El Esquema Nacional de Seguridad (ENS): el nivel de exigencia que requiere la información pública

Las Administraciones públicas generan información sensible a gran escala

Las administraciones públicas son, probablemente, uno de los mayores productores de información que existen hoy en día. Gestionan datos de ciudadanos, registros administrativos, censos, expedientes, actividad institucional y una enorme cantidad de información asociada al funcionamiento diario de los servicios públicos. Información crítica y, en muchos casos, especialmente sensible. Sin embargo, durante años, buena parte de esa información ha estado, y en muchos casos sigue estando, en sistemas que no fueron diseñados para protegerla: hojas de cálculo dispersas, herramientas sin control real de accesos, plataformas sin garantías de seguridad o infraestructuras que no cumplen estándares exigentes. Y esto, en el contexto actual, ya no es aceptable.

La información que generan y custodian las administraciones públicas no puede alojarse en cualquier sitio ni gestionarse con cualquier herramienta.

El ENS: un marco que redefine la protección de la información

Si bien ya existían normativas y marcos de referencia orientados a la protección de la información en el ámbito público, la consolidación del Esquema Nacional de Seguridad marca definitivamente el camino a seguir. Regulado por primera vez mediante el Real Decreto 3/2010, de 8 de enero, el ENS encuentra su versión vigente en el Real Decreto 311/2022, de 3 de mayo, que actualiza y refuerza el marco para adaptarlo a un escenario de ciberamenazas mucho más exigente. No es una certificación más ni un sello que se obtiene para cumplir un trámite. Es un marco que obliga a las organizaciones a garantizar que la información está protegida de forma real, no teórica: los sistemas deben ser capaces de prevenir incidentes, detectarlos cuando ocurren, reaccionar ante ellos, recuperarse y conservar la información de forma íntegra y accesible durante el tiempo que sea necesario. Un enfoque que cambia por completo la forma de diseñar, construir y operar los sistemas de información en el ámbito público.

Seguridad por diseño, no como añadido posterior

En este contexto, Reycen no nace como una herramienta que posteriormente se adapta a estos requisitos. Nace dentro de una organización que ya operaba alineada con el ENS en su categoría más alta, donde la seguridad de la información es un requisito estructural desde el primer día. Desde su concepción, los datos que gestiona se han tratado como activos críticos, y cada decisión técnica ha estado condicionada por ese modelo de exigencia. No es una capa que se añade después; es la base sobre la que se construye todo. De hecho, la propia política de seguridad de la organización establece que la seguridad debe formar parte de la operativa habitual, estando presente desde el diseño inicial de los sistemas.

No basta con afirmar que un sistema es seguro, hay que demostrarlo

Al profundizar en lo que realmente exige el ENS, se entiende el alcance de este planteamiento. Decir que un sistema es seguro no es suficiente; hay que demostrarlo con evidencias. Esto implica someter los sistemas a auditorías técnicas reales, analizando su exposición desde el exterior mediante escaneos y análisis de vulnerabilidades sobre entornos en producción, y evaluando los hallazgos según estándares reconocidos como CVSS. Este tipo de análisis equivale a lo que se conoce como prueba de caja negra: observar el sistema como lo haría un atacante desde Internet y corregir cualquier debilidad antes de que pueda ser explotada. Pero el ENS va más allá. También exige revisar el sistema desde dentro, inspeccionando y evaluando el código fuente para detectar y corregir debilidades de seguridad y calidad en su propia construcción. Es el denominado análisis de caja blanca: evaluar no solo lo que se ve desde fuera, sino cómo está hecho el sistema por dentro.

Copias de seguridad que se prueban, no solo se almacenan

La disponibilidad de la información y la capacidad de recuperación son otro de los ámbitos donde el ENS resulta especialmente riguroso. Disponer de copias de seguridad no es suficiente si no se puede garantizar que funcionan. En Reycen, los respaldos abarcan tres ámbitos: la base de datos, el código fuente y la propia infraestructura. Se ejecutan de forma automatizada, con periodicidad definida y retención suficiente para garantizar la recuperación. Se almacenan en infraestructuras que replican la información en múltiples ubicaciones físicamente separadas, con redundancia independiente de alimentación, redes y refrigeración, y todas las copias se encuentran cifradas en entornos aislados.

Lo verdaderamente relevante, sin embargo, es que estas copias se prueban: se realizan restauraciones completas reales del sistema, se valida el resultado y se documenta todo el proceso. Estas pruebas son además objeto directo de revisión en las auditorías ENS, como evidencia obligatoria del correcto funcionamiento de la política de copias. La diferencia es sustancial: no es lo mismo tener backups que poder demostrar que el sistema se recupera.

Preparados para cuando un sistema falla

Hay, además, una premisa en el ENS que rompe con la mentalidad tradicional: los sistemas fallan y hay que estar preparado para cuando ocurra. Reycen dispone de un escenario de contingencia que detalla paso a paso las actuaciones ante una indisponibilidad: comunicación de la incidencia, verificación del problema, análisis, ejecución de la restauración, comprobación del correcto funcionamiento y cierre. Cada paso tiene un responsable asignado, unos recursos definidos y un tiempo estimado. No se improvisa. Se ejecuta un protocolo previamente diseñado, documentado y revisado.

