O Real Decreto 311/2022, de 3 de maio, regula o Esquema Nacional de Segurança espanhol (Esquema Nacional de Seguridad, ENS) e fixou um prazo de vinte e quatro meses para que os sistemas já existentes alcançassem plena conformidade. Esse prazo expirou em maio de 2024. A conformidade com o ENS deixou de ser um horizonte e passou a ser um estado exigível, verificável em auditoria para os sistemas de categoria média e alta.
Dentro deste quadro, a sensibilização e a formação do pessoal não são um acréscimo opcional. O ENS inclui-as como medidas de segurança com nome e número próprios, e trata-as como qualquer controlo técnico: têm de ser aplicadas e têm de poder ser demonstradas.
Este artigo não explica o que é a administração eletrónica nem como se implementa o ENS de início a fim. Assume esse terreno coberto. Foca-se em algo mais delimitado, ou seja, o que exige o Esquema Nacional de Segurança sobre a sensibilização e a formação do pessoal, como essa exigência cresce com a categoria do sistema, e que evidência uma entidade tem de poder pôr sobre a mesa quando o auditor começa a perguntar.
A quem obriga o Esquema Nacional de Segurança?
O Esquema Nacional de Segurança é o quadro que estabelece a política de segurança na utilização de meios eletrónicos das entidades do setor público espanhol. Obriga toda a administração, seja estatal, autonómica ou local, e os organismos e entidades de direito público a ela vinculados ou dela dependentes.
A fronteira relevante para o setor privado está na cadeia de fornecimento. O Real Decreto 311/2022 estende o seu alcance às entidades privadas quando prestam serviços ou fornecem soluções a entidades públicas para o exercício das suas competências. Na prática, essa exigência entra pelos cadernos de encargos: um fornecedor tecnológico que queira trabalhar com uma administração tem de comprovar conformidade com o ENS na parte dos seus sistemas que sustenta esse serviço. A obrigação deixa de ser um assunto apenas do setor público e alcança o seu ecossistema de fornecedores.
O que exige o ENS em matéria de sensibilização e formação?
O ENS separa duas medidas dentro do grupo de gestão do pessoal do Anexo II. A medida mp.per.3, «Concienciación», obriga a manter o pessoal atento ao seu papel na segurança da informação através de lembretes periódicos e ações de sensibilização. A medida mp.per.4, «Formación», exige garantir a formação regular de todo o pessoal nas matérias de que necessita para desempenhar a sua função de forma segura, de maneira proporcional a essa função.
A distinção não é cosmética. Sensibilizar é sustentar a atenção sobre os riscos no dia a dia; formar é dar a cada pessoa o conhecimento concreto que o seu posto requer. O ENS pede as duas coisas, e pede-as de forma contínua, não como um ato único no momento da integração.
O próprio decreto reforça esta linha a partir da sua primeira disposição adicional, que incumbe o Centro Criptológico Nacional (CCN) e o Instituto Nacional de Administração Pública (INAP) de desenvolver programas de sensibilização e formação dirigidos ao pessoal do setor público. A norma não exige apenas a atividade: reconhece que sustentá-la necessita de um programa por trás.
As exigências crescem com a categoria do sistema
O ENS não aplica uma bitola única. Classifica cada sistema numa de três categorias de segurança, básica, média ou alta, consoante o impacto que um incidente teria sobre as dimensões de confidencialidade, integridade, rastreabilidade, autenticidade e disponibilidade. Quanto maior a categoria, mais estritas são as medidas e, com elas, a profundidade esperada do programa de sensibilização e formação.
| Categoria | Como se comprova a conformidade | Exigência sobre o pessoal |
|---|---|---|
| Básica | Autoavaliação e declaração de conformidade | Sensibilização e formação proporcionadas à função |
| Média | Auditoria de certificação | Maior formalização e rastreabilidade do programa |
| Alta | Auditoria de certificação | Programa reforçado, revisto e evidenciado em profundidade |
A diferença operacional mais importante está em como se verifica. Os sistemas de categoria média ou alta necessitam de uma auditoria para certificar a sua conformidade; na categoria básica basta uma autoavaliação com declaração de conformidade. Para quem gere um sistema de categoria média ou alta, isso significa que a sensibilização terá de resistir ao olhar de um terceiro que pede provas, não apenas à boa vontade interna.
A distância entre a política declarada e o comportamento real
O ponto onde mais programas se quebram não é a falta de atividade, mas a distância entre o que a política declara e o que o pessoal faz. Uma entidade pode ter aprovada uma política de segurança impecável, um curso anual e uma folha de presenças, e ainda assim não poder demonstrar que essa formação mudou algo na conduta quotidiana.
É aí que uma auditoria do ENS encontra a criticidade. O auditor não avalia as boas intenções, mas contrasta o conhecimento declarado com o comportamento efetivo. Um programa que apenas acredita a presença responde à pergunta errada. A pergunta que importa é se o pessoal reconhece uma tentativa de phishing quando a tem à frente, se sabe a quem reportar um incidente e se essa reação melhora com o tempo. É o terreno que o ENS partilha com outros quadros, como analisámos ao desdobrar o controlo 6.3 da ISO 27001:2022 e as exigências de sensibilização da Diretiva NIS2.
Como se evidencia o cumprimento numa auditoria do ENS?
Para as medidas mp.per.3 e mp.per.4, a evidência que sustenta a conformidade costuma apoiar-se nestes elementos:
- Registo de quem recebeu sensibilização e formação, quando e sobre o quê, com cobertura de todo o quadro de pessoal.
- Conteúdos ligados às políticas da entidade e aos riscos reais de cada função, não um programa genérico.
- Periodicidade definida e sustentada, com lembretes e ações de sensibilização ao longo do ano.
- Provas de compreensão e de comportamento, como avaliações ou resultados de simulações, que vão além da presença.
- Rastreabilidade proporcional à categoria do sistema, mais exigente em média e alta.
O ponto frágil é quase sempre o mesmo: a entidade tem a atividade, mas não tem o rasto ordenado no dia em que o auditor o pede. Desenhar o programa pensando desde o início em que dado ficará registado é o que separa cumprir de poder demonstrá-lo.
A SMARTFENSE, como plataforma de sensibilização com presença em Espanha e na América Latina, está construída em torno dessa ideia. Cada ação de sensibilização, cada conteúdo entregue, cada simulação de phishing e cada avaliação fica registada e disponível como prova, de modo que a equipa responsável não tenha de reconstruir o rasto à mão antes de uma auditoria do ENS. Podes ver como se articula na plataforma de sensibilização da SMARTFENSE.
O prazo de adaptação já expirou, e com ele terminou a margem para tratar a sensibilização como comunicação interna. O ENS fixou-a como uma medida de segurança com evidência associada, e a escala dessa evidência cresce com a categoria do sistema. O que decide uma auditoria não é quantas horas de formação foram ministradas, mas que rasto a entidade pode mostrar de que o seu pessoal age de forma diferente.
Deixe um comentário