CCN-STIC 800 Glosario de Términos y Abreviaturas del ENS
El diccionario del ENS. Aburrida, sí; imprescindible, también.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷14 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre lenguaje común dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 800 · Lenguaje común
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 800 fija el vocabulario común del Esquema Nacional de Seguridad. Define con precisión qué se entiende por sistema de información, servicio, información, categoría, dimensión de seguridad, responsable, medida, principio básico o requisito mínimo. No es una guía de implantación: es la base semántica sobre la que se sostienen todas las demás guías de la serie 800.
Parece un documento menor, pero es justo lo contrario. La mayoría de los errores graves en una adecuación al ENS nacen de un malentendido de vocabulario: confundir «servicio» con «sistema», «categoría del sistema» con «nivel de una dimensión», o usar «activo» en el sentido de MAGERIT cuando el ENS razona en términos de servicios e información. Tener el glosario interiorizado evita discusiones estériles y documentación incoherente.
El glosario se estructura en tres partes: términos (con definiciones extraídas del ENS y de estándares como ISO/IEC 27000), abreviaturas (más de 170 siglas de uso frecuente) y referencias a otras guías CCN-STIC y normativa aplicable.
Mi lectura
Un glosario no parece crítico hasta que dos equipos usan la misma palabra para cosas distintas.
La 800 me interesa por una razón poco espectacular: evita discusiones absurdas. En seguridad usamos términos que parecen evidentes hasta que intentas convertirlos en una decisión. «Activo», «amenaza», «riesgo», «incidente», «evidencia» o «responsable» pueden significar cosas distintas para Operaciones, Auditoría, Legal y un proveedor.
Cuando eso ocurre, el problema no es lingüístico. Un ticket puede cerrarse porque alguien entiende «resuelto» como mitigado y otro como erradicado. Una auditoría puede pedir «evidencia» y recibir una captura sin fecha ni relación con el sistema. Un comité puede aprobar un «riesgo aceptado» cuando en realidad solo se ha documentado una excepción técnica.
Yo utilizaría la 800 como diccionario de trabajo, no como material de lectura lineal. La abriría cuando una palabra esté empezando a sostener una conclusión demasiado importante.
CCN-STIC 800 · Lenguaje compartido
Cómo un término termina afectando a una decisión
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
Aunque la 800 parezca un glosario, su valor práctico está en la normalización semántica de todo el ecosistema ENS. Cuando un término crítico cambia de significado entre procedimientos, herramientas y personas, se rompe la trazabilidad. Un activo en el inventario puede no equivaler a un activo en el análisis de riesgos; un incidente en el SOC puede no ser un incidente a efectos de reporte; una medida implantada puede no ser una medida eficaz.
Técnicamente esto impacta en modelos de datos, taxonomías, catálogos y métricas. Si el CMDB, el sistema de tickets, el registro de riesgos y la evidencia de auditoría no hablan el mismo idioma, consolidar información produce ruido. Lo que aparenta ser un problema de documentación termina siendo un problema de diseño de información.
Por eso, yo conectaría la 800 con cualquier iniciativa que dependa de clasificación: activos, incidentes, servicios, propietarios, evidencias y excepciones. No como teoría, sino como criterio mínimo para que los procesos se entiendan entre sí.
Qué revisaría en sistemas y datos
Buscaría inconsistencias en taxonomías y campos. Por ejemplo, si el inventario clasifica “servicio” por una lógica y el registro de incidentes por otra, las métricas de impacto serán difíciles de reconciliar. También revisaría valores libres frente a catálogos controlados, reglas de normalización y quién puede introducir nuevas categorías.
En un entorno maduro, el glosario debería estar reflejado en esquemas de datos y no solo en un PDF. Eso significa nombres de campos, estados, etiquetas y criterios de cierre coherentes entre herramientas.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Dar por supuesto que todos entienden lo mismo cuando usan la misma palabra. Este error es especialmente común en proyectos maduros, porque la familiaridad sustituye a la precisión. El término “resuelto” en un ticket puede significar “sin alerta abierta”, mientras que para continuidad o cumplimiento todavía existe impacto, causa no determinada o acciones pendientes.
