ENS desde dentro (XII): Componentes certificados — cómo demostrar que tus sistemas son de confianza

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí: https://www.handersonboratto.com/ens-desde-dentro/

👉 Si es tu primera vez en la serie, empieza por aquí: https://www.handersonboratto.com/blog/que-es-ens/

👉 O continúa con el artículo anterior: https://www.handersonboratto.com/blog/ens-gestion-capacidad-rendimiento

Introducción

Ya sabes qué tienes, cómo funciona y si tiene capacidad. Pero hay una pregunta clave: ¿es seguro lo que estás utilizando? Aquí entra op.pl.5.

Qué pide realmente el ENS

El ENS no solo quiere que tengas controles: quiere que esos controles sean fiables, y eso se demuestra con certificaciones. Debes poder demostrar que los productos que usas son seguros, han sido evaluados y cumplen estándares.

Qué debes hacer en la práctica

Lo primero es listar todos los componentes de seguridad: firewalls, routers, switches, antivirus, sistemas IDS/IPS y demás sistemas de seguridad, tanto en oficinas como en el CPD o los centros de datos.

🧭 Paso 1: Inventario de componentes

Debes tener un listado claro de cada componente con su producto, fabricante, modelo y ubicación. Si no sabes qué tienes, no puedes demostrar nada.

🧭 Paso 2: Verificar certificaciones

Aquí está la clave: para cada componente debes comprobar si está certificado, bajo qué estándar y con qué nivel.

Fuentes oficiales:

• Catálogo CPSTIC (CCN): https://www.ccn-cert.cni.es/es/guias-de-acceso-publico-ccn-stic/2536-ccn-stic-105-catalogo-de-productos-de-seguridad-de-las-tecnologias-de-la-informacion-y-la-comunicacion/file.html
• Common Criteria: https://www.commoncriteriaportal.org/products/index.cfm

🧭 Paso 3: Recopilar evidencias

Esto es lo que marca la diferencia en auditoría: debes guardar capturas del catálogo CPSTIC, los certificados Common Criteria y la documentación oficial correspondiente. No vale decir "sí está certificado": hay que demostrarlo.

🧭 Paso 4: Mantenerlo actualizado

Esto no es estático. Debes revisar cambios de versión, fin de soporte y nuevas certificaciones, porque un producto puede dejar de cumplir con el tiempo.

🧠 Lo importante: confianza en los componentes

Esto no va de inventario, va de confianza. Si usas componentes no certificados, introduces riesgo.

Error típico (muy común)

Los errores más comunes son: no comprobar certificaciones, usar productos sin evaluar, no guardar evidencias y no actualizar. El resultado: no conformidades, pérdida de confianza y riesgo real.

Lo que te van a pedir en auditoría

En auditoría te van a pedir el listado de componentes, evidencias de certificación, coherencia con la arquitectura y que esté actualizado. Y la pregunta clave: ¿puedes demostrar que tus herramientas son seguras?

Conclusión

Los controles no son suficientes: deben ser confiables. Si lo haces bien, puedes demostrar seguridad real. Si lo haces mal, no tienes garantías.

Próximo paso

Ya sabes qué componentes utilizar. Ahora toca ver cómo se protegen. En el siguiente artículo entraremos en protección de equipos en ENS (op.pl.6).

👉 Accede a la guía completa del ENS: https://www.handersonboratto.com/ens-desde-dentro/