Ciberseguridad

Antes de recopilar evidencias, fija el alcance y el criterio de conformidad

Preparar una auditoría ENS sin tener claro qué sistema se evalúa, qué categoría tiene y qué medidas le resultan aplicables suele acabar en una recopilación indiscriminada de documentos. El primer paso es fijar el alcance exacto: servicios, sistemas, componentes, ubicaciones, terceros implicados y periodo sobre el que deben existir evidencias.

También hay que determinar qué mecanismo de conformidad corresponde. El Real Decreto 311/2022 diferencia entre sistemas de categoría BÁSICA y sistemas de categoría MEDIA o ALTA. En ambos casos, la valoración debe poder sostenerse con evidencias objetivas que permitan comprobar la implantación real de las medidas.

Distingue autoevaluación en categoría BÁSICA y auditoría en MEDIA y ALTA

En los sistemas de categoría BÁSICA, la declaración de conformidad se apoya en una autoevaluación documentada. Esa revisión debe reflejar si las medidas aplicables están implantadas, se revisan regularmente y cuentan con evidencias que respalden la valoración realizada.

En los sistemas de categoría MEDIA y ALTA, la certificación de conformidad exige una auditoría. La CCN-STIC-802, Guía de auditorías de cumplimiento del ENS desarrolla el proceso de revisión y los criterios de evaluación. Para el equipo que prepara la auditoría, la consecuencia práctica es clara: cada medida debe poder demostrarse dentro del alcance evaluado.

Parte de la Declaración de Aplicabilidad para saber qué debes demostrar

La Declaración de Aplicabilidad no debería tratarse como un documento que se actualiza únicamente antes de la auditoría. Recoge las medidas seleccionadas para el sistema y permite construir el mapa inicial de aquello que debe verificarse. Si una medida aplica, la organización debe poder explicar cómo está implantada y qué evidencia permite comprobarlo.

El error habitual es empezar recorriendo carpetas en busca de políticas, actas o capturas. Es más eficaz invertir el orden: partir de cada medida aplicable, identificar su implementación real y localizar después la evidencia que la respalda. Si existen medidas compensatorias, también debe quedar documentada su correspondencia y justificación.

Este recorrido permite detectar incoherencias con antelación. Una medida puede figurar como implantada mientras el procedimiento asociado está desactualizado o no existen registros recientes de ejecución. Detectar esa brecha antes de la revisión permite corregir el control real, no limitarse a completar documentación.

Comprueba que cada medida deja una evidencia válida y operativa

Una evidencia útil debe responder a una pregunta sencilla: ¿permite verificar que la medida se ha aplicado realmente? Un procedimiento aprobado puede demostrar que existe un control definido, pero no que se haya ejecutado. Para sostener el cumplimiento hay que relacionar lo previsto con lo ejecutado.

Esa relación debe poder seguirse sin depender de explicaciones informales. La evidencia debe identificar el sistema o activo afectado, el periodo al que corresponde, quién intervino y qué resultado produjo la actuación. Si falta alguno de esos elementos, puede existir documentación suficiente para describir el control, pero no para demostrar su funcionamiento.

Distingue entre evidencia de diseño y evidencia de ejecución

A efectos prácticos de la revisión, conviene distinguir entre evidencia de diseño y evidencia de ejecución. La primera muestra cómo está definido el control mediante políticas, procedimientos, responsabilidades, configuraciones previstas o criterios de revisión. Es necesaria, pero no demuestra por sí sola que el control se haya aplicado.

La evidencia de ejecución acredita que ese diseño se ha llevado a la práctica. En una revisión de accesos, por ejemplo, el procedimiento establece periodicidad y responsables, mientras que el registro de la revisión, las cuentas analizadas, las desviaciones y las acciones realizadas permiten comprobar que realmente se ejecutó.

Revisa trazabilidad, vigencia y relación con el periodo evaluado

Una evidencia puede ser auténtica y resultar insuficiente. Un informe del año anterior no demuestra que una revisión trimestral se haya realizado durante el periodo actual. Del mismo modo, una captura sin fecha, usuario o referencia al sistema puede ser difícil de relacionar con la medida que pretende acreditar.

Antes de utilizarla, conviene comprobar trazabilidad y vigencia: qué control demuestra, cuándo se generó, a qué alcance pertenece y si cubre la periodicidad exigida. Esto resulta especialmente relevante en revisiones de privilegios, gestión de vulnerabilidades, copias de seguridad, incidentes o cambios.

Detecta controles documentados que no pueden demostrarse en la operación

Una señal de riesgo aparece cuando el procedimiento indica que una actividad se realizará periódicamente, pero nadie puede localizar la última ejecución. En ese caso, el problema no está en la redacción: falta evidencia de ejecución.