El síntoma clásico es que dos informes sobre el mismo asunto no cuadran y nadie sabe exactamente por qué. La raíz suele estar en definiciones distintas, no en mala intención.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Imagina que la organización quiere medir “activos críticos”. Arquitectura entiende activo como sistema; negocio como servicio; protección de datos como repositorio de información; y continuidad como capacidad necesaria para un proceso. Si no se unifica el criterio, cada lista saldrá correcta para quien la emite y equivocada para cualquiera que intente compararlas.
Mi enfoque sería seleccionar diez términos que sostienen decisiones y validarlos en cuatro sitios: procedimiento, herramienta, reporte y entrevista. Si el término cambia de significado en alguno de ellos, ya tienes una mejora de gobierno perfectamente justificada.
Ejemplo técnico de infraestructura
CMDB, SIEM y continuidad usando definiciones distintas
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
Una organización mantiene tres fuentes. La CMDB registra “activo” como elemento técnico; el SIEM agrupa alertas por hostname; continuidad trabaja con servicios de negocio. Cuando llega un incidente, el equipo intenta responder cuántos activos críticos están afectados y obtiene tres cifras diferentes.
Arquitectura técnica: CMDB, inventario de aplicaciones, catálogo de servicios, SIEM y herramienta de continuidad. Fallo: no existe una relación normalizada entre servicio, aplicación, servidor e información. Consecuencia: impacto mal calculado, métricas inconsistentes y escalado tardío. Qué haría: definir identificadores comunes, relaciones obligatorias y reglas de sincronización. Después probaría la trazabilidad con un incidente real o simulado.
Pregunta incómoda
¿Estamos de acuerdo en el término o solo estamos usando la misma palabra?
NO RESPONDAS CON LA POLÍTICA
En una reunión preguntaría a tres personas qué entienden por «incidente de seguridad» o por «activo». No para hacer un examen, sino para comprobar si el lenguaje común existe de verdad. Si las respuestas cambian de forma relevante, ya sé que los procedimientos, tickets y métricas pueden estar mezclando objetos distintos.
El lenguaje de un marco tiene impacto en el dato. Si el catálogo de activos usa una definición, el procedimiento de riesgos otra y el CMDB una tercera, cualquier consolidación será frágil.
Ref.
Qué pediría
Qué necesito ver
GR-01
Glosario corporativo
Términos críticos, definición, fuente y ámbito de uso.
GR-02
Procedimientos
Uso coherente de conceptos en riesgos, incidentes y auditoría.
GR-03
Modelos de datos
Campos y categorías alineados con el significado definido.
GR-04
Formación
Que los roles relevantes entienden el lenguaje que utilizan.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
No intentaría copiar cientos de definiciones a una política interna. Seleccionaría los términos que sostienen decisiones: activo, sistema, servicio, incidente, responsable, riesgo, medida, evidencia y excepción. Después comprobaría dónde aparecen y si significan lo mismo.
Cuando el lenguaje es ambiguo, la evidencia también termina siéndolo.
Contenido
Qué contiene la guía
Definiciones formales de los conceptos centrales del ENS (sistema, servicio, información, activo, categoría, dimensión).
Las cinco dimensiones de seguridad: Confidencialidad, Integridad, Trazabilidad, Autenticidad y Disponibilidad.
Terminología de roles y responsabilidades alineada con la CCN-STIC 801.
Abreviaturas y siglas de uso común en el marco del ENS y del CCN-CERT (más de 170 entradas).
Referencias cruzadas que conectan los términos con el articulado del Real Decreto del ENS.
Definiciones específicas de cloud computing (IaaS, PaaS, SaaS, modelos de despliegue, etc.) según ISO/IEC 17788.
