Modelos y registros · ENS
Modelo de análisis de riesgos según el ENS
El análisis que justifica las medidas del sistema y su proporcionalidad, con un grado de formalidad que sube con la categoría.
En una frase
El análisis de riesgos del ENS identifica los activos del sistema, las amenazas y las salvaguardas para justificar que las medidas son proporcionadas; el artículo 14 del Real Decreto 311/2022 exige hacerlo con una metodología reconocida internacionalmente, y la medida op.pl.1 pide un análisis informal en categoría básica, semiformal en media y formal en alta.
- Tipo de información
- Documento obligatorio Art. 14 y medida op.pl.1 del Anexo II
- Quién lo rellena
- Responsable de la seguridad Con los responsables del sistema, de la información y del servicio
- Cuándo
- Al diseñar el sistema y periódicamente Se revisa ante cambios relevantes y antes de cada auditoría
- Cuánto se conserva
- Al menos hasta la siguiente auditoría El real decreto no fija un plazo de conservación; guardar las versiones de cada ciclo bienal permite enseñar al auditor la evolución entre auditorías.
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
Cada organización hace su propia gestión de riesgos, analizando y tratando los riesgos de su sistema con una metodología reconocida internacionalmente. Las medidas que se adopten para mitigarlos tienen que estar justificadas y ser proporcionadas.
La medida op.pl.1 gradúa el rigor: en categoría básica basta un análisis informal; en media, semiformal; en alta, formal. MAGERIT, la metodología de análisis de riesgos de la Administración, y la herramienta PILAR del CCN son la referencia más extendida en el sector público.
El análisis es además el que decide las medidas adicionales de la declaración de aplicabilidad y justifica las compensatorias.
Estructura
Campos que debe tener el modelo
- Metodología y grado de formalidad según la categoría
- Activos del sistema y su valoración por dimensiones
- Amenazas identificadas por activo
- Salvaguardas existentes y su eficacia
- Riesgo potencial y riesgo residual
- Decisión sobre el riesgo residual y quién la toma
- Medidas adicionales propuestas para la declaración de aplicabilidad
- Fecha y versión
Ejemplo
Ejemplo: un riesgo del análisis semiformal
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Metodología | MAGERIT, análisis semiformal (categoría media) |
| Activo | Servicio de reserva de citas |
| Amenaza | Suplantación de un empleado municipal para modificar citas (R-04) |
| Salvaguardas existentes | Usuario y contraseña con caducidad |
| Riesgo | Potencial alto · residual medio con las salvaguardas actuales |
| Decisión | No se acepta: se añade segundo factor como medida adicional |
| Riesgo residual final | Bajo · aceptado por el responsable de la seguridad |
| Fecha | 28 de enero de 2026, versión 4 |
En la auditoría
Errores que suelen señalar los auditores
- Análisis informal en un sistema de categoría media.
- Metodología propia sin fundamento reconocido.
- El análisis no se usa para justificar las medidas: va por un lado y la declaración por otro.
- Riesgo residual sin aceptación expresa.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1El análisis de riesgos se vincula al mapa de procesos del sistema de información.
- 2Cada riesgo se registra con su activo, su tratamiento y su propietario.
- 3Las versiones del análisis se conservan como registro versionado para la auditoría.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Es obligatorio usar MAGERIT?
No. El real decreto pide una metodología reconocida internacionalmente; MAGERIT lo es y es la habitual en el sector público, pero sirven otras con fundamento equivalente, como la que orienta ISO/IEC 27005.
¿Puedo usar el mismo análisis para ISO 27001?
Sí, si cumple los criterios de ambas: propietarios y criterios de aceptación para ISO 27001, y el grado de formalidad de la categoría para el ENS.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de análisis de riesgos de seguridad ISO 27001
Cómo documentar el análisis de riesgos de seguridad que pide ISO 27001: criterios de aceptación…
Marco operacional
El marco operacional cubre cómo se planifica, opera y controla el sistema día a día para mantener la…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes