Medidas de seguridad del Anexo II del ENS

El Anexo II del Real Decreto 311/2022 es donde el Esquema Nacional de Seguridad (ENS) convierte sus principios en controles. Recoge todas las medidas de seguridad que se pueden exigir a un sistema, fija cómo se refuerza cada una a medida que sube la categoría del sistema y es el texto que el auditor del ENS recorre, medida a medida.

Para un proveedor que prepara su primera auditoría del ENS, leer bien el Anexo II determina el tamaño del proyecto. Indica qué medidas aplican a su sistema, qué refuerzos se suman, cuáles pueden quedar fuera con justificación y qué evidencia tiene que dejar cada una. Este artículo recorre el anexo en ese orden.

Cómo se organiza el Anexo II: tres marcos, códigos y refuerzos

El Anexo II agrupa sus medidas en tres marcos. El marco organizativo (org) recoge la organización global de la seguridad. El marco operacional (op) protege la operación del sistema en su conjunto. Las medidas de protección (mp) protegen activos concretos, según su naturaleza y el nivel de seguridad que exige cada dimensión.

Cada medida tiene un código que indica dónde está. En op.exp.6, «op» es el marco, «exp» la familia (explotación) y «6» la medida: protección frente a código dañino. Los requisitos base de cada medida llevan su propio subcódigo, como org.1.1 a org.1.5 para el contenido de la política de seguridad, y los refuerzos se escriben R1, R2, etcétera. Conviene familiarizarse pronto con los códigos, porque la Declaración de Aplicabilidad, el plan de auditoría y el informe de auditoría se refieren a las medidas por su código, no por su nombre.

Marco organizativo (org)

El marco organizativo tiene cuatro medidas: política de seguridad (org.1), normativa de seguridad (org.2), procedimientos de seguridad (org.3) y proceso de autorización (org.4). Las cuatro aplican a todos los sistemas, sea cual sea su categoría, por lo que son el punto de partida común de cualquier proyecto ENS.

El Anexo II concreta qué contienen estos documentos. La política de seguridad debe precisar, al menos, los objetivos de la organización, el marco legal y regulatorio en el que opera, los roles de seguridad con sus deberes y el procedimiento para designarlos y renovarlos, la estructura del comité o los comités de seguridad y las directrices para estructurar la documentación de seguridad (org.1.1 a org.1.5). La normativa de seguridad describe el uso correcto de equipos, servicios e instalaciones, lo que se considera uso indebido y la responsabilidad del personal, incluidas las medidas disciplinarias (org.2). Los procedimientos describen cómo se realizan las tareas habituales, quién hace cada una, cómo se identifican y comunican los comportamientos anómalos y cómo se trata la información según su nivel de seguridad (org.3).

La cuarta medida, org.4, exige un proceso formal de autorizaciones que cubra el uso de instalaciones, la entrada en producción de equipos y aplicaciones, el establecimiento de enlaces de comunicaciones con otros sistemas, el uso de medios de comunicación y soportes de información, el uso de equipos móviles y la utilización de servicios de terceros bajo contrato. En la práctica, es la medida que conecta la documentación con la operación diaria: cada portátil, aplicación o proveedor nuevo debería dejar una autorización registrada.

Marco operacional (op)

El marco operacional tiene 33 medidas en siete familias: planificación (op.pl), control de acceso (op.acc), explotación (op.exp), recursos externos (op.ext), servicios en la nube (op.nub), continuidad del servicio (op.cont) y monitorización del sistema (op.mon). Es la parte del anexo que más esfuerzo continuado exige, porque la mayoría de sus medidas describen actividades que no se detienen nunca.

La familia de planificación sienta las bases. Además del análisis de riesgos (op.pl.1), exige una arquitectura de seguridad documentada (op.pl.2) que cubra las instalaciones y sus puntos de acceso, los equipos del sistema, las redes internas y las conexiones al exterior, el esquema de líneas de defensa con cortafuegos y puntos de interconexión, y el sistema de identificación y autenticación. En categoría MEDIA, op.pl.2 añade un sistema de gestión para planificar, organizar y controlar los recursos de seguridad; en categoría ALTA, añade un sistema de gestión de la seguridad de la información con actualización y aprobación periódica, además de controles técnicos internos como la validación de datos de entrada, salida e intermedios. La planificación cubre también la adquisición de nuevos componentes (op.pl.3), el dimensionamiento y la gestión de la capacidad (op.pl.4) y los componentes certificados (op.pl.5).

