Análisis de cumplimiento normativo: conoce el nivel de madurez en seguridad de tu empresa 

Muchas empresas disponen de antivirus, copias de seguridad, autenticación multifactor y políticas internas. Sin embargo, cuando llega el momento de demostrar cómo protegen su información, no siempre pueden responder con claridad. 

¿Quién tiene acceso a los datos? ¿Se revisan los permisos? ¿Existe un procedimiento para responder ante un incidente? ¿Las medidas de seguridad están documentadas? ¿Se comprueba periódicamente que funcionan? 

El problema no siempre es la falta de herramientas. En ocasiones, las medidas existen, pero no están coordinadas, actualizadas o adaptadas a los riesgos reales de la organización. 

Un análisis de cumplimiento normativo ayuda a conocer ese punto de partida. Permite evaluar el nivel de madurez de la empresa en seguridad de la información, identificar posibles carencias y establecer prioridades antes de solicitar una certificación o implantar nuevas soluciones. 

La pregunta inicial es sencilla: 

¿Sabes hasta qué punto está preparada tu empresa para demostrar que gestiona correctamente su seguridad? 

¿Qué es un análisis de cumplimiento normativo? 

Es una evaluación que permite comparar la situación actual de una organización con los requisitos, controles y buenas prácticas de un marco de seguridad determinado. 

En el Esquema Nacional de Seguridad, esta evaluación sirve para obtener una primera visión del nivel de madurez de la empresa e identificar aspectos que requieren revisión. 

No se trata únicamente de comprobar si existe un documento o una herramienta. El análisis debe ayudar a determinar: 

• Si las responsabilidades de seguridad están definidas. 
• Si la empresa conoce sus principales riesgos. 
• Si los accesos y privilegios están controlados. 
• Si los sistemas se mantienen actualizados. 
• Si la información se protege durante todo su ciclo de vida. 
• Si existen procedimientos de respuesta y continuidad. 
• Si las medidas implantadas se revisan periódicamente. 
• Si la organización puede aportar evidencias de su funcionamiento. 

El objetivo no es obtener automáticamente una certificación, sino conocer la situación real y decidir qué pasos deben darse a continuación.

¿Qué relación tiene con el Esquema Nacional de Seguridad? 

El Esquema Nacional de Seguridad está regulado por el Real Decreto 311/2022, de 3 de mayo. Establece principios básicos y requisitos mínimos para proteger adecuadamente la información y los servicios dentro de su ámbito de aplicación.

Entre sus principios se encuentran: 

• La seguridad como un proceso integral. 
• La gestión de la seguridad basada en riesgos. 
• La prevención, detección, respuesta y conservación. 
• La existencia de distintas líneas de defensa. 
• La vigilancia continua. 
• La reevaluación periódica. 
• La diferenciación de responsabilidades.

Esto significa que el ENS no consiste únicamente en instalar soluciones de ciberseguridad. Requiere coordinar gobierno, procesos, personas y tecnología.

El marco persigue proteger el acceso, la confidencialidad, la integridad, la trazabilidad, la autenticidad, la disponibilidad y la conservación de los datos, la información y los servicios

¿A qué empresas afecta el ENS? 

El ENS se aplica a las entidades del sector público y también puede afectar a empresas privadas que les proporcionan soluciones o prestan servicios vinculados a sus competencias.

Por eso deben prestarle una atención especial: 

• Empresas que trabajan con Administraciones Públicas. 
• Proveedores tecnológicos del sector público. 
• Organizaciones que participan en licitaciones. 
• Empresas que gestionan sistemas o información vinculados a servicios públicos. 
• Proveedores cloud, de software o servicios gestionados. 
• Empresas sujetas a requisitos contractuales de seguridad. 

No obstante, una organización que no esté obligada formalmente también puede utilizar el ENS como referencia para mejorar sus sistemas. La guía del CCN sobre auditorías de cumplimiento señala expresamente que cualquier organización puede adoptar sus disposiciones como un marco eficaz para mejorar la seguridad.

Cumplir no significa únicamente tener documentación 

Uno de los errores más habituales es pensar que el cumplimiento se resuelve creando políticas y procedimientos. 

La documentación es necesaria, pero debe reflejar lo que sucede realmente en la empresa. 

Por ejemplo, una organización puede disponer de una política de control de accesos y, al mismo tiempo: 

• Mantener cuentas de personas que ya no trabajan en la empresa. 
• No revisar periódicamente los permisos. 
• Utilizar cuentas con privilegios excesivos. 
• Compartir archivos mediante enlaces abiertos. 
• No conservar evidencias de las revisiones realizadas. 

También puede disponer de un plan de continuidad que nunca se ha probado o de copias de seguridad cuya restauración no se ha verificado. 

Por eso, un análisis de cumplimiento debe evaluar tres niveles: 

1. Diseño: ¿Existen las políticas, procedimientos y responsabilidades necesarias? 
2. Implantación: ¿Las medidas se aplican realmente en el trabajo diario? 
3. Evidencia: ¿Puede la organización demostrar que los controles funcionan y se revisan? 

