ENS desde dentro (V): Proceso de autorización — quién decide qué (y cómo demostrarlo)

Este artículo forma parte de la serie ENS desde dentro.

👉 Puedes ver la guía completa aquí:
https://www.handersonboratto.com/ens-desde-dentro/

👉 Si es tu primera vez en la serie, empieza por aquí:
https://www.handersonboratto.com/blog/que-es-ens/

👉 O continúa con el artículo anterior:
https://www.handersonboratto.com/blog/procedimientos-seguridad-ens/

Introducción

Hasta ahora hemos construido la base: política de seguridad, normativa y procedimientos. Todo parece bien definido. Pero hay una pregunta clave que muchas organizaciones no saben responder: ¿quién decide qué se puede hacer y qué no? Y aquí es donde empiezan muchos problemas reales: cambios sin control, accesos concedidos sin validar, decisiones sin trazabilidad. En ENS esto no es opcional.

Qué es realmente una autorización en ENS

Una autorización no es un trámite: es una decisión formal. Significa que alguien evalúa una solicitud, alguien la aprueba o la rechaza, y alguien asume explícitamente la responsabilidad. Y lo más importante: debe quedar registrado.

La clave: si no puedes demostrarlo, no existe

Puedes tener procesos muy bien definidos, pero si no puedes responder quién autorizó, qué autorizó, cuándo lo hizo y por qué, entonces no cumples ENS. En auditoría esto no se discute: o hay evidencia, o no existe.

Qué debe incluir un proceso de autorización

En la práctica, un proceso de autorización debe definir claramente quién puede autorizar, qué tipo de acciones requieren autorización, cómo se solicita, dónde se registra y cómo se valida. En un procedimiento real de autorizaciones, como el que se define en el ENS dentro de los procedimientos de control y autorización, se establece precisamente esto: responsabilidades, alcance y registro de las autorizaciones dentro del sistema.

El registro de autorizaciones (el punto crítico)

Aquí es donde todo se gana o se pierde: no basta con autorizar, hay que dejar evidencia. Como mínimo, una autorización debe registrar el solicitante, la acción solicitada, el sistema afectado, el motivo, el autorizador, la fecha y el resultado (aprobado o denegado).

Esto puede estar en una herramienta de tickets, un sistema ITSM, un Excel controlado o una aplicación interna. Lo importante no es la herramienta: es la trazabilidad.

Ejemplos reales de autorizaciones

Para aterrizarlo en situaciones reales, en ENS hay una serie de acciones que siempre deberían estar autorizadas: la utilización de instalaciones (habituales y alternativas), la entrada de equipos en producción, la entrada de aplicaciones en producción, el establecimiento de enlaces de comunicaciones con otros sistemas, la utilización de medios de comunicación (habituales y alternativos), la utilización de soportes de información, el uso de equipos móviles (portátiles, tablets, móviles) y el uso de servicios de terceros (proveedores, outsourcing, etc.).

¿Qué significa esto en la práctica?

No se trata solo de listar actividades: se trata de que cada una de estas acciones tenga un autorizador definido, siga un proceso claro y deje evidencia.

Por ejemplo, antes de conectar un servidor o equipo al entorno productivo, debe solicitarse, validarse y aprobarse. Antes de desplegar software, debe existir autorización, debe quedar registro y debe poder justificarse. Antes de integrar un proveedor, debe evaluarse, autorizarse y quedar documentado. Y antes de permitir acceso desde dispositivos móviles, debe definirse el uso, autorizarse y controlarse.

Si estas acciones no están autorizadas, no hay control, no hay trazabilidad y no hay cumplimiento ENS.

La matriz de autorizadores (quién puede decidir)

Otro punto clave: no todo el mundo puede autorizar todo. Debe existir una matriz clara donde se defina quién autoriza cada tipo de acción, en qué sistemas y bajo qué condiciones. Esto evita decisiones arbitrarias, errores y riesgos innecesarios. Esta matriz suele materializarse en procedimientos, herramientas ITSM o incluso controles dentro de Active Directory o sistemas de gestión.

Error típico (y muy común)

“Lo aprueba cualquiera”, “se habló por Teams”, “sí, esto se hace así siempre”, “no hace falta registrarlo”. Resultado: en auditoría no hay evidencia.

Lo que te van a pedir en una auditoría

Directo y sin rodeos: evidencia de autorizaciones, coherencia en quién autoriza, trazabilidad y consistencia. Y la pregunta clave: ¿puedes demostrar que todo lo que se hace está autorizado?

Cierre del bloque organizativo

Con esto ya tienes definido el marco organizativo completo: política de seguridad, normativa, procedimientos y proceso de autorización. Ya tienes un sistema definido.

Próximo paso

Hasta aquí hemos definido cómo debería funcionar la seguridad. A partir de ahora vamos a ver si realmente funciona. En el siguiente artículo entraremos en la gestión del sistema en ENS: auditoría, control y mejora continua.

👉 Accede a la guía completa del ENS:
https://www.handersonboratto.com/ens-desde-dentro/