El resto de familias cubren cómo funciona el sistema. El control de acceso (op.acc) regula la identificación, los requisitos de acceso, la segregación de funciones, la gestión de derechos de acceso y los mecanismos de autenticación. La explotación (op.exp) es la familia más grande, con diez medidas que van del inventario de activos a la protección de claves criptográficas. Los recursos externos (op.ext) cubren la contratación y los acuerdos de nivel de servicio, la gestión diaria de proveedores, la protección de la cadena de suministro y la interconexión de sistemas. Los servicios en la nube (op.nub), la continuidad del servicio (op.cont) y la monitorización del sistema (op.mon) completan el marco.

Medidas de protección (mp)

El marco de protección tiene 36 medidas en ocho familias: instalaciones e infraestructuras (mp.if), gestión del personal (mp.per), equipos (mp.eq), comunicaciones (mp.com), soportes de información (mp.si), aplicaciones informáticas (mp.sw), información (mp.info) y servicios (mp.s). Si el marco operacional protege el sistema en su conjunto, estas medidas protegen tipos concretos de activo.

Muchas medidas de protección aplican en todas las categorías: áreas separadas con control de acceso, identificación de las personas y acondicionamiento de los locales (mp.if.1 a mp.if.3), concienciación y formación (mp.per.3 y mp.per.4), perímetro seguro (mp.com.1), custodia y transporte de soportes (mp.si.3 y mp.si.4), protección de datos personales (mp.info.1) y protección del correo electrónico (mp.s.1). Otras dependen de una sola dimensión. El bloqueo del puesto de trabajo (mp.eq.2) depende de la autenticidad, la protección de la confidencialidad en las comunicaciones (mp.com.2) de la confidencialidad y las copias de seguridad (mp.info.6) de la disponibilidad.

Refuerzos

Un refuerzo añade requisitos a los requisitos base de la medida. El Anexo II indica que los refuerzos se suman a la base, pero no siempre son incrementales entre sí, de modo que R2 no es necesariamente «R1 y algo más». El análisis de riesgos (op.pl.1) muestra cómo funciona. Un sistema de categoría BÁSICA necesita un análisis informal, redactado en lenguaje natural. Uno de categoría MEDIA añade R1, un análisis semiformal con un catálogo básico de amenazas, una semántica definida y tablas. Uno de categoría ALTA añade R2, un análisis formal con fundamento matemático reconocido internacionalmente que asume formalmente el riesgo residual.

Cuando dos o más refuerzos aparecen entre corchetes, como [R1 o R2], la organización elige uno, y el Anexo II incluye un diagrama de flujo en esas medidas para orientar la elección. El mecanismo de autenticación de usuarios externos (op.acc.5) y la separación de flujos de información en la red (mp.com.4) funcionan así. El Anexo II marca además algunos refuerzos como opcionales: no se exigen en todos los sistemas y se aplican como medidas adicionales cuando el análisis de riesgos lo recomienda.

Qué medidas aplican: categoría, dimensiones y tabla de aplicabilidad

El Anexo II fija la selección en cinco pasos: identificar los tipos de activos presentes, determinar las dimensiones de seguridad relevantes, fijar el nivel de cada dimensión, determinar la categoría del sistema y, por último, seleccionar las medidas y refuerzos que correspondan. Los cuatro primeros pasos proceden del Anexo I; el quinto es la tabla de aplicabilidad del inicio del Anexo II. Nuestra guía sobre si el ENS se aplica a tu empresa y en qué nivel explica la categorización con más detalle, así que esta sección se centra en cómo condiciona la selección.

Dimensiones y niveles de seguridad

El Anexo I define cinco dimensiones de seguridad: confidencialidad [C], integridad [I], trazabilidad [T], autenticidad [A] y disponibilidad [D]. Cada dimensión afectada por un incidente se valora como BAJO, MEDIO o ALTO según el perjuicio que causaría: limitado en nivel BAJO, grave en nivel MEDIO y muy grave en nivel ALTO. El Anexo I da ejemplos de cada nivel, desde una reducción apreciable de la capacidad de la organización para desarrollar sus funciones en nivel BAJO hasta la anulación efectiva de esa capacidad en nivel ALTO.

Cuando un sistema trata informaciones distintas y presta servicios distintos, su nivel en cada dimensión es el mayor de los establecidos para cada información y cada servicio. Un sistema que guarda sobre todo contenido público, pero también un conjunto de datos con confidencialidad de nivel MEDIO, es de nivel MEDIO en confidencialidad.

Categoría y tabla de aplicabilidad

La categoría del sistema es el nivel más alto que alcanza cualquiera de sus dimensiones: ALTA si alguna dimensión es de nivel ALTO, MEDIA si alguna es de nivel MEDIO y ninguna superior, y BÁSICA en el resto de casos. La tabla de aplicabilidad hace después la selección, y su columna clave indica si cada medida depende de la categoría o del nivel de dimensiones concretas.