El cumplimiento efectivo aparece cuando estos tres elementos están conectados.

¿Qué aspectos puede evaluar el análisis? 

El alcance dependerá del marco utilizado y de las características de la empresa. En una evaluación inicial pueden revisarse las siguientes áreas. 

Gobierno y responsabilidades 

• Existencia de una política de seguridad. 
• Definición de funciones y responsabilidades. 
• Aprobación y revisión de las políticas. 
• Participación de la dirección. 
• Coordinación entre negocio y tecnología. 

Análisis y gestión de riesgos 

• Identificación de activos críticos. 
• Evaluación de amenazas y posibles impactos. 
• Tratamiento de los riesgos.
• Aceptación del riesgo residual. 
• Reevaluación periódica. 

El análisis y la gestión de riesgos forman parte de los requisitos mínimos recogidos por el Real Decreto 311/2022

Gestión de identidades y accesos 

• Altas, bajas y cambios de usuarios. 
• Revisión periódica de permisos. 
• Aplicación del mínimo privilegio. 
• Autenticación multifactor. 
• Protección de cuentas administrativas. 
• Trazabilidad de los accesos. 

Protección de sistemas e información 

• Inventario y clasificación de activos. 
• Actualización de sistemas. 
• Protección de dispositivos. 
• Seguridad del correo electrónico. 
• Cifrado y protección de datos. 
• Registro de actividad. 
• Detección de código malicioso. 

Gestión de incidentes 

• Procedimiento para comunicar incidentes. 
• Asignación de responsabilidades. 
• Capacidad de detección y respuesta. 
• Registro y análisis de los incidentes. 
• Aprendizaje posterior. 

Continuidad del negocio 

• Copias de seguridad. 
• Verificación de restauraciones. 
• Planes de continuidad. 
• Recuperación de servicios críticos. 
• Pruebas periódicas. 

Mejora continua 

• Revisión de medidas. 
• Seguimiento mediante indicadores. 
• Corrección de deficiencias. 
• Reevaluación tras cambios relevantes. 
• Actualización de políticas y procedimientos. 

¿Cómo se mide el nivel de madurez? 

Un análisis inicial no debe limitarse a responder “cumple” o “no cumple”. 

Es más útil conocer en qué nivel se encuentra cada área. Por ejemplo: 

• Nivel inicial: Existen algunas medidas, pero se aplican de manera informal o dependen de personas concretas. 
• Nivel básico: La organización ha definido controles esenciales, aunque todavía no se aplican de forma homogénea. 
• Nivel definido: Las medidas están documentadas, asignadas y aplicadas de manera consistente.
• Nivel gestionado: La empresa mide los resultados, revisa los controles y corrige las desviaciones.  
• Nivel optimizado: La seguridad forma parte de la toma de decisiones y se mejora de manera continua. 

Esta escala permite evitar una visión excesivamente binaria y ayuda a construir una hoja de ruta realista. 

En nuestra autoevaluación, la organización responde 17 preguntas y obtiene una primera visión de su nivel global de madurez en seguridad de la información.

¿Una autoevaluación equivale a una certificación ENS? 

No. 

Una autoevaluación inicial sirve para conocer el punto de partida, detectar posibles carencias y orientar las siguientes acciones. 

La conformidad formal con el ENS sigue procesos diferentes según la categoría del sistema: 

• Los sistemas de categoría Básica requieren una autoevaluación de conformidad al menos cada dos años, aunque pueden someterse voluntariamente a una auditoría formal. 
• Los sistemas de categoría Media o Alta requieren una auditoría formal al menos cada dos años o cuando se produzcan modificaciones significativas.

Además, el proceso de adecuación incluye la definición del alcance, la categorización del sistema, el análisis de riesgos, la Declaración de Aplicabilidad y la Política de Seguridad antes de llegar a la declaración o certificación de conformidad.

El análisis que ofrecemos no sustituye este proceso. Su finalidad es ayudarte a comprender la situación actual y decidir si tu empresa necesita iniciar una adecuación más completa.

¿Qué hacer después de conocer el resultado? 

El resultado del análisis debe utilizarse como punto de partida. 

1. Identificar las principales carencias 

Conviene diferenciar los controles inexistentes de aquellos que existen pero necesitan actualizarse o documentarse. 

2. Relacionarlas con el riesgo 

No todas las carencias tienen el mismo impacto. Deben priorizarse las que afecten a información, sistemas o servicios críticos. 

3. Definir una hoja de ruta 

Cada acción debe tener una prioridad, una persona responsable y un plazo realista. 

4. Implantar medidas 

Las acciones pueden incluir cambios organizativos, nuevos procedimientos, formación o controles tecnológicos. 

5. Recopilar evidencias 

La empresa debe conservar registros que permitan demostrar que los controles se aplican y revisan. 

6. Volver a evaluar 

La seguridad requiere vigilancia continua y reevaluación periódica, dos de los principios establecidos por el ENS

¿Cómo ayuda el ecosistema Microsoft? 

Las soluciones Microsoft pueden facilitar la implantación y la supervisión de diversos controles relacionados con el ENS. 

