Modelos y registros · ENS
Registro de autorizaciones del ENS (proceso org.4)
La puerta de entrada del sistema: nada se pone en producción, se conecta o se contrata sin una autorización previa con criterio y rastro.
En una frase
El registro de autorizaciones del ENS recoge cada solicitud de incorporar algo al sistema —instalaciones, equipos y aplicaciones, enlaces de comunicaciones, soportes, equipos móviles o servicios de terceros—, quién la autorizó y con qué criterio; es la evidencia del proceso formal de autorización que exige la medida org.4 del Anexo II del Real Decreto 311/2022.
- Tipo de información
- Registro obligatorio Medida org.4 del Anexo II, exigida en todas las categorías
- Quién lo rellena
- Quien solicita y quien autoriza El autorizante para cada tipo de componente lo fija el procedimiento; suele ser el responsable del sistema con visto bueno del de seguridad
- Cuándo
- Antes de incorporar el componente Una autorización posterior es una regularización y debe constar como tal
- Cuánto se conserva
- Al menos hasta la siguiente auditoría El real decreto no fija un plazo de conservación; guardar las versiones de cada ciclo bienal permite enseñar al auditor la evolución entre auditorías.
Qué pide la norma
Lo que exige ENS y lo que deja a tu criterio
La medida org.4 pide un proceso formal de autorizaciones que cubra, al menos, la utilización de instalaciones, la entrada de equipos y aplicaciones en producción, el establecimiento de enlaces de comunicaciones con otros sistemas, la utilización de soportes de información, el uso de equipos móviles y la utilización de servicios de terceros.
El real decreto pide el proceso; el registro es lo que permite demostrar que se sigue. Una autorización en un correo suelto no se puede auditar dos años después.
Conviene dejar escrito quién autoriza cada tipo de componente y con qué criterios: comprobaciones previas, configuración de seguridad, impacto en la categoría.
Estructura
Campos que debe tener el modelo
- Número, fecha de solicitud y solicitante
- Tipo: instalación, equipo, aplicación, enlace, soporte, equipo móvil, servicio de tercero
- Descripción y finalidad
- Comprobaciones de seguridad realizadas
- Impacto en la categoría o en la declaración de aplicabilidad
- Decisión, persona que autoriza y fecha
- Condiciones impuestas
Ejemplo
Ejemplo: alta de un servicio de envío de SMS
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Número y fecha | AUT-2026-019 · 4 de marzo de 2026 |
| Solicitante | Jefa de producto |
| Tipo | Servicio de tercero |
| Descripción | Proveedor de SMS (ficticio) para recordatorios de cita a ciudadanos |
| Comprobaciones | Contrato de encargo de tratamiento, datos alojados en la UE, conformidad ENS del proveedor en categoría media |
| Impacto | Sin cambio de categoría; se añade al inventario y a la medida op.ext |
| Decisión | Autorizado por el responsable del sistema con visto bueno del responsable de la seguridad, 11 de marzo |
| Condiciones | Solo número de teléfono y fecha de cita; nunca el motivo |
En la auditoría
Errores que suelen señalar los auditores
- Equipos o aplicaciones en producción sin autorización registrada.
- Servicios en la nube contratados por un departamento sin pasar por el proceso.
- No está escrito quién puede autorizar cada tipo de componente.
- Autorizaciones sin las comprobaciones que justifican la decisión.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1El proceso de autorización de componentes se registra como flujo de aprobación.
- 2Cada solicitud llega a quien debe autorizarla según su tipo, y la decisión queda con fecha y autor.
- 3La documentación del proveedor de un servicio autorizado vive en el portal de proveedores, con sus caducidades vigiladas.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Hay que autorizar cada portátil nuevo?
Se puede autorizar un modelo y una configuración estándar una vez, y registrar después cada alta como aplicación de esa autorización. Lo que no vale es que nadie haya autorizado nunca el estándar.
¿Aplica en categoría básica?
Sí. Las cuatro medidas del marco organizativo, org.4 incluida, se exigen en todas las categorías.
Lleva los registros de ENS sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Marco organizativo
El marco organizativo son los cuatro documentos que rigen la seguridad de la organización: la política que…
Modelo de categorización del sistema según el ENS
Cómo documentar la categorización de un sistema según el Anexo I del ENS: niveles de las cinco dimensiones…
Modelo de declaración de aplicabilidad del ENS
Qué debe recoger la declaración de aplicabilidad del ENS: medidas del Anexo II según la categoría…
Modelo de análisis de riesgos según el ENS
Cómo documentar el análisis de riesgos del ENS: metodología reconocida, activos, amenazas, salvaguardas y…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 de mayo de 2022
- Guías CCN-STIC de la serie 800 sobre el ENS Centro Criptológico Nacional (CCN-CERT) · Series vigentes