• Medidas que dependen de la categoría. Siguen la categoría global. La protección de la cadena de suministro (op.ext.3) solo aplica en categoría ALTA; la gestión de cambios (op.exp.5) y los componentes certificados (op.pl.5) no aplican en categoría BÁSICA.
• Medidas que dependen de dimensiones. Siguen una o varias dimensiones. Las cuatro medidas de continuidad (op.cont) dependen de la disponibilidad: el análisis de impacto aplica desde nivel MEDIO, mientras que el plan de continuidad, las pruebas periódicas y los medios alternativos solo aplican en nivel ALTO. Los sellos de tiempo (mp.info.4) dependen de la trazabilidad y solo aplican en nivel ALTO.

Por eso dos sistemas de la misma categoría pueden acabar con conjuntos de medidas distintos. Un sistema de categoría MEDIA cuya disponibilidad se valora como BAJO no necesita el análisis de impacto que sí necesita otro de categoría MEDIA con disponibilidad de nivel MEDIO. Valorar cada dimensión con cuidado, en lugar de fijar las cinco al nivel de la categoría, puede marcar la diferencia entre un proyecto proporcionado y uno sobredimensionado.

Medidas no aplicables, segregación y revisión anual

Cuando la tabla dice «n.a.», la medida no es exigible a efectos de cumplimiento en ese nivel, aunque el propio Anexo II señala que implantarla puede ser beneficioso técnicamente. El Anexo II también permite segregar los subsistemas que requieran un nivel de medidas distinto al del sistema principal, siempre que puedan delimitarse la información y los servicios afectados. Un proveedor cuyo trabajo para el sector público funciona sobre una plataforma delimitada puede usarlo para concentrar las medidas más exigentes donde hacen falta.

La categorización no es permanente. El Anexo I exige revaluarla cada año, o siempre que cambien de forma significativa los criterios que la determinan. Según el artículo 41, los responsables de la información y de los servicios valoran las dimensiones, y el responsable de la seguridad determina la categoría. Conviene dejar ambas decisiones registradas, porque el auditor comprobará que la selección se deriva de ellas.

La Declaración de Aplicabilidad: selección, exclusiones y medidas compensatorias

El artículo 28 del Real Decreto 311/2022 convierte la selección en un documento formal. Es donde el razonamiento de los pasos anteriores se convierte en algo que el auditor puede comprobar línea a línea.

Medidas mínimas y declaración firmada

El artículo 28.1 exige adoptar las medidas y refuerzos del Anexo II teniendo en cuenta los activos que forman el sistema, su categoría y las decisiones adoptadas para gestionar sus riesgos. El artículo 28.2 les da la condición de mínimos exigibles: el responsable de la seguridad puede añadir medidas adicionales en función del estado de la tecnología, la naturaleza de la información y los servicios y los riesgos a los que está expuesto el sistema.

La relación final se formaliza en un documento denominado Declaración de Aplicabilidad, firmado por el responsable de la seguridad. Una declaración que enumera medidas sin conectarlas con la categorización y el análisis de riesgos es difícil de defender, porque el auditor no tiene forma de ver por qué está cada medida.

Medidas que no aplican

Una medida sale de la selección por una de dos razones: la tabla de aplicabilidad la marca como «n.a.» para el nivel del sistema, o el tipo de activo que protege no existe en el sistema. Un proveedor que no desarrolla software propio, por ejemplo, tiene una justificación distinta para la medida de desarrollo de aplicaciones (mp.sw.1) que otro que construye la aplicación que entrega al sector público.

En ambos casos, dejar anotado el motivo junto a la medida convierte la selección en algo que el auditor puede seguir, no algo que tenga que aceptar sin más. Una exclusión sin motivo registrado invita a preguntar si la medida llegó a evaluarse.

Medidas compensatorias

El artículo 28.3 permite sustituir una medida del Anexo II por otra compensatoria con tres condiciones. Debe justificarse documentalmente que protege del riesgo sobre los activos igual o mejor que la original. Deben seguir cumpliéndose los principios básicos y los requisitos mínimos. Y la Declaración de Aplicabilidad debe indicar, de forma detallada, qué medida del Anexo II compensa cada una. El conjunto requiere la aprobación formal del responsable de la seguridad, y el real decreto prevé una guía CCN-STIC para seleccionar y registrar las medidas compensatorias.

Las medidas compensatorias son una herramienta para limitaciones reales, no una forma de esquivar una medida. Una medida compensatoria más débil que la original, o documentada solo en términos generales, no superará la auditoría.