Dependiendo del entorno y de las necesidades de la empresa, pueden intervenir soluciones como: 

• Microsoft Entra ID, para gestionar identidades, accesos y autenticación. 
• Microsoft Intune, para administrar y proteger dispositivos. 
• Microsoft Defender XDR, para detectar e investigar amenazas. 
• Microsoft Sentinel, para centralizar eventos y apoyar la respuesta. 
• Microsoft Purview, para clasificar, proteger y gobernar la información. 
• Microsoft Azure, para desplegar y proteger servicios cloud. 
• Microsoft Purview Compliance Manager, como apoyo para evaluar riesgos de cumplimiento y realizar seguimiento de acciones. 

Microsoft indica que servicios de Microsoft 365, Dynamics 365 y Azure están incluidos dentro de su oferta relacionada con ENS de nivel alto, y documenta el uso de Purview Compliance Manager para apoyar la evaluación del riesgo.

Esto no significa que utilizar Microsoft 365 o Azure haga que una empresa cumpla automáticamente el ENS. 

Las plataformas pueden proporcionar capacidades y evidencias, pero la organización sigue siendo responsable de definir el alcance, configurar las soluciones correctamente, asignar responsabilidades y aplicar los procedimientos necesarios. 

Cumplimiento, personas y tecnología 

Un análisis de cumplimiento no ofrece por sí solo una fotografía completa de la seguridad. 

Por eso, dentro de nuestra campaña ENS trabajamos tres perspectivas complementarias: 

Las tres áreas permiten observar la seguridad desde distintas perspectivas: 

Cumplimiento, personas y tecnología. 

¿Conoces el nivel de madurez de tu empresa? 

Puedes tener diferentes herramientas implantadas y seguir sin una respuesta clara a preguntas como estas: 

• ¿Sabemos qué requisitos nos afectan? 
• ¿Tenemos las responsabilidades bien definidas? 
• ¿Revisamos los permisos y privilegios? 
• ¿Podemos demostrar que los controles funcionan? 
• ¿Tenemos identificados los activos críticos? 
• ¿Existe un procedimiento claro ante incidentes? 
• ¿Probamos nuestras copias de seguridad? 
• ¿Reevaluamos periódicamente nuestros riesgos? 

Responder estas preguntas ayuda a pasar de la percepción a una visión más objetiva. 

En VS Sistemas te ayudamos a avanzar 

Conocer el resultado es solo el principio. 

En VS Sistemas te ayudamos a interpretar las áreas de mejora, establecer prioridades y trasladar los requisitos de seguridad a acciones aplicables. 

Nuestro enfoque combina: 

• Consultoría ENS. 
• Análisis y gestión de riesgos. 
• Gobierno de la información. 
• Protección de identidades y accesos. 
• Seguridad de dispositivos y entornos cloud. 
• Microsoft Security. 
• Microsoft Purview. 
• Preparación de políticas y evidencias. 
• Acompañamiento en la hoja de ruta de adecuación. 

Desde Sevilla, acompañamos a empresas de Andalucía y del resto de España en la mejora de su nivel de seguridad y cumplimiento. 

Porque cumplir no consiste únicamente en superar una evaluación. Consiste en construir una organización más segura, preparada y capaz de demostrar cómo protege su información. 

Preguntas frecuentes 

¿Qué es un análisis de cumplimiento normativo? 

Es una evaluación que compara la situación actual de la empresa con unos requisitos, controles o buenas prácticas de referencia para detectar carencias y áreas de mejora. 

¿Qué relación tiene con el ENS? 

Permite obtener una primera visión del nivel de madurez de la empresa frente a aspectos organizativos, operativos y tecnológicos relacionados con el Esquema Nacional de Seguridad. 

¿La autoevaluación certifica a mi empresa en el ENS? 

No. Se trata de un diagnóstico inicial. La declaración o certificación formal requiere seguir el proceso de conformidad correspondiente a la categoría del sistema. 

¿Todas las empresas tienen que certificarse? 

No. Depende del ámbito de aplicación, de los servicios prestados, de la categoría de los sistemas y de los requisitos contractuales o legales aplicables. 

¿Cuántas preguntas tiene el análisis? 

La autoevaluación de VS Sistemas contiene 17 preguntas sobre el nivel de madurez en seguridad de la información.

¿Cuánto tarda en completarse? 

Al tratarse de 17 preguntas, debería poder completarse en pocos minutos si la persona conoce la situación general de la empresa. Para responder con precisión, puede ser conveniente consultar determinados aspectos con el equipo de TI o con la persona responsable de seguridad. 

¿Qué hago después de obtener el resultado? 

Debes revisar las áreas con menor nivel de madurez, relacionarlas con los riesgos reales de la organización y convertirlas en una hoja de ruta con prioridades, responsables y plazos. 

¿Microsoft 365 garantiza el cumplimiento del ENS? 

No. Microsoft ofrece soluciones y servicios con capacidades relacionadas con el ENS, pero cada organización debe configurar correctamente el entorno, implantar sus propios procedimientos y aportar las evidencias necesarias.