También puede ocurrir lo contrario. IT realiza una comprobación de forma habitual, pero no conserva resultados, fecha, responsable o tratamiento de las desviaciones. El control puede funcionar y seguir siendo difícil de acreditar. La corrección consiste en integrar la generación y conservación de evidencia verificable dentro del propio proceso.

Prepara la auditoría como una revisión continua, no como una recopilación de última hora

La preparación más eficaz no empieza cuando llega la fecha de auditoría. Empieza cuando cada control genera y conserva evidencia verificable dentro de la operación habitual. Si las pruebas se buscan semanas antes, pueden aparecer huecos imposibles de reconstruir, como revisiones no registradas, aprobaciones sin trazabilidad o controles ejecutados sin conservar resultados.

Por eso conviene asignar responsables y revisar periódicamente si las evidencias siguen siendo accesibles, actuales y suficientes. La preparación deja así de ser una tarea documental puntual y se convierte en una comprobación continua de conformidad.

Coordina evidencias internas y de proveedores

Parte de las medidas puede depender de servicios prestados por terceros. En esos casos no basta con saber que el proveedor dispone de controles propios: hay que identificar qué evidencia aporta, con qué periodicidad, quién la solicita y cómo se relaciona con el sistema incluido en el alcance ENS.

Un fallo frecuente es descubrir durante la auditoría que determinadas pruebas están en manos del proveedor y no existe un mecanismo acordado para obtenerlas. La responsabilidad debe quedar clara antes: qué controla la organización, qué ejecuta el tercero y qué evidencia respalda cada parte.

Checklist previo: qué comprobar antes de la revisión

Antes de cerrar la preparación, conviene realizar una comprobación transversal:

• Alcance: sistemas, servicios, ubicaciones y terceros incluidos coinciden con lo que realmente se va a evaluar.
• Aplicabilidad: cada medida seleccionada puede relacionarse con una implementación concreta.
• Evidencias: existen pruebas de diseño y, cuando corresponde, de ejecución.
• Vigencia: fechas y periodos permiten demostrar la periodicidad comprometida.
• Responsables: puede identificarse quién ejecutó, revisó o aprobó cada control relevante.
• Desviaciones: los hallazgos internos tienen seguimiento y acciones correctoras trazables.
• Proveedores: están disponibles las evidencias externas necesarias y se conoce quién debe aportarlas.

El checklist no sustituye la revisión medida a medida, pero ayuda a detectar brechas transversales antes de entrar en el detalle.

Matriz de trazabilidad de evidencias ENS

La matriz permite concentrar la revisión en una sola vista y detectar dónde falta una prueba, un responsable o una evidencia vigente.

Medida o requisito	Implementación que debe demostrarse	Evidencia disponible	Responsable	Periodo o fecha	Estado de la evidencia	Brecha detectada
Revisión de accesos	Revisión periódica de permisos y privilegios	Registro de revisión y acciones realizadas	Seguridad / IT	Trimestre actual	Evidencia suficiente	Ninguna
Gestión de vulnerabilidades	Identificación y tratamiento según criticidad	Informes de análisis y tickets de remediación	IT / Seguridad	Periodo auditado	Evidencia incompleta	Falta cierre de varias acciones
Copias de seguridad	Ejecución y comprobación de recuperación	Logs de backup y prueba de restauración	Sistemas	Último ciclo previsto	Evidencia insuficiente	No consta prueba reciente de restauración

La utilidad de la matriz está en responder una pregunta por cada medida: ¿qué prueba demuestra este control? Si la respuesta depende de explicaciones verbales, documentos genéricos o evidencias fuera de fecha, todavía queda una brecha que resolver.

Cuando la revisión detecta carencias de implementación y no solo de documentación, puede ser útil profundizar en Esquema Nacional de Seguridad: Implementación y Herramientas como siguiente paso.

Conclusiones

Preparar una auditoría ENS no consiste en reunir documentación, sino en demostrar la implantación real de las medidas dentro del alcance y el periodo evaluado. Cada requisito debe poder seguirse hasta una implementación concreta, una evidencia verificable y un responsable.

La preparación más sólida integra la generación y conservación de evidencias en la operación habitual. Así se detectan antes controles definidos pero no ejecutados, registros incompletos, dependencias de proveedores o pruebas que ya no son vigentes.

El objetivo es que el cumplimiento pueda verificarse sin reconstrucciones de última hora. Cuando la trazabilidad forma parte del funcionamiento del sistema, la auditoría se convierte en una comprobación de evidencias ya disponibles, no en una búsqueda documental contrarreloj.