Las empresas que ya tienen ISO 27001 reconocerán la estructura: se parece a la declaración de aplicabilidad de ISO 27001, y es una de las razones por las que ambos marcos pueden gestionarse como un programa único.

Qué evidencias genera cada marco

Los tres marcos generan evidencias de tipo distinto, y esa diferencia pesa al preparar la auditoría. Los documentos pueden redactarse en cualquier momento; los registros de una actividad solo existen si esa actividad ha estado funcionando de verdad.

Medidas organizativas: documentos aprobados

Las medidas org producen documentos: la política de seguridad, la normativa y los procedimientos, además del registro de autorizaciones. Para una empresa privada que presta servicios al sector público, el artículo 2.3 establece que la política de seguridad la aprueba el órgano que ostente las máximas competencias ejecutivas. Una política redactada pero nunca aprobada formalmente no cumple la medida.

La evidencia de estas medidas es la versión aprobada, su difusión al personal y el rastro de autorizaciones de org.4. El artículo 13.2 añade que la política de seguridad debe ser conocida por todas las personas de la organización, así que el auditor puede preguntar cómo se informó a la plantilla.

Medidas operacionales: registros que se acumulan en el tiempo

Muchas medidas op describen una actividad que tiene que mantenerse, así que la evidencia es lo que esa actividad ha producido durante el periodo auditado, no un documento puntual. Entre ellas están el inventario de activos (op.exp.1), el mantenimiento y las actualizaciones de seguridad (op.exp.4), la protección frente a código dañino (op.exp.6), la gestión de incidentes y su registro (op.exp.7 y op.exp.9), el registro de la actividad (op.exp.8, ligado a la trazabilidad) y las tres medidas de monitorización: detección de intrusión, sistema de métricas y vigilancia (op.mon.1 a op.mon.3).

Estas medidas no pueden completarse a última hora, porque los registros no se pueden crear con efecto retroactivo. Para ver cómo encajan las herramientas de detección en op.exp.6 y op.mon, consulta nuestra comparativa de EDR, XDR y MDR.

Medidas de protección: estado de los activos y registros

Las medidas mp combinan el estado físico y técnico de los activos con registros. La concienciación (mp.per.3) y la formación (mp.per.4) aplican en todas las categorías, así que todo sistema necesita evidencia de que se han realizado. Las copias de seguridad (mp.info.6) dependen de la disponibilidad: cuanto más alto su nivel, más refuerzos aplican.

Todo esto confluye en la auditoría. El artículo 31 exige una auditoría ordinaria al menos cada dos años, y el informe debe dictaminar sobre el grado de cumplimiento identificando los hallazgos de cumplimiento e incumplimiento. El artículo 38 exige a los sistemas de categoría MEDIA y ALTA una auditoría de certificación, mientras que los de categoría BÁSICA solo necesitan una autoevaluación para declarar la conformidad. Nuestro artículo sobre cómo funciona la auditoría del ENS detalla qué revisa el auditor, y cómo mantener los registros al día entre auditorías se explica en mantener la certificación ENS. Todos nuestros artículos sobre el marco están en el hub del ENS.

Dónde se cruza el Anexo II con el organigrama

El Anexo II presupone roles que una empresa en crecimiento muchas veces aún no tiene. El artículo 13.3 exige que el responsable de la seguridad sea distinto del responsable del sistema, sin dependencia jerárquica entre ambos. Cuando la falta justificada de recursos lo impida, deben aplicarse medidas compensatorias que preserven la diferenciación de responsabilidades. En los servicios externalizados, el artículo 13.5 pide al prestador que designe un punto de contacto para la seguridad, salvo causa justificada y documentada.

Para un proveedor con un equipo de IT pequeño, esta es la parte del Anexo II que no se resuelve con documentos: operar las medidas que generan registros cada semana y mantener la responsabilidad de la seguridad separada de la explotación de los sistemas. Para una empresa que ya tiene equipo de seguridad, el reto suele ser otro: trasladar el Anexo II a los controles que ya opera para ISO 27001 sin duplicar el trabajo.

Qalea es una plataforma de cumplimiento que incluye acompañamiento guiado de nuestro equipo de seguridad. La plataforma relaciona las medidas del Anexo II con tus controles y guarda la evidencia de cada una, reutilizando lo que ya existe para marcos como ISO 27001. Nuestro equipo trabaja con tus responsables para categorizar el sistema y elaborar la Declaración de Aplicabilidad, y la capa de monitorización (EDR, SIEM y un SOC) genera los registros que necesitan medidas como op.exp.6, op.exp.7 y op.mon, para que la evidencia exista cuando el auditor la pida.