Categorías ENS media y alta: diferencias y controles técnicos por nivel
Si diriges la seguridad de una empresa tecnológica que aspira a contratar con el sector público o a mantener contratos ya existentes, el Esquema Nacional de Seguridad (ENS) ha dejado de ser un trámite lejano. El Real Decreto 311/2022 reforzó las exigencias y, sobre todo, obliga a categorizar cada sistema y a aplicar un conjunto de medidas proporcional a esa categoría. El problema práctico llega justo aquí: muchos responsables de seguridad no tienen claro dónde encaja su sistema, qué implica exactamente saltar de MEDIA a ALTA, ni qué controles técnicos concretos va a exigir el auditor. Y esa indefinición se paga en sobreesfuerzo, hallazgos evitables y retrasos en la certificación.
Este artículo desgrana las diferencias entre las categorías BÁSICA, MEDIA y ALTA del ENS y aterriza qué controles técnicos exige cada una, para que puedas dimensionar el proyecto con criterio antes de comprometer presupuesto y calendario.
Cómo se determina la categoría de un sistema en el ENS
La categoría no es una decisión arbitraria ni un nivel de "madurez" que uno elige. Se deriva de una valoración de la información y los servicios según cinco dimensiones de seguridad: disponibilidad, autenticidad, integridad, confidencialidad y trazabilidad. Cada dimensión se valora en tres niveles (BAJO, MEDIO, ALTO) en función del impacto que tendría un incidente.
La regla es directa:
- Categoría BÁSICA: ninguna dimensión supera el nivel BAJO.
- Categoría MEDIA: al menos una dimensión alcanza el nivel MEDIO y ninguna llega a ALTO.
- Categoría ALTA: al menos una dimensión alcanza el nivel ALTO.
Esto tiene una consecuencia que conviene interiorizar: basta con que una sola dimensión sea ALTA para que todo el sistema sea de categoría ALTA. Un servicio con datos poco sensibles pero cuya indisponibilidad prolongada provoque un perjuicio grave puede acabar en ALTA por la dimensión de disponibilidad. Categorizar mal por debajo es el error más caro: implica rehacer el análisis y ampliar controles en plena auditoría.
Diferencias entre categorías BÁSICA, MEDIA y ALTA
El ENS estructura sus medidas en tres marcos: Organizativo (org), Operacional (op) y de Protección (mp). El número de medidas aplicables y, sobre todo, su exigencia crece con la categoría. La diferencia entre niveles no es solo "más controles", sino controles más estrictos sobre el mismo control.
Categoría BÁSICA: higiene de seguridad exigible
El nivel BÁSICO establece el mínimo defendible. En términos técnicos, hablamos de un cortafuegos correctamente configurado, gestión de usuarios con altas y bajas documentadas, copias de seguridad, protección frente a código dañino y un registro de actividad mínimo. La lógica es "hacerlo bien, pero sin sofisticación": autenticación por contraseña con política razonable, segmentación básica y un inventario de activos actualizado.
Para la mayoría de sistemas BÁSICOS, el reto no es la complejidad técnica sino la evidencia documental: demostrar que los controles existen, se aplican y se revisan.
Categoría MEDIA: donde empieza el trabajo serio
El salto a MEDIA es el más relevante para la mayoría de empresas tecnológicas, porque es la categoría más habitual en servicios que manejan información de administraciones. Aquí el ENS refuerza de forma tangible:
- Control de acceso: mecanismos de doble factor de autenticación pasan a ser exigibles en accesos relevantes, y la gestión de privilegios debe seguir el principio de mínimo privilegio de forma verificable.
- Segregación de funciones y tareas: separación efectiva entre desarrollo, explotación y administración.
- Gestión de vulnerabilidades: análisis periódicos y un proceso de remediación documentado dejan de ser opcionales.
- Registro de actividad y trazabilidad: los logs deben permitir reconstruir quién hizo qué y cuándo, con protección frente a manipulación.
- Cifrado: protección de la información en tránsito y, según el caso, en reposo.
- Protección perimetral y de las comunicaciones: cortafuegos gestionados, protección frente a ataques de denegación de servicio a nivel básico y monitorización.
En MEDIA también se introduce con fuerza la exigencia de pruebas de seguridad antes de la puesta en producción para desarrollos propios, así como la gestión formal de configuraciones seguras (bastionado).
