El cómo. Traduce los principios del ENS en medidas reales.
♙Miguel Ángel Carriazo
▣18 junio 2026
◷13 min de lectura
LEE ESTA GUÍA CUANDO...
Necesites trabajar sobre implantación de medidas dentro del ENS.
En vez de buscar una frase aislada, sigue el recorrido de la guía y relaciona cada conclusión con el sistema, el responsable y la evidencia que debería existir.
CCN-STIC 804 · Implantación de medidas
Dónde encaja esta guía en una revisión práctica
Utiliza la guía para orientar la revisión y contrasta siempre la versión vigente en el portal oficial del CCN-CERT.
Qué es
Qué es y para qué vale
La CCN-STIC 804 orienta sobre cómo implantar los principios básicos y los requisitos mínimos del ENS, y cómo desplegar las medidas de seguridad en función de la categoría del sistema. Es el puente entre «qué exige el ENS» y «qué configuro, documento y opero» en la práctica.
El ENS organiza sus medidas en tres marcos: el organizativo (políticas, normativa, procedimientos, roles), el operacional (planificación, control de acceso, explotación, monitorización, continuidad) y el de protección (instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información y servicios). La 804 te ayuda a no dejarte ninguna medida aplicable y a abordarlas en un orden sensato.
La guía emplea un modelo de niveles de madurez (L0 a L5) para caracterizar la implementación de cada medida. El nivel mínimo exigido depende de la categoría del sistema: BÁSICA exige L2 (Reproducible), MEDIA exige L3 (Proceso definido) y ALTA exige L4 (Gestionado y medible).
Mi lectura
La medida no está implantada porque figure en una matriz. Está implantada cuando el sistema se comporta como debería.
La 804 es donde el ENS deja de ser una conversación de cumplimiento y entra en infraestructura, configuración, operación y evidencia. Aquí me siento especialmente cómodo porque muchas medidas solo se entienden bien cuando bajas a cómo está construido el entorno.
Una organización puede tener una medida marcada como implantada porque existe una herramienta. EDR comprado, backup contratado, MFA disponible, SIEM desplegado. Yo separaría inmediatamente capacidad adquirida de control operativo. ¿Qué cobertura tiene? ¿Qué exclusiones existen? ¿Quién revisa? ¿Qué ocurre cuando falla? ¿Cómo se detecta una desviación?
Una licencia no es una medida. Un producto tampoco. La medida es el comportamiento de control que consigues mantener.
CCN-STIC 804 · Controles en operación
De la medida declarada al control realmente operativo
Lectura técnica GRCREAL: una manera práctica de conectar la guía con arquitectura, operación y evidencia.
Explicación técnica
Qué me interesa técnicamente de esta guía
La 804 baja el ENS a arquitectura y operación. Aquí una medida deja de ser una afirmación documental y se convierte en un conjunto de decisiones sobre alcance, configuración, cobertura, dependencias y seguimiento. Implantar autenticación fuerte, copias, segregación, protección de endpoint o registro de actividad no consiste en activar una función; consiste en mantener un comportamiento de control verificable.
Yo suelo separar cuatro capas: diseño del control, población cubierta, monitorización de la salud del propio control y evidencia de eficacia. Esa separación ayuda mucho a detectar falsas sensaciones de cumplimiento. Un EDR puede estar correctamente diseñado pero con exclusiones excesivas; un backup puede ejecutarse pero no restaurarse; una red puede estar segmentada en el diagrama y abierta por excepciones acumuladas.
El valor técnico de esta guía está en obligarte a preguntar cómo vive la medida en el sistema real, no en el PowerPoint del proyecto.
Qué evidencia técnica pediría
Baselines, configuración exportada, población cubierta, agentes activos, excepciones, dashboards de salud, fallos recientes, tickets de corrección y pruebas de eficacia. En copias, además de jobs exitosos, restauraciones verificadas. En MFA, cobertura real y cuentas excluidas. En logs, fuentes activas, retención y alertas sobre pérdida de ingesta.
La evidencia debería permitir reconstruir no solo que el control existe, sino que se mantiene y que la organización detecta su degradación.
Error habitual
Dónde suele torcerse en proyectos reales
DONDE SUELE TORCERSE
Reducir la implantación a presencia de producto o a existencia de configuración inicial. Este error aparece mucho cuando la organización quiere demostrar madurez rápidamente: compra herramienta, define política, genera una captura y da la medida por cerrada.
Sin una revisión posterior de cobertura, excepciones, alertas y respuesta a fallos, el control puede existir solo nominalmente.