Conceptos
Conceptos clave que debes manejar
Dimensión de seguridad
Cada una de las cinco propiedades (C, I, T, A, D) sobre las que se valora la información y los servicios. La guía define cada una con precisión: Confidencialidad (la información ni se pone a disposición ni se revela a no autorizados), Integridad (el activo no ha sido alterado de manera no autorizada), Trazabilidad (las actuaciones pueden imputarse exclusivamente a una entidad), Autenticidad (una entidad es quien dice ser o garantiza la fuente de los datos) y Disponibilidad (las entidades autorizadas tienen acceso cuando lo requieren).
Categoría del sistema
Clasificación del sistema (BÁSICA, MEDIA o ALTA) que resulta de la dimensión valorada más alta. Representa la visión holística del conjunto de activos como un todo armónico orientado a la prestación de servicios.
Servicio
Función o prestación desempeñada por alguna entidad oficial destinada a cuidar intereses o satisfacer necesidades de los ciudadanos. Puede ser finalista (de cara al ciudadano) o instrumental (de soporte interno).
Principio básico vs. requisito mínimo
Los principios orientan el «cómo» de la seguridad (ej. seguridad como proceso integral, gestión basada en riesgos); los requisitos mínimos son obligaciones concretas exigibles que se detallan en el Anexo II del ENS.
Activo
Componente o funcionalidad de un sistema de información susceptible de ser atacado deliberada o accidentalmente con consecuencias para la organización. Incluye información, datos, servicios, aplicaciones, equipos, comunicaciones, recursos administrativos, físicos y humanos.
Riesgo
Estimación del grado de exposición a que una amenaza se materialice sobre uno o más activos causando daños o perjuicios a la organización.
Alcance
A quién aplica y cuándo entra en juego
Aplica a cualquiera que trabaje con el ENS, pero es especialmente útil en dos momentos: al arrancar el proyecto, para alinear el lenguaje entre TI, negocio y seguridad desde la primera reunión; y en auditoría, donde un término mal empleado en la documentación delata que el trabajo se ha hecho «de memoria» y no sobre la norma. Es el punto de partida para cualquier profesional que se acerque al ENS por primera vez.
Implantación
Cómo lo implanta una empresa, paso a paso
No se implanta: se adoptaEl glosario no se «implanta». Se adopta como referencia oficial y se cita en políticas y procedimientos para no inventar definiciones propias.
Alinea el lenguaje del equipoComparte el glosario con todo el equipo del proyecto (TI, negocio, seguridad) en el arranque, para que todos hablen del mismo «servicio» y la misma «categoría». La guía recomienda utilizar la terminología de forma consistente en toda la documentación.
Úsalo como filtro de coherenciaAntes de cerrar cualquier documento del expediente ENS, comprueba que los términos coinciden con la 800. Es un control de calidad barato y muy eficaz.
Mantén la versión actualizadaLa guía se actualiza periódicamente (última actualización Feb 2016). Consulta siempre la versión vigente en el portal del CCN-CERT.
Auditoría
Para qué sirve en una auditoría
El auditor espera que uses la terminología del ENS con precisión.
Los errores de vocabulario en la documentación son una señal de alarma temprana sobre la madurez del proyecto.
Definiciones contradictorias entre documentos generan no conformidades evitables.
Tener el lenguaje alineado con la 800 agiliza la auditoría y reduce malentendidos.
La guía incluye definiciones específicas de conceptos de auditoría como «evidencia de auditoría», «criterios de auditoría» y «dictamen» que el auditor espera que conozcas.
Serie 800
Relación con otras guías de la serie
CCN-STIC 801801 — Comparte y consolida la terminología de roles y responsabilidades.
CCN-STIC 803803 — Aporta las definiciones de dimensión y categoría que la 803 utiliza para valorar.
CCN-STIC 804804 — Da el vocabulario con el que la guía de implantación describe las medidas.
