Categorías de seguridad del ENS (ENS security categories)
En seguridad del sector público español, las categorías de seguridad del ENS son los niveles (básica, media y alta) que fijan cuánta protección necesita un sistema bajo el Esquema Nacional de Seguridad. La categoría es lo que decide de verdad el alcance y el coste de una evaluación, y la diferencia entre una declaración de conformidad y una certificación de conformidad.
Cómo funciona
El ENS categoriza un sistema por el impacto que tendría un fallo de seguridad sobre un conjunto de dimensiones de seguridad (confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad). Cada dimensión recibe un nivel, y el nivel más alto marca la categoría global del sistema: básica, media o alta. Esa categoría determina después qué medidas se aplican y con qué profundidad, de modo que la misma medida se exige con un listón más ligero o más duro según el nivel. El detalle de cómo hacerlo está en las guías CCN-STIC, que traducen las categorías a medidas concretas. La conformidad se acredita de forma distinta según el nivel: las categorías más bajas pueden cubrirse con una declaración de conformidad, mientras que las más altas exigen una certificación de conformidad a través de una entidad acreditada.
Qué sale mal
Hay dos cosas que hacen tropezar a las organizaciones. La primera es categorizar un sistema por debajo para reducir el trabajo, lo que lo deja protegido a un listón menor del que su impacto real merece, y el hueco lo acaba encontrando un auditor o un atacante. La segunda es tratar la categoría como una etiqueta de papeleo y no como un requisito de control: un sistema de categoría media o alta tiene que implantar de verdad las medidas correspondientes, incluido el hardening del sistema al nivel de las guías, y evidenciar que funcionan. Desde el lado ofensivo, los sistemas interesantes son los que están categorizados como altos sobre el papel y bastionados y vigilados a un nivel mucho más bajo, porque la categoría fijó la expectativa y la implantación nunca llegó.
Dónde aparece esto en una auditoría
La categoría fija el alcance y la profundidad de la evaluación técnica: un sistema de categoría alta se prueba con un listón más alto que uno básico, y la evidencia que se produce tiene que encajar con la vía de conformidad (declaración o certificación). Mapeamos las pruebas contra las medidas que exige la categoría y producimos la evidencia que acepta un auditor del ENS, anclada cuando procede en una declaración de aplicabilidad. El hallazgo se ata a la vez a la vulnerabilidad técnica y a la medida que incumple. Esto forma parte de cómo se dimensionan las pruebas que producen evidencia de ENS.