Ejemplo práctico
Cómo lo aterrizaría en un caso real
CASO
Supón que una medida exige registro y correlación. El SIEM está desplegado, pero un subconjunto de servidores no envía eventos desde hace semanas por un cambio de certificado. La medida sigue “implantada” en documentación, pero el comportamiento esperado está degradado. Técnicamente, eso debería verse en la monitorización del propio control y en los indicadores de cobertura.
Mi prueba favorita aquí es pedir un caso real: enséñame cómo sabes que el control funciona y cómo te enterarías si deja de funcionar.
Ejemplo técnico de infraestructura
EDR desplegado, pero con servidores fuera de política y alertas sin revisar
EJEMPLO TÉCNICO · INFRAESTRUCTURA
Componentes implicados en el caso
INFRA
La organización declara implantada la protección frente a código dañino porque dispone de EDR. Al revisar cobertura aparecen servidores sin agente, exclusiones permanentes y dispositivos que dejaron de reportar hace semanas.
Arquitectura técnica: consola EDR, agentes, proxy de comunicación, SIEM e inventario de activos. Fallo: se verificó la compra y el despliegue inicial, no la operación continua. Evidencia necesaria: cobertura por población, agentes inactivos, exclusiones, alertas tratadas y tiempo de corrección. Prueba de eficacia: simulación controlada o validación de detección sobre un conjunto representativo.
Pregunta incómoda
Si el control deja de funcionar mañana, ¿cómo y cuándo te enteras?
NO RESPONDAS CON LA POLÍTICA
Esta pregunta cambia muchas revisiones. Un backup puede ejecutar durante meses sin restaurarse. Un agente EDR puede quedar fuera de política. Una regla de firewall puede degradarse con excepciones. El control necesita monitorización de su propia salud.
Cuando nadie puede explicar cómo se detecta el fallo del control, considero que la implantación todavía depende demasiado de la ausencia de problemas visibles.
Ref.
Qué pediría
Qué necesito ver
GR-01
Diseño técnico
Arquitectura, configuración y alcance del control.
GR-02
Cobertura
Población protegida, exclusiones y justificación.
GR-03
Operación
Registros de revisión, alertas y acciones ante desviaciones.
GR-04
Eficacia
Pruebas o indicadores que muestran que el control consigue su objetivo.
Mi enfoque
Cómo la aterrizaría yo en un entorno real
GRCREAL
Elegiría medidas críticas y seguiría cada una desde el requisito hasta el sistema. Por ejemplo: autenticación, copias, registro, segregación o protección frente a código dañino. Revisaría alcance, configuración, excepciones y monitorización.
Mi lectura del ENS empieza a ser interesante justo donde deja de bastar una política y alguien tiene que enseñarme el sistema.
Contenido
Qué contiene la guía
La estructura de medidas del ENS en marco organizativo, operacional y de protección.
Cómo se modula la exigencia de cada medida según la categoría (BÁSICA/MEDIA/ALTA).
Orientaciones de implantación para los principios básicos y los requisitos mínimos.
La relación entre medidas y las dimensiones de seguridad que protegen.
Criterios para priorizar y secuenciar la implantación.
El modelo de niveles de madurez (L0 a L5) y el nivel mínimo exigido por categoría.
Referencias cruzadas a estándares ISO 27001, NIST SP 800-53 y guías CCN-STIC específicas.
Conceptos
Conceptos clave que debes manejar
Marco organizativo
Conjunto de medidas de gobierno: política de seguridad, normativa de seguridad, procedimientos operativos de seguridad (POS) y proceso de autorización. Es la base sobre la que se sostiene todo lo técnico.
Marco operacional
Medidas de planificación (análisis de riesgos, arquitectura de seguridad, adquisiciones), control de acceso, explotación (inventario, configuración, mantenimiento, cambios, incidentes), servicios externos, continuidad del servicio y monitorización del sistema.
Medidas de protección
Salvaguardas sobre activos concretos: instalaciones e infraestructuras, gestión del personal, equipos, comunicaciones, soportes de información, aplicaciones, información y servicios.
Modulación por categoría
Una misma medida se exige con mayor profundidad cuanto más alta es la categoría. Por ejemplo, en autenticación: BÁSICA acepta un solo factor; MEDIA requiere doble factor; ALTA exige doble factor con productos certificados.
Nivel de madurez
Modelo de 6 niveles (L0 a L5) que mide la profesionalización de un proceso. BÁSICA: L2 (Reproducible), MEDIA: L3 (Proceso definido), ALTA: L4 (Gestionado y medible).
Alcance
A quién aplica y cuándo entra en juego
Aplica en cuanto tienes la categoría del sistema (resultado de la 803). Con la categoría conoces tu conjunto de medidas, y la 804 te dice cómo abordarlas sin sobreingeniería ni lagunas. La guía es aplicable a entidades de distinta naturaleza, dimensión y sensibilidad, y cada organización debe particularizarla a su entorno singular.
Implantación
Cómo lo implanta una empresa, paso a paso
Parte de tu conjunto de medidasDeriva del nivel/categoría las medidas que te aplican. Implantar medidas que no te corresponden es malgastar esfuerzo. Revisa la Declaración de Aplicabilidad.
Empieza por el marco organizativoPolítica, normativa y roles primero: son la base sobre la que se sostiene todo lo técnico. Empezar por lo técnico es el error más común. La Política de Seguridad debe estar aprobada formalmente por el órgano competente.
Despliega el marco operacionalAborda planificación, control de acceso, explotación, monitorización y continuidad. Aquí vive buena parte del trabajo real. Realiza el análisis de riesgos (op.pl.1) y define la arquitectura de seguridad (op.pl.2).
Aplica las medidas de protecciónInstalaciones, equipos, comunicaciones, soportes, aplicaciones e información, según corresponda a tu categoría. Presta especial atención a la protección de datos personales (mp.info.1).
Traza cada control a su medidaDocumenta qué control concreto cumple cada medida del Anexo. Sin esa trazabilidad, demostrar cumplimiento en auditoría se complica. Usa la guía 808 para verificar.
Auditoría
Para qué sirve en una auditoría
El auditor contrasta cada medida aplicable con su implantación real.
La 804 ayuda a no dejarse medidas «en el tintero».
Implantar sin trazabilidad a la medida concreta dificulta demostrar el cumplimiento.
El exceso de medidas no aplicables también es un síntoma de mala valoración.
El auditor verificará el nivel de madurez alcanzado (L2, L3 o L4 según categoría).
La guía 808 proporciona las evidencias que el auditor espera para cada medida.
Serie 800
Relación con otras guías de la serie
CCN-STIC 803803 — La categoría obtenida en la valoración define qué medidas implantar.
CCN-STIC 805805 — La política de seguridad encabeza el marco organizativo.
CCN-STIC 808808 — La verificación comprueba que cada medida implantada tiene evidencia.
CCN-STIC 807807 — Guía específica para medidas criptográficas.
CCN-STIC 823823 — Guía específica para servicios en la nube.
Mapeo
Equivalencia con otros marcos
Cómo se conecta esta guía con los marcos que probablemente ya manejas:
Aspecto en el ENS
ISO 27001
NIS2 / DORA
Marco organizativo / operacional / protección
ISO 27001: Anexo A (controles organizativos, personas, físicos, tecnológicos)
NIS2: medidas técnicas y organizativas (art. 21)
Conjunto de medidas por categoría
ISO 27001: Declaración de Aplicabilidad (SoA)
DORA: requisitos de gestión de riesgo TIC
Continuidad (operacional)
ISO 22301
DORA: resiliencia operativa
Control de acceso (op.acc)
ISO 27001: A.5.15, A.5.16, A.5.17, A.5.18
DORA: control de acceso y autenticación
Gestión de incidentes (op.exp.7)
ISO 27001: A.5.24–A.5.28
NIS2: notificación de incidentes
Sin humo
Errores típicos
Empezar por lo técnico y dejar el marco organizativo para el final.
Implantar medidas que no aplican a tu categoría (sobreingeniería).
No trazar cada control implantado a su medida del Anexo.
Tratar las medidas como una lista de la compra sin entender qué dimensión protegen.
No alcanzar el nivel de madurez exigido (ej. intentar certificar ALTA con procesos L2).
No documentar las medidas compensatorias ni justificar su equivalencia.
Checklist
Checklist práctico
Conjunto de medidas derivado de la categoría.
Marco organizativo implantado y documentado (Política, normativa, POS, autorización).
Marco operacional desplegado (planificación, acceso, explotación, continuidad, monitorización).
Medidas de protección aplicadas según categoría (instalaciones, personal, equipos, comunicaciones, soportes, aplicaciones, información, servicios).
Cada control trazado a su medida del Anexo.
Nivel de madurez mínimo alcanzado (L2 para BÁSICA, L3 para MEDIA, L4 para ALTA).