CCN-STIC 802802 — El glosario define términos clave de auditoría que la 802 utiliza.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Terminología y dimensiones ENS
ISO/IEC 27000 (vocabulario del SGSI)
NIS2/DORA: nociones equivalentes de gestión de riesgos
Dimensiones C, I, T, A, D
ISO 27001: C/I/D + Trazabilidad y Autenticidad como atributos de seguridad
DORA: propiedades de seguridad de la información
Definición de «activo»
ISO 27001: activo de información (A.5.9)
NIS2: activos TIC esenciales
Gestión de riesgos
ISO 31000 / ISO 27005
DORA: gestión de riesgos TIC
Sin humo
Errores típicos
Inventar definiciones propias en las políticas en vez de usar las del ENS.
Confundir «categoría del sistema» con «nivel de una dimensión».
Usar «activo» en sentido MAGERIT cuando el ENS habla de servicios e información.
Mezclar terminología de ISO 27001 y de ENS sin traducir entre ambas.
Confundir «responsable de la seguridad» con «responsable del sistema» (son roles distintos y separados).
Usar «incidente» y «evento» como sinónimos cuando en el ENS tienen significados diferentes.
Checklist
Checklist práctico
Las políticas y procedimientos usan la terminología del ENS.
El equipo comparte un único glosario desde el inicio.
No hay definiciones contradictorias entre documentos.
Los términos clave (servicio, sistema, categoría, dimensión) se usan correctamente.
Se distingue entre principios básicos y requisitos mínimos.
La terminología de roles (RINFO, RSERV, RSEG, RSIS) es la correcta.
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada Mar 2011, actualizada Feb 2016).
Términos que no pueden faltar en tu vocabulario ENS
La guía contiene más de 180 definiciones. Estos son algunos de los términos más relevantes que debes conocer:
Acreditación: Autorización otorgada por la Autoridad responsable para manejar información de un grado determinado, o en unas determinadas condiciones de integridad o disponibilidad.
Amenaza: Eventos que pueden desencadenar un incidente en la Organización, produciendo daños materiales o pérdidas inmateriales en sus activos.
Análisis o valoración de riesgos: Utilización sistemática de la información disponible para identificar peligros y estimar los riesgos.
Auditoría de la seguridad: Revisión y examen independientes de los registros y actividades del sistema para verificar la idoneidad de los controles, asegurar que se cumplen la política y los procedimientos, detectar infracciones y recomendar modificaciones.
Confidencialidad: Propiedad consistente en que la información ni se pone a disposición ni se revela a individuos, entidades o procesos no autorizados.
Disponibilidad: Propiedad consistente en que las entidades o procesos autorizados tienen acceso a los activos cuando lo requieren.
Integridad: Propiedad consistente en que el activo de información no ha sido alterado de manera no autorizada.
Medida de seguridad: Conjunto de disposiciones encaminadas a protegerse de los riesgos posibles sobre el sistema de información, con el fin de asegurar sus objetivos de seguridad.
Vulnerabilidad: Debilidad que puede ser aprovechada por una amenaza. Error de programación o diseño que permite explotar el sistema de una manera diferente a la original.
Abreviaturas
Abreviaturas esenciales del ENS
El glosario incluye más de 170 siglas. Estas son las que más verás en el día a día del ENS:
AA — Autoridad de Acreditación
ADA — Autoridad Delegada de Acreditación
ASS — Administrador de Seguridad del Sistema
CCN — Centro Criptológico Nacional
CCN-CERT — Centro Criptológico Nacional – Computer Emergency Response Team
ENS — Esquema Nacional de Seguridad
RINFO — Responsable de la Información
RSEG — Responsable de la Seguridad
RSERV — Responsable del Servicio
RSIS — Responsable del Sistema
SGSI — Sistema de Gestión de la Seguridad de la Información
SIEM — Security Information and Event Management
TIC — Tecnologías de la Información y las Comunicaciones
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.