamadas mediante Teams, mejor nombrar (reúnete 2.0).
CCN STIC 408 Seguridad perimetral Firewalls.
CCN STIC 423 Indicadores de compromiso (IOC). (REYES).
CCN STIC 432 Seguridad perimetral IDS.
CCN STIC 435 Monitorización de tráfico.
CCN STIC 500, familia de guias sobre Microsoft.
CCN STIC 600, familia de guias sobre LINUX, UNIX, routers, switches, oracle..