ENS desde dentro (IV): Procedimientos de seguridad — donde todo empieza a funcionar de verdad

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí:
https://www.handersonboratto.com/ens-desde-dentro/

👉 Si es tu primera vez en la serie, empieza por aquí:
https://www.handersonboratto.com/blog/que-es-ens/

👉 O continúa con el artículo anterior:
https://www.handersonboratto.com/blog/normativa-seguridad-ens/

Introducción

Si has llegado hasta aquí, ya tienes una política de seguridad y una normativa que define reglas. Todo parece en orden. Pero hay un problema: nadie sabe exactamente qué hacer en el día a día. Y aquí es donde fallan la mayoría de organizaciones, porque el ENS no falla en la teoría: falla en la ejecución.

Entonces… ¿qué es realmente un procedimiento?

Un procedimiento no es un documento más: es la forma en la que realmente funciona tu sistema. Es lo que convierte una norma en acción, una regla en algo que alguien ejecuta y la seguridad en algo real.

La diferencia clave (y donde muchos fallan)

• Política → define el qué
• Normativa → define las reglas
• Procedimiento → define cómo se hace

Si no tienes procedimientos claros, cada persona actúa diferente, no hay trazabilidad y no puedes demostrar nada. Y sin demostrar, no hay ENS.

Las 4 preguntas que debe responder cualquier procedimiento

Si un procedimiento no responde a esto, no sirve:

• ¿Qué se hace?
• ¿Quién lo hace?
• ¿Cómo se hace?
• ¿Qué pasa si algo falla?

Esto es lo que marca la diferencia entre:

• documentación bonita
• y un sistema que funciona

El punto crítico: el tratamiento de la información

Aquí es donde más fallan las organizaciones. No basta con decir que “la información es confidencial”: hay que definir quién puede acceder, dónde se guarda, cómo se copia, cómo se transmite y cómo se protege. Y sobre todo, cómo se hace todo eso en la práctica.

La realidad: lo que nadie te cuenta

La mayoría de procedimientos en ENS existen pero no se usan, están escritos pero nadie los entiende, o están aprobados pero nadie los aplica. Resultado: en auditoría, no hay evidencias.

Algo importante que debes saber

En el ENS no hablamos de uno o dos procedimientos: existe un conjunto completo que cubre toda la operación.

• gestión del sistema
• autorizaciones
• planificación
• control de accesos
• explotación
• continuidad
• monitorización
• protección de información, equipos, comunicaciones…

En total, hablamos de múltiples procedimientos que deben funcionar de forma coordinada. Pero aquí está la clave: no se trata de tenerlos todos, sino de que funcionen de verdad.

Validación: el punto que casi nadie cumple bien

Otro error habitual es escribir procedimientos sin validarlos. Si nadie los aprueba formalmente, no tienen peso, no son exigibles y no sirven en auditoría. Un procedimiento no validado es papel.

Lo que te van a pedir en una auditoría

Esto es lo que realmente miran:

• ¿Está claro qué hay que hacer?
• ¿Está claro quién lo hace?
• ¿Se sigue siempre igual?
• ¿Está documentado?
• ¿Se ha comunicado?
• ¿Está aprobado?

Y lo más importante: ¿puedes demostrarlo?

El error más común

Pensar que “ya tenemos procedimientos”, cuando en realidad tienes documentos que nadie sigue.

La clave de todo

Si tuviera que resumirlo en una frase: un procedimiento no es un documento, es una forma de trabajar.

Próximo artículo

Tener procedimientos está bien, pero hay una pregunta clave: ¿quién decide qué se aprueba y qué no? En el siguiente artículo veremos cómo funciona el proceso de autorización en ENS.

👉 Accede a la guía completa del ENS:
https://www.handersonboratto.com/ens-desde-dentro/