Decisiones basadas en evidencias, no en intuiciones

Todo este enfoque se sustenta en un análisis formal de riesgos. Las medidas de seguridad no se aplican por intuición, sino que parten de la identificación de los activos del sistema, las amenazas que pueden afectarles y el impacto potencial de cada escenario, utilizando metodologías reconocidas. Las amenazas se clasifican en grandes grupos: desastres naturales, origen industrial, errores no intencionados y ataques deliberados; y se evalúan en función de cinco dimensiones: disponibilidad, integridad, confidencialidad, autenticidad y trazabilidad. Así, cada decisión de seguridad queda justificada por evidencias, no por percepciones.

Una vigilancia continua y permanente

La protección, en cualquier caso, no puede ser estática. El ENS exige una vigilancia continua que permita detectar actividades o comportamientos anómalos y responder a tiempo. En la práctica, Reycen incorpora mecanismos de detección de intrusiones (IDS) que monitorizan el entorno de forma permanente e identifican actividad sospechosa, junto con sistemas de prevención (IPS) que filtran el tráfico y bloquean ataques en tiempo real. Esta protección activa se complementa con la centralización de eventos de seguridad en un SIEM, capaz de correlacionar lo que sucede en las distintas capas del sistema, detectar patrones de ataque complejos y coordinar la respuesta. Sin ese nivel de visibilidad, la seguridad quedaría incompleta: se podrían prevenir ciertos ataques, pero no se sabría qué está ocurriendo realmente en cada momento.

Un control de acceso individual y trazable

Un aspecto que a menudo se subestima, pero que el ENS trata con especial rigor, es el control de acceso. No se trata solo de disponer de usuario y contraseña. Reycen aplica un modelo basado en roles (RBAC), donde cada usuario accede exclusivamente a los módulos y registros que le corresponden según su perfil y su unidad organizativa. A ello se suman políticas de contraseñas seguras con requisitos de complejidad y renovación periódica, doble factor de autenticación y la posibilidad de acceso mediante certificado electrónico. No existen usuarios genéricos: cada acceso es individual, trazable y auditable. Porque de nada sirve blindar un sistema si cualquiera puede entrar por la puerta principal.

Una seguridad que alcanza a toda la cadena de suministro

La seguridad, además, no termina en los límites del propio sistema. El ENS exige que cada servicio, componente y proveedor que forma parte de la solución cumpla requisitos equivalentes. En los acuerdos de nivel de servicio se establece expresamente la obligación de cumplir con el Real Decreto 311/2022 y las guías del CCN, alcanzar los niveles de seguridad exigidos y aportar certificaciones de conformidad expedidas por entidades acreditadas. La seguridad se extiende así a toda la cadena de suministro tecnológica: si una pieza falla, compromete el conjunto. Y no vale con confiar; hay que exigir evidencias.

Si no está documentado, no existe

A todo lo anterior se suma una exigencia que transforma la cultura de trabajo: si no está documentado, no existe. El sistema de gestión de la seguridad comprende más de dieciocho procedimientos formales que abarcan desde la categorización y el análisis de riesgos hasta la gestión de incidentes, pasando por el control de accesos, la protección de equipos, la seguridad de las comunicaciones, la gestión de proveedores, la clasificación de la información y la protección de datos personales. Todos versionados, revisados periódicamente y disponibles para auditoría. Incluso cuando una medida funciona correctamente desde el punto de vista técnico, si no puede demostrarse documentalmente, se considera un incumplimiento.

El ENS no es solo un certificado, sino un nivel de exigencia

Vistas en conjunto, todas estas exigencias dibujan una conclusión muy clara: el ENS no es un trámite ni se limita a un certificado, es un modelo que obliga a construir sistemas robustos, trazables, auditables y preparados para fallar sin perder el control. Analizar vulnerabilidades desde dentro y desde fuera, probar que las copias de seguridad funcionan, disponer de planes de recuperación con tiempos definidos, monitorizar de forma continua, detectar y bloquear intrusiones, centralizar eventos en un SIEM, exigir certificaciones a los proveedores, controlar cada acceso con políticas estrictas de autenticación y documentar absolutamente todo. Ese es el nivel de exigencia.

No todas las soluciones están preparadas para este nivel

Y es importante entenderlo, porque no todas las soluciones están preparadas para gestionar información de la administración pública. Muchas de las que todavía se utilizan no fueron diseñadas para soportar este grado de rigor o han sido desarrolladas para una necesidad concreta, sin cumplir todos estos requisitos de seguridad necesarios para cualquier software que usen Administraciones públicas. Muchas plataformas no realizan pruebas de restauración, no cuentan con análisis de vulnerabilidades reales, no aplican monitorización avanzada, no controlan la seguridad de sus proveedores y, en muchos casos, ni siquiera documentan lo que hacen.

Reycen: una plataforma certificada en ENS Categoría Alta

Reycen es el resultado de haber asumido ese modelo desde el origen, no de haberlo adoptado después. Nace en una organización que ya vivía alineada con el ENS, con una política de seguridad aprobada por la dirección, procedimientos formales para cada aspecto de la operación y una cultura donde la seguridad forma parte del día a día. Esa diferencia es la que marca que la información que gestiona no esté simplemente almacenada, sino realmente protegida.

Porque hoy ya no se trata de tener datos en un sistema. Se trata de garantizar que esos datos están donde deben estar, bajo las condiciones que deben cumplir, protegidos por las medidas que exige la normativa y operados por equipos que entienden lo que está en juego.

👉🏻 Si quieres conocer cómo Reycen puede ayudar a tu administración a gestionar la información pública en una plataforma segura que cumple con el ENS Categoría Alta, contáctanos y agenda una demostración: administracion@reycen.com