El Instituto de Investigación Sanitaria Incliva, vinculado al Hospital Clínico Universitario de València, ha logrado un hito significativo al obtener la certificación CeENS en el Esquema Nacional de Seguridad (ENS). Este marco normativo español es fundamental para garantizar la seguridad de los sistemas, datos y servicios electrónicos utilizados en la administración pública y sus proveedores. La certificación CeENS no solo es un reconocimiento a los esfuerzos de Incliva en materia de ciberseguridad, sino que también establece un estándar que otros organismos pueden seguir para proteger la información sensible.
### Importancia del Esquema Nacional de Seguridad
El Esquema Nacional de Seguridad (ENS) es una normativa que establece las medidas de protección necesarias para asegurar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de los datos. Su objetivo principal es minimizar los riesgos asociados a la gestión de información y prevenir ciberataques que puedan comprometer la seguridad de los sistemas. La certificación CeENS, que Incliva ha conseguido, se basa en el Real Decreto 311/2022, el cual actualiza la normativa anterior para alinearse con estándares internacionales como la ISO/IEC 27001.
La categorización de los sistemas dentro del ENS se realiza asignando un nivel de seguridad (bajo, medio o alto) en función del impacto que un incidente de seguridad podría tener sobre los activos de información. Cada nivel de seguridad implica la implementación de medidas y controles específicos que buscan fortalecer la ciberseguridad y la trazabilidad de los datos en los diferentes sistemas de información de la institución. En el caso de Incliva, la certificación obtenida corresponde a la categoría CeENS, que se considera de nivel bajo, lo que indica que han superado satisfactoriamente las auditorías requeridas.
### Proceso de Certificación y Plan de Actuación
El camino hacia la certificación CeENS no fue sencillo. Incliva ha estado trabajando arduamente durante los años 2024 y 2025 para cumplir con los requisitos establecidos por el ENS. Este esfuerzo ha involucrado a un equipo multidisciplinario que incluye a miembros de diversas áreas, como el Área Legal, Ciencia de Datos, Protección de Datos y Calidad, así como el Área de Informática. La colaboración entre estos departamentos ha sido crucial para garantizar que todos los aspectos de la ciberseguridad sean abordados de manera integral.
El equipo de trabajo ha estado liderado por profesionales como Maite Sáenz y Alejandro Francisco Pons, quienes han sido fundamentales en la gestión legal del proceso, así como Fernando Ferragut y Gabriel Adrian Margineanu, quienes han aportado su experiencia en ciencia de datos a través del proyecto IntegraCloud. Además, Rafael Barajas ha trabajado en el área de Protección de Datos y Calidad, mientras que Enrique Herreras y Miguel Herreros han sido clave en el ámbito de la informática.
Para asegurar que la certificación no sea un fin en sí mismo, Incliva está desarrollando un plan de actuación a cuatro años que busca no solo mantener la conformidad con el ENS, sino también superarla. Este plan se fundamenta en un régimen que excede las pautas establecidas por la Guía CCN-STIC 890C, y contempla la realización de auditorías externas cada dos años para evaluar y mejorar continuamente los sistemas de seguridad.
La metodología CeENS es innovadora y se beneficia de las actualizaciones del Real Decreto 311/2022, que facilita la obtención de la Certificación de Conformidad en el ENS mediante un Perfil de Cumplimiento Específico (PCE). Esta metodología no solo proporciona un marco claro para la certificación, sino que también ofrece acompañamiento y asistencia a las instituciones desde la fase previa a la adecuación hasta después de la obtención de la certificación, todo ello automatizado en herramientas de Gobernanza de la Ciberseguridad como INES-AMPARO.
La obtención de esta certificación es un paso significativo para Incliva, ya que no solo refuerza su compromiso con la seguridad de los datos, sino que también establece un precedente en el ámbito de la investigación sanitaria en España. Este logro puede servir de modelo para otras instituciones que buscan mejorar su seguridad cibernética y proteger la información sensible de sus usuarios y pacientes. La importancia de contar con sistemas seguros en la administración pública no puede ser subestimada, especialmente en un mundo donde las amenazas cibernéticas son cada vez más sofisticadas y frecuentes.
