Los 7 errores más comunes en una primera auditoría ENS

Por qué la primera auditoría es la más difícil

En una auditoría ENS de primera vez, el sistema de seguridad aún no tiene ciclos de mejora completados. No hay evidencias históricas de revisiones anteriores, los procesos son relativamente recientes y el equipo está enfrentándose por primera vez al escrutinio externo. Esto crea un terreno fértil para que aparezcan determinados tipos de fallos que, con más experiencia, serían impensables.

Los auditores que realizan auditorías ENS de categoría MEDIA y ALTA están entrenados para distinguir entre organizaciones que han construido un sistema de seguridad real y aquellas que han producido documentación para superar la auditoría. Los siete errores que describimos a continuación delatan sistemáticamente a las segundas.

Error 1: documentación existente pero no implementada

Este es, con diferencia, el error más frecuente y el que más no conformidades genera. La organización dispone de políticas de seguridad, procedimientos y normativas impecablemente redactados, pero cuando el auditor pregunta al personal sobre cómo funciona un proceso en la práctica, las respuestas no coinciden con lo que dice el papel.

El gap implementación-documentación se detecta de múltiples formas durante la auditoría: entrevistas al personal operativo que no conoce los procedimientos que supuestamente aplica, evidencias técnicas que contradicen los procedimientos escritos (por ejemplo, un procedimiento de gestión de parches que dice "mensualmente" pero los sistemas muestran parches sin aplicar desde hace un año), o registros ausentes que el procedimiento obliga a generar.

La solución no es eliminar la documentación, sino asegurarse de que el equipo la conoce, la aplica y deja registros de esa aplicación antes del día de la auditoría. Una simulacro de auditoría interna, incluyendo entrevistas al personal técnico y operativo, es la mejor herramienta para detectar este gap con tiempo.

Error 2: inventario de activos incompleto o desactualizado

La medida [op.pl.1] del Anexo II del ENS exige un inventario de activos que sea la base del análisis de riesgos. Sin un inventario completo y actualizado, el análisis de riesgos queda incompleto, y los controles derivados de ese análisis dejan huecos.

Los problemas habituales son: inventarios que solo incluyen servidores y ordenadores de sobremesa pero omiten dispositivos de red, dispositivos móviles corporativos, sistemas en la nube o aplicaciones de terceros; inventarios que se elaboraron al inicio del proyecto pero no se actualizan cuando se incorporan nuevos sistemas; y activos sin propietario asignado, lo que impide trazar la responsabilidad.

Un inventario de activos para ENS debe incluir para cada activo: identificación, tipo, propietario, nivel de valoración en cada dimensión de seguridad y la categoría que le corresponde. La herramienta de gestión del inventario debe estar integrada con los procesos de gestión de cambios para que cualquier incorporación o baja de activo se refleje automáticamente.

Error 3: análisis de riesgos superficial o ausente

Algunas organizaciones presentan en auditoría un análisis de riesgos que es, en realidad, una lista de amenazas genéricas sin valoración cuantitativa ni cualitativa real, sin vinculación con los activos del inventario y sin trazabilidad hacia los controles seleccionados. Esto no es un análisis de riesgos: es una plantilla rellenada.

El ENS, en su medida [op.pl.2], exige que el análisis de riesgos identifique y valore los activos, identifique y estime las amenazas, valore el impacto y el riesgo, y que el resultado sirva de base para seleccionar las salvaguardas. El auditor verificará que existe una relación coherente entre activos, amenazas, riesgos y controles.

Un análisis de riesgos riguroso no tiene que ser sofisticado, pero sí tiene que ser real. La metodología MAGERIT, desarrollada por el CCN, es una referencia habitual y bien aceptada para entidades que deben cumplir el ENS.

Error 4: sin registros de formación y concienciación del personal

La medida [mp.per.3] del ENS exige formación y concienciación en materia de seguridad de la información para todos los usuarios del sistema. Muchas organizaciones realizan la formación pero no conservan evidencias: no hay listas de asistencia firmadas, no hay registros en plataformas de e-learning, no hay certificados de superación de los cursos.

En auditoría, si no hay evidencia, es como si la actividad no hubiera ocurrido. El auditor no puede validar que la formación se realizó si no existe documentación que lo acredite. Este es uno de los errores más sencillos de evitar: basta con establecer un proceso de registro y conservar las evidencias.

Además, la formación debe ser periódica y documentada como tal. Una única sesión de bienvenida realizada en el año de implantación no cumple el requisito si no existe un plan de concienciación continuada con evidencias de su ejecución.

