Gobernanza en el grupo PITMA: nuestra triple certificación en el Esquema Nacional de Seguridad

El grupo PITMA es una compañía multisectorial que opera en diferentes áreas. La complejidad de diseñar una estructura especializada en sectores tan diversos como la energía, las telecomunicaciones o los servicios empresariales no está reñida con la capacidad de ofrecer una experiencia con los más altos estándares de calidad a los públicos a los que se dirige cada equipo de trabajo.

Uno de los aspectos clave para alcanzar ese objetivo es garantizar la seguridad de la información frente a las diferentes ciberamenazas existentes en la actualidad.

Por ello, desde hace un tiempo, las empresas del grupo PITMA trabajan en adaptarse al nuevo marco normativo y al contexto estratégico existente para garantizar la seguridad en todos los niveles, especialmente cuando se trabaja con el sector público. Para lograr la certificación es necesario superar un programa de capacitación profesional específico, previo a la puesta en marcha del resto de medidas.

3 empresas de PITMA, certificadas

Así, en la actualidad, ITM Global y Ralset, en el área de Seguridad, y Vialine, en la división de Servicios Empresariales, son las tres empresas del grupo PITMA que han obtenido la certificación del Esquema Nacional de Seguridad que les habilita para ser un proveedor válido para la Administración Pública. Actualmente, solo 874 empresas y 319 organismos públicos en todo el país han logrado esta certificación. Conseguirla es una norma de obligado cumplimiento para todos los proveedores de servicios tecnológicos, que establece los principios esenciales y requisitos necesarios para garantizar la seguridad de la información.

Estas empresas del grupo PITMA, sus procesos, sistemas y equipos, han sido auditados por agentes externos para lograr dicha certificación, regulada en el RD 311/2022, de 3 de mayo.

Adecuarse al Esquema Nacional de Seguridad (ENS) supone realizar una revisión profunda de los procedimientos e infraestructuras con las que se trabaja en el día a día en cada empresa, teniendo en cuenta sus características y circunstancias particulares, para alcanzar estándares tecnológicos ajustados a unas necesidades de interés general.

La integridad de la información propia y de terceros, motivación para certificarse

Al certificarnos en el ENS nos convertimos no solo en proveedores confiables para la Administración Pública, sino para todo tipo de clientes o proveedores, ya que ese proceso de transformación resulta de utilidad para todos los usuarios y públicos de la compañía. Adaptarnos a la normativa permite operar en un ámbito tecnológico actualizado, para una aplicación más eficaz y eficiente a la hora de dar respuesta a las tendencias y necesidades de ciberseguridad.

Una adecuación ordenada al ENS requiere, por lo general, el tratamiento de las siguientes cuestiones:

• Preparar y aprobar la política de seguridad de cada empresa, teniendo en cuenta cuestiones particulares como la misión de la organización, la definición de roles, la estructura y composición del comité para su gestión o directrices generales en la estructuración de la documentación de seguridad, entre otros.
• Categorizar los sistemas.
• Realizar el análisis de riesgos y la valoración de las medidas de seguridad existentes.
• Preparar y aprobar la Declaración de aplicabilidad exigida por el ENS.
• Elaborar un plan de adecuación para la mejora de la seguridad.
• Implantar, operar y monitorizar las medidas de seguridad de manera continuada.
• Auditar la seguridad para verificar el cumplimiento de todos los requisitos.
• Obtener y publicitar la conformidad con el ENS.
• Informar sobre el estado de la seguridad.

Para llevar a cabo el objetivo de la seguridad de la información se deben tener en cuenta una serie de parámetros, entre los que habría que destacar:

• Confidencialidad: garantiza que la información solo pueda ser accedida por una serie de usuarios.
• Integridad: garantiza que la información no pueda ser modificada durante su tratamiento.
• Disponibilidad: garantiza que los sistemas estén permanentemente accesibles a usuarios, procesos u otros sistemas. 
• Autenticación: garantiza la legitimidad del creador de la información.
• Trazabilidad: garantiza el conocimiento del tratamiento de la información (quién, cuándo, cómo, desde dónde y qué ha hecho con esa información).

Actualmente, el Esquema Nacional de Seguridad (ENS) es un marco normativo coordinado desde el Centro Criptológico Nacional, el organismo responsable de garantizar la seguridad de las Tecnologías de la Información y la Comunicación en el Sector Público, y dependiente del Centro Nacional de Inteligencia.