El caso: el pliego llega un lunes

n0 · Lunes, 9:40

Situación. Lunes, 9:40. Diriges Zarzalia Software: catorce personas que desarrollan y mantienen aplicaciones de gestión para empresas de la zona. Sale a licitación el mantenimiento de la sede electrónica y de las aplicaciones de un ayuntamiento cercano. Es el contrato que llevas dos años esperando. Entre los requisitos del pliego: «Certificación de conformidad con el ENS, categoría MEDIA, de los sistemas con los que se preste el servicio». El plazo de ofertas acaba en tres semanas. Zarzalia no tiene ni declaración ni certificación de conformidad. Tiene la ISO 27001 desde el año pasado.

• A) Presentas la ISO 27001: es una certificación de seguridad internacional. → c-0-A
• B) Firmas una declaración de conformidad propia y la adjuntas: ya os certificaréis después. → c-0-B
• C) Lees qué pide exactamente el pliego y en qué momento, y lo que no queda claro lo preguntas por el cauce de consultas de la licitación. → c-0-C

c-0-A · Consecuencia

la oferta queda excluida: el pliego pedía la conformidad con el ENS.

Camino malo. La ISO 27001 es una norma voluntaria que certifica un sistema de gestión; el ENS es una obligación legal con sus propias medidas, categorías y dimensiones. Comparten mucho trabajo, pero una no sustituye a la otra.

• A) Seguir → d1

c-0-B · Consecuencia

no vale para lo que se pide, y habéis firmado algo que no es cierto.

Camino malo. La declaración tras una autoevaluación es el camino de la categoría Básica. En Media, la conformidad se acredita con una auditoría de certificación (art. 38).

• A) Seguir → d1

c-0-C · Consecuencia

la respuesta es clara: la certificación tiene que estar al presentar la oferta. Esta vez no llegáis, y lo sabéis hoy y no dentro de tres semanas. Decidís prepararos para la siguiente.

Camino bueno. Saber a tiempo que no se llega también es decidir bien.

• A) Seguir → d1

d1 · Decisión 2

• A) Comprando una herramienta «de cumplimiento del ENS» que promete tenerlo en un mes. → c-1-A
• B) Delimitando el alcance: qué sistemas vuestros intervendrían en los servicios que prestaríais a la Administración. → c-1-B
• C) Metiendo toda la empresa en el alcance, para ir sobre seguro. → c-1-C

c-1-A · Consecuencia

la herramienta genera documentos, pero nadie ha decidido qué sistemas entran ni con qué categoría. A los dos meses hay que rehacerlos.

Camino malo. El ENS no pide comprar una tecnología concreta: pide medidas proporcionadas y evidencias de que funcionan.

• A) Seguir → d2

c-1-B · Consecuencia

salen tres: la plataforma de soporte remoto, el entorno de desarrollo y despliegue, y las copias de seguridad. La contabilidad y la web comercial quedan fuera.

Camino bueno. Es la decisión que más condiciona el esfuerzo.

• A) Seguir → d2

c-1-C · Consecuencia

se puede, pero cada sistema que entra hay que protegerlo, documentarlo y auditarlo. El proyecto crece sin que ningún pliego lo pida.

Camino aceptable. No es un error; es más de lo necesario.

• A) Seguir → d2

d2 · Decisión 3

• A) Aceptáis: conoce el sistema mejor que nadie. → f-2-A
• B) Contratáis la auditoría a una entidad de certificación acreditada, de las que publica el Centro Criptológico Nacional. → f-2-B
• C) Hacéis una autoevaluación y publicáis una declaración de conformidad de categoría Media. → f-2-C

f-2-A · Final «Camino malo»

el documento que os entrega no es una certificación de conformidad con el ENS. En la siguiente licitación no sirve.

Lección: Quien ayuda a implantar no audita su propio trabajo.

f-2-B · Final «Camino bueno»

la auditoría encuentra dos incumplimientos menores, se corrigen y llega el certificado. Lo publicáis en vuestra web, como pide la norma.

Lección: En Media y Alta, la conformidad la certifica una entidad acreditada.

f-2-C · Final «Camino malo»

en la siguiente licitación no se admite.

Lección: La autoevaluación con declaración solo basta en categoría Básica.