Categoría ALTA: defensa en profundidad verificada
La categoría ALTA parte de todo lo anterior y añade exigencias de robustez, redundancia y verificación continua. Los puntos que marcan la diferencia:
- Autenticación reforzada: doble factor generalizado y mecanismos resistentes a ataques de suplantación.
- Alta disponibilidad: redundancia de componentes, instalaciones alternativas y planes de continuidad probados, no solo documentados.
- Cifrado exigente: protección de la información sensible en reposo y en tránsito con algoritmos acreditados y gestión rigurosa de claves.
- Prevención y detección avanzada: sistemas de detección/prevención de intrusiones, correlación de eventos (SIEM) y capacidad de respuesta.
- Análisis de vulnerabilidades y pentesting recurrentes: la verificación deja de ser puntual y pasa a ser un proceso continuo con evidencias.
- Segmentación estricta y control de flujos entre zonas de distinta confianza.
En ALTA, la palabra clave es demostrabilidad: el auditor no se conforma con que exista un control, exige evidencia de que funciona, se prueba y se mejora.
Los controles técnicos que más suelen suspender en auditoría
Desde la óptica de la seguridad ofensiva, hay medidas del ENS que aparecen redactadas de forma genérica pero que en auditoría se traducen en pruebas técnicas concretas. Las que más fricción generan al pasar de MEDIA a ALTA:
- Gestión de vulnerabilidades (op.exp.4) y pruebas de seguridad: no basta con un escaneo automático anual. En MEDIA y ALTA se espera un proceso con análisis de vulnerabilidades y pruebas de intrusión, priorización por riesgo y verificación de la remediación.
- Configuración segura / bastionado (op.exp.2 y op.exp.3): guías de bastionado aplicadas y comprobadas sobre sistemas operativos, bases de datos y servicios expuestos.
- Protección de aplicaciones web y APIs (mp.s): los servicios expuestos son la superficie de ataque real. Un pentest alineado con OWASP identifica lo que un escáner no ve.
- Trazabilidad (op.exp.8): retención, integridad y capacidad de análisis de los registros.
Aquí es donde una verificación ofensiva bien planteada ahorra sorpresas: comprobar de forma controlada que los controles resisten un ataque real es la mejor forma de llegar a la auditoría sin hallazgos críticos.
Cómo abordar el cumplimiento sin sobredimensionar el proyecto
El error más común es tratar el ENS como un ejercicio documental y descubrir en la auditoría que los controles técnicos no soportan una prueba real. Nuestro enfoque combina la lectura precisa de las medidas aplicables a tu categoría con verificación técnica basada en metodologías reconocidas —OWASP, PTES y MITRE ATT&CK— y un equipo certificado OSCP que valida los controles como lo haría un atacante.
Si tu organización necesita alinear sus sistemas con los requisitos de categoría MEDIA o ALTA con evidencias sólidas, en CISEC te acompañamos en el cumplimiento del ENS integrando pentesting y verificación continua con nuestra plataforma AISAC para mantener el nivel entre auditorías, no solo el día de la certificación.
Preguntas frecuentes
¿Puede un mismo sistema tener dimensiones de distinta categoría?
Sí, y es lo habitual. Cada dimensión se valora por separado (por ejemplo, confidencialidad MEDIA y disponibilidad ALTA). La categoría del sistema la determina la dimensión más alta: si una sola es ALTA, el sistema es de categoría ALTA a todos los efectos.
¿El ENS exige realizar pentesting de forma obligatoria?
El ENS exige pruebas de seguridad y gestión de vulnerabilidades, cuya intensidad crece con la categoría. En MEDIA y, especialmente, en ALTA, las pruebas de intrusión sobre servicios expuestos son la vía más eficaz para evidenciar el cumplimiento de esas medidas y detectar fallos antes que el auditor.
¿Cuánto tiempo lleva pasar de MEDIA a ALTA?
Depende del punto de partida, pero los mayores esfuerzos suelen estar en alta disponibilidad probada, cifrado de datos en reposo, detección avanzada de intrusiones y trazabilidad reforzada. Un análisis de brechas previo permite estimar el alcance real y evitar comprometer un calendario poco realista.