Medidas compensatorias documentadas y justificadas.
Ficha
Ficha y enlace oficial
Esta es una lectura práctica de GRCreal, no la guía oficial. Consulta siempre la versión vigente en el portal del CCN-CERT, ya que estas guías se actualizan periódicamente (esta ficha: publicada Mar 2010, actualizada Jun 2017).
La guía utiliza un modelo de niveles de madurez para caracterizar la implementación de cada medida. Los niveles identificados son:
L0 — Inexistente: La medida no está siendo aplicada en este momento.
L1 — Inicial / ad hoc: El proceso existe pero no se gestiona. El éxito depende de la competencia y buena voluntad de las personas.
L2 — Repetible, pero intuitivo: Existe un mínimo de planificación. El resultado es impredecible si se dan circunstancias nuevas.
L3 — Proceso definido: Se dispone de un catálogo de procesos actualizado. Hay normativa establecida y procedimientos.
L4 — Gestionado y medible: Se dispone de un sistema de medidas y métricas para conocer el desempeño (eficacia y eficiencia).
L5 — Optimizado: Mejora continua de los procesos con mejoras tecnológicas incrementales e innovadoras.
Nivel mínimo exigido: BÁSICA → L2, MEDIA → L3, ALTA → L4.
Organizativo
Marco organizativo en detalle
El marco organizativo es la base de toda la implantación. Incluye cuatro medidas clave:
Org.1 — Política de Seguridad: Documento de alto nivel que define el significado de "seguridad de la información" en la organización. Debe estar accesible y ser conocido por todos los miembros. Establece roles, funciones y autoridades.
Org.2 — Normativa de Seguridad: Documentos que establecen la posición del organismo en aspectos concretos. Definen el uso correcto y las consecuencias del incumplimiento. Ejemplos: control de acceso, puesto de trabajo despejado, uso de correo electrónico, etc.
Org.3 — Procedimientos Operativos de Seguridad (POS): Descripción paso a paso de cómo realizar una actividad. Facilitan tareas rutinarias y evitan que se olviden pasos importantes. Deben cubrir al menos el 80% de las actividades rutinarias.
Org.4 — Proceso de Autorización: Ningún sistema debería admitir elementos no autorizados. Requiere autorización para: utilización de instalaciones, entrada de equipos en producción, establecimiento de enlaces de comunicaciones, utilización de soportes, equipos móviles, servicios de terceros y BYOD.
Protección
Medidas de protección de la información
La guía dedica especial atención a la protección de la información, con medidas específicas:
Mp.info.1 — Datos personales: Obligatorio cumplir con RGPD y LOPDGDD. El Responsable de Seguridad recoge los requisitos de protección de datos y el DPD asesora.
Mp.info.2 — Calificación de la información: Se debe establecer un esquema para asignar un nivel de calificación a la información (BAJO, MEDIO, ALTO). Cada nivel tiene requisitos específicos de control de acceso, almacenamiento, copias, etiquetado y transmisión.
Mp.info.3 — Cifrado: La información de nivel ALTO debe cifrarse tanto en almacenamiento como en transmisión. Solo estará en claro mientras se está haciendo uso de ella.
Mp.info.4 — Firma electrónica: Debe regirse por una Política de Firma. Nivel BAJO: cualquier tipo de firma; Nivel MEDIO: firma avanzada con certificados cualificados; Nivel ALTO: firma cualificada con productos certificados.
Mp.info.5 — Sellos de tiempo: Para prevenir el repudio. Nivel ALTO: se utilizan sellos cualificados de tiempo electrónicos conforme a eIDAS.
Mp.info.6 — Limpieza de documentos: Retirar metadatos, comentarios y revisiones anteriores antes de difundir documentos fuera del dominio de seguridad.
Mp.info.9 — Copias de seguridad: Deben realizarse con la periodicidad y plazos de retención requeridos. Las copias poseen el mismo nivel de seguridad que los datos originales.
Ficha y enlace oficial
Contrasta esta lectura con la publicación del CCN-CERT
La guía oficial sigue mandando. Aquí queda la ficha documental y el acceso directo a la fuente para cerrar la lectura con el contraste adecuado.
ℹ️ Resumen práctico de GRCreal. Consulta siempre la versión oficial vigente en el portal del CCN-CERT.
Resumen realizado a fecha 29/06/2026 con la información disponible en https://www.ccn-cert.cni.es/es/guias.html. Las fechas de publicación y actualización proceden del portal oficial.