Models i registres · ENS
Model d'anàlisi de riscos segons l'ENS
L'anàlisi que justifica les mesures del sistema i la seva proporcionalitat, amb un grau de formalitat que augmenta amb la categoria.
En una frase
L'anàlisi de riscos de l'ENS identifica els actius del sistema, les amenaces i les salvaguardes per justificar que les mesures són proporcionades; l'article 14 del Reial decret 311/2022 exigeix fer-la amb una metodologia reconeguda internacionalment, i la mesura op.pl.1 demana una anàlisi informal en categoria bàsica, semiformal en mitjana i formal en alta.
- Tipus d'informació
- Document obligatori Art. 14 i mesura op.pl.1 de l'annex II
- Qui l'emplena
- Responsable de la seguretat Amb els responsables del sistema, de la informació i del servei
- Quan
- En dissenyar el sistema i periòdicament Es revisa davant de canvis rellevants i abans de cada auditoria
- Quant de temps es conserva
- Com a mínim fins a la propera auditoria El reial decret no fixa cap termini de conservació; guardar les versions de cada cicle biennal permet mostrar a l'auditor l'evolució entre auditories.
Què demana la norma
El que exigeix ENS i el que deixa al teu criteri
Cada organització fa la seva pròpia gestió de riscos, analitzant i tractant els riscos del seu sistema amb una metodologia reconeguda internacionalment. Les mesures que s'adoptin per mitigar-los han d'estar justificades i ser proporcionades.
La mesura op.pl.1 gradua el rigor: en categoria bàsica n'hi ha prou amb una anàlisi informal; en mitjana, semiformal; en alta, formal. MAGERIT, la metodologia d'anàlisi de riscos de l'Administració, i l'eina PILAR del CCN són la referència més estesa al sector públic.
A més, l'anàlisi és la que decideix les mesures addicionals de la declaració d'aplicabilitat i justifica les compensatòries.
Estructura
Camps que ha de tenir el model
- Metodologia i grau de formalitat segons la categoria
- Actius del sistema i la seva valoració per dimensions
- Amenaces identificades per actiu
- Salvaguardes existents i la seva eficàcia
- Risc potencial i risc residual
- Decisió sobre el risc residual i qui la pren
- Mesures addicionals proposades per a la declaració d'aplicabilitat
- Data i versió
Exemple
Exemple: un risc de l'anàlisi semiformal
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Metodologia | MAGERIT, anàlisi semiformal (categoria mitjana) |
| Actiu | Servei de reserva de cites |
| Amenaça | Suplantació d'un empleat municipal per modificar cites (R-04) |
| Salvaguardes existents | Usuari i contrasenya amb caducitat |
| Risc | Potencial alt · residual mitjà amb les salvaguardes actuals |
| Decisió | No s'accepta: s'hi afegeix un segon factor com a mesura addicional |
| Risc residual final | Baix · acceptat pel responsable de la seguretat |
| Data | 28 de gener de 2026, versió 4 |
A l'auditoria
Errors que solen assenyalar els auditors
- Anàlisi informal en un sistema de categoria mitjana.
- Metodologia pròpia sense fonament reconegut.
- L'anàlisi no es fa servir per justificar les mesures: va per un costat i la declaració per un altre.
- Risc residual sense acceptació expressa.
A Kimobox
Com es porta aquest registre a Kimobox
- 1L'anàlisi de riscos es vincula al mapa de processos del sistema d'informació.
- 2Cada risc es registra amb el seu actiu, el seu tractament i el seu propietari.
- 3Les versions de l'anàlisi es conserven com a registre versionat per a l'auditoria.
Preguntes freqüents
El que ens pregunten abans de començar
És obligatori fer servir MAGERIT?
No. El reial decret demana una metodologia reconeguda internacionalment; MAGERIT ho és i és l'habitual al sector públic, però en serveixen d'altres amb un fonament equivalent, com la que orienta ISO/IEC 27005.
Puc fer servir la mateixa anàlisi per a ISO 27001?
Sí, si compleix els criteris de tots dos marcs: propietaris i criteris d'acceptació per a ISO 27001, i el grau de formalitat de la categoria per a l'ENS.
Porta els registres de ENS sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Model d'anàlisi de riscos de seguretat ISO 27001
Com documentar l'anàlisi de riscos de seguretat que demana ISO 27001: criteris d'acceptació, propietari…
Marc operacional
El marc operacional cobreix com es planifica, opera i controla el sistema dia a dia per mantenir la seguretat.
Model de categorització del sistema segons l'ENS
Com documentar la categorització d'un sistema segons l'annex I de l'ENS: nivells de les cinc dimensions…
Model de declaració d'aplicabilitat de l'ENS
Què ha de recollir la declaració d'aplicabilitat de l'ENS: mesures de l'annex II segons la categoria…