Error 5: registro de actividad deficiente o sin conservación mínima

La medida [op.exp.8] del ENS regula el registro de la actividad de los usuarios, incluyendo el registro de los accesos al sistema y las acciones realizadas. En categorías MEDIA y ALTA, este registro debe ser suficientemente detallado para permitir el análisis forense de incidentes y debe conservarse durante el período establecido.

Los problemas más frecuentes en esta área son: sistemas que no generan logs, logs que se sobreescriben cada pocos días porque el almacenamiento no está dimensionado correctamente, logs que se generan pero no se recogen en un repositorio centralizado, y logs que se conservan pero no se revisan periódicamente ni se analizan.

Para categoría ALTA, el ENS exige adicionalmente que los registros estén protegidos frente a manipulación no autorizada y que exista un proceso de revisión regular. La ausencia de un sistema centralizado de logs (tipo SIEM o equivalente) es una no conformidad habitual en primeras auditorías de sistemas de categoría ALTA.

Error 6: Declaración de Aplicabilidad sin justificaciones sólidas

El ENS no exige una Declaración de Aplicabilidad en los términos de ISO 27001, pero sí requiere que la organización documente qué medidas del Anexo II aplica y por qué. Cuando se implementa ISO 27001 en paralelo, el SoA cubre ambos marcos. En cualquier caso, la ausencia de justificación para las medidas excluidas es una señal de alarma.

En primeras auditorías ENS es frecuente encontrar documentos donde se marcan medidas como "no aplicable" sin ninguna explicación, o donde la justificación es tan genérica ("no procede por el perfil de la organización") que no aporta información al auditor. Cada exclusión debe poder explicarse en términos de por qué el riesgo que esa medida mitiga no existe o es aceptable en el contexto específico del sistema auditado.

Error 7: alcance del ENS mal definido

El alcance define qué sistemas, servicios e información están dentro del perímetro auditado. Un alcance mal definido es fuente de problemas en ambas direcciones:

• Alcance demasiado amplio: incluye sistemas que no forman parte del servicio sujeto al ENS, lo que genera una carga de trabajo innecesaria y dificulta la demostración de cumplimiento en todos los elementos incluidos.
• Alcance demasiado estrecho: excluye sistemas que realmente forman parte del servicio o que están interconectados con él, lo que invalida la evaluación porque los riesgos de los sistemas excluidos se trasladan a los incluidos.

El alcance debe definirse en función de los servicios sujetos al ENS y los sistemas que los soportan, incluyendo las dependencias técnicas entre sistemas. La medida [org.1] del ENS exige que el alcance quede documentado y que la relación con sistemas externos esté identificada.

Cómo prepararse: la auditoría interna previa

La herramienta más efectiva para evitar los siete errores descritos es realizar una auditoría interna completa entre dos y cuatro meses antes de la auditoría externa. Esta auditoría interna debe:

• Revisar cada medida del Anexo II que aplica según la categoría del sistema, verificando que existe implementación real y evidencias documentadas.
• Incluir entrevistas al personal técnico y operativo para detectar el gap entre documentación e implementación.
• Revisar los registros de actividad, los registros de incidentes, los registros de formación y cualquier evidencia de ejecución de procesos periódicos.
• Verificar que el inventario de activos está completo y actualizado.
• Comprobar que el análisis de riesgos es coherente con el inventario y que los controles seleccionados se justifican por los riesgos identificados.

El resultado de la auditoría interna debe ser un informe con las no conformidades y las observaciones detectadas, acompañado de un plan de acción con responsables y plazos. Solo cuando ese plan está ejecutado y cerrado, la organización está en condiciones de afrontar la auditoría externa con garantías.

Qué esperar en el día de la auditoría

Una auditoría ENS de categoría MEDIA o ALTA suele desarrollarse en una o dos jornadas, dependiendo de la complejidad del sistema. El auditor revisará la documentación previamente (fase de escritorio), y en la visita presencial realizará entrevistas, solicitudes de evidencias y posiblemente pruebas técnicas limitadas.

Las entrevistas son el momento donde más no conformidades se detectan. El personal entrevistado debe conocer los procedimientos aplicables a su función y debe poder explicar cómo los aplica en la práctica. La preparación del equipo para esas entrevistas es tan importante como la documentación técnica.

Al final de la auditoría, el auditor presenta las no conformidades (mayores y menores) y las observaciones. Las no conformidades mayores impiden la certificación; las menores deben resolverse en un plazo acordado. Una preparación rigurosa basada en los siete puntos descritos en este artículo es la mejor garantía de que ese cierre sea favorable.